2. KYC/CDD基础概念
在反洗钱与反恐融资体系中，KYC（Know Your Customer，了解你的客户）与CDD（Customer Due Diligence，客户尽职调查）是两项最基础、也最容易被混用的概念。很多从业者把二者当作同义词，但在监管逻辑与实操流程中，它们承担着不同职责：KYC更强调“识别与核实客户身份”的动作集合，CDD则是一套贯穿客户生命周期的风险管理机制，包含识别、核实、评估、监测与更新。理解二者的层级关系，是后续客户风险评级与特征工程能够落地的前提。
一、核心原理：KYC与CDD的关系及尽职调查层级
KYC是CDD的起点和组成部分。没有可靠的客户身份识别，后续的风险评级、交易监测、受益所有人穿透都无从谈起。CDD则把KYC的结果纳入更完整的风险判断框架，回答三个问题：客户是谁、客户在做什么、客户的风险有多高。因此，CDD不是一次性开户动作，而是持续动态过程。
从层级上看，客户尽职调查通常分为三层：
- 基础CDD（Standard CDD）：适用于绝大多数普通客户，完成身份识别、核实、了解业务目的与预期交易。
- 简化尽职调查（SDD）：适用于低风险客户，可适度简化核实手段，但不得免除核心识别义务。
- 强化尽职调查（EDD）：适用于高风险客户，需追加资金来源、财富来源、受益所有人穿透、高级管理层审批与更频繁的复核。
关键原则：SDD是“降低强度”，不是“免除义务”；EDD是“提高强度”，不是“拒绝客户”。两者都必须建立在风险为本（Risk-Based Approach）的判断之上。
二、方法流程：从身份识别到受益所有人穿透
一个完整的CDD流程通常包含以下步骤：
- 身份识别：采集客户姓名、证件号码、注册地址、联系方式等基础信息。
- 身份核实：通过权威数据库、证件核验、人脸识别或第三方数据源验证信息真实性。
- 受益所有人识别：对法人或法律安排，穿透股权与控制关系，识别最终自然人。
- 业务目的与预期交易：了解开户动机、资金来源、交易规模与频率。
- 风险评级：结合客户属性、地域、产品、渠道等维度打分。
- 持续监测与更新：触发事件（如大额交易、股权变更、负面新闻）时重新评估。
其中，受益所有人识别是实操中最容易出问题的环节。常见判定标准包括：直接或间接持股超过25%、通过其他方式实施最终控制、或担任高级管理职务。对于多层股权架构、离岸公司、信托等复杂结构，需要逐层穿透并记录控制链。
受益所有人识别示例（股权穿透）：
客户A公司 → 持股60% → B公司（开曼）
B公司 → 持股70% → C公司（BVI）
C公司 → 持股100% → D自然人（最终受益所有人）
结论：D为A公司的受益所有人，需采集D的身份证件、地址与资金来源。三、案例/场景：SDD与EDD的适用边界
以下表格列出典型场景与对应尽职调查层级，便于在业务中快速判断：
| 场景 | 风险等级 | 适用层级 | 关键动作 |
|---|---|---|---|
| 本地工薪阶层开立储蓄账户 | 低 | SDD | 基础身份核实，可简化地址证明 |
| 普通中小企业开立对公账户 | 中 | 基础CDD | 核实营业执照、受益所有人、预期交易 |
| 政治公众人物（PEP）及其亲属 | 高 | EDD | 高级管理层审批、资金来源审查、持续监测 |
| 高风险离岸司法辖区注册公司 | 高 | EDD | 穿透股权、核实实际控制人、增加复核频率 |
| 现金密集型行业客户 | 中高 | EDD或加强CDD | 了解现金来源、设定交易阈值、定期回访 |
实务提示：SDD的适用必须留有书面依据。若监管检查时无法说明“为何判定为低风险”，简化措施可能被认定为尽职调查不到位。
四、误区与复盘：常见错误与纠正思路
在KYC/CDD落地过程中，以下误区反复出现：
- 误区一：把KYC等同于CDD。纠正：KYC是身份识别与核实，CDD是包含风险评级、监测与更新的完整体系。
- 误区二：受益所有人只填法定代表人。纠正：法定代表人不等于受益所有人，必须按股权与控制关系穿透。
- 误区三：低风险客户直接跳过核实。纠正：SDD可简化手段，但核心身份识别与记录保存义务不可省略。
- 误区四：EDD只做一次就永久有效。纠正：高风险客户需定期复核，触发事件时必须重新评估。
- 误区五：风险评级只依赖单一维度。纠正：应综合客户、地域、产品、渠道等多维度，避免“一刀切”。
复盘要点：监管处罚中，最常见的问题不是“没有制度”，而是“制度执行留痕不足”。每一次SDD或EDD的判断，都应有可追溯的理由、审批记录与更新时间戳。
理解KYC与CDD的层级关系、受益所有人识别方法以及SDD/EDD的适用边界，是构建客户风险评级模型和特征工程的基础。只有把尽职调查的“定性判断”转化为“可量化特征”，后续的风险评分、规则引擎与机器学习模型才能真正发挥作用。