塞浦路斯AMLA直接监管：CIF应如何准备2028年新框架

AMLA 2028年启动直接监管：塞浦路斯金融机构需要了解什么

欧盟的反洗钱监管正从以成员国为主的模式转向一体化模式。对塞浦路斯金融机构而言，关键时间点是2028年，届时AMLA 将在集团层面直接监管部分跨境金融机构。AMLA 即欧盟反洗钱与反恐怖融资管理局。

塞浦路斯 AMLA 直接监管涉及的机构数量很少。首轮在整个欧盟范围内最多40家，而且必须先满足跨境经营门槛，再进入风险评估。塞浦路斯投资公司（CIF）不会整体从 CySEC 转由 AMLA 监管，CySEC 也不会失去反洗钱职责。

但改革的影响不止于最终名单。统一的欧盟风险评估方法、更标准化的数据要求，以及 AMLA 与各国监管机构之间更紧密的协作，很可能进一步影响各国监管机构对企业信息申报、治理证明和风险数据的要求。首轮资格识别工作已经进入数据纠错与口径对齐阶段，因此2028年并不像表面看起来那么遥远。

CySEC 在2026年8月14日说了什么

2026年8月14日，CySEC 发布 Circular C796，提示 CIF 及其他受监管机构关注 AMLA 依据《欧盟条例（EU）2024/1620》第15(3)条制定的实施技术标准最终报告，以及用于识别暂时符合资格机构的申报材料和常见问题说明。

这份通函并未另设一套塞浦路斯专属制度，也没有提出新的塞浦路斯本地合规要求。它的作用是转达欧盟层面的材料，提示受监管机构：AMLA 正在为2028年集团层面的直接监管做准备。

首轮资格识别数据的提交阶段已经结束。作为 AMLA 首轮资格识别工作的一部分，各成员国监管机构须在2026年8月15日前向 AMLA 提交相关数据，随后进入数据纠错与口径对齐阶段，暂时符合资格的机构范围预计将在2026年9月底前确定。正式遴选安排在2027年。准备工作之所以提前，是因为评估模型依赖统一、可比的数据，包括集团架构、设立情况、跨境服务，以及洗钱和恐怖融资风险。

AMLA 是什么，不是什么

AMLA 依据《欧盟条例（EU）2024/1620》设立，总部位于法兰克福，处于由各国金融监管机构和金融情报机构组成的监管网络中心。

它的大部分工作是推动趋同：制定统一方法和技术标准、协调各国监管机构、支持金融情报机构之间的合作。直接监管只适用于少数被选中的金融业义务机构。

有两点容易被误解。AMLA 不会取代各国金融情报机构，可疑交易报告仍按塞浦路斯现行制度提交。AMLA 也不负责投资公司牌照审批，牌照授权与反洗钱监管权的归属是两个不同问题。

2028年起有什么变化

从2028年起，AMLA 将成为欧盟范围内最多40家信贷机构、金融机构或集团的反洗钱与反恐怖融资直接监管者。首份名单在2027年确定，此后每三年进行一次新的遴选。

直接监管由联合监管团队执行，团队由 AMLA 牵头，成员包括相关成员国监管机构的人员。即便 AMLA 主导，当地监管机构也不会退出。制度设计强调两个层级之间的协作、监管档案移交，以及机构进入或退出直接监管时的衔接。

AMLA 的职权范围限于反洗钱、反恐怖融资及相关制裁合规。被选中的 CIF 在行为监管、审慎监管、公司治理和市场规则方面，仍受 CySEC 及其他主管机关管辖。

哪些机构可能被选中

常规遴选分两个阶段。

资格判断。 机构本身或其所属集团，必须在至少六个欧盟成员国开展业务，其中包括母国。只有在该成员国设有符合条件的设立机构，或者以服务自由方式提供的相关业务达到适用的实质性门槛时，该成员国才会被计入。仅仅拥有海外客户，或者办理了跨境服务通报却几乎没有实际业务，并不一定足够。直接开展的业务，以及通过分支机构、代理或分销渠道开展的业务会合并计算；同一集团内多家机构在同一成员国的业务也会合并计算。

AMLA 现行技术标准草案为服务自由业务设置了两项择一适用的实质性门槛：该成员国的居民客户超过20,000名，或这些客户产生的年度收付款交易总额超过5,000万欧元。满足其一即可，并非必须同时满足；最终应以评估时生效的正式技术标准为准。

风险评估。 AMLA 随后按统一方法评估符合资格机构的固有风险和残余风险。残余风险指现有控制措施的质量和有效性被计入后仍然存在的风险。AMLA 将按照正式遴选方法，从残余洗钱或恐怖融资风险被评为较高的合资格机构或集团中，选择最多40家作为直接监管对象。

有两点需要说清楚。收到资格数据填报要求，不等于已经入选。被选中也不等于监管机构认定该机构存在违规，它是按风险配置监管资源，而不是处罚。此外，欧盟法规另设特殊机制：在出现系统性合规缺陷并伴随重大风险时，AMLA 可以在限定期间内接管监管。这与常规遴选周期是两回事。

是否适用于每一家塞浦路斯 CIF？

并不适用。仅在塞浦路斯本地经营，或只覆盖少数成员国的机构，达不到六个成员国的门槛。多数塞浦路斯机构仍将由 CySEC 或其他国家主管机关负责反洗钱监管。

如果 CIF 属于某个集团，判断会复杂得多。资格可以在集团层面评估，因此不能只看塞浦路斯实体自身办理了多少跨境通行业务。集团在欧盟内的子公司、分支机构、其他设立形式和跨境服务活动，都会计入。

继续由 CySEC 监管，也不代表改革与自身无关。AMLA 的统一方法本就意在影响各国监管机构的风险评估方式，未来的数据申报、治理要求和同业比较，很可能在整个欧盟趋于一致。

为什么集团架构和跨境活动很重要

在新框架下，法律实体关系图从内部管理文件变成监管文件。AMLA 需要看清哪一家实体、在哪个成员国、依据什么法律基础提供哪项受监管服务，以及由谁负责相应控制。

一个典型集团可能同时持有塞浦路斯 CIF、欧盟支付机构牌照，在多个成员国设有分支机构，并有提供技术、营销或运营支持的关联公司。由此产生一系列实际问题：客户尽职调查在本地做还是集中做？交易监控规则由谁负责？集团能否合法访问客户和预警数据？集团反洗钱政策由哪个董事会审批？重大缺陷如何上报？

架构复杂本身不是合规问题。真正的问题是职责记录不清、客户风险评分不一致、数据分散，这些会抬高残余风险，也会让监管申报变得困难。集团应持续维护最新的实体与监管范围图，并明确划分各层级的反洗钱职责。

对新申请塞浦路斯牌照的企业意味着什么

多数新申请 CIF 牌照的企业不会成为直接监管对象。新设机构很少在起步阶段就覆盖六个成员国，也不具备首批入选集团的业务规模。

但这不是忽略新框架的理由。一份可信的塞浦路斯牌照申请，本来就需要说明目标市场、跨境发展路径、公司治理、外包安排、客户类型、产品、资金流和反洗钱控制环境。如果计划快速开展跨境业务，或申请人属于更大的金融集团，未来的监管范围就应当在架构设计阶段一并考虑。正在比较收购现成牌照与重新申请的企业同样如此，因为收购来的实体会同时带来它自己的跨境通行资格和业务分布。

需要避免的做法，是搭建一套只能应付本地起步、无法扩展的反洗钱制度。政策、系统和人员配置在初期可以保持适度，但要能够支撑统一的集团标准、可靠的管理信息，以及新增司法辖区。对监管机构和银行合作方而言，能说明控制措施如何随业务增长而升级的方案，说服力远高于笼统承诺。

AMLA 不会接管 CIF 牌照审批，企业仍须满足 CySEC、MiFID 及塞浦路斯法律要求。真正的变化在于，牌照架构设计与反洗钱运营设计已经无法当作两条互不相干的工作线。

AML/KYC 治理与数据准备

准备期应当用在控制措施质量和数据链路上，而不是继续堆叠政策文件。

董事会需要能说明实体层面和集团层面的反洗钱风险由谁负责、合规部门如何对商业决策提出独立意见、重大问题通过什么路径上报。洗钱报告负责人必须拥有实际权限、信息和资源。筛查或开户环节外包，并不能把最终责任转移出去。

集团 KYC 标准要保持足够一致，同时允许有合理依据的本地差异。客户风险模型需要有清晰的输入因素、审批记录、验证和变更管理。交易监控预警应当能从源数据一路追溯到调查和结案。机构还应清楚客户、支付和筛查数据存放在哪里，集团职能能否合法访问，以及监管报告能否从受控源系统中重新生成。

遴选工作本身已经显示了监管方向：主管机关要的是结构化、可比较的数据，而不是”合规制度完善”这类表述。数据完整性、口径统一、核对机制和责任归属，重要性会逐年上升。

对银行和 EMI 开户的影响

AMLA 不决定银行或电子货币机构的商业风险偏好。即使企业满足全部监管最低要求，银行仍可能拒绝开户；没有进入直接监管名单，也不代表企业属于低风险客户。

间接影响则是实实在在的。银行和 EMI 在审核塞浦路斯金融机构时，通常会看受监管业务范围、目标市场、股权与集团架构、客户所在地区、预期资金流、客户资金安排、反洗钱系统和合规记录。即使牌照完全有效，如果集团信息前后矛盾，或跨境经营模式说不清楚，开户仍会被拖延甚至被拒。

能够把牌照材料、反洗钱制度和开户说明统一起来的机构，回应尽职调查问题会快得多。同一份实体架构图、资金流说明和客户风险描述，应当在监管申报、银行审核和内部治理文件中保持一致。

现在是否应该调整塞浦路斯架构？

不应仅仅为了规避直接监管而调整。单纯为维持在门槛以下而重组，可能带来运营低效、税务和法律成本，也可能形成监管机构和银行难以理解的架构；如果集团整体仍在范围内，这类调整甚至达不到目的。

以下情形则值得做架构审查：现有安排已经无法反映真实业务、职责划分含糊、数据无法支撑集团监督，或者企业计划快速跨境扩张。多数时候，正确答案是完善治理和系统，而不是更换司法辖区或拆分实体。

在 AMLA 完成2027年评估并正式通知之前，没有企业能够确定自己是否入选。2026年的合理目标是做好准备：判断集团是否可能符合资格、了解监管机构可能索取哪些资料，并且不论最终由谁监管，都先解决实质性的控制缺陷。

2026至2028年准备清单

绘制集团与欧盟业务分布图。 列明各成员国的受监管实体、分支机构、其他设立形式，以及以服务自由方式开展的业务。
验证资格判断。 确认机构或集团是否在至少六个成员国开展业务，只计入符合条件的设立机构，以及达到实质性门槛的服务自由业务；按成员国统计客户数量和交易额，并在集团实体与分销渠道之间合并计算。
明确数据责任人。 为跨境业务、客户、产品、交付渠道、交易和控制成效数据指定负责人。
评估固有风险与残余风险。 确保方法能区分业务本身的风险暴露与控制措施生效后的剩余风险。
复核集团反洗钱治理。 记录董事会监督、问题升级路径、合规独立性，以及集团与本地职能的分工。
核对 KYC 标准。 找出客户准入、受益所有人核验、名单筛查和强化尽调中缺乏合理依据的差异。
验证监控与报告。 测试数据链路、预警治理、案件记录、管理信息和监管申报的可复现性。
审查外包安排。 确认关键反洗钱服务商的监督、审计权、资料访问、服务水平和退出方案。
统一牌照与开户材料。 保持商业计划、监管许可、网站、客户协议和资金流说明的一致性。
跟进正式进展。 持续关注 AMLA、CySEC 和欧盟委员会关于技术标准及2027年遴选工作的公告。

常见问题

CySEC 会在2028年失去反洗钱监管权吗？
不会。对于未被选中且属于 CySEC 监管职责范围的塞浦路斯机构，CySEC 仍是直接反洗钱监管者；对于被选中的机构，CySEC 也会向联合监管团队派出人员并提供本地专业支持。

AMLA 会直接监管多少家机构？
在欧盟范围内最多40家信贷机构、金融机构或集团。首份名单在2027年确定，此后每三年进行一次新的遴选。

有海外客户的塞浦路斯 CIF 是否符合资格？
仅凭这一点不符合。资格取决于是否在至少六个成员国开展业务：计入符合条件的设立机构，以及以服务自由方式提供且达到适用实质性门槛的业务，必要时在集团层面判断。

被 AMLA 选中是否意味着存在违规？
不是。遴选是以风险为基础的监管资源配置，不是执法结果。

FinPro Consulting 可以提供什么协助

FinPro Consulting 为金融企业提供塞浦路斯牌照规划、公司与集团架构审查、AML/KYC 制度设计、合规文件准备，以及银行或 EMI 开户材料梳理。

对新申请人而言，工作重点通常是在提交前统一拟开展的服务、目标市场、公司治理、运营模式和反洗钱控制。对已持牌集团而言，则更多是梳理欧盟业务范围、弥合实体层面与集团层面程序之间的差距，并准备一份在监管机构和银行面前逻辑一致的尽职调查材料。

合理的架构取决于企业实际做什么业务、在哪些地区经营、客户是谁，以及打算以多快的速度扩张。AMLA 自2028年启动直接监管，应当成为提高监管准备程度的理由，而不是仓促改变架构的理由。

本文仅供一般信息参考，不构成法律、监管或税务意见。是否被 AMLA 直接监管，取决于适用的欧盟规则、最终评估方法及 AMLA 的正式遴选结果。

官方来源

标签AMLA CySEC 塞浦路斯