Bỏ qua điều hướng — đến nội dung chính
Doanhnghiep.vn
🇻🇳 VI
KYB·13 phút đọc

Sanctions screening cho ngân hàng & fintech VN 2026 — OFAC, UN, EU, PEP databases

Framework sàng lọc danh sách trừng phạt cho tổ chức tín dụng / fintech Việt Nam: 8 databases bắt buộc (OFAC SDN, UN, EU, UK HMT, AUSTRAC, FATF high-risk, PEP, Bộ Công an VN), fuzzy matching threshold, false positive workflow, compliance log + audit trail.

Đội biên tập doanhnghiep.vn · KYB Compliance Editorial — Companies House of Vietnam Rà soát bởi Đội ngũ biên tập và rà soát doanhnghiep.vn
SANCTIONSScreening cho NH + Fintech VN 2026

Framework sàng lọc 8 danh sách trừng phạt (OFAC, UN, EU, UK, FATF, PEP, Bộ CA VN, AUSTRAC) cho tổ chức tín dụng + fintech Việt Nam.

AMLPCRT 2022FATF Rec 6+7Compliance

Sanctions screening = nghĩa vụ sàng lọc khách hàng / đối tác / giao dịch với các danh sách trừng phạt quốc tế trước khi mở tài khoản, xử lý giao dịch, hoặc thiết lập quan hệ kinh doanh. Tại Việt Nam, đây là yêu cầu pháp lý bắt buộc theo Luật Phòng, chống rửa tiền 2022 (Điều 17-20) và Thông tư 20/2022/TT-NHNN đối với mọi tổ chức tín dụng, công ty chứng khoán, công ty bảo hiểm, fintech, ví điện tử, và tổ chức cung ứng dịch vụ trung gian thanh toán.

Bài hướng dẫn này phân tích 8 danh sách sanctions bắt buộc, framework 5 bước screening chuẩn FATF, threshold fuzzy matching cho thị trường Việt Nam (chữ Romanize), workflow xử lý false positive, và compliance log + audit trail cho thanh tra NHNN. Dành cho AML officer + MLRO (Money Laundering Reporting Officer) + KYB ops tier 1.

Sanctions screening là gì? Khác PEP / KYB ở đâu?

Sanctions = các đối tượng (cá nhân + tổ chức + tàu thuyền + máy bay) bị các chính phủ + tổ chức quốc tế CẤM giao dịch. Match một entity với sanctions list = BẮT BUỘC BLOCK ngay, không thương lượng. Phổ biến nhất: OFAC SDN (Mỹ), UN Consolidated List (Liên Hợp Quốc), EU Sanctions, UK HMT, AUSTRAC (Úc).

PEP (Politically Exposed Persons) = lãnh đạo nhà nước, cán bộ cấp cao chính phủ, lãnh đạo quân đội, lãnh đạo Đảng, tư pháp cao cấp, lãnh đạo các tổ chức quốc tế, + gia đình ruột thịt + cộng sự thân cận. Match PEP KHÔNG phải block — mà phải elevate sang Enhanced DD + senior management approval + source-of-wealth statement.

KYB bao trùm cả 2: định danh DN + người đại diện + UBO → screen từng đối tượng với sanctions + PEP lists. Xem chi tiết 7 bước KYB trong KYB là gì? Quy trình Know-Your-Business 7 bước.

8 danh sách BẮT BUỘC sàng lọc 2026

8 danh sách sanctions / PEP cần screen song song

1. OFAC SDN (Bộ Tài chính Mỹ)

Specially Designated Nationals — cá nhân + tổ chức bị Mỹ cấm. ~13.000 entries (5/2026). Cập nhật weekly. Tài khoản USD bắt buộc check.

2. UN Consolidated List

Liên Hợp Quốc — sanctions theo Resolution của Security Council (Al-Qaida, ISIL, Taliban, Bắc Triều Tiên...). Cập nhật biweekly.

3. EU Sanctions (EU Council)

Restrictive measures của Liên minh Châu Âu — ~2.000 entries. Update theo CFSP decisions. Quan trọng cho giao dịch EUR.

4. UK HMT (HM Treasury)

Anh sau Brexit có sanctions list riêng. ~1.500 entries. Bắt buộc cho TCTD có quan hệ correspondent với UK banks.

5. PEP databases

World-Check, LexisNexis Bridger, Dow Jones, ComplyAdvantage tổng hợp 1.5-2 triệu PEP global. Update daily.

6. FATF High-Risk Jurisdictions

Hiện 23 quốc gia trong grey list + 2 black list (Iran, Bắc Triều Tiên — 5/2026). DN từ đây = mandatory Enhanced DD.

7. Bộ Công an VN watchlist

Theo Thông tư 20/2022 + NĐ 87/2023 — danh sách đối tượng bị truy nã, đối tượng nghi vấn rửa tiền của Cơ quan PCRT NHNN.

8. AUSTRAC + Five Eyes watchlists

Australia AUSTRAC + Canada FINTRAC + New Zealand FIU + USA FinCEN + UK NCA — đặc biệt quan trọng cho fintech cross-border.

Framework screening 5 bước

Quy trình sanctions screening chuẩn cho NH/fintech VN

  1. Bước 1 — Chuẩn hoá dữ liệu input

    Normalize tên (uppercase, bỏ dấu, transliterate ký tự non-Latin), tách first/middle/last name, format DOB ISO 8601, country ISO 3166-1 alpha-2. Input bẩn = false positive overload sau đó. Reject input không có tên + ít nhất 1 trong (DOB, quốc tịch, MST).

  2. Bước 2 — Match với 8 sources + aliases

    Pull entries từ 8 danh sách. Mỗi entry có 3-15 alias + previous names + transliteration variants. Apply Jaro-Winkler fuzzy match threshold 85%. Match theo (a) full name, (b) phonetic Soundex/Metaphone, (c) DOB ±1 year tolerance, (d) country match.

  3. Bước 3 — Triage qua 4-eye check

    Analyst tier-1 reviews từng match: true positive → escalate sang reviewer; false positive (vd 'NGUYỄN VĂN A' trùng tên người Việt phổ biến) → log rationale + dismiss. Senior reviewer (tier-2) verify mọi true positive trước khi BLOCK. Document chain-of-custody decision.

  4. Bước 4 — Action true positives

    BLOCK transaction / freeze account ngay (KHÔNG hoàn tất giao dịch); file SAR (Suspicious Activity Report) với NHNN trong 24h qua AMLIS theo Thông tư 20/2022; lưu evidence (match screenshot + danh sách timestamp + decision rationale) tối thiểu 5 năm. TUYỆT ĐỐI KHÔNG thông báo khách hàng (tipping-off offense, phạt 200-500 triệu).

  5. Bước 5 — Ongoing monitoring + audit log

    Real-time re-screen transaction > 200 triệu VND, batch hằng ngày toàn portfolio, emergency re-screen 48h khi OFAC/UN cập nhật. Audit trail mỗi run: input, threshold, matches, decisions, reviewer ID, timestamp — eligible cho Cục Thanh tra NHNN audit (chu kỳ 12-18 tháng).

Fuzzy matching threshold — chọn bao nhiêu?

85% Jaro-Winkler là baseline industry standard. Nhưng threshold tuỳ scale + risk appetite của tổ chức:

  • Tier-1 banks (VCB, BIDV, Vietinbank, MBB...): 80-83% — conservative, accept false positive load cao để minimum false negative. Analyst team đủ lớn (50-200 người) để triage.
  • Mid-tier banks + công ty CK: 85-88% — balance accuracy + ops cost. Analyst team 10-30 người.
  • Fintech / ví điện tử / SMB lender: 88-92% — chấp nhận một số false negative ngoài-tier để giảm ops overhead. Bù lại có thêm transaction monitoring layer.

Tuyệt đối không bao giờ:

  • <80% — false negative gần như chắc chắn miss true positive risk
  • >95% — chỉ bắt exact match, miss case viết sai dấu / Romanize khác (Ali / Aly / Alie)
  • Threshold cứng cho mọi attribute — name 85%, DOB ±1 year, country exact match, alias loose

False positive workflow — đừng để analyst burnout

False positive (FP) là realité không tránh khỏi — pattern bank lớn VN: ~5-15% screening runs có ≥1 FP. Workflow tốt:

  1. Pre-screen whitelist: build database các "common name false positives" (NGUYỄN VĂN A, TRẦN THỊ B, JOHN SMITH...) với DOB + country context. Auto-dismiss khi match chỉ name + đã có whitelist entry.
  2. Risk score per match: ưu tiên review theo (a) jurisdiction risk, (b) transaction amount, (c) account age, (d) historical FP rate của analyst trước đó.
  3. SLA cho triage: tier-1 review trong 4h, tier-2 verify trong 24h cho non-urgent; tier-2 immediate cho transaction > 5 tỷ.
  4. Feedback loop: mỗi FP dismissed → update whitelist + retrain threshold theo pattern; mỗi true positive missed → root cause analysis + threshold review.

Vendor + tools sanctions screening cho VN 2026

Lựa chọn theo scale + ngân sách + tích hợp core banking:

Enterprise tier (NH lớn, công ty CK tier-1)

  • Refinitiv World-Check One (LSEG) — gold standard, coverage 4M+ entities, daily delta updates, API + bulk. ~$50K-200K/năm.
  • LexisNexis Bridger Insight XG — strong PEP + adverse media coverage. ~$40K-150K/năm.
  • Dow Jones Risk & Compliance — comprehensive PEP + sanctions, mạnh corporate ownership graph.

Mid-market tier (mid-bank, fintech series B+)

  • ComplyAdvantage — modern API, real-time updates, strong cho fintech. ~$20K-80K/năm.
  • Sumsub — KYC + KYB + sanctions tích hợp, hỗ trợ VN documents OCR. ~$10K-50K/năm.
  • Onfido / Trulioo — focus eKYC nhưng có sanctions module add-on.

SMB / startup tier (early-stage fintech, SMB lender)

  • OFAC SDN API + UN feed (free) — build internal matching engine ~$5-10K dev time initial + ~$2K/năm maintenance.
  • Sanctions.io / OpenSanctions — open-source consolidated feed (free or $200-2K/năm cho commercial).
  • Internal build với CSV daily download— impractical cho scale >1000 transactions/ngày.

Real-world use case: khi mở tài khoản DN tại NH cho Công ty TNHH FPT (MST 0101248141), bank phải screen: (1) FPT entity, (2) Trương Gia Bình (đại diện pháp luật), (3) tất cả UBO ≥25% (lấy từ kê khai NĐ 23/2024), (4) các thành viên HĐQT. DN niêm yết blue-chip như FPT thường pass Standard screening ngay; SMB không niêm yết cần Enhanced DD nếu ngành cao rủi ro hoặc UBO từ jurisdiction high-risk.

Compliance log + audit trail

NHNN qua Cục Thanh tra Giám sát Ngân hàng audit chu kỳ 12-18 tháng cho TCTD + 24 tháng cho fintech. Audit log bắt buộc giữ tối thiểu:

  • 5 năm — full screening logs theo Luật PCRT 2022 Điều 38
  • 10 năm — true positive cases + SAR filings
  • Vĩnh viễn — cases bị truy tố hình sự BLHS Đ.324 (rửa tiền)

Mỗi screening run log bắt buộc có:

  • Timestamp (ISO 8601 + timezone)
  • Input data (name, DOB, country, MST nếu DN)
  • Sources screened + version/date của mỗi list
  • Threshold + matching algorithm dùng
  • Matches found (true / false positive với rationale)
  • Decision + reviewer ID + escalation chain
  • Action taken (clear / block / SAR filed)

Phạt vi phạm theo NĐ 16/2023

Mức phạt khi vi phạm nghĩa vụ sanctions screening:

  • Không sàng lọc với danh sách cấm: 100-200 triệu VND/lần (Điều 22 NĐ 16/2023)
  • Không báo cáo SAR trong 24h: 80-150 triệu VND
  • Tipping-off khách hàng bị flag: 200-500 triệu VND + có thể truy tố BLHS Đ.324
  • Vi phạm nghiêm trọng / lặp lại: đình chỉ hoạt động 3-6 tháng + thu hồi giấy phép (TCTD); phạt tới 5% doanh thu (theo NĐ 88/2019 + 143/2021)

Bài liên quan

Câu hỏi thường gặp

Sanctions screening khác PEP screening như thế nào?
Sanctions screening = match với danh sách CẤM giao dịch (OFAC SDN, UN Consolidated, EU Sanctions) — nếu match phải BLOCK ngay, báo cáo NHNN trong 24h. PEP screening = match với danh sách Politically Exposed Persons (lãnh đạo nhà nước, cán bộ cấp cao, gia đình + cộng sự thân cận) — không phải block, mà phải elevate sang Enhanced DD + senior management approval. Đa số tools làm cả 2 đồng thời.
Doanh nghiệp Việt Nam có cần lo về sanctions screening không?
Có, nếu rơi vào 1 trong các nhóm: (1) Tổ chức tín dụng + chi nhánh ngân hàng nước ngoài (bắt buộc theo Thông tư 20/2022 NHNN), (2) Công ty chứng khoán, công ty bảo hiểm, fintech, ví điện tử (Luật PCRT 2022 Điều 4), (3) DN xuất nhập khẩu với đối tác từ jurisdiction high-risk (Iran, Bắc Triều Tiên, Cuba, Syria — risk hợp đồng vô hiệu + truy tố BLHS Đ.324). DN B2B thông thường cũng nên screen để giảm rủi ro reputation + counterparty.
Fuzzy matching threshold 85% có đúng không? Tôi nên dùng bao nhiêu?
85% là baseline industry standard (Jaro-Winkler) — đủ bắt 95% case viết sai dấu / khác cách Romanize tên tiếng Ả Rập, Trung, Nga. Bank lớn (tier-1) thường dùng 80% để conservative; fintech / SMB dùng 85-90% để balance false positive load. Không bao giờ <80% (miss true positive risk) hoặc >95% (false negative gần chắc chắn). Luôn document threshold trong policy + log từng screening run.
Phải re-screen khách hàng hiện tại bao lâu một lần?
Cadence chuẩn: (1) Real-time cho transaction mới > 200 triệu VND (Điều 25 Luật PCRT), (2) Batch hằng ngày cho toàn bộ portfolio khách hàng đang hoạt động, (3) Emergency re-screen trong 48h khi OFAC / UN cập nhật SDN list, (4) Periodic deep re-screen 12 tháng cho Standard tier, 6 tháng cho High tier. Một số bank lớn dùng streaming sanctions feed (delta updates real-time qua webhook từ vendor).
Nếu match true positive thì làm gì?
Quy trình standard: (1) BLOCK transaction / freeze account ngay (không cho hoàn tất giao dịch); (2) Báo cáo NHNN trong 24h qua hệ thống AMLIS theo Thông tư 20/2022; (3) Lưu hồ sơ verification (screenshot match + danh sách nguồn) tối thiểu 5 năm; (4) KHÔNG thông báo cho khách hàng về việc bị flagged (tipping-off offense theo Luật PCRT Đ.32, phạt 200-500 triệu); (5) Chuyển case lên MLRO (Money Laundering Reporting Officer) để escalate cơ quan điều tra nếu cần.
Vendor sanctions screening nào dùng được cho thị trường VN?
Lựa chọn theo scale: enterprise (NH lớn, công ty CK lớn) dùng Refinitiv World-Check, LexisNexis Bridger, ComplyAdvantage (sub $50K-200K/năm). Fintech / mid-bank dùng Sumsub, Onfido, Trulioo (~$10K-50K/năm). SMB / startup dùng OFAC API + UN feed miễn phí + build internal matching (cost dev time ~$5-10K initial). Lưu ý: vendor nào cũng PHẢI cover Bộ Công an VN watchlist + tích hợp được với hệ thống core banking T24/Finacle/Flexcube.