OFAC 合规：数字货币团队应建立的合规计划框架

OFAC 合规意味着什么

OFAC 合规意味着运行一个有效计划，让数字货币业务远离被禁止的交易，而非只是知道规则。监管者评估的是计划：管理层支持、风险评估、能够筛查和冻结的控制措施、测试以及培训。本文按照审查人员的阅读方式介绍这五部分。相关指南汇集在OFAC 制裁专题。

句子中的“计划”有实际意义。在 OFAC 看来，一次性清单不是合规；能够捕获列名对象、记录行为并在失败后改进的可重复系统才是。该机构在 OFAC 合规承诺框架中明确要求，文件列出五个必要部分，执法和解在确定罚款时也经常引用这五部分中的缺口。

范围也重要。OFAC 合规是更广泛反洗钱体系中的制裁部分，旁边还有 AML 在 FinCEN 法律权限下承担的监控和报告义务。对虚拟资产业务，两部分使用同样输入，即客户和地址，因此团队经常共同建设。持牌机构承担什么，与暴露于美国制裁的企业承担什么，两者边界由 VASP 专题继续介绍。

OFAC 合规计划的五个部分

框架列出五部分：管理层承诺、风险评估、内部控制、测试与审计，以及培训。每部分覆盖其余四部分遗漏的一种失败模式，审查人员将它们看作同一台机器。数字货币团队与其他企业以同样五种方式失败，只是多了地址。

管理层承诺听起来柔软，直到执法案件引用它的缺失。机构期望一名高级人员负责制裁风险，而非一个共用邮箱。风险评估随后描绘敞口：客户类型、链和资产、付款路径及交易对手，以及美国关联在哪里。下一节详细讨论这一项，因为下游一切继承其质量。

内部控制是计划与管线相遇之处：准入及之后筛查、由具名决策者分流命中、冻结和拒绝程序，以及经得起审计的记录。制裁筛查指南介绍核心筛查，OFAC 核查指南介绍单次查询，多数控制从这里开始，也在这里泄漏。

测试提出令人不安的问题：如果列名对象今天进入，我们能捕获吗？定期审计、抽样重新核查和事件后复盘是诚实答案。培训闭合循环，因为告警先到达某个人，而这个人的下一次点击决定控制是否有效。

把五部分看作清单会错过重点，因为它们相互供给。评估告诉控制看哪里；控制告诉测试抽什么；测试告诉培训教什么；管理层看到四者，决定下一美元投向哪里。一项弱点表现为其他项中的噪声，审查人员据此定位。

五个部分各有专门指南，全部收录在 OFAC 制裁专题。

制裁风险评估：计划的起点

风险评估是书面地图，说明制裁敞口如何进入业务：客户类型、产品、链和交易模式，按发生概率与损害排序。它是团队跳过、审查人员最先阅读的部分，因为地图所说的一切可以证明其他控制合理，也可以暴露它们。

方法并不华丽。盘点提供什么、谁使用。数字货币公司要列出客户群、入金出金流程、支持的资产和链，以及任何触及美国人士或美元的服务。随后逐项询问：列名对象通过这里到来会是什么样，如果发生，损害是什么。

排序将清单转成决策。匿名发送者使用的高流量提现路径风险高，小规模已核验企业准入通道较低。排序驱动支出：哪里持续筛查、哪里人工核查足够、哪里拒绝政策比任何控制都便宜。书面接受风险并给出原因，体现判断；同样风险未记录，则体现缺口。

评估像名单一样老化。新链、新产品、新客户国家，每种变化都重开地图。实际习惯是定期及每次重大上线时重新审视。将它视为活文档的团队会发现，其余计划自然跟上。

两个习惯保持评估诚实。记录决定不担心的事项及原因，因为无解释的接受像疏忽，有解释的接受像判断。为每个版本标日期，因为审查人员真正问的不是有没有地图，而是行为发生时地图是否最新。

持续记录证明什么

持续记录是计划展示而非声称的内容：带日期的筛查结果、具名决定、冻结报告和培训日志。监管者询问如何处理某个对象时，这些记录必须能够检索。筛查工具可以在运行时记录自身事件；机构维护决定、报告、培训记录及构成完整合规计划的其他证据。

审查问题形式明确：给我看这个客户、这个地址、这个日期。拥有持续记录的计划调出附带名单版本的历史，对话便继续。靠截图和记忆重建历史的计划，无论筛查真正做了什么，都已承认问题。

这就是管线内筛查的安静论据。Phalcon Compliance 处理地址和交易层面，被制裁实体属于其标记风险。每次检查提供带日期的筛查记录，支持机构的合规档案，但不单独完成其中的全部资料。案件按适用规则需要报送时，付费套餐中的香港和新加坡 STR 草稿提供初始文件，由团队人员复核、编辑，并通过自身流程提交。Phalcon Compliance 页面介绍套餐。

规模只改变数量，从不改变形式。每天一百次和十万次检查产生同样六字段记录，小规模运营在重建问题上也不享折扣。这种对称性说明记录应从第一天进入工具讨论，而非收到首封审计信后补装。

记录还将循环带回评估：告警模式告诉你地图哪里错了。从机构本身到为这些缺口定价的执法数字，完整系列从 OFAC 制裁专题开始。