Скрининг кошельков и мониторинг операций у CASP: чего ожидают надзорные органы ЕС

Правовые рамки

Режим противодействия отмыванию денег (AML) в ЕС опирается на три инструмента, а рядом с ними стоит четвертый. Регламент (ЕС) 2023/1113 распространяет Travel Rule на переводы криптоактивов и, внеся изменения в Директиву (ЕС) 2015/849, подчиняет CASP, авторизованных по Регламенту ЕС о рынках криптоактивов (MiCA), тем же обязанностям в сфере AML/CFT и тому же надзору, что и кредитные организации и финансовые учреждения. 16 января 2024 г. EBA распространило свои руководящие принципы о факторах риска ML/TF на CASP: в них перечислены факторы риска, связанные с клиентами, продуктами, каналами предоставления услуг и географией, и разъяснено, как CASP следует корректировать меры по снижению рисков, включая использование инструментов блокчейн-аналитики. 4 июля 2024 г. оно выпустило руководящие принципы по Travel Rule, в которых указано, какие сведения должны сопровождать перевод, какие шаги CASP и промежуточные CASP должны предпринимать для выявления отсутствующих или неполных сведений и что делать, если сведений недостает. Оба свода руководящих принципов применяются с 30 декабря 2024 г. Законодательный мандат, на котором они основаны, называет сложные случаи: меры идентификации и проверки при переводах на адреса с самостоятельным хранением или с таких адресов, усиленная надлежащая проверка в ситуациях высокого риска и отношения с CASP из-за пределов ЕС.

Четвертый инструмент — пара руководящих принципов EBA о внутренних политиках, процедурах и мерах контроля для исполнения ограничительных мер ЕС и национальных ограничительных мер: EBA/GL/2024/14 и, специально для поставщиков платежных услуг и CASP, EBA/GL/2024/15, которые применяются с 30 декабря 2025 г. В них санкционный скрининг рассматривается как самостоятельная дисциплина, отличная от атрибуции кошельков: каждая сторона перевода проверяется по применимым спискам, включая сведения об отправителе и получателе и любые адреса кошельков, внесенные в списки; оповещения расследуются по документированной процедуре; а при подтвержденном совпадении с лицом, включенным в санкционный список, или с организацией, которая находится в собственности или под контролем такого лица, активы подлежат замораживанию и блокированию на счете невыясненных сумм (suspense account) до получения указаний компетентного национального органа, и о совпадении необходимо сообщить. Этот результат не зависит от балла риска (risk score), а отклонение или возврат перевода не освобождает от обязанности по замораживанию.

Три входа

Аналитический инструмент вендора, как правило, закрывает один вход: анализ адресов, то есть кластеризацию и атрибуцию, которые позволяют оценить, чей кошелек перед вами и с чем он соприкасался. Системе, которая отвечает текстам EBA, нужны еще два. Ей нужна обработка данных Travel Rule: процессы, которые прикрепляют сведения об отправителе и получателе к исходящим переводам (до этого перевод не может быть инициирован, ст. 14(8)), выявляют, чего недостает во входящих переводах, запрашивают недостающее и устанавливают контрагенту срок для предоставления сведений в пределах, предусмотренных руководящими принципами EBA по Travel Rule (три рабочих дня для переводов внутри ЕС и пять для переводов, полученных из-за его пределов, считая со дня выявления пробела; до семи дней в двух случаях, перечисленных в руководящих принципах: цепочка более чем из двух участников, включая посредников и небанковские организации, и цепочка с поставщиком, находящимся за пределами ЕС), сообщают о контрагенте, который неоднократно не предоставляет сведения, и запускают документированную риск-ориентированную процедуру, если сведения не поступают, поскольку в этот момент Регламент требует принять решение.

Ей также нужна надлежащая проверка контрагентов из числа CASP. Нужно знать, кем является платформа на другой стороне: CASP, авторизованным по MiCA; поставщиком, который регулируется за пределами ЕС в рамках режима, столь же надежного, как MiCA и Директива о противодействии отмыванию денег (AML Directive), что руководящие принципы EBA о факторах риска рассматривают как обстоятельство, снижающее риск, причем рамки проверки для отношений корреспондентского типа задает ст. 19b AML Directive (статус лицензии или регистрации, характер деятельности и качество надзора за ней, меры контроля контрагента в сфере AML/CFT, одобрение высшего руководства и документально закрепленные обязанности); либо поставщиком, на которого распространяется более слабый режим или не распространяется никакой. Отдельно от этого нужно знать, включены ли сама платформа или ее адреса в санкционные списки, и выстраивать отношения соответственно.

Адреса с самостоятельным хранением затрагивают все три входа и заслуживают собственных письменных правил, а правовые условия, при которых возникают обязанности, установлены точно. При каждом переводе на адрес с самостоятельным хранением или с такого адреса CASP должен получить и хранить сведения об отправителе и получателе; если сумма превышает 1 000 евро, он должен принять адекватные меры, чтобы оценить, находится ли адрес в собственности или под контролем его собственного клиента (ст. 14(5) и 16(2) Регламента). Руководящие принципы перечисляют допустимые методы — от подписанного сообщения или тестового перевода до проверки с участием сотрудника (attended verification), — разрешают включать адрес в белый список после того, как собственность или контроль установлены, и рассматривают случай, когда адрес оказывается принадлежащим третьему лицу: тогда идентификация может опираться на надежные независимые данные. Переводы с участием адресов с самостоятельным хранением не запрещены. Во внутренней политике должно быть сказано, какие методы вы принимаете, какие дополнительные меры по снижению рисков по ст. 19a AML Directive применяются и какие переводы вы не исполняете вообще.

Вопросы, от которых зависит исход встреч с надзорным органом

По нашему опыту, слабое место, которое повторяется в досье на авторизацию и в надзорных проверках, — это отсутствие ответственного за систему. Конкретно: кто установил пороговые значения балла риска, при которых переводы блокируются или передаются на эскалацию, и где анализ, который обосновывает их с учетом вашей собственной оценки рисков? Какова доля ложных срабатываний, кто закрывает оповещения, с какой подготовкой и с каким контролем по принципу «четырех глаз»? Когда вы в последний раз проверяли, насколько инструмент покрывает ваш фактический набор активов и контрагентов, и что изменилось по итогам? Когда совпадение при скрининге становится сообщением о подозрительной операции, по каким критериям и сколько времени это занимает? Один ответ задан заранее: пороговые значения балла риска вы устанавливаете сами, но при подтвержденном совпадении с лицом, включенным в санкционный список, активы замораживаются и о совпадении сообщается, каким бы ни был балл, и в досье это следует показать. CASP, который может ответить на эти вопросы по собственным документам, находится в сильной позиции. Тот, чей ответ сводится к настройкам вендора по умолчанию, сообщил надзорному органу, что его ключевую меру контроля в сфере AML откалибровала третья сторона, не знающая его бизнеса.

То же досье помогает при открытии счета в банке

Есть и коммерческая причина выстроить все это как следует. Руководящие принципы EBA о факторах риска адресованы в равной мере CASP и банкам, которые их обслуживают, и рассматривают работу с поставщиками услуг в сфере криптоактивов, которые не авторизованы по MiCA и подпадают под более слабые режимы AML, как фактор, повышающий риск для банка. Поэтому банк, принимающий CASP на обслуживание, будет изучать ту же систему, что описана выше: архитектуру скрининга, систему управления калибровкой, внутреннюю политику в отношении адресов с самостоятельным хранением, измерение риска взаимодействия с контрагентами.

Досье по скринингу — ядро банковского досье. Для CASP в Швейцарии коммерческая логика та же, хотя материально-правовые нормы другие. FINMA (Швейцарская служба по надзору за финансовым рынком) уже много лет рассматривает посредничество в сфере криптоактивов как финансовое посредничество, и согласно ее практике в отношении платежей в блокчейне (Guidance 02/2019) поднадзорное учреждение вправе осуществлять перевод на внешний кошелек или с него только в том случае, если кошелек принадлежит его собственному клиенту либо третьему лицу, которое оно идентифицировало так же, как идентифицировало бы клиента, причем в обоих случаях принадлежность должна быть подтверждена подходящими техническими средствами, а исключение для нерегулируемых кошельков, которое допускает стандарт ФАТФ, не применяется. Швейцарский банк, принимающий на обслуживание швейцарского CASP, будет проверять досье по скринингу на соответствие этой более строгой практике в отношении внешних кошельков.

Что это означает для вас

• Отвечайте за свою калибровку сами. Пороговые значения, выбор списков и маршрутизация оповещений — ваши решения; задокументируйте, почему они соответствуют вашей оценке рисков, и пересматривайте их, когда меняется набор ваших активов.
• Напишите внутреннюю политику в отношении адресов с самостоятельным хранением (self-hosted). Собственность или контроль при сумме свыше 1 000 евро, методы, которые вы принимаете, и то, от чего вы отказываетесь: Регламент и руководящие принципы называют этот случай, и надзорные органы спрашивают именно о нем.
• Относитесь к контрагентам из числа CASP как к корреспондентам. Если отношения с поставщиком услуг в сфере криптоактивов из-за пределов ЕС юридически являются корреспондентскими отношениями, применяется ст. 19b AML Directive: статус лицензии или регистрации, характер деятельности и качество надзора за ней, оценка его мер контроля в сфере AML/CFT, одобрение высшего руководства, документально закрепленные обязанности и регулярное обновление. Для любого другого контрагента из числа CASP такое же досье — хорошая практика: статус авторизации, юрисдикция и история взаимодействия, с обновлением по установленному циклу.
• Отработайте процедуру на случай недостающих данных. Регламент и руководящие принципы не предписывают единой последовательности действий. Они требуют документированных риск-ориентированных критериев для решения о том, исполнить, отклонить, вернуть или приостановить входящий перевод с недостатками; срока, в который контрагент должен предоставить недостающие сведения и который отсчитывается со дня выявления пробела (не более трех рабочих дней для переводов внутри ЕС и пяти для переводов, полученных из-за его пределов, и до семи дней в двух случаях, перечисленных в руководящих принципах: цепочка более чем из двух участников, включая посредников и небанковские организации, и цепочка с поставщиком, находящимся за пределами ЕС); отдельного сообщения компетентному органу, если контрагент неоднократно не предоставляет сведения, которое должно быть направлено без неоправданной задержки и не позднее чем через три месяца после выявления такого контрагента; и сообщения о подозрительной операции только в том случае, если перевод действительно является подозрительным, причем отсутствие сведений — один из факторов такой оценки. В ваших журналах следует отражать каждое решение и его основание.
• Используйте досье повторно. Система, которая отвечает текстам EBA, и есть та система, которую банк будет проверять при принятии на обслуживание. Она помогает добиться принятия на обслуживание, но не гарантирует его, поскольку такое решение остается самостоятельным коммерческим решением банка; постройте ее один раз, сразу по более строгому стандарту.

Isak Legal консультирует поставщиков услуг в сфере криптоактивов и обслуживающие их учреждения по вопросам режимов AML в ЕС и Швейцарии, системы управления скринингом и подготовки к авторизации по MiCA. Подробнее на наших страницах Цифровые активы и Санкции и AML, или свяжитесь с нами.

Настоящий обзор предназначен исключительно для общего ознакомления, отражает положение дел по состоянию на 27 сентября 2026 г., не является юридической консультацией и не создает отношений между юристом и клиентом. Руководящие принципы EBA и практика их надзорного применения меняются; прежде чем действовать, проверьте актуальные тексты по официальным источникам, ссылки на которые приведены выше. Для получения консультации по конкретному вопросу свяжитесь с нами.