随着频繁跨境资金引发的犯罪与避税问题，跨国银行已成为全球监管机构关注的对象，部分跨国银行甚至因合规计划(compliance program)缺失导致巨额罚款。

以美国及欧洲为例，两地监管机构针对代理银行业务(correspondent banking)及货币结算业务(dollar-clearing activity)给予特别严密的监管与审查。

其实，跨国银行对侦测及预防反洗钱在内的金融犯罪，并没有所谓“一体适用(one size fits all)”的反洗钱计划，跨国银行最后能否通过监管机构的审查，归纳起来有以下几个重点：(1)已投入必要资源，且订立、执行可侦测及预防不法活动的反洗钱计划；(2)已依照风险评估定期更新合规计划，且在风险评估中考虑了不同业务和地域所涉及的洗钱风险，且已将内外部相关信息纳入评估基础；(3)已配置一定资格和经验的合规人员，并持续对相关人员进行教育训练；(4)所有为反洗钱工作建立的相关政策及流程，都须确保能适当地执行合规计划，并通报可疑活动至监管机构，且能随着内外部环境变化持续更新这些政策和流程。

跨国银行在美国营运的分支机构，必须遵守银行秘密法(The Bank Secrecy Act)关于反洗钱的规范，且会受到监管机构持续性督查，一旦银行被发现反洗钱控制措施不当，有可能会引发监管机构采取进一步监管措施并接受公众问责。

制定有效的反洗钱合规计划，基本前提除了要有监控银行交易的机制外，还要有能力发现潜在违法行为，并能在侦测到可疑活动后进行申报，实务中，一个有效的反洗钱合规计划须涵括以下重点：

第一，任何有效的反洗钱合规计划，基础都在于风险评估。所谓风险评估，乃是银行用来评估业务、产品及服务，在不同营业地域可能衍生出相关风险的一种程序。风险评估的内容，除应包括对各营业单位进行充分的风险评级，以使银行建立起能涵盖所有相关风险的反洗钱计划外，银行还须维持每年至少进行一次风险评估的频率。

第二，金融机构的反洗钱合规计划，须搭配“合规系统(compliance system)”与“控制措施”，两者缺一不可，如此才能反映银行个别业务、产品及服务所涉及的洗钱风险。

其实所谓的“合规”，会因营业单位及地理环境不同而有所差异，反洗钱合规计划自然也要考虑不同等级的风险，如此才能研拟出相对应的控制措施。一个有效的反洗钱合规计划，须将各种可侦测到的洗钱风险情境纳入考虑，比如为了侦测潜在洗钱或其他可疑活动而设定的金额门槛，便是最好的例子。

另外，反洗钱合规计划也须设立相关机制与流程，这样才能便于经办人员决定如何针对警示交易进行实时调查和厘清，并辅助第一线经办人员判断何种警示交易属于须向监管机构或执法单位申报的可疑交易。

反洗钱合规计划也必须定期更新，才能与时俱进地跟上金融机构业务的改变和相关法令的修订，也才能适时反映银行在执行业务过程中所获取的有关信息。

第三，银行的合规计划必须包含具备一定资格、经验的专业人员，且管理层也须提供必要资源，确保该合规计划执行的有效性。对组织内所有暴露在潜在金融犯罪活动风险中的相关业务人员，和所有负责合规管理的专业人员，合规计划须提供充分的教育训练，并适时根据银行内部和外部洗钱风险或政策的变化，更新教育训练的内容与形式。

第四，一个有效的反洗钱合规计划，须涵括交易监控系统导入前、导入后的测试机制，这个测试机制的内容，应包含数据映射(data mapping)、交易编码(transaction coding)、情境检测逻辑(detection scenario logic)、模型验证(model validation)及数据输出与输入(data input and output)，并由银行内部人员或外部专家进行操作，但要注意，若是内部合规人员操作，除专业能力外更要注意独立性问题。

第五，有效的反洗钱合规计划，须涵括适当的治理架构(governance framework)及管理层监督机制(management oversight)，也就是要建立管理这个合规计划的政策和程序，同时要制定并更新通报、查核的书面化作业流程，银行还须以书面形式建立并执行吹哨者保护机制，最重要的是，一个适当的治理架构，不得将所有合规管理的职责，都集中在合规主管(chief compliance officer)一人身上，高阶管理层及董事会也必须被纳入银行合规管理的通报体系中。

（本文作者系美国纽约金融服务署前任署长，現任上海富拉凯會計師事务所反洗錢風控合規顾问）