發布日期 · 更新日期
香港公司接觸新客戶時，交易前查核能幫助團隊確認交易對象、付款與交付安排是否合理，也能看清還有哪些問題沒有解決。不過，一般商務查核與法定客戶盡職審查（CDD）不是同一套要求；適用規則會因查核者的身分、業務類型及相關法域而異。以下以一個假設情境說明：台灣 SaaS 公司向香港客戶銷售年度訂閱，款項由新加坡關聯公司支付。第三方付款需要釐清，但它本身並不能證明交易違規。
一般商務查核與法定CDD分開看
可以先確認三件事：交易對手是誰、這筆交易為何發生，以及由誰負責查核。企業進行一般商務查核，是為了管理自身的交易風險，例如確認公司資料、聯絡人、付款方與交付內容是否一致。法定 CDD 則要先判斷相關規定是否適用於查核者、業務類型和所在法域。不能只因客戶是在香港註冊，就認定所有公司都要對每位客戶執行同一套 CDD。
實務上，可按交易金額、交付方式、付款安排及資料是否容易取得，列出需要核對的項目，再註明每項查核屬於企業內部風險管理、銀行或合約要求，還是已確認適用的法定義務。若適用性尚未確認，就先列為待核實事項，不要把內部清單說成法律規定。交接紀錄至少要寫清楚查核對象、資料來源與日期、發現的差異，以及由誰決定下一步，讓接手同事能接續處理。
香港公司註冊處的 TCSP 客戶盡職審查常見問題說明，相關 AML/CFT 規定適用於在香港以業務形式提供法例所界定信託或公司服務的持牌人。這項規定不能延伸解讀為所有香港公司都必須對所有客戶執行相同的 CDD。該文件的修訂日期為 2025 年 3 月 3 日。若企業正在評估自己的商務交易，可以先進行與風險相稱的查核；若其身分或服務可能涉及受規管範圍，則應請熟悉相關規則的人確認適用性與責任。
先核對主體登記及實際聯絡人
先核對交易對手的法定名稱、註冊地、登記編號和登記地址，再逐項比對報價、合約、訂單及發票上的資料。名稱相似不代表是同一個主體；地址或編號有出入時，也先了解是否因別名、分公司、關聯企業或資料更新所致，不要立刻把差異當成造假。在假設情境中，台灣 SaaS 公司應先確認合約客戶確實是所稱的香港公司，再確認年度訂閱由哪個主體購買、服務由誰接收。
登記資料相符，只能支持主體資料吻合這項判斷，不能單獨證明寄信或簽約的人有權代表公司。還要核對聯絡人的姓名、職務、公司網域、聯絡方式及其在交易中的角色。若合約由一人簽署、付款安排由另一人提出，可以請對方說明分工；視交易風險及實際情況，再決定是否需要授權文件，或請公司可確認的負責人書面確認，不必對每筆交易套用相同的文件要求。
聯絡人確認可優先使用已知管道，例如先前核實過的公司電話或公司郵件地址，而不是只依賴新訊息附上的聯絡方式。把查核結果標為「已確認」、「待補資料」或「有差異」，並記下查詢日期、來源、差異內容、詢問對象及待辦人。若只能確認公司名稱，還不能確認聯絡人的代表權，就要把這項限制寫清楚，讓後續簽約、開通帳戶或交付的人知道尚待完成的步驟。香港公司資料維護可參考香港公司秘書指南延伸閱讀；該文章不表示本文列出的查核工作就是特定公司的服務。
用交易背景說明付款與交付安排
把合約、訂單、發票、付款紀錄和實際交付放在一起核對：誰購買、誰付款、款項付給誰、使用什麼幣別、服務提供給誰、何時開始、如何退款，以及交易目的是否前後一致。以假設情境來說，台灣 SaaS 公司應核對香港客戶的年度訂閱合約與發票，確認新加坡關聯公司支付的金額、幣別和時間能否對應訂閱費用，並確認服務帳戶與交付對象仍是合約所列的客戶。
若由第三方付款，可以先問付款人與客戶的關係、由關聯公司代付的原因，以及款項最後由誰承擔；再核對合約條款、關聯公司資料或書面付款指示是否支持這項說明。若資料尚未吻合，應列明差異，暫時不要把付款安排寫成已確認。需要補件時，具體說明缺少的是付款授權、關聯關係說明，還是發票與付款金額的對應資料，並指派負責人和追蹤時間。第三方付款本身不等於違規。
香港金融管理局於 2023 年 3 月 7 日發布的 Smart Tips for Private Banking以私人銀行客戶為例，討論蒐集資料、釐清交易背景及交叉印證。這份資料可作為理解銀行查核方式的參考，但不能據此推論所有銀行、一般公司或商業交易都必須採取相同步驟。銀行可能按自身政策、客戶情況和風險提出不同問題，因此不要替銀行承諾審查時限、必備文件或結果。銀行安排可再參考香港公司銀行開戶準備清單，並以實際銀行要求為準。
股權受益人與風險訊號怎麼記錄
若交易風險需要了解誰最終持有或控制客戶，可以從直接股東往上追查，記下每層公司的法定名稱、所在地、持股或表決權資料，以及可核實的來源。持股比例只是線索之一；能否任免大多數董事，或能否對公司事務施加重大影響，也可能與控制判斷有關。若目前資料只到第一層公司，不能自動把第一層股東當成最終受益人；應列出尚未取得的組織架構或控制資訊。
香港本地公司（上市公司除外）的重要控制人登記冊（SCR）規則涵蓋特定控制條件，例如直接或間接持有超過 25% 的股份或表決權，以及其他控制方式。這個超過 25% 的門檻只是 SCR 規則中的條件之一，不是所有 AML 或商務查核情境都適用的通用門檻。公司須按適用規則備存 SCR，置於註冊辦事處或香港其他地方，並供執法人員在要求時查閱；不要把 SCR 當作可由一般公開公司查冊直接取得的資料。實際判斷仍須看適用規定及公司情況，可參考香港公司註冊處 SCR 常見問題。
記錄風險訊號時，可將股權圖、資料來源、查詢日期、控制方式與未解差異放在同一份紀錄中。股東資料互相矛盾、股權鏈中有無法確認的法人、聯絡人說不清控制關係，或交易資料與公司背景不一致，都可以列為待釐清的訊號；每項都應附上具體觀察，不要只留下一個「高風險」標籤。接著記下需要補件的原因、覆核人、暫行安排，以及何種情況下可以繼續或升級判斷。下一位接手者才分得清已知事實、推測和待辦事項。
制裁AML與專業義務依角色判斷
先列清楚可能涉及的司法管轄區、行業、交易對象和查核執行者，再分別判斷法定 AML 義務、銀行或合約要求，以及企業自行採用的風險措施。這幾類要求不能混為一談，也不能宣稱所有香港公司都必須對所有客戶進行制裁篩查。若交易一方是受規管專業人士或持牌機構，應確認其自身適用的規則；若企業只是按銀行或客戶合約配合提供資料，就應把要求記為相應的銀行或合約事項。
遇到疑似命中或資料不足時，記下使用的查核來源與日期、疑似匹配的依據、姓名或公司資料的差異，以及尚未確認的部分。姓名相似不代表是同一人；無法排除疑點，也不等於已確認命中。應把資料交由有權判斷的合規或法律責任人，依適用流程決定是否補充識別資料、暫緩交易或採取其他措施。尚未確認適用規則前，不要自行把某種處置說成法律要求。
TCSP FAQ 說明，持牌人在規則允許的情況下，可依賴合資格中介人執行部分 CDD；但相關最終合規責任仍由持牌人承擔。這是該持牌人依其適用規則所負的責任，不能推廣成所有行業或各種委託查核的通則。若團隊不確定自己是否屬於特定受規管角色，就先把角色與適用性列為待確認事項，再決定由誰覆核，不要在一般作業清單中加入未核實的法定結論。
保護個資並保留必要決策紀錄
每項要收集的資料都應對應一個查核目的，例如確認公司主體、核實代表權、說明付款或了解實際控制。可以先用足以回答問題的資料開始；若還有關鍵疑問，再提出範圍清楚的補件要求。其他機構曾要求某種文件，不代表每筆交易都要收集相同的個人資料。也應先想清楚誰需要查看資料、如何傳送與存放，以及哪些人不需要取得存取權限。
資料使用應限於處理該筆交易所需的範圍，並避免把身份文件、股權資料或聯絡紀錄放在所有人都能查看的共用位置。透過郵件或檔案分享工具傳送資料時，要核對收件對象與存取權限；若要提供給銀行、顧問或其他合作方，先確認傳送目的、資料範圍和負責人。這些是一般的資料風險管理做法，不取代對個別適用規則的確認，也不表示每種交易都必須使用相同的技術措施。
交接紀錄應包括查核日期、資料來源、已確認事實、未解差異、對方回覆、判斷理由、負責人和下一步。敏感資料與決策摘要可以分開管理；交接判斷時，先確認接手者需要查看原始文件，還是只要看到核對結論與文件位置。保存期限應按適用義務、業務目的及內部紀錄安排確認，不要自行訂出適用於所有公司的統一年限。目的結束後，依已確認的安排處理資料，並留下必要的刪除或覆核紀錄。
假設情境中的 SaaS 團隊可以用簡單狀態整理查核結果：公司與聯絡人已確認、付款關係待補件，或某項適用規則需要升級判斷。接手同事查看紀錄，就能知道目前卡在哪裡、由誰負責、還缺哪些資料，不必重做整份查核。把一般商務查核、銀行要求和法定 CDD 分開辨認，交易判斷才有可追溯的依據。如需個案判斷，可透過網站聯絡方式提出問題；文章不構成法律或稅務意見，也不承諾結果。