تکالیف مبارزه با پولشویی در مقررات ایران پراکندهاند: بخشی در قانون، بخشی در آییننامه اجرایی ماده ۱۴، بخشی در دستورالعملهای بانک مرکزی و ابلاغیههای مرکز اطلاعات مالی. این راهنما آنها را بهترتیب چرخهٔ عملیاتی یک مؤسسه مالی کنار هم میگذارد.
اگر مسئول تطبیق یک بانک یا نهاد مالی باشید، مشکل شما نبودِ مقررات نیست؛ پراکندگی آنهاست. یک تکلیف در مادهای از آییننامه آمده، استثنایش در تبصرهای در فصل دیگر، مهلتش در یک ابلاغیه و شکل گزارشش در یک دستورالعمل جداگانه. این راهنما همان تکالیف را نه بهترتیب شماره ماده، بلکه بهترتیبی که در عمل با آنها روبهرو میشوید مرور میکند.
حلقهٔ اول: پیش از آنکه مشتری مشتری شود
نخستین تکلیف، پیش از هر تعاملی برقرار میشود. مطابق ماده ۸ آییننامه و ابلاغیههای شمارهٔ ۵ (۱۴۰۱/۰۷/۳۰) و ۱۱ (۱۴۰۳/۰۹/۰۳) مرکز، ارزیابی و طبقهبندی ریسک تعامل کاری باید پیش از هرگونه ارائهٔ خدمت انجام شود و سه بُعد را در بر بگیرد: ریسک اربابرجوع، منطقهٔ جغرافیایی و نوع خدمت دریافتی.
ماده ۱۲ این را کامل میکند: ارائهٔ خدمت صرفاً پس از ثبت اطلاعات لازم برای تعیین ریسک مجاز است، و تعاملات کاری با ریسک بالا باید در نرمافزار ثبت شوند. یعنی نمیتوان خدمت را آغاز کرد و ارزیابی را به بعد سپرد.
جزئیات این حلقه را در نوشتهٔ رویکرد مبتنی بر ریسک مرور کردهایم.
حلقهٔ دوم: سه سطح شناسایی و مرزهای آنها
ماده ۵۲ (اصلاحی ۱۴۰۴/۰۷/۲۷) مؤسسات مالی و صرافیها را مکلف میکند فرآیندهای شناسایی مقتضی — شامل شناسایی ساده، معمول و مضاعف — را چنان سامان دهند که در آغاز و در طول تعامل کاری، ارزیابی ریسک و اتخاذ رویهٔ متناسب ممکن باشد.
نکتهای که در عمل نادیده گرفته میشود در ماده ۵۳ است: اکتفا به شناسایی ساده فقط پس از یک ارزیابی جامع ریسک و تنها در مواردی مجاز است که ریسک تعاملات کاری پایین ارزیابی شود. افزون بر آن، تبصرهٔ همان ماده مقرر میکند مصادیق تعاملاتی که شناسایی ساده روی آنها اجرا میشود باید به تأیید دستگاه متولی نظارت برسد. یعنی شناسایی ساده تصمیم داخلی مؤسسه نیست.
تدابیر سهلگیرانهٔ شناسایی ساده در ماده ۵۴ فهرست شدهاند: کاهش تعداد دفعات بهروزرسانی اطلاعات، و کاهش میزان پایش مستمر و بررسی موشکافانهٔ تراکنشها بر اساس سطح فعالیت مورد انتظار.
در سوی دیگر، ماده ۷۷ شناسایی مضاعف را برای موارد با ریسک بالا الزامی میکند و حداقل شش مصداق را برمیشمارد: اشخاصی که مراجع بینالمللی ریسکشان را بالاتر اعلام کردهاند، ذینفع بیمهٔ عمر یا ترتیبات حقوقی، حسابهای کارگزاری خارجی، بانکداری اختصاصی، اشخاص دارای ریسک سیاسی، و تراکنشهای غیرمعمول بدون هدف اقتصادی مشخص.
حلقهٔ سوم: مالک واقعی
برای اشخاص حقوقی، شناسایی تا زمانی که به شخص حقیقی نرسد ناتمام است. سطح اطلاعات اخذشده — از جمله اطلاعات مالک واقعی — باید متناسب با ریسک تعیین، نگهداری و بهروزرسانی شود. در ساختارهای چندلایه، این یعنی پیمایش زنجیرهٔ مالکیت، نه خواندن یک سند ثبتی.
ماده ۹ مکرر (الحاقی ۱۴۰۴/۰۷/۲۷) این را با اشخاص سیاسی خارجی گره میزند: اگر اربابرجوع یا مالک واقعی شخص سیاسی خارجی باشد، علاوه بر شناسایی معمول باید منبع و منشأ وجوه احراز شود، تراکنشها بهطور مستمر پایش شوند، و تأییدیهٔ مدیریت ارشد برای شروع و تداوم تعامل اخذ گردد.
تعریف دقیق و روش کشف را در مالک واقعی کیست؟ شرح دادهایم.
حلقهٔ چهارم: سطح فعالیت مورد انتظار
سطح فعالیت مورد انتظار، پیشبینی حداکثر مجموع گردش بدهکار و بستانکار همهٔ حسابهای سپردهٔ مشتری نزد یک مؤسسه در یک بازهٔ یکسالهٔ شمسی است. این عدد مرجع سنجش رفتار مالی است: هر عبوری از آن، «مغایرت رفتار مالی» نامیده میشود.
دستورالعمل اجرایی تعیین سطح فعالیت مشتریان مؤسسات اعتباری سقفهای مشخصی تعیین کرده است. جزئیات و پیامد استنکاف مشتری را در سطح فعالیت مورد انتظار مشتری آوردهایم.
حلقهٔ پنجم: کشف معاملات مشکوک
این حلقه جایی است که تفاوت میان یک واحد تطبیق کارآمد و یک واحد گزارشساز مشخص میشود. ماده ۳۶ اشخاص مشمول را مکلف میکند «از راهکارهای سامانهای کافی، جامع و کارآمد» برای اجرای مفاد آییننامه استفاده کنند، و تبصرهٔ آن راه گریز را میبندد: مؤسسهای که امکان استفاده از فناوری اطلاعات را ندارد باید روش جایگزین کارآمدی انتخاب کند و به تأیید دستگاه ناظر برساند.
ماده ۸۱ (اصلاحی ۱۴۰۴/۰۷/۲۷) صریحتر است. مؤسسات مالی و بانک مرکزی مکلفاند ظرف دو سال پس از تصویب آییننامه، بهمنظور ایجاد فرآیند نظارت خودکار برای شناسایی عملیات یا معاملات مشکوک، نرمافزارهای کشف تقلب را روی همهٔ سامانههای خود مستقر کنند — مبتنی بر روشهای دادهکاوی و مطابق با استاندارد الگوی رفتار مالی.
در بازار سرمایه، همین موضوع شکل سختگیرانهتری دارد: شاخصهای معاملات مشکوک باید کمیسازی شوند تا عملکرد نرمافزار قابل ارزیابی و صحت هشدارها قابل کنترل باشد. این از الزامات اصلی بررسی کسبوکاری نرمافزار است.
حلقهٔ ششم: رسیدگی، گزارش و مهلتها
پس از صدور هشدار، رسیدگی آغاز میشود و مهلتها وارد میشوند. سه مهلتی که بیشترین فشار عملیاتی را ایجاد میکنند — ارسال گزارش معاملات مشکوک، معنای دقیق «بدون تأخیر»، و زمان ارائهٔ اسناد به نهاد ناظر — در مهلتهای قانونی گزارشدهی با جزئیات آمدهاند.
در کنار گزارش موردی، تکالیف دورهای هم وجود دارد: هشدار پیگیری تکالیف برنامهٔ اقدام در بازههای سهماهه، ثبت و بهروزرسانی برنامهٔ داخلی مبارزه با پولشویی در بازههای سه تا پنج ساله با گزارش عملکرد ششماهه، و هشدار بهروزرسانی شناسایی معمول برای همهٔ اربابرجوعان در مقاطع سالانه.
چه کسی مسئول است
ماده ۳۷ (اصلاحی ۱۴۰۴/۰۷/۲۷) مقرر میکند مسئول واحد مبارزه با پولشویی از میان مدیران ارشد انتخاب شود و مرکز صلاحیت تخصصی او را بررسی کند. تبصره ۱ جایگاه واحد را تعیین میکند: زیر نظر بالاترین مرجع تصمیمگیری، با دسترسی «بدون محدودیت یا اخذ مجوز» به همهٔ اطلاعات و زیرساختهای سامانهای، و با عضویت در کمیتههای تدوین مقررات و توسعهٔ محصول.
و تبصره ۴ نکتهای دارد که گاهی از قلم میافتد: نبود واحد مبارزه با پولشویی، رافع تکلیف نیست — در آن صورت همهٔ وظایف بر عهدهٔ بالاترین مقام اجرایی مؤسسه است. تفصیل این بخش در واحد مبارزه با پولشویی آمده است.
اگر در بازار سرمایه فعالیت میکنید
همهٔ آنچه گفته شد پایهٔ مشترک است، اما نهادهای تحت نظارت سازمان بورس و اوراق بهادار مرجع تأیید و مجموعه الزامات جداگانهای دارند. مهمترین تفاوت عملیاتی: بهرهبرداری از سامانه صرفاً پس از اخذ تأییدیهٔ سازمان ممکن است، و درخواست بررسی را فقط مؤسسهٔ مالی تحت نظارت میتواند ارسال کند. این را در الزامات سامانه مبارزه با پولشویی در بازار سرمایه شرح دادهایم.
نگهداری اسناد: آنچه باید بماند و تا کی
تکلیف نگهداری اسناد کمتر از بقیه دربارهٔ آن صحبت میشود، اما در بازرسی نظارتی نخستین چیزی است که پرسیده میشود. دامنهٔ آن سه دستهٔ متمایز است: سوابق شناسایی اربابرجوع (اسناد و تصاویر مدارک هویتی، پروانه و مجوزهای کسبوکار)، سوابق معاملات و تراکنشها، و سوابق رسیدگی به هشدارها و مکاتبات مربوط به موارد مشکوک.
نکتهٔ عملی این است که «نگهداری» با «قابل ارائه بودن» یکی نیست. سندی که در بایگانی فیزیکی شعبهای در شهرستان است، از نظر مقررات نگهداری شده اما در مهلت مقرر قابل ارائه نیست. به همین دلیل ماده ۶۴ و مواد مرتبط، بر نگهداری دیجیتال و امکان استعلام و راستیآزمایی از مراجع ذیربط تأکید دارند.
تبصره ۳ ماده ۸ حکم روشنی دارد: در صورت وجود مغایرت میان اطلاعات خوداظهاری یا اسناد ارائهشده با اطلاعات پایگاههای اطلاعاتی ذیربط، باید از ارائهٔ هرگونه خدمت تا اصلاح مغایرت خودداری شود. این یک کنترل سیستمی است، نه یادداشتی در پرونده.
پنج خطای پرتکرار در استقرار
در پروژههای استقرار، الگوهای مشخصی تکرار میشوند. شناخت آنها معمولاً ارزانتر از تجربهکردنشان است:
- یکیکردن همهٔ فهرستها. فهرست اشخاص معین، اشخاص سیاسی، تحت مراقبت و مظنون، چهار تکلیف متفاوت دارند — از نظارت بیشتر تا منع خدمت. اجرای یک قاعدهٔ واحد روی همه، یا خدمت مجاز را مسدود میکند یا خدمت ممنوع را ادامه میدهد.
- تنظیم آستانهها برای کمینهکردن هشدار. وسوسهای که در ماههای اول استقرار بهسراغ همه میآید. مسئله این نیست که تعداد هشدارها کم باشد؛ مسئله این است که نرخ هشدار درست قابل سنجش باشد. آستانهای که هیچ هشداری تولید نمیکند، در بررسی کسبوکاری قابل دفاع نیست.
- توقف در مالک ثبتی. برای اشخاص حقوقی، خواندن آخرین روزنامهٔ رسمی، شناسایی مالک واقعی نیست. در ساختارهای چندلایه، زنجیره باید تا شخص حقیقی پیموده شود.
- شناسایی ساده بهعنوان تصمیم داخلی. مصادیق آن باید به تأیید دستگاه ناظر برسد. فهرستی که واحد تطبیق خودش تعریف کرده و تأیید نشده، در بازرسی خلأ محسوب میشود.
- نبود رد ممیزی روی تغییرات. اینکه چه کسی، چه زمانی، کدام آستانه یا کدام سطح ریسک را تغییر داده، باید ثبت شده باشد. بدون آن، دفاع از عملکرد گذشته به حافظهٔ افراد متکی میشود.
فهرست وارسی
اگر بخواهید وضعیت سازمان خود را در یک نشست ارزیابی کنید، این هفت پرسش کافی است:
- آیا هیچ خدمتی پیش از تعیین سطح ریسک اربابرجوع ارائه میشود؟
- مصادیق شناسایی ساده به تأیید دستگاه ناظر رسیدهاند؟
- برای اشخاص حقوقی، مالک واقعی تا لایهٔ آخر کشف میشود یا در مالک ثبتی متوقف میماند؟
- سطح فعالیت مورد انتظار برای همهٔ مشتریان تعیین شده و مغایرت آن خودکار محاسبه میشود؟
- سناریوهای کشف معاملات مشکوک کمیسازی شدهاند و نرخ هشدار درست قابل سنجش است؟
- واحد تطبیق بدون اخذ مجوز به همهٔ سامانهها دسترسی دارد و در کمیتهٔ توسعهٔ محصول عضو است؟
- اگر فردا مرکز استعلامی بفرستد، پاسخ در چند ساعت آماده میشود یا چند روز؟
هر پاسخ منفی، یک شکاف مستندشدنی در بازرسی نظارتی است.
این نوشته صرفاً جنبه اطلاعرسانی دارد و جایگزین متن رسمی قانون، آییننامه و دستورالعملهای ابلاغی نیست.
میخواهید ببینید این الزامات در عمل چگونه اجرا میشوند؟
بازگشت به فهرست مقالات مقالات مقررات
