Належна перевірка клієнта в Україні: вимоги фінмоніторингу та ризик-орієнтований підхід

Компанія може мати чинну реєстрацію в ЄДР, але фактично контролюватися іншою особою. Клієнт може показати справжній документ, але не пояснити мету операцій або походження коштів. Автоматичний screening може не знайти прямого санкційного збігу, хоча ризик виникає через власника, представника чи пов’язану компанію.

Customer due diligence (CDD), або належна перевірка клієнта (НПК), потрібна, щоб відрізнити формальні дані від підтвердженого профілю клієнта. Вона дає підстави погодити ділові відносини, запросити додаткові докази, посилити моніторинг, передати кейс на розгляд відповідальної особи або відмовити клієнту.

Матеріал враховує редакцію Закону України №361-IX, чинну станом на 31 липня 2026 року. Конкретні процедури залежать від виду суб’єкта, регулятора та обставин операції, тому цей текст не замінює юридичної консультації.

Що таке належна перевірка клієнта

За Законом №361-IX належна перевірка охоплює не одну дію, а кілька пов’язаних заходів. Суб’єкт має:

• ідентифікувати та верифікувати клієнта або його представника;
• встановити кінцевого бенефіціарного власника (КБВ) або факт його відсутності;
• отримати й зрозуміти структуру власності юридичної особи та перевірити КБВ;
• з’ясувати мету й характер майбутніх ділових відносин або разової операції;
• постійно зіставляти операції з відомостями про клієнта, його діяльність і ризик-профіль;
• підтримувати документи та відомості в актуальному стані.

Отже, ідентифікація відповідає на питання «хто це?», але НПК також має пояснити, хто контролює компанію, навіщо клієнту певний продукт, якою має бути його звичайна активність і чи узгоджуються заяви з незалежними даними.

Обсяг кожної дії визначають з урахуванням ризику, суми й регулярності операцій, мети та тривалості відносин. Проте ризик-орієнтований підхід не дає права пропустити складову перевірки лише тому, що клієнт здається знайомим або має українську реєстрацію.

Хто має проводити НПК в Україні

Юридична належна перевірка за Законом №361-IX є обов’язком суб’єктів первинного фінансового моніторингу (СПФМ). До них належать фінансові установи та визначені законом нефінансові професії й види бізнесу — у тих ситуаціях, які охоплює закон. Серед них можуть бути банки, страхові та платіжні компанії, аудитори, бухгалтери, нотаріуси, адвокати, рієлтори, гральний сектор та інші визначені суб’єкти.

Цей перелік не варто застосовувати без перевірки контексту. Для банків діє Положення НБУ №65, для небанківських установ під наглядом НБУ — Положення №107. Інші сектори мають своїх регуляторів, правила та винятки.

Компанія, яка не є СПФМ, також може перевіряти клієнтів і контрагентів. Для неї це може бути частиною KYC, санкційного контролю, договірного захисту або управління репутаційними ризиками. Однак добровільну бізнес-перевірку не слід подавати як повний законодавчий обов’язок із фінмоніторингу.

Коли належна перевірка є обов’язковою

Для СПФМ закон передбачає кілька основних підстав для НПК:

• встановлення ділових відносин, крім окремих вузьких винятків;
• поява підозри щодо відмивання коштів, фінансування тероризму або фінансування розповсюдження зброї масового знищення;
• платіжна операція, зокрема міжнародна, без відкриття рахунку;
• операція з віртуальними активами на суму від 30 000 грн;
• сумнів у достовірності чи повноті ідентифікаційних даних, отриманих раніше;
• разова операція без ділових відносин на суму від порога, визначеного статтею 20 Закону;
• кілька пов’язаних операцій, які разом досягають відповідного порога, якщо це випливає з оцінки ризику.

Тому твердження «перевірка починається лише від 400 000 грн» неправильне. Підозра не має мінімальної суми, а для окремих платіжних операцій і віртуальних активів діють спеціальні правила.

Водночас не кожна операція від 400 000 грн є пороговою фінансовою операцією. За статтею 20 потрібні одночасно сума від 400 000 грн і щонайменше одна визначена законом ознака, наприклад готівкова форма, переказ за кордон, участь PEP або зв’язок із певною юрисдикцією. Для організаторів азартних ігор і лотерей передбачено інший сумовий поріг. Порогова та підозріла операції — різні юридичні категорії.

Що потрібно перевірити

Набір доказів залежить від типу клієнта, продукту, географії та ризику. Збирати більше документів без розуміння, яку саме обставину вони підтверджують, — не найкраща практика.

Якщо клієнт — фізична особа

Спочатку встановлюють особу та перевіряють ідентифікаційні дані за офіційними документами або надійними джерелами. Якщо клієнт діє через представника, потрібно перевірити представника і його повноваження. Далі з’ясовують мету відносин, очікувані операції, пов’язані юрисдикції та інші обставини, що впливають на ризик.

Залежно від правових вимог і профілю клієнта можуть знадобитися відомості про джерело коштів або статків. Окремо перевіряють санкційні збіги, статус політично значущої особи та релевантні негативні матеріали. Збіг прізвища або імені ще не доводить, що йдеться про ту саму людину: потрібно зіставити дату народження, громадянство, документи, посади, адреси й пов’язаних осіб.

Якщо клієнт — юридична особа

Для компанії перевіряють реєстрацію, актуальний статус, керівників, уповноважених представників, заявлений вид діяльності та фактичну операційну присутність. Після цього простежують власність і контроль до фізичної особи — beneficial owner, або кінцевого бенефіціарного власника.

Частка від 25% капіталу або голосів є важливою ознакою прямого вирішального впливу, але формальна частка — не єдиний критерій. Контроль може виникати через право призначати керівництво, корпоративні угоди, пов’язані компанії, трасти, номінальних власників або інші механізми. Формальний посередник не стає КБВ лише тому, що його ім’я зазначене в реєстрі.

Закон прямо забороняє СПФМ покладатися виключно на ЄДР при встановленні КБВ. Потрібно отримати структуру власності, зрозуміти логіку контролю та вжити обґрунтованих заходів для перевірки. Для складних випадків корисна державна Методологія визначення КБВ. Дані ЄДР залишаються важливим джерелом, але не остаточною відповіддю.

Контекст відносин і профіль ризику

Документи потрібно зіставити з бізнес-логікою. Compliance-команда має зрозуміти:

• який продукт чи послугу хоче отримати клієнт;
• чому він обрав саме цю компанію або юрисдикцію;
• які суми, частота, контрагенти й країни будуть типовими;
• чи підтверджують незалежні джерела заявлену діяльність;
• чи відповідає походження коштів або статків обставинам клієнта;
• чи немає прихованих зв’язків із санкційними, кримінальними або регуляторними ризиками.

Такі питання перетворюють набір реєстраційних записів на робочий ризик-профіль.

Спрощені, звичайні та посилені заходи

Українська система фінмоніторингу ґрунтується на ризик-орієнтованому підході. Це не три готові пакети документів, однакові для всіх секторів. Йдеться про глибину й частоту заходів, пропорційних установленому ризику.

Спрощені заходи

Спрощені заходи можливі лише тоді, коли закон їх допускає, а СПФМ підтвердив низький ризик. Це не звільняє від ідентифікації та не скасовує постійний моніторинг. Якщо з’являється підозра, суперечність або новий ризик, спрощений підхід більше не відповідає ситуації.

Звичайний обсяг НПК

За відсутності підтвердженого низького чи високого ризику виконують базові складові НПК: перевіряють клієнта і представника, встановлюють КБВ, розуміють мету відносин, оцінюють ризик та надалі відстежують активність. Конкретні докази визначає внутрішня процедура з урахуванням галузевих вимог.

Посилені заходи

Посилені заходи належної перевірки обов’язкові за високого ризику. Підставами можуть бути непрозора багаторівнева власність, ризикові юрисдикції, суперечливі документи, незрозуміле походження коштів, нетипова активність, достовірні негативні матеріали або зв’язки, які потребують додаткового аналізу.

Посилення може означати глибше дослідження структури контролю, додаткові докази джерела коштів чи статків, погодження керівника, коротший інтервал перегляду та уважніший моніторинг. Дія має відповідати конкретному ризику. Додатковий документ без пояснення суперечності не робить перевірку сильнішою.

PEP і санкції: збіг ще не означає рішення

Politically exposed person (PEP), або політично значуща особа, потребує передбачених законом додаткових заходів. Серед них — система виявлення PEP або PEP-КБВ, належне погодження відносин, встановлення джерела статків і коштів та поглиблений моніторинг.

Водночас PEP-статус не доводить порушення і не повинен автоматично вести до найвищого ризику чи відмови. Національний банк окремо наголошує, що установи мають оцінювати конкретні фактори та застосовувати пропорційні заходи.

Із санкціями логіка інша. Спочатку потрібно підтвердити, що запис стосується саме клієнта, його КБВ або пов’язаної сторони, а також перевірити непрямий контроль. Підтверджений санкційний збіг може створювати окремі правові обмеження, обов’язки щодо замороження активів або повідомлення. Його не можна звести лише до підвищення внутрішнього ризик-бала.

Як провести належну перевірку клієнта

Практична НПК має створювати зрозумілий шлях від запиту до рішення, а не лише папку з файлами.

1. Визначте клієнта й характер відносин. Зафіксуйте продукт, очікувану активність, юрисдикції та роль кожної сторони. Це визначає, які факти потрібно довести.
2. Установіть застосовні вимоги. Перевірте, чи є компанія СПФМ, який регулятор відповідає за сектор, які правила діють для конкретної операції та чи є транскордонні обмеження.
3. Зберіть потрібні відомості. Отримайте ідентифікаційні дані, корпоративні документи, підтвердження повноважень, структуру власності, опис мети відносин і очікуваних операцій.
4. Перевірте дані через незалежні джерела. Зіставте заяви з державними реєстрами, офіційними документами та іншими надійними джерелами. Оцініть дату, повноту й обмеження кожного джерела.
5. Простежте власність і контроль. Дійдіть через усі корпоративні рівні до фізичних осіб. Позначте номінальні зв’язки, замкнені структури, розбіжності та юрисдикції з обмеженим доступом до даних.
6. Перевірте ризикові сигнали. Підтвердьте або відкиньте санкційні та PEP-збіги, перевірте регуляторні дії, судові справи й достовірні негативні згадки. Для іноземного клієнта можуть знадобитися локальні мови та джерела.
7. Зіставте факти з поясненням клієнта. Діяльність, фінансування, очікувані платежі та географія мають складатися в послідовну картину. Невідповідність — це питання для перевірки, а не автоматичний доказ злочину.
8. Ухваліть і зафіксуйте рішення. Погодьте клієнта, установіть умови, запросіть додаткові докази, застосуйте посилені заходи або відмовте. Запишіть, на яких фактах ґрунтується рішення, які прогалини залишилися та що стане тригером нового перегляду.

Автоматичні інструменти допомагають зібрати записи та знайти сигнали. Якщо джерела суперечать одне одному або власність залишається непрозорою, KYC Compliance та перевірка клієнтів з аналітичною перевіркою можуть дати контекст для внутрішнього рішення.

Чим CDD відрізняється від KYC і ширшого due diligence

Універсальної межі між KYC і CDD немає. KYC часто називають ширший процес знайомства з клієнтом під час онбордингу та подальшого моніторингу. CDD може позначати конкретні заходи з установлення особи, власності, мети відносин і ризику. У практичних документах ці терміни іноді використовують майже як синоніми.

Важливіше не назва, а зміст процедури. НПК за Законом №361-IX має точний юридичний обсяг для СПФМ. Ширша корпоративна перевірка компанії може також охоплювати фінанси, судові спори, активи, операційні можливості та репутацію. Перевірка третіх сторін зосереджується на постачальниках, агентах, підрядниках та інших зовнішніх зв’язках.

Чому НПК не завершується після онбордингу

Постійний моніторинг потрібен, щоб перевіряти, чи відповідають операції знанням про клієнта, його бізнес і ризик-профіль. За потреби аналізують джерело коштів. Документи й відомості підтримують актуальними протягом усіх ділових відносин.

Новий перегляд можуть викликати:

• зміна КБВ, акціонерів, директора або представника;
• поява нової юрисдикції, продукту чи виду діяльності;
• закінчення строку дії документа або суперечність у даних;
• новий санкційний чи PEP-сигнал;
• операція, яка не відповідає заявленій меті або звичайній поведінці;
• суттєвий судовий спір, регуляторний захід чи достовірний негативний матеріал;
• зміна масштабу або характеру відносин.

Єдиного інтервалу перевірки для всіх СПФМ немає. Частоту визначають профіль ризику, сектор, продукт і правила регулятора. Високий ризик зазвичай означає глибший і частіший перегляд, але навіть низькоризиковий клієнт потребує механізму виявлення суттєвих змін.

Документи, записи й дані щодо НПК, операцій, відмов, аналізу та листування зберігають щонайменше п’ять років після припинення ділових відносин або завершення разової операції. Інші галузеві чи архівні норми можуть установлювати довший строк.

Що робити, якщо перевірка виявила проблему

Нез’ясована розбіжність не доводить відмивання коштів, але обмежує рішення, яке можна обґрунтовано ухвалити. Команда може запросити додаткові документи, перейти до посилених заходів, установити обмеження або передати кейс відповідальному за фінмоніторинг і юридичній функції.

У визначених статтею 15 випадках СПФМ зобов’язаний відмовити у встановленні чи підтриманні відносин або проведенні операції. Серед підстав — неможливість ідентифікації чи верифікації, неможливість установити КБВ, неприйнятно високий ризик, ненадання потрібних відомостей або подання неправдивої чи оманливої інформації. Закон також передбачає повідомлення Держфінмоніторингу про таку відмову в установлений строк.

Підозріла операція — окрема категорія. Вона може мати будь-яку суму, якщо є підозра або достатні підстави підозрювати зв’язок із відмиванням коштів, фінансуванням тероризму чи розповсюдження зброї масового знищення. Не кожна відмова автоматично доводить підозрілу операцію, хоча обидві ситуації можуть створювати окремі обов’язки повідомлення.

Якщо автоматичний alert указує на складну фінансову схему, приховані зв’язки або активи, окреме AML-розслідування може допомогти встановити контекст. Остаточне регуляторне рішення й відповідальність залишаються за відповідним СПФМ.

Типові помилки під час перевірки клієнта

Найчастіше процес слабшає не через відсутність ще однієї бази даних, а через неправильну інтерпретацію вже знайденої інформації.

• ЄДР сприймають як остаточний доказ КБВ. Реєстр потрібно зіставляти зі структурою власності та іншими джерелами.
• Перевіряють лише прямого акціонера. Вирішальний вплив може проходити через кілька компаній, угоди або номінальних осіб.
• Кожен screening-збіг вважають підтвердженим. Потрібно зіставити ідентифікатори та відрізнити реальну особу від однофамільця.
• Ігнорують варіанти написання імен і контекст. Різні транслітерації дають різні результати, а формально повний файл не пояснює незвичну операцію.
• Не фіксують підставу рішення. Наступна перевірка має показати, чому ризик погодили та які умови встановили.
• Не визначають тригери оновлення. Перевірка швидко застаріває, якщо команда не відстежує зміни власності, санкцій і діяльності.

Яким має бути результат НПК

Якісна перевірка завершується не позначкою «збігів немає», а обґрунтованим рішенням. У матеріалах має бути видно:

• які факти підтверджені та якими джерелами;
• які розбіжності знайдені й як їх пояснено;
• що не вдалося встановити;
• який ризик створюють прогалини;
• чи можна погодити клієнта;
• які умови, додаткові документи або моніторинг потрібні;
• коли та за яких подій провести повторний перегляд.

Molfar Intelligence підтримує команди, коли стандартного screening недостатньо: за непрозорої власності, кількох юрисдикцій, суперечливих записів або ризикових зв’язків. Така робота доповнює внутрішній KYC чи AML-процес, але не замінює рішення відповідальної функції.

Поширені запитання

Чи достатньо перевірити компанію в ЄДР?

Ні. Для СПФМ закон прямо забороняє покладатися лише на ЄДР при встановленні КБВ. Реєстрові дані потрібно зіставити зі структурою власності, корпоративними документами та іншими надійними джерелами.

Коли потрібні посилені заходи?

Вони обов’язкові за високого ризику. Конкретний обсяг залежить від сектору й регулятора, але може включати додаткові докази, глибше встановлення контролю, перевірку джерела коштів або статків, погодження керівника та частіший моніторинг.

Чи означає PEP-статус автоматичну відмову?

Ні. PEP-статус вимагає спеціальних заходів, але сам по собі не є доказом правопорушення. Рішення має ґрунтуватися на конкретних факторах ризику та підтверджених обставинах.