发布日期 · 更新日期
香港公司接触新客户时，交易前查核能帮助团队确认交易对象、付款与交付安排是否合理，也能看清还有哪些问题没有解决。不过，一般商务查核与法定客户尽职审查（CDD）不是同一套要求；适用规则会因查核者的身分、业务类型及相关法域而异。以下以一个假设情境说明：台湾 SaaS 公司向香港客户销售年度订阅，款项由新加坡关联公司支付。第三方付款需要厘清，但它本身并不能证明交易违规。
一般商务查核与法定CDD分开看
可以先确认三件事：交易对手是谁、这笔交易为何发生，以及由谁负责查核。企业进行一般商务查核，是为了管理自身的交易风险，例如确认公司数据、联系人、付款方与交付内容是否一致。法定 CDD 则要先判断相关规定是否适用于查核者、业务类型和所在法域。不能只因客户是在香港注册，就认定所有公司都要对每位客户运行同一套 CDD。
实务上，可按交易金额、交付方式、付款安排及数据是否容易取得，列出需要核对的项目，再注明每项查核属于企业内部风险管理、银行或合约要求，还是已确认适用的法定义务。若适用性尚未确认，就先列为待核实事项，不要把内部清单说成法律规定。交接纪录至少要写清楚查核对象、数据源与日期、发现的差异，以及由谁决定下一步，让接手同事能接续处理。
香港公司注册处的 TCSP 客户尽职审查常见问题说明，相关 AML/CFT 规定适用于在香港以业务形式提供法例所界定信托或公司服务的持牌人。这项规定不能延伸解读为所有香港公司都必须对所有客户运行相同的 CDD。该文档的修订日期为 2025 年 3 月 3 日。若企业正在评估自己的商务交易，可以先进行与风险相称的查核；若其身分或服务可能涉及受规管范围，则应请熟悉相关规则的人确认适用性与责任。
先核对主体登记及实际联系人
先核对交易对手的法定名称、注册地、登记编号和登记地址，再逐项比对报价、合约、订单及发票上的数据。名称相似不代表是同一个主体；地址或编号有出入时，也先了解是否因别名、分公司、关联企业或数据更新所致，不要立刻把差异当成造假。在假设情境中，台湾 SaaS 公司应先确认合约客户确实是所称的香港公司，再确认年度订阅由哪个主体购买、服务由谁接收。
登记数据相符，只能支持主体数据吻合这项判断，不能单独证明寄信或签约的人有权代表公司。还要核对联系人的姓名、职务、公司网域、联系方式及其在交易中的角色。若合约由一人签署、付款安排由另一人提出，可以请对方说明分工；视交易风险及实际情况，再决定是否需要授权文档，或请公司可确认的负责人书面确认，不必对每笔交易套用相同的文档要求。
联系人确认可优先使用已知管道，例如先前核实过的公司电话或公司邮件地址，而不是只依赖新消息附上的联系方式。把查核结果标为「已确认」、「待补数据」或「有差异」，并记下查找日期、来源、差异内容、询问对象及待办人。若只能确认公司名称，还不能确认联系人的代表权，就要把这项限制写清楚，让后续签约、开通帐户或交付的人知道尚待完成的步骤。香港公司数据维护可参考香港公司秘书指南延伸阅读；该文章不表示本文列出的查核工作就是特定公司的服务。
用交易背景说明付款与交付安排
把合约、订单、发票、付款纪录和实际交付放在一起核对：谁购买、谁付款、款项付给谁、使用什么币别、服务提供给谁、何时开始、如何退款，以及交易目的是否前后一致。以假设情境来说，台湾 SaaS 公司应核对香港客户的年度订阅合约与发票，确认新加坡关联公司支付的金额、币别和时间能否对应订阅费用，并确认服务帐户与交付对象仍是合约所列的客户。
若由第三方付款，可以先问付款人与客户的关系、由关联公司代付的原因，以及款项最后由谁承担；再核对合约条款、关联公司数据或书面付款指示是否支持这项说明。若数据尚未吻合，应列明差异，暂时不要把付款安排写成已确认。需要补件时，具体说明缺少的是付款授权、关联关系说明，还是发票与付款金额的对应数据，并指派负责人和追踪时间。第三方付款本身不等于违规。
香港金融管理局于 2023 年 3 月 7 日发布的 Smart Tips for Private Banking以私人银行客户为例，讨论搜集数据、厘清交易背景及交叉印证。这份数据可作为理解银行查核方式的参考，但不能据此推论所有银行、一般公司或商业交易都必须采取相同步骤。银行可能按自身政策、客户情况和风险提出不同问题，因此不要替银行承诺审查时限、必备文档或结果。银行安排可再参考香港公司银行开户准备清单，并以实际银行要求为准。
股权受益人与风险信号怎么记录
若交易风险需要了解谁最终持有或控制客户，可以从直接股东往上追查，记下每层公司的法定名称、所在地、持股或表决权数据，以及可核实的来源。持股比例只是线索之一；能否任免大多数董事，或能否对公司事务施加重大影响，也可能与控制判断有关。若目前数据只到第一层公司，不能自动把第一层股东当成最终受益人；应列出尚未取得的组织架构或控制信息。
香港本地公司（上市公司除外）的重要控制人登记册（SCR）规则涵盖特定控制条件，例如直接或间接持有超过 25% 的股份或表决权，以及其他控制方式。这个超过 25% 的门槛只是 SCR 规则中的条件之一，不是所有 AML 或商务查核情境都适用的通用门槛。公司须按适用规则备存 SCR，置于注册办事处或香港其他地方，并供执法人员在要求时查阅；不要把 SCR 当作可由一般公开公司查册直接取得的数据。实际判断仍须看适用规定及公司情况，可参考香港公司注册处 SCR 常见问题。
记录风险信号时，可将股权图、数据源、查找日期、控制方式与未解差异放在同一份纪录中。股东数据互相矛盾、股权链中有无法确认的法人、联系人说不清控制关系，或交易数据与公司背景不一致，都可以列为待厘清的信号；每项都应附上具体观察，不要只留下一个「高风险」标签。接着记下需要补件的原因、覆核人、暂行安排，以及何种情况下可以继续或升级判断。下一位接手者才分得清已知事实、推测和待办事项。
制裁AML与专业义务依角色判断
先列清楚可能涉及的司法管辖区、行业、交易对象和查核运行者，再分别判断法定 AML 义务、银行或合约要求，以及企业自行采用的风险措施。这几类要求不能混为一谈，也不能宣称所有香港公司都必须对所有客户进行制裁筛查。若交易一方是受规管专业人士或持牌机构，应确认其自身适用的规则；若企业只是按银行或客户合约配合提供数据，就应把要求记为相应的银行或合约事项。
遇到疑似命中或数据不足时，记下使用的查核来源与日期、疑似匹配的依据、姓名或公司数据的差异，以及尚未确认的部分。姓名相似不代表是同一人；无法排除疑点，也不等于已确认命中。应把数据交由有权判断的合规或法律责任人，依适用流程决定是否补充识别数据、暂缓交易或采取其他措施。尚未确认适用规则前，不要自行把某种处置说成法律要求。
TCSP FAQ 说明，持牌人在规则允许的情况下，可依赖合资格中介人运行部分 CDD；但相关最终合规责任仍由持牌人承担。这是该持牌人依其适用规则所负的责任，不能推广成所有行业或各种委托查核的通则。若团队不确定自己是否属于特定受规管角色，就先把角色与适用性列为待确认事项，再决定由谁覆核，不要在一般作业清单中加入未核实的法定结论。
保护个资并保留必要决策纪录
每项要收集的数据都应对应一个查核目的，例如确认公司主体、核实代表权、说明付款或了解实际控制。可以先用足以回答问题的数据开始；若还有关键疑问，再提出范围清楚的补件要求。其他机构曾要求某种文档，不代表每笔交易都要收集相同的个人数据。也应先想清楚谁需要查看数据、如何发送与存放，以及哪些人不需要取得访问权限。
数据使用应限于处理该笔交易所需的范围，并避免把身份文档、股权数据或联系纪录放在所有人都能查看的共用位置。通过邮件或文件分享工具发送数据时，要核对收件对象与访问权限；若要提供给银行、顾问或其他合作方，先确认发送目的、数据范围和负责人。这些是一般的数据风险管理做法，不取代对个别适用规则的确认，也不表示每种交易都必须使用相同的技术措施。
交接纪录应包括查核日期、数据源、已确认事实、未解差异、对方回复、判断理由、负责人和下一步。敏感数据与决策摘要可以分开管理；交接判断时，先确认接手者需要查看原始文档，还是只要看到核对结论与文档位置。保存期限应按适用义务、业务目的及内部纪录安排确认，不要自行订出适用于所有公司的统一年限。目的结束后，依已确认的安排处理数据，并留下必要的删除或覆核纪录。
假设情境中的 SaaS 团队可以用简单状态整理查核结果：公司与联系人已确认、付款关系待补件，或某项适用规则需要升级判断。接手同事查看纪录，就能知道目前卡在哪里、由谁负责、还缺哪些数据，不必重做整份查核。把一般商务查核、银行要求和法定 CDD 分开辨认，交易判断才有可追溯的依据。如需个案判断，可通过网站联系方式提出问题；文章不构成法律或税务意见，也不承诺结果。