Thực tế cho thấy không ít doanh nghiệp đều có quy định nội bộ về phòng, chống rửa tiền (“PCRT”). Tuy nhiên, khi cơ quan quản lý kiểm tra, điều họ quan tâm không chỉ là doanh nghiệp có một bộ quy chế hay không mà là quy chế đó có thực sự được áp dụng trong hoạt động kinh doanh hằng ngày hay chỉ tồn tại trong hồ sơ lưu trữ. Khoảng cách giữa "có quy định" và "vận hành được quy định" chính là nguyên nhân khiến nhiều doanh nghiệp vẫn bị xử lý dù đã đầu tư đáng kể cho công tác tuân thủ.
Một quy định nội bộ như vậy rất khó phát huy giá trị.
Một quy định tốt là quy định để nhân viên thực hiện
Khi được yêu cầu xây dựng quy định nội bộ về PCRT, phản ứng đầu tiên của nhiều doanh nghiệp là tìm một mẫu quy chế có sẵn hoặc sử dụng tài liệu của công ty mẹ ở nước ngoài. Cách làm này giúp doanh nghiệp nhanh chóng hoàn thiện hồ sơ, nhưng cũng tạo ra một hạn chế lớn: quy định được xây dựng để đáp ứng yêu cầu pháp lý hơn là phục vụ hoạt động quản trị.
Không khó để bắt gặp những bộ quy chế dài hàng chục, thậm chí hàng trăm trang, viện dẫn đầy đủ quy định pháp luật và khuyến nghị quốc tế nhưng lại không phản ánh quy trình kinh doanh thực tế của doanh nghiệp. Người trực tiếp giao dịch với khách hàng không biết phải áp dụng điều khoản nào, bộ phận kinh doanh không xác định được khi nào cần thẩm định bổ sung, còn bộ phận tuân thủ chỉ được nhắc đến khi có đoàn thanh tra.
Một quy định nội bộ như vậy rất khó phát huy giá trị. Bởi lẽ, mục tiêu của pháp luật không phải buộc doanh nghiệp sở hữu một bộ tài liệu hoàn chỉnh, mà yêu cầu doanh nghiệp thiết lập được một cơ chế có khả năng nhận diện, kiểm soát và xử lý rủi ro rửa tiền trong quá trình hoạt động.
Điều này cũng lý giải vì sao xu hướng thanh tra hiện nay không còn dừng ở việc kiểm tra sự tồn tại của quy định nội bộ. Cơ quan quản lý ngày càng quan tâm nhiều hơn đến cách doanh nghiệp vận hành hệ thống đó trên thực tế. Nhân viên có được đào tạo hay không, giao dịch đáng ngờ được xử lý như thế nào, việc nhận biết khách hàng có được thực hiện đầy đủ hay không và doanh nghiệp có lưu giữ được bằng chứng về các hoạt động kiểm soát hay không mới là những yếu tố quyết định.
Ở góc độ quản trị, một quy định nội bộ chỉ có ý nghĩa khi nó trở thành cách doanh nghiệp xử lý công việc hằng ngày. Nếu nhân viên không hiểu quy định, không biết áp dụng vào từng tình huống cụ thể hoặc thường xuyên tìm cách bỏ qua các bước kiểm soát vì quá phức tạp, thì dù quy chế được soạn thảo công phu đến đâu cũng khó có thể coi là một chương trình PCRT hiệu quả.
Nói cách khác, chất lượng của một quy định nội bộ không được đo bằng số lượng điều khoản hay độ dày của tài liệu, mà bằng khả năng biến các yêu cầu pháp lý thành những quy trình đơn giản, rõ ràng và có thể thực hiện trong hoạt động kinh doanh.
Một hệ thống PCRT hiệu quả phải bắt đầu từ rủi ro chứ không phải từ quy trình
Một sai lầm khác khá phổ biến là doanh nghiệp bắt đầu xây dựng hệ thống PCRT bằng việc thiết kế các biểu mẫu, quy trình nhận biết khách hàng hoặc quy trình báo cáo giao dịch đáng ngờ. Đây đều là những thành phần quan trọng của chương trình tuân thủ, nhưng không phải là điểm khởi đầu.
Luật PCRT năm 2022 cũng như các Khuyến nghị của Lực lượng đặc nhiệm tài chính quốc tế (FATF) đều đặt nền tảng trên cách tiếp cận dựa trên rủi ro. Điều đó có nghĩa là trước khi quyết định phải kiểm soát như thế nào, doanh nghiệp cần trả lời một câu hỏi quan trọng hơn: rủi ro rửa tiền của chính mình nằm ở đâu?
Câu trả lời sẽ không giống nhau giữa các doanh nghiệp. Một công ty luật chuyên tư vấn M&A sẽ đối mặt với những rủi ro khác một doanh nghiệp kinh doanh vàng. Một sàn môi giới bất động sản sẽ có hồ sơ rủi ro khác một doanh nghiệp cung cấp dịch vụ kế toán. Ngay trong cùng một ngành nghề, doanh nghiệp phục vụ khách hàng trong nước cũng có thể đối mặt với mức độ rủi ro khác doanh nghiệp thường xuyên thực hiện giao dịch xuyên biên giới hoặc làm việc với các cấu trúc sở hữu phức tạp.
Chính vì vậy, việc đánh giá rủi ro cần được đặt ở vị trí trung tâm của toàn bộ chương trình PCRT. Doanh nghiệp cần xác định nhóm khách hàng nào có mức độ rủi ro cao hơn, loại giao dịch nào cần được theo dõi chặt chẽ hơn, sản phẩm hoặc dịch vụ nào dễ bị lợi dụng để che giấu nguồn gốc tài sản và những yếu tố nào có thể làm gia tăng khả năng phát sinh giao dịch đáng ngờ. Chỉ khi hiểu rõ những rủi ro đó, doanh nghiệp mới có cơ sở để thiết kế quy trình nhận biết khách hàng, xây dựng cơ chế phê duyệt nội bộ, xác định trường hợp cần tăng cường thẩm định hoặc quyết định mức độ kiểm soát phù hợp đối với từng nhóm giao dịch.
Ngược lại, nếu doanh nghiệp sao chép một quy trình có sẵn và áp dụng giống nhau cho mọi khách hàng, hệ thống kiểm soát sẽ nhanh chóng bộc lộ hạn chế. Một mặt, doanh nghiệp phải dành quá nhiều nguồn lực cho những giao dịch có mức độ rủi ro thấp. Mặt khác, những giao dịch thực sự cần được xem xét kỹ lưỡng lại có nguy cơ bị bỏ sót vì không được phân loại đúng ngay từ đầu.
Đó cũng là điểm khác biệt giữa một chương trình tuân thủ mang tính hình thức và một hệ thống quản trị rủi ro thực sự. Chương trình thứ nhất được xây dựng từ các biểu mẫu và quy trình có sẵn. Chương trình thứ hai được thiết kế từ chính đặc điểm kinh doanh của doanh nghiệp, sau đó mới chuyển hóa thành các quy trình kiểm soát phù hợp.
Một hệ thống PCRT hiệu quả vì vậy không bắt đầu bằng câu hỏi "doanh nghiệp cần ban hành những quy trình gì", mà bắt đầu bằng câu hỏi "doanh nghiệp đang phải quản lý những rủi ro nào". Chỉ khi trả lời đúng câu hỏi đầu tiên, doanh nghiệp mới có thể xây dựng được những quy định nội bộ vừa đáp ứng yêu cầu của pháp luật, vừa đủ linh hoạt để đồng hành cùng hoạt động kinh doanh.
Một chương trình PCRT chỉ hiệu quả khi trở thành một "hệ thống sống"
Nếu đánh giá rủi ro là nền móng thì việc vận hành mới quyết định chất lượng của toàn bộ chương trình PCRT. Đây cũng là điểm mà nhiều doanh nghiệp Việt Nam còn yếu.
Không ít doanh nghiệp coi việc ban hành quy định nội bộ là điểm kết thúc của quá trình tuân thủ. Trên thực tế, đó mới chỉ là điểm khởi đầu. Một quy định, dù được xây dựng công phu đến đâu, cũng sẽ nhanh chóng trở nên lạc hậu nếu không được vận hành, kiểm tra và cập nhật thường xuyên.
Dấu hiệu dễ nhận thấy nhất của một chương trình PCRT thiếu hiệu quả là nhân viên không biết phải làm gì khi phát sinh một tình huống bất thường. Ai có trách nhiệm quyết định giao dịch có dấu hiệu đáng ngờ? Khi nào cần thẩm định tăng cường? Bộ phận nào có trách nhiệm báo cáo? Nếu những câu hỏi này không có câu trả lời rõ ràng, doanh nghiệp rất khó chứng minh rằng hệ thống kiểm soát của mình đang thực sự hoạt động.
Bởi vậy, đào tạo không nên được xem là một hoạt động mang tính thủ tục sau khi ban hành quy định. Đây phải là một phần của chính hệ thống quản trị. Điều nhân viên cần không phải là ghi nhớ các điều khoản của Luật PCRT năm 2022, mà là hiểu những rủi ro có thể phát sinh trong chính công việc hằng ngày của mình và biết cách xử lý khi gặp những tình huống đó.
Cùng với con người, công nghệ đang trở thành công cụ quan trọng giúp doanh nghiệp nâng cao hiệu quả tuân thủ. Các giải pháp định danh điện tử, sàng lọc khách hàng, nhận diện chủ sở hữu hưởng lợi hay giám sát giao dịch có thể giúp doanh nghiệp phát hiện rủi ro nhanh hơn và giảm đáng kể các thao tác thủ công.
Tuy nhiên, công nghệ không thể thay thế quản trị. Một hệ thống có thể phát hiện hàng trăm cảnh báo mỗi ngày nhưng vẫn thất bại nếu doanh nghiệp không quy định rõ ai là người đánh giá cảnh báo, ai có quyền quyết định và quy trình xử lý tiếp theo là gì. Ngược lại, nhiều doanh nghiệp quy mô vừa và nhỏ vẫn có thể xây dựng một chương trình PCRT hiệu quả dù chưa đầu tư các phần mềm chuyên biệt, miễn là quy trình được thiết kế hợp lý và được thực hiện nhất quán.
Một yêu cầu khác thường bị bỏ quên là rà soát và cập nhật quy định nội bộ. Nhiều doanh nghiệp chỉ sửa đổi quy chế khi pháp luật thay đổi, trong khi rủi ro rửa tiền lại biến động nhanh hơn rất nhiều. Doanh nghiệp có thể mở thêm ngành nghề, phát triển sản phẩm mới, mở rộng sang thị trường khác hoặc tiếp cận nhóm khách hàng mới. Mỗi thay đổi đó đều có thể làm thay đổi đáng kể hồ sơ rủi ro và khiến những biện pháp kiểm soát trước đây không còn phù hợp.
Chính vì vậy, một chương trình PCRT hiệu quả phải được xem là một "hệ thống sống", liên tục được điều chỉnh theo sự thay đổi của hoạt động kinh doanh thay vì chỉ được cập nhật theo chu kỳ sửa đổi của pháp luật.
Ở góc độ doanh nghiệp, cách tiếp cận này cũng mang lại nhiều lợi ích hơn.
Tuân thủ được đo bằng hiệu quả, không phải số lượng tài liệu
Một thay đổi đáng chú ý trong hoạt động quản lý nhà nước là cách đánh giá công tác PCRT của doanh nghiệp. Trước đây, việc kiểm tra thường tập trung vào câu hỏi doanh nghiệp đã ban hành quy định nội bộ hay chưa. Hiện nay, trọng tâm đã chuyển sang đánh giá hệ thống đó có vận hành hiệu quả hay không. Điều này cũng phù hợp với xu hướng quốc tế. Các chuẩn mực của FATF không khuyến khích doanh nghiệp xây dựng những bộ quy chế ngày càng phức tạp mà nhấn mạnh tính hiệu quả của hệ thống kiểm soát. Một chương trình PCRT được coi là hiệu quả khi doanh nghiệp có thể chứng minh đã nhận diện đúng rủi ro, áp dụng các biện pháp kiểm soát tương xứng, đào tạo nhân sự phù hợp và xử lý kịp thời các giao dịch có dấu hiệu bất thường.
Ở góc độ doanh nghiệp, cách tiếp cận này cũng mang lại nhiều lợi ích hơn. Một hệ thống được thiết kế dựa trên rủi ro sẽ giúp doanh nghiệp sử dụng nguồn lực tuân thủ hợp lý, tránh tình trạng kiểm soát dàn trải đối với mọi khách hàng và mọi giao dịch. Đồng thời, doanh nghiệp cũng dễ dàng thích ứng hơn khi mở rộng hoạt động, tiếp cận nhà đầu tư nước ngoài hoặc tham gia các giao dịch có yêu cầu cao về tuân thủ.
Quan trọng hơn, chương trình PCRT ngày nay không còn tồn tại độc lập. Nó ngày càng gắn chặt với quản trị doanh nghiệp, bảo vệ dữ liệu cá nhân, quản trị rủi ro, kiểm soát nội bộ và quản trị công nghệ. Đối với nhiều tập đoàn quốc tế, đây đã trở thành một cấu phần của hệ thống quản trị tổng thể chứ không còn là một nghĩa vụ pháp lý riêng lẻ.
Kết luận
Đối với các doanh nghiệp thuộc đối tượng báo cáo theo Luật PCRT năm 2022, giá trị của một chương trình tuân thủ không nằm ở độ dày của quy chế hay số lượng biểu mẫu được ban hành. Điều quan trọng hơn là chương trình đó có phản ánh đúng đặc thù hoạt động của doanh nghiệp, được xây dựng trên cơ sở đánh giá rủi ro, được nhân viên hiểu và áp dụng trong từng giao dịch, đồng thời được rà soát thường xuyên để thích ứng với sự thay đổi của môi trường kinh doanh.
Trong bối cảnh yêu cầu minh bạch và tuân thủ ngày càng trở thành tiêu chí quan trọng trong quan hệ với cơ quan quản lý, ngân hàng, quỹ đầu tư và đối tác quốc tế, quy định nội bộ về PCRT không còn là một tài liệu để lưu trong hồ sơ thanh tra. Đó là thước đo năng lực quản trị rủi ro của doanh nghiệp. Một hệ thống được thiết kế phù hợp, vận hành hiệu quả và liên tục được cải thiện sẽ không chỉ giúp doanh nghiệp giảm thiểu nguy cơ xử phạt mà còn góp phần củng cố uy tín, tăng khả năng tiếp cận vốn và nâng cao năng lực cạnh tranh trong một môi trường kinh doanh ngày càng đặt nặng yếu tố tuân thủ.
