第十九条 评估人员应在内部风险评估基础上，将客户投保的保险产品的内部风险等级作为外部风险评分的参考因素，初步确定客户风险等级。

保险机构可利用计算机系统等技术手段辅助完成初评工作。

第二十条 对于初评结果为中等以上风险等级（含中等）的客户，应由初评人以外的其他人员进行复评确认。初评结果与复评结果不一致的，可由反洗钱管理部门决定最终评级结果。

第二十一条 对新建立业务关系的客户，保险机构应根据风险评估结果，在保险合同成立后的10个工作日内划分其风险等级。

对已确立过风险等级的客户，保险机构应根据其风险程度设臵相应的重新审核期限，实现对风险的动态追踪。原则上，风险等级最高的客户的审核期限不得超过半年，低一等级客户的审核期限不得超出上一级客户审核期限时长的两倍。对于首次建立业务关系的客户，无论其风险等级高低，金融机构在初次确定其风险等级后的三年内至少应进行一次复核。

当客户变更重要身份信息、司法机关调查本保险机构客户、客户涉及权威媒体的案件报道、客户进行异常交易等可能导致风险状况发生实质性变化的事件发生时，保险机构应考虑重新评定客户风险等级。

第二十二条 同一客户因不同交易行为而被评定为不同风险等级的，应将该客户的最高风险等级确定为该客户的最终风险等级。

第二十三条 在开展内部风险和外部风险评估过程中，保险机构应根据风险评估需要，确定各类信息的来源及其采集方法。对部分难以直接取得或取得成本过高的风险要素信息，保险机构可进行合理评估。为统一风险评估尺度，保险机构应当事先确定本机构可预估信息列表及其预估原则，并定期审查和调整。

保险机构可将上述工作流程嵌入相应业务流程中，以减少执行成本。

第五节 例外情形

第二十四条 投保政策性或强制性保险产品，如政策性农业保险、政策性大病补充医疗保险、机动车交通事故责任强制保险、道路客运承运人责任保险等，这些产品具有财政补贴和强制性特点，平均保费金额较低，一

—9—

般情况下不允许退保、变更受益人等操作，洗钱风险极低，可不开展洗钱风险评估和客户风险等级划分工作，但仍应开展客户资料和交易记录保存等其他反洗钱工作。

第二十五条 对于投保内部风险程度较低且预估能够有效控制洗钱风险的保险产品的客户，保险机构可自行决定不进行外部风险评估程序，直接定级为低风险。但对于投保以下产品的，必须开展外部风险评估程序：

（一）投资型保险产品，如分红险、万能险、投资连结险、投资型家庭财产险等。

（二）具有储蓄功能的保险产品，如终身寿险、生存保险、两全保险、年金保险等。

（三）保险机构经评估后认为洗钱风险较大的其他产品。

存在以下情形的客户，不能未经外部风险评估程序直接定级为低风险： （一）在本保险机构的已缴纳保费金额超过一定限额（由保险公司自主设定，可根据内部风险评估结果对不同产品设定不同限额，原则上不能高于人民币20万元或等值外币，同一客户应累计计算其所购买的所有有效保单，同一保单涉及多人时，以累积额最高的人为评估标准）。

（二）客户为非居民，或者使用了境外发放的身份证件或身份证明文件。

（三）客户涉及可疑交易报告。

（四）客户委托非职业性中介机构或无亲属关系的自然人代理本人与保险机构建立业务关系。

对于按照上述规定不能直接定级为低风险的客户，保险机构逐一对照各项风险要素及其子项进行风险评估后，仍可将其定级为低风险。

第二十六条 对具有下列情形（包括但不限于）之一的客户，保险机构可直接将其定级为最高风险：

（一）客户被列入我国发布或承认的反洗钱监控名单及类似监控名单。 （二）客户利用虚假证件办理业务，或在代理他人办理业务时使用虚假证件。

（三）客户为政治公众人物或其亲属及关系密切人员。

（四）发现客户存在犯罪、金融违规、金融欺诈等方面的历史记录，

—10—

或者曾被监管机构、执法机关或金融交易所提示予以关注，或者涉及权威媒体与洗钱相关的重要负面新闻报道或评论的。

（五）投保人、被保险人以及受益人，或者法定代表人、股东的国籍、注册地、住所、经常居住地、经营所在地涉及中国人民银行和国家相关部门的反洗钱监控要求或风险提示，或是其他国家（地区）和国际组织推行且得到我国承认的反洗钱监控要求。

（六）客户实际控制人或实际受益人属前五项所述人员。 （七）客户多次涉及可疑交易报告。

（八）客户拒绝保险机构或保险中介机构开展尽职调查工作。 （九）其他直接或经调查后认定的高风险客户。

第二十七条 保险机构应当遵守我国及得到我国承认的国际组织和国家发布的有关金融制裁要求，拒绝或限制与制裁名单上的国家、组织或人员交易。具有涉外机构、经营国际业务的保险机构还应特别关注相关国家和组织发布的制裁要求。

第三章 风险分类控制措施

第二十八条 保险机构应在洗钱风险评估和客户风险等级划分的基础上，酌情采取相应的风险控制措施。对风险水平较高的产品和风险较高的客户应采取强化的风险控制措施，包括但不限于：

（一）强化的和持续性的客户尽职调查。

1.进一步调查客户及其实际控制人、实际受益人情况。 2.进一步了解客户投保目的、收入状况及保险费资金来源。

3.进一步分析客户的交易行为，审核投保人保险费支付能力是否与其经济状况相符合，要求客户提供财务证明文件。

4.适度提高客户及其实际控制人、实际受益人信息的收集或更新频率。 （二）异常资金流向监测。保险机构应当在业务、财务系统中设定和完善资金流向异常预警指标，对于大额交易、支票给付、资金流向异常交易，保险机构应当留存完整的资金收付信息，包括但不限于账户名称、账号、开户行、支票背书等，对于系统无法自动留存的收付信息，保险机构

—11—

应当采取人工录入措施，以实现对资金收付异常行为的过程监控。

（三）关键流程节点管控。保险机构应当根据高风险客户特征，酌情在承保、保全、理赔等环节采取强化的控制措施。

1.承保环节可采取的控制措施有：经相关负责人授权后，再为客户办理业务；对客户的投保金额、投保方式等实施合理限制。

2.保全环节可采取的控制措施有：完善保全管控制度，严格退保和给付资金支付对象管控；定期开展退保风险数据排查工作。

3.理赔环节可采取的控制措施有：强化调查与洗钱相混同的保险欺诈行为，如利用犯罪资金购买标的投保后实施的欺诈行为。

（四）可疑交易报告。保险机构应当设立可疑交易指标体系，明确人工识别可疑交易对象和流程，并通过持续性、强化的客户尽职调查手段予以识别分析。对客户采取尽职调查后，保险机构有合理理由怀疑资金为犯罪收益或与恐怖融资有关的，应按照法律规定，向中国反洗钱监测分析中心报送可疑交易报告。

（五）恐怖活动资产冻结。保险机构一旦发现客户为被公安部列入恐怖活动组织、恐怖活动人员名单或者保险资金为恐怖活动资产的，应按照法律规定立即对相关资产采取冻结措施，并报告当地公安机关、国家安全机关、人民银行和保险监管部门。

第二十九条 保险机构可对低风险产品和低风险客户采取简化的客户尽职调查及其他风险控制措施，包括但不限于：

（一）在退保、理赔或给付环节再核实被保险人、受益人与投保人的关系。

（二）适当延长客户身份资料的更新周期。

（三）在合理的交易规模内，适当降低客户身份识别措施的频率或强度。

第四章 管理与保障措施

第三十条 保险机构应在总部或集团层面制定统一的洗钱风险管理政策、制度和流程，开发统一的反洗钱信息系统，并在各分支机构、各部门

—12—

执行和使用。

洗钱风险管理政策应经保险机构董事会或其授权的组织审核通过，并由高级管理层中的指定专人负责实施。

保险机构可针对分支机构所在地区的反洗钱状况，设定局部地区的风险系数，或授权分支机构根据所在地区情况，合理调整风险子项或评级标准。

第三十一条 保险机构应指定适当的部门及人员整体负责风险评估工作流程的设臵及监控工作，组织各相关部门充分参与风险评估工作。

第三十二条 保险机构应确保客户风险评估工作流程具有可稽核性或可追溯性。

第三十三条 保险机构应确保洗钱风险管理工作所需的必要技术条件，积极运用信息系统提升工作有效性。系统设计应着眼于运用客户风险等级管理工作成果，为各级分支机构查询使用信息提供方便。

第三十四条 保险机构委托其他机构开展客户风险等级划分等洗钱风险管理工作时，应与受托机构签订书面协议，并由高级管理层批准。委托机构对受托机构进行的洗钱风险管理工作承担最终法律责任。

第五章 附 则

第三十五条 本指引中“客户”是指投保人，鼓励保险机构将本指引的要求运用于被保险人、受益人、实际控制人、实际受益人等其他人员。

第三十六条 本指引由中国保监会负责解释和修订。

第三十七条 本指引未尽事项适用《金融机构洗钱和恐怖融资风险评估及客户分类管理指引》的有关规定。

第三十八条 本指引自发布之日起施行。

—13—