Luật PCRT 2022, Thông tư 27/2025 và Nghị quyết 05/2025 tạo ra nghĩa vụ AML/KYC mới cho VASP và fintech tại Việt Nam. Tìm hiểu những gì cần tuân thủ.

Môi trường pháp lý về phòng, chống rửa tiền (AML) tại Việt Nam đã thay đổi căn bản trong vòng ba năm qua. Luật Phòng, chống rửa tiền 2022 (Luật số 14/2022/QH15) đặt nền tảng mới. Thông tư 27/2025/TT-NHNN cụ thể hóa các yêu cầu vận hành từ ngày 1/11/2025. Và Nghị quyết 05/2025/NQ-CP, có hiệu lực từ tháng 9/2025, lần đầu tiên thiết lập khung pháp lý chính thức dành riêng cho nhà cung cấp dịch vụ tài sản ảo (VASP).

Đối với các nhà sáng lập, luật sư và nhà đầu tư đang vận hành hoặc lên kế hoạch gia nhập thị trường tài chính số tại Việt Nam, đây không còn là vấn đề thuần túy tuân thủ về mặt hình thức. Các yêu cầu về KYC, báo cáo giao dịch, lưu trữ dữ liệu và kiểm soát nội bộ giờ đây ảnh hưởng trực tiếp đến cấu trúc vận hành, chi phí và khả năng cấp phép của một tổ chức.

Bài viết này phân tích toàn bộ khung AML hiện hành tại Việt Nam, xác định rõ các nghĩa vụ áp dụng cho VASP và công ty fintech, đồng thời cung cấp lộ trình tuân thủ thực tế dựa trên quy định đang có hiệu lực.

1. Bối Cảnh Pháp Lý: Từ Luật PCRT 2022 Đến Thông Tư 27/2025

Luật Phòng, chống rửa tiền 2022 (Luật PCRT 2022) được Quốc hội thông qua ngày 15/11/2022 và có hiệu lực từ ngày 1/3/2023, thay thế toàn bộ Luật PCRT 2012. Luật được xây dựng để khắc phục những bất cập của văn bản cũ và đưa Việt Nam vào hàng ngũ các quốc gia tuân thủ chuẩn mực FATF.

Kèm theo Luật là một hệ thống văn bản dưới luật tạo thành khung pháp lý hoàn chỉnh:

• Nghị định 19/2023/NĐ-CP: hướng dẫn thi hành Luật PCRT 2022, quy định đối tượng báo cáo, quy trình nhận biết khách hàng và cơ chế chia sẻ thông tin.
• Quyết định 11/2023/QĐ-TTg: ấn định ngưỡng giao dịch có giá trị lớn phải báo cáo ở mức 400 triệu đồng/ngày.
• Thông tư 27/2025/TT-NHNN: có hiệu lực từ ngày 1/11/2025, thay thế Thông tư 09/2023/TT-NHNN, bổ sung yêu cầu đánh giá rủi ro định lượng, báo cáo điện tử bắt buộc và quy định chi tiết về chuyển tiền điện tử.

Thông tư 27/2025 là văn bản quan trọng nhất đối với các tổ chức tài chính số. Văn bản này yêu cầu các đối tượng báo cáo áp dụng phương pháp đánh giá rủi ro định lượng (thang điểm 1-5) trên nhiều chiều rủi ro khác nhau, đồng thời bắt buộc nộp báo cáo điện tử kể từ ngày 1/1/2026. Thông tư cũng đặc biệt chú trọng đến rủi ro trong thanh toán số, tài khoản ảo và các kênh cung cấp dịch vụ dựa trên công nghệ fintech.

Ngân hàng Nhà nước Việt Nam (NHNN) là cơ quan quản lý chính, trong đó Cục Phòng, chống rửa tiền đóng vai trò Đơn vị Tình báo Tài chính (FIU) — tiếp nhận báo cáo giao dịch đáng ngờ (STR) và báo cáo giao dịch có giá trị lớn. Bộ Tài chính giám sát tuân thủ AML trong lĩnh vực chứng khoán và, theo Nghị quyết 05/2025, cả thị trường tài sản mã hóa.

2. Việt Nam Trên Danh Sách Xám FATF Và Áp Lực Cải Cách

Tháng 6/2023, FATF đưa Việt Nam vào Danh sách Xám (Jurisdictions under Increased Monitoring) do còn tồn tại những thiếu sót chiến lược trong hệ thống AML/CFT. Việt Nam vẫn nằm trong danh sách này tính đến kỳ họp toàn thể tháng 2/2026 của FATF.

Việc bị xếp vào Danh sách Xám có hệ quả vận hành rất cụ thể. Các ngân hàng đại lý quốc tế áp dụng thẩm định tăng cường đối với tất cả giao dịch liên quan đến các đối tác Việt Nam. Nhà đầu tư nước ngoài và tổ chức tài chính quốc tế xem xét đối tác Việt Nam kỹ lưỡng hơn. Điều này làm tăng chi phí và kéo dài thời gian xử lý giao dịch xuyên biên giới — áp lực đặc biệt nặng nề đối với các VASP và công ty fintech cần tiếp cận hệ thống thanh toán quốc tế.

FATF xác nhận Việt Nam đã có tiến triển, nhưng tính đến tháng 10/2025, tất cả các mốc thời hạn trong kế hoạch hành động đều đã hết hạn và vẫn còn công việc cần hoàn thành. Áp lực ra khỏi Danh sách Xám là động lực chính đằng sau chuỗi cải cách pháp lý từ Luật PCRT 2022 đến Thông tư 27/2025 và Nghị quyết 05/2025.

3. Nghị Quyết 05/2025 Và Khung Quản Lý VASP Lần Đầu Tiên

Ngày 9/9/2025, Chính phủ ban hành Nghị quyết 05/2025/NQ-CP — văn bản lần đầu tiên thiết lập khung pháp lý chính thức cho thị trường tài sản mã hóa tại Việt Nam. Đây là bước chuyển mang tính quyết định, chấm dứt giai đoạn dài hoạt động trong vùng xám pháp lý và khởi động quá trình chuyển đổi sang một thị trường được kiểm soát, minh bạch.

Chương trình thí điểm kéo dài 5 năm, từ tháng 9/2025 đến năm 2030, với các đợt đánh giá tại các mốc 12, 24 và 36 tháng. Trong giai đoạn đầu, tối đa 5 VASP sẽ được cấp phép hoạt động. Các VASP muốn tham gia phải đáp ứng điều kiện nghiêm ngặt về vốn, quyền sở hữu và tuân thủ.

Một số điểm vận hành quan trọng theo Nghị quyết 05/2025:

• Tất cả giao dịch phải được thực hiện bằng đồng Việt Nam (VND); thanh toán trực tiếp bằng ngoại tệ bị nghiêm cấm.
• Nhà đầu tư nước ngoài phải duy trì một tài khoản VND duy nhất tại ngân hàng được phép hoạt động ngoại hối trong nước.
• Việc phát hành tài sản mã hóa phải được đảm bảo bằng tài sản thực tế có thể xác minh và chủ yếu hướng đến nhà đầu tư nước ngoài.
• Nhà đầu tư trong nước chỉ được phép giao dịch các tài sản mã hóa đang sở hữu, không mua mới.
• Nền tảng giao dịch phải tích hợp với hệ thống giám sát giao dịch của NHNN, đảm bảo mọi giao dịch đều hiển thị cho cơ quan quản lý theo thời gian thực.

Nghị quyết 05/2025 cũng quy định: tài sản mã hóa không bao gồm chứng khoán, tiền pháp định dạng số và các tài sản tài chính khác theo luật dân sự và tài chính. Chi phí tuân thủ ban đầu để đáp ứng toàn bộ yêu cầu kỹ thuật được ước tính từ 50 đến 200 tỷ đồng mỗi tổ chức.

4. Ai Là Đối Tượng Báo Cáo? Phạm Vi Áp Dụng Cho Fintech Và VASP

Luật PCRT 2022 mở rộng đáng kể phạm vi đối tượng báo cáo so với luật cũ. Điều đầu tiên cần xác định là liệu tổ chức của bạn có thuộc diện áp dụng hay không.

Các tổ chức tài chính thuộc diện báo cáo bao gồm:

• Ngân hàng thương mại và chi nhánh ngân hàng nước ngoài
• Tổ chức tín dụng và công ty tài chính cho thuê
• Tổ chức cung ứng dịch vụ trung gian thanh toán
• Công ty chứng khoán và công ty quản lý quỹ
• Công ty bảo hiểm nhân thọ và phi nhân thọ
• Nhà cung cấp dịch vụ thanh toán điện tử và nền tảng fintech
• VASP được cấp phép theo Nghị quyết 05/2025/NQ-CP

Các doanh nghiệp và ngành nghề phi tài chính được chỉ định (DNFBPs) bao gồm:

• Môi giới và nhà phát triển bất động sản
• Sòng bài và nhà điều hành trò chơi có thưởng
• Kinh doanh kim loại quý và đá quý
• Luật sư, công chứng viên và người cung cấp dịch vụ pháp lý
• Kế toán và công ty dịch vụ doanh nghiệp

Lưu ý quan trọng: ngay cả trước khi được cấp phép chính thức theo chương trình thí điểm, các nền tảng giao dịch tài sản mã hóa đang hoạt động tại Việt Nam nên chủ động tuân thủ các chuẩn mực AML để sẵn sàng cho quá trình cấp phép và tránh rủi ro pháp lý trong giai đoạn chuyển tiếp.

5. Nghĩa Vụ AML Cụ Thể Đối Với VASP Và Fintech

5.1 Nhận biết khách hàng (KYC) và thẩm định khách hàng (CDD)

Theo Luật PCRT 2022 và Thông tư 27/2025, mọi đối tượng báo cáo phải triển khai chương trình nhận biết khách hàng tương xứng với loại hình dịch vụ cung cấp. CDD là yêu cầu bắt buộc trong các trường hợp sau:

• Mở tài khoản hoặc thiết lập quan hệ kinh doanh
• Thực hiện giao dịch đạt ngưỡng báo cáo
• Khi phát sinh nghi ngờ về hoạt động rửa tiền hoặc tài trợ khủng bố
• Khi có nghi ngờ về tính chính xác của thông tin nhận dạng khách hàng đã thu thập

CDD tiêu chuẩn yêu cầu xác định và xác minh danh tính khách hàng và chủ sở hữu hưởng lợi thực sự. Đối với khách hàng doanh nghiệp, cần xác định chuỗi sở hữu xuống đến cấp cá nhân. Hồ sơ CDD phải được lưu giữ ít nhất 5 năm.

Thẩm định tăng cường (EDD) áp dụng bắt buộc với:

• Người có ảnh hưởng chính trị (PEP) trong nước và nước ngoài
• Giao dịch xuyên biên giới liên quan đến quốc gia có rủi ro cao
• Cấu trúc doanh nghiệp phức tạp hoặc không rõ ràng
• Khách hàng sử dụng tiền mặt nhiều

Với khách hàng rủi ro cao, Thông tư 27/2025 yêu cầu phê duyệt từ cấp quản lý cao hơn để thiết lập hoặc duy trì quan hệ, thu thập thêm thông tin về thu nhập, việc làm và nguồn gốc tài sản, cùng với việc giám sát giao dịch tăng cường và tần suất đánh giá lại KYC cao hơn.

5.2 Nghĩa vụ AML đặc thù theo Nghị quyết 05/2025 đối với VASP

VASP được cấp phép theo Nghị quyết 05/2025 chịu các nghĩa vụ AML/CFT đặc thù vượt ra ngoài yêu cầu chung của Luật PCRT 2022:

• Áp dụng KYC đầy đủ cho mọi giao dịch từ 1.000 USD tương đương trở lên
• Lưu trữ tại máy chủ đặt tại Việt Nam trong ít nhất 10 năm: lịch sử giao dịch, thông tin người gửi và người nhận (bao gồm địa chỉ ví), nhật ký truy cập IP/thiết bị và thông tin mở tài khoản
• Tích hợp hệ thống kỹ thuật với nền tảng giám sát giao dịch của NHNN
• Đảm bảo mọi giao dịch có thể truy vết theo thời gian thực bởi cơ quan quản lý

Yêu cầu lưu trữ dữ liệu tại chỗ trong 10 năm là một trong những điểm khác biệt rõ rệt nhất so với chuẩn quốc tế thông thường (thường là 5-7 năm). Điều này có hệ quả về cơ sở hạ tầng CNTT, chi phí vận hành và kiến trúc hệ thống mà các VASP phải tính toán trước khi nộp đơn xin cấp phép.

5.3 Đánh giá rủi ro nội bộ

Thông tư 27/2025 yêu cầu các tổ chức xây dựng đánh giá rủi ro rửa tiền nội bộ có tài liệu và áp dụng phương pháp chấm điểm định lượng trên thang 1-5 theo nhiều chiều rủi ro. Đánh giá này phải được cập nhật ít nhất mỗi năm một lần và mỗi khi có thay đổi trọng yếu như ra mắt sản phẩm mới, mở rộng sang thị trường mới hoặc xác định hành lang rủi ro cao mới.

Các chiều rủi ro cần đánh giá bao gồm rủi ro khách hàng, rủi ro sản phẩm/dịch vụ, rủi ro kênh phân phối, rủi ro địa lý/pháp lý, và điểm yếu trong kiểm soát nội bộ. Đặc biệt, Thông tư 27/2025 nhấn mạnh trách nhiệm cá nhân của lãnh đạo và người phụ trách AML trong trường hợp tổ chức bị xử phạt do thiếu tuân thủ.

6. Báo Cáo Giao Dịch: Ngưỡng, Thời Hạn Và Quy Trình

Hệ thống báo cáo giao dịch gồm ba loại chính, mỗi loại có ngưỡng và thời hạn khác nhau:

Báo cáo giao dịch đáng ngờ (STR)

Khi phát hiện dấu hiệu rửa tiền hoặc tài trợ khủng bố, đối tượng báo cáo phải gửi STR đến Cục Phòng, chống rửa tiền của NHNN. Thời hạn:

• Trong vòng 3 ngày làm việc kể từ ngày thực hiện giao dịch, hoặc 1 ngày làm việc kể từ khi phát hiện dấu hiệu đáng ngờ.
• Trong vòng 24 giờ nếu có liên quan đến tội phạm rửa tiền — yêu cầu báo cáo đồng thời đến NHNN và cơ quan thực thi pháp luật.

Nghiêm cấm tiết lộ thông tin STR cho khách hàng hoặc bên thứ ba (tipping-off).

Báo cáo giao dịch có giá trị lớn (LVTR)

Theo Quyết định 11/2023/QĐ-TTg, mọi giao dịch nộp/rút tiền mặt hoặc ngoại tệ từ 400 triệu đồng trở lên trong một ngày phải được báo cáo, bất kể có dấu hiệu đáng ngờ hay không.

Báo cáo chuyển tiền điện tử

Thông tư 27/2025/TT-NHNN quy định:

• Chuyển tiền nội địa từ 500 triệu đồng trở lên: phải báo cáo trong vòng 1 ngày làm việc (nộp điện tử) hoặc 2 ngày làm việc (nộp giấy).
• Chuyển tiền quốc tế từ 1.000 USD trở lên: phải báo cáo, bao gồm đầy đủ thông tin người gửi và người nhận.

Kể từ ngày 1/1/2026, tất cả báo cáo bắt buộc phải nộp bằng phương thức điện tử. Điều này đặt ra yêu cầu rõ ràng về hạ tầng công nghệ: các tổ chức chưa tích hợp hệ thống nộp báo cáo điện tử với NHNN cần khẩn trương xử lý điểm này.

7. Lưu Trữ Dữ Liệu Và Yêu Cầu Bản Địa Hóa

Luật PCRT 2022 quy định thời gian lưu trữ hồ sơ tối thiểu là 5 năm kể từ khi kết thúc quan hệ kinh doanh hoặc kể từ thời điểm hoàn tất giao dịch. Với VASP, Nghị quyết 05/2025 nâng mức yêu cầu lưu trữ lên 10 năm và bắt buộc dữ liệu phải đặt tại máy chủ trong lãnh thổ Việt Nam.

Loại dữ liệu cần lưu trữ:

• Hồ sơ KYC và thông tin nhận dạng khách hàng
• Thông tin chủ sở hữu hưởng lợi thực sự
• Hồ sơ đánh giá rủi ro và CDD/EDD
• Dữ liệu giao dịch, bao gồm STR, LVTR và ghi chú điều tra nội bộ
• Với VASP: lịch sử giao dịch trên chuỗi, địa chỉ ví, nhật ký truy cập IP/thiết bị

Ngoài ra, Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân đặt thêm yêu cầu bản địa hóa và kiểm soát truyền dữ liệu xuyên biên giới. Các fintech và VASP có cơ sở hạ tầng đám mây đặt ngoài Việt Nam cần rà soát lại kiến trúc dữ liệu để đảm bảo tuân thủ đồng thời cả Luật PCRT và Nghị định 13/2023.

8. Chế Tài Và Rủi Ro Không Tuân Thủ

Không tuân thủ các nghĩa vụ AML có thể dẫn đến hai loại hậu quả: xử phạt hành chính và trách nhiệm hình sự.

Chế tài hành chính theo Nghị định 88/2019/NĐ-CP (được sửa đổi) bao gồm phạt tiền đối với các vi phạm:

• Không thực hiện hoặc thực hiện không đầy đủ thẩm định khách hàng
• Không nộp STR hoặc LVTR đúng thời hạn
• Kiểm soát nội bộ yếu kém hoặc thiếu bộ phận kiểm toán độc lập
• Vi phạm yêu cầu lưu trữ hồ sơ
• Thiếu chương trình đào tạo AML cho nhân sự

Ngoài phạt tiền, các hậu quả nghiêm trọng hơn bao gồm đình chỉ giấy phép, hạn chế hoạt động kinh doanh và tổn hại danh tiếng. Cá nhân lãnh đạo có thể bị truy cứu trách nhiệm hình sự trong trường hợp vi phạm cố ý hoặc quy mô lớn.

Đặc biệt, Thông tư 27/2025 gắn trách nhiệm cá nhân với lãnh đạo và người phụ trách AML. Điều này có nghĩa là không chỉ tổ chức, mà bản thân người đứng đầu cũng chịu rủi ro pháp lý khi hệ thống AML không vận hành hiệu quả.

9. Lộ Trình Tuân Thủ Thực Tế Cho VASP Và Fintech

Dựa trên tổng thể các quy định hiện hành, dưới đây là những hành động ưu tiên mà các VASP và công ty fintech đang vận hành hoặc chuẩn bị gia nhập thị trường Việt Nam cần triển khai:

Giai đoạn 1 – Nền tảng pháp lý:

• Xác định đối tượng báo cáo: xác nhận tổ chức có thuộc diện Luật PCRT 2022 hay không và theo Nghị quyết 05/2025 nếu là VASP.
• Xây dựng chính sách AML/CFT nội bộ bằng văn bản, bao gồm quy trình KYC, CDD, EDD, xử lý STR và đào tạo nhân sự.
• Chỉ định cán bộ phụ trách AML (MLRO) cấp quản lý cao, người chịu trách nhiệm cá nhân theo Thông tư 27/2025.

Giai đoạn 2 – Hạ tầng kỹ thuật:

• Thiết lập hệ thống giám sát giao dịch tự động có khả năng phát hiện ngưỡng LVTR (400 triệu đồng/ngày) và STR theo thời gian thực.
• Tích hợp công cụ sàng lọc PEP, danh sách trừng phạt của LHQ và danh sách cảnh báo của NHNN.
• Đảm bảo hạ tầng máy chủ đặt tại Việt Nam, tuân thủ yêu cầu bản địa hóa dữ liệu theo cả Luật PCRT và Nghị định 13/2023.
• Kết nối hệ thống nộp báo cáo điện tử với NHNN trước ngày 1/1/2026.

Giai đoạn 3 – Cấp phép và duy trì tuân thủ:

• Nộp hồ sơ xin cấp phép VASP theo quy trình của Ủy ban Chứng khoán Nhà nước (UBCKNN) theo Nghị quyết 05/2025 và Quyết định 96/QĐ-BTC.
• Thực hiện đánh giá rủi ro nội bộ định kỳ theo thang điểm định lượng yêu cầu bởi Thông tư 27/2025, cập nhật ít nhất mỗi năm.
• Duy trì kiểm toán AML độc lập và chương trình đào tạo nhân sự thường xuyên — hai yếu tố được cơ quan quản lý đặc biệt chú ý trong quá trình kiểm tra.

Những tổ chức xây dựng nền tảng tuân thủ vững chắc ngay từ đầu sẽ có lợi thế rõ ràng trong quá trình thẩm định để được cấp phép, khi UBCKNN đánh giá năng lực tuân thủ là một trong những tiêu chí then chốt.

Kết Luận

Khung pháp lý AML tại Việt Nam không còn là vấn đề của tương lai. Luật PCRT 2022, Thông tư 27/2025/TT-NHNN và Nghị quyết 05/2025/NQ-CP cùng tạo ra một hệ thống nghĩa vụ đang có hiệu lực, áp dụng trực tiếp cho fintech và VASP.

Đối với các tổ chức đang cân nhắc tham gia chương trình thí điểm VASP, chi phí tuân thủ ước tính từ 50 đến 200 tỷ đồng mỗi tổ chức không phải là con số nhỏ. Nhưng tổ chức nào đến muộn — hoặc không chuẩn bị đủ trước khi nộp hồ sơ — sẽ càng tốn kém hơn khi phải xử lý sự không tuân thủ sau cấp phép.

Việc lựa chọn cấu trúc pháp lý đúng, xây dựng hệ thống AML phù hợp và duy trì tuân thủ liên tục là những quyết định chiến lược, không chỉ là vấn đề kỹ thuật. GSS Legal hỗ trợ khách hàng từ giai đoạn đánh giá pháp lý ban đầu đến tư vấn tuân thủ AML, cấp phép VASP, và duy trì vận hành sau cấp phép tại Việt Nam cũng như các thị trường châu Á và quốc tế khác.