Глава II регламента — та часть, которая меняет то, как компания организована, а не то, что она проверяет: письменная система, утверждённая органом управления, две отдельные роли, независимая проверка, документированное обучение, оценка добропорядочности людей, выполняющих работу, и срок хранения, в конце которого стоит дата удаления.
Закон требует системы, а не папки документов
Новый регламент ЕС применяется с 10 июля 2027 года. Он заменяет директиву, которую каждая страна превращала в собственный закон, текстом, обязательным для компаний напрямую. Глава, важная для повседневной работы, — та, что о внутренней организации, и читать её как список документов к подготовке значит упустить то, чего она требует.
Нужны внутренние политики, процедуры и средства контроля, обеспечивающие соответствие — регламенту, правилам о переводах средств и всему, что предписывает ваш надзорный орган. Они должны быть соразмерны тому, чем ваша компания занимается, насколько она рискованна и сложна и насколько велика, и они должны охватывать всё, что вы делаете и что подпадает под регулирование. Соразмерность работает в обе стороны: от малой компании никто не ждёт банковской системы, но сложная компания не может претендовать на систему малой.
Что должно быть в политиках
Регламент даёт перечень, и свой нынешний регламент стоит пройти по нему строка за строкой. Ваши политики и процедуры должны охватывать:
проведение и обновление оценки рисков по всей компании, а также саму систему управления рисками;
изучение клиента, включая то, как вы устанавливаете, является ли клиент, истинный выгодоприобретатель или лицо за сделкой политически значимым лицом, членом его семьи или известным близко связанным человеком;
сообщение о подозрительных сделках;
аутсорсинг и опору на изучение, проведённое другими субъектами закона;
хранение документов и обработку персональных данных;
проверку того, что политики действительно соблюдаются, выявление того, где нет, и устранение недостатков;
проверку, соразмерно риску, того, что у работников, агентов и дистрибьюторов, которых вы ставите на конкретные задачи, хорошая репутация;
информирование о политиках внутри компании, включая агентов, дистрибьюторов и поставщиков услуг;
политику обучения.
В двух из них компании обычно слабы. Устранение недостатков — часть самой политики, поэтому система, которая проблемы находит и там же оставляет, не отвечает собственным условиям. И политики должны доходить до агентов, дистрибьюторов и поставщиков услуг, а не только до работников.
Кто-то независимый должен это проверить
Нужны внутренние средства контроля и независимая функция аудита, которая проверяет, работают ли политики, процедуры и средства контроля. Если независимой функции аудита нет, проверку может провести внешний эксперт — и именно этот путь выберет большинство средних компаний. Это прямо разрешено, а не уступка, которую кто-то должен предоставить.
Формальности в той же норме легко упустить и дёшево выполнить верно. Всё должно быть зафиксировано письменно. Политики должен утвердить орган управления, а процедуры и средства контроля — как минимум руководитель по соответствию. И весь набор надо поддерживать в актуальном состоянии и улучшать везде, где обнаруживается слабое место.
До 10 июля 2026 года надзорный орган ЕС в этой сфере должен опубликовать указания о том, насколько далеко всё это простирается в зависимости от размера и вида компании — сколько людей нужно функции соответствия, когда коммерческая работа, работа по соответствию и аудит должны быть разделены и когда аудит может провести внешний эксперт. Если ваш план зависит от чего-либо из этого, это тот документ, которого стоит ждать.
Оценка рисков и что в неё должно войти
Нужна оценка рисков по всей компании, охватывающая легализацию преступно нажитых средств и финансирование терроризма и риск того, что санкции не исполняются или обходятся. В ней надо учесть как минимум:
перечисленные в приложениях к регламенту факторы риска;
выводы общеевропейской оценки рисков, проведённой Комиссией;
выводы национальных оценок рисков и любую оценку, проведённую для вашего сектора;
соответствующие публикации международных органов по стандартам, Комиссии или этого надзорного органа;
информацию о рисках, которую даёт ваш надзорный орган;
то, что вы знаете о собственной клиентской базе.
Есть и запускающее обстоятельство, не имеющее отношения к календарю. До того как вы запускаете новый продукт, услугу или способ работы — включая новые каналы и новые технологии — и до того как предлагаете существующий продукт новому виду клиентов или в новой стране, риски надо выявить, оценить и ими управлять. Новый платёжный канал — событие оценки рисков прежде, чем коммерческое.
Две роли, и это не может быть один человек
Регламент разделяет ответственность на уровне органа управления и ответственность в повседневной работе компании.
Руководитель по соответствию — член органа управления. Его задача — обеспечить, чтобы политики отвечали рискам, которые компания действительно несёт, чтобы они применялись на практике и чтобы на это выделялось достаточно людей и денег. Именно ему надо сообщать о серьёзных слабых местах.
Специалиста по соответствию назначает этот орган, он должен занимать достаточно высокую должность, чтобы его воспринимали всерьёз, и он исполняет требования повседневно — включая применение санкций на практике. Он — точка контакта для органов власти и лицо, которое сообщает о подозрительных сделках.
Вокруг второй роли стоят три защиты, и надзорный орган все три может проверить со стороны. Специалиста по соответствию можно отстранить только после того, как сначала сообщено органу управления; об отстранении и о том, связано ли оно с этой работой, надо проинформировать надзорный орган, а специалист может дать надзорному органу собственное объяснение. Его надо защищать от мести и несправедливого обращения, и его решения не должны перебиваться коммерческими интересами компании. И специалист по соответствию, и тот, кто проводит аудит, должны иметь возможность обратиться напрямую к органу управления.
У этого есть и свой ритм: руководитель по соответствию регулярно отчитывается о том, как работают политики, и не реже раза в год передаёт органу управления отчёт, написанный специалистом по соответствию. Одна уступка: если это обосновано размером и низким риском, входящее в группу общество может использовать лицо, исполняющее роль специалиста по соответствию в другом обществе группы.
Обучение и часть про людей
Всякий, кому это требуется по работе — включая агентов и дистрибьюторов, — должен знать требования, оценку рисков по всей компании и ваши собственные политики. Это достигается конкретным, постоянным обучением, соответствующим их работе и вашим рискам, и оно должно быть документировано.
Следующую часть компании не ждут. Всякого, кто непосредственно участвует в работе по соответствию — и работников, и агентов, и дистрибьюторов, — надо оценить по навыкам, знаниям и опыту, а также по хорошей репутации, честности и добропорядочности, по критериям, которые утверждает специалист по соответствию. Оценка происходит до вступления в роль и затем повторяется, более или менее углублённо в зависимости от работы и риска.
Затем норма о конфликте интересов. Всякий, у кого есть обязанности по соответствию, обязан сообщить специалисту по соответствию о любых близких личных или профессиональных отношениях с клиентом или потенциальным клиентом и должен быть отстранён от работы по соответствию, касающейся этого клиента. Нужны и процедуры предотвращения таких конфликтов и управления ими. Ничто из этого не распространяется на компанию, которая является одним физическим лицом, или на общество, работу которого выполняет только одно физическое лицо.
Пять лет и то, что сократить нельзя
Что надо хранить: документы и сведения из изучения клиента, включая всё полученное через электронную идентификацию; запись о том, как вы оценили подозрение — что рассматривали и к чему пришли, независимо от того, привело ли это к сообщению, — и копию каждого поданного сообщения; подтверждающие доказательства и записи о сделках; и, если вы участвуете в схемах обмена информацией, полученные документы и запись о каждом обмене.
В документах не должно быть изъятий. Их хранят пять лет с окончания отношений, с разовой сделки или со дня, когда вы отказались начать отношения или совершить сделку. По окончании этого срока персональные данные подлежат удалению, а не бессрочному хранению в архиве. Орган власти в каждом случае отдельно может потребовать хранить что-то дольше, если это нужно для предотвращения, выявления, расследования или уголовного преследования, — и этот дополнительный срок не может превышать ещё пяти лет.
Одна практическая возможность: вместо копии можно хранить ссылку, если вы по-прежнему можете предоставить органам информацию незамедлительно, её нельзя изменить и в ваших процедурах указано, какие категории вы храните по ссылке и как их извлекаете.
Что с этим делать до 2027 года
Многое из этого в латвийском праве уже есть, поэтому компания с работающей системой начинает не с нуля. Меняется то, что текст становится напрямую применимым и одинаковым по всему ЕС, что отнимает довод о том, что национальная формулировка была соблюдена.
Полезное упражнение сейчас — проверка на пробелы, а не переписывание:
пройдите нынешний регламент по перечню выше и отметьте недостающее;
убедитесь, что две роли исполняют разные люди и что нормы об отстранении и отчётности есть на бумаге;
проверьте, названы ли в вашей оценке рисков среди исходных данных европейская и национальные оценки и есть ли у неё запуск перед выпуском;
выясните, кто проводит независимую проверку и действительно ли это лицо независимо.
Выполнено ли что-либо из этого уже нынешними латвийскими нормами, стоит проверить по национальному тексту, а не предполагать — ни в ту, ни в другую сторону.