Комплаенс ПОД/ФТ и KYC для финтеха: программа, проходящая проверки

AML, противодействие отмыванию денег, – это вся программа мер контроля, которую компания применяет для выявления и предотвращения отмывания денег и финансирования терроризма. KYC («знай своего клиента») – это компонент этой программы, отвечающий за установление личности и надлежащую проверку: подтверждение того, кто является клиентом и кто в конечном счёте владеет им или контролирует его. KYC – это часть AML, а не его синоним.

Это различие важно при проверке. Регулятор спрашивает не только о том, проверяете ли вы личности; он спрашивает, встроена ли проверка личности в документированную, риск-ориентированную систему с управлением, мониторингом, отчётностью и тестированием вокруг неё. Компания, путающая хороший онбординг с полноценной программой ПОД/ФТ, – это та компания, которая не проходит инспекцию.

В 2024 году ЕС принял единый, гармонизированный пакет по ПОД/ФТ, существенно меняющий базовый уровень комплаенса. Понимание того, какой инструмент за что отвечает и когда применяется, необходимо для корректной датировки программы.

Практическая логика такова: сегодня компании соблюдают действующие директивы по ПОД/ФТ и переходят на свод правил AMLR прямого действия с 10 июля 2027 года. Программа, выстраиваемая сейчас, уже должна учитывать AMLR, а не перестраиваться под него позже.

• AMLR – Регламент (ЕС) 2024/1624: единый свод правил ПОД/ФТ прямого действия, охватывающий CDD, фактических выгодоприобретателей, EDD и отчётность; большинство положений применяются с 10 июля 2027 года.
• AMLD6 – Директива (ЕС) 2024/1640: управление и надзор, подразделения финансовой разведки и реестры фактических выгодоприобретателей, имплементируется в национальное право.
• AMLA – Регламент (ЕС) 2024/1620: учреждает Орган ЕС по противодействию отмыванию денег со штаб-квартирой во Франкфурте, действующий с середины 2025 года, который издаёт технические стандарты и приступает к прямому надзору за отдельными высокорисковыми трансграничными лицами.

Обязанности по ПОД/ФТ возлагаются на так называемых обязанных лиц в терминологии законодательства ЕС. Кредитные и финансовые учреждения прямо подпадают под действие правил, и для финтех-сектора это прямо включает платёжные учреждения, учреждения электронных денег, необанки и поставщиков услуг в сфере криптоактивов.

Иными словами, если у вас есть лицензия на платежи, электронные деньги или MiCA, полноценная программа ПОД/ФТ не является факультативной или желательной. Это лицензионное условие, и надзорные органы всё чаще рассматривают слабость ПОД/ФТ как основание для отсрочки или отказа в авторизации в принципе.

Надлежащая проверка клиента (CDD) – это набор проверок, которые компания проводит, чтобы знать своих клиентов и оценивать их риск. CDD всегда требуется при установлении деловых отношений, при наличии подозрения в отмывании денег или финансировании терроризма либо при сомнениях в ранее полученных идентификационных данных. Для разовых операций CDD также запускается фиксированными денежными порогами.

Пороги меняются, поэтому следует указывать текущие и будущие значения вместе. Для разовых операций порог ЕС смещается с нынешних 15 000 евро до 10 000 евро в рамках AMLR с 10 июля 2027 года. Криптоактивы регулируются строже: CASP обязаны применять надлежащую проверку к разовым криптопереводам на сумму свыше 1000 евро. AMLR также вводит общеевропейский лимит на платежи наличными в 10 000 евро, хотя более низкие национальные лимиты могут сохраняться.

• Всегда: при установлении деловых отношений, при подозрении в ОД/ФТ или при сомнениях в ранее полученных идентификационных данных.
• Разовые операции: CDD с нынешних 15 000 евро, со смещением до 10 000 евро в рамках AMLR с 10 июля 2027 года.
• Криптопереводы: CASP применяют CDD к разовым переводам на сумму свыше 1000 евро.
• Наличные: общеевропейский лимит на платежи наличными в 10 000 евро в рамках AMLR, с возможными более низкими национальными лимитами.

Усиленная надлежащая проверка (EDD) применяется в ситуациях повышенного риска и означает больше информации, согласование на уровне руководства и более пристальный постоянный мониторинг. Она требуется в отношении политически значимых лиц (PEP), клиентов, связанных с высокорисковыми третьими странами, и сложных или необычно крупных операций без очевидной экономической цели. В рамках AMLR в сферу EDD также включаются отношения с очень высокой стоимостью, например состоятельные клиенты с активами выше определённых порогов.

Фактические выгодоприобретатели – другой столп, который аудиторы проверяют особенно тщательно. Фактический выгодоприобретатель (UBO) – это физическое лицо, которое в конечном счёте владеет клиентом или контролирует его. AMLR переносит порог владения с «более 25%» на «25% или более» долей, прав голоса или иного участия в собственности (статья 52) и обязывает лиц вне ЕС, имеющих связи с ЕС, регистрировать своих фактических выгодоприобретателей (статья 67); AMLD6 требует более детальных, взаимосвязанных в масштабах ЕС центральных реестров, в которых хранятся эти данные. Пока AMLR не начнёт применяться 10 июля 2027 года, эстонское право сохраняет критерий «свыше 25%» (§ 9(2) Закона о предотвращении отмывания денег и финансирования терроризма), поэтому программа должна применять его уже сегодня и быть готовой перейти на новый порог в эту дату.

Знать клиента при онбординге недостаточно; компания обязана продолжать наблюдать за отношениями. Постоянный мониторинг и мониторинг операций сопоставляют активность с ожидаемым профилем клиента, а также со списками санкций, PEP и неблагоприятных сведений в СМИ и помечают аномалии для рассмотрения. Это тот механизм, который превращает статичные данные KYC в живое управление рисками.

Для криптокомпаний существует дополнительная, специальная обязанность, известная как правило о переводах (travel rule). В рамках Регламента о переводах денежных средств, Регламента (ЕС) 2023/1113, информация об отправителе и получателе должна сопровождать переводы криптоактивов между поставщиками независимо от суммы. Переводы на самостоятельно размещённые кошельки или с них на сумму свыше 1000 евро запускают дополнительную проверку того, что клиент контролирует кошелёк.

Регуляторы инспектируют документы и решения, а не добрые намерения. Программа проходит проверку, когда каждый из следующих строительных блоков существует, зафиксирован письменно, соразмерен риску компании и явно работает на практике. Averium консультирует по программе и её правовой достаточности без привязки к конкретному поставщику ПО, чтобы система была построена с расчётом выдержать надзорный орган, а не подстроиться под конкретный инструмент.

• Оценка рисков ПОД/ФТ в масштабах всего бизнеса, документированная и поддерживаемая в актуальном состоянии.
• Внутренние политики, меры контроля и процедуры, соразмерные этому риску.
• Назначенное должностное лицо по комплаенсу/ПОД/ФТ (MLRO) с подотчётностью на уровне высшего руководства.
• CDD и KYC при онбординге, включая проверку личности, идентификацию UBO и установление цели отношений, с риск-ориентированной EDD.
• Постоянный мониторинг и мониторинг операций со скринингом по санкциям, PEP и неблагоприятным сведениям в СМИ.
• Информирование о подозрительных операциях и деятельности (STR/SAR) национальному подразделению финансовой разведки.
• Хранение записей, как правило в течение пяти лет согласно законодательству ЕС о ПОД/ФТ.
• Обучение персонала и независимый аудит или тестирование программы.