通知往往来得很突然：FINTRAC 已选定你的公司进行合规审查。对许多虚拟资产服务提供商（VASP）来说，这一刻才意识到，他们的 AML 项目在纸面上看起来比实际运作好得多。自 2021 年 PCMLTFA 修正案将加密业务正式纳入报告主体制度以来，针对 VASP 的 FINTRAC 审查频率显著提升——而最常”翻车”的，往往不是那些没有政策文件的公司，而是政策与实际操作脱节的公司。

FINTRAC 审查员究竟会索取哪些材料

FINTRAC 合规审查绝非纸面测验。审查员会带着一份结构化信息请求清单上门，通常涵盖：

• 书面 AML/ATF 合规政策与程序——必须是现行版本，”草稿”版本不满足要求
• 客户风险评估方法论，以及样本账户的已完成风险评级
• 交易监控参数——生成警报的规则或阈值，及其设定逻辑
• 警报处置样本：谁审查了哪些内容、为何结案或升级
• 审查期内提交的所有可疑交易报告（STR）和大额现金交易报告（LCTR）
• Travel Rule 记录：1,000 加元及以上虚拟货币转账的发起方和受益方信息
• 过去 24 个月的员工培训记录及培训内容
• 最近一次合规项目有效性评审或独立 AML 合规审计 报告
• 高风险客户的强化尽职调查（EDD）文件

审查期通常覆盖过去 12 至 24 个月。审查员会抽取交易样本，逐一比对你的书面流程。如果文档记录不存在，流程就等于没有发生过——至少在他们眼中是这样。

VASP 屡屡出现问题的环节

FINTRAC 历年发布的审查结论和执法记录，指向同样的缺口：

风险评级存在于文件，却未落地执行。许多 VASP 的合规手册里有风险模型，但并未运营化。客户档案中没有风险评级，或者无论客户的司法管辖区、交易量、产品类型如何，全部被评为”低风险”。审查员期望看到风险评级切实影响监控阈值和 EDD 决策，而不只是一份存在共享文件夹里的方法论文件。

警报处置缺乏书面记录。能触发警报的交易监控系统只完成了一半工作。FINTRAC 要求每一条警报处置都有书面理由——为何结案、谁来审查、参考了哪些信息。一份没有支撑说明的”警报已关闭”列表经不起审查。

加密转账的 Travel Rule 执行存在空白。自 2023 年 6 月起，VASP 必须为 1,000 加元及以上的虚拟货币转账收集并传输发起方和受益方信息。许多 VASP 有相关政策，但缺少运营流程：如何向对手方 VASP 收集信息？对手方不回应时怎么办？审查员会调取真实转账记录——数据不在，政策便形同虚设。

缺乏独立有效性评审。PCMLTFA 要求报告主体定期评审合规项目的有效性。对大多数 VASP 而言，这意味着每年一次由独立方完成的评审——而非由设计该项目的同一个人自行完成的自评。这是 FINTRAC 最常引用的审查缺陷之一，也是最容易提前解决的一项。

政策文件过时。如果合规手册仍反映 2021 年前的制度、未针对加密特有风险类型更新，或未覆盖你当前的产品线，那还没查一笔交易，审查员就已经有结论了。

独立 AML 审计为何能改变局面

独立 AML 合规审计有两个作用：满足监管关于定期有效性测试的要求，以及在 FINTRAC 上门之前留下一份可抗辩的程序记录。一次结构完善的评审涵盖治理与问责机制、政策与当前 FINTRAC 要求的差距分析、交易监控覆盖率测试、KYC 与 EDD 文件抽查、Travel Rule 操作测试以及培训充分性评估。

典型项目周期为从启动到最终报告 六至十周，视机构规模和产品复杂度而定。对中型 VASP 而言，预计费用在 15,000 至 40,000 加元之间——远低于单次行政货币处罚的金额，后者在情节严重或重复违规时可高达七位数。

更关键的是，外部审计会留下一份同期记录，证明你的机构已主动识别并整改了缺口。如果 FINTRAC 在有据可查的整改周期之后对你展开审查，书面的差距关闭计划至关重要——它决定了一个结论是”记录在案”还是”升级为执法转介”。我们的 AML 与监管合规服务包括专为 PCMLTFA 框架下 VASP 和 MSB 设计的结构化有效性评审。

审查前自查：七个关键问题

无论审查是否已经排期，先回答这七个问题：

• 合规政策是否在过去 12 个月内更新，并由合规官正式签批？
• 系统中的每位客户是否都有书面风险评级，而不仅仅是方法论文件？
• 能否提供过去 24 个月内有书面理由支撑的警报处置记录？
• 过去 12 个月内 1,000 加元及以上的所有虚拟货币转账是否都有 Travel Rule 记录？
• 能否证明高风险客户接受了 EDD，并有文件为据？
• 过去一年内，合规项目是否由设计者以外的独立方进行过评审？
• 合规官是否有直接向高级管理层或董事会汇报的渠道？

如果超过两项存在疑虑，说明你有实质性缺口。找到它们的最佳时机，是在审查员找到它们之前。

需要协助？联系我们的团队。