examination-readiness

考试准备——SEC 与 FINRA 监管检查

监管状态截至 2026 年 6 月有效——在提供建议前，请对照当前 SEC／FINRA／FinCEN 来源，核实生效日期、金额门槛和待定规则制定事项。

核心概念

SEC 检查流程（检查司）

SEC 检查司（前身为合规检查与检查办公室，或 OCIE）负责检查注册实体，包括投资顾问、经纪交易商、过户代理、清算机构和自律组织。检查司采用基于风险的方法，选择受检公司并确定每次检查的范围和强度。

基于风险的选择。 检查司根据一系列风险指标选择受检公司，而不是按固定时间表检查每一家注册机构。选择标准包括：

• 新注册机构身份——新注册的投资顾问和经纪交易商通常会在注册后的第一年至第三年内接受检查。这些初次检查会评估公司是否已落实其注册文件中描述的合规基础设施。
• 风险指标和定量筛查——检查司运用数据分析，识别具有较高风险相关特征的公司：资产快速增长、投资组合集中、员工流动率高、客户投诉模式、重大监管记录、异常费用结构或重大利益冲突。
• 举报、投诉和转介——投资者投诉、举报人提供的线索（包括根据《1934 年证券交易法》第 21F 条设立的 SEC 举报人计划提交的线索），以及来自 SEC 其他部门或监管机构的转介，都可能引发因由检查。
• 专项检查——检查司定期在许多公司中同时开展针对单一问题或做法的全行业专项检查。近期专项检查主题包括非官方渠道通信、Reg BI 的实施、私募基金费用做法以及 ESG 相关披露。

检查类型：

1. 常规／定期检查——作为检查司持续监督计划的一部分而安排的检查。这类检查通常涵盖广泛的合规主题，并可能审查多年的活动。
2. 因由检查——由特定投诉、线索、转介或预警信号触发。这类检查的范围通常较窄，聚焦于引发检查的具体问题；但如果发现其他问题，检查范围也可能扩大。
3. 专项检查——针对单一主题的全行业检查。专项检查使检查司能够评估全行业对特定规则的合规情况，或评估许多公司面临的新兴风险。检查结果通常会为未来的规则制定或指导提供参考。

检查生命周期：

1. 通知函 — 检查始于发给公司的通知函（有时称为“公告函”）。该函会说明检查团队成员，提供初步文件要求清单（IDR），并规定文件提交期限（通常为两至四周）。对于因故检查，通知可能会简化；在极少数情况下，检查也可能在未提前通知的情况下开始。
2. 提交文件 — 公司通常通过安全的文件共享平台提交所要求的文件。初步 IDR 往往内容广泛（见下文“文件提交”部分）。检查人员审阅初次提交的材料时，可能会发出补充文件要求。
3. 现场或远程检查 — 检查人员在公司办公室现场开展审查，或远程开展审查（远程检查在 COVID-19 疫情期间及之后变得普遍，并仍是标准选项）。审查内容包括分析文件、记录和数据。
4. 员工访谈 — 检查人员会访谈关键人员，通常包括首席合规官（CCO）、投资组合经理、交易员、运营人员和高级管理层。访谈可能是非正式讨论，也可能是结构更严谨的问询。公司应通过审阅相关政策和近期合规活动，为受访者做好准备，但不应指导证人给出预先准备好的回答。
5. 后续要求 — 随着检查推进，检查人员通常会根据调查发现提出额外的文件要求或询问澄清问题。在这一阶段，及时响应并保持透明非常重要。
6. 结束会议 — 检查接近尾声时，检查人员通常会与公司举行结束会议，讨论初步观察结果和潜在的关注领域。结束会议并非正式程序，所讨论的观察结果在作出最终决定前可能会有所变化。
7. 结果 — 检查结束时可能出现以下几种结果之一：（a）不采取行动函或不再采取进一步行动（检查未发现重大问题）；（b）缺陷函，指出合规缺陷并要求公司提交书面回复，说明纠正措施；（c）转交 SEC 执法司，以考虑采取潜在执法行动（仅用于较严重的违规行为或一系列不合规行为）。

典型时长。 SEC 检查通常持续数周至数月，具体取决于公司的规模、检查范围、发现问题的复杂程度以及公司提交文件的响应速度。

检查期间公司的权利。 公司有权：获得检查人员及其主管的身份信息；了解检查的大致范围；申请合理延长文件提交期限（是否批准由检查人员酌情决定）；在访谈期间有律师在场（但 SEC 可能会分别访谈个人）；以及收到说明检查结果的结案函。公司也可以在缺陷函定稿前，对结束会议上讨论的初步调查结果提交回应。

FINRA 检查流程

FINRA（美国金融业监管局）通过风险监控和检查计划对其会员经纪交易商机构进行检查。作为自律组织（SRO），FINRA 有权直接检查、制裁和惩戒其会员——这与 SEC 有关键区别：SEC 必须将潜在的执法行动移交其执法部门。

FINRA 检查类型：

1. 周期性检查 — 按照依据机构风险状况确定的时间表定期开展检查。高风险机构接受检查的频率更高（每年检查一次，规模最大的机构甚至会持续接受检查），而低风险机构可能每两到四年接受一次检查。周期性检查通常涵盖广泛的合规领域。
2. 因由检查 — 由具体问题触发，例如客户投诉、举报、异常交易模式、财务困难或其他监管机构的转介。因由检查聚焦于引发检查的具体问题。
3. 专项检查 — 与 SEC 的专项检查类似，FINRA 会对多家机构开展有针对性的审查，以评估行业对特定规则的整体遵守情况，或评估新出现的风险。

基于风险的方式。 FINRA 会根据对多种因素的综合评估，为每家会员机构确定风险评级。这些因素包括机构的业务模式、产品组合、客户构成、投诉记录、财务状况、监管历史和监督架构。风险评级决定检查的频率和力度。

• 年度风险评估 — FINRA 会向机构提供年度风险评估摘要，指出 FINRA 认为与该机构业务相关的关键风险领域。此摘要可作为合规规划的重要工具。
• 检查重点函 — FINRA 每年发布检查和风险监控重点函，列出下一年度的重点主题和问题。此函是重要的合规规划资源（见下文“年度检查重点”部分）。

与 SEC 检查的主要区别：

• 直接制裁权 — FINRA 可通过其执法部门直接实施制裁，包括罚款、暂停资格、取消资格、开除和谴责。相比之下，SEC 必须通过自己的执法部门或行政程序提起执法行动。
• 财务监控 — FINRA 持续监控会员机构的财务状况，包括监测净资本合规情况（SEC Rule 15c3-1）、审查 FOCUS 报告（每月或每季度提交的财务和运营综合统一报告），并评估机构的财务健康状况。如果机构的财务状况恶化至低于最低门槛，FINRA 可能采取紧急行动。
• 交易监控 — FINRA 运行复杂的市场监控计划（包括 Cross-Market Surveillance 系统），以发现潜在的市场操纵、内幕交易和其他交易违规行为。

年度检查重点

SEC 检查部门和 FINRA 都会发布年度检查重点或关注领域，表明下一年度监管关注将集中在哪些方面。这些文件是最重要的合规规划工具之一。

SEC 检查部门年度重点。 该部门会在每个日历年年初发布检查重点——务必阅读当年的函件。2023-2026 年函件中的常见主题包括：

• Regulation Best Interest（Reg BI）合规 — 评估经纪交易商是否遵守 Reg BI 的披露、审慎、利益冲突和合规义务（17 CFR 240.15l-1）。SEC 已审查公司的书面政策和实际做法，并特别关注建议是否符合客户的最佳利益，以及利益冲突是否得到充分披露和缓解。
• 投资顾问的受托责任 — 审查顾问是否遵守其受托义务，包括 SEC 在 2019 年 6 月《受托责任解释》中阐释的谨慎义务和忠诚义务。
• 私募基金顾问 — 审查费用计算、支出分摊、业绩报告、对特定投资者的优待（附函），以及是否遵守《投资顾问法》下的新规则。
• ESG 和可持续发展声明 — 审查以 ESG 为重点进行营销的顾问和基金是否真正落实其所描述的 ESG 投资流程。SEC 已针对“漂绿”行为采取执法行动，即声称纳入 ESG 因素，但实际并未落实。
• 网络安全和信息安全 — 评估公司的网络安全计划，包括治理、访问控制、数据泄露防护、事件响应计划、供应商管理，以及是否遵守 Regulation S-P（消费者金融信息隐私）和 Regulation S-ID（身份盗窃警示标志）。
• 加密货币和数字资产 — 审查提供数字资产产品或服务的公司，包括托管安排、估值做法以及是否遵守证券法律。
• 非官方渠道通信 — 审查公司是否记录并留存通过个人设备、短信、消息应用（WhatsApp、Signal、iMessage）或公司批准的通信平台以外的其他渠道进行的业务相关通信。这一直是执法重点，SEC 和 FINRA 已对数十家公司合计处以数十亿美元的罚款。
• 反洗钱 — 审查 AML 计划，尤其是 SAR 申报做法、客户风险评级和受益所有人尽职调查。
• 营销规则合规 — 评估是否遵守 SEC 的营销规则（Rule 206(4)-1），包括业绩广告、假设业绩、客户评价和背书。

FINRA 年度检查重点。 FINRA 关于检查和风险监控活动的年度报告也会列出重点关注领域。FINRA 的常见重点包括：

• Reg BI 和 Form CRS — 是否遵守 Regulation Best Interest，以及交付和提交 Form CRS 的要求。
• 面向公众的通信 — 是否遵守 FINRA Rule 2210，包括社交媒体监督和数字通信。
• 市场诚信 — 对操纵性交易的监控、最佳执行合规情况以及订单处理义务。
• 金融犯罪 — AML 计划的有效性、欺诈检测和制裁合规。
• 公司运营 — 净资本合规、客户保护（Rule 15c3-3）、账簿和记录，以及业务连续性规划。

利用检查重点函开展主动合规规划。 公司应将已公布的检查重点视为自身内部合规审查的路线图。最佳做法包括：

• 在 SEC 和 FINRA 发布重点函后立即阅读，并评估公司在每个已明确领域的准备情况。
• 针对优先级最高的主题开展专项内部审查或模拟检查。
• 更新合规政策和流程，以应对新增或不断变化的重点领域。
• 将合规资源——员工时间、技术和预算——分配到重点领域。
• 向高级管理层和董事会通报检查重点以及公司的准备情况。

文档制作与请求

文档准备往往是监管检查中操作要求最高的阶段。初始文件请求清单（IDR）为检查定下基调，而公司回复的质量和时效性会对检查体验产生重大影响。

初始文件请求清单中的常见项目。 每份 IDR 都会根据具体检查量身定制，但常见内容包括：

• 合规计划文件 — 书面合规政策和程序（合规手册）、道德准则、年度合规审查报告、首席合规官（CCO）任命文件、合规委员会会议纪要。
• 组织和治理文件 — 组织架构图、所有权结构、关联实体关系、董事会或治理委员会会议纪要、管理委员会会议纪要。
• 注册和监管文件 — 当前及历史 Form ADV（Parts 1、2A、2B）、Form BD、Form CRS、州级注册文件、监管检查历史、与监管机构的往来函件。
• 广告和营销材料 — 所有广告、推介材料、情况说明书、网站内容、社交媒体档案、客户通讯、业绩展示材料以及广告审查日志。
• 客户文件 — 客户协议（投资顾问协议、经纪协议）、费用表、客户开户文件、适当性或 Reg BI 文件、账户开立文件。
• 费用和账单记录 — 费用计算方法、账单记录、费用表、任何费用调整或减免、协商费率账户。
• 交易和投资记录 — 交易流水、订单单据、分配记录、最佳执行审查、软美元安排、经纪委员会会议纪要、指定经纪商文件。
• 投诉和诉讼记录 — 客户投诉日志、投诉文件、诉讼和仲裁历史、监管行动历史、举报人投诉。
• 例外报告 — 交易错误日志、个人交易例外报告、礼品和招待记录、外部业务活动记录、政治捐款记录。
• 网络安全和技术 — 书面信息安全政策、事件响应计划、业务连续性计划、供应商尽职调查文件、渗透测试报告、网络安全风险评估、数据泄露历史。
• 反洗钱计划文件 — 反洗钱合规计划、OFAC 筛查程序、SAR 申报记录、CTR 申报记录、反洗钱独立测试报告。
• 账簿和记录 — 财务报表、试算平衡表、FOCUS 报告（适用于经纪交易商）、净资本计算、客户储备金计算。

范围管理。 有效的范围管理对于成功应对检查至关重要：

• 理解请求 — 在收集文件前，仔细阅读每项 IDR 内容，确保理解其要求。如果某项内容含义不明确，请及时向检查人员寻求澄清。
• 系统地收集文件 — 为每项 IDR 内容指定具体负责人，并设定明确的截止日期。使用跟踪电子表格或项目管理工具监控完成情况。
• 提交前进行质量审查 — 提交文件前，应由资深合规人员（最好是 CCO 或外部法律顾问）审查提交材料的完整性、准确性和一致性。留意是否无意中提交了受特权保护的文件。
• 特权保护方面的注意事项 — 应识别并避免提交受律师—客户特权保护的文件以及律师工作成果。若因特权理由不提交文件，应准备特权清单。无意中提交受特权保护的文件可能导致特权被放弃。
• 文件保全义务 — 收到检查通知后，公司应实施文件保全措施，确保在检查期间不销毁、篡改或删除任何相关文件。这包括暂停检查范围内电子邮件和电子记录的自动删除政策。

电子文件提交。 检查人员越来越倾向于要求以电子方式提交：

• 文件应以原生格式或可搜索的 PDF 提交，并按 IDR 编号整理。
• 除非检查人员另有要求，否则应保留元数据。
• 提交电子邮件时，应包含邮件头、附件和邮件串信息。
• 大量文件通常通过 SEC 或 FINRA 的安全文件共享平台提交。
• 维护所有已提交文件的索引，并与各项 IDR 内容交叉关联。

常见缺陷认定

了解最常被指出的缺陷领域，有助于公司将合规工作重点放在检查风险最高的地方。在 SEC 和 FINRA 检查中，以下类别一再产生大量缺陷认定。

(a) 合规计划存在缺口。 整体合规计划中的缺陷是最常见的认定之一：

• 政策和程序已过时，且未修订以反映现行法规、业务实践或组织变动。
• 政策与实际做法不符——即存在书面程序却未在实践中遵循的“纸面合规”。
• 未按 SEC Rule 206(4)-7 的要求开展年度合规审查，或审查流于表面，未能实质评估合规计划是否充分。
• 合规资源不足——CCO 缺乏充足的时间、权限、预算或人员，无法有效落实合规计划。

(b) 账簿和记录违规。 账簿和记录方面的缺陷十分普遍：

• 记录不完整，包括缺失交易确认书、账户对账单或客户往来通信。
• 通信归档失败——未能捕获并留存与业务相关的通信，尤其是通过个人设备、短信或未经批准的消息平台进行的通信。这一直是处罚最严厉的领域之一：在 2021-2024 年非官方渠道通信专项检查中，SEC 和 FINRA 对 60 多家公司处以总额超过 20 亿美元的罚款（数据截至 2024 年底——请核实当前总额和执法情况）。
• 未按 SEC Rules 17a-3、17a-4（适用于经纪交易商）和 Rule 204-2（适用于投资顾问）规定的格式和留存期限保存所需账簿和记录。

(c) 广告违规。 广告方面的缺陷是检查重点之一：

• 具有误导性的业绩展示，包括只展示未扣除费用的业绩而不同时展示扣除费用后的业绩、挑选有利的时间段，或展示未经披露要求说明的回测业绩。
• 未按照 SEC《营销规则》（规则 206(4)-1）的要求披露客户评价。
• 关联人员发布的社交媒体内容未经公司审查、批准或存档。
• 未维护广告审查日志，或未记录营销材料的合规审查流程。

(d) 托管规则问题。 投资顾问经常出现托管方面的缺陷：

• 意外托管——顾问持有客户资产却未意识到的情况（例如，有权从客户账户扣除费用、担任客户信托的受托人，或控制客户的账单支付服务）。
• 在顾问持有托管资产时，未遵守突击检查要求。
• 未确保合格托管人至少每季度直接向客户发送账户结单。

(e) 费用计算错误。 与费用相关的缺陷是反复出现的问题：

• 因资产估值错误、未应用费用分档，或对本应排除在外的资产（例如遗留头寸或现金）收取费用而向客户多收费用。
• 费用计算未遵循咨询协议或 Form ADV Part 2A 中所述的方法。
• 发现多收费用后未及时退款。

(f) 道德守则违规。 道德守则方面的缺陷包括：

• 接触人员未报告个人交易，违反 SEC 规则 204A-1。
• 对应报告证券的个人交易未事先取得批准。
• 对礼品和招待的监控不足，尤其是来自经纪交易商、托管人或其他服务提供商的礼品和招待。
• 未收集并审查接触人员的初始和年度持仓报告以及季度交易报告。

(g) 网络安全弱点。 网络安全方面的缺陷日益突出：

• 缺少书面信息安全政策，或政策未针对公司的具体技术环境和风险制定。
• 访问控制不足，包括未实施多因素身份验证、用户权限过多，以及未及时撤销离职员工账户的访问权限。
• 未定期进行漏洞评估或渗透测试。
• 事件响应规划和测试不足。
• 对可访问公司系统或客户数据的第三方服务提供商开展的尽职调查不足。

缺陷函的结构。 SEC 检查部发出的缺陷函通常会按类别指出各项缺陷，说明具体事实发现，引用适用的规则或法定条款，并要求公司在 30 天内（或其他指定期限内）提交书面回复，说明已采取或计划采取的整改措施。FINRA 的缺陷函格式类似。函件还可能指出工作人员发现的一些做法：这些做法虽未达到缺陷的程度，但仍可改进。

缺陷回复与整改

公司如何回应缺陷函，是决定事项在检查阶段得到解决还是升级至执法程序的关键因素。

回应缺陷函：

• 时间安排 — 缺陷函通常要求在 30 天内提交书面回复。如果需要更多时间，应及时申请延期并说明原因。大多数检查工作人员会批准合理的延期，尤其是在整改较为复杂时。
• 回复内容 — 回复应逐项回应每项缺陷发现，并包括：（1）确认收到该项发现（或者，如果公司持不同意见，应清晰、尊重地解释理由）；（2）说明已采取的纠正措施；（3）列出尚未完成的整改措施的完成时间表；（4）指出每项纠正措施的负责人；（5）说明为防止问题再次发生而实施的强化控制或监控措施。
• 语气 — 回复应专业、详尽且具有建设性。防御性或轻率的回复会增加事项升级的风险。如果公司认可某项发现，应直接予以确认。如果公司持不同意见，应清楚说明事实和法律依据，避免对抗。
• 法律审查 — 提交前，应由合规法律顾问（内部或外部）审查回复。该回复将成为公司的监管记录的一部分，未来检查或执法程序中可能会引用。

整改最佳实践：

• 根本原因分析 — 对每项缺陷，找出根本原因，而不仅仅是表面症状。缺陷是否由政策缺口、培训失误、技术限制、人员不足或监督失效造成？有效整改要求解决根本原因。
• 更新政策 — 修订政策和程序，以解决已发现的缺陷。确保修订后的政策具体且可执行，而不只是表达愿景。
• 强化培训 — 为涉及缺陷领域的人员提供有针对性的培训。记录培训内容、参加人员和日期。
• 监控问题是否复发 — 实施测试或监控程序，以验证纠正措施是否有效，以及缺陷是否再次发生。例如，如果缺陷涉及费用计算错误，应定期开展费用计费审计。
• 测试有效性 — 经过合理期限（通常为 60 至 90 天）后，测试整改是否按预期发挥作用。记录测试结果。
• 文档记录 — 为每项缺陷维护完整的整改档案，包括原始发现、根本原因分析、已采取的纠正措施、政策修订、培训记录、监控结果和有效性测试。下一次检查时应能随时调取该档案。

结果类型的区别：

• 缺陷函（要求回复） — 发现问题时最常见的结果。公司必须提交书面回复，说明纠正措施。
• 检查发现，但不采取进一步行动 — 检查工作人员可能会以非正式方式（在检查结束会议上或通过结案函）传达意见，而不发出正式缺陷函。仍应认真对待这些意见，并主动采取措施。
• 移交执法部门 — 如果涉及严重违规、屡次不合规、损害投资者利益、欺诈或未能整改先前缺陷，检查工作人员可能会将事项移交给 SEC 执法部门或 FINRA 执法部门，以考虑采取正式行动。移交可能导致民事罚款、追缴非法所得、停止并禁止令、谴责、暂停资格或取消资格。

模拟检查框架

内部模拟检查是保持检查就绪状态、并在监管机构发现问题之前识别合规缺口的最有效工具之一。

设计模拟检查计划：

• 频率 — 至少每年进行一次模拟检查。风险较高的领域，或此前发现过缺陷的领域，应更频繁地进行审查（每半年或每季度一次）。
• 范围选择 — 将 SEC 和 FINRA 的年度检查重点作为选择模拟检查主题的起点。同时考虑公司发生过合规事件、客户投诉或运营变更的领域。
• 模拟文件要求 — 参照 SEC 或 FINRA 实际的文件要求清单，准备一份模拟 IDR。向相关业务部门和合规人员发出模拟 IDR，并设定合理的截止期限。
• 测试文件检索和提交能力 — 评估公司能否在规定时限内找到、汇编和整理所要求的文件。识别文件检索中的瓶颈，即记录杂乱、不完整或难以访问的领域。
• 访谈关键人员 — 对实际检查中可能接受访谈的人员（CCO、投资组合经理、交易员、运营人员）进行模拟访谈。评估他们能否清晰阐述公司的合规实践、准确描述自己的职责，并在回答深入追问时避免表现出戒备或闪烁其词。
• 识别缺口 — 记录模拟检查中发现的所有缺口、弱点和改进领域。按严重程度（严重、重大、轻微）和职能领域对发现的问题进行分类。
• 报告结果 — 编写书面报告，总结模拟检查的发现和建议。视情况向高级管理层、合规委员会或董事会提交报告。报告应包含具体的整改建议，并指定负责人和截止期限。
• 跟进整改 — 按照处理实际监管发现时采用的同等严谨方式，跟进模拟检查发现问题的整改情况。

使用合规顾问。 公司可以聘请外部合规顾问开展独立的模拟检查。外部模拟检查具有多项优势：顾问能带来全新的视角，以及在其他公司接受检查时积累的经验；由于业务人员会与不熟悉的检查人员互动，演练会更加真实；检查结果也更能引起高级管理层的重视。选择顾问时，应优先考虑近期有 SEC 或 FINRA 检查经验的人士。

年度合规审查（Rule 206(4)-7）

《1940 年投资顾问法》下的 SEC Rule 206(4)-7 要求每家注册投资顾问：(1) 制定并实施书面政策和程序，以合理预防违反《投资顾问法》及其规则的行为；(2) 指定一名负责管理合规计划的首席合规官；以及 (3) 至少每年审查政策和程序是否充分，以及其实施是否有效。

开展年度审查。 年度合规审查是一项监管要求，而非可自行决定是否开展的工作。审查应以书面形式记录，并提交高级管理层。审查应评估以下方面：

• 监管变化 — 确认可能需要更新公司政策和程序的新规则、规则修订、SEC 指引、不采取行动函及执法行动。每项监管变化都应对应到其影响的具体政策或程序。
• 合规事件及结果 — 审查审查期间发生的所有合规事件，包括交易错误、违反政策、客户投诉、监管问询及这些事件的处理结果。评估这些事件是否暴露出规律性问题或系统性弱点。
• 测试结果 — 总结审查期间开展的合规测试结果，包括交易监控测试、广告审查、费用计费审计、道德规范监控以及任何模拟检查的发现。
• 培训完成情况 — 确认审查期间已完成所有必需的合规培训。找出未完成必需培训的人员，并说明为弥补这一缺口采取的措施。
• 供应商监督 — 审查公司对第三方服务提供商的监督情况，包括托管人、次级顾问、技术供应商及其他重要服务提供商。评估是否开展了供应商尽职调查，以及是否监控了供应商的绩效和合规情况。
• 技术变化 — 评估公司技术环境的变化（新系统、平台迁移、网络安全事件）是否需要更新合规政策或程序。
• 组织变化 — 评估任何组织变化（新业务线、人员变动、办公室开设或关闭、合并或收购）对合规计划的影响。
• 建议 — 年度审查应以具体、可执行的改进合规计划建议收尾，并列出实施时间表和负责人。

文档记录。 年度合规审查必须留有文档记录。尽管 SEC 未规定具体格式，但记录应足以证明已开展全面审查。SEC 检查人员通常会将年度合规审查报告列为最先要求提供的 IDR 材料之一。

检查准备清单

如需查看涵盖各职能领域、必须始终整理妥当、保持最新且随时可访问的文件的完整清单（注册、合规计划、交易、广告、托管、AML、网络安全、账簿和记录），请在整理或审计检查就绪文件时加载 references/exam-readiness-checklist.md。

实例分析

如需查看三个场景的实例分析（新注册 RIA 首次接受 SEC 检查、针对一封包含六项发现的缺陷函作出回应，以及 CCO 为模拟检查计划撰写的商业论证），请在用户需要场景级分析时加载 references/examples.md。

常见误区

• 将检查准备视为被动应对的工作——收到通知函后才匆忙整理文件，而不是将随时做好检查准备作为一项持续工作。
• 未阅读并落实 SEC 和 FINRA 的年度检查重点函，而这些函件实际上会提前告知监管机构计划重点关注的事项。
• 未经质量审查便向监管机构提供文件，导致材料不完整、杂乱无序或意外包含受特权保护的内容，从而延长检查时间并留下负面印象。
• 指导受访者给出照本宣科或闪烁其词的回答，而不是帮助他们做好准备，诚实且有见地地作答——检查人员经验丰富，能识破排练过的回答，而闪烁其词会引起警觉。
• 对缺陷函作出含糊的承诺（“我们将改进相关流程”），而不是提出具体明确的纠正措施，并指定负责人和完成日期。
• 未对缺陷发现进行根本原因分析，导致修复流于表面，无法解决根本问题，并在后续检查中再次出现相关发现。
• 将 Rule 206(4)-7 规定的年度合规审查视为走过场，而不是真正评估合规计划——检查人员很容易分辨实质性审查与敷衍了事的审查。
• 任由 CCO 被边缘化或资源不足。检查人员会通过访谈和组织分析发现这一点，并将其视为合规文化不足的证据。
• 收到检查通知后未实施文件保全措施，导致可能相关的记录被销毁。
• 未跟踪并落实对以往缺陷发现的整改——监管机构会特别审查以往发现的问题是否得到解决，未解决的问题会大幅增加执法风险。
• 开展模拟检查，却未记录发现的问题和整改情况，因而大幅削弱了该计划作为主动合规证据的价值。
• 忽视退出会议或结案函中提及的“非正式”意见，仅仅因为这些意见未列入正式缺陷函——如果不予处理，这些意见往往会在下一次检查中成为正式发现。

交叉引用

• books-and-records（合规插件）— 记录准备情况是检查准备工作的基础；在收到文件请求时，能够提供完整、准确且井然有序的记录，是影响检查结果的最重要因素。
• advertising-compliance（合规插件）— 广告和营销材料是 SEC 和 FINRA 检查的重点领域；检查通常会审查营销规则合规情况和 FINRA Rule 2210 监管情况。
• privacy-data-security（合规插件）— 网络安全是 SEC 反复关注的检查重点；公司信息安全计划、事件响应计划和供应商监督情况都会定期接受检查。
• anti-money-laundering（合规插件）— AML 计划审查是 FINRA 检查的标准组成部分，也日益成为 SEC 检查的常见重点；检查经常会要求提供 AML 独立测试报告和 SAR 申报实践相关材料。
• conflicts-of-interest（合规插件）— SEC 和 FINRA 检查都会仔细审查利益冲突的识别、披露和管理，尤其关注费用安排、薪酬结构和关联交易。
• client-disclosures（合规插件）— 检查通常会审查披露文件的完整性和准确性（Form ADV、Form CRS、手册补充文件）；披露内容与实际做法不一致是常见的缺陷认定。
• reg-bi（合规插件）— 遵守 Regulation Best Interest 是 SEC 和 FINRA 当前的首要检查重点；检查既评估书面政策，也评估实际建议做法。
• sales-practices（合规插件）— 销售实践监督、适当性判断和监督控制系统是 FINRA 根据 Rules 3110 和 3120 开展检查的核心领域。
• fiduciary-standards（合规插件）— 投资顾问检查期间会评估受托责任合规情况，包括注意义务和忠诚义务；SEC 的《Fiduciary Interpretation》为检查人员采用的评估框架。