什麼是風險評估系統？
風險評估系統（Risk Assessment System）是現代金融合規架構的核心元件。它透過對客戶屬性、地理風險、產品服務維度及交易模式進行多維度量化評分，幫助機構識別潛在的合規威脅。在金融科技合規諮詢領域，該系統是滿足FATF（金融行動特別工作小組）「風險為本（RBA）」原則的關鍵工具。
港信通提供的系統不僅涵蓋了基礎的黑名單比對，更引進了動態風險建模技術，能夠根據監理政策的變動即時調整評估權重，確保企業在申請香港VASP牌照或美國MSB牌照時，具備符合監理要求的內控能力。
金融風險評估系統的可解釋性
風險評估系統應能說明輸入數據、評分邏輯、風險等級、人工幹預和結果用途。模型輸出不能直接取代合規人員或管理階層的判斷責任。
- 定義客戶、交易、產品、國家及通路風險因子及數據品質要求。
- 記錄模型版本、訓練或規則變更、驗證結果、偏差和人工覆蓋。
- 把風險等級連接到盡調、限額、監控、審核和復核週期。
- 建立訪問、審計、資料保留、模型失效和異常回退機制。
官方核驗：BIS 金融科技監理資料。具體義務須結合主體、業務、客戶所在地和最新法規確認。
系統費用的組成
金融風險評估系統屬於技術與實施服務，建議報價分列軟體許可或訂閱、資料來源、介面集成、模型配置與驗證、測試培訓及持續維護費用。金額取決於實體數量、數據規模、場景複雜度和服務等級，不存在可通用於此類系統的統一監管收費。美國國家標準技術研究所腦脊髓液 2.0 可作為自願採用的網路安全風險治理參考，但不是金融業務許可，也不規定本項目的市場價格。
來源依據（2026年9月6日核對）：美國國家標準技術研究院：網路安全框架。具體義務以適用制度及個案事實為準。
風險評估系統的公開市場價格樣本
億東金融科技：東查查 CRM 月費計劃公開列示以下客戶管理、篩檢、客戶風險評估及持續監控套餐，頁面標註更新日期為2026年1月31日；三個套餐合約期限均為12個月：
- 看門人：HK$690/月；每年100個 CRM 客戶用量、200次單次篩檢，1名登入用戶、1間分店、5GB儲存。以12個月列示月費計算為 HK$8,280。
- 常規的：HK$990/月；每年1,000個 CRM 客戶用量、2,000次單次篩檢，2名登入用戶、1間分店、100GB儲存。以12個月列示月費計算為 HK$11,880。
- 強大的：HK$1,390/月；每年5,000個 CRM 客戶用量、10,000次單次篩檢，4名登入用戶、2至4間分店、100GB儲存。以12個月列示月費計算為 HK$16,680。
上述年化金額只是月費乘以12的預算計算，不表示可以隨時按月解約，也不代表另有年度折扣。額外用戶、分店、應用程式介面、特殊用量或高用量應以供應商另行報價為準；此價目頁同時說明資料保留至會員到期後3個月，需另行規劃滿足適用法定期限的記錄匯出和保留。
客戶風險評分與完整交易監控、機構整體 AML 風險評估並非同一交付。億東金融科技：交易監控系統方案另列交易監控規則、配置和驗收支持；合規升級版：機構反洗錢風險評估工具則區分包含於高級持續服務計劃的機構評估工具和需額外報價的安排。不得將上述 CRM 訂閱價格當成整套交易監控、機構風險評估報告、客製化模型、系統整合或人工合規服務的總價。
市場資料核驗日期：2026年9月6日。以上為指定機構公開服務或價格樣本，不是行業統一標準，也不是港信通報價；實際費用以最終確認的服務範圍和書面報價為準。稅費、附加服務、優惠資格及續費條件應另行核對。
風險評估系統的核心功能優勢
支援自訂風險因子，包括職業、資金來源、地理位置等，自動生成低、中、高風險評級。
即時接取OFAC、聯合國、歐盟等製裁名單，以及PEP（政治敏感人物）資料庫。
針對高風險客戶自動觸發EDD流程，引導收集補充證明文件，滿足跨境業務合規要求。
記錄每一次評估的操作日誌與決策依據，輕鬆應對監理問詢與模擬審查。
系統部署與實施流程
根據企業所屬行業（如支付、交易所、銀行）定義風險偏好。
透過API將風險評估模組嵌入現有業務流程或支付系統整合中。
設定風險閾值，並根據歷史數據進行回測優化。
配合合規培訓，確保營運團隊熟練系統操作。
關於風險評估系統的常見問題
輔助整理風險數據、評分、審核及紀錄，讓機構更一致地分析風險。它不能自動證明業務合法，也不能取代管理階層及專業人員的判斷。 參閱證監會AML風險、盡調及持續監控指引。
不能保證。合規取決於業務、合法基礎、配置、合約及實際控制，牌照由監管機關決定。應分別驗證系統功能、資料保護及申請證據。 參閱歐盟GDPR官方法規。
先區分AML、信用、市場、操作及其他風險，確定法律實體、業務、客戶和地區。本頁AML範例不能自動當作所有金融風險模型的統一要求。 參閱證監會AML風險、盡調及持續監控指引。
兩者分析對象和用途不同。機構評估用於整體控制設計，客戶評估用於盡調和監控程度；可共享資料，但應分別說明方法及責任。 參閱證監會AML風險、盡調及持續監控指引。
可依適用指引考慮國家、客戶、產品／服務／交易及通路因素，並結合本機構其他風險。模型與業務複雜度相稱，不能只看交易金額。 參閱證監會AML風險、盡調及持續監控指引。
應有基於業務、風險及數據的理由，經測試和適當批准後使用；保留版本及例外。照抄別家參數無法證明適合自己的客戶及產品。 參閱證監會AML風險、盡調及持續監控指引。
應區分未知、未核實與已確認狀態，設定補資料及升級流程。缺乏數據可能影響結論，不應透過默認零分掩蓋。
分別記錄未考慮緩解控制的暴露，以及控制實施和有效性後的風險。應能看到措施、證據及未解決缺口，不能只用一個總分代替解釋。
可依明確權限和流程設置，但須記錄依據、核准、有效期限及複核。不能允許業務人員無留痕隨意調低評級。 參閱證監會AML風險、盡調及持續監控指引。
先核對數據和風險因素，利用已調查樣本回測，並同時測試應辨識的高風險情景。誤報下降不自動證明控制更有效。 參閱證監會AML風險、盡調及持續監控指引。
不意味著。應核對設定條件、範圍、期限及複核，保留例外記錄；客戶或業務變化仍可能需要新評估，不宜無限排除監控。 參閱證監會AML風險、盡調及持續監控指引。
建議可以追溯數據、因素、規則版本、人工覆蓋及審核，使復核者理解結論與限制。只有紅黃綠顏色而無依據難以支持審查。 參閱證監會AML風險、盡調及持續監控指引。
適用證監會AML指引時，機構風險評估須取得高階管理層批准。系統可記錄流程，但不代替管理階層對控制和資源的責任。 參閱證監會AML風險、盡調及持續監控指引。
應保持評估最新，並在新產品、客戶、頻道、地區或其他重大變化時檢查影響。頻率依業務及風險安排，不能只等固定年度按鈕。 參閱證監會AML風險、盡調及持續監控指引。
建議保存生效日期、審批、測試及舊版本，並能重建當時評分。重算歷史結果時須說明新口徑，避免覆蓋原判斷及證據。
應依實際目的和合法基礎限制必要資料、權限和期限。適用GDPR時落實最小化、安全及預設保護，風險分析不自動允許無邊界存儲。 參閱歐盟GDPR官方法規。
應核對決策影響及法律。適用GDPR第22條時，純自動化產生法律或類似重大影響的決定受到限制，並有相應例外與保障要求。 參閱歐盟GDPR官方法規。
核對實際功能、數據、合約、訪問、再外包和監管檢查條件，測試控制並保留驗收記錄。供應商承諾不消除機構責任。 參閱歐盟GDPR官方法規。
依風險安排獨立複核、數據品質檢查及情境測試，追蹤偏差、異常和變化，記錄整改。系統上線和一次測試不能證明以後始終有效。 參閱證監會AML風險、盡調及持續監控指引。
事先約定因素、數據、規則、報告、權限和測試場景，逐項驗證並列出限制及未通過事項。應區分軟體能力、機構控製完成與監管認可。
