KYB проти KYC: у чому різниця?

Know Your Business (KYB) і Know Your Customer (KYC) звучать як варіації однієї й тієї самої ідеї — і певною мірою так і є: обидва процеси відповідають на те саме питання, перш ніж компанія візьме на себе ризик співпраці. Але перевіряють вони різні об'єкти, спираються на різні джерела й провалюються по-різному, коли комплаєнс-програма пропускає один процес заради іншого.

Ключові висновки

• KYC перевіряє людину; KYB перевіряє юридичну особу, від імені якої ця людина діє. Більшості регульованих відносин потрібні обидва процеси, а не один на вибір.
• KYC спирається на державні документи, що посвідчують особу, і бази даних ідентифікації. KYB — на реєстри компаній, подані документи та розкриття структури власності.
• Регулятори у США, ЄС і Британії вимагають тієї чи іншої форми обох перевірок у фінансовому секторі, хоча конкретні правила й пороги відрізняються за юрисдикцією.
• Ручні версії обох процесів — повільні й непослідовні; більшість комплаєнс-команд зараз поєднують автоматичний скринінг з ручною перевіркою аналітиком для всього, що не проходить чисто.
• KYB-перевірка, яка зупиняється на реєстрі, може пропустити найважливіший шар: хто насправді контролює компанію і які ще зв'язки має ця людина.

Що таке KYC?

Know Your Customer — це процес підтвердження того, що людина є тим, за кого себе видає, і формування уявлення про ризик, який вона несе, — до початку співпраці і протягом усього її терміну. Це індивідуальна половина комплаєнсу проти відмивання грошей: банки, страхові компанії, інвестиційні фірми, платіжні сервіси й гемблінг-оператори проводять ту чи іншу версію цієї перевірки, зазвичай тому, що цього вимагає регулятор.

Стандартна KYC-перевірка збирає ім'я, дату народження та адресу; звіряє ці дані з державним документом, що посвідчує особу; перевіряє людину за санкційними списками, реєстрами публічних діячів (PEP) та негативними згадками в медіа. Далі йде оцінка ризику за рівнями: роздрібний клієнт, що відкриває поточний рахунок, отримує легшу перевірку, ніж особа з високим статком, яка переміщує великі суми через кілька юрисдикцій, — глибина перевірки має відповідати тому, що реально поставлено на карту.

Це не одноразова подія у правильно вибудованій програмі. Постійний моніторинг транзакцій фіксує момент, коли профіль ризику клієнта змінюється вже після онбордингу — раптове зростання обсягу транзакцій, активність у високоризиковому напрямку чи поява імені в санкційному списку мають запускати новий перегляд, а не чекати на планову перевірку.

Що таке KYB?

Know Your Business робить ту саму роботу для компанії, а не для людини. Там, де KYC запитує "чи ця людина справді та, за кого себе видає, і чи вона становить ризик", KYB запитує "чи це реальний, працюючий бізнес, і хто насправді за ним стоїть".

Друге питання складніше. KYB-перевірка починається з базових корпоративних фактів — реєстраційний номер, дата реєстрації, юридична адреса, історія подання звітності, — але справжня робота полягає у відстеженні власності: хто директори, хто акціонери, і хто кінцеві бенефіціарні власники (UBO), коли ланцюг власності розплутано. Більшість регуляторних рамок визначають UBO як будь-кого, хто прямо чи опосередковано володіє 25% і більше компанії, хоча поріг відрізняється за юрисдикцією і знижується для секторів із вищим ризиком.

Структури з багаторівневим володінням, номінальними директорами чи розподілом власності точно нижче порогу розкриття — саме та закономірність, яку KYB покликаний ловити. Холдингова компанія в одній юрисдикції, що володіє дочірньою компанією в другій, яка своєю чергою володіє компанією, що підписує контракт, — цілком легальна корпоративна структура в багатьох випадках. І та сама схема, яку недобросовісний гравець використовує, щоб ім'я реального власника не з'явилося в жодному окремому реєстрі. Саму компанію і кожного, кого виявлено в цьому ланцюзі власності, потім перевіряють за санкційними списками, кримінальними реєстрами й негативними згадками — так само, як людину під час KYC.

У чому головна різниця

Різниця напрямкова, а не процедурна. KYC починає з людини й запитує, чи можна їй довіряти. KYB починає з юридичної особи й мусить рухатися у зворотному напрямку до людей, які її контролюють, перш ніж на те саме питання можна буде відповісти. KYB-перевірка, яка так і не доходить до конкретної людини — та, що зупиняється на "акціонер — це холдингова компанія, зареєстрована в юрисдикції з низьким рівнем розкриття", — насправді не відповіла на питання, заради якого її проводили.

На практиці більшості процесів онбордингу потрібні обидва процеси. Корпоративний клієнт приносить із собою власну вимогу KYB (перевірити компанію) і вимогу KYC для кожного, хто уповноважений діяти від імені рахунку (перевірити людину, що підписує). Банк, що онбордить нового корпоративного клієнта, проведе KYB щодо самої компанії і KYC щодо кожного директора чи підписанта з повноваженнями за рахунком — пропустити один із процесів означає лишити половину відносин неперевіреною.

Регуляторний контекст

FATF (Financial Action Task Force) встановлює базу, на якій будується більшість національних систем регулювання: 40 рекомендацій щодо належної перевірки клієнтів, прозорості бенефіціарної власності та постійного моніторингу, які країни-члени FATF мають впровадити в національне законодавство.

У США вимоги KYC йдуть від Patriot Act 2001 року, посилені у 2018-му правилом належної перевірки клієнтів (Customer Due Diligence Rule) від FinCEN, яке прямо вимагає від фінансових установ ідентифікувати бенефіціарних власників, що володіють 25% і більше юридичної особи-клієнта, — KYB-складова, добудована до закону епохи KYC. ЄС керує режимом протидії відмиванню грошей через серію AML-директив, впроваджених на рівні держав-членів, доповнених вимогами GDPR щодо обробки даних ідентифікації та власності; над більш уніфікованим загальноєвропейським зведенням правил AML працюють уже кілька років. Британія довгий час дзеркалила рамки ЄС, а після Brexit самостійно вносить зміни до власного AML-регулювання, спираючись на власний реєстр бенефіціарної власності (Companies House) як на ключове джерело даних для KYB.

За межами трансатлантичних рамок картина схожа за формою, якщо не за деталями: Управління монетарної влади Сінгапуру (MAS) і канадська FINTRAC працюють за режимами, узгодженими з FATF, із власними реєстрами бенефіціарної власності й порогами звітності, і дедалі більше юрисдикцій рухаються у бік публічних реєстрів UBO замість тих, що доступні лише регуляторам і правоохоронцям.

Жодна з цих систем не статична. Пороги розкриття бенефіціарної власності, визначення PEP і тригери посиленої перевірки переглядають достатньо часто, щоб комплаєнс-програма, побудована під сьогоднішні правила, потребувала процесу відстеження завтрашніх змін, а не разового документа політики.

Як працює KYC-перевірка

Стандартна KYC-перевірка проходить п'ять кроків:

1. Збір ідентифікаційних даних — повне юридичне ім'я, дата народження, адреса, відомі псевдоніми.
2. Верифікація особи — звірка цих даних з державним документом, паспортом чи еквівалентом, часто з перевіркою на "живість" (liveness check), щоб підтвердити, що документ належить саме цій людині.
3. Скринінг за списками спостереження — перевірка людини за санкційними списками, базами правоохоронних органів і глобальними watchlists.
4. Перевірка статусу PEP — публічні діячі несуть підвищений ризик корупції та хабарництва через свою позицію, що зазвичай запускає посилену перевірку, а не автоматичну відмову.
5. Оцінка бекграунду та фінансової історії — формування рейтингу ризику, який визначає, наскільки інтенсивним буде подальший моніторинг відносин.

Як працює KYB-перевірка

KYB-перевірка проходить паралельний, але більш багатошаровий процес:

1. Збір базових корпоративних даних — реєстраційний номер, дата реєстрації, юридична адреса, історія подання звітності.
2. Звірка з офіційними записами — перехресна перевірка цих даних з реєстром компаній та іншими державними записами: юридична адреса, яка виявляється порожньою, чи історія подання з незрозумілими прогалинами — уже сигнал.
3. Ідентифікація кінцевих бенефіціарних власників — розплутування структури власності до конкретних людей, а не проміжних холдингових компаній.
4. Скринінг компанії та її власників — перевірка кожної виявленої особи й компанії за санкційними списками та державними watchlists.
5. Перевірка статусу PEP по всьому ланцюгу власності — публічний діяч на один рівень вище компанії, що підписує контракт, усе одно є ризиком, який треба розкрити.
6. Постійний моніторинг — транзакції, негативні згадки й зміни в реєстрі відстежуються й після онбордингу, а не лише до нього.

Переваги й труднощі

За правильного виконання обидва процеси дають кілька конкретних результатів:

• Нижча експозиція до шахрайства, порушень санкційного режиму й відмивання грошей.
• Обґрунтована документальна історія, якщо регулятор пізніше запитає, чому відносини були схвалені.
• Ясність щодо контрагента — з ким компанія насправді має справу, що має комерційне значення навіть там, де жодне регулювання цього не вимагає.
• Менше несподіванок згодом, бо проблему, виявлену на етапі онбордингу, дешевше залишити позаду, ніж ту, що виявляється вже під час відносин.

Складність — у вартості й тертях. Ручні KYC- та KYB-перевірки повільні, вимагають багато документів і непослідовні від аналітика до аналітика, і це тертя напряму позначається на термінах онбордингу й відмовах клієнтів завершити заявку. Саме в цю прогалину останніми роками зайшла автоматизація.

Автоматизація: eKYC та далі

Електронний KYC (eKYC) та автоматизовані інструменти скринінгу для KYB тепер беруть на себе обсяжну роботу — верифікацію документів, біометричні перевірки й перевірку на "живість", звірку з базами даних, санкційний скринінг — зі швидкістю й послідовністю, недосяжними для ручного процесу, і чисто масштабуються при сплеску кількості заявок. З боку KYB API-запити до реєстрів дозволяють отримувати дані про реєстрацію та подану звітність за секунди замість днів, які раніше займав ручний пошук у реєстрі. Автоматична оцінка ризику додає ще один шар, позначаючи заявки, які потребують погляду людини, замість того щоб пропускати все через ту саму ручну чергу.

Чого автоматизація не замінює — це судження щодо випадків, які вона позначила. Алгоритм санкційного списку повертає нечітке (fuzzy) співпадіння імені; вирішити, чи це співпадіння реальне, випадкове чи варте уваги, — досі рішення людини. І саме це рішення визначає, чи автоматизація справді знизила ризик, чи просто перемістила вузьке місце далі процесом.

Типові червоні прапорці

Кілька закономірностей трапляються достатньо часто і в KYC-, і в KYB-перевірках, щоб виокремити їх окремо:

• Відмова чи небажання розкривати бенефіціарних власників — у легального бізнесу рідко є причина тримати структуру власності непрозорою.
• Юридичні адреси, спільні для десятків непов'язаних компаній — типова ознака сервісів реєстрації shell-компаній.
• Розподіл власності точно нижче порогу розкриття — наприклад, чотири акціонери з часткою по 24%, коли поріг звітності про UBO — 25%.
• Документи, що проходять автоматичну перевірку, але не збігаються з заявленою історією заявника — розбіжність між "чистим" документом і суперечливим бекграундом — уже сигнал.
• Раптові зміни в обсязі чи географії транзакцій після онбордингу — саме те, що покликаний ловити постійний моніторинг, а не одноразовий скринінг.

Чого не покаже реєстр

Реєстр компаній підтвердить, що юридична особа існує, коли її зареєстровано і хто вказаний директором. Він не скаже, що вказаний директор — номінальна особа, яка сидить у правліннях сорока інших компаній, що юридична адреса — це сервіс пересилки пошти, спільний для десятка shell-компаній, чи що "непов'язаний" контрагент з попередньої угоди має того самого бенефіціарного власника, що й компанія, яку перевіряють зараз. Ці зв'язки лежать поза межами будь-якої окремої бази даних — і це саме та закономірність, що відрізняє легальний малий бізнес від фасаду.

Такий розрив трапляється часто і в українській практиці: компанія перевіряє нового постачальника обладнання для оборонного виробництва, зареєстрованого в Кіпрі. KYB-перевірка на папері виглядає чисто — компанія зареєстрована три роки тому, звітність подається вчасно, документ директора проходить перевірку. Але юридична адреса виявляється спільною для десятків непов'язаних компаній, а єдиний акціонер — холдингова компанія, зареєстрована в юрисдикції, що не вимагає розкриття власності нижче 50%. Розплутати цей ланцюг — знайти людину, яка реально стоїть за холдингом, перевірити, де ще з'являється це ім'я, і підтвердити, що жодна ланка не пов'язана з підсанкційним інтересом чи з рф, — саме така робота стоїть за нашими послугами перевірки третіх сторін і санкційної перевірки: вони йдуть за межі реєстру, в публічно доступні джерела, яких не покаже жодне звірення з базою. Та сама логіка працює і з боку людини в тій самій угоді — наша послуга KYC compliance перевіряє підписанта на непублічні зв'язки й негативні згадки, яких не виявить стандартна перевірка документа.

Часті запитання

Чи є KYB обов'язковим за законом?

‍У більшості регульованих секторів — банкінг, платежі, страхування, інвестиційні послуги — так, у межах ширших зобов'язань щодо протидії відмиванню грошей. Конкретні вимоги залежать від юрисдикції й галузі.

Чи потрібні мені і KYC, і KYB?

‍Якщо у ваших відносинах бере участь корпоративний клієнт — майже напевно так. KYB перевіряє компанію; KYC перевіряє людину, уповноважену діяти від її імені. Пропустити один із процесів — лишити прогалину, якою може скористатися регулятор або недобросовісний контрагент.

Яка різниця між KYB і KYC одним реченням?

‍KYC підтверджує, хто ця людина; KYB підтверджує, хто насправді стоїть за бізнесом.

Як часто потрібно повторювати KYB-перевірку?

‍Структури власності змінюються. Найкраща практика — розглядати KYB як процес постійного моніторингу, а не разовий крок онбордингу, з періодичною повторною перевіркою й постійним скринінгом негативних згадок і санкцій між ними.