3. 法规体系
UBO穿透识别不是一项“自愿性最佳实践”，而是由多层级法规体系强制约束的合规义务。理解这套法规体系的结构，是设计穿透规则、判断申报口径、界定法律责任的前提。本节从国际标准、中国法规、申报要求、法律责任四个层面展开，并给出可落地的合规义务清单。
一、核心原理：三层法规体系如何约束UBO识别
全球反洗钱与UBO监管呈现“国际标准定框架、国内立法定规则、行业指引定操作”的三层结构。理解这一结构，才能明白为什么不同机构、不同场景下的UBO判定口径存在差异。
- 国际标准层：FATF（金融行动特别工作组）建议第24条（法人透明度和受益所有权）与第25条（法律安排透明度）构成全球基准，要求各国确保主管机关能及时获取法人真实受益所有人信息。FATF第四轮互评估将“UBO信息可得性”作为核心评级项，直接推动各国立法。
- 国内立法层：中国以《反洗钱法》为核心，《公司法》《市场主体登记管理条例》《受益所有人信息管理办法》为支撑，形成“登记+识别+报告”三位一体的义务链条。2024年11月1日施行的《受益所有人信息管理办法》首次在国家层面确立UBO备案制度。
- 行业操作层：中国人民银行发布的《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法》（2022年第1号令）、《反洗钱执法检查手册》等，将UBO识别细化为可检查的操作标准。
关键逻辑：国际标准不直接约束企业，但通过FATF互评估压力转化为国内立法；国内立法将UBO识别义务分配给金融机构和特定非金融机构；机构再通过合同与尽职调查将压力传导至客户。因此，UBO穿透的深度取决于你所处的义务主体位置。
二、中国法规体系：从登记到识别的义务链条
中国UBO监管的核心法规可归纳为“一法一条例一办法一令”，其义务分工如下表所示：
| 法规名称 | 施行时间 | 核心义务 | 义务主体 |
|---|---|---|---|
| 《反洗钱法》（2024修订） | 2025年1月1日 | 确立受益所有人识别制度，要求金融机构建立客户尽职调查制度 | 金融机构、特定非金融机构 |
| 《受益所有人信息管理办法》 | 2024年11月1日 | 市场主体备案受益所有人信息，金融机构查询核验 | 公司、合伙企业、外国公司分支机构 |
| 《市场主体登记管理条例》 | 2022年3月1日 | 登记注册时采集受益所有人相关信息 | 市场主体、登记机关 |
| 人民银行1号令 | 2022年3月1日 | 客户尽职调查中识别并核实受益所有人 | 金融机构 |
《受益所有人信息管理办法》明确了UBO的判定标准，采用“股权+控制+收益”三重路径：
- 股权路径：直接或间接持有25%以上股权、股份或表决权。
- 控制路径：虽未达到25%，但通过人事、财务、协议等方式实施实际控制。
- 收益路径：享有25%以上收益权，或对收益分配有实际控制力。
当以上路径均无法识别时，应将负责日常经营管理的人员视为受益所有人。这一“兜底规则”是实务中最易被忽视的合规要点。
三、国际法规对标：FATF、欧盟AMLD与美国的差异
跨境业务中，同一客户在不同法域下的UBO判定可能不同。以下为三大主要法域的对比：
- FATF标准：建议25%股权阈值，但允许各国根据风险自行调整；强调“风险为本”方法，高风险场景应降低阈值或加强核实。
- 欧盟AMLD5/6：统一25%阈值，要求成员国建立集中UBO登记册，并允许公众查询“合法利益”部分。2024年AMLR进一步要求对高风险第三国客户实施强化尽调。
- 美国CTA（公司透明度法案）：2024年1月1日生效，要求小型公司向FinCEN申报UBO，阈值同为25%，但豁免23类实体，且不要求金融机构查询FinCEN数据库，而是继续依赖客户尽调。
实务提示：跨境集团客户常出现“中国备案UBO”与“欧盟登记UBO”不一致的情况。原因可能是阈值差异、控制权认定不同或申报时点不同。穿透时应以“实质控制”为准，而非简单采信某一法域的登记结果。
四、合规义务与法律责任：从行政处罚到刑事追责
UBO识别不到位的法律后果，按主体不同分为三个层次：
| 责任主体 | 违规情形 | 法律后果 |
|---|---|---|
| 市场主体 | 未按规定备案UBO信息、备案信息不实 | 责令改正，处5万元以下罚款；情节严重的，处5万至20万元罚款 |
| 金融机构 | 未识别UBO、未核实、未保存记录 | 责令限期改正，处20万至50万元罚款；情节严重或逾期不改，处50万至500万元罚款，并可责令停业整顿或吊销许可证 |
| 直接负责人员 | 明知违规仍实施、参与或纵容 | 处1万至10万元罚款；构成犯罪的，依法追究刑事责任 |
《反洗钱法》2024修订后，处罚力度显著提升，且明确“双罚制”——既罚机构也罚个人。此外，若UBO识别缺失导致为洗钱、恐怖融资提供便利，可能触发《刑法》第191条洗钱罪或第312条掩饰、隐瞒犯罪所得罪。
高风险误区：许多机构认为“客户已提供UBO声明”即完成义务。监管检查中，仅收集声明而不做独立核实（如比对股权结构、查询登记系统、验证控制关系）仍会被认定为“未履行尽职调查义务”。声明是起点，核实才是关键。
五、场景复盘：一个跨境贸易客户的UBO穿透失败案例
某银行在为一家香港贸易公司开立NRA账户时，客户提交的UBO声明显示：股东为BVI公司A（持股60%）和另一自然人B（持股40%）。银行仅采集了A的注册证书，未继续穿透A背后的股东。后续该账户因涉及跨境赌博资金被调查，监管认定银行“未识别实际控制人”。
复盘发现三个问题：
- 未穿透多层架构：BVI公司A的股东为另一家开曼公司，最终控制人为一名被制裁人员。银行未使用股权穿透工具或要求提供上层架构图。
- 未验证控制路径：自然人B虽持股40%，但公司章程约定其无表决权，实际控制人为A的委派董事。银行未审查章程。
- 未留存核实记录：系统内仅有客户声明扫描件，无查询登记系统截图、无股权结构分析底稿。
该案例的整改方案包括：建立“股权穿透至最终自然人”的强制规则、引入UBO关系图谱工具、将核实记录纳入档案保存范围。这也正是后续章节中穿透算法与图谱构建要解决的核心问题。
合规义务清单（可落地）：
- 建立UBO识别制度，明确25%阈值与兜底规则。
- 对客户提交的UBO声明进行独立核实，留存核实证据。
- 对多层股权架构穿透至最终自然人，记录每一层持股比例。
- 识别控制路径与收益路径，不唯股权比例论。
- 按监管要求保存UBO信息及核实记录，保存期限不少于5年。
- 对高风险客户实施强化尽调，必要时降低UBO识别阈值。
- 定期更新UBO信息，触发事件（股权变更、控制权转移）后及时重新识别。