Политика AML, CFT и KYC

Что это за документ, а что — нет

Здесь публично изложено, как Conexus Crypto исполняет обязанности по Закону о Центре финансовой разведки № 38 от 2001 года (FIC Act) и правила против отмывания денег и финансирования терроризма, которые действуют для поставщика услуг с криптоактивами в ЮАР. Текст написан для клиентов, а не для аудиторов. Он существует, чтобы ни один вопрос на онбординге не стал для вас неожиданностью.

Это не наша Программа управления рисками и комплаенса. RMCP утверждает совет директоров, и её не публикуют: документ, который показывает публике, какие именно признаки запускают проверку, показывает это и тем, кому знать не следует. Опубликованы устройство программы, законное основание каждой обязанности и то, что каждая обязанность значит для вас на практике.

Юридической консультации здесь нет, и всё законодательство ЮАР против отмывания денег этот текст не пересказывает. Где назван закон — читайте закон, если вопрос для вас важен.

Статус: подотчётное учреждение по пункту 22

Поставщиков услуг с криптоактивами внесли в Приложение 1 к FIC Act пунктом 22 с 19 декабря 2022 года. С этой даты бизнес, который меняет криптоактивы на фиат, меняет один криптоактив на другой, переводит криптоактивы или хранит их для клиента, — подотчётное учреждение в той же категории закона, что банк, адвокат с деньгами клиентов и валютный трейдер.

Статус — не значок, а список обязанностей. У каждой свой номер статьи и своё наказание за неисполнение:

• Встать на учёт в Центре финансовой разведки и отчитываться через платформу goAML.
• Разработать, описать, поддерживать и применять Программу управления рисками и комплаенса по ст. 42.
• Установить и проверить личность каждого клиента по ст. 21, а при повышенном риске применить усиленные меры по ст. 21A.
• Понимать бенефициарное владение юридическими лицами и трастами.
• Вести постоянную проверку и мониторинг операций по ст. 21C.
• Хранить записи пять лет по ст. 22 и 23.
• Подавать отчёты о наличных операциях по ст. 28, отчёты об имуществе, связанном с терроризмом, по ст. 28A и отчёты о подозрительных и необычных операциях по ст. 29.
• Назначить ответственного за комплаенс и обучать сотрудников по ст. 42A.
• Применять Travel Rule из Директивы № 9 от 2024 года.

Учёт в Центре финансовой разведки и доступ к goAML оформлены на зарегистрированное наименование компании — уточняется. Лицензии и регистрационные номера со ссылками на публичные реестры собраны на странице регуляторного статуса: проверить нас можно там, ничего у нас не спрашивая.

Программа управления рисками (ст. 42)

Ст. 42 требует от подотчётного учреждения письменной RMCP, утверждённой советом директоров или высшим органом управления. Это не политика, которую комплаенс-офицер пишет один и кладёт в папку. Программа должна описывать так, чтобы это можно было проверить, как учреждение выявляет и оценивает риск отмывания денег и финансирования терроризма и что делает при каждой оценке.

Наша оценивает риск по четырём измерениям:

• Риск клиента — физическое лицо или юридическое, сложность структуры владения, публичная должность у клиента или у связанного с ним лица, негативные упоминания в СМИ и то, какую часть рассказа клиента деск может подтвердить независимо.
• Географический риск — страна проживания и налогового резидентства, юрисдикции, через которые прошли средства, и есть ли среди них те, к кому FATF призвала принять меры или которые под усиленным мониторингом.
• Риск продукта и операции — актив, направление, размер относительно заявленного профиля, число контрагентов и то, участвует ли самостоятельно управляемый кошелёк или регулируемый контрагент.
• Риск канала — пришёл клиент на онбординг в офис в Кейптауне или проходил его удалённо, и каким путём дошли документы.

Оценка задаёт глубину проверки, необходимость одобрения старшего руководства, частоту обновления досье и то, что трейдер вправе исполнить без эскалации. Программу пересматривают не реже раза в год и раньше, если этого требуют закон, директива или собственный опыт деска. Изменения заносят в протокол.

Проверка клиента (ст. 21)

Ст. 21 запрещает начинать деловые отношения и заключать разовую сделку, пока личность клиента не установлена и не проверена. Усмотрения здесь нет, исключения для хорошего клиента нет. Деск, который предлагает пропустить этот шаг, либо нарушает закон, либо не тот, за кого себя выдаёт.

Для физического лица базовый набор такой: полное имя, дата рождения, номер удостоверения личности ЮАР или паспорта, гражданство, адрес проживания, контакты, налоговый номер, если он есть, а также цель и предполагаемый характер отношений. Личность сверяют с самим документом и, где это возможно, с независимыми данными. Адрес подтверждает документ, отличный от того, которым подтверждена личность.

Для юридического лица добавляются зарегистрированное наименование, регистрационный номер, юридический и фактический адрес, характер деятельности, личности всех, кто вправе действовать от имени организации, и всех, кто её контролирует. Для траста — трастовый акт, доверительные управляющие, учредитель и названные или определимые бенефициары.

Происхождение средств входит в стандартную проверку, а не идёт довеском. Деск спрашивает, откуда взялись рэнды или криптоактив именно в этой сделке, и просит документ: расчётный лист, договор купли-продажи, решение компании, выписку с биржи, историю кошелька. Ответ должен сходиться со всем остальным в досье.

Практическая часть — какие документы готовить, в каком формате и сколько на самом деле занимает проверка — на странице онбординга и KYC.

Усиленная проверка (ст. 21A)

Ст. 21A требует дополнительных мер там, где риск отмывания денег или финансирования терроризма выше обычного. Деск применяет усиленную проверку, в частности когда:

• клиент, бенефициарный владелец или его близкий связан с публичной должностью — см. санкции и публичные должностные лица;
• структура владения непрозрачна, разнесена по нескольким юрисдикциям или построена на номинальных держателях;
• клиент, контрагент или средства связаны с юрисдикцией под усиленным мониторингом FATF или под призывом к действию;
• операция заметно крупнее, быстрее или устроена иначе, чем заявленный клиентом профиль;
• блокчейн-аналитика относит входящие средства прямо или через один переход к даркнет-площадке, адресу вымогателей, санкционному лицу, известному мошенническому кластеру или миксеру;
• клиент проходил онбординг удалённо, и что-то в досье не удалось подтвердить независимо;
• публикации в СМИ или открытые источники поднимают вопрос, на который клиент ещё не ответил.

На практике усиленные меры означают: происхождение капитала вдобавок к происхождению средств, документы вместо заявления, одобрение старшего руководства до начала или продолжения отношений, более жёсткие лимиты по операциям и более короткий цикл пересмотра досье. Это медленнее. Так и задумано.

Бенефициарное владение

Если клиент — юридическое лицо, партнёрство или траст, деск обязан дойти до физических лиц, которые в конечном счёте владеют им или контролируют его. Цепочку владения проходят до физических лиц, и каждый уровень фиксируют в досье.

Если ни одно физическое лицо не проходит по доле владения, деск устанавливает тех, кто контролирует организацию иными средствами, а если и таких нет — тех, кто занимает высшие управленческие должности. Ответ «компания владеет сама собой» и цепочка, которая обрывается в юрисдикции, ничего не публикующей, не принимаются.

С апреля 2023 года компании и закрытые корпорации сдают реестры бенефициарных владельцев в CIPC, а доверительные управляющие — Мастеру Высокого суда. Деск попросит показать поданное и сравнит с тем, что вы рассказали. Расходятся — сначала будет вопрос, почему.

Постоянная проверка и мониторинг (ст. 21C)

Проверка — не шлагбаум, который проходят один раз. Ст. 21C требует вести проверку деловых отношений постоянно, включая мониторинг операций: они должны сходиться с тем, что учреждение знает о клиенте, его деятельности и его риск-профиле.

Для деска это три вещи. Первая: операции сверяются с профилем, который клиент дал на онбординге, и заметное отклонение — вопрос, а не исключение. Вторая: досье обновляют по циклу, заданному оценкой риска, и раньше, если что-то изменилось — новый контролирующий, новый банк, новая юрисдикция. Третья: скрининг по санкционным и PEP-данным идёт непрерывно, а не один раз на онбординге, потому что чистый в марте клиент может не быть чистым в сентябре.

Изменился адрес, налоговое резидентство, контролирующее лицо компании или происхождение средств — скажите деску. Обновить досье быстрее, чем разблокировать операцию.

Хранение записей: пять лет (ст. 22 и 23)

Ст. 22 и 23 требуют хранить не менее пяти лет записи, полученные при проверке клиента, и записи о каждой заключённой операции. Пять лет отсчитывают с даты прекращения деловых отношений либо с даты разовой сделки.

Деск хранит документы о личности и подтверждение их проверки, материалы о происхождении средств и капитала, переписку, в которой выдана и принята котировка, сумму, актив, курс, комиссии, платёжные инструкции, банковские референсы и идентификаторы транзакций в сети.

Два следствия стоит назвать прямо. Удалить запись об операции по вашей просьбе деск не может: этого требует FIC Act, а ст. 14 Закона о защите персональной информации разрешает хранение, когда его требует другой закон. И если по операции подан отчёт в Центр финансовой разведки, запись хранится и может быть запрошена Центром или правоохранительным органом на законном основании. Как это соотносится с вашими правами на защиту данных — в политике конфиденциальности.

Отчёты о наличных операциях (ст. 28)

Ст. 28 требует сообщать в Центр финансовой разведки о наличной операции или серии явно связанных наличных операций сверх установленного порога. Порог — R49 999,99: наличная сумма от R50 000 в одной операции или в связанных операциях подлежит отчёту.

Отчёт фактический. Это не обвинение, не признак того, что что-то пошло не так, и вашего согласия он не требует. Его подают независимо от того, насколько обычна операция.

Здесь это бывает редко, потому что деск не рассчитывается наличными. Рэнды идут через EFT, RTC или PayShap между банковскими счетами на имя самого клиента. Так задумано: чистый след для обеих сторон и минус целая категория риска. Если наличный элемент всё же появится, обязанность отчёта действует, и деск скажет вам об этом.

Отчёты о подозрительных операциях (ст. 29)

Ст. 29 — обязанность, которую клиенты понимают хуже всего и которую понимать важнее всего. Она требует от любого, кто ведёт бизнес, а не только от подотчётных учреждений, сообщать в Центр финансовой разведки, когда он знает или подозревает, что имущество получено преступным путём, что у операции нет очевидной деловой или законной цели, что она может относиться к расследованию налогового преступления или к финансированию терроризма.

Денежного порога нет. Мелкая операция подлежит отчёту так же, как крупная. Отчёт подают в течение 15 дней с момента возникновения подозрения, не считая суббот, воскресений и государственных праздников.

Доказательств ст. 29 не требует — достаточно разумного подозрения, и подача отчёта не равна обвинению. Ст. 38 защищает того, кто сообщил добросовестно, от гражданской и уголовной ответственности за само сообщение.

Вас напрямую касается запрет предупреждать. Ст. 29(3) делает преступлением раскрытие того, что отчёт подан или обсуждается, и раскрытие сведений, способных повредить расследованию. Поэтому:

• деск не может сказать, подан ли отчёт;
• деск не может сказать, что отчёт рассматривается;
• если операция задержана или отклонена, настоящую причину назвать иногда нельзя;
• уклончивый ответ здесь — требование закона, а не нежелание говорить.

Лучше сказать это на публичной странице, чем оставить вас узнать это посреди сделки и принять за недобросовестность.

Travel Rule (Директива № 9 от 2024 года)

Директива FIC № 9 от 2024 года вводит правило FATF о передаче сведений при переводах криптоактивов и действует с 30 апреля 2025 года. Она требует, чтобы сведения об отправителе и получателе сопровождали перевод между поставщиками услуг с криптоактивами, и минимального порога у неё нет. Под неё попадает каждый перевод, какого бы размера он ни был.

Что это значит на деске. Когда деск по вашему поручению отправляет криптоактив другому поставщику, он передаёт этому поставщику требуемые сведения об отправителе и получателе. Когда получает — ждёт тех же сведений вместе с переводом. Поэтому трейдер спрашивает, кто контролирует адрес назначения, и поэтому «отправьте другу, он потом со мной рассчитается» превращается в разговор, а не в поручение.

Ниже R5 000 применяется сокращённый набор сведений, и учреждение-отправитель не обязано его проверять. Прочитайте эту строку внимательно: это послабление в проверке, а не анонимность. Сведения всё равно передаются, фиксируются и хранятся пять лет. Кто продаёт вам перевод до R5 000 как приватный, директиву либо не читал, либо рассчитывает, что не читали вы.

Переводы на самостоятельно управляемые кошельки и с них не запрещены. Когда такой кошелёк участвует, деск принимает разумные меры, чтобы убедиться: кошельком управляет клиент. При повышенном риске добавляются дополнительные меры. Если контрагент директиве не соответствует или сведения пришли неполными, у деска три варианта в таком порядке: запросить недостающее, придержать перевод, отказать.

Обучение, скрининг персонала и комплаенс

Ст. 42A требует постоянно обучать сотрудников, чтобы они могли соблюдать Закон и RMCP, и назначить человека, у которого есть полномочия требовать соблюдения.

Каждый на деске, кто говорит с клиентом, видит документ или касается расчёта, проходит обучение до начала работы и переобучение не реже раза в год. Программа охватывает обязанности по FIC Act, RMCP, скрининг по санкциям и PEP, Travel Rule, типологии красных флагов при конвертации криптоактивов в ЮАР, запрет предупреждать и внутренний порядок эскалации. Присутствие и результат аттестации фиксируют. Сотрудников проверяют до приёма на работу.

Комплаенс-офицер — комплаенс-офицер — уточняется. Он отчитывается перед советом директоров по вопросам комплаенса, ведёт RMCP, одобряет отношения с повышенным риском и решает, подавать ли отчёт. Трейдер решение комплаенса отменить не может, и коммерческий интерес в таком решении не учитывается.

Регуляторные вопросы: support@conexus-crypto.com или +27 76 560 1228. Если вопрос нужно поставить формально, а не просто задать, — порядок рассмотрения жалоб.

Когда деск задерживает, отказывает и прекращает

Деск задержит операцию, если проверка не завершена, если нужно снять срабатывание скрининга или если не пришли сведения, требуемые Travel Rule. Деск откажет в операции или прекратит отношения, если проверку завершить нельзя, если объяснение не сходится, если средства или контрагент подпадают под политику запрещённого использования или если продолжение нарушило бы закон.

Отказ — не суждение о вас как о человеке и чаще всего следствие правила, а не мнения. Где объяснить можно законно, деск объяснит. Где мешает ст. 29(3), деск скажет, что объяснить не может, и не станет придумывать причину.

Если криптоактив уже получен, а в операции отказано, себе его деск не оставит. С учётом законных ограничений актив возвращается на подтверждённый источник происхождения, в том же активе, за вычетом сетевой стоимости возврата. На другой адрес и другому лицу по просьбе он не уходит. Механика — в документе об отмене, реверсе и возвратах.

Пересмотр этого документа

Документ пересматривают не реже раза в год, а также всякий раз, когда FIC Act, директива, публичное разъяснение регулятора или собственная оценка риска меняются так, что это его затрагивает. Номер версии, дата вступления в силу и дата последней проверки стоят вверху страницы. Датированные изменения в регулировании криптоактивов в ЮАР собраны отдельно на странице регуляторных обновлений.

Считаете, что на этой странице что-то неверно, — напишите на support@conexus-crypto.com, назовите норму и поправку, и деск это проверит.