قانون مبارزه با پول‌شویی به زبان سامانه: هر ماده چه قابلیتی می‌خواهد

قانون در یک نگاه

قانون مبارزه با پول‌شویی در ۲ بهمن ۱۳۸۶ در مجلس شورای اسلامی تصویب شد و شورای نگهبان در ۱۷ بهمن همان سال آن را تأیید کرد. یازده سال بعد، در ۱۵ دی ۱۳۹۷، قانون اصلاح شد: مواد ۱، ۲، ۳، ۵، ۶، ۷، ۸، ۹ و ۱۱ تغییر کردند و مادهٔ ۷ مکرر و مواد ۱۳ و ۱۴ به متن اضافه شدند.

متن قانون کوتاه است و بیشتر می‌گوید «چه» باید انجام شود تا «چطور». جزئیات اجرایی، مثل سطح‌های شناسایی مشتری، سقف‌های گزارش‌دهی و مهلت‌ها، در آیین‌نامهٔ اجرایی مادهٔ ۱۴ الحاقی آمده است که هیئت وزیران در سال ۱۳۹۸ تصویب کرد و بعدها اصلاح شد. پس هر کس سامانهٔ انطباق می‌سازد یا می‌خرد باید دو لایه را از هم جدا کند: تکلیف‌هایی که در قانون ثابت‌اند و عددهایی که ممکن است با هر اصلاحیه عوض شوند.

در ادامه ماده‌به‌ماده جلو می‌رویم و برای هر تکلیف یک سؤال می‌پرسیم: سامانه باید چه کاری بلد باشد تا واحد انطباق بتواند این تکلیف را انجام دهد و بعداً نشان دهد که انجامش داده است؟

مادهٔ ۲: سه رفتاری که پول‌شویی است

مادهٔ ۲ پول‌شویی را با سه رفتار تعریف می‌کند و هر کدام به‌تنهایی کافی است:

سامانه نمی‌تواند «علم» یا «قصد» را تشخیص دهد؛ این‌ها را مرجع قضایی بررسی می‌کند. کاری که از سامانه برمی‌آید دیدن ردپای رفتار است: پولی که در چند مرحله میان حساب‌های تازه جابه‌جا می‌شود تا ردش گم شود، شرکتی که مالک واقعی‌اش پشت چند لایه سهام‌داری است، یا گردش حسابی که با شغل و درآمد صاحب حساب تناسبی ندارد.

هر سه رفتار در گراف شکل مشخصی دارند. تبدیل و انتقال به شکل زنجیره‌ای از یال‌های انتقال وجه دیده می‌شود. پنهان کردن مالکیت به شکل مسیرهای بلند سهام‌داری درمی‌آید. نگه‌داشتن عواید هم معمولاً انباشت دارایی نزد کسی است که منبع درآمد روشنی ندارد. برای همین ردیابی گردش وجوه و ردیابی زنجیرهٔ مالکیت دو قابلیت پایه‌اند که هر سامانهٔ مبارزه با پول‌شویی به آن‌ها نیاز دارد.

مادهٔ ۴: سامانهٔ هوشمند در متن قانون

مادهٔ ۴ شورایی را به ریاست وزیر امور اقتصادی و دارایی پیش‌بینی می‌کند که هماهنگی اجرای قانون با آن است. یکی از وظایفی که برای این شورا آمده، فراهم کردن سامانه‌های هوشمند برای کشف معاملات مشکوک است.

این جمله نشان می‌دهد قانون‌گذار کشف دستی را کافی ندانسته است. حجم تراکنش‌های یک بانک آن‌قدر زیاد است که هیچ تیمی نمی‌تواند همه را با چشم ببیند. اما «هوشمند» نباید به معنای جعبهٔ سیاه باشد. هشداری که نتوان توضیح داد چرا صادر شده، نه به کار کارشناس می‌آید و نه به کار ناظر.

در یال‌تک هر هشدار همراه با زیرگرافی صادر می‌شود که دلیلش را نشان می‌دهد: کدام حساب‌ها، کدام انتقال‌ها، کدام نشانی یا تلفن مشترک. قاعده‌ها خوانا و قابل ویرایش‌اند و هر تغییر در آن‌ها با نام تغییردهنده و تاریخ ثبت می‌شود.

مادهٔ ۵ و ۶: مشمولان و دستگاه‌هایی که باید اطلاعات بدهند

مادهٔ ۵ فهرست اشخاص و نهادهایی را می‌آورد که مکلف به اجرای قانون‌اند. این فهرست به بانک‌ها محدود نیست:

مادهٔ ۶ از سوی دیگر به موضوع نگاه می‌کند. گمرک، سازمان امور مالیاتی، سازمان ثبت اسناد و املاک، دفاتر اسناد رسمی، وکلا و حسابرسان باید اطلاعات لازم را در اختیار مراجع ذی‌صلاح بگذارند. در عمل یعنی بخش بزرگی از دانسته‌هایی که برای بررسی یک پرونده لازم است بیرون از بانک قرار دارد و باید استعلام شود.

استعلام بی‌ضابطه خودش ریسک است. هر جست‌وجو دربارهٔ یک شخص باید هدف مشخص داشته باشد و ثبت شود. درگاه استعلام یال‌تک برای هر منبع بیرونی سهمیهٔ روزانه، فهرست گروه‌های مجاز و الزام ثبت هدف تعریف می‌کند و پاسخ‌ها با کد پیگیری در پرونده می‌مانند. همین سابقه است که در بازرسی نشان می‌دهد استعلام برای کشف جرم انجام شده، نه از سر کنجکاوی.

مادهٔ ۷: تکالیف روزمرهٔ واحد انطباق

بیشتر کار روزانهٔ واحد انطباق از مادهٔ ۷ می‌آید. این ماده چند تکلیف را کنار هم می‌گذارد:

شناسایی مالک واقعی سخت‌ترین بخش این فهرست است. مشتری حقوقی فرم پر می‌کند و سهام‌دارانش را نام می‌برد، اما سهام‌دار ممکن است خودش شرکتی باشد که سهام‌دارش شرکت دیگری است. یال‌تک دادهٔ ثبتی شرکت‌ها، از جمله آگهی‌های روزنامهٔ رسمی که از رسمیو می‌آید، را به گراف تبدیل می‌کند و زنجیرهٔ سهام‌داری را تا اشخاص حقیقی دنبال می‌کند. اگر در این مسیر مدیر تکراری، نشانی مشترک یا مالکیت چرخه‌ای باشد، روی همان زنجیره علامت می‌خورد.

دو موردی که قانون صریحاً مشکوک می‌داند، یعنی ناهمخوانی با درآمد و مالک واقعی متفاوت، دقیقاً جایی است که گراف از جدول جلو می‌زند. برای ناهمخوانی، سامانه باید درآمد و شغل اظهارشده را کنار گردش واقعی بگذارد. برای مالک واقعی متفاوت، باید ببیند چه کسی واقعاً پول را می‌فرستد، از کدام دستگاه وارد حساب می‌شود و وجه در نهایت به حساب چه کسی می‌رسد.

نگهداری پنج‌ساله هم فقط بایگانی فایل نیست. ممکن است چند سال بعد مرجع قضایی بپرسد چرا معامله‌ای گزارش نشد. پاسخ باید از روی همان داده و همان قاعده‌ای باشد که آن روز اجرا شده است. یال‌تک پرونده‌ها، تصمیم‌ها و نسخهٔ قاعده‌ها را با زمان ثبت نگه می‌دارد و دورهٔ نگهداری قابل تنظیم است.

برای کنترل داخلی، دسترسی نقش‌محور تعیین می‌کند چه کسی چه چیزی را ببیند و گزارش ممیزی نشان می‌دهد چه کسی چه کاری کرده است. آموزش هم با سناریوهای نمونه ساده‌تر می‌شود؛ کارشناس تازه‌کار الگوها را روی دادهٔ ساختگی می‌بیند، پیش از آن‌که با پروندهٔ واقعی روبه‌رو شود.

مادهٔ ۷ مکرر: مرکز اطلاعات مالی

اصلاحیهٔ ۱۳۹۷ جایگاه مرکز اطلاعات مالی را در وزارت امور اقتصادی و دارایی در متن قانون آورد. این مرکز گزارش‌های معاملات مشکوک را دریافت و تحلیل می‌کند و در موارد فوری می‌تواند دستور توقیف وجوه مشکوک را حداکثر برای ۲۴ ساعت بدهد و موضوع را به مرجع قضایی گزارش کند.

۲۴ ساعت زمان کمی است. اگر گزارشی که به مرکز می‌رسد فقط شمارهٔ حساب و مبلغ را داشته باشد و نگوید پول از کجا آمده و به کجا رفته، تحلیلگر مرکز باید همه چیز را از نو جمع کند. گزارشی که مسیر وجه، اشخاص مرتبط و دلیل مشکوک بودن را روشن نشان دهد، هم کار مرکز را سریع‌تر می‌کند و هم از خود گزارش‌دهنده دفاع می‌کند.

در یال‌تک پیش‌نویس گزارش معاملهٔ مشکوک از درون پرونده ساخته می‌شود: خلاصهٔ موضوع، فهرست اشخاص و حساب‌ها، تصویر زیرگراف و شرح دلایل. کارشناس پیش‌نویس را تهیه می‌کند و مسئول انطباق آن را تأیید می‌کند. این تأیید دومرحله‌ای جلوی گزارش‌های شتاب‌زده را می‌گیرد. خروجی در قالب ساختاریافته یا با وب‌هوک به کانالی می‌رود که سازمان برای ارسال به مرکز به کار می‌برد.

مادهٔ ۸ و ۹: محرمانگی و مجازات

مادهٔ ۸ می‌گوید اطلاعاتی که برای اجرای این قانون جمع می‌شود فقط برای کشف جرم به کار می‌رود و افشای آن جرم است و مجازات تعزیری درجهٔ پنج دارد. مادهٔ ۹ برای مرتکب پول‌شویی، علاوه بر ضبط عواید، حبس تعزیری درجهٔ پنج یا چهار را بسته به مبلغ پیش‌بینی می‌کند.

برای سامانه، مادهٔ ۸ سخت‌گیرانه‌ترین ماده است. کارمندی که از سر کنجکاوی پروندهٔ یک آشنا را باز می‌کند، یا گزارشی که به ایمیل شخصی فرستاده می‌شود، می‌تواند مصداق افشا باشد. پیامد عملی‌اش این است:

جدول نگاشت ماده به قابلیت

جدول زیر خلاصهٔ همین نوشته است. صفحهٔ انطباق با مقررات همین نگاشت را برای سه نهاد ناظر کنار هم آورده است.

چرا مستندسازی برای روابط کارگزاری مهم است

گروه ویژهٔ اقدام مالی (FATF) ایران را همچنان در فهرست «فراخوان برای اقدام» نگه داشته و از اعضا خواسته است اقدامات متقابل اعمال کنند. نتیجهٔ عملی برای بانک‌ها و مؤسسات ایرانی این است که هر رابطهٔ کارگزاری یا همکاری با طرف خارجی با پرسش‌های سخت دربارهٔ برنامهٔ انطباق شروع می‌شود.

در چنین شرایطی سیاست مکتوب کافی نیست. طرف مقابل می‌خواهد ببیند هشدارها چطور صادر می‌شوند، چه کسی آن‌ها را بررسی می‌کند، چه سهمی از آن‌ها به گزارش می‌رسد و تصمیم‌ها بر چه اساسی گرفته شده‌اند. سامانه‌ای که هر مرحله را با زمان و نام ثبت کند، این شواهد را بدون کار اضافه فراهم می‌کند. انطباق قابل توضیح در گفت‌وگو با بانک خارجی، با حسابرس و با ناظر داخلی زبان مشترکی می‌سازد.

از کجا شروع کنیم

اگر سازمان شما سامانهٔ پایش تراکنش دارد، لازم نیست آن را کنار بگذارید. پیشنهاد ما شروع از یک خط کسب‌وکار است:

سناریوهای پول‌شویی را می‌توانید همین حالا روی دادهٔ ساختگی در نسخهٔ نمایشی یال‌تک ببینید.