Tóm tắt Chương 16: Confidentiality — AS

Confidentiality là fundamental principle; thông tin khách hàng phải giữ kín trừ khi có ngoại lệ thật sự. Nghĩa vụ này không tuyệt đối.
Không bàn chuyện khách hàng ngoài hãng; trong hãng chỉ trao đổi khi công việc cần. Nguy cơ lớn nhất là lộ do sơ suất.
UK GDPR (GDPR giữ lại sau Brexit) áp dụng cùng Data Protection Act 2018, cho mọi tổ chức xử lý personal data, kể cả dữ liệu kiểm toán viên cầm khi làm cho khách hàng.
Yêu cầu chính: data protection by design and by default, cơ sở pháp lý để giữ dữ liệu (đồng ý phải là opt-in), quyền truy cập dữ liệu của cá nhân, giữ an toàn.
Đóng data protection fee cho ICO hằng năm (trừ khi được miễn); breach có rủi ro cho cá nhân phải báo ICO, nếu được thì trong 72 giờ.
Personal data breach: dữ liệu bị hủy, mất, thay đổi, tiết lộ hoặc truy cập trái phép, kể cả mất tính sẵn có. Không phải breach: trả lời subject access request trễ, marketing chưa được đồng ý, dữ liệu người đã mất.

Không bàn chuyện khách hàng ngoài hãng hay ở nơi công cộng; không để hồ sơ không người trông, trong xe, ở nhà không được bảo vệ; hạn chế mang giấy tờ ra ngoài; chỉ làm trên hệ thống được bảo vệ.
Lo ngại thì báo cấp trên hoặc MLRO; xin ý kiến luật sư trước khi tiết lộ.
Conflict of interest: phải có thủ tục phát hiện; đánh giá threat; dùng safeguards (báo cho khách hàng, xin đồng ý, cam kết bảo mật, information barriers, soát xét độc lập, thôi làm cho một bên).
Khách hàng từ chối đồng ý thì không làm tiếp cho một bên; không quản lý được thì không nhận việc.

Ba trường hợp: luật cho phép và khách hàng đồng ý; luật bắt buộc (khủng bố, báo cơ quan quản lý, nghi ngờ rửa tiền); quyền/nghĩa vụ nghề nghiệp khi luật không cấm (kiểm tra chất lượng, điều tra của hội nghề nghiệp, tự bảo vệ, public interest).
Thông tin cần cho kiểm toán viên của khách hàng khác không bao giờ là lý do chính đáng.
Không dùng thông tin bảo mật cho lợi ích riêng (chuyển việc, insider dealing); thông tin từ khách hàng 1 ảnh hưởng khách hàng 2 thì thu thập lại qua thủ tục bình thường, không tiết lộ ra ngoài hãng.

POCA 2002: biến lợi ích từ tội phạm thành tài sản trông hợp pháp; criminal property không có ngưỡng tối thiểu, gồm cả chi phí tiết kiệm được (trốn thuế); giữ lợi ích của chính mình cũng là rửa tiền.
Regulated sector: không báo khi biết, nghi ngờ hoặc có cơ sở hợp lý để nghi ngờ là tội (s330); tipping off là tội (s333A).
Hãng có MLCP (tuân thủ chung, cấp ban điều hành) và MLRO (nominated officer: nhận báo cáo nội bộ, quyết định gửi SAR cho NCA); một người có thể kiêm.
Nhân viên báo MLRO càng sớm càng tốt; đã báo MLRO là làm tròn nghĩa vụ. Không xin phép, không cảnh báo khách hàng.
Dấu hiệu: số dư credit trên sổ phải thu, giao dịch bên liên quan bất thường, thiếu chi phí lẽ ra phải có, cơ cấu tập đoàn phức tạp vô lý, nhiều giao dịch tiền mặt.