Оценка уровня риска клиента по ПОД/ФТ: группы, критерии и обоснование

Организации и ИП, на которых распространяется 115-ФЗ, обязаны определить уровень риска клиента по ПОД/ФТ при приеме на обслуживание и затем следить за ним весь срок работы. От присвоенной группы зависят глубина проверки клиента и частота обновления анкеты. Поэтому одна ошибка в оценке тянет за собой нарушения в других обязанностях.

Что такое оценка уровня риска клиента и кто обязан ее проводить

Обязанность установлена пп. 3.1 п. 1 ст. 7 Федерального закона от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма». По этой норме субъект закона оценивает степень (уровень) риска совершения клиентом подозрительных операций при приеме на обслуживание и в ходе обслуживания. Каждого клиента он относит к группе риска. Подозрительными закон называет операции, которые предположительно совершают в целях легализации доходов или финансирования терроризма.

При оценке нужно учитывать результаты национальной оценки рисков (НОР), характер деятельности клиента и продукты, которыми он пользуется.

Обязанность зависит от вида деятельности, а не от размера бизнеса. Ее несут организации и ИП из ст. 5 115-ФЗ и иные лица из ст. 7.1: адвокаты, нотариусы, лица, оказывающие юридические или бухгалтерские услуги, аудиторы и другие. Субъекты ст. 7.1 разрабатывают и реализуют ПВК, когда готовят или осуществляют операции, указанные в законе.

Важно! ПВК подписывает руководитель организации или ИП, электронные ПВК – усиленной квалифицированной электронной подписью. По ПП № 1157 руководитель же обеспечивает контроль за соответствием правил законодательству. Методику применяет каждый сотрудник, который принимает клиента. Поэтому утвердить правила мало: руководителю нужно видеть, как по ним ставят риск.

Оценка не существует отдельно от остальных обязанностей. Статья 3 115-ФЗ включает ее в понятие осуществления внутреннего контроля наряду с идентификацией, изучением клиента и представлением сведений. С группой риска закон связывает объем мер по изучению клиента (пп. 1.1 п. 1 ст. 7) и периодичность обновления сведений (пп. 3). На практике группа работает как переключатель всего риск-ориентированного подхода.

Какие документы применять в зависимости от типа субъекта

Требования к программе оценки рисков клиентов устанавливает не один нормативный акт. Нужный документ зависит от вида субъекта и его надзорного органа.

Оценка клиента, ЗСК и индикатор риска: в чем разница

Оценка риска клиента, уровень риска на платформе ЗСК и индикатор риска субъекта называются похоже, но работают по-разному.

Группы и категории риска клиента

Методика оценки строится на двух понятиях. Группу присваивают клиенту, а по категориям анализируют его риск.

Три группы риска: высокая, средняя, низкая

ПП № 1157 (п. 16) и ПП № 1180 предусматривают три группы риска клиентов: низкий, средний и высокий риск. Для кредитных организаций и филиалов иностранных банков те же три группы прямо закреплены в пп. 3.1 п. 1 ст. 7 115-ФЗ. Для некредитных финансовых организаций число групп определяет Банк России. Его нужно сверять с действующим положением.

Субъект, на которого распространяется ПП № 1157 или № 1180, не может объединить группы, сократить их число или переименовать: постановления называют группы прямо. Гибкость предусмотрена в другом. Организация вправе добавить к трем обязательным категориям рисков собственные (п. 15 ПП № 1157).

Важно! Группу присваивают каждому клиенту, а не только тем, у кого нашлись настораживающие признаки. Отсутствие факторов риска тоже вывод, и его нужно записать.

Перекос в одну сторону тоже ошибка. Допустим, всех клиентов записали в высокий риск на всякий случай. Тогда по каждому придется ежегодно обновлять сведения и уделять повышенное внимание операциям. Не делаете этого – ПВК расходятся с практикой. Сплошной низкий риск по всей базе чаще говорит о формальной оценке.

Три категории рисков: страновые, клиентские, продуктовые и операционные

По п. 15 ПП № 1157 риск клиента анализируют по трем категориям. Их удобно свести к вопросам: откуда клиент, кто он и что делает.

• Страновые и географические. Связь клиента, его представителя или бенефициарного владельца с государствами, которые не выполняют рекомендации ФАТФ, в том числе через счета в банках таких государств. Порядок выявления этих лиц ПВК обязаны содержать (п. 8 «е» ПП № 1157).
• Связанные с клиентом. Прозрачность структуры собственности, деловая репутация, поведение клиента при сборе сведений, совпадения с перечнями.
• Связанные с продуктами, услугами, каналами поставок и операциями. Через какие услуги и каналы клиент работает с организацией. Сюда относятся операции с наличными, обслуживание через представителя или без личного контакта, соответствие характера операций заявленной деятельности.

Признаки, указывающие на повышенный риск

Исчерпывающего списка признаков повышенного риска клиента закон не содержит. Ориентиром служит перечень признаков необычных операций. Это приложение к приказу Росфинмониторинга от 08.02.2022 № 18 в редакции приказа от 14.06.2024 № 137, изменения действуют с 01.10.2025.

Помогают и методические рекомендации Росфинмониторинга. Коды 11–22 перечня носят общий характер и применяются в полном объеме, коды 34–51 – с учетом специфики деятельности.

Чаще всего на повышенный риск указывают:

• сложная структура собственности, за которой трудно установить бенефициарного владельца;
• адрес массовой регистрации;
• статус публичного должностного лица у клиента;
• регистрация, деятельность или счета в странах, не выполняющих рекомендации ФАТФ;
• нежелание раскрывать сведения о себе, целях отношений или источнике средств;
• операции без очевидного экономического смысла.

Признак означает, что клиента нужно проанализировать, но сам по себе высокого риска не создает. Группу определяет совокупность факторов, и именно ее отражают в обосновании.

Какие источники обязательно учитывать при оценке

Пункт 17 ПП № 1157 перечисляет пять источников, которые обязательно учитывают при оценке риска клиента:

1. Результаты национальной и секторальной оценки рисков. Отчеты о НОР публикуются на сайте Росфинмониторинга.
2. Характер и виды деятельности клиентов, используемые ими продукты.
3. Рекомендации Росфинмониторинга.
4. Типологии, в том числе международных организаций, то есть описания типовых схем отмывания.
5. Признаки повышенного риска с учетом рекомендаций ФАТФ.

Учесть источник – значит показать в методике, как его выводы влияют на группу. Допустим, НОР выделяет вид деятельности как высокорисковый, а в ПВК он ничем не отмечен. Тогда у проверяющего появится вопрос.

Как оценить риск клиента: порядок действий

Оценка риска складывается из двух этапов: первичной оценки при приеме клиента и последующего мониторинга.

Оценка при приеме на обслуживание

Идентификацию клиента закон требует провести до приема на обслуживание (пп. 1 п. 1 ст. 7 115-ФЗ). Поэтому оценка риска начинается еще до первой операции. Порядок действий при приеме:

1. Идентифицируйте клиента, представителя клиента, выгодоприобретателя и бенефициарного владельца. Бенефициаром считается физическое лицо, которое прямо или косвенно владеет более чем 25% капитала клиента-юрлица или может контролировать его действия. Выгодоприобретателя с ним не путайте: к его выгоде клиент действует, например, по агентскому договору или поручению. Для организаций и ИП из ст. 5 115-ФЗ требования к идентификации с 11.07.2025 установлены приказом Росфинмониторинга № 74.
2. Проведите проверку по перечням: перечню причастных к экстремизму или терроризму, решениям МВК о замораживании, перечням СБ ООН. При совпадении организации, которые обязаны замораживать средства, делают это не позднее 24 часов с момента размещения информации. От группы риска эта обязанность не зависит.
3. Изучите клиента (пп. 1.1 п. 1 ст. 7): цели установления деловых отношений, вид деятельности, деловую репутацию и финансовое положение в объеме, предусмотренном ПВК. Из этих сведений складывается профиль клиента.
4. Проанализируйте сведения по трем категориям рисков и сопоставьте их с источниками из п. 17.
5. Присвойте группу и запишите мотивированное суждение.

Мотивированное суждение и его фиксация

По п. 18 ПП № 1157 организация относит клиента к группе на основании мотивированного суждения по итогам анализа информации о клиенте и его операциях. Суждение носит субъективно-оценочный характер. Калькулятора с баллами закон не дает, поэтому проверяют качество обоснования.

Важно! Запись «признаков не выявлено, риск низкий» без перечня проверенных фактов обоснованием не считается. Из нее не видно, что именно анализировали.

Обоснование присвоения уровня риска включает проверенные факты, вывод, группу, дату и данные исполнителя. Его фиксируют в анкете клиента или ином документе клиентского досье, который определен ПВК (п. 13 «д»). Хранят обоснование не менее 5 лет со дня прекращения отношений (п. 39).

Низкий риск. «ООО зарегистрировано в РФ, адрес регистрации не массовый. Бенефициарный владелец – единственный участник, гражданин РФ, сведения подтверждены документами. Совпадений по перечням нет. Цель отношений соответствует основному виду деятельности, расчеты безналичные через российский банк. Признаков из перечня необычных операций не выявлено. Группа риска – низкая». Далее дата, должность и ФИО.

Высокий риск. «ООО зарегистрировано по адресу массовой регистрации. Участник – иностранная компания из государства, не выполняющего рекомендации ФАТФ; документы о цепочке владения представлены не полностью. Экономический смысл планируемых операций клиент не пояснил. Группа риска – высокая. Меры: запрос сведений об источниках средств, повышенное внимание к операциям, обновление сведений не реже раза в год». Далее дата, должность и ФИО.

Мониторинг и пересмотр группы риска

При длящихся отношениях организация постоянно отслеживает группу риска клиента. Пересматривать группу нужно, как только выявлены факторы, на основании которых оценивается риск (п. 19 и 20 ПП № 1157). Фиксированного срока пересмотра закон не устанавливает. Поэтому порядок пересмотра и его сроки обязательно прописывают в самой программе (п. 13 «б»).

Внеплановый пересмотр нужен, если:

• выявлена необычная операция и составлено внутреннее сообщение;
• клиенту отказали в совершении операции;
• появились сомнения в достоверности сведений;
• сменился бенефициарный владелец или характер деятельности клиента.

Пересмотр работает в обе стороны: если факторы риска отпали, клиента переводят в группу ниже. Это решение тоже оформляют мотивированным суждением. Отдельно программа описывает оценку новых услуг и программно-технических средств (п. 13 «е»). Новый продукт или канал обслуживания меняет риск всех клиентов, которые им пользуются.

Какие меры применять к клиенту в зависимости от группы риска

Группа риска определяет, насколько глубоко организация изучает клиента и как часто обновляет сведения о нем.

Периодичность обновления сведений

По пп. 3 п. 1 ст. 7 115-ФЗ сроки обновления сведений о клиенте привязаны к группе риска. Вместе с другими регулярными действиями они складываются в календарь.

Если в ПВК сроки обновления не связаны с группами, методика расходится с пп. 3 п. 1 ст. 7 закона.

Меры в отношении клиентов высокого риска

Организация уделяет повышенное внимание операциям клиентов высокой группы риска, то есть ведет их мониторинг (п. 24 ПП № 1157). Меры по управлению рисками перечислены в п. 21:

• запрос дополнительных сведений о клиенте, операции, целях деловых отношений и источниках средств;
• отказ в совершении операции по п. 11 ст. 7 115-ФЗ;
• направление сведений в Росфинмониторинг по п. 3 ст. 7 115-ФЗ;
• иные меры, предусмотренные ПВК.

Высокий риск не равен отказу. Группа показывает, сколько внимания и дополнительных проверок требует клиент, но не делает его нарушителем. Компания со сложной структурой владения вполне может вести законный бизнес. Право на отказ закреплено п. 11 ст. 7 115-ФЗ и применяется на предусмотренных им условиях.

С подозрительными операциями логика другая. О них сообщают в Росфинмониторинг независимо от суммы и от группы клиента. Необычная операция подозрительной еще не является: решение принимает руководитель или уполномоченное лицо по итогам анализа.

Ответственность за нарушения при оценке риска клиента

Оценка риска клиента входит в понятие осуществления внутреннего контроля (ст. 3 115-ФЗ). Часть 1 ст. 15.27 КоАП предусматривает наказание за неисполнение законодательства в части организации и (или) осуществления внутреннего контроля. Это предупреждение или штраф: для должностных лиц от 10 000 до 30 000 рублей, для юридических лиц от 50 000 до 100 000 рублей.

Нарушение может повлечь непредставление сведений об операциях, подлежащих обязательному контролю, или о подозрительных операциях. Тогда применяется ч. 2. Должностным лицам грозит штраф от 30 000 до 50 000 рублей. Юридическим лицам грозит штраф от 200 000 до 400 000 рублей или приостановление деятельности до 60 суток.

Заниженный риск способен обернуться именно этим: операции клиента остались без внимания, и подозрительная сделка прошла мимо.

ИП отвечают как юридические лица. По ч. 1 и 2 как должностные лица отвечают сотрудники, в обязанности которых входит выявление операций или представление сведений. Это может быть СДЛ или бухгалтер, которому эти функции поручены приказом. Для кредитных организаций ст. 15.27 применяется только в части ч. 1.1 и 4. 

Когда стоит привлечь специалиста по ПОД/ФТ

Программа оценки рисков включает шесть обязательных элементов (п. 13 ПП № 1157), пять источников для учета, регулярный календарь и обоснование по каждому клиенту. Внешний специалист оправдан в трех случаях:

• методика взята из шаблона и ссылается на отмененные акты;
• ПВК не обновлялись после изменений законодательства;
• обязанности СДЛ совмещает сотрудник без времени на мониторинг.

Специалисты по ПОД/ФТ помогают организовать оценку рисков: проверяют методику на соответствие ПП № 1157 или № 1180, актуализируют ПВК и сопровождают организацию во взаимодействии с Росфинмониторингом. Решение о группе конкретного клиента остается за организацией и ее СДЛ.

Ответы на частые вопросы

Нужно ли оценивать риск клиента, если операция разовая?

115-ФЗ связывает оценку риска с приемом клиента на обслуживание и его обслуживанием, а клиентом называет лицо, находящееся на обслуживании организации. Методические рекомендации Росфинмониторинга предлагают оценивать и разовых клиентов. Порядок для разовых операций лучше прямо закрепить в ПВК и согласовать со специалистом с учетом вида субъекта. Идентификацию разового клиента проводят, если операция не подпадает под исключения из ст. 7 115-ФЗ.

Можно ли сообщить клиенту, к какой группе риска его отнесли?

Для банков порядок информирования клиента о группе риска связан с ЗСК. Если Банк России относит клиента к высокой группе, банк в течение 5 рабочих дней сообщает ему об этом и о применяемых мерах. ПП № 1157 обязанности сообщать клиенту группу не содержит, а п. 41 постановления касается конфиденциальности мер внутреннего контроля. Поэтому группу обычно оставляют внутренней информацией. Если клиент требует объяснений, ответ согласуйте с СДЛ.

Можно ли взять готовую методику оценки риска из интернета?

Готовая методика из интернета годится только как отправная точка. Без доработки она часто опирается на ПП № 667, приказ № 103 или Положение № 375-П. Кроме того, шаблон не учитывает ни НОР, ни ваши продукты, ни клиентскую базу. Сверьте методику с п. 13 ПП № 1157 (или ПП № 1180). В ней должны быть порядок оценки при приеме, порядок и сроки пересмотра группы, меры с учетом группы, управление рисками, фиксирование результатов и оценка новых услуг и технологий. Изменения оформляют новой редакцией ПВК.