Chính sách và quy trình chống rửa tiền: Hướng dẫn tuân thủ toàn diện

Ngân hàng không phải là những người duy nhất cần lo lắng về vấn nạn rửa tiền. Các sàn giao dịch tiền điện tử, các công ty xử lý thanh toán, các nhà bán lẻ trực tuyến — nếu doanh nghiệp của bạn có giao dịch tiền tệ, thì cuối cùng một cơ quan quản lý nào đó sẽ hỏi bạn làm thế nào để ngăn chặn các khoản tiền bất hợp pháp lưu thông qua đó. Câu trả lời của bạn cần phải được ghi lại bằng văn bản. Đó chính là chính sách chống rửa tiền (AML) của bạn, và nếu bạn vi phạm chính sách và quy trình AML, bạn sẽ phải đối mặt với các khoản phạt, tài khoản bị đóng băng và một mớ hỗn độn về uy tín kéo dài hơn cả bất kỳ vi phạm nào gây ra nó.

Vậy thực chất một văn bản chống rửa tiền (AML) bao gồm những gì? Hướng dẫn này sẽ phân tích chính sách AML chứa những gì, tại sao các cơ quan quản lý lại yêu cầu điều đó, và cách xây dựng một khuôn khổ có thể vượt qua kiểm toán. Cho dù bạn đang điều hành một ngân hàng, một công ty khởi nghiệp fintech hay một doanh nghiệp thanh toán tiền điện tử — logic cơ bản đều giống nhau.

Chính sách và quy trình chống rửa tiền là gì?

Chính sách chống rửa tiền (AML) là bộ quy tắc bằng văn bản của tổ chức bạn về việc phát hiện, ngăn chặn và báo cáo hành vi rửa tiền và tài trợ khủng bố. Hãy coi nó như là "cái gì" và "tại sao" - mức độ chấp nhận rủi ro, loại khách hàng nào bị từ chối thẳng thừng, ai trong nhân viên chịu trách nhiệm về việc gì. Toàn bộ lĩnh vực này được gọi chung là chống rửa tiền, hay AML, và các cơ quan quản lý sử dụng thuật ngữ đó như một cách nói tắt cho hầu hết mọi biện pháp kiểm soát nhằm mục đích ngăn chặn tiền bẩn xâm nhập vào hệ thống tài chính.

Các thủ tục bao gồm "cách thức" thực hiện. Một giao dịch được gắn cờ bằng cách nào đó. Ai đó sẽ xem xét nó. Một báo cáo hoạt động đáng ngờ được lập theo một quy trình cụ thể. Chính sách và thủ tục cùng nhau tạo nên một phần quan trọng của chương trình tuân thủ AML, bao gồm cả đào tạo, công nghệ và kiểm toán độc lập.

Mọi người thường xuyên nhầm lẫn các thuật ngữ này, nhưng các cơ quan quản lý thì không. Một chính sách mà không có quy trình hỗ trợ thì về cơ bản là không thể thực thi. Các quy trình mà không có chính sách hỗ trợ thì không có cơ sở pháp lý.

Đây là lý do tại sao sự khác biệt này thực sự quan trọng trong công việc hàng ngày: một kiểm toán viên sẽ không chỉ kiểm tra xem một tài liệu chính sách có tồn tại ở đâu đó trong ngăn kéo hay không. Họ sẽ tìm kiếm các giao dịch thực tế và đối chiếu chúng với các quy trình của bạn, kiểm tra xem giấy tờ có khớp với những gì thực sự đã xảy ra hay không. Rất nhiều chính sách nghe có vẻ hoàn hảo trên giấy tờ nhưng lại sụp đổ ngay khi ai đó kiểm tra chúng với các hồ sơ thực tế — đây là một trong những lỗ hổng phổ biến nhất mà các kiểm toán viên tìm thấy ở các công ty vừa và nhỏ.

Tại sao mọi doanh nghiệp cần có chính sách chống rửa tiền (AML)

Đây không phải là một tội phạm nhỏ nhặt. Liên Hợp Quốc ước tính mỗi năm có từ 2-5% GDP toàn cầu bị rửa tiền, và chỉ riêng năm 2023 đã có hơn 3 nghìn tỷ đô la tiền bất hợp pháp lưu chuyển trong nền kinh tế thế giới. Bất kỳ doanh nghiệp nào không kiểm soát được dòng tiền này, dù cố ý hay không, đều trở thành một phần của đường dây rửa tiền.

Các cơ quan quản lý đều biết điều này, đó là lý do tại sao các tổ chức tài chính, các doanh nghiệp dịch vụ tiền tệ và giờ đây cả các công ty tiền điện tử đều phải tuân thủ các quy định bắt buộc về chống rửa tiền. Hình phạt có thể từ phạt tiền đến việc mất hoàn toàn giấy phép hoạt động. Và rủi ro pháp lý thực sự chỉ là một phần nhỏ của vấn đề — một vụ bê bối rửa tiền sẽ ám ảnh ký ức của khách hàng và đối tác trong nhiều năm.

Trước hết, các kiểm toán viên và cơ quan quản lý yêu cầu chính sách được lập thành văn bản. Không có chính sách đồng nghĩa với việc không thể chứng minh thiện chí, ngay cả khi những gì bạn thực hiện hàng ngày hoàn toàn hợp lý.

Hãy nhìn vào lịch sử thực thi pháp luật. Các cơ quan quản lý trên toàn thế giới liên tục phạt hàng triệu đô la vì những thất bại trong chương trình chống rửa tiền, và thường thì hành vi rửa tiền thậm chí còn chưa được chứng minh — khoản phạt xuất phát từ những lỗ hổng trong chính sách, đào tạo hoặc giám sát khiến việc ngăn chặn trở nên bất khả thi. Một chính sách được xây dựng tốt sẽ tốn ít chi phí hơn nhiều so với mức độ rủi ro đó.

Những luật và quy định quan trọng về chống rửa tiền mà bạn cần biết.

Các yêu cầu về chống rửa tiền (AML) khác nhau tùy theo từng khu vực pháp lý, nhưng một số khuôn khổ nhất định định hình hầu hết mọi chính sách được soạn thảo hiện nay. Hiểu rõ chúng là cách nhanh nhất để biết tài liệu của bạn cần phải bao gồm những nội dung gì.

Không có khuôn khổ nào trong số này là những phần bổ sung tùy chọn. Chúng là nền tảng cơ bản, và một chính sách bỏ qua khuôn khổ phù hợp với khu vực hoạt động của bạn sẽ thất bại trong lần xem xét quy định đầu tiên. Đặc biệt, Lực lượng Đặc nhiệm Hành động Tài chính (FATF) đặt ra tiêu chuẩn mà hầu hết các luật chống rửa tiền và tài trợ khủng bố quốc gia đều dựa trên đó. Đó là lý do tại sao ngôn ngữ của FATF xuất hiện trong các chính sách được soạn thảo ở những nơi cách xa nhau hàng nghìn dặm.

Các thành phần cốt lõi mà mọi chính sách chống rửa tiền phải bao gồm

Điều 352 của Đạo luật USA PATRIOT quy định bốn trụ cột bắt buộc đối với một chương trình tuân thủ chống rửa tiền bằng văn bản, và hầu hết các khuôn khổ toàn cầu đều phản ánh sát sao chúng. Bất kỳ chính sách nào thiếu một trong những trụ cột này đều không đầy đủ theo tiêu chuẩn pháp lý:

• Cán bộ tuân thủ được chỉ định chịu trách nhiệm giám sát chống rửa tiền hàng ngày và báo cáo theo quy định.
• Đào tạo thường xuyên cho nhân viên về các dấu hiệu cảnh báo, nhiệm vụ báo cáo và cập nhật các quy định.
• Kiểm tra hoặc đánh giá độc lập để xác nhận chương trình hoạt động đúng như mô tả, chứ không chỉ đúng như thiết kế.
• Các chính sách, quy trình và biện pháp kiểm soát nội bộ bằng văn bản bao gồm toàn bộ quy trình từ tiếp nhận khách hàng đến giám sát giao dịch.

Các chính sách chống rửa tiền hiện đại thường bổ sung thêm hai thành phần nữa vào bốn trụ cột: đánh giá rủi ro rửa tiền được ghi chép lại và quy trình sàng lọc lệnh trừng phạt. Các cơ quan quản lý ngày càng coi cả hai là điều cần thiết, ngay cả khi luật không quy định rõ ràng.

Một sai lầm thường gặp là coi các thành phần này như một danh sách kiểm tra cần đáp ứng một lần, thay vì một hệ thống sống động. Ví dụ, vai trò của cán bộ tuân thủ cần có thẩm quyền và ngân sách thực sự. Một chức danh thiếu cả hai sẽ không đứng vững nếu các cơ quan quản lý hỏi ai thực sự có quyền đóng băng một tài khoản đáng ngờ. Việc đào tạo chỉ diễn ra một lần khi bắt đầu công việc và không bao giờ lặp lại sẽ nhanh chóng trở nên lỗi thời so với các mô hình mới và các quy định được cập nhật.

Quy trình thẩm định khách hàng và đánh giá rủi ro

Quy trình thẩm định khách hàng (CDD) đơn giản chỉ là tìm hiểu xem bạn thực sự đang giao dịch với ai, cả khi đăng ký và sau đó. Điều đó có nghĩa là xác nhận danh tính, hiểu rõ hoạt động kinh doanh của khách hàng và cảnh giác với bất kỳ điều gì bất thường. Đánh giá rủi ro chống rửa tiền (AML) sẽ cho bạn biết nên dành thêm nỗ lực vào đâu — tài khoản nào chỉ cần kiểm tra trong hai phút và tài khoản nào cần được xem xét kỹ lưỡng hơn.

Rủi ro không được phân bổ đồng đều giữa các khách hàng, và đó chính là điểm mấu chốt của phương pháp tiếp cận dựa trên rủi ro. Những người có liên quan đến chính trị, khách hàng cư trú tại các khu vực có rủi ro cao, các tài khoản chuyển tiền theo những mô hình bất thường — tất cả những trường hợp này đều cần được thẩm định kỹ lưỡng hơn. Kiểm tra lý lịch sâu hơn. Giám sát thường xuyên hơn. Cần có sự phê duyệt của người quản lý cấp cao trước khi tài khoản được tiếp tục. Nếu bỏ sót một người có liên quan đến chính trị, bạn sẽ nhanh chóng thu hút sự chú ý của cơ quan quản lý, vì vậy đừng gộp việc sàng lọc đó vào quy trình tiếp nhận khách hàng thông thường — hãy dành riêng một bước cho nó.

Tiếp theo là việc sàng lọc lệnh trừng phạt, kiểm tra khách hàng mới (và thành thật mà nói, cả các giao dịch nữa) so với các danh sách của chính phủ như OFAC trước khi tiền được chuyển đi. Bỏ qua bước này, bạn đã mắc phải một trong những sai lầm tốn kém nhất mà chính sách chống rửa tiền có thể mắc phải.

Tất cả những điều này không dừng lại sau khi quá trình tiếp nhận khách hàng hoàn tất. Một khách hàng tưởng chừng an toàn tuyệt đối vào ngày đầu tiên có thể không duy trì được trạng thái đó – khối lượng giao dịch lớn hơn, các đối tác mới ở những địa điểm rủi ro hơn, hoạt động kinh doanh không còn phù hợp với những gì họ đã khai báo. Các chính sách dựa trên rủi ro tốt sẽ xem xét lại xếp hạng khách hàng theo định kỳ thay vì chỉ coi lần kiểm tra đầu tiên như một bước kiểm tra duy nhất.

Hướng dẫn từng bước: Xây dựng khung chính sách chống rửa tiền của bạn

Việc soạn thảo chính sách chống rửa tiền từ đầu sẽ dễ dàng hơn nếu bạn tuân theo một trình tự nhất định. Dưới đây là trình tự tạo ra một tài liệu có tính thuyết phục và sẵn sàng cho kiểm toán:

1. Tiến hành đánh giá rủi ro — lập bản đồ các sản phẩm, khách hàng và khu vực địa lý nào khiến bạn có nguy cơ bị rửa tiền cao nhất.
2. Bổ nhiệm một cán bộ tuân thủ hoặc MLRO — người có thẩm quyền và nguồn lực để điều hành chương trình hàng ngày.
3. Xác định phạm vi và mức độ chấp nhận rủi ro của chính sách — nêu rõ ràng những loại khách hàng và hoạt động nào được chấp nhận, bị hạn chế hoặc bị cấm.
4. Thiết lập các điều kiện kích hoạt CDD và thẩm định nâng cao — chỉ định chính xác thời điểm các quy trình kiểm tra tiêu chuẩn được nâng lên thành quy trình xem xét chuyên sâu hơn.
5. Xây dựng các quy tắc giám sát giao dịch — xác định ngưỡng và các mẫu kích hoạt cảnh báo nội bộ.
6. Thiết lập quy trình báo cáo hoạt động đáng ngờ (SAR) — ghi rõ ai sẽ xem xét các cảnh báo và cách thức gửi báo cáo cho cơ quan quản lý.
7. Đào tạo tất cả nhân viên có liên quan — không chỉ các nhóm tuân thủ quy định, mà cả bất kỳ ai tiếp xúc trực tiếp với khách hàng hoặc thực hiện giao dịch.
8. Lên lịch kiểm toán độc lập — đưa việc xem xét định kỳ vào lịch trình trước khi chính sách có hiệu lực, chứ không phải sau khi cơ quan quản lý yêu cầu.

Tuân theo trình tự này sẽ tránh được một lỗi thường gặp: viết các quy trình chi tiết trước khi hoàn thành đánh giá rủi ro cơ bản. Bỏ qua bước đó, bạn thường sẽ phải viết lại một nửa tài liệu sau này.

Hầu hết các doanh nghiệp có thể hoàn thành bản dự thảo khung chính sách này trong vòng bốn đến sáu tuần, mặc dù thời gian thực hiện phụ thuộc rất nhiều vào số lượng dòng sản phẩm và khu vực pháp lý mà chính sách cần bao gồm. Các công ty cố gắng rút ngắn thời gian này xuống còn vài ngày thường sử dụng ngôn ngữ chung chung được sao chép từ các mẫu có sẵn. Ngôn ngữ đó trông có vẻ hoàn chỉnh, nhưng nó không phản ánh hồ sơ rủi ro thực tế của họ, và đó chính là điều mà kiểm toán viên sẽ nhận thấy đầu tiên.

Giám sát, kiểm toán và cập nhật các quy trình chống rửa tiền.

Chính sách của bạn chỉ tốt khi hệ thống giám sát giao dịch đứng sau nó hoạt động hiệu quả. Cho dù hệ thống đó là thủ công hay tự động, nó cần phải phát hiện ra các hành vi cấu trúc giao dịch, dòng tiền di chuyển nhanh bất thường, hoặc các hoạt động không phù hợp với hồ sơ giao dịch thông thường của khách hàng.

Thời điểm rất quan trọng khi có điều gì đó đáng ngờ. Theo Đạo luật Bảo mật Ngân hàng, các doanh nghiệp thường có 30 ngày để nộp báo cáo hoạt động đáng ngờ trước khi bị phạt vì chậm trễ. Và đừng vứt bỏ giấy tờ sau đó — giấy tờ tùy thân, nhật ký giao dịch, báo cáo hoạt động đáng ngờ, tất cả đều cần được lưu giữ trong vòng năm năm theo cả Đạo luật Bảo mật Ngân hàng và Chỉ thị AMLD4 của EU.

Chính sách này cần được xem xét lại, chứ không chỉ các giao dịch được thực hiện thông qua nó. Các quy định thay đổi, mô hình kinh doanh biến đổi, các chiến thuật rửa tiền mới xuất hiện. Hầu hết các nhóm tuân thủ đều xem xét lại chính sách chống rửa tiền của họ ít nhất một lần mỗi năm, cộng thêm các bản cập nhật bổ sung bất cứ khi nào các quy định hoặc mức độ rủi ro thay đổi đủ để tạo ra sự khác biệt.

Các vấn đề cần xem xét về tuân thủ AML quốc tế

Nếu chỉ hoạt động trong một quốc gia, bạn chỉ cần tuân thủ một khuôn khổ pháp lý duy nhất. Nhưng khi vượt biên giới, chính sách của bạn đột nhiên cần phải phù hợp với nhiều khuôn khổ pháp lý khác nhau cùng một lúc, mà không được mâu thuẫn với nhau.

Điều mà hầu hết các nhóm tuân thủ thực sự làm là: viết một chính sách toàn cầu cốt lõi, sau đó bổ sung các phụ lục địa phương cho từng khu vực pháp lý. Chính sách cốt lõi xử lý các vấn đề chung, phương pháp tiếp cận dựa trên rủi ro, thẩm định khách hàng (CDD), sàng lọc lệnh trừng phạt. Các phụ lục đề cập đến các định dạng báo cáo địa phương, người cần liên hệ tại cơ quan quản lý và các ngưỡng khác nhau giữa các quốc gia.

Các doanh nghiệp fintech và tiền điện tử chịu áp lực này nặng nề nhất, vì nhiều doanh nghiệp trong số đó phục vụ khách hàng ở hàng chục khu vực pháp lý khác nhau ngay cả trước khi kỷ niệm một năm thành lập. Hãy giữ chính sách dưới dạng một văn bản toàn cầu duy nhất, được xem xét tập trung và áp dụng tại địa phương. Đó là cách bạn tránh được những lỗ hổng xuất hiện khi các chính sách khu vực được ghép lại với nhau sau đó thay vì được thiết kế như vậy ngay từ đầu.

Vấn đề không chỉ dừng lại ở thủ tục giấy tờ. Một giao dịch không gây ra bất kỳ nghi vấn nào theo tiêu chuẩn của một quốc gia có thể lại kích hoạt yêu cầu báo cáo bắt buộc ở quốc gia khác. Vậy ai sẽ đưa ra quyết định khi hai khuôn khổ pháp lý khác nhau? Thông thường, quyết định đó thuộc về một người, đó là cán bộ tuân thủ hoặc người phụ trách phòng chống rửa tiền (MLRO), người cần phải thực sự hiểu rõ sự khác biệt về ngưỡng quy định.

Tuân thủ quy định AML đối với các doanh nghiệp tiền điện tử và thanh toán kỹ thuật số

Tiền điện tử phải chịu sự giám sát chặt chẽ hơn về vấn đề chống rửa tiền so với hầu hết các công nghệ tài chính truyền thống, và thành thật mà nói, không khó để hiểu tại sao. Ví điện tử ẩn danh, chuyển khoản xuyên biên giới trong vài giây, thanh toán trên blockchain nhanh hơn cả chuyển khoản ngân hàng – tất cả những điều đó làm tăng rủi ro cho các cơ quan quản lý khi cố gắng ngăn chặn rửa tiền và tài trợ khủng bố thông qua tài sản kỹ thuật số. Và sự giám sát đó tập trung trực tiếp vào bất kỳ ai xử lý các khoản thanh toán tiền điện tử.

Một chính sách chống rửa tiền (AML) sẵn sàng cho tiền điện tử cần một vài điều mà mẫu chính sách dịch vụ tài chính tiêu chuẩn không thể đáp ứng:

• Kiểm tra địa chỉ ví so với các cơ sở dữ liệu về hoạt động bất hợp pháp và lệnh trừng phạt đã biết trước khi chấp nhận tiền.
• Giám sát giao dịch trên chuỗi theo dõi dòng tiền qua nhiều bước trung gian, không chỉ người gửi trực tiếp.
• Thiết lập quy trình xử lý khiếu nại rõ ràng cho các giao dịch liên quan đến các dịch vụ trộn tiền, sàn giao dịch rủi ro cao hoặc địa chỉ bị đưa vào danh sách đen.

Nếu bạn đang kinh doanh thương mại điện tử và chấp nhận thanh toán bằng tiền điện tử, việc tự xây dựng toàn bộ cơ sở hạ tầng đó là quá mức cần thiết. Cách dễ dàng hơn: hợp tác với một nhà xử lý thanh toán đã tích hợp sẵn các biện pháp kiểm soát AML và KYC. Plisio xử lý việc sàng lọc ví và giao dịch như một phần của cơ sở hạ tầng, vì vậy các nhà bán lẻ có thể chấp nhận tiền điện tử mà không cần phải tự mình gánh vác toàn bộ gánh nặng tuân thủ.

Khoảng cách đó lớn hơn vẻ bề ngoài. Một người bán xây dựng hệ thống thanh toán tiền điện tử trên nền tảng xử lý thanh toán không có bất kỳ biện pháp kiểm soát chống rửa tiền nào sẽ âm thầm gánh chịu rủi ro đó — không ai nhận ra cho đến khi cơ quan quản lý hoặc đối tác ngân hàng bắt đầu đặt ra những câu hỏi hóc búa về việc tiếp xúc với nguồn vốn bất hợp pháp. Hãy chọn cơ sở hạ tầng đã có sẵn chức năng sàng lọc, và bạn đã có câu trả lời trước khi bất kỳ ai hỏi.

Lời kết

Một chính sách chống rửa tiền mạnh mẽ không phải là một văn bản bạn viết một lần rồi cất đi. Đó là một khuôn khổ sống động cần được giám sát, kiểm toán và cập nhật thường xuyên khi các quy định và rủi ro thay đổi. Nếu nắm vững các nguyên tắc cơ bản, bao gồm đánh giá rủi ro rõ ràng, quy trình thẩm định được xác định, một cán bộ tuân thủ được chỉ định, thì bất kỳ doanh nghiệp nào, từ ngân hàng truyền thống đến nền tảng thanh toán tiền điện tử, đều sẽ vượt qua hầu hết các cuộc kiểm tra của cơ quan quản lý.

Các doanh nghiệp gặp khó khăn trong việc tuân thủ AML hiếm khi là những doanh nghiệp đối mặt với các rủi ro thực sự mới mẻ — mà là những doanh nghiệp coi chính sách của họ như một thủ tục giấy tờ một lần thay vì một hệ thống vận hành hiệu quả. Xây dựng các chính sách và quy trình AML vững chắc ngay từ đầu, với sự chịu trách nhiệm thực sự và việc xem xét thường xuyên, sẽ tiết kiệm chi phí hơn nhiều so với việc xây dựng lại chúng sau khi xảy ra vi phạm.

Simon Chartan

A journalist with a strong technical background and a passion for decentralized finance. With degrees in MBA and Master of Engineering in Data Science, the author combines analytical expertise with a clear, engaging writing style. At Plisio, they cover topics such as cryptocurrency, blockchain, DeFi, and digital finance—helping readers make sense of a rapidly evolving fintech landscape.