4. 客户信息周期复核概述
持续KYC不是一次性的开户动作，而是一套贯穿客户全生命周期的动态管理机制。客户信息周期复核（Periodic Review）正是这套机制的核心执行环节：机构按照既定周期或特定触发条件，重新核实客户身份、业务关系、风险等级与受益所有人信息，确保留存的客户档案始终真实、准确、完整。本节从触发条件、复核频率、责任分工与制度要求四个维度，建立周期复核的整体框架。
一、核心原理：为什么必须做周期复核
客户信息会随时间自然衰减。地址变更、股权结构调整、实际控制人更换、经营范围变化、风险等级迁移，都会让开户时采集的信息逐步失真。如果机构只依赖开户时的一次性尽调，就会在后续交易监控、可疑交易研判、监管报送中持续使用过期数据，形成合规风险敞口。
周期复核的本质是风险为本的动态校准。它包含三层逻辑：第一层是信息保鲜，通过定期回访更新客户身份与业务信息；第二层是风险重估，根据客户最新交易行为、地域、行业、产品使用情况重新评定风险等级；第三层是关系决策，对无法核实、拒绝配合或风险显著上升的客户，采取限制交易、加强尽调甚至退出关系等措施。
二、触发条件：什么时候必须启动复核
复核触发分为时间驱动与事件驱动两类。时间驱动即按风险等级设定的固定周期到期；事件驱动则是在特定业务或风险信号出现时立即启动。
- 周期到期触发：高风险客户每6个月、中风险每12个月、低风险每24至36个月到期，系统自动生成复核任务。
- 风险等级上调触发：客户被列入制裁名单、负面新闻、PEP身份变化或交易监控命中高风险规则时，立即启动强化复核。
- 关键信息变更触发：客户名称、证件、地址、受益所有人、股权结构发生变更时，需重新核实并留存证明文件。
- 业务关系变更触发：客户申请新增产品、提高交易限额、变更账户用途或开通跨境业务时，应同步复核。
- 监管或内部指令触发：监管发布风险提示、机构开展专项排查、内部审计发现问题时，按指令范围启动复核。
- 长期不动户激活触发：休眠账户重新发生交易前，应完成身份与风险状态复核。
三、复核频率：风险等级与周期的对应关系
复核频率没有全球统一标准，但监管普遍要求“风险越高、复核越频”。机构应在制度中明确不同风险等级的默认周期，并允许在事件驱动下缩短周期。下表给出一个可落地的频率框架示例。
| 风险等级 | 默认复核周期 | 强化情形 | 可简化情形 |
|---|---|---|---|
| 高风险 | 6个月 | 制裁、PEP、高风险地域、复杂股权 | 无 |
| 中风险 | 12个月 | 交易异常、行业风险上升 | 无 |
| 低风险 | 24–36个月 | 触发事件时立即复核 | 可采用简化尽调 |
| 事件驱动 | 触发后5个工作日内启动 | 所有等级 | 无 |
频率设定还需考虑客户类型。个人客户与公司客户、本地客户与跨境客户、代理关系与直接关系，其信息衰减速度和风险敏感度不同。制度中应给出分类矩阵，避免“一刀切”。
四、责任分工：谁来做、谁来审、谁负责
周期复核是跨部门协作流程，必须明确业务一线、合规部门、运营支持、内部审计四类角色的职责边界。
- 业务一线（客户经理/关系经理）：负责发起客户联系、收集更新资料、录入系统，并对资料真实性做初步判断。
- 合规部门（KYC/AML团队）：负责制定复核标准、审核高风险客户、判定风险等级调整、决定是否退出关系。
- 运营支持（中后台）：负责系统任务生成、数据比对、名单筛查、档案归档与留痕。
- 内部审计：负责定期检查复核覆盖率、及时率、质量与整改情况，向管理层报告。
五、制度要求：把流程写进制度并留下证据
监管检查时，机构需要证明周期复核是制度化、可执行、可追溯的。制度文件至少应包含以下要素：
- 复核政策与目标，明确风险为本原则；
- 触发条件清单与频率矩阵；
- 各角色职责、审批权限与升级路径；
- 资料清单、核实方式与留存要求；
- 系统支持、任务提醒、逾期处理机制；
- 质量检查、内部审计与整改闭环；
- 记录保存期限，通常不少于业务关系结束后5年。
系统层面，复核任务应有明确的状态字段与日志。例如，任务表可包含以下关键参数：
review_task:
task_id: RV-2024-000871
customer_id: CUST-88301
risk_level: HIGH
trigger_type: PERIODIC_DUE
due_date: 2024-07-15
status: PENDING
assigned_to: RM_1027
reviewer: COMP_205
last_review_date: 2024-01-10
overdue_days: 0
逾期任务应自动升级。例如，到期前30天提醒客户经理，到期前7天提醒合规，逾期后冻结高风险客户的部分交易权限，直至复核完成。
六、案例与复盘：一次逾期复核带来的教训
某机构一名中风险公司客户在周期复核到期后未及时更新受益所有人信息。客户经理因业务繁忙连续两次推迟联系，系统仅发送了一次邮件提醒，未触发升级。三个月后，该客户因股权转让导致实际控制人变更为受制裁地区居民，交易监控命中高风险规则。合规部门回溯发现，若按期复核，本可在股权变更时即识别风险并采取限制措施。
复盘结论有三点：第一，提醒机制不能只靠邮件，应有系统弹窗、任务看板和逾期升级；第二，中风险客户也不能无限延期，制度应设定最长宽限期；第三，股权变更应作为独立触发条件，不能仅依赖周期到期。
七、本节要点清单
- 周期复核是持续KYC的核心执行环节，目标是信息保鲜、风险重估与关系决策。
- 触发条件包括时间驱动与事件驱动，事件驱动应优先于周期到期。
- 复核频率按风险等级设定，高风险6个月、中风险12个月、低风险24–36个月，并允许事件驱动缩短。
- 责任分工覆盖业务、合规、运营与审计，坚持职责分离与双人复核。
- 制度要求可执行、可追溯，系统任务需有状态、日志与逾期升级机制。
- 复盘表明：提醒、宽限、股权变更触发是三个最容易出问题的控制点。