Комплаенс для VASP: разбор спора и выводы

Что такое требования к операторам виртуальных активов в КР?

Закон «О виртуальных активах» (с поправками «Тамчы» и изменениями 2025 года) обязывает каждого VASP — будь то криптобиржа, обменник или провайдер кастодиальных услуг — соответствовать комплексу требований Финнадзора. Эти требования выходят далеко за рамки простого получения лицензии: лицензия — лишь точка входа, а не итоговое подтверждение соответствия.

Базовая архитектура требований включает три взаимосвязанных блока. Первый — организационный: наличие ответственного сотрудника по AML/KYC, утверждённых внутренних политик и процедур, механизмов мониторинга транзакций. Второй — технический: серверы в Кыргызстане, интеграция с AML/KYT-провайдером, обязательный поставщик AML-решений, одобренный Финнадзором. Третий — аудиторский: ежегодный независимый аудит комплаенс-системы с передачей отчёта регулятору в установленный срок.

Нарушение в любом из трёх блоков образует самостоятельное основание для предписания. При двух и более нарушениях одновременно регулятор переходит от предписания к более жёстким мерам — приостановлению деятельности или отзыву лицензии. По сложившейся практике Финнадзора, именно совокупность нарушений, а не их отдельная тяжесть, определяет итоговую меру воздействия.

Криптовалюта при этом не является средством платежа в Кыргызстане — это принципиальная особенность регулирования. VASP работает с виртуальными активами как с объектом гражданского оборота, но не как с деньгами. Это означает, что все операции с клиентскими средствами должны быть оформлены через механизм кастодии, а не через расчётный счёт в обычном банковском понимании.

Среди участников рынка распространено заблуждение: раз лицензия выдана — дальше можно работать в прежнем режиме. На практике Финнадзор ведёт непрерывный надзор, и каждый раз, когда VASP не сдаёт аудиторский отчёт в срок или не обновляет AML-политику после изменений в законодательстве, это фиксируется в деле компании.

Кейс: фабула спора — от получения лицензии до предписания

Компания — назовём её условно «Оператор А» — получила VASP-лицензию Финнадзора в установленном порядке: уставный капитал от 40 млн сомов сформирован, документация по AML/KYC представлена, серверы физически размещены в Кыргызстане. На первый взгляд — полный порядок. Через 11 месяцев после старта работы компания получила предписание об устранении нарушений.

Фабула проблемы развивалась в несколько этапов. На этапе лицензирования компания заказала типовой пакет AML-документации у консультанта, не специализирующегося на VASP-регулировании КР. Политики были составлены в целом корректно, но без учёта специфических требований Финнадзора к порогам верификации транзакций и к формату ежегодного аудиторского отчёта. Финнадзор принял документы при выдаче лицензии — это не означало их полного одобрения по существу.

Через восемь месяцев работы пришло время первого ежегодного аудита. Аудитор, которого выбрала компания, не входил в список организаций, одобренных Финнадзором для проведения VASP-аудита. Отчёт был подготовлен и сдан в срок, однако Финнадзор не принял его как надлежащее исполнение обязанности — по причине ненадлежащего аудитора. Параллельно в ходе проверки регулятор установил, что Travel Rule в компании применяется не в полном объёме: для транзакций ниже порогового значения передача данных о бенефициаре контрагенту не осуществлялась вовсе.

Совокупность двух нарушений — ненадлежащий аудит и неполное применение Travel Rule — дала основание для предписания с тридцатидневным сроком на устранение. Компания обратилась к юристам уже после получения предписания, когда счётчик пошёл.

Какие ошибки привели к предписанию Финнадзора?

Разбор кейса показывает три системные ошибки, каждая из которых самостоятельно создаёт регуляторный риск, а в совокупности — почти гарантирует предписание или отзыв лицензии.

Ошибка первая: неверный выбор аудитора. Финнадзор ведёт реестр аудиторских организаций, которым разрешено проводить VASP-аудит. Это не публичный список в обычном смысле — его нужно запрашивать у регулятора или уточнять при лицензировании. Компания не уточнила статус аудитора заранее, посчитав, что любая лицензированная аудиторская фирма подойдёт. Это ошибочное допущение: VASP-аудит — специализированная процедура с отдельными требованиями к методологии и форме отчёта.

Ошибка вторая: неполное применение Travel Rule. Travel Rule по стандарту FATF требует передавать данные об отправителе и получателе транзакции между VASP вне зависимости от суммы, если речь идёт о транзакции между двумя операторами. Компания применяла правило только для транзакций, превышающих определённый порог, — что соответствует практике ряда юрисдикций, но не требованиям Финнадзора КР. Регулятор КР придерживается более строгого подхода: Travel Rule применяется к межоператорским транзакциям без порогового исключения.

Ошибка третья: отсутствие текущего мониторинга изменений. После получения лицензии компания не выстроила процесс отслеживания обновлений нормативной базы Финнадзора. Поправки 2025 года к Закону «О виртуальных активах» уточнили требования к стейблкоинам и RWA-активам — компания продолжала работать по старым политикам. Это создало дополнительный пласт несоответствий, которые были обнаружены при проверке.

Принципиальная особенность: ни одна из трёх ошибок не была очевидной грубой халатностью. Все они — следствие недостаточной специализации консультантов на этапе подготовки к лицензированию и отсутствия системы комплаенс-мониторинга после его получения. Мораторий на проверки бизнеса до 31 декабря 2026 года не распространяется на надзор Финнадзора — VASP-операторы находятся вне периметра защиты моратория.

Как разрешился спор: хронология и результат

После получения предписания у компании было тридцать дней на устранение нарушений. Фактически это означало: переаккредитовать аудитора, провести повторный аудит силами одобренной Финнадзором организации, обновить AML-политику в части Travel Rule и направить обновлённые документы в Финнадзор с сопроводительным письмом об устранении нарушений.

Первые десять дней ушли на анализ ситуации и выработку стратегии. Юристы установили: главный риск — не сам факт нарушений, а то, что повторный аудит при жёстком дедлайне может быть выполнен формально и снова отклонён регулятором. Поэтому параллельно с поиском нового аудитора была проведена внутренняя предаудиторская проверка — чтобы аудитор зашёл уже в систему без критических пробелов.

На двенадцатый день компания направила в Финнадзор промежуточное информационное письмо: план устранения нарушений с конкретными мероприятиями и сроками. Это решение оказалось тактически верным: регулятор зафиксировал активное взаимодействие со стороны VASP, что по сложившейся практике снижает вероятность перехода к более жёстким мерам до истечения срока предписания.

На двадцать пятый день новый аудитор из одобренного Финнадзором реестра завершил проверку и передал отчёт. Обновлённая AML-политика с полным применением Travel Rule была направлена в Финнадзор на двадцать восьмой день — за двое суток до истечения срока.

Финнадзор принял документы и закрыл предписание. Лицензия компании сохранена. Дополнительных санкций применено не было — именно в силу того, что нарушения устранены в срок и при активном взаимодействии с регулятором. Оценивая итог, можно зафиксировать: ситуация разрешилась в пользу компании, но исход легко мог быть иным, если бы предписание проигнорировали или обратились за помощью на двадцать пятый день.

Как надо было действовать с самого начала?

Ретроспективный анализ кейса позволяет выстроить правильную последовательность действий — для тех, кто только готовится к VASP-лицензированию или уже работает с лицензией, но не уверен в состоянии своей комплаенс-системы.

До подачи заявки на лицензию необходимо сформировать не шаблонный, а кастомизированный пакет AML/KYC-документации — с учётом конкретной бизнес-модели VASP. Биржа с маржинальной торговлей и простой обменник имеют принципиально разные профили риска, и их политики должны это отражать. Документы, подготовленные по шаблону для одной модели, могут не покрывать все требования Финнадзора применительно к другой.

Ещё на стадии лицензирования следует согласовать с Финнадзором кандидатуру аудитора. Запрос списка одобренных аудиторских организаций — не бюрократическая формальность, а обязательный шаг, который экономит время и деньги. Аудитор, не входящий в реестр, делает работу впустую — его отчёт регулятором не принимается.

Travel Rule требует отдельной технической проработки. Недостаточно написать в политике, что правило применяется, — необходимо встроить его в операционный процесс: настроить систему таким образом, чтобы при каждой межоператорской транзакции данные о бенефициаре передавались автоматически без ручного решения сотрудника. Финнадзор при проверке смотрит на фактические транзакционные логи, а не на текст политики.

После получения лицензии комплаенс-мониторинг должен быть выстроен как регулярный процесс, а не разовое мероприятие. Практически это означает: назначенный ответственный за AML/KYC отслеживает обновления нормативной базы Финнадзора, инициирует актуализацию политик при изменениях законодательства и не менее чем за три месяца до окончания аудиторского года запускает подготовку к следующему аудиту. Годовой аудит — не проверка задним числом, а подтверждение текущего состояния системы.

Travel Rule для VASP в Кыргызстане: что нужно знать на практике?

Travel Rule — требование FATF, обязывающее VASP передавать идентификационные данные отправителя и получателя при переводе виртуальных активов между операторами. В Кыргызстане это требование закреплено в Законе «О виртуальных активах» и детализировано в нормативных актах Финнадзора. Позиция регулятора КР жёстче, чем во многих других юрисдикциях: пороговых исключений для межоператорских транзакций нет.

На практике реализация Travel Rule требует технического решения — протокола обмена данными между VASP. Наиболее распространённые технические стандарты — TRP, TRISA, OpenVASP — позволяют передавать данные в автоматическом режиме при условии, что оба оператора подключены к совместимой системе. Финнадзор не предписывает конкретный протокол, но требует, чтобы выбранное решение обеспечивало полноту и безопасность передачи данных.

Отдельный вопрос — транзакции с неидентифицированными кошельками (unhosted wallets). По действующему регулированию VASP обязан применять повышенный контроль при транзакции с таким кошельком: запросить у клиента подтверждение владения адресом, зафиксировать это в системе мониторинга. Игнорирование unhosted wallets — одна из распространённых причин предписаний Финнадзора в 2025–2026 годах.

С практической точки зрения VASP должен регулярно — не реже одного раза в квартал — проверять, что Travel Rule-логика в операционной системе работает корректно: нет транзакций, прошедших без передачи данных; нет технических ошибок в интеграции с AML/KYT-провайдером. Такая внутренняя верификация занимает несколько часов, но существенно снижает вероятность того, что проверочный визит Финнадзора выявит системный сбой.

Для компаний, работающих с российскими клиентами или контрагентами из юрисдикций под международными ограничениями, Travel Rule приобретает дополнительное измерение — санкционный скрининг. Каждая транзакция должна проходить сверку со списками лиц и организаций, попавших под ограничения. Подробнее об этом — в материале «Санкционный скрининг: как защитить интересы компании».

Ежегодный аудит VASP: процедура и типичные нарушения

Ежегодный аудит комплаенс-системы — обязательное требование для каждого действующего VASP в Кыргызстане. Срок проведения отсчитывается от даты получения лицензии: аудит должен быть завершён и отчёт представлен в Финнадзор в течение года с момента выдачи лицензии, а далее — ежегодно. Опоздание с представлением отчёта само по себе является нарушением — вне зависимости от содержания отчёта.

Аудитор должен входить в реестр организаций, одобренных Финнадзором для проведения VASP-аудита. Перечень этих организаций формируется регулятором и может обновляться — его следует запрашивать актуальной версией перед каждым аудиторским циклом. Аудитор, работавший с компанией в прошлом году, мог быть исключён из реестра в текущем году.

Предмет аудита охватывает четыре ключевые области: полноту и актуальность AML/KYC-политик; соответствие операционных процессов задокументированным политикам; техническую корректность работы Travel Rule; качество и полноту операций KYT (Know Your Transaction) — мониторинга транзакций в реальном времени. Аудитор не проверяет финансовую отчётность компании — это другая процедура.

Типичные нарушения, которые выявляются при аудите: политики не обновлялись после изменений законодательства; KYC-процедуры документированы, но на практике не применяются или применяются непоследовательно; в логах транзакций есть записи без обязательных данных о контрагенте; система мониторинга настроена на пороговые значения, отличные от требований Финнадзора.

Рекомендуемый подход: за три месяца до аудита проводить внутреннюю предаудиторскую проверку силами ответственного за AML/KYC. Это позволяет устранить выявленные несоответствия до прихода внешнего аудитора и получить чистый отчёт. Компании, которые инвестируют время во внутренний предаудит, как правило, проходят ежегодный аудит Финнадзора без замечаний.

Стоимость аудита определяется договором с аудиторской организацией и зависит от масштаба деятельности VASP и объёма проверяемых данных. Финнадзор не устанавливает фиксированный тариф — рыночные ставки следует уточнять у одобренных аудиторов. При выборе аудитора ориентируйтесь прежде всего на наличие в реестре Финнадзора, а не на ценовой фактор.

Уставный капитал и структура лицензирования VASP в 2026 году

Финнадзор лицензирует несколько видов деятельности с виртуальными активами, и требования к уставному капиталу зависят от типа лицензии. Криптобиржа — оператор, осуществляющий торговлю виртуальными активами на организованной площадке, — должна располагать уставным капиталом от 100 млн сомов. Обменник виртуальных активов — оператор, предоставляющий услуги обмена между виртуальными активами и фиатными деньгами или между разными видами виртуальных активов, — должен располагать уставным капиталом от 40 млн сомов.

Срок получения лицензии на практике составляет от одного до трёх месяцев — официальный срок рассмотрения заявки короче, но фактическое время увеличивается из-за итераций по доработке документации. Лицензия выдаётся сроком на пять лет; продление — отдельная процедура с повторной проверкой соответствия.

Серверы компании должны быть физически расположены в Кыргызстане. Это требование проверяется Финнадзором как при лицензировании, так и в ходе надзорных мероприятий. Использование зарубежных облачных платформ без физической инфраструктуры в КР — нарушение, которое выявляется при первом же визите регулятора.

После поправок «Тамчы» и изменений 2025 года регулирование распространилось на стейблкоины и RWA-активы (токены реальных активов). Компании, работающие с этими инструментами, должны иметь отдельные процедуры верификации, учитывающие специфику эмитента стейблкоина или базового актива RWA. Типовые AML-политики, разработанные до 2025 года, эту специфику, как правило, не покрывают.

Разграничение между платёжной лицензией НБКР и VASP-лицензией Финнадзора — важный структурный момент для компаний, работающих на стыке традиционных платежей и виртуальных активов. Это два разных документа от двух разных регуляторов. Наличие одного не заменяет другой. Компании, принимающие фиатные деньги и конвертирующие их в виртуальные активы, могут нуждаться в обеих лицензиях одновременно — вопрос зависит от конкретной бизнес-модели.

Санкционный комплаенс и VASP: дополнительный уровень требований

Помимо AML/KYC и Travel Rule, VASP в Кыргызстане подпадает под требования санкционного комплаенса. Закон «О ПОД/ФТ» обязывает операторов виртуальных активов проводить санкционный скрининг — проверку клиентов и транзакций по актуальным спискам лиц, попавших под международные и национальные ограничения.

Требование не ограничивается разовой проверкой при открытии клиентского аккаунта. Скрининг должен быть непрерывным: если лицо включается в санкционный список уже после прохождения KYC, VASP обязан выявить это и заморозить операции. Это требует либо интеграции с поставщиком данных о санкционных списках в режиме реального времени, либо регулярного пакетного скрининга базы клиентов.

Для VASP, обслуживающих клиентов из России или других юрисдикций с высоким санкционным профилем, уровень операционной осторожности объективно выше. Речь идёт не о запрете на обслуживание — а о повышенной верификации и документировании каждой транзакции. Материалы по этой теме собраны в «Санкционный скрининг в Кыргызстане: 15 вопросов и ответов».

Финнадзор при надзорных проверках обращает внимание на то, задокументировано ли решение компании по каждому клиенту с повышенным риском. Отсутствие документирования — даже при фактически правильном решении — создаёт доказательную проблему: регулятор не может убедиться, что решение принималось осознанно, а не случайно.

Санкционный комплаенс — это область, где ошибки создают не только регуляторные, но и репутационные последствия для самой фирмы. По этой причине материалы БЕКЕМ по комплаенсу ориентированы на снижение рисков и соблюдение требований — а не на поиск обходных путей, которые создают гораздо большую уязвимость. Подробный обзор этой темы доступен на странице «Санкционный комплаенс в Кыргызстане: гид для бизнеса».

Как VASP должен реагировать на предписание Финнадзора?

Предписание Финнадзора — это документ с конкретным сроком на устранение нарушений. Стандартный срок — тридцать дней с даты получения. Пропуск срока автоматически создаёт основание для более жёстких мер: приостановления деятельности или отзыва лицензии. Обжалование предписания в судебном порядке возможно, но не приостанавливает срок — это критически важно понимать.

Первый шаг при получении предписания — немедленный юридический анализ. Необходимо точно установить: что именно является нарушением по версии Финнадзора; какие доказательства у регулятора; что именно требуется представить для подтверждения устранения нарушений. Ответы на эти вопросы определяют план действий на следующие тридцать дней.

Промежуточное взаимодействие с регулятором — направление информационного письма с планом устранения нарушений — по сложившейся практике снижает вероятность превентивных жёстких мер до истечения срока. Финнадзор расценивает такое взаимодействие как сигнал готовности к устранению проблем, а не как игнорирование предписания.

Если нарушения объективно невозможно устранить в тридцатидневный срок — например, повторный аудит с одобренным аудитором технически занимает больше времени — необходимо направить в Финнадзор мотивированное ходатайство о продлении срока. Регулятор может удовлетворить его при наличии объективных оснований. Ходатайство без обоснования, как правило, не рассматривается.

После устранения нарушений компания направляет в Финнадзор пакет документов: обновлённые политики, аудиторский отчёт, технические подтверждения внедрения Travel Rule — и сопроводительное письмо с перечнем устранённых нарушений. Регулятор рассматривает пакет и направляет уведомление о закрытии предписания или о необходимости дополнительных материалов.