Мониторинг транзакций AML является основным механизмом обнаружения в системе противодействия отмыванию денег. программа соблюдения — непрерывный, систематический анализ всех финансовых транзакций в регулируемом учреждении для выявления деятельности, которая может указывать на отмывание денег, финансирование терроризма, уклонение от санкций или другие финансовые преступления. В отличие от процессов KYC, которые сосредоточены на идентификации клиентов при регистрации, мониторинг транзакций осуществляется на протяжении всего жизненного цикла клиента, отслеживая поведенческие модели, указывающие на преступную деятельность, даже среди клиентов, прошедших первоначальную проверку личности.

В криптоиндустрии мониторинг транзакций в рамках противодействия отмыванию денег имеет два различных, но взаимодополняющих аспекта. Первый из них — это внутренний мониторинг транзакций: анализ активности клиента на бирже — суммы депозитов, частота выводов средств, торговые модели, географическое местоположение при входе в систему и взаимосвязь между этими действиями — на основе поведенческих показателей для выявления аномалий. Это выполняется системой мониторинга транзакций (TMS), которая применяет комбинацию детерминированных правил (отмечать любой отдельный вывод средств свыше 50 000 долларов США; отмечать 10 или более транзакций в течение 24 часов на сумму свыше 10 000 долларов США) и моделей машинного обучения (выявлять структурированное поведение в течение нескольких дней; определять многоуровневые модели на нескольких счетах). Второй метод — ончейн мониторингАнализ адресов блокчейна, связанных с каждой транзакцией, с использованием платформ блокчейн-аналитики (Chainalysis KYT, Elliptic Lens, TRM Labs) позволяет оценить риск средств в зависимости от их происхождения и назначения. Внесение средств с кошелька, напрямую связанного с санкционированной организацией или известным рынком даркнета, генерирует оповещение независимо от суммы транзакции в долларах или внутреннего профиля поведения клиента. Сочетание внутреннего и внутрисетевого мониторинга устраняет разрыв между тем, что клиент сообщает бирже (данные KYC), и тем, что блокчейн фактически раскрывает об источнике его средств. Эффективный мониторинг транзакций в рамках AML требует постоянной настройки: слишком низкие пороговые значения оповещений генерируют тысячи ложных срабатываний, которые перегружают сотрудников отдела комплаенса; слишком высокие пороговые значения пропускают действительно подозрительную активность. Цель состоит в создании откалиброванной системы, которая выдает необходимое количество высококачественных оповещений для расследования командой комплаенса в установленные нормативными актами сроки.

 Происхождение и история

Время	События
1990s	В крупных банках США и Европы внедрены первые системы мониторинга транзакций на основе правил; основное внимание уделяется пороговым значениям для отчетности по операциям с наличными средствами.
2001	Закон США о борьбе с терроризмом (USA PATRIOT Act) обязывает все компании, предоставляющие финансовые услуги, осуществлять мониторинг подозрительной деятельности; формализованы требования регулирующих органов к автоматизированному мониторингу.
2010s	Машинное обучение начинает дополнять основанные на правилах системы управления транзакциями (TMS); поведенческая аналитика и модели обнаружения аномалий повышают качество оповещений в банковской сфере.
2013-2015	Криптовалютные биржи начинают внедрять системы мониторинга транзакций первого поколения; ранние системы представляют собой примитивные наборы правил без интеграции с блокчейн-аналитикой.
2017	Запущен Chainalysis KYT (Know Your Transaction) — первый специализированный продукт для мониторинга транзакций в блокчейне в режиме реального времени; устанавливает новый стандарт для борьбы с отмыванием денег в криптовалютной сфере.
2019	Рекомендация 15 FATF требует от поставщиков виртуальных услуг (VASP) внедрения постоянного мониторинга клиентов и транзакций; обязывает криптоиндустрию в целом модернизировать возможности мониторинга.
2020	В рамках мер принудительного исполнения FinCEN в отношении BitMEX (100 млн долларов) и других компаний в качестве основного нарушения указывается несоблюдение требований по надлежащему мониторингу транзакций.
2022-2023	На ведущих биржах внедряются модели нейронных сетей на основе графов; задержка мониторинга в реальном времени снижена до долей секунды для блокировки транзакций высокого риска.

«Мониторинг транзакций — это не просто заполнение документов, это выявление закономерностей в информационном шуме до того, как отмыватель денег завершит цикл». — Руководство по сертификации ACAMS по мониторингу транзакций в сфере противодействия отмыванию денег.

 Как это работает

ВСЕ ТРАНЗАКЦИИ КЛИЕНТОВ (лента в реальном времени)

| v +==========================================+

СИСТЕМА МОНИТОРИНГА ТРАНЗАКЦИЙ

СИСТЕМА ПРАВИЛ

+– Правила скорости (N передач за X часов)

+– Правила пороговых значений (сумма > Y)

+– Правила структурирования (депозиты < CTR)

+– Правила юрисдикции (географические зоны высокого риска)

Модели поведения машинного обучения

+– Выявление аномалий по сравнению с базовым уровнем

+– Сравнение с группой сверстников

+– Анализ временных закономерностей

+– Обнаружение уровней сети/графа

ОЦЕНКА РИСКОВ В ТЭЧЕ

+– Оценка риска адреса кошелька (Chainalysis)

+– Отслеживание источников финансирования

+– Сопоставление адресов в рамках санкций

+============================================+

| v СГЕНЕРИРОВАНО ПРЕДУПРЕЖДЕНИЕ

| [УРОВЕНЬ РИСКА?] / | \ ВЫСОКИЙ СРЕДНИЙ НИЗКИЙ

| | | v v v Автоматический Ручной Автоматический блок проверка очистить

| v УПРАВЛЕНИЕ ДЕЛОМ +– Расследование аналитика +– Сбор доказательств +– Решение по запросу информации (подача/отказ в подаче) +– Отслеживание сроков (30-дневный период для запроса информации)

Тип мониторинга	Обнаруживает	Пример триггера
Мониторинг скорости	Быстрый рост объема транзакций	Клиент совершил 50 сделок за 24 часа после нескольких недель бездействия.
Обнаружение структур	Преднамеренное удержание транзакций ниже пороговых значений для отчетности.	Ежедневные пополнения на сумму 9,800 долларов в течение 2 недель подряд.
Обнаружение слоев	Сложные операции с денежными средствами, происхождение которых неясно.	Средства были переведены через более чем 5 кошельков в течение 48 часов.
Оценка рисков в блокчейне	Источники финансирования с высоким риском	Внесение средств с кошелька с 60% долей рынка в даркнете.
Географический риск	Сделки с участием юрисдикций, находящихся под санкциями.	Вывод средств на обмен в стране, находящейся под санкциями.
Неактивная активность счета	Внезапные крупные транзакции по ранее неактивным счетам.	Снятие 500 000 долларов со счета, который не использовался в течение 6 месяцев.

 Простыми словами

1. Она отслеживает каждую транзакцию, постоянно. В отличие от периодической проверки, мониторинг транзакций в рамках системы противодействия отмыванию денег (AML) осуществляется непрерывно в режиме реального времени — каждое пополнение, снятие средств и сделка анализируются в момент их совершения, и транзакции с высоким риском могут быть заблокированы до их завершения.
2. Правила выявляют известные закономерности; машинное обучение выявляет новые. Мониторинг на основе правил выявляет подозрительную деятельность, о которой регулирующие органы и группы по соблюдению нормативных требований уже знают (структурирование сделок, крупные суммы денежных эквивалентов). Модели машинного обучения обнаруживают новые закономерности, для которых еще никто не придумал правил — поведенческие аномалии, которые используют опытные отмыватели денег, чтобы оставаться незамеченными.
3. Аналитика блокчейна добавляет измерение, происходящее непосредственно в сети. Внутренний мониторинг транзакций показывает, как ваши клиенты ведут себя на вашей платформе. Аналитика блокчейна показывает, где находились деньги на протяжении всей их истории в блокчейне — попадали ли эти средства на рынок даркнета, в кошелек, находящийся под санкциями, или в сервис смешивания транзакций, расположенный в шести узлах от вас.
4. При проведении первичной оценки готовности к оказанию помощи важен человеческий фактор. Система генерирует оповещения; квалифицированные аналитики проводят их расследование. Большинство оповещений после расследования оказываются обоснованными (ложные срабатывания). Те, которые не соответствуют действительности, передаются для составления отчета о подозрительной деятельности (SAR). Качество расследования аналитика определяет, будет ли описание ситуации в отчете SAR полезным для правоохранительных органов.
5. Пороговые значения требуют регулярной калибровки. Система мониторинга, настроенная один раз и никогда не перенастраиваемая, со временем становится менее эффективной по мере изменения поведения клиентов, изменения методов совершения преступлений и роста бизнеса. Ежемесячные показатели эффективности (частота оповещений, коэффициент конверсии запросов на доступ к персональным данным, частота ложных срабатываний) помогают принимать решения по дальнейшей настройке системы.

 Примеры из реального мира

Сценарий	Реализация	Результат
Обнаружение структур	Правило TMS срабатывает, когда клиент совершает 12 депозитов на общую сумму 117 600 долларов в течение 13 дней — все в диапазоне от 9 000 до 9 900 долларов; ни один отдельный депозит не запускает пороговое значение CTR.	Аналитик проводит расследование; клиент не может предоставить убедительного объяснения; подан запрос на доступ к персональным данным (SAR) с описанием схемы структурирования; начато расследование FinCEN.
Блокировка адресов санкций в режиме реального времени	Анализ Chainalysis KYT выявил 95%-ную подверженность кошелькам Lazarus Group, внесенным в санкционный список OFAC, в отношении входящих депозитов; оповещение сработало менее чем за 500 мс.	Внесение средств было автоматически отклонено до зачисления на счет клиента; подан запрос на доступ к персональным данным; счет клиента заблокирован для проведения расследования; уведомлены правоохранительные органы.
Обнаружение аномалий поведения в машинном обучении	Постоянный клиент розничного магазина (средняя активность 200 долларов в месяц) внезапно инициировал исходящие переводы на сумму 3 миллиона долларов за 72 часа; модель машинного обучения пометила это как экстремальное отклонение от группы аналогичных клиентов.	Аналитик связывается с клиентом для уточнения источника средств; клиент предоставляет документацию, подтверждающую законность поступлений от продажи бизнеса; дело закрыто с обоснованием; отчет о подозрительных транзакциях не требуется.

 Преимущества

Преимущества	XNUMX
Обнаружение в режиме реального времени	Современные системы мониторинга способны обнаруживать и блокировать транзакции с высоким риском за миллисекунды, до перемещения средств, а не постфактум.
Масштабирование без пропорционального распределения персонала	Автоматизированный мониторинг проверяет каждую транзакцию; без него для обеспечения соответствия требованиям потребовался бы один аналитик на несколько сотен активных клиентов.
Выявление закономерностей во времени	Системы TMS выявляют закономерности, охватывающие недели или месяцы, которые не смог бы заметить ни один аналитик, изучающий отдельные транзакции.
Нормативные доказательства	Журналы оповещений TMS и протоколы расследований обеспечивают своевременную документацию, которую регулирующие органы ожидают во время проверок программ противодействия отмыванию денег.
Обнаружение межклиентской сети	Современные системы выявляют сети связанных учетных записей (с общими IP-адресами, устройствами или получателями), участвующих в скоординированной подозрительной деятельности.

 Недостатки и риски

Снижение	Влияние
Бодрость усталость	Плохо откалиброванные системы ежедневно генерируют тысячи некачественных оповещений; аналитики становятся невосприимчивыми к ним и могут пропустить действительно подозрительную активность.
Уклонение от противодействия	Опытные отмыватели денег изучают известные правила мониторинга и намеренно структурируют свою деятельность таким образом, чтобы она оставалась чуть ниже пороговых значений обнаружения.
Криптографическое уклонение с сохранением конфиденциальности	Монеты, обеспечивающие конфиденциальность (Monero) Использование различных сервисов для смешивания данных затрудняет отслеживание транзакций, от которого зависит аналитика блокчейна, создавая «слепые зоны» в мониторинге.
Компромисс между задержкой и точностью	Мониторинг в реальном времени требует скорости; глубокий анализ графов для сложного отслеживания транзакций в блокчейне занимает время; биржи должны найти баланс между глубиной обнаружения и скоростью обработки транзакций.
Переобучение модели	Модели машинного обучения, слишком узко обученные на исторических закономерностях, могут оказаться неспособными к обобщению на новые модели преступного поведения, что порождает уверенность без эффективности.

Советы по управлению рисками:

• Внедрите формальный процесс проверки качества оповещений: ежемесячно отбирайте пробные (не относящиеся к SAR) оповещения и поручите старшему аналитику независимо проверить, были ли закрытия обоснованными — это обязательный элемент эффективной программы противодействия отмыванию денег.
• Интегрируйте аналитику блокчейна с внутренними данными TMS в единое представление данных по делу, чтобы аналитики видели одновременно историю транзакций на бирже и контекст рисков в блокчейне, сокращая время расследования.
• Используйте сравнительный анализ поведения клиентов в группе равных в качестве уровня мониторинга — клиент, чье поведение при выводе средств находится в 99-м процентиле для своего сегмента клиентов, заслуживает пристального внимания, даже если не срабатывает ни одно отдельное правило.
• Каждое изменение порогового значения оповещения должно быть задокументировано с обоснованием с точки зрения бизнеса и подтверждающим анализом данных — регулирующие органы могут поинтересоваться, почему вы изменили пороговые значения, и ожидают увидеть решения, основанные на фактах, а не произвольные корректировки.

 FAQ

В: В чем разница между мониторингом транзакций на основе правил и мониторингом на основе машинного обучения?

Мониторинг на основе правил применяет четко заданные вручную условия: «помечать любую транзакцию свыше $X» или «помечать схемы структурирования с депозитами от $9,000 до $9,900». Мониторинг с использованием машинного обучения обучает статистические модели на размеченных исторических данных для выявления закономерностей, слишком сложных или тонких для явных правил. Модели машинного обучения могут обнаруживать поведенческие аномалии — например, когда клиент внезапно начинает вести себя не так, как обычно, — в то время как правила обрабатывают известные типологии. Оба подхода обычно используются вместе в современных платформах TMS.

В: Каков крайний срок подачи запроса на доступ к персональным данным (SAR) после получения оповещения от системы мониторинга транзакций?

В США, как только финансовое учреждение получает достаточно информации для определения необходимости составления отчета о подозрительной деятельности (SAR), у него есть 30 календарных дней на его подачу. Если личность субъекта установить не удается, срок подачи продлевается до 60 дней. Продолжение подозрительной деятельности (по которой уже был составлен отчет SAR) требует повторного составления отчета SAR в течение 90 дней. Пропуск этих сроков сам по себе является нарушением Закона о банковской тайне (BSA).

В: Можно ли отслеживать действия клиента после закрытия его счета?

В соответствии с Законом о банковской тайне (BSA) финансовые учреждения обязаны хранить записи о транзакциях в течение 5 лет, в том числе после закрытия счета. Если в течение установленного срока хранения в этих записях будет выявлена ​​подозрительная активность, запрос на доступ к информации о подозрительных транзакциях (SAR) может быть подан даже после прекращения отношений с клиентом.

В: Что такое «типология» в мониторинге транзакций в рамках противодействия отмыванию денег?

Типология — это документированное описание конкретного метода отмывания денег или совершения финансового преступления — методов, закономерностей и признаков, связанных с определенным преступным поведением. FATF, FinCEN и национальные подразделения финансовой разведки регулярно публикуют типологии. Правила и модели мониторинга транзакций в рамках борьбы с отмыванием денег строятся на основе известных типологий, а группы по обеспечению соответствия используют новые публикации типологий для обновления своих правил мониторинга.

В: Как криптовалютные биржи отслеживают соблюдение «Правила перемещения транзакций» (Travel Rule) в процессе мониторинга транзакций?

Мониторинг соблюдения правил передачи данных (Travel Rule) — это специализированный компонент мониторинга транзакций, ориентированный на проверку того, что необходимая информация об отправителе/получателе была собрана и передана для межсистемных переводов (VASP) выше установленного порога. Такие системы, как Notabene или TRISA, интегрируются с TMS для выявления переводов, в которых были задействованы обязательства по соблюдению правил передачи данных, но сбор или передача данных не удались или были отклонены, генерируя оповещения о соответствии для проведения расследования.

 Источники

• FinCEN. «Руководство по подготовке полного и достаточного описания отчета о подозрительной активности». fincen.gov/sites/default/files/shared/sarnarrcompletguidfinal_112003.pdf
• ACAMS. «Сертификация по мониторингу транзакций в сфере противодействия отмыванию денег». acams.org
• Chainalysis. «Документация Chainalysis KYT (Know Your Transaction)». chainalysis.com/products/kyt/

Совет от UEEx: Если ваш счет на криптовалютной бирже временно заблокирован после крупной или необычной транзакции, вероятно, система мониторинга транзакций AML сгенерировала оповещение. Предоставление заблаговременной документации, подтверждающей источник ваших средств — банковских выписок, ведомостей заработной платы или документов о выручке от продажи — значительно ускоряет процесс проверки на соответствие требованиям и снижает вероятность длительной блокировки счета.

Примечание: Данная статья в глоссарии предназначена исключительно для образовательных целей и не является финансовой или юридической консультацией.

УЭЭкс — Ваш путь к криптовалютам