4. 监管要求解读

风险评级模型与动态KYC不是产品经理的“自由发挥”，而是被一套跨国、跨行业的监管框架层层约束的合规工程。理解这套框架，才能知道哪些参数必须调、哪些阈值不能碰、哪些记录必须留。本节从FATF建议、巴塞尔协议、国内反洗钱法规三条主线出发，梳理它们对风险评级与动态KYC的具体要求。

一、核心原理：三层监管如何“叠加”到同一个模型上

三条监管主线的定位并不相同，它们以“原则—框架—细则”的方式叠加：

• FATF建议：全球反洗钱与反恐融资的“底线标准”，其中建议1（风险为本方法）、建议10（客户尽职调查）、建议12（政治公众人物）、建议15（新技术）直接决定风险评级与动态KYC的顶层逻辑。
• 巴塞尔协议：从银行审慎监管角度，要求将洗钱/恐怖融资风险纳入全面风险管理，强调客户风险分类、持续监控与内部控制的资本与治理约束。
• 国内反洗钱法规：以《反洗钱法》《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法》等为核心，把上述原则转化为可执行、可检查、可处罚的具体条款。

二、FATF建议：风险为本与动态KYC的源头要求

FATF建议1明确：各国和金融机构应采取风险为本方法（RBA），在资源有限的前提下，把尽调强度配置到高风险客户和高风险业务上。这直接推导出风险评级模型的两个基本设计原则：

1. 风险分级必须可操作：不能只给出“高/中/低”标签，还要对应不同的尽调措施、审批层级和监控频率。
2. 动态调整是义务而非选项：客户风险状况变化时，评级和KYC措施必须同步更新。

建议10进一步要求：金融机构应在建立业务关系时、交易异常时、客户信息变更时以及定期复核时执行客户尽职调查。这意味着动态KYC至少包含四类触发场景：开户触发、事件触发、周期触发、规则触发。

建议12对政治公众人物（PEP）提出强化尽调要求，建议15则要求对新技术（如虚拟资产、数字身份）进行风险评估。这两条建议在模型中通常体现为“风险因子加权”和“渠道风险系数”。

三、巴塞尔协议：把反洗钱风险纳入全面风险管理

巴塞尔协议本身不直接规定KYC操作细节，但它从银行治理和风险管理的角度提出了三条硬约束：

• 董事会与高管责任：反洗钱风险必须纳入董事会层面的风险偏好声明，风险评级模型的有效性由高管层负责。
• 三道防线：业务部门、合规部门、内审部门各自承担风险评级与动态KYC的执行、监督和验证职责。
• 持续监控与报告：客户风险评级结果应作为持续监控和可疑交易报告的重要输入。

在实操中，巴塞尔协议的影响主要体现在模型治理上：模型需有文档、有验证、有版本管理、有定期回测。这与国内监管对“模型可解释性”的要求高度一致。

四、国内反洗钱法规：从原则到可检查条款

国内法规把FATF和巴塞尔的原则转化为具体义务，核心要求可归纳为下表：

监管要求	对风险评级模型的影响	对动态KYC的影响
客户身份识别与受益所有人识别	受益所有人复杂度作为风险因子	受益所有人变更触发重新评级
风险等级划分与调整	必须划分高、中、低风险，并明确标准	风险等级变化时同步调整尽调措施
持续尽职调查	评级结果决定复核频率	高风险客户至少每年复核一次
可疑交易报告	评级结果作为报告判断输入	触发规则后自动提升监控等级
记录保存	评级依据、模型版本需留痕	每次动态调整需记录时间、原因、操作人

五、方法流程：把监管要求翻译成模型参数

将上述监管要求落地为风险评级与动态KYC流程，通常按以下步骤执行：

1. 识别监管硬约束：列出必须纳入评级的因子（如PEP、受益所有人、渠道、地域、业务类型）。
2. 设定风险因子与权重：每个因子对应监管条款，权重需有依据并文档化。
3. 定义风险等级与措施矩阵：高/中/低对应不同的尽调强度、审批层级和复核周期。
4. 配置动态触发规则：事件触发、周期触发、规则触发三类规则分别配置。
5. 留痕与回测：每次评级和调整记录版本、时间、操作人、依据。

以下是一个简化的动态KYC触发配置示例，展示监管要求如何转化为可执行参数：

{
  "risk_level": "high",
  "review_cycle_days": 365,
  "triggers": [
    {"type": "event", "name": "beneficial_owner_change", "action": "re_rate"},
    {"type": "event", "name": "pep_status_change", "action": "re_rate_and_edd"},
    {"type": "periodic", "name": "annual_review", "action": "refresh_docs"},
    {"type": "rule", "name": "transaction_anomaly", "action": "escalate_monitoring"}
  ],
  "audit": {
    "log_fields": ["timestamp", "operator", "reason", "model_version"]
  }
}

六、案例/场景：一次监管检查中的评级复盘

某银行在监管检查中被指出：高风险客户A在受益所有人变更后，风险评级仍维持“中风险”，且未重新执行强化尽调。检查结论是“动态KYC机制失效”。

复盘发现三个问题：

• 受益所有人变更未接入事件触发规则，仅依赖年度复核。
• 评级模型未将“受益所有人复杂度”作为独立因子。
• 变更记录未留痕，无法证明银行“知悉并处理”。

整改方案：将受益所有人变更纳入事件触发，增加因子权重，并在系统中强制记录调整原因和操作人。整改后，同类事件可在T+1内完成重新评级。

七、误区与复盘：监管解读中的三个典型偏差

1. 只抄条款，不建映射：把法规原文贴进制度，却没有把每条要求映射到模型因子和触发规则，导致制度与系统“两张皮”。
2. 重模型轻留痕：追求复杂算法，却无法解释某个客户为何被评为高风险，检查时无法自证合规。
3. 静态评级当动态用：开户时评一次，之后不再调整，违背FATF建议1和国内持续尽职调查要求。

正确的做法是：以监管条款为输入，以风险因子和触发规则为输出，以留痕和回测为保障，形成“条款—因子—规则—记录”的闭环。这样，风险评级模型与动态KYC才既是合规工具，也是真正有效的风险管理工具。