AML 5 — Điều tra, STR/SAR & báo cáo

Ở bài Giám sát giao dịch và bài Sàng lọc, chúng ta đã dừng lại ở khoảnh khắc hệ thống bắn ra một cảnh báo (alert): một khách hàng chia nhỏ nhiều khoản nộp tiền mặt sát ngưỡng, một chuỗi chuyển khoản vòng vo, một cái tên khớp mờ với danh sách trừng phạt. Nhưng cảnh báo tự nó chưa có giá trị pháp lý. Nó chỉ là một giả thuyết do máy đưa ra. Câu chuyện thực sự bắt đầu khi con người vào cuộc: điều tra giả thuyết đó, kết luận, và nếu có nghi ngờ hợp lý thì báo cáo cho cơ quan chức năng.

Bài này đi hết chặng đường "từ alert đến báo cáo": làm sao điều tra một alert, quản lý hồ sơ (case management), khi nào và làm sao nộp STR/SAR (báo cáo giao dịch/hoạt động đáng ngờ), sự khác biệt với CTR (báo cáo giao dịch giá trị lớn), luật cấm tipping-off (mách nước cho khách), và cuối cùng là vòng phản hồi khép kín giúp cả hệ thống ngày càng thông minh hơn.

Từ alert đến điều tra: alert không phải kết luận

Một hệ thống giám sát giao dịch của ngân hàng cỡ vừa có thể sinh ra hàng nghìn alert mỗi ngày. Phần lớn trong số đó là dương tính giả (false positive) — hành vi trông bất thường nhưng thực chất hoàn toàn hợp pháp (một tiểu thương nộp tiền mặt hằng ngày, một công ty trả lương theo lô). Nhiệm vụ của điều tra viên (investigator/analyst) không phải là "buộc tội" mà là trả lời một câu hỏi duy nhất: dựa trên toàn bộ bằng chứng thu thập được, giao dịch/hành vi này có đủ nghi ngờ hợp lý để báo cáo hay không?

Đây là điểm mấu chốt hay bị hiểu sai: ngân hàng không cần chứng minh có tội phạm xảy ra, cũng không được đóng vai công tố. Ngân hàng chỉ cần hình thành nghi ngờ hợp lý (reasonable grounds to suspect) rồi chuyển thông tin cho cơ quan tình báo tài chính. Việc điều tra hình sự, khởi tố là của cơ quan nhà nước.

Quy trình điều tra một alert thường đi qua các lớp thu thập bằng chứng:

• Hồ sơ KYC/CDD nội bộ: khách hàng là ai, nghề nghiệp, thu nhập khai báo, mục đích tài khoản, hồ sơ rủi ro (risk rating). Hành vi hiện tại có nhất quán với hồ sơ đã biết không? Một sinh viên khai thu nhập 8 triệu/tháng mà nhận về 2 tỷ trong một tuần là bất thường; cũng số tiền đó với một doanh nghiệp xuất khẩu thì bình thường.
• Lịch sử giao dịch: dựng lại dòng tiền (transaction flow) — tiền vào từ đâu, đi đâu, tần suất, mô thức (pattern). Có dấu hiệu structuring (chia nhỏ), layering (tạo nhiều lớp trung gian để che nguồn gốc), hay chuyển ngay ra ngoài sau khi nhận (pass-through) không?
• Nguồn tiền & nguồn tài sản (source of funds / source of wealth): tiền này từ đâu ra? Nếu cần, yêu cầu khách hàng giải trình, xuất trình chứng từ (hợp đồng, hoá đơn, sao kê).
• Thông tin bên ngoài (external / adverse media): tra cứu tin tức bất lợi, hồ sơ toà án, dữ liệu công khai, kết quả sàng lọc PEP/sanctions từ bài Sàng lọc.

Sau khi ghép các mảnh, điều tra viên viết kết luận (disposition): (a) đóng alert vì không có cơ sở (no further action), (b) chuyển sang giám sát tăng cường, hoặc (c) đủ nghi ngờ hợp lý → lập STR.

Case management: quản lý hồ sơ điều tra

Khi nhiều alert liên quan đến cùng một khách hàng, hoặc một alert cần điều tra sâu, chúng được gom lại thành một case (hồ sơ điều tra). Hệ thống case management là xương sống của tuyến phòng thủ thứ nhất/thứ hai (theo mô hình quản trị ở bài Quản trị).

Một hệ thống case management tốt cần đảm bảo:

• Phân công (assignment): alert/case được giao cho điều tra viên phù hợp, tránh bỏ sót hoặc chồng chéo.
• SLA (thời hạn xử lý): mỗi case có deadline nội bộ. Vì sao quan trọng? Vì thời hạn nộp STR pháp lý (xem bên dưới) bắt đầu tính từ lúc hình thành nghi ngờ, nên nếu case tồn đọng quá lâu, ngân hàng có nguy cơ nộp trễ và bị phạt.
• Escalation (leo thang): case phức tạp hoặc rủi ro cao được đẩy lên cấp cao hơn, tới MLRO (Money Laundering Reporting Officer — người chịu trách nhiệm báo cáo, thường là chức danh bắt buộc theo luật) để ra quyết định cuối cùng có nộp STR hay không.
• Tài liệu hoá quyết định (audit trail): đây là phần sống còn. Mọi quyết định — kể cả quyết định không báo cáo — phải được ghi lại với lý do rõ ràng, ai quyết, khi nào, dựa trên bằng chứng gì. Khi thanh tra (regulator/auditor) rà soát, họ không phạt vì bạn kết luận sai; họ phạt vì bạn không thể chứng minh mình đã điều tra một cách hợp lý. "If it isn't documented, it didn't happen."

STR/SAR: báo cáo giao dịch đáng ngờ

Khi điều tra kết luận có nghi ngờ hợp lý, ngân hàng có nghĩa vụ pháp lý nộp báo cáo giao dịch đáng ngờ cho cơ quan tình báo tài chính (FIU — Financial Intelligence Unit).

STR hay SAR? Cùng một nghĩa vụ, khác tên gọi

Về bản chất, STR (Suspicious Transaction Report) và SAR (Suspicious Activity Report) là cùng một nghĩa vụ báo cáo nhưng khác thuật ngữ theo vùng:

• SAR là tên dùng ở Mỹ, nộp cho FinCEN theo Bank Secrecy Act. Phạm vi rộng: bất kỳ hoạt động đáng ngờ nào (kể cả không gắn với một giao dịch cụ thể).
• STR là tên dùng theo chuẩn FATF và phần lớn các nước (EU, Anh, UAE, Singapore, Việt Nam...). Về mặt chữ nghĩa, STR gắn với một giao dịch cụ thể, nhưng trên thực tế phạm vi cũng bao trùm cả hành vi/nỗ lực giao dịch (attempted transaction).

Điểm cần nhớ: đừng sa vào tranh cãi thuật ngữ. Cả hai đều là "báo cáo cho FIU khi có nghi ngờ hợp lý về rửa tiền/tài trợ khủng bố". Ở Việt Nam, thuật ngữ chính thức là báo cáo giao dịch đáng ngờ.

FIU: người nhận báo cáo

FIU là cơ quan tình báo tài chính quốc gia — nơi tiếp nhận STR/CTR từ các tổ chức báo cáo, phân tích tình báo tài chính (financial intelligence), phát hiện mô thức tội phạm, rồi chuyển thông tin có giá trị cho cơ quan điều tra/truy tố. FIU không phải là ngân hàng, cũng không trực tiếp bắt giữ; nó là "trạm trung chuyển và phân tích tình báo".

Ở Việt Nam, FIU là Cục Phòng, chống rửa tiền thuộc Ngân hàng Nhà nước (NHNN). Cục này tiếp nhận báo cáo giao dịch đáng ngờ và báo cáo giao dịch giá trị lớn, phân tích và chuyển thông tin cho cơ quan chức năng.

Thời hạn: khi nào phải nộp?

Thời hạn nộp khác nhau theo quốc gia, nhưng có hai nguyên tắc chung:

• Đồng hồ bắt đầu chạy từ khi hình thành nghi ngờ, không phải từ khi alert bắn ra. Nghĩa là sau khi đã điều tra và đã xác định là đáng ngờ.
• Nguyên tắc bao trùm: nộp càng sớm càng tốt (as soon as practicable).

Một số ví dụ cụ thể:

• Mỹ (SAR): nộp trong vòng 30 ngày kể từ ngày phát hiện các dữ kiện làm cơ sở báo cáo; nếu chưa xác định được nghi phạm, được gia hạn tối đa 60 ngày.
• Nhiều nước theo FATF (EU/Anh/Singapore/UAE): không có con số cứng, nhưng kỳ vọng giám sát là "sớm nhất có thể".
• Một số nước quy định rất ngắn: ví dụ 2–3 ngày làm việc kể từ khi hình thành nghi ngờ.

Với Việt Nam, tổ chức báo cáo phải báo cáo giao dịch đáng ngờ theo Luật Phòng, chống rửa tiền 2022 và các văn bản hướng dẫn của NHNN; xu hướng gần đây (Thông tư 27/2025/TT-NHNN, hiệu lực 01/11/2025) là ưu tiên báo cáo điện tử qua dữ liệu số.

Nội dung một STR

Một STR tốt phải kể được một câu chuyện mạch lạc để phân tích viên FIU hiểu ngay, không phải một đống số liệu thô. Các thành phần cốt lõi:

• Thông tin đối tượng: khách hàng/chủ thể liên quan (tên, định danh, tài khoản).
• Mô tả giao dịch/hoạt động: cái gì, bao nhiêu, khi nào, qua kênh nào, dòng tiền đi đâu.
• Chỉ báo đáng ngờ (red flags): cụ thể vì sao đáng ngờ (structuring, không khớp hồ sơ, adverse media...).
• Phân tích & kết luận: điều tra viên diễn giải bằng chứng dẫn đến nghi ngờ hợp lý như thế nào.

CTR: báo cáo theo ngưỡng, không theo nghi ngờ

Bên cạnh STR, còn có CTR (Currency/Cash Transaction Report — báo cáo giao dịch tiền mặt/giá trị lớn). Đây là loại báo cáo dễ nhầm nhưng bản chất khác hẳn STR:

CTR là báo cáo theo ngưỡng: cứ giao dịch (đặc biệt là tiền mặt) vượt một mức nhất định là phải báo cáo, bất kể có đáng ngờ hay không. Ở Việt Nam, ngưỡng báo cáo giao dịch giá trị lớn hiện là 400 triệu VND (theo Quyết định 11/2023/QĐ-TTg, nâng từ mức 300 triệu trước đó). Với chuyển tiền điện tử, còn có ngưỡng riêng cho giao dịch trong nước và quốc tế.

Điểm cần nhớ về mối quan hệ giữa hai loại báo cáo: chính cơ chế CTR theo ngưỡng lại là động cơ cho hành vi structuring — tội phạm chia nhỏ giao dịch xuống dưới ngưỡng để né CTR. Và chính hành vi né tránh đó lại trở thành một red flag cho STR. Hai loại báo cáo bổ trợ nhau: CTR cho FIU bức tranh nền, STR chỉ ra điểm nóng.

Tipping-off: tuyệt đối không mách nước cho khách

Đây là một trong những quy tắc pháp lý cứng nhất và dễ vi phạm nhất trong AML.

Tipping-off là hành vi tiết lộ cho khách hàng (hoặc bên thứ ba) rằng họ đang bị điều tra hoặc đã bị báo cáo — theo cách có thể gây phương hại cho một cuộc điều tra. Cụ thể, không được nói cho khách biết rằng: một STR đã được nộp về họ, nội dung STR là gì, hoặc rằng cơ quan chức năng đã yêu cầu thông tin về họ.

Vì sao luật cấm gắt như vậy? Vì nếu khách hàng biết mình bị "để ý", họ sẽ tẩu tán tài sản, tiêu huỷ bằng chứng, dàn xếp lời khai, làm sập cả cuộc điều tra. Tipping-off là tội hình sự ở nhiều nước, với mức phạt tù thường tới 2 năm (Anh, Úc) hoặc cao hơn (EU: tới 4 năm theo AMLD; Mỹ: phạt tiền và tù tới 5 năm). Đáng chú ý: tội có thể cấu thành ngay cả khi chưa có cuộc điều tra chính thức — chỉ cần việc tiết lộ có khả năng gây phương hại.

Điều này tạo ra một tình huống tế nhị cho nhân viên tuyến đầu (front-office): làm sao xử lý quan hệ khách hàng khi có STR mà không lộ? Nguyên tắc:

• Không thay đổi hành vi lộ liễu: không đột ngột từ chối phục vụ với lý do mập mờ, không hỏi những câu bất thường khiến khách nghi.
• Được phép hỏi giải trình bình thường: yêu cầu chứng từ nguồn tiền như một phần CDD thông thường là hợp pháp — miễn là không ám chỉ có báo cáo/điều tra.
• Giữ thông tin trong vòng "cần biết" (need-to-know): chỉ những người liên quan tới điều tra mới được biết về STR.

Quyết định sau báo cáo: quan hệ khách hàng đi về đâu?

Nộp STR không đồng nghĩa với việc đóng tài khoản ngay. Nộp STR là báo cho FIU; còn xử lý quan hệ khách hàng là quyết định thương mại/rủi ro riêng của ngân hàng:

• Tiếp tục quan hệ + giám sát tăng cường (EDD/enhanced monitoring): đôi khi giữ tài khoản hoạt động lại có lợi cho điều tra (để cơ quan chức năng theo dõi dòng tiền). Ngân hàng có thể nộp thêm STR bổ sung nếu hành vi tiếp diễn.
• Chấm dứt quan hệ (exit / de-risking): nếu rủi ro quá cao, ngân hàng đóng tài khoản — nhưng phải làm sao không tipping-off, thường viện dẫn lý do chung chung theo hợp đồng.
• Phong toả / freeze: ngân hàng không tự phong toả tuỳ tiện; việc phong toả tài sản thường theo yêu cầu của cơ quan chức năng hoặc theo quy định trừng phạt (nối bài Sàng lọc). Đình chỉ giao dịch tạm thời có thể áp dụng theo luật khi có căn cứ.

Sơ đồ: từ alert đến FIU và vòng phản hồi

Ví dụ: cấu trúc một hồ sơ điều tra / STR rút gọn

(minh hoạ) — HỒ SƠ ĐIỀU TRA / DỰ THẢO STR
============================================================
CASE ID        : CM-2026-004821
Nguồn alert    : TM-STRUCTURING-01 (kịch bản chia nhỏ tiền mặt)
Điều tra viên  : analyst_07      | MLRO duyệt: mlro_ha
SLA nội bộ     : mở 26/06 -> hạn nội bộ 03/07 (đồng hồ STR
                 tính từ ngày hình thành nghi ngờ)

--- ĐỐI TƯỢNG -------------------------------------------
KH             : Nguyen Van A | CIF 100xxxxx | risk: Medium
Nghề khai báo  : nhân viên văn phòng, thu nhập ~15tr/tháng
Mục đích TK    : nhận lương, chi tiêu cá nhân

--- BẰNG CHỨNG (thu thập) --------------------------------
[GD] 10 lần nộp tiền mặt trong 6 ngày:
     mỗi lần 380-395tr (đều DƯỚI ngưỡng CTR 400tr)
     tổng ~3,85 tỷ VND
[GD] Sau mỗi lần nộp 1-2 ngày -> chuyển ra 3 TK bên ngoài
     (đặc điểm pass-through, không giữ số dư)
[KYC] Không khớp hồ sơ: thu nhập 15tr/th vs dòng tiền 3,85 tỷ
[EXT] Adverse media: 1 kết quả nghi liên quan cờ bạc online
      (chưa xác thực, đưa vào để FIU tham chiếu)

--- RED FLAGS -------------------------------------------
- Structuring: chia nhỏ sát ngưỡng CTR (né báo cáo)
- Pass-through: tiền vào rồi ra ngay
- Không khớp hồ sơ nghề nghiệp/thu nhập

--- KẾT LUẬN --------------------------------------------
Disposition   : NGHI NGỜ HỢP LÝ -> NỘP STR
Diễn giải     : Mô thức chia nhỏ có hệ thống sát ngưỡng
                kết hợp pass-through và bất nhất hồ sơ =>
                đủ căn cứ nghi ngờ rửa tiền. Không kết luận
                tội danh; chuyển FIU phân tích.
Xử lý quan hệ : giữ TK + giám sát tăng cường (theo dõi tiếp)
LƯU Ý         : KHÔNG tiết lộ cho KH (tipping-off)
============================================================

Vòng phản hồi: điều tra để hệ thống thông minh hơn

AML không phải quy trình một chiều. Kết quả điều tra phải quay ngược lại nuôi hệ thống:

• Tinh chỉnh kịch bản giám sát: nếu một kịch bản (scenario) sinh ra 95% dương tính giả, đó là tín hiệu cần điều chỉnh ngưỡng, thêm điều kiện lọc, hoặc phân khúc khách hàng (segmentation) tốt hơn — nối trực tiếp với bài Giám sát giao dịch. Mỗi alert được đóng với nhãn "false positive" là một điểm dữ liệu để hiệu chỉnh.
• Phản hồi từ FIU: một số FIU cung cấp phản hồi về chất lượng STR (hữu ích/không hữu ích, thiếu thông tin gì). Đây là "vàng" để cải thiện — giúp ngân hàng biết loại STR nào thực sự có giá trị tình báo.
• Học từ case đã xác nhận: khi một case dẫn tới hành động của cơ quan chức năng, mô thức của nó nên được đưa vào thành kịch bản/red flag mới.

Chất lượng & năng suất: bài toán vận hành

Đội điều tra AML luôn đối mặt với căng thẳng giữa khối lượng và chất lượng:

• Alert backlog (tồn đọng): số alert chưa xử lý. Backlog lớn là rủi ro pháp lý trực tiếp (nộp STR trễ) và là dấu hiệu hệ thống đang sinh quá nhiều nhiễu.
• Thời gian điều tra (turnaround time): mỗi alert/case mất bao lâu để đóng. Cân bằng giữa nhanh và kỹ.
• Chất lượng STR: tỷ lệ STR được FIU đánh giá hữu ích; STR viết cẩu thả, thiếu diễn giải sẽ vô dụng dù nộp đúng hạn.

Đây chính là nơi dữ liệu và AI vào cuộc: tự động gom bằng chứng, chấm điểm ưu tiên alert (risk scoring), gợi ý diễn giải, giảm dương tính giả — chủ đề sẽ đào sâu ở bài AML & AI/dữ liệu và các bài sau. AI không thay điều tra viên ra kết luận, nhưng có thể giải phóng họ khỏi việc gom dữ liệu thủ công để tập trung vào phán đoán.

Use case thực tế: điều tra một alert structuring → lập STR (không tipping-off)

Hãy đi qua một tình huống điển hình.

Bối cảnh. Hệ thống giám sát bắn alert cho khách hàng Nguyen Van A vì kịch bản "chia nhỏ tiền mặt": 10 lần nộp tiền mặt trong 6 ngày, mỗi lần 380–395 triệu — tất cả dưới ngưỡng CTR 400 triệu.

Điều tra. Analyst mở case, kéo hồ sơ KYC: A khai là nhân viên văn phòng, thu nhập ~15 triệu/tháng, tài khoản để "nhận lương". Kéo lịch sử giao dịch: sau mỗi lần nộp 1–2 ngày, tiền được chuyển ngay ra 3 tài khoản bên ngoài, tài khoản không giữ số dư (pass-through). Adverse media cho một kết quả nghi liên quan cờ bạc online, chưa xác thực.

Ghép bằng chứng. Ba red flag rõ ràng: (1) structuring — chia nhỏ có hệ thống sát ngưỡng CTR để né báo cáo; (2) pass-through — tiền vào rồi ra ngay; (3) bất nhất nghiêm trọng giữa dòng tiền 3,85 tỷ và hồ sơ thu nhập 15 triệu/tháng.

Quyết định. Analyst kết luận có nghi ngờ hợp lý và đề xuất nộp STR; MLRO duyệt. Lưu ý: ngân hàng không kết luận A phạm tội — chỉ chuyển thông tin cho Cục Phòng, chống rửa tiền để cơ quan này phân tích.

Xử lý quan hệ — điểm mấu chốt về tipping-off. Ngân hàng quyết định giữ tài khoản và giám sát tăng cường (để tiện theo dõi dòng tiền). Trong suốt quá trình, tuyến đầu tuyệt đối không ám chỉ cho A rằng có báo cáo hay điều tra. Nếu cần thêm chứng từ nguồn tiền, họ hỏi như một thủ tục CDD bình thường — không nói "vì bạn bị nghi rửa tiền". Nếu A đột ngột bị từ chối phục vụ với lý do mập mờ, đó có thể chính là tipping-off gián tiếp.

Đóng vòng. Case được tài liệu hoá đầy đủ (ai điều tra, bằng chứng, lý do). Kịch bản structuring được xác nhận là "đúng" (true positive), củng cố việc giữ nguyên ngưỡng phát hiện — một điểm dữ liệu cho vòng phản hồi tuning.

Ghi nhớ

• Alert ≠ kết luận. Cảnh báo chỉ là giả thuyết của máy; điều tra của con người mới quyết định có báo cáo hay không.
• Chuẩn là "nghi ngờ hợp lý", không phải "chứng minh có tội". Ngân hàng báo cáo, cơ quan nhà nước điều tra/truy tố.
• Case management = phân công + SLA + escalation + audit trail. Quyết định không báo cáo cũng phải ghi lý do. "Không tài liệu hoá = coi như chưa làm."
• STR/SAR: cùng nghĩa vụ, khác tên (SAR ở Mỹ/FinCEN, STR theo FATF & Việt Nam). Đồng hồ thời hạn tính từ khi hình thành nghi ngờ; nguyên tắc "càng sớm càng tốt". Ở VN nộp cho Cục Phòng, chống rửa tiền (NHNN).
• CTR ≠ STR. CTR theo ngưỡng (VN: 400 triệu VND), tự động, không cần điều tra. STR theo nghi ngờ. Chính ngưỡng CTR là động cơ của structuring — và structuring lại là red flag của STR.
• Tipping-off là tội hình sự. Không được tiết lộ cho khách rằng họ bị báo cáo/điều tra. Giữ thông tin trong vòng need-to-know; xử lý quan hệ khách hàng phải kín đáo.
• Nộp STR ≠ đóng tài khoản. Có thể giữ + giám sát tăng cường, hoặc exit, hoặc freeze theo yêu cầu cơ quan.
• Khép vòng phản hồi: kết quả điều tra và phản hồi FIU dùng để tinh chỉnh kịch bản, giảm dương tính giả.
• Đọc tiếp: Giám sát giao dịch · Sàng lọc trừng phạt · Fraud vs AML · Quản trị & pháp lý.