AML و KYC برای صرافی‌ها به زبان ساده

بیشتر متن‌هایی که دربارهٔ AML نوشته می‌شوند، برای وکلا نوشته شده‌اند. این یکی برای کسی نوشته شده که فردا صبح پشت باجه است و باید تصمیم بگیرد این مشتری را قبول کند یا نه.

این مقاله مشاورهٔ حقوقی نیست. قوانین در هر کشور فرق می‌کنند و مرتب تغییر می‌کنند. اینجا منطق کار را توضیح می‌دهیم؛ برای عدد و مادهٔ دقیق، مرجع رسمی کشور خودتان را ببینید.

KYC و AML چه فرقی دارند؟

این دو را دائم به‌جای هم به کار می‌برند، اما دو کار متفاوت‌اند:

• KYC یعنی «مشتری‌ات را بشناس». یک کار در لحظهٔ شروع: این آدم کیست، چه‌کاره است، و انتظار داریم چه حجمی از او ببینیم؟
• AML یعنی «مبارزه با پولشویی». یک کار مستمر: آیا رفتار امروز این آدم با آن‌چه در KYC گفته جور است؟

به زبان ساده: KYC عکس است، AML فیلم. عکس بدون فیلم بی‌فایده است — کپی پاسپورتی که در پوشه خاک می‌خورد، هیچ‌کس را از هیچ چیزی محافظت نمی‌کند.

چرا مهم است، حتی اگر قانون مجبورتان نکند

بگذارید صادق باشیم: خیلی از صرافی‌های منطقه در فضایی کار می‌کنند که فشار قانونی مستقیم کم است. پس چرا زحمت بکشید؟

۱. ریسک بانکی و کریدور. بانک یا شریک کریدور شما اگر حس کند نمی‌داند پول از کجا می‌آید، حساب/دسترسی را می‌بندد. توضیح دادن بعد از بسته شدن تقریباً هیچ‌وقت جواب نمی‌دهد. بیشتر صرافی‌ها به‌خاطر حکم قانونی نمی‌میرند؛ به‌خاطر از دست دادن مسیر می‌میرند.

۲. ریسک شریک. صراف طرف مقابل شما در دبی یا استانبول، شما را بر اساس این می‌سنجد که چقدر تمیز کار می‌کنید. سابقهٔ خوب یعنی نرخ بهتر، سقف بالاتر، و اعتماد بیشتر. این‌ها پول‌اند.

۳. ریسک شخصی. اگر پول کثیفی از دست شما رد شود، «نمی‌دانستم» دفاع ضعیفی است. سؤال همیشه این است: «آیا باید می‌دانستی؟» و جواب به این بستگی دارد که چه چیزی ثبت کرده‌اید.

۴. ارزش خودِ کسب‌وکار. صرافی‌ای که سوابق مرتب دارد، قابل فروش، قابل شراکت و قابل رشد است. صرافی‌ای که همه‌چیزش در سر صاحبش است، فقط تا وقتی او هست ارزش دارد.

سه لایه‌ای که کل ماجرا را تشکیل می‌دهند

لایهٔ ۱: شناسایی

قبل از اولین معاملهٔ معنادار، بدانید طرف کیست. حداقل‌ها:

• هویت: نام کامل، مدرک شناسایی معتبر و تاریخ‌دار، تاریخ تولد، ملیت.
• تماس: شماره‌ای که واقعاً کار می‌کند (تأییدشده، نه صرفاً نوشته‌شده).
• شغل و منبع درآمد: مهم‌ترین فیلد و همان که همه رهایش می‌کنند. «بازرگان» یعنی هیچ. «واردات قطعات خودرو از چین، ماهانه ۳۰ تا ۵۰ هزار دلار» یعنی یک چیزی.
• هدف رابطه: چرا سراغ شما آمده و انتظار چه حجمی داریم؟

برای اشخاص حقوقی، یک قدم بیشتر: مالک واقعی (UBO) کیست؟ شرکتی که ثبت‌شده ولی معلوم نیست پشتش کیست، دقیقاً همان ابزاری است که برای پنهان کردن استفاده می‌شود.

لایهٔ ۲: پایش

هر تراکنش را در برابر آن‌چه در لایهٔ ۱ گفته شده بسنجید. سؤال همیشه یکی است:

آیا این رفتار با چیزی که این آدم دربارهٔ خودش گفته جور است؟

معلمی که ماهی ۲۰۰ دلار عوض می‌کرد و ناگهان ۸۰ هزار دلار می‌آورد، لزوماً مجرم نیست — شاید خانه فروخته. اما شما باید پرسیده باشید و جواب را ثبت کرده باشید. کل ماجرا همین است: نه گیر دادن، نه چشم بستن. پرسیدن و نوشتن.

لایهٔ ۳: نگهداری و گزارش

• سوابق را نگه دارید. استاندارد رایج بین‌المللی حداقل پنج سال پس از پایان رابطه است. یعنی مدارک، تراکنش‌ها، و یادداشت‌های تصمیم — همه.
• مسیر گزارش را بدانید. اگر در کشوری کار می‌کنید که واحد اطلاعات مالی (FIU) دارد، بدانید گزارش تراکنش مشکوک از کجا و چطور ارسال می‌شود — قبل از اینکه لازمش داشته باشید.
• یک نفر مسئول باشد. حتی در صرافی پنج‌نفره، یک نفر باید صاحب این پرونده باشد. مسئولیت مشترک یعنی بی‌مسئولیتی.

پرچم‌های قرمز واقعی

این‌ها لیست تئوری نیستند؛ چیزهایی‌اند که در باجه دیده می‌شوند:

• خرد کردن مبلغ. به‌جای یک تراکنش بزرگ، چند تراکنش کوچک‌تر که هرکدام کمی زیر آستانهٔ گزارش‌اند. اگر مشتری آستانه را می‌داند و دقیقاً زیرش می‌ماند، این خودش یک سیگنال است.
• شخص ثالث. کسی پول می‌آورد، شخص دیگری تحویل می‌گیرد؛ یا شبای مقصد به نام آدم دیگری است. گاهی توضیح ساده‌ای دارد. اما باید پرسیده و ثبت شود.
• بی‌تفاوتی به نرخ. مشتری معمولی چانه می‌زند. کسی که اصلاً برایش مهم نیست چند می‌گیرید، معمولاً کارمزد را هزینهٔ چیز دیگری می‌داند.
• عجلهٔ غیرعادی و فشار. «همین الان باید برود» همراه با مقاومت در برابر هر سؤالی.
• تغییر ناگهانی الگو. مشتری دو سالهٔ آرام که یک‌دفعه ده برابر می‌شود، یا کریدورش کاملاً عوض می‌شود.
• حساب‌های متعدد و بی‌ربط. پول از پنج حساب به نام پنج نفر می‌آید که هیچ ربطی به هم ندارند.
• امتناع یا مدارک مبهم. «بعداً می‌آورم» که هیچ‌وقت نمی‌آید؛ یا مدرکی که چیزی را ثابت نمی‌کند.
• در کریپتو: آدرس‌هایی با سابقهٔ میکسر، مبالغی که بلافاصله چند بار جابه‌جا شده‌اند، یا اصرار بر شبکه‌ای که ردیابی‌اش سخت‌تر است.

هیچ‌کدام به‌تنهایی جرم نیستند. اما دو تا سه‌تایشان با هم یعنی وقت پرسیدن است — و اگر جواب قانع‌کننده نبود، وقت نه گفتن.

نه گفتن حق شماست. مشتری‌ای که از دست می‌دهید هزینه دارد؛ مشتری‌ای که مسیر بانکی‌تان را می‌بندد، کل کسب‌وکار را هزینه می‌کند.

تفاوت‌های منطقه‌ای — نقشهٔ کلی

فضای مقرراتی در بازارهای اصلی این منطقه یکسان نیست:

• ایران: در فهرست پرخطر FATF (اقدام مقابله‌ای) قرار دارد. عملاً یعنی هر تراکنشی با ردپای ایران، در بانک‌های خارجی سطح بررسی بالاتری می‌خورد — فارغ از اینکه شما چقدر تمیز کار می‌کنید. صرافی‌ها زیر نظر بانک مرکزی مجوز می‌گیرند.
• ترکیه: نهاد ناظر MASAK است و صرافی‌ها به‌عنوان مؤسسهٔ مجاز فعالیت می‌کنند. ترکیه در سال ۲۰۲۴ از فهرست خاکستری FATF خارج شد؛ نتیجه‌اش نظارت سخت‌گیرانه‌تر بوده، نه ساده‌تر. آستانه‌های شناسایی دوره‌ای به‌روز می‌شوند — عدد روز را از خود MASAK بگیرید، نه از شنیده‌ها.
• امارات: بانک مرکزی امارات مجوز صرافی‌ها را می‌دهد و گزارش‌دهی از طریق سامانهٔ FIU انجام می‌شود. امارات هم در ۲۰۲۴ از فهرست خاکستری خارج شد، دقیقاً به‌خاطر سخت‌تر کردن اجرا. اینجا انتظار مستندسازی کامل یک واقعیت روزمره است، نه یک توصیه.
• عراق: بانک مرکزی عراق شرکت‌های صرافی را در رده‌های مختلف مجوز می‌دهد و در سال‌های اخیر کنترل ارزی و الزامات مستندسازی به‌شکل محسوسی سخت‌تر شده‌اند.

جمع‌بندی عملی: جهت حرکت در کل منطقه یکی است — سخت‌تر شدن. هیچ‌کجا قرار نیست ساده‌تر شود. صرافی‌ای که امروز سوابقش مرتب است، فردا فقط کارش را ادامه می‌دهد؛ بقیه باید در بدترین زمان ممکن، عقب‌افتادگی چند سال را جبران کنند.

چهار اشتباه رایج

1. KYC به‌عنوان بایگانی. جمع کردن کپی مدرک بدون اینکه هیچ‌وقت به تراکنش وصل شود. این کاغذبازی است، نه انطباق.
2. فقط مشتری جدید. مشتری ده‌ساله‌ای که مدرکش منقضی شده و شغلش عوض شده، پروندهٔ ناقصی دارد — و دقیقاً همان‌ها بیشترین حجم را دارند.
3. پرچم قرمزِ ثبت‌نشده. اپراتور چیزی دید، پرسید، قانع شد، و جایی ننوشت. از دید هر بازرسی، آن گفتگو هرگز اتفاق نیفتاده.
4. پرونده در سر آدم‌ها. «حسن مشتری قدیمی است، می‌شناسیمش.» این جمله وقتی حسن برود، با او می‌رود.

نقش نرم‌افزار

انطباق ذاتاً یک مسئلهٔ دیتا است، نه یک مسئلهٔ اخلاقی. اگر ثبت کردن یک سؤال و جواب سخت باشد، در روز شلوغ ثبت نمی‌شود. و روز شلوغ دقیقاً همان روزی است که اهمیت دارد.

چند چیزی که باید از سیستم‌تان انتظار داشته باشید:

• پروندهٔ مشتری کنار خودِ مشتری — مدارک، شماره‌ها و یادداشت‌ها، نه در پوشه‌ای جدا.
• یادداشت خصوصی روی حساب — جایی برای «پرسیدم، گفت خانه فروخته، سند را دیدم» با مهر زمان و کاربر.
• ردپای غیرقابل‌انکار — هر تغییر با نام و زمان، تا سه سال بعد بشود ثابت کرد چه دیده‌اید و کِی.
• گزارش‌گیری واقعی روی هر بعدی — مشتری، دوره، ارز، کریدور، حجم — تا ناهنجاری را قبل از دیگران خودتان ببینید.
• استعلام‌های خودکار — استعلام شبا و استعلام‌های هویتی که در جای درست فرم انجام شوند و نتیجه‌شان در پرونده بماند.

نکستو این‌ها را می‌دهد: پروندهٔ مشتری، یادداشت خصوصی، ردپای کامل هر سند، خروجی اکسل و PDF از هر گزارش، و استعلام‌هایی که داخل خود جریان کار انجام می‌شوند نه در تب دیگری.

از کجا شروع کنیم؟

اگر امروز هیچ چیزی ندارید، لازم نیست پروژهٔ شش‌ماهه راه بیندازید. سه قدم، به همین ترتیب:

1. بیست مشتری بزرگ‌تان را کامل کنید. آن‌ها بیشترین حجم و بیشترین ریسک را دارند. دنبال کامل کردن ۲۰۰۰ پرونده نروید.
2. فیلد «منبع درآمد» را برای هر مشتری جدید اجباری کنید. فقط همین، از فردا.
3. عادت یادداشت را جا بیندازید. هر بار سؤالی پرسیدید، جوابش را روی حساب بنویسید. سی ثانیه وقت می‌گیرد و سه سال ارزش دارد.

سه ماه بعد، پرونده‌ای دارید که واقعاً از شما دفاع می‌کند — به‌جای پوشه‌ای پر از کپی پاسپورت که از هیچ‌کس دفاع نمی‌کند.

خلاصه

AML یک فرم نیست، یک عادت است: بپرس، بنویس، نگه‌دار. KYC عکس است و AML فیلم؛ بدون فیلم، عکس بی‌ارزش است.

و انگیزهٔ اصلی‌اش هم ترس از جریمه نیست — بقا است. در بازاری که مسیرهای بانکی هر سال باریک‌تر می‌شوند، صرافی‌ای که می‌تواند نشان بدهد پولش از کجا آمده، آخرین کسی است که مسیرش بسته می‌شود.