Из чего состоит программа AML
У регулируемой компании, которая её ведёт, есть пять частей, и проверяющий спросит про каждую.
Письменная политика
Описывающая, как компания выявляет риск и что с ним делает.
Ответственное лицо
Конкретный человек, отвечающий за комплаенс.
Оценка риска
По клиентской базе, продуктам и странам, с которыми идёт работа.
Постоянный мониторинг
Операций с порогами, после которых включается разбор.
Отчётность и хранение данных
Сообщения о подозрительных операциях в профильный орган и хранение документов, обычно пять лет после окончания отношений.
Отсутствие любой из пяти частей это замечание. Отсутствие нескольких это штраф.
Что изменила криптовалюта
Наличные не оставляют следа. Публичный блокчейн не оставляет ничего, кроме следа, и эта перевёрнутость и есть главное отличие AML в отрасли.
Каждый перевод записан навсегда и виден любому. Аналитические компании собирают адреса в кластеры, размечают их и прослеживают средства через цепочки переходов. Платёж, который четыре перевода назад соприкасался с адресом из санкционного списка, опознаётся как таковой спустя годы; с банкнотами такое невозможно.
Практическое следствие: комплаенс в крипте выглядит иначе, чем в банке. Вместо того чтобы просить паспорт у каждого участника, сервис проверяет саму операцию по тому, что уже видно в цепочке.
Сколько стоит несоблюдение
Масштаб показывают две цифры.
В 2025 году канадский регулятор FINTRAC оштрафовал платёжного провайдера Cryptomus почти на 177 миллионов канадских долларов за нарушения в этой области, после чего сервис ввёл обязательную верификацию пользователей.
Отдельно: кастодиальные платёжные процессоры потеряли на взломах около 1,8 миллиарда долларов с 2023 по 2025 год. Безопасность и AML это разные обязанности, хотя регуляторы всё чаще считают слабость в одном свидетельством о другом.
За что отвечает мерчант
Обычно за меньшее, чем мерчанты думают.
Продажа товаров или услуг и приём оплаты не делают бизнес финансовым посредником, и обязанности AML, которые связывают биржи и платёжных провайдеров, на него не переходят. Программу ведёт шлюз; мерчант проходит KYB и хранит свои документы.
Что на мерчанте действительно лежит, так это обязанность не игнорировать увиденное. Принять платёж из источника, о проблемности которого вам сообщили, и не проверить источник вовсе это разные истории.
Откуда берутся правила
Три уровня, и между собой они скорее переплетаются, чем складываются аккуратно.
Международный
FATF выпускает рекомендации, включая Travel Rule, по которому идентифицирующие данные должны сопровождать перевод выше порога между регулируемыми посредниками. Напрямую FATF не обязывает никого: она обязывает страны, а те обязывают компании.
Региональный
Евросоюз внедряет требования через MiCA и директивы по противодействию отмыванию, которые задают правила для криптовалютных сервисов, работающих в союзе или обслуживающих его.
Национальный
Подразделение финансовой разведки каждой страны толкует и применяет. Именно этот уровень выписывает штрафы, и он же различается сильнее всего.
Провайдер, обслуживающий клиентов в нескольких странах, соблюдает все три, и самое строгое требование обычно задаёт практику везде.