2026年了，香港SFC牌照反洗钱审查这把刀悬在头上，不少持牌机构的日子不太好过。说真的，我在跨境金融法务这行摸爬滚打二十年，见过太多老板觉得拿到SFC牌照就万事大吉，结果反洗钱审查一来措手不及。香港证监会这两年明显在加码香港SFC牌照反洗钱审查的力度，AMLO的检查频率比以前密了不少，动不动就是500万港币的罚款起步，严重的还可能被吊销牌照。今天就来聊聊，SFC反洗钱审查到底查什么、被查了怎么应对、怎么提前布局才能安心睡觉。
SFC反洗钱审查到底在查什么
很多老板以为反洗钱审查就是走个形式，交几份文件就完事了。大错特错。SFC的反洗钱审查可不是应付差事，他们会翻你的客户尽职调查（CDD）记录、交易监控系统日志、可疑交易报告（STR）提交情况、员工培训档案，甚至连你内部的合规政策手册都要逐页看。审查人员会关注几个核心维度：你的客户风险评级体系是否合理、高风险客户有没有做强化尽职调查（EDD）、交易监控规则有没有覆盖到虚拟资产交易、STR有没有在规定时限内报给JFIU（联合财富情报组）、记录保存够不够7年。
说直白点，SFC查的不是你有没有制度文件，而是你的制度有没有真正在跑。嘴上说有AML体系没用，你得拿出系统日志、预警记录、处置闭环来证明这套东西在运转。不少机构就栽在这上面——文件写得漂漂亮亮，实际操作一层不落地。
被查了别慌，先搞清楚自己的风险等级
SFC的反洗钱审查不是一刀切，会根据你的业务类型、客户结构、历史合规记录来定风险等级。搞清楚自己在哪个等级，应对策略完全不一样。
| 风险等级 | 审查触发条件 | 审查深度 | 典型应对周期 |
|---|---|---|---|
| 低风险 | 常规年度审查 | 文件审查为主 | 2至4周 |
| 中风险 | 客户投诉或行业专项检查 | 文件加现场访谈 | 4至8周 |
| 高风险 | STR漏报或监管处罚记录 | 全面现场检查 | 8至16周 |
| 紧急风险 | 重大可疑交易未报或故意隐瞒 | 跨部门联合调查 | 3至6个月 |
低风险的机构，SFC通常发一封问卷让你填，附上相关文件就基本能过。但中风险以上就复杂了，审查人员会到你的办公场所翻台账、约谈合规官和前台业务人员，甚至抽样检查个别客户的完整KYC档案。到了高风险级别，你基本上要做好被全面体检的准备，AMLO的人会带着清单来逐项核对。有个数据值得注意：2025年SFC发起的反洗钱专项审查里，大约65%最终升级成了现场检查，说明监管层对文件审查的信任度在下降，越来越倾向于眼见为实。
某跨境支付公司被SFC抽查的72小时
去年底，一家做跨境支付的持牌公司找到我们。这家的主营业务是把国内电商卖家的资金通过香港渠道收付到海外，日均交易量大概在800万港币上下。SFC突然发了一封审查通知函，要求72小时内提交过去12个月的客户尽职调查完整档案、交易监控系统规则配置说明、以及所有STR提交记录。
这家公司的合规官当场就傻了——他们虽然有CDD流程，但部分客户的受益所有人信息更新滞后，交易监控规则还是两年前配的，虚拟资产相关的监控规则压根没有。更麻烦的是，有几笔通过稳定币通道的大额交易没做STR报送。
英美金服接到这个case后，72小时内做了三件事：紧急梳理了全部客户档案，补录了47个缺失的受益所有人信息；重写了交易监控规则，新增了稳定币和混合器相关的13条预警规则；对漏报的5笔STR做了补充报送，并附上了原因说明函。审查持续了6周，最终SFC认定整改到位，没开罚单，只给了一个合规提醒。这家公司后来跟我们签了年度合规顾问合同，一年的费用大约38万港币，远比可能面临的500万罚款划算。
数字资产交易平台AML整改实录
这是一个更有意思的案例。一家持牌数字资产交易平台，2025年Q3被SFC列入专项反洗钱审查名单。起因是SFC发现他们的冷钱包转账监控存在盲区——从冷钱包提到热钱包的大额转出没有设置可疑交易预警阈值，导致一笔超过3000万港币的异常转账在监控雷达下溜了过去。
SFC的审查组进驻后，发现的问题比预想更多：员工AML培训只有入职时做了一次，之后两年没更新；风险评估模型用的还是法币时代的参数，完全没适配虚拟资产的交易特征；客户的资金来源验证只做了表面功夫，没深挖链上数据。
英美金服用了11周帮这家平台做了系统性整改：重建了链上交易监控系统，接入了链上数据分析工具，能自动识别混合器和混币行为；建立了动态风险评估模型，根据客户链上行为实时调整风险评分；设计了季度滚动培训计划，覆盖前中后台全员。整改报告提交后，SFC认可了整改效果，但开了一张120万港币的罚单，理由是历史监控缺陷期间产生的风险暴露。这120万比起可能的牌照暂停，已经是很好的结果了。
一家持牌券商的年度AML审查惊魂记
第三家是做证券经纪和资产管理的老牌持牌券商，2026年初的年度反洗钱审查。他们的底子其实不差，CDD流程和交易监控都有，但问题出在形式合规、实质不足。审查人员抽查了30个客户档案，发现12个客户的风险评级没有按照SFC最新指引更新，其中3个客户明显应该从低风险升到中风险，但系统里还标着低风险。
更尴尬的是，他们的合规手册还写着2019版的SFC指引，中间三年SFC发了两次修订稿，他们愣是一次没更新。审查人员当场就指出了这个gap，合规官脸都绿了。
英美金服用了3周帮他们做了全面升级：更新合规手册到2026版，重新校准客户风险评级模型，并做了一次全员AML培训。审查结论是基本合规但需改进，没罚款也没牌照处分，但要求在6个月内提交整改证明。关键是这次审查后这家券商的内部合规意识明显上了一个台阶，合规官后来跟我说：以前觉得反洗钱审查是走过场，这次才知道人家是真的在查你。
SFC反洗钱审查和内地监管有什么不同
经常有人问，香港的SFC反洗钱审查和内地的反洗钱监管到底有什么区别。简单说，一个是规则导向为主，一个是风险导向为主，但两边都在往趋同的方向走。
| 对比维度 | 香港SFC反洗钱审查 | 内地反洗钱监管 |
|---|---|---|
| 法律依据 | AMLO加SFC行为准则 | 反洗钱法加央行规章 |
| 审查方式 | 风险为本，现场非现场结合 | 合规检查为主，现场巡查 |
| STR报送时限 | 72小时内报JFIU | 10个工作日报央行 |
| 记录保存 | 不少于7年 | 不少于5年 |
| 罚款上限 | 500万港币或利润3倍 | 50万至500万人民币 |
| 虚拟资产覆盖 | VA相关业务纳入审查 | 逐步纳入尚在完善中 |
最大的实操区别在于STR的报送时限——香港只有72小时，比内地的10个工作日紧得多。很多从内地转来做香港业务的机构，常常按照内地的节奏来，结果超时报送被SFC盯上。另外香港对虚拟资产相关的反洗钱要求比内地更成熟，如果你做数字资产业务，香港的审查标准会严格得多。还有一个常被忽略的点：SFC在审查中会特别关注你和关联方之间的信息共享机制，比如你同时持有1号牌和9号牌，两个牌照下的客户信息有没有打通，AML系统有没有覆盖全业务线。
常见问题
- SFC反洗钱审查多久做一次？
持牌机构每年至少接受一次年度审查，但SFC有权根据风险信号随时发起专项审查。如果你有客户投诉、STR漏报记录或行业风险事件，专项审查的概率会明显上升。 - 被SFC查出反洗钱问题一定会罚款吗？
不一定。SFC会根据问题严重程度、整改态度和整改速度来决定处置方式。轻微问题且及时整改的，可能只给合规提醒；严重问题或拒不整改的，罚款从几十万到500万港币不等，最严重可能吊销牌照。 - 反洗钱审查需要提前多久准备？
建议提前3个月开始准备。需要更新的内容包括客户档案核查、交易监控规则校准、合规手册更新、员工培训记录整理。临时抱佛脚很容易出纰漏。 - 虚拟资产业务的反洗钱审查有什么特别要求？
除了常规的CDD和交易监控，SFC额外要求虚拟资产业务做链上交易分析、冷热钱包转账监控、旅行规则合规，以及对DeFi相关交易的特别风险评估。 - 公司没有专职合规官，审查时怎么办？
这是个危险信号。SFC要求持牌机构必须指定合规负责人，如果没有专职人员，建议至少提前6个月聘请外部合规顾问协助搭建体系，否则审查时大概率会被认定合规缺陷。
说到底，香港SFC牌照反洗钱审查不是洪水猛兽，但也绝对不是靠运气能过关的事。20年经验告诉我一个规律：提前半年做系统性准备的机构，审查时基本都能平稳度过；临时抱佛脚的，十个有八个会出事。SFC的反洗钱监管框架在2026年只会更严不会更松，AMLO和SFC之间的数据共享越来越紧密，以前靠信息不对称钻空子的空间越来越小了。如果你手里有SFC牌照，或者正在申请的路上，反洗钱体系的建设和持续维护这件事，越早启动越主动。有牌照合规方面的疑问，随时找专业团队聊聊，总比收到SFC审查通知函后再手忙脚乱强得多。
扫码添加微信详询
本文由Jason撰写，仅代表作者个人观点。文章内容仅供参考，不构成任何形式的专业建议。转载需获得明确授权，并完整标注原文出处链接：https://www.fcanfa.com/license/hk-sfc-aml-review-guide-2026.html
