Краткий ответ
Правила противодействия отмыванию денег обязывают каждую обслуживающую Вас организацию — от провайдера корпоративных услуг и нотариуса до банка — создать и хранить собственное досье на Вас. Закон позволяет им полагаться на работу друг друга, но ответственность остаётся за тем, кто полагается, поэтому на практике каждый начинает с нуля, а на одного клиента приходится три или четыре отдельных досье. Каждое досье требует затрат на персонал и ПО, и за все них платит клиент. Небольшая часть этой бумажной работы снижает риск. Большая часть существует, чтобы организация-хранитель могла показать инспектору, что задавала вопросы.
Я занимаюсь комплаенсом профессионально. Eesti Firma — лицензированный провайдер трастовых и корпоративных услуг, поэтому мы являемся обязанным субъектом: одним из предприятий, которые законодательство о противодействии отмыванию денег (AML), применяемое в схожей форме по всему EU, обязывает проверять клиентов и сообщать о подозрительных обстоятельствах. Каждый клиент, регистрирующий через нас компанию, проходит идентификацию и проверку, а также отвечает на вопрос о происхождении средств; я считаю, что делать это нужно качественно. Идентификация обычного основателя и его проверка по санкционным спискам и спискам политически значимых лиц занимает у подготовленного сотрудника примерно 15–20 минут. Остальная часть онбординга — это документооборот вокруг этих пятнадцати минут, который затем с нуля повторяет каждый другой обязанный субъект, с которым сталкивается клиент.
Это не аргумент против проверок «знай своего клиента» (KYC). Это аргумент о том, во что они превратились. Все участники цепочки работают тщательно, поскольку каждый боится последствий недоработки, и в какой-то момент этот страх стал самоцелью. Я пришёл к выводу, что досье существует не столько для предотвращения отмывания денег, сколько для того, чтобы при приходе инспектора доказать: организация-хранитель задала правильные вопросы.
Один клиент, три или четыре цикла проверок
Вот как выглядят первые месяцы для нашего типичного клиента — основателя из Германии, Испании или Турции, которому нужна эстонская OÜ (osaühing) — частная компания с ограниченной ответственностью и рабочий счёт. Последовательность была бы почти такой же в Дублине или Лиссабоне, поскольку правила происходят из одних и тех же директив EU; Эстония добавляет собственный этап для е-резидентов.
- Государство — для е-резидентов. Основатель, желающий получить цифровое удостоверение Эстонии, подаёт заявку на е-резидентство, а Департамент полиции и погранохраны проводит проверку биографии до выдачи карты. В юридическом смысле это не AML-проверка, а проверка по другому закону, но для неё требуются тот же паспорт и то же объяснение цели, а заявитель уплачивает государственную пошлину.
- Провайдер услуг. Мы проверяем личность основателя, устанавливаем бенефициарного владельца, проверяем его по санкционным спискам и спискам PEP (PEP — политически значимое лицо, чья публичная должность создаёт риск взяточничества), выясняем, чем будет заниматься бизнес и откуда поступают стартовые средства, и присваиваем уровень риска. Это анкета, комплект документов и обычно видеозвонок.
- Нотариус. Основатель без эстонского цифрового удостоверения вместо этого учреждает компанию через нотариуса, а нотариус — отдельный обязанный субъект с теми же обязанностями. Наше досье не имеет веса в его конторе: он сам идентифицирует клиента и проверяет владельца.
- Банк или платёжное учреждение. Тот, кто открывает счёт — банк или финтех-компания, — проводит собственную процедуру, запрашивает собственный перечень документов и проводит собственное интервью: снова бизнес-план, ожидаемые объёмы, основные контрагенты и источник средств. Второй счёт, который нужен многим нашим клиентам, означает повторение того же цикла.
В зависимости от выбранного пути основатель проходит три или четыре таких этапа, и проверки на этом не заканчиваются. Когда клиент оплачивает наш счёт, наш собственный банк может спросить нас, кто плательщик и за что перечислены деньги. Бухгалтер, который позднее начинает обслуживать компанию, также является обязанным субъектом. И каждая из этих организаций должна хранить своё досье не менее пяти лет после прекращения отношений, поддерживать его актуальность, защищать как персональные данные и осуществлять мониторинг по нему, поскольку каждая несёт отдельную ответственность за хранимую информацию.
Каждый этап оплачивается отдельно. Такой провайдер, как мы, нанимает людей для изучения анкет, запроса документов, проверки имён, составления оценки риска и последующего многолетнего ведения досье, и эта работа покрывается платой за услуги. Нотариус выставляет счёт за время. Банки тратят больше всех; одно отраслевое исследование оценило расходы на комплаенс по финансовым преступлениям во всём мировом финансовом секторе более чем в €270 млрд в 2022 году. Никто не складывает эти суммы, потому что каждая относится к разному бюджету, но клиент оплачивает их все — через комиссии и государственные пошлины, — а специалисты по комплаенсу на каждом этапе не видят результатов предыдущего. И, как остальная нормативная база EU, это фиксированная стоимость: банк её поглощает, а провайдер с дюжиной сотрудников ощущает полностью.
Как анкета превратилась в досье
Десять лет назад проверки существовали, но это была анкета, а не досье. Для открытия счёта требовались паспорт, подпись и несколько вопросов, а провайдер вроде нас хранил тонкую папку. Затем пришли скандалы. EU переписал свою директиву о противодействии отмыванию денег в 2015 и вновь в 2018 году, каждый раз добавляя обязанных субъектов и обязанности. Эстония приняла новый национальный закон в 2017 году, а в 2018 году отчёт Danske Bank назвал сумму около €200 млрд средств нерезидентов, прошедших через одно таллиннское отделение, значительная часть которых позднее была признана подозрительной. Небольшая страна стала синонимом отмывания денег.
Проблема Danske заключалась не в нехватке анкет. У банка были досье на клиентов-нерезидентов, но он игнорировал то, что показывал собственный мониторинг, а надзорные органы недостаточно тщательно изучали одно учреждение. Тем не менее ответом стало больше анкет для всех. Каждый банк и каждый надзорный орган поступил так, как поступает любая организация после публичного унижения: стал больше спрашивать, больше хранить и никому не доверять. По моему опыту, этот цикл движется только в одну сторону. Надзорный орган винят за скандал, который он не предотвратил, а не за анкету, которую он заставил заполнить десять тысяч добросовестных клиентов. Обязанного субъекта штрафуют за незаполненное поле, а не за добавленное. Программы упрощения существуют — в Брюсселе и Таллинне, — но от них не зависит ничья проверка, поэтому вопросы накапливаются быстрее, чем удаляются.
Закон разрешает обмен данными. На практике ими никто не делится
Идентичность, справедливости ради, уже является общей. Когда e-resident или житель Эстонии входит в систему с цифровым ID, каждый банк и поставщик услуг опирается на идентичность, проверенную государством. Не является общим всё остальное в досье: кто владелец, чем занимается бизнес, откуда поступают деньги. Закон допускает и это. Как действующая директива ЕС, так и новый Регламент ЕС о противодействии отмыванию денег, применяемый с июля 2027 года, позволяют обязанной организации полагаться на проверки клиента, уже проведённые другой обязанной организацией, а новый орган ЕС AMLA должен выпустить рекомендации о том, как это делать. Почему же банк просит нашего клиента начать с нуля?
Потому что ответственность остаётся за тем, кто полагается. Если наше досье окажется неверным, штраф получит банк, и его надзорный орган спросит банк, а не нас, почему он доверился фирме, которую не контролирует. Оценить процедуры другой компании дороже, чем отправить клиенту новую анкету, поэтому каждое учреждение делает один и тот же рациональный выбор. Закон разрешает полагаться на документы, но на практике за это наказывает, а сумма всех этих разумных индивидуальных решений и есть театр из заголовка. Досье перестало быть инструментом и стало продуктом: его задача — существовать, быть полным и предоставляться по запросу, чтобы его хранитель был защищён.
Регистрация компании — мой пример, потому что это моя работа, но такая схема проходит через всю экономику. Продажа квартиры в любом городе EU создаёт досье у агента по недвижимости, другое у нотариуса, третье у кредитующего банка и иногда четвёртое у банка, переводящего сбережения покупателя: четыре досье на одних и тех же двух лиц по одной сделке, и ни одно не использует предыдущее. Если обменять более €1 000 наличными в эстонском обменнике валют, Вас идентифицируют и внесут в учёт, а обменник будет годами хранить эту запись рядом с тысячами аналогичных. Бухгалтеры, аудиторы, юристы и торговцы ценностями ведут досье того же рода.
Что в досье снижает риск
Стандартное досье, которое банки и провайдеры по всему рынку собирают у новой компании, по моему мнению, делится на три группы: часть, затрудняющая злоупотребление компанией; часть, существующую главным образом для того, чтобы держатель мог удовлетворить инспектора; и часть, являющуюся чистым ритуалом. Таблица — моя собственная, а не юридическая классификация, и проверка в каждой строке проста: действует ли кто-нибудь когда-либо на основании этой информации?
| Элемент стандартного досье | Что он делает |
|---|---|
| Личность подтверждена документом, с проверкой вживую или по видео | Снижает риск. К компании привязано реальное лицо. |
| Бенефициарный владелец установлен и проверен по регистру | Снижает риск. Скрытое владение — то, что больше всего нужно отмывателю. |
| Документы о происхождении средств: договоры, выписки, договоры купли-продажи | Снижает риск, если кто-то их читает. Подписанная декларация о законности средств ничего не добавляет к документам. |
| Простое описание бизнеса: кто кому и за что платит | Снижает риск там, где держатель сопоставляет с ним операции. Банк это делает. Нотариус или агент по регистрации никогда не видит операции, но собирает то же описание. |
| Проверка по санкционным спискам и спискам PEP | Снижает риск и обходится дёшево, поскольку её выполняет ПО. |
| Ожидаемый годовой оборот с точностью до ближайшей тысячи для компании, которой ещё не существует | Полезен банку как базовый уровень для мониторинга. Для любого другого держателя досье это число, на которое никто больше не посмотрит. |
| Самодекларация, что клиент не является PEP и действует от собственного имени | Главным образом для инспектора. Если клиент солгал, она перекладывает вину на него; ничего не выявляет. |
| Тот же комплект, повторно собранный каждым учреждением | Для инспектора, как объяснено выше. Каждая копия защищает своего держателя; вторая копия не защищает систему. |
| Периодический повторный KYC — полная проверка раз в один или два года, когда ничего не изменилось | Для инспектора. Она доказывает, что соблюдался календарь. |
Из таблицы следуют две вещи. Во-первых, досье оправдывает себя лишь там, где кто-то затем ведёт мониторинг по нему, а в описанной выше цепочке это означает только банк. Во-вторых, объём создаёт средняя группа. Инспектор не может увидеть, поняли ли мы клиента, но видит, заполнено ли поле 14, поэтому поля добавляются и редко удаляются.
Что говорит арифметика
Я использую эстонские показатели, потому что знаю их лучше всего и потому что Financial Intelligence Unit публикует годовой отчёт. В 2024 году подразделение получило 14 185 сообщений от обязанных организаций. Оно направило следователям 133 проанализированных сообщения и осуществило около 1 700 дополнительных передач информации, а следователи изъяли активы на €5,7 млн, которые подразделение заморозило. Согласно национальной оценке рисков, проанализированные сообщения подразделения привели к десяти новым уголовным производствам в 2024 году, а за пять лет до 2024 года эстонские суды вынесли 32 решения по делам об отмывании денег.
Теперь другая сторона. Ежегодно в Эстонии регистрируется более 25 000 новых частных компаний с ограниченной ответственностью, регистр содержит около 370 000 юридических лиц всех видов, а программа e-Residency насчитывает более 134 000 е-резидентов. Каждая новая компания, каждый счёт и каждое цифровое удостоверение означают как минимум одно полное KYC-досье, обычно несколько. Моя приблизительная оценка — и я подчёркиваю, что это моя оценка, — состоит в том, что обязанные субъекты в Эстонии создают значительно более ста тысяч KYC-досье в год, а вся система превращает их в десять уголовных производств и несколько миллионов евро изъятий. Предположим, один клиент из десяти тысяч имеет преступный умысел. Остальные 9 999 проходят три или четыре цикла проверок, чтобы его можно было найти, а приведённые цифры показывают, что обычно его не находят.
Есть два справедливых возражения, и я хочу их изложить. Первое — сдерживание: преступники, которые вообще не подают заявку, потому что знают, что их будут спрашивать, не попадают ни в какую статистику. Это верно, и именно поэтому никому ещё не приходилось это доказывать. Второе — масштаб: одна схема отмывания может переместить больше денег, чем заработают тысяча добросовестных компаний, и если бы досье остановили Danske, они окупились бы многократно. Но досье не остановили Danske, а осуждения, которые FIU описывает в своём ежегоднике, начались с сообщений о подозрительных операциях, а не с анкет. На досье при онбординге тратятся деньги; результаты даёт мониторинг. Международные данные указывают на то же самое. Europol в 2016 году оценил, что в ЕС когда-либо конфискуется лишь около 1% преступных доходов, а исследователь Рональд Пол, который попытался сопоставить затраты и возвраты, заключил, что расходы на соблюдение требований превышают возвращённые средства более чем в сто раз. Ни один надзорный орган Эстонии не опубликовал подобного сравнения для системы, которой он управляет.
Я не ожидаю улучшения баланса. Новая нормативная база EU добавляет европейский надзорный орган, общеевропейский лимит €10 000 на платежи наличными и несколько новых категорий обязанных субъектов — от краудфандинговых платформ до футбольных клубов. Каждая новая категория означает ещё один ящик. Каждый будущий скандал добавит поля, потому что добавлением полей учреждение показывает, что извлекло урок. А единая европейская нормативная база усложняет любой откат, поскольку вопрос, внесённый в регламент, нельзя удалить национальному парламенту, заметившему его бесполезность.
Почему никто не говорит об этом вслух
Взвешивать это немодно. Публично единственная безопасная позиция по отмыванию денег — больше: больше проверок, больше сообщений, больше усердия. Любого, кто спросит, достиг ли чего-то последний раунд правил, могут услышать как человека, желающего меньше правил для преступников, поэтому специалисты по комплаенсу и юристы, которые, по моему опыту, в частном порядке разделяют многие из этих сомнений, оставляют их при себе. Борьба с отмыванием денег стала скорее делом, чем политикой, а у дел редко спрашивают показатели затрат и выгод.
Это стоит сказать прямо, учитывая, куда ведёт путь, если никто не будет взвешивать последствия. Европа, создавшая самый строгий в мире закон о конфиденциальности, другой рукой обязала миллионы частных предприятий годами хранить досье на клиентов, сообщать о них государству при подозрении и отвечать за это, если досье недостаточно. Каждое из этих досье было открыто добросовестно, чтобы остановить преступление. В совокупности они образуют постоянную запись о том, кто чем владеет и кто кому платил, хранимую в ящиках, которые прежде всего отвечают инспектору. Не думаю, что кто-то это проектировал. Также не думаю, что это должно продолжать расти без вопроса о том, для чего оно нужно.
Что я бы изменил
Для большей части этого не нужен новый закон, нужны лишь другие решения о применении существующего. Первому пункту нужен.
- Одно проверенное досье у клиента. Кто-то один проверяет лицо и принимает ответственность за эту проверку, обеспеченную лицензией, страхованием и аудитом, чтобы учреждение, которое на неё полагается, не наказывали за ошибку. Таким проверяющим может быть банк, нотариус, лицензированный провайдер или государственный сервис на основе цифрового удостоверения; важно, где находится ответственность. Сегодняшние правила, как национальные, так и EU, возлагают её на того, кто полагается, поэтому никто не полагается. Для изменения нужны законодатели, а готовящиеся рекомендации AMLA о полагании — естественное место для начала обсуждения.
- Надзирать за результатами, а не анкетами. Проверка должна спрашивать, что дал мониторинг фирмы и куда направлялись её сообщения, а не заполнено ли каждое поле каждой анкеты.
- Анкеты, соответствующие компании. Новой компании с одним основателем и без оборота нужны две страницы, а не двадцать. Расширенные вопросы и более глубокие проверки, которые закон предусматривает для клиентов с повышенным риском, должны применяться там, где начинается деятельность и появляется предмет для изучения.
- Повторный KYC при изменениях, а не по календарю. Новый владелец, новая страна или новое направление бизнеса — причина проверить вновь. Прошествие двух лет — нет.
- Использовать данные, уже имеющиеся у государства. Для существующей компании Коммерческий регистр Эстонии (Äriregister) содержит сведения о владельцах, правлении и годовых отчётах. Обязанный субъект должен получать их из регистра, а не просить клиента повторно вводить их. Верховный суд Эстонии применил ту же логику к самому надзорному органу в январе 2026 года, когда признал незаконной анкету из 44 вопросов, которую подразделение финансовой разведки направило всем лицензированным провайдерам услуг, отчасти потому, что государство должно сначала использовать уже имеющиеся у него данные.
Как пройти проверки без театра
В Eesti Firma мы запрашиваем то, что требуется законом и нашей собственной оценкой риска, и объясняем, почему важен каждый документ. Мы также помогаем клиентам с самого начала подготовить единый комплект документов и ответов, который можно передать банку и платёжному учреждению без переписывания, поскольку, по моему опыту, онбординг сокращает не более короткая анкета, а одинаково описанный для всех спрашивающих бизнес. Для компаний, которые сами становятся обязанными субъектами, мы разрабатываем политики и процедуры, требуемые законом; признаю, это часть того же театра. Разница, которую мы можем обеспечить, — написать их так, чтобы ими можно было пользоваться, а не только чтобы они были полными. Если Вы учреждаете компанию и хотите, чтобы комплаенс-частью занимались люди, читающие то, что Вы отправляете, мы можем помочь с регистрацией компании и всем, что следует за ней.
