CIMA AML Rule: penjelasan kewajiban pelaporan audit di Cayman

Terakhir ditinjau: 6 Oktober 2026 · Bukan nasihat hukum

CIMA mengawasi 33,125 pemegang izin dan pihak terdaftar pada akhir 2024, dan 30,150 di antaranya, sekitar 91%, adalah reksa dana dan dana privat.^[8] Dalam tanggapannya sendiri di consultation feedback statement, CIMA mencatat bahwa "meskipun investment fund sebagian besar mengandalkan administrator reksa dana untuk kepatuhan terhadap AMLRs, mereka juga memiliki kewajiban sendiri berdasarkan AMLRs dan tetap bertanggung jawab penuh atas kepatuhan terhadapnya".^[4] AMLRs adalah Anti-Money Laundering Regulations.

Yang terjadi: CIMA AML Rule mulai berlaku

CIMA menerbitkan dua rule sekaligus: Rule on Effective Compliance Programme for the Prevention and Detection of Money Laundering, Terrorist Financing and Proliferation Financing for Financial Services Providers, dan rule pendampingnya, Rule on Compliance with Financial Sanctions and Targeted Financial Sanctions.^[2] Keduanya bertanggal Juli 2026. Masing-masing mulai berlaku pada 18 September 2026, enam puluh hari setelah pemuatan dalam Gazette: Rule 14.1 dari AML Rule^[1] dan Rule 9.1 dari Sanctions Rule.^[7] Menurut firma hukum Walkers, tanggal pemuatan dalam gazette adalah 20 Juli 2026.^[11]

Rule 13.2 memberinya kekuatan hukum dan menempatkannya di atas catatan pedoman, pernyataan kebijakan, dan materi interpretatif CIMA sebelumnya atau yang sudah ada apabila terjadi pertentangan.^[1] Apabila Rule ini bertentangan dengan AMLRs, Rule 4.4 menyatakan bahwa regulasi tersebut yang berlaku.^[1]

Latar belakangnya terlihat dalam data inspeksi CIMA. Pada 2024, CIMA melakukan 83 inspeksi lapangan APU, 72 di antaranya telah selesai saat laporan ditulis, dan saat itu telah menerbitkan 367 persyaratan untuk 53 inspeksi yang diselesaikan dengan temuan kekurangan; 324 di antaranya merupakan Matters Requiring Immediate Attention.^[8] Salah satu temuan yang tercatat adalah bahwa suatu entitas yang diatur "tidak mempertahankan fungsi audit independen".^[8]

Rule di baliknya: apa yang diwajibkan teks

CIMA menerbitkan Rule ini berdasarkan Pasal 34(1) Monetary Authority Act, yang memungkinkannya menerbitkan rule setelah berkonsultasi dengan sektor swasta dan menteri.^[1][2] Rule ini juga merujuk Pasal 6(1)(b) undang-undang tersebut, sedangkan FAQ CIMA merujuk Pasal 6(3)(b).^[1][2] Rule ini melengkapi Regulation 3, 4, 5, 6, dan 8 dari AMLRs.^[1] CIMA menyatakan "banyak ketentuan dalam Rule ini tidak memperkenalkan kewajiban baru, melainkan mempertegas ekspektasi Authority".^[2]

Regulation 3(1) sudah mewajibkan adanya Anti-Money Laundering Compliance Officer (AMLCO) di tingkat manajerial, dan Regulation 5(a)(ix) sudah mewajibkan "fungsi audit independen berbasis risiko yang memadai dan efektif".^[6] Rule ini mengubah ketentuan-ketentuan tersebut menjadi persyaratan minimum yang terperinci di enam bagian.

Enam bagian persyaratan dalam Rule.^[1]

Rule 12.2(d)CIMA Rule on Effective Compliance Programme

"laporan audit diserahkan kepada Otoritas sesegera mungkin secara praktis setelah audit selesai, atau sebagaimana ditentukan lain oleh Otoritas."

Sumber: CIMA, Rule on Effective Compliance Programme, Juli 2026^[1]

Bagian 12 adalah bagian di mana Rule melampaui regulasi.^[1][6]

Batas audit internal lebih luas daripada kelihatannya. Catatan kaki pada Rule 12.3 mendefinisikan "secara internal" sebagai setiap individu atau unit yang dipekerjakan oleh perusahaan, dikontrak oleh perusahaan, atau dengan cara lain menjadi bagian dari strukturnya, dan berada di bawah arahan, kendali, atau pengawasannya.^[1] Pedoman CIMA menambahkan bahwa AMLCO, MLRO, dan wakil tidak dapat secara independen mengaudit kegiatan yang menjadi tanggung jawab mereka, baik peran tersebut berada di internal maupun dialihdayakan.^[2]

Rancangan konsultasi mewajibkan laporan diserahkan "paling lambat 15 September setiap tahun" dan membatasi audit internal hingga "dua tahun berturut-turut".^[5] Rule final mewajibkan penyerahan setelah audit selesai berdasarkan Rule 12.2(d), dan Rule 12.3 membatasi audit internal berdasarkan siklus audit berturut-turut.^[1]

Siapa yang terdampak

Rule 5.1 berlaku bagi semua penyedia jasa keuangan (FSP) yang diatur dan diawasi oleh CIMA, termasuk cabang, anak perusahaan, afiliasi, dan anggota lain dari grup keuangan yang diatur oleh CIMA.^[1] FSP adalah setiap orang yang menjalankan kegiatan usaha keuangan yang relevan (relevant financial business), istilah yang didefinisikan dalam Proceeds of Crime Act.^[1]

Empat dari sektor yang diawasi. Jumlah berdasarkan AML/CFT Activity Report 2024 dari CIMA.^[8][2]

Dana menjadi pokok perdebatan. Selama konsultasi, sebuah masukan yang dicatat dalam feedback statement CIMA berpendapat bahwa "dana investasi itu sendiri umumnya tidak menjalankan RFB", yaitu relevant financial business atau kegiatan usaha keuangan yang relevan. CIMA tidak sependapat, sebagaimana dikutip di atas, dan menambahkan Rule 5.3 tentang ketergantungan pada pihak ketiga.^[4] Pedomannya kini menyatakan bahwa dana yang diatur tetap harus menjalani audit APU "meskipun seluruh, atau hampir seluruh, operasinya dialihdayakan".^[2]

Linimasa

1. 20 Juli 2026Dimuat dalam GazetteKedua rule diterbitkan, menurut Walkers.^[11]
2. 18 September 2026Mulai berlakuRule 14.1, enam puluh hari setelah pemuatan dalam Gazette.^[1]
3. 24 September 2026FAQ diperbaruiCIMA merevisi pedomannya tentang audit.^[3]
4. 1 November 2026AML ReturnDiterbitkan kepada perusahaan trust terbatas dan perusahaan trust privat.^[13]
5. 31 Desember 2026Tenggat penyampaian ReturnTenggat untuk AML Return pertama tersebut.^[13]

AML Return adalah permintaan data tersendiri. Tidak ada tenggat audit di sini: pedoman CIMA menyatakan bahwa Rule tidak menetapkan "tanggal pengajuan pertama yang berlaku umum", dan bahwa Rule "tidak mewajibkan Audit AML tahunan".^[2]

Apa yang perlu dilakukan tim kepatuhan sekarang

Rule 12.2(a) menetapkan frekuensi berdasarkan penilaian risiko perusahaan sendiri, atau sesuai ketentuan CIMA.^[1] CIMA memberikan contoh, bukan aturan: setiap dua tahun mungkin wajar untuk perusahaan berisiko lebih tinggi, setiap tiga tahun untuk risiko menengah, dan setiap empat tahun untuk risiko rendah.^[2]

• Pastikan AMLCO, MLRO, dan wakil adalah orang perseorangan di tingkat manajemen.^[1]
• Perbarui penilaian risiko dengan risiko inheren dan risiko residual serta National Risk Assessment terbaru.^[1]
• Catat frekuensi audit beserta alasannya.^[2]
• Hitung berapa siklus audit berturut-turut yang dilakukan secara internal, termasuk oleh kontraktor di bawah arahan, kendali, atau pengawasan Anda.^[1]
• Dokumentasikan independensi pihak yang melakukan audit, beserta dasarnya.^[1]
• Buat daftar fungsi kepatuhan yang dialihdayakan, tentukan mana yang material, dan beri tahu CIMA secara tertulis.^[1]
• Minta hasil pengujian yang spesifik untuk entitas Anda dari setiap penyedia jasa.^[2]
• Pastikan catatan disimpan paling sedikit lima tahun setelah hubungan usaha berakhir atau transaksi sekali jalan selesai, dan dapat disampaikan kepada CIMA tanpa penundaan.^[1]

Hal yang masih terbuka, dan perkembangan terbaru

Pada 24 September 2026, CIMA memperbarui FAQ-nya "sebagai tanggapan atas berbagai pertanyaan dan skenario yang diajukan oleh industri". Pemberitahuan tersebut mencantumkan perubahan utama: perusahaan tidak perlu melakukan audit baru semata-mata karena Rules telah berlaku, dan kekurangan yang ditemukan dalam audit tidak otomatis menggugurkan keabsahan audit tersebut.^[3]

Denda. Rule tidak menyebutkan jumlah. Rule 13.1 merujuk pada Enforcement Manual CIMA, dan CIMA menyatakan bahwa "kerangka Administrative Fines yang berlaku atas pelanggaran Rule belum berlaku".^[1][2] Hingga 6 Oktober 2026, tidak ada tanggal mulai yang muncul di halaman pemberitahuan CIMA. Secara terpisah, Regulation 56(1) dari AMLRs menjadikan pelanggaran terhadap regulasi tersebut sebagai tindak pidana, dengan denda lima ratus ribu dolar atas putusan bersalah melalui acara pemeriksaan singkat (summary conviction), atau denda dan pidana penjara dua tahun atas putusan bersalah berdasarkan dakwaan (conviction on indictment).^[6]

Cara menyampaikan laporan. CIMA tidak menetapkan format atau metodologi laporan.^[2] Menurut Walkers, belum ada proses baku untuk menyampaikan laporan audit, proses penyampaian yang rumit tidak diperkirakan, dan CIMA belum menyebutkan adanya biaya.^[12] Saya tidak menemukan pemberitahuan CIMA yang menyebutkan saluran penyampaian laporan.

Arti "material". Rule ini mengambil definisinya dari Statement of Guidance on Outsourcing milik CIMA, dan penilaiannya ada pada perusahaan.^[1] Tinjauan tematik CIMA tentang alih daya pada Januari 2026 menyatakan bahwa "alih daya tidak mengurangi tanggung jawab regulasi". Tinjauan itu juga menyatakan bahwa organ pengurus dan manajemen senior tetap bertanggung jawab penuh atas semua fungsi material yang dialihdayakan.^[9]

Cara Didit membantu pemeriksaan yang tercantum dalam Rule

Sebagian besar Rule ini menyangkut tata kelola, dan tidak ada vendor yang menyediakan tata kelola. Didit menjalankan sebagian pemeriksaan yang wajib ada dalam program, dimulai dengan penyaringan AML.

Rule 10.3(g) mewajibkan penyaringan terhadap daftar sanksi resmi. Rule 10.5.23 tetap mewajibkan penyaringan tersebut dalam uji tuntas sederhana.^[1] Didit menyaring orang dan perusahaan terhadap 1,300+ daftar sanksi, daftar orang yang populer secara politis (PEP) dan daftar pantauan, yang diperbarui setiap hari, dengan biaya $0.20 per pemeriksaan. Daftar PEP dan daftar pantauan terpisah dari daftar sanksi resmi. Daftar mana yang wajib dicakup program Anda adalah keputusan Anda. Pemantauan berkelanjutan melakukan penyaringan ulang setiap hari, mengirim peringatan melalui webhook, dan menyimpan bukti setiap proses penyaringan, dengan biaya $0.07 per orang per tahun.

Rule 10.5.1 mewajibkan verifikasi atas nasabah, pemilik manfaat, dan orang yang bertindak atas nama mereka.^[1] Satu pemeriksaan Know Your Customer (KYC) lengkap berbiaya $0.33. Verifikasi bisnis menghasilkan data registri perusahaan dan menautkan pemeriksaan identitas ke setiap pemilik atau pejabat perusahaan. Ketersediaan tingkatan layanan berbeda di setiap negara, dan harganya tercantum di halaman harga. Masa penyimpanan data dapat diatur dari 1 bulan hingga 10 tahun.

Jika penyaringan dialihdayakan, auditor meninjau prosedur penyedia dan "hasil pengujian yang relevan dengan FSP yang bersangkutan".^[2] Bukti tentang kontrol Didit bukan bukti tentang program Anda. Karena itu, rencanakan untuk mengambil catatan pemeriksaan Anda sendiri untuk keperluan audit.

Pertanyaan yang sering diajukan

Sumber

1. Rule on Effective Compliance Programme for the Prevention and Detection of Money Laundering, Terrorist Financing and Proliferation Financing for Financial Services Providers, Cayman Islands Monetary Authority, Juli 2026.
2. Frequently Asked Questions on the AML and Sanctions Rules, Cayman Islands Monetary Authority, sebagaimana diperbarui pada 24 September 2026.
3. Updated AML and Sanctions Rules FAQs Now Available, Cayman Islands Monetary Authority, pemberitahuan umum kepada industri, 24 September 2026.
4. Summary of Private Sector Consultation and Feedback Statement, Rule on Effective Compliance Programme, Cayman Islands Monetary Authority.
5. Appendix I, rancangan konsultasi Rule, Cayman Islands Monetary Authority.
6. Anti-Money Laundering Regulations (2025 Revision), Cayman Islands, sebagaimana direvisi per 31 Desember 2024.
7. Rule on Compliance with Financial Sanctions and Targeted Financial Sanctions, Cayman Islands Monetary Authority, Juli 2026.
8. AML/CFT Activity Report 2024, Cayman Islands Monetary Authority.
9. Thematic Review on Outsourcing, Cayman Islands Monetary Authority, Januari 2026.
10. Investment Funds Regulatory Measures, Cayman Islands Monetary Authority, daftar kedua rule beserta tanggal berlakunya.
11. Cayman Islands new AML Rule and new Sanctions Rule, Walkers, Juli 2026.
12. Cayman Islands new AML Rule and new Sanctions Rule: practical guide for investment funds, Walkers, Agustus 2026.
13. AML Return Requirement for Restricted Trust Companies and Private Trust Companies, Cayman Islands Monetary Authority, pemberitahuan umum industri, 7 September 2026.

Halaman tindakan regulasi CIMA mencantumkan Rule tersebut sebagai telah berlaku.^[10] Pekerjaan sekarang adalah bukti: penilaian risiko yang terdokumentasi, audit khusus untuk entitas, dan catatan yang dapat Anda serahkan tanpa penundaan. Untuk bagian penyaringan dari bukti tersebut, lihat penyaringan AML Didit, dan pemantauan transaksi untuk prosedur pemantauan yang tercantum dalam Rule 10.3(f).^[1]