2. KYC基础概念

KYC（Know Your Customer，了解你的客户）不是一张表格，而是一套持续运行的判断机制。它的目标不是“把资料收齐”，而是让机构能够回答三个问题：这个人是谁、他为什么值得信任、他的钱和权力最终归谁。在审计与筛查追溯场景中，所有证据链的起点都来自本节的基础概念。如果概念边界模糊，后续的筛查命中、风险评级和尽调强度都会失去依据。

一、核心原理：五个概念构成一条判断链

KYC的五个基础概念并非并列关系，而是层层递进的判断链：

• 客户身份识别（Customer Identification）：确认“客户是谁”。采集姓名、证件号码、出生日期、地址等身份要素，并通过可靠来源核验。监管要求通常强调“官方或独立来源核验”，不能仅凭客户自述。
• 尽职调查（Due Diligence）：确认“客户是否可信”。在身份识别基础上，了解客户的职业、资金来源、业务关系目的、预期交易规模等，形成对客户整体画像的判断。
• 风险等级（Risk Rating）：确认“需要投入多少关注”。根据客户地域、行业、产品、渠道、交易行为等维度，将客户划分为低、中、高风险，并决定后续尽调强度与复核频率。
• 受益所有人（Beneficial Owner）：确认“最终谁拥有和控制”。针对法人或法律安排，穿透股权与控制关系，识别最终拥有或实际控制的自然人，通常以持股比例或控制权作为判定标准。
• 简化与强化尽调（SDD / EDD）：确认“用多大力度做尽调”。低风险可适用简化尽调，高风险必须适用强化尽调，但简化不等于免除，强化也不等于无限加码。

二、方法流程：从开户到持续监控的闭环

在实际操作中，KYC不是一次性动作，而是一个闭环流程。以下流程适用于大多数受监管机构：

1. 身份识别与核验：采集身份要素，通过官方数据库、证件核验服务或独立来源进行比对，记录核验时间、来源和结果。
2. 尽职调查信息采集：了解业务关系目的、资金来源、职业或经营背景、预期交易类型与金额。
3. 受益所有人穿透：对法人客户，逐层追溯股权与控制关系，识别最终自然人，并记录穿透路径与判定依据。
4. 风险等级评定：依据地域、行业、产品、渠道、交易行为等维度打分，确定低、中、高风险等级。
5. 尽调强度匹配：低风险适用简化尽调，中风险适用标准尽调，高风险适用强化尽调。
6. 持续监控与复核：根据风险等级设定复核周期，触发事件（如大额交易、制裁命中、股权变更）时重新评估。

在审计追溯中，上述每一步都必须留下可验证的证据。例如，身份核验需要保留核验日志，受益所有人穿透需要保留股权结构图和判定说明，风险评级需要保留评分依据和审批记录。

KYC证据链最小留存清单：
1. 身份核验记录：证件类型、号码、核验来源、核验时间、核验结果
2. 尽调信息记录：业务目的、资金来源、职业/经营背景、预期交易
3. 受益所有人记录：穿透路径、持股比例、控制权依据、最终自然人
4. 风险评级记录：评分维度、分值、等级、审批人、审批时间
5. 尽调强度记录：SDD/标准/EDD判定依据、复核周期、触发事件
6. 持续监控记录：交易监测、名单筛查、复核结论、变更历史

三、案例/场景：一次受益所有人穿透的审计追溯

某客户为一家注册在境外的贸易公司，申请开立账户。表面上看，公司股东为另一家离岸公司，董事为一名职业代理人。若仅做身份识别，机构只能确认“公司存在”，无法回答“谁真正控制它”。

在尽职调查中，合规人员逐层穿透：第一层股东为离岸公司A，第二层股东为离岸公司B，第三层股东为两名自然人，其中一人持股60%，另一人持股40%。同时发现，公司董事虽为职业代理人，但实际签署指令的是持股60%的自然人。最终判定该自然人为受益所有人，并将其列为高风险客户，适用强化尽调。

审计追溯时，检查人员需要验证：穿透路径是否完整、持股比例是否准确、控制权判定是否有依据、风险评级是否与受益所有人身份匹配、强化尽调是否落实。如果缺少穿透路径记录，即使结论正确，也无法通过审计。

四、误区/复盘：五个常见错误