AML პოლიტიკა და ფულის გათეთრების წინააღმდეგ ბრძოლა

1) დანიშვნა და გაშუქება

AML პოლიტიკის მიზანია თავიდან აიცილოს კრიმინალური შემოსავლის გათეთრება და ტერორიზმის დაფინანსება, რეგულატორების მოთხოვნების დაცვა და პლატფორმის, მოთამაშეთა და პარტნიორების დაცვა. პოლიტიკა ეხება ჯგუფის ყველა იურიდიულ პირს, თანამშრომლებს, აუტსორსის გუნდებს, ასევე მესამე მხარეებს (PSP, აფილიატები, შინაარსის პროვაიდერები), რომლებიც ურთიერთქმედებენ ფულადი სახსრების ნაკადებთან და მომხმარებელთა მონაცემებთან.

• პროდუქტები: კაზინო/განაკვეთები, P2P გადარიცხვები, ტურნირები, პრემიები/ფულადი სახსრები, ბაზრის მომსახურება.
• არხები: ვებ, მობილური პროგრამები, API ინტეგრაცია, კრიპტო-ონ/ოფის ჩარჩო.
• გეოგრაფია: ყველა მომსახურე ქვეყანა/სახელმწიფო, ადგილობრივი მოთხოვნების გათვალისწინებით.

2) მარეგულირებელი მხარდაჭერა და პრინციპები

პოლიტიკის საფუძველია FATF რეკომენდაციები (რისკზე ორიენტირებული მიდგომა, KYC/KYB, სანქციები, მონიტორინგი, ანგარიშგებები), AML/CFT ადგილობრივი კანონები (ევროპა - AMLD დირექტივები, დიდი ბრიტანეთი - MLR, აშშ - BSA/პატრიოტის აქტი და ა.შ.), აგრეთვე მონაცემთა დაცვის მოთხოვნები (GDPR/მსგავსი).

• RBA (Risk-Based Approach): რესურსები ფოკუსირებულია უფრო მაღალ რისკებზე.
• Proportionality: ზომები შეესაბამება კლიენტის/გარიგების/პროდუქტის რისკს.
• Accountability: გადაწყვეტილებების დაფიქსირება, აუდიტი და ტრეკირება.
• პირადი დიზაინი: მინიმალური მონაცემები, დამუშავების კანონიერება, უსაფრთხოება.

3) როლები და პასუხისმგებლობა (მენეჯმენტი)

Board/დირექტორთა საბჭო: ამტკიცებს პოლიტიკას, რისკის მადას, პერიოდულ მოხსენებას.
Senior Management: უზრუნველყოფს რესურსებს, KPI, განხორციელებას.
MLRO/AML Officer: პროცესის მფლობელი, რეგულატორების მოხსენებები, SAR/STR, მონიტორინგის მეთოდოლოგია, LEA- სთან ურთიერთქმედება.
Compliance Team: KYC/KYB, სანქციები/REP, საქმის მენეჯმენტი, ტრენინგი.
Risk & Analytics: მორიელის მოდელები, სკრიპტები, წესების კალიბრაცია.
ინჟინერია/უსაფრთხოება: პროვაიდერების, ლოგოების ინტეგრაცია, წვდომის კონტროლი, დაშიფვრა.
ოპერაციები/Payments: დასკვნების კონტროლი, სახელმძღვანელო შემოწმება, მონაცემების ხარისხი.

RACI (упрощенно): Board — A, MLRO — R/A, Compliance — R, Risk — R, Eng — C/R, Ops — C/R, Internal Audit — I/C.

4) RBA: რისკის მოდელი

• კლიენტი (ქვეყანა, რეზიდენცია, პროფესია, REP/სანქციები, ქცევითი რისკი).
• პროდუქტი (კაზინო/განაკვეთები, P2P, კრიპტო, მაღალი ლიმიტები, ჯვარედინი ბორდერი).
• არხი (ონლაინ ონბორდი, ყოფნის გარეშე, ანონიმური ინსტრუმენტები).
• გეოგრაფია (მაღალი რისკის იურისდიქციები, სანქციების რეჟიმები).
• გარიგებები (მოცულობა, ბრუნვის სიჩქარე, განაღდების სქემები).

შეფასება: ონბორდის საწყისი ნაკადი + დინამიური ფაქტორები (ისტორია, მოწყობილობები, საგადახდო ნიმუშები) - სეგმენტი დაბალი/საშუალო/მაღალი რისკისთვის და ზომების დონის არჩევა: CDD/EDD/SOW.

5) KYC/KYB და სანქციების სკრინინგი (კავშირი AML- სთან)

KYC ფიზიკური პირებისთვის: დოკუმენტი + liveness, მისამართი, ასაკი, სანქციები/REP, Adverse Media.
KYB კომპანიებისთვის/აფილიატებისთვის/პროვაიდერებისთვის: რეგისტრაცია, UBO/დირექტორი, სანქციები/REP, საქმიანობის შემოწმება და სახსრების წყაროები.
სანქციები/REP: პირველადი და პერიოდული სკრინინგი, ფუზის მატჩი, სახელმძღვანელო კლირინგი.
SOW/SOF: მაღალი ლიმიტით და ანომალიით - დადასტურებულია სახსრების/სიმდიდრის წარმოშობის შესახებ.
Re-KYC: გრაფიკისა და ღონისძიების მიხედვით (ტრიგერები).

6) გარიგების მონიტორინგი და ქცევითი ანალიტიკა

• დეპოზიტების სწრაფი ციკლი - დასკვნა ნამდვილი თამაშის რისკის გარეშე.
• სპაიკი ოდენობით/სიხშირით, გადახდის გამანადგურებელი.
• ქვეყნის შეუსაბამობა IP/BIN/მისამართებს შორის, ხშირი ცვლილება გადახდის მეთოდებში.
• ატიპიური ღამის/მასობრივი ტრაფიკი, მოწყობილობების მტევანი (მოწყობილობის გრაფიკი).
• ანონიმიზატორების/VPN, მარიონეტული მეურნეობის გამოყენება, OS/ბრაუზერის ჩანაცვლება.
• საეჭვო ბონუსის ნიმუშები, მულტიკონტინგი, ჩარდბეკის ციკლები.

ML/ქცევითი მოდელები: სავარაუდო ანომალიები, გრაფიკული კავშირები, მოთამაშეთა რისკი/აფილიატები, მაღალი როლის სეგმენტი.

საქმის მენეჯმენტი: ალერტის წარმოება - კვალიფიკაცია, დოკუმენტების/ახსნა-განმარტებების მოთხოვნა - გამოსავალი (ესკალაცია/დაბლოკვა/SAR).

7) „წითელი დროშები“ (iGaming სპეციფიკა)

რეგულარული დეპოზიტები მესამე მხარისგან/ბევრი ცალკეული ბარათი თითო მოთამაშისთვის.
P2P/ტურნირის ტრანსფერები დაკავშირებულ ანგარიშებს შორის.
პროფილების ძლიერი შეუსაბამობა (ასაკი, პროფესია vs ბრუნვა).
იურისდიქციებს შორის მიგრაცია აშკარა მიზეზის გარეშე.
სისტემატური განაღდება თამაშის საქმიანობის გარეშე ან მინიმალური ზღვარი.
KUS/დასკვნების/ბონუსების შეზღუდვების გვერდის ავლით მცდელობები, ანგარიშების „ფერმები“.
გაურკვეველი ტრაფიკის წყაროს ან არანორმალურად მაღალი CR - WD პლაკატები.

8) SAR/STR: შიდა გამოძიება და მოხსენებები

ეჭვის ბარიერი: „საფუძვლიანი ეჭვი“, მიუხედავად თანხისა.
პროცესი: ალერტი - ფაქტების შეგროვება - MLRO- ს გადაწყვეტილება - SAR/STR- ის დროულად მიწოდება, „tipping-off“ გარეშე.
ესკალაცია: დროებითი დაბლოკვა, სახსრების გაყინვა LEA/რეგულატორის მოთხოვნით, კლიენტთან კომუნიკაციის გეგმა.
დოკუმენტაცია: მოვლენების დრო, მონაცემთა წყაროები, გუნდის მოქმედებები, გადაწყვეტილებები და დასაბუთება.

9) მონაცემთა შენახვა და უსაფრთხოება

ვადები: როგორც წესი, ურთიერთობების შეწყვეტის შემდეგ მინიმუმ 5 წელი (ადგილობრივად მითითებულია).
სამიზნე შენახვა: პროფილები, დოკუმენტები, ალერტები, SAR/STR, წვდომის ჟურნალი, მტკიცებულებათა ბაზა.
უსაფრთხოება: at-rest/in-transit დაშიფვრა, HSM/საიდუმლო საცავი, RBAC/ABAC, უცვლელი ჟურნალები (WORM), თანამშრომლების წვდომისა და მოქმედებების მონიტორინგი.

10) ტრენინგი, ხარისხის კონტროლი და აუდიტი

ტრენინგი: ყოველწლიური ყველასთვის, სიღრმისეული - რისკის ფუნქციების თანამშრომლებისთვის; ტესტები და სერტიფიკაცია.
QA/დიაგნოზი: შერჩევითი შემთხვევები, ორმაგი შემოწმება (4-eyes), რეტრო არასწორი გადაწყვეტილებებით.
შიდა აუდიტი: დამოუკიდებელი შეფასება პოლიტიკის შესაბამისობის, მარეგულირებელი მოთხოვნების და პროცესების ეფექტურობის შესახებ.
Stress-tests: ინციდენტების სავარჯიშოები (სანქციები, დიდი ტიპოლოგია, მასობრივი ალერტები).

11) კრიპტო და VASP (თუ გამოიყენება)

Travel Rule: გამგზავნის/მიმღების ატრიბუტის გაცვლა პროვაიდერებს შორის.
Blockchain ანალიტიკა: მისამართების რისკი, კლასტერული, სანქციების/მიქსერის ეტიკეტები.
On/of-ramp კონტროლი: საფულის მფლობელის შესაბამისობა, მონაცემთა დამთხვევა, შეზღუდვები და გარე მისამართების ჟურნალი.
ფასების დინამიკა/ცვალებადობა: სპეციალური წესები თანხების შესახებ, „უჩვეულო“ კონვერტაციის ეტიკეტირება.

12) მესამე მხარეებთან ურთიერთობა

PSP/ბანკები/KYC პროვაიდერები: ხელშეკრულებები, SLA, DPIA, ტესტის წინააღმდეგობის გეგმები.
აფილატები: KYB, ტრეფიკის ხარისხის მონიტორინგი, რისკების აკრძალვა, პოსტ-კლიკის აუდიტი.
კორესპონდენტური ურთიერთობები: პარტნიორების სიღრმისეული შემოწმება, პერიოდული მიმოხილვა.

13) AML გადაწყვეტის არქიტექტურა (რეკომენდაციები)

ინტეგრაცია: KUS/სანქციების პროვაიდერები, PSP, ანტიფროდი, ბლოკჩეინის ანალიტიკა.
მოვლენების ავტობუსი: ყველა გარიგება/მოვლენა შედის ნაკადში (კაფკა/ანალოგი) უცვლელი საცავით.
წესების ძრავა + ML: ონლაინ მორიელი (მილიწამები) და ოფლაინ გადასინჯვები (batch/near-real-time).
საქმის სისტემა: პრიორიტეტული ხაზები, კლიენტის მოთხოვნის შაბლონები, SLA, ინტეგრაცია ფოსტით/მყისიერი მესინჯერებით.
დაკვირვება: ლოგოები, მეტრიკები, ტრეკები; წესების/მოდელების ვერსია და მათი ეფექტი.
დეგრადაცია: უსაფრთხო გამარტივება (fail-Open/close პოლიტიკაში), bacap პროვაიდერები, retrai/quorum.

14) მეტრიკი და KPI ეფექტურობა

SAR Conversion Rate: ალერტების წილი, რომლებიც გახდნენ SAR/STR.
დრო/დრო/დრო-დრო: დეტალებისა და გადაწყვეტილებების სიჩქარე.
False Positive Rate/Precision-Recall ალერტებში.
Coverage: გარიგების წილი, რომელიც აკონტროლებს/სკრინინგს.
Rework/Appeals: საქმის წილი გადაწყვეტილების გადასინჯვით.
Training Completion: შესაბამისი ტრენინგის მქონე თანამშრომლების%.
Vendor SLA: პროვაიდერების აფთიაქი, TTV KUS/სანქციებისთვის.

15) ჩეკის ფურცლები

• KYC/KYB, ასაკი/გეო, სანქციები/REP, Adverse Media.
• RBA Scoring, ძირითადი ლიმიტები, მოწყობილობების fingerprint.
• თანხმობა, კონფიდენციალურობა, შემოწმების შესახებ ინფორმაცია.

• სანქციების განმეორებითი სკრინინგი, SOF/SOW საჭიროების შემთხვევაში.
• გადახდის ხელსაწყოს მფლობელის შედარება.
• ქცევითი შემოწმება და გარიგების ისტორია.

• ფაქტებისა და დოკუმენტების შეგროვება.

• MLRO- ს შინაგანი დასკვნა.
• ანგარიშის წარდგენა დროულად; აკრძალვა.
• პოსტ-ზღვა, წესების/მოდელების განახლება.

16) ტიპიური შეცდომები და როგორ მოვერიდოთ მათ

KYC- ის ბრმა „ნიშანი“ RBA- ს გარეშე: გააძლიერეთ დინამიური ანალიტიკა და შეზღუდვები.
უკუკავშირის არარსებობა მოდელებში: შემოიღეთ ტრენინგის მარყუჟი (decision - outcome).
ზებუნებრივი „დერისკინგი“ რისკის მართვის ნაცვლად: გამოიყენეთ EDD/SOW და კონტროლირებადი ლიმიტები და არა ტოტალური ბანაკები.
არ ითვალისწინებს რეგიონულ წესებს/სანქციებს: მხარი დაუჭირეთ „გეო-პროფილებს“.
სუსტი გადაწყვეტილებების ჟურნალი: სტანდარტიზებული არტეფაქტების დასაბუთება და შენახვა.

17) AML პოლიტიკის სტრუქტურის შაბლონი (თქვენი ვიკისთვის)

1. შესავალი და მოქმედების სფერო

2. განმარტებები და ტერმინები (AML/CFT, CDD/EDD, SOF/SOW, PEP და ა.შ.)

3. მარეგულირებელი ჩარჩო და ბმულები ადგილობრივ კანონებზე

4. მენეჯმენტი და როლები (Board, MLRO, RACI)

5. RBA მეთოდოლოგია და რისკის მადა

6. KYC/KYB და სანქციების სკრინინგი

7. გარიგების მონიტორინგი (rules + ML) და საქმის მენეჯმენტი

8. წითელი დროშები და iGaming სკრიპტები

9. SAR/STR პროცედურები და რეგულატორებთან ურთიერთქმედება/LEA

10. მონაცემთა შენახვა, კონფიდენციალურობა, უსაფრთხოება

11. პერსონალის მომზადება და ცნობიერება

12. გამყიდველები და მესამე მხარეები (SLA, აუდიტი)

13. აუდიტი, QA და უწყვეტი გაუმჯობესება

14. პროგრამები: ჩეკი ფურცლები, ფორმები, წერის შაბლონები, მეტრიკა

18) რისკის მატრიცის მაგალითი (ფრაგმენტი)

შედეგი: დაბალი/საშუალო/მაღალი რისკი: CDD/EDD + SOF/SOW/შეზღუდვები/გასასვლელი.

19) განხორციელებისა და შენარჩუნების გეგმა

დაადგინეთ პროცესების მფლობელები და SLA.
ინტეგრაციის რუკა (PSP, KYC, სანქციები, ანალიტიკა).
დაწყება ძირითადი წესების ნაკრებით + FP/FN კონტროლი.
სცენარების კვარტალური კალიბრაცია, პოლიტიკის ყოველწლიური გადასინჯვა.
სასწავლო პროგრამები და გავლის კონტროლი.
Board/მენეჯმენტის რეგულარული მოხსენებები (KPI, ინციდენტები, რისკების ცვლილებები).

შედეგი

ეფექტური AML პოლიტიკა არ არის „დოკუმენტი თაროზე“, არამედ ცოცხალი ციკლი: სარისკო შეფასება, საკონტროლო ზომები, მონიტორინგი, გამოძიება, მოხსენება და გაუმჯობესება. ჩამოაყალიბეთ RBA- ს გარშემო არსებული პროცესი, უზრუნველყოთ ძლიერი KYC/KYB და სანქციების წრე, შემოიღეთ საქმის მენეჯმენტთან გარიგების მაღალი ხარისხის მონიტორინგი და დაიცავით მონაცემთა, ტრენინგის და აუდიტის შენახვის დისციპლინა - ასე რომ თქვენ შეამცირებთ მარეგულირებელ და რეპუტაციის რისკებს, ხოლო შეინარჩუნებთ კონვერტაციას და ბიზნესის სტაბილურობას.