Як працюють системи AML і KYC

1) Навіщо потрібні AML і KYC

KYC (Know Your Customer) підтверджує, що клієнт - реальна людина з валідною ідентичністю та адресою.

AML (Anti-Money Laundering) запобігає відмиванню грошей, фінансуванню тероризму та обхід санкцій.

У iGaming це умова ліцензій, банк-партнерів і платіжних провайдерів; невиконання = штрафи, відкликання ліцензії та блокування платежів.

2) KYC-процес: від онбордингу до допуску до каси

Кроки KYC

1. Збір даних: ПІБ, дата народження, громадянство, адреса, документ (паспорт/ID), селфі/відео-liveness.

2. Перевірка документа: MRZ/чіп, анти-тампер, термін дії, зіставлення з селфі.

3. Підтвердження адреси (PoA): рахунок за послуги/виписка банку ≤ 3-6 міс.

4. Санкції та PEP: скринінг проти санкційних списків, політично значущих осіб і adverse media.

5. Рішення: pass/fail/запит доп. даних; запис причини і версій політик.

Міні-приклад запиту на верифікацію

json
POST /compliance/kyc/verify
{
"customerId": "c_1029",  "doc": {"type":"passport","country":"DE","number":"X1234567","expiry":"2030-04-01"},  "identity": {"firstName":"Alex","lastName":"K. ","dob":"1993-02-11"},  "address": {"line1":"Musterstr. 5","city":"Berlin","zip":"10115","country":"DE"},  "liveness": {"provider":"onfido","sessionId":"sess_9a7f"},  "consent": true
}

3) Санкції, PEP і adverse media

Санкції: прямий збіг, збіги за аліасами, вторинні збіги (бенефіціари).

PEP: поточні та колишні посади + члени сім'ї/близькі.

Adverse media: негативні згадки про шахрайство, корупцію, насильство.

Рішення: true/false/needs review з пріоритизацією за типом збігу і свіжості джерела.

4) KYT для криптовалют (Know Your Transaction)

Скринінг адрес/транзакцій: міксери, даркнет-кластери, санкційні/біржові гаманці.

Трасування джерела коштів: шлях монет до on-ramp/біржі з KYC.

Правила: блок високоризикових кластерів; вимога чистої адреси; запит SoF/SoW по крипті.

Приклад результату KYT

json
{
"address": "0x9a7f...2b1c",  "riskScore": 83,  "flags": ["mixer_proximity","sanctions_cluster_2hops"],  "recommendation": "deny_and_request_clean_address"
}

5) Скоринг і рівні перевірки (risk-based approach)

Initial Risk Score (IRS) на онбордингу: країна, спосіб оплати, вік, РЕР/санкції, пристрій.

Ongoing Risk Score (ORS) в динаміці: обсяги депозитів/висновків, частота, аномальні патерни.

Рівні:

Low - базовий KYC, стандартні ліміти.
Medium - додатковий SoF/PoA, звужені ліміти.
High/EDD - розширений пакет документів, ручний огляд, знижені ліміти/пауза.

6) SoF/SoW і affordability (як частина AML)

SoF (джерело коштів): зарплата, бізнес, заощадження, продаж активів, подарунок/спадщина, крипта (з чистим шляхом).

SoW (джерело добробуту): більш загальний контекст доходів.

Affordability: відповідність інтенсивності гри доходам; при невідповідності - ліміти/пауза.

7) Моніторинг транзакцій (TM) і поведінкові правила

Типові сценарії, які ловить TM-рушій:

Часті депозити і миттєві висновки (pass-through).
Дроблення сум навколо порогів (structuring).
Різке зростання середнього тику; нічні сесії з великими обертами.
Розбіжність власника платіжного засобу і аккаунта.
Крипта з «брудних» кластерів; багато нових адрес без історії.

Подія для TM

json
{
"event":"payment. deposit",  "ts":"2025-10-17T12:10:20Z",  "customerId":"c_1029",  "amount":"1000. 00",  "currency":"EUR",  "method":"card",  "country":"DE",  "device":"ios_app",  "traceId":"tr_55f",  "kvc":{"name_on_card_match":true}
}

8) Кейс-менеджмент і розслідування

Alert → Case → Decision: алерт об'єднується в кейс; додаються виписки/док-пруфи; фіксуються дії і версії політик («policyVer»).

Рішення: approve / limit / request info / suspend / offboard.

Ескалація: на комплаєнс-офіцера/юриста; журнал дій незмінний (WORM).

SAR/STR: підозрілий звіт регулятору згідно з локальним законом.

9) Зберігання даних, приватність, безпека

PII-ізоляція: окремі сховища і ключі доступу, мінімізація полів.

Ретенція: зберігання N років (за юрисдикцією), після - безпечне видалення.

Доступ: RBAC/ABAC, журнал доступу, шифрування (KMS/HSM).

Права суб'єкта даних: доступ/виправлення/обмеження обробки, крім обов'язкової ретенції AML.

10) Метрики та SLO AML/KYC

KYC pass-rate / time-to-verify (p50/p95).

Alert precision/recall (якість правил TM).

Час закриття кейса (MTTC), частка кейсів з EDD.

SAR/STR rate і частка підтверджених інцидентів.

KYT coverage (який% криптодепозитів пройшов скринінг).

Affordability interventions (скільки лімітів/павуz).

11) Архітектурні патерни комплаєнсу

Шар комплаєнсу - окремий модуль з власним API і сховищем.

Події: `kyc. started/passed/failed`, `aml. alert/opened/closed`, `payment. deposit/withdrawal`, `kyd. address_screened`.

Ідемпотентність: всі вебхуки і рішення - з'decisionId', повтор обробки не змінює підсумок.

Версіонування політик: кожен розрахунок зберігає'policyVer','dataVer','modelVer'( якщо є ML).

12) Приклади рішень (політики → дії)

json
{
"decisionId":"dec_7f3",  "customerId":"c_1029",  "policy":"aml_v3. 6",  "riskScore":72,  "action":"limit_and_request_sof",  "limits":{"deposit_daily":"200. 00","withdrawal_daily":"0. 00"},  "explanation":["rapid_deposits","new_wallet","country_risk_medium"],  "ttl_days":30
}

13) Роль ML/AI і обмеження

Use-cases: пріоритизація алертів, аномалія поведінкових патернів, ранжування кейсів.

Guardrails: зрозумілість, відсутність дискримінації, людина-в-контурі; правила мають пріоритет над моделями для санкцій/PEP/EDD.

14) Анти-патерни (що ламає комплаєнс)

Однаковий набір перевірок для всіх країн/методів (без risk-based підходу).

Змішання OLTP грошей і логів комплаєнсу в одній БД.

Відсутність ідемпотентності на касових вебхуках - подвійні рішення.

«Чорний ящик» ML без пояснюваності та аудиту.

Немає журналів версій політик і підстав рішень.

Відсутній WORM-архів і контроль доступу до документів.

Ігнор KYT для крипти та невідповідність імені платника.

15) Чек-лист запуску/аудиту AML&KYC

Процеси

Описані політики KYC/AML/EDD/Affordability з'policyVer'і EOL.
Регламенти SAR/STR, ескалації та взаємодії з регулятором/банком.

Технології

Окремий модуль комплаєнсу: API, вітрини, WORM-архів.
Події та ідемпотентні вебхуки; наскрізний'traceId'.

KYC/KYT

Провайдери KYC (liveness, doc-scan) інтегровані; PoA потік зрозумілий.
KYT підключений для всіх криптооперацій; стоп-листи і «чисті адреси».

Моніторинг

TM-правила і ML-сигнали; дашборди SLO/якості алертів.
QA кейсів: вибіркова переоцінка, навчання команди.

Приватність

PII-ізоляція, шифрування, доступ за ролями, ретенція, GDPR/локальні норми.

16) Пам'ятка гравцеві (як пройти KYC/AML швидше)

Готуйте чіткі фото документів і свіжий Proof of Address.

Використовуйте власні картки/гаманці; ім'я має збігатися.

При великих сумах - тримайте виписки і SoF заздалегідь.

Для крипти - переводьте з чистої адреси, зберігайте Tx-hash і звіт он-рампа/біржі.

Системи AML/KYC - не формальність, а робочий контур захисту оператора і гравців. Він будується на перевірці особи та адреси, санкційних/РЕР-скринінгах, risk-based моніторингу транзакцій, KYT для крипти, управлінні кейсами та документованої звітності. Технічно це окремий модуль з подіями, ідемпотентними рішеннями, WORM-архівом і суворою приватністю. Такий підхід знижує регуляторні і платіжні ризики, прискорює легальні виплати і підтримує відповідальну гру.