新西兰FSPR登记公司AML/CFT审计：违规案例与整改策略

先把审计做成业务检验，而不是补一套文件

对实际属于AML/CFT报告实体的新西兰金融服务公司，最需要先做的是：确认每个法律主体承担什么义务，把客户和交易总体与已执行的尽调、监控及报送逐项对上，再检查上次审计发现有没有用新证据关闭。FSPR登记不等于金融服务牌照，也不当然使公司成为AML/CFT报告实体；反过来，实际开展受覆盖业务的公司，也不能以没有登记来逃避AML义务。是否适用必须从具体业务和法定定义判断，不能从登记证书或集团名称推断。^{[4] [10]}（第5、59及59B条） ^[13]（第12—13段）

三宗执法案件暴露的共同问题，是纸面制度与真实经营脱节：风险评估没有覆盖汇款关系，客户身份与资金来源证据不足，持续监控不能形成有依据的判断，交易记录无法重建。报告漏报在Ping An及Qian DuoDuo案件中有明确裁判依据；不能把它扩写成MSI及OTT也因同样报告罪名受罚，更不能把所有缺陷都称为独立审计违法。^[1]（第22、30—78段） ^{[6] [7] [13]}（第49—85段）

截至2026年11月6日，普通金融报告实体的AML独立审计通常每三年一次，四年须有主管通知，主管亦可要求其他时点审计；并不存在一律每年审计或必须聘请两家审计所的规则。周期性审计不代替日常控制和持续整改。下文案件部分陈述已核查事实，控制、负责人、抽样与验收部分均为实施建议，不是法院为涉案公司指定的整改令。^[10]（第59及59B条） ^[16]（第13条） ^[17]

先核清法人、业务与四套合规日历

建议由新西兰实体合规官牵头、业务负责人确认、本地董事或获授权高级管理人员批准一份逐法人清单，列明法律名称、实际客户、签约与收付主体、银行账户、受覆盖活动、许可及外包安排。集团品牌下不同公司不能自动合为一个报告实体，境外母公司已有制度也不能直接证明本地履职。普通财务审计、AML独立审计和特定许可的其他鉴证属于不同工作，不能互相代替。^{[10] [17] [19] [24]}

自2026年7月1日起，DIA已成为全部AML/CFT报告实体的统一主管；历史案件中DIA、FMA或RBNZ的分工须按当时情况理解，不能沿用为当前分工。FMA的金融服务许可及行为监管并未因此取消；Companies Office的公司及FSPR登记、警方FIU的SAR/PTR接收，仍属不同工作线。^{[21] [23] [25]}

建议分开管理DIA年度AML报告、最终AML独立审计报告到期日、SAR形成怀疑后的期限，以及PTR交易发生后的期限；公司年报、FSPR年度确认和财务报表申报另列。DIA公布的2025/2026年度AML报告期为2025年7月1日至2026年6月30日，提交窗口为2026年7月1日至8月31日，截至本文基准日已经结束；未来年度应核对当期通知，不能由旧窗口自行推定。^[10]（第60条） ^[22]

FSPR历史身份也须逐案说明。Qian DuoDuo的2018年原判明确记载当时登记，OTT的判词记载其于2015年1月9日登记；MSI的判词则记载从未登记。Ping An未取得可核实其FSPR历史身份的摘录或编号。因此，后两者不能包装为已证实的FSPR登记公司样本，只能据真实业务说明相应警示；这些材料均不证明任何一家公司在2026年仍登记或具有某项牌照。^[6]（第1段） ^[13]（第12—13段） ^{[1] [2]}

Ping An：529万纽元是单公司民事罚款，不是洗钱金额

被告准确名称为Ping An Finance (Group) New Zealand Company Limited，另一被告为其唯一董事及股东Xiaolan Xiao。公司在奥克兰经营汇款及外币兑换，因实际业务属于AML/CFT报告实体，案件由DIA提起。名称本身不能证明它与中国平安集团存在股权或品牌关系，已取得判决没有提供这种关联证明；其FSPR历史登记状态亦未核实。^[1]（第2—4及10段） ^[2]

DIA于2017年1月11日提交诉状。被告没有在原审采取应诉步骤，法院于4月12日进行formal proof程序，要求申请人举证证明请求，继而于2017年9月28日作出[2017] NZHC 2363。法院按民事标准认定责任，不是公司认罪，也不是本判决作出的刑事洗钱定罪。^[1]（首页及第12—16、26—27段）

法院命令公司单独支付NZ$5,290,000：CDD违规NZ$1,495,000、监控违规NZ$575,000、未取得满意身份证据仍建立或继续业务关系NZ$575,000、记录违规NZ$1,150,000、可疑交易漏报NZ$1,495,000。529万是公司五项民事罚款的合计，不是公司与董事两人罚款合计，诉讼费用和支出另计。公司及Xiaolan Xiao另被禁止从事会使其成为该法所定义金融机构的金融活动，直至法院另作命令；原判保留申请变更或取消的路径，不应称为董事永久不能经营任何企业。^[1]（第126—139段）

本报告确认的是上述命令已经作出，未取得罚款缴清或执行完毕记录，亦不能保证禁令此后从未变更。已核查资料未取得后续撤销申请决定的官方原件，不能据非官方线索补写最终程序状态。^[1]（第137—139段） ^[2]

Ping An：CDD、来源核实、监控和记录怎样同时失效

审查期间为2014年1月1日至2015年1月9日。法院认定至少362名客户未接受足够CDD，122项业务关系在缺乏满意身份证据下建立或继续，相关账户和交易也未被充分监控。记录缺失迫使监管者从银行资料重建1,588笔交易，合计NZ$105,413,026.44；这是一亿多纽元的交易总额，不是罚款、没收额或法院已证明的全部洗钱金额。^[1]（第5—6、30、39—41及48—59段）

DIA把519笔超过NZ$50,000的交易列为需要EDD的交易，但法院明确没有以金额设定普遍CDD与EDD分界，而是结合该公司声称的低额兑换、移民及学生客群，与实际交易金额、频率及时间特征判断异常风险。判决说明当时须取得适用的资金来源或财富来源资料，并按风险采取合理核实步骤。不能据此宣传所有新西兰业务一律五万纽元以上做EDD，或每个客户都须同时证明资金与财富来源。^[1]（第32—41段）

法院另认定至少173笔具有可疑迹象的交易未提交当时的STR；虽整个1,588笔交易期间一份STR也没有提交，却不能说法院认定每笔均应报。拆分收付、异常大额交易及高额现金等迹象需要公司自行判断，其他机构已经报告不会免除本公司的责任。这里是历史STR认定；PTR法规到2017年11月1日才生效，本案没有PTR漏报认定。^[1]（第60—78段） ^[3]（第2条）

判决虽解释CDD包括客户、受益所有人及代理人，却没有单列某批客户的UBO穿透失败清单。第22段明确未指控Part 2 subpart 4不合规，故不能加写风险评估、独立审计或境外分支义务为另外受罚项目。误导监管被用作处罚加重因素，但第125段明确没有提出第103条误导监管者罪指控。这些边界决定了后续UBO、审计及PTR控制只能作为预防建议，不能冒充本案裁判事实。^[1]（第22、28及121—125段）

Qian DuoDuo：2018年四类民事责任与35.6万纽元处罚

真实被告为Qian DuoDuo Limited，2025年判决案首亦作Qian Duo Duo Limited，商号为Lidong Foreign Exchange／Li Dong Foreign Exchange，在奥克兰经营外币兑换及汇款。2018年原判第1段明确记载其当时在FSPR登记相关活动，且因实际业务属于AML报告实体，监管者及申请人为DIA；不能把名称简写成另一个未经证实的Qian Duo Limited，也不能把历史登记写成2026年的现状。^{[6] [7] [8]}

2018年7月27日[2018] NZHC 1887中，公司承认四项民事责任：风险评估没有准确反映业务及与六家汇款经营者的关系、EDD不足、持续CDD及账户监控不足、记录不足。后三类问题主要涉及2014年9月9日至2015年5月12日，风险评估则涉及更早及后续多份文件，不能把所有缺陷压成一个相同期间。^[6]（第3—6段）

原判记载796笔大型或复杂交易及1,088笔电汇未接受所需EDD；持续CDD及监控不足涉及1,327笔、NZ$136,172,825.78。分类之间有重叠，不能把笔数与金额再相加。公司无法形成六家汇款经营者的可靠风险画像，记录又不能完整反映双方、交易性质、代谁交易及收款受益人。这里的收款受益人不能自动改写为公司所有权结构中的UBO。^[6]

最终命令为该公司整体支付NZ$356,000民事处罚，费用另计。其中因倒签第三方协议、事后制作培训日志而误导DIA的NZ$25,000加项已包含在35.6万之内，不能再次加总或称为第五项独立定罪。2025年判决回述旧案为NZ$350,000，与原判最终命令不同，本文以2018年原判为准。2018年同意事实没有指控或证明实际洗钱，原判并记载公司2014年已做过审计；不能说该案证明公司从未审计或因审计逾期受罚。^[6]（第165—167段） ^[7]（第1段）

Qian DuoDuo：2025年报告义务刑事量刑与未核实的上诉终局

2021年5月4日，高院曾因涉嫌违法颁临时禁令，禁止公司作为报告实体开展业务，并禁止董事Ye Hua担任报告实体高级经理或合规官；临时措施不是对全部涉嫌事项的最终认定。2025年4月28日[2025] NZDC 8368则属公司于2024年9月16日承认三项涉及SAR及PTR义务的代表性罪名后的量刑，须与2018年民事案分开。^{[9] [7]}

地区法院以NZ$1,250,000为整体起点，扣除10%认罪折扣，最终判公司整体罚金NZ$1,125,000，不是董事或其他公司的罚款合计。DIA于2025年6月5日明确公告公司已向高院上诉；已核查资料没有取得上诉终结裁判，不能称量刑已终审，也不能反向断言截至2026年11月6日仍待审，更不能声称罚金已缴清。^{[7] [8]}

判决详细事实记载，2018年6月至2019年9月相关期间，26笔客观可疑交易共NZ$4,716,451.07未获报告，171笔规定交易共NZ$14,424,878.92未报PTR，共197笔、NZ$19,141,329.99。第59段接受该责任范围，DIA公告亦采用约NZ$19.14 million。这是未履行报告义务的交易金额，不是罚金，也不是已确定的洗钱收益。判决摘要对逐项罪名分配及第43段金额另有不一致，本文仅采用三项代表性罪名、两类报告义务及上述有交叉支持的交易范围，不自行填补矛盾。^[7]（第9—10、43及59段） ^[8]

法院采纳公司对两名客户资金来源只做最低限度尽调、接受本应引起怀疑的不可靠材料等事实；在既有民事处罚和已知义务背景下，行为超过单纯疏忽。但这是此次报告义务量刑所确认的事实，不是另加一项CDD刑事定罪，更不是实体洗钱罪的量刑。未核实本案有UBO专项、独立审计频次或2025年记录违法的单独定罪。^[7]（第58—60段）

本案历史PTR上限为交易后10个工作日，不能原封不动放入当前手册。截至本文基准日，普通金融报告实体SAR仍须形成怀疑后尽快且不迟于三个工作日提交；PTR现行一般上限已为交易后尽快且不迟于20个工作日，修改自2025年11月27日生效。现行较长期限不能追溯用于改写历史违法结论。^{[7] [10]}（第40及48A条） ^[5]（第13条）

MSI与OTT：两家公司罚款分开，三名个人禁令也分开

公司被告为基督城汇款商MSI Group Limited和奥克兰汇款商OTT Trading Group Limited，涉及新西兰及澳大利亚汇款、兑换业务，案件相关期间为2014年5月至2019年4月。个人被告为OTT唯一董事及股东Tonghui Qi、OTT前合规官Lee Chon Woon、MSI唯一董事及股东Ye Duan。其他业务承接主体不能混写成同案罚款公司。2019年DIA起诉公告属于当时指控，并明确没有指控两公司参与洗钱或恐怖融资。^{[11] [13] [14]}

2020年5月15日[2020] NZHC 1005为经同意的个人禁令。Qi和Duan各被禁止担任任何报告实体合规官或高级管理人员，以及开展使本人构成报告实体的活动，自命令日起三年；Woon被禁止担任报告实体合规官，直至法院另令。判词记录个人被告对部分指控保留否认立场而同意特定事实及禁令，不能概括为三人刑事认罪，也不能把原三年命令写成2026年仍当然有效。^{[14] [15]}

2020年7月10日[2020] NZHC 1663对未采取抗辩步骤的两公司经formal proof程序作民事罚款裁判：MSI单独NZ$4,485,000，OTT单独NZ$3,100,000，两公司合计NZ$7,585,000。不是MSI一家公司罚758.5万，也不是两公司实际洗钱的刑事定罪。费用与支出另计，法院对按2B类别核定的费用命两公司连带承担；未证实罚款实际支付、执行完毕或后续上诉状态。^{[2] [12] [13]}（第2及106—110段）

法院另禁止OTT从事会使其成为该法金融机构的活动，直至另令；没有对MSI作同类禁令，原因包括MSI此前被公司登记册除名，恢复登记仅为本诉讼，法院认为其不大可能恢复营业。这里的公司登记册事项不是FSPR除名证据。判词另明确MSI从未登记金融服务提供者，OTT则于2015年1月9日登记；因此MSI仅作为汇款业务适用警示，不能以本案宣传其曾获FSPR登记或某项牌照。^[13]（第12—13及106—110段）

MSI与OTT：方案不落地、合规官失能与虚假代理安排

公司罚款的四项诉因是方案、CDD、账户及交易监控、记录。MSI虽常尝试收取基本身份资料，却完全忽视EDD；2019年现场抽样仍发现大量未做EDD或身份未验证的交易，其中包括声称2018年7月改善后才建立的客户关系。Duan承认此前担心客户流失而不要求资金来源证据，法院把为保生意而不合规视为严重情节。判词所述至少746笔超过NZ$50,000、合计NZ$213 million是相关交易规模，不是罚款或已证明洗钱金额，也不是全国统一EDD金额门槛。^[13]（第47—50及67—70段）

OTT经常连标准CDD亦未完成，超过NZ$60 million相关交易未达到EDD要求，监管检查的资料中没有一例在需要EDD时真正合规，声称改善后的资料亦无明显进步。合规官Woon不能解释EDD触发条件。OTT的风险评估没有反映非正式资金转移及大量澳大利亚高额往来，纸面方案没有实施；MSI则没有足以落实CDD、监控及记录的书面程序，并承认即使有100至200名固定客户，也完全没有账户监控。^[13]（第53—74段）

两公司均无法出示2015年9月或10月之前相应期间的业务记录，妨碍交易重建。MSI罚款由NZ$3.9 million基准上调约15%至NZ$4.485 million，涉及掩饰真实关系、误导监管及虚假代理安排等；OTT由NZ$2.7 million上调NZ$400,000至NZ$3.1 million。MSI被轮流描述成OTT分支、子公司或代理，协议却不反映实际经营。这些并不是能够通过重画集团架构图消除的形式问题。^[13]（第75—97段）

本案没有单列UBO穿透、PTR漏报或独立审计违法。判词提到OTT某客户交易突然增至NZ$174,000却无联系客户或提交SAR的证据，只能说明控制薄弱，不可扩成MSI或两公司另被裁定SAR漏报。MSI从未提交年度AML报告、Woon未做内部复核，也不能擅自改写为本次罚款中的第五项诉因或独立审计逾期定罪。^[13]（第12、37—38、49—50及67段）

从判决提炼审计模式，不制造“行业违规率”

三案可以支持的审计暴露模式，是实际交易超出书面业务画像，风险评估没有跟着业务变化，前端身份核实和EDD未拦截交易，后端监控没有形成有证据的调查，记录又使检查无法重建业务。Qian DuoDuo曾接受审计，OTT曾在桌面审查中看似合规，均说明“有报告”“检查过”与“控制持续有效”不是一回事；但不能据此声称原审计人必然不独立或已被裁定失职。^{[6] [13]}（第22及53—85段） ^[17]

补充的真实监管事件是DIA于2025年3月18日向NZForex Limited发出正式警告：系统问题令2017年11月1日至2024年2月28日期间3,182笔非NZD计价交易未向FIU报送。公告记载公司主动披露、修复并补报全部遗漏交易，自愿进行独立审计，并须提供最终报告及后续合规更新。这是正式警告，不是第四宗法院罚款判决，不证明公司参与洗钱，也不保证其他机构补报便可免于更严执法。^[26]

建议据上述模式设计审计程序，而不是把个案样本包装为2026年全部FSPR公司的违规比例。UBO、审计独立性、当前PTR接口和集团资料可用性值得检查，依据是适用法律及当前指引，不是声称每一法院都已就这些项目单独处罚。以下建议均须按实际业务、风险与法律边界调整，不设跨行业统一软件、固定抽样数量或法外整改天数。^{[10] [17]}

风险评估：由业务数据证明它确实覆盖本地经营

风险评估不能只改总部模板的公司名称。自2026年5月19日起，第58(3)(ba)条明确要求考虑主管及FIU风险评估识别的所有相关风险；独立审计也须按适用要求检查风险评估。Qian DuoDuo遗漏六家汇款经营者关系、OTT没有反映真实跨境模式，提示审计须从实际客户、产品、渠道、地域及交易结构反推文件是否完整。^[10]（第58及59B条） ^{[17] [6] [13]}（第53—60段）

建议业务负责人交付客户及交易分布、代理及介绍关系、收付账户、跨境路径和外包职责，数据或财务负责人核对其与源账及银行记录一致，再由合规官解释各类固有风险、控制措施和剩余风险。本地高级管理层批准适用于本实体的版本，记录哪些集团假设不适用。新产品、渠道、系统或客户群变化应触发适时复核，不能等下轮三年审计才处理。^[10]（第58—59条） ^[17]

建议验收时保留数据口径、资金流说明、版本差异、风险因素与控制对应关系以及批准记录。抽样同时覆盖直接客户和经汇款经营者、代理或境外渠道进入的业务；让复核人选取实际已上线产品，追查是否有相应CDD、监控及报送规则。若发现漏评业务，应界定所有受影响客户及期间，而非只补审计抽中的一项；缺乏历史数据须如实列缺口及替代核查方法，不能补造事前分析。^{[6] [17]}

CDD、UBO和代理权限：身份“收过”不等于核实完成

CDD须按适用要求识别并核实客户、受益所有人及代表客户行事者，不能把有身份证副本或供应商显示“通过”等同全部义务完成。UBO测试应说明实际所有权与控制如何被识别，交易收款人也不自动等于公司UBO。三案没有核实到单列的UBO专项处罚，本文将UBO列入控制建议，是基于一般CDD义务而非补写案情。^[1]（第28段） ^{[6] [13] [10]}（第11及相关CDD条款）

建议由客户接纳或运营团队负责收集及初核，合规团队处理高风险、复杂结构及异常，业务负责人不得仅凭收入或客户承诺豁免。法人客户按实际情况保存所有权及控制链、自然人核实结果和代理授权；涉及复杂结构时写清判定理由。无法完成适用CDD时，应按第37条判断不建立、停止或不继续有关关系或交易，并另作SAR判断，不能由销售经理签一份例外单取代法律依据。^[10]（第37条） ^[17]

建议采用双向追查：从交易和银行流水反查客户及授权档案，检查是否绕过开户闸门；再从客户档案追查已执行交易，确认资料有效、客户归属正确。验收证据包括核实日期、方法、结果、未通过拦截日志和有依据的例外处置；集团KYC或外包结果要能追溯至所需信息及核验依据。发现一个结构性缺件时，应扩至同类客户总体整改，并用未参与补件的人复测，不只把抽中的文件补齐。^[1]（第39—41及51—52段） ^{[10] [17] [19]}

EDD与资金来源：解释、佐证和判断必须连起来

EDD应依适用法律及风险触发，不能把Ping An或MSI案中的NZ$50,000变成所有业务统一安全线。异常复杂、大额、拆分、第三方收付或与客户背景不符的交易，须与本机构实际风险结合判断；适用的资金来源或财富来源材料还须按风险采取合理核实步骤。Qian DuoDuo案表明，收下一份本身不可靠的来源材料并不等于核实完毕。^[1]（第32—41段） ^[7]（第59段） ^[13]（第67—70段） ^[10]（第22—24条）

建议合规官制定与业务匹配的EDD升级标准，运营团队识别触发事项，高风险决定由具备权限及能力的人员批准。档案应写明交易目的、资金从何形成及经过何处、所取材料如何支持解释、已做哪些交叉核查，以及矛盾如何处理。材料清单只能作辅助，不能机械认定一份银行流水、客户声明或公司文件必然充分；客户不愿配合也不能成为绕过必要核实的理由。^[7]（第58—60段） ^[13]（第48及67—69段） ^[10]

建议验收从高风险及异常交易出发，覆盖新客户、固定客户、同日拆分及不同渠道，检查触发、调查、批准和交易执行的时间顺序。留证应保留原始材料、获取时间、核验底稿、不一致项处理和暂停或拒绝交易记录；历史补件应标明实际补正日期，不能倒签成交易前完成。若无法恢复当时应有证据，应记录缺口、影响、后续风险处置及复测结论，而不是制作看似完整的旧档案。^{[1] [6] [17]}

持续监控：把告警追到调查、升级与客户风险重评

长期客户不是降低监控的理由。MSI有固定客户却完全未监控，OTT定期查看交易表仍被认定不足；Ping An的业务关系分析也不能改成“三次交易以下无需持续CDD”。有效控制需要把已知客户背景、预计活动和真实交易比较，识别跨账户、跨渠道和跨期模式，而不是只看单笔金额。^[13]（第71—74段） ^[1]（第42—50段）

建议运营和数据团队保证交易输入完整，合规团队维护规则、调查及升级标准，业务负责人解释合理业务变化但不得代替合规判断。场景可按本机构风险覆盖突然增量、频繁拆分、第三方高额现金、与经济目的不符及跨实体流转。每条告警要能关联原交易、客户风险评级、调查步骤、结案理由和后续动作；不能因系统评分低便忽略已经形成的怀疑。^[1]（第68及74—78段） ^[13]（第37—38及71—74段） ^[10]

建议验收同时测试规则设计与实际执行：用受控模拟情景验证能否触发，再对真实期间抽样，检查漏告警、告警积压、关闭理由、备岗和客户重新评级。保存规则版本、变更批准、测试结果、处理账龄及复测证据；对关键例外扩大样本并回溯受影响总体。涉及SAR的真实内容及关联信息，必须遵守下一节的专门保密边界，不得因审计需要而放入普通资料室。^[10]（第46及59条） ^[17]

SAR与PTR：分开计时、核对成功接收，并保护SAR信息

对本文讨论的普通金融报告实体，SAR按第40(1)条在形成怀疑后尽快、最迟三个工作日提交；PTR按第48A(1)条在交易后尽快、一般最迟20个工作日提交，并核对适用通知或例外。PTR旧10工作日期限已自2025年11月27日修改，不能沿用；两种报告触发与起算点不同，互不替代。其他行业另有规定，例如律师事务所SAR为五工作日，不能由本文三日规则外推。^[10]（第40及48A条） ^[5]（第13条）

建议合规官分别管理SAR判断流程与PTR完整性流程，设具备权限的备岗。内部受限制记录应如实反映形成怀疑、升级、决定及报送时点，不能用总部审批或反复索取解释人为重启时钟；发现历史漏报的日期亦不会重置原期限。PTR应从所有源系统、币种和渠道建立应报总体，与FIU接收状态核对，跟进拒收、退回及补报。goAML自动提交须完成FIU测试并取得书面生产准入，“已生成文件”或供应商声称上传成功不是全部报告已被接受的证据。^{[10] [23] [26]}

SAR证据不能按普通客户档案交给审计人。第46条保密及相关隐私限制持续适用，DIA2026年审计指引第38段明确不得向审计人披露SAR所含信息。本报告所称内部留证，不是授权向普通审计资料室上传SAR副本、内容或未经核准的关联资料；总部共享政策、保密协议或审计委任书也不会自行创造披露权限。特定例外须另行核对法律依据。^[10]（第36及46条） ^[17]（第38段） ^[19]

建议合规官与法律顾问先确定可合法提供的流程证明，用权限设置、空白流程模板、模拟时限测试，以及经确认不披露受保护信息的控制证明支持审计。真实SAR记录应在有法定权限的受限渠道管理，不应为便利抽样而复制开放。PTR对账和接收证据亦须控制个人资料访问；如不能确认某份证据可向审计人披露，应先解决权限边界，不能以“审计要求”为披露理由。^{[10] [17]}

记录与抽样：先证明总体完整，再证明样本可重建

记录的验收目标不是文件数量，而是能够重建真实交易。Ping An须由监管者从银行重建交易，Qian DuoDuo记录不能反映完整交易链，MSI与OTT部分期间档案缺失，均说明仅保存收据或单边姓名不足。保存期限应按第49至52条区分交易、身份核验及其他记录逐项确定，不能随意采用一个统一年限；关户、系统迁移、外包终止或停止营业都应有明确保管安排。^[1]（第53—59段） ^{[6] [13]}（第75—82段） ^[10]（第49—52条）

建议由运营负责人管理档案索引，数据及系统负责人保证源数据、权限、备份和迁移完整性，合规官确认法规与访问边界。审计前先核对交易系统、总账和银行记录的数量、金额及差异，列明所有渠道、币种、客户类别和期间；无法证明总体完整时，应先列范围限制，不能从一个方便取得的文件夹推断全公司合规。^{[17] [23] [26]}

建议审计人按风险采用重点样本与适当随机或分层样本相结合，覆盖高风险客户、新旧客户、代理渠道、系统变更前后、被拒交易及原整改事项。由审计人记录总体来源、筛选理由、样本标识和覆盖范围，不设没有依据的固定样本数。发现结构性例外时扩大测试并追查同类总体，不能把针对性样本的缺陷比例宣传成行业或全体客户违规率。^[17]

每个获准调阅的样本应能连接原始指令、身份及适用EDD、付款与收款、金额及兑换、审批和最终处理；以恢复演练、境外资料调取及可读输出实测可用性。建议保存原始版本、补正时间、操作日志和差异清单，明确哪些是当时记录、哪些是后补说明。倒签协议、事后培训写成事前培训或替缺失交易制造凭证，都不能作为整改；SAR资料另按保密规则处理。^{[6] [13]}（第75—97段） ^{[10] [17]}

独立审计：三年是一般周期，不是三年才检查一次

主法第59(2)条的两年措辞必须与2011年Requirements and Compliance Regulations第13条并读：普通报告实体一般三年，四年须主管通知，DIA可要求其他时点审计。DIA2026年指引说明首次最终报告通常须在成为报告实体起三年内完成，后续从上次最终报告日期起算；签约、付款、访谈或草稿均不等于完成。提前出最终报告通常也会提前下次到期日，新设机构可以考虑较早审计，但这不是法定必须同时聘两家机构。^[10]（第59条） ^[16]（第13条） ^[17]

第59(1)条内部复核及整改与独立审计分开，监管桌面检查或现场检查亦不能代替独立审计。审计应测试风险评估和方案是否符合法律并在实际期间运行，不是核对模板是否有签名。DIA指引容许合理保证或有限保证，但须按风险决定，不能把有限保证解释为无需了解业务或抽查实际执行。高价值交易商另有第59A条安排，不应把其例外套用于普通金融机构。^{[10] [17] [18]}

第59B条要求独立且适当具备资格的审计人，不要求必为特许会计师或具备财务报表审计资格，也没有必须两家审计所或DIA推荐名单的规定。审计人不得参与受审风险评估或方案的建立、实施、维护；若顾问建制度后又来审计，不能仅换同团队人员或改职称便视为独立。充分独立的内部审计团队可能适用，但小机构同人兼任合规官、制度设计人和审计人通常无法解决自审问题。^[10]（第59B条） ^{[17] [18]}

建议董事或审计委员会批准委任前判断，保存审计人的AML法律知识、行业经验、方法能力、关系及历史顾问服务核查，签明实体、期间、范围、保证程度、资料权限和最终交付日。独立声明应有事实支持；同一机构承接财务与AML工作也须分别满足资格、独立性及冲突要求。若已逾期，应固定真实到期日及不合规期间、尽快补做并评估监管沟通，不能倒签最终报告或以新合同抹去原缺陷。^{[10] [17] [24]}

集团共享与境外母公司：可合并组织，不可消失本地责任

普通母子公司关系不自动成为指定业务集团DBG。成员资格、书面选入及生效要求须按法律和DIA指引满足，境外母公司还须符合相应关联及当地AML制度、受监管等条件，不能仅凭100%持股直接代办全部义务。第32条容许合资格共享部分风险评估、方案、CDD及报送工作，但依赖方报告实体仍对自身合规负责。^[10]（第5及32条） ^{[19] [20]}

DIA2026年DBG范围指引第29段允许合并独立审计，前提是充分有效覆盖每一成员；DIA亦可要求个别成员另审。一份集团报告不当然无效，也不意味每法人必须各聘一家事务所。建议委任及报告逐一写明成员、期间、产品、渠道、地域、共用与本地控制、样本支持及结论，不能只查最大公司或境外总部就声称NZ子公司全部覆盖。^[19]（第29及32段）

非有效DBG的集团即使集中委任同一团队，也须分别落实每个NZ报告实体的义务，不能只交按海外法律完成的全球报告。建议本地合规官负责共享依赖依据，集团服务负责人负责系统和资料可用性，董事确认本地差异及未覆盖事项。测试资料是否能实际调取、缺件如何处理、系统故障及退出如何接续；依法共享CDD信息也须满足适用信息取得及核验资料应请求尽快并在五工作日内提供等要求，SAR另受专门保密限制。^{[10] [17] [19]}

第61条处理NZ报告实体自身境外分支或子公司的相关义务，不是反向把所有境外母公司和姊妹公司纳入NZ子公司的直接审计。不过总部若替NZ客户审核、运行系统或保管资料，其对本地合规的影响仍须测试。加入、退出或收购改变DBG范围时，须核对书面手续和生效时间；成员也没有普遍免除各自年度AML报告的待遇。^[10]（第61条） ^{[19] [20] [22]}

整改闭环：一个发现必须有范围、负责人、修复和复测

建议由董事会或获授权高级管理层确定整改治理，合规官维护统一问题台账，业务、运营、数据及系统负责人各自承接根因修复，独立复核人检验效果。每项发现写明适用要求、事实证据、严重程度、受影响实体及客户交易范围、临时限制、责任角色、合理期限和验收条件；严重或持续风险应及时升级，不能等下一轮审计。具体管理期限应标为内部决定，不伪称统一法定天数。^[10]（第59条） ^[17]

对CDD或EDD缺口，建议不仅补抽中客户，还识别相同规则、时期和渠道的全部受影响客户，按风险安排补核及未能完成时的处置。对监控缺陷，既修规则又清理积压并回看遗漏；对PTR系统缺陷，既回归测试又重建应报总体、补报并核对接收。NZForex事件支持这种系统修复加历史回溯的必要性，但不证明每家公司采取同样步骤便取得同样执法结果。^{[10] [17] [23] [26]}

建议关闭材料至少连接原发现、根因说明、批准的修订、历史回溯结果、培训与能力验证、实际运行的新样本、复测结论及管理层决定。复测人不应是该项整改的实施人；重大或反复缺陷可由具备适当独立性的人员复测，但不因此发明每次整改必须再聘一家事务所。仅换政策、采购软件、举行培训或顾问声称完成，不足以证明运行有效。^[17]

可以采用不同于审计人建议的有效办法，但实际不合规必须解决，并解释替代控制如何达到要求。若残余风险仍在，应如实保留未结状态、临时限制和升级决定，管理层接受风险不能豁免法律义务。DIA年报与董事会报告不得把计划完成写成实际完成，也不能另找较好结论便删除旧发现；所有补录、复测及关闭应使用真实日期。^{[10] [17] [22]}

新设与收购：接手客户，也要接手未结义务

新设NZ公司须从其实际业务判断报告实体身份及首次审计起点，不是前三年可不执行AML。买入现有公司的股份不重置该法律实体的历史审计周期、欠报或整改；买品牌、资产或客户后转入新法人，则不能自动沿用旧牌照或FSPR号码，FSPR登记依法不得转让。交易形式不同，应分别核对业务何时开始、哪个主体履职及资料如何交接。^{[10] [17] [25]}（第10条）

建议交割负责人组织本地董事、合规、运营及系统团队核收：上次最终审计、原到期日、四年或其他期限通知、全部未结发现、受影响客户及交易清单、年度报告记录、DBG和外包安排、系统规则与失败报送历史。以实际调取和抽样重建检验卖方或总部的陈述；涉及SAR的材料仅按合法授权渠道交接，不放普通并购或审计资料室。合同赔偿和留置安排不能解除存续实体责任，集团迁移不能使旧记录失去访问能力。^{[10] [17] [19]}

三案罚款均不是最低监管资本，也不能当作收购成本或必须保留的资本金额。母公司支持、全球合并审计或收购价不自动证明本地资源与法定义务已满足；FSPR登记本身也不当然产生年度FMC财报审计。是否另有财务报表、许可鉴证或特定条件，应按真实身份及适用规则另判。本报告未审阅具体标的许可、监管通知、豁免或财务数据，不能确认客户最终报告份数、资本额或收购审批结论。^[1]（第138段） ^{[7] [13]}（第107—110段） ^{[24] [25]}

董事和管理层怎样判断整改是否可以验收

建议将验收问题压到实际业务上：法人和业务清单是否完整，风险评估是否解释真实交易，CDD与EDD能否拦住缺件或不合理交易，监控是否能发现并调查异常，PTR能否从总体追至成功接收，SAR流程能否在不违法披露内容的条件下证明受控，档案能否重建交易，独立审计是否按真实期限完成。每项结论均应附可核验依据和未覆盖范围，而不是只给“已合规”标签。^{[10] [17] [23]}

建议本地董事或获授权高管审阅合规官的问题台账，由业务负责人说明客户影响，系统负责人说明数据与报送修复，独立复核人说明样本、例外及限制。若存在总体不完整、历史档案无法恢复、审计独立性无法证明、报告仍为草稿或关键缺陷未复测，应明确列作未完成或范围限制；不得为了尽快交割、年度申报或对外宣传而签成全部关闭。^{[17] [22]}

本报告截至2026年11月6日，仅在已有核查材料范围内区分法院认定、监管公告、现行要求和建议控制。未确认各案罚款缴清、全部后续程序和当前登记状态；Qian DuoDuo的上诉终局、Ping An后续程序官方文件及MSI/OTT禁令变更均不能在此补作确定陈述。客户实际业务、监管个别通知、现行许可及有效豁免仍须逐项核对；未核实之处应保持可见，而不是用一套看似完整的模板覆盖。^{[1] [2] [8] [2] [12] [17]}