首页
新闻及公告
法律快讯
CIMA发布新的反洗钱规则及制裁规则：开曼群岛受监管金融服务提供商的主要义务

CIMA发布新的反洗钱规则及制裁规则：开曼群岛受监管金融服务提供商的主要义务

2026年7月29日 . 15 min read

1. 摘要

2026年7月20日，开曼群岛金融管理局（“CIMA”）在政府宪报上公布了《金融服务提供商有效合规计划规则——防范和侦测洗钱、恐怖主义融资及扩散融资》（“反洗钱规则”），同时公布了配套的《遵守金融制裁及定向金融制裁规则》（“制裁规则”，与反洗钱规则合称“规则”）。该等规则将于2026年9月18日生效，即自其在政府宪报公布之日起满六十日。

反洗钱规则依据《金融管理局法》第6(1)(b)条及第34(1)条制定，并明确规定其“具有法律效力”。该规则对《反洗钱条例》（“反洗钱条例”）作出补充，同时明确从属于反洗钱条例；如二者存在任何不一致之处，应以反洗钱条例为准。² 就实质内容而言，反洗钱规则将此前载于CIMA《开曼群岛防范和侦测洗钱及恐怖主义融资指引》（“指引”）中的相关义务加以整合和提炼，形成一项篇幅更为精简且可直接执行的规范性文件。该规则还新增或扩展了若干义务，其中最重要的涉及：(i) 独立审计；(ii) 外包通知；以及(iii) 合规培训，具体内容见下文第5节。

本法律动态概述反洗钱规则对受CIMA监管的金融服务提供商（“金融服务提供商”）的适用范围、主要要求及实务影响，并列明在2026年9月18日生效日期前需要采取行动的重点领域。

2. 背景

在开曼群岛境内或从开曼群岛开展相关金融业务的金融服务提供商，须遵守现行的反洗钱、反恐怖主义融资及反扩散融资（AML/CFT/CPF）监管框架。该框架包括《犯罪所得法》（“POCA”）、《反洗钱条例》、《恐怖主义法》（“TA”）、《禁止扩散融资法》（“PFPA”）、《实益所有权透明度法》以及《指引》。从历史上看，《指引》并不具有正式的法律约束力；但金融服务提供商未遵守《指引》的情况，可能会被CIMA在作出监管及执法决定时纳入考量。

反洗钱规则改变了上述状况，使相关核心义务具有完全可执行性。相比之下，《指引》在法律技术层面并不具有可执行性，尽管其在实践中一直被视为具有约束力。违反反洗钱规则或制裁规则，可能导致罚款或其他监管措施, 如任何一项规则的规定与CIMA此前或现行发布的任何指引、政策声明或解释性材料存在不一致，则应以该项规则的规定为准。

本次改革亦应结合开曼群岛为下一轮金融行动特别工作组／加勒比金融行动特别工作组（FATF/CFATF）相互评估所作准备这一更广泛的背景加以审视。目前，现场评估预计将于2027年下半年进行。以具有直接可执行性及可审计性的规则取代不具约束力的指引，符合FATF所强调的监管重点，即反洗钱及反恐怖主义融资框架不仅须在制度层面存在，更须具备可予证明的实际成效。

3. 适用对象及范围

《反洗钱规则》第5.1条规定，该规则适用于“根据各项监管法例受CIMA监管及监督的所有金融服务提供商，包括CIMA所监管金融集团的分支机构、附属公司、关联机构及任何其他成员”。其适用范围涵盖所有在CIMA注册或获CIMA发牌的业务类别，包括注册共同基金及私募基金、根据《证券投资业务法》注册的人士、银行及信托公司、保险及再保险持牌人、证券投资业务持牌人、虚拟资产服务提供商、货币服务业务经营者、公司管理人及公司服务提供商，以及构成CIMA所监管金融集团一部分的分支机构、附属公司及关联机构。

《反洗钱规则》不适用于未在CIMA注册或未获CIMA发牌的人士。鉴于该规则项下“金融服务提供商”的定义与《反洗钱条例》中“相关金融业务”的概念相衔接，金融服务提供商应审慎核实其监管身份，不应仅凭主观判断认定自身不属于该规则的适用范围。

每一金融服务提供商均须实施与其规模、复杂程度、组织架构、业务性质及风险状况相适应的合规计划。因此，比例原则贯穿《反洗钱规则》始终，即金融服务提供商合规计划的规模及完善程度应与其自身风险状况相匹配，而非对所有受监管实体一概适用统一标准。

4. 生效日期

《反洗钱规则》及《制裁规则》将于2026年9月18日生效，即自2026年7月20日在政府宪报公布之日起满六十日。金融服务提供商应将该日期视为执行截至日期，并应在该日期之前落实对其合规计划所需作出的任何修订，包括完善相关文件、治理安排及培训机制。

5. 《反洗钱规则》的主要要求

《反洗钱规则》明确规定，有效的合规计划应包含以下五（5）项核心要素：(i) 委任反洗钱合规官（AMLCO）、洗钱报告官（MLRO）及副洗钱报告官（DMLRO）；(ii) 制定书面的政策、程序及控制措施；(iii) 建立书面的风险为本方法，并定期开展风险评估；(iv) 实施持续性合规培训计划，并以书面培训方案作为支持；以及(v) 持续评估合规计划的有效性，包括开展独立审计。下文将逐项阐述。

5.1 治理及反洗钱合规官、洗钱报告官和副洗钱报告官的委任

金融服务提供商的治理机构（视适用情况，包括董事会、普通合伙人、管理人或受托人委员会）须为合规计划建立并维持清晰明确的治理框架，包括以书面形式明确参与合规计划实施及监督的高级人员的职能与责任，并委任反洗钱合规官、洗钱报告官及副洗钱报告官。上述各职务均须由自然人担任，且其职级不得低于管理层级别。

反洗钱合规官在履行合规职能时，必须“独立、客观于其监督范围内的业务及运营职能；如在实践中无法实现完全分离，则须确保任何利益冲突均得到有效管理。”该项规定属于在《指引》项下既有反洗钱合规官适当人选标准基础上作出的扩展性要求。
即使反洗钱合规官已将特定职责委派予他人，其仍须对合规计划承担总体责任。反洗钱合规官还须至少每年一次向治理机构报告合规计划的运行情况，包括提请治理机构关注并处理任何有关洗钱、恐怖主义融资、扩散融资（ML/TF/PF）或制裁方面的问题。
《反洗钱规则》及《反洗钱条例》均未要求反洗钱合规官、洗钱报告官或副洗钱报告官必须常驻开曼群岛。CIMA另已在其公布的基金反洗钱常见问题解答中确认，上述人员可在开曼群岛境外任职，但前提是其符合适用的适当人选标准，且相关金融服务提供商能够持续遵守其在开曼群岛法律项下的反洗钱及反恐怖主义融资义务。

5.2 风险为本方法及风险评估

金融服务提供商须建立、实施并以书面形式记录一套风险为本的方法，旨在识别、评估、管理及降低洗钱、恐怖主义融资及扩散融资（ML/TF/PF）风险。在此过程中，金融服务提供商应综合考虑客户／申请人的类型、地域风险敞口、产品、服务、交易及交付渠道，并将开曼群岛国家风险评估的相关结论纳入考量。

《反洗钱规则》明确规定，如发生下列特定触发事件，金融服务提供商须“立即”更新风险评估：(i) 推出新产品或开展新业务线；(ii) 将业务拓展至较高风险地区；(iii) 发生合并、收购或重大公司重组；以及(iv) 出现影响其风险敞口的经济或地缘政治事态发展。

5.3 政策、程序及客户尽职调查

金融服务提供商须至少就以下事项制定并以书面形式记录相关政策、程序及控制措施：风险评估及风险为本方法的应用；客户尽职调查（“CDD”）及持续监控，包括针对政治公众人物等较高风险客户采取强化措施；记录保存及留存；合规计划的外包；可疑活动的识别、监控、调查、上报及报告（包括适用情况下的转账信息规则要求）；以及金融制裁合规，包括根据官方制裁名单开展筛查。相关政策应由该金融服务提供商的治理机构正式批准；与之相关的程序及控制措施则须经高级管理层、治理机构或两者共同批准。
在其他触发情形之外，如任何一次性交易的金额超过10,000开曼群岛元（或其等值金额），金融服务提供商须开展CDD；如多笔金额较小且相互关联的交易疑似经刻意安排，以规避上述金额门槛，亦须开展客户尽职调查。所有电汇交易均须开展CDD。
如业务关系或交易在CDD完成前已予建立或开展，《反洗钱规则》要求金融服务提供商在核实工作完成前对该业务关系或交易实施强化监控及审查。此项安排仅为在符合特定条件下适用的例外便利措施，不构成对CDD义务的一般性延期。
用于证明某人获授权代表客户行事的授权文件，须经认证及核实并予以留存；同时，金融服务提供商须按照适用于该客户的同等标准，对该获授权人士开展CDD。
《反洗钱规则》仍明确允许使用电子化客户身份识别（e-KYC）及数字身份核验技术，但有关客户准入的决定须以风险评估为基础作出。
对于根据国家风险评估被认定为低风险的客户，仍可实施简化尽职调查，但须遵守以下限制：无论是否实施简化尽职调查，均须持续开展制裁筛查；如存在任何洗钱、恐怖主义融资或扩散融资的嫌疑，则不得实施简化尽职调查。

5.4 记录保存及实益所有权信息

身份识别及核验记录、账户记录、往来函件及交易记录，须自相关业务关系终止之日或相关一次性交易完成之日起至少保存五年，并应在CIMA提出要求时立即向其提供。
《反洗钱规则》就实益所有权信息规定了一项明确且独立的义务：对于所有属于法人或法律安排的客户，金融服务提供商不仅须保存其相关实益所有权信息，还须确保该等信息“准确、充分且为最新信息”，并对其进行定期审查。该等记录须自相关客户解散或客户关系终止之日起至少保存五年。

5.5 独立审计

金融服务提供商须设立并维持独立审计职能，以审查及测试合规计划是否充分及有效。该项要求是对《反洗钱条例》第5条的补充，亦构成《反洗钱规则》项下扩展幅度较为显著的义务之一。
审计须由“具备适当资质”的人员实施。该等人员须“独立于并区别于参与设计、实施或运行受审计政策、程序、系统及控制措施的人员，且不存在任何可能妨碍其作出客观判断的利益冲突。”金融服务提供商须能够应CIMA要求，提供证明认定该等人员具备独立性的依据的相关文件。
审计频率仍应根据风险状况确定，但《反洗钱规则》对内部审计作出了新的限制：审计不得连续超过两个审计周期由内部人员实施；其后的审计周期必须由外部服务提供商实施。
审计完成后，金融服务提供商须“在切实可行的情况下尽快”向CIMA提交审计报告，或按照CIMA另行规定的时间提交。对于此前通常无须例行提交审计报告的金融服务提供商而言，此项规定构成一项新的报送义务。

5.6 外包

《反洗钱规则》重申了现有要求，即金融服务提供商在作出外包安排前，须开展风险评估（包括国家／地区风险评估）及尽职调查，并须订立书面外包协议，明确约定各方的权利及义务。
《反洗钱规则》明确要求，凡涉及合规计划“重大职能”的任何外包安排，金融服务提供商均须在合理期限内以书面形式通知CIMA。“重大职能”的涵义以CIMA《外包指导声明》中的定义为准。根据该《指导声明》，许多金融服务提供商目前已负有就重大外包安排通知CIMA的一般性义务；《反洗钱规则》则以明确、独立的条文，专门确立了该项通知义务中与反洗钱相关的部分。
如保密、秘密、隐私或数据保护方面的限制可能妨碍CIMA获取相关数据、信息或系统，金融服务提供商不得订立或继续维持有关外包安排。

5.7 合规培训

《反洗钱规则》新增一项独立要求，即金融服务提供商须制定书面且具有前瞻性的培训计划。该培训计划有别于培训活动本身，须涵盖以下事项：(i) 培训对象；(ii) 培训主题及材料；(iii) 培训方式；以及(iv) 培训频率。
必须接受培训的人员包括：直接面向客户的员工及代理人；参与客户交易活动的人员；经手现金、资金或虚拟货币的人员；以及负责实施或监督合规计划的人员，包括反洗钱合规官、高级管理人员、信息技术人员、治理机构成员及内部审计人员。
培训内容至少须涵盖：相关法定框架，包括POCA、《反洗钱条例》、PFPA及TA；洗钱、恐怖主义融资及扩散融资的背景、术语和典型手法；特定行业的风险及薄弱环节指标；识别与洗钱、恐怖主义融资、扩散融资或受制裁方相关的交易；金融服务提供商自身的政策，以及报告、记录保存和客户身份识别要求；以及在识别及上报可疑活动方面的内部职责分工。
除在发生相关触发事件时须提供培训外，培训还须至少每年开展一次。相关触发事件包括但不限于：例如，新员工开始与客户接洽之前，或相关程序及适用监管规定发生变更之后。
聘用第三方培训提供商本身并不构成合规计划的外包，但前提是金融服务提供商仍负责确定培训要求、评估培训提供商及培训内容是否适当，并监督培训实施是否充分。

金融服务提供商须保存培训记录。该等记录至少应载明培训日期、参训人员名单，以及培训所涵盖的主题及内容，并须在CIMA提出要求时向其提供。

6. 《反洗钱规则》引入的主要变化

《反洗钱规则》的大部分条文重申了《反洗钱条例》及《指引》项下原已适用的义务，但现将该等义务整合纳入一项具有法律执行力的规范性文件。下述事项构成金融服务提供商需要重点应对的最为重大的实体性或程序性变化。

相比之下，CDD的实体框架、记录保存期限、可疑活动报告义务、委任反洗钱合规官／洗钱报告官／副洗钱报告官的制度，以及风险为本方法的一般原则，与现行《反洗钱条例》及《指引》项下的规定相比，并无重大实质性变化。

7. 配套《制裁规则》

CIMA同时在政府宪报公布了《制裁规则》。该规则适用于同一范围内受CIMA监管的金融服务提供商，并于同一日期（即2026年9月18日）生效。《反洗钱规则》就制裁筛查的具体义务明确援引《制裁规则》。鉴于遵守制裁及定向金融制裁的相关要求已贯穿《反洗钱规则》项下的CDD、政策制定及培训要求，建议金融服务提供商将两项《规则》的合规工作作为一项统一协调的工作统筹推进。

8. 执法

对于任何违反《反洗钱规则》的行为，除CIMA可根据各项监管法例、《反洗钱条例》及《金融管理局法》行使的其他权力外，CIMA还将依据其《执法手册》予以处理。如上文第2节所述，如《反洗钱规则》的任何规定与CIMA此前发布的任何指引、政策声明或解释性材料存在不一致，应以《反洗钱规则》的规定为准。

9. 关键日

10. 建议采取的行动

建议金融服务提供商及其治理机构在2026年9月18日生效日期前采取以下措施：

对照《反洗钱规则》的最低要求，审查现行反洗钱、反恐怖主义融资及反扩散融资（AML/CFT/CPF）政策、程序及合规计划文件，并对所发现的任何缺口及时采取补救措施。
确认已就证明反洗钱合规官独立性的相关安排形成书面记录，尤其是在反洗钱合规职能与业务运营职能无法实现完全分离的情况下。
审查近期的审计记录，以确定最近两个审计周期是否均由内部人员实施；如是，则应安排由外部服务提供商实施下一审计周期的审计。
建立相应机制，确保合规计划审计完成后，能够及时向CIMA提交审计报告。
审查并在必要时更新金融服务提供商的书面风险评估；如属投资基金，则应审查并在必要时更新该基金的书面风险评估，同时确保有关风险评估充分涵盖《反洗钱规则》规定的各项触发事件。
制定或更新书面且具有前瞻性的培训计划，涵盖培训对象、培训主题、培训方式及培训频率，并将该培训计划作为区别于培训记录的独立合规成果文件。
确认涉及合规计划重大职能的所有外包安排均已或将以书面形式通知CIMA。
审查实益所有权信息的维护流程，以确认已建立定期审查机制，而非仅对该等信息进行留存。
将2026年9月18日的生效日期纳入合规工作日程，并预留充足时间，以确保治理机构在该日期前批准任何经更新的政策及程序。