Руководство: AML/KYC и Travel Rule для VASP в КР

Шаг 1. Разработайте программу ПОД/ФТ как основной документ

Программа внутреннего контроля по противодействию отмыванию доходов и финансированию терроризма — обязательный документ для каждого VASP. Финнадзор проверяет его наличие и содержание при выдаче лицензии и в ходе надзорных мероприятий. Отсутствие утверждённой программы — одна из ключевых причин массовых отзывов лицензий у VASP в 2025 году.

Программа должна описывать полный цикл: от идентификации клиента при открытии счёта до действий при выявлении подозрительной операции. Она не должна быть формальным документом «для галочки» — надзорный орган оценивает реальное применение процедур, а не текст на бумаге. Правильно выстроенная программа защищает не только от регуляторных рисков, но и от операционных: сотрудники знают, что делать в нестандартных ситуациях.

Структура программы включает несколько обязательных разделов. Первый — политика принятия клиентов (Customer Acceptance Policy): критерии, при которых VASP отказывает в обслуживании или устанавливает повышенный контроль. Второй — процедуры должной осмотрительности (Customer Due Diligence, CDD): перечень документов, порядок верификации, сроки обновления данных. Третий — порядок мониторинга транзакций и отчётности о подозрительных операциях. Четвёртый — регламент Travel Rule. Пятый — порядок обучения персонала и проведения аудита.

Программу утверждает руководитель организации. Изменения вносятся при каждом существенном изменении регуляторных требований — на практике это означает ежегодный пересмотр как минимум. Финнадзор требует, чтобы актуальная версия документа всегда была доступна для проверки.

Параллельно с программой назначается ответственный сотрудник по ПОД/ФТ (Compliance Officer). Это отдельная должность — совмещение с операционными функциями допустимо только для малых VASP, но создаёт конфликт интересов. Ответственный должен иметь прямой доступ к руководству и право приостанавливать операции при наличии оснований.

Шаг 2. Как правильно выстроить KYC-процедуры?

KYC (Know Your Customer) — ядро системы ПОД/ФТ. Процедура идентификации клиента запускается до начала обслуживания и повторяется при существенных изменениях в профиле клиента или при достижении пороговых значений операций. Закон «О ПОД/ФТ» устанавливает обязательность идентификации — конкретные пороги и форматы детализируются в нормативных актах Финнадзора.

Для физических лиц базовый пакет включает: документ, удостоверяющий личность (паспорт, свидетельство о рождении для несовершеннолетних), ИНН, подтверждение адреса. Для нерезидентов — дополнительно документы, подтверждающие источник средств при операциях выше установленных порогов. Удалённая идентификация допустима при использовании сертифицированных инструментов электронной верификации личности.

Для юридических лиц пакет шире: учредительные документы, выписка из реестра (не старше трёх месяцев), сведения о бенефициарных владельцах с долей от 10% и выше, документы на руководителя, образцы подписей. Бенефициарный владелец — ключевое понятие: VASP обязан установить конечного физического лица, контролирующего клиента, даже если между ними несколько уровней корпоративной структуры.

Упрощённая идентификация применяется для операций ниже установленных порогов. Усиленная — для клиентов из юрисдикций высокого риска, политически значимых лиц (PEP) и клиентов с нетипичными паттернами активности. ПВТ-резидентура VASP не освобождает от требований усиленной проверки — режим ПВТ даёт налоговые льготы, но не регуляторные послабления по ПОД/ФТ.

Проверка по санкционным спискам — отдельная процедура, которая проводится при каждой операции, а не только при открытии счёта. Финнадзор в 2025–2026 годах требует подключения к актуальным базам данных с автоматической сверкой. Ручная проверка приемлема только для VASP с минимальным объёмом операций — при масштабировании бизнеса она становится операционным риском.

Travel Rule — стандарт FATF, требующий передачи информации об отправителе и получателе при переводах виртуальных активов. Данные платёжного сообщения давно применяются в традиционных банках; для VASP это новая обязанность, внедрённая через Закон «О ПОД/ФТ» и нормативы Финнадзора. ПВТ-резидентура VASP не освобождает от этих обязательств.

Шаг 3. Настройте мониторинг транзакций

Текущий мониторинг операций позволяет выявлять подозрительную активность в режиме реального времени или с минимальной задержкой. Законодательство КР о ПОД/ФТ устанавливает обязанность VASP сообщать о подозрительных операциях в Государственную службу финансовой разведки при Министерстве финансов КР (ГСФР) — независимо от суммы операции.

Критерии подозрительных операций разрабатываются VASP самостоятельно на основе типологий, публикуемых FATF и ГСФР. Типичные триггеры: дробление операций (структурирование) для обхода порогов идентификации; многократные переводы между связанными кошельками без очевидной экономической цели; операции с адресами из юрисдикций высокого риска или из чёрных списков блокчейн-аналитики; резкое увеличение объёма операций без подтверждённого источника средств.

Автоматизированная система мониторинга транзакций — не юридическое требование, но фактический стандарт для любого VASP с операционным объёмом выше минимального. Финнадзор при проверке оценивает, способен ли VASP реально выявлять подозрительные операции. Ручной мониторинг при тысячах транзакций в сутки — очевидная уязвимость при надзорной проверке.

Система должна фиксировать не только флаги, но и действия персонала после их возникновения: кто рассмотрел алерт, какое решение принято, в какие сроки. Документирование этой цепочки — доказательство добросовестности VASP при возможных претензиях регулятора. Срок рассмотрения алерта внутренними правилами, как правило, устанавливается не более двух рабочих дней.

Подключение к сертифицированному AML/KYT-провайдеру — отдельное требование Финнадзора для VASP в КР. Провайдер анализирует блокчейн-транзакции и присваивает адресам рейтинги риска. При высоком рейтинге VASP обязан принять меры — заморозить операцию, запросить дополнительные документы или сообщить в ГСФР. Финнадзор в 2025 году отзывал лицензии, в том числе за отсутствие подтверждённого договора с AML/KYT-провайдером.

Шаг 4. Что требует Travel Rule и как его выполнить?

Travel Rule обязывает VASP передавать информацию об инициаторе и бенефициаре перевода другому VASP — получателю средств. Это прямое применение Рекомендации 16 FATF к виртуальным активам. Для VASP в КР требование стало обязательным после вступления в силу соответствующих поправок к Закону «О ПОД/ФТ» и нормативов Финнадзора.

Минимальный набор данных при переводе включает: полное имя отправителя; номер счёта или идентификатор кошелька отправителя; адрес или дата и место рождения отправителя; полное имя получателя; идентификатор кошелька получателя. При переводах на адрес неидентифицированного кошелька (unhosted wallet) VASP обязан принять дополнительные меры — установить связь между кошельком и клиентом.

Техническая реализация Travel Rule — задача, с которой сталкивается каждый VASP при построении системы. На рынке существует несколько протоколов и платформ для передачи данных между VASP: TRISA, OpenVASP, TRUST и другие. Выбор зависит от географии операций, состава контрагентов и бюджета. Ни один из протоколов не является обязательным по закону КР — важна сама передача данных в установленном объёме.

Проблема совместимости систем — реальная операционная сложность. Если VASP-получатель не подключён ни к одному из протоколов, передача данных технически невозможна. В этом случае VASP-отправитель должен сохранить данные у себя и передать их по запросу уполномоченного органа. Это не освобождает от обязанности попытаться передать данные и задокументировать попытку.

Пороговое значение, выше которого применяется Travel Rule, устанавливается нормативами Финнадзора. Операции ниже порога подпадают под упрощённый режим, однако данные об отправителе всё равно должны собираться и храниться. Внутренние правила VASP должны чётко разграничивать режимы для разных диапазонов сумм.

Шаг 5. Организуйте отчётность перед Финнадзором и ГСФР

VASP в КР отчитывается перед двумя органами: Финнадзором (регулятор рынка виртуальных активов) и ГСФР (финансовая разведка). Финнадзор получает периодическую отчётность о деятельности VASP и результатах внутреннего контроля. ГСФР — сообщения о подозрительных операциях и операциях, подлежащих обязательному контролю.

Сообщение о подозрительной операции направляется в ГСФР в установленный срок с момента выявления оснований — как правило, не позднее одного рабочего дня. Задержка или непредставление сообщения — нарушение, за которым следует предписание регулятора или отзыв лицензии при систематических случаях. Факт направления сообщения фиксируется и хранится в системе внутреннего контроля.

Обязательному контролю подлежат операции с виртуальными активами при достижении пороговых сумм — независимо от наличия признаков подозрительности. VASP обязан собрать полный пакет идентификационных данных и направить сведения в ГСФР. Перечень таких операций определяется Законом «О ПОД/ФТ» и нормативами ГСФР.

Взаимодействие с Финнадзором и ГСФР ведётся через уполномоченного сотрудника — Compliance Officer или назначенного заместителя. Контакты этого лица регистрируются у регуляторов. При проверке регулятор взаимодействует именно с ним — отсутствие назначенного сотрудника или его недоступность создают дополнительные риски при надзорных визитах.

Финнадзор вправе запросить внеплановую отчётность при наличии оснований. VASP обязан предоставить её в установленный в запросе срок. Практика 2025–2026 годов показывает: VASP, выстроившие прозрачную систему отчётности и поддерживающие оперативное взаимодействие с регулятором, проходят надзорные проверки значительно легче, чем те, кто предоставляет документы по минимуму.

Шаг 6. Установите регламент хранения документов

Законодательство КР о ПОД/ФТ устанавливает минимальный срок хранения документов и записей о транзакциях — не менее пяти лет с момента завершения деловых отношений с клиентом или проведения операции. Это требование распространяется как на идентификационные данные клиентов, так и на записи о всех операциях, включая отклонённые.

Формат хранения — электронный или на бумажном носителе — законодательство не ограничивает. Однако практика регуляторных проверок показывает, что Финнадзор ожидает возможности оперативного предоставления запрошенных документов. Архив, доступный только через ИТ-поддержку в течение нескольких дней, — операционный риск при внеплановой проверке.

Отдельно хранятся: досье клиентов (KYC-документы, результаты проверок, история обновлений), записи о транзакциях (дата, сумма, контрагент, статус), сообщения в ГСФР и ответы на них, результаты мониторинга алертов, материалы обучения персонала, отчёты аудиторов. Каждая из этих категорий имеет собственное значение при надзорной проверке.

Хранение данных клиентов на серверах за пределами КР создаёт дополнительные риски. Требование Финнадзора о размещении серверов VASP в Кыргызстане, закреплённое в условиях лицензирования, касается не только операционных систем, но и архивов данных. При использовании облачных решений с зарубежными дата-центрами необходимо юридическое подтверждение соответствия этому требованию.

Шаг 7. Обеспечьте обучение персонала и культуру комплаенса

Программа обучения по ПОД/ФТ обязательна для всех сотрудников VASP, контактирующих с клиентами или обрабатывающих транзакции. Новые сотрудники проходят вводный инструктаж до начала самостоятельной работы. Все сотрудники — ежегодное обновление знаний с документированием результатов.

Содержание обучения охватывает: типологии отмывания через виртуальные активы, процедуры идентификации и проверки клиентов, признаки подозрительных операций, порядок действий при выявлении алерта, требования Travel Rule, ответственность за нарушения. Финнадзор при проверке может запросить материалы обучения и журналы посещаемости.

Культура комплаенса — не абстракция, а операционный стандарт. Сотрудник, знающий, что делать при обнаружении подозрительной операции, — это не только выполнение требований регулятора, но и защита компании от санкций. Внутренняя политика информирования (whistleblowing) позволяет сотрудникам сообщать о нарушениях без риска для себя — её наличие является признаком зрелой системы комплаенса.

Travel Rule — стандарт, требующий понимания на уровне операционных сотрудников, а не только юристов. Сотрудник, обрабатывающий перевод, должен знать, какие данные нужны и что делать, если система контрагента не поддерживает протокол передачи. Практические кейсы в обучении эффективнее теоретических описаний.

Шаг 8. Пройдите ежегодный аудит системы ПОД/ФТ

Ежегодный аудит системы ПОД/ФТ — обязательное требование для VASP в КР. Аудит проводится независимым аудитором, который оценивает полноту и практическое применение внутренних процедур, качество KYC-документации, функционирование системы мониторинга, соблюдение требований Travel Rule и отчётности. Результаты аудита направляются в Финнадзор.

Независимость аудитора — ключевое условие. Аудитор не должен быть аффилирован с VASP или участвовать в разработке проверяемых процедур. На практике VASP в КР используют как местных аудиторов с профилем финансового комплаенса, так и международные компании, присутствующие в регионе. Финнадзор не публикует список аккредитованных аудиторов, однако вправе оценить квалификацию аудитора при рассмотрении отчёта.

Аудит — не формальная процедура. Его задача — выявить реальные уязвимости до того, как их обнаружит регулятор. По итогам аудита VASP разрабатывает план устранения выявленных нарушений с конкретными сроками. Финнадзор при следующей проверке оценивает не только отчёт аудитора, но и выполнение плана устранения.

Подготовка к аудиту начинается за несколько месяцев: обновление внутренней документации, актуализация KYC-досье клиентов, проверка соответствия реальных процедур описанным в программе ПОД/ФТ. Разрыв между формальными документами и фактической практикой — наиболее частая проблема, выявляемая при аудите. Своевременное устранение этого разрыва занимает значительно меньше ресурсов, чем реагирование на предписание Финнадзора.

Помимо ежегодного аудита, рекомендуется проводить внутреннюю проверку системы ПОД/ФТ при существенных изменениях в деятельности VASP: расширении продуктовой линейки, выходе на новые рынки, изменении регуляторных требований. Внутренняя проверка не заменяет внешний аудит, но позволяет оперативно выявить несоответствия.