2. 监管框架与合规要求

EDD（Enhanced Due Diligence，增强尽职调查）不是机构自选的“加码动作”，而是由国际标准、行业监管与国内立法共同塑造的合规义务。理解监管框架的意义在于：它决定了EDD的触发条件、最低动作、记录要求与问责边界。若把EDD理解为“多填几张表”，就会在检查、处罚与声誉风险面前失去防线。本节从国际标准到国内法规，梳理对EDD的核心要求，并给出可落地的合规映射方法。

一、核心原理：三层监管结构如何约束EDD

全球反洗钱监管呈现“国际标准—行业指引—国内立法”的三层结构。FATF（金融行动特别工作组）建议提供原则性框架，巴塞尔协议从银行审慎监管角度提出客户尽职调查与风险管理要求，各国则通过国内法将标准转化为可处罚的强制义务。三层之间并非简单叠加，而是逐层细化：FATF定义“应当做什么”，巴塞尔强调“银行如何治理与风控”，国内法明确“谁来做、做到什么程度、违反后果是什么”。

对EDD而言，监管框架的核心约束可归纳为四点：第一，风险为本，EDD强度必须与客户风险等级匹配；第二，高层参与，高风险客户的开户或维持关系通常需要高级管理层批准；第三，来源与目的可验证，包括财富来源、资金来源、交易目的与业务合理性；第四，持续监控与留痕，EDD不是一次性动作，而是持续周期管理。

二、FATF建议与巴塞尔协议：EDD的国际标准底座

FATF建议中与EDD最直接相关的是建议10（客户尽职调查）、建议12（政治公众人物）、建议19（高风险国家）、建议20（可疑交易报告）与建议22（特定非金融行业）。其中建议10要求机构识别客户身份、受益所有人、业务关系目的，并对高风险情形实施强化措施；建议12明确对PEP及其家庭成员、密切关系人应采取强化尽调；建议19要求对来自高风险司法管辖区的客户与交易采取强化措施。

巴塞尔协议虽以资本与风险管理为核心，但其客户尽职调查原则强调：银行必须建立客户接受政策、风险分类、持续监控与退出机制。巴塞尔委员会的相关指引特别指出，对高风险客户应实施更严格的审查、更高频的复核与更高级别的审批。与FATF相比，巴塞尔更关注治理结构、董事会与高级管理层的责任，以及EDD在整体风险管理体系中的位置。

监管来源	对EDD的核心要求	落地动作示例
FATF建议10/12/19	风险为本、PEP强化、高风险国家强化	PEP审批、来源核查、高风险地区交易复核
巴塞尔协议相关指引	治理、风险分类、持续监控、退出机制	董事会政策、高级管理层审批、定期复核
美国BSA/AML	客户识别、受益所有人、可疑交易报告、强化尽调	CDD规则、BO信息收集、SAR提交、EDD程序
欧盟AMLD	高风险第三国、PEP、受益所有人、强化措施	EDD措施清单、高层批准、来源与目的核查
中国反洗钱法及相关办法	客户身份识别、风险等级、强化措施、记录保存	高风险客户强化审查、重新识别、交易监测

三、主要司法辖区法规对EDD的具体要求

美国BSA：《银行保密法》及其配套规则要求金融机构建立反洗钱程序，包括客户尽职调查（CDD）与强化尽调（EDD）。对高风险客户，尤其是外国政治公众人物、高风险司法管辖区客户、私人银行客户，需获取更多身份与来源信息，并进行高级别审批与持续监控。BSA还强调可疑交易报告（SAR）的及时提交与记录保存。

欧盟AMLD：欧盟反洗钱指令将EDD措施具体化为：获取额外身份信息、核查财富与资金来源、获取业务关系目的信息、获得高级管理层批准、加强持续监控。对高风险第三国、PEP、代理行关系等情形，AMLD要求强制实施EDD，并明确禁止在无法完成EDD时建立或维持业务关系。

中国反洗钱法及相关办法：中国反洗钱法要求金融机构建立客户身份识别制度、客户身份资料与交易记录保存制度、大额交易与可疑交易报告制度。对高风险客户，机构应采取强化措施，包括但不限于：获取更多身份与背景信息、核查资金来源与用途、提高交易监测频率、限制或拒绝交易、重新识别客户身份。中国人民银行的相关办法进一步细化了风险等级划分与强化尽调要求。

四、方法流程：把监管要求转化为EDD操作清单

将监管框架落地为EDD操作，建议采用“触发—核查—审批—监控—留痕”五步流程。每一步都对应监管要求，并形成可审计的证据链。

1. 触发识别：根据客户类型、地域、业务、交易特征判断是否触发EDD。常见触发包括PEP、高风险国家、复杂股权结构、异常交易模式。
2. 信息核查：收集并验证身份、受益所有人、财富来源、资金来源、业务目的与交易合理性。对无法验证的信息，应记录原因并升级处理。
3. 审批决策：高风险客户的开户或维持关系需高级管理层批准。审批记录应包含风险评级、EDD措施、剩余风险与审批意见。
4. 持续监控：设定复核周期与交易监测规则。高风险客户通常需要更高频复核与更敏感的交易阈值。
5. 留痕与报告：保存EDD过程、审批记录、监控结果与可疑交易报告。记录保存期限应符合当地法规要求。

EDD触发与处理示例（伪代码）：
if 客户为PEP or 客户来自高风险国家 or 股权结构复杂:
    启动EDD
    收集：身份、受益所有人、财富来源、资金来源、业务目的
    if 信息无法验证:
        升级至合规部门
        考虑拒绝或终止关系
    else:
        提交高级管理层审批
        设定复核周期 = 6个月
        提高交易监测频率
        记录EDD过程与审批意见

五、案例/场景：监管要求如何影响实际决策

某银行客户为一家注册在离岸金融中心的贸易公司，实际控制人为某高风险国家居民，且交易对手集中在受制裁地区。根据FATF建议19与欧盟AMLD，该客户触发高风险国家与复杂结构双重EDD。银行需获取受益所有人信息、核查财富来源与资金来源、了解贸易背景与交易目的，并提交高级管理层审批。若无法验证资金来源，银行应拒绝建立关系或终止现有关系，并考虑提交可疑交易报告。

另一个场景是PEP客户。根据FATF建议12，银行需识别PEP及其家庭成员与密切关系人，获取额外身份与来源信息，并由高级管理层批准。若该PEP来自高风险国家，还需叠加建议19的强化措施。此时EDD不是“可选加强”，而是强制义务。

六、误区/复盘：EDD合规的常见失败点

• 触发条件遗漏：未将PEP、高风险国家、复杂股权结构等纳入自动触发规则，导致应做未做。
• 来源核查形式化：仅获取客户声明，未通过独立渠道验证财富来源与资金来源。
• 审批层级不足：高风险客户由普通客户经理审批，未提交高级管理层。
• 监控频率不足：EDD完成后未设定更高频复核与交易监测，导致风险变化未及时识别。
• 记录不完整：EDD过程、审批意见、监控结果未留痕，无法应对监管检查。

复盘时，建议用“监管要求—制度—流程—执行—记录”五层对照法，逐项检查是否存在缺口。只有把国际标准与国内法规转化为可执行、可审计的动作，EDD才能真正发挥风险防控作用。