AML-аудит компании: что проверяют и что должно быть в отчёте

Запрос «AML-аудит» или «AML-аудит для инвестиционных компаний» в поисковой выдаче почти никогда не возникает из абстрактного интереса к теме комплаенса. За ним обычно стоит конкретное событие: регулятор запросил независимую оценку системы, банк-партнёр поставил аудит условием продолжения отношений, инвестор перед сделкой хочет понять реальное состояние AML-контроля, или совет директоров просто не может вспомнить, когда систему проверяли последний раз. В этой статье — без пересказа ситуационных сценариев — разбираем сам инструмент: что именно проверяет независимый AML-аудит, как к нему готовиться и что обязано быть в итоговом отчёте, чтобы его приняли банк, регулятор или покупатель бизнеса.

Мы в COREDO с 2016 года проводим независимые AML-аудиты и сопровождаем их результаты для EMI, PSP, провайдеров криптоактивов, инвестиционных и корпоративных компаний в ЕС. Если вам нужна именно такая проверка — это закрывает услуга AML-аудит; дальше в статье — что входит в такую работу и как к ней прийти подготовленными.

Когда компании нужен AML-аудит

Независимая проверка AML-системы обычно становится актуальной в одной из шести ситуаций. Запрос регулятора — плановая или внеплановая проверка, после которой регулятор прямо или косвенно ожидает независимое подтверждение, что выявленные проблемы устранены. Онбординг у банка или платёжного партнёра — крупные банки и PSP всё чаще требуют отчёт о независимом AML-аудите как часть due diligence контрагента, а не верят на слово презентации о «работающей системе». Подача или продление лицензии — лицензирующий орган хочет видеть не только политику на бумаге, но и подтверждение, что процедуры применяются на практике. Смена бенефициарного владельца — после смены контроля банки и регуляторы, как правило, хотят отдельной проверки, потому что риск-профиль компании формально обновился. Due diligence перед продажей бизнеса — покупатель хочет понимать реальное состояние AML-контроля до, а не после сделки. Плановый внутренний пересмотр — даже без внешнего триггера система нуждается в периодической независимой оценке, потому что процедуры, работавшие год назад, могли разойтись с реальностью бизнеса.

Что проверяет независимый AML-аудит

Независимый AML-аудит — это не повторная читка политики, а проверка того, работает ли система на практике так, как она описана на бумаге. Вне зависимости от масштаба бизнеса, проверка почти всегда покрывает один и тот же набор областей:

• Общая оценка рисков бизнеса (business-wide risk assessment) — актуальна ли она по отношению к реальным продуктам, клиентам, каналам и географии; логику построения такой матрицы именно для аудита мы разбирали в материале про риск-ориентированный подход и RBA-матрицу.
• Политики и процедуры — AML/KYC-политика, процедуры CDD/EDD, мониторинга и реагирования на подозрительную активность: действуют ли они как документ, по которому реально работают, а не формальный текст.
• Governance и роль MLRO — назначен ли ответственный на уровне руководящего органа, есть ли у compliance officer прямой доступ к совету директоров, отделена ли операционная функция комплаенса от независимой проверки системы.
• Файлы CDD/EDD и KYC — выборочная проверка клиентских досье: собраны ли нужные документы, присвоен ли риск-рейтинг, применена ли усиленная проверка там, где она требовалась.
• Транзакционный мониторинг и работа с алертами — настроены ли сценарии мониторинга под реальный риск-профиль и закрываются ли алерты по понятным правилам, а не произвольно; подробнее о выстраивании этого процесса — в материале про case management для AML-алертов.
• Санкционный и PEP-скрининг — актуальность баз, частота пересмотра совпадений, порядок обработки ложных срабатываний.
• Отчётность STR/SAR в FIU — зафиксирован ли порядок принятия решения «подавать или не подавать» и соблюдаются ли сроки подачи уведомлений.
• Обучение персонала — проводится ли оно регулярно, а не разово при найме, и документируется ли факт усвоения материала; что здесь проверяет регулятор, разбирали в отдельном материале о AML-обучении сотрудников.
• Хранение документов и записей — соблюдаются ли сроки хранения клиентских файлов и операций и порядок их последующего удаления.
• IT-инфраструктура и инструменты — покрывает ли используемое ПО для скрининга и мониторинга реальный объём и сложность операций, или система держится на таблицах и ручной сверке там, где объём это уже не позволяет.

Регуляторная основа этого набора — не внутреннее изобретение аудиторов. Пояснительная записка (Interpretive Note) к Рекомендации 18 FATF прямо включает независимую аудиторскую функцию, которая тестирует работу системы внутреннего контроля, в перечень обязательных элементов — наравне с программой текущего обучения персонала. На уровне ЕС Регламент (ЕС) 2024/1624 (AMLR) в статье 9 требует от обязанных организаций поддерживать внутренние политики, процедуры и меры контроля и прямо предусматривает независимую аудиторскую функцию для их проверки — причём эта функция может выполняться внешним экспертом.

Как подготовиться к AML-аудиту

Качество аудита напрямую зависит от того, насколько организован пакет документов и данных к началу работы. На практике минимальный пакет для подготовки включает:

1. действующую общую оценку рисков бизнеса с датой последнего пересмотра;
2. AML/KYC-политику и процедуры CDD/EDD, мониторинга, работы с алертами и подачи STR/SAR;
3. документы о назначении MLRO/compliance officer и фиксацию ответственности на уровне руководящего органа;
4. выборку клиентских файлов (KYC/KYB) за проверяемый период, включая случаи усиленной проверки;
5. логи и отчёты транзакционного мониторинга и санкционного скрининга, включая историю обработки алертов;
6. реестр поданных (и рассмотренных, но не поданных) STR/SAR с обоснованием решений;
7. программу и записи обучения персонала за последний цикл;
8. политику хранения записей и подтверждение её фактического соблюдения;
9. отчёт предыдущего внутреннего или внешнего аудита и статус закрытия его рекомендаций.

Аудитор почти всегда работает с выборкой, а не со всем массивом операций и клиентов: типичный подход — взять случайную выборку плюс отдельно досэмплировать повышенные риски (новые продукты, крупные или нестандартные операции, клиентов с высоким риск-рейтингом). Поэтому готовность предоставить не усреднённую статистику, а конкретные файлы и логи по запросу — то, что реально ускоряет работу. Второй обязательный элемент подготовки — интервью с ключевыми сотрудниками: MLRO, операционной командой, иногда — с членом руководящего органа, отвечающим за AML/CFT. Аудитор сопоставляет то, что написано в процедуре, с тем, что говорят люди, которые по этой процедуре работают каждый день, — именно здесь обычно всплывают разрывы между документом и практикой.

Что должно быть в отчёте об AML-аудите

Отчёт, который банк, регулятор или покупатель бизнеса примут как серьёзное подтверждение, а не формальную бумагу, обычно содержит пять обязательных блоков. Объём и границы проверки (scope) — какие юридические лица, продукты, период и области были включены в проверку, а что осталось за рамками. Методология — как формировалась выборка, какие документы и системы изучались, с кем проводились интервью, по какому стандарту или перечню критериев оценивалось соответствие. Находки по уровню критичности — каждое отклонение классифицировано (например, критическое / значительное / незначительное), с описанием конкретного факта, а не общей оценкой «в целом неплохо». План устранения — по каждой находке: кто отвечает за исправление, к какому сроку и какой результат будет считаться закрытием пункта. Краткое резюме для руководства (management summary) — отдельный раздел на одну-две страницы для совета директоров и внешних получателей отчёта, без которого отчёт неудобно показывать банку или инвестору напрямую.

Отчёт без плана устранения с ответственными и сроками закрытия — фактически не отчёт об аудите, а список замечаний: именно отсутствие этого блока чаще всего становится причиной повторной проверки через короткий срок.

Внутренний или внешний аудит — и кого принимают банки и регуляторы

Формально требование регуляторов — независимость аудиторской функции, а не обязательно её внешний характер: это прямо следует из логики Рекомендации 18 FATF и статьи 9 AMLR, которые говорят о независимой функции, способной быть выполненной внешним экспертом, но не требуют этого в обязательном порядке. На уровне governance Руководство EBA о роли AML/CFT compliance officer (EBA/GL/2022/05) явно разделяет операционную функцию комплаенс-офицера (вторая линия защиты) и независимую аудиторскую функцию (третья линия) — это разные роли, и совмещать их в одном лице регулятор не ожидает. На практике банки-партнёры и инвесторы перед крупной сделкой чаще хотят увидеть именно внешний отчёт: ему проще доверять, потому что исполнитель не оценивает собственную работу. У внутреннего аудита есть своя роль — регулярный контроль между внешними проверками, но он не заменяет независимую внешнюю оценку там, где её прямо запрашивает контрагент. Более подробно разницу между форматами и то, когда что выбирают в ЕС, мы разбирали в отдельном материале о внутреннем и внешнем AML-аудите; а про модель, при которой сам аудит выполняется на аутсорсинге, — в материале про AML-аудит на аутсорсинге.

Типичные находки AML-аудита

Набор типичных находок повторяется от компании к компании почти без изменений:

• Оценка рисков не обновлялась после изменения продукта или рынка — документ остался таким же, как на момент запуска, хотя бизнес давно изменился.
• Политика существует, но процесс работает иначе — сотрудники выполняют задачи «как привыкли», а не по описанной процедуре.
• Ответственность руководящего органа закреплена формально — назначенный директор не получает регулярных отчётов по AML-рискам и не принимает по ним решений.
• Пороги мониторинга и скрининга настроены один раз и не пересматриваются, хотя объём и профиль операций изменился.
• Нет документированного обоснования решений по STR/SAR — особенно по случаям, где решение было «не подавать».
• Обучение проведено один раз при найме, без повторного цикла и без подтверждения усвоения материала.
• Предыдущие рекомендации аудита не закрыты — одна из находок, на которую регуляторы и банки реагируют острее остальных, потому что она говорит не о разовой ошибке, а о системном разрыве между выявлением проблемы и её устранением.

Что делать дальше

Если система ещё не проходила независимую проверку или прошлый отчёт не закрыт планом устранения — разумный первый шаг — именно AML-аудит: он покажет, где документ расходится с практикой, до того, как это увидит банк или регулятор. Если по итогам аудита выясняется, что не хватает ресурса на операционное сопровождение AML-функции — это закрывает AML-поддержка и аутсорсинг. Если нужен постоянный ответственный с доступом к руководящему органу, но без штатной позиции — эту роль можно закрыть через внешнего MLRO. Отдельные находки по обучению персонала и по качеству клиентских файлов закрываются соответственно через AML-обучение и KYC/KYB-скрининг. Если же аудит показал, что системы по сути ещё нет — стоит начать с пошагового плана внедрения, который мы разбирали в материале «Внедрение AML-комплаенса: план, документы, роли и сроки», и с примера того, как такой проект выглядит целиком, — в кейсе «Процесс разработки AML-системы с нуля».

Частые вопросы

Сколько длится AML-аудит?

Регуляторные тексты не называют единый норматив длительности — срок зависит от размера бизнеса, числа юрисдикций и готовности документов к началу работы. Этап сбора и анализа материалов обычно занимает больше времени, чем сами интервью; по нашей практике в COREDO, чем лучше организован пакет документов заранее, тем короче цикл проверки.

Чем AML-аудит отличается от обычной внутренней проверки комплаенса?

Независимый аудит тестирует, работает ли система на практике, и формирует отдельный отчёт с находками и планом устранения для внешних получателей — банка, регулятора, инвестора. Внутренняя текущая проверка комплаенс-функцией — это часть повседневной операционной работы первой и второй линии защиты, а не замена третьей, независимой линии.

Может ли внутренний сотрудник провести независимый AML-аудит?

Нет, если этот сотрудник одновременно отвечает за операционную работу проверяемой функции — это противоречит самой идее независимости, на которой построены и Рекомендация 18 FATF, и EBA/GL/2022/05. Аудит может провести отдельное внутреннее подразделение без операционных обязанностей в AML-функции или внешний эксперт.

Что регулятор делает с отчётом об AML-аудите?

Это зависит от того, в каком контексте запрошен отчёт: при плановой или внеплановой проверке регулятор обычно сверяет находки аудита с собственными наблюдениями и проверяет, закрыт ли план устранения; при подаче или продлении лицензии — рассматривает отчёт как часть пакета, подтверждающего готовность системы к надзору.

Что если аудит выявил критические находки?

Критическая находка не означает автоматический отказ банка или регулятора — она означает, что по ней должен появиться план устранения с конкретным сроком и ответственным, и что этот срок нужно будет подтвердить фактически, а не только на бумаге. Отчёт без такого плана по критическим пунктам — то, что чаще всего вызывает повторную проверку в короткие сроки.