Как выявлять подозрительную финансовую активность: ключевые признаки (RU-1)

Девять депозитов чуть ниже порогового значения отчетности. Разные дни, разные счета. В бухгалтерской книге все выглядит нормально — за исключением паттерна. Это структурирование. Это отчет о подозрительной деятельности (SAR), который уже должен был быть подан.

Распознавание подозрительной финансовой активности означает систематическое отслеживание паттернов транзакций, поведения клиентов и географических сигналов — и знание того, когда возникает обязательство по отчетности. В этом посте рассматриваются ключевые признаки по каждому из этих аспектов, объясняется обязательство по подаче SAR и рассказывается, как модули Didit для мониторинга транзакций, AML-проверки и анализа устройств и IP-адресов поддерживают обнаружение в реальном времени.

Ключевые выводы

• Структурирование — разбиение переводов на меньшие суммы, чтобы избежать пороговых значений отчетности — само по себе является преступлением в большинстве юрисдикций, независимо от того, какое преступление генерировало средства.
• Быстрое движение средств и резкие всплески активности являются наиболее ясными сигналами наслаивания в цепочке отмывания денег.
• Сигналы поведения клиентов и географические сигналы усугубляют транзакционные признаки: несоответствующий IP-адрес, неохотный клиент, недавно открытый счет с немедленной высокостоимостной активностью — каждый из них по отдельности слаб; вместе они создают полноценное дело.
• Отчеты о подозрительной деятельности (SAR) являются юридическим обязательством в большинстве регулируемых юрисдикций. Порогом является подозрение, а не доказательство.

Признаки подозрительных паттернов транзакций

Структурирование и смурфинг

Структурирование — это разбиение транзакций на меньшие суммы, чтобы избежать пороговых значений отчетности по валютным операциям (порог Закона о банковской тайне в США составляет 10 000 долларов; аналогичные пороги применяются в ЕС, Великобритании и других странах). Смурфинг — это тот же паттерн, распределенный между несколькими людьми или счетами.

Индикаторы:

• Множественные депозиты чуть ниже порогового значения отчетности — 9 900, 9 700, 9 500 долларов — за короткий период
• Множество мелких депозитов, которые в сумме составляют большую сумму
• Клиент, который спрашивает о пороговых значениях отчетности или просит разделить транзакции
• Паттерны, которые повторяются неделями или месяцами без четкого обоснования

Структурирование само по себе является преступлением в большинстве юрисдикций, независимо от того, какое преступление генерировало средства.

Быстрое движение средств

Отмывание денег следует схеме размещение → наслаивание → интеграция. Наслаивание означает быстрое перемещение средств для сокрытия аудиторского следа:

• Средства поступают и выводятся в течение нескольких часов — счет является транзитным
• Переводы в одной валюте, конвертация и вывод в другой вскоре после этого
• Быстрые переводы несвязанным третьим сторонам без явной коммерческой цели
• Круговые паттерны, когда средства возвращаются на исходный счет или к исходной организации

Резкие всплески активности

Три транзакции в месяц, затем тридцать за неделю — даже если каждая из них невелика. Агрегации скорости измеряют количество и объем на клиента, контрагента и временное окно. Всплески, не объясняемые известным бизнес-событием, требуют проверки.

Признаки подозрительного поведения клиентов

Нежелание предоставлять информацию

Красные флажки появляются, когда клиент:

• Предоставляет расплывчатые или непоследовательные ответы об источнике средств или цели бизнеса
• Прерывает сессии при запросе дополнительной документации
• Предоставляет документы из юрисдикции, которая не соответствует заявленному адресу или гражданству
• Становится уклончивым, когда вопросы касаются бенефициарного владения или контрагентов

Несоответствующие профили

Распространенные паттерны:

• Заявленный доход не соответствует объему или стоимости транзакций
• Бизнес-счет, обрабатывающий транзакции потребительского характера
• Новый счет, который немедленно начинает высокочастотную или высокостоимостную активность без предварительного накопления
• Структуры собственности, чрезмерно сложные по отношению к очевидной цели бизнеса

Политически значимые лица и негативные медиа

Политически значимые лица (ПЗЛ) — государственные чиновники, близкие к ним лица и члены семьи — несут повышенный коррупционный риск в силу своего доступа к государственным средствам. Их присутствие не делает транзакцию подозрительной, но запускает усиленную проверку. Негативные упоминания в СМИ — санкции, уголовные дела, принудительные меры — являются более сильным сигналом.

Географические признаки

Юрисдикции с высоким риском

Группа разработки финансовых мер борьбы с отмыванием денег (FATF) ведет списки юрисдикций со стратегическими недостатками в их режимах борьбы с отмыванием денег (AML) и финансированием терроризма. Транзакции в эти юрисдикции или из них, бенефициарные владельцы, зарегистрированные там, или корреспондентские банковские отношения с организациями в этих юрисдикциях — все это несет повышенный базовый риск.

Несоответствие IP-адреса стране документа

Клиент предоставляет удостоверение личности из Германии и завершает сессию с узла выхода VPN в юрисдикции с высоким риском. Любое отдельное несоответствие может иметь невинное объяснение; страна документа, заявленный адрес и страна IP-адреса, указывающие на разные места, — это паттерн.

Этот сигнал требует корреляции данных уровня идентификации (какой документ был представлен) с данными уровня сессии (откуда было установлено соединение, было ли оно замаскировано). Модуль Didit Device & IP Analysis автоматически помечает COUNTRY_FROM_DOCUMENT_DOES_NOT_MATCH_COUNTRY_FROM_IP, когда эти два сигнала расходятся.

Обязанность по подаче отчетов о подозрительной деятельности

Отчет о подозрительной деятельности (SAR) — это конфиденциальный отчет, подаваемый в подразделение финансовой разведки — FinCEN в США, Национальное агентство по борьбе с преступностью в Великобритании, SEPBLAC в Испании. Большинство регулируемых учреждений имеют юридическое обязательство подавать отчеты, когда у них есть разумные основания подозревать, что транзакция связана с доходами от преступной деятельности.

Четыре вещи, которые должна знать каждая команда по комплаенсу:

• Порогом является подозрение, а не доказательство.
• Предупреждение — сообщение клиенту о подаче SAR — само по себе является уголовным преступлением в большинстве юрисдикций.
• Неподача отчета при наличии разумных оснований влечет за собой меры принуждения в отношении учреждения и отдельных сотрудников по комплаенсу.
• SAR конфиденциальны. Они поступают в подразделение финансовой разведки и не инициируют автоматически расследование правоохранительных органов.

Описание в SAR должно выдерживать проверку — это означает, что лежащее в его основе дело должно быть структурированным, полным и поддающимся аудиту.

Как Didit помогает

Мониторинг транзакций — 0,02 доллара за транзакцию

Механизм правил Didit в реальном времени поставляется с 11 предустановленными пакетами правил — обнаружение структурирования, агрегации скорости, оповещения о быстром движении средств — для фиатных и крипто-валют. Правила настраиваются: регулируйте пороги, комбинируйте условия, добавляйте пользовательские правила.

При срабатывании правила транзакция поступает в систему управления делами с полной историей клиента и всеми совпадениями правил. Рабочий процесс SAR встроен — аналитики по комплаенсу составляют и подают отчеты, не переключаясь между инструментами. Цикл AWAITING_USER автоматически обрабатывает запросы информации: когда клиенту необходимо предоставить документацию об источнике средств, цикл приостанавливает транзакцию и направляет запрос без ручной сортировки.

AML-проверка — 0,20 доллара за проверку

Didit проверяет физических и юридических лиц по более чем 1300 глобальным спискам: OFAC, консолидированный список ЕС, ООН, национальные списки наблюдения, реестры ПЗЛ и негативные упоминания в СМИ. Проверка запускается при регистрации; постоянный AML-мониторинг (0,07 доллара на пользователя в год) непрерывно перепроверяет вашу пользовательскую базу по мере обновления списков — выявляя санкционированных лиц или ПЗЛ, которые не были отмечены при регистрации.

Анализ устройств и IP-адресов — 0,03 доллара за проверку

Географические признаки наиболее сильны, когда сигналы идентификации и сигналы сессии коррелируют. Анализ устройств и IP-адресов автоматически выполняется во время каждой сессии верификации, возвращая геолокацию IP-адреса, статус VPN/прокси/Tor и отпечаток устройства наряду со страной документа из представленного удостоверения личности. Когда эти сигналы расходятся, срабатывает предупреждение COUNTRY_FROM_DOCUMENT_DOES_NOT_MATCH_COUNTRY_FROM_IP — настраиваемое для одобрения, проверки или отклонения.

Часто задаваемые вопросы

В чем разница между признаком структурирования и обязанностью по подаче SAR?

Структурирование само по себе является преступлением в большинстве юрисдикций. Обязательство по подаче SAR шире: вы должны подать отчет, когда у вас есть разумные основания подозревать, что любая транзакция связана с доходами от преступной деятельности — структурирование является одним из паттернов, который создает такое подозрение, но не единственным. Оповещение мониторинга является доказательством, которое поддерживает SAR; оно не заменяет суждение по комплаенсу о том, следует ли подавать отчет.

Сколько пакетов правил поставляется с мониторингом транзакций Didit?

11 предустановленных пакетов правил, охватывающих наиболее распространенные категории AML и мошеннических паттернов, все настраиваемые — регулируйте пороги и добавляйте пользовательские правила без создания с нуля.

Охватывает ли AML-проверка Didit ПЗЛ и негативные упоминания в СМИ, или только списки санкций?

Все три. Более 1300 списков включают OFAC, консолидированный список ЕС, Совет Безопасности ООН, национальные списки наблюдения, реестры ПЗЛ и данные из негативных медиа. Постоянный AML-мониторинг перепроверяет вашу пользовательскую базу по мере обновления списков.

Что такое цикл автоматического исправления AWAITING_USER?

Когда правило срабатывает по делу, которое может быть разрешено путем предоставления клиентом дополнительной информации — например, подтверждения источника средств — цикл приостанавливает транзакцию и направляет запрос непосредственно клиенту, без необходимости аналитику по комплаенсу обрабатывать каждое простое дело.

Может ли Didit подавать SAR от моего имени?

Нет. Обязательство по подаче SAR лежит на регулируемом учреждении. Didit предоставляет инструменты управления делами и рабочий процесс SAR — структурированное дело, доказательства транзакций, аудиторский след — которые ваша команда по комплаенсу использует для подготовки и подачи отчетов в соответствующее подразделение финансовой разведки.

Готовы начать?

Обнаружение подозрительной активности — это многоуровневая проблема. Только правила транзакций упускают поведенческий контекст; только проверки личности упускают то, что происходит после регистрации. Didit соединяет эти уровни в одном компонуемом API.

• Изучите модуль → Документация по мониторингу транзакций
• Посмотрите платформу → didit.me/products/transaction-monitoring
• Проверьте цены → didit.me/pricing
• Начните бесплатно → business.didit.me — 500 бесплатных KYC-проверок в месяц