做了二十年跨境金融法务，我发现一个扎心的规律：英国FCA牌照AML合规这件事，机构们在拿牌前舍得花钱、拿牌后懒得打理。牌照挂在墙上当奖杯，反洗钱手册锁在柜子里当摆设，直到某天早晨，合规官的邮箱里躺进一封FCA的数据调取函，整个办公室才瞬间清醒。说句不客气的话，FCA查你，从来不打提前招呼，更不会看你脸面。2025年7月，Monzo银行被罚2109万英镑，起因包括给3.4万多名高风险客户开户却疏于复核；再往前翻，Starling因为可疑交易筛查形同虚设吃了2896万英镑的罚单，Metro Bank则因交易监测失灵被开1672万英镑。罚单金额一年比一年厚，方向却始终没变——FCA盯的就是反洗钱这条线。这篇文章，我把FCA抽查的门道、3道防线怎么搭、抽查前该备齐哪些文件，一次性讲透。
FCA的抽查通知，长什么样？
很多老板以为FCA会发一封盖着大红章的"调查通知书"，其实真不是。监管动作通常是三级递进的，烈度完全不同。
- 数据调取函（Data Request）：常见的起手式，一封邮件，要求21天内提交某类交易、某个客群或某套流程的资料，语气客气，内容要命。
- s166专家审查（Skilled Person Review）：监管担忧升级后，FCA直接指定外部专家进驻查账，费用由机构全额承担，专家的眼睛只替FCA说话。
- 执法调查（Enforcement Investigation）：实锤阶段，可能伴随公开听证、罚单甚至牌照限制，走到这一步，谈判空间已经很窄了。
还有一个容易忽略的信号：portfolio letter。FCA会按业务类型批量群发风险提示函，收到的机构往往不当回事，其实那是监管在划重点——我数过，好几张近两年的罚单，罚由都能在那一年群发的信函里找到原话。别以为机构小就查不到你，FCA的数据系统会把全行业拉通排名，谁的交易画像"扎眼"，谁就先上榜。另外，FCA的提问习惯一层套一层：它喜欢顺着你的回答往下追，回函里写下的每个细节，都可能变成下一轮提问的入口。所以回函不是写得越满越好，口径要经得起追问，证据要圈得住范围。
抽查到底查什么？风险为本不能只是墙上的标语
FCA的AML监管框架建立在MLR 2017（反洗钱条例）之上，核心逻辑就四个字：风险为本。听起来像空话，落到抽查里全是细节。
- 业务整体风险评估（BRA）是否在12个月内更新，风险点是否跟业务变化对得上；
- 客户风险评级方法论是否落地，高风险客户有没有做强化尽调（EDD）；
- 制裁名单与PEP筛查的频率、数据源更新记录，能不能追溯到具体日期；
- 交易监测规则的阈值依据、调优日志，误报率有没有数据支撑；
- SAR（可疑活动报告）台账是否完整，MLRO年报是否真的上过董事会。
注意一个坑：很多机构买了大厂的监测系统，就以为万事大吉。FCA要看的不是你买了什么软件，而是软件里的规则是不是为你自己的业务量身调过的。出厂设置跑两年，误报能把分析师淹死，真警报反而被随手关掉——Starling的罚单，栽的就是这个。
| 监管动作 | 通常触发原因 | 时限节奏 | 大致代价 |
|---|---|---|---|
| 数据调取函 | 例行数据分析、投诉线索 | 21天内回函，可申请延期 | 内部人力+少量外部支持 |
| s166专家审查 | 监管担忧升级、回函不达标 | 数周至数月，全程进驻 | 专家费用机构承担，数十万英镑起步 |
| 执法调查 | 涉嫌实质性违规 | 以年计 | 罚款+法务成本，以百万英镑计 |
3道防线，多数机构只修了半道
业内的经典框架是3道防线，但按我的观察，出事的机构几乎都栽在"半吊子防线"上。
防线一是业务一线：客户经理做KYC、收集受益人信息、做初始风险评级。这条线的毛病是"重业绩轻尽调"，销售压力一大，文件凑合就收了。防线二是合规中台：定规则、跑监测、报SAR、当MLRO。这条线的毛病是只买系统不调规则，警报堆成山没人清。防线三是内部审计：独立验证前两道防线是否真的在转。这条线的毛病更隐蔽——很多中小机构干脆没有，年报里写一句"已开展审计"，翻底稿什么都没有。FCA的检查官进场头一件事就是按这三道线逐条戳，戳到哪里是空的，哪里就是罚单的素材。
真实案例：一家支付机构的21天生死时速
去年，一家持有英国EMI牌照（电子货币机构）的支付公司找到我们，刚收到FCA关于交易监测的数据调取函，打开后台一看，积压警报11000多条，年头久的可疑交易警报躺了8个月没人处理，MLRO刚离职，群龙无首。英美金服进场后干了三件事：把警报按风险等级重新排序，11000条积压在两周内全部分流闭环；把12个月的规则调优记录和阈值依据补齐成册；替新任MLRO梳理回函口径，把每一项监管提问对应到具体证据页码。第19天回函，比时限提前2天。三个月后FCA书面确认不再追问，这单没有升级到s166。老板后来说，那21天他天天失眠，但比起罚单，这是花小钱办大事。
真实案例：警报误报砍掉六成，合规团队终于睡上整觉
另一家客户是持牌的加密资产交易所，月均警报8000条，误报率98%，四个分析师三班倒还是看不完，抽查抽样准确率惨不忍睹。英美金服没有急着加人，先把规则翻了个底朝天：阈值"一刀切"改成按客户风险分层触发，补上快进快出、拆分交易、混币器交互等情景规则，再给低风险客群设置合理的白名单逻辑。三个月后，月均警报降到3200条上下，误报率从98%压到35%左右，团队从救火转入正常排查。第二年例行数据调取，FCA的书面追问从上一年14条降到5条——监管的注意力是有限的，你的数据越干净，被盯得越松。
真实案例：筛查库两年没更新，差点搭进去一张牌照
还有个案例我印象很深：一家做跨境财富管理的机构，制裁与PEP筛查供应商的合同到期后没人续费，名单库就这么静静"停更"了两年，存量4000多个客户的筛查全靠过期数据。系统每天显示"零命中"，管理层一度很欣慰。英美金服受托做健康检查时当场戳穿：重新拉取名单库做全量回扫，3周内扫出2名PEP身份变化、1条新增制裁命中，立即冻结账户并起草SAR。因为主动发现、主动申报、整改记录完整，FCA后续按低风险路径处理，牌照安然无恙。这个案例的教训就一句话：系统显示"零风险"和"真的没风险"，中间可能隔着两年没续费的合同。
抽查前，把这几份文件放在手边
结合这些年经手的案例，我把FCA抽查时翻查频率高的材料归成6份，建议逐份对照自查：
- 12个月内更新的业务整体风险评估报告（BRA）；
- 客户风险评级方法与分层依据说明；
- 交易监测规则清单及调优日志；
- SAR台账与MLRO年度报告；
- 全员反洗钱培训记录与考核结果；
- 高风险客户EDD档案与制裁筛查证据。
文件齐只是及格线，抽查真正拉开差距的是应对的组织度。要不要养一个专职团队？看看这笔账：
| 模式 | 年度投入参考 | 上手周期 | 适合场景 |
|---|---|---|---|
| 自建AML团队 | 12万-25万英镑（资深MLRO级1-2人） | 3-6个月磨合 | 业务量大、需长期驻场 |
| 外聘合规顾问 | 项目制，单次约1万-5万英镑 | 1-2周进场 | 抽查应对、缺口体检、过渡期补位 |
自查还是请外援，算笔账就清楚了
我的建议从来不是二选一，而是"日常自建+每年一次外部体检"。日常运转靠自己的团队，业务语境和数据手感别人替代不了；但每年花小成本请外部团队做一次反洗钱缺口检查，用新鲜的眼睛把窟窿找出来，比FCA帮你找便宜太多。外部体检一般盯四件事：规则与业务是否错配、警报积压是否超龄、筛查数据是否过期、档案证据是否闭环，一张清单走完，缺口自己浮出水面。另外提醒一句，英国《反欺诈失败罪》相关条款2025年9月已经生效，大机构的合规预算正从单纯的AML转向反欺诈与AML合并治理，2026年监管的数据提问只会更细。趁抽查还没敲门，先把家里收拾利索。
客户常问的几个问题
Q：FCA数据调取函一般给多少天？能拖吗？
常见是21天，复杂事项可以书面申请延期并说明理由。但拖延的代价远大于答错——回函迟了，监管担忧会直接升级。
Q：我们只是家小型资管公司，FCA会查到我头上吗？
会。近几年的罚单已经从大银行蔓延到支付、财富管理、加密资产机构，FCA按风险排序，不看员工人数。
Q：买了英国本土的合规软件，还需要做规则调优吗？
需要。软件只是工具，阈值、情景、分层必须结合自身业务数据调，出厂设置是误报的重灾区。
Q：抽查结论会影响牌照吗？
FCA牌照没有定期换证的仪式，但抽查结论会进入监管档案，直接影响后续的牌照变更审批和监管关注频率。
Q：收到调取函，头一件事该做什么？
别急着动笔回。先做影响范围评估和证据盘点，把口径定准，必要时请有s166应对经验的顾问陪跑，首封回函基本定调整场抽查。
在英国FCA牌照AML合规这件事上，侥幸从来不是策略，罚单上的数字每年都在刷新，病根翻来覆去就是那几个：风险评估停更、监测规则失修、筛查数据过期、三道防线缺一。如果你正在筹备英国牌照申请，或者已经持牌、想赶在抽查前做一次全量健康检查，英美金服这二十年的FCA项目经验，可以从牌照申请、收购转让一路陪到年检续牌和反洗钱审查。与其在21天倒计时里手忙脚乱，不如现在就把你的业务模式发来聊聊——毕竟，FCA的日历不会等你准备好才开始翻页。
扫码添加微信详询
本文由Jason撰写，仅代表作者个人观点。文章内容仅供参考，不构成任何形式的专业建议。转载需获得明确授权，并完整标注原文出处链接：https://www.fcanfa.com/license/uk-fca-aml-compliance-guide.html
