Зачем компании управлять досье
Клиентское досье по 115‑ФЗ — это набор сведений и документов, по которым организация подтверждает идентификацию клиента, его риск‑профиль и выполнение процедур внутреннего контроля. Конкретный состав досье зависит от статуса организации, типа клиента, уровня риска и применимых актов регулятора. Ошибки в хранении такого досье чаще всего всплывают не сразу, а при запросе регулятора, внутреннем аудите, споре с клиентом или проверке соблюдения требований 115‑ФЗ. Поэтому важно заранее определить, какие документы входят в досье, где и в каком формате они хранятся, кто имеет доступ и в какой момент досье можно уничтожить.
Что такое клиентское досье
В самом 115‑ФЗ нет единого развёрнутого определения «клиентского досье» для всех субъектов. Закон обязывает хранить документы, содержащие сведения, указанные в статье 7, а также документы и сведения, необходимые для идентификации личности клиента, его представителя, выгодоприобретателя и бенефициарного владельца. Для кредитных организаций более конкретное определение содержится в Положении Банка России № 499‑П: анкета (досье) клиента — это документ или комплект документов на бумажном и (или) электронном носителе, где фиксируются сведения о клиенте, его представителе, выгодоприобретателе и бенефициарном владельце.
Какой режим регулирования применять
Режим регулирования работы с досье зависит от статуса организации. Кредитные организации руководствуются актами Банка России, в том числе Положением № 499‑П. Некредитные финансовые организации ориентируются на профильные акты Банка России, которые регулируют идентификацию клиентов и хранение документов. Иные субъекты 115‑ФЗ проверяют применимость к себе актов Росфинмониторинга, в том числе Приказа № 74 об идентификации клиентов, представителей, выгодоприобретателей и бенефициарных владельцев. При этом Приказ Росфинмониторинга № 74 нельзя рассматривать как универсальный акт для всех: его применимость нужно оценивать с учётом статуса организации и сферы её деятельности.
Сколько хранить клиентское досье
По пункту 4 статьи 7 115‑ФЗ документы, содержащие сведения, указанные в этой статье, а также документы и сведения, необходимые для идентификации личности, подлежат хранению не менее пяти лет со дня прекращения отношений с клиентом. Срок не привязан ни к дате последней операции, ни к дате последнего обновления анкеты: отсчёт начинается именно с момента прекращения отношений. Если специальные нормы или внутренние документы организации устанавливают более длительный срок, применяется именно этот, более длительный период.
Для кредитных организаций аналогичный подход прямо закреплён в Положении № 499‑П: анкета (досье) клиента хранится не менее пяти лет со дня прекращения отношений с клиентом, а старые версии анкеты, результаты обновления сведений и документы по проверкам не подлежат удалению только потому, что клиент предоставил новые данные.
Как считать дату прекращения отношений
Дату прекращения отношений с клиентом определяют по договору и внутренним правилам организации. Это может быть, например, дата закрытия последнего банковского счёта, прекращение договора банковского обслуживания, исполнение или прекращение договора займа, завершение срока действия страхового договора и исполнение связанных обязательств. Если у клиента есть несколько продуктов или договоров, в правилах внутреннего контроля целесообразно закрепить, что срок хранения досье рассчитывается с даты прекращения последнего договора или прекращения связанных обязательств. Пять лет в таком случае выступают минимальным сроком, а организация вправе закрепить более длительный период хранения досье в ПВК, архивной политике или отдельном регламенте — например, для целей судебных споров, претензионной работы, налоговых и архивных требований.
Что включать в клиентское досье
Состав клиентского досье зависит от статуса организации, типа клиента, уровня присвоенного риска и применимого регулирования. На практике в досье обычно входят: идентификационные сведения о клиенте, сведения о его представителях, данные о выгодоприобретателе и бенефициарном владельце, риск‑профиль клиента, а также материалы внутреннего контроля, относящиеся к конкретному клиенту.
Сведения по видам клиентов
Для физического лица в досье фиксируются ФИО, дата рождения, гражданство, реквизиты документа, удостоверяющего личность, ИНН при наличии, адрес и иные сведения, предусмотренные применимыми требованиями и внутренними документами организации. Для юридического лица отражаются наименование, организационно‑правовая форма, регистрационные данные, ИНН, адрес, сведения об органах управления и лицах, действующих от имени организации. Для индивидуального предпринимателя досье включает сведения о физическом лице и регистрационные данные ИП, в том числе ИНН, ОГРНИП и данные о регистрации. Если операция совершается через представителя, досье должно содержать сведения и документы, подтверждающие его полномочия.
Выгодоприобретатель и бенефициарный владелец
Отдельный блок клиентского досье — сведения о выгодоприобретателе и бенефициарном владельце. Для клиента‑юридического лица устанавливается физическое лицо, которое прямо или косвенно владеет более 25% капитала либо иным образом контролирует действия клиента. Если такое лицо определить не удалось, в досье фиксируются предпринятые меры, использованные источники информации и причина невозможности установить бенефициарного владельца.
Риск‑профиль и материалы внутреннего контроля
Риск‑профиль клиента целесообразно хранить не только в актуальной версии. При изменении уровня риска в досье должны сохраняться прежние оценки, дата пересмотра и основание изменения подхода. Материалы внутреннего контроля, относящиеся к конкретному клиенту (например, результаты проверок, внутренние отчёты, решения о сообщениях в Росфинмониторинг), должны быть связаны с его досье или доступны через систему внутреннего учёта.
Формат хранения досье
115‑ФЗ устанавливает требования к срокам хранения, но не задаёт единый формат архива. Для банков Положение № 499‑П прямо допускает ведение анкеты (досье) клиента на бумажном и (или) электронном носителе. На практике организации используют бумажный архив, электронное досье либо смешанную модель, а выбранный формат, место хранения оригиналов и электронных копий закрепляют в правилах внутреннего контроля, архивной политике или регламенте документооборота.
Указание № 2346‑У: где границы применения
Указание Банка России № 2346‑У не устанавливает универсальный порядок хранения всего KYC‑досье. Этот акт регулирует электронное хранение отдельных документов кредитных организаций, связанных с осуществлением банковских операций, и не подменяет собой требования 115‑ФЗ и профильных актов по ПОД/ФТ.
Как работать с версиями и обновлениями
Клиентское досье должно отражать историю работы с клиентом. Если обновляются паспортные данные, адрес, сведения о представителях или риск‑профиль, прежняя версия анкеты не должна исчезать. Корректно будет сохранять историю изменений: дату обновления, источник новых сведений, сотрудника или систему, внёсшую изменения, и основание пересмотра. Периодичность обновления информации определяется применимыми требованиями, уровнем риска клиента и правилами внутреннего контроля.
Обновление анкеты и срок хранения
Обновление анкеты клиента не изменяет порядок исчисления срока хранения досье. Пятилетний срок по 115‑ФЗ по‑прежнему считается от даты прекращения отношений с клиентом, а не от даты последнего обновления сведений.
Персональные данные в клиентском досье
Клиентское досье почти всегда содержит персональные данные — как самих клиентов, так и их представителей, выгодоприобретателей и бенефициарных владельцев. Поэтому при его хранении нужно учитывать не только требования 115‑ФЗ, но и нормы 152‑ФЗ о персональных данных, включая требования к локализации баз данных и режимам доступа. При сборе персональных данных граждан РФ операции записи, систематизации, накопления, хранения, уточнения и извлечения не допускается осуществлять с использованием баз данных, находящихся за пределами России, за исключением случаев, прямо предусмотренных 152‑ФЗ.
Иностранные сервисы и трансграничная передача
Использование иностранных сервисов для обработки KYC‑данных требует отдельной оценки с точки зрения 152‑ФЗ, архитектуры хранения данных, условий поручения обработки и трансграничной передачи персональных данных. Важно проверить, где физически размещены сервера, в каком статусе выступает провайдер услуг (оператор, лицо, действующее по поручению оператора), и какие правовые основания используются для трансграничной передачи.
Доступ и аудит действий с досье
Клиентское досье должно быть не только сохранено, но и доступно для работы и выгрузки по запросам регулятора и внутренних подразделений. Доступ сотрудников к досье разумно разделять по ролям, исходя из функционала и принципа минимально необходимого объёма сведений. Для электронного досье целесообразно закрепить журналирование действий пользователей: просмотров, изменений, выгрузок, копирования, передачи документов и попыток доступа. Такой журнал помогает восстановить историю работы с досье и подтвердить соблюдение правил доступа. При этом нужно учитывать требования конфиденциальности по 115‑ФЗ: клиента нельзя информировать о действиях и сведениях, раскрытие которых прямо запрещено законом.
Когда и как уничтожать досье
По истечении пятилетнего срока клиентское досье не подлежит автоматическому уничтожению: пять лет выступают минимальным сроком хранения, а не предписанием об обязательном удалении информации по его окончании. Перед уничтожением нужно проверить, не существует ли иных оснований для хранения: незавершённые споры и претензии, запросы регулятора, внутренние расследования, налоговые или архивные требования. Процедуру уничтожения досье целесообразно описать в правилах внутреннего контроля или отдельном архивном регламенте. Уничтожение оформляют актом или иным внутренним документом, где фиксируются дата, основание, состав уничтоженных документов, способ уничтожения и ответственные лица; форма такого акта законом не унифицирована.
Типичные ошибки при хранении досье
На практике организации часто допускают повторяющиеся ошибки при работе с клиентским досье. Среди них — неправильное исчисление срока хранения «от последней операции» вместо даты прекращения отношений, перезапись анкеты без сохранения старых версий, механическое распространение требований Положения № 499‑П на всех субъектов, использование Приказа № 74 как универсального акта, игнорирование требований 152‑ФЗ при выборе архитектуры хранения и уничтожение досье без документального оформления. Эти ошибки приводят к риску преждевременного уничтожения документов, потери истории идентификации, применения неправильного регуляторного режима, нарушения требований к персональным данным и отсутствия подтверждения соблюдения сроков хранения.
Ответственность за нарушения
Нарушения требований законодательства о противодействии легализации доходов и финансированию терроризма, в том числе связанных с идентификацией клиентов и хранением документов, могут квалифицироваться по статье 15.27 КоАП РФ. Конкретный состав и размер санкций зависят от характера нарушения, а для кредитных организаций к административным штрафам могут добавляться меры надзорного реагирования Банка России.
Как помогает автоматизация KYC
По мере роста клиентской базы ручное ведение клиентского досье повышает риск потери версий, ошибок в разграничении доступа и замедляет выгрузку документов по запросам. Автоматизация KYC особенно полезна при ведении досье в электронном виде: система может хранить версии анкеты, результаты проверок, риск‑профиль, журнал действий и формировать выгрузку по клиенту для внутреннего контроля или ответа на запрос регулятора. Подробнее о том, как в российской практике понимается KYC и строятся процессы идентификации, можно прочитать в материале IDX « Верификация смыслов: KYC».
