Частичное совпадение данных клиента с перечнем Росфинмониторинга: что обязывает делать проект поправок в 115-ФЗ

Частичное совпадение — это совпадение данных клиента с данными лица из перечня Росфинмониторинга не по всем атрибутам личности. Скрининг по перечням регулируется статьёй 7 закона № 115-ФЗ. Процедура применяется в банках, МФО, у лиц статьи 7.1 (адвокаты, нотариусы, юридические и бухгалтерские услуги) и у оператора платформы цифрового рубля. Проект поправок, опубликованный на regulation.gov.ru 09.09.2026 (ID 01/05/09-26/00170956), предусматривает: при таком совпадении организация приостанавливает операции клиента на пять рабочих дней и сообщает в Росфинмониторинг не позднее одного рабочего дня. Критерии совпадения установит уполномоченный орган, вступление в силу — 270 дней со дня официального опубликования принятого закона. На 11.09.2026 проект проходит публичное обсуждение и в Госдуму не внесён, поэтому обязанность приостанавливать операции по частичному совпадению пока не возникает.

Кратко:

• Что вводит проект: приостановку операций на пять рабочих дней при частичном совпадении данных клиента с данными лица, к которому применяются меры по замораживанию..

• Кто обязан: организации статьи 5 закона № 115-ФЗ, лица статьи 7.1 (адвокаты, нотариусы, юридические и бухгалтерские услуги), оператор платформы цифрового рубля.

• Какие сроки: пять рабочих дней приостановки, один рабочий день на уведомление Росфинмониторинга, три рабочих дня на сообщение о распоряжении от лица с замороженными активами.

• Когда: 270 дней со дня официального опубликования будущего закона; на 11.09.2026 проект в Госдуму не внесён.

• Что ещё в выпуске: приказ ФНС от 19.08.2026 № ЕД-1-2/591@ о данных об устройстве при операциях с цифровым рублём (не ранее 01.07.2027), приказ ФСТЭК от 16.07.2026 № 220 по значимым объектам КИИ, заявление Ant International, Mastercard и Visa о правилах Know-Your-Agent.

Что меняет проект поправок в 115-ФЗ

Законопроект переносит в плоскость прямого регулирования неполные совпадения клиентских данных со списком экстремистов и террористов: подготовленный проект поправок в статью 7 закона № 115-ФЗ обязывает организацию незамедлительно приостанавливать операции клиента на пять рабочих дней, если его реквизиты частично совпали со сведениями заблокированного лица, и уведомлять об этом Росфинмониторинг в течение одного рабочего дня. До принятия этой нормы автоматическая сверка анкет с перечнями регламентировалась исключительно внутренними правилами в рамках KYC/AML-скрининга. Проект впервые выносит реакцию на неполное совпадение из внутренних правил организации в текст закона: приостановление операций становится прямой обязанностью, а не элементом методики скрининга.

Что ещё регуляторы выпустили на неделе 4—11 сентября

За неделю вышли три документа вне 115-ФЗ: формы ФНС по цифровому рублю со сведениями об устройстве плательщика, приказ ФСТЭК № 220 по значимым объектам КИИ и Концепция повышения уровня цифровой грамотности, утверждённая распоряжением Правительства от 07.09.2026 № 2402-р.

Регуляторные изменения недели подчинены общей задаче: подтверждению полномочий, цифрового следа оборудования и подлинности субъекта операции. Федеральная налоговая служба утвердила формы отчётности по транзакциям с цифровым рублём с обязательной фиксацией параметров устройств плательщиков. ФСТЭК точечно скорректировала требования к защите значимых объектов КИИ. Одновременно рынок разработки ИИ-систем формирует новые сценарии контроля: идентификацию, подтверждение прав и сквозной аудит действий автономных алгоритмических агентов.

Защита персональных и биометрических сведений при взаимодействии с нейросетевыми сервисами закреплена на государственном уровне: распоряжение Правительства РФ от 7 сентября 2026 года № 2402-р утвердило Концепцию повышения уровня цифровой грамотности населения. Документ определяет государственные приоритеты по фильтрации синтетического медиаконтента (дипфейков) и безопасному обращению с биометрией. Прикладные технологические требования и состав обязанностей операторов платформ будут зафиксированы в плане мероприятий, который Минцифры России должно представить до декабря 2026 года. Содержание правительственной концепции подробно изложили «РИА Новости».

Почему пятидневная приостановка дороже ложного срабатывания скрининга

Ложное срабатывание скрининга сейчас стоит организации нескольких минут работы комплаенс-офицера, а по проекту поправок то же срабатывание остановит операции добросовестного клиента на пять рабочих дней и сдвинет его сделку на неделю. Приостановка сработает и по перечням Росфинмониторинга, и по решению межведомственного координационного органа, без отдельного постановления госоргана. Тяжелее всего она ляжет на лиц статьи 7.1 закона № 115-ФЗ: систем нечёткого сопоставления (fuzzy matching) у адвокатов, нотариусов и бухгалтерских компаний обычно нет, и каждое совпадение уйдёт в ручной разбор.

Число ложных приостановок сокращает полнота атрибутов: со сверенными ФИО, датой и местом рождения, паспортом, ИНН и СНИЛС однофамилец отделяется от фигуранта перечня на этапе автоматической проверки. Цену конфликта идентификаторов показывает дело 66-летнего пенсионера из Омской области: Тарский городской суд обязал Социальный фонд удалить из лицевого счёта запись о смерти, внесённую из-за полного совпадения данных с посторонним гражданином. Критерии сходства установит Росфинмониторинг.

Что статистика утечек меняет в требованиях к онбордингу

Компрометация внутренних баз данных поставщиками и сотрудниками стала основным источником утечек персональных сведений: сотрудники УБК МВД России пресекли работу Telegram-канала, торговавшего выгрузками из информационных систем операторов связи, банков и государственных органов в течение пяти лет. Площадка обрабатывала десятки запросов в сутки через сеть дропов, вербовщиков и инсайдеров, имевших легитимный доступ к закрытым базам. Уголовные дела возбуждены по статьям о неправомерном доступе к компьютерной информации, нарушении банковской, налоговой и коммерческой тайны, а также о превышении должностных полномочий. Процессуальные детали дела раскрывают «РИА Новости».

Уязвимость цепочки поставок и подрядчиков подтверждает отраслевая статистика: за последние полтора года аналитики F6 зафиксировали 326 инцидентов компрометации клиентских баз российских компаний совокупным объёмом 1,175 млрд строк данных. По оценке центра мониторинга УЦСБ SOC из отчёта «Ландшафт киберугроз за первое полугодие 2026 года», не менее 30% расследованных атак начинались с компрометации инфраструктуры внешних подрядчиков. Схожие данные приводит Positive Technologies по итогам пилотов PT Network Attack Discovery: активность вредоносного ПО зафиксирована в 70% корпоративных сетей России и СНГ против 46% годом ранее. Статистику F6 проанализировали «Ведомости», отчёт по угрозам опубликовал УЦСБ SOC, а сводку по пилотам сетевой безопасности приводит SecurityLab.

Массовое присутствие скомпрометированных персональных данных на теневом рынке обесценивает неавторизованные внешние источники: при скрининге по 115-ФЗ сведения неизвестного происхождения создают риск регуляторных претензий и ошибок идентификации. Для скрининга по 115-ФЗ организация использует только достоверные и актуальные базы данных с подтверждённым правовым статусом.

Проверка сотрудника и подрядчика требует таких же сквозных регламентов, как и проверка клиента: допуск к чувствительным базам получают только лица с подтверждёнными полномочиями в рамках трудового или гражданско-правового договора. Параллельным каналом утечек остаются клиентские мобильные интерфейсы. Компания AppSec Solutions проверила 89 мобильных приложений доставки продуктов методом чёрного ящика и обнаружила 3 585 уязвимостей, из которых 1 286 относятся к категории критических; наиболее частым дефектом безопасности оказались чувствительные пользовательские данные и ключи доступа, оставленные разработчиками в открытом коде сборки. Результаты аудита мобильной разработки приводит издание Yamobi.

Кто получит данные об устройстве плательщика цифрового рубля

Идентификаторы устройства плательщика входят в обязательный перечень сведений по операциям с цифровым рублём: приказ ФНС от 19 августа 2026 года № ЕД-1-2/591@ утвердил формы запросов налоговых органов к банкам, операторам по переводу денежных средств и оператору платформы цифрового рубля. Документ зарегистрирован в Минюсте 1 сентября 2026 года под № 88103 и вступит в силу через девять месяцев после официального опубликования, но не ранее 1 июля 2027 года. Наряду с суммами переводов и реквизитами участников в выписки включены IP-адрес, MAC-адрес, телефонный номер, параметры сим-карты и сопутствующие технические атрибуты оборудования. По разъяснению пресс-службы ФНС, налоговый орган вправе запрашивать такие сведения только в рамках процедур взыскания задолженности либо по согласованию с руководителем вышестоящей инспекции.

Передача данных об оборудовании начнёт действовать не ранее 1 июля 2027 года и коснётся исключительно операций в цифровых рублях. Доступа к транзакциям в реальном времени инспекторы не получат: сведения направляются только по мотивированному запросу в рамках стандартной налоговой процедуры. Параллельно ужесточаются регламенты защиты базовой инфраструктуры: приказ ФСТЭК от 16 июля 2026 года № 220 обновил требования к системам безопасности значимых объектов критической информационной инфраструктуры (КИИ), ранее утверждённые приказом № 235. Ведомственный акт зарегистрирован в Минюсте 7 сентября 2026 года под № 88168 и официально опубликован 8 сентября 2026 года на портале правовой информации. Изменения носят адресный характер и действуют только для владельцев значимых объектов КИИ; на прочие информационные системы требования приказа № 220 не распространяются.

Технические параметры клиентского оборудования перестают быть внутренним полем антифрод-системы и становятся регламентированным атрибутом финансовой отчётности. Финансовым организациям предстоит зафиксировать состав, порядок безопасного хранения и сроки жизни собираемых цифровых отпечатков во внутренних регламентах до 1 июля 2027 года. При этом сбор идентификаторов устройства не гарантирует безопасность сессии: фишинговая кампания BigBear 2.0 перехватывает рабочие сессии Microsoft 365 уже после успешного прохождения многофакторной аутентификации (MFA). Факт однократного подтверждения входа не доказывает легитимность последующих действий клиента без непрерывной риск-ориентированной проверки транзакций. Механику кампании подробно описал журнал CSO Online.

Нужно ли идентифицировать ИИ-агента так же, как клиента

Совместимые правила Know-Your-Agent для агентной коммерции начали разрабатывать Ant International, Mastercard и Visa: 10 сентября 2026 года компании объявили о создании общих механизмов идентификации ИИ-агентов, подтверждения их полномочий и аудита действий. Инициатива опирается на открытый протокол Agentic Mobile Protocol от 28 апреля 2026 года и white paper Управления денежного обращения Сингапура Safeguards for Agentic Finance at Runtime от 3 июля 2026 года. Обязательных требований к верификации агентов пока не утвердил ни один национальный регулятор, а партнёры находятся на этапе проектирования отраслевого соглашения. Позицию участников соглашения приводит Unite.AI.

Российские корпорации выстраивают контроль за агентами, используя собственные harness-системы: «Яндекс», «Сбер» и MTS Web Services изолируют моделям прямой доступ к данным и инфраструктуре, принудительно маршрутизируют запросы и требуют подтверждения критических операций человеком. «Сбер» развернул эту архитектуру в решениях GigaАгент, GigaCode и GigaCowork. По оценке холдинга Т1, спрос корпоративного сектора на подобные платформы за год утроился, а ёмкость рынка защиты ИИ в России достигает 1—2 млрд рублей по программным продуктам и до 4 млрд рублей с учётом интеграционных услуг. Потребность подтверждают и закупки: 7 сентября 2026 года «Страховой Дом ВСК» открыл конкурс на поставку LLMOps-платформы для эксплуатации LLM-агентов, включающей распознавание паспортов, водительских удостоверений, свидетельств о регистрации транспортных средств и страховых полисов. Динамику спроса проанализировал Rusbase, а параметры закупки страховщика описал Market Power.

Автономные агентные системы уже стали практическим инструментом целевых атак. В отчёте «От подсказок к автономности: эволюция состязательного ИИ» Google Threat Intelligence Group зафиксировала инциденты второго квартала 2026 года, когда скомпрометированный облачный ресурс использовался автономным агентом для массовой выгрузки учётных данных менее чем за шесть часов, а группировка UNC6780 применяла уязвимости в ИИ-ассистентах разработчиков для компрометации цепочек поставок ПО. Выводы расследования опубликовал блог Google Cloud. При этом масштаб использования технологии в легитимных расчётах продолжает расти: по прогнозу Mastercard из аналитического доклада A Short History of the Future of Shopping and Payments, к 2030 году автономными агентами для регулярных покупок будут пользоваться более 300 млн потребителей, то есть каждый десятый онлайн-покупатель в мире; данные отчёта приводит Banking4.0.

Разграничение прав человека и автономного агента компании сегодня фиксируют во внутренних регламентах и настройках доступа. Рабочую модель разделения ролей демонстрирует архитектура Claude Commerce Agents от Anthropic: агент самостоятельно формирует корзину, но лишён доступа к платёжным реквизитам и списанию средств, а переоценка товаров, списание остатков и запуск промокампаний требуют обязательной авторизации оператором. Для бизнеса, подключающего агентные сервисы к клиентским или платёжным операциям, обязательный минимум защиты включает сквозной журнал действий агента, закрепление каждого алгоритма за ответственным сотрудником и технический запрет на неконтролируемые списания. Архитектуру безопасности описал SecurityLab.

Как подтвердить возраст пользователя без паспорта

Microsoft опубликовала спецификацию Windows Age APIs, позволяющую приложениям запрашивать возрастную категорию пользователя (младше 10, 10—12, 13—15, 16—17, 18+ или Unknown) без передачи точной даты рождения. Запрос опирается на профиль учётной записи Microsoft и результат однократной верификации через сервис Microsoft Age Verification. Разработчикам стали доступны методы GetUserAgeRangeAsync и GetAgeVerificationStatusAsync, требующие регистрации продукта на платформе Digital Safety. Однако на 4 сентября 2026 года интерфейсы остаются неактивными в runtime: система возвращает статус unavailable и категорию Unknown. Полноценное развёртывание функциональности запланировано на одно из последующих обновлений Windows в 2026 году. Документацию разобрал CISOCLUB, а фактическое состояние API протестировал «Хакер».

Запрос к подобным API отдаёт только возрастной интервал, поэтому он не заменяет идентификацию через «Госуслуги» или ЕБС. Результат не содержит постоянного идентификатора гражданина и не подтверждает совершеннолетие для юридически обязывающих действий. Законодатели других юрисдикций движутся по сходной модели: правительство Австралии разрабатывает проект Digital Duty of Care, включающий инструмент My Feed, My Way для отказа от рекомендательных алгоритмов и требование блокировать доступ несовершеннолетних к небезопасному контенту под угрозой штрафа до 109,2 млн австралийских долларов. Внесение законопроекта в парламент намечено до конца года, о чём сообщает D-Russia.ru.

Кто проверяет продавцов маркетплейсов с 1 октября 2026 года

Допуск маркетплейсов к государственным закупкам образовательных учреждений с 1 октября 2026 года вводит обязательную предварительную верификацию продавцов. Двухлетний пилотный проект объединит 12 отобранных площадок, соответствующих критериям правительственного реестра: покрытие логистикой не менее 45 регионов, присутствие пула независимых селлеров и обеспечение полного расчётного цикла сделки. Запуск механизма привязан к началу действия закона о платформенной экономике (289-ФЗ). Параллельно операторы платформ разворачивают банковские продукты с повышенными требованиями к скорингу: 8 сентября 2026 года «Озон банк» запустил пилотную выдачу автокредитов на новые автомобили внутри витрины Ozon с лимитом до 5 млн рублей и первым взносом от 20%. Параметры пилота закупок опубликовал Finance.mail.ru, а старт кредитной программы подтвердил «Интерфакс». Выход на регулируемые закупки и запуск кредитования превращают предварительную проверку контрагента и физлица в обязательный барьер онбординга.

Что делать организациям до вступления поправок в 115-ФЗ

1. Провести инвентаризацию клиентских записей по полноте атрибутов: ФИО, дата и место рождения, реквизиты документа, ИНН, СНИЛС. Этот набор определяет, отличит ли скрининг однофамильца от фигуранта перечня.
2. Оценить текущую долю ложноположительных срабатываний скрининга и рассчитать, во что она превратится при обязательной пятидневной приостановке операций.
3. Заложить в регламент три новых срока из проекта: пять рабочих дней приостановки, один рабочий день на уведомление, три рабочих дня на сообщение о поступившем распоряжении от лица с замороженными активами.
4. Настроить синхронизацию скрининговых баз по трём событиям: включение в перечень, исключение из перечня, корректировка сведений об уже включённых лицах.
5. Описать маршрут спорного случая: кто принимает решение по частичному совпадению, как фиксируется проверка, что сообщается клиенту и в какой момент операции возобновляются.
6. Распространить проверку на подрядчиков и сотрудников с доступом к клиентским данным: доля атак с компрометации подрядчика на выборке УЦСБ SOC не ниже 30 %, а дело о Telegram-канале опиралось на инсайдеров.
7. Для процессов с ИИ-агентами закрепить журнал действий, ответственного сотрудника и запрет на самостоятельные списания до появления обязательных правил идентификации агентов.

Банки, МФО, маркетплейсы и субъекты статьи 7.1 выбирают между доработкой собственного скрининга и внешними сервисами верификации. Выбор зависит от полноты атрибутов в клиентской записи и от объёма ручного разбора, который организация готова держать.

Какие проверки IDX применимы к скринингу по перечням

Точность скрининга по перечням зависит от того, сколько атрибутов клиента подтверждено на входе. IDX проверяет документы и данные физических и юридических лиц: заказчик отправляет запросы в личном кабинете или по API.

Каждая проверка возвращает подтверждение или расхождение по конкретному атрибуту, и от числа сверенных атрибутов зависит объём ручного разбора совпадений. Квалификацию совпадения с перечнем, решение о приостановке операций и уведомление Росфинмониторинга выполняет сама организация: обязанность по 115-ФЗ закон возлагает на неё.