证券股份有限公司洗钱和恐怖融资风险自评估指引(试行)模版.docx

证券股份有限公司洗钱和恐怖融资风险
自评估指引（试行）
第一章  总则
第一条 为深入实践“风险为本”反洗钱方法，评估洗钱和恐怖融资（以下统称洗钱）风险，提升反洗钱工作有效性，根据《中华人民共和国反洗钱法》、《金融机构洗钱和恐怖融资风险评估及客户分类管理指引》、《金融机构反洗钱监督管理办法（试行）》的规定，制定本指引。
第二条 本指引所称洗钱风险是指公司提供的产品或服务被用于洗钱进而导致公司遭受损失的不确定性，是洗钱威胁与内部控制薄弱环节等因素共同作用的结果。洗钱风险自评估是公司根据特定的方法得出“洗钱风险”的一个过程，主要包括对洗钱威胁及内部控制薄弱环节的判断。
第三条 开展洗钱风险自评估应当遵循以下原则：
（一）风险为本原则。以挖掘洗钱风险为首要目标，准确评估面临的洗钱威胁和存在的薄弱环节，从而采取差异化的风险防控措施，将反洗钱资源向高风险领域倾斜，优化反洗钱资源配置。
（二）风险评估与建立长效机制相结合原则。风险评估工作不仅要关注洗钱威胁和存在的薄弱环节，更要深入分析风险成因及源头，以建立健全风险防范的长效机制。
第四条 本指引适用于公司开展洗钱风险自评估工作，反洗钱各相关部门应积极配合评估工作。
第二章    风险自评估指标体系
第一节 概述
第五条 按照洗钱风险的构成要素，洗钱风险自评估可分为业务风险自评估和内部控制自评估。业务（产品、服务、渠道）风险主要源于经营环境及诸多可能被犯罪分子利用的业务环节。内部控制风险主要源于公司对洗钱风险的意识不足及执行不到位。根据自评估指标体系查找薄弱环节，剖析问题成因，能够追本溯源研究采取针对性防控措施，提高反洗钱资源配置效率。
第二节 业务风险自评估指标体系
第六条 业务风险自评估主要包括3个评估要点：业务成熟度、风险属性及复杂程度。
第七条 业务成熟度、风险属性及复杂程度情况要点考察范围包括但不限于：
（一）业务成熟度是指业务的整体经营发展情况。主要包括该业务在行业内的成熟度与公司开展该业务的成熟度。行业成熟度包括行业内该业务的业务属性是否清晰明了、公开程度、法律法规及业务规则完备性、行业内该业务的开展规模等。公司成熟度包括公司开展该业务是否对业务进行充分的风险评估以及制度流程的完备性。
（二）业务风险属性从风险性质、风险程度分析。对于高风险业务包括但不仅限于：1、现金交易。2、非面对面交易。3.跨境交易。4.代理业务。5、创新产品/业务。6、大宗交易、转托管类业务、因第三方存管单客户多银行业务而形成的跨银行、跨地区资金划转等。
（三）业务复杂程度。业务复杂程度主要从以下几方面进行评估：1、客户身份识别难度，以穿透式的角度，识别参与业务的客户身份。2、业务结构复杂程度，是否构建复杂的业务结构以增加风险识别的难度。3、产品设计是否存在刻意进行利益输送或内部交易的风险等。
第三节  内部控制自评估指标体系
第八条 内部控制自评估主要是分析应对洗钱威胁采取何种防控措施，以及防控措施是否有效。包括但不限于：
1、公司内部环境。
2、控制措施，主要包括客户身份识别、客户身份资料和交易记录保存、大额和可疑交易报告。
3、信息系统建设。
第九条 公司内部环境考察范围包括但不限于：
（一）高管履职。董/理事会、经营层面、监事会能够明确职责分工，形成相互制约、共同推进的反洗钱工作组织架构。是否根据反洗钱工作目标和重点，明确高级管理层的工作任务、反洗钱领导小组成员的职责分工，是否采取措施推动反洗钱工作。
（二）反洗钱机构和人员配备。是否设立反洗钱专门机构或者指定内设机构负责反洗钱工作，是否根据风险状况合理配置人员，以有效履行反洗钱职责。
（三）业务部门人员配备。各级业务条线部门是否配备兼职人员，兼岗反洗钱人员配备是否能够满足本部门反洗钱工作需要。
（四）内部审计监督。是否有内部审计监督的制度安排，是否覆盖反洗钱部门对业务条线检查和监督；审计部门对反洗钱部门和业务条线反洗钱工作的审计和监督。
（五）制度建设。是否建立反洗钱制度（如：客户身份识别、可疑交易识别和报告、客户身份资料和交易记录保存、反恐怖融资、分支机构反洗钱工作管理、反洗钱保密、反洗钱内部审计、反洗钱宣传培训、反洗钱工作绩效考核、配合反洗钱调查等制度）。是否根据监管的新要求，及时更新相关制度 制度内容是否合法（制度内容与法律法规、监管意图是否相冲突）、完整（制度内容是否全面、完整、覆盖所有业务条线）、合理（制度中是否存在相互冲突，如不同文件对同一内容的规定不一致）、可操作（制度规定是否具有可操作性，是否存在于本机构情况不符的规定）。
第十条 客户身份识别考察范围包括但不限于：
（一）客户接纳。对实际受益人是否采取有效识别措施，是否联网核查客户证件、或采取适当方式核实客户身份客户，客户身份信息登记是否完整，对办理一次性金融业务、代理业务是否采取有效的识别措施，客户为高风险客户或政要人物的，在进行客户尽职调查时是否建立复核、授权、审批等机制。
（二）持续尽职调查。业务存续期间，当客户身份特征或经营特征发生重大变化，或与建立关系时不一致，客户行为、交易出现异常等情况时，是否持续履行重新识别义务；对于身份证件即将过有效期限的客户，是否采取措施及时提示客户更新。
（三）客户风险等级动态管理和控制。是否建立客户风险分类管理制度流程；是否利用客户风险分类结果，采取差别化识别措施；对高风险客户是否了解其资金来源、资金用途、经济状况等信息；是否定期审核客户身份基本信息，是否将客户风险等级分类结果运用于监测分析。
第十一条 客户身份资料和交易记录保存考察范围包括但不限于：
（一）保存要求。是否制定了客户身份资料和交易记录保存制度；是否保存客户身份资料、交易记录、反洗钱工作资料，保存内容、保存时限和完整性是否达到可追踪、可重现交易的目的。
（二）资料运用。是否能方便调取便于公司开展监测分析工作，便于反洗钱监管部门开展现场检查等工作，便于配合侦查、司法机关和人民银行开展调查工作。
第十二条 大额和可疑交易报告考察范围包括但不限于：
（一）监测标准。是否建立反洗钱异常交易监测指标或监测模型；是否根据洗钱风险状况变动、业务发展创新和监管要求，及时调整完善异常交易监测指标或模型。
（二）报告流程。是否建立可疑交易信息处理流程，处理流程各岗位的职责是否清晰、完整，业务条线人员是否参与涉及本条线业务线索分析筛查。
（三）报告质量。大额和可疑交易报告是否报送及时、要素完整、数据准确；可疑交易报告理由是否充分、分析到位
第十三条 信息系统建设考察范围包括但不限于：
（一）系统保障。是否根据反洗钱监管要求和履责需要，建立反洗钱数据系统，系统能够满足数据查询、共享需要，能够有效提升反洗钱工作效率。
（二）系统更新。系统升级改造是否能够满足本单位反洗钱履责实际和反洗钱监管要求的变化。
第三章 风险自评估操作流程
第十四条 公司每三年对洗钱风险进行全面自评估，对于已识别的高风险业务（产品、服务）每一年评估一次。
当公司发布新产品、采用新营销手段，或者治理结构、产品服务、技术手段等发生重大变化，可能影响洗钱风险状况时，应及时开展风险自评估，并调整洗钱风险管理政策。
第十五条 风险自评估的操作步骤一般分为准备、实施和出具报告三个阶段。其中，准备阶段包含括组建评估组、编制评估方案等；实施阶段包括现场评估、汇总评估结果等；出具报告阶段指在自评估结束后的一定时间内出具风险自评估报告。
（一）组建评估组
建立由法律合规部牵头的洗钱风险评估工作小组，评估小组组长由公司法律合规部负责人担任，评估组成员包括公司反洗钱工作相关部门的联络员。
（二）制定评估方案
评估组制定具体评估方案，主要包括评估目的、评估程序、评估范围及方法、评估组成员构成及分工、评估时间安排等。
（三）实施评估
评估组成员根据评估工作方案的工作分工安排，及时有效开展评估工作。
（四）汇总评估结果
评估组组长召集评估组成员对评估情况逐一进行分析、确认和汇总，同时汇总得出评估结论。
（五）出具自评估报告
评估组于评估实施工作结束后出具自评估报告，对各项评估要点提出评估意见，并针对存在问题提出改进措施。
（六）评估报告的汇报
按照监管的外部要求及公司的内部要求，及时向监管部门及公司领导汇报。
第十六条 评估结果运用
公司参考自评估结果，根据“风险为本”的工作原则，合理配置各项反洗钱资源。
第十七条 评估小组应详细保存风险自评估工作各项记录、自评估报告等相关材料，确保洗钱风险自评估工作具有可稽核性或可追溯性。
第四章 附则
第十八条 本指引由公司授权法律合规部负责制定、修改和解释。
第十九条 本指引自下发之日起实施。