نگهداری سوابق، کم‌جلوه‌ترین فصل آیین‌نامه است و در پروژه‌های استقرار معمولاً آخر از همه به آن رسیدگی می‌شود. اما وقتی استعلامی از مرکز اطلاعات مالی می‌رسد، همین فصل است که تعیین می‌کند مؤسسه ظرف دو روز پاسخ می‌دهد یا دو هفته.
فصل یازدهم آیین‌نامه اجرایی ماده ۱۴ الحاقی قانون مبارزه با پول‌شویی، عنوان «نگهداری سوابق و اطلاعات» را دارد و در ظاهر کوتاه است — دو ماده و چند تبصره. اما همین دو ماده، چهار عدد و یک الزام معماری تعیین می‌کنند که اگر از ابتدا در طراحی سامانه لحاظ نشوند، بعداً جبرانشان پرهزینه است.
عدد اول: ده سال
ماده ۱۴۲ (اصلاحی ۱۴۰۴/۰۷/۲۷) مقرر می‌کند مؤسسات مالی باید اسناد، مدارک و سوابق مربوط به تعاملات کاری را به مدت ده (۱۰) سال به‌گونه‌ای نگهداری کنند که در صورت درخواست مراجع ذی‌صلاح، امکان ارائهٔ این موارد به فوریت وجود داشته باشد.
دو تبصره دامنهٔ این حکم را روشن می‌کنند:
- تبصره ۱: در صورت انحلال اشخاص حقوقی مشمول، حسب مورد اداره یا هیأت تصفیهٔ مربوط نیز مکلف به نگهداری اطلاعات و اسناد تا ده سال پس از انحلال است.
- تبصره ۲: این ماده ناقض سایر مقرراتی نیست که نگهداری اسناد را بیش از مدت یادشده الزامی ساخته است.
تبصره ۲ نکته‌ای است که در سیاست‌های حذف داده اغلب نادیده می‌ماند: ده سال یک کف است، نه یک سقف. اگر مقرره‌ای دیگر — مثلاً در حوزهٔ مالیاتی یا بازار سرمایه — مدت طولانی‌تری خواسته باشد، همان حاکم است. سیاست بایگانی که پس از ده سال به‌صورت خودکار حذف می‌کند، بدون بررسی سایر مقررات، می‌تواند خودش تخلف بسازد.
چه چیزی باید نگه داشته شود؟
ماده ۱۴۲ فهرست را باز می‌کند و می‌گوید اسناد، مدارک و سوابق موضوع این ماده «اعم از» موارد زیر است — یعنی فهرست حصری نیست:
- سوابق فرآیند شناسایی اعم از ساده، معمول و مضاعف ارباب‌رجوع، از جمله تصویر اسنادی که هویت ارباب‌رجوع و مالک واقعی را اثبات می‌کنند؛
- اسناد، مدارک و سوابق حساب‌ها و مکاتبات تجاری؛
- اسناد، مدارک و سوابق معاملات و عملیات مالی اعم از داخلی یا بین‌المللی، به‌گونه‌ای که این سوابق حاوی اطلاعات کافی اموال (از جمله مبالغ و حسب مورد، نوع ارزهای مورد استفاده در هر معامله) باشد و امکان بازسازی فرآیند هر یک از معاملات فراهم بوده و اطلاعات، مدارک و شواهد لازم برای تعقیب قضایی فعالیت‌های مجرمانه قابلِ ارائه باشد.
قید آخر مهم‌ترین بخش این ماده است. «امکان بازسازی فرآیند هر یک از معاملات» یعنی نگهداری نتیجهٔ نهایی کافی نیست. اگر تراکنشی از چند مرحله عبور کرده، یا اگر مانده‌ای در اثر چند رویداد شکل گرفته، سوابق باید بتوانند مسیر را گام‌به‌گام بازتولید کنند. این یک تصمیم معماری است، نه یک تنظیم بایگانی: به‌ازای هر رویداد باید رکورد تغییرناپذیر با مهر زمانی نگه داشته شود، نه صرفاً وضعیت جاری.
تبصره ۲ ماده ۱۴۳ همین را با عبارت دیگری تکرار می‌کند: اطلاعات و اسناد مذکور باید قابلیت بازسازی فرآیند زنجیرهٔ معاملات را در صورت نیاز ایجاد کنند.
اعداد دوم و سوم: دو روز کاری و یک هفته
ماده ۱۴۳ (اصلاحی ۱۴۰۴/۰۷/۲۷) از نگهداری به دسترس‌پذیری می‌رسد. مؤسسات مالی مکلف‌اند اطلاعات، سوابق و مدارک را به‌گونه‌ای ضبط و نگهداری کنند که:
- در صورت درخواست مرکز یا نهادهای ذی‌صلاح، اطلاعات آن اسناد ظرف دو روز کاری قابل دسترسی باشد؛
- اصل اسناد و مدارک در صورت درخواست مرکز و سایر مراجع ذی‌صلاح، باید ظرف یک هفته ارائه شود.
تفکیک این دو مهلت عمدی است. «اطلاعات» را می‌توان از سامانه استخراج کرد؛ «اصل سند» ممکن است کاغذی باشد و در شعبه یا بایگانی راکد. دو روز کاری برای اولی و یک هفته برای دومی، همین تفاوت را به رسمیت می‌شناسد.
تبصره ۱ ماده ۱۴۳ مسئولیت را هم مشخص می‌کند: مسئولیت ارائهٔ اطلاعات و اسناد در خصوص اشخاص حقیقی با خود مؤسسه مالی و در خصوص اشخاص حقوقی با بالاترین مقام مؤسسه مالی است. یعنی این تکلیف قابل واگذاری به یک کارشناس بایگانی نیست.
عدد چهارم: یک روز کاری، بدون مراجعه به شعب
تبصره ۳ ماده ۱۴۳ سخت‌گیرانه‌ترین بند این فصل است: اسناد، مدارک و سوابق خاص اعلام‌شده از سوی مرکز باید به‌صورت الکترونیکی به‌نحوی نگهداری شوند تا ضمن حفظ محرمانگی آن اسناد، در صورت درخواست نهادهای ذی‌صلاح، ظرف یک روز کاری و بدون نیاز به اخذ از شعب و نمایندگی‌ها در دسترس باشند.
سه قید در این یک جمله نهفته است. اول، الکترونیکی بودن اجباری است. دوم، مهلت به یک روز کاری کاهش می‌یابد. سوم — و مهم‌تر از هر دو — «بدون نیاز به اخذ از شعب و نمایندگی‌ها» یعنی این دسته از اسناد باید متمرکز باشند. مدلی که در آن اسناد شناسایی در شعبهٔ افتتاح‌کننده اسکن و نگهداری می‌شوند و ستاد فقط ارجاع دارد، این تبصره را برآورده نمی‌کند.
قید «ضمن حفظ محرمانگی» را هم نباید سرسری گرفت: تمرکز اسناد بدون کنترل دسترسی نقش‌محور، رمزنگاری در حال سکون و رد ممیزی مشاهده، خودش یک ریسک تازه می‌سازد.
لایهٔ دوم برای بانک‌ها: آیین‌نامهٔ مدت و طرز نگاهداری اسناد
مؤسسهٔ اعتباری فقط تابع فصل یازدهم آیین‌نامهٔ مبارزه با پول‌شویی نیست. «آیین‌نامهٔ مدت و طرز نگاهداری اوراق بازرگانی، اسناد و دفاتر مؤسسات اعتباری» که به استناد بند «و» مادهٔ ۳۳ قانون پولی و بانکی کشور و در چارچوب قانون تجارت الکترونیکی تدوین شد، در جلسهٔ ۱۳۹۵/۰۳/۱۱ شورای پول و اعتبار به تصویب رسید و جای آیین‌نامهٔ ۱۳۸۹ را گرفت. این آیین‌نامه اسناد را در پنج سطح دسته‌بندی می‌کند و برای هر سطح، حداقل مدت نگهداری عین سند را از یک «زمان پایه» تعیین می‌کند:
| سطح | نمونه‌ها | نگهداری عین سند | امحای نسخهٔ الکترونیکی پس از |
|---|---|---|---|
| اول | اسناد مالکیت اموال، اساسنامه و مدارک تأسیس، دفاتر سهام، صورت‌جلسات مجامع و هیئت‌مدیره، نسخ اصلی ترازنامه و گزارش حسابرس | همیشه | — |
| دوم | دفتر کل، دفتر روزنامه، دفاتر تسلیم دسته‌چک | ۵ سال | ۱۵ سال |
| سوم | مدارک احراز هویت و افتتاح حساب و نمونهٔ امضا، لاشهٔ چک و سفته، قراردادها و اسناد تسهیلات، اسناد ارزی، اعتبارات اسنادی، اسناد حسابداری، ضمانت‌نامه‌ها | ۳ سال | ۱۲ سال |
| چهارم | خرید و فروش اثاث و ملزومات، رسید تحویل کارت، پرونده‌های بازرسی شعب | ۲ سال | ۱۰ سال |
| پنجم | دفاتر ارسال مراسلات، ته‌چک‌های اداری، موجودی روزانهٔ صندوق، فهرست‌های پایان کار روزانه | ۱ سال | ۸ سال |
مؤسسه می‌تواند اسناد سطوح دوم تا پنجم را پس از سپری‌شدن این مدت‌ها امحا کند، به شرط آنکه پیش از آن به میکروفیلم یا «سابقهٔ الکترونیکی مطمئن» تبدیل شده باشند. اگر تبدیل نشده باشند، عین سند باید ۱۵، ۱۲، ۱۰ و ۸ سال دیگر هم نگه داشته شود (مادهٔ ۵). نسخهٔ میکروفیلم یا الکترونیکی هم پس از همین ۱۵، ۱۲، ۱۰ و ۸ سال قابل امحاست (مادهٔ ۶). طبق مادهٔ ۱۱، این نسخه‌ها پس از سپری‌شدن مدت‌های مادهٔ ۳ در حکم اصل سند تلقی می‌شوند و در همهٔ دادگاه‌ها قابل استنادند.
کدام مدت حاکم است؟
در نگاه اول دو متن با هم نمی‌خوانند: مدارک احراز هویت و افتتاح حساب در سطح سوم‌اند و عین آن‌ها «حداقل سه سال» پس از بسته‌شدن حساب نگه داشته می‌شود، در حالی که مادهٔ ۱۴۲ آیین‌نامهٔ مبارزه با پول‌شویی ده سال می‌خواهد. پاسخ را خود آیین‌نامهٔ ۱۳۹۵ داده است. تبصرهٔ ۱ مادهٔ ۳ می‌گوید نگهداری اسناد به موجب سایر قوانین، برای مدتی که در همان قوانین معین شده، الزامی است. تبصرهٔ ۲ مادهٔ ۱۴۲ هم از سوی دیگر می‌گوید ده سال ناقض مقرراتی نیست که مدت بیشتری خواسته‌اند. نتیجه ساده است: برای هر سند، مدت طولانی‌تر حاکم است.
در عمل، مدارک شناسایی، اسناد حساب‌ها و اسناد معاملات زیر کفِ ده‌سالهٔ مبارزه با پول‌شویی می‌مانند. سطح‌بندی ۱۳۹۵ برای بقیهٔ اسناد و برای تعیین شکل نگهداری به کار می‌آید: کاغذ، میکروفیلم یا سابقهٔ الکترونیکی. یک قید دیگر هم هست: طبق تبصرهٔ ۲ مادهٔ ۳، سندی که پیش از پایان مدتش دعوایی دربارهٔ آن اقامه شده، باید تا مختومه‌شدن دعوا نگه داشته شود، حتی اگر مدتش سر آمده باشد.
| سند | زمان پایه |
|---|---|
| کارت نمونهٔ امضا و مدارک احراز هویت و افتتاح حساب | بسته‌شدن حساب، یا تغییر دارندگان حق امضا یا تغییر امضا |
| لاشهٔ چک‌ها، سفته‌ها و بروات | تاریخ تسویه |
| قراردادها و اسناد تسهیلات و اعتبارات | انقضای قرارداد و تسویهٔ حساب، یا فک رهن از وثایق |
| گواهی سپردهٔ سرمایه‌گذاری مدت‌دار | بسته‌شدن حساب |
| اسناد خرید و فروش ارز، حوالجات ارزی، اعتبارات اسنادی و اسناد حسابداری | خاتمهٔ عملیات |
دسترسی به عین سند: چهار روز کاری
مادهٔ ۴ آیین‌نامهٔ ۱۳۹۵ مؤسسهٔ اعتباری را مکلف می‌کند دسترسی به عین اسناد را حداکثر ظرف چهار روز کاری فراهم کند. این مهلت کوتاه‌تر از یک هفته‌ای است که مادهٔ ۱۴۳ برای ارائهٔ اصل اسناد به مرکز و مراجع ذی‌صلاح می‌دهد. پس بایگانی‌ای که فقط برای یک هفته طراحی شده باشد، مادهٔ ۴ را برآورده نمی‌کند.
سابقهٔ الکترونیکی مطمئن یعنی چه
تبدیل سند به تصویر اسکن‌شده خودبه‌خود آن را «سابقهٔ الکترونیکی مطمئن» نمی‌کند. مادهٔ ۹ برای سه مرحلهٔ تولید، ذخیره‌سازی و دسترسی شرط گذاشته است:
- تولید: تراکم دست‌کم ۳۰۰ dpi؛ تصویر رنگی اگر رنگ سند در تشخیص اصالت یا معنای آن نقش دارد؛ تطابق با عین سند به تأیید کسی که هیئت‌مدیره تعیین می‌کند؛ و امضای الکترونیکی مطمئن تهیه‌کننده و تأییدکننده، همراه با زمان هر دو.
- ذخیره‌سازی: رسانهٔ غیرقابل بازنویسی و غیرقابل پاک‌کردن؛ یک نسخهٔ رونوشت جدا از نسخهٔ اصلی؛ فهرست‌گذاری اطلاعات و رونوشت جداگانه از فهرست‌ها، که دست‌کم تا زمان امحای سوابق نگه داشته شوند.
- دسترسی: همهٔ رویدادهای تولید، ذخیره‌سازی، دسترسی و امحا به‌عنوان سوابق ممیزی ثبت شوند، و امکان بازتولید و مشاهدهٔ سند برای افراد مجاز فراهم باشد.
مادهٔ ۱۰ هم توصیه می‌کند اسناد در کوتاه‌ترین زمان پس از ایجاد به سابقهٔ الکترونیکی مطمئن تبدیل شوند. این همان چیزی است که تبصرهٔ ۳ مادهٔ ۱۴۳ برای اسناد خاص اعلامی مرکز اجباری کرده است.
تبدیل به میکروفیلم هم مراحل خودش را دارد (مادهٔ ۸). صورت‌جلسهٔ تطابق اسناد با میکروفیلم را هیئتی امضا می‌کند که حضور نمایندهٔ ادارهٔ مبارزه با پول‌شویی در آن الزامی است، در کنار بایگانی، واحد متولی، بازرسی، حقوقی، حراست و فناوری اطلاعات. امحا هم آزاد نیست: دستورالعمل آن باید به تصویب هیئت‌مدیره برسد و به بانک مرکزی اعلام شود (مادهٔ ۷)، و امحا باید به گونه‌ای باشد که بازیابی دوباره ممکن نباشد.
تکلیف حفاظت از داده
ماده ۱۵۴ آیین‌نامه اشخاص مشمول را مکلف می‌کند ضمن نگهداری اطلاعات ارباب‌رجوع، تدابیر لازم حفاظتی و امنیتی را در گردآوری، حفظ و تبادل اطلاعات و اسناد موضوع قانون و آیین‌نامه اتخاذ کنند. در کنار ماده ۱۴۳ که تمرکز و دسترسی سریع می‌خواهد، این ماده تعادل را برقرار می‌کند: سریع در دسترس باشد، اما نه در دسترس همه.
در حوزهٔ بازار سرمایه، سند جامع الزامات امنیت اطلاعات و ارتباطات همین موضوع را با جزئیات فنی بیشتری پوشش می‌دهد؛ به آن در الزامات امنیت اطلاعات بازار سرمایه پرداخته‌ایم.
آنچه سامانه باید بتواند
- نگهداری تغییرناپذیر (append-only) رویدادها با مهر زمانی، برای امکان بازسازی زنجیرهٔ معاملات؛
- سیاست بایگانی با کفِ ده سال و امکان تعریف استثناهای طولانی‌تر بر پایهٔ سایر مقررات؛
- برای هر سند، سطح آیین‌نامهٔ ۱۳۹۵ و تاریخ «زمان پایه»ی آن (بسته‌شدن حساب، تسویه، فک رهن، خاتمهٔ عملیات)، تا موعد امحا خودکار و با قاعدهٔ «مدت طولانی‌تر حاکم است» محاسبه شود؛
- پرچم «دعوای باز» که امحای سند را تا مختومه‌شدن دعوا متوقف کند؛
- ذخیره‌سازی غیرقابل بازنویسی با رونوشت جدا، فهرست‌گذاری، و ثبت هر تولید، دسترسی و امحا در سوابق ممیزی؛
- ادامهٔ نگهداری پس از بستن حساب یا انحلال شخص حقوقی — چرخهٔ عمر داده نباید به چرخهٔ عمر مشتری گره بخورد؛
- مخزن سند متمرکز و الکترونیکی برای اقلام خاص اعلامی مرکز، با پاسخ‌دهی زیر یک روز کاری؛
- نمایه‌گذاری بر پایهٔ شناسهٔ ملی/شناسه ارباب‌رجوع، تا استعلام دو روزه واقعاً در دو روز پاسخ بگیرد؛
- کنترل دسترسی نقش‌محور، رمزنگاری در حال سکون و رد ممیزی برای هر مشاهده و استخراج؛
- گزارش آمادگی: توانایی نشان‌دادن اینکه چه نسبتی از پرونده‌ها اسناد کامل و قابل‌ارائه دارند.
مهلت‌های گزارش‌دهی — که با مهلت‌های نگهداری فرق دارند — را در مهلت‌های گزارش‌دهی جمع کرده‌ایم.
این نوشته صرفاً جنبه اطلاع‌رسانی دارد و جایگزین متن رسمی آیین‌نامه یا مشاورهٔ حقوقی نیست. ارقام، آستانه‌ها و مهلت‌ها ممکن است در ابلاغیه‌های بعدی تغییر کنند؛ برای اقدام به آخرین متن ابلاغی مراجعه کنید.
تعریف کوتاه اصطلاح‌های این مقاله در واژه‌نامه: نگهداری سوابق
می‌خواهید ببینید این الزامات در عمل چگونه اجرا می‌شوند؟
بازگشت به فهرست مقالات مقالات مقررات
