Публичные должностные лица: что банк в Казахстане обязан проверять и чего нет в глобальных PEP-базах

Перечень публичных должностных лиц Казахстана утверждён закрытым указом. Его реквизиты названы в методических рекомендациях Агентства по финансовому мониторингу, утверждённых приказом председателя АФМ от 7 сентября 2022 года № 294-НҚ: уполномоченный орган ведёт список лиц, входящих в перечень, «утверждаемый Президентом Республики Казахстан (утвержден от 17 августа 2022 года № 984дсп)». Там же сказано, где список лежит: «на закрытой части портала уполномоченного органа websfm.afmrk.gov.kz».

Индекс «дсп» — «для служебного пользования». Самого указа в открытых правовых базах нет: поиск по «Әділет», включая все документы, связанные ссылками с Законом о ПОД/ФТ, его не находит.

Обязанность выявлять среди клиентов публичных должностных лиц закон возлагает на банк прямо. Перечень, по которому положено выявлять, закрыт. Купить его у стороннего провайдера нельзя: коммерческие базы PEP собираются из открытых источников, а этот документ в открытых источниках не публиковался.

Термин на английском звучит как politically exposed person, отсюда аббревиатура PEP. Казахстанский закон пользуется другим словом — «публичное должностное лицо», ПДЛ. Это одно и то же понятие, и дальше по тексту оба написания равнозначны. Проверка ПДЛ — часть режима, который в отрасли называют противодействием отмыванию доходов, или AML.

Восемь строк, из которых состоит определение

Подпункт 3-3) статьи 1 Закона о противодействии легализации доходов описывает ПДЛ семью категориями подряд, без деления на национальных и иностранных. Первым абзацем подпункта считается сама вводная строка «публичное должностное лицо:», поэтому категории идут со второго абзаца по восьмой — эта нумерация понадобится дальше, закон ссылается именно на неё:

• лицо, занимающее ответственную государственную должность;
• должностное лицо;
• лицо, уполномоченное на выполнение государственных функций;
• лицо, исполняющее управленческие функции в государственной организации или субъекте квазигосударственного сектора;
• лицо, назначаемое или избираемое, занимающее какую-либо должность в законодательном, исполнительном, административном, судебном органах или вооружённых силах иностранного государства;
• лицо, выполняющее какую-либо публичную функцию для иностранного государства;
• лицо, занимающее руководящую должность в организациях, созданных государствами на основе соглашений, которые имеют статус международных договоров.

Список выглядит однородным. Он однородный только на вид: дальше закон обращается к его строкам по номерам абзацев и обходится с ними по-разному.

Восьмой абзац скоро зазвучит иначе. Закон от 12 июня 2026 года № 311-VIII о противодействии коррупции излагает его так: «лицо, занимающее руководящую должность в международных организациях, учреждённых государствами на основе международных договоров». Редакция вводится по истечении шестидесяти календарных дней после первого официального опубликования. Определение сужается до международных организаций, учреждённых договорами, — прежняя формулировка говорила об организациях, созданных на основе соглашений со статусом международных договоров.

Два режима, которые закон не называет по имени

Статья 8 делит определение надвое.

Пункт 1 относится к абзацам шестому, седьмому и восьмому — то есть к должностным лицам иностранных государств и руководителям международных организаций. Для них субъект финансового мониторинга обязан, помимо обычных мер надлежащей проверки из пункта 3 статьи 5, сделать пять вещей: проверить принадлежность или причастность клиента и бенефициарного собственника к ПДЛ, его супруге и близким родственникам; оценить репутацию этого лица на предмет причастности к отмыванию и финансированию терроризма; получить письменное разрешение руководящего работника организации на установление или продолжение отношений; принять доступные меры для установления источника происхождения денег и иного имущества; применять усиленные меры проверки на постоянной основе.

Пункт 2 относится к ПДЛ из перечня, утверждаемого Президентом. По пункту 3 той же статьи перечень охватывает всех, кроме абзацев шестого, седьмого и восьмого, то есть категории со второго абзаца по пятый — казахстанские. К этим лицам, их супругам и близким родственникам те же пять мер применяются с оговоркой: только если им присвоен высокий уровень риска.

Два акта описывают эту обязанность по-разному. Закон привязывает её к вхождению человека в закрытый перечень. Требования к правилам внутреннего контроля для банков, утверждённые постановлением Правления АРРФР от 22 марта 2020 года № 18, формулируют то же через абзацы «вторым, третьим, четвёртым и пятым» определения, без отсылки к перечню. Для банка, который перечня не видит, вторая формулировка работоспособнее: она опирается на категорию должности.

Пункт 17 тех же Требований относит публичных должностных лиц, их супругов и близких родственников к типам клиентов, чей статус повышает риск отмывания. Проверка на принадлежность к ПДЛ проводится в процессе идентификации клиента и выявления бенефициарного собственника — на входе, отдельной процедурой потом она не предусмотрена.

Цена невыполнения измерима. Часть 8 статьи 214 Кодекса об административных правонарушениях за непринятие мер по надлежащей проверке клиентов штрафует субъекта крупного предпринимательства на 420 месячных расчётных показателей. При МРП 2026 года в 4 325 тенге это 1,82 миллиона тенге за эпизод.

Конструкция похожа на Рекомендацию 12 ФАТФ, но совпадает с ней не полностью. В стандарте ФАТФ безусловные меры предусмотрены только для иностранных PEP; национальные и руководители международных организаций идут вместе, по риску — «in cases of a higher risk business relationship with such persons». Казахстанский закон отнёс руководителей международных организаций к первой группе, где меры применяются всегда. По этой категории требование строже стандарта.

Двенадцать месяцев: чья это норма

Пункт 4 статьи 8 закрывает вопрос о сроке: со дня прекращения полномочий положения пункта 2 применяются к публичному должностному лицу, его супруге и близким родственникам в течение двенадцати месяцев.

Норма относится к пункту 2 — то есть к казахстанским ПДЛ из президентского перечня. Для иностранных должностных лиц из пункта 1 закон срока не устанавливает вовсе.

Сам ФАТФ времени не отмеряет. В действующей редакции стандартов от октября 2025 года срока нет ни в Рекомендации 12, ни в интерпретирующей записке к ней — записка посвящена бенефициарам полисов страхования жизни. Руководство ФАТФ по PEP 2013 года в пункте 44 требует обратного подхода: «The handling of a client who is no longer entrusted with a prominent public function should be based on an assessment of risk and not on prescribed time limits».

Тот же срок стоит в европейском праве. Регламент (ЕС) 2024/1624 в статье 45(2) требует применять меры «but in any case for not less than 12 months» после того, как лицо перестало занимать должность. Та же формулировка стояла в статье 22 Директивы 2015/849 задолго до пакета 2024 года. Совпадает казахстанская норма именно с европейской формулировкой; кто у кого её взял, из текстов не следует.

Формулировки при этом разные. Европейская задаёт минимум: двенадцать месяцев обязательны, дальше по риску. Казахстанская сформулирована как срок применения — «применяются в течение двенадцати месяцев». Прямого запрета держать бывшего министра на усиленной проверке дольше в законе нет, и риск-ориентированный подход такое решение допускает. Но обязанность после года заканчивается.

Родня по кодексу, а не по здравому смыслу

Закон распространяет требования на супругу или супруга и близких родственников. Круг последних задан жёстко: методические рекомендации АФМ отсылают к подпункту 13) пункта 1 статьи 13 Кодекса о браке (супружестве) и семье, где близкие родственники — это «родители (родитель), дети, усыновители (удочерители), усыновлённые (удочерённые), полнородные и неполнородные братья и сёстры, дедушка, бабушка, внуки».

Перечень закрытый. Тесть, зять, племянник, деловой партнёр в него не входят.

Здесь казахстанский подход расходится с международным. Рекомендация 12 ФАТФ распространяется на «family members or close associates» — вторая категория означает лиц, тесно связанных с ПДЛ социально или профессионально, и в стандартах она намеренно не определена: ФАТФ в пункте 46 руководства объясняет, что её содержание зависит от социально-экономического и культурного устройства страны. В Законе о ПОД/ФТ такой категории нет: круг ограничен супругом и закрытым списком родственников по кодексу.

Одна лазейка в законе всё же оставлена. Подпункт 1) пункта 1 статьи 8 требует проверять «принадлежность и (или) причастность» клиента к ПДЛ. Слово «причастность» шире родства, но содержания ему закон не даёт, и наполняет его субъект финансового мониторинга сам в своих правилах внутреннего контроля.

Деловой партнёр министра в перечень близких родственников не попадает. Под усиленные меры он выйдет через «причастность» или общий риск-ориентированный подход — если банк сам опишет такой критерий и отнесёт клиента к высокому риску.

Круг связей государство при этом расширяет. Закон № 311-VIII с 1 января 2027 года вводит в Закон о противодействии коррупции определение личного интереса, где рядом с близкими родственниками появляются свойственники и «другие связанные лица» — вплоть до супругов детей и супругов братьев и сестёр. Норма написана для конфликта интересов на госслужбе и на обязанности банка по ПОД/ФТ напрямую не распространяется. Но перечень связей, который государство считает значимым, она показывает.

Откуда банк берёт данные, если списка у него нет

Обязанность лежит на субъектах финансового мониторинга — банках, микрофинансовых организациях, страховщиках, брокерах, нотариусах и ещё десятке категорий по статье 3 закона. Источников данных у них три, и ни один не закрывает задачу целиком.

Закрытый портал АФМ. Список ПДЛ, супругов и близких родственников ведёт уполномоченный орган — это подпункт 13-7) статьи 16 закона. Наполняется он быстро: по пункту 7 статьи 18 государственные органы и субъекты квазигосударственного сектора обязаны передать сведения о публичном должностном лице, его супруге и близких родственниках в течение трёх рабочих дней со дня избрания или назначения на должность.

Доступ субъект финансового мониторинга получает через личный кабинет на сайте АФМ. В отчёте о взаимной оценке оценщики описывают это так: список «is posted in the Personal Accounts of obliged entities on the FMA website». Тот же личный кабинет служит рабочим местом для отчётности через систему WEB-СФМ.

В той же фразе отчёта названо, что именно лежит в списке: имена национальных ПДЛ, членов их семей, связанных лиц и тех, чьи полномочия прекратились не более двенадцати месяцев назад. Связанные лица в списке, таким образом, есть — при том что обязанность из статьи 8 на них не распространяется. Оценщики зафиксировали и разрыв в практике: часть субъектов финансового мониторинга к моменту выезда миссии не внесла требования по выявлению национальных ПДЛ в свои правила внутреннего контроля.

Анкета клиента. Самодекларация остаётся рабочим инструментом на входе, и она же самое слабое звено: человек, скрывающий статус, в анкете его не укажет.

Коммерческие базы PEP. Они собираются из открытых источников и хорошо закрывают иностранных должностных лиц — тех, для кого пункт 1 статьи 8 требует усиленных мер всегда. Казахстанские чиновники в них тоже есть: министр или председатель правления госкомпании попадают в такую базу из новостей и официальных публикаций. Чего у провайдера нет — самого перечня. Совпадёт ли его выборка с закрытым документом, проверить нельзя, потому что документ закрыт.

Отдельная проблема этих баз — их размер. Wolfsberg Group, объединяющая крупнейшие международные банки, в руководстве по PEP 2017 года пишет, что стремление применять одинаковую усиленную проверку ко всем PEP вместе с огромным числом записей в списках «considerably diluted both the application of an RBA and the effectiveness of PEP screening» — размыло и риск-ориентированный подход, и результативность самого скрининга.

В казахстанских и центральноазиатских базах к этому добавляется транслитерация. Одно имя существует в кириллице и латинице одновременно, отчество то присутствует, то нет, распространённые фамилии дают десятки совпадений. Совпадение по строке здесь означает меньше, чем в англоязычной базе.

Цена ошибки в обе стороны

Британский регулятор публикует решения с цифрами. Они показывают обе крайности.

В 2012 году FSA оштрафовала Coutts & Company на 8,75 млн фунтов за нарушения в управлении рисками отмывания в период с декабря 2007 по ноябрь 2010 года. В основании прямо назван провал по PEP: банк «failed properly to identify and record all politically exposed persons». Сам Coutts, проверив базу в 2011 году, обнаружил, что около 20% его высокорисковых клиентов не были корректно отмечены. Дополнительно выявлено 233 клиента и бенефициарных собственника, подпадавших под определение PEP; из них 45 были должностными лицами сами, остальные попали в категорию как родственники или лица, тесно связанные с должностными лицами.

В 2015 году FCA оштрафовала Barclays на 72 069 400 фунтов по сделке на 1,88 млрд фунтов, организованной в 2011–2012 годах для группы сверхсостоятельных политически значимых клиентов. Банк, как записано в решении, определил, что «its usual processes for dealing with PEPs and assessing financial crime risks were not appropriate for the Business Relationship», ограничил круг сотрудников, допущенных к сделке, и выстроил для неё отдельный порядок.

Перекос в другую сторону регулятор тоже фиксирует. В обзоре практики обращения с PEP, опубликованном 18 июля 2024 года, FCA сообщает, что из пятнадцати детально проверенных фирм улучшения требовались всем, а часть применяла определения PEP и связанных с ними лиц шире, чем предписывают регулирование и руководство самого регулятора.

Что об этом думает ФАТФ

Казахстан прошёл вторую взаимную оценку в 2023 году. По Рекомендации 12 отчёт Евразийской группы поставил рейтинг largely compliant — вторую оценку из четырёх. В сводной таблице недостатков названы два: усиленные меры не применяются к иностранным PEP и руководителям международных организаций, прекратившим полномочия, и не включают постоянный усиленный мониторинг деловых отношений; отсутствует требование определять, является ли PEP выгодоприобретателем по договору страхования.

Отдельным пунктом, 1461, оценщики зафиксировали то же, что видно из текста закона: требования распространяются на супругов и близких родственников, «but do not apply to close associates of PEPs». В отчёте последующего мониторинга 2026 года рейтинги подняли по Рекомендациям 6, 7, 24 и 26; Рекомендация 12 осталась на прежнем уровне.

Дистанционно — не всех

Пункт 9 статьи 5 закона запрещает субъектам финансового мониторинга устанавливать деловые отношения дистанционно, если «клиент является лицом, которому присвоен уровень риска, требующий применения усиленных мер надлежащей проверки». Исключение оставлено одно, для электронных договоров страхования с расчётами через банковские счета.

ПДЛ подзаконными актами отнесены к типам клиентов, повышающим риск. Как только банк присвоил такому клиенту высокий уровень риска, удалённый онбординг для него закрыт — человек идёт в отделение.

Отсюда следует требование к порядку шагов. Статус ПДЛ и уровень риска нужно установить до того, как дистанционные отношения установлены. Банк, который выясняет принадлежность клиента к публичным должностным лицам после открытия счёта в приложении, нарушает пункт 9 задним числом.

Чего проверка по спискам не проверяет

Скрининг отвечает на вопрос, есть ли предъявленное имя в списке. Он не отвечает на вопрос, принадлежит ли это имя человеку, который сидит перед камерой.

При удалённом онбординге, когда процедура KYC проходит без визита в отделение, это разные вопросы. Если личность подменена — чужим документом, маской, записью или синтезированным изображением, — скрининг отработает по имени, которое ему подали, и вернёт чистый результат. Обратная ситуация симметрична: должностное лицо, оформляющее счёт через подставного человека, проходит проверку по спискам, потому что проверяют не его.

Казахстанский регулятор закрывает этот контур отдельно. Правила проведения биометрической аутентификации банками, организациями, осуществляющими отдельные виды банковских операций, и микрофинансовыми организациями, утверждённые постановлением Правления АРРФР от 3 апреля 2026 года № 54, в пункте 8 требуют процедуры проверки достоверности изображения: аутентифицируемому направляется не менее трёх сигналов и (или) команд, вызывающих визуальные изменения в кадре, после чего видеопоток анализируется на несоответствия. Выявленное несоответствие любой команде означает повтор процедуры, три неуспешных повтора — отрицательный результат.

Пункт 7 тех же Правил задаёт требования к программному обеспечению: контроль собственной целостности, проверка на запуск в эмулируемой среде, защита от подмены встроенной камеры устройства.

Прежние Правила биометрической идентификации, утверждённые постановлением от 16 августа 2024 года № 56, утратили силу этим же постановлением № 54.

Отдельным актом — совместным постановлением Правления АРРФР от 26 июня 2026 года № 99 и Правления Национального Банка — регулируется работа с национальной системой биометрической аутентификации. Изображения попадают в базу НСБА при результатах не менее 95% достоверности и не менее 95% соответствия эталонному изображению. Видеозаписи обращений хранятся в организации не менее пяти лет со дня прекращения деловых отношений с клиентом.

Что закрывает наш модуль

Из пункта 9 статьи 5 следует, чего продукт для верификации сделать не может: провести высокорискового ПДЛ через удалённый онбординг. Такого клиента закон отправляет в отделение, и ни один вендор это не отменяет.

Работа модуля начинается раньше — там, где статус ещё не установлен и решение о канале не принято. Проверка по спискам и проверка личности у нас идут одним запросом. AML-скрининг по санкциям и PEP вызывается внутри верификации: клиент подтверждает, что он живой человек и что он владелец документа, и в том же обращении проверяется по спискам. Совпадение по ПДЛ приходит до того, как отношения установлены.

Режимов живости три, и они отличаются нагрузкой на клиента. Fast — пассивный, обычное селфи примерно за секунду, без движений. Distance — гибрид, система просит приблизиться или отодвинуться. 3D / PRO — активный, с тремя динамическими действиями: повернуть голову, моргнуть, улыбнуться. По числу команд требованию пункта 8 отвечает только третий; в нём же настраивается число попыток, на которое норма отводит три. Пассивный режим удобнее и быстрее, и для банковского потока под правила № 54 он не подходит.

Ограничение назову сразу: закрытого перечня ПДЛ, утверждённого указом № 984дсп, ни у одного коммерческого провайдера нет, включая нас. Наш скрининг закрывает международный контур, окружение и локальные стоп-листы. Сверку с закрытым перечнем банк выполняет сам, своими правами доступа к порталу АФМ.

Вывод о соответствии всей процедуры правилам № 54 остаётся за банком: вендор поставляет модуль, заключение регулятора им не заменяется. Из сертификаций на странице AML-скрининга заявлены ISO 27001, сертификат № 760281, и соответствие GDPR. Точность проверки живости 99,1% — наше собственное измерение, независимая лаборатория его не подтверждала.

Что проверить в своей процедуре

Первый вопрос — к разделению двух режимов. Применяются ли пять мер статьи 8 ко всем ПДЛ подряд или к иностранным всегда, а к казахстанским при высоком уровне риска, как написано в законе. Ровный режим для всех дороже, и Wolfsberg прямо связывает такую практику с размыванием риск-подхода и падением результативности скрининга.

Второй — к сроку. Считается ли в вашей системе двенадцать месяцев с даты прекращения полномочий и по какой из двух категорий он применяется.

Третий — к родственникам. Совпадает ли ваш перечень близких родственников с подпунктом 13) пункта 1 статьи 13 Кодекса о браке и семье или расширен по аналогии с европейской практикой. Расширение допустимо как внутреннее решение, но тогда оно должно быть описано в правилах внутреннего контроля, а не жить в настройках скрининга.

Четвёртый — к порядку шагов. В какой момент вашего дистанционного потока определяется статус ПДЛ: до установления деловых отношений или после открытия счёта. Пункт 9 статьи 5 допускает только первое.

Пятый — к каналу. Проверяется ли живость по правилам № 54 и умеет ли ваш поток отличить владельца документа от того, кто его предъявляет.

Проверить последнее можно на своих данных: мы прогоняем историю заявок на совпадения по лицу и отдаём отчёт с найденными дублями и распределением по порогам схожести.

Посмотреть AML-скрининг и запросить проверку базы