从国际国内与反洗钱相关的法律法规和相关案例中不难发现，洗钱行为手段多样，但也有其内在的规律可循。根据国际上已积累的几十年实践经验，洗钱者易在金融法律体系尚不健全的国家和地区活动，并趋于选择成本低、安全性高、风险小、便捷性强的方式，例如目前在我国，金融机构尤其是商业银行已成为洗钱的主要渠道。本文通过结合在对我国商业银行审计中发现涉嫌洗钱活动线索的工作实践，谈一谈对商业银行审计进行反洗钱行为审计的一些经验和体会。
现阶段，根据我国国情，国家审计机关在商业银行审计中进行反洗钱审计的审计目标应定位在：通过检查确认银行在反洗钱内部控制制度的制定、执行等各个环节存在的缺陷，促进银行加强管理、降低经营风险；通过对银行交易数据的检查，发现洗钱等金融犯罪活动的线索，联合其他监管机构对此类范围活动进行打击，以维护公众利益，保障金融安全。
在审计方式方法上，同其他审计事项一样，对涉嫌洗钱行为的审计同样是风险基础审计，即在对被审计商业银行进行反洗钱内部控制制度的评价和测试的基础之上，对可疑账户、可疑交易、可疑活动进行实质性的检查，具体步骤包括：
一、合规性审计
国际上，根据巴塞尔协议和其他国际金融机构的建议，银行反洗钱的有效途径包括三个方面，一是建立可疑交易报告制度；二是建立一套有效的反洗钱工作机制；三是遵循“了解你的客户（KnowYourClient）”原则。在我国，中国人民银行也制定了《金融机构反洗钱规定》、《人民币大额和可疑资金支付交易报告管理办法》和《金融机构大额和可疑外汇资金交易报告管理办法》等规定。根据国际上已积累的经验和我国的具体情况，建议审计人员在商业银行反洗钱内部控制制度的合规性审计中应注意以下几个方面：一、在控制环境方面，审计人员应对被审计单位关于反洗钱和可疑交易制度的整体情况进行评价，具体包括了解银行高级主管和经理层正直程度、价值观和能力；被审计单位是否通过适当的途径将反洗钱的观念和重要意义传达给员工；员工是否明确地知道可疑交易报告制度，确切地知晓可疑的交易；员工是否能够辨别和报告可疑交易等。审计人员可以通过调阅相应的会议纪录等方法完成此项审计程序。
二、在控制活动方面
审计人员应检查被审计单位是否建立了反洗钱的工作机制和程序。具体包括被审计单位是否制定了可疑交易报告的实施细则和操作执行的具体程序；是否成立了专门部门负责日常的反洗钱工作；是否对可疑交易的风险进行评估，柜员在各自岗位是否能够预知会遇到某种异常交易；是否建立了发现-报告-检查-反馈的有效机制；是否有独立的部门对可疑交易及相关报告进行定期检查等。审计人员可以采取询问前台柜员和检查相关资料的方法完成审计程序。
三、在经营理念方面
审计人员应检查被审计单位是否遵循了“了解你的客户”的原则。该原则要求银行应该熟悉自己的客户，对于陌生的临时客户应保持警惕。洗钱分子在洗钱过程中往往会想方设法隐藏自己的身份和资金的来源，如使用虚假的企业资料、个人身份开立的账户进行洗钱活动。同时洗钱持续的时间通常也很短。因此审计人员应该根据自己的职业判断，对银行客户特别是短期大客户的开户资料进行核实，必要时延伸有关部门。
实质性检查在对银行的内部控制制度进行合规性检查后，审计人员确定此银行的内部控制制度的可信赖程度，然后进入实质性检查阶段，进行相应地分析和抽查。
与其他金融犯罪活动不同，洗钱行为通常不会引起财务决算报表的变化，因为洗钱活动主要是通过银行进行资金的转移，不会引起银行资产和收益的增加或减少。同时银行的账户成千上万，每条的交易更是不计其数，因此，一般意义上的报表分析很难发现洗钱的蛛丝马迹。但洗钱是一种有规律的犯罪活动，具有一些普遍特征，这些特征通过可疑的账户和交易体现出来，并且大部分能够通过数据库查询语言进行描述。同时近年来审计署在商业银行的计算机审计中积累了大量的实践经验，能够下载和转换银行的交易流水和账户信息等电子数据。
正是具备了上述两个条件，审计人员完全可以利用计算机审计技术对涉嫌洗钱的行为进行审计。基本的思路是首先将洗钱的特征进行量化，其次建立相应的审计模型对银行的交易数据进行筛选，最后对选出来的账户和交易进行综合并做出职业判断，具体做法如下：
量化可疑交易。中国人民银行《金融机构反洗钱规定》和两个报告办法中对可能是洗钱活动大额和可疑交易特征进行了描述，如“个人银行结算账户之间以及个人银行结算账户与单位银行结算账户之间金额20万元以上的款项划转”、“金额20万元以上的单笔现金收付”和“个人银行结算账户短期内累计100万元以上现金收付”等特征。审计人员应通过数据库语言刻画这些特征，建立相应的模型对银行交易数据进行分析。
量化可疑账户。由于洗钱活动的主要目的是将非法资金和所得转移到银行，并通过银行迅速转移。目的决定手段，可疑账户必然在短期内集中大量流进流出资金，而不会沉淀在银行系统内。因此审计人员应重点关注那些短期内资金流入和流出基本相等、资金量比较大、发生笔数比较多的账户。通过量化这些特征，并结合相应的职业判断，审计人员可建立相应的模型对银行交易数据进行检索。
综合分析。审计人员要对检索出来的可疑账户和可疑交易进行综合分析，其中最为关键的是判断资金的名义用途和实际用途是否相符，同时根据这些账户的开户资料、注册资料、个人资料以及资金来源和去向，进一步判断、核实这些账户是否真正涉嫌洗钱。
最后，审计人员在综合分析的基础上，有的放矢，通过审计延伸等方法进行取证核实，若发现重要的线索，及时报告上级或通知有关部门，进而采取有效措施对局势进行控制，从而有力地打击犯罪行为，维护公众利益，保障金融安全。
