Як працює AML і KYC в ліцензованих казино

У ліцензованих казино боротьба з відмиванням грошей (AML) і знання клієнта (KYC) - не «галочки для звіту», а обов'язкові процеси, від яких залежить сама ліцензія, доступ до банків і репутація бренду. Нижче - як це влаштовано на практиці: від моменту реєстрації гравця до моніторингу виплат і інцидент-репортів.

Базові поняття (коротко)

KYC (Know Your Customer): ідентифікація особи, перевірка віку та адреси; мета - переконатися, що грає реальна повнолітня людина.

CDD (Customer Due Diligence): базова комплексна перевірка клієнта (KYC + первинний ризик-скоринг).

EDD (Enhanced Due Diligence): поглиблена перевірка для підвищеного ризику (великі суми, складні маршрути, PEP тощо).

SoF / SoW: Source of Funds (джерело засобів конкретної транзакції) і Source of Wealth (походження стану/капіталу клієнта).

PEP / Sanctions / Adverse Media: особи з політичним впливом, санкційні списки і негативні публікації в ЗМІ - всі три блоки впливають на ризик-профіль.

Життєвий цикл комплаєнсу гравця

1) Онбординг (до допуску до депозитів)

1. Ідентифікація: документ (паспорт/ID/вод. посвідчення) + селфі/liveness, автоматична перевірка віку.

2. Підтвердження адреси (PoA): рахунок за послуги/виписка банку/реєстр (в деяких юрисдикціях - необов'язково на старті, але потрібно до виведення).

3. Санкційний/РЕР-скринінг: звірка за глобальними та локальними списками; збереження «снапшота» збігів.

4. Первинний ризик-скоринг: країна, спосіб платежу, канал залучення, поведінкові сигнали → вибір режиму CDD/EDD.

5. Затвердження акаунта: правила відповідальної гри (RG), ліміти, згоди на обробку даних.

2) Депозити та гра (on-going due diligence)

Транзакційний моніторинг: порогові суми, частота, кругообіг «депозит-виведення», нетиповий годинник/гео.

SoF-перевірки: при спрацьовуванні тригерів - запит виписки, довідки про доходи, договорів, холдерства карт/гаманців.

Поведінковий моніторинг: швидкі повторні депозити, агресивне нарощування ставок, ігнор RG-повідомлень.

Рескринінг списків: періодичне оновлення санкцій/РЕР і adverse media.

3) Виведення коштів (cash-out)

«Повернення на джерело» (where possible): по можливості виплата тим же методом/на той же рахунок.

Повторний скринінг: санкції/РЕР/гео + chain-скринінг для крипти.

EDD при необхідності: якщо сума/патерн вище порогу - SoF/SoW і ручна валідація офіцером AML.

Журнали та артефакти: логи рішення, причини затримки/відмови, SLA по відповіді гравцеві.

Ризик-модель: як казино визначає «підвищений ризик»

Юрисдикція та резидентність: країни високого ризику, розбіжність IP і заявленої адреси.

Платіжний метод: передплачені карти, анонімні інструменти, нові PSP без належної практики.

Обсяг і частота: різкі стрибки депозитів/висновків, короткі цикли «поза грою».

Соціальний профіль: PEP, близькість до публічних осіб, негативні матеріали в ЗМІ.

Крос-канальні сигнали: множинні акаунти, загальний девайс/браузерний відбиток, схожі патерни у групи гравців.

💡 Результат скорингу - вибір сценарію: CDD (звичайна перевірка) або EDD (поглиблена, з SoF/SoW, додатковими документами і лімітами).

Що запитують в SoF/SoW (приклади)

SoF (про конкретні гроші): банківська виписка, довідка про зарплату, підтвердження продажу активу, скрін гаманця/біржі з історією введення.

SoW (про стан в цілому): декларації про доходи, договори, корпоративні документи, відомості про власність/дивіденди.

Санкційний та PEP-скринінг

Первинний матч: автоматичний пошук у списках (OFAC/ЄС/нац.) + PEP-бази.

Оцінка збігів: ім'я/дата народження/громадянство; імовірнісні збіги - ручна ревізія.

Політика толерантності: що робити при «хибнопозитивних» і «істинних» збігах; журнал рішень обов'язковий.

Adverse media: негативний контекст (корупція/шахрайство) посилює EDD і знижує ліміти.

Моніторинг транзакцій (AML-ядро)

Правила та сценарії: пороги сум, швидкість обороту, багаторазові депозити перед виведенням, «мули» (багато карт/гаманців), нетипові гео-хопи.

Аномалія детекція: моделі/евристики - шукають відхилення від власної «нормальної» поведінки клієнта.

SAR/STR: підготовка та подання повідомлень про підозрілі операції до фінмоніторингу; зберігання копій і відповідей.

Спеціальний випадок: Криптовалюта

Chain-скринінг адрес: санкції, міксери, зломи, даркнет-мітки; перевірка джерела засобів on-chain.

Travel Rule (де діє): обмін мінімальним пакетом KYC-даних між VASP при перекладах вище порога.

Custody-політики: hot/warm/cold, мультипідписи, ліміти на виведення і щоденні звірки.

Виплати: переважно через перевірених on/off-ramp; повторний скринінг перед кешаутом.

Відповідальна гра (RG) і AML/KYC: як пов'язані

Одні й ті ж сигнали (нічна активність, швидке зростання депозитів) важливі і для AML, і для RG.

Інтервенції: при ризику - «реаліті-чек», пауза, ліміти; при AML-тригерах - запит документів, тимчасове блокування виводу.

Логи і прозорість: гравець повинен розуміти, чому запросили документи/обмежили функції.

Захист даних і приватність

Мінімізація даних: збирайте рівно те, що потрібно для цілей KYC/AML/RG.

Права суб'єкта: доступ, виправлення, видалення (там, де законно) + терміни зберігання.

Контроль доступу: роль-бейзд, принцип «мінімально необхідного».

Кібербезпека: шифрування «в спокої» і «в польоті», іммутабельні логи, e-підписи.

Робота з провайдерами (KYC/санкції/chain-аналітика)

Вендор-дьюділідженс: сертифікації, аптайм, географія дата-центрів, політика інцидентів.

Роутер провайдерів: fallback на випадок даунтайму; різні провайдери під різні країни/документи.

Контроль якості: періодичні вибіркові рев'ю кейсів і «пробні» матчі за списками.

Метрики зрілості AML/KYC

KYC TAT: середній час верифікації (мета - хвилини, не години).

On-time filing: частка звітів, поданих до дедлайну (≥99%).

False Positive Rate щодо санкцій/РЕР (баланс точності та чутливості).

SAR/STR hit-rate: частка звітів, прийнятих без повернення.

Cash-out SLA: медіана за часом виведення без компромісу до ризиків.

Complaint SLA: середній час відповіді за претензіями КУС/виплат.

Часті помилки (і як їх закрити)

1. «KYC тільки при виведенні». Пізно: ризики накопичуються, банки/платежі блокуються. Рішення: поетапний KYC ще на онбордингу.

2. Один провайдер на все. Даунтайм = стоп онбордингу. Рішення: мульти-провайдер і роутинг.

3. Немає SoF/SoW-процедур. «Просимо що потрапило» → конфлікт з клієнтом. Рішення: чек-листи, шаблони листів і пороги.

4. Ручні звіти. Excel ламається, дедлайни горять. Рішення: вітрини даних, e-підпис і квитанції прийому.

5. Непрозора комунікація. «Чому мене перевіряють?» - зростання скарг. Рішення: заздалегідь пояснювати тригери і терміни, тримати SLA.

Дорожня карта впровадження (T-12 → T-0)

T-12…T-9: карта ризиків по юрисдикціях, політика KYC/AML, вибір провайдерів, проектування вітрин даних і логів.

T-9…T-6: інтеграції (KYC/санкції/PSP/chain-аналітика), запуск базового моніторингу транзакцій, шаблони SoF/SoW і SAR/STR.

T-6…T-3: навчання саппорту і AML-офіцерів, тест інцидентів, налаштування RG-сигналів і спільних алертів.

T-3…T-1: паралельний контур (ручний + авто), коригування порогів, фінальні DPIA/безпека.

T-0: повний світч, щомісячні ретро-рев'ю кейсів і дрейфу ризиків.

Чек-лист оператора (коротко)

Верифікація особистості/віку + PoA до виведення.
Санкції/PEP/adverse media - первинний і періодичний скринінг.
Порогові SoF/SoW зі зрозумілими вимогами документів.
Транзакційний моніторинг (правила + аномалії), журнали рішень.
RG-тригери: ліміти, паузи, реаліті-чек.
Політика приватності, терміни зберігання, доступи за ролями.
Мульти-провайдер KYC/санкцій/chain-аналітики.
SAR/STR-процедури та e-файлінг звітності.
SLA по комунікації з гравцем (терміни і причини запитів).

FAQ (коротко)

Чому мене просять SoF, якщо я вже пройшов KYC?

KYC підтверджує особу, а SoF - легальність конкретних грошей. Це різні цілі закону.

Чи можна грати без PoA?

Іноді - до першого висновку. Але до кешауту PoA майже завжди обов'язковий.

Як довго перевіряють висновок?

Залежить від ризику і суми. При базовому сценарії - швидко; при EDD і SoF/SoW - довше, але зі статусами і поясненнями.

Крипта швидше?

Не завжди. Адреси проходять chain-скринінг, а великі суми - SoF/SoW. Без цього виплати зупинять.

Ефективні AML і KYC - це інженерна дисципліна: чіткі правила, автоматизація, прозорі комунікації та повага до приватності. Вони захищають гравців і ринок, знижують ризик штрафів і блокувань платежів і дозволяють бренду рости передбачувано. Побудуйте процес так, щоб він був зрозумілий гравцеві і переконливий для регулятора - і комплаєнс стане конкурентною перевагою, а не гальмом бізнесу.