实操手册：准备迎接 ACRA 检查

法律依据 —— 检查官在验什么

ACRA 对一家 CSP 的检查，验的是你有没有履行尽职调查与记录保存义务。以下依据来自 CorpSec AI 的已核实引用表；这是一般性信息，不构成法律意见。

• 记录至少保存 5 年：已登记的 CSP 必须把记录至少保存 5 年，且必须在提供服务之前完成 CDD——《企业服务提供者法 2024》（2025 年 6 月 9 日起施行；已核实）。你的卷宗与审计日志就是那份记录。
• 至少一名 RQI：CSP 必须拥有一名注册合资格人士（Registered Qualified Individual）（已核实；单一事务所的具体上限待律师确认）。
• 受益所有权：可注册控制人登记册必须保持最新（内部 7 天、ACRA 中央 2 个工作日；已核实）。

为什么你其实已经准备得不错了

由于 CorpSec AI 的记录是随手就留下的，检查准备工作有很大一部分已经替你做好了：

• 审计日志只增不改——一份由数据库强制保障、可察觉篡改的完整操作历史。
• 每位客户都有一份 CDD 卷宗，涵盖身份、风险、筛查快照、文档、复核排期和决策轨迹。
• 生成的文档都带完整性指纹（哈希值），可以证明它们未被改动。
• 身份证件号码默认在任何地方都做脱敏处理。

第 1 步 —— 确认每位客户的 KYC 都是最新的

用合规复核雷达确认没有客户逾期未复核。先把未了事项清掉（见运行一次定期 KYC 复核），这样你交出去的证据才是最新的。

第 2 步 —— 为检查范围内的每位客户导出 CDD 卷宗

打开某位客户的 Compliance（KYC 与合规）标签页，点击 Export CDD Dossier（导出 CDD 卷宗）。你会得到该客户完整、可复原的尽职调查记录——这正是检查官最想看的核心。

1. Compliance 标签页 → Export CDD Dossier对本次检查覆盖的每一位客户都做一遍。
2. 检查诚实标记凡是筛查跑在演示数据上的地方，记录都会写明——请准备好说明你的筛查安排。

第 3 步 —— 做一次事务所级数据导出已上线

想看更全的图景，管理员可以从 Settings → Account → Export firm data（设置 → 账户 → 导出事务所数据）把整个事务所导出来。ZIP 选项会把 JSON 快照、ACRA 式 CSV 登记册和每一份生成的文档文件打包在一起，并附上内容清单——一个完整的证据包。

第 4 步 —— 出示审计轨迹

如果被要求证明控制措施——谁批准了什么、四眼原则确实被执行、某份文档在 KYC 通过之前被拦住——打开 Settings → Audit Log（设置 → 审计日志）。因为它无法被编辑或删除，它可以作为你流程的可靠证据。

生成检查资料包已上线

内建的检查资料包会一次动作就把上面这些全部产出为一个仅管理员可用的整包——封面声明、每位客户的卷宗、事务所摘要，以及第三方可以重新验证的完整性清单。打开 Settings → Inspection Pack（设置 → 检查资料包），选择资料包类型（ACRA CSP 反洗钱／反恐融资、PDPC 数据保护，或一般尽职调查），然后生成即可。上面那些步骤仍然是理解资料包内容的一份有用导览。

常见坑与边界情形

• 逾期复核被搁着没管。一次检查一定会翻出定期 KYC 已经逾期的客户。请先把复核雷达清干净，让你交出去的证据是最新的（见定期 KYC 实操手册）。
• 藏着演示数据筛查不说。诚实的做法是主动披露——凡是筛查跑在演示数据上的地方，记录都会标出来。请准备好说明你的筛查安排，而不是把演示结果当成真实核查来呈现。
• RORC 过期。可注册控制人登记册必须保持最新（内部 7 天、ACRA 中央 2 个工作日）。RORC 陈旧是常见的检查发现——请在检查之前把它对齐。
• 解除脱敏却没有留下记录。导出默认对身份证件号码做脱敏。如果检查官需要未脱敏数据，请走那个明确的确认步骤——它本身会被写进审计日志——而不要绕开脱敏机制。
• 没有 RQI 覆盖。CSP 必须有一名注册合资格人士（RQI）参与其中。如果 RQI 岗位已经断档或状况不明，那是应在检查之前、而不是检查之中补上的缺口。
• 明明有资料包却还在手工拼。一键检查资料包（设置 → 检查资料包，仅管理员）会把封面声明、逐户卷宗、事务所摘要与完整性清单打成一包。优先用它，而不是零散地手工拼凑各种导出。