Коротко: KYC перевіряє особу фізичної чи юридичної особи, а AML — це комплексна система, що поєднує ці дані перевірки з постійним моніторингом та обов'язками з повідомлення. Отже, KYC надає фактичну основу, на якій узагалі можуть будуватися контролі AML і класифікація ризиків. Хто сприймає їх окремо, пропускає саме ту прогалину, у якій виникають відмивання коштів і порушення санкцій.
Коротко кажучи:
Безперервний моніторинг у AML є обов'язковим, оскільки підозрілі патерни можуть з'являтися й через роки після відкриття рахунку.
Неповна KYC-документація підвищує ризик операційних проблем, а недостатній моніторинг веде до відповідальності або наглядових наслідків.
Європейський регламент AML посилює обов'язки з ідентифікації та створює центральну наглядову структуру для транскордонних операцій.
Автоматизовані інструменти зменшують помилки й ручну працю, однак не замінюють фахову оцінку у складних випадках.
Регулярне оновлення та документування всіх KYC- і AML-заходів є необхідними, щоб бути прозорими під час перевірок у будь-який момент.
Що таке Anti-Money-Laundering (AML)?
AML означає сукупність заходів, якими підприємства та фінансові установи мають запобігати відмиванню грошей, фінансуванню тероризму та корупції. Це не одна разова перевірка, а безперервна програма з управління, контролів і каналів повідомлення.
До ядра AML-програми належать кілька складових. Серед них внутрішня структура управління з чіткими обов'язками, системний моніторинг транзакцій, що виявляє підозрілі платіжні патерни, а також обов'язок повідомляти про підозрілі дії через так звані Suspicious Activity Reports (SARs) до компетентних органів. До цього додається скринінг за санкційними списками та списками політично значущих осіб, скорочено PEP.
За даними LSEG, KYC є лише спеціалізованим підрозділом ширшої системи AML: KYC зосереджується на особі та кінцевих бенефіціарах, тоді як AML додатково охоплює моніторинг, перевірку санкцій і повідомлення про підозрілі дії.
Вирішальним є часовий характер: AML не завершується з відкриттям рахунку. Клієнт, який сьогодні виглядає неприкметно, за рік може демонструвати зовсім інший патерн транзакцій, наприклад через нових ділових партнерів у країнах високого ризику або раптове зростання обсягів переказів. Саме тому сучасні AML-програми вимагають постійного моніторингу замість разових перевірок.
Що таке Know Your Customer (KYC)?
KYC — це процес, яким підприємства встановлюють та перевіряють особу фізичних і юридичних осіб перед тим, як та під час ведення з ними справ. Для підприємств сюди належить і виявлення кінцевих бенефіціарів (UBO) за структурою.
У межах KYC розрізняють Customer Due Diligence (CDD) та Enhanced Due Diligence (EDD). CDD — це стандартна перевірка: ім'я, дата народження, адреса, документ, що посвідчує особу, для юридичних осіб — витяг з торговельного реєстру та структура власності. EDD застосовується там, де ризик вищий, наприклад щодо політично значущих осіб, клієнтів з юрисдикцій високого ризику або незвично складних корпоративних конструкцій. Згідно з рекомендаціями FATF, належна перевірка загалом має проводитися до встановлення ділових відносин. Відкладена верифікація допускається лише за жорстких умов, доки ще не відбуваються транзакції.
На практиці KYC сьогодні активно спирається на цифрові процедури, так званий eKYC: автоматизована перевірка документів, відеоідентифікація та звіряння з базами даних суттєво прискорюють процес онбордингу, але не замінюють фахової оцінки у складних випадках, причому інструменти комунікації з клієнтами, як-от програмне забезпечення для управління відгуками, додатково підвищують зручність для користувачів.
Основні відмінності між KYC та AML: компактне порівняння
KYC та AML часто вживають як синоніми, однак вони описують різний обсяг. KYC — це підмножина, AML — вища система з власними обов'язками з повідомлення.
- Обсяг: KYC перевіряє особу та структуру власності, AML додатково охоплює моніторинг, скринінг санкцій і систему повідомлень.
- Момент часу: KYC відбувається передусім під час онбордингу та за визначених тригерів, AML триває безперервно упродовж усіх відносин із клієнтом.
- Мета: KYC відповідає на запитання «Хто цей клієнт?», AML — «Чи поводиться цей клієнт підозріло?».
- Наслідки: неповна KYC-справа веде до доопрацювання, відсутність AML-звітування може спричинити наглядові штрафи.
Для операційного комплаєнсу це означає: підприємство може мати бездоганне KYC-досьє і водночас мати проблему AML, якщо, скажімо, патерни транзакцій не моніторяться. І навпаки — найкращий моніторинг мало допоможе, якщо вихідні ідентифікаційні дані помилкові або застарілі. Обидві системи працюють лише разом.
Як KYC та AML взаємодіють у життєвому циклі клієнта
Взаємозв'язок найчіткіше видно вздовж клієнтських відносин. Під час онбордингу спершу спрацьовує Customer Identification Program (CIP): встановити особу, перевірити документи, виконати першу класифікацію ризику. Ця класифікація визначає, наскільки інтенсивно клієнт відстежуватиметься далі.
Після онбордингу починається фаза моніторингу. Транзакції зіставляються з очікуваними патернами, вотчлісти та санкційні списки регулярно перезапитуються, адже особу може бути додано до санкційного списку згодом без будь-яких змін у рухах її рахунків.
Якщо щось впадає в око, наприклад транзакція, що не відповідає відомій бізнес-моделі, починається внутрішнє опрацювання кейсу: команда комплаєнсу перевіряє подію, за потреби отримує додаткові документи та вирішує, чи потрібне повідомлення до компетентного органу. Це повідомлення SAR — та точка, де KYC-дані та AML-моніторинг справді сходяться: без первинної ідентифікаційної перевірки підозрілу транзакцію неможливо було б взагалі прив'язати до конкретної особи.
Процес AML/KYC: практичні кроки, інструменти та ролі
Робоча комплаєнс-програма чітко розподіляє завдання: Compliance Officer відповідає за політики, ескалацію та систему повідомлень, фронт-офіс здійснює первинну перевірку під час контакту з клієнтом, а ІТ- чи дата-команда забезпечує актуальність систем скринінгу та баз даних.
На практиці типовий кейс розгортається так:
- Клієнт подає документи, що посвідчують особу, і, у випадку юридичних осіб, докази структури власності.
- Інструмент скринінгу зіставляє надані дані зі санкційними та PEP-списками.
- Система присвоює клієнту категорію ризику — низьку, середню або високу.
- За підвищеного ризику застосовується поглиблена перевірка з додатковими документами.
- Після схвалення починається поточний моніторинг, що автоматично зіставляє транзакції з очікуваним профілем клієнта.
- Аномалії потрапляють у систему управління кейсами для ручної перевірки.
Використовувані інструменти зазвичай покривають три функції: скринінг за списками, безперервний моніторинг транзакцій та кейс-менеджмент для опрацювання справ. За даними Thomson Reuters, використання RegTech-рішень зменшує ручну роботу та кількість хибних спрацювань, однак водночас пред'являє вищі вимоги до якості даних і простежуваності рішень.
Профі-порада: документуйте кожне рішення щодо ризику так, ніби вам доведеться пояснювати його аудитору через рік, адже саме це колись і станеться.
Для управління програмою варто подивитися на кілька показників: частка хибних спрацювань скринінгу, середній час проходження до схвалення клієнта та кількість ескальованих випадків на місяць. Ці значення показують, чи програма працює ефективно, чи ресурси «гублять» у зайвому доопрацюванні.
Регуляторна рамка та стандарти: FATF, ЄС і національні правила
Міжнародну основу для KYC та AML задає Financial Action Task Force (FATF). Її рекомендації вважаються світовим стандартом і вимагають, зокрема, Customer Due Diligence, ризик-орієнтованого підходу та обов'язку повідомляти про підозрілі дії. Більшість національних законодавств спирається на цю рамку, однак імплементує її з власними порогами та процедурами.
На європейському рівні новий регламент ЄС щодо AML/CFT посилює вимоги до так званих obliged entities, тобто підприємств з обов'язками щодо повідомлення та перевірки, і створює наднаціональну наглядову структуру. Для підприємств, що діють у межах ЄС, це означає суворіші приписи щодо ідентифікації кінцевих бенефіціарів та транскордонних повідомлень.
Важливо для міжнародно активних компаній: національні імплементації місцями суттєво різняться — наприклад, порогами для посиленої належної перевірки або визначенням політично значущих осіб. Хто працює у кількох юрисдикціях, зокрема з прив'язкою до Швейцарії та водночас до ЄС, має орієнтуватися на більш суворе правило та в разі сумнівів перевіряти юридично, яка саме національна норма реально застосовується.
Виклики та найкращі практики для підприємств
Найчастіші проблеми на практиці рідко є регуляторними — вони операційні. Погана якість даних призводить до того, що системи скринінгу пропускають збіги або, навпаки, заливають їх хибними спрацюваннями. Високі показники false positives займають персонал, який насправді потрібен для реальних випадків. А балансування між обов'язком моніторингу та захистом даних — скажімо, за GDPR або переглянутим швейцарським FADP (DSG) — потребує ретельного зважування.
Виправдали себе кілька чітких принципів:
- Послідовно дотримуватися ризик-орієнтованого підходу замість однакової глибини перевірки для всіх клієнтів.
- Прозоро й повно документувати кожне рішення та його обґрунтування.
- Регулярно навчати працівників новим типологіям і санкційним режимам.
- Періодично тестувати програму незалежними аудитами.
Автоматизація допомагає там, де вона бере на себе повторювану звірку, наприклад перший скринінг за списками. Проте вона не замінює фахової оцінки у граничних випадках, і кожне автоматизоване рішення має бути ретроспективно простежуваним, інакше воно під час перевірки стає ризиком, а не полегшенням.
Практичний чекліст: коли та як проводити KYC
KYC — це не разова галочка під час онбордингу. Певні події запускають повторну перевірку незалежно від того, як довго тривають ділові відносини.
- Під час онбордингу: повна перевірка особи та перша класифікація ризику до встановлення ділових відносин.
- При транзакціях понад визначені пороги: додаткова перевірка походження коштів.
- При негативному медійному висвітленні клієнта: негайна переоцінка профілю ризику.
- При змінах організаційно-правової форми або структури власності: повне оновлення KYC-справи.
- З певною періодичністю залежно від категорії ризику: клієнтів високого ризику — частіше, стандартних — рідше.
Мінімальною документацією вважаються чинний документ, що посвідчує особу, для юридичних осіб — актуальний витяг з торговельного реєстру, а також зрозуміле обґрунтування присвоєної категорії ризику. Ці документи мають бути упорядковані так, щоб наглядовий орган міг у будь-який момент простежити їх без додаткових запитань.
Перспектива юридичної фірми: транскордонні та санкційні аспекти
При транскордонних мандатах ризики помітно зростають. Політично значуща особа в одній країні не обов'язково є такою в реєстрі іншої, а санкційні списки змінюються частіше, ніж багато компаній відображає у своєму ритмі моніторингу. Саме у мандатах з прив'язкою до Східної Європи видно, як швидко непримітний діловий партнер стає ризиком комплаєнсу через новий раунд санкцій.
Ми супроводжуємо компанії у таких випадках під час перевірки санкцій, документування кінцевих бенефіціарів та правового оформлення договорів кількома мовами. Правова консультація кількома мовами дозволяє точніше класифікувати обставини з міжнародним елементом, зокрема коли оригінальні документи походять з України чи Росії. Докладніше про те, як санкційні ризики впливають на реєстрацію компаній з прив'язкою до України та Росії, часто стає зрозуміло лише під час детальної перевірки контрагентів.
Особиста оцінка: чому компаніям варто серйозно ставитися до KYC та AML
За нашим досвідом, багато компаній недооцінюють, наскільки швидко змінюється санкційна ситуація і як дорого може обійтися пропущений зв'язок із PEP. Хто серйозно сприймає санкційні та KYC-перевірки лише тоді, коли починає запитувати орган, зазвичай платить значно більше — у штрафах і репутації, — ніж коштувала б своєчасна перевірка.
— Bitblade
Підтримка у питаннях KYC та AML
Коли на порядку денному санкційна перевірка, оформлення договору з міжнародним елементом або реєстрація компанії із закордонним елементом, варто подивитися на наші послуги, перш ніж запитання почне ставити орган, а не консультант. Ми перевіряємо договори та ділові відносини кількома мовами, що особливо корисно при санкційному комплаєнсі та мандатах із прив'язкою до України чи Росії.
Перша розмова починається з первинної консультації та оцінки від 150 CHF (швейцарський франк) за годину, з якої ми, залежно від справи, виводимо конкретну пропозицію щодо перевірки договору, санкційної due diligence або реєстрації компанії. Огляд наших міжнародних юридичних послуг ви знайдете на нашій сторінці послуг.
Ця стаття містить загальну інформацію і не замінює консультації кваліфікованого фінансового радника. Зверніться до кваліфікованого фінансового фахівця щодо вашої особистої ситуації, перш ніж діяти на підставі цього матеріалу.
FAQ
Що таке KYC і AML?
KYC означає перевірку особи клієнтів, AML — вищу систему запобігання відмиванню коштів та фінансуванню тероризму. За оцінкою LSEG, KYC є спеціалізованою складовою AML, яка зосереджується на особі та кінцевих бенефіціарах, тоді як AML додатково охоплює моніторинг і повідомлення.
Які приписи існують для KYC та AML?
На міжнародному рівні більшість держав орієнтується на рекомендації FATF, які вимагають Customer Due Diligence та ризик-орієнтованого підходу. У ЄС новий регламент AML/CFT додатково посилює обов'язки та створює наднаціональну наглядову структуру.
Коли треба проводити KYC?
KYC здійснюється переважно до встановлення ділових відносин і оновлюється за певних подій, наприклад великих транзакцій, негативного медійного висвітлення або зміни структури власності. Клієнтів високого ризику зазвичай перевіряють повторно частіше, ніж стандартних.
Що розуміють під AML?
AML позначає цілісну систему з управління, моніторингу транзакцій, санкційного скринінгу та обов'язків повідомлення, якою компанії мають запобігати відмиванню коштів та суміжним злочинам. На відміну від одноразової перевірки, AML триває безперервно упродовж усього періоду відносин із клієнтом.