AML Risk Assessment: як побудувати оцінку ризиків, що витримає перевірку

AML risk assessment (оцінка ризиків відмивання коштів) має бути фундаментом, на якому тримається все інше в програмі комплаєнсу: наскільки глибокою є перевірка клієнта, коли запускається посилена перевірка, де встановлюються пороги моніторингу транзакцій, куди йде бюджет комплаєнсу. На практиці багато установ будують оцінку, яка виглядає повною на папері й розсипається в ту мить, коли регулятор запитує, звідки взявся конкретний бал. Розповідаємо, що насправді потрібно для захищуваної оцінки — і де саме верифікація, а не краще налаштований скоринговий софт, робить її стійкою.

Ключові висновки

• AML risk assessment — це структурований процес, яким установа виявляє, оцінює й документує свою експозицію до ризику відмивання коштів і фінансування тероризму. Це не політика і не наратив для комплаєнсу — це оцінюваний, доведений, відтворюваний процес.
• Розрізнення між притаманним ризиком (експозиція до контролів), ефективністю контролів (наскільки вони реально працюють) і залишковим ризиком (що залишається після цього) — це основа захищуваної оцінки, і саме те, що більшість установ розмиває під тиском термінів.
• Глобальні регулятори наклали 1,23 млрд доларів штрафів за порушення в AML, KYC та санкційному комплаєнсі лише за перше півріччя 2025 року — на 417% більше, ніж за той самий період 2024-го, і регулятори дедалі частіше вказують саме на недоліки в самій оцінці ризиків, а не лише на окремі збої контролю (Fenergo, серпень 2025).
• Шаблон може структурувати оцінку ризиків. Він не може перевірити жодного факту всередині неї — а бал ризику, побудований на неперевіреному припущенні про те, хто справді володіє клієнтом чи наскільки чиста юрисдикція, — це точно прорахована неправильна відповідь.
• Ми ставимося до вхідних даних, що формують бал ризику, так само, як до будь-якого питання due diligence: перевіряти твердження, а не просто підставляти його в модель.

Що насправді таке AML risk assessment

AML risk assessment — це структурований процес, яким установа виявляє, оцінює й документує свою експозицію до ризику відмивання коштів і фінансування тероризму. Це не політика і не наратив для комплаєнсу, написаний, щоб задовольнити перевіряючого. Зроблена правильно, це доведена, оцінювана вправа, яка напряму визначає, як калібрується перевірка клієнта (CDD), коли запускається посилена перевірка (EDD), де встановлюються пороги моніторингу транзакцій, і як структурується звітність комплаєнсу.

Оцінка встановлює притаманний профіль ризику установи за чотирма вимірами — ризик клієнта, географічний ризик, ризик продукту й послуги, ризик каналу доставки — до застосування будь-якого контролю. Цей профіль потім напряму формує рішення далеко за межами комплаєнсу: скільки капіталу виділяється на функцію, як укомплектовується команда AML, і як налаштовується комплаєнс-софт і системи моніторингу.

Чому це важливо: установа, яка ставиться до своєї оцінки ризиків як до документа для файлу, а не до живої моделі, яку треба вміти захистити, будує всю свою програму комплаєнсу — штат, бюджет, пороги моніторингу — на вправі, яку ніхто насправді не може обґрунтувати під перевіркою.

Хто зобов'язаний це робити і за якими рамками

Обов'язок поширюється широко на регульовані фінансові послуги: банки, провайдери платіжних послуг, провайдери послуг з віртуальними активами й криптобіржі, фінтех-компанії, венчурні фонди, компанії з цінних паперів та інші регульовані посередники. Конкретна регуляторна прив'язка різниться за юрисдикцією — Центральний банк ОАЕ та Dubai Financial Services Authority в ОАЕ, Saudi Central Bank і Capital Market Authority в Саудівській Аравії, Катарський центральний банк і Qatar Financial Centre Regulatory Authority в Катарі, рамки Bank Secrecy Act у США, Шоста Директива ЄС з протидії відмиванню коштів (6AMLD) — але базове очікування скрізь однакове: задокументована, доведена, захищувана оцінка, а не типовий шаблон із назвою установи зверху.

В Україні є власна, окрема рамка того самого рівня — національна оцінка ризиків. Стаття 21 закону "Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та фінансуванню розповсюдження зброї масового знищення" (№361-IX) вимагає, щоб Держфінмоніторинг — національна фінансова розвідка України — проводив національну оцінку ризиків не рідше ніж раз на три роки, за участю інших профільних державних органів. Перший такий звіт вийшов ще у 2016 році. Сам закон прямо не зобов'язує окремі установи автоматично вбудовувати результати національної оцінки у власну модель ризику — але на практиці саме на цей документ орієнтується НБУ, оцінюючи, чи адекватно банк відображає реальний національний ландшафт ризику у власній методології.

Чому це важливо: регулятори дедалі частіше вказують саме на недоліки в самій рамці оцінки ризиків, а не лише на окремі збої контролю. Глобально регулятори наклали приблизно 1,23 млрд доларів штрафів за порушення в AML, KYC та санкційному комплаєнсі лише за перше півріччя 2025 року — на 417% більше, ніж 238,6 млн доларів за той самий період 2024-го (Fenergo, серпень 2025). Оцінка, яку неможливо захистити рядок за рядком, — це вже не ризик паперової роботи. Це ризик правозастосування.

Чотири фактори ризику, що насправді формують бал

Ризик клієнта. Відображає природу, поведінку й структуру власності клієнтської бази — і він не статичний. Клієнт, що отримав низький бал при онбордингу, може зміститися в суттєво інший профіль через зміну власності, виду діяльності чи транзакційної поведінки, і програма, побудована лише навколо одноразового балу, повністю пропускає цей зсув.

Ризик продукту й послуги. Виникає з характеристик, що полегшують переміщення чи приховування коштів: приватний банкінг, кореспондентські відносини, передоплачені інструменти, кастодіальне зберігання криптоактивів і транскордонні платіжні коридори несуть цей ризик за визначенням, незалежно від того, хто ними користується.

Географічний ризик. Відображає експозицію до юрисдикцій із підвищеною корупцією, санкційною активністю, організованою злочинністю чи слабким правозастосуванням у сфері AML — і його потрібно оцінювати за трьома окремими осями: місце реєстрації клієнта, маршрут транзакції та юрисдикція бенефіціарної власності, оскільки чиста адреса за однією з трьох осей нічого не каже про дві інші.

Ризик каналу доставки. Стосується того, як клієнт реально звертається до установи: дистанційний онбординг без особистого контакту, агентські мережі, API-інтеграції та сторонні introducer-компанії — усі вони зменшують природну верифікацію, що відбувається в особистих відносинах, і кожен потребує власного компенсуючого контролю.

Індикатори, на які варто звертати увагу на практиці:

• Клієнт, чия заявлена діяльність не відповідає реальному транзакційному патерну через півроку після онбордингу
• Бал географічного ризику, який не переглядався з моменту зміни FATF-статусу юрисдикції
• Агентська мережа чи introducer-канал із суттєво слабшими перевірками при онбордингу, ніж власний прямий канал установи
• Характеристика продукту — передоплачений інструмент, кореспондентські відносини — оцінена один раз при запуску й ніколи не переглянута, попри зміну патерну використання

Чому це важливо: саме бали географічного ризику застарівають швидко. ОАЕ потрапили до сірого списку FATF у березні 2022 року і були виключені з нього у лютому 2024-го — зсув, достатньо суттєвий, щоб самостійно змінити ваги географічного ризику, і саме такий тригер, який статична, раз-на-рік модель ризику може пропустити на місяці. В Україні аналогічний, але не менш реальний тригер — це сама війна: приплив донорських і відбудовних коштів, розширене коло державних та оборонних посадовців, що підпадають під визначення PEP, і зростання спроб обійти санкції проти рф через треті юрисдикції — усе це змінює географічний і клієнтський профіль ризику установ, що працюють з Україною, і жодна модель, не переглянута з 2022 року, вже не відображає цей ландшафт.

Притаманний ризик, ефективність контролів і залишковий ризик

Притаманний ризик — це експозиція до застосування будь-якого контролю, те, як виглядав би ризик у вакуумі. Ефективність контролів вимірює, наскільки добре реальні контролі установи — KYC і перевірка клієнта, посилена перевірка, моніторинг транзакцій, санкційний скринінг, постійний моніторинг, управління, навчання персоналу, незалежний аудит — працюють проти цієї експозиції, доведено реальними метриками ефективності, а не припущеннями з політик. Залишковий ризик — це те, що залишається, коли ефективність контролів чесно врахована, і саме це число має реально визначати рішення на основі ризику.

Чому це важливо: установи регулярно переоцінюють міцність власних контролів. Контроль, що існує на папері, і контроль, незалежно протестований і доведено здатний ловити те, що має ловити, — це не однакові вхідні дані для балу ризику, і ставлення до них як до рівнозначних — це саме те, як число залишкового ризику починає прикрашати установу замість того, щоб її описувати.

Процес оцінки від початку до кінця

1. Підготуйте оцінку — визначте обсяг, узгодьте із застосовними регуляторними рамками, підтвердьте, хто в управлінні відповідає за процес, і визначте модель скорингу ризику до збору хоча б однієї точки даних.
2. Виявіть ризик і зберіть дані — спирайтесь на сегментацію клієнтів, інвентаризацію продуктів і аналітику географічної експозиції, а не на анекдоти.
3. Оцініть притаманний ризик — оцініть структурні вразливості за всіма чотирма факторами ризику, незалежно від будь-якого контролю.
4. Оцініть ефективність контролів — протестуйте KYC/CDD/EDD, моніторинг транзакцій, санкційний скринінг, постійний моніторинг, управління, навчання й незалежний аудит на основі реальних даних про ефективність, а не припущеної адекватності.
5. Застосуйте скоринг і ваги ризику — переведіть виявлену експозицію у вимірювані, зважені категорії.
6. Визначте залишковий ризик — визначте реальну експозицію після чесного врахування ефективності контролів.
7. Класифікуйте й задокументуйте фінальний ризик — призначте рівні ризику з обґрунтуванням, яке регулятор може простежити без додаткових запитань.
8. Отримайте затвердження вищого керівництва та ради директорів — це крок управління, а не формальність; він встановлює інституційну відповідальність за апетит до ризику, який випливає з оцінки.
9. Переведіть результати в підхід на основі ризику — результат має напряму формувати скоринг ризику клієнта, тригери EDD, калібрування моніторингу транзакцій, політику й розподіл ресурсів.
10. Встановіть постійний перегляд і тригери оновлення — щорічний перегляд — це мінімум, а не стандарт. Суттєва зміна бізнесу, новий продукт, нова юрисдикція, значуща правозастосовна дія будь-де в галузі чи період швидкого зростання клієнтської бази — кожен із цих факторів має самостійно запускати оновлення.

Якісні, кількісні та гібридні методології

Якісні моделі спираються на експертну думку — адаптивні, але дійсно вразливі до непослідовності й індивідуальної упередженості, якщо не структуровані ретельно. Кількісні моделі спираються на транзакційні дані й статистичне моделювання, що підтримує відтворюваність, але може спотворити ризик, коли вхідні дані неповні, — модель настільки хороша, наскільки хороші дані, якими її наповнили. Гібридні моделі поєднують кількісну базову лінію з якісним доповненням, і на практиці саме тут опиняється більшість захищуваних оцінок: достатньо структуровані, щоб бути відтворюваними, достатньо гнучкі, щоб вловити те, що самі цифри пропустили б.

Чому це важливо: вибір методології — не косметика. Суто кількісна модель на неповних даних про клієнта дасть точне, але неправильне число, а суто якісна модель, яку веде недоукомплектована команда, дасть непослідовне. Жоден із цих режимів збою не проявляється, доки перевіряючий не попросить показати первинні докази.

Шаблони: початкова структура, а не заміна методології

Шаблон загальнофірмової оцінки ризику AML агрегує ризик за сегментами; шаблон оцінки ризику клієнта операціоналізує скоринг при онбордингу; шаблон оцінки ризику транзакції звʼязує відомі типології зі сценаріями моніторингу. Усі три — корисні початкові структури. Жоден із них не виконує реальну роботу.

Копіювання шаблону без коригування його ваг і факторів ризику під реальний бізнес установи дає документ, що виглядає комплаєнтним і спотворює реальну експозицію — що, можна аргументувати, гірше за відсутність задокументованої оцінки взагалі, оскільки створює хибний запис про due diligence, яка ніколи насправді не проводилася.

Частота оновлення й тригерні події

Більшість регуляторів очікують, як мінімум, щорічного періодичного перегляду. Цей мінімум варто сприймати саме як мінімум, а не як ціль. Конкретні тригерні події мають самостійно запускати оновлення незалежно від того, коли відбувся останній щорічний перегляд: суттєва зміна бізнес-моделі, розширення продуктової лінійки, вихід у нові юрисдикції, значуща правозастосовна дія будь-де в галузі, злиття, технологічна зміна чи період незвично швидкого зростання клієнтської бази.

Типові патерни збою

Статичні, застарілі моделі. Модель ризику, побудована один раз і не оновлена, пропускає поведінкові зсуви — у клієнтах, продуктах, юрисдикціях, — які роблять початковий бал неправильним місяці чи роки потому.

Слабка документація й аудиторський слід. Бал без простежуваного обґрунтування незахищуваний під регуляторною перевіркою, незалежно від того, наскільки точним він насправді може бути.

Розрив між оціненим ризиком і розгорнутими контролями. Категорія високого ризику, виявлена в оцінці, але не підкріплена відповідно суворим контролем, — це задокументована прогалина, яку установа вже визнала письмово, а саме це перевіряючий шукає в першу чергу.

Де саме верифікація вписується в модель

Кращий скоринговий софт вирішує реальну проблему: послідовність, інтеграцію між KYC-системами й моніторингом транзакцій, здатність оновлювати профіль по мірі зміни поведінки, а не чекати наступного річного циклу. Чого він не вирішує — це чи справді правдиві факти, що живлять цю модель. Бал ризику клієнта настільки хороший, наскільки хороша структура власності, на якій він побудований; бал географічного ризику настільки хороший, наскільки реально він відображає юрисдикційну експозицію, а не просто адресу у файлі; бал ризику каналу доставки мало що значить, якщо сам агент чи introducer за ним не був перевірений. Саме цей розрив — між добре налаштованою скоринговою моделлю й перевіреним фактом, що її живить, — і є місцем, де стоїть наша власна робота як розвідувальної фірми, поруч із моделлю, а не всередині неї.

Що перевіряти, щоб бал ризику мав сенс: практичний чекліст

Чотири фактори ризику вище настільки надійні, наскільки надійні конкретні факти за кожним із них. Ось що ми перевіряємо для кожного, і де автоматизований скоринг сам по собі зазвичай не дотягує.

Ризик клієнта — перевіряйте, хто справді стоїть за відносинами, а не лише хто заявлений.

• Підтверджуйте бенефіціарну власність через первинні документи, а не заяву самого клієнта — дивіться нашу роботу з бенефіціарної власності, де "проста" структура власності виявляється не такою простою
• Перевіряйте статус політично значущої особи для клієнта та його найближчого оточення, а не лише для номінального власника рахунку
• Перевіряйте, чи відповідає структура клієнта практичному визначенню компанії-оболонки — обмежена операційна активність поряд із багатошаровою власністю є патерном, а не самостійним червоним прапорцем, і він потребує людського прочитання

Ризик продукту й послуги — підтверджуйте, що контроль справді ловить те, чому продукт експонований.

• Перевіряйте, чи санкційний скринінг кореспондентських чи крипто-кастодіальних відносин ловить варіанти імен і транслітерації, а не лише точні збіги
• Підтверджуйте, що "чистий" результат перевірки негативних згадок у медіа відображає реальну відсутність висвітлення, а не пошук, який ніколи не запускався мовою, якою реально працює клієнт

Географічний ризик — перевіряйте юрисдикцію, що справді має значення, а не лише ту, що вказана у формі.

• Явно розділяйте місце реєстрації клієнта, маршрут транзакції та юрисдикцію бенефіціарної власності — бал, що спирається лише на реєстрацію, пропустить ризик, що сидить у двох інших
• Оперативно перекалібровуйте бал після зміни FATF-статусу юрисдикції; бал, не переглянутий після потрапляння в сірий список чи виключення з нього, — це задокументована прогалина в ту ж мить, коли хтось перевірить дату останнього перегляду

Ризик каналу доставки — перевіряйте посередника, а не лише політику каналу.

• Підтверджуйте власність і комплаєнс-історію агентської мережі чи стороннього introducer-а, перш ніж покладатися на їхні перевірки при онбордингу як на контроль
• Застосовуйте ту саму дисципліну ризик-орієнтованого due diligence до партнера каналу доставки, яку установа застосовує до власних клієнтів, — слабка ланка в каналі є слабкою ланкою в оцінці, незалежно від того, чи формально вона входить до її обсягу

Чому це важливо: ніщо з цього не замінює скорингову модель — воно її живить. Оцінка ризику, що правильно оцінює клієнта проти перевірених фактів, виконує свою роботу. Та, що впевнено оцінює клієнта проти неперевіреної заяви, видає точно прораховану неправильну відповідь — і саме так це прочитають того дня, коли регулятор запитає, як був підтверджений первинний факт.

AML risk assessment проти AML risk management

Оцінка виявляє й вимірює експозицію. Управління ризиком розгортає контролі, моніторинг і управлінські структури у відповідь на те, що виявила оцінка. Це послідовні, а не взаємозамінні поняття — установа може мати відмінну програму управління ризиком, побудовану на хибній оцінці, і в такому разі кожен контроль нижче за течією відкалібрований під неправильне число.

Часті запитання

Що входить в AML risk assessment?

Визначений набір категорій ризику (клієнт, продукт/послуга, географія, канал доставки), оцінка притаманного ризику, зважена скорингова модель, задокументоване мапування контролів, тестування ефективності контролів, розрахунок залишкового ризику, структурована матриця ризику та формальне затвердження керівництвом і радою директорів.

Яка різниця між AML risk assessment і оцінкою ризику клієнта?

AML risk assessment — це загальноінституційна вправа, що охоплює всі чотири фактори ризику по всьому бізнесу. Оцінка ризику клієнта — це один операційний результат цієї ширшої вправи, застосований при онбордингу й оновлюваний упродовж усіх відносин, — вужчий за обсягом, але напряму похідний від методології та ваг ширшої оцінки.

Чи AML risk assessment є обов'язковою?

Так, для будь-якої регульованої фінансової установи, що працює в рамках AML/CFT — банки, провайдери платіжних послуг, VASP і криптобіржі, фінтех-компанії та інші регульовані посередники мають підтримувати її, доведеною й актуальною, а не лише виготовленою один раз при отриманні ліцензії.

Чи можна автоматизувати AML risk assessment?

Частину — можна й варто: збір даних, розрахунки скорингу та узгодженість між системами дійсно виграють від автоматизації. Чого не можна автоматизувати — це підтвердження, що факти за балом справді правдиві: автоматизована модель оцінить заявлену структуру власності компанії-оболонки так само впевнено, як і легітимної компанії, якщо щось поза моделлю не перевірить, яка саме це компанія.

Що відбувається, якщо AML risk assessment неадекватна?

Регуляторне правозастосування дедалі частіше вказує безпосередньо на недоліки в рамці оцінки ризиків, а не розглядає її як фон для окремого збою контролю. На практиці це вилилося у великі штрафи навіть у юрисдикціях, що вважаються добре регульованими, — Центральний банк ОАЕ оштрафував обмінний пункт на 200 млн дирхамів (близько 54,45 млн доларів) у травні 2025 року саме за недоліки в контролях AML і протидії фінансуванню тероризму.

Як часто потрібно оновлювати AML risk assessment?

Як мінімум, щорічно — але це мінімум, а не ціль. Суттєва зміна бізнесу, розширення продуктової лінійки, вихід у нову юрисдикцію, значуща правозастосовна дія будь-де в галузі, злиття, технологічна зміна чи період швидкого зростання клієнтської бази — кожен із цих факторів має самостійно запускати перегляд, незалежно від того, де установа перебуває у своєму річному циклі.

‍