Комплаенс-политика в КР: практика госорганов и судов

Что такое внутренняя политика компании и зачем она нужна?

Внутренняя комплаенс-политика — не рекомендательный документ и не декларация о намерениях. По действующему законодательству КР субъекты финансового мониторинга обязаны разработать и утвердить правила внутреннего контроля. Этот массив требований распространяется на банки, микрофинансовые организации, VASP, страховые компании, профессиональных участников рынка ценных бумаг, а также на ряд нефинансовых субъектов — адвокатов, нотариусов, бухгалтеров при оказании определённых услуг.

Для среднего бизнеса, не подпадающего под прямое регулирование ПОД/ФТ, комплаенс-политика выполняет иную функцию: она снижает риск уголовного или административного преследования при участии компании в цепочках операций, связанных с отмыванием или санкционными нарушениями. Суды и контрольные органы КР при оценке вины компании учитывают наличие документальных механизмов предотвращения нарушений.

Практика Финнадзора и ГСФР в 2025–2026 годах показывает: проверки начинаются с запроса комплаенс-политики, положения о KYC и матрицы рисков. Отсутствие этих документов или их несоответствие реальным процессам автоматически переводит компанию в категорию повышенного риска. Это меняет характер проверки — от плановой к углублённой.

Параллельно развивается международный контекст. Банки-корреспонденты, иностранные контрагенты и инвесторы при оценке кыргызских партнёров запрашивают доказательства работающих комплаенс-процедур. Формальная политика, написанная «для галочки», не проходит этот фильтр — финансовые институты запрашивают подтверждение реального применения: журналы проверок, отчёты ответственного лица, результаты обучения персонала.

Какова обязательная структура комплаенс-политики?

Структура комплаенс-политики определяется требованиями законодательства КР о ПОД/ФТ и надзорными ожиданиями Финнадзора и ГСФР. Минимальный состав документа включает несколько обязательных разделов, отсутствие любого из которых фиксируется как нарушение при проверке.

Первый раздел — цели и область применения. Здесь закрепляется, на какие виды деятельности, структурные подразделения и юрисдикции распространяется политика. Если компания работает через несколько юридических лиц — политика должна либо охватывать всю группу, либо каждое лицо должно иметь собственный документ. Надзорные органы при проверках запрашивают подтверждение фактического применения политики во всех охватываемых ею структурах.

Второй раздел — идентификация и оценка рисков. Компания обязана описать методологию присвоения рисковых категорий клиентам, продуктам и географическим направлениям. Финнадзор в своих методических рекомендациях выделяет три категории риска — высокий, средний, низкий — и ожидает, что каждая категория закреплена в политике с описанием соответствующих мер контроля.

Третий раздел — процедуры KYC (Know Your Customer) и проверки контрагентов. Этот раздел описывает порядок сбора и верификации документов при установлении деловых отношений, правила обновления данных о клиентах и алгоритм действий при выявлении несоответствий. Для VASP и финансовых организаций здесь же закрепляются требования Travel Rule — обязательная передача информации об отправителе и получателе при переводе виртуальных активов.

Четвёртый раздел — санкционный скрининг. Компания устанавливает список проверяемых санкционных баз, периодичность проверок и порядок действий при совпадении. Скрининг должен охватывать контрагентов, бенефициарных владельцев и лиц, связанных с операцией. Подробнее о практике скрининга — в материале «Санкционный скрининг: как защитить интересы компании».

Пятый раздел — процедуры сообщения о подозрительных операциях (STR/SAR). Описывается внутренний алгоритм эскалации: кто и в какие сроки направляет сообщение ответственному лицу, порядок направления отчёта в ГСФР, требования к документированию. По действующему законодательству КР срок направления отчёта об операции с признаками ОД/ФТ составляет, как правило, не более трёх рабочих дней с момента выявления.

Шестой раздел — обучение персонала. Фиксируется периодичность обучения (обычно не реже одного раза в год), ответственный за организацию, порядок документирования. ГСФР при проверках запрашивает журналы обучения и подписанные листы ознакомления сотрудников с политикой.

Кто является ответственным лицом по комплаенсу?

Назначение ответственного лица — обязательное требование законодательства КР о ПОД/ФТ для субъектов финансового мониторинга. Ответственное лицо (комплаенс-офицер, compliance officer) несёт персональную ответственность за разработку, актуализацию и исполнение правил внутреннего контроля.

По сложившейся надзорной практике ответственным лицом назначается сотрудник уровня не ниже руководителя подразделения с прямым подчинением совету директоров или единоличному исполнительному органу. Финнадзор при проверках VASP и финансовых организаций проверяет: есть ли у ответственного лица реальные полномочия приостанавливать операции и эскалировать вопросы на уровень руководства. Номинальное назначение рядового сотрудника без соответствующих полномочий фиксируется как нарушение.

Для среднего бизнеса, не являющегося субъектом финансового мониторинга, назначение комплаенс-офицера — вопрос управленческого решения, а не прямой законодательной обязанности. Однако отсутствие такого лица означает, что при расследовании инцидента — выявлении санкционной операции, налоговом споре, претензии банка — компания не сможет продемонстрировать систему контроля. Это утяжеляет позицию в переговорах с органами.

Ответственное лицо не должно одновременно совмещать функции, создающие конфликт интересов: продажи, клиентский сервис, операционный процессинг. Финнадзор в своих методических материалах прямо указывает на недопустимость ситуации, когда комплаенс-офицер является одновременно лицом, заключающим сделки и принимающим решения о прохождении KYC.

Квалификационные требования: профильное юридическое или финансовое образование, знание законодательства КР о ПОД/ФТ и санкционного регулирования. На практике Финнадзор при выдаче и продлении VASP-лицензии запрашивает документы об образовании и опыте ответственного лица. Ряд надзорных органов также требует подтверждения прохождения специализированных обучающих программ по AML/CFT.

Как утверждается и актуализируется комплаенс-политика?

Порядок утверждения комплаенс-политики зависит от организационно-правовой формы и наличия регуляторного надзора. Для субъектов, поднадзорных Финнадзору или ГСФР, политика утверждается советом директоров или аналогичным органом управления — не единоличным исполнительным органом. Это ключевое требование: утверждение генеральным директором в обход совета директоров при его наличии фиксируется как нарушение корпоративной процедуры.

Для ОсОО без регуляторного надзора политика утверждается решением единственного участника или протоколом общего собрания участников. В документе фиксируются дата принятия, перечень связанных внутренних регламентов (положение о KYC, инструкция по работе с подозрительными операциями) и ответственное лицо.

Периодичность актуализации: по действующим стандартам КР политика пересматривается не реже одного раза в год, а также при следующих триггерах — изменение законодательства, расширение видов деятельности, выявление инцидента, предписание надзорного органа. Финнадзор при продлении VASP-лицензий запрашивает последнюю редакцию политики с отметкой о дате утверждения. Политика с датой более чем двухлетней давности расценивается как устаревшая.

При обновлении политики компания обязана ознакомить с изменениями весь задействованный персонал под подпись. Журнал ознакомления — один из первых документов, запрашиваемых при проверке ГСФР. Практика показывает: отсутствие журналов за последние два года является самостоятельным основанием для выдачи предписания вне зависимости от качества самой политики.

Для компаний с иностранным участием или входящих в международные группы существует дополнительный пласт требований: политика материнской компании должна быть адаптирована к кыргызскому законодательству. Формальный перевод без адаптации — применение норм иностранного права вместо норм КР — не принимается надзорными органами. Финнадзор при проверках VASP с иностранным капиталом неоднократно выносил предписания именно по этому основанию.

Как госорганы КР проверяют комплаенс-политику на практике?

Финнадзор, ГСФР и ГНС используют комплаенс-политику как отправную точку проверки, но не ограничиваются анализом документа. Надзорная логика строится на принципе «policy vs. practice»: документ оценивается в сопоставлении с реальными операциями компании за проверяемый период.

Типичная последовательность проверки Финнадзора VASP-лицензиата: запрос политики → анализ базы клиентов на полноту KYC-данных → выборочная проверка сделок на предмет прохождения скрининга → проверка журналов обучения → интервью с ответственным лицом. По итогам 2025 года Финнадзор отозвал лицензии у ряда VASP — в том числе по основанию несоответствия реальных процедур задекларированным в политике.

ГСФР при проверке субъектов финансового мониторинга акцентирует внимание на двух аспектах: полнота базы подозрительных операций и своевременность направления STR. Компании, политика которых предусматривает трёхдневный срок направления отчёта, но фактически нарушавшие его — получали предписания с обязательным устранением в срок до 30 дней. Повторное нарушение рассматривается как основание для передачи материалов в ГКНБ.

ГНС при выездных проверках запрашивает комплаенс-политику в контексте оценки добросовестности налогоплательщика. Наличие работающих внутренних контрольных процедур — один из факторов, влияющих на квалификацию нарушения: умышленное уклонение или неосторожность. По действующей судебной практике МСЭД этот фактор учитывается при определении санкции.

Мораторий на проверки бизнеса, действующий до 31 декабря 2026 года, не распространяется на проверки Финнадзора в рамках надзора за VASP и финансовыми организациями, а также на проверки ГСФР. Надзор в сфере ПОД/ФТ выведен из-под общего моратория — это подтверждается позицией ГСФР, опубликованной в 2026 году.

Особый риск представляют тематические и встречные проверки ГНС: они также не подпадают под мораторий. При встречной проверке контрагента ГНС может запросить документы о комплаенс-процедурах вашей компании как элемент оценки обоснованности деловых отношений. Отсутствие проверки контрагента по санкционным спискам — аргумент в пользу недостаточной осмотрительности.

Какова позиция судов КР по нарушениям комплаенс-требований?

Судебная практика по комплаенс-нарушениям в КР формируется преимущественно в двух категориях дел: обжалование предписаний надзорных органов и уголовные дела об ОД/ФТ с участием юридических лиц. МСЭД рассматривают первую категорию, уголовные суды — вторую.

При обжаловании предписаний Финнадзора и ГСФР суды, как правило, оценивают два ключевых обстоятельства: был ли соблюдён надзорным органом процессуальный порядок выдачи предписания и соответствует ли фактическое нарушение тому, что зафиксировано в акте. По сложившейся практике МСЭД, суды не переоценивают содержательную квалификацию нарушения надзорным органом, если акт проверки составлен в установленном порядке. Иными словами, спорить о том, была ли политика «достаточно хорошей», в суде значительно сложнее, чем на стадии досудебного урегулирования.

В уголовных делах об ОД/ФТ наличие комплаенс-политики и доказательств её применения — это фактор, напрямую влияющий на квалификацию деяния. Верховный Суд КР в ряде дел указывал: компания, имеющая работающую систему внутреннего контроля, но допустившая нарушение вследствие единичного сбоя, оценивается иначе, чем компания без каких-либо комплаенс-процедур. Разница — в применяемой санкции и возможности применения реабилитационных процедур.

По данным судебной статистики, в 2025 году количество дел, связанных с ПОД/ФТ и санкционными нарушениями, в кыргызских судах выросло. Этому способствовали усиление надзора ГСФР, давление FATF на зоны повышенного риска и активизация расследований ГКНБ по экономическим преступлениям. Суды в этой категории дел последовательно придерживаются позиции: бремя доказывания добросовестности лежит на самой компании.

Отдельная судебная линия — споры о взыскании убытков с компаний, не проводивших надлежащую проверку контрагента. По сложившейся практике, если компания включила в контракт условие о комплаенс-соответствии контрагента, а тот оказался в санкционном листе — суд, как правило, рассматривает это как основание для расторжения договора и взыскания убытков. Подробнее о практике вторичных санкций — в материале «Вторичные санкции в КР: практика госорганов и судов».

Какие нарушения при внедрении политики встречаются чаще всего?

Анализ предписаний Финнадзора и ГСФР за 2025–2026 годы позволяет выделить несколько системных нарушений, которые повторяются вне зависимости от размера и типа компании.

Первое и наиболее распространённое — разрыв между текстом политики и реальными процедурами. Компания утверждает политику, предусматривающую ежеквартальный пересмотр рисков, но на практике последний пересмотр был два года назад. Финнадзор при проверке легко устанавливает этот факт через анализ внутренней переписки и журналов. Результат — предписание с требованием устранения в 30-дневный срок и занесение в реестр нарушителей.

Второе — неполнота санкционного скрининга. Компании проверяют контрагентов по одной базе (как правило, SDN List), игнорируя консолидированный список ЕС, список OFAC по вторичным санкциям и национальные списки КР. При этом кыргызские банки-корреспонденты ориентируются на все три источника. Детальный разбор этой темы — в материале «Санкционный скрининг в Кыргызстане: 15 вопросов и ответов».

Третье — формальное назначение ответственного лица без реальных полномочий. Комплаенс-офицером назначается юрист или бухгалтер, который физически не в состоянии мониторить операции и эскалировать вопросы в режиме реального времени. ГСФР в ходе интервью с ответственным лицом устанавливает это через серию практических вопросов о последних выявленных инцидентах.

Четвёртое — отсутствие документирования решений об отказе от клиента или операции. Когда компания решает не работать с контрагентом по комплаенс-соображениям — это решение должно быть зафиксировано в журнале с указанием основания. Без такой фиксации при последующей проверке невозможно доказать, что отказ был мотивированным, а не случайным.

Пятое — отсутствие отдельного регулирования для ПЭП (политически значимых лиц). Законодательство КР устанавливает для таких лиц режим повышенной проверки. Компании, включающие ПЭП в общий поток KYC без дополнительных процедур, получают предписания в первую очередь — это видимый индикатор системных проблем в политике.

Каковы последствия отсутствия или ненадлежащей политики?

Последствия структурированы по уровням: административные, регуляторные, уголовные и репутационные. Каждый из них может быть самостоятельным или возникать последовательно при эскалации ситуации.

На административном уровне отсутствие или ненадлежащее состояние комплаенс-политики влечёт предписание надзорного органа с требованием устранения в установленный срок. Для Финнадзора стандартный срок устранения — 30 дней. Невыполнение предписания в срок переводит ситуацию на следующий уровень: приостановление лицензии или деятельности, штраф, повторная внеплановая проверка.

На регуляторном уровне систематические нарушения ведут к отзыву лицензии. Для VASP это означает прекращение деятельности на территории КР и обязательство по возврату клиентских активов. По данным 2025 года, Финнадзор массово отзывал VASP-лицензии — в том числе по основанию неудовлетворительного состояния систем внутреннего контроля.

На уголовном уровне ненадлежащий комплаенс может стать отягчающим обстоятельством при расследовании дел об ОД/ФТ. ГКНБ при расследовании экономических преступлений рассматривает отсутствие системы внутреннего контроля как элемент умысла — свидетельство того, что нарушение было не случайным, а системным. Уголовная ответственность за ОД/ФТ предусмотрена Уголовным кодексом КР с серьёзными санкциями.

На репутационном уровне нарушения в сфере комплаенса фиксируются в надзорных реестрах и становятся публично доступными. Банки-корреспонденты и иностранные контрагенты проверяют кыргызские компании по этим реестрам. Отзыв лицензии или предписание Финнадзора — это факт, который останется в публичном поле и будет учитываться при принятии решений о деловых отношениях.

Мораторий на проверки не снижает эти риски: надзор в сфере ПОД/ФТ продолжается. Обращения банков-корреспондентов с запросами о комплаенс-политике конкретной компании — также не редкость. Отсутствие ответа или предоставление устаревшего документа влечёт риск разрыва корреспондентских отношений, что для компании с международными операциями означает фактическую потерю доступа к долларовым или евровым транзакциям.

Как выстроить работающую комплаенс-функцию в среднем бизнесе?

Для среднего бизнеса в КР работающая комплаенс-функция — это не отдел с штатом специалистов, а набор документов, процедур и ответственностей, которые фактически применяются. Минимальная конфигурация включает четыре элемента.

Первый — комплаенс-политика с описанием рисков, специфичных для вашей отрасли. Для торговой компании — это санкционный скрининг контрагентов и проверка источника товара. Для IT-компании с иностранными клиентами — это AML-процедуры при получении оплаты и проверка резидентности клиентов. Шаблонный документ, скачанный из интернета, не решает этой задачи: он не отражает реальные риски вашего бизнеса и легко распознаётся надзорными органами как формальный.

Второй — назначенное ответственное лицо с реальными полномочиями. Для ОсОО с числом сотрудников до 50 человек это может быть генеральный директор или финансовый директор с дополнительными полномочиями по комплаенсу. Главное требование — наличие фактической возможности приостановить операцию до её завершения.

Третий — журналы и реестры, документирующие применение политики. Журнал проверки контрагентов, реестр выявленных инцидентов, журналы обучения — эти документы создаются параллельно с операционной деятельностью и являются единственным доказательством того, что политика действительно применялась.

Четвёртый — ежегодный внутренний аудит комплаенс-процедур. Для VASP ежегодный аудит является обязательным законодательным требованием. Для иных компаний это управленческое решение, которое позволяет выявить разрывы до того, как это сделает надзорный орган. По сложившейся практике, компании, самостоятельно выявившие и устранившие нарушение до проверки, получают значительно более мягкую реакцию регулятора.

Подробнее о построении системы санкционного комплаенса в КР — в материале «Санкционный комплаенс в Кыргызстане: гид для бизнеса». Полный каталог материалов по теме доступен в разделе Аналитика.

Что изменилось в 2026 году и каковы актуальные тренды?

В 2026 году регуляторный фокус в КР сместился в сторону содержательного комплаенса — не наличия документов, а их реального применения. Финнадзор объявил о переходе к риск-ориентированному надзору: частота и глубина проверок теперь определяется не плановым графиком, а риск-профилем компании. Это означает, что компании с устаревшей или формальной политикой получают статус высокого риска и попадают под внеплановые проверки вне зависимости от моратория.

ГСФР усилила требования к отчётности субъектов финансового мониторинга в части операций с виртуальными активами. Рост числа VASP и криптотранзакций через кыргызские компании привлёк внимание FATF: КР находится под дополнительным мониторингом, что транслируется в ужесточение требований к AML-процедурам на уровне отдельных компаний.

Одновременно в 2026 году актуализировались риски вторичных санкций для кыргызских компаний, работающих с российскими и белорусскими контрагентами. Западные финансовые институты ужесточили комплаенс-требования к транзакциям с участием КР, рассматривая страну как потенциальный транзитный узел. Компании, не имеющие документальных доказательств проверки цепочки поставок и конечного бенефициара, рискуют столкнуться с отказом в проведении платежей.

Новый Трудовой кодекс КР (2025) добавил ещё один комплаенс-измеримый элемент: требования к внутреннему регулированию условий труда. Комплаенс-функция в компаниях с числом сотрудников свыше 50 человек теперь охватывает и трудовое законодательство — отдельные политики о запрете дискриминации, о порядке рассмотрения жалоб, о защите персональных данных сотрудников.

В сфере защиты персональных данных Агентство по защите персональных данных (DPA) начало проверочные кампании. Политика конфиденциальности компании, обрабатывающей персональные данные клиентов, — часть комплаенс-системы, проверяемой при обращении DPA. Её отсутствие или несоответствие Закону «Об информации персонального характера» — отдельное основание для предписаний.

Для практики комплаенс и смежных вопросов — подробнее на странице Комплаенс и санкционные риски.