銀行業及其他經本會指定之金融機構防制洗錢及打擊資恐之內部控制制度，應經董（理）事會通過；修正時，亦同。其內容並應包括下列事項：
一、就洗錢及資恐風險進行辨識、評估、管理之相關政策及程序。
二、依據洗錢及資恐風險、業務規模，訂定防制洗錢及打擊資恐計畫，以管理及降低已辨識出之風險，並對其中之較高風險，採取強化控管措施。
三、監督控管防制洗錢及打擊資恐法令遵循與防制洗錢及打擊資恐計畫執行之標準作業程序，並納入自行查核及內部稽核項目，且於必要時予以強化。
前項第一款洗錢及資恐風險之辨識、評估及管理，應至少涵蓋客戶、地域、產品及服務、交易或支付管道等面向，並依下列規定辦理：
一、製作風險評估報告。
二、考量所有風險因素，以決定整體風險等級，及降低風險之適當措施。
三、訂定更新風險評估報告之機制，以確保風險資料之更新。
四、於完成或更新風險評估報告時，將風險評估報告送本會備查。
第一項第二款之防制洗錢及打擊資恐計畫，應包括下列政策、程序及控管機制：
一、確認客戶身分。
二、客戶及交易有關對象之姓名及名稱檢核。
三、帳戶及交易之持續監控。
四、通匯往來銀行業務。
五、紀錄保存。
六、一定金額以上通貨交易申報。
七、疑似洗錢或資恐交易申報。
八、指定防制洗錢及打擊資恐專責主管負責遵循事宜。
九、員工遴選及任用程序。
十、持續性員工訓練計畫。
十一、測試防制洗錢及打擊資恐制度有效性之獨立稽核功能。
十二、其他依防制洗錢及打擊資恐相關法令及本會規定之事項。
銀行業及其他經本會指定之金融機構如有分公司（或子公司）者，應訂定集團層次之防制洗錢與打擊資恐計畫，於集團內之分公司（或子公司）施行。內容包括前項政策、程序及控管機制，並應在符合我國及國外分公司（或子公司）所在地資料保密法令規定下，訂定下列事項：
一、確認客戶身分與洗錢及資恐風險管理目的所需之集團內資訊分享政策及程序。
二、為防制洗錢及打擊資恐目的，於有必要時，依集團層次法令遵循、稽核及防制洗錢及打擊資恐功能，得要求分公司（或子公司）提供有關客戶、帳戶及交易資訊，並應包括異常交易或活動之資訊及所為之分析；必要時，亦得透過集團管理功能使分公司（或子公司）取得上述資訊。
三、運用被交換資訊及其保密之安全防護，包括防範資料洩露之安全防護。
銀行業及其他經本會指定之金融機構應確保其國外分公司（或子公司），在符合當地法令情形下，實施與總公司（或母公司）一致之防制洗錢及打擊資恐措施。當總公司（或母公司）與分公司（或子公司）所在地之最低要求不同時，分公司（或子公司）應就兩地選擇較高標準者作為遵循依據，惟就標準高低之認定有疑義時，以銀行業及其他經本會指定之金融機構總公司（或母公司）所在地之主管機關之認定為依據；倘因外國法規禁止，致無法採行與總公司（或母公司）相同標準時，應採取合宜之額外措施，以管理洗錢及資恐風險，並向本會申報。
銀行業及其他經本會指定之金融機構之董（理）事會對確保建立及維持適當有效之防制洗錢及打擊資恐內部控制負最終責任。董（理）事會及高階管理人員應瞭解其洗錢及資恐風險，及防制洗錢及打擊資恐計畫之運作，並採取措施以塑造重視防制洗錢及打擊資恐之文化。