إجابة سريعة
تُلزم قواعد مكافحة غسل الأموال كل شركة تخدمك، من مزود خدمات الشركات والموثق إلى البنك، بإعداد ملف خاص بها عنك والاحتفاظ به. ويجيز القانون لها الاعتماد على عمل بعضها بعضاً، لكنه يبقي المسؤولية على من يعتمد، لذلك يبدأ كل منها عملياً من الصفر وينتهي الأمر بالعميل في ثلاثة أو أربعة ملفات منفصلة. ويكلّف كل ملف موظفين وبرمجيات، والعميل يدفع ثمنها جميعاً. جزء صغير من هذه الأوراق يحد من المخاطر؛ أما معظمها فموجود ليُظهر حائز الملف للمفتش أنه طرح الأسئلة.
أدير أعمال الامتثال مهنياً. Eesti Firma مزود مرخص لخدمات الائتمان والشركات، مما يجعلنا كياناً ملزماً: أي إحدى الشركات التي يفرض عليها قانون مكافحة غسل الأموال (AML)، المطبق بصيغة متشابهة إلى حد كبير في أنحاء EU، التحقق من عملائها والإبلاغ عما يبدو مشبوهاً. يُتحقق من هوية كل عميل يؤسس شركة من خلالنا، ويُفحص ويُسأل عن مصدر الأموال، وأنا أؤمن بتنفيذ ذلك على نحو سليم. يستغرق التحقق من مؤسس واضح وفحصه مقابل قوائم العقوبات والأشخاص المعرّضين سياسياً نحو 15 إلى 20 دقيقة لدى شخص مدرّب. أما بقية إجراءات الانضمام فهي أوراق مبنية حول ربع الساعة هذا، ثم يعيد كل كيان ملزم آخر يقابله العميل إعداد الأوراق نفسها من البداية.
هذه ليست حجة ضد فحوصات اعرف عميلك (KYC)، بل حجة بشأن ما تحولت إليه. يؤدي الجميع في السلسلة العمل بعناية، لأن الجميع يخشون عواقب عدم أدائه، وفي مرحلة ما أصبح ذلك الخوف هو الغاية. لقد أصبحت أرى أن الملف موجود بدرجة أقل لمنع غسل الأموال منه لإثبات أن المؤسسة الحائزة له طرحت الأسئلة الصحيحة عندما يأتي المفتش.
عميل واحد، ثلاث أو أربع جولات من الفحوصات
هكذا تبدو الأشهر الأولى لعميل نموذجي لدينا: مؤسس من ألمانيا أو إسبانيا أو تركيا يريد شركة إستونية ذات مسؤولية محدودة (OÜ) وحساباً عاملاً. وسيكون التسلسل مشابهاً جداً في دبلن أو لشبونة، لأن القواعد تأتي من توجيهات EU نفسها؛ وتضيف إستونيا خطوة خاصة بها لحاملي e-Residency.
- الدولة، لحاملي e-Residency. يتقدم مؤسس يريد الهوية الرقمية الإستونية بطلب e-Residency، ويجري Police and Border Guard Board فحصاً للخلفية قبل إصدار البطاقة. ليس هذا فحص AML بالمعنى القانوني، بل تدقيق بموجب قانون مختلف، لكنه يطلب جواز السفر نفسه وشرح الغرض نفسه، ويدفع مقدم الطلب رسوماً حكومية مقابله.
- مزود الخدمة. نتحقق من هوية المؤسس، ونحدد المستفيد الحقيقي، ونفحصه مقابل قوائم العقوبات وPEP (وPEP هو شخص معرّض سياسياً، أي شخص يجعل منصبه العام الرشوة خطراً)، ونسأل عما ستفعله الشركة ومن أين تأتي أموال البدء، ونحدد مستوى المخاطر. وهذا يتضمن استبياناً ومجموعة مستندات وعادة مكالمة فيديو.
- الموثق. يؤسس المؤسس الذي لا يملك هوية رقمية إستونية الشركة عن طريق موثق بدلاً من ذلك، والموثق كيان ملزم منفصل له الواجبات نفسها. لا وزن لملفنا في مكتبه؛ فهو يتحقق من هوية العميل ويفحص المالك بنفسه.
- البنك أو مؤسسة الدفع. يجري من يفتح الحساب، سواء كان بنكاً أو شركة fintech، نموذجه وقائمة مستنداته ومقابلته الخاصة: خطة العمل، والأحجام المتوقعة، والأطراف المقابلة الرئيسية، ومصدر الأموال، مجدداً. والحساب الثاني، الذي يحتاجه كثير من عملائنا، يعني الجولة نفسها مرة أخرى.
بحسب المسار، يمر المؤسس بثلاثة أو أربعة من هذه الفحوصات، ولا يتوقف التحقق عند ذلك. عندما يدفع العميل فاتورتنا، قد يسألنا بنكنا عن هوية الدافع والغرض من المال. والمحاسب الذي يتولى الشركة لاحقاً كيان ملزم أيضاً. ويجب على كل من هذه المؤسسات الاحتفاظ بملفها لمدة خمس سنوات على الأقل بعد انتهاء العلاقة، وإبقاؤه محدثاً وحمايته كبيانات شخصية ومراقبته، لأن كل واحدة مسؤولة بصورة مستقلة عما تحتفظ به.
تُدفع كل جولة على حدة. يوظف مزود مثلنا أشخاصاً لقراءة الاستبيانات ومتابعة المستندات وفحص الأسماء وكتابة تقييم للمخاطر ثم صيانة الملف لسنوات، ويغطي الرسم ذلك العمل. ويحتسب الموثق وقته. والبنوك هي الأكثر إنفاقاً بفارق كبير؛ إذ قدر أحد استطلاعات القطاع تكلفة الامتثال للجرائم المالية في القطاع المالي العالمي بأكثر من $270 billion في 2022. لا يجمع أحد هذه الأرقام، لأن كل رقم يقع في ميزانية مختلفة، لكن العميل يدفعها كلها في الرسوم والرسوم الحكومية، ولا يرى موظفو الامتثال في كل محطة ما توصلت إليه المحطة السابقة. ومثل بقية مجموعة قواعد EU، فهي تكلفة ثابتة: يستوعبها البنك، بينما يشعر مزود لديه اثنا عشر موظفاً بها كاملة.
كيف تحول النموذج إلى ملف
قبل عشر سنوات كانت الفحوصات موجودة، لكنها كانت نموذجاً لا ملفاً. كان فتح الحساب يعني جواز سفر وتوقيعاً وبضعة أسئلة، وكان مزود مثلنا يحتفظ بملف ضئيل. ثم جاءت الفضائح. أعاد EU صياغة توجيهه لمكافحة غسل الأموال في 2015 ومرة أخرى في 2018، مضيفاً في كل مرة كيانات ملزمة والتزامات. وحصلت إستونيا على قانون وطني جديد في 2017، وفي 2018 وضع تقرير Danske Bank رقماً بنحو €200 billion للأموال غير المقيمة التي مرت عبر فرع واحد في Tallinn، وقد اعتُبر كثير منها مشبوهاً لاحقاً. أصبحت دولة صغيرة مرادفاً لغسل الأموال.
لم تكن مشكلة Danske نقصاً في النماذج. كان لدى البنك ملفات عن عملائه غير المقيمين وتجاهل ما أظهرته مراقبته هو، ولم يدقق المشرفون بما يكفي في مؤسسة واحدة. ومع ذلك، كانت الاستجابة مزيداً من النماذج للجميع. فعل كل بنك وكل مشرف ما تفعله أي مؤسسة بعد إذلال علني: سأل أكثر، واحتفظ بأكثر، ولم يثق بأحد. وفي خبرتي، لا تسير الدورة إلا في اتجاه واحد. يُلام المشرف على الفضيحة التي أخفق في منعها، لا على الاستبيان الذي جعل عشرة آلاف عميل نزيه يملؤونه. ويُغرّم الكيان الملزم على الحقل الذي تركه فارغاً، لا الحقل الذي أضافه. توجد برامج تبسيط في Brussels وTallinn، لكن تفتيش أحد لا يعتمد عليها، لذلك تتراكم الأسئلة أسرع من إزالتها.
يسمح القانون بالمشاركة، لكن لا أحد يشارك عملياً
الهوية، وإنصافاً، مشتركة بالفعل. فعندما يسجّل e-resident أو مقيم إستوني الدخول باستخدام هوية رقمية، يعتمد كل بنك ومزوّد خدمة على هوية تحققت منها الدولة. أما ما لا يُتشارك فهو كل ما عدا ذلك في الملف: من هو المالك، وما الذي تفعله الشركة، ومن أين تأتي الأموال. ويجيز القانون ذلك أيضاً. فكلٌّ من توجيه الاتحاد الأوروبي الحالي ولائحة الاتحاد الأوروبي لمكافحة غسل الأموال الجديدة، التي تُطبّق اعتباراً من يوليو 2027، يسمحان للجهة الملزمة بالاعتماد على فحوصات العملاء التي أجرتها بالفعل جهة ملزمة أخرى، ومن المقرر أن تصدر السلطة الأوروبية الجديدة AMLA إرشادات بشأن كيفية ذلك. فلماذا يطلب البنك من عميلنا البدء من الصفر؟
لأن المسؤولية تبقى على من يعتمد. إذا اتضح أن ملفنا خاطئ، تقع الغرامة على البنك، وسيسأل مشرف البنك البنك، لا نحن، لماذا وثق بشركة لا يسيطر عليها. فتقييم إجراءات شركة أخرى يكلف أكثر من إرسال نموذج جديد للعميل، ولذلك تتخذ كل مؤسسة الخيار العقلاني نفسه. يسمح القانون بالاعتماد على الورق ويعاقب عليه عملياً، ومحصلة كل تلك الخيارات الفردية المعقولة هي المسرح الوارد في العنوان. لم يعد الملف أداة بل صار منتجاً: وظيفته أن يوجد وأن يكون كاملاً وقابلاً للتقديم عند الطلب، كي يكون حائزه محمياً.
تأسيس الشركة مثالي لأن هذا عملي، لكن النمط يمتد عبر الاقتصاد. فبيع شقة في أي مدينة في EU ينتج ملفاً لدى وكيل العقارات، وآخر لدى الموثق، وثالثاً لدى البنك المقرض، وأحياناً رابعاً لدى البنك الذي يحول مدخرات المشتري: أربعة ملفات عن الشخصين نفسيهما لمعاملة واحدة، ولا يستند أي منها إلى سابقه. استبدل أكثر من €1,000 نقداً لدى صرافة عملات إستونية، فسيجري التحقق من هويتك وتسجيلك، وستحتفظ الصرافة بهذا السجل سنوات إلى جانب آلاف مثله. كما يحتفظ المحاسبون والمدققون والمحامون وتجار المقتنيات الثمينة بملفات من النوع نفسه.
ما الذي يخفف المخاطر في الملف
ينقسم الملف القياسي الذي تجمعه البنوك والمزودون في السوق من شركة جديدة، بحسب قراءتي، إلى ثلاث مجموعات: الجزء الذي يصعّب إساءة استخدام الشركة، والجزء الموجود أساساً لكي يرضي حائزه مفتشاً، والجزء الذي هو طقس محض. والجدول تصنيفي الشخصي لا تصنيف قانوني، والاختبار في كل صف بسيط: هل يتصرف أحد يوماً بناءً على هذه المعلومة؟
| عنصر من الملف القياسي | ما الذي يفعله |
|---|---|
| هوية متحقق منها مقابل مستند، مع فحص مباشر أو عبر الفيديو | يقلل المخاطر. يرتبط شخص حقيقي بالشركة. |
| تحديد المستفيد الحقيقي والتحقق منه مقابل السجل | يقلل المخاطر. الملكية الخفية هي أكثر ما يحتاجه غاسل الأموال. |
| مستندات مصدر الأموال: عقود، كشوف، صكوك بيع | يقلل المخاطر إذا قرأها أحد. لا يضيف الإقرار الموقّع بأن الأموال مشروعة شيئاً إلى المستندات. |
| وصف واضح للشركة: من يدفع لمن، ولماذا | يقلل المخاطر حين يراقب الحائز المعاملات بمقابلته. يفعل البنك ذلك. أما الموثق أو وكيل التأسيس فلا يرى معاملة قط، ومع ذلك يجمع الوصف نفسه. |
| فحص العقوبات وPEP | يقلل المخاطر، وهو منخفض التكلفة لأن البرمجيات تنفذه. |
| الإيراد السنوي المتوقع، لأقرب ألف، لشركة لم توجد بعد | مفيد للبنك كأساس للمراقبة. ولكل حائز آخر للملف هو رقم لن ينظر إليه أحد مجدداً. |
| إقرار ذاتي بأن العميل ليس PEP ويتصرف لحسابه الخاص | للمفتش أساساً. ينقل اللوم إلى العميل إذا كذب؛ ولا يكتشف شيئاً. |
| جمع المجموعة نفسها مجدداً لدى كل مؤسسة | للمفتش، كما ذُكر أعلاه. تحمي كل نسخة حائزها؛ ولا تحمي النسخة الثانية النظام. |
| إعادة KYC دورياً، أي المراجعة الكاملة كل سنة أو سنتين، عندما لا يتغير شيء | للمفتش. يثبت اتباع التقويم. |
يتبع من الجدول أمران. أولاً، لا يبرر الملف تكلفته إلا حيث يراقبه أحد لاحقاً، وهو في السلسلة أعلاه البنك، والبنك وحده. ثانياً، يأتي الطول من المجموعة الوسطى. لا يستطيع المفتش رؤية ما إذا كنا فهمنا العميل، لكنه يستطيع رؤية ما إذا كان الحقل 14 قد مُلئ، ولذلك تضاف الحقول ونادراً ما تُزال.
ما الذي تقوله الحسابات
أستخدم الأرقام الإستونية لأنها الأكثر معرفةً لدي ولأن وحدة الاستخبارات المالية تنشر كتاباً سنوياً. في عام 2024، تلقت الوحدة 14,185 بلاغاً من الجهات الملزمة. وقدمت 133 إحالة محللة إلى المحققين ونحو 1,700 عملية نقل إضافية للمعلومات، وصادر المحققون أصولاً بقيمة €5.7 مليون كانت الوحدة قد جمّدتها. ووفقاً لـتقييم المخاطر الوطني، أدت الإحالات المحللة التي قدمتها الوحدة إلى عشر إجراءات جنائية جديدة في عام 2024، وعلى مدى السنوات الخمس حتى عام 2024 أصدرت المحاكم الإستونية 32 حكماً في قضايا غسل الأموال.
والآن الجانب الآخر. يُسجل في إستونيا كل عام أكثر من 25,000 شركة إستونية ذات مسؤولية محدودة جديدة، ويضم السجل نحو 370,000 كيان قانوني من جميع الأنواع، ويحصي برنامج e-Residency أكثر من 134,000 حامل e-Residency. كل شركة جديدة وكل حساب وكل هوية رقمية يعني ملف KYC كاملاً واحداً على الأقل، وغالباً عدة ملفات. وتقديري التقريبي، وأشدد على أنه تقديري، هو أن الكيانات الملزمة في إستونيا تنتج أكثر بكثير من مئة ألف ملف KYC سنوياً، وأن النظام كله يحولها إلى عشرة إجراءات جنائية وبضعة ملايين يورو مضبوطة. افترض أن عميلاً واحداً من كل عشرة آلاف لديه نية إجرامية. يمر الـ9,999 الآخرون بثلاث أو أربع جولات من الفحوصات كي يمكن العثور عليه، وتقول الأرقام أعلاه إنه لا يُعثر عليه عادة.
ثمة اعتراضان وجيهان، وأريد عرضهما. أولهما الردع: فالمجرمون الذين لا يتقدمون بطلبات أصلاً لأنهم يعلمون أنهم سيُسألون لا يظهرون في أي إحصاء. وهذا صحيح، وهو أيضاً سبب عدم اضطرار أي شخص إلى إثباته قط. والثاني هو الحجم: فقد ينقل مخطط واحد لغسل الأموال أموالاً أكثر مما تكسبه ألف شركة نزيهة، ولو أن الملفات أوقفت Danske لكانت قد غطّت تكلفتها مرات عديدة. لكن الملفات لم توقف Danske، والإدانات التي تصفها FIU في كتابها السنوي بدأت ببلاغات عن معاملات مشبوهة، لا باستبيانات. ملف الانضمام هو موضع إنفاق الأموال؛ والمراقبة هي مصدر النتائج. وتشير الأدلة الدولية إلى الاتجاه ذاته. قدّرت Europol في عام 2016 أن نحو 1% فقط من عائدات الجرائم في الاتحاد الأوروبي تُصادر على الإطلاق، وخلص الباحث رونالد بول، الذي حاول وضع التكاليف والمبالغ المستردة جنباً إلى جنب، إلى أن تكاليف الامتثال تتجاوز الأموال المستردة بأكثر من مئة مرة. ولم تنشر أي جهة رقابية في إستونيا مقارنة من هذا النوع للنظام الذي تديره.
لا أتوقع تحسن التوازن. تضيف مجموعة قواعد EU الجديدة مشرفاً أوروبياً، وسقفاً على مستوى EU قدره €10,000 للمدفوعات النقدية، وعدة فئات جديدة من الكيانات الملزمة، من منصات التمويل الجماعي إلى أندية كرة القدم. كل فئة جديدة تعني درجاً آخر. وستضيف كل فضيحة مستقبلية حقولاً، لأن إضافة الحقول هي طريقة المؤسسة لإظهار أنها تعلمت. كما أن مجموعة قواعد أوروبية واحدة تجعل أي تراجع أصعب، إذ لا يستطيع برلمان وطني إزالة سؤال مكتوب في لائحة عندما يلاحظ أنه عديم الفائدة.
لماذا لا يقول أحد هذا علناً
ليس من الرائج وزن هذا. علناً، الموقف الآمن الوحيد بشأن غسل الأموال هو المزيد: مزيد من الفحوصات، ومزيد من الإبلاغ، ومزيد من الحماس. وكل من يسأل عما إذا كانت الجولة الأخيرة من القواعد حققت شيئاً يخاطر بأن يُفهم كمن يريد قواعد أقل للمجرمين، لذلك يبقي مسؤولو الامتثال والمحامون الذين، في خبرتي، يشاركون كثيراً من هذه الشكوك سراً، هذه الشكوك هناك. أصبحت مكافحة غسل الأموال قضية أكثر من كونها سياسة، ونادراً ما تُسأل القضايا عن أرقام كلفتها ومنفعتها.
يجدر قول ذلك بوضوح، بسبب الطريق الذي نسير إليه إذا لم يزن أحد الأمر. فأوروبا التي وضعت أشد قانون للخصوصية في العالم ألزمت، باليد الأخرى، ملايين الشركات الخاصة بالاحتفاظ بملفات عن عملائها سنوات، والإبلاغ عنهم للدولة عند الاشتباه، والإجابة عن ذلك إذا كان الملف ضعيفاً. فُتح كل ملف من تلك الملفات بحسن نية لوقف جريمة. لكنها مجتمعة تشكل سجلاً دائماً لمن يملك ماذا ومن دفع لمن، محفوظاً في أدراج تجيب أولاً للمفتش. لا أعتقد أن أحداً صمم ذلك. ولا أعتقد أيضاً أنه ينبغي أن يستمر في النمو دون أن يسأل أحد ما الغرض منه.
ما الذي سأغيره
لا يحتاج معظم هذا إلى قانون جديد، بل إلى قرارات مختلفة بشأن كيفية تطبيق القانون القائم. النقطة الأولى تحتاج ذلك.
- ملف واحد متحقق منه يحمله العميل. يتحقق شخص من الشخص مرة واحدة ويتحمل مسؤولية ذلك التحقق، مدعوماً بترخيص وتأمين وتدقيق، فلا تكون المؤسسة المعتمدة عليه هي التي تعاقب إن كان خاطئاً. قد يكون ذلك المتحقق بنكاً أو موثقاً أو مزوداً مرخصاً أو خدمة حكومية مبنية على الهوية الرقمية؛ المهم هو موضع المسؤولية. تضع قواعد اليوم، الوطنية وقواعد EU على السواء، المسؤولية على من يعتمد، ولهذا لا يعتمد أحد. ويتطلب تغيير ذلك مشرعين، وتعد إرشادات AMLA المرتقبة بشأن الاعتماد المكان الطبيعي لبدء النقاش.
- راقب النتائج، لا النماذج. ينبغي أن يسأل التفتيش عما أنتجته مراقبة الشركة وإلى أين ذهبت بلاغاتها، لا عما إذا كان كل حقل في كل نموذج قد مُلئ.
- نماذج تناسب الشركة. تحتاج شركة جديدة بمؤسس واحد ومن دون إيراد إلى صفحتين، لا عشرين. والأسئلة المعززة، والفحوصات الأعمق التي يحجزها القانون للعملاء الأعلى خطراً، مكانها عند بدء النشاط ووجود شيء لفحصه.
- إعادة KYC عند التغيير، لا وفق التقويم. المالك الجديد أو البلد الجديد أو خط النشاط الجديد سبب للنظر مجدداً. أما مرور سنتين فليس كذلك.
- استخدم البيانات التي تملكها الدولة بالفعل. بالنسبة إلى شركة قائمة، يحتفظ السجل التجاري الإستوني (Äriregister) بالملاك ومجلس الإدارة والتقارير السنوية. ينبغي للكيان الملزم سحبها من السجل بدلاً من مطالبة العميل بإعادة كتابتها. وطبقت المحكمة العليا في إستونيا المنطق نفسه على المشرف ذاته في يناير 2026، عندما قضت بعدم مشروعية نموذج من 44 سؤالاً أرسلته Financial Intelligence Unit إلى جميع مزودي الخدمات المرخصين، جزئياً لأنه ينبغي للدولة أن تستخدم أولاً البيانات التي تحتفظ بها بالفعل.
اجتياز الفحوصات من دون المسرح
في Eesti Firma نطلب ما يقتضيه القانون وتقييمنا الخاص للمخاطر، ونشرح سبب أهمية كل مستند. كما نساعد العملاء على إعداد مجموعة واحدة من المستندات والإجابات في البداية يمكن تقديمها إلى البنك ومؤسسة الدفع دون إعادة صياغة، لأن ما يبقي إجراءات الانضمام قصيرة في خبرتي ليس استبياناً أقصر بل شركة موصوفة بالطريقة نفسها لكل من يسأل. وبالنسبة إلى الشركات التي تصبح كيانات ملزمة بنفسها، فإننا نصوغ السياسات والإجراءات التي يطلبها القانون، وهذا، أعترف، جزء من المسرح نفسه؛ والفرق الذي يمكننا إحداثه هو كتابتها بحيث تكون قابلة للاستخدام لا مكتملة فحسب. إذا كنت تؤسس شركة وترغب في أن يتولى جانب الامتثال أشخاص يقرأون ما ترسله، يمكننا المساعدة في تأسيس الشركة وكل ما يليها.
