AML/KYC-комплаєнс для фінтеху: програма, що проходить перевірки

ПВК, протидія відмиванню коштів, – це вся програма заходів контролю, яку веде компанія, щоб виявляти відмивання коштів і фінансування тероризму та запобігати їм. KYC, знай свого клієнта, – це компонент ідентифікації та належної перевірки цієї програми: встановлення того, хто є клієнтом і хто зрештою володіє ним чи контролює його. KYC є частиною ПВК, а не синонімом.

Це розмежування важливе під час аудиту. Регулятор запитує не лише про те, чи перевіряєте ви особу клієнтів, а й про те, чи вбудована ця перевірка в задокументовану, засновану на ризиках систему з управлінням, моніторингом, звітуванням і тестуванням навколо неї. Компанія, яка плутає якісний онбординг із повноцінною програмою ПВК, – це компанія, яка провалює перевірку.

У 2024 році ЄС ухвалив єдиний, гармонізований пакет з ПВК, який істотно змінює базовий рівень вимог. Розуміння того, який інструмент що регулює і з якого моменту застосовується, необхідне, щоб правильно вибудувати програму в часі.

На практиці це виглядає так: компанії сьогодні дотримуються чинних директив з ПВК, а з 10 липня 2027 року переходять до зводу правил AMLR прямої дії. Програма, побудована зараз, уже має враховувати AMLR, а не перебудовуватися під нього згодом.

• AMLR – Регламент (ЄС) 2024/1624: єдиний звід правил з ПВК прямої дії, що охоплює CDD, бенефіціарну власність, EDD і звітування; більшість положень застосовуються з 10 липня 2027 року.
• AMLD6 – Директива (ЄС) 2024/1640: управління та нагляд, підрозділи фінансової розвідки та реєстри бенефіціарної власності; директива транспонується в національне право.
• AMLA – Регламент (ЄС) 2024/1620: засновує Орган ЄС з протидії відмиванню коштів, розташований у Франкфурті, який працює з середини 2025 року, видає технічні стандарти і починає прямий нагляд за певними транскордонними суб'єктами високого ризику.

Обов'язки з ПВК покладаються на тих, кого право ЄС називає зобов'язаними суб'єктами. Кредитні та фінансові установи безумовно підпадають під ці правила, і для сектору фінтеху це прямо включає платіжні установи, установи електронних грошей, необанки та постачальників послуг з обігу криптоактивів.

Іншими словами, якщо ви маєте ліцензію на платежі, електронні гроші чи MiCA, повноцінна програма ПВК/ФТ не є опцією чи приємним доповненням. Це ліцензійна умова, і наглядові органи дедалі частіше розглядають слабкість ПВК як підставу відкласти чи взагалі відмовити в авторизації.

Належна перевірка клієнта (CDD) – це набір перевірок, які компанія проводить, щоб знати своїх клієнтів і оцінювати їхній ризик. CDD завжди потрібна під час встановлення ділових відносин, за наявності підозри у відмиванні коштів чи фінансуванні тероризму або за наявності сумнівів щодо раніше отриманих ідентифікаційних даних. Для разових операцій CDD також обов'язкова з певних фіксованих сум.

Пороги змінюються, тож варто вказувати поточні та майбутні цифри разом. Для разових операцій поріг ЄС знижується з 15 000 євро сьогодні до 10 000 євро за AMLR з 10 липня 2027 року. Крипто регулюється суворіше: CASP повинні застосовувати належну перевірку до разових переказів криптоактивів понад 1 000 євро. AMLR також запроваджує загальноєвропейський ліміт готівкових платежів у 10 000 євро, хоча нижчі національні ліміти можуть зберігатися.

• Завжди: під час встановлення ділових відносин, за підозри у ВК/ФТ або за сумнівів щодо раніше отриманих ідентифікаційних даних.
• Разові операції: CDD від 15 000 євро сьогодні, із переходом до 10 000 євро за AMLR з 10 липня 2027 року.
• Перекази криптоактивів: CASP застосовують CDD до разових переказів понад 1 000 євро.
• Готівка: загальноєвропейський ліміт готівкових платежів у 10 000 євро за AMLR, з можливими нижчими національними лімітами.

Посилена належна перевірка (EDD) застосовується до ситуацій підвищеного ризику й означає більше інформації, погодження на вищому рівні та пильніший постійний моніторинг. Вона потрібна для політично значущих осіб (PEP), клієнтів, пов'язаних із третіми країнами високого ризику, та складних чи незвично великих операцій без очевидної економічної мети. За AMLR відносини дуже високої вартості, як-от із заможними клієнтами з активами понад визначені пороги, також потрапляють у поле EDD.

Бенефіціарна власність – інший стовп, який аудитори ретельно перевіряють. Кінцевий бенефіціарний власник (UBO) – це фізична особа, яка зрештою володіє клієнтом чи контролює його. AMLR змінює поріг володіння з понад 25% на 25% або більше акцій, прав голосу чи іншої частки власності (стаття 52) і зобов'язує суб'єктів поза ЄС зі зв'язками в ЄС реєструвати своїх кінцевих бенефіціарних власників (стаття 67); AMLD6 вимагає детальніших, взаємопов'язаних у ЄС центральних реєстрів, у яких зберігаються ці дані. Доки AMLR не почне застосовуватися 10 липня 2027 року, естонське право зберігає тест "понад 25%" (§ 9(2) Закону про запобігання відмиванню грошей та фінансуванню тероризму), тож програма має застосовувати його вже сьогодні й бути готовою перейти на новий поріг із цієї дати.

Знати клієнта на етапі онбордингу недостатньо; компанія має й далі стежити за відносинами. Постійний моніторинг і моніторинг операцій звіряють активність з очікуваним профілем клієнта, а також перевіряють її за санкційними списками, списками PEP і негативними згадками в медіа, позначаючи аномалії для розгляду. Це механізм, який перетворює статичні дані KYC на управління ризиками в реальному часі.

Для криптокомпаній є додатковий, специфічний обов'язок, відомий як travel rule (правило передавання інформації). Згідно з Регламентом про перекази коштів, Регламентом (ЄС) 2023/1113, інформація про відправника та одержувача має супроводжувати перекази криптоактивів між постачальниками незалежно від суми. Перекази до або від самостійно розміщених гаманців понад 1 000 євро потребують додаткової перевірки того, що клієнт контролює гаманець.

Регулятори перевіряють документи та рішення, а не добрі наміри. Програма проходить аудит, коли кожна з наведених складових існує, задокументована, пропорційна ризику компанії та реально працює на практиці. Averium консультує щодо програми та її юридичної достатності незалежно від постачальників програмних рішень, тож система будується так, щоб витримати перевірку наглядового органу, а не підлаштуватися під конкретний інструмент.

• Оцінка ризиків ПВК/ФТ на рівні всієї діяльності компанії, задокументована та підтримувана в актуальному стані.
• Внутрішні політики, заходи контролю та процедури, пропорційні цьому ризику.
• Призначений комплаєнс-офіцер / офіцер з ПВК (MLRO) з підзвітністю вищому керівництву.
• CDD і KYC на етапі онбордингу, зокрема перевірка особи, ідентифікація UBO і мета відносин, із заснованою на ризиках EDD.
• Постійний моніторинг і моніторинг операцій із санкційною перевіркою, перевіркою за списками PEP і негативними згадками в медіа.
• Звітування про підозрілі операції та діяльність (STR/SAR) до національного підрозділу фінансової розвідки.
• Зберігання документів, як правило, протягом п'яти років згідно із законодавством ЄС з ПВК.
• Навчання персоналу та незалежний аудит чи тестування програми.