Внедрение AML-комплаенса в компании: план, документы, роли и сроки

Основатель EMI, PSP, крипто-бизнеса или финтех-компании в ЕС обычно приходит к теме AML-комплаенса не из любопытства, а потому что регулятор, банк-партнёр или инвестор прямо спросил: «Где ваша AML-система?». Запросы «внедрение AML», «разработка AML документов», «AML-политика» в поиске — это, как правило, один и тот же вопрос: с чего начать и как построить работающую систему, а не папку документов «для галочки».

Мы в COREDO с 2016 года собираем и сопровождаем AML-комплаенс для EMI, PSP, провайдеров криптоактивов, финтех- и корпоративных компаний в ЕС — от первой оценки рисков до роли внешнего MLRO. Если внутри компании не хватает ресурса довести внедрение до конца самостоятельно, разумно обсудить внедрение и сопровождение AML на аутсорсинге отдельно от этой статьи — здесь мы разбираем план целиком, шаг за шагом.

Зачем действовать уже в 2026 году, а не ждать 2027-го

По состоянию на ноябрь 2026 года в ЕС одновременно действуют два слоя требований. Первый — национальное законодательство, которое применяется прямо сейчас: для компании, зарегистрированной в Чехии, это закон № 253/2008 Сб. «О некоторых мерах против легализации доходов от преступной деятельности и финансирования терроризма» и надзор Финансово-аналитического управления (FAÚ). Второй — новый общеевропейский пакет: Регламент (ЕС) 2024/1624 (AMLR), Директива (ЕС) 2024/1640 (AMLD6) и Регламент (ЕС) 2024/1620 об Органе по борьбе с отмыванием денег (AMLA). AMLR применяется напрямую во всех странах ЕС с 10 июля 2027 года (для обязанных лиц, связанных с футбольными агентами и профессиональными клубами, — с 10 июля 2029 года), и к этой же дате страны должны завершить перенос AMLD6 в национальное право.

Это не значит, что до июля 2027 года можно не торопиться. AMLA уже работает: Орган начал операционную деятельность 1 июля 2025 года со штабом во Франкфурте, а с 1 января 2026 года принял от EBA мандаты и полномочия в сфере AML/CFT. Национальные регуляторы продолжают проверять компании по действующим правилам — мы писали о том, что обычно вызывает внеплановые проверки в ЕС, и почему откладывать внедрение AML-процедур невыгодно для бизнеса — это разбирали в материале о причинах не откладывать внедрение AML.

Что меняется: AMLR, AMLD6, AMLA и чешский закон № 253/2008 Сб.

AMLR — это регламент: он действует одинаково во всех странах ЕС без перевода в национальные законы. AMLD6 — директива, её нормы страны переносят через собственные акты, и темп переноса отличается от страны к стране. Европейская комиссия ведёт отдельный трекер переноса AMLD6 по странам, и из него видно, что даже внутри ЕС «дата в директиве» и «дата в местном законе» не всегда совпадают — поэтому для конкретной юрисдикции сроки стоит проверять отдельно, а не ориентироваться только на дату из регламента.

Для компании в Чехии практическая база сегодня — закон № 253/2008 Сб. и подзаконные акты FAÚ. С 2024 года закон требует, чтобы обязанная организация уведомляла FAÚ о выбранном контактном лице через дата-бокс (datová schránka) в течение 30 дней с момента, когда компания стала обязанной организацией (ранее — 60 дней), и сообщала об изменениях данных в течение 15 дней. Сам FAÚ указывает, что действующая национальная модель будет заменена прямым применением AMLR к 10 июля 2027 года — то есть чешским компаниям предстоит не разовая правка документа, а переход на новую архитектуру ролей и процедур.

Пошаговый план внедрения AML-комплаенса

На практике порядок внедрения почти всегда один и тот же — меняется глубина проработки каждого шага в зависимости от размера бизнеса и его риск-профиля.

1. Общая оценка рисков бизнеса (business-wide risk assessment). Это отправная точка риск-ориентированного подхода, который закрепляет Рекомендация 1 FATF: компания должна сама определить, каким рискам ОД/ФТ подвержены её продукты, клиенты, каналы и географии, и калибровать меры под эти риски, а не копировать чужой шаблон. Логику построения такой матрицы мы разбирали в материале о риск-ориентированном подходе.
2. Политики и процедуры. На основе оценки рисков пишутся AML/KYC-политика, процедуры CDD/EDD, мониторинга и реагирования на алерты, отчётности и обучения. Важно, чтобы политика была документом, по которому реально работают, а не переводом регуляторного текста — короткую рабочую структуру такой политики мы показывали в материале «AML-политика: как построить версию, которую читает бизнес».
3. Роли и ответственность: MLRO, compliance officer, совет директоров. Руководство EBA о политиках, процедурах комплаенс-менеджмента и роли AML/CFT compliance officer (EBA/GL/2022/05) требует, чтобы один из членов руководящего органа компании был назначен ответственным за AML/CFT в конечной инстанции, а у compliance officer был прямой доступ к этому органу при существенных инцидентах. Важный нюанс: даже если операционные задачи переданы на аутсорсинг, итоговая ответственность за соответствие остаётся на самой организации — передать её подрядчику нельзя.
4. KYC/KYB-онбординг и due diligence (CDD/EDD). Идентификация клиента и бенефициаров, проверка на санкции и PEP, присвоение риск-рейтинга и, для рискованных случаев, усиленная проверка — этот блок чаще всего выносят на отдельный KYC/KYB-скрининг, потому что здесь нужны и инструменты, и постоянная актуализация баз.
5. Текущий мониторинг и скрининг. Транзакционный мониторинг, периодический пересмотр риск-рейтинга клиентов и санкционный скрининг контрагентов должны работать не разово при онбординге, а непрерывно; про выбор провайдера и настройку порогов для скрининга мы писали отдельно — см. «Санкционный скрининг контрагентов». Поток алертов нужно куда-то направлять и закрывать по понятным правилам — этому посвящён материал о кейс-менеджменте для AML-алертов.
6. Отчётность: STR/SAR в FIU. При подозрении на отмывание денег или финансирование терроризма обязанная организация должна направить уведомление о подозрительной операции в национальную FIU — для Чехии это FAÚ, порядок подачи описан в его методических указаниях. Это отдельная процедура со своими сроками и внутренней логикой принятия решения «подавать или не подавать», а не часть общей переписки с регулятором.
7. Обучение персонала. Регулятор ожидает не разовый инструктаж при найме, а регулярную программу обучения с проверкой усвоения и документированием — что именно проверяют на практике, разбирали в материале про AML-обучение сотрудников; как услугу эту функцию закрывает AML-обучение.
8. Хранение документов и записей. Регламент (ЕС) 2024/1624 в статье 77 устанавливает единый для ЕС срок хранения — пять лет с момента окончания деловых отношений, разовой операции или отказа от их установления, с возможностью продления ещё на срок до пяти лет по решению страны-участницы; персональные данные по истечении срока нужно удалять с учётом требований GDPR.
9. Внутренний аудит и независимая проверка. Систему нельзя «включить и забыть» — нужна периодическая независимая оценка того, работают ли политики так, как задумано. Разницу между внутренним и внешним аудитом и когда какой выбирают, мы разбирали в материале «Внутренний vs внешний AML-аудит».

Минимальный пакет документов

Набор документов, без которого компания не проходит ни внутреннюю, ни внешнюю проверку:

• Общая оценка рисков бизнеса — фиксирует, каким рискам ОД/ФТ подвержена компания и почему.
• AML/KYC-политика — верхнеуровневый документ о принципах и ответственности.
• Процедура CDD/EDD и онбординга — что именно проверяется у клиента и когда включается усиленная проверка.
• Процедура транзакционного мониторинга и работы с алертами — правила выявления, эскалации и закрытия подозрительной активности.
• Процедура подачи STR/SAR — кто принимает решение, в какие сроки и в какую FIU направляется уведомление.
• Программа обучения персонала — содержание, периодичность, способ подтверждения усвоения.
• Политика хранения записей — сроки и порядок хранения документов по клиентам и операциям.
• Документы о назначении MLRO/compliance officer — включая фиксацию ответственности на уровне руководящего органа.
• Политика санкционного скрининга — провайдер, пороги срабатывания, порядок обработки совпадений.
• Отчёт внутреннего или внешнего аудита — подтверждение, что система не только написана, но и проверена в работе.

Сроки: сколько занимает внедрение на практике

Универсального норматива сроков в регуляторных текстах нет — ни AMLR, ни AMLD6, ни закон № 253/2008 Сб. не называют, за сколько недель компания обязана выстроить систему «с нуля»: это вопрос переговоров с регулятором и банком-партнёром, а не фиксированный срок. Дальше — ориентиры по нашей практике в COREDO, а не нормативные сроки. Для компании без действующих процедур базовый пакет документов — оценка рисков, политика, ключевые процедуры — обычно занимает порядка нескольких недель активной совместной работы; настройка онбординга, скрининга и мониторинга как работающего процесса, а не только документа на бумаге, — это уже следующий и более долгий этап; обучение персонала и первый цикл отчётности перед регулятором добавляют время сверху. Если у компании уже есть частичная система и нужна доработка под AMLR/AMLD6, срок обычно короче, чем при построении «с нуля», но конкретная цифра зависит от того, сколько из перечисленного выше уже существует и в каком состоянии.

Типичные ошибки при внедрении

• Документы пишутся «под проверку», а не под реальные процессы — политика существует, но сотрудники работают иначе, и при первой же внеплановой проверке это видно сразу.
• Ответственность на уровне совета директоров есть на бумаге, но не на практике — формально назначенный ответственный член руководящего органа не получает отчётов и не принимает решений по AML-рискам, что прямо противоречит логике EBA/GL/2022/05.
• Аутсорсинг воспринимается как передача ответственности — отдельные задачи можно передать подрядчику, но итоговая ответственность всегда остаётся на самой организации.
• AMLR 2027 года воспринимается как «проблема следующего года» — при этом национальный закон и текущий надзор уже действуют, и перестраивать систему под новую архитектуру ролей быстрее, когда база уже выстроена сейчас.
• Пороги скрининга и риск-рейтинг клиентов настроены один раз при запуске и больше не пересматриваются, хотя риск-профиль бизнеса и клиентской базы меняется со временем.
• Обучение проводится один раз при найме, без повторного цикла и без документирования того, что именно и когда проверялось.

Что делать дальше

Если в компании ещё нет ни одного из перечисленных документов — разумно начать с общей оценки рисков и базового пакета политик, а не с найма полной внутренней команды под ещё не выстроенный процесс: на этом этапе часто быстрее обсудить внедрение и сопровождение AML на аутсорсинге. Если документы есть, но непонятно, насколько они рабочие, — первый шаг — независимая проверка: это закрывает AML-аудит. Если в компании нет ресурса держать постоянного штатного MLRO с нужной квалификацией и доступом к руководящему органу, эту роль можно закрыть через внешнего MLRO. Детали одного реального проекта по построению AML-системы «с нуля» для эмитента электронных денег мы показывали в кейсе «Процесс разработки AML-системы с нуля».

Частые вопросы

С какой даты AMLR обязателен для всех компаний в ЕС?

Регламент (ЕС) 2024/1624 применяется напрямую во всех странах ЕС с 10 июля 2027 года; для обязанных лиц, связанных с футбольными агентами и профессиональными футбольными клубами, — с 10 июля 2029 года. До этой даты продолжает действовать национальное законодательство, которое уже сейчас требует полноценной AML-системы.

Нужен ли отдельный MLRO, если компания небольшая?

Да, но масштаб роли пропорционален размеру и риск-профилю бизнеса. Руководство EBA о роли AML/CFT compliance officer (EBA/GL/2022/05) требует назначить ответственного и на уровне руководящего органа, и на операционном уровне; для небольшой компании это может быть один и тот же человек, но назначение и доступ к руководящему органу должны быть оформлены документально.

Можно ли передать AML-комплаенс на аутсорсинг полностью?

Операционные задачи — да, итоговую ответственность — нет. По логике EBA/GL/2022/05 юридическая и регуляторная ответственность остаётся на обязанной организации независимо от того, выполняются ли отдельные функции собственной командой или подрядчиком.

Что будет, если не уведомить FAÚ о контактном лице?

Для чешских обязанных организаций закон № 253/2008 Сб. с 2024 года прямо требует уведомить FAÚ о контактном лице через дата-бокс (datová schránka) в течение 30 дней с момента, когда компания стала обязанной организацией, и сообщать об изменениях в течение 15 дней; это отдельная, самостоятельная обязанность, не покрытая фактом существования внутренней AML-политики.

Как часто нужно обновлять оценку рисков?

Регуляторные тексты не называют единый календарный интервал — оценка рисков должна оставаться актуальной по отношению к реальному профилю бизнеса, то есть пересматриваться при существенных изменениях (новые продукты, рынки, объёмы операций) и периодически в рамках внутреннего или внешнего аудита, а не оставаться статичным документом с даты запуска.