Вибір юрисдикції для ліцензії
1) Навіщо методика, а не «порада з чуток»
Неправильний вибір юрисдикції обертається зайвими роками і мільйонами витрат. Потрібна об'єктивна рамка: критерії → вага → скоринг → рішення, прив'язана до ваших цільових ринків, платежів, термінів і бюджетів.
2) Каркас прийняття рішення (огляд)
1. Мета/Гео: де ви реально плануєте працювати і які канали залучення доступні.
2. Критерії: ринок, регуляторика, ІТ/дані, платежі, реклама, терміни, вартість, репутація.
3. Скоринг-модель: бали 0-5 за кожним критерієм × вагу.
4. TCO і календар: вартість володіння і терміни на 12-24 місяці.
5. Ризики/« червоні прапори »: заздалегідь врахувати і зафіксувати плани пом'якшення.
6. Дорожня карта: документи, техконтролі, сертифікація, запуск, звітність.
3) Критерії вибору (з рекомендованими вагами)
Оцінка: для кожного критерію ставимо бал 0-5 і множимо на вагу. Сума = інтегральний скор.
4) Приклад скоринг-матриці (ескіз)
- Високі бали «Репутація» допомагають з банками/PSP і портфелем провайдерів.
- «Терміни» і «TCO» часто обернено пропорційні «строгості»: чим суворіше - тим довше і дорожче.
- «ІТ/дані» включає вимоги до резиденції, журналів, DR, SDLC/релізів.
5) TCO: з чого складається вартість володіння
Одноразові: збори за подачу/оцінку, юридичний супровід, сертифікація RNG/ПЗ, аудит ІТ/безпеки, онбординг провайдерів і PSP.
Щорічні: ліцензійні збори, продовження аудиторів/лабораторій, страхування, консультанти (DPO/MLRO при аутсорсі), моніторинг вразливостей/пентести.
Операційні: комплаєнс-команда, RegTech/KYC/AML-сервіси, логістика хостингу/резервування, observability/SIEM, релізні контури, звітність.
Порада: вважайте €/1000 активних користувачів/міс і €/1000 RPS - це робить порівняння прозорим.
6) Терміни і критичний шлях
1. Передпідготовка (1-8 тижнів): вибір гео/вертикалей, gap-аналіз, карта провайдерів (ігри/PSP/KYC).
2. Пакет документів (4-12 тижнів): структура володіння, Key Persons, політики (AML/RG/реклама/дані/інциденти), договору, архітектура ІТ, DR/BCP.
3. Техперевірки та сертифікації (4-16 тижнів): лабораторії, пентести, SDLC/релізи/журнали, sandbox-випробування.
4. Розгляд регулятором (залежить від юрисдикції).
5. Пост-ліцензійний запуск (2-6 тижнів): включення звітності, моніторинг KPI, онбординг PSP/контенту.
7) Вимоги до ІТ і даних (що зазвичай дивляться)
Хостинг/резиденція: допустимі локації, дзеркала DR, графіки RTO/RPO.
Журналювання та спостережуваність: структуровані логи без PII/PAN, метрики SLO, трасування, синтетичні перевірки «депозит/КУС/вивід».
SDLC/релізи: staging-пайплайни, контроль змін, артефакти (SBOM/підписи), політика відкату.
Безпека: шифрування в транзиті/at-rest, KMS/секрет-менеджер, SSO/MFA/PAM, пентести/скан вразливостей.
Data Governance: DPIA, мінімізація, доступи, процедурне реагування на інциденти.
8) Платежі: реальність для виходу на ринок
Доступність карток/банківських переказів/A2A/open-banking та локальних методів.
Онбординг в PSP/банки: ставлення до обраної ліцензії/юрисдикції.
SLA і моніторинг Time-to-Wallet, підписи webhooks (HMAC), ідемпотентність і DLQ.
Санкційні/РЕР-скринінги, velocity-правила, chargeback-процедури.
9) Реклама, афіліати та RG-обмеження
Вікові бар'єри, канали і час розміщення, вимоги до креативів і T&C промо.
Правила роботи з афіліатами (договори, білі списки, контроль креативів).
Інструменти RG: ліміти, тайм-аути, реальність-чеки, самовиключення (включаючи національні реєстри), поведінкові тригери.
10) Репутація та мультиліцензування
Визнання ліцензії банками/PSP/агрегаторами, відношення ключових провайдерів контенту.
Можливість експансії: локальні «паспортинги», сусідні режими, філії/наскрізні звітності.
Ризики «сірих ринків»: активний таргетинг заборонених гео підриває довіру до ліцензії.
11) «Червоні прапори» при виборі
Ставка на юрисдикцію, яка не дає легально таргетувати ваші цільові гео.
Слабка платіжна екосистема: банки/PSP не приймають власників даної ліцензії.
Відсутність «evidence-first»: політики написані, але немає журналів/релізних артефактів/звітності.
Ігнорування рекламних обмежень і контролю афіліатів.
Орієнтація на «швидкий старт будь-якою ціною» без плану виходу на регульовані ринки.
12) Дорожня карта прийняття рішення (30-90 днів)
Тижні 1-2 - цілі/гео/вертикалі, критерії і ваги, список юрисдикцій.
Тижні 3-4 - скоринг (0-5), попередній TCO і терміни, shortlist (2-3 варіанти).
Тижні 5-6 - глибокий gap-аналіз (ІТ/дані/платежі/реклама), інтерв'ю з провайдерами/банками.
Тижні 7-8 - фінальний вибір, затвердження бюджету і календаря, призначення власників.
Тижні 9-12 - підготовка пакету, запуск техперевірок/сертифікацій, паралельний онбординг PSP.
13) Чек-лист Definition of Ready (до подачі)
- Цільові ринки/мови/методи оплати описані і зіставлені правилами юрисдикції.
- Призначені Key Persons (включаючи DPO/MLRO), структури володіння прозорі.
- Підготовлені політики: AML/CTF, RG, реклама, захист даних, інциденти, DR/BCP.
- ІТ-архітектура та релізи документовані; є логи/метрики/трейси і план відкату.
- Договори з провайдерами (контент/PSP/KYC/лабораторії/хостинг) узгоджені.
- План фінансових гарантій/резервів і підтвердження SoF/SoW зібрані.
14) Чек-лист Definition of Done (після видачі)
- Регуляторна звітність включена; власники KPI призначені.
- Налаштовані RG-інструменти, санкційний скринінг, журнал рішень і алерти.
- Платіжні маршрути з failover, HMAC-підписи webhooks, ідемпотентність, DLQ.
- «Evidence-first»: релізи (SBOM/підписи), пентест/скани, синтетичні перевірки бізнес-шляхів.
- Контроль афіліатів і білі списки креативів/каналів.
- Графік щорічних/періодичних аудитів і перегляду політик.
15) Вирішальне дерево (спрощено)
1. Де продавати?
→ Якщо потрібні строго регульовані ринки з сильною платіжною екосистемою - дивимося національні/провінційні режими.
→ Якщо мета - швидкий міжнародний старт і подальше мультиліцензування - розглядаємо універсальні режими, сумісні з вашим трафіком і PSP.
2. Час vs якість доступу?
→ Потрібен «go-live <6-9 міс» - вибираємо режим зі швидким онбордингом і зрозумілою дорожньою картою апгрейду.
→ Можете чекати - йдемо в суворий, але престижний режим.
3. Ризик-профіль і бюджет?
→ Висока толерантність до OPEX на комплаєнс - беремо суворий режим, отримуємо доступ і репутацію.
→ Обмежений бюджет - починаємо з доступного режиму + план переходу.
16) Часті стратегії
«Двоступенева»: старт в доступній юрисдикції + ранній план на ліцензію у великому регульованому ринку (синхронізація SDLC/логів/DR під майбутні вимоги).
«Платформа → регіони»: спочатку вибудовуємо інтеграційний HUB, observability і RegTech, потім масштабуємо під вимоги конкретних регуляторів.
«Платежі-вперед»: вибір ліцензії з максимально широким доступом до PSP/A2A і локальних методів у ваших цільових гео.
17) Міні-шаблон скорингу (скопіюйте у вашу матрицю)
Criteria (0-5) × Weight
1. Market (20%) = __ × 0. 20
2. Timing (12%) = __ × 0. 12
3. TCO (12%) = __ × 0. 12
4. Payments (12%) = __ × 0. 12
5. IT/data (12%) = __ × 0. 12
6. Ad (8%) = __ × 0. 08
7. RG/AML (8%) = __ × 0. 08
8. Reputation (8%) = __ × 0. 08
9. Scale (8%) = __ × 0. 08
TOTAL (of 1. 00): ________18) Короткий висновок
Вибір юрисдикції - це інженерно-ділове рішення, а не легенда індустрії. Використовуйте скоринг і TCO, підтвердіть платіжну реальність, перевірте здійсненність ІТ/даних/релізів і рекламні обмеження. Фіксуйте «червоні прапори», плануйте мультиліцензування і будуйте процеси як код - так ліцензія стане інструментом масштабування, а не якорем витрат і ризиків.