books-and-records

账簿与记录

截至 2026 年 6 月的监管状态——提供建议前，请根据 SEC/FINRA/FinCEN 的最新资料核实生效日期、金额门槛和待定规则制定事项。

核心概念

SEC Rule 17a-3（应制作的记录）

SEC Rule 17a-3（17 CFR 240.17a-3）规定了每家注册经纪交易商必须创建和维护的账簿与记录。这些记录构成监管监督的基础，使检查人员能够重建交易、核实合规情况并保护投资者。主要的必备记录类别包括：

• 流水账（日常记录）： 记录每笔证券交易（日期、时间、证券、数量、价格、交易对手）的买入和卖出流水账；记录所有现金流的现金收付流水账；以及跟踪证券进出公司情况的证券收付流水账。
• 总账： 完整的总账，反映经纪交易商的所有资产、负债、收入、费用和资本账户。必须保持最新，并按照公认会计原则维护。
• 客户账户记录： 对于每个客户账户，公司必须创建并维护包含以下信息的记录：客户姓名和纳税人识别号（SSN 或 EIN）、地址、电话号码、出生日期、就业状态及雇主名称、客户是否为另一家经纪交易商的关联人员、投资目标、年收入和净资产，以及获准进行账户交易的人员姓名。2003 年对 Rule 17a-3 的修订（Exchange Act Release No. 34-47910）扩大了客户账户记录要求，纳入客户投资资料信息——具体包括投资目标（例如，保本、收入、增长、投机）、投资期限、风险承受能力，以及公司在提出建议时使用的其他信息。公司还必须记录账户开户日期及负责该账户的关联人员姓名。
• 订单单据： 对收到的每笔证券买入或卖出订单，均须留存备忘记录，列明订单条款、录入时间、执行时间、价格，以及受理并执行订单的关联人员身份。对于全权委托订单，单据必须注明已行使该酌情权。
• 确认书： 根据 SEC Rule 10b-10 发送给客户并从交易对手处收到的所有交易确认书副本。
• 自营订单备忘录： 公司自营账户每笔证券买卖的记录，包括授权该交易人员的身份。
• 客户投诉： 公司收到的每份书面客户投诉的记录，包括投诉人姓名、收到投诉的日期、投诉事项，以及公司的回复或处理结果。FINRA Rule 4513 对此项要求作出补充，规定了具体的投诉记录保存标准。
• 关联人员就业申请： 与关联人员有关的记录，包括 Form U4（证券行业注册统一申请表）、就业经历、纪律处分记录和背景调查结果。这些记录必须包含关联人员的姓名、出生日期、地址，以及其开始受雇于公司或与公司建立关联关系的日期。

SEC Rule 17a-4（应保存的记录）

SEC Rule 17a-4（17 CFR 240.17a-4）规定了经纪交易商记录的保存期限。根据规定的保存期限，记录分为三个层级： 六年记录（规则 17a-4(a) 和 (b)）：

• 账簿（买卖、现金收付、证券收付）
• 总账和明细账
• 客户账户记录（包括账户报表）
• 如果经纪交易商是合伙企业，则包括合伙协议及其所有修订
• 如果经纪交易商是公司，则包括公司章程或特许证，以及细则和修订
• 财务报表（试算表、净资本计算、储备公式计算）
• 证券头寸记录（股票记录、证券记录）

三年记录（规则 17a-4(b) 和 (c)）：

• 通信——经纪交易商收到的所有通信原件，以及经纪交易商发送的、与其业务相关的所有通信副本，包括办公室间备忘录。这包括信件、电子邮件、即时消息及其他形式的业务往来。
• 经纪订单备忘录及所有其他与公司业务相关的备忘录
• 书面合规和监督程序（最近三年的记录）
• 关联人员的求职申请及相关文件——自个人与公司终止关联之日起保留三年
• 经纪交易商签订的书面协议（包括客户协议、清算协议和雇佣合同）
• 为配合 FINRA 审查和检查而编制的报告和问卷

企业存续期间保留的记录（规则 17a-4(d)）：

• 公司章程或组织文件、特许证、会议记录簿和股票证书簿（合伙企业、LLC 或其他法律形式的等效组织文件）
• 这些记录必须在企业及其任何继承企业存续期间予以保存

前两年——便于访问： 对于所有须保留三年或六年的记录，在适用保留期限的前两年内，必须将记录存放在便于访问的地点（规则 17a-4(a)、(b)）。“便于访问”意味着公司必须能够在监管机构提出要求后迅速提供记录——在这一初始期间，不得以需要大量工作或延迟才能检索的方式存储记录。

电子存储要求（规则 17a-4(f)）： 规则 17a-4(f) 规定了经纪交易商以电子格式保存所需记录的条件。历史上，该规则要求电子记录只能以不可重写、不可擦除的格式保存，即 WORM（一次写入，多次读取）标准。SEC 于 2022 年对规则 17a-4(f) 作出的修订（《交易法》公告第 34-96034 号，于 2023 年 1 月 3 日生效）对这些要求进行了现代化调整，引入了 WORM 存储的替代方案。根据修订后的规则，电子记录现在可以通过以下任一方式保存：

1. 符合 WORM 标准的存储——以不可重写、不可擦除的格式保存记录，确保记录无法被更改或删除；或者
2. 审计跟踪替代方案——采用电子记录保存系统，维护所有记录修改和删除的审计跟踪，创建完整的带时间戳的变更记录，并保留原始版本及所有修改版本。 无论选择哪种方案，均须满足以下要求：

• 索引系统： 必须对记录进行整理和索引，以便及时访问任何单条记录。索引必须与记录本身分开存储，并且在监管检查期间必须能够立即提供。
• 可审计的下载能力： 系统必须能够按照检查人员要求的介质和格式，提供任何记录清晰、真实且完整的副本。
• 第三方访问代理（2023 年之前的规则 Rule 17a-4(f)(3)(v)，现为 Rule 17a-4(f)(3)(vii)）： 如果经纪交易商停止运营，必须指定一名有权访问电子记录的第三方。指定的第三方有时称为“指定检查机构访问代理”，简称“第三方访问代理”。经纪交易商必须向 SEC 及其指定检查机构提交通知，说明该第三方的身份。第三方必须每年向 SEC 提交一份承诺书（函件），同意提供记录访问权限。此项要求确保即使公司倒闭，监管机构仍能持续访问记录。

Rule 204-2（投资顾问记录保存）

《1940 年投资顾问法》下的 SEC Rule 204-2（17 CFR 275.204-2）规定了在 SEC 注册的投资顾问必须制作和保存的账簿及记录。投资顾问的记录保存要求在范围和侧重点上不同于经纪交易商的要求，体现了顾问关系及信托义务。所需记录包括：

• **日记账和分类账：**一本或多本日记账（包括现金收款和付款记录）以及总分类账（或其他记录），反映所有资产、负债、准备金、资本、收入和费用账户。
• **订单备忘录：**投资顾问发出的每笔证券买卖订单的备忘录，包括订单条款、建议该交易的人员、下达订单的人员、日期，以及执行该订单的银行、经纪交易商或其他实体。
• **客户记录和授权委托书：**所有显示每位客户身份的记录，包括姓名、地址和咨询协议。客户授予的所有书面授权委托书及其他授权证明（包括交易授权和有限授权委托书）。
• **书面通信（发送和接收）：**顾问收到的所有书面通信原件，以及顾问发送的所有书面通信副本，内容涉及（i）已作出或拟作出的任何建议，以及已提供或拟提供的任何意见，（ii）资金或证券的任何收取、支付或交付，或（iii）任何证券买卖订单的下达或执行。这包括电子邮件、信函、即时消息，以及任何其他书面或电子业务通信。
• **广告和业绩记录：**所有作为广告的书面通信（包括网站内容、社交媒体帖子和营销材料），证明广告和宣传材料中所示业绩计算过程的记录，以及业绩主张的所有佐证文件。根据 SEC 营销规则（规则 206(4)-1，于 2022 年 11 月 4 日生效），顾问必须保留广告记录，以及证明其遵守营销规则要求所需的所有信息。
• **政治捐款记录（付费换取业务）：**规则 204-2(a)(18) 要求顾问按照规则 206(4)-5（付费换取业务规则）的要求，保存顾问或其任何受规管关联人员向政府实体官员作出的所有政治捐款记录。记录必须包括每位捐款人的姓名和职务、受赠人的姓名和职位、捐款金额和日期，以及捐款是否已退还。
• **投资建议及佐证文件：**向客户作出的每项投资建议记录，包括建议依据、支持该建议的研究或分析，以及提供的任何演示材料或提案。顾问还必须保留投资机会在客户之间分配的记录（包括任何交易分配政策，以及实际分配方式的文件记录）。

**保留期限：**根据规则 204-2 要求的大多数记录，必须自最后一笔记录录入或记录创建所在财年结束之日起保留五年。在这五年期限的前两年内，记录必须存放在便于查阅的地点（即顾问的主要办公室或其他易于查阅的地点）。

**托管相关记录：**托管客户资产的投资顾问必须根据规则 206(4)-2（托管规则）保存其他记录，包括顾问托管的所有客户资金和证券记录、显示此类账户所有证券和资金买入、卖出、收取及交付情况的日记账，以及交付给客户的所有账户报表副本。

FINRA 记录保存要求

FINRA 成员公司须遵守 FINRA 特定的记录保存义务，这些义务补充并强化了《规则》17a-3 和 17a-4 下的 SEC 要求。

FINRA 规则 4511（一般要求）： FINRA 规则 4511 要求每家成员公司按照 FINRA 规则、《1934 年证券交易法》及适用的 SEC 规则（即规则 17a-3 和 17a-4）的要求制作并保存账簿和记录。规则 4511 还要求所有账簿和记录均以符合规则 17a-4 的格式和介质保存。这意味着 FINRA 公司必须满足规则 17a-4(f) 中关于电子存储、索引和可访问性的要求，适用于所有记录——包括 SEC 规则未明确涉及的 FINRA 特定记录。

FINRA 规则 3110（监督）——记录保存方面的影响： FINRA 规则 3110 的监督要求带来了重要的记录保存义务：

• 书面监督程序（WSP）： 必须保存公司当前的 WSP，以及保留期限内的所有历史版本。
• 例外报告： 必须保存自动监控和例外报告系统的输出，以及对每个标记事项进行监督审查和处置的文档。
• 分支机构检查报告： 必须保存对 OSJ（监督管辖办公室）所在地进行年度检查，以及对非 OSJ 分支机构进行定期检查的报告，包括检查发现和整改措施。
• 投诉日志： 必须记录公司收到的所有客户投诉，并关联到底层投诉记录和公司的回复。
• 监督审查文档： 必须留存证据，证明监督负责人已审查往来通信（包括电子通信）、客户账户活动、交易流水和例外报告。此类文档必须注明审查人员身份、审查日期以及采取的任何措施。
• 年度合规会议记录： 必须保存 FINRA 规则 3110(a)(7) 要求的公司年度合规会议文档，包括参会人员和讨论主题。

FINRA 规则 4513（书面客户投诉记录）： 要求单独保存所有书面客户投诉的档案，并按投诉类型和相关人员编制索引。投诉记录必须包含投诉人姓名、收到日期、所涉相关人员、投诉性质和处理结果。这些记录至少保存四年。

电子通信归档

SEC 和 FINRA 规则要求经纪交易商和投资顾问捕获、留存并监督所有与业务相关的电子通信。监管框架不区分通信平台——无论使用何种技术，这项义务都一视同仁。

涵盖的通信范围： 该要求适用于所有书面的业务通信，包括电子邮件、即时消息（Bloomberg chat、Reuters Eikon messaging、自有 IM 系统）、短信（SMS，以及 iMessage 和 WhatsApp 等消息应用）、协作平台（Microsoft Teams、Slack、Zoom chat），以及任何其他用于交流公司业务的电子媒介。

主要监管指引：

• FINRA Regulatory Notice 07-59 — 涉及电子通信的监督，强调公司必须建立系统和程序，审查电子通信，以发现违规销售行为、客户投诉及其他合规问题的证据。该通知提醒公司，监督义务不取决于所使用的通信技术。
• FINRA Regulatory Notice 10-06 — 提供了电子通信监督指引，包括基于风险的审查方法（关键词监控、统计抽样、针对高风险人员或活动的定向审查）。该通知承认，无需审查 100% 的所有通信，但公司必须证明其审查方法经过合理设计，能够发现违规行为。
• FINRA Regulatory Notice 11-39 — 涉及社交媒体和数字通信，确立了区分静态与交互式社交媒体内容的框架，并就社交媒体的记录保存和监督提供指引。
• FINRA Regulatory Notice 17-18 — 涉及新兴技术和通信渠道，提醒公司，使用新平台、应用或消息服务不会改变捕获、留存和监督业务通信的义务。

电子通信的留存要求： 与经纪交易商业务相关的电子通信，依据 Rule 17a-4(b)(4) 视为“往来函件”，必须至少留存 3 年（前 2 年须存放在便于访问的位置）。对于投资顾问，书面通信依据 Rule 204-2(a)(7) 留存 5 年。

监督要求： 除了单纯留存，公司还必须监督电子通信的内容。FINRA Rule 3110 要求公司制定审查往来函件和内部通信的程序。审查方法可包括自动化关键词或词库监控、统计抽样、针对高风险注册代表或活动模式的定向审查，以及对标记通信的升级处理程序。必须记录监督审查，并由公司留存审查流程的证据。

BYOD（自带设备）政策与挑战： 允许员工和注册代表使用个人设备进行业务通信的公司面临更严峻的合规挑战。BYOD 政策必须涵盖：强制在个人设备上安装归档应用、禁止使用未经批准的通信渠道进行业务通信、通过技术控制捕获个人设备上的通信、在员工离职时收回设备或保全数据的程序，以及由员工签署确认书，认可公司有权监控并归档个人设备上的业务通信。

WORM 存储与电子记录保存

Rule 17a-4(f) 历来是账簿和记录框架中技术规定最为具体的条款。了解 WORM 标准及 2022 年修订内容，对于设计合规的电子记录保存系统至关重要。

WORM（一次写入，多次读取）标准： 根据原版 Rule 17a-4(f)，电子记录必须存储在不可重写、不可擦除的介质上，即 WORM 标准。该要求旨在防止公司篡改或销毁记录以掩盖违规行为。历史上，符合 WORM 标准的存储选项包括光盘（CD-R、DVD-R）、带有写保护机制的磁带，以及专用 WORM 存储设备。如今，基于云的 WORM 存储解决方案（例如 Amazon S3 Object Lock、Azure Immutable Blob Storage 和类似服务）已可使用且广泛应用，前提是它们满足不可重写和不可擦除的要求。

索引和检索系统： 无论采用何种存储格式，公司都必须为所有以电子方式存储的记录维护索引。索引必须按便于快速识别和检索任何单条记录的方式编排。索引本身必须存储在与记录分开的介质上，并且必须制作副本以用于灾难恢复。

审计跟踪： 根据 2022 年修订内容（Exchange Act Release No. 34-96034），选择审计跟踪替代方案（而非 WORM）的公司必须维护一个电子记录保存系统，为任何记录的每次修改、删除或变更生成带时间戳且防篡改的审计跟踪。审计跟踪必须保存原始记录及所有后续版本，并且必须能够重建任何记录从创建到当前状态的完整历史。

第三方访问代理： 经纪交易商必须向其指定的审查机构（DEA）和 SEC 提交指定第三方的名称、地址、电话号码和传真号码；在经纪交易商停止运营时，该第三方将提供对电子记录的访问权限。指定第三方必须向 SEC 提交年度承诺书，同意提供此类访问权限。这项要求旨在应对以下风险：如果公司倒闭且其技术基础设施被拆除，电子记录可能无法访问。对于使用 WORM 或审计跟踪存储的公司，2022 年修订内容仍保留第三方访问代理要求。

指定第三方的年度函件： 指定第三方必须每年向 SEC 提交书面声明，确认其同意提供所要求的访问权限。未能维持当前指定的第三方并提交年度承诺书，本身即构成账簿和记录违规。

SEC 2022 年修订（2023 年 1 月 3 日生效）： 对 Rule 17a-4 的修订旨在使该规则现代化，具体方式包括：(1) 提供审计跟踪替代 WORM；(2) 取消使用电子存储前通知 SEC 的要求（此前，公司必须在开始以电子方式存储记录前 90 天提交通知）；(3) 允许使用任何符合要求的电子记录保存系统，而不指定特定技术；以及 (4) 简化某些通知要求。通过这些修订，是因为 SEC 认识到，WORM 技术虽然有效，但会带来显著的运营成本，而现代审计跟踪技术能够实现同等的监管目标。

社交媒体归档

社交媒体带来了独特的记录保存挑战，相关监管指引已对此作出广泛说明。核心原则始终不变：社交媒体平台上的业务相关通信必须像其他书面业务通信一样予以捕获、留存和监督。

静态内容与互动内容（FINRA Regulatory Notice 11-39）：

• 静态内容 — 已发布且不会随受众互动而变化的帖子、个人资料或页面。根据 FINRA 规则，静态社交媒体内容被视为广告，发布前必须由注册负责人预先批准。例如，公司网站、LinkedIn 公司主页、预先拟定的社交媒体帖子，以及已发布的文章或博客文章。如果静态内容符合 FINRA Rule 2210 中零售通信的定义，则必须予以留存并向 FINRA 报备。
• 互动内容 — 与个人或群组进行的实时或近实时通信。互动内容被视为通信（在 30 天内与 25 名或以下零售投资者进行的通信）或机构通信（仅与机构投资者进行的通信），并须遵守适用的监督和记录保存要求。例如，私信、评论串、对客户咨询的回复，以及实时社交媒体互动。

阅后即焚内容： Instagram/Facebook Stories、Snapchat，以及 Telegram 和 WhatsApp 等平台上的消失消息等功能会带来更高的合规风险。如果注册代表使用阅后即焚消息功能进行业务通信，公司必须捕获并留存相关内容。大多数涉及非官方渠道通信的监管执法行动，都指出未能捕获阅后即焚或消失消息这一问题。

使用个人设备： 注册代表使用个人社交媒体账号或个人设备进行业务相关通信，如果公司没有捕获这些通信的技术手段，就会造成归档缺口。公司应制定政策，选择 (a) 禁止将个人社交媒体账号和未经批准的平台用于业务通信，或 (b) 部署技术解决方案，捕获来自已批准个人账号的通信。

第三方归档供应商： 监管要求催生了专门的归档供应商市场（例如 Smarsh、Global Relay、Proofpoint 等），这些供应商可为多个通信平台提供捕获、留存、监督和检索功能。选择供应商时，公司应评估其解决方案是否能捕获公司使用的所有平台上的内容，是否符合 Rule 17a-4(f) 下的 WORM 或审计跟踪要求，是否提供基于词库的监控功能以供监督审查，是否支持针对检查请求进行搜索和检索，以及供应商自身是否具备灾难恢复和业务连续性能力。

FINRA 关于社交媒体记录的指引： FINRA 强调，公司必须：(1) 清点公司及其关联人员出于业务目的使用的所有社交媒体平台；(2) 制定书面政策，明确已批准和禁止使用的平台；(3) 为所有已批准的平台部署归档技术；(4) 对关联人员进行社交媒体政策培训，并说明使用未经批准平台的后果；以及 (5) 定期要求关联人员作出合规确认，确认其遵守公司的社交媒体政策。

文档保留期限表

如需查看将各类文档与规定保留期限及依据规则（BD 的 3 年、4 年、6 年及终身保留期限，IA 的 5 年记录）对应起来的完整保留期限表，请在回答“X 必须保留多久”或制定保留政策时加载 references/retention-schedule.md。通用经验法则：任何保留期限的前两年，都必须将记录存放在易于访问的位置。

案例分析

示例 1：系统迁移后电子邮件归档出现缺口

场景： 一家中型经纪交易商从本地电子邮件系统迁移至云平台。迁移过程持续两周。六个月后，在准备例行 FINRA 检查时，合规部门发现，迁移期间发送和接收的电子邮件没有被公司的归档供应商捕获。该缺口涉及 120 名注册代表在两周内发送或接收的约 3,500 封电子邮件。公司无法确定这些缺失邮件的内容。

合规问题：

• 规则 17a-4(b)(4) 要求经纪交易商至少保存三年收到的所有业务通信原件，以及发出的所有业务通信副本。未能捕获并保留迁移期间的电子邮件，直接违反了该规则。
• FINRA 规则 4511 另行要求公司按照《交易法》和 SEC 规则的要求制作并保存账簿和记录。该缺口也构成对这一规则的违反。
• FINRA 规则 3110 要求公司监督通信。未被捕获的电子邮件无法得到监督，因此迁移期间存在监督失职。
• 公司无法向 FINRA 检查人员证明缺口期间没有发生违规通信，因此举证责任转由公司承担，要求公司证明该缺陷未对客户造成损害。

分析： 公司应采取以下补救措施：(1) 开展取证分析，确定缺口的确切范围——受影响的用户、具体日期，以及能否从备份系统、个人邮箱或云平台自身日志中恢复任何电子邮件。(2) 联系归档供应商和云平台提供商，确认是否有任何缺失邮件的副本存储在其他位置。(3) 记录缺口的根本原因——是迁移计划失误、供应商配置错误，还是切换前测试不足。(4) 如果缺口具有重大影响，向 FINRA 主动报告该缺陷。FINRA 会将主动报告视为执法程序中的减轻情节。(5) 为今后的迁移实施预防性控制，包括在过渡期间并行归档（同时运行新旧系统）、迁移前测试归档捕获功能，以及迁移后开展验证审计。(6) 审查公司的供应商管理流程——归档供应商本应参与迁移规划，并验证归档捕获的连续性。监管风险取决于缺口的范围，以及缺失通信中是否涉及客户投诉、订单指令或其他高风险内容。FINRA 曾因电子邮件归档失误采取执法行动，罚款金额从 10,000 美元到超过 100 万美元不等，具体取决于缺陷的范围和持续时间，以及公司的补救工作。

示例 2：没有投资建议记录保存系统的投资顾问

**情景：**一家在 SEC 注册的投资顾问公司已运营五年，管理着 200 个客户账户中的 4 亿美元资产。公司一直保存基本财务记录（日志和分类账）以及客户协议，但从未建立投资建议的系统化记录保存流程。投资建议在客户会议中口头提出，并非正式地记录在顾问的个人笔记、个人电子邮件账户和手写笔记本中。公司没有投资建议的集中存储库，也没有支持建议的研究或分析记录，更没有关于如何在客户之间分配投资机会的文件记录。公司收到 SEC 检查通知后，发现了这一缺陷。

合规问题：

• 规则 204-2(a)(3) 要求投资顾问保留每一笔证券买入或卖出订单的备忘录，其中包括订单条款以及建议进行该交易的人员。公司未能保存这些记录，构成直接违规。
• 规则 204-2(a)(7) 要求顾问保留与已作出或拟作出的建议以及已给出或拟给出的意见相关的所有书面通信。顾问个人电子邮件账户中包含与建议相关的通信，但这些账户不受公司控制，因此既未能履行记录保存义务，也未能履行监督义务。
• 规则 204-2(a)(8) 要求顾问记录顾问或任何顾问代表拥有直接或间接利益的每笔交易。如果顾问建议买入公司或其接触人员持有仓位的证券，则应根据道德准则和个人交易要求保存这些记录。
• 缺少交易分配记录会使顾问面临违反信托义务的风险——如果没有投资机会分配方式的文件记录，SEC 就无法核实公司是否公平对待客户，是否偏袒某些账户。
• 五年缺失的记录无法重新创建。这一缺陷涵盖了公司的整个运营历史。

分析： 公司将面临严重的检查结果。补救计划应包括：(1) 立即实施投资建议集中记录保存系统——这可以包括 CRM 或投资组合管理系统，用于记录建议内容、日期、支持理由、提出建议的顾问以及接受建议的客户账户。(2) 收集并集中存储现有的非正式记录——个人笔记、电子邮件、演示材料——并从现在起将其纳入公司的正式账簿和记录。应指示顾问将个人账户中任何与业务相关的电子邮件转发至公司的归档系统。(3) 制定书面的交易分配政策，并开始记录如何在客户之间分配投资机会。(4) 聘请外部合规律师，为 SEC 检查做好准备。公司应准备好解释这一缺陷、提交补救计划，并证明新系统符合规则 204-2。(5) 考虑是否应在检查开始前向 SEC 提交缺陷函或主动披露。(6) 对所有顾问人员进行记录保存义务培训，并实施确认程序。SEC 检查人员很可能至少会发出一封缺陷函。如果记录缺失掩盖了实质性违规行为（不公平分配、利益冲突建议），此事可能升级为执法转介。公司及时、全面的补救将是一个减轻因素。

示例 3：注册代表通过非官方渠道发送短信

**场景：**某经纪交易商的合规部门发现，过去两年里，几名注册代表一直通过个人手机短信（iMessage 和 WhatsApp）与客户沟通。公司的政策禁止将个人设备和未经批准的平台用于业务沟通，但该禁令并未得到执行。公司没有用于归档个人设备所发短信的解决方案。据估计，有 15 名注册代表与客户交换了数千条短信，内容涉及投资建议、交易指令、账户转账和投诉。公司是在一名客户仲裁申请人出示短信后才发现这一问题，而公司没有这些短信的记录。

合规问题：

• Rule 17a-4(b)(4) 要求公司留存所有与业务相关的通信。包含投资建议、交易指令或客户投诉的短信均属于需留存的业务记录。公司未能留存过去两年的这些通信。
• FINRA Rule 3110 要求公司监督通信。未被捕获的短信无法接受监督。这构成监督失职。
• FINRA Rule 4511 要求公司按照 SEC 规则和 FINRA 规则的要求制作并保存账簿和记录。公司未能履行有关短信的这一义务。
• SEC Rule 17a-3(a)(17) 要求记录客户投诉。如果任何短信包含投诉，公司就未能对其进行记录。
• 公司的书面监督程序禁止使用个人设备，但公司未能执行该禁令，导致政策失效，并加重了监督失职问题。 分析： 这一情形反映了一种曾引发 SEC 和 FINRA 重大执法行动的模式。自 2021 年起，SEC 和 FINRA 对经纪交易商和投资顾问的非官方渠道通信展开了一系列全面调查。截至 2021—2024 年专项调查（数据截至 2024 年底——请核实最新总额），SEC 对个别公司的罚款最高达 1.25 亿美元，行业罚款总额超过 20 亿美元；FINRA 也采取了平行执法行动，罚款金额从数十万美元到数千万美元不等。公司应采取以下措施：（1）立即为所有注册代表部署短信归档解决方案。解决方案包括配备内置归档功能的公司发放设备、安装在个人设备上的移动归档应用（须征得员工同意），或能够捕获获准应用中短信的企业移动管理平台。（2）从受影响注册代表的个人设备中收集并保存所有可用短信。这可能需要注册代表配合，也可能需要进行取证数据收集。（3）审查收集到的短信，找出任何客户投诉、交易指令或根据 Rules 17a-3 和 17a-4 应予保存的其他记录。（4）主动向 FINRA 和 SEC 报告这一缺陷。鉴于当前的执法环境，强烈建议主动报告——监管机构对未主动报告或通过检查而非自愿披露发现问题的公司，处以显著更高的罚款。（5）加强公司的政策，纳入以下内容：明确禁止使用未经批准的通信渠道；所有业务通信必须使用公司的归档解决方案；要求注册代表每年（或更频繁地）提交合规确认；在可行的情况下采取技术控制措施（例如，监控公司发放设备上未经批准的应用使用情况）；以及对违规行为采取纪律处分。（6）重新培训所有注册代表，使其了解公司的通信政策、相关要求的监管依据，以及使用非官方渠道通信可能承担的个人责任。监管风险重大。在当前的执法环境下，SEC 和 FINRA 将非官方渠道通信管理不当视为严重违规，可处以高额罚款，要求聘请独立合规顾问，并要求实施强化的监督系统。

常见陷阱

• 将文件保留视为一次性项目，而不是需要持续监控、测试，并随着平台和法规变化而更新的长期计划
• 未能区分不同记录类型各自的保留期限——对所有记录统一采用三年或六年的期限，而某些特定记录的保留期限更短、更长或要求永久保留
• 虽然按要求保留记录，却未能在最初两年将其存放在“易于访问的位置”，导致检查期间无法及时提供记录
• 假定基于云的存储会自动符合 WORM 要求——云存储必须配置不可变设置（例如，处于合规模式的 S3 Object Lock），才能满足 WORM 要求
• 未按 Rule 17a-4(f) 的要求指定或维护现行的第三方访问代理，或未确保第三方每年向 SEC 提交承诺书
• 仅依赖禁止使用未经批准通信渠道的书面政策，却未部署技术控制或执行机制——未得到执行的政策并非有效的监督体系
• 假定投资顾问的记录保存义务不如经纪交易商严格——Rule 204-2 要求全面保存建议、通信和佐证文件
• 即使协作平台（Teams、Slack）已获准用于业务，也未能捕获和归档平台上的通信
• 未维护电子存储记录的独立索引，或将索引与记录本身存储在同一介质上
• 在最低保留期限届满时销毁记录，却未考虑可能要求延长保留期限的持续诉讼保全、监管调查或客户仲裁事项
• 将 FINRA 投诉保留要求（Rule 4513 规定的 4 年）与 SEC 通信的一般保留期限（Rule 17a-4 规定的 3 年）混淆
• 法规修订后未更新文件保留计划——例如，2022 年对 Rule 17a-4 的修订变更了某些要求，可能影响公司的存储架构和供应商关系

交叉引用

• client-disclosures（合规插件）：披露文件的交付记录（Form ADV、Form CRS、招募说明书、隐私通知）本身也属于账簿和记录，受 Rules 17a-4 和 204-2 的保留要求约束
• sales-practices（合规插件）：FINRA Rule 3110 要求的监督记录——包括异常报告、分支机构检查报告和书面监督程序——是账簿和记录义务的重要组成部分
• anti-money-laundering（合规插件）：BSA/AML 记录保存（SARs、CTRs、CIP 文件）直接纳入账簿和记录框架，并受自身保留要求约束；这些要求与 Rules 17a-4 和 204-2 并行适用
• advertising-compliance（合规插件）：广告材料和业绩记录分别受经纪交易商适用的 Rule 17a-4 和投资顾问适用的 Rule 204-2(a)(11) 保留要求约束
• conflicts-of-interest（合规插件）：道德准则记录、个人交易报告和利益冲突披露文件均属于账簿和记录，必须按照 BD 和 IA 两套框架予以保留
• know-your-customer（合规插件）：开户期间收集的 CIP 和 CDD 记录作为客户账户记录依据 Rule 17a-4 保留；根据 BSA 法规，至少须在账户关闭后保留五年