AML-перевірка PEP: практичний посібник фінтехкоманд

Команда з відповідності може правильно провести реєстрацію, але за кілька місяців виявити, що її програма AML-перевірки PEP ніколи не контролювала заявлений ризик. Аналітики можуть закривати сотні сповіщень про імена, поки політично значуща особа залишається непоміченою через транслітерацію, неповну дату народження або опосередковані відносини власності, що не відповідають налаштованим правилам.

Складність не в пошуку списку. Треба вирішити, які збіги потребують уваги, як працювати з внутрішніми й іноземними PEP, коли змінюється статус колишньої PEP та чи витримає кожне рішення регуляторну перевірку. Цей посібник розглядає перевірку як робоче операційне завдання й охоплює дані, зіставлення, робочий процес, керування та інфраструктуру, що пов'язує перевірку з платежами й операціями з цифровими активами.

Зміст

• Проблема відповідності за одним санкційним збігом
  • Операційний збій
• Кого вважають політично значущою особою
  • Дві відмінності, що запобігають хибним рішенням
• Джерела даних для робочої програми перевірки PEP
  • Чотири рівні та чотири обмеження
• Як працює процес перевірки PEP
  • Отримуйте потрібні ідентифікаційні дані
  • Нормалізуйте до зіставлення
  • Зіставте й ухваліть контрольоване рішення
• Чому переважають хибнопозитивні результати та як їх зменшити
  • Цикл налаштування, який можуть обґрунтувати аналітики
• Іноземні й внутрішні PEP та відмінність у підході за ризиком
  • Підхід має відповідати відносинам
• Як виміряти готовність програми до аудиту
  • Керування є частиною показника
• Практичні запитання команди з відповідності до купівлі
  • Три перевірки до підписання

Проблема відповідності за одним санкційним збігом

Платіжний процесор середнього рівня виявив проблему під час планової перевірки FinCEN. Компанія обробляла вихідні банківські перекази 18 місяців, перш ніж перевіряльники знайшли внутрішню PEP, для якої поріг перевірки налаштували нижче правила 50-відсоткової власності OFAC. Припис стосувався не лише пропущеної особи. Він виявив ширшу помилку: процесор не міг довести, що логіка зіставлення, аналіз власності, рішення за сповіщеннями й постійний моніторинг працювали разом.

Ця відмінність важлива. Перевірка PEP — не одноразове звіряння зі списком, а сама PEP не є автоматично санкційною особою. Санкційний збіг може вимагати блокування або іншої негайної дії, тоді як збіг PEP зазвичай запускає посилену належну перевірку, схвалення вищого керівництва, перевірку джерела статків і коштів та посилений постійний моніторинг відповідно до настанов FATF щодо контролів PEP.

Операційний збій

Аналітики процесора вже були перевантажені. Поширені імена створювали сповіщення без достатніх ідентифікаторів для швидкого рішення, а транслітерації з кирилиці й арабської оброблялися надто вузько. Наслідком стало найгірше поєднання: забагато хибнопозитивних результатів і зависокий ризик хибних пропусків.

Ручна робота погано масштабується. За даними операційного аналізу навантаження PEP-перевірки, ручна перевірка близько 1 млн клієнтів за 500 000–900 000 записів PEP може потребувати від 208 до 375 восьмигодинних робочих днів. Саме тому автоматизація важлива, але автоматизація з погано керованими порогами лише швидше створює непослідовні рішення.

Команди, які переглядають ширший підхід до відповідності у фінансових послугах на 2026 рік, мають вважати конфігурацію перевірки частиною середовища контролю, а не окремим налаштуванням провайдера. Аудиторський слід повинен показувати вхідні дані, версію алгоритму, поріг, записи джерел, обґрунтування аналітика, схвалення й подальший результат моніторингу. Практичний процес аудиторської перевірки визначає для цих доказів місце в операційній моделі.

Кого вважають політично значущою особою

Рекомендація 12 FATF визначає політично значущу особу як людину, якій доручено важливу публічну функцію, а не як автоматично підозрілу особу. Ризик виникає через доступ до державних ресурсів, повноваження ухвалювати рішення, вплив або зв'язки, які можуть сприяти хабарництву, корупції чи зловживанню державними коштами. Тому статус має змінювати глибину перевірки, а не самостійно визначати результат.

Перша відмінність стосується юрисдикції:

• Іноземні PEP виконують або виконували важливі публічні функції для іншої держави. Це глави держав, високопосадовці, старші урядовці, судді, військові офіцери та керівники державних корпорацій.
• Внутрішні PEP виконують подібні функції в юрисдикції звітної установи.
• PEP міжнародних організацій обіймають важливі посади в ООН, Світовому банку, МВФ або регіональних банках розвитку.
• Члени сім'ї та близькі особи можуть мати пов'язаний ризик. Це чоловік або дружина, діти, батьки, відомі бізнес-партнери, близькі радники й бенефіціарні власники компаній під контролем PEP.

Дві відмінності, що запобігають хибним рішенням

PEP — не те саме, що особа із санкційного списку. Людина може бути PEP і не входити до списку OFAC SDN або іншого санкційного списку. І навпаки, санкційне позначення потребує відповідної обробки незалежно від державної посади.

Відносини з PEP також не означають автоматичного звіту про підозрілу діяльність. Установа має оцінити факти, джерело статків і коштів, транзакції та інші ознаки ризику. Такі відносини створюють обов'язок посиленої належної перевірки, а не автоматичний висновок про злочинну діяльність.

Коли людина залишає посаду, важливим залишається 12-місячний період ретроспективної перевірки. FATF рекомендує застосовувати заходи на основі ризику щонайменше 12 місяців після припинення важливої функції, а за збереження ризику — довше. Система, що назавжди залишає кожного колишнього міністра у найризикованішій черзі, створює шум і зменшує довіру до програми.

Джерела даних для робочої програми перевірки PEP

Робоча програма використовує кілька рівнів даних, бо жодне джерело не охоплює з однаковою якістю ідентифікацію, політичний статус, власність, санкційний ризик і поточний контекст. Помилка — вважати кожен потік повною відповіддю. Кожне джерело додає докази й має передбачуваний тип збою.

Чотири рівні та чотири обмеження

Санкційні й контрольні списки містять офіційні позначення та юридично значущі обмеження. Сюди належать OFAC SDN, списки ООН, ЄС і HMT. Це не списки PEP, хоча категорії можуть перетинатися. Типові недоліки: неповні ідентифікатори, затримки оновлень, псевдоніми та різні правові наслідки в різних юрисдикціях.

Комерційні бази PEP, як-от Dow Jones RiskCenter, WorldCompliance і Refinitiv, додають структуровані дані про політичні ролі, сімейні й ділові зв'язки, біографії та юрисдикції. Покриття регіональних і внутрішніх PEP істотно відрізняється між провайдерами, тому покупці мають перевіряти важливі для бізнесу юрисдикції та функції, а не приймати загальну позначку глобального покриття.

Негативні згадки в медіа додають контекст, якого може не бути у формальному записі PEP: звинувачення, розслідування корупції, зловживання державними коштами або незрозуміле багатство. Компроміс стосується мови й часу. Місцевий матеріал може бути важливішим за міжнародний, але якість перекладу, надійність джерела, актуальність і дублювання впливають на навантаження аналітиків.

Графи корпоративної власності з OpenCorporates, Bureau van Dijk і GLEIF допомагають виявити контроль через юридичних осіб. Це важливо, коли PEP не проводить транзакцію прямо. Власність може бути багаторівневою, неповною або навмисно прихованою, тому граф є матеріалом розслідування, а не остаточним доказом.

Практичне правило: купуйте покриття за юрисдикцією, роллю, відносинами та поведінкою оновлень, а не лише за рекламованою кількістю записів.

Перевірка за трьома базами PEP може майже утричі збільшити хибнопозитивне навантаження без істотного покращення виявлення, якщо бази містять ті самі записи. Об'єднуйте джерела, де це можливо, і додавайте спеціалізовані лише для задокументованої прогалини.

Як працює процес перевірки PEP

Надійний процес має чотири етапи: отримання, нормалізація, зіставлення, рішення. Кожен етап потребує відповідального, спостережуваного результату й версіонованої конфігурації. Відповідь «провайдер поставив низьку оцінку» не задовольнить регулятора, який запитає, чому сповіщення закрили.

Отримуйте потрібні ідентифікаційні дані

Процес має збирати поля форми KYC, результати OCR документів, громадянство, дату народження, місце проживання, державні ідентифікатори, коли це дозволено, відомості про бенефіціарних власників і доречний контекст рахунку чи транзакції. Він також має отримувати оновлені PEP-дані провайдера, а не покладатися на статичний експорт.

Реєстрація є першою точкою контролю. Постійний моніторинг повторює перевірку, коли клієнт змінює істотні дані, змінюється запис у списку, додаються нові відносини або транзакція потребує перевірки в конкретний момент. Застарілі вхідні дані можуть звести нанівець точний алгоритм.

Нормалізуйте до зіставлення

Нормалізація зазвичай охоплює нижній регістр, видалення звертань і посад, обробку пунктуації, розбір багатокомпонентних імен та збереження початкових значень для розслідування. Транслітерація потребує особливої уваги. Система має зберігати зв'язки між арабськими, кириличними, CJK і латинськими поданнями, а не перетворювати кожне ім'я на один незворотний рядок.

Зіставте й ухваліть контрольоване рішення

Зіставлення може поєднувати детерміновані правила, нечіткі пороги, фонетичні методи, фільтри дати народження, громадянство, місце проживання та визначення юридичних осіб на основі графів. Одне дослідження показало, що графове визначення юридичних осіб зменшило кількість хибнопозитивних санкційних і PEP-результатів на 25% порівняно з традиційним детермінованим зіставленням, згідно з цим аналізом перевірки.

Рівень рішень має розділяти автоматичне закриття з низькою впевненістю, чергу аналітика із середньою впевненістю та сильні збіги, що потребують посиленої перевірки. Пороги слід зберігати як конфігурацію правил, а не приховувати в коді. Справа має містити поля збігу, запис джерела, оцінку, версію правила, рішення аналітика, причину, особу, яка схвалила рішення, та подальші зміни.

Процес керування відповідністю стає корисним лише тоді, коли ці події пов'язані зі станом клієнта, дозволом платежу, моніторингом транзакцій і звітуванням. Перевірка не має завершуватися в черзі сповіщень.

Чому переважають хибнопозитивні результати та як їх зменшити

Хибнопозитивні результати часто перевищують 90% у санкційних і PEP-перевірках, бо систему проєктують для високої чутливості, а не ідеальної точності, як описано в аналізі AML-зіставлення. Поширені прізвища збігаються, записи PEP часто мають мало ідентифікаторів, транслітерація створює кілька правильних написань, а політичні бази можуть зберігати широкі або застарілі відносини.

Не слід підвищувати один загальний поріг, доки черга не виглядатиме здоровою. Так можна приховати справжні збіги, особливо для клієнтів із юрисдикцій, де імена транслітерують непослідовно, а також замаскувати слабкість контролю в управлінській звітності.

Цикл налаштування, який можуть обґрунтувати аналітики

Спочатку виміряйте поточний обсяг сповіщень, час аналітика, причини закриття, частоту передавання на вищий рівень і невирішені справи. Сформуйте вибірку за діапазоном упевненості та послідовно позначте справжні збіги, хибнопозитивні результати, недостатні дані й невирішені випадки. Розмір вибірки та період мають бути частиною базового виміру, а не змінюватися, коли результати виглядають незручно.

Додавайте ідентифікатори у контрольованій послідовності:

• Дата народження: добре розділяє людей, коли дані надійні, але відсутня чи суперечлива дата не повинна автоматично закривати справу.
• Громадянство та місце проживання: зменшують збіги для поширених імен, але можуть створити хибні пропуски для осіб із кількома громадянствами або після переїзду.
• Обробка транслітерацій: порівнюйте альтернативні форми без видалення початкового написання.
• Вага посади: «міністр», «сенатор» і «директор» допомагають визначити пріоритет, але самі по собі не встановлюють особу.
• Графове визначення: пов'язуйте спільних роботодавців, юридичних осіб, бенефіціарних власників і близьких осіб, щоб відрізнити людину від тезки.

Після кожної контрольованої зміни повторюйте вибірку. Порівнюйте точність і повноту, переглядайте пропуски, отримуйте схвалення команди з відповідності й записуйте версію моделі або правила. Налаштовуйте за визначеним графіком, зокрема щокварталу, і після істотних змін юрисдикцій, джерел даних або типологій.

Іноземні й внутрішні PEP та відмінність у підході за ризиком

Для іноземної PEP зазвичай одразу застосовують сильніші контроли, бо транскордонну корупцію, пов'язані з державою статки й непрозору власність складніше оцінити. FATF вимагає схвалення вищого керівництва, обґрунтованих заходів для встановлення джерела статків і коштів та посиленого постійного моніторингу. Це не означає обов'язкову відмову клієнту.

Внутрішні PEP потребують точнішого калібрування. Значення мають роль, старшинство, контроль закупівель або ліцензування, судові повноваження, вплив на державні підприємства, географія, діяльність клієнта й джерело статків. Остаточна настанова FCA 2025 року вимагає пропорційного підходу на основі ризику й зазвичай вважає внутрішніх PEP менш ризикованими за відсутності інших чинників, як описано в галузевому порівняльному звіті.

Підхід має відповідати відносинам

PEP міжнародних організацій легко пропустити, бо вони не відповідають внутрішнім шаблонам політичного пошуку. Високопосадовець ООН, Світового банку, МВФ або регіонального банку розвитку все одно потребує оцінки функції та впливу.

Для членів сім'ї та близьких осіб потрібні докази відносин, а не лише позначка списку. Клієнтом може бути чоловік чи дружина, дитина, батько або мати, бізнес-партнер, близький радник або бенефіціар компанії під контролем PEP. Коли PEP залишає посаду, члени сім'ї та близькі особи не повинні автоматично назавжди зберігати підвищений статус. Настанова FCA передбачає повернення до стандартного статусу, якщо оцінка ризику компанії не обґрунтовує іншого підходу.

Мета контролю — послідовність без суцільної однакової класифікації. Один поріг для всіх категорій простіший в роботі, але рідко відповідає ризиковій моделі, яку очікують регулятори.

Як виміряти готовність програми до аудиту

Регулятори оцінюють готовність не лише за кількістю сповіщень. Їм потрібні докази того, що установа знає швидкість перевірки, причини сповіщень, порядок їх закриття та контроль змін логіки.

Чотири показники дають чіткіше операційне уявлення:

1. Затримка перевірки: вимірюйте час від отримання ідентифікаційних даних до рішення окремо для реєстрації, повторної перевірки й транзакцій. Наведений орієнтир передбачає завершення 95% перевірок менш ніж за п'ять хвилин, а справ низького ризику — менш ніж за 60 секунд, відповідно до настанови з операційних показників. Звітуйте розподіл, а не лише середнє.
2. Частка хибнопозитивних результатів на годину аналітика: вимірюйте, скільки зусиль витрачається на закриті сповіщення, і порівнюйте після налаштування. Галузева настанова називає здоровим мінімальним результатом зменшення на 60–75% після налаштування, у наведеному операційному орієнтирі. Зберігайте початкові мітки для перевірки.
3. Пояснюваність: кожне сповіщення має показувати джерело збігу, порівнювані ідентифікатори, рівень упевненості, застосовані правила, час даних, обґрунтування аналітика й шлях схвалення. Панель зі словом «закрито» без причини операційно неповна.
4. Повнота справжніх збігів: щокварталу перевіряйте повноту на контрольованих синтетичних наборах і відомих тестах. Додайте транслітерації, поширені імена, колишніх PEP, членів сім'ї, близьких осіб і відносини між компаніями.

Керування є частиною показника

Зміна порога повинна мати завдання, обґрунтування, оцінку впливу, результат тестування, особу, яка схвалила зміну, дату набрання чинності та шлях повернення. Перевизначення категорії PEP потребує такої самої дисципліни. Це частина керування ризиком моделей, навіть якщо всередині компанії зміна називається «лише конфігурацією».

Зрілий управлінський звіт пов'язує показники з прийнятним рівнем ризику. Він показує, чи погоджується компанія на повільнішу перевірку справ високого ризику, чи наближаються черги до межі, чи погіршується якість даних і чи встигає моніторинг за політичними змінами. Операційна модель відповідності AML для криптопродуктів має так само пов'язувати гаманці, транзакції й блокчейн-ризик.

Практичні запитання команди з відповідності до купівлі

Як часто ми можемо налаштовувати пороги? Запитайте, чи дозволяє платформа команді з відповідності змінювати ваги нечіткого зіставлення, ваги ідентифікаторів, рівні PEP і поведінку транслітерації без непрозорого інженерного випуску. Провайдер має підтримувати контроль версій, тестові середовища, процеси схвалення, повернення та порівняння старих і нових результатів. Засіб із необмеженими змінами без керування створює іншу аудиторську проблему.

Чи можна по-різному обробляти внутрішніх та іноземних PEP? Один поріг простий, але грубий. Покупці мають перевірити, чи підтримує рушій оцінювання за рівнями, статус колишньої PEP, сімейні та близькі відносини, юрисдикційні правила й старшинство ролі. Платформа повинна дозволяти пропорційний підхід до внутрішніх PEP і посилені контроли, коли закупівлі, ліцензування, судові повноваження, державна власність або інші чинники підвищують ризик.

Чи потрапляють санкційні та Travel Rule контроли в одну чергу? Офіційна настанова OFAC для компаній із віртуальними валютами очікує перевірки за списками OFAC, зокрема SDN, під час реєстрації та обробки транзакцій в офіційній настанові OFAC. Travel Rule FATF поширює Рекомендацію 16 на відповідні перекази віртуальних активів і вимагає від VASP збирати, передавати та зберігати дані відправника й отримувача; у багатьох юрисдикціях часто застосовується поріг 1000 доларів США або еквівалент, як узагальнено в цій довідці Travel Rule.

Запитайте, чи можуть повідомлення Travel Rule містити докази перевірки, чи входять санкційні, PEP, медійні та ризикові результати гаманців до єдиної черги і чи створює перевірка транзакцій дубльовану роботу. У криптосередовищі контроль також потребує виконання дій. Якщо санкційна перевірка дає справжній збіг, компанія має заблокувати транзакцію, заморозити рахунок або активи та подати звіт OFAC протягом 10 робочих днів, згідно з цією процедурою для криптокомпаній. Системи KYT можуть доповнити перевірку осіб оцінюванням ризику гаманців і контрагентів під час депозитів, виведень та постійної активності, як описано в підході Elliptic.

Три перевірки до підписання

• Попросіть кількісний приклад зменшення хибнопозитивних результатів: якщо провайдер не показує початковий рівень, метод, вибірку й виміряний результат, вважайте твердження неперевіреним.
• Попросіть справжній приклад аудиторського журналу: він має показувати запис джерела, причину збігу, версію конфігурації, рішення аналітика, схвалення й часові позначки.
• Підтвердьте комерційну гнучкість: договір має дозволяти внутрішнє повторне оцінювання, тестування й налаштування правил без оплати за кожен збіг, яка відбиває бажання належно перевіряти справи.

BroLabel підтримує цю операційну модель через BroSettlement, вбудовані MPC-гаманці, контроль гаманців AI-агентів, Co-Signer, розгорнутий у клієнта, WebSocket-події, API-ключі з обмеженими правами та журнал із додаванням без зміни для звірки й аудиторських доказів. Перегляньте BroSettlement, щоб оцінити, як інфраструктура гаманців, розрахунків, перевірки та подій може доповнити ваш процес AML-перевірки PEP.