跨境 KYC/KYB 客戶盡職審查：多司法管轄區合規團隊最佳實務（2026）

當受監管的業務拓展團隊進入亞太區內第二、第三以至第四個市場，最難處理的往往不是第一位客戶，而是第四個監管機構。 跨境 KYC/KYB 客戶盡職審查最佳實務 之所以重要，是因為足以符合本地監管要求的證據，未必能符合下一個市場的標準。在新加坡風險為本制度下合格的檔案，到了香港可能仍有缺口；足以回應新加坡金融管理局要求的實益擁有權架構，也可能未能滿足杜拜 VASP 的 Travel Rule 資料要求。

我們曾見過營運成熟的團隊，花上數星期重整在一個司法管轄區合格、到了另一個市場卻無法使用的檔案。他們先擴大業務，之後才發現原有控制措施無法跨境沿用。解決方法是調整先後次序，我們稱之為 「證據先於擴張」: 結構優於規模。本指南提供五步 CDD 框架、香港、新加坡、杜拜及吉隆坡的亞太市場實務、一套取代市場孤島的可供審計證據鏈藍圖，以及用於檢視計劃成效的 KYC 品質指標（KQC）。

重點

• 跨境 KYC/KYB CDD 不僅要核實個人身分（KYC），也要核實法律實體及其實益擁有權（KYB），並在每個司法管轄區持續維護相關證據。
• 主要難點來自監管制度分散、資料來源不一致，以及各市場對私隱保障與 AML 要求之間採取不同平衡。
• 統一的五步框架，包括風險分層、證據收集、篩查、決策及持續監控，可為多司法管轄區團隊提供可重複執行的模式。
• 應建立一套可跨市場使用、可供審計的證據鏈，而不是按市場建立資料孤島；並在擴張前先量度 KQC。

1. 跨境 KYC/KYB 客戶盡職審查的涵義

許多跨境合規問題，源於團隊以相同術語指稱不同義務。以下先釐清核心定義。

KYC（了解您的客戶） 是在開戶時核實自然人的身分，包括姓名、出生日期、地址及政府簽發的身分證明文件，並納入風險為本的客戶身分識別程序（CIP）。

KYB（了解您的業務） 是核實法律實體，以及更關鍵的實益擁有人。這包括透過公司註冊處資料確認實體存在、了解其業務模式，並按當地適用門檻（常見為 25%）識別及核實擁有或控制該實體的自然人，以及透過其他方式行使控制權的人士。請參閱 FATF 的實益擁有權指南 了解相關控制要求。這也解釋了為何跨境風險往往集中於 KYB，而不只是 KYC。

客戶盡職調查（CDD） 是整體框架，要求機構按風險收集並持續維護個人及實體證據。CDD 通常分為三個審查強度：

對虛擬資產業務而言， Travel Rule 是整體 CDD 的一部分。轉帳超過適用門檻後，匯出及接收 VASP 均須交換匯款人及收款人資料。這項義務本身就是 CDD 資料點，也是跨境流程最常出現中斷的環節之一。

全文可歸納為一句： 跨境 KYC/KYB 客戶盡職審查，是按所有相關監管機構均可接受的標準收集一次個人及實體證據，並確保證據能夠持續跨境使用及更新。

2. 為何跨境 CDD 比單一市場更複雜

單一市場的 CDD 已不簡單；跨境營運更會從五個層面增加複雜程度。

監管制度分散。 亞太區並不存在單一規則手冊。香港以 AMLO 為法律基礎，並由香港金管局及證監會監管；新加坡採用 MAS 行業通知；杜拜由 VARA 監管虛擬資產；馬來西亞則由馬來西亞國家銀行及公司委員會分工監管。各地對何謂「充分」CDD 的要求並不相同，規劃階段至正式上線期間亦可能調整。FATF Recommendation 24 於 2022 年 3 月修訂，並於 2023 年 2 月發布實施指引，要求實益擁有權資料得到核實，而非只接受申報。Recommendation 1 的風險為本及比例原則容許本地監管機構按市場情況校準要求，因此各地落實進度及標準仍有差異。

資料來源的可得性不一。 某些市場的公司註冊資料可免費搜尋，另一些市場的實益擁有權資料則須付費查閱，甚至不向公眾開放。同一項 KYB 核實在一個市場只需數分鐘，在另一個市場可能需時數日；可合法取得的證據亦會因司法管轄區而異。

私隱保障與 AML 要求之間的張力。 新加坡及馬來西亞的 PDPA 類私隱制度，與 AML 所要求的資料共享之間存在實際張力。機構可以為 CDD 收集身分證明文件，但保存期限、可共享對象，以及能否把資料跨境傳送至中央證據庫，均可能受到限制。跨境團隊必須在同一套設計中同時滿足兩類要求。

多個監管機構，多套時序要求。 星期一在香港完成開戶的客戶，星期二可能因杜拜交易觸發 Travel Rule 義務，星期三又收到 MAS 相關查詢。當同一客戶關係同時受到多套監管制度檢視，控制缺口便會立即成為實際營運問題。

Travel Rule 跨境通道。 本地 CDD 通常止於機構自身保存的檔案，跨境 CDD 則延伸至不受己方控制的交易對手。若接收機構無法確認收款人，轉帳便會停滯，而客戶最直接感受到的是付款失敗。

一家化名為「Meridian Pay」的新加坡支付公司在 2025 年親身遇到這個問題。其新加坡 CDD 檔案原本完整，但拓展香港後，證監會在例行審查中查詢一名企業客戶的 UBO 鏈。Meridian 的新加坡流程只記錄由本地代理申報的 UBO，香港審查則要求以一手證據核實。結果是十一天往返補件、企業帳戶被暫時限制，以及一項此後適用於所有新市場的規則：證據標準應由所涉市場中要求最嚴格的監管機構決定，而不是由操作方便程度決定。

3. 跨境 CDD 核心框架

團隊需要一套既能容納本地差異、又能維持一致證據標準的多司法管轄區 KYC/KYB 框架。以下是可供審計團隊常用的五步模式。

跨市場風險分層

根據地域、產品、預期活動、擁有權複雜程度及 PEP 風險等共通信號，把每位客戶及每個實體劃分為低、標準或高風險。同一客戶在不同市場可能屬於不同級別；系統應同時保留各市場判斷而不互相衝突。風險分層可落實比例原則：在 FATF Recommendation 1 容許的情況下採用 SDD，並把分析資源集中於真正需要人工判斷的帳戶。

收集個人及實體證據（CIP／CDD、KYB 與 UBO）

應按跨境市場中最嚴格的監管要求設定統一內部身分證據標準。個人客戶須核實政府簽發的身分證明文件及地址，並在適用時進行活體或文件真偽檢查；實體客戶則須完成 KYB，確認法律存在、業務目的，以及按各司法管轄區的門檻和控制權測試識別實益擁有權。只要市場條件容許，便應以一手資料核實，並將證據保存為相互連結的紀錄，而不是散落於資料夾內的 PDF。

篩查：制裁、PEP 與負面新聞

在開戶及持續監控階段，均應進行制裁、PEP 及負面新聞篩查。跨境營運的常見錯誤，是只查核本地市場名單；未被歐盟制裁的客戶，仍可能命中杜拜適用的聯合國或區域名單。篩查應是持續執行的控制措施，並在紀錄中保留每次使用的名單版本。

決策與升級處理（L1／L2、MLRO 批核）

應建立清晰的決策路徑。L1 分析人員處理標準證據及明確的低風險個案；L2 負責例外情況、EDD，以及涉及高風險司法管轄區或 PEP 的個案；MLRO 則批核 EDD 結案及可疑活動決定。重點是建立一套能通過審計的書面問責鏈。當警報量偏高時， AML Sentinel 可協助進行個案分流及降低噪音，讓 L2 人員集中處理真正風險，而不是消耗時間於誤報。

持續監控與永久 KYC

CDD 並不會在客戶完成開戶後結束。跨境客戶可能新增附屬公司、改變交易通道，或委任具有 PEP 身分的董事。持續 KYC 應按風險週期更新證據，並在出現重大變更時重新審查。相較單純計算警報數量，監控轉化率，即警報最終形成實際個案的比例，更能反映監控成效。

當交易監控開始在不同走廊產生警報，下一項控制就是確保每一次關閉和升級都留下經得起覆核的紀錄。我們的 AML 警報分診實務指南 說明如何把監控噪音轉化為可辯護的 STR 級證據。

4. 亞太市場實務指引

以下整理團隊最常進入的四個市場及其監管特點，這部分往往被一般指南忽略。正式上線前，仍應由當地法律顧問確認適用門檻。

香港 – 證監會/金管局

香港的 AML 制度以《打擊洗錢及恐怖分子資金籌集條例》（AMLO）為基礎，銀行由香港金管局監管，持牌法團及 VASP 則由證監會監管。有兩項發展尤其重要。第一，證監會要求 VASP 即時提交指定的匯款人及收款人資料，即在虛擬資產轉帳之前或進行轉帳時提交；該要求已於 2024 年 1 月 1 日生效。請參閱 證監會 AML/CFT 常見問題 了解相關監管期望。第二，香港金管局於 2025 年 11 月發布的「Smart Tips」說明如何以風險為本方式處理政治人物（PEP）、其家庭成員及密切關係人。指引要求採取合乎比例的個案評估，而不是在所有情況下一律採取相同處理。詳情請參閱 香港金管局 PEP 指引 。

新加坡 – MAS 通知 626 / PSN01-02

新加坡金融管理局透過按行業劃分的通知設定 CDD 要求，包括適用於銀行的 Notice 626，以及適用於指定支付服務的 PSN01，兩者不能合併為單一門檻。Notice 626 一般在銀行建立業務關係、為未建立業務關係的客戶進行超過 20,000 新元的非帳戶交易、處理指定電匯或數碼代幣轉帳、懷疑涉及洗錢或恐怖分子資金籌集，或對既有資料存疑時觸發 CDD。PSN01 採用不同條件，包括部分非帳戶持有人交易超過 5,000 新元的門檻，以及特定跨境轉帳和可疑交易觸發條件。SDD、CDD 及 EDD 可沿用上述分層框架；證據保存及跨境共享亦須同時接受 PDPA 與 AML 審查。

杜拜 – VARA Travel Rule

杜拜的虛擬資產行業由 VARA 監管。VARA 的 Travel Rule 要求與 FATF 標準一致，在適用的聯邦 AML/CFT 要求下，適用於超過 3,500 迪拉姆的虛擬資產轉帳。對杜拜 VASP 而言，實務重點是資料欄位對應：系統傳送的欄位必須符合香港、新加坡或其他市場交易對手的接收要求。請參閱 VARA FATF Travel Rule 規則 ，並在上線前完成各市場走廊的欄位配置。 Travel Rule Configurator 可協助團隊按市場走廊完成相關配置。

吉隆坡：馬來西亞合作夥伴路徑

馬來西亞的制度由馬來西亞國家銀行及馬來西亞公司委員會（SSM）共同構成，實益擁有權披露日益重要。跨境營運商進入馬來西亞時，往往採用合作夥伴或市場走廊模式，而非獨立持牌，因此證據共享及依賴安排是關鍵控制。文件必須清楚列明由哪一方執行 CDD、哪一方依賴相關結果，以及審計軌跡保存於何處。

跨市場採用統一證據模式

四個市場的核心結構相同：身分、實體、UBO、篩查及監控。然而，不少團隊仍把資料分別存放於四個市場孤島。較有效的方法，是按共通資料架構收集一次證據，再加上司法管轄區標籤，使單一客戶紀錄毋須重建，便能回應香港金管局、MAS、VARA 或 BNM 的查詢。這正是 APAC 合規解決方案 圍繞一條可供審計追蹤建置。

此表可快速比較香港與新加坡的 KYC 要求，亦適合作為團隊內部參考，而不應只停留在文章層面。

5. 最佳實務：建立一套可供審計的證據鏈，而非市場孤島

這是區分可擴展跨境計劃與脆弱營運模式的三項關鍵實務之一。

可供審計的紀錄應包含甚麼

可供審計的 KYC/KYB 紀錄不是一個存放 PDF 的資料夾，而是一組相互連結的資料物件：已核實的個人身分、已核實的實體、附有一手證據的 UBO 關係圖、每次篩查及所用名單版本、決策及決策人，以及後續監控事件。每個物件均保留由誰、在何時、依據哪些證據及規則處理的元資料。當任何市場的監管機構要求查看某位客戶的 CDD 時，團隊應能以一次查詢提供完整紀錄，而不是花一星期重新組合檔案。

決策軌跡與分析人員問責

審計人員不只檢查機構有否完成篩查，也會查核由誰作出決定及其依據。決策軌跡應記錄分析人員、所屬風險級別、升級路徑、MLRO 批核及決策理由。當審查人員看到高風險帳戶經 L2 處理並完成書面 EDD，整套計劃便能顯示為受控；如決策軌跡缺失，即使結果正確也會被視為控制缺口。建立這套統一證據鏈，正是 Compliance Quality Analysis 所支援的核心工作；它把證據紀錄本身視為可管理、可匯出並可供監管檢視的資產。

6. 最佳實務：量度 KYC/KYB 品質（KQC）

多數團隊只量度處理量，例如每星期完成多少個開戶個案；具擴展能力的團隊則同時量度品質，因為再快的流程，只要產出的證據無法通過審計，最終仍會在監管檢查中形成風險。

值得持續追蹤的指標

應持續追蹤一組精簡而具判斷價值的 KQC 指標：

• 人工審核率（MRR）： 需要人工審核的個案比例。比例過高通常表示證據收集不足；過低則可能代表自動化缺乏必要的人手覆核。
• 決策時間中位數（TTD）： 完成 CDD 決策所需時間的中位數。TTD 持續上升，通常表示風險分層或例外處理流程出現問題。
• 警報轉化個案比率： 最終形成實際個案的警報比例，用於衡量警報噪音。
• 審計返工率： 被審計人員退回補正的紀錄比例，是最直接反映證據品質的指標之一。
• 供應商基準比較： 比較各核實服務供應商的準確度及處理速度，作為重新編排供應商組合的依據。

例外模式分析

單看數字並不能改善計劃，找出重複出現的模式才有作用。例外模式分析要回答的是：為何同一組紀錄需要返工？問題是否集中於特定司法管轄區、文件類型或供應商？我們曾協助一家往來吉隆坡與香港的匯款營運商，發現其 38% 企業檔案在審計時被退回，原因是某市場通道的 UBO 證據只有「申報」，未有「核實」。收緊證據收集並開始量度 KQC 後，其風險隊列人工審核率降至 0.8%。這類改善可使合規由成本中心轉化為市場上線的推動力。UWAY 試點部署錄得誤報覆核工作量減少 60%，推出速度較在傳統系統上重建快最多四倍。要了解 KQC 品質基準 及其解讀方法，可先從上述指標建立基線。

7. 最佳實務：證據先於擴張（結構優於規模）

第三項實務與其說是一項控制措施，不如說是一套保障業務路線圖的營運紀律。

先建立控制模式，再增加業務量

進入新市場時，團隊很容易先啟動客戶開戶，再在業務量增加後補修控制措施。這個次序並不可取。應在該市場迎接第一位客戶前，先建立風險分層、證據資料架構、篩查、決策及監控等控制模式。低業務量時調整控制的成本較低；待規模形成後才重整，不但成本高，監管機構亦會看出兩者差異。

上線前準備清單

進入新市場前，請確認：

• 證據資料架構符合所涉市場中最嚴格的監管要求，而不只是本地最低標準。
• UBO 識別遵循各市場適用的擁有權門檻及控制權測試，並在可行時以一手資料核實。
• 篩查涵蓋所有服務市場適用的名單，而不只限於本地市場。
• 決策及升級路徑已有書面紀錄，並清楚界定 MLRO 批核要求。
• 所有涉及的 VASP 市場通道均已完成 Travel Rule 資料欄位對應。
• 可供審計的紀錄自第一天起即可按司法管轄區匯出。

這就是「結構優於規模」的實際做法：先建立證據，再增加業務量。這亦解釋了採用 統一的亞太證據鏈 的團隊，往往能更快、更穩妥地進入新市場。控制模式已經存在，所需調整的只是本地規則標籤。

8. 將 Travel Rule 納入 CDD

對虛擬資產業務而言，Travel Rule 並非附帶義務，而是涉及交易對手的 CDD 延伸。跨境落實需處理三項核心工作。

第一，確認適用門檻。FATF 的參考門檻為等值 1,000 美元／歐元，但香港證監會 VASP 規則及杜拜 VARA 等本地制度各有具體要求。每筆轉帳均應按相關市場通道的正確門檻判斷。

第二，完成資料欄位對應。匯款人及收款人資料必須以接收方 VASP 能處理的格式傳送。一家化名為「GulfChain」的杜拜 VASP 在接入香港交易對手的首月，因傳送資料缺少證監會 VASP 規則要求的欄位而多次拒絕轉帳。按市場通道完成欄位對應後，問題便獲解決，毋須更換供應商。

第三，確認交易對手。在依賴所接收資料前，應確認交易對手為受監管或已註冊的 VASP。未經確認的交易對手會形成 CDD 缺口，轉帳延誤只是表面現象。 按市場通道配置 Travel Rule 資料欄位 功能可把這項工作轉化為配置，而不是每次編寫客製程式。

如需深入了解香港、新加坡、杜拜與馬來西亞的逐市場實施方案，請參閱我們的 亞太 VASP Travel Rule 合規指南.

正在比較兩個主要亞洲金融樞紐的創業者，可參閱我們的 香港與新加坡 KYC/KYB 合規指南 ，並列比較監管架構、控制人登記冊、PEP 處理及申報工作流程。

9. 常見跨境 CDD 錯誤及避免方法

以下錯誤看似普通，但一旦在多個市場累積，往往只能以高昂成本補救：

• 只按本地市場最低要求設計。 應按所涉市場中最嚴格的監管要求建立控制。
• 按市場分散保存證據。 應採用一套相互連結的資料架構，並加入司法管轄區標籤。
• 只篩查本地名單。 應持續篩查所有服務市場適用的名單。
• 把 UBO 視為只需申報。 FATF Recommendation 24 要求實益擁有權資料充分、準確並保持最新。應在可行時取得一手證據，並記錄所採用的核實方法。
• 在控制模式建立前啟動客戶開戶。 應先完成第 7 節的上線前檢查清單。
• 只量度處理量，不量度品質。 應在擴大規模前開始量度 KQC。
• 任由 Travel Rule 資料格式因交易對手而失去一致性。 應按市場通道完成配置並維持版本控制。

這些問題並不罕見，卻會在跨境營運中逐步累積，直至審計時才集中暴露。若現有技術架構仍無法支援上述控制， API 優先的供應商編排層 通常是最快補足缺口的方式。

10. 工具與供應商編排考慮

這套能力不會只依賴一項工具，也不應假設單一供應商能覆蓋所有市場。較合理的做法，是以統一編排層整合各項專門服務。

採用 API 優先架構。 證據鏈應可透過 API 存取，使篩查、文件核實、公司註冊資料查詢及 Travel Rule 事件都寫入同一紀錄。若供應商不能回傳可追溯至資料來源的證據連結結果，就不應成為核心證據鏈的一部分。我們的 API 文件 說明篩查、交易、Travel Rule 及 Webhook 事件如何寫回同一個可供審計的資料物件。

統一編排，而非逐項外掛。 各市場可選用最合適的核實服務，但所有結果都應通過同一決策及證據層。一項馬來西亞公司註冊資料查詢與一項香港活體檢查，最終應進入同一客戶紀錄，讓 MLRO 看到完整全貌。

保持證據軌跡供應商中立。 供應商可能更換，但證據不應因此失去連續性。應同時保存結果及資料來源，使團隊可以替換供應商，而毋須重寫過往審計紀錄。

11. 跨境 KYC/KYB CDD 檢查清單

可把以下內容作為執行摘要使用。完成所有項目，代表計劃已具備跨市場審計準備。

• 風險分層 按共通風險信號在各市場統一定義低／標準／高風險級別
• 身分證據 按所涉市場中最嚴格的標準收集（CIP）
• 實體及 KYB 已完成核實， UBO 已按各地適用的擁有權門檻及控制權測試完成評估
• 篩查 持續覆蓋所有相關制裁、PEP 及負面新聞名單
• 決策處理 已記錄 L1／L2／MLRO 批核路徑及決策理由
• 持續監控 已配置持續 KYC 及重大變更重新審查
• HK 已處理證監會 VASP Travel Rule（自 2024 年 1 月 1 日起）及香港金管局風險為本 PEP 指引（2025 年 11 月）
• SG 已對應適用的 MAS Notice 626 或 PSN01 CDD 及轉帳觸發條件
• DXB 已按交易對手完成 VARA Travel Rule 資料欄位對應
• KL 已按 BNM 及 SSM 要求記錄合作夥伴及依賴安排
• 統一證據鏈 不按市場分散保存，並可按司法管轄區匯出
• KQC 指標 持續追蹤 MRR、TTD、警報轉化個案比率、審計返工率及供應商基準
• Travel Rule 門檻判斷及交易對手確認流程已投入運作
• 上線前檢查清單 在任何新市場上線前完成

了解 APAC 合規解決方案 如何在下一個市場上線前落實這份檢查清單。

12. 總結與下一步

跨境 KYC/KYB 客戶盡職審查，並不只是較困難的本地 CDD，而是一套不同的營運方法：以統一證據標準回應多個監管機構，並確保審計軌跡可隨時提供。能夠順利拓展香港、新加坡、杜拜及吉隆坡市場的團隊，會在增加業務量前先建立控制模式和可供審計的證據鏈，遵循「證據先於擴張」，並把「結構優於規模」視為營運原則。

先以第 3 節的框架作為基礎，再按第 4 節的亞太市場實務調整。這四個市場的 亞太 KYC 要求 具備共同核心結構，團隊的工作是一次收集並持續維護相關證據。要了解 附有證據連結的 API 回應 如何把 Travel Rule 及篩查事件寫入單一紀錄，請參閱技術文件。當團隊準備拓展下一個市場，而不希望從零重建時，可 規劃亞太市場拓展 ，與一支把證據鏈視為核心營運資產的團隊共同推進。

FAQ

如何為跨境客戶執行 KYC？ 應按跨境市場中最嚴格的監管標準，一次收集個人及實體證據；依照各地適用的擁有權門檻及控制權測試核實實益擁有權，並針對所有相關制裁、PEP 及負面新聞名單持續篩查。證據應保存為一套相互連結的紀錄，而不是分散於各市場的獨立檔案，讓任何相關監管機構都能追溯完整決策過程。

香港與新加坡的 KYC 要求有何不同？ 香港在 AMLO 及證監會／香港金管局監管框架下，以風險為本方式實施 CDD／EDD；證監會關於 VASP 即時提交指定 Travel Rule 資料的要求已於 2024 年 1 月 1 日生效。香港金管局 2025 年 11 月的「Smart Tips」說明如何以風險為本方式處理 PEP、家庭成員及密切關係人。新加坡則採用行業特定通知：銀行適用 Notice 626，指定支付服務適用 PSN01，兩者的非帳戶交易和轉帳觸發條件不同。兩地制度均要求按適用的擁有權及控制權測試核實實益擁有權。

KYC 與 KYB 有何分別？ KYC 用於核實自然人的身分；KYB 則用於核實法律實體及其實益擁有人，包括確認公司確實存在、了解其業務，以及核實達到適用擁有權門檻或透過其他方式行使控制權的自然人。由於多層實體架構常被用來隱藏實際擁有權，跨境風險往往更集中於 KYB。

甚麼是可供審計的 KYC 證據鏈？ 這是一套相互連結的紀錄，包括已核實身分、已核實實體、附有證明的 UBO 關係圖、篩查結果及名單版本、決策與決策人，以及後續監控事件。每項紀錄都應說明由誰、在何時、根據哪些證據及規則作出處理，使任何市場的監管機構都能透過一次查詢取得完整 CDD 過程，而毋須重新整理檔案。

CDD、EDD 與 SDD 有何分別？ CDD 是個人及實體核實的標準基線。當風險確實較低且符合 FATF Recommendation 1 的比例原則時，可採用較精簡的 SDD。EDD 則是更深入的審查，包括財富來源、關係圖譜及更密切監控，通常適用於 PEP、高風險司法管轄區及複雜擁有權架構。