2. AML基础与监管要求
在构建人工复核体系之前，必须先回答一个根本问题：我们究竟在防什么、依据什么防、防到什么程度算合规。人工复核不是凭经验“看谁可疑”，而是把监管要求翻译成可执行的判断规则。本节从洗钱的行为机理出发，逐层梳理国际规则与各国差异，最终落到人工复核岗位必须守住的合规底线。
一、核心原理：洗钱三阶段与人工复核的介入点
洗钱（Money Laundering）在金融行动特别工作组（FATF）的框架下被拆解为三个典型阶段，这一划分是理解所有可疑交易识别逻辑的基础。
- 处置（Placement）：将犯罪所得现金或其他资产注入金融体系。典型形态包括拆分存款（structuring）、现金密集行业虚增营收、购买高价值易变现商品。此阶段资金刚进入体系，特征最“脏”，是拦截效率最高的环节。
- 离析（Layering）：通过多层转账、跨境划转、壳公司交易、证券与保险产品买卖等手段切断资金与来源的关联。此阶段交易笔数多、路径复杂，是人工复核工作量最集中的区域。
- 融合（Integration）：资金以看似合法的形式回流，如房地产投资、企业股权、奢侈品消费。此阶段单笔金额大、表面合规性强，识别难度最高。
三阶段并非严格线性，现代洗钱常出现阶段跳跃与循环。对人工复核而言，关键结论是：系统告警往往出现在离析阶段，但真正的风险定性需要回溯处置阶段的资金来源，并预判融合阶段的去向。只盯单笔交易，必然误判。
二、国际规则体系：FATF建议与巴塞尔协议的分工
全球反洗钱规则由两条主线构成，二者定位不同，不能混为一谈。
FATF四十项建议是政策与执法层面的国际标准，核心包括：风险评估与风险为本方法（RBA）、客户尽职调查（CDD）与强化尽职调查（EDD）、政治公众人物（PEP）管理、受益所有人（UBO）识别、可疑交易报告（STR）、记录保存，以及对不配合国家的反制措施。FATF本身不具强制力，但通过互评估（Mutual Evaluation）和“灰名单/黑名单”机制形成强约束，各国立法基本以其为蓝本。
巴塞尔协议则从银行审慎监管角度切入，其反洗钱相关内容集中在客户身份识别（KYC）、账户开立与持续监控、代理行风险管理等方面。它关注的是：洗钱风险如何转化为银行的声誉风险、操作风险与法律风险，并最终影响资本与流动性安全。简言之，FATF回答“应该做什么”，巴塞尔回答“不做会怎样危及机构稳健”。
| 维度 | FATF建议 | 巴塞尔协议 |
|---|---|---|
| 性质 | 国际政策标准，靠互评估约束 | 审慎监管框架，靠监管资本约束 |
| 核心工具 | RBA、CDD/EDD、STR、UBO | KYC、代理行管理、持续监控 |
| 对人工复核的意义 | 决定复核规则与上报标准 | 决定复核记录与风险留痕要求 |
| 典型落地 | 可疑交易报告、名单筛查 | 客户风险评级、账户限制 |
三、方法流程：从监管条文到复核动作
把上述规则转化为人工复核可执行的流程，通常遵循以下步骤：
- 规则映射：将FATF建议与本地监管细则逐条映射为系统规则，例如“PEP客户必须EDD”映射为“命中PEP名单即触发人工复核”。
- 风险分级：按客户、产品、地域、渠道四维度打分，高风险客户进入强化复核队列。
- 告警分派：系统按规则生成告警，人工复核员领取并核对客户背景、交易历史与UBO信息。
- 定性判断：区分“可解释”与“不可解释”，对不可解释项撰写STR或内部升级。
- 留痕归档：完整记录判断依据、时间戳与复核人，满足监管检查与审计要求。
复核记录最小字段示例：
alert_id: AL-2024-08731
customer_id: C-88213
rule_hit: LAYERING_MULTI_JURISDICTION
risk_level: HIGH
reviewer: zhang.wei
review_time: 2024-06-11T14:22:07+08:00
decision: ESCALATE_TO_STR
rationale: 客户在7日内向3个高风险司法辖区转账，UBO为PEP关联人，无法提供贸易背景单据
四、各国监管差异与合规底线
不同司法辖区的差异直接影响人工复核的判断尺度。美国以《银行保密法》（BSA）和FinCEN规则为核心，强调STR上报与旅行规则（Travel Rule）；欧盟反洗钱指令（AMLD系列）对UBO登记和现金交易限额要求严格；新加坡、香港侧重风险为本与跨境信息共享；部分离岸辖区则要求相对宽松。人工复核员必须清楚：同一笔交易在不同辖区可能得出不同结论，合规判断以业务发生地和客户所在地的较严标准为准。
合规底线可以归纳为三条不可退让的原则：第一，客户身份与受益所有人必须可识别、可验证，匿名或虚假身份一律拒绝；第二，可疑交易必须上报，不得以“维护客户关系”为由压下；第三，所有判断必须留痕，无记录等于未做。守住这三条，人工复核体系才具备监管意义上的有效性。