Regtech: как банки автоматизируют проверку сделок на отмывание денег

Миф: раз у банка есть комплаенс-отдел, отмывание денег там невозможно

Крупный европейский банк с международной репутацией, собственным департаментом комплаенса и формально работающими процедурами против отмывания денег. Именно так выглядел Danske Bank — крупнейший банк Дании — на протяжении почти десяти лет, пока через его крошечный эстонский филиал не прошло порядка 230 млрд долларов сомнительных транзакций, преимущественно из России и стран СНГ, за период с 2007 по 2015 год. Наличие формального комплаенса не помешало этому случиться — и именно разбор того, почему не помешало, объясняет, зачем индустрии вообще понадобился отдельный класс технологий под названием regtech, а не просто более строгие правила на бумаге.

Как на самом деле раскрылась схема

Историю раскрыл не автоматический алгоритм, а человек — Говард Уилкинсон, сотрудник эстонского филиала, который забил тревогу ещё в 2013–2014 годах, направив руководству банка подробное письмо о происходящем. По свидетельствам людей, знакомых с заседанием совета директоров банка в начале 2014 года, у членов совета на тот момент даже не было полного текста этого письма — и предупреждение не вызвало серьёзной тревоги. Тем временем крупные американские и европейские банки-корреспонденты один за другим переставали обслуживать долларовые операции эстонского филиала именно из опасений по поводу отмывания денег: JPMorgan Chase прекратил сотрудничество ещё раньше, а в 2015 году к нему присоединились Bank of America и Deutsche Bank — то есть внешние партнёры банка забили тревогу заметно раньше, чем внутренние процедуры самого Danske привели к реальным последствиям.

Публично история вышла наружу только в начале 2017 года благодаря датской прессе, а в 2018 году генеральный директор банка Томас Борген был вынужден уйти в отставку на фоне разрастающегося скандала. В декабре 2022 года Danske Bank согласился выплатить американским и датским властям штраф в 2 млрд долларов, признав вину в банковских махинациях и мошенничестве с ценными бумагами — одно из крупнейших подобных урегулирований в истории европейского банковского сектора.

Почему формальный комплаенс не сработал

Ключевая проблема заключалась не в отсутствии систем контроля, а в их устройстве. Традиционные системы мониторинга транзакций той эпохи в основном работали по жёстким правилам: если сумма перевода превышает определённый порог или транзакция соответствует одному из заранее заданных признаков, система создаёт предупреждение для проверки сотрудником. На практике такие системы генерируют огромное количество ложных срабатываний — по оценкам отраслевых обзоров, доля ложных предупреждений в традиционных правиловых системах мониторинга может достигать 90% и выше от общего числа алертов, — большинство помеченных транзакций при ручной проверке оказываются совершенно легитимными, из-за чего сотрудники комплаенса физически не успевают внимательно разбирать каждое предупреждение и со временем начинают обрабатывать их формально, снижая реальную эффективность контроля именно тогда, когда объём подозрительных операций растёт быстрее, чем штат отдела комплаенса.

Что изменил regtech

Regtech (regulatory technology — регуляторные технологии) — это как раз ответ на эту конкретную проблему: замена или дополнение жёстких правил алгоритмами машинного обучения, способными анализировать поведенческие паттерны транзакций в динамике, а не сверять их с фиксированным списком признаков. Вместо статичного правила «пометить перевод свыше определённой суммы» система на основе машинного обучения строит профиль типичного поведения конкретного клиента и помечает именно отклонения от этого индивидуального профиля — например, резкую смену географии переводов, необычную частоту операций или нетипичную для данного клиента цепочку посредников.

Практическая выгода такого подхода — не просто более высокая точность отдельного алгоритма, а принципиально иная логика приоритизации: вместо того чтобы показывать сотруднику комплаенса тысячи разрозненных алертов по фиксированным правилам, система на основе машинного обучения группирует связанные сигналы в единый сценарий и присваивает каждому случаю оценку риска, позволяя команде сосредоточиться на действительно подозрительных цепочках транзакций, а не проверять каждую операцию по отдельности в порядке поступления.

Таблица 1. Традиционный AML-мониторинг и regtech на основе ML

Ещё одно направление, где regtech заметно меняет практику, — трансграничные платежи и работа с санкционными списками: банкам приходится сверять контрагентов с постоянно обновляемыми перечнями лиц и организаций под ограничениями сразу нескольких юрисдикций одновременно, и ручная сверка такого объёма данных при нынешних объёмах международных платежей физически нереалистична без автоматизации — именно поэтому скрининг по санкционным спискам стал одним из первых процессов, которые банки перевели на автоматизированные regtech-решения ещё до широкого распространения систем на основе машинного обучения для более сложного поведенческого анализа.

Помимо мониторинга транзакций, к regtech относится и автоматизация других комплаенс-процессов: удалённая идентификация клиента (KYC) с распознаванием документов и биометрией, автоматическое формирование отчётности в форматах, требуемых конкретным регулятором, и системы, отслеживающие изменения самого регуляторного законодательства, чтобы банк мог быстрее адаптировать внутренние процедуры под новые требования, не дожидаясь, пока юридический отдел вручную обработает очередное изменение нормативной базы.

Так миф или нет

Формальное наличие комплаенс-отдела и систем мониторинга — не миф, а стандартная практика любого крупного банка, включая Danske. Мифом оказывается другое допущение: что само наличие таких систем автоматически означает их эффективность. История Danske Bank показывает разрыв между формальным соответствием требованиям регулятора и реальной способностью вовремя распознать схему отмывания денег — и этот разрыв стал одним из главных аргументов, ускоривших переход индустрии от статичных правил к более адаптивным алгоритмическим системам мониторинга. Другими словами, вопрос никогда не звучал как «есть ли у банка комплаенс», а как «способен ли конкретный комплаенс распознать конкретную новую схему до того, как через него пройдут сотни миллиардов долларов», — и именно на второй вопрос старые системы регулярно отвечали отрицательно.

Что из этого следует

Regtech не является гарантией того, что подобный скандал не повторится — алгоритмы машинного обучения тоже можно обмануть, если схема выстроена достаточно изощрённо, а сами модели требуют постоянного дообучения на новых данных, потому что схемы отмывания денег меняются в ответ на новые методы контроля точно так же, как менялись методы контроля в ответ на прежние схемы. Но конкретная проблема, вскрытая делом Danske Bank, — переизбыток ложных срабатываний в статичных правиловых системах, из-за которого реальные сигналы тонут в шуме, — это именно та проблема, на решение которой направлена индустрия регуляторных технологий сегодня. Показательно, что после скандала регуляторы в разных странах начали явно поощрять переход банков на более совершенные системы мониторинга — не как рекомендацию, а фактически как ожидаемый отраслевой стандарт, отступление от которого само по себе становится репутационным и юридическим риском для банка.