У вас на столе стопка файлов на подключение и проверка KYC, занимающая двадцать минут на файл. Где-то в этой стопке лежат отношения, которые в течение восемнадцати месяцев обойдутся вашей организации регуляторным замечанием, замороженным счётом или публичным уведомлением о правоприменении, и двадцатиминутная проверка этого не заметит.
Такой разрыв распространён, потому что многие команды по-прежнему считают KYC и должную проверку при подключении одной и той же задачей в разных бумагах. Это не так. KYC подтверждает, кем клиент, поставщик или партнёр себя называет. Должная проверка при подключении — более широкий процесс, масштабируемый по риску, который решает, насколько глубоко нужно смотреть, какие доказательства держать на руках и когда одиночная проверка должна превратиться в отношения под активным мониторингом.
В руководстве разобрано, что на самом деле включает должная проверка при подключении, как построить рамку тиринга риска вместо одного и того же чек-листа на каждый файл, где включается усиленная должная проверка и как весь процесс должен связываться с тем, что происходит после одобрения, а не останавливаться в день, когда файл получает «зелёный свет».
Краткий ответ
Должная проверка при подключении — это процесс проверки, оценки и одобрения клиента, поставщика или партнёра до начала деловых отношений, масштабируемый по риску и выходящий далеко за рамки разовой проверки KYC. Он оценивает присущий риск, соответственно распределяет глубину проверки по уровням, документирует каждое решение и напрямую связывается с текущим мониторингом после одобрения.
Что такое должная проверка при подключении и чем она отличается от разовой проверки KYC?
KYC — это проверка личности: подтвердить юридическое лицо, подтвердить стоящих за ним физических лиц, сопоставить имена с документом. Это снимок состояния, необходимый, но отвечающий только на один вопрос: тот ли это человек или организация, за кого они себя выдают?
Должная проверка при подключении отвечает на другой, больший вопрос: учитывая, кто этот контрагент, какой риск на самом деле несут отношения и какую глубину проверки этот риск оправдывает? Она включает KYB (проверку самого бизнеса, а не только его директоров), картирование бенефициарного владения, скрининг санкций и PEP, оценку финансовой устойчивости и регуляторного статуса — всё в масштабе риска, который представляет досье, а не одинаково для всех.
Различие важно операционно. Проверка KYC, считающая файл закрытым в день подтверждения личности, пропускает шаг, который на самом деле защищает организацию: решение о том, нужны ли этим конкретным отношениям на этом уровне риска проверка документов или полное досье усиленной должной проверки с выездными проверками и согласованием на старшем уровне.
На что обратить внимание:
- Объём, а не только личность. KYC подтверждает, кто это; должная проверка при подключении решает, сколько внимания этот «кто» на самом деле заслуживает.
- Владение за юрлицом. Подтверждайте конечных бенефициарных владельцев как минимум на один уровень глубже, чем имя в свидетельстве о регистрации.
- Регуляторный статус. Проверьте, есть ли у контрагента лицензия или регистрация, которых требует его деятельность, а не только заявляет ли он об этом.
- Зафиксированное обоснование. Каждое решение о уровне риска требует документированной причины, потому что именно эту запись первым запросит регулятор или аудитор.
Пример
Платёжная институция сочла проверку KYC нового корпоративного клиента достаточной должной проверкой при подключении и сразу перешла к активации. Четырнадцать месяцев спустя недекларированная смена владельцев поместила лицо под санкциями на два уровня вглубь цепочки акционеров. Поскольку институция никогда не оценивала файл на текущий риск, триггера мониторинга для обнаружения изменения не существовало, и оно обнаружилось лишь при плановом продлении лицензии.
Главный вывод: Считайте KYC первыми десятью минутами должной проверки при подключении, а не всем процессом, и оценивайте каждый файл по глубине проверки, которой он требует, прежде чем решать, что он закрыт.
Как построить рамку тиринга риска для подключения?
Тиринг риска начинается с присущего риска: уровня риска, который контрагент несёт до применения каких-либо контролей. Присущий риск определяет, насколько глубоко идёт ваша оценка. Остаточный риск — то, что остаётся с учётом реально действующих контролей, — должен определять итоговое решение об одобрении. Комплаенс-команды, путающие эти два понятия, либо перепроверяют низкорисковые файлы, либо пропускают те, что выглядят контролируемыми только на бумаге.
Рабочая модель оценки взвешивает четыре измерения: тип клиента или поставщика, задействованную юрисдикцию, продукт или деятельность и канал доставки. Крипто-биржа, подключающая розничного клиента через удалённый непроверенный канал, оценивается совсем иначе, чем лицензированный отечественный поставщик офисного оборудования, и ваш процесс должен отражать эту разницу, а не пропускать обоих через одну и ту же анкету из десяти вопросов.
На что обратить внимание:
- Оценивайте до запроса документов. Отправка анкеты безопасности на 200 вопросов низкорисковому поставщику тратит время всех; отправка короткой формы высокорисковому платёжному процессору создаёт реальную уязвимость.
- Честно взвешивайте юрисдикцию. Контрагент, зарегистрированный в юрисдикции со слабой прозрачностью бенефициарного владения, должен получать более высокую оценку независимо от того, как чисты его бумаги.
- Явно разделяйте присущий и остаточный риск. Фиксируйте обе цифры, а не только итоговый уровень, чтобы проверяющий мог увидеть, что изменилось и почему.
- Назначайте утверждающую инстанцию для каждого уровня. Файлы стандартного уровня могут проходить на уровне аналитика; файлы критического уровня должны требовать названного согласования на старшем уровне.
Пример
Форекс-брокер оценивал всех новых интродьюсеров одинаково, независимо от юрисдикции и объёма. Малообъёмный, зарегистрированный в стране интродьюсер проходил ту же двухнедельную проверку, что и высокообъёмный, направляющий клиентов из юрисдикции без эффективного AML-надзора. После внедрения оценки присущего риска малообъёмный файл стал проходить за три дня, а высокорисковый интродьюсер был верно направлен в проверку критического уровня, выявившую недекларированное второе директорство.
Главный вывод: Сначала оцените присущий риск, чтобы решить, насколько глубоко идти, а затем используйте для самого решения об одобрении остаточный, а не только присущий риск.
Сравнение: глубина проверки при подключении по уровням риска
| Уровень риска | Проверка личности и UBO | Глубина скрининга | Частота пересмотра |
|---|---|---|---|
| Стандартный | Стандартная верификация | Только санкционные списки | Ежегодно |
| Средний | Усиленная верификация | Санкции + негативные публикации в СМИ | Каждые 12–18 месяцев или по триггеру |
| Высокий | Усиленная + полное картирование UBO | Санкции + PEP + негативные публикации в СМИ | Каждые 6–12 месяцев или по триггеру |
| Критический | Усиленная + UBO + выездная проверка | Полный скрининг + интервью с руководством | Каждые 3–6 месяцев, непрерывный мониторинг |
Что входит в практический чек-лист должной проверки при подключении?
Когда файл отнесён к уровню, чек-лист — это не единый список, а набор блоков, которые применяются пропорционально уровню. Основные блоки повторяются в разных секторах: проверка личности и бенефициарного владения, скрининг санкций и PEP с зафиксированным обоснованием, подтверждение источника средств, регуляторный или лицензионный статус и, для поставщиков и платформенных партнёров, доказательства безопасности и операционной устойчивости.
Рекомендации FATF задают международную базу для надлежащей проверки клиентов, а Рекомендация 10 прямо требует идентифицировать и проверять личность клиента по надёжным независимым данным, а не по самостоятельно заполненной форме. Большинство национальных AML-рамок строится прямо на этом стандарте, поэтому файл, удовлетворяющий FATF-согласованной CDD, хорошо переносится между юрисдикциями.
На что обратить внимание:
- Доказательства личности и UBO. Свидетельство о регистрации, текущая выписка о компании и декларация о бенефициарном владении, идущая как минимум на один уровень глубже непосредственного акционера.
- Скрининг санкций, PEP и негативных публикаций в СМИ. Прогоняйте все три, а не только совпадение по санкционному списку, и фиксируйте обоснование даже при чистом результате.
- Источник средств. Для всего, что выше стандартного уровня, — доказательства законного происхождения денег, а не только выписка, показывающая, что они пришли.
- Регуляторный и лицензионный статус. Убедитесь, что лицензия действительно покрывает рассматриваемую деятельность, а не просто что какая-то лицензия существует.
Трезвый взгляд
Заполненная анкета — не доказательство, и никакой чек-лист не заменяет суждения. Сверяйте каждый самостоятельно заявленный ответ с независимым источником — поиском негативных публикаций, регуляторным реестром, судебной записью, — потому что разрыв между заявленным контрагентом и действительным и есть то, ради чего нужна должная проверка при подключении. Любой провайдер, обещающий «гарантированный» комплаенс-пакет, продаёт вам документ, а не защищаемое досье.
Пример
Чек-лист подключения криптобиржи требовал от каждого институционального контрагента анкету по безопасности, но никогда не проверял ответы независимо. Контрагент сообщил о сертификации SOC 2 Type II, срок действия которой на деле истёк восемь месяцев назад. Разрыв вскрылся лишь тогда, когда более поздний инцидент заставил проверить сертификат, и к тому времени биржа уже провела целый квартал объёма через несертифицированного контрагента.
Главный вывод: Стройте чек-лист блоками по уровням, а не одним общим списком, и всегда независимо проверяйте самые рискованные заявления, а не доверяйте форме, в которой о них сообщено.
Когда применяется усиленная должная проверка и что именно меняется?
Усиленная должная проверка (EDD) — это не просто «больше» стандартной должной проверки; её включают конкретные триггеры, и она меняет и собираемые доказательства, и тех, кто согласовывает файл. Типичные триггеры: высокорисковая юрисдикция, подтверждённое или предполагаемое участие PEP, сложная или непрозрачная структура владения, негативные публикации в СМИ или модель бизнеса, зависящая от наличных или корреспондентского банкинга.
Руководство EBA по факторам риска отмывания денег и финансирования терроризма описывает именно такую эскалацию, основанную на факторах риска, для кредитных и финансовых институций ЕС, и та же логика без потерь переносится на любую программу подключения, регулируемую или нет: определите конкретный фактор, повысивший риск, и примените конкретный контроль, отвечающий ему, а не общее указание «сделать больше».
Что меняется при EDD, конкретно. Источник средств превращается в источник благосостояния, то есть вы подтверждаете, как было создано общее богатство контрагента, а не только откуда пришли деньги по этой транзакции. Согласование одним аналитиком превращается в названное согласование на старшем уровне. Календарный годовой пересмотр превращается в более короткий, а иногда непрерывный цикл мониторинга.
На что обратить внимание:
- Назовите триггер явно. Фиксируйте, какой конкретно фактор — юрисдикция, статус PEP, сложность владения — перевёл файл в EDD, а не просто что перевёл.
- Повышайте источник средств до источника благосостояния. Поймите всю финансовую историю, а не только транзакцию перед вами.
- Требуйте согласования на старшем уровне. За решение об одобрении EDD должен отвечать названный человек, а не общий ящик команды.
- Сократите часы пересмотра. Файлы критического уровня не должны ждать того же годового цикла, что файлы стандартного.
Пример
Процесс подключения оператора iGaming пометил платёжного партнёра для EDD из-за юрисдикции, но затем применил ту же документацию по источнику средств, что и для файлов стандартного уровня. Двадцать месяцев спустя лицензионная проверка выявила, что доказательства источника благосостояния так и не были собраны — только банковская выписка. Оператору пришлось задним числом заново провести всю оценку, что задержало несвязанное продление лицензии на шесть недель.
Главный вывод: EDD — это другой стандарт доказательств и другая цепочка согласования, а не более тяжёлая версия того же чек-листа; относитесь к ней как к отдельному рабочему процессу.
Сравнение: стандартная и усиленная должная проверка
| Элемент | Стандартная должная проверка | Усиленная должная проверка |
|---|---|---|
| Триггер | Базовое подключение для любых новых отношений | Высокорисковая юрисдикция, участие PEP, сложное владение или негативные публикации в СМИ |
| Финансовые доказательства | Источник средств для транзакции | Источник благосостояния за всю историю контрагента |
| Утверждающая инстанция | Согласование на уровне аналитика или команды | Названное согласование руководством старшего звена |
| Цикл пересмотра | Ежегодный, календарный | 3–6 месяцев или непрерывный мониторинг |
Как текущий мониторинг должен возвращаться к решению о подключении?
Должная проверка при подключении — суждение на момент времени; одобренные ею отношения таковыми не являются. Контрагент, прошедший подключение в добром здравии, может спустя восемнадцать месяцев приобрести подсанкционную организацию, потерять лицензию или пострадать от утечки данных, и само досье подключения вам об этом не скажет.
Именно этот разрыв был призван закрыть для финансовых организаций и их ИКТ-подрядчиков Закон ЕС о цифровой операционной устойчивости (DORA): рамка, где постоянный мониторинг риск-позиции контрагента — непрерывное регуляторное обязательство, а не любезность. Та же дисциплина применима далеко за пределами ИКТ-поставщиков — к любым подключённым отношениям, от которых зависит бизнес.
Практичное решение — задавать и автоматические триггеры на сигналах (негативные публикации, обновления санкционных списков, смена регуляторного статуса), и календарный пересмотр, чтобы высокорисковые отношения пересматривались полностью как минимум ежегодно, даже если автоматический сигнал так и не сработает. Опора только на сигналы оставляет вас уязвимым к риску, который никогда не попадает в новости, но всё равно меняется.
На что обратить внимание:
- Задайте оба типа триггеров. Мониторинг по сигналам ловит внезапное изменение; календарный пересмотр ловит медленный дрейф, никогда не вызывающий оповещения.
- Направляйте сигналы по уровню риска. Падение рейтинга безопасности у поставщика стандартного уровня может подождать следующего цикла; тот же сигнал у контрагента критического уровня требует эскалации в течение недели.
- Пересматривайте после смены владельца. Любое изменение бенефициарного владения должно запускать полный повторный скрининг, а не просто обновление формы.
- Связывайте запись пересмотра с исходным файлом. Проверяющий должен иметь возможность проследить сегодняшний статус до исходного решения о подключении и всех последовавших изменений.
Пример
Провайдер мерчант-счетов для высокорисковых отраслей подключил клиента на среднем уровне и задал только календарные ежегодные пересмотры. Коэффициент чарджбэков клиента пересёк существенный порог на девятом месяце, но ничто в программе мониторинга не следило за этим между датами пересмотра. К годовому пересмотру этот показатель уже вызвал запрос карточной сети, о котором провайдер узнал лишь постфактум.
Главный вывод: Должная проверка при подключении и текущий мониторинг — один непрерывный процесс; уровень подключения должен задавать частоту мониторинга, а не наоборот.
Как правильно организовать должную проверку при подключении
Должная проверка при подключении — это не усиленная версия KYC и не формальность, заканчивающаяся в день одобрения файла. Это дисциплина тиринга риска: честно оценить присущий риск, масштабировать собираемые доказательства по этой оценке, документировать каждое решение и передать файл текущему мониторингу с чёткой периодичностью пересмотра.
Бизнесы, пропускающие шаг тиринга и применяющие один чек-лист ко всем файлам, в итоге перепроверяют отношения с малым риском и пропускают конкретный фактор, сделавший опасными одни из них. Дисциплина одна и та же, будь перед вами новый клиент, платёжный партнёр или поставщик: сначала оцените, затем масштабируйте проверку.
Как помогает BankMyCapital
Выстроить рамку должной проверки при подключении у себя — одна задача. Провести собственный бизнес через должную проверку при подключении в банке или EMI — родственная, но отдельная, и именно на ней застревает большинство высокорисковых операторов. Наша услуга банковского размещения и подбора EMI начинается с оценки соответствия, которая оценивает ваше досье так же, как это сделает андеррайтер, а затем готовит комплаенс-пакет, документацию по бенефициарному владению и подтверждение источника средств, которые ожидает увидеть собственный процесс должной проверки банка.
Мы работаем с сетью из 50+ банковских партнёров и EMI, поэтому ваше досье уходит в институции, чей текущий риск-аппетит действительно охватывает ваш сектор, а не в слепую рассылку. Такая подготовка напрямую вносит вклад в 87% одобрений и типичное окно подключения в 2–3 недели при правильно собранном досье — вместо месяцев, которые уходят, когда бизнес узнаёт, что такое «усиленная должная проверка», только после того, как банк её уже запросил.
Часто задаваемые вопросы
В чём разница между должной проверкой и KYC при подключении?
KYC проверяет личность: подтверждает, что клиент, поставщик или партнёр — тот, за кого себя выдаёт. Должная проверка при подключении — более широкий, масштабируемый по риску процесс поверх этой проверки личности: он решает, сколько внимания требуют отношения, и документирует решение.
Сколько времени должна занимать должная проверка при подключении?
Сроки зависят от уровня риска. Файлы стандартного уровня могут пройти за дни, когда документация полна; файлы критического уровня, требующие выездных проверок, согласования на старшем уровне и доказательств источника благосостояния, обычно занимают несколько недель. Хорошо выстроенный тиринг ускоряет низкорисковые файлы именно потому, что не пропускает их через шаги высокого уровня.
Что запускает усиленную должную проверку при подключении?
Типичные триггеры: высокорисковая юрисдикция, подтверждённое или предполагаемое участие PEP, сложная или непрозрачная структура владения, негативные публикации в СМИ и деятельность, зависящая от наличных или корреспондентского банкинга. Любого из них достаточно, чтобы перевести файл в усиленную должную проверку, а не только сочетания нескольких.
Кто должен отвечать за решение по должной проверке при подключении внутри компании?
Согласование стандартного уровня может оставаться за обученным аналитиком, но средним и более высоким уровням нужен названный ответственный за согласование, а не общий ящик. Файлы критического уровня должны требовать согласования старшим руководством, что соответствует структуре ответственности, которую регуляторы ждут увидеть задокументированной.
Как часто нужно пересматривать подключённые отношения?
Как минимум ежегодно для отношений стандартного и среднего уровня и каждые три–шесть месяцев, плюс непрерывный мониторинг по сигналам, для высокого и критического. Любое существенное изменение, особенно бенефициарного владения, должно запускать немедленный пересмотр независимо от того, где файл находится в календарном цикле.
Читайте также
- Что такое взаимодействие с регуляторами? Руководство для комплаенс-офицеров
- Что такое регуляторный арбитраж? Руководство для специалистов по финансам
- Как избежать ошибок банкинга для высокорисковых бизнесов: полное руководство 2026
- Почему банки отклоняют заявки высокорисковых бизнесов
- Устойчивая банковская структура для высокорисковых бизнесов