作者：权威 李珣 李烨

2024年11月8日，中华人民共和国第十四届全国人民代表大会常务委员会第十二次会议审议通过新版《中华人民共和国反洗钱法》（以下简称“《反洗钱法（2024）》”）。这是《反洗钱法》自2007年出台后迎来的首次正式修订，修订后的《反洗钱法（2024）》自2025年1月1日起正式施行。《反洗钱法（2024）》共7章65条，其中，大多数修订内容，并不构成实质上的新增合规要求，而是将反洗钱监管领域已实施多年、散落在不同规章、行政法规中的监管规定正式纳入法律层面；少数修订则是引入制度创新，例如，引入“反洗钱特别预防措施”、“反洗钱法的境外适用要求”等。以下我们就《反洗钱法（2024）》中的重点规定进行全面介绍。

01 决策层看这里

1.“风险为本”原则贯穿全文

“风险为本”是国际反洗钱监管领域的通行准则，金融行动特别工作组（FATF）在2012年发布的《反洗钱、反恐怖融资和反扩散融资国际标准：FATF建议》中对“风险为本”的监管原则予以明确。

虽然《反洗钱法（2007）》中并未明确“风险为本”原则，但在《中国人民银行关于进一步加强金融机构反洗钱工作的通知（银发[2008]391号）》、《国务院办公厅关于完善反洗钱、反恐怖融资、反逃税监管体制机制的意见（国办函[2017]84号）》、《金融机构反洗钱和反恐怖融资监督管理办法（中国人民银行令[2021]第3号》、《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法（中国人民银行、中国银行保险监督管理委员会、中国证券监督管理委员会令[2022]第1号）》等多部监管规定中均对“风险为本”的监管原则有一定的体现。

《反洗钱法（2024）》通篇贯彻了“风险为本”原则，例如明确要求有关部门、金融机构开展洗钱风险评估，根据风险状况优化资源配置，根据经营规模和洗钱风险状况配备相应人员等。

在“风险为本”原则的指引下，《反洗钱法（2024）》明确设定了“反洗钱措施”应当与“反洗钱风险”相互适应的要求，即反洗钱的义务落实需要以保障正常金融服务和资金流转顺利进行，特别是对于客户依法享有的医疗、社会保障、公用事业服务等相关的基本的、必需的金融服务，不得因与风险程度不相匹配的反洗钱措施而受到影响。

“风险为本”原则的确立标志着我国反洗钱工作将从形式合规全面过渡至实质合规。

2.对上游犯罪范围进行扩展

《反洗钱法（2007）》规定洗钱活动的上游犯罪包括“”七类上游犯罪，尽管本次修订的一审稿中曾删除了七类上游犯罪的表述，但正式通过的《反洗钱法（2024）》恢复了七类上游犯罪的表述，同时增加兜底规定，即明确掩饰、隐瞒“其他犯罪”的犯罪所得及其收益的来源、性质也属于洗钱活动。该等方式的规定一方面揭示洗钱活动的主要类型和危害，突出反洗钱工作的重心和重点，另一方面进一步扩大了洗钱对应的上游犯罪范围，对开展反洗钱工作做出准确指引。

3.全面加大处罚力度，引入董监高和责任人“尽责免罚”原则

《反洗钱法（2024）》对处罚情形进行了细化，新增若干处罚情形，并全面加大了处罚力度。例如，针对内部管理机制相关的违法行为，视情节严重情况，由无罚款升级为罚款20万元以下或罚款20万-200万元；针对未按规定开展客户尽职调查、报告大额/可疑交易等行为，罚款金额上限提升至200万元；针对与身份不明客户交易等方面的违法行为，罚款金额上限提升至500万元；针对违反规定致使洗钱后果发生的情形，处罚金额按涉案金额分档，最高可至涉案金额二倍。

此外，针对负有责任的董事、监事、高级管理人员或者其他直接责任人员，《反洗钱法（2024）》也进一步加重了处罚力度，罚款金额上限提高至100万元。尽管如此，《反洗钱法（2024）》也引入了“尽责免罚”原则，即如果相关责任人员能够证明自己已勤勉尽责采取反洗钱措施的，可以不予处罚。相应地，对于金融机构/特定非金融机构而言，董监高履职留痕也将成为未来反洗钱工作的重点之一。

4.允许金融机构或金控公司集团内共享反洗钱信息，但必须严格以此为限

根据《反洗钱法（2024）》第三十七条的规定，在境内外设有分支机构或者控股其他金融机构的金融机构以及金融控股公司，应当在总部或者集团层面统筹安排反洗钱工作，且为履行反洗钱义务在公司内部、集团成员之间共享必要的反洗钱信息的，应当明确信息共享机制。本条同时强调共享反洗钱信息应当符合有关信息保护的法律规定，并确保相关信息不被用于反洗钱和反恐怖主义融资以外的用途。

本条为金融机构及金融控股公司集团成员之间共享反洗钱信息提供了法律基础，但应注意，《反洗钱法（2024）》在继续肯定了这一原则的基础之上，也再次加入了大量条款，反复强调了反洗钱工作中对于数据和个人信息的“反洗钱用途限定”、“保密”等原则，即反洗钱信息共享应仅限于为履行反洗钱、反恐怖主义融资义务之目的，不得用于其他用途。

实践中存在的基于反洗钱名义进行跨主体数据传输后进一步将个人信息用户精准营销或其他目的的商业实践应尤其注意并审慎评估风险。

5.允许我国有关机关要求境外金融机构配合反洗钱活动，明确限制向境外提供信息

近年来境外制裁措施以及适用长臂管辖的情形频发，《反洗钱法（2024）》第四十九条、第五十条为我国在反洗钱和反恐怖主义融资监管活动中要求境外金融机构予以配合提供了法律基础，同时也呼应《数据安全法》、《个人信息保护法》关于向境外司法或者执法机构提供数据、个人信息的规定，明确了境内金融机构不得擅自向外国国家、组织提供相关资料信息、作出资金扣划冻等行动。

6.针对高风险国家和地区黑名单推行反洗钱特别预防措施

《反洗钱法（2024）》的核心创新之一是引入了针对特定黑名单对象的反洗钱特别预防措施。

其中，黑名单包括：(1)国家反恐怖主义工作领导机构认定并由其办事机构公告的恐怖活动组织和人员名单；(2)外交部发布的执行联合国安理会决议通知中涉及定向金融制裁的组织和人员名单；以及(3)国务院反洗钱行政主管部门认定或者会同国家有关机关认定的，具有重大洗钱风险、不采取措施可能造成严重后果的组织和人员名单。反洗钱特别预防措施则包括立即停止向名单所列对象及其代理人、受其指使的组织和人员、其直接或者间接控制的组织提供金融等服务或者资金、资产，立即限制相关资金、资产转移等。

值得注意的是，该等采取反洗钱特别预防措施的义务主体并不限于金融机构/特定非金融机构，而是扩展至了“任何单位和个人”，对一般社会公众的反洗钱义务要求进行了大幅度提高。

7.明确特定非金融机构的反洗钱义务

FATF在其于2019年4月公布的《中国反洗钱和反恐怖融资互评估报告》中明确指出，我国应健全特定非金融机构反洗钱和反恐怖融资法律制度、加强对特定非金融机构风险评估、提高特定非金融机构合规和风险管理水平。虽然针对特定非金融机构已经出台了《中国人民银行办公厅关于加强特定非金融机构反洗钱监管工作的通知》（银办发〔2018〕120号）（以下简称“120号文”）等规定，但总体而言针对特定非金融机构的反洗钱监管缺乏体系性规范。

《反洗钱法（2024）》对特定非金融机构的主体范围、反洗钱义务以及主管部门的管理职责进行了明确，弥补了我国在该领域的监管缺失。

此前，120号文将“特定非金融机构”的范围定义在房地产开发企业、房地产中介机构、贵金属交易商、贵金属交易场所、会计师事务所、律师事务所、公证机构、公司服务提供商8类机构。《反洗钱法（2024）》在120号文的基础上，删除了“公司服务提供商”，增加“宝石现货交易商”，同时对“贵金属交易商”和“宝石现货交易商”增加了“从事规定金额以上”的限定条件，并采用列举加兜底的方式对特定非金融机构的范围进行了重新定义。值得注意的是，《反洗钱法（2024）》并不要求特定非金融机构在运营全周期履行相关反洗钱义务，仅要求其在从事规定的特定业务时，参照金融机构的相关规定履行反洗钱义务并根据行业特点、经营规模、洗钱风险状况履行反洗钱义务。

02 操作层看这里

1.新增受益所有人登记制度，并已出台专项规定

尽管中国人民银行自2017年起就陆续发布了《关于加强反洗钱客户身份识别有关工作的通知》（银发[2017]235号文）、《关于进一步做好受益所有人身份识别工作有关问题的通知》（银发[2018]164号文）、《中国人民银行关于进一步加强反洗钱和反恐怖融资工作的通知》（银办发[2018]130号文）等规定，明确要求金融机构开展受益所有人识别工作。然而，由于受益所有人的概念在不同细分行业领域并不一致，导致不同金融机构针对受益所有人的识别标准也有所差异。FATF在其于2019年4月公布的《中国反洗钱和反恐怖融资互评估报告》中指出中国存在受益所有权信息透明度不足等问题。

《反洗钱法（2024）》首次在法律层面明确了受益所有人的概念，即“最终拥有或者实际控制法人、非法人组织，或者享有法人、非法人组织最终收益的自然人”。根据《反洗钱法（2024）》的规定，针对受益所有人，将不再仅限于金融机构单方承担识别义务，而是由市场主体与金融机构共同承担责任。其中，市场主体应当保存并及时更新受益所有人信息，按照规定向登记机关如实提交并及时更新受益所有人信息，如果未按照规定履行相关义务，将面临责令限期改正、罚款的行政处罚；金融机构则应当识别并采取合理措施核实客户及其受益所有人身份。

中国人民银行已联合国家市场监督管理总局于2024年4月30日颁布了《受益所有人信息管理办法》（以下简称“《管理办法》”），对受益所有人信息备案和管理作出具体规定。《管理办法》与《反洗钱法（2024）》的规定思路保持一致，明确市场主体应主动备案受益所有人信息，金融机构可通过中国人民银行查询受益所有人信息，且如果金融机构发现备案主体受益所有人信息存在错误、不一致或者不完整的，还应当及时向中国人民银行反馈。

2.赋予反洗钱监测分析机构核查权力

《反洗钱法（2007）》规定国务院反洗钱行政主管部门设立反洗钱信息中心，主要负责大额交易和可疑交易报告的接收、分析工作，该反洗钱信息中心即指中国人民银行下设的反洗钱监测分析中心。《反洗钱法（2024）》进一步明确了反洗钱监测分析机构的法律地位及职责范围并赋予其一定核查权力，未来反洗钱监测分析机构除接收、分析、移送相关报告外，根据依法履行职责的需要，还可以要求履行反洗钱义务的机构提供与大额交易和可疑交易相关的补充信息。

3.细化内部控制建设要求

《反洗钱法（2024）》将“建立健全反洗钱内部控制制度”纳入了总则部分，并全面细化对反洗钱内控机制的建设要求。

具体而言，反洗钱义务主体的内控建设要求包括：(1)建立健全反洗钱内部控制制度并有效实施；(2)设立专门机构或者指定内设机构牵头负责反洗钱工作；(3)根据经营规模和洗钱风险状况配备相应的人员；(4)按照要求开展反洗钱培训和宣传；(5)定期评估洗钱风险状况并制定相应的风险管理制度和流程；(6)根据需要建立相关信息系统；(7)采取内部审计或者社会审计等方式，监督反洗钱内部控制制度的有效实施。

总体而言，相关要求并非全新内容，在《金融机构反洗钱和反恐怖融资监督管理办法》（中国人民银行令[2021]第3号）、《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法（中国人民银行、中国银行保险监督管理委员会、中国证券监督管理委员会令[2022]第1号）》等规定中已有相关要求，本次修订主要在法律层面对内控建设要求进行细化，未来内控建设情况将可能成为监管部门反洗钱检查关注的重点。

4.客户尽职调查取代客户身份识别，实质内涵无颠覆性调整

《反洗钱法（2024）》的一大变化即是改变了我国现行反洗钱体系项下关于“客户身份识别”的表述，取而代之的表述为“客户尽职调查”，也与暂缓实施的《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法（中国人民银行、中国银行保险监督管理委员会、中国证券监督管理委员会令[2022]第1号）》中的表述保持一致。尽管实质内涵不涉及颠覆性调整，但我们理解相较于客户身份识别，客户尽职调查的表述更加符合反洗钱监管要求的实质，也即对客户及其受益所有人的身份背景、业务关系、交易目的、风险状况等应当动态、持续关注，而非仅限于对身份信息进行静态识别。

5.继续明确依托第三方开展KYC的可行性

《反洗钱法（2024）》第三十二条延续《反洗钱法（2007）》的规定，继续明确金融机构可以依托第三方开展客户尽职调查工作，并将《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法（中国人民银行、中国银行保险监督管理委员会、中国证券监督管理委员会令[2022]第1号）》中规定的该等场景下对于第三方的风险状况及履行反洗钱义务能力的评估要求以及第三方对金融机构的配合义务上升至法律层面。

6.明确若干客户身份信息核实渠道

《反洗钱法（2024）》第三十三条对金融机构客户身份信息的核实渠道予以明确，包括反洗钱行政主管部门以及公安、市场监督管理、民政、税务、移民管理、电信管理等部门，且国务院反洗钱行政主管部门将协调推动相关部门为金融机构开展客户尽职调查提供必要的便利。

7.记录保存时间提升至十年

《反洗钱法（2024）》对现行反洗钱实践操作的一大显著变化在于将客户身份资料和交易记录的保存时间进行了提升，要求客户身份资料在业务关系结束后、客户交易信息在交易结束后，应当至少保存十年。《反洗钱法（2024）》正式落地后，相关机构应当注意及时调整记录保存安排。

8.金融机构需要建立反洗钱异议响应机制

《反洗钱法（2024）》第三十九条允许社会公众对金融机构采取的洗钱风险管理措施提出异议，并要求金融机构必须在十五日内进行处理并答复当事人；如涉及客户基本的、必需的金融服务，则应当及时处理并答复当事人，且允许社会公众进一步向中国人民银行投诉，甚至直接到法院起诉金融机构。对于金融机构而言，一方面应当建立相应的异议响应机制，积极解决客户异议；另一方面，金融机构可能会面临较大的客诉压力甚至承担诉讼压力，如何平衡反洗钱风险管理和相关压力将成为金融机构反洗钱工作的新挑战。