PingPong被罚1.2万欧元！

7月初，PingPong官网发布了一篇颇为喜庆的文章。

卢森堡大公国驻华大使馆及驻上海总领事馆举行国庆日招待会，PingPong受邀出席。PingPong在文章中称其为“卢森堡长期重要合作伙伴”，并再次谈到“合规优先”“全球化合规经营底盘”和“欧洲全域合规资质布局”。

几天后，卢森堡又公开了另一份文件。

7月8日，卢森堡金融监管委员会（CSSF）实名公开对PingPong Europe S.A.作出的行政处罚决定。这家PingPong欧洲持牌主体因违反反洗钱及反恐怖融资相关专业义务，被处以1.2万欧元行政罚款。

一边是“合规优先”和“全球化合规经营底盘”，另一边是卢森堡监管部门公开的反洗钱处罚。两组信息在数日内先后出现，很难不让人多看一眼。

不过，这项处罚并非在几天内作出。CSSF早在2026年3月2日作出处罚决定，相关问题来自2022年10月至2023年10月开展的现场检查，7月8日只是监管文件的公开日期。

罚款金额也不算高。

CSSF在文件中还给出了一项明确判断：在现场检查覆盖时期，PingPong Europe的AML/CFT控制系统没有适应较高的客户数量，无法充分监控相关风险。

对一家持续增加海外持牌主体、扩展金融服务范围的跨境支付公司而言，CSSF这项判断的分量，显然高于1.2万欧元罚款本身。

高客户量下，系统暴露缺口

CSSF发现的问题首先涉及可疑交易报告。

在两起涉及欺诈活动的案例和一起出现疑似上游税务犯罪指标的案例中，PingPong Europe已经识别出洗钱疑点或可疑交易指标，却没有向卢森堡金融情报机构FIU提交可疑活动报告或可疑交易报告，即SAR/STR。

其中两起欺诈案例还有一个细节。相关资金已经被退回，当时的合规负责人尚未决定是否向FIU报告。

CSSF援引相关法律要求指出，存在合理洗钱怀疑时应及时通知FIU，并在通知前避免执行相关可疑交易。

问题还延伸到了历史记录保存。PingPong Europe无法提供2020年和2021年向FIU提交的SAR/STR副本。CSSF认为，其记录保存流程不足，相关内部程序没有在实际工作中得到有效执行。

这些历史报告本身也是后续客户风险管理的依据。哪些客户曾涉及可疑交易报告，当时作出了怎样的风险研判，都可能影响后续风险评级、持续监控和强化尽调。由于无法调取相关文件，PingPong Europe也无法证明已经针对有关客户采取强化尽职调查措施。

更明显的问题出现在客户状态管理上。

CSSF发现，PingPong Europe的AML/CFT监控系统无法恰当区分被阻止、终止业务关系和拒绝建立业务关系等不同状态。公司因此无法解释约2800名客户究竟属于被拒绝的潜在客户、被阻止客户，还是同一集团其他实体的客户。

CSSF并未将这约2800名客户认定为“问题客户”或“可疑客户”。监管指出的问题，是这些客户的状态和归属无法得到清晰解释。

在反洗钱管理中，客户状态会直接影响风险处置。客户为什么被拒绝，业务关系为什么终止，后续是否需要持续监控，都需要有清楚的记录。状态和归属无法准确识别，后续风险评级、强化尽调和持续监控也会受到影响。

CSSF还发现，PingPong Europe没有清单或系统用于识别并持续监控资料不完整的客户档案。同时，公司无法从客户数据库中提取法人客户董事、代理人或受益所有人居住国等相关信息。

一旦某个国家或地区的风险等级发生变化，机构需要找到涉及相关风险因素的客户，重新评估风险等级，并在必要时采取强化尽职调查。客户数量达到较高规模后，仅靠逐一回查，很难支撑持续的风险管理。

CSSF最终认为，在现场检查覆盖时期，PingPong Europe的AML/CFT控制系统没有适应较高的客户数量。监管还提到，上述部分问题此前已被机构在日常控制中识别，但并未落实令监管满意的补救措施。

报告、记录和客户状态管理看似分属不同环节，CSSF最终指向的却是同一个问题——系统能否承受更高的客户规模。

卢森堡，是PingPong欧洲布局的重要支点

PingPong布局卢森堡已有多年。

据PingPong公开资料，2017年公司取得卢森堡PI支付机构许可。PingPong称其为首家获得欧洲支付牌照的中国金融科技公司。

PingPong Europe S.A.正是此次CSSF处罚涉及的持牌主体。卢森堡也长期是PingPong欧洲持牌经营的重要支点。

也正因为卢森堡在PingPong欧洲布局中的分量，这两组公开信息才更显反差。在PingPong近年来的公开表达中，合规也一直是其介绍全球业务能力时的重要关键词。

PingPong早期业务与中国跨境卖家的收款需求直接相关，此后逐渐增加海外持牌主体和本地化服务能力。支付之家近年来对PingPong的持续关注，也从境内支付牌照延伸到欧洲、新加坡等海外市场。

今年3月，支付之家曾关注PingPong体系竞得信航支付剩余49%股权。信航支付前身浙江航天电子曾因多项违法行为受到处罚，其中涉及反洗钱义务履行。

PingPong曾公开回应称，相关处罚涉及浙江航天电子2019年被收购前开展的部分境内支付业务，公司在2021年收购完成后关停原有业务，并已于2022年完成相关整改。

该处罚与CSSF此次检查分属不同主体、不同法域和不同业务时期，两者并非同一事项。随着PingPong持牌主体增加，各实体仍需分别履行所在地的监管要求。

即使集团在多个市场持牌，各地监管检查和责任认定仍落到具体持牌机构。

牌照分布全球，客户风险不会自动切开

PingPong的业务范围仍在扩大。

7月6日，PingPong宣布获得新加坡金融管理局资本市场服务牌照原则性批准。正式发牌并满足相关条件后，其新加坡子公司拟面向符合条件的当地客户提供场外外汇衍生品服务，用于管理汇率波动风险。

从跨境收款到全球账户、付款、收单、发卡和外汇，再向外汇风险管理相关业务延伸，PingPong面对的客户类型、服务关系和监管要求也更加复杂。

CSSF此次披露的约2800名客户问题，还涉及客户归属。PingPong Europe无法解释这些客户究竟是被拒绝的潜在客户、被阻止客户，还是集团其他实体的客户。

客户属于哪个持牌实体，会影响相应机构如何履行持续监控等本地合规义务。

牌照可以按照国家和公司主体分别申请，客户风险却不会天然按照公司注册地整齐切开。

一名客户过去由哪个实体服务，当前与哪个主体建立业务关系，历史风险记录由谁保存，发现疑点后由谁履行当地报告义务，都需要明确。

集团内部可以协同提供服务，具体客户仍需对应清晰的服务主体和风险管理责任。与此同时，不同实体之间也不能不受限制地共享客户数据，各法域对数据保护、金融信息使用也有不同要求。

因此，客户归属、风险状态以及必要的信息衔接，都需要形成清晰的管理机制。

客户规模进入更高量级后，合规管理无法靠简单复制原有流程解决。客户数据如何组织，风险等级如何更新，历史记录能否回溯，规则变化后如何重新筛查，异常事项如何进入审核和报告流程，都需要系统提供稳定支撑。

客户较少时，个别状态异常或资料缺失还可以通过人工复核处理。随着客户和持牌主体增加，长期依赖人工处理例外情况越来越困难。

CSSF关于“系统没有适应较高的客户数量”的判断，直接指向客户规模与AML/CFT系统能力之间的匹配问题。

全球业务扩大后，系统需要处理的也不只是更多交易，还包括不同主体下的客户管理、风险信息和合规流程。

罚款不高，问题落在系统上

从处罚结果看，CSSF此次没有对PingPong Europe开出高额罚单。

监管文件显示，PingPong Europe已经承认相关检查发现，提交总体行动计划，并表示在现场检查后启动部分纠正措施。CSSF在确定处罚类型和金额时考虑了这些情况。

与此同时，机构在相关回复中提供不正确信息，被CSSF作为加重因素纳入处罚考量。

但CSSF披露的问题十分具体。处罚文件逐一列出了可疑交易报告、历史记录、客户状态和风险数据提取等问题。CSSF最终认为，其AML/CFT控制系统没有适应较高的客户数量。

PingPong所称的“全球化合规经营底盘”，最终也要落实到这些具体能力上。

客户处于什么状态，历史风险记录能否回溯，相关风险由哪个持牌主体负责，出现合理怀疑后是否完成报告，这些工作很少出现在企业全球化宣传的醒目位置，却是持牌机构日常合规管理绕不开的内容。

回到这张1.2万欧元罚单，CSSF留下的更重要信息仍是，PingPong Europe的AML/CFT控制系统在现场检查覆盖时期没有适应较高的客户数量。

牌照和业务还在增加，PingPong的合规系统也需要跟上客户规模。

这里是支付之家。我们关注支付表象之下的规则差异与逻辑变化，提供支付科技领域增量信息。观点内容仅供参考。