1. Bối cảnh và mục đích báo cáo
Năm 2023, Việt Nam bị Lực lượng Đặc nhiệm Tài chính (FATF) đưa vào danh sách giám sát tăng cường — thường gọi là “danh sách xám”. Tại bản cập nhật gần nhất sau Phiên họp toàn thể FATF ngày 13/02/2026, Việt Nam vẫn nằm trong danh sách này. Kể từ đó, việc hoàn thiện khuôn khổ pháp lý phòng, chống rửa tiền (PCRT) theo chuẩn quốc tế trở thành một ưu tiên quốc gia, vừa để bảo vệ hệ thống tài chính, vừa để sớm đưa Việt Nam ra khỏi danh sách này. Dự thảo Luật sửa đổi, bổ sung một số điều của Luật Ngân hàng Nhà nước, Luật Phòng, chống rửa tiền và Luật Các tổ chức tín dụng (sau đây gọi là “Dự thảo”) là một mắt xích quan trọng trong nỗ lực đó.
Điểm đáng chú ý nhất của Dự thảo nằm ở chỗ: lần đầu tiên, lĩnh vực tài sản mã hóa được đưa thẳng vào phạm vi điều chỉnh của Luật PCRT. Đây cũng chính là lĩnh vực mà FATF dành sự quan tâm đặc biệt suốt từ năm 2019, thông qua Khuyến nghị 15 và Báo cáo về các Dấu hiệu Cảnh báo (Red Flag Indicators) năm 2020.
Báo cáo này đặt Dự thảo cạnh khung chuẩn của FATF để trả lời ba câu hỏi:
(i) Dự thảo đã bổ sung những gì mới?
(ii) FATF có những nội dung nào mà Dự thảo chưa đề cập, và ngược lại?
(iii) Từ đó rút ra nhận định gì cho chặng đường hoàn thiện tiếp theo?
Báo cáo được trình bày theo mạch dẫn dắt logic, đi từ bức tranh tổng thể đến từng chi tiết kỹ thuật. Cần lưu ý, báo cáo phân tích trên cơ sở bản Dự thảo sửa đổi đồng thời ba đạo luật; nội dung và phạm vi dự thảo có thể thay đổi qua các vòng thẩm định, trình (đơn cử, hồ sơ thẩm định do Bộ Tư pháp công bố ngày 06/3/2026 có tên gọi với phạm vi hẹp hơn, chỉ gồm Luật Ngân hàng Nhà nước Việt Nam và Luật Phòng, chống rửa tiền), do đó các trích dẫn điều khoản cần được đối chiếu với bản dự thảo chính thức mới nhất tại thời điểm sử dụng.
2. Bức tranh tổng thể của Dự thảo
Dự thảo sửa đổi đồng thời ba đạo luật, nhưng phần lớn nội dung liên quan đến PCRT nằm ở Điều 2 — sửa đổi Luật Phòng, chống rửa tiền số 14/2022/QH15. Phần sửa Luật Ngân hàng Nhà nước (Điều 1) chủ yếu mang tính tổ chức và quản lý ngoại hối; phần sửa Luật Các tổ chức tín dụng (Điều 3) liên quan đến đại lý quản lý tài sản bảo đảm trái phiếu. Vì vậy, báo cáo tập trung vào Điều 2.
Có thể hình dung những thay đổi về PCRT theo bốn nhóm chính:
(1) Mở rộng phạm vi đối tượng báo cáo sang tài sản mã hóa;
(2) Siết chặt quy trình nhận biết và xác minh khách hàng, gồm chủ sở hữu hưởng lợi;
(3) Bổ sung bộ 15 dấu hiệu đáng ngờ chuyên biệt cho tài sản mã hóa;
(4) Nâng cấp nghĩa vụ lưu trữ dữ liệu và phân công giám sát. Các phần sau lần lượt làm rõ từng nhóm.
3. Những vấn đề mới Dự thảo đã bổ sung
3.1. Đưa “Dịch vụ tài sản mã hóa” thành đối tượng báo cáo
Thay đổi mang tính nền tảng nằm ở việc bổ sung điểm n vào khoản 1 Điều 4: “Dịch vụ tài sản mã hóa” chính thức trở thành một loại hoạt động thuộc diện đối tượng báo cáo. Nói cách khác, các nhà cung cấp dịch vụ tài sản mã hóa (VASP) từ nay phải thực hiện đầy đủ nghĩa vụ PCRT như các định chế tài chính truyền thống. Đây là bước nội luật hóa trực tiếp tinh thần Khuyến nghị 15 của FATF về công nghệ mới và VASP.
3.2. Bộ 15 dấu hiệu đáng ngờ trong lĩnh vực tài sản mã hóa (Điều 33a)
Đây là điểm mới nổi bật nhất và cũng là phần đặc thù nhất của Dự thảo. Điều 33a bổ sung 15 dấu hiệu đáng ngờ riêng cho tài sản mã hóa, bên cạnh các dấu hiệu chung và theo ngành đã có tại các Điều 27–33. Các dấu hiệu này trải rộng từ hành vi cấu trúc hóa giao dịch, sử dụng công cụ ẩn danh, đến nguồn gốc tài sản và rủi ro địa lý. Bảng tại Mục 4 sẽ ánh xạ từng dấu hiệu vào khung phân loại của FATF.
3.3. Chủ sở hữu hưởng lợi và xác minh từ nguồn độc lập (Điều 12)
Điều 12 sửa đổi yêu cầu, đối với khách hàng tổ chức, đối tượng báo cáo phải xác minh tư cách pháp lý, cấu trúc sở hữu và quyền kiểm soát thông qua tài liệu từ các nguồn độc lập để xác định chính xác cá nhân là chủ sở hữu hưởng lợi cuối cùng. Quan trọng hơn, khi không thể hoàn tất xác minh, đối tượng báo cáo không được thực hiện giao dịch, không được thiết lập hoặc phải chấm dứt quan hệ và xem xét báo cáo giao dịch đáng ngờ. Quy định này phản ánh trực tiếp Khuyến nghị 10 và 24/25 của FATF.
3.4. Thỏa thuận pháp lý như một loại khách hàng
Điều 10 và Điều 12 bổ sung nhóm “khách hàng tham gia thỏa thuận pháp lý” (legal arrangements) với yêu cầu thu thập văn bản thành lập và tài liệu đăng ký liên quan. Đây là khái niệm FATF đặc biệt nhấn mạnh tại Khuyến nghị 25, nhằm ngăn việc lợi dụng các cấu trúc pháp lý phức tạp để che giấu chủ sở hữu thực sự.
3.5. Lưu trữ dữ liệu theo tinh thần “Travel Rule” (Điều 38)
Điều 38 nâng thời hạn và phạm vi lưu trữ. Đáng chú ý, Dự thảo yêu cầu lưu trữ tối thiểu 10 năm đối với lịch sử giao dịch, thông tin người khởi tạo và người thụ hưởng (tối thiểu tên, địa chỉ, địa chỉ ví), lịch sử địa chỉ IP và thiết bị truy cập, thông tin tài khoản ngân hàng liên kết của nhà đầu tư. Việc bắt buộc lưu trữ thông tin người khởi tạo và người thụ hưởng kèm địa chỉ ví chính là nền tảng dữ liệu của “quy tắc di chuyển thông tin” (Travel Rule) theo Khuyến nghị 16 của FATF. Cần lưu ý, Khuyến nghị 16 đã được FATF sửa đổi toàn diện tại Phiên họp toàn thể tháng 6/2025, với các điểm chính: chuẩn hóa thông tin bắt buộc kèm theo lệnh chuyển giá trị, áp dụng ngưỡng 1.000 USD/EUR đối với chuyển giá trị xuyên biên giới giữa các cá nhân, và lộ trình tuân thủ đến cuối năm 2030.
3.6. Đánh giá rủi ro công nghệ mới và giám sát giao dịch đặc biệt (Điều 19, 20)
Điều 19 buộc đối tượng báo cáo ban hành chính sách nhận diện, đánh giá rủi ro rửa tiền trước khi cung cấp sản phẩm, dịch vụ mới hoặc sản phẩm hiện có áp dụng công nghệ đổi mới. Điều 20 yêu cầu giám sát các giao dịch giá trị lớn bất thường hoặc phức tạp, và các quan hệ/giao dịch liên quan đến quốc gia, vùng lãnh thổ nằm trong danh sách do FATF công bố. Hai điều này thể hiện cách tiếp cận dựa trên rủi ro (risk-based approach) — nguyên tắc xuyên suốt của FATF tại Khuyến nghị 1 và 19.
3.7. Phân công giám sát tài sản mã hóa cho Bộ Tài chính (Điều 51)
Dự thảo giao Bộ Tài chính thanh tra, kiểm tra, giám sát hoạt động PCRT đối với lĩnh vực chứng khoán và tài sản mã hóa. Việc chỉ định rõ cơ quan giám sát là điều kiện FATF đòi hỏi tại Khuyến nghị 26 và 27, nhằm bảo đảm VASP chịu sự giám sát thực chất chứ không chỉ tồn tại trên giấy.
4. Đối chiếu trực tiếp với khung FATF
Phần này gồm hai bảng. Bảng 1 ánh xạ các nội dung mới của Dự thảo vào Khuyến nghị FATF tương ứng, cho thấy mức độ bám sát chuẩn. Bảng 2 ánh xạ từng dấu hiệu trong số 15 dấu hiệu của Điều 33a vào sáu nhóm dấu hiệu cảnh báo của FATF (Báo cáo 2020).
Bảng 1. Ánh xạ nội dung mới của Dự thảo với Khuyến nghị FATF
Bảng 2. Ánh xạ 15 dấu hiệu (Điều 33a) vào 6 nhóm dấu hiệu cảnh báo của FATF
Sáu nhóm của FATF gồm: (1) Giao dịch; (2) Mô hình giao dịch; (3) Tính ẩn danh; (4) Người gửi/người nhận; (5) Nguồn tiền/tài sản; (6) Rủi ro địa lý.
Nhận xét: cả sáu nhóm dấu hiệu của FATF đều được phản ánh; không có dấu hiệu nào của Dự thảo nằm ngoài khung FATF. Điều này cho thấy Điều 33a là bản nội luật hóa khá trọn vẹn tinh thần Báo cáo 2020.
5. FATF có nêu nhưng Dự thảo chưa đề cập
Dù bám sát khung FATF, Dự thảo vẫn để trống một số dấu hiệu và cấu phần mà FATF đã nêu. Có thể chia thành hai tầng: tầng dấu hiệu cảnh báo cụ thể, và tầng khuôn khổ thể chế.
5.1. Các dấu hiệu cảnh báo FATF có nhưng Điều 33a chưa nêu
• Máy ATM/kiosk tài sản mã hóa: FATF cảnh báo việc dùng ATM/kiosk crypto dù phí cao, thường gắn với mule hoặc nạn nhân lừa đảo và đặt tại khu vực rủi ro — Điều 33a không nhắc đến kênh này.
• Khách hàng tự vận hành như một VASP/nhà môi giới P2P không phép: Dự thảo chỉ cảnh báo việc giao dịch với VASP chưa cấp phép (dấu hiệu 13), chưa nhắm tới chính khách hàng đứng ra cung cấp dịch vụ P2P trái phép.
• Vận chuyển ví lạnh qua biên giới: FATF nêu việc dùng ví phần cứng hoặc ví giấy để mang tài sản mã hóa qua biên giới — Dự thảo tập trung vào chuyển on-chain và cross-chain bridge, bỏ ngỏ kênh vật lý này.
• Che giấu qua đăng ký tên miền/DNS: FATF cảnh báo việc đăng ký tên miền qua proxy hoặc nhà đăng ký ẩn chủ sở hữu — Dự thảo xử lý ẩn danh ở tầng IP nhưng chưa chạm tới tầng tên miền.
• Giao dịch qua kênh liên lạc mã hóa thay vì qua VASP: FATF lưu ý các giao dịch thực hiện qua diễn đàn, ứng dụng chat, game trực tuyến… thay cho một VASP chính thức.
• Yếu tố tuổi tác/dễ tổn thương tài chính: FATF nêu cụ thể trường hợp khách hàng lớn tuổi bất thường so với mặt bằng người dùng — Dự thảo (dấu hiệu 11) chỉ tiếp cận qua tiêu chí “hiểu biết hạn chế”.
• “Biến sàn thành máy trộn”: FATF mô tả việc nạp rồi rút ngay sang ví riêng mà không có hoạt động trao đổi nào — dấu hiệu 2 gần với mẫu này nhưng chưa nêu rõ kịch bản dùng VASP như một công cụ trộn.
5.2. Các cấu phần khuôn khổ thể chế còn bỏ ngỏ
• Cơ chế Travel Rule cụ thể: Dự thảo yêu cầu lưu trữ thông tin người khởi tạo/thụ hưởng, nhưng chưa quy định nghĩa vụ truyền kèm thông tin này giữa các VASP khi chuyển tài sản, cũng như ngưỡng áp dụng — vốn là yêu cầu cốt lõi của Khuyến nghị 16. Bản R.16 sửa đổi tháng 6/2025 đã đưa ra ngưỡng tham chiếu quốc tế cụ thể (1.000 USD/EUR đối với chuyển giá trị xuyên biên giới) mà Việt Nam có thể tham khảo khi nội luật hóa.
• Cá nhân có ảnh hưởng chính trị (PEP) trong bối cảnh crypto: chưa có quy định riêng áp dụng biện pháp tăng cường cho PEP khi sử dụng dịch vụ tài sản mã hóa (R.12).
• Chế độ cấp phép/đăng ký VASP: Luật PCRT chỉ coi VASP là đối tượng báo cáo; khuôn khổ cấp phép, đăng ký và điều kiện hoạt động nằm ở văn bản khác — Luật Công nghiệp công nghệ số số 71/2025/QH15 (hiệu lực từ 01/01/2026) và Nghị quyết số 05/2025/NQ-CP ngày 09/9/2025 của Chính phủ về triển khai thí điểm thị trường tài sản mã hóa, theo đó Bộ Tài chính cấp phép cho tổ chức cung cấp dịch vụ tài sản mã hóa trong thời gian thí điểm 5 năm — nên cần bảo đảm tính liên thông.
• Phân biệt ví tự lưu ký (unhosted wallet): FATF khuyến nghị có cách xử lý riêng cho giao dịch giữa VASP và ví tự lưu ký — Dự thảo chưa quy định rõ. Đây cũng là chủ đề FATF vừa cảnh báo đậm nét trong Báo cáo chuyên đề về Stablecoin và Ví không lưu ký (giao dịch P2P) công bố tháng 3/2026, cho thấy mức độ ưu tiên ngày càng cao của vấn đề này trong chuẩn quốc tế.
• Tài trợ phổ biến vũ khí & trừng phạt tài chính có mục tiêu: phần dấu hiệu crypto chưa thể hiện rõ yêu cầu sàng lọc theo R.7 về tài trợ phổ biến vũ khí.
6. Dự thảo có mà FATF (2020) chưa nhấn mạnh
Ở chiều ngược lại, Dự thảo cập nhật và “địa phương hóa” một số điển hình rủi ro mà Báo cáo FATF 2020 chưa nêu hoặc nêu mờ nhạt — phản ánh đúng bối cảnh Việt Nam và Đông Nam Á hiện nay. Cần lưu ý, phạm vi so sánh của mục này là Báo cáo Red Flag Indicators 2020; trong các ấn phẩm gần đây hơn — như loạt báo cáo chuyên đề tháng 3/2026 về stablecoin và ví không lưu ký, về VASP nước ngoài (offshore VASPs), cùng bản cập nhật lần thứ sáu về thực thi chuẩn FATF đối với VA/VASP — FATF đã đề cập nhiều chủ đề trong số này.
• Cờ bạc trực tuyến bất hợp pháp (dấu hiệu 7): được đưa thẳng vào danh mục nguồn tiền rủi ro, phù hợp với thực trạng khu vực.
• Điểm nóng lừa đảo xuyên quốc gia (dấu hiệu 15): nhắm tới các nền tảng đặt tại quốc gia là điểm nóng lừa đảo — phản ánh vấn nạn “pig butchering” và các khu phức hợp lừa đảo ở Đông Nam Á, vốn bùng phát sau 2020.
• Cầu nối liên chuỗi (cross-chain bridges) (dấu hiệu 10): là vector rửa tiền mới nổi sau thời điểm Báo cáo 2020, cho thấy Dự thảo cập nhật kịp xu hướng kỹ thuật.
• Mức độ chi tiết hóa kỹ thuật: nhiều dấu hiệu mô tả cụ thể hành vi (cùng thiết bị/IP, ghi chú giao dịch, đổi thông tin định danh) ở mức chi tiết hơn cách diễn đạt khái quát của FATF.
7. Nhận định và khuyến nghị
Tổng thể, Dự thảo là một bản nội luật hóa trung thực và có cập nhật của khung FATF. Việc đưa tài sản mã hóa vào diện điều chỉnh, bổ sung bộ 15 dấu hiệu đáng ngờ, siết xác minh chủ sở hữu hưởng lợi và nâng nghĩa vụ lưu trữ dữ liệu đều là những bước đi đúng hướng, bám sát các Khuyến nghị 10, 15, 16, 24/25 và Báo cáo Red Flag Indicators 2020.
Để củng cố thêm — đặc biệt nhằm phục vụ mục tiêu ra khỏi danh sách xám của FATF — có thể cân nhắc một số bổ sung:
(i) Quy định cơ chế Travel Rule cụ thể về nghĩa vụ truyền thông tin và ngưỡng áp dụng, theo chuẩn R.16 bản sửa đổi tháng 6/2025;
(ii) Bổ sung các dấu hiệu còn thiếu như ATM/kiosk crypto, ví tự lưu ký, khách hàng tự vận hành VASP/P2P không phép;
(iii) Làm rõ biện pháp tăng cường đối với PEP trong bối cảnh tài sản mã hóa;
(iv) Bảo đảm tính liên thông với khuôn khổ cấp phép VASP ở các đạo luật khác.
Cuối cùng, cần nhấn mạnh nguyên tắc nền tảng của FATF:
Sự hiện diện của một dấu hiệu đơn lẻ không đồng nghĩa với hành vi phạm tội. Giá trị cảnh báo thực sự đến từ tổ hợp nhiều dấu hiệu trong một giao dịch không có lý giải kinh doanh hợp lý. Khi triển khai 15 dấu hiệu của Điều 33a vào thực tiễn, nên áp dụng theo cách tiếp cận dựa trên rủi ro và đánh giá theo ngữ cảnh, tránh máy móc từng dấu hiệu rời rạc.
-- ∞ --
Nguồn:
[1] Dự thảo: https://duthaoonline.quochoi.vn/dt/luat-sua-doi-bo-sung-mot-so-dieu-cua-luat-ngan-hang-nha-nuoc-viet-nam-so-462010qh12-luat-phong-chong-rua-tien-so-142022qh15-va-luat-cac-to-chuc-tin-dung-so-322024qh15/260609154600598200
[2] FATF (2012–2025). International Standards on Combating Money Laundering and the Financing of Terrorism & Proliferation — The FATF Recommendations (bản hợp nhất, cập nhật định kỳ). Paris: FATF.
[3] FATF (18/6/2025). FATF updates Standards on Recommendation 16 on Payment Transparency. Paris: FATF. (Thông qua tại Phiên họp toàn thể tháng 6/2025; Annex IV về phương pháp đánh giá công bố sau Phiên họp tháng 10/2025).
[4] FATF (tháng 9/2020). Virtual Assets — Red Flag Indicators of Money Laundering and Terrorist Financing. Paris: FATF.
[5] FATF (3/3/2026). Targeted Report on Stablecoins and Unhosted Wallets: Peer-to-Peer Transactions. Paris: FATF.
[6] FATF (11/3/2026). Understanding and Mitigating the Risks of Offshore VASPs. Paris: FATF.
[7] FATF (13/2/2026). Jurisdictions under Increased Monitoring — 13 February 2026. Paris: FATF.
[8] FATF. Vietnam — Country profile & progress statements. Paris: FATF.
[9] FATF. “Black and grey” lists — High-risk and other monitored jurisdictions. Paris: FATF.