COREDO – EU Legal & Compliance Services Экспертный юридический консалтинг, лицензирование финансовых услуг (EMI, PSP, CASP согласно MiCA) и AML/CFT комплаенс на всей территории Евросоюза. С главным офисом в Праге, мы обеспечиваем комплексные регуляторные решения в Германии, Польше, Литве и во всех 27 странах-членах ЕС
Grigorii Lutcenko
10.03.2026 | 6 мин чтения
Обновлено: 10.03.2026
С 2016 года я веду COREDO как платформу экспертных решений на стыке права, финансов и технологий. За это время команда COREDO реализовала десятки проектов в ЕС, Чехии, Словакии, на Кипре, в Эстонии, Великобритании, Сингапуре и Дубае: от регистрации юридических лиц и лицензирования платежных услуг ЕС до выстраивания AML-функций и масштабирования на новые рынки. Я хорошо знаю запрос предпринимателей и финансовых директоров: нужен надежный партнер, который говорит языком бизнеса, а не формул регулятора, и умеет проводить клиента сквозь детали PSD2, AMLD5/AMLD6 и требований NCA к рабочему запуску.
Эта статья: практическое руководство. Я последовательно разберу классификацию платежных услуг в ЕС, разные типы лицензий (EMI/PI/SPI), требования к бизнес-модели и техархитектуре, AML/KYC/KYB-практики и нюансы масштабирования. По ходу дам фрагменты того, как решения, разработанные в COREDO, помогали клиентам ускорять Лицензирование, выстраивать SCA и transaction monitoring и уверенно проходить Q&A с регулятором платежных услуг ЕС.
Как мыслить о платежном бизнесе в ЕС
Регуляторика в ЕС движется по логике «функция: риск — контроль». Директива PSD2 и классификация платежей дают каркас, где каждая функция (инициация платежа, информация по счету, эмиссия электронных денег) тянет за собой набор организационных, технологических и AML-требований. Важно с первых дней развести границы между банковской деятельностью (принятие депозитов, кредитование из собственных средств) и услугами PSP, чтобы доказать отсутствие банковской деятельности при подаче на лицензию.
Сейчас рынок живет ожиданиями PSD3 и изменения интегрируй естественно. Практика COREDO подтверждает: кто заранее перестраивает процессы под усиление SCA, открытых API и риск-ориентированный AML, тот снижает стоимость соответствия и получает ускорение time-to-market. При этом базовый принцип остается прежним, четко описать продукт, транзакционные потоки, роли сторон и границы ответственности.
Классификация платежей по PSD2
Когда речь заходит о классификации платежных услуг в ЕС, ключевая развилка — какие именно услуги вы оказываете и по какой схеме движутся деньги. Виды платежных услуг по PSD2 включают, в частности, payment initiation service (PIS) и account information service (AIS).
Payment initiation service (PIS), это инициирование платежа со счета плательщика в банке через Open Banking API; провайдер не держит средства, но берет на себя аутентификацию, формирование платежного поручения и подтверждение статуса.
Account information service (AIS): доступ к агрегированной информации по счетам клиента с его согласия, без инициирования движений.
Merchant acquiring vs payment initiation — частый вопрос в заявках. Эквайринг, это прием картовых платежей в интересах мерчанта (с участием acquiring bank, картовых схем и, нередко, BIN sponsorship), а PIS, инициация банковского перевода по открытому API. У этих моделей разная логика флоу, степень зависимости от картовых стандартов и состав рисков. Правильное юридическое описание разграничивает потоки средств и определяет, требуется ли лицензирование платежных услуг ЕС по типу PI/EMI или достаточно агентской модели.
Отдельный пласт: эмиссия электронных денег как классифицировать. Если храните клиентские средства с обязательством выкупа по номиналу и выпускаете e-money, речь идет об Electronic Money Institution (EMI) лицензии. Как классифицировать мобильные кошельки по PSD2? Если кошелек лишь иницииует платежи без хранения средств, это ближе к PIS. Если на балансе провайдера отражаются предоплаченные средства клиента, это e-money с требованиями к safeguarding и капиталу.
Формы лицензий PI, EMI, SPI и регуляторы
Лицензирование — это не только “галочка” для запуска, но и стратегия масштабирования. В ЕС действуют иерархии: Payment Institution (PI) authorization для широкого набора платежных услуг, Electronic Money Institution (EMI) для e-money и расширенной функциональности кошельков и карт, а также Small Payment Institution (SPI) регистрация для ограниченных по объему операций моделей. Правильный выбор экономит капитал и сокращает сроки запуска.
регуляторы ЕС (NCA, EBA, ECB) задают рамку: местные NCA выдают разрешения, EBA выпускает руководства и Q&A, ECB влияет на платежную инфраструктуру и надзорные практики в зоне евро. На что обращают внимание NCA при классификации услуги? На прозрачность флоу, сегрегацию средств, компетенции руководства, AML-контрольную среду и реалистичность бизнес-плана. Наш опыт в COREDO показал, что проактивный диалог с NCA с демонстрацией продуманной risk-based approach существенно снижает количество раундов замечаний.
EMI лицензия в ЕС: что хочет регулятор
Electronic Money Institution (EMI), выбор для провайдеров с хранением клиентских средств, эмиссией e-money и выпуском карт совместно с BIN-спонсором и issuer processor. В бизнес-план для EMI лицензии важно включить детальную экономику: источники дохода (revenue streams: MDR, interchange, FX spread, подписки), структуру затрат, оценку стоимости соответствия (compliance cost modelling) и метрики unit-экономики. Регулятор ожидает доказательства непревышения банковских границ: отсутствуют депозиты и кредитование за счет клиентских средств.
Команда COREDO обычно формирует для EMI досье с фокусом на safeguarding, договоры со счетами-защитой, политиками по ре-консиляции и stress scenarios. Когда регулятор платежных услуг ЕС видит логичную архитектуру управления ликвидностью, четкий audit trail и зрелые процедуры CDD/EDD, обсуждение переходит от «можно ли» к «как и когда». Это ускоряет passporting платежной лицензии в другие страны ЕС после получения основного разрешения.
PI и SPI: пороги и сценарии
Payment Institution (PI) authorization — рабочая лошадка для PIS/AIS, money remittance, acquiring без хранения средств на собственном счете как e-money. Порог регистрации и критерии authorization vs registration зависят от объемов: для начальных стадий иногда достаточно SPI, но без права passporting и с лимитами на месячные обороты. Когда требуется регистрация как Small Payment Institution? Когда модель узкая по рискам и масштабу, вы тестируете спрос и хотите быстрый выход с последующим апгрейдом до PI.
На этапе PI authorization мы часто готовим пакет каскадно: сначала SPI ради ранней валидации рынка, затем PI, с подготовленной техархитектурой, которую легче масштабировать. Такой маршрут снижает burn rate и позволяет на практике подтвердить гипотезы продукта и SCA-процессы, прежде чем идти к полномасштабному PI.
Выбор юрисдикции PSP в Европе и Азии
Регистрация платежной компании в ЕС: это баланс между сроками, требованиями к капиталу, доступностью эмитента IBAN/SEPA и открытостью регулятора к инновациям. Для одних задач подходят рынки с сильной SEPA-инфраструктурой и зрелыми NCA, для других, юрисдикции с быстрым административным циклом. Платежное учреждение регистрация за пределами ЕС, например в Сингапуре или Дубае, потребует учета норм MAS или местных центральных банков по Stored Value Facilities и лицензиям на платежные услуги.
В Азии мы часто используем sandbox программы регуляторов и testing для пилотов с Open Banking API либо локальными аналогами. Это дает аргументацию при последующей полноценной авторизации: протестировали SCA, провели нагрузочное тестирование TPS, собрали метрики по chargeback и отказам. Решение, разработанное в COREDO, обычно включает сравнительную матрицу юрисдикций с оценкой passporting финансовых лицензий, доступности BIN sponsorship и требуемых политик по outsourcing compliance и third-party risk.
Описание бизнес-модели для регулятора ЕС
Регулятору нужен «прозрачный ящик», а не «черный». В разделе «как описать бизнес для регулятора ЕС» мы используем модульную структуру business model canvas для платежного бизнеса, где роли мерчантов, конечных пользователей, партнеров-банков и провайдеров KYC формируют четкий value chain. Модель бизнеса для платежной лицензии должна трактовать, кто инициирует платеж, кто держит средства, где возникает риск, и кто применяет контроль.
Как описать модель комиссии и источники дохода для регулятора? Прямо и точно: merchant discount rate, interchange income, FX spread, абонплаты за аккаунтинг, плата за API. Важно показать, как MDR делится между эквайером и провайдером, как формируется net settlement, какие SLA с acquiring bank. Какие метрики ROI важны для платежного стартапа? GMV, net revenue, LTV/CAC, средний ticket size, доля одобренных транзакций, chargeback ratio и cost-to-serve по сегментам.
Транзакционные потоки и схемы
Как описать flow транзакций для лицензии платежного института? Мы строим технические диаграммы потоков платежей для регулятора на основе ISO 20022 и форматов платежей, поясняем конвертацию в SEPA кредитный перевод и SEPA instant, показываем, где происходит авторизация EMV 3-D Secure и где применяется SCA. Для кроссбордерных сценариев фиксируем, как используется SWIFT и GPI для кроссбордерных переводов и какие банки-корреспонденты вовлечены.
Описание API и сценариев использования для аудиторов включает Open Banking API стандарты, структуру эндпоинтов, схемы аутентификации, idempotency и retry-policy. Вопросы по масштабированию обработки транзакций и высокой нагрузки закрываем цифрами по TPS, latency, auto-scaling и деградационным сценариям. Команда COREDO также документирует transaction data mapping и audit trail: кто и когда создавал, менял и подтверждал сущности, чтобы аудитору было легко проследить жизненный цикл операции.
Безопасность SCA: требования и практика
SCA и требования безопасности платежей, не просто чек-лист, а основа доверия. Мы объясняем, как применяется EMV 3-D Secure для карт, как реализована Strong Customer Authentication (SCA) требования в PIS/AIS по PSD2, где хранится токенизированный PAN и как соблюдается PCI DSS и токенизация картовых данных. Privacy by design и GDPR соответствие описываем через минимизацию данных, псевдонимизацию и четкие retention-политики.
Интеграция AML в CI/CD и compliance-by-design: наш стандарт для финтех-проектов. Каждое изменение в риск-правилах проходит через тестовую среду, sandbox для fintech и пилотные проекты с контролем влияния на false positives/false negatives. Такой подход убеждает NCA, что безопасность и комплаенс — часть архитектуры, а не «накладка» сверху.
AML/CTF и KYC/KYB для PSP
Требования AML для PSP в ЕС строятся на AML/CTF директивы (AMLD5, AMLD6) и рекомендациях FATF, включая travel rule для переводов с идентификацией отправителя и получателя. Особенности KYC/KYB для мультиюрисдикционного PSP касаются стандартизации CDD и EDD процедур: для физических лиц — документ, адрес, селфи/видео KYC; для компаний — учредительные документы, Верификация UBO и бенефициарных владельцев, контроль источника средств. PEP и санкционный скрининг должны охватывать локальные и международные списки с регулярным обновлением.
Практики построения transaction monitoring для заявителя опираются на risk-based approach к контролю транзакций. Мы внедряем rules engine с сегментными лимитами, velocity rules, геориск-профилированием и поведенческой аналитикой. Suspicious Activity Report (SAR) практика документирована: критерии эскалации, сроки, содержание, хранение evidence. AML-процедуры для мультивалютных операций учитывают FX и конвертацию: фиксируются источники курсов, маржа, санкционные и экзотические валютные риски.
Ошибки и как отвечать на замечания NCA
Неочевидные ошибки в описании бизнес-модели при подаче заявки часто связаны с подменой acquiring на PIS или смешением e-money с агентскими схемами. На что обращают внимание NCA при классификации услуги? На отсутствие разрывов между правовым описанием и фактической техреализацией, на корректность клиентского договора и disclosures. Как подготовить ответы на замечания регулятора по классификации услуг и PSD2 директива платежных услуг? Мы составляем matrix-of-concerns: каждое замечание связываем с пунктом политики, поправкой в схема-флоу и обновлением SLA с партнерами.
Практика COREDO подтверждает, что открытый тон и готовность предоставить дополнительные доказательства (лог-файлы SCA, протоколы нагрузочных тестов, отчеты по GDPR DPIA) вызывают доверие и сокращают цикл вопросов/ответов. В итоге диалог с регулятором превращается из проверки в совместную калибровку модели.
Эквайринг, карты и партнерства
Структура договора с эквайером для лицензируемого PSP — отдельный артефакт в досье. Он описывает merchant discount rate и схема комиссий, ответственность за chargeback management и dispute resolution, сроки settlement, права на удержания и rolling reserve. Взаимодействие с acquiring bank и процесс эквайринга мы фиксируем так, чтобы регулятор четко видел распределение рисков.
Если продукт включает карты, мы раскрываем роли issuer, issuer processor, BIN sponsorship, и как описать взаимодействие с картовыми схемами и BIN-спонсором. Для агрегаторных моделей, payment aggregator и white-label решения, а также payment facilitator (PayFac) модель с субмерчантами и KYB-процессами. Outsourcing compliance и third-party risk покрываются отдельными политиками: Due Diligence провайдеров, права аудита, контроль субподрядчиков и планы на случай инцидентов.
Масштабирование паспортинг кроссбордер
Как масштабировать PSP на рынки ЕС и СНГ? Сначала — passporting платежной лицензии в другие страны ЕС, затем: партнерства и локальные регистрации там, где паспортинг неприменим. Особенности классификации кроссбордерных денежных переводов требуют точного описания коридоров, корреспондентских отношений, лимитов и санкционных профилей. Как учесть FX и конвертацию в описании платежной услуги? Мы документируем прайсинг, источники курсов, контроль отклонений и disclosure для клиента.
Регуляторные песочницы, sandbox программы регуляторов и testing помогают доказать устойчивость платформы на высокой нагрузке. Вопросы по масштабированию обработки транзакций и высокой нагрузки закрываем планом capacity management: TPS цели, горизонтальное масштабирование, резервные дата-центры и RTO/RPO. Для SEPA указываем время до финальности, для SWIFT, статус GPI и SLA по трекингу.
Пакет документов: что обязательно
Какие документы нужны для подачи на лицензию платежного института? Корпоративные документы, описания услуг и флоу, бизнес-план и финансовая модель, политики AML/KYC/KYB, IT-security и SCA, договоры с банками/процессорами, планы safeguarding, резюме руководства и контрольных функций. Какие данные о конечных бенефициарах требуются для подачи? Полная цепочка владения, подтверждающие документы, доказательства средств, адреса и идентификация.
Как оформить описание технической архитектуры платежного решения для регулятора? Слои приложения, периметры безопасности, сети, шифрование, HSM, секрет-менеджмент, журналы доступа и мониторинг. API документация и спецификации для регулятора включают схемы авторизации, коды ошибок, тайминги и доказательства совместимости с Open Banking API стандарты. Для GDPR мы прикладываем DPIA, записи о процессинге данных и privacy by design.
Кейсы COREDO: как подход работает
В проекте для платежного провайдера в Европе с моделью кошелька и карт команда COREDO классифицировала продукт как EMI с выпуском e-money и картами через BIN-спонсора. Мы настроили SCA на базе EMV 3-D Secure, разработали правила transaction monitoring и показали NCA схему safeguarding и reconcile. Регулятор одобрил модель после одного раунда уточнений, а клиент быстро запустил passporting платежной лицензии по ЕС.
В другом кейсе клиент шел как payment facilitator с агрегированием мерчантов, split-платежами и white-label. Наши юристы структурировали договор с эквайером, прописали распределение MDR и ответственность за chargebacks, а инженеры оформили технические диаграммы потоков платежей для регулятора. Практика COREDO подтвердила: четкий KYB субмерчантов и прозрачная логика hold/release средств позволяют снизить замечания NCA до минимума.
Третий пример — кроссбордерная платформа между ЕС и Азией с использованием SEPA instant внутри ЕС и SWIFT GPI для межрегиональных переводов. Мы описали особенности классификации кроссбордерных денежных переводов, учли travel rule и санкционный скрининг, а также раскрыли FX-процессы и маржу. После пилота в sandbox клиент масштабировал TPS, сохранив стабильность SAR-процедур и низкий уровень false positives.
Как работает COREDO
Путь начинается с диагностической сессии: продукт, флоу, риски, выбор: регистрация платежной компании в ЕС или азиатская лицензия. Затем — карта юрисдикций с критериями «регулятор платежных услуг ЕС», сроки, капитал, passporting, наличие партнеров для issuing/acquiring. На третьем этапе команда COREDO проектирует бизнес-план, revenue-модель, оценку стоимости соответствия PSD2 и AML и метрики ROI для платежных платформ (LTV/CAC, GMV, маржинальность и cost-to-serve).
Далее готовим техпакет: SCA, PCI DSS, Open Banking API, ISO 20022, SEPA/SEPA instant, SWIFT GPI, схемы TPS и отказоустойчивости. Параллельно формируем AML/CTF: KYC/KYB, CDD/EDD, PEP/санкции, risk-based approach и rules engine. Затем: подача, ответы на замечания, демонстрация evidence и, при необходимости, итерации в sandbox для fintech и пилотные проекты.
После авторизации важен режим «живого комплаенса»: transaction monitoring системы, обновления политик по мере выхода новых руководств EBA и трендов PSD3 ожидания и изменения, поддержка в passporting финансовых лицензий. Наше сопровождение включает обучение команд, тесты на готовность к аудиту и регулярный аудит следов данных (audit trail) и privacy by design.
Выводы
Лицензирование платежных услуг: это не про «пройти проверку», а про создание масштабируемой и управляемой модели, где комплаенс усиливает бизнес. За годы практики я убедился: когда предприниматель точно определил классификацию услуги по PSD2, выбрал подходящую лицензию (PI, EMI или SPI), оформил прозрачные флоу и выстроил AML/KYC «по делу», диалог с регулятором становится продуктивным и предсказуемым. Результат — экономия времени, понятная стоимость соответствия и готовность к росту в ЕС, Азии и СНГ.
Если вы планируете регистрацию платежной компании в ЕС, лицензирование платежных услуг ЕС или строите платежный провайдер в Европе с выходом на новые рынки, команда COREDO готова подключиться. Мы поможем описать бизнес для регулятора ЕС, подготовить технические и AML-пакеты, выстроить SCA и мониторинг транзакций и сопровождать passporting в другие страны. Такой партнерский формат дает уверенность в каждом следующем шаге и превращает сложную регуляторику в устойчивое конкурентное преимущество.