Báo cáo NHNN 5 — Báo cáo phòng chống rửa tiền

13 thg 7, 2026 2 lượt xem

#banking

#aml

#reporting

#ctr

#str

Vì sao báo cáo PCRT là nghĩa vụ dữ liệu, không chỉ nghiệp vụ

Phòng, chống rửa tiền (PCRT) không phải là việc ngân hàng "tự nguyện làm cho đẹp hồ sơ". Đó là nghĩa vụ pháp lý được quy định trong Luật Phòng, chống rửa tiền và các văn bản hướng dẫn: mỗi tổ chức tín dụng (TCTD) phải chủ động phát hiện, ghi nhận và báo cáo một số loại giao dịch cho cơ quan nhà nước có thẩm quyền. Vi phạm nghĩa vụ báo cáo — báo cáo chậm, báo cáo sai, hoặc không báo cáo — có thể dẫn tới xử phạt hành chính, và trong trường hợp nghiêm trọng là trách nhiệm hình sự của cá nhân có liên quan.

Với team dữ liệu, điểm cốt lõi cần nắm là: cả ba loại báo cáo PCRT đều không thể làm thủ công. Một ngân hàng bán lẻ xử lý hàng triệu giao dịch mỗi ngày; việc dò tay từng giao dịch để tìm khoản "vượt ngưỡng" hay "đáng ngờ" là bất khả thi. Vì vậy toàn bộ chuỗi này là một bài toán dữ liệu: thu thập giao dịch → sàng lọc/gắn cờ tự động → rà soát của con người → lập và nộp báo cáo theo đúng định dạng, đúng hạn, đúng đầu mối.

Bài này đứng ở góc tuân thủ báo cáo NHNN — nghĩa là tập trung vào ba nghĩa vụ báo cáo và cách hệ thống dữ liệu đỡ chúng, chứ không đi sâu vào kỹ thuật điều tra hay quản lý hồ sơ (những nội dung đó xem tại chuỗi AML: Giám sát & STR và Quản trị & quy định). Bài nằm trong chuỗi giám sát tuân thủ NHNN: tổng quan tại reg-01-overview, nền tảng dữ liệu chung tại reg-06-regulatory-data-mart.

Cảnh báo xuyên suốt: Mọi ngưỡng giá trị, thời hạn nộp báo cáo và tên cơ quan tiếp nhận có thể thay đổi theo quy định hiện hành của Chính phủ/NHNN từng thời kỳ. Bài này cố tình không nêu con số ngưỡng cụ thể để tránh dẫn tới thông tin sai; khi triển khai thực tế, luôn đối chiếu văn bản pháp quy có hiệu lực. Bài này không thay thế văn bản pháp luật.

Ba nghĩa vụ báo cáo cốt lõi

Luật Phòng, chống rửa tiền đặt ra một số loại báo cáo mà TCTD (với vai trò đối tượng báo cáo) phải thực hiện. Ba loại quan trọng nhất với dữ liệu là:

Loại báo cáo	Kích hoạt bởi	Bản chất	Đặc điểm
Giao dịch giá trị lớn (CTR — Currency/Cash/Threshold Transaction Report)	Giao dịch có giá trị vượt ngưỡng do Chính phủ/NHNN quy định	Dựa trên ngưỡng số tiền khách quan	Tự động hoàn toàn, không cần phán đoán
Giao dịch đáng ngờ (STR — Suspicious Transaction Report)	Nghi ngờ hợp lý rằng tiền/tài sản liên quan tội phạm	Dựa trên dấu hiệu & phán đoán	Có con người rà soát, cần lập luận
Chuyển tiền điện tử vượt ngưỡng (electronic funds transfer)	Giao dịch chuyển tiền điện tử (trong nước/quốc tế) vượt ngưỡng quy định	Dựa trên ngưỡng + thông tin các bên	Yêu cầu đủ thông tin người gửi/người nhận

Khác biệt tư duy quan trọng nhất: CTR và chuyển tiền điện tử là báo cáo theo ngưỡng khách quan — cứ vượt ngưỡng là báo, không cần biết giao dịch "sạch" hay "bẩn". Trong khi STR là báo cáo theo nghi ngờ chủ quan — kể cả giao dịch nhỏ, nếu có dấu hiệu đáng ngờ vẫn phải báo; và ngược lại một giao dịch lớn hợp pháp (đã lên CTR) không nhất thiết phải lên STR.

Báo cáo giao dịch giá trị lớn (CTR)

Đây là loại đơn giản nhất về mặt logic dữ liệu nhưng nặng nhất về khối lượng. TCTD phải báo cáo mọi giao dịch (tiền mặt hoặc theo phạm vi quy định) có giá trị bằng hoặc vượt mức do Chính phủ/NHNN quy định. Vì đây là ngưỡng khách quan:

Không cần con người phán đoán — một job dữ liệu quét giao dịch trong kỳ, lọc theo ngưỡng, gom theo các quy tắc quy định (ví dụ có thể phải cộng gộp nhiều giao dịch của cùng một khách hàng trong ngày để chống việc chia nhỏ để né ngưỡng — structuring), rồi kết xuất báo cáo.
Rủi ro dữ liệu điển hình: (a) quy đổi ngoại tệ sai tỷ giá dẫn tới bỏ sót/thừa giao dịch quanh ngưỡng; (b) gom nhóm sai đơn vị (theo khách hàng hay theo tài khoản?); (c) trùng lặp khi cùng một giao dịch được ghi ở nhiều hệ thống nguồn.
Vì ngưỡng là con số cứng, đây là nơi kiểm soát chất lượng dữ liệu phải chặt: một sai số nhỏ quanh ranh giới ngưỡng làm lệch số lượng báo cáo. Xem thêm nguyên tắc đối soát tại reg-07-data-quality-recon.

Báo cáo giao dịch đáng ngờ (STR)

STR là loại khó và nhạy cảm nhất. Nghĩa vụ phát sinh khi TCTD có cơ sở hợp lý để nghi ngờ rằng tiền/tài sản trong giao dịch liên quan đến rửa tiền, tài trợ khủng bố hoặc tội phạm nguồn. Điểm mấu chốt: ngân hàng không cần chứng minh có tội phạm — chỉ cần hình thành nghi ngờ hợp lý rồi báo cáo; việc điều tra, kết luận là của cơ quan nhà nước.

Một số nhóm dấu hiệu đáng ngờ thường được luật/quy định liệt kê (mang tính minh hoạ, danh mục thực tế theo văn bản hiện hành):

Giao dịch không phù hợp với hồ sơ khách hàng đã biết: quy mô, tần suất, ngành nghề, thu nhập khai báo không khớp với dòng tiền thực tế.
Chia nhỏ giao dịch một cách bất thường để né ngưỡng báo cáo (structuring/smurfing).
Dòng tiền vòng vo, qua nhiều lớp trung gian không có lý do kinh tế rõ ràng (layering); hoặc tiền vào rồi chuyển ngay ra ngoài (pass-through).
Khách hàng từ chối/né tránh cung cấp thông tin CDD, đưa giấy tờ đáng ngờ, hoặc thông tin mâu thuẫn.
Liên quan tới cá nhân/tổ chức trong danh sách cảnh báo, danh sách trừng phạt, PEP hoặc quốc gia/vùng lãnh thổ rủi ro cao.

STR không có "ngưỡng số tiền" — một giao dịch rất nhỏ vẫn có thể phải báo nếu đáng ngờ. Quy trình phát hiện & lập báo cáo được mô tả ở phần sơ đồ bên dưới; chi tiết điều tra và case management nằm ở aml-05-str-reporting.

Báo cáo giao dịch chuyển tiền điện tử vượt ngưỡng

Với giao dịch chuyển tiền điện tử (electronic funds transfer — chuyển khoản trong nước và đặc biệt là chuyển tiền quốc tế) vượt ngưỡng quy định, TCTD phải báo cáo kèm thông tin đầy đủ của các bên: người khởi tạo (originator) và người thụ hưởng (beneficiary). Đây là hiện thân của "quy tắc thông tin đi kèm chuyển tiền" (travel rule) trong chuẩn mực quốc tế: thông tin về người gửi và người nhận phải "đi cùng" lệnh chuyển tiền qua chuỗi trung gian.

Hệ quả dữ liệu: hệ thống thanh toán phải thu thập và truyền tải đủ trường thông tin các bên (tên, tài khoản, định danh) mà không được cắt xén. Thông điệp chuẩn hoá như ISO 20022 chính là hạ tầng giúp mang các trường này (xem pay-02-iso20022). Giao dịch thiếu thông tin bắt buộc về người gửi/nhận bản thân nó cũng là một tín hiệu cần gắn cờ.

Vai trò của hệ thống dữ liệu

Cả ba loại báo cáo đều dựa trên một chuỗi năng lực dữ liệu. Có thể hình dung như một dây chuyền: dữ liệu vào → xử lý/sàng lọc → gắn cờ → rà soát → báo cáo.

1. Hồ sơ khách hàng: CDD/EDD là nền móng

Không có báo cáo PCRT nào chạy tốt nếu hồ sơ khách hàng kém. CDD (Customer Due Diligence — nhận biết khách hàng) tạo ra "chân dung kỳ vọng": khách là ai, làm gì, nguồn tiền/nguồn tài sản, hồ sơ rủi ro. EDD (Enhanced Due Diligence — nhận biết tăng cường) áp dụng cho nhóm rủi ro cao (PEP, ngành rủi ro, quốc gia rủi ro). Toàn bộ việc nhận diện "đáng ngờ" trong STR chính là so sánh hành vi thực tế với chân dung kỳ vọng này. CDD/EDD chi tiết xem tại chuỗi AML.

2. Giám sát giao dịch (transaction monitoring)

Đây là "bộ não" tự động: một hệ thống chạy các quy tắc (rules/scenarios) và/hoặc mô hình trên luồng giao dịch để phát hiện mẫu bất thường — chia nhỏ, tăng đột biến, giao dịch với đối tác rủi ro, lệch hồ sơ. Đầu ra của giám sát giao dịch là các cảnh báo (alert) — mỗi alert là một giả thuyết cần con người rà soát, chưa phải kết luận.

3. Sàng lọc (screening) & gắn cờ (flagging)

Song song, hệ thống sàng lọc đối chiếu khách hàng và các bên giao dịch với danh sách trừng phạt, danh sách cảnh báo, PEP, adverse media. Kết quả khớp (match) được gắn cờ để ưu tiên xử lý. Với CTR và chuyển tiền điện tử, việc "gắn cờ" đơn giản hơn: đánh dấu mọi giao dịch vượt ngưỡng để đưa vào lô báo cáo.

4. Lập & nộp báo cáo đúng định dạng, đúng đầu mối

Bước cuối là kết xuất báo cáo theo định dạng quy định (thường là template/điện tử chuẩn hoá) và nộp đúng cơ quan tiếp nhận, đúng hạn. Ở Việt Nam, cơ quan đầu mối tiếp nhận và xử lý thông tin, báo cáo PCRT là đơn vị chuyên trách thuộc NHNN — hiện là Cục Phòng, chống rửa tiền (trước đây tổ chức dưới dạng Cục PCRT thuộc Cơ quan Thanh tra, giám sát ngân hàng). Đây là đơn vị tình báo tài chính (FIU — Financial Intelligence Unit) của Việt Nam, tiếp nhận báo cáo từ các đối tượng báo cáo và chuyển tiếp cho cơ quan điều tra khi cần.

Sơ đồ: luồng phát hiện → rà soát → lập & nộp STR

Điểm cần đọc kỹ trên sơ đồ: nhánh CTR/chuyển tiền điện tử đi thẳng vào lô báo cáo (khách quan, không cần rà soát nghi ngờ), trong khi nhánh STR bắt buộc đi qua rà soát của con người trước khi lập báo cáo. Mọi kết luận — kể cả "đóng alert, không báo cáo" — đều phải lưu vết (audit trail) để chứng minh ngân hàng đã làm đúng nghĩa vụ.

Tính bảo mật của báo cáo: cấm tiết lộ (tipping-off)

Đây là nguyên tắc pháp lý sống còn và hay bị nhân viên vi phạm do vô ý. Tipping-off là việc tiết lộ cho khách hàng (hoặc bên liên quan) rằng họ đang/đã bị báo cáo giao dịch đáng ngờ, hoặc rằng đang có một cuộc điều tra. Vì sao bị cấm nghiêm ngặt? Vì nếu khách hàng biết, họ sẽ tẩu tán tài sản, xoá dấu vết, bỏ trốn — vô hiệu hoá toàn bộ giá trị của báo cáo và có thể tiếp tay cho tội phạm.

Hệ quả với dữ liệu và vận hành:

Phân quyền chặt: thông tin STR và hồ sơ điều tra chỉ được truy cập bởi nhóm được phép (MLRO, bộ phận tuân thủ, điều tra viên). Không hiển thị "cờ STR" trên màn hình giao dịch của giao dịch viên tuyến đầu.
Không có "thông báo tự động" nào về việc báo cáo được gửi tới khách hàng.
Cẩn trọng khi từ chối/đóng tài khoản: nếu ngân hàng quyết định dừng quan hệ với khách sau khi lập STR, lý do đưa ra không được hé lộ việc đã báo cáo.
Bảo vệ pháp lý cho người báo cáo: pháp luật thường miễn trừ trách nhiệm cho TCTD và nhân viên khi báo cáo trung thực theo nghĩa vụ — nhưng đi kèm là nghĩa vụ giữ bí mật.

Về mặt kỹ thuật, cột đánh dấu trạng thái STR/điều tra thường được đặt ở bảng/lược đồ riêng, mã hoá và kiểm soát truy cập ở tầng cơ sở dữ liệu, tách khỏi dữ liệu giao dịch mà tuyến đầu nhìn thấy.

Use case thực tế

Bối cảnh: Ngân hàng NCB triển khai chuẩn hoá quy trình báo cáo PCRT sau một đợt rà soát nội bộ phát hiện hai vấn đề: (a) một số giao dịch tiền mặt lớn bị bỏ sót khỏi lô CTR do lỗi quy đổi ngoại tệ, và (b) một điều tra viên vô tình để lộ trạng thái điều tra khi tư vấn khách qua tổng đài.

Cách xử lý theo hướng dữ liệu:

Chuẩn hoá tính CTR. Team dữ liệu dựng một job hằng ngày quét toàn bộ giao dịch trong ngày, quy đổi mọi ngoại tệ về VND theo tỷ giá quy định tại thời điểm giao dịch (không dùng tỷ giá cuối ngày), rồi lọc theo ngưỡng do NHNN/Chính phủ quy định. Job đồng thời gom giao dịch theo khách hàng trong ngày để phát hiện chia nhỏ né ngưỡng. Kết quả: tỷ lệ giao dịch quanh ranh giới ngưỡng bị phân loại sai giảm từ ~4% xuống dưới 0,2% (số liệu minh hoạ nội bộ).
Đối soát ba chiều. Số lượng và tổng giá trị giao dịch vượt ngưỡng được đối chiếu giữa hệ thống nguồn (core, thanh toán) và lô báo cáo kết xuất. Chênh lệch phải bằng 0; nếu lệch, job dừng và cảnh báo trước khi nộp (nguyên tắc reconciliation, xem reg-07-data-quality-recon).
Tách luồng STR và khoá chống tipping-off. Cờ điều tra/STR được chuyển sang một lược đồ riêng, chỉ nhóm tuân thủ truy cập được; màn hình giao dịch viên và tổng đài không còn hiển thị bất kỳ dấu hiệu nào về việc khách đang bị báo cáo. Kịch bản tư vấn tổng đài được rà lại để loại bỏ câu chữ có thể gợi ý điều tra.
Đo thời hạn nộp. Mỗi case STR gắn một mốc "hình thành nghi ngờ" và một đồng hồ đếm ngược tới hạn nộp theo quy định; dashboard giám sát cho MLRO thấy case nào sắp trễ hạn.

Kết quả: báo cáo CTR đầy đủ và khớp đối soát; không còn sự cố lộ thông tin điều tra; và mọi kết luận điều tra đều có audit trail phục vụ thanh tra NHNN.

Ghi nhớ

Có ba nghĩa vụ báo cáo PCRT cốt lõi: (1) giao dịch giá trị lớn (CTR) — theo ngưỡng khách quan; (2) giao dịch đáng ngờ (STR) — theo nghi ngờ hợp lý, không phụ thuộc số tiền; (3) chuyển tiền điện tử vượt ngưỡng — theo ngưỡng + đủ thông tin các bên.
CTR & chuyển tiền điện tử kích hoạt tự động khi vượt ngưỡng do NHNN/Chính phủ quy định; STR cần con người rà soát và lập luận nghi ngờ. Ngân hàng chỉ cần nghi ngờ hợp lý, không cần chứng minh tội phạm.
Chuỗi dữ liệu: CDD/EDD (hồ sơ khách) → giám sát giao dịch → sàng lọc & gắn cờ → rà soát → lập & nộp báo cáo. Chất lượng báo cáo phụ thuộc chất lượng hồ sơ khách hàng.
Cơ quan tiếp nhận báo cáo là đơn vị FIU chuyên trách thuộc NHNN — hiện là Cục Phòng, chống rửa tiền (trước thuộc Cơ quan Thanh tra, giám sát ngân hàng).
Cấm tipping-off: tuyệt đối không tiết lộ cho khách rằng họ bị báo cáo/điều tra. Cờ STR phải được phân quyền, tách luồng, mã hoá khỏi dữ liệu tuyến đầu.
Rủi ro dữ liệu điển hình của CTR: sai quy đổi ngoại tệ quanh ngưỡng, gom nhóm sai đơn vị, trùng lặp — cần đối soát ba chiều trước khi nộp.
Không tự ý dùng con số ngưỡng/thời hạn cụ thể — luôn đối chiếu văn bản pháp quy có hiệu lực; các mức trong thực tế thay đổi theo thời kỳ.