2. KYC基础回顾
在进入持续KYC与客户信息周期复核的实战之前，有必要把KYC体系中最基础、也最容易被“想当然”的几个概念重新校准一遍。很多机构在复核阶段出现漏项、误判或反复补件，根源并不在于流程不熟，而在于对客户身份识别、受益所有人、风险分类这三块基石的理解存在偏差。本章不追求面面俱到，而是聚焦那些在周期复核中真正会被反复调用的术语与判断逻辑。
一、核心原理：KYC不是一次性动作，而是一组持续义务
KYC（Know Your Customer，了解你的客户）在监管语境下通常包含三层义务：客户身份识别（Identification）、身份验证（Verification）以及持续尽职调查（Ongoing Due Diligence）。三者不是并列关系，而是递进关系：识别解决“你是谁”，验证解决“你提供的身份是否真实”，持续尽职调查解决“你的身份和风险是否随时间发生了变化”。
周期复核正是第三层义务的落地机制。它要求机构在客户关系存续期间，按既定周期或触发条件重新采集、核对、更新客户信息，并重新评估风险等级。理解这一点，就能明白为什么复核不是“把开户资料再抄一遍”，而是一次带有风险判断的再评估。
关键区分：客户身份识别（Identification）关注信息采集的完整性；身份验证（Verification）关注信息真实性与一致性；持续尽职调查（Ongoing DD）关注信息时效性与风险变化。周期复核同时覆盖三者，但重点在第三项。
二、方法流程：从身份识别到风险分类的完整链路
一个标准的KYC链路可以拆解为以下步骤，周期复核时同样按此顺序反向校验：
- 采集客户身份信息：自然人包括姓名、证件类型与号码、国籍、住址、联系方式；法人包括名称、注册号、注册地址、经营范围、法定代表人等。
- 验证身份信息：通过权威数据库、证件核验、人脸识别、实地查访等方式确认信息真实有效。
- 识别受益所有人：穿透股权与控制关系，找到最终拥有或控制客户的自然人。
- 判定风险等级：基于客户类型、地域、业务、渠道等维度，划分为低、中、高风险。
- 确定复核周期与措施：高风险客户缩短复核周期、加强审查；低风险客户可适用简化措施。
在周期复核中，第3步和第4步是最容易出问题的环节。受益所有人可能因股权变更而改变，风险等级也可能因客户业务转型、地域制裁变化而需要上调。复核人员必须带着“是否发生变化”的问题去核对，而不是机械地确认“资料还在”。
三、受益所有人：穿透逻辑与常见判定标准
受益所有人（Beneficial Owner，BO）是指最终拥有或控制客户，以及享有最终收益的自然人。它不是“法定代表人”，也不是“大股东”的同义词，而是穿透到自然人的最终控制点。
常见的判定标准包括：
- 股权控制：直接或间接持有客户25%以上股权或表决权的自然人。
- 实际控制：通过协议、人事、财务等方式对客户实施控制的自然人。
- 最终收益：享有客户最终经济利益的自然人。
- 兜底规则：当以上均无法识别时，将高级管理人员视为受益所有人并记录原因。
实务提示：复核时若发现客户股权结构发生变更，不能只看最新营业执照，必须重新穿透至自然人，并留存穿透路径的计算过程。很多机构在检查中被扣分，正是因为只更新了股东名称，却没有重新计算间接持股比例。
四、风险分类：维度、等级与复核周期的对应关系
风险分类是KYC的“调度中心”，它决定了后续资源投入的强度。风险分类通常基于以下维度：客户类型（个人/法人/金融机构）、地域（是否涉及高风险国家或地区）、业务关系（现金密集、跨境、虚拟资产等）、渠道（面对面/非面对面）、以及历史交易行为。
下表列出了典型风险等级与复核要求的对应关系，可作为周期复核排期的参考基线：
| 风险等级 | 典型特征 | 复核周期 | 强化措施 |
|---|---|---|---|
| 低风险 | 本地、面对面、业务简单、无制裁关联 | 36个月或更长 | 简化尽职调查，可依赖已有信息 |
| 中风险 | 非面对面开户、一般跨境业务 | 12～24个月 | 标准尽职调查，更新关键字段 |
| 高风险 | 政治公众人物、高风险地域、复杂股权 | 6～12个月 | 强化尽职调查，需高级管理层审批 |
需要强调的是，风险等级不是静态标签。客户被列入制裁名单、实际控制人变更、业务模式转向高风险行业，都会触发即时重评，而不必等到下一个周期节点。
五、案例与复盘：一次典型的复核误判
某机构在对一家贸易公司进行周期复核时，客户经理仅核对了营业执照和法定代表人身份证，确认“资料齐全”后即维持原风险等级。三个月后，合规检查发现该公司股权已发生变更，新股东为一家离岸公司，穿透后涉及受制裁地区自然人。机构因未重新识别受益所有人、未上调风险等级而被处罚。
复盘要点：
- 复核不是“资料是否还在”，而是“信息是否仍然准确、完整、最新”。
- 受益所有人变更必须触发重新穿透，不能仅凭客户口头说明。
- 风险分类应结合股权变化、地域变化动态调整，而非机械沿用历史等级。
常见误区：把“客户未主动告知变更”当作免责理由。持续KYC义务在机构一方，机构应通过公开渠道、定期问询、交易监测等方式主动发现变化。依赖客户主动申报，本身就是控制缺陷。
六、术语速查清单
为便于后续章节快速调用，以下清单汇总本章核心术语及其在周期复核中的关注点：
- 客户身份识别：采集身份信息，复核时关注证件有效期、住址、联系方式是否更新。
- 身份验证：确认信息真实性，复核时关注验证记录是否过期、是否需要重新验证。
- 受益所有人：穿透至最终自然人，复核时关注股权与控制关系是否变化。
- 风险分类：确定风险等级，复核时关注触发因素是否导致等级上调或下调。
- 持续尽职调查：存续期内的动态管理，复核是其核心执行手段。
- 简化/强化尽职调查：与风险等级匹配的措施强度，复核时需确认措施是否仍适当。
把这些基础概念校准清楚，后续的周期复核排期、触发条件设计、信息更新字段映射才有稳固的落脚点。基础不牢，复核就会退化为形式化的“打勾游戏”，而这正是监管检查中最容易被识破的薄弱环节。