Как составить AML-политику для криптобизнеса

Нужна ли криптобизнесу AML-политика

Сначала нужно понять, подпадает ли деятельность компании под действующее законодательство о борьбе с отмыванием денег. Не каждая криптокомпания автоматически является обязанным субъектом. Требования зависят от услуг, стран и реальной роли компании в операциях. Кастодиальная биржа, которая принимает и переводит криптовалюту за клиентов, как правило, подпадает под регулирование в основных финансовых юрисдикциях. То же вероятно для обмена, хранения и администрирования криптоактивов, конвертации криптовалюты в фиат, криптоплатежей, переводов по поручению клиентов и брокерских услуг.

Разработчик, который только предоставляет техническую инфраструктуру и не оказывает регулируемых услуг, может оказаться вне некоторых режимов. Но называть платформу некастодиальной недостаточно для освобождения. Оценивают реальные функции и уровень контроля. Об этом мы писали в статье о бирже без хранения средств клиентов и в статье о лицензии для криптоплатежного шлюза. Даже когда закон прямо не обязывает компанию, AML-система может быть коммерчески необходима, потому что банки, платежные провайдеры и поставщики ликвидности требуют подтверждения контролей до начала отношений.

Основные регуляторные рамки

Политику пишут с учетом права стран, в которых работает компания. Стандарты ФАТФ служат международной основой, но не заменяют национальные законы.

Начните с оценки рисков бизнеса

Политику не стоит писать, копируя шаблон другой криптокомпании. Отправная точка это общая оценка рисков (BWRA, business-wide risk assessment), которая выявляет риски отмывания денег и финансирования терроризма именно для вашей деятельности. FCA ожидает, что BWRA оценивает риски каждого продукта, использует единую задокументированную методологию, показывает, как контроли снижают риск и как считается остаточный риск. В оценку включают и финансирование распространения оружия.

1. Риск клиентов

   Кого вы обслуживаете, физических лиц, компании, институциональных инвесторов, другие VASP или бизнес повышенного риска. Корпоративные клиенты со сложной структурой усложняют проверку бенефициаров.

2. Географический риск

   Где находятся клиенты и контрагенты, откуда и куда идут средства. Особое внимание странам под санкциями и в списках ФАТФ.

3. Риск продуктов

   Кастодиальная биржа, OTC, платежный шлюз и поставщик некастодиального кошелька не должны применять одинаковые контроли.

4. Риск операций

   Объемы, частота, суммы, сети блокчейна, типы кошельков. Приватные технологии, миксеры и цепочки переводов через много кошельков повышают риск.

5. Риск каналов

   Удаленное подключение клиентов, участие посредников и автоматические решения без участия человека.

После выявления рисков оцените вероятность и последствия, определите действующие контроли и остаточный риск. В оценке опишите методологию присвоения рейтингов и периодичность пересмотра.

Определите риск-аппетит

В политике нужно сказать, каких клиентов, операции и отношения компания принимает, а какие запрещены или требуют дополнительной проверки. Например, биржа может отказывать клиентам под санкциями, запретить операции, связанные с очевидно запрещенной деятельностью, ограничить клиентов из некоторых стран, применять усиленную проверку (EDD) к публичным должностным лицам (PEP) и сложным корпоративным структурам, проверять средства с некастодиальных кошельков и ограничить работу с приватными монетами.

Процедуры KYC и KYB

Политика должна описывать, как компания идентифицирует и проверяет клиентов до начала отношений и когда нужна дополнительная проверка. Подробнее о порядке проверок мы писали в статье о KYC и KYB для платежных провайдеров.

Классификацию клиентов на низкий, средний и высокий риск нужно основывать на задокументированной методологии, а не на субъективных решениях сотрудников. Для клиентов повышенного риска применяют EDD, то есть дополнительную проверку источника средств, одобрение руководства и более частые пересмотры.

Мониторинг операций в блокчейне

Банки следят за переводами и движением по счету. Криптобизнесу нужно анализировать и операции в блокчейне. Политика должна объяснять, как компания выявляет подозрительные движения и что происходит при обнаружении риска. Инструменты блокчейн-аналитики помогают найти связи с адресами под санкциями, даркнет-площадками, вымогателями, украденными средствами, миксерами, мошенническими схемами, рискованными биржами и финансированием терроризма.

Проверка не должна сводиться к сверке адреса с черным списком. Нужно следить и за схемами поведения. Тревожные признаки это быстрое движение средств через много кошельков, дробление крупных операций, резкая смена обычного поведения, частые депозиты с немедленным выводом, операции, не совпадающие с заявленным источником средств, и повторные обращения к рискованным сервисам.

В политике описывают сам процесс, а пороги оповещений, шаги расследования и порядок эскалации выносят в отдельную процедуру. Там же объясняют, как проверяют автоматические оповещения, как закрывают ложные срабатывания и когда операцию приостанавливают или отклоняют. Связь с высокорисковым кошельком сама не доказывает причастность клиента к преступлению. Решение учитывает характер, давность и масштаб связи и имеющиеся доказательства.

Санкции и публичные должностные лица

Санкционную проверку и проверку на PEP встраивают и в подключение клиентов, и в постоянный мониторинг. Политика определяет, какие санкционные режимы применяются с учетом стран работы и международных обязательств. Проверяют клиентов, бенефициаров, директоров, представителей и контрагентов по операциям. Для криптобизнеса важна проверка адресов кошельков, потому что они могут быть связаны с включенными в списки лицами.

При возможном совпадении политика предусматривает проверку совпадения, эскалацию подтвержденных и подозрительных случаев, блокировку операций там, где этого требует закон, заморозку активов и обязательные сообщения властям. PEP оценивают отдельно по риску. В зависимости от права EDD может включать одобрение высшего руководства, установление источника средств и благосостояния и усиленный мониторинг. Также в политике описывают, как обновляют базы и как изменения санкционных списков попадают в системы.

Отчеты о подозрительных операциях

Политика должна установить, как сотрудники выявляют, передают и сообщают о подозрительной активности. Пример. Сотрудник заметил необычную операцию или получил оповещение аналитики, случай передается комплаенс-команде или MLRO. Тот оценивает информацию и решает, нужно ли подавать отчет о подозрительной операции (STR или SAR).

Travel Rule

Travel Rule входит в AML-систему, особенно если компания оказывает регулируемые услуги по переводу. По Регламенту 2023/1113 CASP обязаны обеспечить передачу данных об отправителе и получателе с квалифицируемыми переводами криптоактивов. Политика закрепляет приверженность этому требованию, а практические шаги описывает отдельная процедура. Это сбор и передача данных, их проверка там, где это нужно, обработка переводов с адресами на самостоятельном хранении, выявление недостающих данных, эскалация нарушающих правила операций и хранение записей. Подробно мы разобрали это в статье о Travel Rule для криптобизнеса.

Обучение, учет и независимая проверка

Какие документы идут вместе с AML-политикой

Частая ошибка в том, что AML-политику считают самостоятельным документом. На практике полная система состоит из связанных документов. FCA ожидает от заявителей на регистрацию полной AML-системы, то есть и политик, и подробных процедур для ежедневной работы. Документы должны объяснять, как работают выбранные сторонние инструменты и как они настроены под риски фирмы.

Точный набор зависит от деятельности и обязанностей. Бирже с хранением понадобится больше контролей, чем поставщику только программного обеспечения.

Частые ошибки при составлении политики

1. Общие шаблоны

   Политика, скопированная у другой биржи, не учитывает риски ваших продуктов, клиентов и потоков операций.

2. Путаница политики и процедур

   Фразы вроде «компания отслеживает все операции» ничего не значат, пока не объяснено, как это делается, кто смотрит оповещения и как идет эскалация.

3. Слепая вера в инструменты

   Аналитика блокчейна и поставщики KYC помогают, но не заменяют собственную оценку рисков, решения и контроль.

4. Нет распределения ролей

   Сотрудники должны знать, кто занимается подключением, кто расследует оповещения и кто решает по подозрительной активности.

5. Нет постоянного мониторинга

   Проверки не заканчиваются после подключения клиента. Профили и операции пересматривают в течение всех отношений.

6. Политика не обновляется

   Документ, написанный до запуска нового продукта, перестает подходить после добавления новых блокчейнов, OTC, фиатных расчетов или категорий клиентов.

7. Противоречия между документами

   Политика, оценка рисков и процедуры должны описывать одну модель и одни контроли. Противоречия вызывают вопросы у регуляторов и партнеров.

Как подготовить политику, практический порядок

1. Опишите бизнес

   Продукты, услуги и страны. Определите, являетесь ли вы обязанным субъектом.

2. Проведите BWRA и задайте риск-аппетит

   Задокументируйте оценку рисков, а также допустимых и запрещенных клиентов.

3. Определите проверки

   KYC, KYB, CDD и EDD, а также скрининг санкций, PEP и кошельков.

4. Настройте мониторинг

   Сценарии, расследование и порядок отчетов о подозрительных операциях.

5. Назначьте ответственного

   MLRO или иное лицо там, где это требуется, и опишите внутреннюю эскалацию.

6. Закройте обучение, учет и проверку

   Обучение, хранение записей, независимое тестирование и проверка внешних поставщиков.

7. Утвердите и пересматривайте

   Документ утверждает руководство, о нем информируют сотрудников, пересмотр идет при изменениях бизнеса, закона и профиля рисков.

Частые вопросы

См. также: KYC и KYB для платежных провайдеров; Travel Rule для криптобизнеса; Как запустить криптобиржу без хранения средств клиентов; Нужна ли лицензия криптоплатежному шлюзу. Услуги: Лицензирование, комплаенс и AML/KYC.