KYB та перевірки партнерів

1) Навіщо KYB

KYB (Know Your Business) - це ідентифікація та оцінка ризиків юридичних осіб та організаторів транзакцій: афіліати, провайдери ігор і агрегатори, PSP/банки, платіжні оркестратори, провайдери KYC/AML, маркетингові агентства, кол-центри, B2B-дистриб'ютори, white-label і реселери. Мета: запобігти санкційні і AML/CFT-ризики, фрод з трафіком і виплатами, порушення IP/ліцензій, витоку даних і репутаційні інциденти.

2) Принципи і модель RBA

Risk-Based Approach: глибина перевірки залежить від профілю ризику контрагента (гео, роль в ланцюжку, доступ до грошей/даних, історія інцидентів, обсяги).
Proportionality: CDD для низькоризикових постачальників, EDD для високоризикових (PSP, афіліати з агресивним трафіком, крос-бордер реселери).
Ongoing Monitoring: первинна перевірка без постійного моніторингу марна.
Four-Eyes & Segregation: рішення щодо онбордингу/блокування - мінімум двома співробітниками.

3) Ролі та відповідальність

Board/Exec: затверджує KYB-політику, ризик-апетит, матрицю ескалацій.
MLRO/Compliance: власник процесу КУВ/санкцій, методологія Adverse Media/PEP, SAR/STR при необхідності.
Risk/Analytics: ризик-скоринг, поведінкові правила для афіліатів/PSP.
Commercial/BD: збір документів, контроль умов договорів, KPI партнерів.
Legal: договірні гарантії, IP/ліцензії, штрафи, право одностороннього розірвання при AML/санкційних подіях.
Security/IT: доступи, шифрування, журнал дій, вендор-оцінка з безпеки.
Finance/Payments: контроль виплат, реєстри бенефіціарів, звірка реквізитів.

4) Рівні KYB (приклад)

CDD (базовий): реєстраційні документи, директори, UBO ≥25%, санкції/PEP/Adverse Media, сайт/контакти, податковий номер, підтвердження адреси юрособи.
ID + EDD (розширений): повний ланцюжок володіння до фізосіб, фінансова звітність, банківські листи/референси, ліцензії/дозволи, опис бізнес-моделі та джерел доходів, перевірка операційних майданчиків, перевірка доменів/каналів трафіку, техаудит безпеки.
Continuous: рев'ю щодо подій (санкції, зміна UBO/директорів, сплески трафіку/чарджбеків), щорічний перегляд досьє.

5) Збір даних і документів

• Сертифікат інкорпорації, статут/установчий договір, реєстр акцій/учасників.
• Список директорів і UBO (з частками і громадянством).
• Юр-адреса та фактична адреса, податковий номер/VAT.
• Ліцензії/дозволи (iGaming/платіжні/рекламні), договори суб-постачальників.
• Банківські реквізити (лист з банку/void cheque), підтвердження володіння рахунком.
• Політики AML/KYC/KYB, санкційний скринінг в компанії, GDPR/безпека, DPIA (якщо є доступ до ПД).
• Для афіліату: опис джерел трафіку, домени/лендінги, акаунти в соцмережах/адсетах, гео і формати реклами, CRM/трекери.

• Документ особи + лівнес, адреса (≤3 міс.), санкції/PEP/Adverse Media.
• Підтвердження зв'язку з компанією (призначення директором, володіння частками).

6) Санкції, PEP, Adverse Media

Скринінг юридичної особи, всіх торгових найменувань, пов'язаних доменів і директорів/UBO.
Фуззі-пошук, аліаси і транслітерації; ручний кліринг прикордонних збігів.
Періодичний рескринінг (щоденні оновлення списків) і подієвий при змінах в профілі партнера.
Adverse Media: теми - корупція, фрод, наркоторгівля, азартні ігри без ліцензії, відмивання.

7) Оцінка технічної та регуляторної зрілості

Ліцензії та відповідність: валідність і обсяг ліцензій (ігрові, платіжні, рекламні), звітність, штрафи в минулому.
Security & Privacy: шифрування, RBAC/ABAC, управління ключами/секретами, журнали доступу, політика зберігання даних, інцидент-респонс.
Надійність операцій: SLA/аптайм, бекапи, план безперервності, DDoS-захист.
Інтеграції: безпечні API, журнали аудиту, версії SDK, правила по PI/PCI DSS (якщо працює з картами).

8) Специфіка за типами партнерів

8. 1 Афіліати (KYA - Know Your Affiliate)

Трафік-профіль: джерела (SEO/ASO, PPC, тизери, соцмережі, стріми), білі/сірі практики, допустимість гео і віковий таргетинг.
Мітки якості: CR→FTD, FTD→depozitor, depozit→vyvod, аномальні піки, частка мультиаккаунтів/бонус-абьюза.
Контент і бренд-сейфті: відсутність неправдивих обіцянок, відповідність локальним рекламним правилам.
Фінансова сторона: звірка платіжних реквізитів, відсутність третіх осіб як бенефіціарів виплат.
Моніторинг: регулярні «crawl» доменів/креативів, підпільні редиректи/дорвеї - стоп-фактори.

8. 2 Провайдери ігор/агрегатори

Право на дистрибуцію IP: ліцензії на RNG/ігри, право використання брендів/музики/арт-активів.
Юрисдикції доступності: матриця ринків (що можна показувати де), механізми гео-фільтрації.
Fair play: сертифікація RNG, лабораторії, звітність, історія інцидентів (rigging/витоку).
Платежі: роялті-модель (RevShare/flat), звірка звітів, анти-маніпуляції з GGR/тегами.

8. 3 PSP/банки/оркестратори

Ліцензії на платежі (EMI/PI/банківські), KYC/AML-процеси, ліміти, MCC-класи.
Ризики блокування: чарджбеки, повернення, blacklists; план обходу інцидентів (Failover).
Трасування виплат: верифікація власника рахунку, правила «same method», звітність.

8. 4 Сервіс-провайдери (KYS - Know Your Supplier)

Доступ до ПД/рахунків/кодової бази → EDD + договори щодо захисту даних, права аудиту, повідомлення про інциденти, суб-процесори.

9) Договірні гарантії та контроль

Клаузули AML/санкції: гарантія відповідності всім режимам, право негайного розірвання при порушенні.
KYC/KYB-зобов'язання: надання документів за запитом, оновлення при зміні UBO/директорів.
Рекламні стандарти (для афіліатів): заборона mis-selling, обов'язкові дисклеймери, локальні обмеження.
Аудит та інспекції: право на перевірки, доступ до логів/креативів, штрафи/утримання при серйозних порушеннях.
SLA/OLA: аптайм, TAT за тікетами, терміни реагування на інциденти, штрафи за прострочення.
IP/Контент: підтвердження прав, відповідальність за претензії третіх осіб.
Дані та безпека: DPIA/DTIA, шифрування, breach-notification ≤72 ч, заборона передачі в «червоні» юрисдикції без гарантій.

10) Моніторинг і рев'ю (Ongoing)

• Зміна UBO/директорів/банківських реквізитів.
• Санкційна подія/Adverse Media.
• Аномальний трафік/чарджбеки/спайки по виплатах.
• Скарги користувачів/регуляторні запити.
• Зміна бізнес-моделі/географії.

Процес: сигнал → кейс → запит документів/пояснень → рішення (зберегти/заморозити/розірвати) → пост-морем і оновлення правил.

11) Матриця ризиків (приклад)

12) Метрики та KPI KYB

Onboarding TAT (медіана/95-й перцентиль).
Completeness Score досьє (частка повних профілів).
Auto-clear/Manual-review rate за алертами.
False Positive rate санкцій/РЕР і час клірингу.
Traffic Quality (афіліати): CR, FTD-якість, WD-ratio, chargeback-rate.
Incident Rate и Time-to-Contain.
Audit Findings Closed on Time.
Vendor SLA Compliance (аптайм/реакція).

13) Архітектура та інтеграції

Єдине досьє партнера: граф володіння UBO, документи, статуси санкцій/РЕР, ліцензії, домени, платіжні реквізити.
Шина подій: зміни реквізитів, сплески трафіку/чарджбеків, санкційні апдейти → алерти в кейс-систему.
Рушій рішень: правила + ML (скоринг афіліатів, ризик PSP, аномалії).
Журнали та WORM-сховище: незмінювані версії документів, мотивування рішень, сліди доступу.
Доступи та секрети: RBAC/ABAC, HSM/secret-vault, обмеження вивантажень.
Деградація: при недоступності провайдерів санкцій - кворум/ретраї, тимчасове посилення порогів.

14) Чек-листи

• Регдокументи, статут, реєстраційна адреса.
• Директора/UBO ≥25% + КУС/адреса.
• Санкції/PEP/Adverse Media (юрособа/особи).
• Ліцензії, право на продукти/контент.
• Банківські реквізити та підтвердження володіння рахунком.
• Політики AML/KYC/KYB + безпека даних.
• Для афіліата: джерела трафіку, домени, креативи, гео.
• Договір: AML-клаузули, право аудиту, SLA, штрафи.

• Повторний санкційний скринінг.
• Перевірка бенефіціара рахунку = партнер/UBO.
• Звірка звітів (трафік/ігри/роялті).
• Анти-фрод перевірки (аномалії, мульти-рівневі ланцюжки).

• Актуальність документів/ліцензій/UBO.
• Зведення інцидентів/скарг/регзапитів.
• Зміни в гео/каналах трафіку/продуктовій лінійці.
• Перекалібрування ризику і лімітів.

15) Типові ризики і як їх закривати

Прихована UBO-структура через офшори → вимагати ланцюжок до фізосіб, незалежні реєстри, юридичне підтвердження.
«Брудний» трафік афіліатів → контрактні заборони, авто-моніторинг доменів, фінштрафи, стоп-лист.
Санкційні/РЕР-ризики → щоденний рескрининг, ручний кліринг, ескалація MLRO.
Підміна платіжних реквізитів (BEC-fraud) → підтвердження реквізитів з договірного каналу, two-man rule, контроль змін по 24-48 год кварентині.
Доступ до ПД третіми особами → DPIA, мінімізація, аудит слідів доступу, технічні та договірні бар'єри.

16) FAQ

Де поріг для EDD? Високий ризик за гео/роллю/обсягом, доступ до ПД/грошей, складна структура UBO, негативні медіа.
Як часто переглядати досьє? Мінімум щорічно; плюс подієво.
Чи можна платити афіліату на особистий рахунок? Небажано: збіг власника, UBO-лінк, цільова перевірка і локальні правила.
Що робити при суперечці про якість трафіку? Включати в договір право на аудит, вибірку лідів, методологію атрибуції, утримання/chargeback-корекції.

17) Шаблон структури KYB-політики (для wiki)

1. Область дії та визначення

2. Роль і відповідальність (RACI)

3. RBA-методологія та пороги EDD

4. Вимоги до документів (юрособа/директора/UBO)

5. Санкції/PEP/Adverse Media і періодичність рескрининга

6. Специфіка за типами партнерів (KYA/KYS/PSP/ігрові провайдери)

7. Договірні вимоги (AML, SLA, аудит, IP, дані)

8. Моніторинг та рев-KYB (тригери, кейс-менеджмент)

9. Метрики та звітність для Board/менеджменту

10. Зберігання даних, безпека, приватність

11. План безперервності та реагування на інциденти

12. Додатки: чек-листи, форми, шаблони листів і звітів

Підсумок

Сильний KYB-контур = правильна глибина перевірки на вході, жорсткі договірні рамки, постійний моніторинг і прозорі метрики. Стандартизуйте досьє, автоматизуйте санкційний контур, вимірюйте якість трафіку і дотримання SLA, регулярно переглядайте ризик-швидкість партнерів - і ви знизите регуляторні, фінансові та репутаційні ризики без шкоди для темпу бізнесу.