Уявіть: ви керуєте фінансовою компанією, яка щодня пропускає через себе сотні тисяч переказів. Усе начебто працює – правила написані, звіти складаються, відповідальний працівник призначений. Аж раптом Національний банк виписує вам штраф у 14,6 мільйона гривень. Саме в таку ситуацію потрапило ТОВ «Укрфінстандарт» (тепер – «АВТО УКР БІЛС»), і нещодавно Верховний Суд остаточно підтвердив: штраф законний. Розбираємося, що пішло не так і які уроки з цієї історії варто винести іншим фінансовим установам.
Що трапилося
Ще наприкінці 2022 року Департамент фінансового моніторингу НБУ провів безвиїзний нагляд за діяльністю компанії. Перевіряли не саму компанію як бізнес, а те, як вона виконує вимоги законодавства у сфері запобігання відмиванню доходів і фінансуванню тероризму (скорочено – ПВК/ФТ). Результати виявилися невтішними: низка суттєвих порушень, які згодом лягли в основу рішення про штраф.
Ключова претензія регулятора – компанія не забезпечила належної організації та проведення первинного фінансового моніторингу. Простіше кажучи, її внутрішня система виявлення підозрілих операцій виявилася формальною і недієвою.
Квітень 2023 року – НБУ приймає рішення №21/496-рк про накладення штрафу в розмірі 14 600 100 гривень. Позивач оскаржує його в суді – і, що цікаво, перша та апеляційна інстанції стають на його бік. Але регулятор іде до Верховного Суду.
У чому суть порушення
Закон України «Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансування тероризму та фінансування розповсюдження зброї масового знищення» (Закон №361-IX) вимагає від фінансових установ не просто мати якісь папери з грифом «Правила фінансового моніторингу». Він вимагає, щоб ці документи справді працювали.
Перша проблема – внутрішні правила компанії не враховували результатів Національної оцінки ризиків. А в ній, між іншим, чітко зазначено: переказ коштів – це послуга з дуже високим ризиком використання для відмивання грошей. Особливо коли йдеться про р2р перекази (від людини до людини), які можна робити онлайн, без особистого контакту.
Натомість компанія у своїх правилах віднесла р2р перекази до середнього рівня ризику. І це при тому, що 99,99% від загального обсягу операцій – понад 5 мільярдів гривень – припадало саме на такі перекази. Масштаб вражає, чи не так?
Друга проблема – критерії оцінки ризиків у додатках до правил не містили конкретики. Наприклад, не було зазначено типів клієнтів (юридичні особи, фізичні особи, ФОП), хоча це пряма вимога Положення №107. Географічний критерій не включав держав-агресорів. А канали надання послуг онлайн – знову ж таки, лише «середній» ризик, хоча національна оцінка відносить дистанційні послуги до високоризикових.
І третя – звіти компанії щодо управління ризиками. Вони були, але виявилися поверхневими. Не містили аналізу фінансових операцій р2р-клієнтів, не пояснювали, чому ризик-апетит компанії визначено як «середній», і не враховували попередніх санкцій, які вже застосовувалися до установи.
Чому попередні суди помилилися
Київський окружний адмінсуд і Шостий апеляційний суд дійшли висновку, що критерії ризику суб’єкт первинного фінансового моніторингу визначає самостійно. І що регулятор не довів порушення, бо не вказав, яка саме норма зобов’язує компанію оцінювати р2р перекази саме як високоризикові.
Верховний Суд із таким підходом не погодився. Логіка касаційної інстанції була простішою і водночас жорсткішою: так, критерії визначаються самостійно. Але ця самостійність не безмежна. Стаття 7 Закону №361-IX прямо вимагає враховувати результати національної оцінки ризиків, типологічні дослідження Держфінмоніторингу і рекомендації FATF.
Коли національна оцінка каже, що переказ коштів – це «дуже високий» ризик, а компанія ставить «середній», це не реалізація дискреції. Це порушення вимоги враховувати результати НОР. І суд це визнав.
Окремо Верховний Суд звернув увагу на деталь, яку попередні інстанції просто не помітили: більшості фінансових операцій компанії банки-еквайри присвоювали код МСС 7994 – «відеоігри». Хоча насправді йшлося про р2р перекази. Іншими словами, суть операцій маскувалася, а дієвих інструментів контролю за цим у компанії не було.
Чи співмірний штраф
Позивач наполягав: 14,6 мільйона – це забагато, штраф перевищує чистий фінансовий результат компанії за кілька років. Але тут працює інша логіка.
Відповідно до пункту 15 частини 5 статті 32 Закону №361-IX, за незабезпечення належної організації первинного фінансового моніторингу штраф може сягати 10% загального річного обороту. Загальний оборот компанії станом на кінець 2021 року становив понад 5,5 мільярда гривень. Тож сума 14,6 мільйона – це приблизно 0,26% від обороту. Навіть не 1%.
Верховний Суд визнав такий розмір пропорційним, враховуючи характер порушення і потенційні наслідки – адже неефективна система фінмоніторингу створює ризики для всієї фінансової системи країни.
Що це означає для ринку
28 травня 2026 року Верховний Суд ухвалив остаточне рішення у справі №320/12807/23: рішення попередніх інстанцій скасувати, у позові відмовити. Штраф залишається в силі.
Ця справа – потужний сигнал для всіх небанківських фінансових установ. Формальний підхід до первинного фінансового моніторингу більше не працює. Мало просто затвердити правила і раз на рік складати звіт. Потрібно, щоб внутрішні документи справді враховували результати національної оцінки ризиків, типологічні дослідження і специфіку власної діяльності.
Критерії ризику мають бути не абстрактними, а прив’язаними до конкретних продуктів, каналів надання послуг і типів клієнтів. А система управління ризиками – охоплювати всі операції, включно з тими, що проводяться без встановлення ділових відносин.
І, мабуть, найголовніше: якщо ваш бізнес на 99,99% складається з операцій, які держава вважає високоризиковими, навряд чи вийде переконати суд, що ви про це не знали. Регулятор дивиться не на назви документів, а на реальний зміст роботи фінансової установи.