浅析金融机构如何落实风险为本的反洗钱工作要求
以2008年12月30日中国人民银行颁布的《中国人民银行关于进一步加强金融机构反洗钱工作的通知》为标志，对金融机构反洗钱工作的监管要求逐步从规则为本过渡到风险为本。
2018年我国迎来反洗钱金融行动特别工作组 (以下简称“FATF”)第四轮反洗钱和反恐怖融资互评估，中国人民银行等反洗钱监管部门(以下简称“监管部门”)先后密集出台了一系列反洗钱规范性文件，要求各类金融机构深入实践风险为本，提高反洗钱和反恐怖融资工作有效性，防范洗钱和恐怖融资风险(以下简称“洗钱风险”)。
尽管监管部门对于基于风险为本的反洗钱工作愈加重视、从金融行业刮起的反洗钱风暴愈演愈烈，但学界对此探讨相对有限。
有鉴于此，本文首先从介绍风险为本的内涵入手，解析风险为本与反洗钱工作的联系，继而得出开展风险评估是适用风险为本的基础和重要内容的结论。
一、风险为本的内涵解析 “风险为本”(Risk-based)最早由英国监管机构倡导，英国金融监管局(FSA)在2000年1月制定的《新千年的新监管者》提出这一概念。
随后，沃尔夫斯堡集团(Wolfsberg Group)、金融行动特别工作组(FATF)、国际保险监督官协会(IAIS)、国际证券委员会组织(IOSCO)等国际组织积极倡导。
必须说明的是，反洗钱工作要求逐步从规则为本过渡到风险为本，但规则为本和风险为本并非是对立的。
风险为本则以风险为核心，通过评估面临洗钱风险，依据风险程度制定或严格或宽松的防范措施，从而实现风险管理。
三、适用风险为本开展洗钱风险评估的难点 随着反洗钱监管规定的不断完善，风险为本在我国反洗钱立法系统中的地位逐渐提升并进一步巩固、深化，而风险评估是实施风险为本的前提和重要内容，监管部门相继印发了《法人金融机构反洗钱分类评级管理办法(试行)》、《法人金融机构洗钱和恐怖融资风险管理指引(试行)》、《金融机构洗钱和恐怖融资风险评估及客户分类管理指引》、《法人金融机构洗钱和恐怖融资风险评估管理办法》(以下简称“《风险评估管理办法)”)等多个关于落实和实施风险为本反洗钱监管、引导金融机构识别、评估和管理洗钱风险的规范性指引性文件，并要求金融机构“应当建立洗钱风险评估制度，对本机构内外部洗钱风险进行分析研判，评估本机构风险控制机制的有效性，查找风险漏洞和薄弱环节，有效运用评估结果，合理配置反洗钱资源，采取有针对性的风险控制措施。”
具体的内容与指标如下:1、固有风险评估
最后，按照经营环境与规模、客户风险和业务风险各项评估指标的综合指标权重和综合指标分值，加权计算相应的指标得分。
2、控制有效性评估
洗钱风险内部控制措施的评估指标包括但不限于:(1)风险识别与评估(客户风险评估、产品和业务风险评估、机构风险评估);(2)风险控制措施(客户身份识别和风险等级划分、客户身份资料与交易记录保存、大额交易和可疑交易报告、涉恐名单监控、技术系统支持、高风险客户管理、高风险产品和高风险业务管理、内部审计和检查)等。
最后，按照洗钱风险管理策略、内部控制措施各项评估指标的综合指标权重和综合指标分值，加权计算出相应的指标得分。
3、评估剩余风险
(二)风险评估的难点 运用上述风险评估指标计算并评估金融机构面临的洗钱风险的首要前提，需要理解并确定各项风险评估指标。
风险为本的反洗钱工作方法要求通过识别和评估风险，根据风险情况采取相应的控制措施，《洗钱风险评估管理办法(试行)》颁布后，中国人民银行可根据该办法对金融机构整体面临的洗钱风险状况予以识别、评估，从而确定监管的强度和效率。
四、风险为本下金融机构落实反洗工作要求建议(一)制定或完善客户和业务/产品洗钱风险评估办法
2、制定或完善业务/产品洗钱风险评估办法，对所开展的产品(或服务)进行洗钱风险评估，为评估业务/产品的固有风险提供基础。
《金融机构洗钱和恐怖融资风险评估及客户分类管理指引》客户风险子项之一是业务(含金融产品、金融服务)风险子项，该指引要求金融机构应当对各项金融业务的洗钱风险进行评估，制定高风险业务列表，并对该表进行定期评估、动态调整，风险子项包括但不限于与现金的关联程度、非面对面交易、跨境交易、特殊类型的交易频率。
(二)梳理直接确定为高风险客户和业务/产品的情形 高风险客户或高风险业务不能毫无依据或者拍脑袋决定，除了通过严谨的洗钱风险评估办法准确识别、评估出高风险业务和客户之外，FATF及其我国反洗钱监管部门制定的不少指引零散的规定了无需逐一进行风险评估，金融机构可以直接确定其风险等级为最高。
1、直接认定为高风险客户的情形
《中国人民银行关于金融机构在跨境业务合作中加强反洗钱工作的通知》，经营机构为提供货币兑换、跨境汇款等资金(价值)转移服务以及经营网络支付、手机支付、预付卡、信用卡收单等非金融支付业务的境外非金融机构提供金融服务或与其开展业务合作时，直接将其列入高风险客户。
2、直接认定为高风险业务/产品的情形
囿于本文篇幅有限，不再赘述可以直接确定为高风险客户和业务/产品的相关规定。
(三)采取差异化管控措施 在经过严密评估风险后，需要根据风险高低，制定有针对性的差异控制性措施，以提升洗钱风险控制能力，从而有效控制或缓释该风险。
1、管控措施的梳理
在实务中，对于较低风险客户采取相应的简化措施可能有:降低客户身份信息更新频率;降低持续性监控等级，并以合理的金额作为审查交易的基础;从交易类型或已建立业务往来关系可推断其目的及性质，不用再针对了解业务往来关系目的及其性质，搜集特定信息或执行特别措施。
对于高风险业务(产品)逐项制定针对性的控制措施，包括严格规范开展高风险业务(产品)的审批程序;加强对开展高风险业务(产品)客户身份尽职调查、适度提高交易监测的频率及强度等。
上述举例的管控措施并非强制性规范，只是指引性列举，金融机构也可以结合自身业务或客户的特点，根据识别出的风险程度，制定相关的管控措施。
2、管控措施的适用
将冗杂零散规定的管控措施从客户和业务两个层面予以归纳整理之后，需要解决如何适用管控措施的问题，也即如何融入其日常业务中，这也是当前金融机构面临的最大挑战。
囿于篇幅有限，以客户身份识别中的管控措施适用为例展开讨论。
落实客户身份识别义务包括新客户准入身份识别和存量客户持续性的身份识别两大块。
以定期审核客户基本信息为例，《金融机构洗钱和恐怖融资风险评估及客户分类管理指引》《金融机构客户身份识别和客户身份资料及交易记录保存管理办法》要求金融机构根据客户风险等级，定期审核客户基本信息。