过去几年，爱沙尼亚对企业服务提供商的要求发生了明显变化。反洗钱/了解你的客户（AML/KYC）、制裁合规、最终受益人（UBO）识别、资金来源、业务地域、集团架构以及对公司实际业务的理解，早已不再只是客户准入时的形式手续。
在2026–2027年，这一趋势将更加明显。
作为企业服务提供商，以及负责与爱沙尼亚金融情报局（FIU/RAB）沟通的联系人，我认为这些变化不只是监管趋严。市场正在逐步从形式合规转向实质性的风险管理。对合法经营的企业来说，这其实是好消息。
复杂的客户不一定是坏客户
国际化的公司架构本身并不是危险信号，外国UBO也不是。涉及多个司法管辖区、远程管理、跨境支付或非常规商业模式，并不意味着必须拒绝客户。
基于风险的方法遵循完全不同的逻辑：理解风险、核实风险、评估风险，并判断该风险能否被有效管理。
爱沙尼亚FIU将反洗钱与反恐融资（AML/CFT）风险管理视为一个相互关联的体系：从理解公司自身的商业模式、开展风险评估，到确定风险偏好、实施内部程序、采取客户尽职调查（CDD）措施并持续监控。内部程序应反映公司实际的运作方式，而不是简单照搬法律条文。
因此，我不认为合规应当变成一场比谁拒绝客户更多的竞赛。
基于风险的反洗钱方法：理解、核实、评估并管理客户风险
基于风险并不等于零风险
AML/KYC的目的不是让国际业务无法开展，也不是把所有架构不符合标准模板的客户都拒之门外。
其目的是弄清楚我们在与谁合作、公司实际在做什么、谁拥有并控制公司、资金从何而来，以及申报的业务是否与实际相符。
有时，这种评估确实应当得出不建立或不继续业务关系的结论。而在其他情况下，较高的风险可以通过补充文件、强化尽职调查、更深入的分析或持续监控加以控制。
在我看来，合规质量不是用被拒绝客户的数量来衡量的，而是取决于所作决定的质量和可辩护性。
这对客户在实践中意味着什么？
如果企业服务提供商就您的商业模式、交易对手、经营国家、资金来源或股权结构提出更多问题，这并不意味着您自动被视为可疑。多数情况下，目的要简单得多：全面了解您的业务，并能够用适当的文件支持这种了解。
对客户而言，这意味着公司架构清晰、合理、可解释变得越来越重要。
例如，一家公司可能在爱沙尼亚注册，向德国客户销售，与波兰的开发人员合作，其UBO居住在阿联酋，并与其他几个司法管辖区的交易对手保持往来。这些情况本身都不一定构成问题。
但必须有清晰的经济逻辑：
- 公司为什么在爱沙尼亚注册；
- 公司从哪里进行管理；
- 客户位于哪里；
- 收入如何产生，又如何体现在账务中；
- 架构中每个环节承担什么功能。
企业对这些问题回答得越清楚，不仅与企业服务提供商，而且与银行、支付机构及金融体系其他参与者打交道都会更加顺利。
国际架构示例：爱沙尼亚OÜ、欧盟客户及境外UBO
制裁筛查不等于制裁合规
另一个重要趋势是：仅仅将客户或UBO的名字与制裁名单比对已经不够了。现代制裁合规的范围要广得多。
视具体情况，可能需要分析所有权与控制权、服务的最终受益方、交易的地域、商品或服务的用途、中间方的角色以及业务关系的真实经济实质。
制裁风险并不总是需要与受制裁人士之间存在直接付款或直接合同。它也可能通过提供某些服务或其他经济利益而产生。
对企业而言，实际结论很简单：如今不仅要知道谁收到发票，还要了解交易背后实际发生了什么。这对国际业务尤为重要，因为一笔交易就可能涉及多个司法管辖区、中间方、银行和监管制度。
合规不再只是一夹子文件
几年前，AML档案通常主要被视为一套必备文件：护照、地址证明、UBO声明、问卷和制裁筛查结果。如今的要求则远不止于此。
风险评估、风险偏好、内部程序、客户风险画像、CDD/EDD、持续监控、制裁筛查、报告、培训和内部控制，越来越需要作为同一套有效运作的合规体系的组成部分协同工作——对持牌金融公司而言尤其如此。
即使使用外部KYC或身份验证服务商，义务主体的责任也不会转移给该服务商。确定客户风险画像和风险等级的责任仍由企业服务提供商承担。
在我看来，这是当前最重要的变化之一。问题不再只是：
“我们有这份文件吗？”
越来越多时候，真正的问题是：
“我们为什么做出这个决定，能否为它提供充分理由？”
AML/CFT合规体系：风险评估、CDD/EDD、监控、制裁筛查与内部控制
良好的KYC不仅保护服务商，也保护客户
合规还有另一面，却很少被提及。一份完善的KYC档案不仅对企业服务提供商或监管机构有用，对企业本身同样有用。
银行、支付机构和其他义务主体经常会提出非常相似的问题：
- UBO是谁？
- 资金从哪里来？（清晰的财务报表有助于回答这个问题。）
- 公司在哪里经营？
- 为什么选择这样的公司架构？
- 主要交易对手是谁，交易流程是怎样的？
如果这些问题在企业服务阶段就已妥善处理，客户向金融体系其他参与者一致地解释自身架构就会容易得多。
因此，我并不只把良好的合规视为监管负担。实施得当，它会成为公司企业基础设施的一部分。
2027年会有哪些变化？
自2027年7月10日起，AML/CFT核心要求中的相当一部分将直接由欧盟《反洗钱条例》（AMLR）规定。
在欧盟层面，AMLR将直接规范以下内容（包括但不限于）：
- 风险评估与内部控制；
- CDD、SDD和EDD；
- 政治公众人物（PEP）相关要求；
- 客户及最终受益人的识别；
- 持续监控、报告与记录保存。
与此同时，国家层面的监管并不会消失。各国FIU的工作、监督、国家登记簿、行政措施和法律责任，仍将部分由国家层面规定。
对合规从业者而言，这意味着监管框架将在全欧盟范围内更加统一——类似于面向加密资产服务提供商的MiCA制度——同时在实践中更注重实质。
我们正走向何方？
我对方向看得相当清楚：
- 更少形式化的KYC，更多对真实业务的理解；
- 更少通用检查清单，更多基于风险的分析；
- 更少“为了归档”而制作的文件，更强的解释和捍卫所作决定的能力。
我相信这是正确的方向。但与此同时，合规不能变成自动化的“去风险”，即把降低自身风险的最简单办法当成拒绝所有非标准客户。
良好的合规不应妨碍合法企业经营。它应当帮助区分复杂但透明、合法的架构与真正不可接受的风险。
如今，企业服务提供商的角色已不再只是收集护照、地址证明和填好的KYC问卷。我们的职责是充分了解客户的业务，从而能够有信心、有依据地说明我们为什么愿意与其合作——同时也能识别出某项风险何时已无法被合理管理。
能否划清这条界线，将越来越成为区分实质合规与纸面合规的关键。
需要为您的爱沙尼亚公司搭建合规架构？
eBusiness Solutions OÜ是持牌企业服务提供商（FIU牌照号FIU000421）。我们提供法定地址、联系人服务以及爱沙尼亚公司注册，客户准入流程清晰且基于风险。您可以阅读我们的反洗钱与反恐融资政策，或联系我们获取免费咨询。
