Подготовка к skinny-счетам: руководство для криптокомпаний

Типы VASP: рекомендации ориентированы на криптобиржи, кастодиальные кошельки, OTC-платформы и крипто-платежные шлюзы (PSP).

Юрисдикции: план предполагает, что у компании есть лицензия в юрисдикции с развитым регулированием (например, VASP в ЕС, лицензия в ОАЭ или Сингапуре).

Исключения: это руководство не охватывает специфические требования для компаний с лицензиями США (например, BitLicense в штате Нью-Йорк), которые налагают иные, более строгие обязательства.

Основной операционный счет для ежедневных платежей.

Резервный операционный счет в другом банке и/или юрисдикции для быстрого переключения потоков.

Резервный кастодиальный счет в банке с высокой надежностью, не используемый для частых операций.

Платежные потоки: соответствие географии ваших основных клиентов и контрагентов.

Регулирование: наличие четких правил для VASP (например, Швейцария, Сингапур, ОАЭ, страны ЕС в рамках режима MiCA).

Репутация банка: опыт работы банка с криптокомпаниями и прозрачная политика управления рисками.

EMI (институты электронных денег): более гибкие, чем банки, но часто имеют более высокие комиссии и лимиты на объемы.

Платежные провайдеры (PSP): подходят для приема платежей, но не для хранения крупных сумм.

Banking-as-a-Service (BaaS): платформы, предоставляющие банковскую инфраструктуру через API. Требуют технической интеграции.

Постоянное представительство (PE): наличие локального менеджера с правом подписи или офиса в стране банка может создать налоговые обязательства для всей компании в этой юрисдикции.

Контролируемые иностранные компании (КИК/CFC): прибыль дочерней компании, открытой для обслуживания счета, может облагаться налогом в стране материнской компании.

Создает ли открытие и ведение счета в [Юрисдикция] риск возникновения постоянного представительства (PE)?

Каковы требования к отчетности по правилам КИК в нашей основной юрисдикции?

Требует ли наша бизнес-модель получения местной лицензии VASP в [Юрисдикция]?

Как автоматический обмен информацией (CRS) повлияет на конфиденциальность данных наших бенефициаров и отчетность?

Chain-hopping (чейн-хоппинг): пользователь быстро обменивает один актив на другой через несколько транзакций, чтобы запутать след.

Взаимодействие с миксерами/санкционными адресами: прямые или косвенные (в пределах 1–2 «шагов») связи с адресами из санкционных списков (OFAC) или связанными с даркнетом.

Резкие всплески ввода/вывода: крупный депозит, за которым почти мгновенно следует вывод на множество адресов.

SLA по обновлению данных: как быстро новые санкционные адреса попадают в базу?

Возможности кастомизации: можно ли создавать свои правила и риск-скоры?

API latency: какова задержка ответа API при проверке транзакции?

Ретроспективный анализ: поддерживает ли инструмент сканирование исторических данных?

Определить область (scope): выберите 1–2 ключевых сценария риска для теста (например, входящие платежи > 1 000 $).

Тест на исторических данных: загрузите данные за последние 3 месяца и оцените количество и качество аллертов.

Оценка FPR и точности: сравните результаты с вашей текущей системой или ручными проверками.

Бизнес-план на 3–5 лет с финансовыми прогнозами.

Детальное описание программы AML/BSA, включая политики, процедуры и отчеты независимого аудита.

Политики информационной безопасности, планы непрерывности бизнеса (BCP) и аварийного восстановления (DRP), подтвержденные аудиторскими отчетами (например, SOC 2 Type II, ISO 27001).

Аудированная финансовая отчетность за последние 3 года, подтверждающая достаточность капитала.

Юридическое заключение (legal opinion) от авторитетной фирмы США, подтверждающее соответствие требованиям.

Биографии и подтверждение квалификации ключевых руководителей (в формате анкет регулятора).

Оценка воздействия на защиту данных (DPIA): проведите DPIA для всех процессов, связанных с обработкой персональных данных клиентов (KYC, мониторинг транзакций).

Согласие пользователя: четко пропишите в политике конфиденциальности, какие данные собираются для целей AML, как долго хранятся и кому могут передаваться.

Минимизация данных для Travel Rule: при передаче информации о транзакции другому VASP используйте защищенные каналы (например, протокол TRP) и передавайте только необходимый минимум персональных данных (PII), требуемый законом.

Ситуация: криптобиржа «А» из ЕС проактивно открыла операционные счета в банках Швейцарии и ОАЭ в дополнение к основному счету в Литве.

Инцидент: литовский банк заморозил счет из-за изменения своей политики работы с криптоактивами, сославшись на высокий риск.

Результат: компания переключила все операционные потоки на швейцарский счет за 3 часа. Финансовые потери минимальны, репутационного ущерба нет.

Ситуация: платежный провайдер «Б» использовал упрощенную AML-политику и не проводил глубокий on-chain анализ.

Инцидент: банк-партнер обнаружил несколько транзакций, связанных с миксерами, и немедленно закрыл счет, подав SAR регулятору.

Результат: компания потеряла единственный банковский канал. Из-за негативной репутации и слабой AML-документации другие банки отказывали в открытии счета в течение 4 месяцев, что привело к фактической остановке бизнеса.

Проведите внутренний аудит и подготовьте документы (см. раздел 2). Оцените текущие процессы AML/KYC и соберите безупречный комплаенс-пакет. Это ваш фундамент.

Диверсифицируйте банковских партнеров (см. раздел 1). Откройте как минимум один резервный счет в другой юрисдикции, предварительно оценив юридические и налоговые риски с помощью консультантов.

Автоматизируйте мониторинг и планирование (см. разделы 3 и 6). Внедрите AML-решение для скрининга транзакций и разработайте детальный план действий в чрезвычайных ситуациях. Тестируйте его регулярно.

VASP (Virtual Asset Service Provider): провайдер услуг в сфере виртуальных активов.

SAR (Suspicious Activity Report): отчет о подозрительной активности, подаваемый финансовому регулятору.

UBO (Ultimate Beneficial Owner): конечный бенефициарный владелец.

Travel Rule: рекомендация FATF, требующая от VASP собирать и передавать информацию об участниках транзакции.

Skinny Master Account: специализированный счет в ФРС США, дающий прямой доступ к платежной системе страны.

RTO/RPO (Recovery Time/Point Objective): целевые показатели времени и точки восстановления после сбоя.