KYC (знай своего клиента) и KYB (знай свой бизнес) это проверки, которые платежная компания проводит в отношении клиентов до начала и во время работы. Банки, платежные системы и надзорные органы оценивают вас по тому, как хорошо вы это делаете. С 10 июля 2027 года вместо разных национальных правил в ЕС начнет действовать единый регламент, Регламент о противодействии отмыванию денег (AMLR). Рассказываем простыми словами, как решить, насколько глубоко проверять каждого клиента, что входит в KYC и KYB, когда достаточно упрощенных проверок и где платежные компании ошибаются чаще всего.
Проверено 22 октября 2026 года. Правила и источники актуальны на эту дату.
Что меняется и когда
Сейчас в ЕС действуют национальные законы, но правила переходят к единому регламенту и общим стандартам органов ЕС.
AMLR
Регламент о противодействии отмыванию денег (Регламент (ЕС) 2024/1624) устанавливает обязанности компаний, которые должны соблюдать правила AML (противодействие отмыванию денег), в том числе по проверке клиентов. Он применяется с 10 июля 2027 года.
Стандарты AMLA
AMLA это новый Орган ЕС по борьбе с отмыванием денег. Он направил в Европейскую комиссию окончательные проекты технических стандартов, которые определяют, какие сведения и документы собирать при проверке клиента. Их предлагается применять через шесть месяцев после вступления в силу.
Руководства EBA
EBA это Европейский банковский орган, который задает общие стандарты для банков и платежных компаний. Два его руководства уже действуют. Одно посвящено факторам риска отмывания денег (EBA/GL/2021/02), другое проверке клиентов дистанционно (EBA/GL/2022/15, действует с 2 октября 2023 года).
Стандарт FATF
FATF это международная организация, которая задает стандарты по борьбе с отмыванием денег. Ее Рекомендация 10 дает основу. Нужно знать, кто клиент и кто настоящий владелец, понимать, зачем клиенту ваша услуга, и следить за его операциями, а глубина зависит от риска.
Как работает риск-ориентированный подход
Объем проверок зависит от риска. Но риск нужно оценить и записать, иначе подход нельзя защитить перед надзорным органом.
Риск всего бизнеса
Оцените риски по продуктам, каналам продаж, клиентам и странам и учтите национальные оценки и оценки ЕС (AMLR, статья 10). Делайте это до запуска нового продукта, канала или рынка.
Риск каждого клиента
Насколько глубоко проверять, зависит от рисков этого клиента и этих отношений (статья 20). Вы должны в любой момент показать надзорному органу, что ваши меры соответствуют рискам.
Один фактор не решает
По руководствам EBA один фактор риска сам по себе не переводит клиента в другую категорию, а факторам можно придавать разный вес. Коммерческие интересы не должны влиять на оценку. Если человек меняет автоматическую оценку вручную, причину нужно записать.
KYC: что проверять
AMLR перечисляет меры. Они применяются к каждому клиенту, а от риска зависит только глубина.
Кто клиент
Установите личность и проверьте ее. По проекту стандартов собирают все имена и фамилии из документа, место рождения, гражданство и адрес со страной и городом.
Санкции и PEP
Проверьте клиента и его владельцев по санкционным спискам и выясните, не являются ли они публичными должностными лицами (PEP), их родственниками или близкими соратниками. Проект стандартов учитывает также псевдонимы, торговые названия и адреса криптокошельков.
Наблюдение за операциями
Все время проверяйте, что операции соответствуют тому, что вы знаете о клиенте, а при необходимости выясняйте происхождение денег.
Когда проверять
AMLR требует проверки при начале отношений, при разовой операции от 10 000 евро и для финансовых организаций при переводе от 1 000 евро (статья 19). FATF для разовых операций называет порог 15 000.
KYB: проверка компании и ее настоящих владельцев
Для компании главный вопрос не в том, кто подписал заявку, а в том, кто на самом деле за ней стоит и ею управляет.
Компания
Запишите юридическое название и торговое, если оно отличается. Поймите, чем занимается бизнес, и убедитесь, что подписавший вправе действовать от имени компании.
Бенефициарные владельцы
Бенефициарный владелец это человек, который в конечном счете владеет компанией или контролирует ее. Установите его и разумными способами проверьте. Доля от 25 % обычно делает человека владельцем, но проверяйте и контроль другими способами, а не только когда крупного акционера не нашли.
Где проверять
По проекту стандартов источники это публичные и коммерческие реестры, базы данных и надежные поставщики данных. Центральным реестром бенефициаров можно пользоваться при низком риске, но дополняйте его сведениями от клиента или из других надежных источников.
Упрощенные и усиленные проверки
Глубину определяет риск. Но ни упрощенная, ни усиленная проверка не заменяет основные меры.
Упрощенная проверка
При низком риске можно отложить проверку клиента и его владельцев, но не больше чем на 60 дней после начала отношений. Можно реже обновлять данные, делать вывод о цели по типу операций и менее интенсивно следить за операциями. Мониторинга все равно должно хватать, чтобы заметить необычные и подозрительные операции (статья 33).
Это не освобождение
По руководствам EBA упрощенная проверка не заменяет надлежащую проверку клиента и не применяется при подозрении на отмывание денег или финансирование терроризма. FATF говорит то же самое.
Усиленная проверка
Нужна при повышенном риске. Сложные, необычно крупные или необычные по схеме операции, а также операции без понятной законной цели требуют внимательного изучения того, откуда и куда идут деньги. Меры включают больше сведений о клиенте и владельцах, источник средств и состояния, одобрение руководства и более плотный мониторинг (статья 34).
| Уровень риска | Типичный профиль (пример) | Меры |
|---|---|---|
| Низкий | Регулируемая финансовая организация, прозрачная структура | Основные проверки и упрощенные меры по статье 33 с записью причин |
| Средний | Обычный клиент, понятный бизнес | Полный набор мер по статье 20, обычный мониторинг |
| Высокий | Сложная структура, PEP, рискованная страна, необычные операции | Усиленные меры по статье 34, одобрение руководства, более частые пересмотры |
Таблица показывает наш пример подхода, а не норму закона. Каждая компания сама задает критерии в своей оценке рисков.
Мы изучим вашу ситуацию и предложим решение для вашего проекта.
Подключение клиентов онлайн
Большинство платежных провайдеров подключают клиентов онлайн, и именно здесь надзорные органы находят больше всего нарушений.
Политика и проверка решения
Руководства EBA требуют утвержденную политику и оценку решения до запуска. Нужно понять, полны ли данные, надежны ли источники и какие есть риски мошенничества и подмены личности.
Документ и человек
Проверяйте защитные признаки и следы подделки и убедитесь, что документ не просто показан на экране. Проверка живости, которая доказывает присутствие настоящего человека, обязательна во всех решениях без участия сотрудника.
Дополнительные меры
При необходимости добавьте первый платеж со счета на имя клиента, одноразовые коды или звонок. Руководства исходят из того, что решения на основе уведомленной электронной идентификации eIDAS уровня substantial или high и квалифицированных услуг доверия соответствуют требованиям.
Постоянный контроль
Постоянно проверяйте качество данных, проводите плановые и внеплановые проверки и пересматривайте затронутых клиентов, когда возникают проблемы.
Где платежные провайдеры ошибаются чаще всего
Отчет EBA от 16 июня 2023 года о рисках отмывания денег в платежных организациях показывает, на что смотрят надзорные органы.
Мониторинг
По данным EBA, отсутствие содержательного мониторинга операций широко распространено, системы мониторинга у многих компаний слабые или отсутствуют, а сообщения о подозрительных операциях оценены как слабые.
Подключение и PEP
При онлайн-подключении часто не хватает защитных мер, а компании не выявляют клиентов с высоким риском, в том числе PEP.
Агенты
Единого подхода ЕС к сетям агентов нет. Агенты часто сами не подпадают под правила AML и работают с несколькими провайдерами. EBA оценивает риск использования агентов преступными сетями как высокий.
Новые риски
EBA отдельно назвала виртуальные IBAN (международный номер банковского счета), white label и сторонних эквайеров областями для дальнейшей оценки.
Отчет датирован 2023 годом, но отражает позицию надзорных органов. Если у вас есть агенты, white label или виртуальные счета, заранее опишите, как вы проверяете конечных клиентов.
Практика надзорных органов
AMLR пока не применяется, поэтому полезно посмотреть, за что надзорные органы наказывают уже сейчас. Ниже два решения британского регулятора FCA (британский финансовый регулятор). Это не решения ЕС, и оба касаются банков, но выводы о подключении клиентов, проверке по спискам и контроле высокого риска типичны и для платежных провайдеров.
Monzo, 8 июля 2025 года
Штраф 21 091 300 фунтов. С октября 2018 по август 2020 года банк принимал скудные и порой неправдоподобные сведения о клиентах (в качестве домашних адресов указывали известные достопримечательности Лондона), а его оценка рисков и мониторинг операций были недостаточными. С августа 2020 по июнь 2022 года он нарушил ограничение на открытие счетов клиентам с высоким риском и подключил более 34 000 таких клиентов. Без скидки 30 % за согласие на урегулирование штраф составил бы 30 130 475 фунтов.
Starling, 2 октября 2024 года
Штраф 28 959 426 фунтов. С 2017 года автоматическая система проверяла клиентов лишь по части санкционного списка. Банк договорился с FCA не открывать счета клиентам с высоким риском, но с сентября 2021 по ноябрь 2023 года нарушил это обещание и открыл более 54 000 счетов примерно 49 000 таким клиентам. Без скидки 30 % штраф составил бы 40 959 426 фунтов.
В обоих случаях клиентская база росла быстрее, чем контроль. Проверьте, что проверка по спискам охватывает весь список и что ограничение, согласованное с надзорным органом, обеспечено технически, а не только записано в политике.
Отказ клиенту и проверка существующих клиентов
Проверка, которую нельзя завершить, должна заканчиваться отказом, а существующие клиенты не освобождены от новых требований.
Если проверку нельзя завершить
Не проводите операцию и не начинайте отношения, прекратите уже существующие и рассмотрите сообщение о подозрительной операции в подразделение финансовой разведки (AMLR, статья 21). FATF предлагает то же правило.
Существующие клиенты
По проекту стандартов существующих клиентов с высоким риском нужно привести в соответствие в течение года после начала применения стандартов, остальных в течение пяти лет. Это проект, поэтому окончательные сроки зависят от принятого текста.
Что делать сейчас
Большая часть подготовки не зависит от того, когда будут приняты стандарты.
Обновите оценку рисков всего бизнеса
Продукты, каналы, группы клиентов, агенты и страны. Запишите оценку и даты пересмотра.
С этого начнитеОпишите модель риска клиента
Какие факторы вы учитываете, как задаете им вес, кто вправе изменить оценку и как фиксируются такие изменения.
Выстройте процедуру KYB
Схема владения, бенефициарные владельцы с проверкой контроля другими способами, полномочия представителей и источники проверки.
Пересмотрите онлайн-подключение
Решение, проверки живости и документа и дополнительные меры при высоком риске.
Пересмотрите мониторинг и агентов
Сценарии, пороги и разбор срабатываний, а также проверку клиентов, привлеченных через агентов и white label.
Составьте план перехода
Сроки до 10 июля 2027 года и пересмотр существующих клиентов по проекту стандартов.
AMLR применяется с 10 июля 2027 года, а стандарты AMLA начнут действовать после принятия Комиссией и публикации. Привязывайте план к первой дате.
Риск-ориентированный подход работает, только пока вы можете показать, как оценили риск.Команда LegalBit
Частые вопросы
Что такое риск-ориентированный подход?
Это не способ пропустить проверки, а способ выбрать их глубину по риску. Все основные меры применяются к каждому клиенту, но их объем зависит от оценки риска.
Можно ли полагаться на центральный реестр бенефициаров?
По проекту стандартов им можно пользоваться при низком риске, но сведения нужно дополнять данными от клиента или из других надежных источников.
Что делать, если клиент не предоставляет документы?
Если проверку нельзя завершить, компания не проводит операцию и не начинает отношения, прекращает существующие и рассматривает сообщение в подразделение финансовой разведки (AMLR, статья 21).
Когда начнут применяться стандарты AMLA?
Окончательные проекты направлены в Комиссию. После принятия и публикации в Официальном журнале их предлагается применять через шесть месяцев после вступления в силу, а сам AMLR применяется с 10 июля 2027 года.
Смотрите также: Travel Rule для крипто-бизнеса; Лицензия EMI и платежной организации в ЕС, Великобритании и Канаде; Transaction laundering и miscoding; PayFac, агрегаторы и ISO: кто отвечает за подключенных продавцов; Ответственная игра и AML для операторов; Прием криптовалюты бизнесом. Услуги: регуляторика и комплаенс.
- EUR-Lex: Регламент (ЕС) 2024/1624 о предотвращении использования финансовой системы для отмывания денег (AMLR)
- AMLA: пресс-релиз, AMLA завершила подготовку ключевых стандартов для частного сектора
- AMLA: краткая справка о технических стандартах по надлежащей проверке клиентов (статья 28(1) AMLR)
- AMLA: консультация по проекту технических стандартов по надлежащей проверке клиентов
- EBA: Руководства по факторам риска ОД/ФТ, EBA/GL/2021/02 (сводная редакция)
- EBA: Руководства по использованию решений для дистанционного подключения клиентов, EBA/GL/2022/15
- EBA: отчет о рисках ОД/ФТ в платежных организациях (16.06.2023)
- FATF, Рекомендация 10: надлежащая проверка клиентов (текст, опубликованный CFATF)
- FCA: пресс-релиз, FCA оштрафовала Monzo на 21 млн фунтов за недостатки в контроле финансовых преступлений (8 июля 2025 года)
- FCA: пресс-релиз, FCA оштрафовала Starling Bank на 29 млн фунтов за недостатки в системах и контроле финансовых преступлений (2 октября 2024 года)
Эта тема — наша услуга
Подробнее о том, как мы помогаем платежным и финтех-компаниям:
