rustjr-account-management/qoe/财务合规审核报告.md

银行账户管理系统财务合规审核报告

审核时间：2026年1月6日
审核项目：rustjr银行账户管理系统
审核范围：账户域、账务域、交易域
审核依据：中国人民银行账户管理规定、企业会计准则、信息安全等级保护要求

---

第一部分：执行摘要

1.1 审核概述

本次审核依据中国人民银行（PBOC）账户管理规定、《企业会计准则》以及《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019），对银行账户管理系统的核心功能模块进行了全面的合规性审核。审核范围涵盖账户域、账务域、交易域三大核心模块，重点关注是否符合中国地区财务监管要求。

审核工作由三组专家协同完成：合规审查组负责账户管理与交易域的监管合规性审核，财务会计组负责账务域的会计准则合规性审核，架构安全组负责系统架构与安全控制的合规性审核。经过全面审核，共发现合规差距项25项，其中高风险项8项、中风险项12项、低风险项5项。

1.2 关键发现汇总

系统在三科目余额模型和复式记账核心功能方面实现较为完善，符合银行资金安全管理的基本要求。然而，在客户身份识别、账户分级分类、反洗钱合规、审计日志完整性等关键领域存在显著差距，需要重点整改。特别是客户身份信息缺失、大额交易报告机制未实现、可疑交易识别功能缺失等问题，如不及时整改，可能面临监管处罚风险。

从整体合规态势来看，系统目前处于"功能可用、合规不足"的状态，核心业务流程已具备基本功能，但距离满足金融监管机构的合规要求仍有较大差距。建议管理层高度重视本次审核发现，优先投入资源解决高风险问题，确保系统能够通过监管检查。

1.3 风险等级分布

风险等级	问题数量	主要问题领域	处理时限
高风险	8项	账户身份信息、交易监控、架构安全	立即整改
中风险	12项	账户管理、交易限制、审计日志	1个月内
低风险	5项	账务细节、流程优化	3个月内

---

第二部分：分模块审核详情

2.1 账户域审核结果

2.1.1 客户身份信息缺失【高风险】

问题描述：

当前 PhysicalAccount 实体（文件：src/domain/account/entity.rs，第148行）仅包含银行账号、银行代码和银行名称三项基本信息，完全缺失客户身份识别所需的核心字段。这一缺陷导致系统无法满足《金融机构客户身份识别和客户身份资料及交易记录保存管理办法》的基本要求。

当前实现中，账户创建流程仅验证账号是否重复，不涉及任何客户身份核验环节。系统设计似乎假设账户持有人信息已在外部系统管理，本系统仅管理账户本身。然而，根据监管要求，金融系统必须能够追溯账户与实际控制人的关联关系，缺失此功能将直接影响业务合规性。

代码位置：

src/domain/account/entity.rs:148-169

pub struct PhysicalAccount {
    pub id: i64,
    pub account_no: String,      // 仅账号，无持有人信息
    pub bank_code: String,
    pub bank_name: Option<String>,
    // 缺失：证件类型、证件号码、持有人姓名等
}

法规依据：

《金融机构客户身份识别和客户身份资料及交易记录保存管理办法》明确规定，金融机构应当了解客户及其交易目的和交易性质，了解实际控制客户的自然人和交易的实际受益人。账户系统作为金融基础设施，必须具备记录和验证客户身份的能力。

缺失字段清单：

字段名称	说明	监管要求
证件类型	身份证、护照、港澳通行证等	必须记录
证件号码	证件唯一标识	必须记录
持有人姓名	账户实际持有人姓名	必须记录
证件有效期	证件有效截止日期	必须记录
客户类型	个人/企业/机构	必须记录
营业执照编号	企业客户必填	必须记录
法人代表信息	企业客户必填	必须记录
受益所有人信息	需穿透至最终受益人	必须记录
客户风险等级	需进行风险评估	必须记录

影响评估：

此问题属于高风险合规缺陷，将直接影响系统通过监管检查。建议立即启动整改，扩展账户实体增加客户身份信息字段，同时与现有客户信息系统对接，确保账户与客户的一一对应关系。

2.1.2 账户分级分类缺失【高风险】

问题描述：

根据《中国人民银行关于改进个人银行账户服务加强账户管理的通知》（银发〔2015〕392号），个人银行账户实行I类、II类、III类分级管理。然而，当前系统的 SubAccountType 枚举（文件：src/domain/account/entity.rs，第123行）仅定义了结算、管理、临时三种类型，完全未实现监管要求的账户分级分类功能。

系统当前设计可能面向企业级账户管理场景，但在实际业务中，即使是企业账户也需要进行分级管理，以控制不同类型账户的交易权限和风险敞口。缺失账户分级功能将导致无法实施差异化的风险控制策略。

代码位置：

src/domain/account/entity.rs:123-130

pub enum SubAccountType {
    Settlement,  // 结算
    Management,  // 管理
    Temporary,   // 临时
    // 缺失：I类、II类、III类账户分类
}

账户分级要求对照：

账户类别	功能范围	交易限额	当前支持
I类账户	全功能存取款、转账、消费、投资	无限制	未实现
II类账户	存款、限定消费和缴费转账	日累计1万，年累计20万	未实现
III类账户	消费、缴费转账	日累计5000，年累计1万	未实现

影响评估：

此问题属于高风险合规缺陷。账户分级管理是人民银行近年来的重点监管内容，未实现账户分级可能导致无法开展个人储蓄业务，建议尽快规划账户分级功能开发。

2.1.3 账户开户数量限制缺失【中风险】

问题描述：

《人民币银行结算账户管理办法》及反洗钱相关规定要求，金融机构应监控同一客户名下的账户数量，防止利用多账户进行洗钱或其他违法活动。当前 AccountService::create_physical_account 方法（文件：src/domain/account/service.rs，第34行）仅验证账号是否已存在，不验证客户维度的账户数量。

在 batch_create_sub_accounts 方法（文件：src/domain/account/service.rs，第141行）中，虽然限制了单次批量创建数量（1-1000个），但未限制同一实体账户下的累计子账户数量，存在被滥用的风险。

代码位置：

src/domain/account/service.rs:34-53

pub async fn create_physical_account(
    &self,
    request: CreatePhysicalAccountRequest,
) -> Result<PhysicalAccount> {
    // 仅检查账号重复，未检查客户维度的账户数量
    if let Some(_) = self
        .physical_account_repo
        .find_by_account_no(&request.account_no)
        .await? { /* ... */ }
}

影响评估：

此问题属于中风险合规缺陷。长期不管控可能导致系统中存在大量休眠账户或被利用于洗钱，建议增加账户数量监控功能，设置合理的账户数量上限。

2.1.4 司法冻结支持不足【中风险】

问题描述：

当前系统仅支持简单的账户冻结/解冻操作，通过 freeze_physical_account 和 unfreeze_physical_account 方法（文件：src/domain/account/service.rs，第69-98行）实现。但司法冻结和行政冻结有别于普通冻结操作，需要特殊处理。

根据相关规定，司法冻结需要记录：冻结机关、冻结法律依据、冻结文书编号、冻结期限、解冻条件等信息。当前简单状态管理无法满足司法冻结的合规要求。

代码位置：

src/domain/account/service.rs:69-82

pub async fn freeze_physical_account(&self, id: i64) -> Result<()> {
    // 仅简单的状态更新，无司法/行政冻结类型区分
    self.physical_account_repo
        .update_status(id, AccountStatus::Frozen)
        .await?;
}

缺失功能清单：

功能	说明	当前状态
冻结类型区分	司法冻结/行政冻结/普通冻结	未实现
冻结机关记录	冻结机构名称	未实现
冻结文书管理	冻结文书编号、法律依据	未实现
冻结期限管理	冻结起始/结束时间	未实现
冻结审批流程	冻结操作审批	未实现
冻结历史记录	完整冻结/解冻轨迹	部分实现
部分金额冻结	支持冻结部分余额	未实现

影响评估：

此问题属于中风险合规缺陷。随着业务发展，系统可能需要对接司法机关的冻结请求，不具备相应能力将影响业务合规开展。

2.1.5 账户销户前余额处理不完整【低风险】

问题描述：

close_sub_account 方法（文件：src/domain/account/service.rs，第211行）中存在 TODO 注释，指示销户前未检查余额是否为零。

代码位置：

src/domain/account/service.rs:218

// TODO: 检查余额是否为零

影响评估：

此问题属于低风险合规缺陷。关闭账户时若余额不为零，可能导致资金损失或客户投诉。

2.2 账务域审核结果

2.2.1 三科目余额模型评价

账务域的三科目余额模型设计合理，符合银行资金安全管理要求。模型定义了个人余额（personal_balance）、劳动报酬余额（labor_balance）、冻结余额（frozen_balance）三个可用性分类，与银行余额（bank_balance）和在途金额（transit_amount）形成完整的余额管理体系。

不变量校验机制设计完善，通过 check_and_log_invariant 方法（文件：src/domain/ledger/service.rs，第608行）确保 personal + labor + frozen = bank_balance 的恒等式始终成立，为资金安全提供了有力保障。

优先级扣款规则实现正确，扣款时优先使用个人余额，不足时再使用劳动报酬余额，符合一般的业务处理逻辑。

2.2.2 复式记账完整性评价

复式记账核心功能实现良好。创建分录时进行借贷平衡校验，确保借方金额等于贷方金额。科目余额方向处理正确，资产和费用类科目借方增加，负债和收入类科目贷方增加。

但记账凭证要素不完整，根据《会计基础工作规范》，记账凭证应包含制单人、审核人、附件张数等信息。当前 ledger_entry 表（文件：migrations/001_init_schema.sql，第121行）仅包含分录编号、关联交易号、记账日期、摘要描述等基本字段，缺失制单审核信息。

2.2.3 会计科目体系问题【中风险】

当前会计科目体系过于简单，仅定义了7个一级科目，缺少明细科目扩展能力。科目编码采用4位数字，符合一般会计制度习惯，但缺少更细粒度的科目层级设计。

当前科目列表（文件：migrations/001_init_schema.sql，第83-91行）：

科目代码	科目名称	类别
1001	现金	资产
1002	银行存款	资产
1003	在途资金	资产
2001	客户存款	负债
2002	待清算款项	负债
3001	手续费收入	收入
4001	利息支出	支出

缺失的常用科目：

科目类别	应有科目
资产类	应收利息、应收账款、固定资产
负债类	应付利息、应付手续费、应交税费
权益类	本年利润、利润分配、资本公积
收入类	利息收入、其他业务收入
支出类	业务费用、管理费用

2.2.4 利息与手续费功能缺失【高风险】

代码审查未发现利息计算和手续费收取功能的实现。根据《企业会计准则第22号——金融工具确认和计量》，银行应按照权责发生制原则确认利息收入和支出。系统如不支持利息计算，将无法正确进行财务核算。

手续费收取同样存在合规风险。根据监管规定，银行收取手续费应提供有效凭证，并按规定进行公示。系统如无手续费管理功能，可能导致收费不规范。

2.2.5 外币业务处理缺失【高风险】

系统当前仅支持人民币业务，未发现外币账户和外币折算处理功能。根据《企业会计准则第19号——外币折算》，涉及外币业务的企业需要进行外币折算处理。对于可能涉及跨境业务的银行系统，外币支持是必备功能。

2.3 交易域审核结果

2.3.1 大额交易报告缺失【高风险】

问题描述：

《金融机构大额交易和可疑交易报告管理办法》（人民银行令〔2016〕第3号）要求，金融机构应当报告大额交易和可疑交易。当前 TransactionService（文件：src/domain/transaction/service.rs，第16行）缺乏大额交易监控和自动报告功能。

大额交易报告阈值：

交易类型	报告阈值	当前状态
单笔现金交易	人民币5万元以上	未实现
单笔转账交易	人民币20万元以上	未实现
跨境交易	等值1万美元以上	未实现

系统未设置任何交易金额阈值监控，也未实现与大额可疑交易报告系统的对接功能。

代码位置：

src/domain/transaction/service.rs:42-106

影响评估：

此问题属于高风险合规缺陷。人民银行对大额交易报告有明确的合规要求，未履行报告义务可能面临行政处罚。建议立即实现大额交易监控功能。

2.3.2 可疑交易识别缺失【高风险】

问题描述：

反洗钱法规要求金融机构建立可疑交易识别机制，能够识别异常交易模式。当前系统完全不具备可疑交易检测能力。

常见可疑交易特征：

特征类型	具体表现
化整为零	频繁的小额交易，规避报告阈值
快进快出	资金短时间内的转入转出
异常交易模式	与客户历史行为显著不同的交易
跨境异常	与经营规模不符的跨境资金流动
关系异常	无合理商业目的的频繁资金往来

影响评估：

此问题属于高风险合规缺陷。反洗钱是金融监管的重点领域，未建立可疑交易识别机制将面临严重的合规风险和法律后果。

2.3.3 交易限额控制缺失【中风险】

当前 create_transfer 和 create_withdrawal 方法（文件：src/domain/transaction/service.rs，第42-188行）仅验证账户余额，未进行交易限额控制。

缺失的限额控制：

限额类型	说明	当前状态
单笔限额	单笔交易金额上限	未实现
日累计限额	单日累计交易金额上限	未实现
月累计限额	单月累计交易金额上限	未实现
账户类型限额	根据账户类别设置限额	未实现
限额调整审批	限额调整需审批	未实现

影响评估：

此问题属于中风险合规缺陷。交易限额是风险管理的重要手段，缺失限额控制可能导致风险敞口过大。

2.3.4 交易日志审计不完整【中风险】

当前系统使用 tracing 框架进行日志记录，但审计日志不完整。关键操作应记录操作人、操作时间、操作类型、客户端IP、关联业务数据等信息，当前实现仅记录操作结果，缺少完整的审计轨迹。

合规要求：

《金融机构客户身份资料及交易记录保存管理办法》规定，金融机构应当保存客户身份资料和交易记录，确保能够重现每笔交易。保存期限不少于5年。

缺失的审计信息：

信息项	说明	当前状态
操作人	执行操作的用户ID	未记录
操作时间	精确到毫秒的时间戳	部分记录
客户端IP	客户端网络地址	未记录
操作类型	具体操作行为分类	部分记录
关联数据	操作涉及的账户、金额等	部分记录

影响评估：

此问题属于中风险合规缺陷。不完整的审计日志将影响事后追溯和监管检查，建议完善审计日志记录机制。

2.4 架构安全审核结果

2.4.1 身份认证缺失【高风险】

当前所有API接口无需认证即可访问，系统缺乏身份认证机制。这意味着任何人都可以调用账户创建、转账等敏感操作，存在严重的安全风险。

缺失的安全控制：

控制项	说明	当前状态
用户认证	验证用户身份	未实现
JWT认证	Token-based认证	未实现
Session管理	用户会话管理	未实现
API密钥管理	第三方接入认证	未实现
多因素认证	敏感操作增强认证	未实现

代码位置：

src/api/handlers/account.rs
src/api/handlers/transaction.rs

影响评估：

此问题属于高风险安全缺陷。缺乏身份认证将直接导致系统无法在生产环境使用，建议立即实现认证机制。

2.4.2 访问控制缺失【高风险】

系统缺乏基于角色的访问控制（RBAC）功能，无法实现细粒度的权限管理。不同角色的用户应有不同的功能权限和数据访问范围。

缺失的访问控制：

控制类型	说明	当前状态
功能权限	不同角色的功能访问权限	未实现
数据权限	数据范围的访问控制	未实现
操作审批	敏感操作的多级审批	部分实现
权限继承	角色权限的层级继承	未实现

影响评估：

此问题属于高风险安全缺陷。建议实现完整的RBAC权限体系，确保用户只能访问授权范围内的功能和数据。

2.4.3 敏感数据保护不足【高风险】

当前系统未对敏感数据进行加密保护。银行账号、交易金额、账户余额等敏感信息在数据库中明文存储，一旦发生数据泄露将造成严重后果。

需加密的敏感数据：

数据类型	保护要求
银行账号	加密存储、脱敏显示
证件号码	加密存储、脱敏显示
交易金额	脱敏显示
账户余额	脱敏显示
客户姓名	脱敏显示

影响评估：

此问题属于高风险安全缺陷。敏感数据保护是等保测评的必查项，建议立即启用数据加密功能。

2.4.4 错误处理安全问题【中风险】

当前错误处理实现（文件：src/error.rs，第89-145行）存在信息泄露风险。在生产环境中，详细错误信息可能包含敏感的技术细节。

AppError::Internal(e) => {
    tracing::error!("内部错误: {:?}", e);  // 可能泄露敏感信息
    (
        StatusCode::INTERNAL_SERVER_ERROR,
        "INTERNAL_ERROR",
        "内部服务错误".to_string(),
    )
}

改进建议：

• 生产环境使用简化的错误信息
• 详细错误仅记录到日志，不返回给客户端
• 异常堆栈信息脱敏处理

---

第三部分：合规差距分析

3.1 功能不足项清单

序号	功能领域	功能名称	法规依据	优先级
1	账户域	客户身份信息管理	客户身份识别办法	高
2	账户域	I/II/III类账户分级	银发〔2015〕392号	高
3	交易域	大额交易报告机制	人民银行令〔2016〕3号	高
4	交易域	可疑交易识别系统	反洗钱规定	高
5	架构安全	身份认证机制	等保要求	高
6	架构安全	访问控制机制	等保要求	高
7	架构安全	敏感数据加密	等保要求	高
8	账务域	利息计算功能	金融工具准则	高
9	账户域	账户数量限制	反洗钱规定	中
10	账户域	司法冻结功能	司法冻结规定	中
11	交易域	交易限额控制	风险管理规定	中
12	交易域	审计日志完善	交易记录保存规定	中
13	架构安全	接口限流机制	等保要求	中
14	架构安全	错误信息脱敏	等保要求	中
15	账务域	手续费计算功能	监管规定	中
16	账务域	会计科目扩展	会计科目规定	中
17	账务域	外币业务支持	外币折算准则	低
18	账务域	记账凭证要素完善	会计基础规范	低
19	账户域	销户余额处理	账户管理办法	低

3.2 功能实现偏差项清单

序号	功能	设计意图	实际实现	偏差说明
1	账户创建	完整的账户开户流程	仅验证账号重复	缺失KYC信息
2	账户冻结	多种冻结类型	仅简单状态冻结	缺失司法冻结
3	审计日志	完整的操作审计	仅基础日志记录	缺失操作人/IP
4	错误处理	生产环境安全	详细错误信息泄露	需脱敏处理
5	账户销户	余额检查后销户	TODO状态	功能未完成

3.3 风险点列表

风险点	影响范围	潜在后果	风险等级
客户身份缺失	全系统	无法通过监管检查	高
反洗钱功能缺失	交易域	违法风险、处罚	高
身份认证缺失	API层	未授权访问	高
敏感数据泄露	数据库	数据安全事故	高
审计追溯困难	全系统	合规风险	中
账户滥用风险	账户域	洗钱风险	中
交易风控不足	交易域	资金损失	中

---

第四部分：改进建议

4.1 短期改进建议（高优先级，立即整改）

4.1.1 客户身份信息扩展

建议内容：

扩展 PhysicalAccount 实体（文件：src/domain/account/entity.rs，第148行），增加客户身份信息相关字段。同时新建 Customer 实体管理客户基本信息，实现账户与客户的一一对应关系。

实施步骤：

第一步，新建 Customer 实体，包含证件类型、证件号码、姓名、风险等级等字段，与账户建立一对多关联关系。第二步，修改账户创建流程，要求在创建账户前先完成客户信息录入和验证。第三步，实现与身份核验系统的对接，支持身份证OCR识别、人脸比对等验证功能。第四步，更新数据库迁移脚本，新增客户信息表。

预期工作量：2-3周

涉及文件：

• src/domain/account/entity.rs
• src/domain/account/service.rs
• migrations/*.sql

4.1.2 大额交易监控系统

建议内容：

实现大额交易监控功能，在交易处理过程中自动判断是否触发报告阈值，并生成符合人民银行要求的大额交易报告。

实施步骤：

第一步，配置大额交易阈值参数，支持灵活配置各类交易的报告阈值。第二步，在交易服务中增加阈值检查逻辑，判断交易是否需要报告。第三步，实现报告生成功能，按照规定格式生成XML/JSON报告。第四步，实现报告暂存和批量上报功能，支持人工审核后提交。第五步，建立报告记录表，保存已上报和待上报的交易报告。

预期工作量：2-3周

涉及文件：

• src/domain/transaction/service.rs
• src/domain/transaction/entity.rs
• migrations/*.sql

4.1.3 身份认证与访问控制

建议内容：

实现完整的身份认证和基于角色的访问控制机制，确保只有授权用户才能访问系统功能。

实施步骤：

第一步，选择认证方案，推荐使用JWT令牌机制，实现无状态的分布式认证。第二步，实现用户登录接口，验证用户名密码，生成访问令牌。第三步，实现权限管理模块，定义角色和权限，分配用户角色。第四步，在API层增加认证中间件，验证请求中的令牌有效性。第五步，在服务层增加权限检查逻辑，确保用户只能执行授权的操作。

预期工作量：3-4周

涉及文件：

• src/api/middleware/*.rs（需新建）
• src/application/auth/*.rs（需新建）
• src/domain/user/*.rs（需新建）

4.2 中期改进建议（中优先级，1个月内）

4.2.1 账户分级分类管理

建议实现I类、II类、III类账户分级管理功能，根据账户类别实施差异化的交易限额和功能限制。

实施内容：

• 扩展 SubAccountType 枚举，增加账户类别
• 修改账户创建流程，根据类别设置交易限额
• 在交易服务中增加限额检查逻辑
• 配置各类账户的功能权限和交易限额参数

预期工作量：2-3周

4.2.2 审计日志完善

建议重构日志系统，实现完整的审计日志功能。

实施内容：

• 定义审计日志结构，包含操作人、时间、IP等信息
• 在关键操作处增加审计日志记录
• 建立独立的审计日志存储和查询功能
• 配置日志保留期限（至少5年）

预期工作量：1-2周

4.2.3 司法冻结功能

建议扩展冻结功能，支持司法冻结和行政冻结。

实施内容：

• 新增冻结类型枚举（司法冻结/行政冻结/普通冻结）
• 扩展冻结记录表，包含冻结机关、文书编号、冻结期限等字段
• 实现冻结审批工作流
• 对接司法机关的冻结请求系统

预期工作量：2-3周

4.2.4 利息计算功能

建议实现完整的利息计算功能。

实施内容：

• 实现活期利息按日计提
• 实现定期利息按期计算
• 实现利息税计算
• 实现利息收入确认
• 配置利率参数（符合监管规定）

预期工作量：2-3周

4.3 长期改进建议（低优先级，3个月内）

4.3.1 会计科目体系完善

建议扩展会计科目体系，增加二级明细科目，支持更精细的科目核算。

实施内容：

• 设计科目层级结构
• 增加二级明细科目
• 完善科目映射关系
• 支持科目自定义扩展

预期工作量：2-3周

4.3.2 可疑交易识别

建议建立可疑交易识别系统，基于规则引擎和机器学习模型识别异常交易模式。

实施内容：

• 梳理可疑交易特征库
• 实现规则引擎配置功能
• 建立可疑交易人工审核工作流
• 对接反洗钱报告系统

预期工作量：4-6周

4.3.3 外币业务支持

建议在业务需要时扩展外币业务支持功能。

实施内容：

• 支持外币账户管理
• 配置汇率参数
• 实现外币折算处理
• 实现汇兑损益计算

预期工作量：3-4周

---

第五部分：附件

5.1 代码审核清单

已审核的核心文件列表：

文件路径	审核内容
src/domain/account/entity.rs	账户实体定义
src/domain/account/service.rs	账户服务逻辑
src/domain/ledger/entity.rs	账务实体定义
src/domain/ledger/service.rs	账务服务逻辑
src/domain/transaction/entity.rs	交易实体定义
src/domain/transaction/service.rs	交易服务逻辑
src/api/handlers/account.rs	账户API接口
src/api/handlers/transaction.rs	交易API接口
src/error.rs	错误处理
migrations/001_init_schema.sql	数据库初始化
migrations/002_account_model_extension.sql	账户扩展

5.2 审核方法说明

本次审核采用以下方法：

1. 文档审查：审查系统设计文档、代码注释、API文档等，了解系统设计意图和功能规划。

2. 代码走查：对核心源代码进行逐行审查，分析业务逻辑实现是否符合设计要求。

3. 对比分析：将系统功能与监管法规要求进行逐条对比，识别合规差距。

4. 风险评估：依据问题的影响范围和潜在后果，评估风险等级。

5.3 审核局限性说明

本次审核存在以下局限性：

• 代码依赖分析不完整：由于时间限制，未能完整分析所有代码依赖关系，可能存在遗漏。

• 运行时行为未验证：审核基于静态代码分析，未在运行时验证实际行为。

• 外部系统对接情况不明：未了解与银行核心系统、监管报送系统等外部系统的对接情况。

• 业务场景理解有限：对实际业务场景的理解可能存在偏差，影响问题定性。

5.4 审核团队组成

本次审核由三组专家协同完成：

合规审查组：负责账户管理和交易域的监管合规性审核，依据《人民币银行结算账户管理办法》《金融机构客户身份识别和客户身份资料及交易记录保存管理办法》《金融机构大额交易和可疑交易报告管理办法》等法规。

财务会计组：负责账务域的会计准则合规性审核，依据《企业会计准则——基本准则》《企业会计准则第22号——金融工具确认和计量》《企业会计准则第19号——外币折算》等准则。

架构安全组：负责系统架构和安全控制的合规性审核，依据《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019）等标准。

---

附录：相关法规清单

金融监管法规

法规名称	发布机构	主要内容
人民币银行结算账户管理办法	中国人民银行	账户开立、使用、变更、撤销的管理规定
金融机构客户身份识别和客户身份资料及交易记录保存管理办法	中国人民银行等	KYC要求和记录保存规定
金融机构大额交易和可疑交易报告管理办法	中国人民银行	大额交易和可疑交易报告规定
中国人民银行关于改进个人银行账户服务加强账户管理的通知	中国人民银行	I/II/III类账户分级管理规定

会计准则

准则名称	准则编号	主要内容
企业会计准则——基本准则	财政部令第76号	会计基本假设、会计信息质量要求、会计要素定义等
企业会计准则第22号——金融工具确认和计量	财会〔2017〕7号	金融工具的分类、计量、减值等
企业会计准则第19号——外币折算	财会〔2006〕18号	外币业务的折算处理

信息安全标准

标准名称	标准编号	主要内容
信息安全技术网络安全等级保护基本要求	GB/T 22239-2019	网络安全等级保护基本要求
商业银行信息科技外包风险管理指引	银监办发〔2010〕44号	信息科技外包风险管理要求

---

报告编制：合规审核专家组
审核日期：2026年1月6日
版本号：1.0