Заблуждения AML/KYC и ошибки контрольных мер

Эта страница не является перечнем «всех ошибок AML с 1989 года». Это структурированный контрольный материал о повторяющихся упрощениях в рассуждении, которые могут ослаблять работу AML/KYC. Он не является статистическим рейтингом и не утверждает, что такие ошибки допускает каждый аналитик.

Практическое применение: MLRO, руководители compliance и менеджеры онбординга могут использовать страницу для калибровки младших аналитиков, основателей, операционных команд и процессов проверки с участием AI. Цель — уменьшить число чрезмерно упрощённых выводов, а не заменить местную AML-политику, законодательство, guidance FIU, внутренние правила эскалации или профессиональное суждение ответственного проверяющего.

Как читать эту страницу#

Ошибки AML/KYC редко являются только «неверными фактами». Многие слабые решения возникают, когда корректный факт применяется слишком широко. Sanctions no-match — полезный результат, но это не то же самое, что полная AML clearance. PEP flag — risk factor, но не обвинение в misconduct.

Ошибки контроля identity и CDD#

• KYC означает сбор документов. Более точная рамка: KYC/CDD — это понимание клиента и подтверждение этого evidence, а не только хранение файлов.
• Проверенный паспорт или registry extract означает low risk. Более точная рамка: identity verification и risk assessment — разные контрольные меры.
• CDD выполняется только при onboarding. Более точная рамка: CDD — это lifecycle control.
• Если клиент ответил на все вопросы, case завершён. Более точная рамка: заявления следует сопоставлять с evidence и activity.
• Low-risk onboarding означает, что будущий monitoring не нужен. Более точная рамка: risk может измениться.

Ошибки контроля PEP и sanctions#

• PEP означает criminal. Более точная рамка: PEP status — это risk context, а не criminal finding.
• Domestic PEP всегда нерелевантен. Более точная рамка: domestic PEP exposure зависит от local law, policy и risk-based controls.
• Отсутствие sanctions match означает отсутствие AML risk. Более точная рамка: sanctions screening — одна контрольная мера, а не полная clearance.
• Fuzzy sanctions hit означает, что клиент находится под санкциями. Более точная рамка: match остаётся review item, пока не разрешён через identifiers и source data.
• Нужно проводить sanctions screening только по имени клиента. Более точная рамка: relevant parties могут включать UBOs, controllers, directors, counterparties и ownership/control links.
• Если имя написано иначе, совпадения нет. Более точная рамка: aliases, transliteration и spelling variation имеют значение.

Ошибки контроля country и geographic risk#

• Country risk равен nationality. Более точная рамка: оценивайте residence, incorporation, operations, routes, counterparties, sector и customer-specific facts.
• Имеют значение только blacklists и greylists. Более точная рамка: используйте list status вместе с mutual evaluation findings, national risk context и фактическими обстоятельствами отношений.
• Low-risk country означает, что клиент low risk. Более точная рамка: country context не заменяет customer-level risk assessment.
• High-risk country означает, что каждый клиент неприемлем. Более точная рамка: higher-risk exposure должна запускать пропорциональные controls, evidence и escalation.
• Digital exposure не имеет значения, если legal incorporation чистая. Более точная рамка: отделяйте legal domicile от operational и digital exposure.

Ошибки UBO и ownership-control#

• Shareholder register всегда показывает реального controller. Более точная рамка: legal ownership и effective control могут различаться.
• UBO найден один раз, значит UBO verified forever. Более точная рамка: UBO evidence является point-in-time и может требовать refresh.
• Complex structure автоматически означает suspicious. Более точная рамка: complexity нужно понять и подтвердить evidence; проблема — unexplained inconsistency.
• Nominee или trust language можно игнорировать. Более точная рамка: определяйте control, benefit и direction согласно applicable policy.
• Registry data всегда полные и актуальные. Более точная рамка: фиксируйте source date и limitations.

Ошибки adverse media и open-source контроля#

• Adverse media — финальный вывод. Более точная рамка: это lead или risk context, пока не оценены source quality, date, relevance, identity и corroboration.
• Отсутствие search result означает отсутствие adverse information. Более точная рамка: missing open-source results — это scoped checks, а не доказательство отсутствия risk.
• Упоминание в leak database доказывает wrongdoing. Более точная рамка: используйте leak data осторожно как investigative context и подтверждайте relevance.
• Старые adverse media всегда нерелевантны. Более точная рамка: оценивайте age вместе с severity, outcome и current relevance.
• Aggregators являются official sources. Более точная рамка: material hits по возможности нужно прослеживать к primary sources.

Ошибки transaction и behaviour control#

• Transaction monitoring касается только крупных сумм. Более точная рамка: оценивайте behaviour относительно expected customer profile.
• Small transactions не могут иметь значения. Более точная рамка: patterns могут быть релевантными.
• Объяснения клиента сами по себе достаточно. Более точная рамка: сопоставляйте explanations с documents, transaction facts и counterparties.
• Source of funds и source of wealth — одно и то же. Более точная рамка: они отвечают на разные вопросы.
• Если transaction коммерчески возможна, она автоматически reasonable. Более точная рамка: оценивайте economic rationale, route, timing и documentation.

Ошибки evidence и case-file control#

• Больше screenshots всегда означает лучшее evidence. Более точная рамка: evidence должно быть relevant, dated, source-linked, indexed и связано с conclusion.
• Копирование raw search results — это evidence pack. Более точная рамка: фиксируйте, что проверялось, когда, где, почему это важно и что остаётся unresolved.
• Один identifier разрешает любой match. Более точная рамка: используйте strongest available combination of identifiers.
• Нет discrepancy — нет risk. Более точная рамка: consistency — один outcome, а не весь risk assessment.
• Conclusion можно написать до evidence review. Более точная рамка: conclusion должен следовать из facts, evidence weight и unresolved issues.

Ошибки escalation и MLRO control#

• Escalation означает, что аналитик ошибся. Более точная рамка: escalation — это контрольная мера для uncertainty, higher risk и unresolved discrepancies.
• Каждый red flag должен становиться SAR/STR. Более точная рамка: reporting является jurisdiction-specific и зависит от legal thresholds, policy и reviewer judgment.
• Tipping-off имеет значение только после подачи report. Более точная рамка: customer communication должна следовать local policy и escalation guidance.
• MLRO review нужен только для очевидных случаев. Более точная рамка: unclear cases могут требовать MLRO input именно потому, что ответ не очевиден.
• Закрытие case означает, что risk исчез. Более точная рамка: closed decision — документированный point-in-time outcome.

Ошибки TCAML и AI-assisted review#

• AI output является evidence. Более точная рамка: model output может summarise или route evidence, но не является underlying source.
• Если model звучит уверенно, case разрешён. Более точная рамка: language confidence не равна evidence quality.
• RAG retrieval означает, что answer complete. Более точная рамка: retrieved context нужно проверять на coverage и source quality.
• Automation устраняет accountability. Более точная рамка: automation должна улучшать traceability и consistency, а не заменять accountable review.

Suspicion как обоснованный аналитический вывод#

Suspicion — это не keyword match, одиночный red flag или автоматически generated alert. Это обоснованный аналитический вывод, сформированный после сопоставления activity, customer profile, source evidence, explanations, unresolved discrepancies и applicable escalation rules.

Безопасная формулировка должна разделять:

Сильная case note объясняет, почему issue был cleared, почему нужна дополнительная информация или почему он был escalated. Она не должна опираться на расплывчатые формулировки вроде «looks fine» или «customer is known».

Основа источников#

• FATF Recommendations.
• FATF PEP guidance.
• FATF beneficial ownership guidance.
• FATF Methodology.
• OFAC Sanctions List Search Tool.
• OFAC Framework for Compliance Commitments.
• FinCEN SAR Narrative Guidance.
• Wolfsberg Group Risk-Based Approach resources.
• Open Source Limitations and Evidence Weight.