客户尽职调查（CDD）：不只是填表那么简单
客户尽职调查，圈里人常叫CDD。说白了，就是搞清楚跟你做生意的到底是谁。
我刚开始做反洗钱那会儿，觉得CDD不就是填几张表嘛。后来踩过坑才明白——这是整个合规体系的基石。你想想看，连客户是谁都没搞清，后面的监控还有什么意义？
核心逻辑：CDD不是一次性动作，而是贯穿客户全生命周期的动态管理过程。
一、客户身份识别：第一道防线
客户身份识别，听起来简单，做起来全是坑。
我记得刚入行时处理过一个案子。客户拿护照开户，证件号、姓名都对得上，系统自动通过了。结果三个月后才发现，护照是挂失过的。嗯，从那以后我养成了一个习惯——证件必须做二次验证。
我的个人习惯：除了核对证件真伪，我还会交叉验证客户提供的地址证明、联系方式、职业信息。三个信息源能互相印证，才算初步通过。
实际操作中，我建议重点关注这几项：
- 证件类型与有效期——身份证、护照、驾照，不同国家不同规则。过期证件一律退回。
- 生物信息比对——人脸识别现在很成熟了，但要注意活体检测。我见过用视频蒙混过关的案例。
- 地址证明——水电煤账单、银行对账单，要求三个月内的。不接受手机截图，要原件或官方PDF。
- 职业与资金来源——这个很多人忽略。你想想看，一个学生突然有大额资金进出，不查清楚能行吗？
⚠️ 避坑指南：我曾经遇到一个客户，所有证件都齐全，人脸识别也过了。后来发现他用的是双胞胎兄弟的证件。从那以后，我们系统加了一道声纹验证。记住：证件可以造假，生物特征很难完全复制。
二、受益所有人识别：穿透背后的影子
公司客户，最难搞的就是受益所有人识别。
为什么？因为很多公司结构复杂，层层嵌套。你看到的法人代表，可能只是个挂名的。真正的控制人藏在几层股权后面。
我个人习惯用「25%规则」作为起点——持有或控制25%以上股权或投票权的自然人，必须识别出来。但说实话，这只是底线。
| 识别维度 | 具体方法 | 常见问题 |
|---|---|---|
| 股权穿透 | 逐层追溯至自然人 | 多层嵌套，信息不透明 |
| 控制权识别 | 通过协议、人事任免等判断 | 代持协议难以发现 |
| 高管识别 | 如无受益所有人，则识别高管 | 高管可能也是傀儡 |
这里有个实操技巧——不要只看工商登记信息。我建议结合网络舆情、公开诉讼记录、关联交易数据来交叉验证。曾经有个客户，工商登记显示股权很分散，但我们在裁判文书网上发现，所有股东都跟同一个人有借贷关系。嗯，这才是真正的控制人。
三、风险等级划分：把精力花在刀刃上
风险等级划分，说白了就是回答一个问题：这个客户值不值得我花时间深挖？
我见过很多团队，把所有客户都按同一套标准做尽调。结果呢？低风险客户嫌你烦，高风险客户你又没查透。资源浪费，效率低下。
我个人习惯用「三维评分法」：
- 地域风险——客户所在国家/地区是否在FATF黑名单？是否有洗钱高风险特征？
- 行业风险——现金密集型行业？赌场？虚拟货币？这些都是高危领域。
- 行为风险——交易频率、金额、模式是否异常？是否涉及敏感交易对手？
关键点：风险等级不是一成不变的。我建议每季度做一次重评。客户换了股东、改了业务模式、或者突然有大额交易，都要触发重新评级。
举个例子。一个做外贸的小公司，注册地在低风险国家，业务也正常。但突然开始频繁往高风险地区汇款。这时候，它的风险等级就应该从「低风险」调整为「中风险」，甚至触发强化尽调。
四、简化与强化尽调：该松则松，该紧则紧
尽调不是越严越好。你想想看，如果每个客户都按最高标准查，业务部门会疯掉的。
简化尽调（SDD）适用于低风险客户。比如政府机构、上市公司、受监管的金融机构。这些客户本身就有合规压力，我们可以适当简化流程。但注意——简化不是不做，而是减少一些非核心环节。
强化尽调（EDD）才是真正考验功夫的地方。高风险客户、政治人物（PEPs）、来自高风险地区的客户，必须上EDD。
我在项目中遇到过最典型的EDD案例：一个来自高风险国家的客户，想开公司账户。我们做了以下动作：
- 资金来源的详细说明和证明文件
- 实际控制人的背景调查（包括政治关联）
- 交易目的的书面说明
- 预计交易量和交易模式的预测
- 要求提供第三方担保或推荐信
⚠️ 避坑指南：我曾经处理过一个EDD案例，所有材料都齐全，看起来没问题。但我们在做网络舆情监控时发现，这个客户在另一个国家有洗钱指控。记住：EDD不能只看客户提供的材料，一定要做独立的外部信息收集。
最后说一句。CDD不是填完表就完事了。它是一个持续的过程。客户的信息会变，风险会变，你的尽调也要跟着变。保持动态更新，才是真正的合规。
我的建议：建立客户信息变更的主动触发机制。比如客户变更法人、变更股权结构、或者出现负面新闻时，系统自动发起重新尽调。别等监管来查你才发现问题。