进一步与国际接轨 — 人行发布金融机构反洗钱新规

继中国人民银行(“人行”)于2020年12月30日发布《金融机构反洗钱和反恐怖融资监督管理办法(征求意见稿)》(“《征求意见稿》”)后，2021年4月16日，人行正式发布了《金融机构反洗钱和反恐怖融资监督管理办法》(“《2021年反洗钱办法》”)。《2021年反洗钱办法》将于2021年8月1日正式生效并取代人行于2014年发布的《金融机构反洗钱监督管理办法(试行)》(“《2014年反洗钱办法》”)。为了提升我国反洗钱和反恐怖融资风险防范能力，满足反洗钱国际评估后续整改的需要，督促金融机构提高反洗钱工作水平，人行出台了《2021年反洗钱办法》，旨在进一步整合并完善中国反洗钱和反恐怖融资的监管制度，促进与国际实践相接轨。
本文将着重关注《2021年反洗钱办法》的核心要点及其对我国金融机构的监管影响，并将重点分析《2021年反洗钱办法》在《2014年反洗钱办法》等相关规定的基础上的新增要求。
一、扩大适用范围
相较于《2014年反洗钱办法》，《2021年反洗钱办法》进一步扩大了反洗钱义务主体的范围，包括网络小额贷款公司、消费金融公司、非银行支付机构等。值得注意的是，在人行《关于<金融机构反洗钱和反恐怖融资监督管理办法(征求意见稿)>公开征求意见的反馈》(“《人行反馈》”)中，人行进一步明确了《2021年反洗钱办法》对各类金融机构设立的子公司的适用问题：
商业银行理财子公司：适用于《2021年反洗钱办法》；
证券公司子公司：由于经中国证券监管部门许可的“证券公司”已包含证券行业各类子公司，因此《2021年反洗钱办法》对证券公司子公司适用；
期货公司子公司：因其主要业务性质不是全部具有金融属性，因此《2021年反洗钱办法》不适用于期货公司子公司；以及
基金管理公司子公司：目前，基金管理公司子公司的反洗钱要求由发起设立该子公司的基金管理公司进行覆盖。人行将进一步梳理研究是否要求基金管理公司的子公司单独纳入反洗钱义务主体并承担反洗钱义务。
值得注意的是，《2021年反洗钱办法》的适用范围不包括私募基金管理人。根据《人行反馈》，私募基金管理人未被纳入的原因是(i)目前私募基金管理人的法律性质界定仍需进一步明确；且(ii)从实践来看，我国私募基金管理人类型复杂、数量众多且工作人员普遍较少，难以统一监管要求并实质开展反洗钱工作。针对私募基金产品可能存在的洗钱风险问题，人行将会同相关主管部门进一步研究。
我们对《2014年反洗钱办法》和《2021年反洗钱办法》对不同类型机构的适用情况进行了总结，具体如下表：

二、强化反洗钱义务与责任
相较于《2014年反洗钱办法》，《2021年反洗钱办法》进一步明确和强化了对金融机构反洗钱内部控制与风险管理方面的要求。为此，《2021年反洗钱办法》对各类型机构现行的反洗钱规则进行了整合与统一，包括但不限于：(i)《银行业金融机构反洗钱和反恐怖融资管理办法》；(ii)《互联网金融从业机构反洗钱和反恐怖融资管理办法(试行)》；(iii)《支付机构反洗钱和反恐怖融资管理办法》；以及(iv)《关于加强特定非金融机构反洗钱监管工作的通知》(统称“行业反洗钱规则”)。基于我们目前的分析，《2021年反洗钱办法》还对《法人金融机构洗钱和恐怖融资风险管理指引(试行)》(“《反洗钱风险管理指引》”)和《法人金融机构洗钱和恐怖融资风险自评估指引》(“《自评估指引》”)中的部分现有要求进行了细化与完善。
（一）洗钱和恐怖融资风险自评估
《2021年反洗钱办法》要求金融机构对洗钱和恐怖融资风险进行自评估，并根据其经营规模和风险状况，建立健全内部控制制度，并制定相应的风险管理政策。
《2021年反洗钱办法》要求金融机构(a)在总部层面建立洗钱和恐怖融资风险自评估制度；(b)定期或不定期评估洗钱和恐怖融资风险；以及(c)经董事会或者高级管理层审定之日起10个工作日内，将自评估情况报送人行。
值得注意的是，《自评估指引》还规定了自评估的实施要求，明确了自评估的一般原则、关键要素和核心方法等。《自评估指引》直接适用于中国境内的法人金融机构和非银行支付机构，其它类型的机构(如银行卡清算机构、资金清算中心等)可参照《自评估指引》进行自评估。
（二）制定内部反洗钱管理制度
《2021年反洗钱办法》通过明确金融机构反洗钱组织机构、人力资源保障、反洗钱信息系统和技术保障等各类要求，整合统一了行业反洗钱规则的各项要求。
在《2014年反洗钱办法》和行业反洗钱规则的基础上，《2021年反洗钱办法》还特别规定了金融机构应当建立绩效考核和奖惩机制，并与董事会、监事会、高级管理层和其它相关职能部门的反洗钱和反恐怖融资职责相挂钩。我们理解，以上规定是对《反洗钱风险管理指引》相关要求的原则性规定。
（三）建立内部审计机制
在《2014年反洗钱办法》的基础上，《2021年反洗钱办法》进一步强化了金融机构反洗钱内部审计的要求。金融机构应当建立反洗钱和反恐怖融资内部审计机制，并通过内部审计和独立审计等方式，审查反洗钱和反恐怖融资内部控制的有效性。审计应当确保全面覆盖境内外分支机构和控股附属机构。此外，审计报告应当向董事会或者其授权的专门委员会提交。
尽管上述要求是在《2014年反洗钱办法》基础上新增的内容，但上述要求并非首次提出，类似的要求已包含在《反洗钱风险管理指引》中。根据《反洗钱风险管理指引》，法人金融机构必须进行内部审计，以检查和评价反洗钱管理系统的合规性和有效性。
（四）对境外分支机构和控股附属机构的监管
相较于《2014年反洗钱办法》，《2021年反洗钱办法》增加了对金融机构境外分支机构和控股附属机构的管理要求，以防范境外反洗钱监管风险。金融机构必须要求其境外分支机构和控股附属机构(a)在驻在国家(地区)法律允许的范围内，执行《2021年反洗钱办法》；(b)驻在国家(地区)有更严格要求的，将要求其遵守驻在国家(地区)的有关规定；以及(c)如果《2021年反洗钱办法》的要求比驻在国家(地区)的相关规定更为严格，但驻在国家(地区)法律禁止或者限制实施《2021年反洗钱办法》的，金融机构应当采取适当的补充措施应对洗钱和恐怖融资风险，并向人行报告。以上要求与《反洗钱风险管理指引》中要求基本一致。
此外，《2021年反洗钱办法》还要求境内金融机构总部向人行报送年度报告，说明其境外分支机构或控股附属机构接受驻在国家(地区)反洗钱和反恐怖融资监管情况。
三、反洗钱信息跨境传输
《2021年反洗钱办法》不仅填补了特定类型机构在反洗钱管理制度方面的空白，亦为金融监管机构进一步规则制定留出空间。例如，《2021年反洗钱办法》第五条要求，金融机构对依法履行反洗钱和反恐怖融资职责或者义务获得的客户身份资料和交易信息(统称“反洗钱信息”)应当予以保密，非依法律规定不得对外提供。本项义务与《中华人民共和国反洗钱法》第五条下的保密要求基本一致。
基于上述保密要求，《反洗钱风险管理指引》就反洗钱信息跨境传输提供了进一步细化要求，具体如下：
法人金融机构应当建立跨境信息保密保障措施，对于在开展跨境业务、应对跨境监管等过程中所涉的客户、账户和交易信息、可疑交易报告等信息，应当严格控制跨境信息知悉范围和程度，建立完善的内部跨境信息传递体系、风险控制流程和授权审批机制；
境外有关部门因反洗钱和反恐怖融资需要要求其提供客户、账户、交易信息及其他相关信息的，法人金融机构应当告知对方通过外交途径、司法协助途径或金融监管合作途径等提出请求，不得擅自提供；
有关国内司法冻结、司法查询、可疑交易报告、行政机构反洗钱调查等信息不得对外提供；以及
境外清算代理行因反洗钱和反恐怖融资需要要求提供除汇款信息、单位客户注册信息等以外的客户身份信息、交易背景信息的，法人金融机构应当在获得客户授权同意后提供；客户不同意或未获得客户授权同意的，法人金融机构不得提供。
值得注意的是，相对于数据本地化而言，在中国境内开展业务运营的跨国金融机构在实践中可能更倾向于将境内数据向境外关联机构进行跨境传输，以储存和处理“了解您的客户”信息(其可能被纳入反洗钱信息范畴)，因此上述规定可能会引起在中国境内开展业务运营的跨国金融集团的关注。
2020年2月13日，人行和全国金融标准化技术委员会发布了《个人金融信息保护技术规范(JR/T0171-2020)》(“《个人金融信息规范》”)。《个人金融信息规范》规定，金融业机构可向境外机构(含总公司、母公司或分公司、子公司及其它为完成该项业务所必需的关联机构)提供个人金融信息，但需要满足以下条件：
出于业务需要，确需向境外机构提供；
获得个人金融信息主体明示同意；
开展个人金融信息出境安全评估，以确保境外机构数据安全保护能力达到相关的安全要求；
金融机构通过与境外机构签订协议、现场核查等方式，确保境外机构有效履行其职责义务；以及
符合国家法律法规及行业主管部门的有关规定、办法与标准。
在《个人金融信息规范》中，“个人金融信息”的范围广泛涵盖金融业机构在提供金融产品和服务过程中获取、处理和保存的个人信息，包括账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、借贷信息和其它反映特定主体某些情况的信息。
《2021年反洗钱办法》中“反洗钱信息”的范围与《个人金融信息规范》中“个人金融信息”的范围存在一定程度的重合。然而，人行并未明确将反洗钱信息和个人金融信息进行划分，也未对《2021年反洗钱办法》与《个人金融信息规范》(及其它相关数据保护规则)之间如何衔接提供详细的指引，相关金融机构是否需要同时遵守两套规则，存在一定的不确定性，这可能给金融机构在反洗钱监管制度和个人金融信息保护制度下的数据合规带来一定挑战。从效力上看，《个人金融信息规范》属于推荐性行业标准，本质上属于对本行业企业在个人金融信息保护方面的建议。但在实践中，我们不排除《个人金融信息规范》会成为监管机构在监督检查或开展执法活动时的重要参考依据，因此，《个人金融信息规范》对有关企业仍然具有比较强的指导意义。我们建议金融机构应当审慎对反洗钱信息的跨境传输予以关注。出于审慎起见，在适用的情况下，金融机构在跨境传输反洗钱信息时将需要同时遵守反洗钱信息保护和个人金融信息保护的相关要求。
四、展望
随着中国反洗钱监管制度的不断发展与完善，我们预计监管机构将可能出台进一步细则和/或详细指引，以解决本文中讨论的尚待解决的问题，例如《2021年反洗钱办法》对于基金管理公司子公司和私募基金管理人的适用性、反洗钱监管制度以及个人金融信息保护制度下个人信息的跨境传输等。
我们也将持续关注相关监管要求的更新，并及时与各位读者分享我们的观点。