最近有个做跨境支付的老客户找我吐槽，说他们团队花了大半年时间好不容易拿到了香港稳定币发行人牌照的原则性批准，结果上线不到三个月就收到HKMA的整改通知，原因说出来你可能不信——他们的KYC尽调流程只做了身份证正反面拍照加人脸识别，连客户的资金来源证明都没要。监管现场检查的时候直接问了一句："你们怎么确定用户充进来买稳定币的钱不是黑钱？"团队当场哑口无言。这事儿说起来真的挺可惜的，牌照都拿到手了，结果栽在客户尽调这个看似基础的环节上。今天咱就好好聊聊香港稳定币发行人牌照KYC尽调这件事，很多人以为KYC不就是验证个身份嘛，哪有那么复杂？但你要是真这么想，那离被监管约谈也就不远了。2026年HKMA对稳定币发行人的客户尽职调查要求，比传统银行开户还严，而且是分等级的，不同交易额、不同风险等级的客户，要的材料完全不一样。
稳定币发行人KYC到底要做到什么程度？
说实话，很多科技公司出身的团队对KYC的理解还停留在互联网实名认证的层面——姓名、身份证号、人脸比对，齐活。但HKMA要的客户尽职调查，是反洗钱框架下的完整体系，跟互联网产品的实名认证根本不是一个量级的东西。你想想，稳定币是什么？是跟法币1:1挂钩的数字凭证，一旦KYC放水，分分钟变成洗钱、逃汇、资金外逃的通道，HKMA能不盯紧吗？我给你捋一捋HKMA《稳定币发行人监管指引》里对KYC的核心要求，不是吓唬你，比银行开户的材料清单还长。客户身份识别只是起点，你还要做客户风险等级划分，高风险客户要做增强尽调，政治公众人物（PEP）要额外审批，资金来源和资金用途要核实，交易要持续监控，可疑行为要上报，所有资料要留存6年以上。听着头大？头大就对了，因为这就是持牌的代价。你享受了发币的权利，就得承担反洗钱的义务。
我见过太多团队把KYC当成一个技术模块外包出去，找个第三方身份验证API接进来就完事了，结果监管一查一个准。第三方验证只能解决"这个人是不是他声称的那个人"的问题，解决不了"这个人的钱从哪来、要到哪去、交易行为是否合理"的问题。后者才是HKMA真正关心的。
3级客户分层尽调材料有什么区别？
HKMA的要求不是一刀切的，它采用的是风险为本的方法，简单说就是交易额越大、风险越高的客户，你要查得越深。我整理了一个三级分层对比表，你一看就明白。
| 客户层级 | 适用场景 | 单笔/年度限额 | 所需核心材料 | 审批层级 |
|---|---|---|---|---|
| 简化尽调 | 小额零售用户 | 单笔≤8000港元 年累计≤10万港元 | 身份证/护照+人脸识别+手机号 | 系统自动审批 |
| 标准尽调 | 普通个人用户 | 单笔≤10万港元 年累计≤100万港元 | 身份证+地址证明+职业信息+银行账户验证 | 合规人员抽查复核 |
| 增强尽调 | 高净值/高风险用户 机构客户 PEP客户 | 无上限 | 身份证明+资金来源证明+财富来源证明+交易背景说明+实益拥有人穿透+高级管理层审批 | 合规总监+MLRO双签 |
看到没有？简化尽调确实简单，跟普通互联网实名认证差不多，但限额卡得很死，一年10万港元封顶，超过这个额度你必须升级尽调等级。很多团队踩坑就踩在这里——用户一开始是简化尽调进来的，后来交易额越做越大，系统没有自动触发升级尽调，结果用户在简化尽调状态下做了几百万的交易，被监管抽查到就是大问题。
机构客户更麻烦，你不能只看公司注册证书，还要穿透到最终实益拥有人，凡是持股25%以上的自然人都要做KYC，董事、授权签字人一个都不能少。如果是上市公司或者国企还好说，股权结构清晰；要是遇到BVI、开曼架构的离岸公司，那穿透起来能让你怀疑人生。
真实案例：跨境钱包团队因KYC放水被暂停业务
去年有个做东南亚跨境汇款钱包的客户，拿了香港某金融机构的稳定币合作通道，兴冲冲地上线了港币稳定币充值功能。他们为了用户体验，把KYC门槛放得极低，身份证加人脸就能充，单笔限额50万港元。上线四个月，交易额冲到了12亿港元，团队正庆祝呢，HKMA联合海关上门检查了。一查发现，有超过3000个账户存在明显的分拆交易特征——同一个IP地址注册几十个账户，每个账户刚好充49万，快到限额就换账户。这些账户背后是什么？是地下钱庄利用稳定币通道做跨境洗钱。结果怎么样？通道被暂停，合作的金融机构被罚款，团队花了三个月重做KYC系统和交易监控规则，直接损失超过600万港元，还错过了市场窗口期。后来他们找我们做整改，我们做的第一件事就是把客户分层体系重新搭了一遍，系统自动触发升级尽调的规则写死在代码里，交易行为监控模型重新训练，光可疑交易规则就配了120多条。整改完重新上线，虽然用户注册转化率掉了18%，但合规这关算是过了。
真实案例：机构客户穿透不彻底被要求补材料
还有一个做RWA代币化的客户，服务的都是高净值客户和家族办公室，单笔认购额动辄几百万美元。他们的KYC流程对个人客户做得还不错，但对机构客户就有点敷衍了——客户给个公司注册证书和董事身份证，他们就给开了账户。结果有个开曼群岛注册的基金客户认购了500万美元的稳定币，后来HKMA做非现场检查的时候要求提供这个基金的最终实益拥有人信息，他们翻遍了材料只找到了基金管理人的信息，LP的信息完全没有。HKMA给了21天补材料，他们连夜飞开曼去调档案，发现这个基金的LP结构嵌套了四层SPV，光穿透文件就整理了300多页。虽然最后补完了，但那个紧张劲儿，客户说这辈子不想再体验第二次。我们后来帮他们做了一个机构客户KYC的标准化清单，不管客户来自哪个司法管辖区，必须穿透到自然人，持股比例、资金来源、投资目的三样东西缺一不可，而且要在开户前就完成，不能事后补。
真实案例：PEP客户识别遗漏被写入整改报告
第三个案例更有意思，是一个做稳定币理财的平台。他们有个用户充了2000万港元买稳定币理财，KYC材料齐全，资金来源说是"经商收入"，地址证明、银行流水都有，看起来一切正常。结果半年后这个用户因为腐败案被内地调查，协查函发到香港，监管回头一看，这个用户是某内地国企前高管的近亲属，属于政治公众人物（PEP）的关联方，但平台的KYC流程里根本没有PEP筛查这一步。虽然最后查明平台没有主观故意，但还是被写入了整改报告，要求上线全球PEP制裁名单实时筛查系统。这个教训告诉我们什么？KYC不是开户那一刻的事情，是持续的。你今天开户的时候客户不是PEP，不代表明天他不是；你今天筛查的时候他不在制裁名单上，不代表下周他不会被加进去。所以持续监控和定期复审跟初次识别一样重要。
KYC系统搭建选自研还是外购？
聊到这里肯定有人要问了，KYC系统到底是自己开发还是买第三方的？我给你算笔账，你就明白了。
| 对比维度 | 完全自研 | 采购成熟方案+本地化配置 | 纯SaaS接入 |
|---|---|---|---|
| 初期投入 | 200-400万港元 | 60-120万港元 | 10-30万港元/年 |
| 上线周期 | 6-12个月 | 2-3个月 | 2-4周 |
| 数据自主可控 | 完全自主 | 核心数据本地存储 | 数据在第三方 |
| HKMA合规认可度 | 高（需完整审计） | 高（主流方案均有案例） | 中等（需补充额外材料） |
| 适合阶段 | 大型机构/已盈利 | 中型发行人/持牌筹备期 | 早期测试/小规模试点 |
我的建议很实在：如果你还在牌照申请阶段，不要上来就自研，时间成本你耗不起。找一个在香港金融市场有成熟案例的KYC供应商，把核心模块接进来，然后在上面做本地化的规则配置和定制开发，是性价比比较高的路线。等你业务跑起来了、交易量上来了，再考虑逐步替换成自研系统也不迟。但有一点要注意：不管你用谁家的系统，KYC的最终责任永远在你持牌主体身上，出了问题监管找的是你，不是你的供应商。所以你不能当甩手掌柜，供应商给你的结果你必须有复核机制，规则你必须自己懂。
大家常问的那些KYC问题
做了这么多年咨询，关于稳定币KYC的问题我被问过不下几百遍，挑几个问得比较多的说说。
Q：香港稳定币发行人可以接受哪些身份证件？
香港身份证当然没问题，内地居民身份证、护照、港澳通行证也都可以接受，但非香港居民的地址证明要求会更严格，一般需要三个月内的水电煤账单或者银行对账单。
Q：用户用信用卡买稳定币，资金来源怎么验证？
信用卡本身就是资金来源的一种证明，但你要做信用卡的3DS验证，而且信用卡发卡行必须是你认可的司法管辖区的银行。高风险地区的信用卡建议直接拒绝。
Q：KYC资料要留存多久？存在哪里？
跟AML记录一样，KYC资料从业务关系结束之日起至少留存6年。而且数据存储要符合香港《个人资料（私隐）条例》的要求，核心客户数据建议存在香港本地的服务器。
Q：远程开户怎么做面对面验证？
HKMA认可视频面签的方式，但要有活体检测、全程录像、随机问答等防作弊机制，不能只是录个视频上传就行。视频面签的记录也要留存备查。
Q：用户拒绝提供增强尽调材料怎么办？
直接限制交易或者终止业务关系。不要犹豫，不要抱有侥幸心理。一个不愿意配合尽调的客户，大概率有问题，为了赚他那点手续费去冒洗钱的风险，不值得。
说到底，香港稳定币发行人牌照KYC尽调这件事，本质上是在用户体验和合规风险之间找平衡。你放得太松，监管找你麻烦；你卡得太死，用户跑光了。但我想提醒你的是，在持牌金融这个赛道里，活下来永远比跑得快重要。KYC不是你应付监管的纸面文章，它是你整个反洗钱体系的第一道闸门，这道闸门守不住，后面的交易监控、可疑报告做得再好也是白搭。如果你正在筹备香港稳定币发行人牌照，或者已经拿到牌照但对KYC体系没什么底气，不妨找我们聊聊。我们团队帮多家持牌机构搭建过完整的客户尽调框架，从客户分层规则、材料清单、系统选型到持续监控机制，能帮你少走很多弯路，也能帮你避开那些看不见的合规陷阱。毕竟，牌照拿到手只是开始，稳稳当当地把业务跑起来，才是真本事。
扫码添加微信详询
本文由Jason撰写，仅代表作者个人观点。文章内容仅供参考，不构成任何形式的专业建议。转载需获得明确授权，并完整标注原文出处链接：https://www.fcanfa.com/license/hk-stablecoin-issuer-kyc-guide.html
