OFAC 合規：數字貨幣團隊應建立的合規計劃框架

OFAC 合規意味著什麼

OFAC 合規意味著執行一個有效計劃，讓數字貨幣業務遠離被禁止的交易，而非只是知道規則。監管者評估的是計劃：管理層支援、風險評估、能夠篩查和凍結的控制措施、測試以及培訓。本文按照審查人員的閱讀方式介紹這五部分。相關指南匯集在OFAC 制裁專題。

句子中的“計劃”有實際意義。在 OFAC 看來，一次性清單不是合規；能夠捕獲列名對象、記錄行為並在失敗後改進的可重複系統才是。該機構在 OFAC 合規承諾框架中明確要求，文件列出五個必要部分，執法和解在確定罰款時也經常引用這五部分中的缺口。

範圍也重要。OFAC 合規是更廣泛反洗錢體系中的制裁部分，旁邊還有 AML 在 FinCEN 法律權限下承擔的監控和報告義務。對虛擬資產業務，兩部分使用同樣輸入，即客戶和地址，因此團隊經常共同建設。持牌機構承擔什麼，與暴露於美國制裁的企業承擔什麼，兩者邊界由 VASP 專題繼續介紹。

OFAC 合規計劃的五個部分

框架列出五部分：管理層承諾、風險評估、內部控制、測試與審計，以及培訓。每部分覆蓋其餘四部分遺漏的一種失敗模式，審查人員將它們看作同一臺機器。數字貨幣團隊與其他企業以同樣五種方式失敗，只是多了地址。

管理層承諾聽起來柔軟，直到執法案件引用它的缺失。機構期望一名高階人員負責制裁風險，而非一個共用郵箱。風險評估隨後描繪敞口：客戶類型、鏈和資產、付款路徑及交易對手，以及美國關聯在哪裡。下一節詳細討論這一項，因為下游一切繼承其質量。

內部控制是計劃與管線相遇之處：准入及之後篩查、由具名決策者分流命中、凍結和拒絕程序，以及經得起審計的記錄。制裁篩查指南介紹核心篩查，OFAC 核查指南介紹單次查詢，多數控制從這裡開始，也在這裡洩漏。

測試提出令人不安的問題：如果列名對象今天進入，我們能捕獲嗎？定期審計、抽樣重新核查和事件後復盤是誠實答案。培訓閉合迴圈，因為告警先到達某個人，而這個人的下一次點選決定控制是否有效。

把五部分看作清單會錯過重點，因為它們相互供給。評估告訴控制看哪裡；控制告訴測試抽什麼；測試告訴培訓教什麼；管理層看到四者，決定下一美元投向哪裡。一項弱點表現為其他項中的噪聲，審查人員據此定位。

五個部分各有專門指南，全部收錄在 OFAC 制裁專題。

制裁風險評估：計劃的起點

風險評估是書面地圖，說明制裁敞口如何進入業務：客戶類型、產品、鏈和交易模式，按發生機率與損害排序。它是團隊跳過、審查人員最先閱讀的部分，因為地圖所說的一切可以證明其他控制合理，也可以暴露它們。

方法並不華麗。盤點提供什麼、誰使用。數字貨幣公司要列出客戶群、入金出金流程、支援的資產和鏈，以及任何觸及美國人士或美元的服務。隨後逐項詢問：列名對象通過這裡到來會是什麼樣，如果發生，損害是什麼。

排序將清單轉成決策。匿名傳送者使用的高流量提現路徑風險高，小規模已核驗企業准入通道較低。排序驅動支出：哪裡持續篩查、哪裡人工核查足夠、哪裡拒絕政策比任何控制都便宜。書面接受風險並給出原因，體現判斷；同樣風險未記錄，則體現缺口。

評估像名單一樣老化。新鏈、新產品、新客戶國家，每種變化都重開地圖。實際習慣是定期及每次重大上線時重新審視。將它視為活文件的團隊會發現，其餘計劃自然跟上。

兩個習慣保持評估誠實。記錄決定不擔心的事項及原因，因為無解釋的接受像疏忽，有解釋的接受像判斷。為每個版本標日期，因為審查人員真正問的不是有沒有地圖，而是行為發生時地圖是否最新。

持續記錄證明什麼

持續記錄是計劃展示而非聲稱的內容：帶日期的篩查結果、具名決定、凍結報告和培訓日誌。監管者詢問如何處理某個對象時，這些記錄必須能夠檢索。篩查工具可以在執行時記錄自身事件；機構維護決定、報告、培訓記錄及構成完整合規計劃的其他證據。

審查問題形式明確：給我看這個客戶、這個地址、這個日期。擁有持續記錄的計劃調出附帶名單版本的歷史，對話便繼續。靠截圖和記憶重建歷史的計劃，無論篩查真正做了什麼，都已承認問題。

這就是管線內篩查的安靜論據。Phalcon Compliance 處理地址和交易層面，被制裁實體屬於其標記風險。每次檢查提供帶日期的篩查記錄，支援機構的合規檔案，但不單獨完成其中的全部資料。案件按適用規則需要報送時，付費套餐中的香港和新加坡 STR 草稿提供初始文件，由團隊人員複核、編輯，並通過自身流程提交。Phalcon Compliance 頁面介紹套餐。

規模只改變數量，從不改變形式。每天一百次和十萬次檢查產生同樣六欄位記錄，小規模運營在重建問題上也不享折扣。這種對稱性說明記錄應從第一天進入工具討論，而非收到首封審計信後補裝。

記錄還將迴圈帶回評估：告警模式告訴你地圖哪裡錯了。從機構本身到為這些缺口定價的執法數字，完整系列從 OFAC 制裁專題開始。