Скринінг гаманців і моніторинг операцій у CASP: чого очікують наглядові органи ЄС

Правові рамки

Режим протидії відмиванню коштів (AML) у ЄС тримається на трьох інструментах, а поруч із ними є четвертий. Регламент (ЄС) 2023/1113 поширює Travel Rule на перекази криптоактивів і, внісши зміни до Директиви (ЄС) 2015/849, покладає на CASP, авторизованих за Регламентом ЄС про ринки криптоактивів (MiCA), ті самі обов’язки у сфері AML/CFT і підпорядковує їх тому самому нагляду, що й кредитні та фінансові установи. 16 січня 2024 р. EBA поширив свої настанови щодо факторів ризику ML/TF на CASP: у них перелічено фактори ризику, пов’язані з клієнтами, продуктами, каналами надання послуг і географією, та пояснено, як CASP слід коригувати заходи зі зниження ризиків, зокрема використання інструментів блокчейн-аналітики. 4 липня 2024 р. він видав настанови щодо Travel Rule, де зазначено, яка інформація має супроводжувати переказ, яких кроків CASP і CASP-посередники повинні вживати, щоб виявити відсутню або неповну інформацію, і що робити, коли інформації бракує. Обидва набори настанов застосовуються з 30 грудня 2024 р. Законодавчий мандат, на якому вони ґрунтуються, називає складні випадки: заходи з ідентифікації та верифікації під час переказів на адреси із самостійним зберіганням або з таких адрес, посилена належна перевірка (EDD) в ситуаціях високого ризику та відносини з CASP з-за меж ЄС.

Четвертий інструмент — пара настанов EBA щодо внутрішніх політик, процедур і заходів контролю для виконання обмежувальних заходів ЄС і національних обмежувальних заходів: EBA/GL/2024/14 і, спеціально для надавачів платіжних послуг (PSP) і CASP, EBA/GL/2024/15, які застосовуються з 30 грудня 2025 р. У них санкційний скринінг розглянуто як окрему дисципліну, відмінну від атрибуції гаманців: кожну сторону переказу перевіряють за застосовними списками, включно з інформацією про ініціатора й отримувача та будь-якими адресами гаманців, внесеними до списків; сповіщення розслідують за документованою процедурою; а в разі підтвердженого збігу з особою, включеною до санкційного списку, або з організацією, яка перебуває у власності або під контролем такої особи, активи належить заморозити й заблокувати на рахунку сум до з’ясування (suspense account) до отримання вказівок компетентного національного органу, а про збіг — повідомити. Цей результат не залежить від бала ризику (risk score), а відхилення або повернення переказу не звільняє від обов’язку замороження.

Три входи

Аналітичний інструмент вендора зазвичай покриває один вхід: аналіз адрес, тобто кластеризацію й атрибуцію, які дають змогу оцінити, чий гаманець перед вами і з чим він взаємодіяв. Системі, яка відповідає текстам EBA, потрібні ще два. Їй потрібне опрацювання даних Travel Rule: процеси, які додають інформацію про ініціатора й отримувача до вихідних переказів (доти переказ не можна ініціювати, ст. 14(8)), виявляють, чого бракує у вхідних переказах, запитують відсутню інформацію та встановлюють контрагентові строк для її надання в межах, передбачених настановами EBA щодо Travel Rule (три робочі дні для переказів у межах ЄС і п’ять для переказів, отриманих з-за його меж, рахуючи від дня виявлення прогалини; до семи днів у двох випадках, перелічених у настановах: ланцюг із більш ніж двох учасників, включно з посередниками та небанківськими установами, і ланцюг із постачальником, розташованим за межами ЄС), повідомляють про контрагента, який неодноразово не надає інформації, і запускають документовану ризик-орієнтовану процедуру, коли інформація не надходить, оскільки в цей момент Регламент вимагає ухвалити рішення.

Їй також потрібна належна перевірка контрагентів із числа CASP. Треба знати, ким є платформа на іншому боці: CASP, авторизованим за MiCA; постачальником, якого регулюють за межами ЄС за режимом, таким самим надійним, як MiCA і Директива ЄС про протидію відмиванню коштів (AML Directive), що настанови EBA щодо факторів ризику розглядають як обставину, яка знижує ризик, причому рамки перевірки для відносин кореспондентського типу задає ст. 19b AML Directive (статус ліцензування або реєстрації, характер діяльності та якість нагляду за нею, заходи контролю контрагента у сфері AML/CFT, схвалення вищого керівництва і документально закріплені обов’язки); або постачальником, на якого поширюється слабший режим чи не поширюється жодний. Окремо від цього треба знати, чи включено саму платформу або її адреси до санкційних списків, і будувати відносини відповідно.

Адреси із самостійним зберіганням стосуються всіх трьох входів і заслуговують на власні письмові правила, а правові тригери зафіксовано. Під час кожного переказу на адресу із самостійним зберіганням або з такої адреси CASP повинен отримати і зберігати інформацію про ініціатора й отримувача; якщо сума перевищує 1 000 євро, він повинен ужити адекватних заходів, щоб оцінити, чи перебуває адреса у власності або під контролем його власного клієнта (ст. 14(5) і 16(2) Регламенту). Настанови перелічують прийнятні методи — від підписаного повідомлення або тестового переказу до перевірки за участю працівника (attended verification), — дозволяють внести адресу до білого списку після того, як власність або контроль встановлено, і розглядають випадок, коли виявляється, що адреса належить третій особі: тоді ідентифікація може спиратися на надійні незалежні дані. Перекази за участю адрес із самостійним зберіганням не заборонено. У внутрішній політиці має бути сказано, які методи ви приймаєте, які додаткові заходи зі зниження ризиків за ст. 19a AML Directive застосовуються та які перекази ви не виконуватимете взагалі.

Запитання, від яких залежить результат зустрічей із наглядовим органом

З нашого досвіду, слабке місце, яке повторюється в досьє для авторизації та в наглядових перевірках, — це відсутність відповідального за систему. Конкретно: хто встановив порогові значення бала ризику, за яких перекази блокують або передають на ескалацію, і де аналіз, який обґрунтовує їх з огляду на вашу власну оцінку ризиків? Якою є частка хибних спрацювань, хто закриває сповіщення, з якою підготовкою і з яким контролем за принципом «чотирьох очей»? Коли ви востаннє перевіряли, наскільки інструмент покриває ваш фактичний набір активів і контрагентів, і що змінилося за результатами? Коли збіг під час скринінгу стає повідомленням про підозрілу операцію, за якими критеріями і скільки часу це займає? Одна відповідь визначена наперед: порогові значення бала ризику встановлюєте ви, але в разі підтвердженого збігу з особою, включеною до санкційного списку, активи заморожують і про збіг повідомляють, хоч би яким був бал, і в досьє це слід показати. CASP, який може відповісти на ці запитання за власними документами, перебуває в сильній позиції. Той, чия відповідь зводиться до типових налаштувань вендора, повідомив наглядовому органу, що його ключовий захід контролю у сфері AML відкалібрувала третя сторона, яка не знає його бізнесу.

Те саме досьє допомагає під час відкриття рахунку в банку

Є й комерційна причина побудувати все це як слід. Настанови EBA щодо факторів ризику адресовано однаковою мірою CASP і банкам, які їх обслуговують, і вони розглядають роботу з постачальниками послуг у сфері криптоактивів, які не авторизовані за MiCA і підпадають під слабші режими AML, як фактор, що підвищує ризик для банку. Тому банк, який приймає CASP на обслуговування, вивчатиме ту саму систему, що описана вище: архітектуру скринінгу, систему управління калібруванням, внутрішню політику щодо адрес із самостійним зберіганням, вимірювання ризику взаємодії з контрагентами.

Досьє зі скринінгу — ядро банківського досьє. Для CASP у Швейцарії комерційна логіка та сама, хоча матеріально-правові норми інші. FINMA (Швейцарська служба з нагляду за фінансовим ринком) уже багато років розглядає посередництво у сфері криптоактивів як фінансове посередництво, і згідно з її практикою щодо платежів у блокчейні (Guidance 02/2019) піднаглядна установа може здійснювати переказ на зовнішній гаманець або з нього лише тоді, коли гаманець належить її власному клієнтові або третій особі, яку вона ідентифікувала так само, як ідентифікувала б клієнта, причому в обох випадках належність має бути підтверджена придатними технічними засобами, а виняток для нерегульованих гаманців, який допускає стандарт FATF (Група з розробки фінансових заходів боротьби з відмиванням грошей), не застосовується. Швейцарський банк, який приймає на обслуговування швейцарського CASP, перевірятиме досьє зі скринінгу на відповідність цій суворішій практиці щодо зовнішніх гаманців.

Що це означає для вас

• Відповідайте за своє калібрування самі. Порогові значення, вибір списків і маршрутизація сповіщень — ваші рішення; задокументуйте, чому вони відповідають вашій оцінці ризиків, і переглядайте їх, коли змінюється набір ваших активів.
• Напишіть внутрішню політику щодо адрес із самостійним зберіганням. Власність або контроль за суми понад 1 000 євро, методи, які ви приймаєте, і те, від чого ви відмовляєтеся: Регламент і настанови називають цей випадок, і наглядові органи запитують саме про нього.
• Ставтеся до контрагентів із числа CASP як до кореспондентів. Якщо відносини з постачальником послуг у сфері криптоактивів з-за меж ЄС юридично є кореспондентськими відносинами, застосовується ст. 19b AML Directive: статус ліцензування або реєстрації, характер діяльності та якість нагляду за нею, оцінка його заходів контролю у сфері AML/CFT, схвалення вищого керівництва, документально закріплені обов’язки і регулярне оновлення. Для будь-якого іншого контрагента із числа CASP таке саме досьє є доброю практикою: статус авторизації, юрисдикція та історія ризику взаємодії, з оновленням за встановленим циклом.
• Відпрацюйте процедуру на випадок відсутніх даних. Регламент і настанови не приписують єдиної послідовності дій. Вони вимагають документованих ризик-орієнтованих критеріїв для рішення про те, чи виконати, відхилити, повернути або зупинити вхідний переказ із недоліками; строку, протягом якого контрагент повинен надати відсутню інформацію та який відлічується від дня виявлення прогалини (не більше трьох робочих днів для переказів у межах ЄС і п’яти для переказів, отриманих з-за його меж, і до семи днів у двох випадках, перелічених у настановах: ланцюг із більш ніж двох учасників, включно з посередниками та небанківськими установами, і ланцюг із постачальником, розташованим за межами ЄС); окремого повідомлення компетентному органу, якщо контрагент неодноразово не надає інформації, яке слід подати без невиправданої затримки і не пізніше ніж через три місяці після виявлення такого контрагента; і повідомлення про підозрілу операцію лише тоді, коли переказ справді є підозрілим, причому відсутність інформації — один із факторів такої оцінки. У ваших журналах слід відображати кожне рішення та його підставу.
• Використовуйте досьє повторно. Система, яка відповідає текстам EBA, — це та сама система, яку банк перевірятиме під час прийняття на обслуговування. Вона сприяє прийняттю на обслуговування, але не гарантує його, оскільки таке рішення залишається власним комерційним рішенням банку; побудуйте її один раз за суворішим стандартом.

Isak Legal консультує постачальників послуг у сфері криптоактивів та установи, які їх обслуговують, з питань режимів AML у ЄС і Швейцарії, системи управління скринінгом і підготовки до авторизації за MiCA. Докладніше на наших сторінках Цифрові активи і Санкції та AML, або зв’яжіться з нами.

Цей огляд призначений виключно для загального ознайомлення, відображає стан справ на 27 вересня 2026 р., не є юридичною консультацією та не створює відносин між юристом і клієнтом. Настанови EBA та практика їх наглядового застосування змінюються; перш ніж діяти, перевірте актуальні тексти за офіційними джерелами, посилання на які наведено вище. Щоб отримати консультацію щодо конкретного питання, зв’яжіться з нами.