Аутсорсинг і ризики третіх сторін
Читати PDF-версію (4 сторінок)
Більшість ліцензіатів у сфері DPT передають на аутсорсинг ключові частини свого комплаєнс-стеку: верифікацію особи, санкційний скринінг, моніторинг операцій, блокчейн-аналітику та обмін повідомленнями за правилом передачі інформації зазвичай надають постачальники. Настанови MAS щодо аутсорсингу (Guidelines on Outsourcing), уперше видані 2016 року й переглянуті 2018 року, поширюються на постачальників платіжних послуг. Вони вимагають вести реєстр домовленостей про аутсорсинг і проводити належну перевірку постачальника послуг перед залученням, а згодом періодично. Письмові договори мають надавати компанії та MAS права на аудит і доступ. Потрібні механізми забезпечення безперервності бізнесу, а про суттєвий аутсорсинг слід повідомляти MAS.1 Настанови також стосуються хмарних послуг і аутсорсингу за кордон, що важливо для групи, чиї комплаєнс-системи можуть розміщуватися у Швейцарії чи деінде.
Відповідальність за передану на аутсорсинг функцію залишається на ліцензіатові. Під час інспекції MAS просить компанію показати, що вона розуміє, як працює скринінг чи моніторинг постачальника, і що вона перевірила його результати. Компанія мусить показати, що налаштувала правила постачальника відповідно до власної оцінки ризиків і що помітила б збій постачальника. Компанія, яка не може пояснити, чому її постачальник аналітики відносить адресу до підсанкційного кластера або як встановлено її правила моніторингу, передала на аутсорсинг не лише обробку, а й власне судження. MAS цього не допускає.
Вибір постачальника блокчейн-аналітики та управління відносинами з ним
Рішення щодо постачальника, яке найбільше впливає на результати AML ліцензіата у сфері DPT, — це вибір постачальника блокчейн-аналітики. На ринку домінують Chainalysis, Elliptic, TRM Labs і ще кілька компаній, і їхні атрибуції відрізняються. Одна й та сама адреса в одного може мати високий рівень ризику, а в іншого не мати оцінки взагалі. Атрибуція залежить від власних алгоритмів кластеризації та розвідувальних даних кожного постачальника. MAS не схвалювала жодного постачальника і не вимагає якогось конкретного. Проте вона очікує, що компанія оцінила покриття постачальником блокчейнів, які підтримує компанія, а також його методологію атрибуції та частоту помилок. До тієї самої оцінки належать затримка оновлень, механізми захисту даних і власне дотримання санкцій постачальником.2 Більші компанії паралельно використовують двох постачальників і розслідують розбіжності. Це добра, але дорога практика. Менші компанії мають принаймні задокументувати, чому обрали свого постачальника, і перевіряти вибірку атрибуцій за публічними джерелами. Їхні пороги ризику слід встановлювати з розумінням того, як постачальник поводиться щодо хибнопозитивних і хибнонегативних результатів.
Контрольний перелік
Домовленість про блокчейн-аналітику, яка витримає інспекцію MAS, має містити таке. - Письмову оцінку покриття блокчейнів постачальником щодо активів, які підтримує компанія, з оновленням у разі лістингу нового активу. - Задокументовані пороги оцінки ризику для прямого й опосередкованого зв’язку за категоріями (санкції, даркнет, міксер, шахрайство, злам, азартні ігри) з бізнес-обґрунтуванням кожного. - Докази періодичної перевірки атрибуцій постачальника на вибірці відомих адрес. - Процедуру опрацювання атрибуцій, які компанія оспорює, зокрема ескалацію до постачальника та документування результату. - Докази інтеграції, які показують, що кожен вхідний і вихідний переказ проходить скринінг до зарахування чи трансляції в мережу, із зберіганням журналів протягом п’яти років. - Договір про обробку даних, який відповідає правилам PDPA щодо обмеження передачі, якщо постачальник обробляє дані за межами Сінгапуру. - Підтвердження того, що сам постачальник не перебуває під санкціями і не фігурував у заходах примусу.
Примітки
- MAS, Guidelines on Outsourcing, 27 липня 2016 р., переглянуті 5 жовтня 2018 р., застосовуються до всіх фінансових установ під наглядом MAS; MAS провела консультації та видала наступні інструменти щодо управління ризиками третіх сторін для окремих секторів. ↩
- Guidelines to Notice PSN02, розділ щодо використання технологій та інструментів третіх сторін у належній перевірці клієнтів і моніторингу операцій; MAS Information Paper щодо механізмів контролю AML/CFT постачальників послуг із DPT, спостереження щодо управління блокчейн-аналітикою. ↩
Лише для загального ознайомлення. Ця стаття не є юридичною чи податковою консультацією, не замінює консультації щодо конкретної справи й не створює відносин між адвокатом і клієнтом. Вона відображає правове становище станом на жовтень 2026.