Коротка відповідь
Правила протидії відмиванню коштів зобов’язують кожен бізнес, який обслуговує Вас, — від провайдера корпоративних послуг і нотаріуса до банку — сформувати та зберігати власне досьє про Вас. Закон дозволяє їм покладатися на роботу одне одного, але відповідальність залишає на тому, хто покладається, тому на практиці кожен починає з нуля, а один клієнт зрештою має три або чотири окремі досьє. Кожне досьє потребує витрат на персонал і програмне забезпечення, і за все це платить клієнт. Невелика частина цієї паперової роботи знижує ризик. Більшість існує, щоб організація, яка її зберігає, могла показати інспектору, що вона поставила запитання.
Я займаюся комплаєнсом професійно. Eesti Firma є ліцензованим провайдером трастових і корпоративних послуг, що робить нас зобов’язаною особою: одним із підприємств, які законодавство про протидію відмиванню коштів (AML), застосовуване в майже однаковій формі по всьому EU, зобов’язує перевіряти клієнтів і повідомляти про те, що виглядає підозрілим. Кожного клієнта, який реєструє через нас компанію, ідентифікують, перевіряють і запитують про походження коштів, і я вважаю, що це слід робити належно. Ідентифікація звичайного засновника та його перевірка за списками санкцій і політично значущих осіб займає у навченої людини приблизно 15–20 хвилин. Решта онбордингу — це паперова робота, побудована навколо цих п’ятнадцяти хвилин, яку потім із самого початку відтворює кожна інша зобов’язана особа, з якою стикається клієнт.
Це не аргумент проти перевірок «знай свого клієнта» (KYC). Це аргумент про те, на що вони перетворилися. Кожен у ланцюгу виконує роботу ретельно, бо всі бояться наслідків її невиконання, і десь на цьому шляху цей страх став головною метою. Я дійшов висновку, що досьє існує не стільки для запобігання відмиванню коштів, скільки для доказу під час візиту інспектора, що організація, яка його зберігає, поставила правильні запитання.
Один клієнт, три або чотири раунди перевірок
Ось як виглядають перші кілька місяців для нашого типового клієнта — засновника з Німеччини, Іспанії чи Туреччини, який хоче створити естонське товариство з обмеженою відповідальністю (OÜ) і відкрити дієвий рахунок. Послідовність була б майже такою самою в Дубліні чи Лісабоні, оскільки правила походять з тих самих директив EU; Естонія додає власний етап для e-residents.
- Держава — для e-residents. Засновник, який хоче отримати цифрове посвідчення Естонії, подає заявку на e-Residency, а Police and Border Guard Board проводить перевірку біографічних даних до видачі картки. У юридичному сенсі це не AML-перевірка, а перевірка відповідно до іншого закону, проте тут запитують той самий паспорт і те саме пояснення мети, а заявник сплачує за це державне мито.
- Провайдер послуг. Ми перевіряємо особу засновника, встановлюємо кінцевого бенефіціарного власника, перевіряємо його за санкційними списками та списками PEP (PEP — це політично значуща особа, чия публічна посада створює ризик хабарництва), запитуємо, чим займатиметься бізнес і звідки надійдуть стартові кошти, та присвоюємо рівень ризику. Це анкета, пакет документів і зазвичай відеодзвінок.
- Нотаріус. Засновник без естонського цифрового посвідчення натомість створює компанію через нотаріуса, а нотаріус є окремою зобов’язаною особою з такими самими обов’язками. Наше досьє не має ваги в його офісі; він самостійно ідентифікує клієнта та перевіряє власника.
- Банк або платіжна установа. Той, хто відкриває рахунок — банк або фінтех-компанія, — проводить за власною формою, власним переліком документів і власною співбесідою: знову бізнес-план, очікувані обсяги, основні контрагенти та джерело коштів. Другий рахунок, який потрібен багатьом нашим клієнтам, означає ще один такий самий раунд.
Залежно від маршруту засновник проходить три або чотири такі перевірки, і на цьому вони не припиняються. Коли клієнт сплачує наш рахунок, наш власний банк може запитати нас, хто є платником і за що сплачуються кошти. Бухгалтер, який згодом бере компанію на обслуговування, теж є зобов’язаною особою. І кожна з цих організацій мусить зберігати своє досьє щонайменше п’ять років після завершення відносин, підтримувати його актуальність, захищати його як персональні дані та здійснювати моніторинг за ним, оскільки кожна окремо відповідає за те, що зберігає.
За кожен раунд сплачують окремо. Провайдер на кшталт нашого наймає людей для читання анкет, витребування документів, перевірки імен, складання оцінки ризику та подальшого ведення досьє роками, і ця робота покривається винагородою. Нотаріус виставляє рахунок за час. Банки є найбільшими витратниками; одне галузеве дослідження оцінило витрати на комплаєнс щодо фінансових злочинів у світовому фінансовому секторі більш ніж у $270 млрд у 2022 році. Ніхто не підсумовує ці цифри, бо кожна міститься в іншому бюджеті, але клієнт оплачує їх усі — у винагородах і державному миті, — а комплаєнс-персонал на кожному етапі не бачить, що виявив попередній. І, як решта зведення правил EU, це фіксована витрата: банк її поглинає, а провайдер із дюжиною працівників відчуває її повністю.
Як форма стала досьє
Десять років тому перевірки існували, але це була форма, а не досьє. Відкриття рахунку означало паспорт, підпис і кілька запитань, а такий провайдер, як ми, вів тонку справу. Потім сталися скандали. EU переписав свою директиву про протидію відмиванню коштів у 2015 році та знову у 2018 році, щоразу додаючи зобов’язаних осіб і обов’язки. Естонія отримала новий національний закон у 2017 році, а в 2018 році звіт Danske Bank назвав суму близько €200 млрд коштів нерезидентів, що пройшли через одне талліннське відділення, значна частина яких пізніше була визнана підозрілою. Мала країна стала синонімом відмивання коштів.
У Danske не бракувало форм. Банк мав досьє на клієнтів-нерезидентів і ігнорував те, що показував його власний моніторинг, а наглядові органи недостатньо ретельно перевіряли одну установу. Відповіддю, однак, стали додаткові форми для всіх. Кожен банк і кожен наглядовий орган зробили те, що робить будь-яка організація після публічного приниження: більше запитували, більше зберігали й нікому не довіряли. З мого досвіду, цей цикл рухається лише в один бік. Наглядовий орган звинувачують у скандалі, якому він не запобіг, а не в анкеті, яку він змусив заповнити десять тисяч чесних клієнтів. Зобов’язану особу штрафують за незаповнене поле, а не за поле, яке вона додала. Програми спрощення існують у Брюсселі й Таллінні, але від них не залежить жодна перевірка, тож запитання накопичуються швидше, ніж їх вилучають.
Закон дозволяє обмін. На практиці ніхто не ділиться
Якщо бути справедливими, ідентичність уже спільна. Коли e-resident або резидент Естонії входить за допомогою цифрового ID, кожен банк і постачальник послуг покладається на підтверджену державою ідентичність. Не є спільним усе інше в досьє: хто є власником, чим займається бізнес, звідки надходять гроші. Закон це також дозволяє. І чинна директива EU, і новий Регламент EU щодо протидії відмиванню коштів, який застосовується з липня 2027 року, дозволяють зобов’язаній особі покладатися на перевірки клієнта, уже проведені іншою зобов’язаною особою, а новий орган EU AMLA має видати настанови щодо того, як це робити. То чому банк просить нашого клієнта починати з нуля?
Тому що відповідальність залишається на тому, хто покладається. Якщо наше досьє виявиться помилковим, штраф отримає банк, а наглядовий орган банку запитає банк, а не нас, чому він довірив фірмі, яку не контролює. Оцінити процедури іншої компанії коштує дорожче, ніж надіслати клієнту нову форму, тому кожна установа робить той самий раціональний вибір. Закон дозволяє покладатися на папері й карає за це на практиці, а сума всіх цих розумних індивідуальних виборів і є театром із заголовка. Досьє перестало бути інструментом і стало продуктом: його завдання — існувати, бути повним і доступним на вимогу, щоб той, хто його зберігає, був захищений.
Реєстрація компанії є моїм прикладом, бо це моя робота, але ця модель проходить через усю економіку. Продаж квартири в будь-якому місті EU породжує досьє в агента з нерухомості, інше — у нотаріуса, третє — у банку-кредиторі, а іноді четверте — у банку, що переказує заощадження покупця: чотири досьє на тих самих двох людей для однієї операції, і жодне не спирається на попереднє. Обміняйте понад €1 000 готівкою в естонському пункті обміну валют — і Вас ідентифікують та зафіксують, а обмінник зберігатиме цей запис роками поруч із тисячами подібних. Бухгалтери, аудитори, юристи та торговці цінностями зберігають досьє такого самого виду.
Що в досьє знижує ризик
Стандартне досьє, яке банки та провайдери на ринку збирають від нової компанії, на мій погляд, поділяється на три групи: частина, що ускладнює зловживання компанією; частина, яка існує переважно для того, щоб зберігач міг задовольнити інспектора; і частина, що є чистим ритуалом. Таблиця є моєю власною класифікацією, а не юридичною, і критерій у кожному рядку простий: чи хтось коли-небудь діє на підставі цього фрагмента інформації?
| Елемент стандартного досьє | Що він робить |
|---|---|
| Особа, перевірена за документом, із живою або відеоперевіркою | Знижує ризик. До компанії прив’язано реальну людину. |
| Кінцевого бенефіціарного власника встановлено та перевірено за реєстром | Знижує ризик. Прихована власність — це те, чого найбільше потребує відмивач коштів. |
| Документи про джерело коштів: договори, виписки, договори купівлі-продажу | Знижує ризик, якщо хтось їх читає. Підписана декларація про законність коштів нічого не додає до документів. |
| Простий опис бізнесу: хто кому платить і за що | Знижує ризик, коли зберігач відстежує операції щодо нього. Банк це робить. Нотаріус або агент із реєстрації ніколи не бачить операції, але збирає такий самий опис. |
| Перевірка за санкціями та PEP | Знижує ризик і є недорогою, оскільки її виконує програмне забезпечення. |
| Очікуваний річний оборот із точністю до тисячі для компанії, якої ще не існує | Корисно банку як базовий рівень для моніторингу. Для кожного іншого зберігача досьє це число, на яке більше ніхто не подивиться. |
| Самодекларація, що клієнт не є PEP і діє від власного імені | Переважно для інспектора. Вона перекладає провину на клієнта, якщо той збрехав; нічого не виявляє. |
| Той самий пакет, який кожна установа збирає повторно | Для інспектора, як пояснено вище. Кожна копія захищає свого зберігача; друга копія не захищає систему. |
| Періодичний повторний KYC — повна перевірка щороку або раз на два роки, коли нічого не змінилося | Для інспектора. Це доводить, що календаря дотримувалися. |
Із таблиці випливають дві речі. По-перше, досьє виправдовує себе лише там, де хтось згодом здійснює моніторинг за ним, а в наведеному ланцюгу це означає банк і лише банк. По-друге, обсяг створює середня група. Інспектор не може побачити, чи ми зрозуміли клієнта, але бачить, чи заповнено поле 14, тому поля додають і рідко вилучають.
Що кажуть цифри
Я використовую естонські дані, оскільки знаю їх найкраще й тому, що Підрозділ фінансової розвідки публікує щорічник. У 2024 році підрозділ отримав 14 185 повідомлень від зобов’язаних осіб. Він здійснив 133 проаналізовані передачі слідчим і близько 1 700 додаткових передач інформації, а слідчі вилучили активи на €5,7 мільйона, які підрозділ заморозив. Згідно з національною оцінкою ризиків, проаналізовані передачі підрозділу призвели до десяти нових кримінальних проваджень у 2024 році, а за п’ять років до 2024 року естонські суди винесли 32 вироки у справах про відмивання коштів.
Тепер інший бік. Щороку в Естонії реєструють понад 25 000 нових товариств з обмеженою відповідальністю, реєстр містить близько 370 000 юридичних осіб усіх видів, а програма e-Residency налічує понад 134 000 e-residents. Кожна нова компанія, кожен рахунок і кожне цифрове посвідчення означають щонайменше одне повне KYC-досьє, зазвичай кілька. Моя приблизна оцінка, і я наголошую, що це саме моя оцінка, полягає в тому, що зобов’язані особи в Естонії створюють значно понад сто тисяч KYC-досьє на рік, а вся система перетворює їх на десять кримінальних проваджень і кілька мільйонів євро вилучених коштів. Припустімо, що один клієнт із десяти тисяч має злочинний намір. Інші 9 999 проходять три або чотири раунди перевірок, щоб його можна було знайти, а наведені вище цифри свідчать, що зазвичай його не знаходять.
Є два слушні заперечення, і я хочу їх викласти. Перше — стримування: злочинці, які ніколи не подають заяв, бо знають, що їх запитають, не відображаються в жодній статистиці. Це правда, і саме тому ніхто ніколи не мусив це доводити. Друге — масштаб: одна схема відмивання може перемістити більше грошей, ніж заробляють тисяча чесних компаній, і якби досьє зупинили Danske, вони б окупилися багаторазово. Але досьє не зупинили Danske, а засудження, які FIU описує у своєму щорічнику, починалися з повідомлень про підозрілі транзакції, а не з анкет. Досьє під час онбордингу — це те, на що витрачаються гроші; моніторинг — це те, звідки беруться результати. Міжнародні дані вказують на те саме. Europol оцінив у 2016 році, що в EU коли-небудь конфіскується лише близько 1% злочинних доходів, а дослідник Рональд Пол, який намагався зіставити витрати й повернуті кошти, дійшов висновку, що витрати на дотримання вимог перевищують повернуті кошти більш ніж у сто разів. Жоден наглядовий орган в Естонії не опублікував такого порівняння для системи, якою він керує.
Я не очікую поліпшення балансу. Нове зведення правил EU додає європейський наглядовий орган, загальноєвропейський ліміт €10 000 на готівкові платежі та кілька нових категорій зобов’язаних осіб — від краудфандингових платформ до футбольних клубів. Кожна нова категорія означає ще одну шухляду. Кожен майбутній скандал додаватиме поля, бо додавання полів — це спосіб установи продемонструвати, що вона засвоїла урок. А єдине європейське зведення правил ускладнює будь-яке згортання, адже запитання, внесене до регламенту, не може вилучити національний парламент, який помітить його непотрібність.
Чому ніхто не говорить цього вголос
Зважувати це немодно. Публічно єдина безпечна позиція щодо відмивання коштів — більше: більше перевірок, більше повідомлень, більше завзяття. Кожен, хто запитує, чи досяг останній раунд правил чогось, ризикує бути почутим як людина, що хоче менше правил для злочинців, тому комплаєнс-фахівці та юристи, які, з мого досвіду, поділяють багато таких сумнівів приватно, залишають їх при собі. Боротьба з відмиванням коштів стала радше справою, ніж політикою, а справи рідко просять показати показники витрат і вигод.
Це варто сказати прямо через те, куди веде шлях, якщо ніхто не зважує наслідків. Європа, яка ухвалила найсуворіший у світі закон про приватність, іншою рукою зобов’язала мільйони приватних підприємств роками зберігати досьє на своїх клієнтів, повідомляти про них державі за підозри та відповідати за це, якщо досьє є неповним. Кожне з цих досьє відкрили добросовісно, щоб зупинити злочин. Разом вони становлять постійний облік того, хто чим володіє і хто кому заплатив, збережений у шухлядах, що передусім звітують перед інспектором. Не думаю, що хтось це спроєктував. Також не думаю, що це має продовжувати зростати без запитання, для чого воно потрібне.
Що я б змінив
Для більшості цього не потрібен новий закон, лише інші рішення щодо застосування чинного. Перший пункт потребує.
- Одне перевірене досьє, яке має клієнт. Хтось один перевіряє особу та бере відповідальність за цю перевірку, підтверджену ліцензією, страхуванням і аудитом, щоб установа, яка на неї покладається, не була покарана, якщо вона помилкова. Таким верифікатором може бути банк, нотаріус, ліцензований провайдер або державний сервіс на основі цифрового посвідчення; важливо, де лежить відповідальність. Сьогоднішні правила, як національні, так і EU, покладають її на того, хто покладається, і тому ніхто не покладається. Для зміни потрібні законодавці, а майбутні рекомендації AMLA щодо покладання є природним місцем для початку дискусії.
- Нагляд за результатами, а не формами. Під час перевірки слід запитувати, що дав моніторинг фірми та куди потрапили її повідомлення, а не чи заповнено кожне поле в кожній формі.
- Форми, що відповідають компанії. Новій компанії з одним засновником і без обороту потрібні дві сторінки, а не двадцять. Посилені запитання, глибші перевірки, які закон резервує для клієнтів із вищим ризиком, мають застосовуватися тоді, коли починається діяльність і є що перевіряти.
- Повторний KYC за зміною, а не за календарем. Новий власник, нова країна чи новий напрям діяльності — причина перевірити знову. Сплив двох років — ні.
- Використовувати дані, які держава вже має. Для чинної компанії Комерційний реєстр Естонії (Äriregister) містить дані про власників, правління та річні звіти. Зобов’язана особа має отримувати їх із реєстру, а не просити клієнта вводити їх повторно. Верховний суд Естонії застосував ту саму логіку до самого наглядового органу в січні 2026 року, коли визнав незаконною форму з 44 запитань, яку Financial Intelligence Unit надіслав усім ліцензованим провайдерам послуг, частково тому, що держава спершу має використати дані, які вже зберігає.
Як пройти перевірки без театру
У Eesti Firma ми запитуємо те, чого вимагають закон і наша власна оцінка ризику, та пояснюємо, чому важливий кожен документ. Ми також допомагаємо клієнтам на початку підготувати один пакет документів і відповідей, який можна надати банку та платіжній установі без переписування, бо, з мого досвіду, онбординг робить коротким не коротша анкета, а однаково описаний для всіх, хто запитує, бізнес. Для компаній, які самі стають зобов’язаними особами, ми розробляємо політики та процедури, яких вимагає закон; визнаю, це частина того самого театру. Різниця, яку ми можемо забезпечити, — написати їх придатними до використання, а не лише формально повними. Якщо Ви створюєте компанію й хочете, щоб частину комплаєнсу виконували люди, які читають те, що Ви надсилаєте, ми можемо допомогти з реєстрацією компанії та з усім, що за нею йде.
