港信通AML/CRM合规系统

应先验证实际部署是否能提供客户、规则版本、审批、告警及操作记录，以及导出的完整性。系统资料可支持检查，但不能代替监管判断或保证审计通过；未验收功能不能仅凭产品名称认定已具备。 参阅证监会AML风险、尽调及持续监控指引。

不必先决定重做。应盘点现有功能、数据及接口，再评估对接或替换方案；API或文件方式是否可用，需要供应商文档和测试确认，并核对权限、完整性及异常处理。

应由实际需求、数据治理、接口、规则、测试及培训评估后约定。没有经项目资料验证的统一6至12周承诺；复杂法域、历史迁移或供应商依赖需单列。

可以评估共用基础能力，但两类业务的数据、风险、阈值及报告要求不同，须分别配置和验收。不能只套用一个行业模板就视为符合两个监管制度。 参阅香港海关MSO反洗钱政策及系统流程指引。

建议同步建立数据分级、访问控制、脱敏策略、日志审计与跨境传输评估机制，并对接个人信息保护制度。

建议采用稳定客户标识，连接身份、实益拥有人、业务目的、风险等级、复核和交易记录，并管理更新责任。销售备注不能自动代替经核实的尽调证据。 参阅证监会AML风险、尽调及持续监控指引。

不宜以空值或接口失败自动认定低风险。应区分必需资料、可补资料和未验证状态，按适用尽调要求升级或限制下一步，并保留处置记录。 参阅证监会AML风险、尽调及持续监控指引。

结合客户、国家、产品、交易及渠道等因素，说明评分与等级依据、人工覆盖权限及复核触发条件。模型应与机构风险评估一致。 参阅证监会AML风险、尽调及持续监控指引。

建议核对数据来源、覆盖地区、更新频率、授权、匹配字段及服务中断处理，再用真实范围内的脱敏样本测试。数据供应商宣传不能代替机构验证。 参阅证监会AML风险、尽调及持续监控指引。

应按岗位及用途分配权限，防止非授权人员查看敏感调查或举报内容。适用GDPR时还须落实最小必要处理、安全及保密控制。 参阅欧盟GDPR官方法规。

不应。须结合业务与客户行为、风险及数据质量校准，并记录依据、批准和版本。阈值相同不代表风险相同。 参阅证监会AML风险、尽调及持续监控指引。

建议记录触发规则、相关客户与交易、调查、证据、升级和关闭理由、审批及时间。可疑交易的法定判断及报告仍由机构授权人员按适用流程完成。 参阅证监会AML风险、尽调及持续监控指引。

不能仅凭系统自动得分作统一结论。应核实事实、按机构程序评估和授权，明确报告对象及保密要求；自动化可辅助收集资料，但不替代责任。 参阅证监会AML风险、尽调及持续监控指引。

建议核对数量、关键字段、文件关联、版本及日志，并抽样追踪迁移前后客户和交易关系。未迁移或无法读取的资料应列出影响和恢复安排。

制定与风险相称的应急流程、待处理队列、人工复核、数据恢复及后补核对，测试恢复后是否遗漏交易。不能因系统不可用就忽略必要审查或报告。 参阅证监会AML风险、尽调及持续监控指引。

设定清晰升级和例外审批，保留理由及独立复核；管理层须提供资源和权威，避免业务人员单方面改变风险结论或删除告警。 参阅证监会AML风险、尽调及持续监控指引。

须先核对处理目的、合法基础、合同、角色和跨境安排，限制访问及再使用。适用GDPR时，处理者须依记录指令处理，不能自行扩大用途。 参阅欧盟GDPR官方法规。

用约定样本验证报表与原始交易一致、操作人员及时间可追溯、修改可辨识、导出可读，并核对不同权限和异常情形。不能只凭演示截图验收。

建议保留需求、风险影响、测试结果、批准、上线版本和回退安排，并复核旧告警及数据是否可追溯。制度更新应同步到操作流程和培训。 参阅证监会AML风险、尽调及持续监控指引。

软件许可、数据订阅、实施、云资源、维护及培训是商业费用；官方申请或监管规费另计。应在报价中列明数量、周期及不包含项目，避免称为一项牌照费。

应按适用制度、业务及风险定期评估控制有效性，包括数据完整性、模型、处置、权限和员工能力。系统上线不等于机构已经持续合规。 参阅证监会AML风险、尽调及持续监控指引。