Удалённая идентификация по ФЗ-115 в 2026 году: чеклист из 15 шагов для бизнеса

К июню 2026 года удалённая идентификация перестала быть «банковской» темой. Обязанность сверять клиента через Единую биометрическую систему пришла в микрофинансовый рынок, оборотные штрафы за утечку персональных данных подросли до 500 млн руб., а перечень обязанных субъектов 115-ФЗ снова расширился. Базовую механику KYC мы разбирали в статье «Что такое KYC и кому он обязателен в 2026 году». Ниже практический чеклист на 15 шагов, по которому компания может за день пройти комплаенс-аудит собственной системы удалённой идентификации.

Что такое удалённая идентификация в 115-ФЗ и чем она отличается от онбординга

Удалённая идентификация по 115-ФЗ — это установление личности клиента без его физического присутствия, оформленное так, чтобы результат имел юридическую силу для открытия счёта, выдачи займа или заключения договора. Правовую основу составляют два закона: 115-ФЗ «О противодействии легализации (отмыванию) доходов» описывает, кто и что обязан проверять, а 572-ФЗ «Об осуществлении идентификации с использованием биометрических персональных данных» определяет, как устроена ГИС ЕБС и кто вправе её использовать.

Обычный онбординг и удалённая идентификация различаются по юридическим последствиям. Если сервис запрашивает паспорт и селфи только для создания личного кабинета, это операционная проверка: она открывает доступ к аккаунту, но не даёт компании права открыть счёт или выдать заём. Чтобы такое право появилось, сверка должна пройти по правилам 115-ФЗ либо по схеме 572-ФЗ с подтверждением личности через ГИС ЕБС.

Базовый маршрут в 2026 году выглядит так: клиент аутентифицируется в ЕСИА, сдаёт биометрию через мобильное приложение или центр обслуживания, ГИС ЕБС возвращает финорганизации юридически значимый ответ «подтверждён / не подтверждён», на стороне бизнеса формируется скоринг и решение по сделке. Эта цепочка фиксируется в журнале ПОД/ФТ и должна быть предъявлена регулятору по запросу.

Кто вправе проводить удалённую идентификацию в 2026 году

Список обязанных и уполномоченных субъектов в 2026 году выглядит шире, чем ещё два года назад. Что именно вправе делать организация дистанционно, зависит от её лицензии и типа: банк с универсальной лицензией работает через ЕБС без ограничений, МФК подключается с 1 марта 2026 года, оператор ЦФА работает через ЕБС после включения в реестр Банка России.

• Банки с универсальной лицензией. Проводят удалённую идентификацию через ЕБС в полном объёме: открывают счёт, выдают кредит, оформляют вклад без визита клиента в офис.
• Банки с базовой лицензией. Используют ЕБС в ограниченном перечне операций, прежде всего при обслуживании физических лиц.
• МФК с доступом к ЕБС. С 1 марта 2026 года обязаны идентифицировать заёмщика по биометрии при дистанционном микрозайме (41-ФЗ от 1 апреля 2025 года). 5 мая 2026 года Банк России объявил, что не будет применять надзорные меры за неисполнение этой обязанности до 1 января 2027 года.
• МКК. Та же обязанность вступает в силу с 1 марта 2027 года.
• Страховые компании. Применяют удалённую идентификацию при дистанционном оформлении ОСАГО, ИЖС и других договоров страхования.
• Операторы инвестиционных и финансовых платформ. Идентифицируют клиентов при онлайн-размещении средств и выдаче займов через платформу.
• Профучастники рынка ценных бумаг и НПФ. Используют ЕБС при дистанционном открытии брокерских счетов и заключении договоров пенсионного обеспечения.
• Операторы обмена ЦФА и информационных систем по выпуску ЦФА. Подключаются к ЕБС после включения в реестр Банка России.

Небанковские организации вне этого списка применяют упрощённую идентификацию в разрешённых пределах или направляют клиента в офис для очной проверки.

Таблица 1.

Важная оговорка по микрофинансовому рынку. 5 мая 2026 года Банк России объявил, что не будет применять надзорные меры к МФК за неисполнение обязанности идентифицировать заёмщика через ЕБС до 1 января 2027 года. Подробности — в новостном дайджесте IDX. На обязанность подключаться к ЕБС и переписывать правила внутреннего контроля это решение не влияет: отсрочка касается только санкций, а не самой нормы. К аудиту по чеклисту 15 шагов мораторий тоже отношения не меняет.

Чеклист: 15 контрольных точек комплаенс-аудита

Логика чеклиста повторяет порядок проверки, который применяет Банк России при надзоре по ПОД/ФТ: сначала юридические основания обработки данных и идентификация по документам, затем биометрическая верификация и сверки по перечням Росфинмониторинга, в конце риск-скоринг и сохранность досье. Шаг считается закрытым, только если в досье клиента есть проверяемый артефакт: запись в журнале, отчёт скрининга, идентификатор операции ЕБС. Список рабочий: пройти его по своей системе можно за рабочую сессию.

Не все 15 шагов одинаково обязательны. Восемь из них образуют базовые требования для всех субъектов 115-ФЗ, пять включаются по сценарию работы (через ЕБС, для юрлица, при выявлении PEP), два считаются альтернативными или риск-ориентированные.

Таблица 2. Карта 15 шагов чеклиста

Каждый «обязательный» шаг — базовая регуляторная норма; пропуск любого из восьми создаёт прямое основание для предписания Банка России (см. раздел 6). «Условные» включаются по профилю организации и типу клиента; их пропуск опасен ровно настолько, насколько ваша компания подпадает под условие. «Альтернативные» применяются по риск-ориентированному принципу: их выполнение усиливает защиту от мошенничества, но не освобождает от обязательных проверок.

Следующие три раздела разбирают самые объёмные части цепочки: биометрию через ЕБС, сверки по перечням и санкции за нарушение. Полный чеклист с подробными пояснениями к каждому шагу приведём в конце статьи.

Биометрия через ЕБС: как работает, как подключиться, что изменилось после 41-ФЗ

ЕБС — государственная информационная система, оператором которой выступает Центр Биометрических Технологий. Система принимает биометрические шаблоны лица и голоса, возвращает заказчику результат верификации и идентификатор операции.

Модели взаимодействия в 2026 году:

• сбор биометрии в центре обслуживания (ЦО): банк, МФЦ, аккредитованный пункт;
• сбор через сертифицированное мобильное приложение «Госуслуги Биометрия»;
• онлайн-верификация по уже сданному шаблону в ГИС ЕБС.

Чтобы подключиться к системе, организация проходит четыре этапа: аккредитация по 572-ФЗ, договор с ЦБТ, интеграция через СМЭВ и защищённые каналы, сертификация программного обеспечения по требованиям ФСТЭК. Срок подключения варьируется от трёх месяцев у банков и крупных МФК, до шести месяцев и больше у компаний, у которых СМЭВ-канал и сертификация ИБ ещё не настроены.

5 февраля 2026 года вышла новая редакция методических рекомендаций ЕБС v1.5. Главное изменение: в текстах документа «банки» заменены на «центры обслуживания», а биометрическая верификация явно включена в перечень способов удалённой идентификации по 115-ФЗ. Для бизнеса это означает, что круг участников ЕБС больше не сводится к банкам и подключение становится массовой задачей рынка.

41-ФЗ добавил обязательную биометрию для микрофинансового рынка. С 1 марта 2026 года МФК не вправе выдавать дистанционный микрозайм без биометрической сверки клиента в ЕБС. У МКК тот же режим включится 1 марта 2027 года.

Объявленный 5 мая 2026 года мораторий ЦБ (см. раздел 2) даёт МФК отсрочку до 1 января 2027 года, но саму обязанность подключаться к ЕБС не отменяет. Регулятор объяснил решение тем, что подтверждённых биометрических профилей у населения пока мало, а клиенты плохо понимают новый сценарий онбординга. К концу марта 2026 года ни одна из действующих МФК не была подключена к ЕБС, ни напрямую, ни через банк, что подтвердил оператор системы ЦБТ. Рынок отреагировал на 41-ФЗ двумя сценариями. Первый сводится к перерегистрации МФК в статус МКК, для которого обязанность по биометрии включается только с 1 марта 2027 года; на этот путь к концу марта пошли несколько крупных игроков. Второй сценарий предусматривает делегирование идентификации: сверку с ЕБС за МФК проводит банк или оператор финансовой платформы, у которых уже есть прямая интеграция. По данным ЦБТ, тариф такой сверки составляет от 4 до 19 руб. за обращение, что существенно ниже стоимости собственной интеграции.

Подключение к ЕБС не отменяет распознавание паспорта: реквизиты документа остаются обязательной частью клиентского досье независимо от модели биометрической идентификации. Критерии выбора сервиса распознавания разобраны в гиде «Распознавание паспорта по API в 2026 году».

Санкционные списки Росфинмониторинга и госреестры: когда и как сверять

Этот раздел посвящён сверке по перечням, без которых ни один онбординг не может считаться законченным. Регулятор при проверке смотрит на журнал сверок: есть ли в досье клиента отметка о сверке и сохранён ли журнал, который это подтверждает.

Два обязательных перечня Росфинмониторинга (шаг 8 чеклиста):

• перечень об экстремистской деятельности и терроризме — основной список, по которому проводится сверка до приёма клиента и перед каждой операцией. Публикуется на fedsfm.ru, обновляется почти ежедневно;
• перечень об оружии массового уничтожения (отдельный документ ОМУ). Меньше по объёму, логика сверки и фиксации та же.

Доступ устроен через личный кабинет организации на fedsfm.ru: оттуда выгружаются актуальные версии в XML/CSV. Малые участники рынка получают обновления вручную из выгрузок, банки и крупные МФК интегрированы по API и обновляют локальные копии автоматически.

Решения межведомственной комиссии Росфинмониторинга о замораживании активов (шаг 10) — отдельная база, не входящая в основные перечни. По ней сверка ведётся в те же сутки, когда комиссия публикует решение: пропуск означает, что финорганизация продолжила обслуживать клиента, по которому уже принято решение об ограничении.

Санкционные списки третьих стран (шаг 9) — это OFAC США, санкционные списки ЕС и ООН. Они применяются по риск-ориентированному принципу. Сверка обязательна при любой международной составляющей: операции с цифровыми финансовыми активами, кросс-бордерные платежи, валютный контроль. Решающим фактором для регулятора здесь является не сама отметка о сверке, а скорость реакции на свежие обновления списков. Попадание клиента в обновлённый список OFAC после успешного онбординга означает необходимость блокирования счёта и эскалирования в комплаенс.

Частота сверки строится по принципу четырёх триггеров: до приёма клиента, перед операцией от пороговой суммы, при пересмотре риск-категории, при каждом обновлении перечня. Любой пропущенный триггер считается пробелом в досье.

Таблица 3. Перечень → частота сверки → действие при попадании

Что фиксируется в журнале ПОД/ФТ по каждой сверке: дата и время, источник (название перечня и версия), идентификатор оператора, принятое решение и его обоснование. Журнал хранится не менее пяти лет вместе с остальным досье (шаг 15 чеклиста). Состав досье и порядок уничтожения подробно разобраны в гиде IDX «Хранение клиентского досье по 115-ФЗ».

Чаще всего процесс ломается в дисциплине обновления локальной копии перечня. Если выгрузка с fedsfm.ru делается раз в неделю, а перечень обновляется ежедневно, между обновлениями появляется окно: клиент, добавленный в список во вторник, успешно проходит онбординг в среду. Сверка формально была проведена, но по неактуальной версии перечня. При разборе инцидента регулятор квалифицирует это как нарушение требований внутреннего контроля по 115-ФЗ.

Ответственность за нарушения удалённой идентификации: ст. 15.27 КоАП, 420-ФЗ, отзыв лицензий

Если какой‑то из обязательных шагов чеклиста не выполнен, это считается нарушением требований KYC и может обернуться для компании штрафами и другими санкциями, которые уже сопоставимы с убытком от реального инцидента. В 2026 году ответственность по базовой норме ст. 15.27 КоАП РФ за нарушения требований 115‑ФЗ стала настолько существенной, что вложения в инфраструктуру проверок окупаются буквально на одном предотвращённом кейсе. Пропуск любого из обязательных шагов 1–4, 8, 10, 14 или 15 даёт регулятору прямое основание квалифицировать ситуацию по этой статье.

• За неисполнение требований внутреннего контроля по 115-ФЗ (нет правил, нет журнала, не проводятся сверки по шагам 8, 10, 14) юрлицу грозит штраф от 50 тыс. до 100 тыс. руб.
• За непредоставление сведений в Росфинмониторинг (шаги 8, 10) штраф составляет от 200 тыс. до 400 тыс. руб. с приостановкой деятельности до 60 суток.
• За грубые нарушения по ПОД/ФТ, которые привели к легализации преступных доходов или финансированию терроризма при отсутствии уголовного состава, штраф для юрлица может составить от 500 тыс. до 1 млн руб. с приостановкой деятельности до 90 суток.

Для компаний из реестра Банка России (банки, МФО, МКК, КПК) к штрафам по КоАП добавляется надзорный риск: при систематических нарушениях ПОД/ФТ регулятор может дойти до отзыва лицензии или исключения из реестра. Это крайняя, но вполне реальная мера, о чём регулярно напоминают публикации о лишении лицензий на сайте ЦБ. Обычно триггером становятся накопленные нарушения: отдельные шаги чеклиста месяцами не исполняются, журнал ПОД/ФТ ведётся формально, риск‑скоринг не пересматривается.

За отмывание денег отвечает уже Уголовный кодекс Российской Федерации: статьи 174 и 174.1 УК РФ про легализацию преступных доходов. Когда KYC делается «для галочки» и становится частью единой схемы, риск резко возрастает: например, у клиента игнорируются шаг 11 (проверки по реестрам ФНС) и 13 (PEP), но его всё равно принимают на обслуживание. Если потом выясняется, что счёт использовали для отмывания средств, следствие отдельно разбирается, как сотрудники обошли проверки и кто именно закрыл глаза на эти нарушения.

Утечка персональных данных связана с пропуском шага 15 (хранение и защита досье). Для юрлиц действует оборотный штраф: от 1 до 3% выручки за предыдущий год, но не меньше 20 млн и не больше 500 млн руб. за повторную утечку. За утечку биометрических данных штраф для юрлица составляет от 15 до 20 млн руб. уже при первом нарушении.

Нормы нескольких законов одновременно влияют на компанию: 115‑ФЗ, 152‑ФЗ, 242‑ФЗ и 420‑ФЗ. Пропуск шага 15 (хранение досье) сразу открывает риск претензий по 115‑ФЗ (нет корректного досье и журнала ПОД/ФТ) и по 152‑ФЗ вместе с 420‑ФЗ (нарушен режим защиты персональных данных). Утечка KYC‑досье в такой конфигурации превращается в двойное нарушение: ситуацию можно квалифицировать сразу по нескольким статьям КоАП. Помимо формальных санкций возникает репутационный ущерб: блокировки со стороны контрагентов, возможный отзыв эквайринга и пересмотр партнёрских интеграций.

Таблица 4. Нарушение → норма → размер → последствие

Числовой ориентир для бюджетирования. Прямая инфраструктура удалённой идентификации (распознавание документов, проверка живого присутствия, биометрия, скрининг по перечням) для среднего по нагрузке участника финрынка обходится в десятки миллионов рублей в год. Одна непокрытая утечка KYC-досье или одно повторное предписание ЦБ закрывают весь годовой бюджет за один день.

Полный чеклист: 15 шагов с пояснениями и нормами

Чеклист разбит на три блока: анкета и юридическое основание, биометрия и сверка с реестрами, скоринг и фиксация результата. Удобнее всего идти по списку сверху вниз и напротив каждого пункта помечать, чем именно он закрыт в вашем процессе: автоматической проверкой, ручной операцией или внешним отчётом.

Блок 1. Анкета и юридическое основание (шаги 1–4)

Шаг 1. Согласие на обработку персональных данных. Обязательный. Согласие должно быть оформлено письменно или в электронном виде — с подписью УКЭП, УНЭП или через подтверждённую учётную запись в ЕСИА. Требование закреплено в ст. 9 152-ФЗ, и обойти его нельзя: без действительного согласия все последующие проверки юридической силы не имеют.

Шаг 2. Анкетные данные. Обязательный. Клиент сообщает ФИО, дату и место рождения, гражданство, реквизиты паспорта, ИНН, СНИЛС и адрес регистрации. Этот перечень прямо задан п. 1 ст. 7 115-ФЗ, поле обязательно. Если хотя бы одно из них не заполнено, сделку проводить нельзя.

Шаг 3. Действительность паспорта. Обязательный. Реквизиты документа проверяются через сервис МВД напрямую или по каналу СМЭВ. Если паспорт просрочен, заменён или числится утерянным, это автоматический стоп-фактор: продолжать идентификацию нельзя, клиент уходит на ручную проверку.

Шаг 4. Сверка с реестром недействительных документов. Обязательный. Запрос идёт по той же витрине данных МВД, но проверяет другой признак — не действительность как таковую, а попадание паспорта в перечень недействительных. Результат сохраняется отдельным отчётом в досье. Любое расхождение запускает ручной разбор и эскалацию в службу безопасности.

Блок 2. Биометрия и реестры (шаги 5–10)

Шаг 5. Аутентификация в ЕСИА. Условный. Через Госуслуги клиент подтверждает свой профиль, к нему привязаны телефон, СНИЛС и паспорт. Если учётная запись в ЕСИА не подтверждена, удалённая идентификация по 572-ФЗ просто не запустится: дальнейшие шаги через ЕБС невозможны без этой авторизации.

Шаг 6. Биометрическая верификация в ГИС ЕБС. Условный. На этом шаге ЕБС сверяет лицо клиента (а при необходимости — и голос) с сохранённым в системе биометрическим шаблоном. Финорганизация получает результат и идентификатор операции, который остаётся в журнале и предъявляется регулятору по запросу. Подробные параметры подключения, форматы данных и допустимые сценарии описаны в методических рекомендациях ЕБС v1.5 от 5 февраля 2026 года.

Шаг 7. Собственная биометрия и проверка живого присутствия. Альтернативный. Если организация пока не обязана работать через ЕБС или хочет добавить параллельный антифрод-контур, она может использовать собственное решение: селфи клиента, проверку живого присутствия и сверку лица с фотографией в паспорте. Требования к проверке живого присутствия и устойчивости такого сервиса к атакам разобраны в гиде «Liveness detection и защита от дипфейков».

Шаг 8. Перечни Росфинмониторинга. Обязательный. Клиента нужно сверить с двумя обязательными списками — об экстремизме и терроризме и об оружии массового уничтожения. Доступ к ним организация получает через личный кабинет на fedsfm.ru и отдельный список по ОМУ. Перечни обновляются ежедневно, поэтому сверка должна идти не от случая к случаю, а на регулярной основе.

Шаг 9. Санкционные списки третьих стран. Условный: Списки OFAC, ЕС и ООН проверяются для клиентов с международным контекстом, операций с цифровыми финансовыми активами и трансграничных платежей. Главный риск здесь не столько в самом факте сверки, сколько в скорости реакции: когда клиент попадает в очередное обновление списка, у комплаенса есть считаные часы, чтобы остановить операцию и эскалировать кейс.

Шаг 10. Решения межведомственной комиссии Росфинмониторинга о замораживании активов. Обязательный. Отдельная база на fedsfm.ru, в которой сверка ведётся в те же сутки, когда комиссия публикует решение. Сверка с этой базой должна проходить не реже одного раза в сутки по каждому активному клиенту, иначе организация рискует пропустить блокировку и провести запрещённую операцию.

Блок 3. Скоринг и фиксация (шаги 11–15)

Шаг 11. Реестры ФНС. Условный. Проверяются ЕГРЮЛ и ЕГРИП, реестры массовых учредителей и директоров, реестр дисквалифицированных лиц, а также ЕФРСБ. Сигналом для отказа служит, например, человек, который числится директором или учредителем сразу в десятках компаний: для KYC это прямой признак номинального участия и повод поднять риск-категорию.

Шаг 12. ФССП. Альтернативный, риск-ориентированный. Базу исполнительных производств подключают, когда этого требуют профиль клиента или сумма операции. Для розничного микрозайма такая проверка не обязательна, а для корпоративного клиента или крупной сделки она критична: открытые производства резко меняют картину платёжеспособности и оценку риска.

Шаг 13. Статус PEP и EDD. Условный. Запускается при выявлении статуса публичного должностного лица или его связанного лица. Углублённая проверка (Enhanced Due Diligence) запускается автоматически при срабатывании скоринга или ручном выявлении. Данные берутся либо из собственной базы PEP, либо у внешнего провайдера. Любой положительный результат не закрывает клиенту вход, но переводит его на отдельный маршрут согласования и более тщательный мониторинг операций.

Шаг 14. Риск-скоринг. Обязательный. По итогам всех предыдущих проверок клиенту присваивается уровень риска: низкий, средний или высокий. Решение фиксируется в журнале ПОД/ФТ с указанием времени, оператора и оснований. Эта запись становится главным доказательством того, что компания действительно оценила клиента, а не поставила формальную отметку.

Шаг 15. Хранение клиентского досье. Обязательный. В досье клиента должны остаться анкета, биометрический идентификатор, выписки по всем проверкам и согласие на обработку данных. Хранить их нужно не менее пяти лет после прекращения отношений с клиентом. Это прямое требование п. 4 ст. 7 115-ФЗ. Состав досье, форматы хранения и порядок уничтожения подробно разобраны в гиде IDX «Хранение клиентского досье по 115-ФЗ».

Пройти чеклист интерактивно. Ниже встроена интерактивная версия из 15 шагов с прогресс-баром, цветовой кодировкой типов и автоматическим расчётом риска ответственности по тем шагам, которые остались неотмеченными.

(Состояние сохраняется в браузере: можно пройти чеклист сейчас, закрыть вкладку и вернуться к нему позже без потери прогресса).

Что делать дальше? Пройдите интерактивный чеклист 15 шагов и отметьте, какие пункты в вашем процессе выполняются автоматически, какие — ручной проверкой, а какие пока выпадают. По неавтоматизированным шагам напишите нам: услуги IDX по подтверждению личности и полный каталог сервисов обеспечивают распознавание документов, проверку живого присутствия и скрининг по перечням в рамках одного сервиса.