跳转到主要内容
欧盟反洗钱条例(AMLR,Regulation (EU) 2024/1624)将客户尽职调查(CDD)规则整合为一部直接适用的法规。它对信贷和金融机构具有约束力,包括加密资产服务提供商(CASP)、博彩服务提供商以及第 3 条中列出的其他义务实体。该条例于 2024 年 7 月 9 日生效,并将自 2027 年 7 月 10 日起施行。在此之前,将现行指令转化为国内法的各成员国法律继续适用。 本页面面向负责具体实现的开发者与合规工程师。每个章节均阐述了该条例的具体要求,指明对应条款,并展示您可用于该部分的 Didit 工作流步骤、API endpoint 或 Webhook。有关业务概述,请参阅 AMLR 解决方案页面。 最近审核日期:2026 年 10 月 2 日。
Didit 提供各项核验与证据。您仍然是法定义务实体。 由您来决定客户的风险画像,由您来决定是否批准入驻,并且您对任何外包的任务承担全部责任(第 18 条)。仅仅使用 Didit 并不能让您的企业自动符合 AMLR。本页面不构成法律建议:请与您的法律顾问及监管机构确认各项规则如何适用于您的业务。

AMLR 核心要求一览

端到端流程

您的后端创建会话,用户完成工作流,Didit 向您发送通知,随后您获取完整的决策结果。入驻决策权保留在您的团队手中。入驻完成后持续监控仍将继续进行。

何时适用尽职调查

第 19 条规定了何时必须实施客户尽职调查:建立业务关系时;单笔或多笔关联交易达到或超过 10,000 欧元的偶发交易;无论金额大小,凡怀疑存在洗钱或恐怖融资行为时;以及对已持有的身份识别数据有疑问时。某些行业适用更低的触发阈值:偶发资金划转以及 CASP 的阈值为 1,000 欧元,偶发现金交易为 3,000 欧元(至少进行识别和验证),博彩业为 2,000 欧元。对于低于 1,000 欧元的偶发交易,CASP 必须至少对客户进行识别和验证。 Didit 不决定是否适用某项触发条件。您需要在自己的代码中根据交易类型和金额进行路由,然后启动对应的工作流。 以下是供您后端参考的精简路由草案。它并未涵盖第 19 条中的所有触发条件(例如参与设立法人实体),且适用于您所在行业的规则可能有所不同:

识别和核验个人

第 22(1) 条列出了您必须掌握的自然人数据:所有名字与姓氏、出生地及完整出生日期、国籍、适用时的国民身份号码、经常居住地,以及可获取时的税号。第 22(6) 条随后指明了两种身份核验途径:身份证件、护照或同等有效证件,或者符合 eIDAS“实质性”(substantial)或“高”(high)保证级别的电子身份认证(eID),并配合相关的合格信任服务。

对应决策的数据点

GET /v3/session/{sessionId}/decision/ 返回的决策中,每次身份核验都会在 id_verifications[] 中包含一条对应记录。

两种核验途径

每个钱包所报告的保证级别均在数字身份钱包页面中列出。特定方案是否满足第 22(6)(b) 条的要求,需由您根据自身使用需求自行评估。Didit 提供集成服务,让您的客户能够使用该钱包;其本身并非合格信任服务提供商或 eID 方案。

监管技术标准草案对远程核验的规定

第 28(1) 条项下关于客户尽职调查的监管技术标准(RTS)由反洗钱机构(AMLA)拟定。AMLA 的最终报告日期为 2026 年 9 月 30 日,并于 2026 年 10 月 1 日发布。该文件是提交给欧盟委员会的最终草案。它尚未通过,也不具备法律效力。 欧盟委员会仍可能对其进行修改,且该草案建议在其生效 6 个月后开始实施。 该草案将第 22(6) 条中的两种途径视为默认手段。当无法合理要求个人当面出示证件且该人员无法使用合规的 eID 时,基于证件的远程核验是一种替代方案(草案第 7(1) 条)。如果您使用该替代方案,草案要求您能够合理解释原因,并向监管机构证明该方案具备安全防范措施(草案第 7(2) 条和第 7(3) 条)。该草案保持技术中立,未指明任何具体技术。 草案中的安全防范措施与 Didit 会话记录内容的对应关系: 客户选择证件途径而非 eID 途径的原因需由您自行记录。您可以将其存储在您自己的系统中,也可以在创建会话时通过 metadata 将其附加到会话中。

验证企业和实际受益人

对于法人实体,第 22(1)(b) 条要求提供法定形式和名称、注册办公地址、法定代表人,以及如有注册号、税号和法人实体标识符(Legal Entity Identifier)。您还必须识别实际受益人并采取合理措施对其进行核验,以便了解股权结构和控制架构(第 20(1)(b) 条)。实际受益人是指直接或间接持有“25 % 或更多”股份、表决权或其他所有权权益的自然人(第 52(1) 条),或通过所有权或其他方式控制该实体的自然人(第 51 条和第 53 条)。控制权与股权结构并行评估。 设计时需要关注的四个要点:
  • 阈值由您自行设定。 AMLR 的规定是“25 % 或更多”,而非“超过 25 %”。工作流上的 UBO 阈值可配置,因此请设置使其匹配;如果您的政策更为严格,请适时进行调整。
  • 仅依靠登记系统是不够的。 第 22(7) 条要求您在核验实际受益人之外,还必须查询中央登记簿。在 14 个自然日内向登记机构报告差异(第 24 条)由您自行负责执行。
  • 查询登记结果为空并不能证明企业没有所有者。 登记系统可能未保存某个企业或某个国家/地区的股权结构记录。如果未能识别出任何实际受益人,第 22(2) 条要求您记录该情况,并转为识别和核验高级管理人员。
  • 登记监控即将推出。 目前尚不支持对登记变更的持续监控。在此功能推出前,请按照您的更新计划重新运行企业验证。

筛查制裁和政治公众人物

您必须核实客户或其实际受益人是否受到定向金融制裁,以及受制裁人员是否控制作为法人实体的客户或持有其超过 50 % 的权益(第 20(1)(d) 条)。在 AMLR 中,定向金融制裁指欧盟制裁。您还必须确定客户或实际受益人是否为政治公众人物(PEP)、其家庭成员或密切关系人(第 20(1)(g) 条)。针对 PEP,第 42 条增加了高级管理层批准、查明财富来源和资金来源的措施,以及强化持续监控。
将命中记录为 Confirmed Match 或 False Positive 会触发 data.updated Webhook,其本身不会改变会话决策。与 PEP 关系的高级管理层审批属于您自己的流程:将会话转入审核并记录审批人。

持续监控与更新

第 26 条要求对业务关系进行持续监控,并保持客户信息的最新状态。高风险客户的更新间隔不得超过 1 年,其他所有客户不得超过 5 年(第 26 条第 2 款);当客户情况发生变化或您获悉相关事实时,也必须进行更新(第 26 条第 3 款)。制裁检查必须定期重复进行,对于信贷机构和金融机构,在有任何新增制裁指定时也必须重新筛查(第 26 条第 4 款)。
开关监控功能本身不会发出 Webhook。监控开启后,重新筛查会触发常规的 status.updated 和 data.updated 事件。

在您自己的系统中安排 1 年和 5 年的更新

更新时间周期取决于您分配的风险等级,该决策不得外包。Didit 不保存您的风险等级,也不会为您安排定期更新。
1

存储风险等级和上次更新日期

将它们保存在您的客户记录中,存放在您发送给 Didit 的 vendor_data 旁边。
2

运行定时任务

筛选出上次更新时间早于您设定间隔的客户:高风险客户最多 1 年,其他客户最多 5 年。这些是最长期限,因此您可以自行选择更短的间隔。
3

创建新会话

使用相同的 vendor_data 和您的更新工作流调用 POST /v3/session/,然后将 url 发送给客户。
4

同时对事件做出响应

将 "Kyc Expired"、将会话变为 "In Review" 的监控 Webhook 以及客户报告的情况变化,作为提前更新的触发器。

目的与资金来源

在建立业务关系或进行偶发交易之前,第 25 条要求您了解其目的和预期性质。在必要时,您应获取有关目的和经济合理性、预计业务活动规模、资金来源、资金去向以及客户业务活动或职业的信息。“在必要时”意味着所需信息的范围取决于风险。强化尽职调查还可增加财富来源(第 34 条第 4 款)。 模板只是一个起点。您可以编辑问题以匹配您的风险评估,并将回答与会话保存在一起,使其与身份检查存储在同一条记录中。

监控交易并报告

持续监控涵盖业务关系存续期间开展的交易,以确保其与您所掌握的客户信息保持一致(第 26 条第 1 款)。当您知悉、怀疑或有合理理由怀疑资金是犯罪活动的收益或与恐怖融资相关时,须根据第 69 条向您的金融情报机构(FIU)报告。
需要谨记两项限制:
  • 由您批准检测标准。 批准用于检测可疑或异常交易的标准不得外包(第 18 条第 3 款 (f) 项)。请审查您启用的每条规则,并在您自己的政策中记录该批准。
  • 由您提交报告。 Didit 会根据案件数据准备报告文件。它不会向 FIU 提交任何内容。提交工作必须由您的合规官通过您所在 FIU 的渠道完成。

保存记录,然后删除

第 77 条是您的记录保存职责。您必须将为客户尽职调查获取的证件和信息、可疑情况评估记录以及交易记录保存 5 年。该期限自业务关系终止、单笔偶发交易完成或您拒绝建立该关系之日起计算(第 77(3) 条)。5 年期限届满时,除非其他法律另有规定或主管机关要求您将特定记录保存更长时间,否则您必须删除这些个人数据。 计算期限的起点取决于您系统中的事件:业务关系的终止。Didit 无法获知该日期,因此您配置的数据保留期限以及您请求的删除操作均由您自行决定。
1

选择一个不会过早结束的数据保留窗口

会话到达时间窗口终点时将被删除。请选择一个能够涵盖您的客户关系存续期外加 5 年的时间窗口,或者将其设为无限制并在需要时按需删除。
2

记录业务关系的终止时间

在您自己的系统中存储终止、交易或拒绝的日期。该日期即为您 5 年期限的起点。
3

在期限届满时执行删除

为该客户的每个会话调用 DELETE /v3/session/{sessionId}/delete/。删除操作不可逆,媒体文件 URL 将停止解析。
审计日志和筛查历史本身无法满足 5 年的保存职责。 根据您的套餐,审计日志的保存期限为 30 天至 3 年不等,而筛查历史运行记录默认保存两年。如果您的记录策略依赖这些数据,请在相关期限结束前将其导出至您自己的档案中。根据您的数据保留设置保存的会话记录才是直接对应第 77 条要求的数据。

自动化决策的人工审核

第 76(5) 条允许您在满足三个条件的前提下采纳由自动化流程(包括画像分析和 AI 系统)生成的决策:数据仅限于尽职调查数据;任何关于建立、拒绝或维持业务关系、执行或拒绝单笔偶发交易、或改变尽职调查范围的决策均须受到实质性人工干预;客户能够获取对该决策的解释并对其提出异议。
会话状态为 "Approved" 或 "Declined" 是您所配置各项检查的结果。它是您入驻决策的输入项,而根据第 18(3) 条规定,最终的入驻决策权依然归您所有。请与您的法律顾问共同确定人员必须介入的环节,然后将该步骤集成到工作流以及您自己的后台管理系统中。

外包

第 18 条允许您将因 AMLR 产生的任务外包给服务商。该条款规定了相关条件:您必须在服务商开始提供服务前通知您的监管机构(第 18(1) 条),您对所外包的任务承担全部责任(第 18(2) 条),并且必须通过书面协议确立相关条件,并对服务商进行定期控制(第 18(4) 条)。该法规还明确指出,使用第三方软件、访问数据库或筛查服务(其中要求由您自行执行)不属于外包(第 47 项叙述)。您使用 Didit 属于哪种情况取决于具体的使用方式。AMLA 关于外包的指南预计将于 2027 年 7 月 10 日前发布。 有六项任务在任何情况下都不得外包(第 18(3) 条)。它们必须由您自行承担:
  1. 企业层面风险评估的拟定与批准。
  2. 内部政策、流程与控制措施的批准。
  3. 归属于客户的风险状况的判定。
  4. 建立业务关系或进行偶发交易的决策。
  5. 向 FIU 报告可疑活动以及基于阈值的报告。
  6. 用于检测可疑或异常交易和活动的标准的批准。
围绕这些核心任务的其他任务可以委托:收集身份数据、运行证件或 eID 验证、收集实际受益人数据和进行公司登记查询、对照制裁和 PEP 名单进行筛查、根据您批准的标准运行交易监控,以及准备警报和证据。 在您的外包登记册中应记录的关于 Didit 的内容:

参考工作流

自然人入驻工作流的起点。请根据您的风险评估进行调整。
1

创建工作流

在 Business Console 中,打开 工作流 并创建一个 KYC 工作流。如果需要按国家/地区或按结果设置分支,请使用可视化构建器。
2

按国家/地区选择身份验证方式

在 身份证件验证 步骤中,为您所服务的国家/地区启用可用的数字身份钱包,并将其余用户路由至证件采集。请参阅 身份证件验证方式。
3

将证件与个人绑定

对于证件路径,添加 活体检测 和 人脸比对;如果证件带有芯片,还需添加 NFC 验证。
4

补充地址信息

对于证件上未载明地址的客户,添加 地址证明。
5

筛查与监控

添加 AML 筛查,设置将匹配项转交审核的阈值,并开启持续监控。
6

询问账户目的与资金来源

从账户目的和资金来源模板中添加一个 问卷。
7

订阅 Webhook

创建一个订阅了 status.updated 和 data.updated 的 Webhook 目标。请参阅 Webhook。
8

发布并复制工作流 ID

发布工作流,并在创建会话时使用其 workflow_id。
创建会话:
响应(201 Created):
将客户重定向至 url。当会话产生决策时,Didit 会发送 status.updated Webhook。以下为摘录:
验证签名,使用 event_id 作为幂等性键,并将 status 作为区分大小写的精确字符串进行匹配。具体值列于 验证状态。然后通过 GET /v3/session/{sessionId}/decision/ 读取完整的决策,并将其移交给做出入驻决策的人员或流程。

时间线

FAQ

AMLR 已于 2024 年 7 月 9 日生效,并将自 2027 年 7 月 10 日起适用。对于足球经纪人和职业足球俱乐部,将自 2029 年 7 月 10 日起适用。在 2027 年 7 月 10 日之前,适用将现行指令转化为国内法的各国法律。
AMLR 是欧盟条例 (EU) 2024/1624。它包含适用于义务实体的规则,并直接适用,无需转化为国内法。AMLD6 是欧盟指令 (EU) 2024/1640。它针对成员国,涵盖监管机构、登记机构和处罚,国内法转化截止日期为 2027 年 7 月 10 日。AMLA 是反洗钱局(Anti-Money Laundering Authority),由欧盟条例 (EU) 2024/1620 设立,总部位于法兰克福。它负责起草技术标准和指南,并将从 2028 年起直接监管选定的一组金融实体。
可以,但有条件限制。第 22(6) 条指明了两种手段:身份证件,或保证等级为实质性(substantial)或高(high)的电子身份(eID)。AMLA 于 2026 年 9 月 30 日的最终标准草案保留了使用证件进行远程验证的替代方案,适用于无法合理预期当事人能够亲自当面出示证件且无法使用符合条件的 eID 的情况。您必须能够证明使用该方式的正当性并展示相应保障措施。草案未指定具体技术,且目前尚未成为正式法律。
尚未定稿。AMLA 于 2026 年 9 月 30 日完成了草案定稿并提交给欧盟委员会。只有在欧盟委员会通过并在官方公报上公布后,该标准才具有约束力,且欧盟委员会可能会对其进行修改。草案提议在其生效 6 个月后适用,因此目前尚无明确的日历日期。
AMLR 本身将 eID 列为两种验证手段之一。它并未强制要求每个义务实体都接受 EUDI Wallet。接受义务规定在 eIDAS 条例中:必须使用强用户认证进行在线身份识别的私营依赖方,应最迟在实施细则生效后 36 个月内根据用户要求接受该钱包,微型和小型企业不受此义务约束。这是否涵盖您的入驻流程,请咨询您的法律顾问。在 Didit 中,EUDI Wallet 即将推出。目前在生产环境中可用的钱包包括 MitID、BankID Sweden、Finnish Trust Network、Smart-ID 和 Mobile-ID。
法定阈值为股份、表决权或其他所有权权益的“25% 或以上”(第 52(1) 条),同时评估控制权。第 52(2) 条允许欧盟委员会通过授权法案针对较高风险类别的实体设定较低的阈值(最高 15%)。目前尚不存在此类法案。在 Didit 中,UBO 阈值是 KYB 工作流中的一项设置。
在您自己的系统中存储客户的风险类别和上次更新日期,运行一个定时任务筛选出超过设定间隔周期的客户,然后使用 POST /v3/session/ 和相同的 vendor_data 创建新会话。添加事件触发器:"Kyc Expired" 状态、监控 Webhook 或客户报告的变更。第 26(2) 条中的 1 年和 5 年是最长期限。
收集身份数据、执行验证、登记处查询、筛查以及根据您批准的标准运行交易监控等任务可以外包。有六项任务不可外包:批准全企业范围的风险评估、批准内部政策、确定客户的风险画像、决定是否允许入驻、向金融情报机构(FIU)报告,以及批准检测标准。您对自己外包的内容承担全部责任(第 18(2) 条)。
这 5 年是从业务关系结束时起算,而不是从客户通过验证时起算。在 Business Console → App Settings → Data retention 中,选择一个足够长的保留窗口以涵盖业务关系期加上 5 年,或者保留为无限制。在您自己的系统中跟踪结束日期,并在保留期到期时调用 DELETE /v3/session/{sessionId}/delete/。如果您的记录保存政策依赖于审计日志和筛查历史,请导出。
不能。合规性取决于您自身的合规体系:您的风险评估、政策、决策和控制措施。Didit 为您提供支撑这些体系运作所需的核验、监控和证据。供应商或工具不存在任何 AMLR 认证或批准。

相关资源

AMLR 解决方案概览

业务视角:AMLR 约束的对象以及 Didit 的适用场景。

身份证件验证方式

证件采集、非证件查询以及数字身份钱包。

数字身份钱包

各个钱包的可用性与保障级别。

企业验证(KYB)

公司登记查询、股权结构与关键人员。

AML 筛查

制裁、PEP 和观察名单筛查以及持续监控。

交易监控

规则、警报、案件以及 FIU 报告准备。

问卷

业务关系目的与资金来源模板。

数据保留

保留期限与按需删除。

Webhook

事件类型、payload 与签名验证。

定价

按核验次数付费。查看各项功能的当前价格。
最后修改于 2026年11月7日