Никита Веремеев
16.02.2026 | 6 мин чтения
Обновлено: 16.02.2026
С 2016 года я веду COREDO как компанию, которая превращает сложность международного регулирования в понятную систему управляемых решений. За это время мы зарегистрировали десятки юридических лиц в ЕС, Чехии, Словакии, на Кипре и в Эстонии, сопровождали лицензирование в Великобритании, Сингапуре и Дубае и выстроили для клиентов комплаенс на уровне, которого ожидают регуляторы и банки. Я убежден: основа устойчивого международного роста: риск-ориентированный подход (RBA, risk-based approach), встроенный в процессы регистрации, лицензирования и ежедневной операционной деятельности.
В этой статье я собрал наш практический опыт внедрения RBA в финансовых организациях, финтехах, криптокомпаниях и международных холдингах. Мой фокус: показать, как превратить
требования AML/CFT, проверки соответствия AML и корпоративный комплаенс RBA в источник управленческого преимущества, снижения TCO и ускорения выхода на рынок, а не в «стоимость соблюдения» без отдачи. Текст рассчитан на предпринимателей и директоров, которым важно принимать решения быстро, системно и прозрачно.
Риск-ориентированный подход — опора
RBA — не про «галочки», он про обоснованный выбор. Когда мы готовим клиента к получению лицензии на
платежные услуги в ЕС, к регистрации криптосервиса в Эстонии или к одобрению от регулятора в Сингапуре, я начинаю с определения оценки терпимости к риску (risk appetite) на уровне совета директоров. Это закрепляет управленческую ответственность, задает рамки для матрицы рисков и определяет глубину KYC/KYB, CDD и EDD.
Сравнение RBA и чеклистового подхода всегда играет в пользу первого. Чеклист порождает слепые зоны и несоразмерные усилия, тогда как методология RBA распределяет ресурсы там, где максимальный inherent risk и где нужно снижать его до приемлемого residual risk. В практике COREDO это сокращало задержки в запуске продуктов, снижало уровень ложноположительных срабатываний в мониторинге и улучшало показатели TAT и closure rate по расследованиям.
Регуляторные ожидания по RBA в ЕС, требования AMLD5 и AMLD6, а также рекомендации FATF прямо говорят: вы обязаны знать рисковый профиль клиентов, продуктов, каналов и географий. В ответ мы проектируем управление рисками в компании на основе ISO 31000 и рамок внутреннего контроля COSO, сочетаем корпоративное информационное управление (GRC) с понятной матрицей принятия решений и моделью эскалации. Это делает диалог с аудиторами и банками предсказуемым и предметным.
Каркас RBA: от стратегии до процессов
Когда я говорю «каркас», я имею в виду связку стратегических документов, процессов и измеримых метрик. В COREDO мы начинаем с документации RBA и полиси по комплаенсу, затем фиксируем регистр рисков (risk register), карту процессов (process mapping) и контрольные точки, и только после этого идем к автоматизации.
Этот порядок важен, потому что автоматизация матрицы рисков без четких критериев классификации клиентов по риску приводит к лавине исключений и ручной работе. Правильная последовательность — сначала дизайн, затем оценка контроля и тестирование дизайна, и лишь потом запуск в продуктив с KPI комплаенса и ключевыми индикаторами риска (KRI). Команда COREDO реализовала такую схему в проектах от Чешской Республики до Дубая, и по результатам анализ рисков для аудита становился прозрачным, а ревью и обновление матрицы рисков, регулярным и осмысленным.
Методология RBA и матрица рисков
Методология RBA начинается с таксономии рисков: клиенты, продукты/услуги, каналы дистрибуции, географии, транзакции и контрагенты. Для каждой категории мы оцениваем шкалы вероятности и воздействия (likelihood & impact), присваиваем бальные веса и получаем heatmap (карту рисков), где высокая зона сразу видна правлению. Так мы получаем разработку матрицы рисков для аудита, которая понятна и бизнесу, и внутреннему аудиту, и внешнему инспектору.
Оценка inherent risk и residual risk проводится в два этапа. Сначала считаем риск без контролей, затем добавляем контрольную среду и оцениваем ее эффективность контролей и KPI комплаенса, чтобы увидеть снижение до остаточного уровня. В эту оценку входят
санкционный скрининг и фильтрация по спискам ЕС и OFAC, PEP-риск, UBO-идентификация и репутационные индикаторы, а также модели скоринга риска клиентов, учитывающие поведенческие и транзакционные признаки.
Чтобы показать «прозрачную механику», я часто привожу пример матрицы рисков для AML аудита. Возьмем клиентский риск: базовый скоринг по стране регистрации, отрасли, статусу UBO, PEP-статусу и типу продукта; затем модификаторы, каналы on-boarding, дистанционные KYC/KYB, наличие сложных корпоративных структур. Heatmap сразу подсвечивает, где нужна процедура Enhanced
Due Diligence (EDD), а где достаточно стандартной CDD: комплексной проверки клиента. Это не теория: практика COREDO подтверждает, что такая декомпозиция упрощает RBA при проведении внутреннего аудита и ускоряет согласование с директором по комплаенсу.
Интеграция RBA с KYC/CDD и санкциями
Методология RBA бессмысленна без встроенности в операционные процессы. Мы проектируем интеграцию RBA с KYC и CDD процессами, чтобы оценка риска клиента обновлялась при каждом существенном событии: смена UBO, расширение географии, аномальные транзакции. Для высокорисковых сегментов автоматически запускаются процедуры EDD, собираются дополнительные документы, активируется санкционный контроль по расширенным спискам и проводится анализ подозрительных операций (SAR).
Оценка риска транзакций и мониторинг строятся на системах управления правилами (rule engines) и машинном обучении для обнаружения аномалий. В криптокомпаниях подключаем инструменты блокчейн-аналитики и крипто-скрининг, в платежных организациях:
мониторинг транзакций в реальном времени, конфигурацию порогов и правил срабатывания, а также управление ложноположительными срабатываниями. Здесь критично управление качеством данных и lineage: без надежных источников и журналирования (audit trail) доказательная база для регулятора рассыпается.
Наконец, приватность данных и соответствие GDPR: часть архитектуры, а не послесловие. В политике хранения определяем архивирование доказательств и требования хранения данных, устанавливаем сроки retention для кейсов и структурируем жизненный цикл дела (кейс-менеджмент). Это снижает нагрузку на первую линию и повышает готовность к инспекциям и независимой проверке.
Выбор юрисдикции по RBA
Решение, разработанное в COREDO, всегда начинается с мэппинга регуляторных ожиданий и профильных лицензий под бизнес-модель клиента. В ЕС — требования AMLD5/AMLD6, в Великобритании: правила FCA, в Эстонии: специфика VASP, на Кипре — регламент для платежных и инвестиционных фирм, в Сингапуре: MAS, а в Дубае, DFSA/DIFC или VARA для криптосегмента. Сопоставляя их с risk appetite клиента, мы помогаем выбрать юрисдикцию, степень централизации и маршруты платежей.
RBA для международных компаний в Европе и Азии обеспечивает «мягкую посадку» при открытии счетов и подключении корреспондентских отношений. Банки ожидают увидеть корпоративный комплаенс RBA, карту процессов, метрики KRI и наличие плана действий по смягчению рисков (risk mitigation) для ключевых сценариев. На старте регистрации юридического лица мы уже формируем основу для проверки соответствия AML, чтобы не возвращаться к «перестройке» в финале лицензирования.
Влияние RBA на бизнес-процессы проявляется сразу после запуска. Стандартизированные KYC/KYB, унифицированные чек-листы для юридических лиц, матрицы принятия решений и модель эскалации повышают скорость онбординга, а риск-оценка транзакций снижает операционные инциденты. В итоге вы не «подстраиваетесь под регулятора», а выстраиваете эффективный и экономный процесс, соответствующий ожиданиям инспекций.
Внедрение RBA в финансовой организации
Моя базовая дорожная карта для клиентов выглядит так:
- Стратегия: определяем оценку терпимости к риску (risk appetite), создаем комитет по управлению рисками и фиксируем ответственность правления и директора по комплаенсу при RBA.
- Процессы: проводим процессное моделирование, определяем контрольные точки, согласуем роли линий защиты и готовим регистр рисков.
- Дизайн контролей: описываем критерии классификации клиентов по риску, процедуру CDD/EDD, санкционный контроль и мониторинг транзакций, настраиваем матрицу рисков и heatmap.
- Технологии: выбираем архитектуру платформ AML/CFT, оцениваем масштабируемость технических решений, интеграцию с ERP/CRM и банковскими системами, настраиваем конфигурацию порогов и правил.
- Измерение: определяем ключевые индикаторы риска (KRI), метрики ROI внедрения RBA, показатели эффективности расследований, а также оценку ROI и стоимость владения (TCO) RBA.
- Проверка: планируем процедуры внутреннего аудита и независимой проверки, методологии выборки для аудита (statistical sampling) и сценарный анализ и стресс-тестирование рисков.
- Обучение: запускаем управление изменениями и обучение персонала, в том числе для первой линии и следственных аналитиков.
На каждом шаге я прошу команду проверять «сцепление» компонентов: нет ли разрыва между политиками и кейс-менеджментом, насколько полно журналирование и аудит трейлов, корректно ли определены матрицы решений. Итогом становится не документ ради документа, а живая система.
Масштабирование RBA в холдинге
В транснациональных структурах выбор между централизованной и децентрализованной моделью комплаенса — вопрос не только оргструктуры, но и капитальной эффективности мер по снижению риска. В одном из проектов команда COREDO выстроила центральное ядро правил и скоринговых моделей для нескольких лицензируемых сущностей в Европе и Азии, сохранив локальные модификаторы под
требования регуляторов. Это упростило отчётность, обеспечило сопоставимость KRI и позволило централизованно вести санкционный скрининг и управление третьими сторонами и поставщиками.
При масштабировании важны визуализация рисков и BI-инструменты, чтобы правление видело heatmap по каждой стране и продукту. Жизненный цикл дела, кейс-менеджмент и архивирование доказательств унифицируются, а карта процессов и матрица эскалации приводятся к общему знаменателю. Такое построение облегчает взаимодействие с внешними регуляторами и инспекциями и снижает издержки на аудит за счет повторного использования доказательной базы.
Кейсы COREDO: криптолицензии и институты
Один из заметных примеров: запуск VASP в Эстонии. Клиент пришел с амбициозной дорожной картой эмиссии токенов и сервисом кошельков; наш опыт в COREDO показал необходимость усиленного
санкционного контроля и внедрения инструментов блокчейн-аналитики. Мы разработали модели скоринга риска клиентов и оценку риска транзакций, настроили правила срабатывания для высокорисковых маршрутов и снизили долю ложноположительных на 38% за первые три месяца без потери чувствительности к подозрительным операциям.
Другой проект,
Лицензирование платежной организации на Кипре с подключением SEPA и выпуском карт. Решение, разработанное в COREDO, включало построение матрицы рисков, настройку rule engine, интеграцию с core-banking и ERP, а также CDD/EDD-цепочки для корпоративных клиентов с многослойной структурой UBO. В рамках анализа влияния на EBITDA и операционный риск мы спрогнозировали снижение затрат за счет автоматизации и оптимизации процесса расследований, а затем подтвердили экономию в реальных KPI.
В Сингапуре мы сопровождали клиента в получении статуса Major Payment Institution для международного платежного шлюза. RBA и санкционный контроль были совмещены с анти-фрод механизмами и интеграцией AML-мониторинга с системами обнаружения карточного мошенничества. Команда COREDO реализовала сценарный анализ и стресс-тестирование рисков по географиям, корректно задала risk appetite с учетом агрессивного роста, а также отработала взаимодействие с банками-корреспондентами для трансграничных платежей.
Наконец, холдинговая структура в Чехии и Словакии потребовала масштабирование RBA в нескольких операционных дочках с разным профилем рисков. Мы внедрили централизованную heatmap, унифицировали классификацию клиентов, настроили процедуру RBA при проведении внутреннего аудита и подготовили регистр рисков для внешнего аудитора. По итогам инспекции у клиента не возникло существенных замечаний, а правление отметило повышение прозрачности решений и скорость эскалации по сложным кейсам.
Что нужно, чтобы RBA работал ежедневно
Архитектура платформ AML/CFT должна быть модульной. Я смотрю, насколько легко подключать санкционные списки, как устроена логика правил, доступно ли обучение моделей и их валидация, и как решен вопрос управления качеством данных и lineage. Отдельно проверяю, как реализованы журналирование и аудит трейлов, потому что правовые требования по отчитыванию и доказательной базе становятся все жестче.
Интеграция с ERP/CRM и банковскими системами, критически важный элемент. Без полноты данных скоринговые модели «слепнут», а кейс-менеджмент теряет контекст. Мы часто реализуем централизованный хаб для обогащения событий, настройку порогов и правил срабатывания в одном месте и трансляцию конфигурации по дочерним сущностям, чтобы поддерживать сопоставимость метрик и управлять изменениями.
Особое внимание уделяем приватности и требованиям GDPR, включая ограничения по передаче данных между юрисдикциями. Наличие четкой схемы архивирования доказательств и хранения данных с понятными SLA на выгрузку снижает риски при запросах регуляторов и облегчает независимую проверку. Когда эта «санитария» выстроена, любые инспекции проходят спокойнее и быстрее.
Запустить RBA: руководство для директора
Первый шаг: зафиксировать ответственность правления и назначить директора по комплаенсу с правом вето на рисковые запуски. Комитет по управлению рисками должен утвердить risk appetite, согласовать метрики KRI и KPI и определить карту процессов с контрольными точками. Это превращает RBA из «важной темы» в управленческую рутину.
Второй шаг, провести разработку матрицы рисков, построение heatmap и описать критерии классификации клиентов по риску.
Здесь же оформляется план действий по смягчению рисков, включая санкционный контроль, EDD для PEP и сложных структур, а также оценка остаточного риска (residual risk) и его мониторинг. На этом этапе важно определить метрики ROI внедрения RBA и целевые показатели снижения TCO.
Третий шаг — выбрать технологическое решение и оценить масштабируемость. Проведите оценку масштабируемости технических решений, интеграцию с текущими системами, настройку правил и порогов, и обеспечьте управление изменениями и обучение персонала.
Завершите запуском процедур внутреннего аудита, планированием и валидацией тестовых выборок и регулярным ревью и обновлением матрицы рисков каждые 6–12 месяцев.
COREDO: от диагностики до операционки
Мой формат сотрудничества прозрачен: начинаем с диагностической сессии, где согласуем бизнес-модель, регуляторные цели и risk appetite. Затем команда COREDO проводит анализ разрыва (gap assessment) к требованиям выбранной юрисдикции и стандартам FATF/AMLD, формирует карту процессов и регистр рисков, а после согласования, проектирует целевой дизайн контролей и архитектуру решений.
Дальше мы выстраиваем проверку соответствия AML, настраиваем модели скоринга, санкционный скрининг, мониторинг транзакций и кейс-менеджмент, а также документируем полиси и процедуры. Практика COREDO подтверждает, что именно связка «процессы + технологии + метрики» обеспечивает устойчивый результат, а не просто прохождение аудита. На финальном этапе готовим команду клиента к самостоятельной эксплуатации и обеспечиваем сопровождение для взаимодействия с внешними регуляторами и инспекциями.
В проектах по регистрации компаний и лицензированию в Чехии, Словакии, Кипре, Эстонии, Великобритании, Сингапуре и Дубае мы учитываем местные особенности и ожидания надзора. Это экономит время на согласовании, ускоряет открытие счетов и уменьшает стоимость владения комплаенсом за счет правильной начальной архитектуры.
Частые вопросы директоров
Чем измерять отдачу от RBA? Я использую две группы метрик: финансовые (оценка ROI и влияние на EBITDA через снижение штрафов и оптимизацию операционных затрат) и операционные (уровень ложноположительных, TAT по кейсам, closure rate расследований, KRI по сегментам клиентов). Дополнительно считаем стоимость владения (TCO) RBA и капитальную эффективность мер по снижению риска.
Как различать inherent и residual risk в повседневной практике? Мы отдельно оцениваем риск профиля без учета контролей, а затем — после их применения, и используем статистику срабатываний и результаты тестов дизайна и эффективности контролей для калибровки.
внутренний аудит проверяет корректность методологии, применяя методологии выборки для аудита и независимую проверку.
Как увязать AML и анти-фрод? Эти домены пересекаются на уровне транзакционных сценариев и источников данных, но задачи отличаются. В COREDO мы синхронизируем правила, разделяем эскалацию и строим общую карту процессов и аудит трейла, чтобы расследования не конкурировали за ресурсы и не теряли контекст. Такой подход снижает нагрузку на аналитиков и повышает качество отчетности.
Что важно при санкционном контроле? Помимо обновления списков ЕС и OFAC, стоит задать четкие политики fuzzy matching, пороги эскалации и процедуры пересмотра алерт-решений. Учитывайте корреспондентские отношения и риск трансграничных платежей, а также структурирование компаний и анализ цепочки контрагентов и конечных бенефициаров для снижения обходных схем.
Выводы
RBA, это не просто модный термин из регуляторных требований, а управленческий инструмент, который ускоряет регистрацию и лицензирование, снижает операционные риски и открывает диалог с банками и инспекциями на языке фактов. Я вижу это каждый раз, когда команда COREDO внедряет методологию RBA, строит матрицу рисков, интегрирует KYC/KYB, CDD/EDD, санкционный и транзакционный контроль и выводит клиента на новый уровень зрелости комплаенса.
Если вы планируете регистрацию юридического лица в ЕС, Чехии, Словакии, на Кипре, в Эстонии, Великобритании, Сингапуре или Дубае, нацелены на
получение финансовых лицензий или хотите укрепить AML и корпоративный комплаенс: начинайте с четкого определения risk appetite и карты рисков. Дальше — дисциплина процессов, правильная архитектура и измеримые метрики, которые доказывают ценность каждого шага.
COREDO создана именно для такой системной работы: без громких обещаний, с тщательной проработкой деталей и ответственностью на каждом этапе. Я готов обсудить ваш кейс и показать, как
риск-ориентированный подход превратит комплаенс из центра затрат в опору роста международного бизнеса.
