如何撰寫一份符合監管標準的打擊洗錢（AML）年度內部審計報告？合規顧問的系統性清單
一份符合香港監管標準（如證監會、海關或金管局）的打擊洗錢內部審計報告 (AML Audit Report)，必須包含四大核心章節：1. 制度設計評估（Policy Review）、2. 前線執行抽樣測試結果（CDD/STR Testing）、3. 缺失識別（Audit Findings） 及 4. 整改建議與追蹤計劃（Remediation Plan）。無論是持牌法團、金錢服務經營者（MSO）還是信託或公司服務提供者（TCSP），撰寫高質量的打擊洗錢內部審計報告 是落實獨立審計職能（Independent Audit Function）的法定強制要求。負責人員與核心職能主管(MIC) 必須依循系統化的金融內審清單，確保審計涵蓋政策修訂、系統測試及實際業務紀錄，以順利通過監管機構的現場審查（On-site Inspection）。
一、AML 內部審計報告四大必須章節與審查重點
根據《打擊洗錢及恐怖分子資金籌集條例》（Cap. 615）及相應監管指引，一份完整的打擊洗錢內部審計報告 (AML Audit Report) 必須結構嚴密，具體章節規範如下：
-
1. 制度設計評估（Policy & Procedure Review）
評估機構現行《打擊洗錢及恐怖分子資金籌集政策》（AML/CFT Policy）與機構風險評估（Institutional Risk Assessment, IRA）是否適時更新，能否完全覆蓋最新的法例修訂及監管通函（如 AI 深偽防偽、離岸客戶遠程開戶等要求）。
-
2. 前線執行抽樣測試結果（CDD/STR Transaction Testing）
對真實客戶檔案進行抽樣審查，涵蓋低、中、高風險客戶及政治人物（PEPs）。重點測試：
-
客戶盡職審查（CDD/EDD）：身份證明文件、資金來源（SOF）及財富來源（SOW）證明是否齊備。
-
名字篩查（ Name Screening）：制裁名單（SAN）與政治人物（PEPs）系統每日自動篩查紀錄與誤報（False Positive）處置邏輯。
-
可疑交易報告（STR）：交易監控系統警報的調閱、內部呈報（MLRO Escalation）紀錄及向聯合財富情報組（JFIU）呈交 STR 的時效。
-
3. 缺失識別與風險評級（Audit Findings & Risk Rating）
將審計發現的漏洞歸類並進行風險分級（如：高風險 High、中風險 Medium、低風險 Low）。例如：未按時對高風險客戶執行年度定期覆核（Periodic Review），或開戶系統未記錄 Liveness Detection 驗證日誌。
-
4. 整改建議與管理層回應（Remediation Plan & Management Response）
針對每項缺失提出可行的整改要求，並載明責任部門（如 Compliance、IT 或 Operations）、負責人員以及明確的預計完成時限（Target Completion Date）。
二、監管機構對「第三方獨立審計」的真實審查標準
海關（針對 MSO或DPMS）與證監會（針對1至13號牌持牌法團）在進行現場檢查或常規調閱時，對「獨立審計」的真實審查標準可梳理為以下清單：
審查維度 Review Dimension | 海關審查標準 Customs (C&ED) Audit Standards (MSO / TCSP) | 證監會審查標準（持牌法團）SFC Audit Standards (Licensed Corporation - LC) |
|---|---|---|
審計獨立性 (Independence) | 審計人員不得參與日常 AML/KYC 審批；若規模小無法內部分離，須委任外部獨立合規顧問執行。 | 必須具備與業務線（Front-line）及合規運作部門（Compliance Team）完全分離的獨立審計軌跡。 |
抽樣覆蓋率 (Sampling Methodology) | 強調對大額現金交易、頻繁跨境匯款及高風險客戶進行 100% 或高比例抽樣。 | 要求基於風險導向（Risk-based Approach），抽樣必須涵蓋機構所有業務線、複雜信託架構及拒絕開戶（Rejected Cases）檔案。 |
系統效能驗證 (System Effectiveness) | 檢查名字篩查系統是否定期更新，測試篩查關鍵字與黑名單數據庫匹配度。 | 驗證交易監控系統（Transaction Monitoring）警報規則（Rules & Thresholds）的合理性與定期 Back-testing 紀錄。 |
董事會與高級管理層呈報 (Governance) | 審計報告必須直接呈交至董事，並保留管理層簽署蓋章的審閱紀錄。 | 審計報告須呈報至董事會、負責人員、及核心職能主管，並在業務及風險管理問卷 (BRMQ) 中如實申報審計結果。 |
三、Q&A ：RO 與 MIC（合規）實務疑難解答
Q1：中小型金融機構能否由內部的合規主管兼任撰寫 AML 內部審計報告？
A：原則上極不建議，且易被監管機構評為缺失。 根據「三道防線」（Three Lines of Defence）框架，合規主管屬於第二道防線，負責制訂政策與進行日常審查；而內部審計屬於第三道防線，宗旨是「審計第二道防線的工作」。若由合規主管自我審查，將嚴重違反獨立性原則。對於無獨立內部審計部門的中小型金融機構，最符合監管標準做法是採用採用天匯合規反洗錢獨立審計服務（Independent AML Audit），外包予第三方專業顧問執行獨立審查。
Q2：監管機構現場審查時，通常如何索閱和抽查審計底稿（Audit Working Papers）？
A：監管執核人員不會僅憑一份 打擊洗錢內部審計報告 的結論即予通過。審查官會要求抽調審計底稿，包括：
-
抽樣清單（Sampling List）：如何從總客戶庫中篩選出審計樣本。
-
測試軌跡（Testing Worksheets）：每份抽查檔案的比對紀錄、系統截圖及對話日誌。
-
訪談紀錄：與 負責人員、前線人員及核心職能主管的訪談筆記。
若審計報告僅有概括性文字而缺乏底稿支持，監管機構可能認定該審計「不充分或不真實」（Inadequate or Superficial）。
Q3：若 AML 內部審計報告中發現重大合規缺失（High-Risk Findings），管理層應如何處理？
A：當審計發現重大漏洞（如篩查系統長期失效或大量高風險客戶缺少 SOF 證明）時：
-
立即啟動應急整改（Immediate Remediation）：管理層應第一時間指示相關部門暫停高風險功能，並制訂補救措施。
-
評估法定申報義務：評估該缺失是否已導致洗錢風險發生或違反相關法例中定明的重大申報事項（Material Breach）。若屬重大違規，金融機構必須依據《操守準則》及時主動向監管機構申報，切勿隱瞞。
結語
結語
建立定期且高質量的內部審計體系，是金融機構防範監管處分與法律風險的最強防線。天匯合規顧問有限公司（＂天匯合規＂）具備豐富的金融內審清單 執行經驗，提供專業的獨立 AML 內部審計、審計底稿編製及整改追蹤諮詢服務，協助持牌機構建立堅不可摧的合規管治架構。