在香港注册的信託或公司服務提供者（TCSP）持牌人須遵守由公司註冊處處長發出的《打擊洗錢及恐怖分子資金籌集指引（信託或公司服務提供者持牌人適用）》（2025 年 3 月修訂版）所載的打擊洗錢及恐怖分子資金籌集（AML/CFT）規定。當中兩個關鍵但經常被混淆的部分，分別是機構層面的洗錢/恐怖分子資金籌集風險評估（IRA）與獨立審計（IA）職能。

雖然兩者在穩健的打擊洗錢及恐怖分子資金籌集框架中均扮演重要角色，但它們並不等同。了解它們的差異、如何互補，以及各自獨立的監管目的，是達致合規的關鍵。

什麼是機構層面風險評估?

 機構層面風險評估是一個前瞻性的過程，旨在幫助信託或公司服務提供者持牌人識別、評估及了解其業務所面對的洗錢/恐怖分子資金籌集風險。其主要目的是為採用風險為本方法奠定基礎，使信託或公司服務持牌人能夠確定其在多大程度及如何容易受到洗錢/恐怖分子資金籌集風險影響，並採取與這些風險相稱的措施。

機構層面風險評估的主要特點有哪些？

• 方法：沒有一刀切的方法。評估的性質及範圍必須與業務的性質、規模及複雜程度相稱
• 頻率﹕必須至少每兩年進行一次，並在出現對信託或公司服務持牌人的業務或風險狀況有重大影響的觸發事件時進行。
• 風險類別包括：客戶風險、國家/司法管轄區風險、產品/服務風險、交易或交付渠道風險。

什麼是獨立審計職能？

獨立審計職能提供客觀、回顧性的檢討，評估信託或公司服務持牌人的打擊洗錢及恐怖分子資金籌集制度是否有效。它不是前瞻性的風險評估，而是對現有控制措施及流程的關鍵評價。

獨立審計職能的監管要求有哪些？

• 獨立性: 審計職能必須獨立，與高級管理層直接溝通，並具備充足的專門知識及資源。
• 檢討內容: 獨立審計職能應評估打擊洗錢及恐怖分子資金籌集制度是否足夠、洗錢/恐怖分子資金籌集風險評估框架、風險為本方法的應用是否適當、可疑交易報告系統的有效性、合規職能的有效性，以及負有打擊洗錢及恐怖分子資金籌集職責的職員的警覺性。
• 頻率及範圍: 應與業務的性質、規模、複雜程度以及該等業務所引起的洗錢/恐怖分子資金籌集風險相稱。在適當時，應尋求外界人士進行檢討。

主要區別一覽

兩者是否等同?

機構層面風險評估與獨立審計職能並不等同，也不能互相取代。機構層面風險評估重點在於應用控制措施之前識別及了解風險，而獨立審計職能則評估現有控制措施及系統是否有效運作。前者是關於風險理解，後者是關於控制措施的有效性。

兩者如何互補?

儘管存在差異，機構層面風險評估與獨立審計職能具有高度的互補性。機構層面風險評估提供基礎的風險理解，獨立審計職能利用此基礎來評估控制措施是否恰當及有效。反之，獨立審計的結果——尤其是重大的控制失誤——應促使信託或公司服務持牌人更新機構層面風險評估，因為這些結果代表了關於風險狀況的重要新資訊。這形成了一個持續改進的循環：風險指導控制措施，而審計結果則完善風險評估。

主要合規要點

• 不要將機構層面風險評估視為一次性文件——每兩年及在觸發事件時更新評估。
• 確保審計職能獨立、資源充足，並能直接與高級管理層溝通
• 確保審計範圍包括檢討機構層面風險評估的合理性及及時性。
• 保留證據——機構層面風險評估和獨立審計報告均須準備妥當，以備監管機構查閱。
• 清晰記錄觸發事件（例如：新增企業服務、新增司法管轄區、新增客戶類型）。

透過了解機構層面風險評估和獨立審計職能的不同角色，以及它們如何互相強化，信託或公司服務持牌人可以建立更具韌性、以風險為本及完全合規的打擊洗錢及恐怖分子資金籌集框架。

本文基於一般指引資料，僅供參考。