Комплаенс для VASP для иностранной компании в КР

Почему нерезиденту сложнее получить VASP-лицензию в Кыргызстане?

Кыргызстан остаётся одной из немногих юрисдикций ЕАЭС, где оборот виртуальных активов легализован и находится под регуляторным надзором. Базовая правовая рамка — Закон «О виртуальных активах» с поправками «Тамчы» и актами Финнадзора. Для нерезидента это означает обязательную регистрацию местного юридического лица либо прохождение отдельной процедуры аккредитации иностранного оператора.

Финнадзор не выдаёт лицензии VASP напрямую иностранным компаниям без местного присутствия. Требование о наличии юридического адреса в КР, локальных серверов и назначенного ответственного лица по ПОД/ФТ означает, что нерезидент вынужден создавать ОсОО или дочернюю структуру. Регистрация ОсОО через Минюст занимает в среднем 5 рабочих дней, уставный капитал — от 1 сома, однако для криптобиржи требования к капиталу принципиально иные.

Минимальный уставный капитал для криптобиржи составляет 100 млн сомов (около $1,15 млн), для обменника — 40 млн сомов (около $460 тыс.). Это порог именно для местного юридического лица-лицензиата. Иностранный учредитель может владеть 100% долей ОсОО — ограничений по стране происхождения капитала законодательство КР не устанавливает, однако на практике Финнадзор запрашивает документы о происхождении средств в рамках KYC-процедуры к самому лицензиату.

Дополнительная сложность для нерезидентов — необходимость нотариально заверенного перевода всех корпоративных документов материнской компании. Речь идёт об уставе, выписках из реестра, документах о бенефициарном владении. На практике сбор и легализация этого пакета занимают от 4 до 8 недель в зависимости от страны регистрации. Правило 183 дней определяет, в какой стране вы платите налог на прибыль — это существенно при построении корпоративной структуры для VASP-бизнеса.

С 2025 года Финнадзор проводит массовые проверки действующих лицензиатов. Нарушения в AML-политиках — главная причина отзыва лицензий. Для нерезидента, чья материнская компания уже работает на других рынках, это означает необходимость разработки отдельной политики ПОД/ФТ под требования КР, а не адаптации существующей.

Что требует Финнадзор при подаче заявки на лицензию VASP?

Финнадзор рассматривает заявку на лицензию VASP в срок от 1 до 3 месяцев. Пакет документов для нерезидентного учредителя шире стандартного — регулятор проверяет как саму создаваемую компанию, так и её иностранного владельца.

Базовый пакет документов включает: учредительные документы ОсОО, подтверждение формирования уставного капитала, документы о деловой репутации и профессиональном опыте руководителей, политику ПОД/ФТ и внутренние регламенты AML/KYC, технический план обеспечения серверной инфраструктуры в КР, договор с провайдером AML/KYT-услуг. Финнадзор требует именно физическое размещение серверов на территории КР — виртуальное присутствие или облачные решения с зарубежным хостингом не принимаются.

Для нерезидентного учредителя дополнительно потребуются: нотариально заверенные и апостилированные корпоративные документы иностранной компании (устав, выписка из реестра, документы о структуре собственности), документы о происхождении средств для формирования уставного капитала, справки об отсутствии судимости и административных взысканий в отношении бенефициаров. Все документы, составленные не на русском языке, переводятся нотариально.

Отдельное внимание регулятор уделяет политике KYC. Она должна описывать порядок идентификации клиентов, процедуры Enhanced Due Diligence для клиентов из высокорисковых юрисдикций, механизмы мониторинга транзакций и принципы риск-ориентированного подхода. Шаблонные документы, скопированные с других рынков, Финнадзор, как правило, возвращает на доработку — это одна из ключевых причин затягивания процесса получения лицензии.

Срок действия лицензии VASP — 5 лет. После получения лицензии компания обязана ежегодно проходить аудит и предоставлять отчётность в Финнадзор. Сроки продления и конкретные условия определяются в лицензионном соглашении. Лицензионный сбор уплачивается по действующему тарифу Финнадзора.

Как работает Travel Rule для VASP в Кыргызстане?

Travel Rule — требование передавать информацию об отправителе и получателе при переводах виртуальных активов выше установленного порога — обязателен для всех VASP, лицензированных в КР. Это FATF-стандарт, который Финнадзор имплементировал в требования к лицензиатам через положения Закона «О виртуальных активах» и нормативные акты о ПОД/ФТ.

На практике это означает, что VASP обязан: при каждом переводе выше порогового значения собирать данные об инициаторе транзакции (имя, идентификатор, адрес кошелька) и передавать их VASP-получателю, а также хранить эти данные в соответствии с требованиями по срокам хранения. Для исходящих транзакций оператор несёт ответственность за полноту переданных данных. Для входящих — за верификацию полученных.

Ключевая проблема для иностранных операторов — взаимодействие с контрагентами из юрисдикций, где Travel Rule ещё не имплементирован или имплементирован иначе. Финнадзор ожидает от лицензиатов наличия политики работы с «неответными» контрагентами: что делать, если другой VASP не передаёт требуемую информацию. Отсутствие такой политики фиксируется как нарушение при проверках.

Технически Travel Rule реализуется через протоколы межоператорного обмена (IVMS 101 или аналоги). Финнадзор не предписывает конкретного технического решения, но требует документально подтверждённого договора с провайдером соответствующего решения ещё на этапе подачи заявки на лицензию. Travel Rule обязателен для всех VASP в Кыргызстане — без него лицензия под угрозой отзыва.

Нерезидентам, уже работающим на других рынках с имплементированным Travel Rule, формально проще — у них, как правило, уже есть техническое решение. Задача сводится к настройке под требования КР и документарному оформлению. Однако если материнская компания использует решение, несовместимое с партнёрами в ЕАЭС, потребуется либо замена провайдера, либо построение параллельного канала передачи данных.

Требования к AML/KYC-политике: что проверяет Финнадзор?

AML/KYC-политика — центральный документ комплаенс-системы VASP в КР. Финнадзор оценивает её не как формальный регламент, а как функционирующую систему, подкреплённую внутренними процессами и назначенным персоналом.

Политика должна охватывать несколько блоков. Первый — идентификация клиентов (Customer Identification Program): порядок сбора и верификации документов при онбординге, критерии усиленной проверки, порядок работы с публичными должностными лицами (PEP) и их аффилированными лицами. Для иностранной компании с клиентской базой из разных юрисдикций это означает настройку под несколько правовых систем одновременно.

Второй блок — постоянный мониторинг транзакций. Политика должна описывать автоматизированные инструменты мониторинга, пороги срабатывания, порядок ручной проверки подозрительных операций и процедуру формирования сообщений о подозрительных операциях (СПО) в Государственную службу финансовой разведки (ГСФР). Это обязательный элемент взаимодействия VASP с финансовой разведкой — нарушение влечёт санкции вплоть до отзыва лицензии.

Третий блок — управление рисками: методология оценки риска клиента, продукта и географии. Финнадзор ориентируется на рекомендации FATF, согласно которым клиенты из юрисдикций с повышенным риском требуют Enhanced Due Diligence. Для нерезидентного оператора с российскими или европейскими клиентами это приобретает особое значение в условиях санкционного давления 2026 года.

Четвёртый блок — обучение персонала. Политика должна предусматривать регулярные тренинги сотрудников по вопросам ПОД/ФТ, фиксацию результатов и ответственность за несоблюдение. На практике Финнадзор при проверках запрашивает журналы проведённых обучений. Для небольших команд, где функции VASP выполняют 2–3 человека, это нередко становится неожиданным требованием.

Обязательный элемент — назначение ответственного специалиста по ПОД/ФТ (Compliance Officer). Это штатная должность, не совмещаемая с функциями генерального директора по требованию регулятора. Специалист должен обладать профильной квалификацией — Финнадзор вправе запросить подтверждающие документы. Для иностранного оператора поиск квалифицированного Compliance Officer на локальном рынке КР — отдельная операционная задача.

Ежегодный аудит VASP: кто проводит и что проверяет?

Ежегодный обязательный аудит — требование, которое отличает VASP-лицензирование в КР от режима простой регистрации. Аудит проводится независимым аудитором, аккредитованным в установленном порядке, и охватывает два блока: финансовый аудит и комплаенс-аудит.

Финансовый аудит проверяет достоверность отчётности лицензиата, соответствие фактического капитала установленным минимумам и корректность учёта операций с виртуальными активами. Для нерезидентного оператора, чья отчётность частично формируется за рубежом по стандартам иной юрисдикции, адаптация под требования КР — отдельная задача. Финнадзор принимает отчётность на русском языке.

Комплаенс-аудит — содержательная часть, которой регулятор уделяет приоритетное внимание. Аудитор проверяет: соответствие реальных процессов задокументированным политикам AML/KYC, наличие и ведение журналов идентификации клиентов, корректность подачи СПО в ГСФР, соблюдение требований Travel Rule при фактических транзакциях, обученность персонала. Если между документами и практикой обнаруживается расхождение — это нарушение, которое фиксируется в отчёте аудитора и передаётся в Финнадзор.

Срок представления аудиторского заключения в Финнадзор определяется лицензионными условиями — как правило, не позднее определённого срока после окончания отчётного года. Задержка или непредставление отчёта — основание для приостановки лицензии. Финнадзор в 2025–2026 годах проводит политику нулевой терпимости к систематическим нарушителям: несколько компаний лишились лицензий после второго нарушения срока аудита подряд.

Для иностранного оператора, только выходящего на рынок КР, рекомендуется провести предварительный внутренний аудит комплаенс-системы до получения лицензии. Это позволяет выявить несоответствия в политиках на ранней стадии и не оказаться в ситуации, когда первый обязательный аудит обнаруживает системные проблемы, требующие немедленного исправления под надзором регулятора.

Санкционный комплаенс для VASP: специфика 2026 года

Санкционная тематика приобрела для VASP в КР особое значение после расширения западных санкционных режимов. Кыргызстан не присоединился к санкциям ЕС или США, однако VASP-операторы, работающие с международными контрагентами, несут собственные риски — через банки-корреспонденты, партнёрские биржи и институциональных клиентов.

Для нерезидента, чья материнская компания работает в зоне западного права, это означает необходимость одновременного соблюдения двух уровней требований: требований КР (Финнадзор, ГСФР, Закон «О ПОД/ФТ») и требований юрисдикции материнской структуры. Конфликт норм возникает редко, но именно в точках пересечения — например, при работе с клиентами из стран под санкциями — возможны ситуации, когда выполнение требований одной юрисдикции создаёт риски нарушения норм другой.

Финнадзор не ведёт собственный санкционный список, но требует от VASP наличия процедур скрининга клиентов по международным санкционным спискам (OFAC SDN, EU Consolidated, UN). Это часть AML-политики: оператор обязан описать, какие базы данных он использует, с какой периодичностью обновляет их и как действует при совпадении. Отсутствие такой процедуры — нарушение, выявляемое при аудите.

Подробный разбор санкционного комплаенса в КР — в материале «Санкционный комплаенс в Кыргызстане: гид для бизнеса». Там же — анализ вторичных санкций в КР и странах ЕАЭС и разбор 20-го пакета санкций ЕС с практическими выводами.

Для VASP, работающих с российскими клиентами или российскими биткоин-миксерами, риски особенно высоки. ПВТ-резидентство даёт экономию налоговой нагрузки около 80% против общего режима, но не освобождает от комплаенс-требований — это разные плоскости регулирования. Комплаенс-программа должна явно описывать политику работы с клиентами из юрисдикций под санкциями: принять, отклонить или провести расширенную проверку.

Как построить корпоративную структуру для VASP-бизнеса нерезиденту?

Выбор корпоративной структуры определяет как лицензионные требования, так и налоговую нагрузку и операционные риски. Для нерезидента, желающего вести VASP-деятельность в КР, существуют три основных модели.

Модель первая — создание дочернего ОсОО в КР с иностранным учредителем. Это наиболее распространённый путь. Дочерняя компания является самостоятельным лицензиатом, несёт полную ответственность по обязательствам, формирует собственную комплаенс-систему. Преимущество — чёткое разграничение ответственности материнской и дочерней структур. Недостаток — необходимость полноценного операционного присутствия в КР, включая персонал, офис и локальные счета.

Модель вторая — создание ОсОО совместно с местным партнёром. Практика распространена среди операторов, не имеющих опыта работы в КР. Местный партнёр берёт на себя операционные функции — взаимодействие с регулятором, наём персонала, работу с банками. Риск этой модели — корпоративные конфликты при разногласиях с партнёром и необходимость тщательной проработки корпоративного договора.

Модель третья — регистрация ОсОО как резидента ПВТ. ПВТ-резиденты пользуются налоговыми преференциями: 0% налога на прибыль, 5% подоходный налог с сотрудников. Однако резидентство ПВТ предполагает определённый профиль деятельности — не все виды VASP-бизнеса подпадают под критерии. Вопрос совместимости конкретного VASP-профиля с требованиями ПВТ требует отдельной проверки. При выборе между ПВТ и общим режимом решение зависит от структуры выручки.

Нотариальное удостоверение сделки с долей в ОсОО — обязательное требование закона. При покупке или продаже доли нерезидентом необходимы нотариально заверенные документы о праве на отчуждение и подтверждение полномочий подписанта. При структурировании сделки с иностранным учредителем это добавляет к срокам от 1 до 3 недель.

Дополнительную информацию по комплаенсу и санкционным рискам можно найти в соответствующем разделе. Общий каталог аналитических материалов БЕКЕМ содержит разборы актуальных изменений регулирования.

Взаимодействие с ГСФР и другими регуляторами КР

VASP в КР работает в многоуровневой регуляторной среде. Финнадзор выдаёт лицензию и осуществляет основной надзор, однако VASP также взаимодействует с Государственной службой финансовой разведки (ГСФР) и, в ряде случаев, с Национальным банком КР и ГКНБ.

ГСФР — орган финансовой разведки, которому VASP обязан направлять сообщения о подозрительных операциях (СПО). Это прямая обязанность, вытекающая из Закона «О ПОД/ФТ». Срок направления СПО — не позднее определённого периода с момента выявления подозрительной операции. Задержка СПО или их непредставление — нарушение, которое Финнадзор учитывает при проверках и при рассмотрении вопроса о продлении или отзыве лицензии.

НБКР регулирует платёжную деятельность. Если VASP совмещает функции криптообменника с функциями платёжного оператора (например, принимает фиат через платёжные инструменты), может потребоваться дополнительная лицензия НБКР. Платёжная лицензия НБКР и VASP-лицензия Финнадзора — разные документы для разных видов деятельности. Смешивание функций без должной регуляторной проработки создаёт риск нарушения требований сразу двух регуляторов.

ГКНБ осуществляет оперативно-разыскную деятельность и вправе инициировать проверки при наличии оснований. Мораторий на проверки бизнеса, действующий до 31.12.2026, не распространяется на уголовные дела — ГКНБ продолжает работу в штатном режиме. Для VASP-операторов, особенно работающих с крупными объёмами, важно понимать: при выявлении ГСФР признаков финансирования незаконной деятельности материалы могут быть переданы в ГКНБ. Эффективная комплаенс-система — не только регуляторное требование, но и инструмент снижения уголовно-правовых рисков.

Для нерезидентного оператора взаимодействие с несколькими регуляторами КР требует назначения ответственного лица в местном офисе, наделённого полномочиями для оперативного реагирования на запросы. Удалённое управление комплаенс-функцией из-за рубежа на практике приводит к задержкам, которые регуляторы расценивают негативно. Смотрите также разбор 20-го пакета санкций ЕС на что обратить внимание в 2026 году — он затрагивает VASP-операторов с европейским присутствием.

Операционные требования после получения лицензии VASP

Получение лицензии — начало, а не финал комплаенс-работы. После выдачи лицензии VASP несёт постоянные обязательства, неисполнение которых влечёт административные меры вплоть до отзыва.

Обязательные элементы операционного комплаенса: поддержание серверной инфраструктуры в КР в рабочем состоянии, ежеквартальная отчётность в Финнадзор по установленным формам, уведомление регулятора об изменениях в составе бенефициаров или руководства в течение определённого срока после изменений, уведомление о значительных изменениях в деятельности (новые продукты, расширение географии клиентов). Каждое из этих требований задокументировано в лицензионных условиях — при получении лицензии рекомендуется составить внутренний календарь регуляторных обязательств.

Для нерезидентного оператора критично условие о непрерывности: если местная операционная команда по каким-либо причинам прекращает работу — например, истекают трудовые договоры или закрывается офис — это нарушение лицензионных условий, даже если сама компания продолжает деятельность. Финнадзор может инициировать внеплановую проверку по результатам мониторинга реестра лицензиатов.

Отдельного внимания заслуживает вопрос банковского обслуживания. Банки КР неоднородно относятся к VASP-клиентам: часть готова работать с лицензированными операторами, часть придерживается консервативной позиции. Открытие расчётного счёта для нового VASP занимает от 2 до 6 недель, банк проводит собственную AML-проверку. Для нерезидентного учредителя процесс сложнее: банк запрашивает дополнительные документы о деловой репутации материнской компании. Отсутствие банковского счёта фактически блокирует начало операционной деятельности, даже при наличии лицензии.

Криптовалюты в КР не признаются средством платежа — это важное ограничение для построения бизнес-модели. Операции с виртуальными активами разрешены только в рамках лицензированной деятельности VASP. Использование криптовалюты для расчётов с поставщиками или сотрудниками не допускается. Это нередко создаёт операционные сложности для нерезидентов, привыкших к иному регуляторному климату.