П’ять стовпів дотримання вимог MSB у Канаді: відповідальний офіцер, політики, ризики, навчання, перевірка

Кожен бізнес із надання грошових послуг (MSB) у Канаді — включно з фінтех-стартапами, криптобіржами та іншими постачальниками фінансових послуг — повинен підтримувати ефективну програму дотримання вимог щодо протидії відмиванню грошей (AML) під наглядом FINTRAC (Центру аналізу фінансових операцій і звітів Канади). Закон про доходи від злочинів (відмивання грошей) та фінансування тероризму (PCMLTFA) і відповідні нормативи вимагають, щоб усі звітні суб’єкти впровадили програму комплаєнсу з п’ятьма ключовими компонентами. Ці п’ять «стовпів» є основою ефективної системи AML/ATF (протидії відмиванню грошей і фінансуванню тероризму) для вашого бізнесу. До них належать:

1. Призначення офіцера з комплаєнсу — кваліфікованої особи, відповідальної за програму.
2. Письмові політики та процедури комплаєнсу — актуальні внутрішні правила, що охоплюють усі нормативні вимоги.
3. Оцінка ризиків — аналіз рівня ризику вашого бізнесу щодо відмивання грошей/фінансування тероризму та заходи з його зменшення.
4. Програма навчання — постійне AML-навчання для працівників та агентів.
5. Огляд ефективності (незалежний аудит) — перевірка або аудит ефективності програми комплаєнсу не рідше ніж раз на два роки.

Невиконання усіх п’яти стовпів не лише є порушенням законодавства, але й наражає вашу компанію на ризик штрафів і зловживань у сфері фінансових злочинів. Нижче наведено детальний опис кожного стовпа з практичними рекомендаціями щодо дотримання канадських вимог, а також узагальнювальну таблицю і контрольний список готовності.

Огляд п’яти стовпів програми дотримання вимог AML

Щоб окреслити загальну картину, таблиця нижче узагальнює п’ять стовпів програми комплаєнсу AML для MSB у Канаді та основні вимоги до кожного з них:

Далі ми детальніше розглянемо кожен стовп і надамо практичні поради для їх ефективного впровадження.

1. Офіцер з комплаєнсу — призначення та кваліфікація

Офіцер з комплаєнсу — це основа вашої програми AML. Канадське законодавство зобов’язує кожен звітний суб’єкт призначити особу, відповідальну за реалізацію програми. У стартапі чи невеликій компанії це може бути засновник або керівник; у великих компаніях — спеціаліст з комплаєнсу на рівні топменеджменту. FINTRAC рекомендує, щоб офіцер не займався щоденними фінансовими операціями, щоб уникнути конфлікту інтересів, і мав прямий зв’язок із керівництвом чи радою директорів, що гарантує незалежність і повноваження впроваджувати заходи.

Кваліфікація та повноваження: Ваш офіцер має володіти такими якостями:

• Експертиза в AML-нормативах і ризиках: Він повинен знати закон PCMLTFA, пов’язані нормативні акти та рекомендації FINTRAC, які стосуються вашого сектора (наприклад, крипто чи платіжного). Важливими є знання схем відмивання грошей, «червоних прапорців» та типологій. Багато MSB надають перевагу фахівцям із сертифікаціями CAMS або ICA.
• Знання бізнесу: Офіцер має добре розуміти ваші продукти, послуги та структуру компанії. Це дозволить ефективно адаптувати програму комплаєнсу.
• Достатній рівень повноважень і ресурсів: Особа повинна мати доступ до необхідних ресурсів і можливість впроваджувати зміни. Вона має право зупиняти підозрілі операції та оновлювати політики без затримок.
• Прямий доступ до керівництва: Офіцер має безпосередньо комунікувати з топменеджментом, щоб комплаєнс був почутим на найвищому рівні. «Тон зверху» — ключовий елемент культури дотримання вимог.

На практиці обов’язки офіцера включають розробку та оновлення політик, контроль KYC, моніторинг транзакцій, подання звітів (наприклад, про підозрілі операції до FINTRAC), навчання персоналу та взаємодію з регуляторами. Призначення слід оформити письмово (наприклад, наказом або рішенням ради), із чітким описом повноважень і звітності.

Рекомендація: Обирайте надійну та уважну людину. Офіцер має постійно вдосконалювати знання через навчання. Якщо у вас поки немає підготовленого спеціаліста, можна тимчасово залучити зовнішнього консультанта. FINTRAC покладає відповідальність за комплаєнс саме на компанію, тому сильний офіцер — ваш перший рівень захисту.

2. Письмові політики та процедури комплаєнсу

Формалізовані письмові політики та процедури — це практичний інструмент реалізації програми AML. Вони визначають, як саме організація виконує свої зобов’язання. Згідно з вимогами, MSB повинні мати письмові політики, які підтримуються в актуальному стані та затверджені керівником. Всі співробітники мають мати до них доступ і розуміти свої обов’язки.

Що включити: FINTRAC очікує, що ваші політики охоплюватимуть усі обов’язкові вимоги Закону PCMLTFA. Зокрема:

• Управління програмою комплаєнсу: Опишіть усі п’ять стовпів — офіцера, оцінку ризиків, навчання, перевірку ефективності. Це показує, що програма системно контролюється.
• Знай свого клієнта (KYC): Опишіть процедури перевірки клієнтів, визначення бенефіціарних власників, перевірки PEP та третіх осіб. Уточніть, як визначається, чи діє хтось від імені іншої особи.
• Ділові відносини та моніторинг: Визначте, коли відносини вважаються встановленими, і як відбувається постійний моніторинг. Для клієнтів з високим ризиком передбачте посилений контроль.
• Моніторинг транзакцій і звітність: Опишіть, як виявляються підозрілі транзакції, коли подаються звіти STR, LCTR, LVCTR, EFTR, та як діяти при виявленні терористичних активів.
• Зберігання записів: Укажіть, які документи зберігаються і як довго (щонайменше 5 років). Це стосується ідентифікаційних даних клієнтів, записів про транзакції, звітів і навчання.
• Дотримання правила Travel Rule: Якщо ви здійснюєте перекази, опишіть, як додається інформація про відправника та отримувача, і як ви дієте, якщо дані відсутні.
• Директиви та санкції: Вкажіть, як ви виконуєте державні директиви щодо високоризикових країн і як здійснюєте санкційний моніторинг.

Політики повинні описувати операційні механізми — як перевіряються клієнти, хто приймає рішення, як швидко надсилаються STR тощо. FINTRAC очікує, що підозрілі звіти подаються «якнайшвидше після виникнення підозри».

Адаптація під ваш бізнес: Уникайте шаблонів без змін. FINTRAC вимагає, щоб програма враховувала тип, розмір і складність вашої діяльності. Для малого пункту обміну валют достатньо простіших процедур, ніж для національної криптобіржі. Якщо ви користуєтесь типовим зразком — адаптуйте його під свої процеси. Під час перевірки регулятор порівнює, чи відповідає практика вашим політикам.

Оновлюйте документ регулярно. Відповідальна особа (зазвичай офіцер з комплаєнсу) має стежити за змінами в законодавстві та вносити оновлення. Керівництво повинно затверджувати суттєві зміни, що демонструє підтримку на найвищому рівні. Ведіть журнал змін для підтвердження історії оновлень.

3. Оцінка ризиків — розуміння та зменшення ваших ризиків

Програма протидії відмиванню коштів повинна бути заснована на ризиках. Це означає, що ваші контрольні заходи мають відповідати рівню ризику відмивання коштів чи фінансування тероризму, з яким стикається ваш бізнес. Для цього потрібно провести офіційну оцінку ризиків вашої компанії. Канадське законодавство вимагає, щоб кожен звітний суб’єкт оцінював і документував ризик настання порушень, пов’язаних із відмиванням грошей чи фінансуванням тероризму, у своїй діяльності. Іншими словами, ви повинні визначити, де і як ваш бізнес може бути використаний для незаконних фінансових операцій, і вжити заходів для їх запобігання.

Ключові елементи оцінки ризиків: FINTRAC очікує, що оцінка ризиків враховуватиме кілька факторів, які охоплюють практично всі аспекти діяльності вашої компанії:

• Ризик клієнтів: Оцініть типи клієнтів, з якими ви працюєте, та їх характеристики. Ви маєте справу з фізичними особами, бізнесами чи обома категоріями? Чи є серед ваших клієнтів політично значущі особи (PEP) або заможні клієнти з підвищеним ризиком? Чи обслуговуєте ви клієнтів із галузей або професій, схильних до зловживань (наприклад, бізнеси з великим обігом готівки)? Також врахуйте поведінкові моделі клієнтів — чи здійснюють вони часті великі транзакції або перекази до країн із високим ризиком?
• Ризик продуктів і послуг: Проаналізуйте, які саме фінансові послуги ви надаєте. Деякі з них мають підвищений ризик — наприклад, обмін валют, грошові перекази, операції з віртуальною валютою або випуск передплачених карток — адже вони дозволяють швидко переміщати кошти, іноді з анонімністю. Якщо ви є криптобіржею, ризики можуть включати можливість використання гаманців, пов’язаних із даркнетом або міксерами. Якщо ви здійснюєте міжнародні перекази — оцініть легкість переміщення коштів між юрисдикціями. Кожен продукт слід оцінювати окремо: готівкові операції проти електронних, внутрішні проти міжнародних тощо.
• Ризик каналів надання послуг: Як саме ви надаєте свої послуги? Очні (face-to-face) транзакції відрізняються від повністю онлайн-онбордингу. Нефізична ідентифікація клієнтів (поширена у фінтех і криптосекторі) підвищує ризик шахрайства або підробки особи, тому потрібно оцінити надійність ваших eKYC-рішень. Якщо ви користуєтесь агентами або сторонніми сервісами, які взаємодіють із клієнтами від вашого імені, це також підвищує ризик.
• Географічний ризик: Оцініть географію вашої діяльності та клієнтів. Ви працюєте лише в Канаді чи маєте міжнародних користувачів? Чи здійснюєте ви регулярні операції з країнами, які мають підвищений ризик (високий рівень корупції, санкції, нестабільність)? Використовуйте джерела, як-от список країн із високим ризиком від Міністерства фінансів Канади або FATF. Якщо серед ваших клієнтів багато іноземців, проаналізуйте ризики, пов’язані з їхніми країнами походження.
• Нові технології чи напрямки бізнесу: Якщо ви плануєте впровадити новий продукт або технологію (наприклад, новий токен, мобільний застосунок чи функцію P2P-переказів), потрібно оцінити ризики до запуску. Нововведення можуть суттєво змінити ваш профіль ризику. Наприклад, функція прямих переказів між користувачами може відкрити нові схеми шахрайства. FINTRAC очікує оновлення оцінки ризиків перед впровадженням будь-яких значущих змін.
• Філії та треті сторони: Якщо у вас є дочірні компанії або партнери, врахуйте, як їхня діяльність впливає на ризики. Наприклад, якщо партнер працює в країні з низьким рівнем контролю AML, це підвищує ваш ризик. Якщо ви використовуєте агентів для переказів — перевіряйте їхню систему контролю та дотримання вимог.
• Інші релевантні фактори: Це можуть бути внутрішні аспекти (розмір компанії, досвід персоналу) або зовнішні (відомі типології злочинів у вашій галузі). Національні звіти про ризики Канади допомагають зрозуміти, які загрози є типовими, наприклад, шахрайство у сфері переказів чи відмивання коштів через криптовалюту. Також враховуйте попередні інциденти у власній діяльності.

Після ідентифікації ризиків у кожній категорії потрібно оцінити їхній рівень (низький, середній, високий) і задокументувати підстави для оцінки. Наприклад: «готівкові операції понад $10 000 — високий ризик через можливу анонімність» або «клієнти з країни X — високий ризик через санкції». Важливо все це документувати — FINTRAC під час перевірки оцінює, наскільки ваш аналіз є обґрунтованим.

Зменшення ризиків і посилені заходи: Для кожної сфери з високим ризиком потрібно запровадити посилені заходи контролю (Enhanced Due Diligence). Це може включати: схвалення керівництвом високоризикових клієнтів, збір додаткових документів, перевірку джерела коштів, частіший моніторинг транзакцій або регулярні перегляди досьє клієнта. Ваші політики повинні чітко вказувати, які саме кроки застосовуються для таких випадків.

Наприклад, якщо оцінка ризиків вказує, що «криптооперації з міксерами» — високий ризик, доцільно заборонити такі операції або вимагати підтвердження походження монет. Якщо «іноземні студенти, які надсилають перекази у країни з підвищеним ризиком» — потенційно ризикова група, можна вимагати підтвердження мети переказу чи додаткових документів. Головне — визнати ризик і показати, що ви маєте план його зменшення.

Актуальність: Оцінка ризиків — це не одноразовий документ. Її слід переглядати щонайменше раз на рік або після будь-яких значних змін (нові продукти, ринки, регуляторні зміни). Якщо з’являються часті звіти про підозрілі операції — перегляньте свій ризик-профіль: можливо, те, що вважалося «низьким ризиком», насправді є вищим. FINTRAC може вимагати доказів, що ви враховуєте нові дані чи типології у своїх оновленнях.

Підсумовуючи: оцінка ризиків — це ваша дорожня карта для правильного розподілу ресурсів: більше уваги там, де ризик вищий, і мінімум — там, де він низький. Це також показує регулятору, що ви розумієте свій бізнес і активно запобігаєте загрозам. Багато компаній використовують матрицю ризиків або таблицю для візуалізації — головне, щоб вона чітко демонструвала логіку та обґрунтування.

4. Програма навчання — постійне AML-навчання персоналу

Навіть найкращі політики не працюватимуть, якщо команда про них не знає. Саме тому постійна програма навчання є четвертим стовпом AML-комплаєнсу. Канадське законодавство вимагає, щоб кожна звітна організація, яка має працівників або агентів, мала письмову програму навчання та план її реалізації. Мета — гарантувати, що всі учасники процесів розуміють свої AML-обов’язки та вміють виявляти й реагувати на ризики.

Хто повинен проходити навчання: Усі особи, залучені до діяльності компанії, мають отримувати навчання, відповідно до своїх функцій. Це включає: працівників фронт-офісу, які працюють із клієнтами, бек-офіс, комплаєнс-персонал, керівників і навіть членів ради директорів. Якщо ви користуєтесь незалежними агентами або підрядниками (наприклад, агентами з переказів), вони також повинні бути навчені, адже діють від вашого імені.

Для фінтех- чи криптокомпаній до групи «хто» належать навіть інженери, що впроваджують KYC-системи, а також команди підтримки клієнтів. Офіцер із комплаєнсу може проходити поглиблені зовнішні курси чи сертифікації.

Що охоплює навчання: FINTRAC визначає кілька ключових тем, які має містити програма:

• Законодавчі вимоги AML/ATF: Ознайомлення персоналу з обов’язками компанії — пороги звітності, правила ідентифікації, вимоги до ведення записів тощо. Працівники мають знати, наприклад, що при спробі здійснити готівкову операцію понад $10 000 потрібно перевірити клієнта та подати звіт.
• Основи відмивання грошей і фінансування тероризму: Поясніть, як працюють схеми відмивання коштів, з прикладами, характерними для вашої галузі (MSB, крипто, перекази тощо). Розуміння логіки злочинних дій підвищує пильність персоналу.
• Специфічні ризики вашого бізнесу: Пов’яжіть теорію з практикою — покажіть, які саме операції у вашій діяльності є ризиковими. Для пунктів обміну валют — підроблені документи; для криптоплатформ — шахрайські схеми з криптовалютою. Надайте приклади та індикатори ризику.
• Ваші внутрішні політики: Ознайомте персонал із тим, як саме виконується KYC, як фіксуються операції, куди повідомляти про підозрілі транзакції тощо.
• Ролі та відповідальність: Кожен має розуміти свою роль. Касир повинен знати, коли звертатися до офіцера з комплаєнсу; аналітик — як розслідувати сигнал; менеджер — як контролювати процес.
• Робота з підозрілими операціями: Навчіть персонал, як діяти при виявленні підозрілої активності — не повідомляти клієнта, заповнити внутрішню форму, звернутися до комплаєнсу. Додайте приклади «червоних прапорців».

Як і коли проводити навчання: План має містити методи, частоту та матеріали. Зазвичай навчання проводять щороку, нові працівники проходять його до початку роботи. Формати можуть бути різними — онлайн-курси, семінари, тести. Головне — щоб навчання було ефективним.

Не забудьте вести облік усіх навчальних заходів — дати, учасники, теми. Це підтвердження перед FINTRAC. Якщо користуєтесь зовнішніми тренінгами, зберігайте сертифікати.

Глибина навчання залежить від ролі: фронт-офіс отримує прикладні інструкції, керівництво — стратегічний огляд, а комплаєнс-команда — спеціалізовані знання. Періодично перевіряйте ефективність — тести, опитування, практичні кейси. Оновлюйте матеріали при зміні нормативів або процедур. Регулярне, змістовне навчання формує культуру комплаєнсу, а не просто «галочку» у звіті.

5. Огляд ефективності (незалежний аудит) — перевірка вашої програми

П’ятий стовп — це огляд ефективності, фактично аудит програми AML-комплаєнсу, який потрібно проводити регулярно. Канадські правила вимагають планування перевірки ефективності програми комплаєнсу та її проведення не рідше ніж раз на два роки. Такий огляд часто називають незалежним дво-річним аудитом. Його мета — оцінити, чи працює програма так, як задумано, і виявити слабкі місця.

Хто проводить огляд: Перевірку може здійснювати внутрішній або зовнішній аудитор, або навіть ви самі, якщо не маєте аудиторського підрозділу. Головне — незалежність від щоденного управління комплаєнсом. Офіцер із комплаєнсу не може перевіряти сам себе. Малий бізнес часто залучає зовнішніх консультантів, а великі компанії — внутрішніх аудиторів, якщо вони не пов’язані з виконанням програми. Перевіряючий повинен розуміти канадські AML-вимоги та специфіку вашої діяльності.

Обсяг перевірки: План має охоплювати усі елементи програми — політики, оцінку ризиків, навчання, звітність і ведення записів. Зазвичай перевірка включає:

• Огляд політик і процедур: Чи актуальні документи, чи відповідають законам, чи відображають реальні процеси.
• Тестування контролів: Перевірка вибірки клієнтських досьє та транзакцій, щоб упевнитися, що правила виконуються, а звіти (STR, LCTR тощо) подаються вчасно.
• Перевірка оцінки ризиків: Чи відповідає документ реальним ризикам і чи застосовуються посилені заходи для високоризикових клієнтів.
• Оцінка програми навчання: Перевірка записів про тренінги та, за потреби, інтерв’ю з працівниками.
• Ресурси та роль офіцера: Чи вистачає ресурсів і чи ефективно виконується функція комплаєнсу.
• Попередні зауваження: Якщо це не перша перевірка — перевіряється, чи усунуто попередні недоліки. Це підтверджує безперервне вдосконалення.

Документація та звіт: Результати оформлюються у письмовому звіті. Для компаній законом передбачено, що протягом 30 днів після завершення перевірки результати мають бути подані керівнику. У звіті зазначаються недоліки, рекомендації та план дій. Наприклад: «Неповна інформація про бенефіціарів у деяких переказах — оновити процедури та провести навчання щодо Travel Rule».

Не сприймайте перевірку як формальність. FINTRAC часто запитує останній звіт і очікує, що ви дієте за його результатами. Ідеальні «без зауважень» звіти виглядають підозріло — головне, щоб недоліки усувалися. Якщо аудитор вказав, що навчання недостатньо часте — покажіть, що ви вже його посилили.

Періодичність: Мінімум — раз на два роки, але компанії з високим ризиком або швидким ростом часто проводять огляд щороку. Також позапланово — при серйозних інцидентах чи змінах у законодавстві. Новий аудит має розпочинатися не пізніше ніж через 24 місяці від попереднього.

Залучення незалежного експерта (аудитора чи консультанта) підвищує довіру до перевірки. Наприклад, MapleBiz пропонує незалежні огляди AML-комплаєнсу, щоб гарантувати відповідність усім вимогам FINTRAC.

Після впровадження всіх п’яти стовпів — офіцера, політик, оцінки ризиків, навчання й незалежного аудиту — ваш MSB буде готовий до перевірок FINTRAC і захищений від фінансових зловживань. Для перевірки готовності скористайтеся наведеним нижче контрольним списком.

Контрольний список готовності програми комплаєнсу MSB

Використайте цей список, щоб перевірити, чи охоплює ваша програма всі п’ять ключових стовпів і пов’язані зобов’язання. Якщо ви можете поставити позначку біля кожного пункту — ви готові:

• Призначено офіцера з комплаєнсу: Є письмове призначення особи, яка має необхідні повноваження, знання та прямий доступ до керівництва.
• Документовані політики та процедури: Є письмові AML-політики, затверджені керівником, що охоплюють усі вимоги — KYC, звітність, моніторинг, роботу з високоризиковими клієнтами. Документи адаптовані під ваш бізнес.
• Проведено оцінку ризиків: Є письмовий документ із визначенням ризиків (клієнти, послуги, географія тощо), рівнів ризику та посилених заходів. Оновлюється щороку або після змін у діяльності.
• Реалізовано постійне навчання: Існує програма навчання всіх працівників та агентів щонайменше раз на рік, із записом дат, тем і учасників.
• Проведено незалежний огляд ефективності: Виконано перевірку за останні два роки незалежною особою або зовнішнім консультантом. Є письмовий звіт із результатами, переданий керівництву, і план усунення недоліків.

Якщо якісь пункти відсутні, програма може не відповідати вимогам FINTRAC. Усуньте ці прогалини якомога швидше — це допоможе уникнути штрафів і захистить ваш бізнес від зловживань.

Створення сильної програми AML-комплаєнсу може здатися складним, але за правильного підходу це цілком реально — і обов’язково для легальної діяльності MSB у Канаді. Дотримання п’яти стовпів — компетентний офіцер, надійні політики, оцінка ризиків, регулярне навчання та незалежний аудит — формує культуру доброчесності та довіри до вашої компанії. Ефективний комплаєнс не лише виконує вимоги FINTRAC, а й допомагає краще знати своїх клієнтів, запобігати шахрайству та зміцнювати репутацію на ринку.

Потрібна допомога в посиленні вашої програми AML-комплаєнсу? MapleBiz готова допомогти. Наша команда експертів із комплаєнсу спеціалізується на вимогах до MSB у Канаді й допомагає з підготовкою політик, проведенням дво-річних аудитів і вдосконаленням ваших процесів. Ми надаємо практичні поради на кожному етапі — від запуску до вдосконалення програми.

Зв’яжіться з MapleBiz уже сьогодні, щоб упевнитися, що ваша програма AML не лише відповідає вимогам FINTRAC, а й стає конкурентною перевагою. Ми допоможемо вам упевнено працювати на фінансовому ринку Канади та зберегти стабільність вашого бізнесу. Разом ми створимо надійну основу комплаєнсу, щоб ви могли зосередитися на розвитку свого проєкту з повним спокоєм.