Система фінансового моніторингу: чому вже недостатньо «правил у шухляді»

Від формального комплаєнсу до інфраструктури

Ще кілька років тому система фінансового моніторингу в небанківській фінансовій установі часто виглядала як комплект внутрішніх документів, наказ про призначення відповідального працівника і таблиця в Excel для порогових операцій. Регулятор перевіряв наявність документів, установа отримувала письмове застереження або помірний штраф, і питання вважалося закритим. Практика 2026 року демонструє, що ця модель вичерпала себе.

У травні 2026 року Національний банк України застосував заходи впливу до одного банку та дев’яти небанківських фінансових установ, а загальна сума штрафів перевищила 320 млн. грн. Дві небанківські фінансові установи - оператори мереж платіжних терміналів - отримали по 135,15 млн. грн. кожна, тобто штраф у максимальному розмірі, який Закон України «Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та фінансуванню розповсюдження зброї масового знищення» від 06.12.2019 №361-IX, надалі - «Закон №361-IX», взагалі допускає для фінансових установ. Страхова компанія в тому ж пакеті рішень отримала 40,7 млн. грн. Претензії регулятора були сформульовані однаково: неналежна перевірка клієнтів, зокрема політично значущих осіб, та некоректна оцінка ризиків. У червні 2026 року штраф понад 4 млн. грн. за недоліки первинного фінансового моніторингу отримав один із найбільших мережевих ломбардів.

Спільний знаменник цих рішень полягає в тому, що жодна з установ не порушувала вимоги через відсутність правил. Порушення виникали там, де правила не були перетворені на процес, який щодня та без винятків виконується на кожному клієнті й кожній операції. Саме тут і виникає попит, який ринок відчуває вже зараз: не на ще одну редакцію правил фінмоніторингу, а на систему, в якій нормативні документи, організаційна структура і програмне забезпечення працюють як єдиний механізм.

Хто зобов’язаний будувати систему

Коло суб’єктів первинного фінансового моніторингу (СПФМ) визначено ст. 6 Закону №361-IX, а державне регулювання і нагляд за ними розподілено між кількома регуляторами. Для ринку фінансових послуг ключовим є Національний банк України, який наглядає за фінансовими компаніями, ломбардами, страховиками, кредитними спілками, платіжними установами та іншими небанківськими установами. Базовим актом для них є Положення про здійснення установами фінансового моніторингу, затверджене постановою Правління НБУ від 28.07.2020 №107. Пункт 23 Положення детально визначає зміст внутрішніх документів: від порядку ідентифікації, верифікації та встановлення кінцевих бенефіціарних власників до критеріїв ризику, індикаторів підозрілості та відмови від ділових відносин.

Не менш значний, хоча й менш публічний сегмент становлять СПФМ, які перебувають під наглядом Національної комісії з цінних паперів та фондового ринку: професійні учасники ринків капіталу (крім банків), професійні учасники організованих товарних ринків, недержавні пенсійні фонди, управителі фондів фінансування будівництва та фондів операцій з нерухомістю, Центральний депозитарій цінних паперів. Для них діє Положення про здійснення фінансового моніторингу суб’єктами первинного фінансового моніторингу, державне регулювання та нагляд за діяльністю яких здійснює НКЦПФР, затверджене рішенням НКЦПФР від 11.03.2021 №176, а наглядові процедури у 2025-2026 роках суттєво оновлено. Рішенням НКЦПФР від 22.08.2025 №13/21/2796/К03 затверджено новий порядок нагляду за дотриманням вимог у сфері запобігання легалізації, а вже з 01.07.2026 діє уніфіковане положення про провадження у справах про правопорушення, затверджене рішенням від 09.04.2026 №15/21/4154/К03. Воно передбачає обов’язкову цифрову взаємодію з регулятором через комплексну інформаційно-комунікаційну систему і можливість укладення угоди про врегулювання як на стадії фіксації порушення, так і під час розгляду справи.

Окремо варто згадати гральний ринок. Суб’єкти господарювання, які проводять лотереї та/або азартні ігри, належать до спеціально визначених СПФМ згідно з підп. «з» п. 7 ч. 2 ст. 6 Закону №361-IX, а поріг, з якого фінансова операція за наявності визначених законом ознак вважається пороговою, для них ч. 1 ст. 20 цього Закону встановлено на рівні 55 000 грн. - значно нижче загального порогу в 400 000 грн. При цьому регуляторне середовище змінилося: Комісію з регулювання азартних ігор та лотерей (КРАІЛ) ліквідовано постановою Кабінету Міністрів України від 25.03.2025 №336, а з 02.06.2025 працює Державне агентство України ПлейСіті.

Найпоширеніша помилка на цьому ринку - ототожнювати ліцензійного регулятора з органом нагляду у сфері фінансового моніторингу. Ці функції розділені. ПлейСіті видає ліцензії, контролює дотримання ліцензійних умов і з квітня 2026 року в пілотному режимі запустило Державну систему онлайн-моніторингу (ДСОМ), яка в реальному часі фіксує ставки, виграші та повернення коштів. Повне її розгортання заплановано на осінь 2026 року.

Натомість державне регулювання і нагляд у сфері запобігання та протидії щодо суб’єктів господарювання, які проводять лотереї та/або азартні ігри, п. 3 ч. 1 ст. 18 Закону №361-IX покладає на центральний орган виконавчої влади, що забезпечує формування та реалізацію державної політики у сфері запобігання та протидії легалізації (відмиванню) доходів, тобто на Міністерство фінансів України. Порядок перевірок для цієї категорії СПФМ за ч. 2 ст. 18 цього Закону встановлює Кабінет Міністрів України, і такий Порядок затверджено постановою Кабінету Міністрів України від 16.06.2023 №662.

Базовим відомчим актом для гральних операторів є Положення про здійснення фінансового моніторингу суб’єктами первинного фінансового моніторингу, державне регулювання і нагляд за діяльністю яких здійснює Міністерство фінансів України, затверджене наказом Мінфіну від 07.06.2024 №282. На відміну від більшості інших СПФМ, для яких автоматизація є питанням доцільності, п. 4 розд. II цього Положення прямо зобов’язує суб’єкта господарювання, який проводить азартні ігри, запровадити систему автоматизації процесів фінансового моніторингу. Вона має фіксувати кожну операцію з прийняття і повернення ставки, виплати виграшу та обміну коштів на ігрові замінники гривні в розрізі кожного ідентифікованого клієнта, контролювати використання клієнтом одного й того самого рахунку для всіх розрахунків з оператором азартних ігор у мережі Інтернет, унеможливлювати перекази між клієнтськими рахунками гравців і гру в кредит, забезпечувати скринінг клієнтів за переліком терористів, Державним реєстром санкцій і на належність до політично значущих осіб, а також вести захищений від модифікації протокол роботи кожного користувача. З 01.01.2026 річна адміністративна звітність таких СПФМ подається виключно онлайн через єдиний вебпортал Мінфіну.

Дві системи нагляду не існують ізольовано. Відповідно до п. 10 ч. 1 ст. 51 Закону України «Про державне регулювання діяльності щодо організації та проведення азартних ігор» від 14.07.2020 №768-IX підставою для припинення дії ліцензії є рішення зазначеного центрального органу виконавчої влади про застосування заходу впливу у формі припинення дії ліцензії відповідно до Закону №361-IX.

Це кореспондує п. 2 ч. 3 ст. 32 Закону №361-IX, який серед заходів впливу прямо називає відкликання ліцензії, з провадженням діяльності за якою в особи виникає статус СПФМ. Отже, системні порушення вимог фінмоніторингу для гральної компанії означають не лише штраф, а й ризик втрати ліцензії, вартість якої для онлайн-казино перевищує 30 млн. грн. Щодо штрафів є і важливий нюанс: гральні оператори є не фінансовими установами, а спеціально визначеними СПФМ, тому у разі вчинення двох і більше видів порушень граничний розмір сукупного штрафу для них визначається за п. 2 ч. 6 ст. 32 Закону №361-IX - двократний обсяг вигоди, одержаної внаслідок порушення, а якщо її неможливо визначити, - 1 590 000 НМДГ (27,03 млн. грн.).

Чому без програмного забезпечення систему не побудувати

Закон №361-IX побудований на ризик-орієнтованому підході, і саме ця конструкція робить ручний фінмоніторинг практично нездійсненним. Установа має не лише ідентифікувати клієнта, а й присвоїти йому рівень ризику, періодично його переглядати, перевіряти клієнта та його кінцевих бенефіціарних власників за санкційними списками і переліком осіб, пов’язаних з терористичною діяльністю, встановлювати належність до політично значущих осіб, виявляти порогові та підозрілі операції за сукупністю індикаторів і в установлені строки подавати інформацію до Державної служби фінансового моніторингу України у визначених електронних форматах.

Для ломбарду з десятками відділень або фінансової компанії з онлайн-кредитуванням це тисячі клієнтів і операцій щомісяця.

Регулятор це розуміє і дедалі частіше закріплює вимоги до автоматизації прямо. Так, п. 16 Положення №107 для платіжних установ вимагає систему автоматизації, що забезпечує, зокрема, замороження активів, пов’язаних з тероризмом та його фінансуванням, постійний моніторинг фінансових операцій клієнтів і ведення протоколу роботи кожного користувача, захищеного від модифікації.

Для решти установ п. 18 Положення вимагає забезпечити перевірку клієнтів за переліками терористів і замороження активів за допомогою системи автоматизації або альтернативних методів, що передбачають електронне оброблення інформації, задокументувати суть цих заходів і на запит НБУ продемонструвати їх роботу. Останній елемент особливо показовий: регулятор перевіряє не лише результат, а й аудиторський слід, тобто можливість встановити, хто, коли і на якій підставі прийняв рішення щодо клієнта чи операції. Паперовий документообіг і Excel такого сліду не дають. Варто врахувати й те, що ч. 2 ст. 18 Закону №361-IX надає НБУ право проводити перевірочні (тестові) операції, у тому числі без попередження суб’єкта первинного фінансового моніторингу: перевіряється не опис системи в документах, а те, як вона реально спрацьовує на конкретній операції.

Звідси випливає ключова теза, яку ринок часто недооцінює. Програмне забезпечення для фінмоніторингу не є ІТ-продуктом у чистому вигляді. Його логіка - анкети клієнтів, критерії ризику, сценарії виявлення підозрілих операцій, порогові значення, маршрути погодження, строки реагування - є перенесенням нормативних вимог і внутрішніх документів установи в алгоритм. Якщо технічне завдання складене без юриста, система автоматизує помилки: пропускає ознаки, які прямо названі в законі, або генерує масив хибних спрацьовувань, які відповідальний працівник фізично не встигає опрацювати. Обидва сценарії під час перевірки кваліфікуються як незабезпечення належної організації первинного фінансового моніторингу.

Скільки коштує неналежна система

Частина 5 ст. 32 Закону №361-IX встановлює окремі граничні розміри штрафів за кожен вид порушення. Невиконання вимог щодо належної перевірки, порушення порядку документування і зберігання документів, обмежень щодо обміну інформацією - до 12 000 неоподатковуваних мінімумів доходів громадян (204 000 грн.). Неподання або несвоєчасне подання інформації, невиявлення чи несвоєчасне виявлення фінансових операцій, що підлягають фінансовому моніторингу, перешкоджання нагляду - до 20 000 НМДГ (340 000 грн.). Порушення щодо замороження активів, політично значущих осіб, а також невиконання вимог регулятора про усунення порушень - до 100 000 НМДГ (1,7 млн. грн.).

Найбільш чутливим є штраф за незабезпечення належної організації та проведення первинного фінансового моніторингу і відсутність належної системи управління ризиками - до 10% загального річного обороту, але не більше 7 950 000 НМДГ, тобто 135,15 млн. грн. Саме цю граничну суму отримали у травні 2026 року згадані оператори платіжних терміналів. Крім того, відповідно до ч. 6 ст. 32 Закону №361-IX у разі вчинення двох і більше видів порушень штрафи за кожен вид додаються. Для фінансових установ загальна сума обмежена тим самим максимумом, для інших СПФМ - подвійним розміром одержаної внаслідок порушення вигоди, а якщо її неможливо визначити - 1 590 000 НМДГ (27,03 млн. грн.).

Поряд зі штрафом регулятор може застосувати письмове застереження, відсторонення посадової особи від роботи, відкликання ліцензії або укласти угоду про врегулювання наслідків порушення зі сплатою погодженого грошового зобов’язання. Інформація про застосування заходів впливу із зазначенням назви установи, розміру штрафу та загальних відомостей про порушення оприлюднюється на вебсайті регулятора і залишається доступною не менше п’яти років, тож для фінансової установи репутаційні наслідки нерідко перевищують фінансові. Строк для застосування заходу впливу обмежений шістьма місяцями з дня виявлення порушення, але не пізніше трьох років з дня його вчинення. Рішення може бути оскаржене до суду протягом місяця з дня набрання ним чинності, а якщо цього не зроблено і штраф не сплачено добровільно, рішення набуває статусу виконавчого документа.

Персональну відповідальність несуть і посадові особи. Стаття 166-9 Кодексу України про адміністративні правопорушення передбачає для посадових осіб СПФМ штраф від 300 до 2000 НМДГ (від 5 100 до 34 000 грн.).

Більше того, ст. 209-1 Кримінального кодексу України встановлює кримінальну відповідальність за умисне неподання, несвоєчасне подання або подання недостовірної інформації про фінансові операції, що підлягають фінансовому моніторингу, якщо це заподіяло істотну шкоду правам, свободам чи інтересам громадян, державним чи суспільним інтересам або інтересам юридичних осіб: штраф від 1000 до 3000 НМДГ (від 17 000 до 51 000 грн.) або пробаційний нагляд на строк до трьох років з позбавленням права обіймати певні посади чи займатися певною діяльністю на строк до трьох років. За розголошення таємниці фінансового моніторингу ч. 2 ст. 209-1 КК України передбачає штраф від 3000 до 5000 НМДГ (від 51 000 до 85 000 грн.) з таким самим позбавленням права. Для відповідального працівника з фінмоніторингу чи керівника установи це означає судимість і фактичну втрату професії на ринку фінансових послуг.

Як ми будуємо систему фінансового моніторингу

Адвокатське бюро має значний і глибокий досвід у сфері фінансового моніторингу, накопичений на проєктах для фінансових компаній, страхових компаній, професійних учасників ринків капіталу та інших СПФМ. Ми надаємо дієву правничу допомогу у розробці повного пакету внутрішніх документів: правила фінансового моніторингу, програми проведення первинного фінмоніторингу та навчання працівників, методики оцінки ризиків установи й клієнтів, порядки належної перевірки, виявлення та повідомлення про підозрілі операції, реагування на санкційні спрацьовування. Документи розробляються під реальні бізнес-процеси установи, а не адаптуються із шаблону, що безпосередньо впливає на результат перевірки.

Окремий напрям нашої роботи - правнича допомога у впровадженні системи в цілому: юридичний аудит чинної системи на відповідність Закону №361-IX та актам НБУ і НКЦПФР, підготовка технічного завдання для розробника або постачальника програмного забезпечення, формалізація критеріїв ризику та індикаторів підозрілості у вигляді, придатному для алгоритмізації, приймання системи з юридичної точки зору. За потреби, ми маємо можливість супроводжувати клієнтів під час виїзних і безвиїзних перевірок, готуємо пояснення та заперечення, представляємо інтереси під час розгляду справ, укладення угод про врегулювання та оскарження рішень про застосування заходів впливу.

Якщо ваша установа планує оновлення системи фінансового моніторингу, впровадження нового програмного забезпечення або готується до перевірки регулятора, почати варто з аудиту чинних документів і процесів: саме він показує, які прогалини можуть коштувати установі 135,15 млн. грн., а які закриваються за кілька тижнів роботи.

Цей матеріал має виключно інформаційний характер і не є правовою консультацією. Законодавство у сфері фінансового моніторингу змінюється часто, і перед прийняттям рішення його варто перевіряти на актуальність.