受监管公司的合规审核

受监管公司得知其合规缺口的方式有两种：通过自身的审查，或通过监管机构的检查。合规审核是第一种方式。本指南说明内部合规审查涵盖什么内容、范围如何选定、报告包含什么、审查通常会发现什么，以及发现事项如何处理。

本指南仅为一般信息，并非法律意见。合规审查并非法定财务审计，亦不能取代《核数师活动法》或相关行业法律所要求的核数师。

合规审核是什么

合规审核——更准确地说是内部合规审查——会审查公司政策所述的内容，与公司实际的做法作比较，并将两者与法律及监管机构的指引作比较。这是一项文件及程序审查，并非对公司财务报表的意见：法定财务审计审视数字，合规审查则审视控制措施。两者分开进行，通常由不同的核数师负责，而受监管公司往往在一年内的不同时间都需要进行这两项审查。

何时适合进行审查

• 在提交许可证申请之前，将文件与法律进行比对；
• 在获授权后的第一年，当政策首次遇上实际运作；
• 在监管机构检查之前或之后，以完成相关发现的处理；
• 当洗钱防范规则要求对内部控制系统进行独立审查时（RahaPTS），或在银行对公司作定期审查之前；
• 在出售公司之前，作为买方尽职审查的一部分。

三个等级的范围

• 第1级范围——起价 €8,500：服务有限的公司的洗钱防范框架、治理及核心政策；
• 第2级范围——起价 €15,500：另加客户资金保障或托管、外判、ICT及投诉，并进行抽样审查；
• 第3级范围——起价 €27,000：复杂公司的整个监管框架，于相关情况下包括市场行为及交易平台规则。

审查的等级取决于公司的服务内容，而非仅取决于其规模；我们会在工作开始前以书面方式确认等级。公司若自上次审查后新增了服务——例如客户资金保障、托管或新的分销渠道——通常须采用更广的范围，即使其他方面并无变化。

审查需要多长时间

所需时间取决于范围，以及公司回答问题及提供抽样档案的速度：

• 第1级范围——通常3–4周；
• 第2级范围——通常4–6周；
• 第3级范围——通常6–8周；
• 整改计划，于报告定稿后进行——通常2–4周。

以上为文件及档案已整理妥当的公司的一般所需时间；若公司须在审查期间而非事前整理档案，应预期审查需时较长。

方法及报告：逐步进行

• 将文件与适用法律、法规及监管机构的指引进行比对审查；
• 向管理层及关键职能负责人发出书面问卷，并以电子邮件作进一步查询；
• 对档案进行抽样审查：客户尽职调查、监测警示、客户资金保障对账，以及投诉；
• 一份报告，载有按风险评级的发现、每项发现的法律依据，以及一项建议。

各步骤按此顺序进行：文件审查为访谈提供问题，访谈显示哪些档案值得抽样，而报告的发现则建基于抽样结果。若审查未先阅读政策便直接跳至抽样，往往会忽略书面规定与实际做法之间的差距——而这通常是两者之中较严重的发现。

审查常见的发现

在不同公司及行业之间，相同的缺口不断重复出现：

• 为许可证申请而撰写的政策，在业务运作方式改变后从未更新；
• 监测警示在没有书面理由的情况下被结案，以致档案无法显示作出决定的原因；
• 客户资金保障的对账未按公司自身政策所要求的频率进行；
• 外判或ICT安排未有任何地方列明，以致无人能在监管机构要求时展示完整情况；
• 投诉登记册仅存在于文件上，但从未由管理层审阅。

这些情况单独而言均不会令审查不获通过；风险在于它们一直不被察觉，直到监管机构而非公司率先发现为止。

完成发现事项的处理

整改计划（起价 €1,700）会将发现事项转化为一项按优先次序排列的计划，载有负责人及期限，并在需要时由我们更新相关文件。日后就某项发现提问的银行、核数师或监管机构，均会期望同时看到计划本身及其落实的证明——而不只是最初的报告。受DORA规管的公司，往往会将审查与DORA框架结合进行；加密货币公司则会结合持续的MiCA合规支持。有关相关的洗钱防范及资金保障文件，请见洗钱防范规则及客户资金保障。

您将获得

• 一份独立的合规审查报告，载有已评级的发现；
• 若有订购，则包括整改计划及更新后的文件。

以上金额为我们就标准范围收取的费用，不含增值税。所有通讯均以电子邮件进行。

我们不向俄罗斯公民及俄罗斯公司提供服务。

服务与价格: 受监管公司的合规服务

订购合规审核 价格 英文版说明