歡迎閱讀國家與行業風險評估及風險為本方法
歡迎來到範疇 B 的核心研習單元：全球反金融犯罪（AFC）架構、管治與法規！如果你曾經好奇政府如何判定哪些金融犯罪威脅最為危險，或者金融機構如何決定將合規人員和監控系統調配到何處，本章將為你一一解答。
在本章中，我們將探討：
• 甚麼是國家風險評估（NRA），以及為何各司法管轄區都要開展這項評估。
• 行業風險評估（SRA）涵蓋的內容，以及它如何聚焦於特定行業。
• 現代反金融犯罪（AFC）的基石：風險為本方法（RBA）。
• 國家和行業層面的評估結果如何直接影響機構的內部監控及合規工作重點。
章節背景說明：本章專門重點探討國家與行業風險評估及其對風險為本方法的影響。相關主題——例如監管機構、金融情報機構（FIU）和國際組織的具體職責——將在本範疇的其他姊妹章節中深入探討。
---理解風險為本方法（RBA）
甚麼是風險為本方法？
風險為本方法（RBA）的核心原則是：機構或政府配置資源、工作力度和緩減措施時，必須與所識別的風險水平成正比。簡而言之：管控措施必須與風險程度相符。
在廣泛採用 RBA 之前，合規計劃往往按照刻板的「剔格仔」（tick-the-box）或以規則為本（rules-based）模式運作。無論客戶背景如何，都會接受完全相同的開戶審查和監控。今天，全球標準均已認同資源是有限的，而金融犯罪威脅的分佈亦不平均。
生活化比喻：想像一下急症室的檢傷分流。當病人只是擦傷來到醫院時，會接受基本護理，可能需要等候較長時間。但當有人因急性胸痛入院時，會立即被送往深切治療部，由專科醫生診治。RBA 在反金融犯罪領域的運作方式完全相同：高風險情況會受到嚴格審查，而較低風險情況則採用標準或簡化程序管理。
RBA 的核心原則
1. 識別與評估：了解司法管轄區、行業或機構內部存在的特定金融犯罪威脅、脆弱性（漏洞）及後果。
2. 緩減與管控：在風險偏高之處，實施更高等級的客戶盡職審查、加強監控及更嚴格的管控措施；在風險較低之處，則實施標準或簡化管控措施。
3. 檢視與調整：隨著犯罪模式（typologies）、技術和監管調查結果的演變，持續更新風險模型。
重點提示：RBA 並不意味著消除所有風險（零容忍）。相反，它意味著認清最高風險所在，並將最強有力的管控措施和資源投放於這些特定範疇。
---國家風險評估（NRA）
甚麼是 NRA？
國家風險評估（NRA）是由政府牽頭進行的全面性評估工作，由國家對其整體金融、商業和法律環境進行透徹分析，以確定其主要的金融犯罪風險。其目標是提供一個全方位、系統性的視角，展示非法資金如何流入、流經和離開該司法管轄區。
NRA 的核心組成要素
司法管轄區在編制 NRA 時，通常會評估三大核心要素：
• 威脅（Threats）：產生非法資金的外部或內部犯罪活動。這包括販毒、詐騙、逃稅、有組織犯罪、貪污或恐怖活動等前置罪行（predicate crimes）。
• 脆弱性（Vulnerabilities）：國家法律制度、監管審查、邊境管制、金融基礎設施或公司註冊處透明度等方面可能被犯罪分子利用的漏洞或薄弱環節。
• 後果（Consequences）：洗錢、恐怖分子資金籌集及其他金融犯罪對該國造成的更廣泛經濟、社會、金融和聲譽影響。
誰會使用 NRA？
• 公營機構：監管機構、執法機關和金融情報機構（FIU）利用 NRA 來引導調查資源的方向、制定新法例並調整監管工作重點。
• 私營機構：銀行、金錢服務經營者（MSO/MSB）、支付服務提供者（PSP）以及指定非金融行業及專業人士（門衛 / gatekeepers），均會將 NRA 作為其自身風險模型的重要外部參考依據。
記憶口訣——「T-V-C」：要記住 NRA 如何評估風險，可以聯想英文縮寫 TVC：Threats 威脅（罪犯及其犯罪行為）、Vulnerabilities 脆弱性（敞開的門戶或系統漏洞），以及 Consequences 後果（現實世界中的損害）。
---行業風險評估（SRA）
聚焦鏡頭：SRA 的目的
如果說 NRA 是從高空鳥瞰整個國家，那麼行業風險評估（SRA）則是將顯微鏡聚焦於某個特定行業或經濟領域。SRA 專門深入研究金融犯罪風險如何在特定的營運環境中顯現。
常規開展 SRA 的行業
監管當局和行業組織經常評估各個不同行業的風險，包括：
• 銀行業務範疇：零售銀行、私人銀行、商業銀行及代理銀行（網絡銀行）業務。
• 支付與匯款服務：金錢服務經營者（MSO/MSB）、支付服務提供者（PSP）及電子商貿平台。
• 新興科技與數碼資產：虛擬資產服務提供者（VASP）及加密資產平台。
• 門衛與專業服務：律師、公證人、會計師，以及信託或公司服務提供者（TCSP）。
• 其他高風險行業：地產代理、博彩及賭博業，以及高價值物品交易商。
為何行業差異如此重要
不同行業所面臨的營運風險大相徑庭：
• 金錢服務經營者（MSB）處理的是快速、大額、跨境現金匯款，匯款人身份及業務關係持續時間可能轉瞬即逝。
• 信託或公司服務提供者（TCSP）處理的是法定實體、空殼公司和複雜的所有權架構，這些都可能遮掩實益擁有人的真實身份。
• 地產代理業處理的大多是交易頻率低、金額龐大的交易，單筆交易便能吸納巨額非法資本。
正因為這些營運特點各異，SRA 能夠提供一般性指引無法涵蓋的行業特定犯罪模式和可疑指標。
重點提示：NRA 提供全國風險基準，而 SRA 則提供深入了解獨特漏洞和業務模式所需的行業專門細節。
---NRA 與 SRA 對機構風險為本方法的影響
將宏觀層面評估結果落實到內部計劃
初次接觸時毋須擔心覺得複雜——外部評估與機構內部合規計劃之間的關係，遵循著清晰合理的層遞邏輯：
第一步：公佈公開評估報告
中央政府或行業監管機構公佈 NRA 或 SRA，指明高風險領域（例如：跨境貿易洗錢活動增加、房地產行業高度脆弱，或特定法律架構被濫用）。
第二步：更新全面風險評估（ERA）
機構檢視已發佈的 NRA/SRA，並將這些調查結果與自身的產品、服務、客戶、業務所在地域及交付渠道進行比對。如果 NRA 認定某類產品為高風險，機構必須在其內部風險評估中正視該威脅。
第三步：更新風險承受能力聲明（RAS）
高層管理人員及管治委員會評估機構是否願意接納該等高風險行業的客戶或業務活動，以及接受程度為何。
第四步：調整監控措施
機構調整其內部政策、程序與系統：
• 在風險偏高之處：機構落實加強盡職審查（EDD）、要求高級管理層審批、調低交易監控預警閾值，或進行更頻繁的定期審查。
• 在經證實風險偏低之處：機構可採取標準或簡化措施，確保將資源集中保留給高風險目標。
監管機構的期望
在接受監管審查期間，監管人員會期望合規人員熟悉所在司法管轄區最新發佈的 NRA 以及相關 SRA 的評估結果。如果一家機構聲稱自己採用了有效的風險為本方法，卻對國家或行業風險報告視若無睹，其合規計劃極有可能會被評定為存在重大缺陷。
---應避免的常見誤區
• 誤區 1：將 NRA 當作內部風險評估
糾正：NRA 是由公共機構編制的外部國家層面文件。全面風險評估（ERA）則是機構對自身獨特風險進行的內部評估。NRA 為 ERA 提供指引和參考，但絕不能取代 ERA。
• 誤區 2：以為低風險等於「零審查」
糾正：在風險為本方法下，較低風險可以作為採用簡化或標準客戶盡職審查的合理依據，但絕不意味著可以完全免除客戶身分識別、制裁名單篩查或可疑交易申報等要求。
• 誤區 3：靜態合規（一勞永逸）
糾正：有效的 RBA 必須具備動態調整能力。當新的 NRA 或 SRA 點出新興的金融犯罪趨勢時（例如轉向新型支付平台，或出現新的洗錢手法），機構必須迅速更新其內部的監控情境與政策。
本章摘要與快速溫習
核心概念速覽
• 風險為本方法（RBA）：一項總體指導原則，要求合規資源和管控措施必須與所識別的金融犯罪風險水平相符。
• 國家風險評估（NRA）：由政府主導的宏觀層面評估，旨在識別全國範圍內的金融犯罪威脅、體制脆弱性及社會經濟後果。
• 行業風險評估（SRA）：針對特定行業或領域（如銀行業、MSO、TCSP、博彩業、VASP）的專門評估，重點分析該行業特有的風險、犯罪模式及脆弱性。
• 傳導效應（Flow-Through Effect）：NRA 和 SRA 是重要的外部參考依據，直接引導和形塑機構的全面風險評估（ERA）、風險承受能力聲明（RAS）、客戶盡職審查分級（標準與加強審查）以及交易監控系統。