证监会最新通函解读：强化开户审查（Account Opening）与客户生命周期 AML 监控指引
SFC 要求持牌法团对远程开户（Remote Onboarding）、非面对面核实及伪造身份文件实施强化的防范措施。随着金融科技与人工智能技术普及，深伪（Deepfake）换脸与伪造证件欺诈手法层出不穷，香港证监会（SFC）陆续发布多份 SFC Account Opening Circular 并更新 证监会开户指引，严格规范持牌法团在执行 远程开户AML审查 与 客户生命周期监控 时的各项控制标准。券商营运主管、合规主任（CO）及洗钱报告主任（MLRO）必须建立全流程控管机制，确保开户端与持续监控端无缝衔接。
一、面对面 vs 非面对面开户核实标准对比
理解面对面与远程开户的监管要求差异，有助于持牌法团设计兼顾客户体验与合规安全的 Onboarding 流程：
核實與控管維度 Verification & Control Dimension | 面對面開戶 Face-to-Face Onboarding | 非面對面 / 遠程開戶 Non-Face-to-Face / Remote Onboarding |
|---|---|---|
身份证明文件 核实 | 持牌人士或授权代表现场查验身份证件正本，并进行比对与签名核实 | 须采用认可的电子身份核实技术（如香港智方便 iAM Smart）、认可认证机构发出的数位证书，或经适当专业人士（如律师、会计师）认证的副本 |
资金来源与银行帐户对接 | 开户资金可透过同名或指定的银行帐户划转 | 必须透过同名香港持牌银行帐户（划转不少于 10,000 港元或等值外币），或经认可的指定海外银行帐户进行首次资金汇入与对账 |
生物识别与反欺诈检测 | 由持牌人员现场目视比对客户与证件照片 | 必须部署防篡改 OCR 证件识别，以及动态活体检测（Liveness Detection），以防范 AI Deepfake 换脸与静态照片欺诈 |
AML / PEP / 煞止名单初审 | 提交申请前完成实时黑名单、制裁人士（SAN）、与政治人物（PEP）自动化筛查 | 必须在开户数据写入系统前完成实时 API 双向黑名单、制裁人士（SAN）、与政治人物（PEP）自动化比对，并存档筛查日志 |
高风险客户审核程序 | 依据常规 CDD 流程，高风险个案送交合规部门审核 | 远程开户的高风险客户（如海外 PEP）必须实施强化尽职审查（EDD），并获得高级管理层（ED 或 MLRO）的预先批准 |
二、PEP 与高风险客户生命周期持续监控（Ongoing Monitoring）
客户尽职审查（CDD）并非仅停留在开户阶段，持牌法团必须构建贯穿客户完整生命周期的动态监控体系：
-
1. 初始风险评级与动态分类（Risk Categorization）
开户时根据客户背景、地理位置、产品选择及资金来源，将客户划分为高、中、低风险等级。针对政治人物（PEPs）、高风险国家/地区客户及复杂信托架构，自动标记为高风险类别。
-
2. 自动化交易监控与异常警报（Transaction Monitoring）
部署交易监控系统，针对客户的日常交易规模、资金划转频率及投资偏好建立基准。一旦出现与客户收入状况显著不符的大额资金进出、频繁跨国划转或无明确商业目的之交易，系统须立即触发异常警报（Alerts）。
-
3. 触发事件审查机制（Trigger Event Review）
当客户发生重大生命周期事件时（如职业变动突变成 PEP、股权结构变更、被列入负面新闻名单或触发可疑交易警警报），MLRO 部门须立即启动即时审查，重新评估客户风险等级。
-
4. 定期审查（Periodic Review）周期落实
-
高风险客户（含 PEPs）：至少每年进行 1 次深度定期审查，重新核实资金来源（SOF）与财产来源（SOW），并由 MLRO 或执行董事（ED）签署核准。
-
中风险客户：每 2 至 3 年进行一次定期审查。
-
低风险客户：每 3 至 5 年或在触发事件发生时进行审查。
-
三、证监会开户与 AML 相关核心指引与通函（Guidelines & Circulars）
持牌法团在建立开户与持续监控政策时，须严格参照以下证监会发布之官方指引与通函：
-
《打击洗钱及恐怖分子资金筹集指引（持牌法团及获获准注册机构适用）》（最新修订发布日期：2023 年 5 月 25 日）
-
核心规范：详细规定持牌法团对政治人物（PEPs）、高风险国家客户实施强化尽职审查（EDD）及客户生命周期持续监控的法定标准与纪录保存责任。
-
-
《有关可接受的非面对面开户程序的通函》（发布日期：2019 年 6 月 28 日，并于 2020 年 9 月 29 日补充更新）
-
核心规范：规范利用海外指定银行转帐（10,000 港元门槛）、认可数位证书及电子身份核实技术进行远程开户的核实路径与具体技术参数。
-
-
《防范利用深伪技术及伪造身份文件进行远程开户欺诈的通函》（发布日期：2024 年 1 月 22 日）
-
核心规范：针对生成式 AI 及 Deepfake 欺诈升级，要求持牌法团在远程开户系统中部署防篡改 OCR 识别、多维度活体动态检测及装置指纹分析。
-
-
《持牌人或注册人操守准则》（第 5.1 及 5.2 条）
-
核心规范：确立「了解你的客户」（KYC）之基本法定责任，要求持牌人采取一切合理步骤，建立每一位客户的真实身份、财务状况及投资经验。
-
四、Q&A：远程开户与客户生命周期 AML 实务疑难
Q1：采用非面对面方式为海外个人客户进行远程开户时，有哪些认可的身份核实途径？
A：根据证监会通函，持牌法团可采用以下认可途径之一：
-
途径一（海外银行帐户+转帐）：透过认可的海外指定银行（位于 FATF 成员国或同等监管管辖区）帐户进行身份核实，且客户须由该同名帐户汇入不少于 10,000 港元（或等值外币）的首笔资金。
-
途径二（认可电子身份/数位证书）：利用获得官方认可的电子身份（如香港「智方便」iAM Smart）或相应管辖区发出的认可个人数位证书完成线上验证。
-
途径三（专业人士认证）：由认可的专业人士（如香港持牌律师、执业会计师或公证人）签署认证客户的身份证明文件正本副本。
Q2：持牌法团应如何应对利用 AI 深伪（Deepfake）技术进行远程开户欺诈的监管要求？
A：法团应在远程开户 APP 或系统中部署多重反欺诈控管：
-
动态活体检测（Interactive Liveness Detection）：要求用户在镜头前完成指定随机动作（如随机朗读数字、特定眨眼/转头指令），避免静态照片或预先录制影片绕过系统。
-
微表情与光源分析：引入能识别光影变化、皮肤纹理及微表情异常的 AI 算法，及时捕捉深伪合成痕迹。
-
装置与网络指纹识别：检测开户装置是否使用模拟器、VPN 代理或频繁更换 IP 地址，对高风险装置触发人工人工二次审核。
Q3：当现有客户在生命周期中升级为政治人物（PEP）或被列入高风险名单时，MLRO 应采取哪些即时处置程序？
A：一旦系统警报或定期审查确认客户成为 PEP，法团应立即执行以下处置：
-
暂停高风险功能：在完成风险评估前，适当限制该帐户的大额出入金或高风险产品交易权限。
-
启动强化尽职审查（EDD）：要求客户提供最新资金来源（SOF）及财产来源（SOW）的书面证明文件。
-
高级管理层签署（Senior Management Approval）：呈交 MLRO 及执行董事（ED）重新审核，决定是否维持业务关系；若决定维持，须提高后续交易监控与定期审查频率（至少每年 1 次）。
-
可疑交易申报（STR）：若发现资产来源存有疑虑或无法厘清，MLRO 须依法向联合财富情报组（JFIU）提交可疑交易报告。
结语
建构合规且高效的开户与持续监控体系是持牌法团防范洗钱风险的第一道防线。天汇合规顾问有限公司（＂天汇合规＂）具备丰富的 SFC 开户流程审查、远程开户系统合规评估及 AML/CFT 制度搭建经验。我们的持续合规服务能为持牌法团提供全方位的专业合规支援，配合旗下前沿的合规科技系统（如：东查查反洗钱/客户管理系统（东查查）、eDon AML Transaction Monitoring System（eDon TM）），能为企业提供强大的合规技术与实务保障。