持牌人怎么审查合作伙伴反洗钱：别把ISO认证当护身符，四层模型拆解责任边界

持牌人审查合作伙伴反洗钱的核心在于明确自身风险评估义务，确认供应商不等同于合规运营商，并严格界定责任边界。

为什么持牌人必须主动审查合作伙伴反洗钱风险

主动审查是法定义务，旨在防止未获许可主体借白标模式提供服务，从而解决责任边界模糊及监管报告指出的风险问题。

2019 至 2020 年间，英国博彩委员会在合规执法报告中披露了一个关键数字：当时市场存在七百多个白标合作伙伴。监管机构当时的担忧很明确——未获许可的主体可能正借助白标模式向大不列颠提供博彩服务。这不仅是数量问题，更是责任边界的模糊地带。

从监管报告看当前反洗钱审查的紧迫性

监管文件记录的核心痛点在于执行层面的缺失：部分持牌人未充分审查合作伙伴的所有权结构，未能有效处理政治公众人物（PEP）带来的反洗钱风险，同时对合作伙伴的实际运营活动监督不足。这些漏洞直接导致了牌照持有人与实际操作者之间的责任脱节。

你需要厘清一个事实：监管摘要并未列出具体处罚名单或违规样本范围，因此不能简单推断整个行业普遍违法。现有公开信息缺乏 TGP Europe 相关 FOI 答复、完整白标伙伴名单及违规对应关系的详细数据。这意味着“监管关注”不等于“全员违规”，但你无法仅凭行业现状就免除个案审查义务。

证据分层原则要求你区分监管报告的定性描述与具体案件的定量事实。监管文本证明了风险判断的存在，但未证明所有白标安排均涉及非法经营。真正的合规动作发生在微观层面：你必须针对每一个合作伙伴进行所有权穿透、PEP 筛查和系统安全验证。

实战中最大的陷阱往往出在“信任传递”上。很多持牌人在审查时，会下意识地认为“既然技术供应商已经通过了 ISO 认证或拥有其他国际资质，那么他们的底层架构必然合规”。这种思维定势极易导致审查流于形式。事实上，ISO 等通用认证仅覆盖管理体系，并不等同于针对博彩业特定监管要求（如英国 RTS）的“关键电子系统安全标准”。你必须亲自核验对方是否针对敏感客户数据实施了符合当地法规的加密与访问控制，而不是盲目依赖供应商的第三方背书。

审查的必要性在于厘清三层关系：牌照持有人的法定责任、技术供应商的服务边界以及目标市场的准入资格。如果误以为“持牌供应商即等于合规运营商”，就会忽视关键电子系统安全标准等硬性要求。只有逐项核验，才能避免将经营风险转嫁给自身。

持牌人怎么审查合作伙伴反洗钱：构建四层责任模型

构建四层责任模型要求拆解产业链分工，逐层核对义务边界，避免将供应商视为挡箭牌而忽视对所有权及 PEP 风险的审查。

别再把供应商当成你的合规挡箭牌。监管报告明确显示，部分持牌人因未充分审查合作伙伴所有权及 PEP 风险而受罚。要理清责任，你必须先拆解产业链，建立四层分工模型，再逐层核对义务边界。

第一步：拆解四层功能，锁定核心责任区

把业务拆成四个独立模块，每个模块对应不同的法律压力点。第一层是品牌与运营层，直接面对客户；第二层是平台技术层，提供软件、赔率及风控系统；第三层是内容与数据层，负责扩展赛事或游戏供给；第四层是支付与合规基础设施层，处理资金流转与系统安全。这四层只是功能区分，不代表主体自动分类，必须逐项核验。

第二步：按场景匹配合规义务，拒绝“一刀切”

责任归属取决于具体动作和管辖地。若你是目标市场牌照持有人，马耳他材料要求你承担风险评估、客户接受政策及 AML/CFT 文件化义务。若系统涉及敏感客户信息，英国 RTS 强制关键电子系统满足特定安全标准。若支付环节触碰被禁交易红线，美国 UIGEA 可能让银行和支付处理者成为规制对象。

第三步：穿透技术黑箱，识别实际控制人

当前最大的难点在于无法直接确认技术供应商是否承担共同责任，以及实际控制人如何识别。不要假设“持牌供应商即等于合规运营商”，这种命题缺乏证据支持。你必须通过查阅服务合同、技术审计报告和公司登记资料，亲自验证品牌方是否拥有目标市场准入，支付机构是否知晓基础博彩业务的法律状态。

本章执行检查清单

• [ ] 已按四层模型（品牌/技术/内容/支付）梳理业务流
• [ ] 确认自身在目标市场的牌照持有人身份及对应义务
• [ ] 核查技术供应商是否处理敏感信息并满足关键电子系统安全标准
• [ ] 验证支付环节是否涉及被禁止交易及 UIGEA 合规性
• [ ] 完成对实际控制人及技术供应商共同责任的逐项核验

审查过程中的关键红线：所有权、PEP 与系统安全

关键红线涵盖所有权、政治公众人物风险及系统安全标准，持牌人必须将这些要素嵌入审查流程以堵塞合规漏洞。

监管报告直指痛点：部分持牌人未充分审查合作伙伴所有权，也未有效处理反洗钱与政治公众人物（PEP）风险。要堵住漏洞，你得把这三道红线刻在审查流程里。

1. 穿透复杂架构，核实真实控制链

别被层层嵌套的公司结构蒙蔽。你的首要任务是画出真实的控制链条，确认谁在幕后拍板。很多违规案例源于通过复杂架构规避监管，导致实际受益人身份模糊。

合格标准清单：

• [ ] 能清晰列出最终自然人股东或实际控制人名单
• [ ] 每一层股权变更都有对应的工商登记或法律文件佐证
• [ ] 排除了仅由空壳公司持股且无实质业务的情况

2. 针对 PEP 启动专项尽职调查

政治公众人物（PEP）自带高风险标签，普通筛查往往流于形式。面对这类客户，必须启动专门的深度尽调程序，不能套用通用模板。

操作要点：

• 核实其当前及过往的政治职务详情
• 追踪其资金来源是否与其公开收入匹配
• 记录所有额外审批的签字人与决策依据

3. 验证关键电子系统的安全合规性

若合作伙伴涉及敏感客户信息处理，技术供应商的能力再强也不能替代你的法定责任。核心原则是：供应商不等于合规运营商。你必须确保相关系统符合英国 RTS 安全规范。

如何识别并自查“关键电子系统”

关键电子系统通常指存储、处理或传输客户身份数据、交易记录及反洗钱监控数据的平台。对照 RTS 标准，你需要完成以下自查：

表格中的每一项缺失，都可能导致你无法履行对监管机构的数据保护义务。记住，技术外包只是手段，合规主体依然是你。

4. 坚守责任边界

无论合同怎么签，无论供应商吹嘘自己的系统多先进，都不能免除牌照持有人的风险评估义务。如果涉及敏感信息处理，你必须逐项核验牌照条件、合同文本及原始国会材料，确保责任不转移。

本章行动检查清单：

• [ ] 已穿透合作伙伴股权结构，锁定最终实控人
• [ ] 已建立 PEP 专项尽调流程并执行记录
• [ ] 已确认所有涉及敏感数据的系统符合 RTS 标准
• [ ] 已在合同中明确“供应商不替代持牌人义务”条款

从理论到实践：持牌人落实反洗钱审查的步骤指南

落实审查需完成从合同签署到细节核查的完整闭环，重点识别隐藏风险而非仅依赖书面协议，确保符合监管报告要求的评估义务。

读完这篇，你将能按顺序完成对合作伙伴的完整反洗钱审查闭环。别只盯着合同签字，真正的风险藏在细节里。

第一步：收齐原始材料

先把手头的牌照条件、服务合同、技术审计报告和公司登记信息全部摊开。不要只看对方提供的摘要版，必须核对原始文件中的具体条款。如果连基础的公司注册地都模糊不清，这步直接判不合格。

第二步：执行专项风险评估

拿着材料做穿透式排查。重点看三点：所有权结构是否层层嵌套？是否有政治公众人物（PEP）隐性关联？资金流向是否与业务逻辑匹配？若发现无法解释的离岸持股或复杂的代持关系，立即启动深度调查。

第三步：建立持续监督机制

把审查当成动态过程，而非一次性动作。白标模式下的控制权转移很快，必须定期复核合作伙伴的运营合规性。一旦对方涉及敏感数据处理，其关键电子系统安全标准必须持续达标，否则视为违规风险点。

这里有一个常被忽视的实操细节：在签署合作协议后，许多持牌人会忘记在系统中设置“触发器”来监控合作伙伴的变更。建议你在内部合规系统中建立一个自动化提醒机制，要求合作伙伴在发生任何股权变更、高管变动或系统架构调整后的 48 小时内提交书面通知，并自动触发一次轻量级的重新审查。这种制度化的“被动等待”转变为“主动预警”，能有效防止因信息滞后导致的合规真空。

第四步：保留完整文档记录

所有审查步骤、沟通记录和判断依据必须归档。未来面对监管问询或执法行动时，这些文档是你证明已尽审慎义务的唯一凭证。没有书面记录的“口头确认”在合规面前毫无价值。

照着做就行：

• [ ] 拿到并核对原始合同与审计报告
• [ ] 完成所有权与 PEP 穿透筛查
• [ ] 制定季度/半年度复核计划
• [ ] 建立独立的审查档案库

常见问题解答 (FAQ)

Q: 如果合作伙伴声称他们的系统已经通过了 ISO 认证，我还需要单独审查吗？ A: 需要。ISO 认证仅代表通用的管理体系，并不等同于针对博彩业特定监管要求（如英国 RTS）的“关键电子系统安全标准”。你仍需根据具体的牌照条件和当地法规进行针对性核验。

Q: 白标模式下，如果合作伙伴出现洗钱行为，持牌人完全免责吗？ A: 绝对不行。监管趋势明确指出，持牌人不能以“技术外包”或“白标协议”为由推卸责任。如果未能履行对合作伙伴的反洗钱审查义务（特别是所有权和 PEP 筛查），持牌人将面临直接处罚。

Q: 如何高效地识别复杂的 PEP 关联？ A: 不要依赖单一数据库。建议结合公开政府名录、国际制裁名单以及商业背景调查报告进行交叉验证。对于高净值或高风险账户，必须人工介入进行深度背景调查。