实践中对待洗钱问题，不能局限于《反洗钱法》规定的7大类上游犯罪。将所有的犯罪都作为洗钱上游犯罪进行处理，不违反反洗钱法的基本原则和精神。实践中，洗钱行为更多的表现为“自洗钱”，即上游犯罪行为人自己实施的洗钱行为。在资金流动类的犯罪中，只要犯罪行为既遂，必然存在洗钱行为，比如非法吸收公众存款罪。对洗钱的理解，也不能局限于刑法第一百九十一条。刑法第一百九十一条所规定的洗钱罪是上游犯罪行为人之外的实施的洗钱行为，但我国《反洗钱法》所规定的洗钱行为既包括上游犯罪行为人之外的人实施的洗钱行为，也包括自洗钱。

因此，需要将洗钱的概念放宽，不限于《反洗钱法》规定的7大类犯罪，而是将所有的犯罪行为产生的资金流动都作为洗钱活动的上游犯罪。目前，比较常见的洗钱行为如下：非法吸收公众存款、集资诈骗、网络赌博、支付结算类的非法经营行为（比如地下钱庄、“二清”）、普通诈骗（比如利用非法外汇平台、赌博平台、非法期货平台等实施的诈骗）、信用卡诈骗、妨害信用卡管理、传销等违法犯罪活动。犯罪行为人在实施洗钱时，惯用的伎俩是掩盖自己真正的身份，导致司法机关难以追溯。

一、实践中不法分子常用的虚构身份的方式

（一）冒用他人身份注册企业

1.使用他人丢失的居民身份证注册企业

使用他人丢失的居民身份证注册企业利用了某些地区注册企业的便民措施，这些便民措施不要求对股东和法定代表人的身份进行核对，在“银发〔2019〕85号”之前，银行为客户开立账户也存在同样的问题。

2.借用他人身份证件注册企业

比如借用好朋友的身份证件注册公司，而实际上，注册之后，营业执照等全套资料可能卖给不法分子使用。借用他人身份证件注册企业的行为，在多次借用、买卖营业执照之后，追溯真正的行为人难度增大，尤其是通过网络借用、买卖的。这个案例中，“三证”均真实，出现问题的原因同上。

（二）冒用他人的营业执照

比如，某一起诈骗案件中，客户所使用的营业执照真实，法定代表人姓名真实，但法定代表人的身份信息与企业工商登记档案中记载的法定代表人仅姓名相同，其他身份信息不一致。警方调查发现，实际是不法行为人借用一个同名的女子的居民身份证。经警方调查，被冒用的企业和其法定代表人对冒用行为毫不知情。资金也没有到达其公司账户，而是通过支付机构的代付业务转入至大量的个人银行卡，经警方调查，这些个人银行卡系不法分子从网络渠道购买而来。

（三）在形式上执行业务的人与实际控制企业的人不一致

1.以“马仔”名义注册公司

这种情况下形同股份代持，登记的股东与法定代表人身份均真实，但代持人不是实际控制企业的人。真正的控制人在幕后操控。这种情况，对行为人的追溯不彻底，通常能追溯到“马仔”这个级别，再进一步追溯有难度。

2.名义上有业务执行人，但业务执行人对幕后控制的人不知情

比如，表面上的业务执行人身份是真实的，职务可能是业务经办人或者部门负责人等，也可能是一个第三方的代理人冒充企业经办人，其实际工作仅仅是寻找支付通道或者开立账户，表面上的业务执行人对实际控制业务的人不知情。其开立账户所使用的营业执照通常为真实。

这种情形下的追溯情况与前例相同，一般会导致线索中断。问题出在身份识别中，发现有高风险特征的时候，没有测试经办人对企业的熟悉程度。

（四）直接买卖营业执照

实践中，买卖营业执照非法从事资金结算业务已经成为了一条产业链。有人负责“生产”营业执照，方式就是前面所说的冒用、借用、盗用、骗取他人身份证件注册企业，有人负责对接“卖方”和“买方”，买方就是从事非法活动的人。

（五）通过社工网站非法获取、买卖、盗窃、诈骗等形式获取自然人的身份信息后注册支付账户

行为人惯常利用第三方支付进行虚假注册，第三方支付机构允许用户通过网络注册为客户，验证方式简单，通常是非面对面进行身份识别，不法分子冒用他人身份注册支付账户是为了转移不法资金。

（六）直接伪造身份证件申请业务

通常情况是伪造企业营业执照并与伪造企业法定代表人的身份证件相配合。目前金融机构对企业注册信息的真实性可以通过国家企业信用信息公示系统进行查询，因此伪造营业执照的行为中，被伪造营业执照的企业通常是真实存在的。

（七）买卖银行账户、支付账户

买卖银行账户、支付账户的现象比较普遍。支付账户是指在第三方支付机构（即取得支付许可证的支付机构）开立的账户。买卖行为中，卖方的身份一般是真实的，但如果注册或者开户的目的就是为了买卖，则卖方的身份可能虚假，通常买方的身份未知，由于买卖账户的方式是利用网络进行，卖方一般不知晓买方的身份，因此追溯行为人的难度较大。

二、疑似虚构身份的高风险客户的特征

疑似虚构身份的高风险客户，一般具备以下特征：

（一）成立时间短，一般不足一年；

（二）注册资金为认缴资本而非实缴货币资本；

（三）企业自称的营业范围为电子商务，但注册资金明显偏小。通常而言，经营电子商务需要较大的投入，过小的注册资金明显与商业属性不吻合。

（四）企业形式为一人有限责任公司。一人有限责任公司所需要的身份信息单一，对犯罪分子来讲，获取信息的成本较低。

（五）法定代表人的身份信息与注册地的关联性较差，比如法定代表人地处偏远地区，但注册于发达地区，或者企业注册地与其户籍地相距较远；

（六）法定代表人年龄偏高或者偏小。年龄偏高者，一般难以实际管理公司，年龄偏低者，资产积累和社会经验积累一般不足以支持其从事经营活动。

（七）申请的业务为高风险业务，比如网络支付业务。

三、针对疑似虚构身份的高风险客户的身份识别技巧

“银发〔2019〕85号”文要求核实法定代表人的开户意愿，这对于防范电信网络诈骗确实有效，但仍然不够，比如，行为人可以找相貌相似的人冒充法定代表人。

（一）面对面身份识别中的技巧

在发现有高风险特征的时候，应对法定代表人和经办人进行面对面的身份识别。对经办人和法定代表人的身份识别，除了询问、核对、查验、记录和留存这五个步骤之外，还需要对被识别对象实施“附加测试”，所谓“附加测试”，是指在通常的身份信息之外测试被识别对象是否了解客户的组织架构、业务等情况。

1.核对法定代表人身份的同时，应测试法定代表人对企业的熟悉程度，测试范围应至少包括业务、股权架构、高级管理层的组成。

2.对经办人身份的识别强度应以保证对行为人有效追溯为标准。应视风险高低，了解经办人对非自然人客户的业务、地址、对非自然人控制架构、高级管理层的熟悉程度。

测试的方式有两种：其一是由负责身份识别的工作人员进行提问，事前准备问题提纲，其二是准备纸质的测试题目，由被测试的人员（即被识别的对象）填写答案。

测试的问题举例如下：

1．请问您公司的业务是什么？2.销售方式是怎样的？3.您公司的最高领导姓名？4.您是否见过您公司的最高领导？5.请问您的直接上级姓名？6.请问您公司有几个部门？各部门负责人的姓名？7.您公司的实际办公地点在哪里？

（二）非面对面身份识别中的身份识别技巧

通过网络建立业务关系的客户，使用面对面的方式进行身份识别确有难度，尤其在待审客户数量较大的情况下，需要投入更多的人力资源和成本。虽然相关法律法规、规章和规范性文件的并未强制要求采用面对面的身份识别方式，但依据有关身份“核对”的要求，应理解为应当保证证件与被识别对象（法定代表人或者经办人）“人证一致”，即使不使用面对面的方式，也应当采取适当的措施确保被识别对象与证件一致。

通过网络建立业务关系的客户，比如电子商务平台巨量的商户，通过网络建立业务关系是快捷且成本较低的方式，这些商户又将成为金融机构或者支付机构的客户，在无法实施面对面身份识别的，且无法采取人体生物信息识别技术辅助身份识别的，如何进行有效的“核对”？

实践中，有些机构为了确保客户身份的真实，要求客户提交经办人或者法定代表人或者业务经办人的“持证照片”，或者向客户提供的银行账户打款以验证真伪，但在买卖营业执照现象盛行的环境下，诸如“持证照片”、银行账户打款回执之类的信息仍然是可以付费“买来”的。

杜绝客户身份虚假的有效方式有以下两种：第一是采用“视频核对”作为身份识别的补充措施。应要求客户提交法定代表人的视频。视频中，法定代表人持本人身份证件，视频应具有显著的可识别性，能清晰辨认，视频应配同期音频，法定代表人应按照规定的内容进行陈述。法定代表人陈述中，应出现客户的名称、法定代表人姓名、所任职务、以及金融机构的名称、所申请的业务等内容。“视频核对”同时可以与“银发〔2019〕85号”文所要求的核实法定代表人开户意愿的要求相结合。

第二个可行的方式是使用“私密信息核对”加“附加测试”。所谓“私密信息核对”，就是依据金融机构所掌握的被识别对象的私密信息且只有被识别对象本人才能知晓的身份信息，或者是依据私密信息所扩展出的信息但冒用身份者的人短时间无从获知的信息，通过询问私密信息和从私密信息扩展而来的信息来核对被识别对象的身份。信息核对的方式是通过视频或者电话联系被识别对象，必须注意，使用这种方式，不能事前约定时间，以防冒用他人身份的人事前有准备。设计的问题最好具有间接性，即根据已知的私密信息可以推断，但冒用他人身份的人短时间很难有时间推算或者根本无从知晓，但身份真实的人则较为熟悉。能够根据私密信息推知的信息，较为广泛，所有的问题都应当保密，因此，本文不便于公开披露这些问题的类型。

金融机构所掌握的被识别对象的私密信息，属于金融机构合法采集的信息，根据这些信息，金融机构可以进行扩展。

在“附加测试”中，除前述所列举的问题之外，应首先询问对方公司的名称，以及被识别对象在公司所担任的职务。在“私密信息核对”和“附加测试”中，除了核对被识别对象的姓名，所设计的问题不宜以“是”或“不是”回答，而是要让被识别对象自己说出被询问的信息，比如，可以问“您公司的名称是什么”而不能是“您公司的名称是某某公司吗”之类。

在“私密信息核对”和“附加测试”中，被识别对象如果无法回答、回答明显错误且发生的错误明显不符合逻辑或者回答不连贯的，应进一步核实客户的身份信息，或者改为面对面识别或者直接认定冒用他人身份。

“视频核对”和“私密信息核对”组合运用的正确率显然更高一些。在此需要强调，所有的身份识别控制措施都不能确保万无一失，在“视频核对”和“私密信息核对”中仍然需要审核人员运用主观判断，而主观判断不一定符合客观事实，因此这两种识别方式仍然有一定的局限性。但只要审核人员勤勉尽责，这种方式将过滤掉相当一部分伪造身份的客户。