简要回答
反洗钱规则要求从公司服务提供商、公证员到银行等所有为您服务的企业建立并保留各自关于您的档案。法律允许其依赖彼此的工作，但责任仍由依赖方承担；因此实践中各方都从零开始，一名客户最终会有三至四份独立档案。每份档案都要耗费人员和软件成本，客户为此全部买单。一小部分文书能降低风险；大部分仅用于让持有机构向检查人员证明其曾提出询问。
我的职业就是负责合规。Eesti Firma 是持牌信托及公司服务提供商，因此属于义务主体：欧盟范围内形式大致相同的反洗钱（AML）法律要求此类企业核查客户，并报告看似可疑的事项。每位通过我们注册公司的客户都要接受身份核验、筛查，并说明资金来源；我相信这必须认真完成。识别一位情况明确的创始人，并依据制裁及政治公众人物名单进行筛查，受训人员约需 15 至 20 分钟。其余准入流程是围绕这十五分钟构建的文书工作，客户接触到的每一个其他义务主体都会从头重新制作同样的文书。
这并非反对了解您的客户（KYC）核查，而是讨论它们演变成了什么。链条中的每个人都认真完成工作，因为都害怕不这样做的后果；不知何时，这种恐惧本身成了目的。我逐渐认为，这份档案与其说是为了阻止洗钱，不如说是为了在检查人员到来时证明，持有它的机构问了正确的问题。
一位客户，三至四轮核查
以下是我们一位典型客户在最初几个月的经历：一位来自德国、西班牙或土耳其的创始人，想设立爱沙尼亚有限责任公司（OÜ）并开立可用账户。由于规则来自相同的欧盟指令，在都柏林或里斯本流程也大致相同；爱沙尼亚会为 e-resident 增加自身的一步。
- 国家，针对 e-resident。想取得爱沙尼亚数字身份的创始人须申请 e-Residency，警察与边防局会在发卡前进行背景审查。这在法律意义上不是 AML 核查，而是依不同法案进行的审查；但同样要求护照和用途说明，申请人还须支付国家规费。
- 服务提供商。我们核验创始人身份，确定最终受益人，依据制裁及 PEP 名单进行筛查（PEP 是政治公众人物，即其公职使贿赂构成风险的人），询问业务内容与启动资金来源，并分配风险等级。这需要问卷、文件资料，通常还包括视频通话。
- 公证员。没有爱沙尼亚数字身份的创始人则须通过公证员设立公司，而公证员是承担相同义务的独立义务主体。我们的档案在其办公室不具效力；他们会自行识别客户并核查所有人。
- 银行或支付机构。无论开户方是银行还是金融科技公司，都会执行自己的表格、文件清单和访谈：商业计划、预期规模、主要交易对手和资金来源，再问一次。许多客户还需要第二个账户，这意味着同一轮流程再次进行。
视路径而定，创始人会经历其中三至四项，核查并未就此结束。客户支付我们的发票时，我们自己的银行可能询问付款人是谁及款项用途。后来承接该公司的会计师也是义务主体。而每家机构均须在关系结束后至少保存档案五年、持续更新、作为个人数据加以保护并据此监控，因为各自对持有内容独立负责。
每一轮均单独收费。像我们这样的服务提供商雇佣人员阅读问卷、催收文件、筛查姓名、撰写风险评估，并在多年内维护档案，这项工作由服务费覆盖。公证员按时间收费。银行的支出远远最大；一项行业调查估计，2022 年全球金融业金融犯罪合规成本超过 $270 billion。没有人汇总这些数字，因为它们分属不同预算，但客户通过费用和国家规费承担全部成本，而各环节的合规人员从未看到前一环节的发现。如同其余欧盟规则体系，这是一项固定成本：银行可吸收，只有十几名员工的服务商则需全额承受。
表格如何变成档案卷宗
十年前，核查已存在，但只是表格而非卷宗。开户需要护照、签名和几个问题，像我们这样的服务商仅保留薄薄一份档案。随后丑闻出现。欧盟在 2015 年及 2018 年分别重写反洗钱指令，每次均新增义务主体和义务。爱沙尼亚在 2017 年制定新的国家法案；2018 年，Danske Bank 报告显示约 €200 billion 的非居民资金曾流经塔林一家分行，其中大部分后来被认定为可疑。一个小国成为洗钱的代名词。
Danske 的问题并非表格不足。银行拥有非居民客户档案，却无视自身监控显示的内容；监管者也未充分审视一家机构。然而回应仍是让所有人填写更多表格。每家银行和每位监管者都做了机构在公开受辱后会做的事：问得更多、保留更多、不信任任何人。依我的经验，这个循环只会单向运行。监管者因未能阻止的丑闻受责，而非因让一万名诚实客户填写的问卷受责。义务主体因留空的字段被罚，而非因新增的字段被罚。布鲁塞尔和塔林均有简化计划，但没有人的检查取决于它们，因此问题累积得比删减更快。
法律允许共享，实践中无人共享
公平地说，身份信息已被共享。e-resident或爱沙尼亚居民使用数字身份证登录时，各银行和服务商均依赖经国家核验的身份。未共享的是档案中的其他信息：所有者是谁、企业从事何种业务、资金来源何处。法律也允许如此。现行欧盟指令及自2027年7月起适用的新欧盟反洗钱条例均允许义务主体依赖另一义务主体已完成的客户审查；新的欧盟机构AMLA将发布相关指引。那么，为何银行仍要求我们的客户从头开始？
因为责任仍由依赖方承担。若我们的档案被证明有误，罚款由银行承担，银行的监管者会问银行而非我们，为何信任一家其无法控制的公司。评估另一家公司程序的成本高于向客户发送新表格，因此每家机构都做出相同的理性选择。法律在纸面上允许依赖，实践中却予以惩罚；所有这些合理个体选择的总和，就是标题所说的表演。档案已不再是工具，而成了一种产品：其职责是存在、完整并可随时出示，从而保护持有人。
公司注册是我的例子，因为这是我的工作，但这一模式贯穿经济领域。在任何欧盟城市出售一套公寓，会在房产中介处产生一份档案，在公证员处产生另一份，在贷款银行处产生第三份，有时还会在转移买方储蓄的银行处产生第四份；同一笔交易、同两人有四份档案，且无一份参考前一份。在爱沙尼亚货币兑换处以现金兑换超过 €1,000，您会被识别并记录，兑换处会将此记录与数千份类似记录一起保存多年。会计师、审计师、律师及贵重物品交易商也持有同类档案。
档案中哪些内容能降低风险
依我理解，市场上银行和服务商从新公司收集的标准档案可分为三类：使公司更难被滥用的部分、主要用于让持有人满足检查人员的部分，以及纯粹仪式性的部分。该表是我个人的分类，并非法律分类；每行的检验很简单：是否有人会依据这项信息采取行动？
| 标准档案要素 | 作用 |
|---|---|
| 根据证件核验身份，并进行现场或视频核查 | 降低风险。真实自然人与公司相联系。 |
| 确定最终受益人并与登记册核对 | 降低风险。隐藏所有权是洗钱者最需要的。 |
| 资金来源文件：合同、对账单、出售契约 | 若有人阅读，便可降低风险。声明资金合法的签字声明不会为文件增加内容。 |
| 业务的清晰说明：谁为何向谁付款 | 持有人据此监控交易时可降低风险。银行会如此做。公证员或注册代理从不看到交易，却收集同一说明。 |
| 制裁及 PEP 筛查 | 降低风险，且因由软件完成而成本低。 |
| 对尚未成立公司的预期年度营业额，精确至千位 | 对银行而言可作为监控基准。对其他每位档案持有人而言，这只是不会再看的数字。 |
| 客户并非 PEP 且为本人行事的自我声明 | 主要为了检查人员。若客户撒谎便将责任转给客户；它不能发现任何事项。 |
| 每家机构再次收集同一套资料 | 如上所述，是为了检查人员。每份副本保护其持有人；第二份不保护系统。 |
| 定期重新 KYC，即在没有变化时每一或两年全面审查 | 为了检查人员。证明已遵循日程。 |
该表说明两点。第一，只有当之后有人据此监控时，档案才物有所值；在上述链条中，这意味着只有银行。第二，篇幅来自中间一组。检查人员看不出我们是否理解客户，却能看出第 14 项是否填写，因此字段不断增加且很少删除。
数字说明了什么
我采用爱沙尼亚的数据，因为这是我最熟悉的，且金融情报机构会发布年报。2024年，该机构收到义务主体提交的14,185份报告，向调查人员作出133项经分析的移送及约1,700次进一步信息移交；调查人员扣押了该机构冻结的570万欧元资产。根据国家风险评估，该机构的分析移送在2024年促成10起新的刑事诉讼；截至2024年的五年间，爱沙尼亚法院在洗钱案件中作出32项判决。
再看另一面。爱沙尼亚每年注册超过25,000 家新的爱沙尼亚有限责任公司（OÜ），登记处存有约 370,000 个各类法人实体，且e-Residency 计划拥有超过 134,000 名 e-resident。每家新公司、每个账户及每个数字身份都至少意味着一份完整 KYC 档案，通常有数份。我的粗略估计，且我强调这是我的估计，是爱沙尼亚义务主体每年制作远超十万份 KYC 档案，整个系统将其转化为十起刑事诉讼及扣押数百万欧元。假设万分之一客户具有犯罪意图，其余 9,999 人经历三至四轮核查以便找出此人，而上述数据表明通常并未找到。
有两项合理的反对意见，我希望说明。其一是威慑：因知道会被要求提供材料而从未申请的犯罪分子，不会出现在任何统计中。这是真的，也正因如此，从未有人必须证明这一点。其二是规模：一项洗钱计划转移的资金可能超过1,000家诚信企业的收入；如果档案能阻止Danske，其成本早已获得多倍回报。但档案并未阻止Danske，而FIU在年报中描述的定罪案件始于可疑交易报告，而非问卷。开户档案是资金投入之处；监测才产生结果。国际证据也指向同一结论。Europol于2016年估计，欧盟犯罪所得中仅约1%最终被没收；研究人员罗纳德·波尔将成本与追缴额并列比较后得出结论：合规成本超过追回资金逾100倍。爱沙尼亚没有任何监管机构公布其所运行体系的此类比较。
我不认为这种平衡会改善。新的欧盟规则体系增加欧洲监管者、欧盟范围内 €10,000 的现金支付上限，以及从众筹平台到足球俱乐部等若干新类别义务主体。每一新类别都意味着又一个抽屉。未来每次丑闻都会增加字段，因为增加字段是机构展示其有所吸取教训的方式。单一欧洲规则体系也使任何回撤更难，因为写入条例的问题，发现其无用的国家议会无法删除。
为何无人公开说出这一点
衡量这一点并不时髦。公开场合，对洗钱唯一安全的立场是更多：更多核查、更多报告、更多热忱。任何质疑最后一轮规则是否取得成果的人，都可能被听作希望减少针对犯罪者规则的人；因此依我的经验，私下抱有许多同样疑虑的合规官和律师将其留在私下。打击洗钱已成为一种事业而非政策，而人们很少要求事业提供成本效益数据。
这一点值得直说，因为如果无人衡量，道路将通向何处。欧洲制定了世界上最严格的隐私法，却同时要求数百万私营企业多年保存客户卷宗、因怀疑向国家报告他们，并在卷宗单薄时承担责任。每份档案起初都是为阻止犯罪而善意建立。合在一起，它们构成一份持续记录：谁拥有什么、谁向谁付款，保存在首先对检查人员负责的抽屉中。我不认为有人设计了这一切。我也不认为它应在无人询问其目的的情况下继续增长。
我会改变什么
其中大部分不需要新法律，只需改变现行法律的适用决定。第一点则需要。
- 一份经核验的档案，由客户携带。由某方一次核验个人并对此承担责任，以牌照、保险和审计为支持；这样依赖它的机构在核验有误时不会受罚。核验方可为银行、公证员、持牌服务商，或以数字身份为基础的国家服务；关键在于责任所在。今日国家和欧盟规则都将其置于依赖方，这正是无人依赖的原因。改变此事需要立法者，而 AMLA 即将发布的依赖指引是启动讨论的自然场所。
- 监管结果，而非表格。检查应询问公司监控产出了什么、其报告流向何处，而非每张表格的每个字段是否填写。
- 与公司相匹配的表格。一家仅有一名创始人且没有营业额的新公司需要两页，而非二十页。法律为高风险客户保留的强化问题和更深入核查，应在活动开始且存在可审查事项时进行。
- 因变化而重新 KYC，而非依日历。新所有人、新国家或新业务线是重新审视的理由。两年过去不是。
- 使用国家已有的数据。对于既有公司，爱沙尼亚商业登记处（Äriregister）存有所有人、管理层和年度报告（majandusaasta aruanne）。义务主体应从登记处提取，而非要求客户重新输入。爱沙尼亚最高法院在 2026年1月对监管者本身采用相同逻辑：当时其裁定违法金融情报局向所有持牌服务商发送的 44 问表格，部分理由是国家应首先使用其已持有的数据。
通过核查而不陷入表演
在 Eesti Firma，我们要求法律和自身风险评估所要求的内容，并说明每份文件的重要性。我们也协助客户在开始时准备一套文件和答复，可不经重写便提交给银行和支付机构；依我的经验，使准入流程简短的不是更短问卷，而是向每位询问者以同样方式描述的业务。对于自身成为义务主体的公司，我们起草法律要求的政策和程序；我承认，这也是同一表演的一部分。我们能做到的差别是将其写得可用，而非仅仅完整。若您正在设立公司，并希望由会阅读您所发送资料的人处理合规部分，我们可协助公司注册及其后续全部事项。
