什么是风险评估系统？
风险评估系统（Risk Assessment System）是现代金融合规架构的核心组件。它通过对客户属性、地理风险、产品服务维度及交易模式进行多维度量化评分，帮助机构识别潜在的合规威胁。在金融科技合规咨询领域，该系统是满足FATF（金融行动特别工作组）“风险为本（RBA）”原则的关键工具。
港信通提供的系统不仅涵盖了基础的黑名单比对，更引入了动态风险建模技术，能够根据监管政策的变动实时调整评估权重，确保企业在申请香港VASP牌照或美国MSB牌照时，具备符合监管要求的内控能力。
金融风险评估系统的可解释性
风险评估系统应能说明输入数据、评分逻辑、风险等级、人工干预和结果用途。模型输出不能直接替代合规人员或管理层的判断责任。
- 定义客户、交易、产品、国家和渠道风险因子及数据质量要求。
- 记录模型版本、训练或规则变更、验证结果、偏差和人工覆盖。
- 把风险等级连接到尽调、限额、监控、审批和复核周期。
- 建立访问、审计、数据保留、模型失效和异常回退机制。
官方核验：BIS 金融科技监管资料。具体义务须结合主体、业务、客户所在地和最新法规确认。
系统费用的组成
金融风险评估系统属于技术与实施服务，建议报价分列软件许可或订阅、数据源、接口集成、模型配置与验证、测试培训及持续维护费用。金额取决于实体数量、数据规模、场景复杂度和服务等级，不存在可通用于此类系统的统一监管收费。NIST CSF 2.0 可作为自愿采用的网络安全风险治理参考，但不是金融业务许可，也不规定本项目的市场价格。
来源依据（2026年9月6日核验）：NIST：Cybersecurity Framework。具体义务以适用制度及个案事实为准。
风险评估系统的公开市场价格样本
亿东金融科技：东查查 CRM 月费计划公开列示以下客户管理、筛查、客户风险评估及持续监测套餐，页面标注更新日期为2026年1月31日；三个套餐合约期均为12个月：
- Gatekeeper：HK$690/月；每年100个 CRM 客户用量、200次单次筛查，1名登录用户、1间分店、5GB存储。按12个月列示月费计算为 HK$8,280。
- Regular：HK$990/月；每年1,000个 CRM 客户用量、2,000次单次筛查，2名登录用户、1间分店、100GB存储。按12个月列示月费计算为 HK$11,880。
- Mighty：HK$1,390/月；每年5,000个 CRM 客户用量、10,000次单次筛查，4名登录用户、2至4间分店、100GB存储。按12个月列示月费计算为 HK$16,680。
上述年化金额只是月费乘以12的预算计算，不表示可以随时按月解约，也不代表另有年度折扣。额外用户、分店、API、特殊用量或高用量应以供应商另行报价为准；该价目页同时说明数据保留至会员到期后3个月，需另行规划满足适用法定期限的记录导出和留存。
客户风险评分与完整交易监控、机构整体 AML 风险评估并非同一交付。亿东金融科技：交易监控系统方案另列交易监控规则、配置和验收支持；CompliancePlus：机构反洗钱风险评估工具则区分包含于高级持续服务计划的机构评估工具和需额外报价的安排。不得把上述 CRM 订阅价格当成整套交易监控、机构风险评估报告、定制模型、系统集成或人工合规服务的总价。
市场资料核验日期：2026年9月6日。以上为指定机构公开服务或价格样本，不是行业统一标准，也不是港信通报价；实际费用以最终确认的服务范围和书面报价为准。税费、附加服务、优惠资格及续费条件应另行核对。
风险评估系统的核心功能优势
支持自定义风险因子，包括职业、资金来源、地理位置等，自动生成低、中、高风险评级。
实时接入OFAC、联合国、欧盟等制裁名单，以及PEP（政治敏感人物）数据库。
针对高风险客户自动触发EDD流程，引导收集补充证明文件，满足跨境业务合规要求。
记录每一次评估的操作日志与决策依据，轻松应对监管问询与模拟审查。
系统部署与实施流程
根据企业所属行业（如支付、交易所、银行）定义风险偏好。
通过API将风险评估模块嵌入现有业务流程或支付系统集成中。
设定风险阈值，并根据历史数据进行回测优化。
配合合规培训，确保运营团队熟练掌握系统操作。
关于风险评估系统的常见问题
辅助整理风险数据、评分、审批及记录，让机构更一致地分析风险。它不能自动证明业务合法，也不能替代管理层及专业人员的判断。 参阅证监会AML风险、尽调及持续监控指引。
不能保证。合规取决于业务、合法基础、配置、合同及实际控制，牌照由监管机关决定。应分别验证系统功能、数据保护及申请证据。 参阅欧盟GDPR官方法规。
先区分AML、信用、市场、操作及其他风险，确定法律实体、业务、客户和地区。本页AML示例不能自动当作所有金融风险模型的统一要求。 参阅证监会AML风险、尽调及持续监控指引。
两者分析对象和用途不同。机构评估用于整体控制设计，客户评估用于尽调和监控程度；可共享资料，但应分别说明方法及责任。 参阅证监会AML风险、尽调及持续监控指引。
可按适用指引考虑国家、客户、产品／服务／交易及渠道因素，并结合本机构其他风险。模型与业务复杂度相称，不能只看交易金额。 参阅证监会AML风险、尽调及持续监控指引。
应有基于业务、风险及数据的理由，经测试和适当批准后使用；保留版本及例外。照抄别家参数不能证明适合自己的客户及产品。 参阅证监会AML风险、尽调及持续监控指引。
应区分未知、未核实与已确认状态，设置补资料及升级流程。缺数据可能影响结论，不应通过默认零分掩盖。
分别记录未考虑缓解控制的暴露，以及控制实施和有效性后的风险。应能看到措施、证据及未解决缺口，不能仅用一个总分代替解释。
可按明确权限和流程设置，但须记录依据、批准、有效期限及复核。不能允许业务人员无留痕随意调低评级。 参阅证监会AML风险、尽调及持续监控指引。
先核对数据和风险因素，利用已调查样本回测，并同时测试应识别的高风险情景。误报下降不自动证明控制更有效。 参阅证监会AML风险、尽调及持续监控指引。
不意味着。应核对设置条件、范围、期限及复核，保留例外记录；客户或业务变化仍可能需要新评估，不宜无限排除监控。 参阅证监会AML风险、尽调及持续监控指引。
建议可以追溯数据、因素、规则版本、人工覆盖及审批，使复核者理解结论和限制。只有红黄绿颜色而无依据难以支持审查。 参阅证监会AML风险、尽调及持续监控指引。
适用证监会AML指引时，机构风险评估须取得高级管理层批准。系统可记录流程，但不代替管理层对控制和资源的责任。 参阅证监会AML风险、尽调及持续监控指引。
应保持评估最新，并在新产品、客户、渠道、地区或其他重大变化时检查影响。频率按业务及风险安排，不能只等固定年度按钮。 参阅证监会AML风险、尽调及持续监控指引。
建议保存生效日期、审批、测试及旧版本，并能重建当时评分。重算历史结果时须说明新口径，避免覆盖原判断及证据。
应按实际目的和合法基础限制必要资料、权限和期限。适用GDPR时落实最小化、安全及默认保护，风险分析不自动允许无边界存储。 参阅欧盟GDPR官方法规。
应核对决策影响及法律。适用GDPR第22条时，纯自动化产生法律或类似重大影响的决定受到限制，并存在相应例外和保障要求。 参阅欧盟GDPR官方法规。
核对实际功能、数据、合同、访问、再外包和监管检查条件，测试控制并保留验收记录。供应商承诺不消除机构责任。 参阅欧盟GDPR官方法规。
按风险安排独立复核、数据质量检查及情景测试，跟踪偏差、异常和变化，记录整改。系统上线和一次测试不能证明以后始终有效。 参阅证监会AML风险、尽调及持续监控指引。
事先约定因素、数据、规则、报告、权限和测试场景，逐项验证并列出限制及未通过事项。应区分软件能力、机构控制完成与监管认可。
