作者：UWAY Innovation 亞太合規主管。本文提供方案層面的營運指引，不構成法律意見。
對境外進入者而言，第一個馬來西亞 KYC/KYB 問題是誰持有報告機構身份。這個身份決定 CDD 責任、第三方依賴及實益擁有權資料的取得路徑。
馬來西亞已制定細緻的客戶盡職審查規則。市場進入中更早出現的難題，是營運架構內哪一個實體屬於報告機構。
這個身份決定誰承擔義務、誰可以依賴另一家機構、誰必須保存證據，以及誰有途徑取得實益擁有權資料。境外技術供應商可以提供核實工具與證據，但商業合約不會把本地機構的監管身份轉移給供應商。
對準備進入馬來西亞的支付、匯款、遊戲與數字資產企業而言，這項區分非常重要。設計客戶開立流程前，企業需要先找出架構內的受監管一方，並了解證據鏈中哪些部分仍由該方控制。
兩道門
2026 年 9 月 30 日，馬來西亞國家銀行公布對 SMJ Teratai Sdn. Bhd. 的執法行動。這項 6,900 令吉的行政罰款於 2026 年 7 月 23 日作出，原因是持牌貨幣兌換營運商未有對一名客戶進行 CDD。馬來西亞國家銀行把失誤歸因於員工執行 CDD 要求時欠缺合理謹慎，並指出報告機構須透過授權書或董事決議，識別及核實獲授權代表公司的人（馬來西亞國家銀行執法公告）。
公告清楚指出承受罰款的一方：持牌營運商。它也揭示境外進入者會遇到的兩道門。
第一道門關乎依賴。馬來西亞報告機構可以在符合條件時，依賴合資格第三方完成部分 CDD，但責任仍留在馬來西亞報告機構。第二道門關乎企業證據。馬來西亞的實益擁有權登記冊設有明確的存取邊界。境外進入者不會因向馬來西亞企業提供服務、進行系統整合或簽訂合約而自動取得一般查詢權。
這兩道門改變了市場進入工作的次序。產品設計可以提早展開，但控制責任必須先行定位。客戶身處另一司法管轄區時的跨境 KYC/KYB 實務也呈現相同結構：證據可以在系統之間流動，法定責任仍然附着於特定實體。
義務附着於報告機構，並留在那裏
馬來西亞《2001 年反洗錢、反恐融資與非法活動收益法》把 CDD 義務載於第 16 條，並透過第一附表界定受規管活動。馬來西亞國家銀行的金融機構政策文件進一步把詳細要求適用於十四類持牌或受監督機構，以及相關分行、子公司和國家銀行另行指定的人（馬來西亞國家銀行 AML/CFT/CPF 政策文件）。
馬來西亞證券監督委員會對資本市場採用相同的機構視角。其 2024 年指引適用於報告機構，也涵蓋在馬來西亞境外從事第一附表活動的分行與多數控股子公司。當東道國標準較寬鬆時，馬來西亞報告機構須在當地法律允許的範圍內採用與馬來西亞一致的措施。東道國法律阻止採用時，機構須增加緩釋措施並通知證監會。
規則的方向十分清楚。馬來西亞牌照可以把控制要求延伸至集團境外實體；境外母公司、平台或供應商不會把馬來西亞的法定義務從持牌實體移走。
第三方依賴條文直接確認這項分配。國家銀行第 16.2 段規定，CDD 的最終責任與問責仍由依賴第三方的報告機構承擔。證監會第 8.6.7 段重申相同原則。外包可以改變執行工作的一方，卻不會改變需要為結果負責的一方。
貨幣服務業的本地邊界在准入階段也很明顯。國家銀行公開問答指出，只有根據《2016 年公司法》或相應舊法成立的公司可以申請 MSB 牌照。獲委任為 MSB 代理也須符合相同的本地註冊要求。境外股東可以參與，但須接受國家銀行評估及適當人選審查；持牌營運實體仍然是本地公司。
「受適當監管」是依賴測試
依賴的範圍比採購窄。報告機構可以向技術供應商購買軟件；若要把另一方完成的 CDD 視為機構本身的監管 CDD，則需要另一套分析。
國家銀行第 16.5 段要求被依賴方受到適當監管，並接受相關主管機構的 AML/CFT/CPF 監督。報告機構須確認第三方具備充分的 CDD 措施、能夠即時提供資料，並可在要求時立即提供相關文件。規則禁止依賴位於高風險國家的第三方，持續盡職審查也必須留在報告機構。
證監會標準與此接近。其「第三方機構」定義指受監督、受監測並符合第 8.6 段的金融機構。被依賴機構須受到適當監管與監督、提供證明，並讓 CDD 材料可供取得。報告機構不能把持續盡職審查交給該第三方。
這套規則沒有排除所有境外實體。境外受監管金融機構在馬來西亞報告機構能夠證明其監督、控制與文件存取符合要求時，仍可能通過測試。未受監管的境外 KYC 供應商處於另一個位置。它可以提供技術、數據與工作流程支援；其產出屬於馬來西亞機構使用的證據，是否足以滿足 CDD 義務仍由馬來西亞機構判斷。
市場進入合約因此需要區分技術供應與監管依賴。前者十分常見；後者需要受監管交易對手、明確的證據存取承諾，以及願意保留問責責任的馬來西亞報告機構。
登記冊之門：實益擁有權設有存取邊界
馬來西亞《公司法》的實益擁有權框架於 2024 年 4 月 1 日生效。公司須保存實益擁有權資料，並透過電子實益擁有權系統提交變更。實務指令要求公司在資料記入公司登記冊後十四日內完成申報。
相關存取規則比一般公司查冊更窄。SSM 實益擁有權指引第 62 段列明主管當局、執法機構、實益擁有人及其授權人士。部長也可以指定其他公共機構，以及依 AMLA 第一附表公告的報告機構。
境外進入者不會僅因需要資料進行客戶開立而取得一般存取權。存取途徑可以來自獲授權人士、合資格報告機構或其他指定渠道。執行 KYB 的實體需要清楚記錄其使用哪一條途徑，以及可以從該途徑保留甚麼證據。
外國公司也面對直接申報要求。SSM 指引指出，外國公司在註冊階段須根據《公司法》第 562(1)(fa) 段申報實益擁有權資料。這項申報義務有助建立登記冊，但不會向每一名申報人或服務供應商開放查詢權。
這正是穿透多層實體的實益擁有權追蹤遇上司法管轄區邊界的位置。公司文件、股權圖與聲明可以隨客戶流動；權威登記冊視圖仍由馬來西亞法律和查詢方的存取身份控制。
一家公司，兩個門檻
馬來西亞在這個領域使用兩個持股門檻，分別服務不同監管目的。
SSM 的公司法框架把直接或間接持有不少於 20% 股份列為實益擁有權判據之一。持股低於這個水平，但對董事或管理層行使重大控制或影響的人，也可以被納入。該登記冊依《公司法》第 60A 條記錄最終擁有或控制公司的人。
國家銀行的 CDD 政策在識別法人控制性所有權的首個遞進步驟中，採用超過 25% 的門檻。若沒有自然人透過所有權被識別，機構須進一步檢視其他控制方式，最後檢視高級管理層。證監會指引對公司股東，以及有限責任合夥人的出資或投票權，同樣採用超過 25%。
假設一名自然人持有公司 22% 股份，也沒有其他形式的控制。這個人符合 SSM 不少於 20% 的所有權判據，但持股沒有跨過國家銀行與證監會 CDD 遞進測試中超過 25% 的首個步驟。其他控制測試仍可能識別此人，機構也仍須了解公司的所有權及控制架構。
兩個數字服務兩份紀錄。一個適用於公司法下的實益擁有權登記冊；另一個啟動風險為本的 CDD 識別遞進程序。市場進入數據模型應保存兩個欄位及其來源。把它們合併成單一的「馬來西亞 UBO 門檻」，會失去每個結果背後的用途。
馬來西亞合作方會要求甚麼
馬來西亞報告機構需要足夠證據，以確立法人、權力架構、授權代表及實益擁有人。
根據國家銀行政策，證據可以包括公司註冊證明、章程或合夥協議、稅務識別號碼、董事決議、高級管理層姓名、註冊地址及主要營業地點。授權代表須透過書面授權或董事決議完成識別與核實。證監會指引提到經核證或公證的表格 24 與表格 49，境外法人則可提交等同文件，並須提供相關股東、董事、合夥人及高級人員的身份文件。
數字客戶開立增加另一層控制。馬來西亞國家銀行 e-KYC 政策要求對個人進行文件核實、生物特徵比對及活體檢測。對法人，政策要求識別及核實實體為真實業務、授權人士與實益擁有人。政策也把與董事或授權人士進行視像通話，列為測試業務真實性的其中一種方法。
系統表現證據也會進入合作關係。若錯誤接受率在四個月內任何兩個月超過 5%，機構須通知國家銀行並提交評估與緩釋措施。最低樣本須達到 95% 置信水平及 3% 誤差幅度，或每月 400 個案例，以較高者為準。
對持牌貨幣兌換商、匯款服務商及指定非銀行支付工具發行人而言，實施時間取決於監管批准。第 11.1 段要求在實施 e-KYC 或更換指定技術供應商前，先取得國家銀行支付服務監督部門的書面批准。即使技術整合已經完成，更換供應商仍可能影響上線時間表。
這些要求說明了為甚麼身份核實細節會決定檔案能否通過覆核。馬來西亞合作方會同時評估客戶證據，以及核實系統背後的營運證據。
境外進入者最終站在哪裏
在商業模式及適用制度允許時，境外進入者可以申請馬來西亞牌照。這條路徑帶來本地註冊、監管評估、治理、控制與技術批准義務，也讓進入者取得受監管位置，並對該位置產生的證據負責。
其他架構會把馬來西亞銀行、支付機構、MSB、資本市場中介機構或另一受監管方置於中心。在這些架構下，境外企業應在推出前釐清四項事實：哪個實體是報告機構；哪些 CDD 步驟由它自行執行；它會接受哪些境外證據；哪些登記冊資料只能透過獲授權的馬來西亞渠道取得。
本文與香港和新加坡牌照制度的比較處於不同位置。這裏的問題出現在司法管轄區比較之前，關注馬來西亞規則在擬議營運架構內承認誰。
團隊可以把結論放進呈現監管責任歸屬的亞太控制地圖。產品、合作與供應商決策便可以沿用同一張機構地圖。馬來西亞規則十分細緻，其中最清晰的部分，是誰必須承擔這些規則。