Комплаенс для VASP: на что обратить внимание в 2026 году

Что изменилось в регулировании VASP в 2026 году?

Финнадзор — Служба регулирования и надзора за финансовым рынком — последовательно ужесточает требования к операторам виртуальных активов. В 2025 году регулятор отозвал лицензии у ряда VASP: причиной стали дефекты AML-политик и несоблюдение требований по хранению серверов на территории Кыргызстана. В 2026 году надзорное давление не ослабло.

Закон «О виртуальных активах» с поправками «Тамчы» и последующими изменениями 2025 года сформировал три уровня регуляторных ожиданий. Первый — организационный: наличие утверждённых внутренних политик AML/KYC, назначенного ответственного офицера по комплаенсу, зарегистрированного юридического адреса и серверной инфраструктуры в КР. Второй — операционный: мониторинг транзакций в реальном времени, скрининг клиентов по санкционным спискам, ведение записей за последние пять лет. Третий — отчётный: ежеквартальные отчёты в Финнадзор и обязательный ежегодный независимый аудит.

Лицензия VASP действует пять лет, однако Финнадзор вправе приостановить или отозвать её досрочно при выявлении систематических нарушений. Рассмотрение заявки на первичную лицензию занимает в среднем от одного до трёх месяцев — в зависимости от полноты пакета документов и загруженности регулятора.

Ежегодный аудит: требования и порядок проведения

Обязательный ежегодный аудит — одно из ключевых нововведений для VASP в Кыргызстане. Аудит должен проводить независимый аудитор, не аффилированный с проверяемой организацией. Его предмет — соответствие комплаенс-системы требованиям действующего законодательства КР и внутренних политик самого оператора.

По результатам аудита составляется заключение, которое VASP обязан передать в Финнадзор. Срок передачи — в соответствии с регуляторным календарём, установленным Финнадзором для конкретной категории лицензиата. Нарушение сроков влечёт предписание об устранении нарушений, а при повторном — может стать основанием для приостановления лицензии.

На практике подготовка к аудиту требует минимум двух-трёх месяцев. За это время необходимо актуализировать политики AML/KYC, проверить полноту клиентских досье, убедиться в корректности журналов транзакций и обновить оценку рисков. Компании, которые откладывают подготовку до уведомления от аудитора, как правило, получают существенные замечания — устранение которых затем занимает дополнительное время и ресурсы.

Для VASP, работающих со стейблкоинами и токенизированными реальными активами (RWA), объём аудита шире: аудитор дополнительно проверяет механизмы обеспечения обязательств и соответствие новым требованиям поправок 2025 года.

Travel Rule: как исполнять на практике?

Travel Rule обязывает VASP передавать информацию об отправителе и получателе вместе с каждой транзакцией виртуальных активов, превышающей установленный порог. Требование следует из стандартов FATF и закреплено в действующем законодательстве КР о ПОД/ФТ.

На практике это означает: при каждом переводе виртуальных активов между VASP оба оператора — инициирующий и принимающий — обязаны обменяться данными о бенефициаре и отправителе. Передача данных должна происходить до завершения транзакции или одновременно с ней. Нарушение Travel Rule — один из наиболее частых поводов для предписаний Финнадзора.

Технически исполнение Travel Rule требует подключения к одному из протоколов межоператорского обмена данными, совместимых с требованиями FATF. Выбор протокола — коммерческое решение оператора, однако он должен обеспечивать шифрование, аутентификацию контрагента и ведение журнала передач. Финнадзор вправе запросить журналы при проверке.

Отдельная сложность — транзакции с неидентифицированными кошельками (unhosted wallets). По действующему законодательству КР VASP обязан применять усиленную проверку при работе с такими кошельками и документировать принятые меры. Срок хранения документации — не менее пяти лет.

Санкционный скрининг и AML: минимальный стандарт для VASP

Скрининг клиентов по санкционным спискам — обязательный элемент AML-системы любого VASP в Кыргызстане. Проверке подлежат как физические лица, так и юридические структуры: при первичной идентификации, при каждом пополнении или выводе средств и при обнаружении подозрительной активности.

Минимальный набор списков для скрининга включает перечни ООН, а также списки, применение которых предусмотрено действующим законодательством КР о ПОД/ФТ. VASP, работающие с клиентами из юрисдикций с повышенным риском, обязаны применять расширенный скрининг — в том числе проверку по спискам OFAC, ЕС и иных регуляторов, с которыми взаимодействуют контрагенты оператора.

Результаты скрининга фиксируются в клиентском досье. При совпадении — транзакция блокируется, в Государственную службу финансовой разведки при Министерстве финансов КР направляется сообщение о подозрительной операции. Срок направления сообщения — в соответствии с требованиями Закона «О ПОД/ФТ». Подробнее о санкционном скрининге — в материале «Санкционный скрининг в Кыргызстане: 15 вопросов и ответов».

Дополнительные материалы по теме: руководство по санкционному скринингу, практика госорганов по вторичным санкциям, а также полный гид по санкционному комплаенсу в Кыргызстане. Общий обзор аналитики БЕКЕМ — на странице раздела аналитики.