Санкційна відповідність та моніторинг
1) Цілі та рамка
Санкційний комплаєнс запобігає наданню послуг особам/країнам із санкційних режимів та знижує ризики блокування платежів, доменів, хостингу та ліцензій. В iGaming це охоплює гравців (B2C), партнерів і провайдерів (B2B), афіліатів, платіжні ланцюжки, крипто-он/офф-рамп і трафік.
2) Джерела санкційних вимог
Міжнародні списки: ООН, ЄС, OFAC (SDN/SSI), UK HMT, Канада, Австралія та ін.
Правила володіння/контролю: заборона на обслуговування компаній, контрольованих (зазвичай ≥50% сумарно) особою зі списку.
Секторальні/ембарго: повна заборона або обмежені послуги за галузями/юрисдикціями.
Експортний контроль: криптографія/ПЗ, передача техданних і доступ до сервісів.
3) Губернанс і ролі
Борд/Ризик-комітет: затверджує політику санкцій, ризик-апетит, виключення (якщо допустимі законом).
Sanctions Officer/MLRO: власник процедур, списків і звітності; керує інцидентами.
Compliance Ops: скринінг/рескринінг, розбір збігів, ескалації.
Security/Data/Infra: гео-блок, анти-VPN/Tor, журналювання; інтеграції API вендорів.
Procurement/Legal: DD третіх осіб (PSP, KYC-вендори, афіліати), включення клаузул в договори.
4) Зони охоплення та об'єкти скринінгу
1. Клієнти/гравці (B2C) - KYC-дані, платіжні інструменти, пристрої, IP/гео.
2. B2B-контрагенти - юридичні особи, UBO/директори, ланцюжки володіння (50% +), афіліати/агентські мережі.
3. Платежі - відправник/одержувач, банки-кореспонденти, призначення (purpose), МСС/країна шляху.
4. Контент/інфра - хостинг/CDN/реєстратори/вендори, експорт криптографії.
5. Крипто - адреси/біржі, ризик-мітки (mixers, high-risk exchanges), ланцюжки перекладів.
5) Процес скринінгу та рескринінгу
Онбординг: повнотекстовий скринінг ПІБ/компанії + дата народження/країна; fuzzy-логіка, нормалізація транслітерацій.
Безперервний рескринінг: щодня для активних B2C, щодоби/щотижня для B2B і одержувачів виплат.
Тригери повторного скринінгу: зміна документа/адреси/пристрою, новий платіжний інструмент, істотна активність, зміна UBO у B2B.
Калібрування чутливості: різні пороги для частих імен/мов, «watchlist only» режим для Adverse Media.
Якість даних: стандартні поля (ПІБ латиницею/кирилицею, DOB, громадянство), контроль омонімів.
6) Гео-контур і деанонімізація
Гео-блок: блок-листи країн/регіонів; заборона реєстрації та доступу; зберігайте докази (логи).
IP-контроль: ASN-категоризація, виявлення VPN/Tor/проксі, геовелосіті.
Девайси: Device-fingerprint, заборона «загальних» пристроїв і повторного онбордингу з блок-гео.
Методи оплати: блок карти/гаманця з санк-гео; додаткові перевірки для А2А/крипто.
Контент і мови: уникайте «таргетингових сигналів» (локальна валюта, методи оплати, локаль) для заборонених гео.
7) Платежі та банки
Платіжний скринінг: ім'я одержувача, банк, BIC/IBAN-маски, маршрут коррахунків; заборони на санк-гео.
PSP-договори: зобов'язання щодо санкцій/експорту, право призупинення, SLA на репортинг, step-in і альтернативні коридори.
Hold/Reject логіка: автоматичне утримання сумнівних переказів до перевірки.
8) Крипто-ризики (on/off-ramp)
Перевірка адрес/контрагентів: біржі, міксери, high-risk гаманці, санк-теги.
Політика SoF (джерело коштів) для крипто; ліміти, whitelist на адреси.
Інциденти: блок/репорт, заборона повторного депозиту, SAR/STR при обґрунтованій підозрі.
9) Робота з третіми особами
КУС/санк-вендори: SLA покриття списків і латентності оновлень, точність, аудит логів.
Афіліати/агентства: клаузули про санкції; заборона трафіку з блок-гео; докази гео-таргетингу.
Хостинг/CDN/реєстратори: перевірка юрисдикцій, право на швидкий «трафік-міграцію».
10) Експортний контроль
Оцінка експортних обмежень на ПЗ/шифрування та віддалений доступ; заборона надання послуг підсанкційним особам/країнам; регістри користувачів з гео.
11) Інцидент-менеджмент і звітність
Play/Stop/Report: тимчасове блокування облікового запису/платежу → ручна перевірка → ескалація MLRO → звіт (якщо потрібно) → фінальне рішення.
Tipping-off: заборона розкривати клієнту факт санк-перевірки/репорту.
Журналювання: хто/коли прийняв рішення, джерела, скріншоти, хеші артефактів.
Терміни: внутрішні SLA (напр., P1 ≤ 24 год), зберігання 5 + років (локально уточнити).
12) Матриця ризиків (RAG)
13) Чек-листи
Перед запуском/входом на ринок
- Політика санкцій (джерела списків, 50% + правило, експорт).
- Гео-контур: блок-листи, анти-VPN/Tor, лог-докази.
- Вендори: SLA оновлень списків, точність, резервування.
- PSP/банки: санк-клаузули, step-in, альтернативи.
- Процедури інцидентів (P1/P2), навчання, ролі.
Операційний цикл (щодня/щотижня)
- Рескрининг активних B2C/B2B.
- Перевірка нових платіжних каналів/інструментів.
- Моніторинг анти-VPN/Tor; звіти з геовелосити.
- Крипто-адреси: оновлення міток, whitelist рев'ю.
- QA вибірки «помилкових збігів».
Щоквартально
- Аудит покриттів списків і латентності.
- Тест відновлення (вендор даун/банківський блок).
- Оновлення договірних клаузул і плейбуків.
14) Шаблони договірних клаузул (фрагменти)
A. Санкції та експорт
Сторони підтверджують дотримання застосовних санкційних режимів (ООН/ЄС/США/Великобританія та ін.) та експортного контролю. У разі санкційної події Сторона має право негайно призупинити виконання, повідомивши контрагента.
B. володіння і контроль
Послуги не надаються особам/організаціям, прямо включеним до санкційних списків або контрольованим ними (сукупна частка ≥ 50%). Контрагент гарантує актуальність інформації про UBO і негайне повідомлення про зміни.
C. гео-таргет і афіліати
Партнер зобов'язується не таргетувати заблоковані юрисдикції і використовувати технічні засоби гео-блокування. Порушення - підстава для негайного зняття матеріалів і розірвання.
D. платежі
15) Рекомендовані реєстри (YAML)
15. 1 Профіль санк-політики
yaml policy_id: "SAN-PLCY-2025-01"
lists: ["UN","EU","OFAC_SDN","OFAC_SSI","UK_HMT","CA","AU"]
ownership_rule: ">=50% aggregate"
rescreening:
b2c_active: "daily"
b2b_active: "daily"
payouts: "pre-disbursement"
geo_block:
blocked_countries: ["..."]
vpn_tor_block: true crypto:
address_risk_vendor: "ChainIntelX"
mixers_block: true psp:
sanction_clauses: true step_in: true owner: "Sanctions Officer"15. 2 Лог збігів/рішень
yaml hit_id: "HIT-2025-2117"
subject:
type: "person"
name: "Ivan Petrov"
dob: "1984-07-10"
match:
list: "OFAC_SDN"
score: 91 fields: ["name","dob","country"]
decision: "false_positive"
analyst: "m. ivanova"
qa_by: "san. officer"
closed_at: "2025-11-05T17:10Z"
evidence: ["passport_scan. png","watchlist_export. pdf"]15. 3 Гео-контур/анти-VPN
yaml geo_control:
blocked_countries: ["IR","KP","SY","CU","RU","BY", "..."]
tor_exit_nodes_block: true vpn_providers_block: true geovelocity_threshold:
km_per_min: 200 action: "challenge+hold"15. 4 Рескринінг B2B і UBO
yaml b2b_entity: "AffNet Media Ltd"
ubos:
- name: "John Doe"
ownership: 40
- name: "Jane Roe"
ownership: 60 last_rescreened: "2025-11-05"
status: "clear"
notes: "ownership change 2025-10-28 verified"16) Плейбуки (операційні сценарії)
P-SAN-01: Збіг за списком при онбордингу
Авто-хіт → перевірка DOB/адреси/джерел → при підтвердженні - відмова в обслуговуванні, збереження доказів → запис до реєстру/повідомлення (якщо потрібно).
P-SAN-02: Платіж через санк-маршрут
Холд → перевірка банку-кореспондента/BIC → запит альтернативного коридору → при неможливості - повернення коштів → звіт в PSP.
P-SAN-03: Гео-обхід (VPN/Tor)
Автоблок сесії → KYC-челендж → при підтвердженому обході - закриття, анулювання бонусів, запис до реєстру, повідомлення афіліату за наявності.
P-SAN-04: Крипто з міткою «міксер»
Заморожування депозиту → chain-аналіз → запит SoF → ескалація MLRO → можливий SAR/STR і блок.
P-SAN-05: Зміна UBO у партнера
Тригер рескринінгу → оновлення дерева володіння → при прапорі - призупинення послуг, запит документів, юридична оцінка → рішення борду.
17) KPI і звітність
Rescreening Coverage% (В2С/В2В/платежі).
Average Sanctions TAT по P1/P2.
False Positive Rate/Precision @Top -N за збігами.
Geo Evasion Block% (частка заблокованих VPN/Tor спроб).
Vendor SLA Compliance% (оновлення списків/доступність).
PSP Route Incidents/місяць і середній час обходу блокувань.
18) Міні-FAQ
Чи достатньо блокувати тільки SDN? Ні: враховуйте правила володіння/контролю та секторальні списки.
Чи потрібно скринувати афіліатів? Так, а також їх саб-мереж; заборона трафіку з блок-гео обов'язкова.
Як працювати з помилковими збігами? QA-вибірка, калібрування порогів, чіткі доказові пакети і контроль полів DOB/адреса.
Чи дозволено доступ через VPN? Для санк-гео - ні; в цілому використовуйте ризик-підхід з челленджами.
19) Дисклеймер
Санкційні режими динамічні і юрисдикційно розрізняються. Справжній матеріал - операційний каркас; конкретні заборони і формати звітності слід звіряти з локальним правом і консультантами.
20) Висновок
Санкційний комплаєнс - це архітектура процесів: політика і ролі, безперервний скринінг, жорсткий гео-контур, перевірені вендори і чіткі плейбуки інцидентів. Стандартизуйте реєстри і KPI - і санкційні ризики стануть керованими, а доступ до платіжної та інфраструктурної екосистеми - передбачуваним.