Fintech — ví điện tử, trung gian thanh toán, cho vay ngang hàng — là một trong những đối tượng chịu sự giám sát phòng chống rửa tiền (PCRT) chặt chẽ nhất tại Việt Nam. Ít doanh nghiệp nhận ra rằng nghĩa vụ PCRT không chỉ là “nộp báo cáo”, mà là cả một hệ thống chi phí vận hành: nhân sự, công nghệ, quy chế, kiểm toán và lưu trữ dữ liệu.
Bài viết bóc tách 5 nhóm chi phí tuân thủ PCRT mà một công ty fintech phải gánh, đối chiếu từng khoản với nghĩa vụ cụ thể tại Luật Phòng, chống rửa tiền 14/2022/QH15, cùng các ngưỡng báo cáo, thời hạn và lưu ý về cơ chế sandbox theo Nghị định 94/2025/NĐ-CP.
Fintech có thuộc đối tượng báo cáo PCRT không?
Có. Điều 4 Luật 14/2022/QH15 (hiệu lực 01/3/2023) liệt kê tổ chức tài chính — bao gồm tổ chức cung ứng dịch vụ thanh toán, trung gian thanh toán — là đối tượng báo cáo. Hầu hết mô hình fintech (ví điện tử, cổng thanh toán, P2P lending trong sandbox) đều rơi vào diện này, đồng nghĩa với đầy đủ nghĩa vụ: nhận biết khách hàng (KYC), báo cáo giao dịch, xây dựng quy định nội bộ và lưu trữ dữ liệu.
5 nhóm chi phí tuân thủ PCRT của công ty fintech
1. Nhân sự tuân thủ và đào tạo
Điều 20 Luật 14/2022/QH15 yêu cầu đối tượng báo cáo ban hành quy định nội bộ về PCRT, chỉ định cán bộ/đơn vị phụ trách và tổ chức đào tạo. Chi phí gồm: lương chuyên viên tuân thủ (compliance officer), chi phí đào tạo định kỳ cho toàn bộ nhân sự tuyến đầu (chăm sóc khách hàng, vận hành), và chi phí thuê tư vấn bên ngoài khi xây dựng hệ thống lần đầu. Với fintech quy mô vừa, đây thường là khoản chi cố định hàng năm đáng kể.
2. Hệ thống công nghệ — khoản tốn kém nhất
Đây là nhóm chi phí lớn nhất, bao gồm:
- eKYC: định danh điện tử khách hàng theo Điều 9–16 (xác minh danh tính, nhận biết chủ sở hữu hưởng lợi).
- Screening: rà soát danh sách đen, danh sách trừng phạt, PEP (người có ảnh hưởng chính trị).
- Giám sát giao dịch (transaction monitoring): hệ thống tự động phát hiện giao dịch bất thường theo các ngưỡng: giao dịch có giá trị lớn từ 400.000.000 đồng trở lên (Điều 3 Quyết định 11/2023/QĐ-TTg, hiệu lực 01/12/2023); chuyển tiền điện tử trong nước từ 500.000.000 đồng trở lên (Điều 9 Thông tư 09/2023/TT-NHNN).
- Báo cáo điện tử: kết nối hệ thống báo cáo với Ngân hàng Nhà nước, bảo đảm thời hạn: giao dịch lớn/chuyển tiền điện tử báo cáo trong 01 ngày làm việc (nếu báo cáo điện tử); giao dịch đáng ngờ trong 03 ngày làm việc kể từ ngày phát sinh, hoặc 01 ngày kể từ ngày phát hiện, và chỉ 24 giờ nếu liên quan đến tội phạm (Điều 37 Luật 14/2022/QH15).
Chi phí bản quyền phần mềm, tích hợp API và duy trì hệ thống là khoản đầu tư ban đầu lớn nhất, sau đó là phí duy trì hàng năm.
3. Xây dựng quy chế nội bộ về PCRT
Theo Điều 20, doanh nghiệp phải có quy định nội bộ bao gồm: quy trình nhận biết khách hàng, phân loại rủi ro khách hàng, quy trình báo cáo giao dịch đáng ngờ, và cơ chế kiểm soát nội bộ. Chi phí gồm thuê luật sư/tư vấn soạn thảo lần đầu và chi phí rà soát, cập nhật định kỳ khi văn bản pháp luật thay đổi (ví dụ: các văn bản hướng dẫn mới của NHNN).
4. Kiểm toán tuân thủ định kỳ
Doanh nghiệp cần tự đánh giá hoặc thuê đơn vị độc lập kiểm toán hệ thống PCRT định kỳ: kiểm tra tính đầy đủ của hồ sơ KYC, hiệu quả của hệ thống giám sát, việc tuân thủ thời hạn báo cáo. Đây là chi phí định kỳ nhưng giúp phát hiện sớm lỗ hổng trước khi cơ quan quản lý thanh tra.
5. Hạ tầng lưu trữ dữ liệu
Điều 38–40 Luật 14/2022/QH15 quy định nghĩa vụ lưu trữ thông tin nhận biết khách hàng và giao dịch. Với fintech có hàng triệu giao dịch mỗi ngày, chi phí hạ tầng lưu trữ (server, backup, bảo mật dữ liệu) là khoản chi thường xuyên không nhỏ, chưa kể yêu cầu về an toàn thông tin mạng.
Dấu hiệu đáng ngờ đặc thù của ví điện tử
Điều 28 Luật 14/2022/QH15 liệt kê các dấu hiệu đáng ngờ. Với ví điện tử, cần đặc biệt chú ý: tài khoản mở hàng loạt bằng giấy tờ có dấu hiệu giả mạo; nạp – rút tiền với tần suất cao, giá trị lớn nhưng không rõ mục đích kinh tế; chuyển tiền lòng vòng qua nhiều ví trung gian; giao dịch vào ví sau đó rút toàn bộ ngay về tài khoản ngân hàng khác tên. Hệ thống giám sát phải được “dạy” để nhận diện các mẫu hành vi này.
Cơ chế sandbox: NĐ 94/2025/NĐ-CP có giảm chi phí tuân thủ?
Nghị định 94/2025/NĐ-CP (hiệu lực 01/7/2025) cho phép thử nghiệm có kiểm soát một số mô hình fintech (chấm điểm tín dụng, Open API, cho vay ngang hàng) trong tối đa 2 năm. Sandbox tạo không gian thử nghiệm linh hoạt hơn, nhưng không miễn trừ nghĩa vụ PCRT — doanh nghiệp trong sandbox vẫn phải đáp ứng các yêu cầu cốt lõi về KYC và báo cáo. Nói cách khác, sandbox giúp thử mô hình kinh doanh, không giúp “né” chi phí tuân thủ.
Chế tài khi không tuân thủ
Vi phạm nghĩa vụ PCRT có thể bị xử phạt vi phạm hành chính với mức phạt tiền đáng kể, kèm biện pháp khắc phục hậu quả; trường hợp nghiêm trọng có thể bị xem xét trách nhiệm hình sự theo Bộ luật Hình sự (tội rửa tiền). Ngoài ra, NHNN có thể áp dụng biện pháp hạn chế hoạt động — “án tử” thực sự với một công ty fintech.
Câu hỏi thường gặp
Công ty fintech nhỏ, mới thành lập có phải tuân thủ đầy đủ PCRT không?
Có. Luật không miễn trừ theo quy mô — chỉ cần thuộc đối tượng báo cáo tại Điều 4 là phải thực hiện đầy đủ nghĩa vụ, dù có thể áp dụng cách tiếp cận dựa trên rủi ro cho phù hợp.
Ngưỡng báo cáo 400 triệu và 500 triệu áp dụng thế nào?
Giao dịch có giá trị từ 400 triệu đồng trở lên phải báo cáo (QĐ 11/2023); riêng chuyển tiền điện tử trong nước từ 500 triệu đồng trở lên phải báo cáo (TT 09/2023). Giao dịch đáng ngờ thì báo cáo không phụ thuộc ngưỡng giá trị.
Sandbox NĐ 94/2025/NĐ-CP có miễn nghĩa vụ PCRT không?
Không. Doanh nghiệp trong sandbox vẫn phải tuân thủ các nghĩa vụ cốt lõi về nhận biết khách hàng và báo cáo.
Căn cứ pháp lý
- Luật Phòng, chống rửa tiền 14/2022/QH15 (hiệu lực 01/3/2023): Điều 4, Điều 9–16, Điều 20, Điều 28, Điều 37, Điều 38–40.
- Nghị định 19/2023/NĐ-CP; Thông tư 09/2023/TT-NHNN; Quyết định 11/2023/QĐ-TTg (hiệu lực 01/12/2023).
- Nghị định 94/2025/NĐ-CP (hiệu lực 01/7/2025) về sandbox fintech.
Lưu ý: bài viết mang tính thông tin chung; mức đầu tư công nghệ và nhân sự cụ thể tùy thuộc quy mô từng doanh nghiệp. Hiệu lực văn bản được kiểm tra tại 14/10/2026.
Xem thêm các bài viết về dữ liệu, công nghệ và tuân thủ.
Công ty fintech cần xây dựng hệ thống tuân thủ PCRT? Liên hệ FLAT Law Firm qua trang liên hệ để được tư vấn.
Thông tin trong bài viết mang tính tham khảo chung, không cấu thành tư vấn pháp lý. Tình trạng hiệu lực của văn bản được kiểm tra tại thời điểm 14/10/2026.
Minh bạch: bài viết do FLAW AI Legal Council biên soạn bằng hệ thống AI. Bài viết đã được Hội đồng QA rà soát và chưa được luật sư hành nghề kiểm duyệt.