Аудит комплаенса: готовность компании к проверке

Что такое независимая проверка комплаенс-системы?

Независимая проверка — это аудит, проводимый лицом, не связанным с операционным управлением компании: внешним консультантом, аудиторской фирмой или специализированным юристом. Её отличие от внутренней проверки — отсутствие конфликта интересов и возможность объективно оценить реальную работу процедур, а не их формальное наличие.

По действующему законодательству КР о ПОД/ФТ субъекты финансового мониторинга — банки, VASP, обменные пункты, платёжные организации, нотариусы, бухгалтерские и юридические фирмы при оказании ряда услуг — обязаны обеспечивать функционирование системы внутреннего контроля. Регуляторы вправе проверять не только наличие политик и правил, но и их практическое исполнение: как фактически проводится идентификация клиентов, ведутся ли записи о транзакциях, подаются ли сообщения о подозрительных операциях.

Независимый аудит позволяет выявить разрывы между формальной документацией и реальной практикой до того, как это сделает регулятор. На практике компании, проходившие внешний аудит перед проверкой ГСФР, устраняли нарушения заблаговременно и избегали крупных предписаний. Разрыв между «политика есть» и «политика работает» — главный источник замечаний при проверках.

Перед началом аудита необходимо определить его предмет: полный охват всей комплаенс-системы или тематическая проверка отдельного направления — например, только санкционного скрининга или только процедур KYC. Объём напрямую влияет на стоимость и сроки работы.

Какой объём охватывает комплаенс-аудит?

Полный аудит комплаенс-системы охватывает несколько взаимосвязанных блоков: нормативную базу компании, организационную структуру, операционные процедуры и документирование. Каждый из них проверяется по-своему.

Блок 1. Нормативная база. Аудитор проверяет актуальность и полноту внутренних документов: политики ПОД/ФТ, правил внутреннего контроля, процедур идентификации клиентов (KYC/CDD/EDD), политики санкционного скрининга, процедур фиксации и хранения сведений. Отдельно оценивается, соответствуют ли документы действующим требованиям КР — в том числе обновлённым стандартам FATF, к которым Кыргызстан адаптирует своё законодательство.

Блок 2. Организационная структура. Проверяется наличие ответственного сотрудника по комплаенсу (compliance officer), его полномочия, прямой доступ к руководству, независимость от бизнес-подразделений. Проверяется, проводилось ли обучение персонала, есть ли записи о нём.

Блок 3. Операционные процедуры. Аудитор выборочно проверяет реальные случаи: как проводилась идентификация конкретных клиентов, применялись ли процедуры усиленной проверки (EDD) к клиентам с повышенным риском, фиксировались ли отказы в обслуживании, как работает санкционный скрининг на практике — а не только на бумаге.

Блок 4. Документирование и хранение. По действующему законодательству КР сведения об идентификации клиентов и операциях хранятся не менее пяти лет. Аудитор проверяет соблюдение этого требования, полноту записей и защиту данных.

Тематический аудит может ограничиваться одним блоком — например, только процедурами скрининга по санкционным спискам. Такой формат быстрее и дешевле, но не даёт полной картины рисков.

Как часто проводить комплаенс-аудит?

Периодичность аудита зависит от категории субъекта, динамики регуляторной среды и результатов предыдущих проверок. Универсального обязательного срока законодательство КР не устанавливает, однако регуляторы ориентируются на риск-ориентированный подход.

Для субъектов с высоким присвоенным риском — VASP, платёжные организации, обменные пункты — аудит рекомендуется проводить не реже одного раза в год. Для субъектов со средним риском — раз в два года. Для компаний, ранее получавших предписания об устранении нарушений, — сразу после истечения срока устранения, чтобы подтвердить его выполнение.

Помимо плановой периодичности существуют триггеры, при наступлении которых аудит проводится внепланово: существенное изменение законодательства КР о ПОД/ФТ, расширение продуктовой линейки или географии деятельности, смена compliance officer, получение новой лицензии, включая VASP-лицензию от Финнадзора, слияние или поглощение.

Мораторий на проверки бизнеса, действующий до 31 декабря 2026 года, не распространяется на надзорные мероприятия ГСФР и НБКР в части ПОД/ФТ — они продолжаются в штатном режиме. Срок предварительного уведомления о плановой проверке — как правило, не менее 10 рабочих дней, что даёт минимальное окно для подготовки. Внеплановые проверки проводятся без предварительного уведомления.

Практическое правило: если с момента последнего аудита прошло более 18 месяцев, а в законодательстве произошли изменения — проверка нужна независимо от отсутствия видимых проблем. Регуляторная среда в части санкционного комплаенса и ПОД/ФТ в Кыргызстане менялась трижды за последние два года.

Что запрашивают ГСФР и Финнадзор при проверке?

Регуляторы при проверке запрашивают документы двух типов: нормативные (политики, правила, регламенты) и операционные (записи о реальных клиентах и операциях). Отсутствие любого из них — основание для замечания.

ГСФР (Государственная служба финансовой разведки) в рамках надзора за соблюдением законодательства о ПОД/ФТ, как правило, запрашивает:

• политику ПОД/ФТ и правила внутреннего контроля с датой последнего обновления;
• перечень сотрудников, прошедших обучение по ПОД/ФТ, и журналы проведённых инструктажей;
• досье клиентов с подтверждением идентификации (паспортные данные, документы юридического лица, бенефициарные владельцы);
• реестр сообщений о подозрительных операциях, поданных в ГСФР, с датами и регистрационными номерами;
• документацию о применении мер усиленной проверки к клиентам с повышенным риском;
• процедуры санкционного скрининга и документальное подтверждение их применения к конкретным клиентам.

Финнадзор при надзорных мероприятиях в отношении VASP и платёжных организаций дополнительно запрашивает:

• политику Travel Rule с описанием технической реализации;
• договоры с AML/KYT-провайдерами и отчёты о результатах мониторинга транзакций;
• процедуры заморозки активов при выявлении совпадений с санкционными списками;
• результаты ежегодного аудита комплаенс-системы, предусмотренного требованиями VASP-лицензии.

Срок предоставления запрошенных документов, как правило, составляет от 5 до 10 рабочих дней. Непредоставление документов в срок рассматривается как самостоятельное нарушение и влечёт отдельные санкции.

Пошаговый чек-лист подготовки к проверке

Подготовка к проверке — это не подбор документов в последний момент, а систематическая работа, которую удобно организовать по этапам.

Как устранить замечания по итогам аудита?

По итогам проверки регулятор выносит предписание с перечнем нарушений и сроками их устранения. Типичный срок — от 30 до 90 календарных дней в зависимости от характера нарушения. Нарушения, связанные с отсутствием документации, устраняются быстрее; нарушения, требующие изменения процессов, — дольше.

Устранение замечаний проводится в три этапа: разработка плана устранения с назначением ответственных и сроков; фактическое устранение; документальное подтверждение устранения для регулятора.

Для каждого замечания план устранения должен содержать конкретное описание мероприятия, ответственное лицо, срок исполнения и форму подтверждения. Расплывчатые формулировки типа «доработать политику» регулятор не принимает — нужно указать, что именно изменяется, кем и когда.

Документальное подтверждение устранения зависит от типа нарушения. Для нарушений по документации — новая версия документа с датой утверждения. Для нарушений по обучению — обновлённые журналы с подписями. Для нарушений по досье — дополненные досье клиентов. Для нарушений по скринингу — описание обновлённой процедуры и техническое подтверждение актуализации списков.

После устранения всех замечаний компания направляет регулятору отчёт с приложением подтверждающих документов. Регулятор вправе провести контрольную проверку для верификации. Повторное выявление аналогичных нарушений влечёт более строгие санкции — вплоть до приостановления действия лицензии для VASP и платёжных организаций.

Практически все нарушения, выявляемые при проверках, можно разделить на три группы: «бумажные» (документы есть, но устаревшие или неполные), «процессные» (документы есть, но на практике не применяются) и «системные» (процедуры отсутствуют в принципе). Первая группа устраняется за 1–2 недели, вторая требует организационных изменений — до 1–2 месяцев, третья — полной разработки системы, что занимает от 2 до 4 месяцев.

Подробнее о защите интересов компании при санкционных рисках — в материале Санкционный скрининг: как защитить интересы компании.

Документы, которые нужно подготовить заранее

Подготовка пакета документов заранее — ключевое конкурентное преимущество при взаимодействии с регулятором. Компании, которые предоставляют документы в первый день проверки, демонстрируют зрелость системы и получают меньше замечаний.

Базовый пакет для любого субъекта финансового мониторинга включает:

• Политика ПОД/ФТ (актуальная версия, утверждённая руководителем);
• Правила внутреннего контроля;
• Процедуры идентификации клиентов (KYC/CDD/EDD);
• Политика санкционного скрининга;
• Положение о compliance officer с описанием полномочий;
• Журналы обучения персонала за последние три года;
• Реестр сообщений о подозрительных операциях;
• Журнал отказов в обслуживании;
• Процедуры хранения сведений с подтверждением пятилетнего срока;
• Результаты последнего внутреннего или внешнего аудита комплаенс-системы.

Для VASP и платёжных организаций дополнительно:

• Политика Travel Rule с описанием технической реализации;
• Договоры с AML/KYT-провайдерами;
• Отчёты AML/KYT-провайдера за последние 12 месяцев;
• Процедуры заморозки активов при совпадении с санкционными списками;
• Результаты обязательного ежегодного аудита, предусмотренного условиями лицензии.

Все документы должны быть в актуальной редакции с указанием даты последнего обновления. Документы без даты или с датой обновления более двух лет назад регулятор воспринимает как несоответствующие актуальным требованиям.

О вторичных санкциях и практике госорганов КР читайте в обзоре Вторичные санкции в КР: практика госорганов и судов.

Типичные ошибки при подготовке к аудиту

Анализ результатов надзорных проверок ГСФР и Финнадзора выявляет несколько устойчивых паттернов нарушений, которые повторяются вне зависимости от размера и сферы деятельности компании.

Ошибка 1. Документы есть, процедуры не работают. Компании разрабатывают политики «для галочки», но не внедряют их в операционную деятельность. Регулятор при проверке сравнивает содержание политики с реальными досье клиентов — расхождение выявляется немедленно. Политика должна описывать то, что реально делается, а не идеальную процедуру.

Ошибка 2. Устаревшие документы. Изменения в законодательстве КР о ПОД/ФТ не отражаются в корпоративных политиках. В результате компания работает по правилам, которые перестали соответствовать актуальным требованиям. Рекомендуется проводить пересмотр документов не реже одного раза в год или при каждом существенном изменении нормативной базы.

Ошибка 3. Неполные досье клиентов. Отсутствие сведений о бенефициарных владельцах, устаревшие паспортные данные, отсутствие документов об источнике средств для высокорисковых клиентов. Это наиболее частое основание для замечаний — встречается в большинстве проверяемых компаний.

Ошибка 4. Отсутствие следов мониторинга. Скрининговые проверки проводятся, но результаты не документируются. Регулятор не может верифицировать, что мониторинг реально осуществлялся. Каждое скрининговое мероприятие должно оставлять задокументированный след: дата, объект проверки, использованные списки, результат.

Ошибка 5. Formalism вместо риск-ориентированности. Все клиенты обрабатываются по одной процедуре независимо от риск-профиля. Риск-ориентированный подход требует применять упрощённые процедуры к клиентам с низким риском и усиленные — к высокорисковым. Формальное отсутствие дифференциации является нарушением даже при полноте документов по каждому клиенту.