Санкционный скрининг и проверка PEP: как платформе выполнить требования и снизить ложные срабатывания

Санкционный и PEP-скрининг — это проверка сведений о клиенте, его представителе, выгодоприобретателе или бенефициарном владельце по применимым перечням и источникам. Перечни Росфинмониторинга используются в рамках российского законодательства о ПОД/ФТ/ФРОМУ. Списки OFAC, ЕС и OFSI учитывают отдельно — с учётом применимой юрисдикции, условий трансграничных расчётов и договорных обязательств организации. В России обязанность проводить скрининг закреплена в ст. 7, ст. 7.3 и ст. 7.5 Федерального закона № 115-ФЗ для субъектов статьи 5 закона. Применяется в финтехе, на финансовых и инвестиционных платформах, у операторов ЦФА и при приёме платежей.

Кратко:

• Подтверждённое совпадение может повлечь разные последствия: дополнительную проверку, обязательный контроль, приостановление операции, замораживание имущества или отказ в операции.
• Обязанности по 115-ФЗ возникают у юридического лица, если оно относится к одной из категорий, перечисленных в ст. 5 закона. Для определения обязанностей платформы необходимо установить её точный правовой статус.
• Проверку проводят при наступлении событий и с периодичностью, установленной применимым нормативным актом и правилами внутреннего контроля.
• Ложные срабатывания снижаются fuzzy matching, уточняющими атрибутами и двухступенчатым разбором.
• Ответственность зависит от конкретного состава нарушения, его последствий, повторности и статуса нарушителя.

Что такое санкционный скрининг и проверка PEP: зачем они платформе

Онбординг пользователя включает три последовательные проверки, решающие принципиально разные задачи. KYC устанавливает личность: кто перед нами. Антифрод оценивает признаки мошенничества в устройстве, пользовательской сессии, поведении и операции. Проверка присутствия живого человека и сравнение лица с фотографией в документе могут входить в антифрод-процедуру, но не исчерпывают её. И лишь третья проверка — санкционный и PEP-скрининг — отвечает на вопрос, который первые две не ставят: а разрешено ли вообще работать с этим человеком?

У каждой проверки своя задача: результаты одной не позволяют отказаться от остальных. KYC подтверждает личность, но ничего не говорит о санкционном статусе. Антифрод выявляет мошенничество, но не определяет принадлежность к PEP. В итоге пользователь с подлинными документами и чистым поведением вполне может оказаться в санкционном перечне — и именно поэтому скрининг представляет собой самостоятельную контрольную процедуру.

Важное разграничение по 115-ФЗ. Обязанность проводить скрининг распространяется на субъектов статьи 5 115-ФЗ. В контексте платформенной экономики к ним относятся:

• операторы по приёму платежей — прямо включены в ст. 5; платформа, самостоятельно организующая приём платежей, подпадает под требования 115-ФЗ;
• операторы финансовых платформ (ФЗ от 20.07.2020 № 211-ФЗ) — прямо включены в ст. 5;
• операторы инвестиционных платформ (ФЗ от 02.08.2019 № 259-ФЗ) — прямо включены в ст. 5;
• операторы информационных систем ЦФА и операторы обмена ЦФА — субъекты ст. 5 115-ФЗ с 01.09.2024 (ФЗ от 08.08.2024 № 275-ФЗ).

Маркетплейс или гиг-платформа, не оказывающие финансовых услуг и не участвующие в приёме платежей, как правило, не относятся к субъектам статьи 5 Федерального закона № 115-ФЗ. Окончательная квалификация зависит от бизнес-модели. В иных случаях контрагентов можно проверять для снижения санкционных, договорных, трансграничных и репутационных рисков при наличии законного основания для обработки персональных данных.

Как выглядит в разных секторах:

• Маркетплейс. Бенефициары и юрлицо продавца сверяются с перечнями до открытия витрины.
• Гиг-платформа. Первичный скрининг при регистрации — если платформа субъект 115-ФЗ; иначе — добровольно.
• Крипто-сервис / оператор ЦФА. Операторы информационных систем ЦФА и операторы обмена ЦФА являются субъектами ст. 5 115-ФЗ с 01.09.2024 — для них скрининг обязателен. Для иных крипто-сервисов трансграничный характер дополнительно делает мониторинг по OFAC/ЕС значимым фактором операционного риска.
• Финтех (лицензированный). Проверка до первой транзакции встроена в допуск к операциям.

Чем отличаются санкции, PEP и adverse media: три компонента скрининга

Скрининг — не одна проверка, а три взаимодополняющих инструмента, каждый из которых решает свою задачу. Санкционная проверка устанавливает законодательный запрет на работу с лицом. PEP-проверка определяет статус и режим обслуживания. Мониторинг негативных упоминаний в СМИ (adverse media) вскрывает репутационный фон ещё до того, как фигурант попадает в официальные списки.

Зачем нужна adverse media, если есть официальные перечни? Всё дело в опережении: публикация о расследовании или уголовном деле появляется раньше, чем фигурант включается в перечень. Для субъектов 115-ФЗ adverse media в совокупности с иными факторами может служить основанием для признания операции необычной (подозрительной) в соответствии с критериями Приказа Росфинмониторинга от 08.05.2009 № 103 и п. 3 ст. 7 115-ФЗ (повышенное внимание к операциям клиентов). Самостоятельным основанием для направления сообщения о подозрительной операции (СПО) adverse media не является; обязанность направить сведения возникает при соответствии операции установленным критериям необычных сделок (п. 2 ст. 7 115-ФЗ). Для прочих платформ adverse media — сигнал для углублённой проверки. Использовать судебные реестры для adverse media-мониторинга можно на основаниях, предусмотренных ст. 6 Федерального закона № 152-ФЗ. Обычно это исполнение требований 115-ФЗ или законный интерес, не нарушающий права и свободы человека.

Кто такой PEP по 115-ФЗ: ИПДЛ, РПДЛ, МПДЛ и их окружение

Статья 7.3 Закона № 115-ФЗ выделяет три категории публичных должностных лиц (ПДЛ). Для каждой из них предусмотрен свой набор обязательных мер: в одних случаях усиленная проверка необходима, в других её применение будет избыточным.

• ИПДЛ — иностранные ПДЛ. Принимаются на обслуживание только на основании письменного решения руководителя организации либо уполномоченного им лица (пп. 2 п. 1 ст. 7.3) — при любом уровне риска. Норма прямо допускает делегирование полномочий заместителю руководителя или руководителю обособленного подразделения. Принадлежность к ИПДЛ определяется в соответствии с рекомендациями ФАТФ (п. 4 ст. 7.3). Риск-скоринг определяет интенсивность EDD.
• МПДЛ — должностные лица международных организаций. Повышенные меры (письменное решение, EDD) — только при высокой степени риска (п. 3 ст. 7.3).
• РПДЛ — российские ПДЛ. Перечень государственных должностей РФ определяется Указом Президента РФ от 11.01.1995 № 32 и соответствующими указами о должностях госслужбы. Методический порядок применения ст. 7.3 — МР Банка России № 13-МР от 27.06.2017.

Различие между категориями имеет прямое операционное значение. ИПДЛ требует письменного решения руководителя при любом уровне риска — без исключений. Для РПДЛ и МПДЛ повышенные меры применяются только при высоком риск-скоринге. Применять EDD ко всем российским ПДЛ без учёта риска — значит перегружать комплаенс без правового основания; игнорировать требование для ИПДЛ — прямое нарушение ст. 7.3.

Понятие «окружение PEP» определено в пп. 5 п. 1 ст. 7.3 115-ФЗ и шире, чем принято думать. К окружению PEP относятся супруги и близкие родственники: родители, дети, дедушки, бабушки, внуки, братья и сёстры, в том числе неполнородные, а также усыновители и усыновлённые. Кроме того, учитываются деловые партнёры PEP. Все они наследуют повышенный риск-профиль самого PEP.

После ухода лица с должности PEP-флаг не снимают автоматически. Рекомендация 12 ФАТФ предполагает дальнейший контроль с учётом уровня риска, но российское законодательство не устанавливает его минимальный срок. Организация определяет этот период во внутренних документах самостоятельно — на практике обычно от одного года до трёх лет. При разработке процедуры можно учитывать Информационное письмо Росфинмониторинга от 12.12.2017 № 53: оно содержит рекомендации по выявлению ПДЛ, но не является нормативным актом.

Важное методическое требование: опираться только на самодекларацию клиента недостаточно. Письмо № 53 рекомендует верификацию по реестрам должностей и базам аффилированности, и при проверке регулятором отсутствие независимой верификации может быть оценено критически.

По каким спискам обязан проверять субъект 115-ФЗ — и какие подключать добровольно

Единого мирового санкционного списка не существует: перечни ведутся разными юрисдикциями, не всегда совпадают по составу и обновляются с разной частотой. На практике платформа сверяет пользователя сразу с несколькими перечнями одновременно, обязательными и добровольными в зависимости от бизнес-модели. Набор источников определяют по правовому статусу организации и применимым рискам.

Для субъекта 115-ФЗ обязательны Перечни Росфинмониторинга (пп. 7 п. 1 ст. 7). Росфинмониторинг ведёт несколько самостоятельных перечней: лиц, причастных к экстремистской деятельности или терроризму (ст. 6); организаций и лиц, причастных к распространению оружия массового уничтожения (ст. 7.5); а также обновления по решениям МВК по ПФТ. Актуальный состав всех перечней размещён на fedsfm.ru.

Минимальная периодичность проверки по перечням — не реже раза в три месяца (пп. 7 п. 1 ст. 7 115-ФЗ). Для кредитных организаций периодичность установлена Положением Банка России № 860-П, которое заменило утратившее силу Положение № 375-П и, как правило, требует мониторинга при каждом обновлении перечней. Формализованное электронное сообщение о результатах проверки (ФЭС) направляется по итогам каждой фактически проведённой проверки не позднее 3 рабочих дней (Указание Банка России № 7126-У от 30.06.2025, вступило в силу 12.11.2025; для НФО; кредитные организации — по Положению № 860-П).

Здесь важно чётко разграничить два понятия, которые часто смешивают. «Проверка» — документально оформленное контрольное мероприятие с обязательным направлением ФЭС. «Оперативная сверка» — технический мониторинг в реальном времени без отдельного оформления и без ФЭС. Термин «оперативная сверка» в нормативных актах не используется. Поэтому различия между ней и проверкой следует закрепить во внутренних правилах ПВК ПОД/ФТ. Если этого не сделано, регулятор вправе квалифицировать любое обращение к перечням как «проверку», требующую ФЭС. Разовая сверка при регистрации без последующего мониторинга требование не закрывает.

Как работает санкционный скрининг: fuzzy matching, мониторинг и разбор алертов

Нечёткое сопоставление (fuzzy matching) и транслитерация

Точное посимвольное сравнение — самый простой подход, но он системно пропускает реальные совпадения. Одно имя может транслитерироваться десятком способов: «Юрий» превращается в Yuri, Yury или Iurii. В базах встречаются опечатки, перестановки частей имени, сокращения. Арабские и азиатские имена добавляют ещё больше вариантов написания. Именно для этого применяется нечёткое сопоставление (fuzzy matching): алгоритм сравнивает фонетическую и графическую близость строк с контролируемым порогом допустимого отклонения.

Ложные срабатывания: причины и как их снижать

Сам по себе ни один из методов снижения ложных срабатываний не даёт нужного результата — они работают только в связке:

• Уточняющие атрибуты: дата рождения, ИНН, паспортные данные, страна.
• Настройка порогов схожести под сегмент пользователей.
• Whitelist проверенных пользователей с верификацией не реже раза в квартал (синхронно с плановой проверкой по перечням).
• Двухступенчатый разбор: алгоритм → спорные случаи → ручной ревью комплаенс-офицера.

Непрерывный мониторинг (ongoing monitoring)

Разовая проверка при регистрации не закрывает требование: пользователь чист сегодня, но может попасть в перечень завтра. Поэтому субъект 115-ФЗ ведёт непрерывный мониторинг — перепроверяет всю базу при обновлении списков и проводит KYC-refresh. Технически система реагирует только на дельту: новые записи в перечнях и обновления PEP-баз, что позволяет не нагружать инфраструктуру полным пересчётом при каждом изменении.

Как совместить полный скрининг с высокой конверсией при онбординге

• Синхронно на входе: быстрая сверка по санкционным перечням (секунды); блокировка — только при подтверждённом совпадении.
• Асинхронно: тяжёлые проверки adverse media и разбор пограничных совпадений.
• Ручной ревью: только неснятые алертом автоматики случаи.
• EDD: для ИПДЛ — при любом риск-скоринге; для МПДЛ/РПДЛ — только при высоком. Массовому потоку не назначается.

Важно: Двухступенчатый разбор нужен, когда система обнаружила возможное совпадение. Если оно подтверждается по дополнительным данным, организация применяет соответствующий режим замораживания. Существуют два самостоятельных режима с разными правовыми основаниями и сроками.

1. Перечень лиц, причастных к экстремизму/терроризму (ст. 6, пп. 6 п. 1 ст. 7 115-ФЗ): заморозка не позднее одного рабочего дня со дня размещения информации о включении в Перечень.
2. Перечень ФРОМУ (ст. 7.5 115-ФЗ, в ред. ФЗ от 15.12.2025 № 462-ФЗ): заморозка не позднее 20 часов с момента фактического получения уведомления в Личном кабинете на сайте Росфинмониторинга. Срок исчисляется непрерывно — независимо от выходных и праздников (разъяснение Банка России № 43-7-2/1420 от 30.01.2026).

Оба перечня необходимо разграничивать во внутренних правилах: у них разные сроки заморозки и разные правовые основания. Двухступенчатый разбор — инструмент для неподтверждённых совпадений, но никак не для случаев, где совпадение уже подтверждено.

Что обязан делать субъект 115-ФЗ: ключевые нормы и ответственность

Объём обязанностей зависит от правового статуса организации и применимых к ней нормативных актов Банка России или Росфинмониторинга. Для санкционного и PEP-скрининга ключевое значение имеют следующие требования.

• Проверка клиентов по перечням. Организация не реже одного раза в три месяца проверяет наличие среди своих клиентов лиц, в отношении которых применены меры по замораживанию, и сообщает Росфинмониторингу о результатах согласно подп. 7 п. 1 ст. 7 115-ФЗ. НФО направляет ФЭС 3-ФМ по итогам каждой фактически проведённой проверки не позднее трёх рабочих дней в соответствии с Указанием Банка России № 7126-У. Кредитные организации руководствуются Положением Банка России № 860-П.
• Идентификация и выявление ПДЛ. До приёма на обслуживание организация идентифицирует клиента по подп. 1 п. 1 ст. 7 115-ФЗ и принимает обоснованные меры по выявлению ИПДЛ, МПДЛ и РПДЛ согласно подп. 1 п. 1 ст. 7.3 115-ФЗ. Выявление ПДЛ проводится также среди физических лиц, уже находящихся на обслуживании.
• Приём ПДЛ на обслуживание. ИПДЛ принимают на обслуживание только на основании письменного решения руководителя организации, его заместителя либо руководителя обособленного подразделения с делегированными полномочиями. Это требование не поставлено законом в зависимость от присвоенного уровня риска. К финансовым операциям МПДЛ и РПДЛ требования подп. 2–5 п. 1 ст. 7.3 применяются, если таким операциям присвоен высокий уровень риска.
• Выявление подозрительных операций. Если у работников организации возникают подозрения, что операция совершается в целях легализации преступных доходов или финансирования терроризма, организация направляет сведения о ней в Росфинмониторинг независимо от того, относится ли операция к обязательному контролю. Негативные публикации могут использоваться как дополнительный риск-сигнал, но сами по себе не доказывают подозрительный характер операции. Решение принимают по совокупности сведений и фиксируют в ПВК ПОД/ФТ.
• Хранение документов и сведений. Документы с предусмотренными ст. 7 115-ФЗ сведениями хранятся не менее пяти лет со дня прекращения отношений с клиентом (п. 4 ст. 7 115-ФЗ).
• Фиксация результатов. По каждой проверке целесообразно сохранять: дату и время, вид и версию перечня, идентификаторы проверенного лица, найденные совпадения, результаты разбора, принятое решение и сведения об ответственном сотруднике. Обязательный состав записей устанавливается с учётом 115-ФЗ, ПВК и законодательства о персональных данных.

Какая ответственность предусмотрена за нарушение требований санкционного контроля

Ответственность наступает за конкретное нарушение требований законодательства о ПОД/ФТ/ФРОМУ, а не за абстрактную «ошибку скрининга». Применимую часть ст. 15.27 КоАП РФ определяют с учётом нарушенной обязанности, последствий, повторности и категории привлекаемого лица.

Для кредитной организации нарушения законодательства о ПОД/ФТ могут повлечь меры банковского надзора. Отзыв лицензии возможен только при наличии основания, предусмотренного ст. 20 Закона РФ № 395-1, и не является автоматическим последствием единичного нарушения процедуры скрининга.

Когда платформа может проводить добровольный санкционный скрининг

Организация, на которую не распространяется соответствующая обязанность по 115-ФЗ, может проводить скрининг для управления санкционными, договорными и репутационными рисками. До начала проверки необходимо определить правовое основание и цели обработки персональных данных, состав источников, сроки хранения, правила разбора совпадений и порядок пересмотра решений. Последующее приобретение статуса субъекта 115-ФЗ не создаёт обязанности подтвердить соблюдение закона за период, когда его требования на организацию не распространялись. С даты возникновения обязанностей организация должна обеспечить проверку действующей клиентской базы и дальнейший мониторинг.

Как провести EDD на практике: источник средств и источник благосостояния PEP

EDD предполагает ответы на два отдельных вопроса, которые нельзя смешивать. Первый — источник средств (source of funds): откуда поступили конкретные деньги в конкретной операции. Второй — источник благосостояния (source of wealth): как в целом сформировалось состояние клиента. Для PEP подтверждают оба уровня — справками о доходах, документами о продаже имущества, отчётностью бизнеса, сведениями о наследстве или дивидендах. Без документально зафиксированного решения EDD формально не считается проведённым. Пересматривается EDD при росте оборотов, смене характера операций или появлении adverse media.

Как алгоритм принимает решение по алерту: матрица скрининг-ревью

Какие ошибки при внедрении скрининга чаще всего приводят к претензиям регулятора

• Разовая проверка при регистрации без непрерывного мониторинга.
• Скрининг только по Росфинмониторинг-перечням при наличии трансграничных операций.
• Де-рискинг по любому алерту без разбора — потеря конверсии.
• Отсутствие фиксации результатов скрининга.
• Игнорирование связанных лиц (санкционный бенефициар за чистым юрлицом).
• Опора только на самодекларацию клиента для выявления PEP-статуса.
• Применение EDD ко всем РПДЛ без учёта риск-скоринга.
• Отсутствие направления ФЭС 3-ФМ после квартальной проверки.
• Направление ФЭС после каждой оперативной сверки — избыточная нагрузка (при условии закрепления разграничения в ПВК).
• Whitelist без периодической верификации (рекомендуется — не реже раза в квартал).
• Смешение перечня экстремистов/террористов (заморозка — 1 рабочий день) и Перечня ФРОМУ (заморозка — 20 часов непрерывно): у них разные сроки и требования.
• Отсутствие в ПВК закрепления разграничения «проверки» и «оперативной сверки» — риск претензий регулятора.
• Неполная идентификация родственников ИПДЛ: обязательно учитывать дедушек, бабушек, внуков, усыновителей и усыновлённых (пп. 5 п. 1 ст. 7.3).
• Ошибочная квалификация операторов ЦФА как организаций, для которых скрининг необязателен: с 01.09.2024 они — субъекты ст. 5 115-ФЗ.

Как выбрать провайдера и подход к санкционному скринингу: чек-лист критериев

• Покрытие: Росфинмониторинг (все три перечня), OFAC, ЕС, ООН, UK, глобальные PEP-базы.
• Частота обновления — задержка критична для ежедневно меняющихся перечней.
• Качество fuzzy matching: транслитерация, опечатки, варианты написания.
• Граф связей: родственники (включая дедушек/бабушек, внуков, усыновлённых) и деловые партнёры PEP и санкционных лиц.
• API-интеграция в онбординг и непрерывный мониторинг.
• Уточняющие атрибуты, настройка порогов, whitelist с верификацией.

Санкционный и PEP-скрининг реализованы в составе сервиса Проверка физического лица от IDX.

Как измерить эффективность скрининга: метрики для compliance-офицера

Доля ложных срабатываний — чем ниже при неизменной полноте, тем точнее настройка. Время онбординга — не превратилась ли проверка в узкое место. Доля алертов на ручной разбор — нагрузка на комплаенс. Низкий уровень false positives читается только вместе с полнотой покрытия.

Как интегрировать санкционный скрининг в единый онбординг-процесс по 115-ФЗ и 289-ФЗ

Санкционно-PEP-скрининг — верхний уровень AML-контроля, который технически встраивается в единый онбординг-процесс вместе с антифродом и требованиями по Федеральному закону № 289-ФЗ «Об отдельных вопросах регулирования платформенной экономики» (вступает в силу 01.10.2026). При этом важно понимать: 289-ФЗ не содержит AML-требований и не смешивается с 115-ФЗ. Для операторов, одновременно являющихся субъектами 115-ФЗ, проверки можно объединить в единый процесс — но каждая из них должна оставаться документально самостоятельной: объединение без разграничения в документации может быть квалифицировано регулятором как нарушение требований 115-ФЗ. Конкретные требования по 289-ФЗ определяются Правилами Правительства РФ (ожидаются к 01.10.2026).