KYB и проверки партнеров

1) Зачем KYB

KYB (Know Your Business) — это идентификация и оценка рисков юридических лиц и устроителей транзакций: аффилиаты, провайдеры игр и агрегаторы, PSP/банки, платежные оркестраторы, провайдеры KYC/AML, маркетинговые агентства, колл-центры, B2B-дистрибьюторы, white-label и реселлеры. Цель: предотвратить санкционные и AML/CFT-риски, фрод с трафиком и выплатами, нарушения IP/лицензий, утечки данных и репутационные инциденты.

2) Принципы и модель RBA

Risk-Based Approach: глубина проверки зависит от профиля риска контрагента (гео, роль в цепочке, доступ к деньгам/данным, история инцидентов, объемы).
Proportionality: CDD для низкорисковых поставщиков, EDD для высокорисковых (PSP, аффилиаты с агрессивным трафиком, кросс-бордер ресселеры).
Ongoing Monitoring: первичная проверка без постоянного мониторинга бесполезна.
Four-Eyes & Segregation: решения по онбордингу/блокировке — минимум двумя сотрудниками.

3) Роли и ответственность

Board/Exec: утверждает KYB-политику, риск-аппетит, матрицу эскалаций.
MLRO/Compliance: владелец процесса KYB/санкций, методология Adverse Media/PEP, SAR/STR при необходимости.
Risk/Analytics: риск-скоринг, поведенческие правила для аффилиатов/PSP.
Commercial/BD: сбор документов, контроль условий договоров, KPI партнеров.
Legal: договорные гарантии, IP/лицензии, штрафы, право одностороннего расторжения при AML/санкционных событиях.
Security/IT: доступы, шифрование, журнал действий, вендор-оценка по безопасности.
Finance/Payments: контроль выплат, реестры бенефициаров, сверка реквизитов.

4) Уровни KYB (пример)

CDD (базовый): регистрационные документы, директоры, UBO ≥25%, санкции/PEP/Adverse Media, сайт/контакты, налоговый номер, подтверждение адреса юрлица.
ID+EDD (расширенный): полная цепочка владения до физлиц, финансовая отчетность, банковские письма/референсы, лицензии/разрешения, описание бизнес-модели и источников доходов, проверка операционных площадок, проверка доменов/каналов трафика, техаудит безопасности.
Continuous: ревью по событиям (санкции, смена UBO/директоров, всплески трафика/чарджбеков), ежегодный пересмотр досье.

5) Сбор данных и документов

• Сертификат инкорпорации, устав/установочный договор, реестр акций/участников.
• Список директоров и UBO (с долями и гражданством).
• Юр-адрес и фактический адрес, налоговый номер/VAT.
• Лицензии/разрешения (iGaming/платежные/рекламные), договора суб-поставщиков.
• Банковские реквизиты (письмо из банка/void cheque), подтверждение владения счетом.
• Политики AML/KYC/KYB, санкционный скрининг в компании, GDPR/безопасность, DPIA (если есть доступ к ПД).
• Для аффилиата: описание источников трафика, домены/лендинги, аккаунты в соцсетях/адсетах, гео и форматы рекламы, CRM/трекеры.

• Документ личности + ливнес, адрес (≤3 мес.), санкции/PEP/Adverse Media.
• Подтверждение связи с компанией (назначение директором, владение долями).

6) Санкции, PEP, Adverse Media

Скрининг юридического лица, всех торговых наименований, связанных доменов и директоров/UBO.
Фуззи-поиск, алиасы и транслитерации; ручной клиринг пограничных совпадений.
Периодический рескрининг (ежедневные обновления списков) и событийный при изменениях в профиле партнера.
Adverse Media: темы — коррупция, фрод, наркоторговля, азартные игры без лицензии, отмывание.

7) Оценка технической и регуляторной зрелости

Лицензии и соответствие: валидность и объем лицензий (игровые, платежные, рекламные), отчетность, штрафы в прошлом.
Security & Privacy: шифрование, RBAC/ABAC, управление ключами/секретами, журналы доступа, политика хранения данных, инцидент-респонс.
Надежность операций: SLA/аптайм, бэкапы, план непрерывности, DDoS-защита.
Интеграции: безопасные API, журналы аудита, версии SDK, правила по PI/PCI DSS (если работает с картами).

8) Специфика по типам партнеров

8.1 Аффилиаты (KYA — Know Your Affiliate)

Трафик-профиль: источники (SEO/ASO, PPC, тизеры, соцсети, стримы), белые/серые практики, допустимость гео и возрастной таргетинг.
Метки качества: CR→FTD, FTD→депозитор, депозит→вывод, аномальные пики, доля мультиаккаунтов/бонус-абьюза.
Контент и бренд-сейфти: отсутствие ложных обещаний, соответствие локальным рекламным правилам.
Финансовая сторона: сверка платежных реквизитов, отсутствие третьих лиц как бенефициаров выплат.
Мониторинг: регулярные «crawl» доменов/креативов, подпольные редиректы/дорвеи — стоп-факторы.

8.2 Провайдеры игр / агрегаторы

Право на дистрибуцию IP: лицензии на RNG/игры, право использования брендов/музыки/арт-активов.
Юрисдикции доступности: матрица рынков (что можно показывать где), механизмы гео-фильтрации.
Fair play: сертификация RNG, лаборатории, отчетность, история инцидентов (rigging/утечки).
Платежи: роялти-модель (RevShare/flat), сверка отчетов, анти-манипуляции с GGR/тегами.

8.3 PSP/банки/оркестраторы

Лицензии на платежи (EMI/PI/банковские), KYC/AML-процессы, лимиты, MCC-классы.
Риски блокировок: чарджбеки, возвраты, blacklists; план обхода инцидентов (Failover).
Трассировка выплат: верификация владельца счета, правила «same method», отчетность.

8.4 Сервис-провайдеры (KYS — Know Your Supplier)

Доступ к ПД/счетам/кодовой базе → EDD + договоры по защите данных, праву аудита, уведомлению об инцидентах, суб-процессорах.

9) Договорные гарантии и контроль

Клаузулы AML/санкции: гарантия соответствия всем режимам, право немедленного расторжения при нарушении.
KYC/KYB-обязательства: предоставление документов по запросу, обновление при смене UBO/директоров.
Рекламные стандарты (для аффилиатов): запрет mis-selling, обязательные дисклеймеры, локальные ограничения.
Аудит и инспекции: право на проверки, доступ к логам/креативам, штрафы/удержания при серьезных нарушениях.
SLA/OLA: аптайм, TAT по тикетам, сроки реагирования на инциденты, штрафы за просрочки.
IP/Контент: подтверждение прав, ответственность за претензии третьих лиц.
Данные и безопасность: DPIA/DTIA, шифрование, breach-notification ≤72 ч, запрет передачи в «красные» юрисдикции без гарантий.

10) Мониторинг и ревью (Ongoing)

• Смена UBO/директоров/банковских реквизитов.
• Санкционное событие/Adverse Media.
• Аномальный трафик/чарджбеки/спайки по выплатам.
• Жалобы пользователей/регуляторные запросы.
• Смена бизнес-модели/географии.

Процесс: сигнал → кейс → запрос документов/объяснений → решение (сохранить/заморозить/расторгнуть) → пост-морем и обновление правил.

11) Матрица рисков (пример)

12) Метрики и KPI KYB

Onboarding TAT (медиана/95-й перцентиль).
Completeness Score досье (доля полных профилей).
Auto-clear / Manual-review rate по алертам.
False Positive rate санкций/PEP и время клиринга.
Traffic Quality (аффилиаты): CR, FTD-качество, WD-ratio, chargeback-rate.
Incident Rate и Time-to-Contain.
Audit Findings Closed on Time.
Vendor SLA Compliance (аптайм/реакция).

13) Архитектура и интеграции

Единое досье партнера: граф владения UBO, документы, статусы санкций/PEP, лицензии, домены, платежные реквизиты.
Шина событий: изменения реквизитов, всплески трафика/чарджбеков, санкционные апдейты → алерты в кейс-систему.
Движок решений: правила + ML (скоринг аффилиатов, риск PSP, аномалии).
Журналы и WORM-хранилище: неизменяемые версии документов, мотивировки решений, следы доступа.
Доступы и секреты: RBAC/ABAC, HSM/secret-vault, ограничение выгрузок.
Деградация: при недоступности провайдеров санкций — кворум/ретраи, временное ужесточение порогов.

14) Чек-листы

• Регдокументы, устав, регистрационный адрес.
• Директора/UBO ≥25% + KYC/адрес.
• Санкции/PEP/Adverse Media (юрлицо/лица).
• Лицензии, право на продукты/контент.
• Банковские реквизиты и подтверждение владения счетом.
• Политики AML/KYC/KYB + безопасность данных.
• Для аффилиата: источники трафика, домены, креативы, гео.
• Договор: AML-клаузулы, право аудита, SLA, штрафы.

• Повторный санкционный скрининг.
• Проверка бенефициара счета = партнер/UBO.
• Сверка отчетов (трафик/игры/роялти).
• Анти-фрод проверки (аномалии, мульти-уровневые цепочки).

• Актуальность документов/лицензий/UBO.
• Сводка инцидентов/жалоб/регзапросов.
• Изменения в гео/каналах трафика/продуктовой линейке.
• Перекалибровка риска и лимитов.

15) Типичные риски и как их закрывать

Скрытая UBO-структура через офшоры → требовать цепочку до физлиц, независимые реестры, юридическое подтверждение.
«Грязный» трафик аффилиатов → контрактные запреты, авто-мониторинг доменов, финштрафы, стоп-лист.
Санкционные/PEP-риски → ежедневный рескрининг, ручной клиринг, эскалация MLRO.
Подмена платежных реквизитов (BEC-fraud) → подтверждение реквизитов из договорного канала, two-man rule, контроль изменений по 24–48 ч кварентине.
Доступ к ПД третьими лицами → DPIA, минимизация, аудит следов доступа, технические и договорные барьеры.

16) FAQ

Где порог для EDD? Высокий риск по гео/роли/объему, доступ к ПД/деньгам, сложная структура UBO, негативные медиа.
Как часто пересматривать досье? Минимум ежегодно; плюс событийно.
Можно ли платить аффилиату на личный счет? Нежелательно: совпадение владельца, UBO-линк, целевая проверка и локальные правила.
Что делать при споре о качестве трафика? Включать в договор право на аудит, выборку лидов, методологию атрибуции, удержания/chargeback-коррекции.

17) Шаблон структуры KYB-политики (для wiki)

1. Область действия и определения

2. Роль и ответственность (RACI)

3. RBA-методология и пороги EDD

4. Требования к документам (юрлицо/директора/UBO)

5. Санкции/PEP/Adverse Media и периодичность рескрининга

6. Специфика по типам партнеров (KYA/KYS/PSP/игровые провайдеры)

7. Договорные требования (AML, SLA, аудит, IP, данные)

8. Мониторинг и рев-KYB (триггеры, кейс-менеджмент)

9. Метрики и отчетность для Board/менеджмента

10. Хранение данных, безопасность, приватность

11. План непрерывности и реагирование на инциденты

12. Приложения: чек-листы, формы, шаблоны писем и отчетов

Итог

Сильный KYB-контур = правильная глубина проверки на входе, жесткие договорные рамки, постоянный мониторинг и прозрачные метрики. Стандартизируйте досье, автоматизируйте санкционный контур, измеряйте качество трафика и соблюдение SLA, регулярно пересматривайте риск-скор партнеров — и вы снизите регуляторные, финансовые и репутационные риски без ущерба для темпа бизнеса.