> ## Documentation Index
> Fetch the complete documentation index at: https://docs.didit.me/llms.txt
> Use this file to discover all available pages before exploring further.

# AMLR 合规指南：欧盟 AML 法规 2024/1624 API

> 探索如何将欧盟反洗钱法规（AMLR）的各项要求映射到 Didit 相应的工作流、API endpoint 和 Webhook。

欧盟反洗钱条例（AMLR，Regulation (EU) 2024/1624）将客户尽职调查（CDD）规则整合为一部直接适用的法规。它对信贷和金融机构具有约束力，包括加密资产服务提供商（CASP）、博彩服务提供商以及第 3 条中列出的其他义务实体。该条例于 2024 年 7 月 9 日生效，并将自 2027 年 7 月 10 日起施行。在此之前，将现行指令转化为国内法的各成员国法律继续适用。

本页面面向负责具体实现的开发者与合规工程师。每个章节均阐述了该条例的具体要求，指明对应条款，并展示您可用于该部分的 Didit 工作流步骤、API endpoint 或 Webhook。有关业务概述，请参阅 [AMLR 解决方案页面](https://didit.me/solutions/amlr)。

最近审核日期：2026 年 10 月 2 日。

> [!WARNING]
>
> **Didit 提供各项核验与证据。您仍然是法定义务实体。** 由您来决定客户的风险画像，由您来决定是否批准入驻，并且您对任何外包的任务承担全部责任（第 18 条）。仅仅使用 Didit 并不能让您的企业自动符合 AMLR。本页面不构成法律建议：请与您的法律顾问及监管机构确认各项规则如何适用于您的业务。

## AMLR 核心要求一览

| 义务 | 条款 | 在 Didit 中的对应位置 |
| - | - | - |
| 明确何时触发尽职调查 | 第 19 条 | 您自己的路由逻辑，然后按触发条件创建会话。请参阅[何时适用尽职调查](#何时适用尽职调查) |
| 识别客户并验证其身份 | 第 20(1)(a) 条、第 22 条 | 通过数字身份钱包或证件采集进行身份证件验证。请参阅[识别个人并验证其身份](#识别和核验个人) |
| 识别实际受益人并了解股权结构 | 第 20(1)(b) 条、第 51 至 53 条 | 企业验证工作流。请参阅[验证企业与实际受益人](#验证企业和实际受益人) |
| 检查制裁和政治公众人物 | 第 20(1)(d) 及 (g) 条、第 42 条 | AML 筛查。请参阅[筛查制裁与政治公众人物](#筛查制裁和政治公众人物) |
| 监控业务关系并保持客户数据最新 | 第 26 条 | 持续 AML 监控和证件到期。请参阅[持续监控与数据更新](#持续监控与更新) |
| 了解业务关系的目的，并在必要时了解资金来源 | 第 25 条 | 问卷。请参阅[业务目的与资金来源](#目的与资金来源) |
| 监控交易并报告可疑行为 | 第 26(1) 条、第 69 条 | 交易监控与案件管理。请参阅[监控交易与报告](#监控交易并报告) |
| 保留记录 5 年，随后删除个人数据 | 第 77 条 | 数据保留设置、导出及按需删除。请参阅[保留记录，随后删除](#保存记录，然后删除) |
| 在自动化决策中引入人工干预 | 第 76(5) 条 | 人工审核与状态更新。请参阅[自动化决策的人工审核](#自动化决策的人工审核) |
| 管理外包事项 | 第 18 条 | 您的外包登记册。请参阅[外包](#外包) |

## 端到端流程

您的后端创建会话，用户完成工作流，Didit 向您发送通知，随后您获取完整的决策结果。入驻决策权保留在您的团队手中。入驻完成后持续监控仍将继续进行。

```mermaid theme={null}
sequenceDiagram
    autonumber
    participant User as Your customer
    participant You as Your backend
    participant Didit as Didit API
    participant Team as Your compliance team

    You->>Didit: POST /v3/session/ (workflow_id, vendor_data)
    Didit-->>You: session_id and url
    You->>User: Redirect to url
    User->>Didit: Completes the workflow
    Didit--)You: status.updated webhook
    You->>Didit: GET /v3/session/{sessionId}/decision/
    Didit-->>You: Decision with the result of every check
    You->>Team: Queue the case for a decision
    Note over You,Team: Risk profile and onboarding decision are yours (Article 18)
    Team->>Didit: PATCH /v3/session/{sessionId}/update-status/
    You->>Didit: POST /v3/users/aml-monitoring/
    Didit--)You: status.updated and data.updated on each change
```

## 何时适用尽职调查

第 19 条规定了何时必须实施客户尽职调查：建立业务关系时；单笔或多笔关联交易达到或超过 10,000 欧元的偶发交易；无论金额大小，凡怀疑存在洗钱或恐怖融资行为时；以及对已持有的身份识别数据有疑问时。某些行业适用更低的触发阈值：偶发资金划转以及 CASP 的阈值为 1,000 欧元，偶发现金交易为 3,000 欧元（至少进行识别和验证），博彩业为 2,000 欧元。对于低于 1,000 欧元的偶发交易，CASP 必须至少对客户进行识别和验证。

Didit 不决定是否适用某项触发条件。您需要在自己的代码中根据交易类型和金额进行路由，然后启动对应的工作流。

| 要求 | Didit 功能 | Endpoint 或设置 |
| - | - | - |
| 为新的业务关系启动尽职调查（第 19(1)(a) 条） | 在您的入驻工作流上创建验证会话 | [`POST /v3/session/`](https://docs.didit.me/zh/sessions-api/create-session) |
| 当偶发交易达到您的阈值时启动尽职调查（第 19(1)(b) 条、第 19(2) 至 19(5) 条） | 在您为该触发条件选择的工作流中创建验证会话 | 带有匹配 `workflow_id` 的 [`POST /v3/session/`](https://docs.didit.me/zh/sessions-api/create-session) |
| 检测合计达到阈值的关联交易 | 交易监控中的频次规则 | [`POST /v3/transactions/`](https://docs.didit.me/zh/transaction-monitoring/transactions)、[规则](https://docs.didit.me/zh/transaction-monitoring/rules.md) |
| 在被标记的交易结算前要求客户进行验证 | 规则操作将交易状态更改为 `AWAITING_USER`，并创建关联的验证会话 | [交易状态](https://docs.didit.me/zh/transaction-monitoring/statuses.md) |

以下是供您后端参考的精简路由草案。它并未涵盖第 19 条中的所有触发条件（例如参与设立法人实体），且适用于您所在行业的规则可能有所不同：

```python theme={null}
# Illustrative only. The figures are the Article 19 thresholds in EUR.
def due_diligence_for(event) -> str:
    """Return "full_cdd", "identify_and_verify" or "none"."""
    if event.new_business_relationship or event.suspicion or event.doubts_about_identity_data:
        return "full_cdd"

    amount = event.linked_total_eur  # one operation, or linked transactions added together

    if event.sector == "casp":
        return "full_cdd" if amount >= 1_000 else "identify_and_verify"
    if event.is_transfer_of_funds and amount >= 1_000:
        return "full_cdd"
    if event.sector == "gambling" and amount >= 2_000:
        return "full_cdd"
    if amount >= 10_000:
        return "full_cdd"
    if event.is_cash and amount >= 3_000:
        return "identify_and_verify"
    return "none"


WORKFLOWS = {
    "full_cdd": "YOUR_FULL_CDD_WORKFLOW_ID",
    "identify_and_verify": "YOUR_ID_ONLY_WORKFLOW_ID",
}
```

## 识别和核验个人

第 22(1) 条列出了您必须掌握的自然人数据：所有名字与姓氏、出生地及完整出生日期、国籍、适用时的国民身份号码、经常居住地，以及可获取时的税号。第 22(6) 条随后指明了两种身份核验途径：身份证件、护照或同等有效证件，或者符合 eIDAS“实质性”（substantial）或“高”（high）保证级别的电子身份认证（eID），并配合相关的合格信任服务。

### 对应决策的数据点

[`GET /v3/session/{sessionId}/decision/`](https://docs.didit.me/zh/sessions-api/retrieve-session) 返回的决策中，每次身份核验都会在 `id_verifications[]` 中包含一条对应记录。

| 第 22(1)(a) 条数据点 | `id_verifications[]` 中的字段 | 说明 |
| - | - | - |
| 所有名字与姓氏 | `first_name`, `last_name`, `full_name` | 与证件上显示的内容或钱包返回的内容一致 |
| 出生地及完整出生日期 | `place_of_birth`, `date_of_birth` | 仅当证件包含出生地时该字段存在 |
| 国籍 | `nationality` | 请在您自己的系统中记录客户申报的其他国籍 |
| 适用时的国民身份号码 | `personal_number` | 该字段包含的内容取决于证件类型。请参阅[身份证件验证报告](https://docs.didit.me/zh/core-technology/id-verification/report-id-verification.md) |
| 经常居住地 | `address`, `formatted_address`, `parsed_address` | 护照通常不包含地址。若证件未包含地址，请添加[地址证明](https://docs.didit.me/zh/core-technology/proof-of-address/overview.md)或[数据库核验](https://docs.didit.me/zh/core-technology/database-validation/overview.md) |
| 可获取时的税号 | `extra_fields.tax_number` | 仅当证件包含该信息时提供。否则请通过[问卷](https://docs.didit.me/zh/core-technology/questionnaires/overview.md)进行收集 |

### 两种核验途径

| 要求 | Didit 功能 | endpoint 或设置 |
| - | - | - |
| 通过电子身份认证进行核验（第 22(6)(b) 条） | [数字身份钱包](https://docs.didit.me/zh/core-technology/id-verification/digital-id-wallets.md)。生产环境可用：MitID（丹麦）、BankID Sweden（瑞典）、Finnish Trust Network（芬兰）、Smart-ID（爱沙尼亚、拉脱维亚、立陶宛、比利时）和 Mobile-ID（爱沙尼亚、立陶宛）。欧洲数字身份钱包（EUDI Wallet）：**即将推出** | 在[身份证件验证步骤](https://docs.didit.me/zh/console/id-verification-methods.md)中按国家/地区配置相应方式。结果中会报告 `verification_method` 和 `wallet_provider` |
| 通过身份证件进行核验（第 22(6)(a) 条） | 具备真实性检查的[证件采集](https://docs.didit.me/zh/core-technology/id-verification/overview.md)，以及用于电子护照和电子身份证的 [NFC 芯片读取](https://docs.didit.me/zh/core-technology/nfc-verification/overview.md)。关于远程场景的使用，请阅读下方的标准草案 | 工作流中的身份证件验证和 NFC 验证步骤 |
| 检查出示证件的人是否为证件持有人 | [活体检测](https://docs.didit.me/zh/core-technology/liveness/overview.md)以及与证件照片比对的[人脸比对](https://docs.didit.me/zh/core-technology/face-match/overview.md) | 活体检测和人脸比对步骤。结果记录在 `liveness_checks[]` 和 `face_matches[]` 中 |
| 保留可供日后审查的凭证 | 包含图像、提取数据和时间戳的会话记录 | [`GET /v3/session/{sessionId}/generate-pdf/`](https://docs.didit.me/zh/sessions-api/generate-pdf)、[导出](https://docs.didit.me/zh/console/export-pdf-csv.md) |

每个钱包所报告的保证级别均在[数字身份钱包](https://docs.didit.me/zh/core-technology/id-verification/digital-id-wallets.md)页面中列出。特定方案是否满足第 22(6)(b) 条的要求，需由您根据自身使用需求自行评估。Didit 提供集成服务，让您的客户能够使用该钱包；其本身并非合格信任服务提供商或 eID 方案。

### 监管技术标准草案对远程核验的规定

第 28(1) 条项下关于客户尽职调查的监管技术标准（RTS）由反洗钱机构（AMLA）拟定。AMLA 的最终报告日期为 2026 年 9 月 30 日，并于 2026 年 10 月 1 日发布。**该文件是提交给欧盟委员会的最终草案。它尚未通过，也不具备法律效力。** 欧盟委员会仍可能对其进行修改，且该草案建议在其生效 6 个月后开始实施。

该草案将第 22(6) 条中的两种途径视为默认手段。当无法合理要求个人当面出示证件且该人员无法使用合规的 eID 时，基于证件的远程核验是一种替代方案（草案第 7(1) 条）。如果您使用该替代方案，草案要求您能够合理解释原因，并向监管机构证明该方案具备安全防范措施（草案第 7(2) 条和第 7(3) 条）。该草案保持技术中立，未指明任何具体技术。

草案中的安全防范措施与 Didit 会话记录内容的对应关系：

| 草案中的安全防范措施（第 7(2) 条） | 您可以在 Didit 中使用的功能 |
| - | - |
| 确保出示证件者即为证件持有人的控制措施 | 会话中的活体检测与人脸比对结果 |
| 质量足以识别个人的图像、视频和数据 | 流程中的采集质量检查，并在报告中提供警告 |
| 在对身份或流程完整性存在疑虑时终止流程 | 警告以及 `"Declined"` 或 `"In Review"` 的会话状态 |
| 保留副本，附带时间戳并可供日后核验 | 会话记录、PDF 报告以及您的[数据保留设置](#保存记录，然后删除) |

客户选择证件途径而非 eID 途径的原因需由您自行记录。您可以将其存储在您自己的系统中，也可以在创建会话时通过 `metadata` 将其附加到会话中。

## 验证企业和实际受益人

对于法人实体，第 22(1)(b) 条要求提供法定形式和名称、注册办公地址、法定代表人，以及如有注册号、税号和法人实体标识符（Legal Entity Identifier）。您还必须识别实际受益人并采取合理措施对其进行核验，以便了解股权结构和控制架构（第 20(1)(b) 条）。实际受益人是指直接或间接持有“25 % 或更多”股份、表决权或其他所有权权益的自然人（第 52(1) 条），或通过所有权或其他方式控制该实体的自然人（第 51 条和第 53 条）。控制权与股权结构并行评估。

| 要求 | Didit 功能 | endpoint 或设置 |
| - | - | - |
| 识别法人实体并对照公司登记进行核查 | 包含在 Lite、Shareholders 或 UBOs 等级进行公司登记查询的[企业验证（KYB）](https://docs.didit.me/zh/business-verification/overview.md)。各等级可用性因国家/地区而异 | 带有 KYB `workflow_id` 的 [`POST /v3/session/`](https://docs.didit.me/zh/sessions-api/create-session)。参见[支持的国家/地区](https://docs.didit.me/zh/business-verification/supported-countries.md) |
| 识别持有 25 % 或更多权益的最终实际受益人（UBO） | 在登记处有记录时获取[股权结构](https://docs.didit.me/zh/business-verification/ownership.md)，并由企业代表进行确认和补充 | **工作流**中 KYB 工作流上的 UBO 阈值。结果返回于 `key_people_checks[]` |
| 验证所有者、董事和代表的身份 | 关联身份核验：每位[关键人员](https://docs.didit.me/zh/business-verification/key-people.md)都会在您按角色指定的工作流上生成子验证会话 | KYB 工作流中**关键人员**下的各角色设置 |
| 比对登记记录与客户申报的信息（第 22(7) 条、第 24 条） | 并排展示登记主体与提交的主体 | 决策中的 `key_people_checks[].registry` 和 `key_people_checks[].submitted` |
| 筛查企业及其所有者和控制人 | 企业和个人 [AML 筛查](https://docs.didit.me/zh/business-verification/aml.md) | KYB 工作流中的 AML 步骤 |

设计时需要关注的四个要点：

* **阈值由您自行设定。** AMLR 的规定是“25 % 或更多”，而非“超过 25 %”。工作流上的 UBO 阈值可配置，因此请设置使其匹配；如果您的政策更为严格，请适时进行调整。
* **仅依靠登记系统是不够的。** 第 22(7) 条要求您在核验实际受益人之外，还必须查询中央登记簿。在 14 个自然日内向登记机构报告差异（第 24 条）由您自行负责执行。
* **查询登记结果为空并不能证明企业没有所有者。** 登记系统可能未保存某个企业或某个国家/地区的股权结构记录。如果未能识别出任何实际受益人，第 22(2) 条要求您记录该情况，并转为识别和核验高级管理人员。
* **登记监控即将推出。** 目前尚不支持对登记变更的持续监控。在此功能推出前，请按照您的更新计划重新运行企业验证。

## 筛查制裁和政治公众人物

您必须核实客户或其实际受益人是否受到定向金融制裁，以及受制裁人员是否控制作为法人实体的客户或持有其超过 50 % 的权益（第 20(1)(d) 条）。在 AMLR 中，定向金融制裁指欧盟制裁。您还必须确定客户或实际受益人是否为政治公众人物（PEP）、其家庭成员或密切关系人（第 20(1)(g) 条）。针对 PEP，第 42 条增加了高级管理层批准、查明财富来源和资金来源的措施，以及强化持续监控。

| 要求 | Didit 功能 | endpoint 或设置 |
| - | - | - |
| 在入驻时进行筛查 | 工作流中的 [AML 筛查](https://docs.didit.me/zh/core-technology/aml-screening/overview.md)步骤，针对制裁、PEP 和观察名单进行筛查 | 工作流中的 AML 步骤及其阈值。结果返回于 `aml_screenings[]` |
| 无需托管流程即可筛查 | 对个人或企业的独立筛查 | [`POST /v3/aml/`](https://docs.didit.me/zh/standalone-apis/aml-screening) |
| 了解涵盖哪些名单 | [观察名单数据库](https://docs.didit.me/zh/core-technology/aml-screening/watchlist-database-aml-screening.md)，其中包含欧盟金融制裁综合名单 | 参考页面 |
| 记录每个命中的处理决定 | 对每个命中进行审核，并设置 `review_status` | [`PATCH /v3/session/{sessionId}/update-aml-hit-status/`](https://docs.didit.me/zh/sessions-api/update-aml-hit-status) |
| 将 PEP 和制裁匹配项转交人工处理 | 将会话状态变更为 `"In Review"` 的阈值 | 工作流中的 AML 阈值，随后进行[人工审核](https://docs.didit.me/zh/console/manual-review.md) |

```bash theme={null}
curl -X POST 'https://verification.didit.me/v3/aml/' \
  -H "x-api-key: $DIDIT_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "full_name": "Javier Ejemplo Modelo",
    "entity_type": "person",
    "date_of_birth": "1974-01-01",
    "nationality": "ES",
    "vendor_data": "user-1234"
  }'
```

将命中记录为 `Confirmed Match` 或 `False Positive` 会触发 `data.updated` Webhook，其本身不会改变会话决策。与 PEP 关系的高级管理层审批属于您自己的流程：将会话转入审核并记录审批人。

## 持续监控与更新

第 26 条要求对业务关系进行持续监控，并保持客户信息的最新状态。高风险客户的更新间隔不得超过 1 年，其他所有客户不得超过 5 年（第 26 条第 2 款）；当客户情况发生变化或您获悉相关事实时，也必须进行更新（第 26 条第 3 款）。制裁检查必须定期重复进行，对于信贷机构和金融机构，在有任何新增制裁指定时也必须重新筛查（第 26 条第 4 款）。

| 要求 | Didit 功能 | Endpoint 或设置 |
| - | - | - |
| 对照制裁和 PEP 名单重新筛查客户 | 每日重新筛查的[持续 AML 监控](https://docs.didit.me/zh/core-technology/aml-screening/continuous-monitoring-aml-screening.md) | 在 AML 步骤中启用，或通过 [`POST /v3/users/aml-monitoring/`](https://docs.didit.me/zh/management-api/aml-monitoring/toggle-users) 按个人档案启用 |
| 重新筛查企业 | 适用于企业档案的持续 AML 监控 | [`POST /v3/businesses/aml-monitoring/`](https://docs.didit.me/zh/management-api/aml-monitoring/toggle-businesses) |
| 在重新筛查导致结果变更时收到通知 | 会话上的 Webhook | 状态发生变更时的 `status.updated`（例如变为 `"In Review"`），以及 `data.updated`。payload 包含 `trigger: "ongoing_monitoring"` |
| 在无任何变更时证明监控已运行 | 上次筛查日期和筛查历史记录 | AML 报告上的 `last_ongoing_screening_at`，以及筛查历史记录导出 |
| 捕获已过期的身份证件 | [证件监控](https://docs.didit.me/zh/core-technology/id-verification/document-monitoring-id-verification.md) | 会话从 `"Approved"` 变为 `"Kyc Expired"` 并触发 `status.updated` Webhook |

```bash theme={null}
curl -X POST https://verification.didit.me/v3/users/aml-monitoring/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"is_enabled": true, "vendor_data_list": ["user-123", "user-456"]}'
```

开关监控功能本身不会发出 Webhook。监控开启后，重新筛查会触发常规的 `status.updated` 和 `data.updated` 事件。

### 在您自己的系统中安排 1 年和 5 年的更新

更新时间周期取决于您分配的风险等级，该决策不得外包。Didit 不保存您的风险等级，也不会为您安排定期更新。

**1. 存储风险等级和上次更新日期**

将它们保存在您的客户记录中，存放在您发送给 Didit 的 `vendor_data` 旁边。

**2. 运行定时任务**

筛选出上次更新时间早于您设定间隔的客户：高风险客户最多 1 年，其他客户最多 5 年。这些是最长期限，因此您可以自行选择更短的间隔。

**3. 创建新会话**

使用相同的 `vendor_data` 和您的更新工作流调用 [`POST /v3/session/`](https://docs.didit.me/zh/sessions-api/create-session)，然后将 `url` 发送给客户。

**4. 同时对事件做出响应**

将 `"Kyc Expired"`、将会话变为 `"In Review"` 的监控 Webhook 以及客户报告的情况变化，作为提前更新的触发器。

## 目的与资金来源

在建立业务关系或进行偶发交易之前，第 25 条要求您了解其目的和预期性质。在必要时，您应获取有关目的和经济合理性、预计业务活动规模、资金来源、资金去向以及客户业务活动或职业的信息。“在必要时”意味着所需信息的范围取决于风险。强化尽职调查还可增加财富来源（第 34 条第 4 款）。

| 要求 | Didit 功能 | Endpoint 或设置 |
| - | - | - |
| 收集目的和预期活动 | 使用“账户目的”模板的[问卷](https://docs.didit.me/zh/core-technology/questionnaires/overview.md) | 工作流中的问卷步骤 |
| 收集资金来源及佐证材料 | 带文件上传功能的“资金来源”模板 | 工作流中的问卷步骤 |
| 收集职业和雇主信息 | “就业详情”模板 | 工作流中的问卷步骤 |
| 由人工查阅每条回答 | 将问卷设置为始终生成 `"In Review"` | 问卷上的人工审核设置 |

模板只是一个起点。您可以编辑问题以匹配您的风险评估，并将回答与会话保存在一起，使其与身份检查存储在同一条记录中。

## 监控交易并报告

持续监控涵盖业务关系存续期间开展的交易，以确保其与您所掌握的客户信息保持一致（第 26 条第 1 款）。当您知悉、怀疑或有合理理由怀疑资金是犯罪活动的收益或与恐怖融资相关时，须根据第 69 条向您的金融情报机构（FIU）报告。

| 要求 | Didit 功能 | Endpoint 或设置 |
| - | - | - |
| 提交每笔交易以进行评估 | 适用于法币与加密货币的[交易监控](https://docs.didit.me/zh/transaction-monitoring/overview.md) | [`POST /v3/transactions/`](https://docs.didit.me/zh/transaction-monitoring/transactions) |
| 应用经您批准的检测标准 | 预设规则包和自定义[规则](https://docs.didit.me/zh/transaction-monitoring/rules.md)，每条规则均具有由您控制的模式 | 控制台中的规则或规则 API |
| 接收判定结果通知 | Webhook | `transaction.created` 和 `transaction.status.updated` |
| 开展调查 | 包含每项操作时间线的[警报](https://docs.didit.me/zh/transaction-monitoring/alerts.md)和[案件](https://docs.didit.me/zh/transaction-monitoring/cases.md) | 控制台中的案件管理 |
| 准备报告 | 根据案件数据[准备 FIU 报告](https://docs.didit.me/zh/console/case-management/fiu-reports.md) | 案件上的 **FIU 报告**选项卡 |

```bash theme={null}
curl -X POST https://verification.didit.me/v3/transactions/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "transaction_id": "finance0001",
    "transaction_category": "finance",
    "transaction_details": {
      "direction": "outbound",
      "amount": "1200.00",
      "currency": "EUR"
    },
    "subject": { "entity_type": "person", "vendor_data": "user-123", "full_name": "John Doe" },
    "counterparty": { "entity_type": "person", "full_name": "Jane Doe" }
  }'
```

需要谨记两项限制：

* **由您批准检测标准。** 批准用于检测可疑或异常交易的标准不得外包（第 18 条第 3 款 (f) 项）。请审查您启用的每条规则，并在您自己的政策中记录该批准。
* **由您提交报告。** Didit 会根据案件数据准备报告文件。它不会向 FIU 提交任何内容。提交工作必须由您的合规官通过您所在 FIU 的渠道完成。

## 保存记录，然后删除

第 77 条是您的记录保存职责。您必须将为客户尽职调查获取的证件和信息、可疑情况评估记录以及交易记录保存 5 年。该期限自业务关系终止、单笔偶发交易完成或您拒绝建立该关系之日起计算（第 77(3) 条）。5 年期限届满时，除非其他法律另有规定或主管机关要求您将特定记录保存更长时间，否则您必须删除这些个人数据。

计算期限的起点取决于您系统中的事件：业务关系的终止。Didit 无法获知该日期，因此您配置的数据保留期限以及您请求的删除操作均由您自行决定。

| 要求 | Didit 功能 | Endpoint 或设置 |
| - | - | - |
| 在职责存续期间持续保存会话记录 | [数据保留设置](https://docs.didit.me/zh/console/data-retention.md)：1 个月至 10 年的时间窗口，或无限制 | **Business Console → App Settings → Data retention** |
| 在 5 年期限届满时执行删除 | 按需删除会话 | [`DELETE /v3/session/{sessionId}/delete/`](https://docs.didit.me/zh/sessions-api/delete-session) |
| 向监管机构或审计员提供档案文件 | 每次会话及每个用户的 PDF 报告，批量 CSV 导出 | [`GET /v3/session/{sessionId}/generate-pdf/`](https://docs.didit.me/zh/sessions-api/generate-pdf)，[导出](https://docs.didit.me/zh/console/export-pdf-csv.md) |
| 保存筛查证据 | 每次会话的筛查历史导出 | [持续监控证据](https://docs.didit.me/zh/core-technology/aml-screening/continuous-monitoring-aml-screening.md#证明监控已运行) |

**1. 选择一个不会过早结束的数据保留窗口**

会话到达时间窗口终点时将被删除。请选择一个能够涵盖您的客户关系存续期外加 5 年的时间窗口，或者将其设为无限制并在需要时按需删除。

**2. 记录业务关系的终止时间**

在您自己的系统中存储终止、交易或拒绝的日期。该日期即为您 5 年期限的起点。

**3. 在期限届满时执行删除**

为该客户的每个会话调用 `DELETE /v3/session/{sessionId}/delete/`。删除操作不可逆，媒体文件 URL 将停止解析。

> [!WARNING]
>
> **审计日志和筛查历史本身无法满足 5 年的保存职责。** 根据您的[套餐](https://docs.didit.me/zh/console/audit-logs.md#数据保留)，审计日志的保存期限为 30 天至 3 年不等，而筛查历史运行记录默认保存两年。如果您的记录策略依赖这些数据，请在相关期限结束前将其导出至您自己的档案中。根据您的数据保留设置保存的会话记录才是直接对应第 77 条要求的数据。

## 自动化决策的人工审核

第 76(5) 条允许您在满足三个条件的前提下采纳由自动化流程（包括画像分析和 AI 系统）生成的决策：数据仅限于尽职调查数据；任何关于建立、拒绝或维持业务关系、执行或拒绝单笔偶发交易、或改变尽职调查范围的决策均须受到实质性人工干预；客户能够获取对该决策的解释并对其提出异议。

| 要求 | Didit 功能 | Endpoint 或设置 |
| - | - | - |
| 将案件流转给人员处理 | 终止状态为 `"In Review"` 的工作流阈值和分支 | [工作流](https://docs.didit.me/zh/console/workflows.md) |
| 审核证据并作出决策 | 带有拒绝原因和审核备注的[人工审核](https://docs.didit.me/zh/console/manual-review.md) | 控制台，或 [`PATCH /v3/session/{sessionId}/update-status/`](https://docs.didit.me/zh/sessions-api/update-status) |
| 要求第二名审核员复核 | 案件蓝图上的[双人审核（四眼原则）](https://docs.didit.me/zh/console/case-management/four-eyes.md)：由另一位工作人员批准或驳回处理结果 | 控制台中的案件管理 |
| 解释处理结果 | 会话中的各项检查结果、警告以及审核员意见 | [`GET /v3/session/{sessionId}/decision/`](https://docs.didit.me/zh/sessions-api/retrieve-session) |

```bash theme={null}
curl -X PATCH https://verification.didit.me/v3/session/4c5c7f3a-.../update-status/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "new_status": "Approved",
    "comment": "Cleared after manual review by compliance team"
  }'
```

会话状态为 `"Approved"` 或 `"Declined"` 是您所配置各项检查的结果。它是您入驻决策的输入项，而根据第 18(3) 条规定，最终的入驻决策权依然归您所有。请与您的法律顾问共同确定人员必须介入的环节，然后将该步骤集成到工作流以及您自己的后台管理系统中。

## 外包

第 18 条允许您将因 AMLR 产生的任务外包给服务商。该条款规定了相关条件：您必须在服务商开始提供服务前通知您的监管机构（第 18(1) 条），您对所外包的任务承担全部责任（第 18(2) 条），并且必须通过书面协议确立相关条件，并对服务商进行定期控制（第 18(4) 条）。该法规还明确指出，使用第三方软件、访问数据库或筛查服务（其中要求由您自行执行）不属于外包（第 47 项叙述）。您使用 Didit 属于哪种情况取决于具体的使用方式。AMLA 关于外包的指南预计将于 2027 年 7 月 10 日前发布。

有六项任务在任何情况下都不得外包（第 18(3) 条）。它们必须由您自行承担：

1. 企业层面风险评估的拟定与批准。
2. 内部政策、流程与控制措施的批准。
3. 归属于客户的风险状况的判定。
4. 建立业务关系或进行偶发交易的决策。
5. 向 FIU 报告可疑活动以及基于阈值的报告。
6. 用于检测可疑或异常交易和活动的标准的批准。

围绕这些核心任务的其他任务可以委托：收集身份数据、运行证件或 eID 验证、收集实际受益人数据和进行公司登记查询、对照制裁和 PEP 名单进行筛查、根据您批准的标准运行交易监控，以及准备警报和证据。

在您的外包登记册中应记录的关于 Didit 的内容：

| 项目 | 记录内容 | 获取位置 |
| - | - | - |
| 书面协议（第 18(4) 条） | 您与 Didit 签订的合同以及数据处理协议 | 向您的 Didit 代表索取 DPA 以及技术和组织措施 |
| 委托的任务 | 您运行的每个工作流中的检查项，按工作流版本划分 | [工作流](https://docs.didit.me/zh/console/workflows.md)。会话和 Webhook 包含 `workflow_id` 和 `workflow_version` |
| 您保留的任务 | 上述六项任务，以及您组织内的负责人 | 您自己的内部政策 |
| 服务商资质（第 18(4) 条） | 认证与证明 | [认证](https://docs.didit.me/zh/getting-started/certifications.md) |
| 数据位置 | 默认情况下，数据在欧盟境内处理和存储。Enterprise 套餐支持境内本地化处理 | [数据保留](https://docs.didit.me/zh/console/data-retention.md#角色与处理位置) |
| 定期控制（第 18(4) 条） | 按照与任务关键程度相符的频率对会话、导出记录和审核跟踪进行抽样 | [导出](https://docs.didit.me/zh/console/export-pdf-csv.md)、[审计日志](https://docs.didit.me/zh/console/audit-logs.md) |
| 监管机构通知（第 18(1) 条） | 在正式上线前通知您的监管机构的日期 | 您需执行的步骤。通知并不意味着监管机构认可该安排 |

## 参考工作流

自然人入驻工作流的起点。请根据您的风险评估进行调整。

**1. 创建工作流**

在 Business Console 中，打开 **工作流** 并创建一个 KYC 工作流。如果需要按国家/地区或按结果设置分支，请使用可视化构建器。

**2. 按国家/地区选择身份验证方式**

在 **身份证件验证** 步骤中，为您所服务的国家/地区启用可用的数字身份钱包，并将其余用户路由至证件采集。请参阅 [身份证件验证方式](https://docs.didit.me/zh/console/id-verification-methods.md)。

**3. 将证件与个人绑定**

对于证件路径，添加 **活体检测** 和 **人脸比对**；如果证件带有芯片，还需添加 **NFC 验证**。

**4. 补充地址信息**

对于证件上未载明地址的客户，添加 **地址证明**。

**5. 筛查与监控**

添加 **AML 筛查**，设置将匹配项转交审核的阈值，并开启持续监控。

**6. 询问账户目的与资金来源**

从账户目的和资金来源模板中添加一个 **问卷**。

**7. 订阅 Webhook**

创建一个订阅了 `status.updated` 和 `data.updated` 的 Webhook 目标。请参阅 [Webhook](https://docs.didit.me/zh/integration/webhooks.md)。

**8. 发布并复制工作流 ID**

发布工作流，并在创建会话时使用其 `workflow_id`。

创建会话：

```bash theme={null}
curl -X POST https://verification.didit.me/v3/session/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "workflow_id": "YOUR_KYC_WORKFLOW_ID",
    "vendor_data": "user-42",
    "callback": "https://yourapp.com/callback"
  }'
```

响应（`201 Created`）：

```json theme={null}
{
  "session_id": "4c5c7f3a-1f82-4f3b-8d8e-1a8d2d2f9b7a",
  "session_kind": "user",
  "session_number": 1024,
  "session_token": "...",
  "url": "https://verify.didit.me/session/...",
  "status": "Not Started",
  "workflow_id": "YOUR_KYC_WORKFLOW_ID",
  "vendor_data": "user-42"
}
```

将客户重定向至 `url`。当会话产生决策时，Didit 会发送 `status.updated` Webhook。以下为摘录：

```json theme={null}
{
  "event_id": "9c0c8b8a-1111-4222-9333-444444444444",
  "webhook_type": "status.updated",
  "timestamp": 1774970000,
  "created_at": 1774969994,
  "application_id": "11111111-2222-3333-4444-555555555555",
  "environment": "live",
  "session_id": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
  "status": "In Review",
  "workflow_id": "66666666-7777-8888-9999-000000000000",
  "workflow_version": 4,
  "vendor_data": "user_42",
  "decision": { "...": "see /sessions-api/retrieve-session" }
}
```

验证签名，使用 `event_id` 作为幂等性键，并将 `status` 作为区分大小写的精确字符串进行匹配。具体值列于 [验证状态](https://docs.didit.me/zh/integration/verification-statuses.md)。然后通过 `GET /v3/session/{sessionId}/decision/` 读取完整的决策，并将其移交给做出入驻决策的人员或流程。

## 时间线

| 日期 | 事件 |
| - | - |
| 2024 年 6 月 19 日 | AMLR，即条例 (EU) 2024/1624，在《官方公报》上正式公布 |
| 2024 年 7 月 9 日 | AMLR 正式生效 |
| 2026 年 9 月 30 日 | AMLA 确定客户尽职调查标准草案最终报告的日期（于 2026 年 10 月 1 日宣布）。该报告提交给欧盟委员会，尚未正式通过 |
| 2027 年 7 月 10 日 | AMLR 开始适用。成员国完成对第六部反洗钱指令（指令 (EU) 2024/1640）转置的截止日期。AMLA 外包指南应于该日期前发布 |
| 2028 年 | AMLA 开始对选定的金融实体进行直接监管。首轮上限为 40 家 |
| 2029 年 7 月 10 日 | AMLR 开始适用于足球经纪人和职业足球俱乐部 |

## FAQ

> [accordion] AMLR 何时开始适用？
>
> AMLR 已于 2024 年 7 月 9 日生效，并将自 2027 年 7 月 10 日起适用。对于足球经纪人和职业足球俱乐部，将自 2029 年 7 月 10 日起适用。在 2027 年 7 月 10 日之前，适用将现行指令转化为国内法的各国法律。

> [accordion] AMLR、AMLD6 和 AMLA 之间有什么区别？
>
> AMLR 是欧盟条例 (EU) 2024/1624。它包含适用于义务实体的规则，并直接适用，无需转化为国内法。AMLD6 是欧盟指令 (EU) 2024/1640。它针对成员国，涵盖监管机构、登记机构和处罚，国内法转化截止日期为 2027 年 7 月 10 日。AMLA 是反洗钱局（Anti-Money Laundering Authority），由欧盟条例 (EU) 2024/1620 设立，总部位于法兰克福。它负责起草技术标准和指南，并将从 2028 年起直接监管选定的一组金融实体。

> [accordion] 使用身份证件进行远程验证仍然可行吗？
>
> 可以，但有条件限制。第 22(6) 条指明了两种手段：身份证件，或保证等级为实质性（substantial）或高（high）的电子身份（eID）。AMLA 于 2026 年 9 月 30 日的最终标准草案保留了使用证件进行远程验证的替代方案，适用于无法合理预期当事人能够亲自当面出示证件且无法使用符合条件的 eID 的情况。您必须能够证明使用该方式的正当性并展示相应保障措施。草案未指定具体技术，且目前尚未成为正式法律。

> [accordion] 技术标准最终定稿了吗？
>
> 尚未定稿。AMLA 于 2026 年 9 月 30 日完成了草案定稿并提交给欧盟委员会。只有在欧盟委员会通过并在官方公报上公布后，该标准才具有约束力，且欧盟委员会可能会对其进行修改。草案提议在其生效 6 个月后适用，因此目前尚无明确的日历日期。

> [accordion] 我必须接受 EUDI Wallet 吗？Didit 是否支持它？
>
> AMLR 本身将 eID 列为两种验证手段之一。它并未强制要求每个义务实体都接受 EUDI Wallet。接受义务规定在 eIDAS 条例中：必须使用强用户认证进行在线身份识别的私营依赖方，应最迟在实施细则生效后 36 个月内根据用户要求接受该钱包，微型和小型企业不受此义务约束。这是否涵盖您的入驻流程，请咨询您的法律顾问。在 Didit 中，EUDI Wallet **即将推出**。目前在生产环境中可用的钱包包括 MitID、BankID Sweden、Finnish Trust Network、Smart-ID 和 Mobile-ID。

> [accordion] 实际受益人阈值是 25% 还是 15%？
>
> 法定阈值为股份、表决权或其他所有权权益的“25% 或以上”（第 52(1) 条），同时评估控制权。第 52(2) 条允许欧盟委员会通过授权法案针对较高风险类别的实体设定较低的阈值（最高 15%）。目前尚不存在此类法案。在 Didit 中，UBO 阈值是 KYB 工作流中的一项设置。

> [accordion] 我该如何实施 1 年和 5 年的更新？
>
> 在您自己的系统中存储客户的风险类别和上次更新日期，运行一个定时任务筛选出超过设定间隔周期的客户，然后使用 `POST /v3/session/` 和相同的 `vendor_data` 创建新会话。添加事件触发器：`"Kyc Expired"` 状态、监控 Webhook 或客户报告的变更。第 26(2) 条中的 1 年和 5 年是最长期限。

> [accordion] 我可以外包哪些工作？
>
> 收集身份数据、执行验证、登记处查询、筛查以及根据您批准的标准运行交易监控等任务可以外包。有六项任务不可外包：批准全企业范围的风险评估、批准内部政策、确定客户的风险画像、决定是否允许入驻、向金融情报机构（FIU）报告，以及批准检测标准。您对自己外包的内容承担全部责任（第 18(2) 条）。

> [accordion] 我该如何针对 5 年规则设置数据保留？
>
> 这 5 年是从业务关系结束时起算，而不是从客户通过验证时起算。在 **Business Console → App Settings → Data retention** 中，选择一个足够长的保留窗口以涵盖业务关系期加上 5 年，或者保留为无限制。在您自己的系统中跟踪结束日期，并在保留期到期时调用 `DELETE /v3/session/{sessionId}/delete/`。如果您的记录保存政策依赖于审计日志和筛查历史，请导出。

> [accordion] 使用 Didit 能让我符合 AMLR 规范吗？
>
> 不能。合规性取决于您自身的合规体系：您的风险评估、政策、决策和控制措施。Didit 为您提供支撑这些体系运作所需的核验、监控和证据。供应商或工具不存在任何 AMLR 认证或批准。

## 相关资源

> [card] [AMLR 解决方案概览](https://didit.me/solutions/amlr)
>
> 业务视角：AMLR 约束的对象以及 Didit 的适用场景。

> [card] [身份证件验证方式](https://docs.didit.me/zh/core-technology/id-verification/verification-methods.md)
>
> 证件采集、非证件查询以及数字身份钱包。

> [card] [数字身份钱包](https://docs.didit.me/zh/core-technology/id-verification/digital-id-wallets.md)
>
> 各个钱包的可用性与保障级别。

> [card] [企业验证（KYB）](https://docs.didit.me/zh/business-verification/overview.md)
>
> 公司登记查询、股权结构与关键人员。

> [card] [AML 筛查](https://docs.didit.me/zh/core-technology/aml-screening/overview.md)
>
> 制裁、PEP 和观察名单筛查以及持续监控。

> [card] [交易监控](https://docs.didit.me/zh/transaction-monitoring/overview.md)
>
> 规则、警报、案件以及 FIU 报告准备。

> [card] [问卷](https://docs.didit.me/zh/core-technology/questionnaires/overview.md)
>
> 业务关系目的与资金来源模板。

> [card] [数据保留](https://docs.didit.me/zh/console/data-retention.md)
>
> 保留期限与按需删除。

> [card] [Webhook](https://docs.didit.me/zh/integration/webhooks.md)
>
> 事件类型、payload 与签名验证。

> [card] [定价](https://docs.didit.me/zh/getting-started/pricing.md)
>
> 按核验次数付费。查看各项功能的当前价格。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.