Нові стандарти контролю за платежами від НБУ: аналіз проєкту Положення та його наслідки для фізосіб і бізнесу

1. Що саме пропонує Нацбанк?
2. Яким буде новий рівень контролю за платежами?
3. Що таке повсякденна звірка даних про перекази (реконсиляція)?
4. Нові вимоги до еквайрів для протидії міскодингу
5. Маркери ризику та технології AI/ML
6. Які пропонуються ознаки нетипової поведінки користувачів?
7. База «посиленого контролю» та заходи реагування
8. Рекомендації НБУ для учасників фінансового ринку
9. Чому Асоціація ЄМА критикує новий проєкт НБУ та що пропонує змінити?
10. Які наслідки для фізосіб матиме затвердження нового Положення?
11. Які можливі наслідки для бізнесу та фінансового сектору?
12. Висновки

Нацбанк ініціював відкрите обговорення проєкту Положення про організацію надавачами платіжних послуг контролю за платіжними операціями (далі – Положення).

Ідея регулятора зрозуміла: створити прозорі, чіткі та єдині для всіх учасників правила, які допоможуть мінімізувати операційні ризики, боротися з шахрайством та захистити кошти користувачів. Саме це обіцяє НБУ у пояснювальних матеріалах до проєкту.

Але не усе так просто. Тому детально розберемось з цією регуляторною ініціативою, її впливом на ринок, громадян та бізнес.

Що саме пропонує Нацбанк?

Нове Положення покликане створити цілісну систему контролю, де кожен надавач платіжних послуг діє за зрозумілими алгоритмами. Фактично документ представляє собою єдиний нормативний каркас для банків та небанківських фінансових установ, покликаний захистити платіжну інфраструктуру від шахрайства, протидіяти тіньовим схематичним розрахункам та підвищити загальну безпеку фінансового сектору.

Основні блоки змін

• Загальні засади та вимоги: регламентація організації систем контролю та регулярна оцінка їхньої ефективності безпосередньо регулятором.
• Чітка дефініція моніторингу: це систематичний контроль, орієнтований на виявлення нетипових операцій чи поведінки клієнтів для запобігання помилковим, неакцептованим або неналежним транзакціям.
• Автономія у формуванні правил: установам надається можливість самостійно розробляти власний перелік критеріїв та підозрілих ознак (профіль активності), за якими транзакція класифікується як нетипова.
• Протидія міскодингу: впроваджується комплекс заходів, які не дозволять еквайрам присвоювати торговцям коди категорії діяльності (mcc), що не відповідають їхньому реальному бізнесу.
• Залучення третіх осіб: офіційно дозволяється передача окремих функцій моніторингу на аутсорсинг.

Увага!

Проєкт Положення чітко розмежовує:

• моніторинг нетипових операцій (відповідно до ст. 51 Закону України «Про платіжні послуги») та 
• фінансовий моніторинг ризикових/підозрілих операцій (який регулюється спеціальним законодавством з питань ПВК/ФТ).

Очікувані вигоди

• Стандартизація процесів дозволить інтегрувати моніторинг та реконсиляцію (ідентифікацію та перевірку переказів) безпосередньо в загальну систему управління операційними ризиками.
• Ефективна боротьба з міскодингом створить рівні умови для чесного бізнесу.
• Раннє виявлення нетипової поведінки захистить як самі установи, так і їхніх клієнтів від шахрайських схем.

Ключові дати та перехідний період

Регулятор залишає час для діалогу та адаптації:

• до 31 липня 2026 року включно – НБУ приймає зауваження та пропозиції до проєкту за встановленою формою від усіх зацікавлених сторін.
• 90 днів з дня набрання чинності – саме стільки часу матимуть банки, платіжні установи, фінансові установи з правом надання платіжних послуг та оператори поштового зв'язку для повного приведення своєї діяльності у відповідність до нових вимог.

Яким буде новий рівень контролю за платежами?

Передбачається, що нове регулювання буде поширюватися як на банки, так і на небанківських надавачів платіжних послуг – платіжні установи, філії іноземних установ, фінансові компанії, операторів поштового зв’язку та установи електронних грошей (п. 3 Розділу І).

Безпосередньо систему контролю планується побудувати на трьох напрямках (п. 5 Розділу І), про які ми розповімо далі:

При цьому по ходу Положення виділяються такі ключові принципи оновленої організації контролю за платіжними операціями:

• інтеграція в операційний ризик: заходи моніторингу та щоденної реконсиляції мають бути повноцінно інтегровані в загальну систему управління операційними ризиками установи (п. 6 Розділу І);
• чітке розмежування з ПВК/ФТ: регулятор зобов'язує чітко відокремлювати моніторинг платіжних операцій (ідентифікація помилкових, неналежних та неакцептованих дій) від заходів фінансового моніторингу в сфері запобігання легалізації доходів, одержаних злочинним шляхом (п. 7 Розділу І);
• безперервність (24/7): моніторинг має здійснюватися на постійній основі (п. 11 Розділу І). Якщо установа не здатна забезпечити цілодобовий контроль, вона зобов'язана проводити операції виключно у той час, коли моніторинг фактично працює (п. 12 Розділу І);
• реагування на збої: у разі технічного збою (у власних системах або на боці процесингу), що унеможливлює моніторинг, установа зобов'язана негайно повідомити НБУ електронною поштою протягом 1 години з моменту настання критичного інциденту (п. 13 Розділу І).

Що таке повсякденна звірка даних про перекази (реконсиляція)?

Реконсиляція (звірка даних про перекази) стане обов'язковою щоденною процедурою (п. 6 та п. 39 Розділу ІІ).

Для її проведення установа повинна використовувати щонайменше 3 з указаних показників (п. 39 Розділу ІІ):

Всі розбіжності, виявлені під час реконсиляції, підлягають обов'язковій фіксації та врегулюванню відповідальним підрозділом (п. 18 Розділу І та п. 38 Розділу ІІ).

Нові вимоги до еквайрів для протидії міскодингу

Міскодинг – це маніпуляція з кодами категорій торговців (MCC), коли ризикова діяльність (наприклад, азартні ігри) підміняється кодом звичайного магазину. Проєкт Положення встановлює жорсткий алгоритм дій для еквайрів:

1. Перевірка на старті: при підключенні терміналів або платіжних сторінок еквайр повинен перевірити наявність ресурсів (людських, виробничих), ліцензій, даних з відкритих джерел та баз, негативної інформації про отримувача у базах платіжних систем (п. 1 Додатка 1).
2. Постійний контроль та моніторинг: перевірка відповідності фактичної діяльності отримувача заявленій діяльності на періодичній основі або у разі виявлення ознак міскодингу; регулярний аналіз обсягів операцій на користь торговця для виявлення аномальних сплесків (п. 2 Додатка 1).
3. Технологічний контроль: використання автоматизованих методів краулінгу (алгоритмів і AI /ML) для сканування сайтів, соцмереж та чат-ботів торговців, а також аналіз IP-адрес і пристроїв, з яких здійснюється перехід на платіжну сторінку (п. 2 Додатка 1).
4. Контрольні закупки: еквайрам офіційно надано право здійснювати контрольні покупки товарів або послуг у торговця для перевірки реального MCC-коду (п. 41 Розділу ІІ).

Маркери ризику та технології AI/ML

Для гнучкості та швидкості оцінки платіжні операції поділені за трьома рівнями ризикованості, кожен з яких передбачає відповідний сценарій обробки (п. 50 Розділу ІІІ):

Для виявлення та оцінки нетипових операцій НБУ планує дозволити використовувати системи на основі штучного інтелекту (AI) та машинного навчання (ML) (п. 46 Розділу ІІІ). Головна умова їх застосування – забезпечення безперервного навчання моделей та регулярного оновлення вхідних даних (п. 47 Розділу ІІІ).

Які пропонуються ознаки нетипової поведінки користувачів?

У Додатку 2 до Положення регулятор сформував детальний перелік обов'язкових маркерів нетипової поведінки клієнтів (п. 53 Розділу ІІІ), які свідчать про можливі аномалії або схеми:

• масові рахунки/картки: відкриття або наявність аномальної кількості рахунків, випуск додаткових карток, що виходить за межі звичайного профілю (п. 1 Додатка 2);
• транзитний характер та швидкість: швидке перерахування коштів (гроші надходять і майже одразу виводяться, залишаючи мінімальний залишок) (п. 6 Додатка 2), а також повне збігання динаміки вхідних і вихідних потоків у торговців (п. 10 Додатка 2);
• аномальна частота: висока інтенсивність операцій (наприклад, понад 10 поповнень рахунку менш ніж за 60 хвилин) (п. 3 Додатка 2);
• схеми з миттєвими виграшами: надходження коштів з кодом MCC 7995 («Азартні ігри») як «виграш» або «повернення ставок» за відсутності попередніх операцій з поповнення гральних рахунків (п. 7 Додатка 2);
• приховане підприємництво: регулярні перекази на приватні рахунки фізичних осіб із показовими призначеннями платежів або однаковими повторюваними сумами (п. 8 Додатка 2);
• технічні аномалії: часта зміна Device ID, Аpplication ID, IMEI, IP/MAC-адрес, використання одного пристрою для входу в додатки різних незареєстрованих між собою осіб (п. 12-13 Додатка 2);
• географічна нелогічність: здійснення послідовних операцій з різних міст чи областей за проміжок часу, недостатній для фізичного переміщення між ними (п. 14 Додатка 2);
• концентрація потоків: концепція «один-багатьом» або «багато-одному» (коли один платник масово розсилає кошти сотням фізосіб або навпаки) (п. 15-16 Додатка 2).

База «посиленого контролю» та заходи реагування

Якщо за результатами моніторингу або аналізу міскодингу буде виявлено порушення, інформація про клієнта або торговця потрапить до спеціального Переліку осіб, що потребують посиленого контролю (п. 20 Розділу І). Йдеться про таких осіб:

1. Фізичні особи, які передавали право розпорядження своїм рахунком іншим стороннім особам (дропи) (пп. 1 п. 20 Розділу І).
2. Торговці, які приймали платіжні засоби з порушенням вимог ст. 38 Закону України «Про платіжні послуги» (пп. 2 п. 20 Розділу І).
3. Отримувачі коштів, чия фактична діяльність не відповідає призначеному еквайром MCC-коду (пп. 3 п. 20 Розділу І).

Права надавача послуг (банку або не банківської фінустанови) при виявленні ризиків

При спрацюванні правил або виявленні нетипових дій установа матиме право (п. 71, 72, 74 Розділу ІІІ):

• зупинити операцію та провести посилену автентифікацію (додаткову перевірку документів, PIN-кодів тощо);
• припинити здійснення операції;
• встановити персональні ліміти на суми/кількість операцій, обмежити кількість випущених карток або заблокувати відкриття нових рахунків;
• заблокувати платіжний інструмент або розірвати договір і закрити рахунок (якщо це передбачено договором).

Рекомендації НБУ для учасників фінансового ринку

На основі вимог проєкту Положення фінансовим установам та банкам рекомендується вже зараз вжити таких кроків:

1. Модернізація IT-інфраструктури: налаштувати системи моніторингу на скрізний збір даних за всіма продуктами та каналами (п. 29 Розділу ІІ), а також інтегрувати автоматичне маркування транзакцій (low/medium/high risk) (п. 49 Розділу ІІІ).
2. Адаптація договорів: оновити типові договори з клієнтами (фізособами та юридичними особами), передбачивши право установи встановлювати ліміти, запитувати додаткові документи, блокувати картки та розривати відносини при виявленні нетипової поведінки (п. 73, 74 Розділу ІІІ).
3. Впровадження автоматичних алгоритмів перевірки торговців (п. 2 Додатка 1).
4. Регламентація дій при збоях: оформити чітку інструкцію для IT та ризик-підрозділів щодо негайного (до 1 години) інформування НБУ про зупинку моніторингу (п. 13 Розділу І).

Чому Асоціація ЄМА критикує новий проєкт НБУ та що пропонує змінити?

Українська міжбанківська Асоціація членів платіжних систем (ЄМА) виступає з застереженням: у нинішньому вигляді проєкт містить системну помилку.

Асоціація наголошує, що не виступає проти реформи загалом, і позитивно оцінює такі рішення НБУ:

• впровадження дієвих заходів із запобігання міскодингу (Додаток 1);
• чітке розмежування платіжного моніторингу та заходів у сфері ПВК/ФТ (Розділ І);
• використання штучного інтелекту, машинного навчання та бек-тестування ризик-моделей (Розділ ІІІ);
• проведення реконсиляції за щонайменше трьома показниками (Глава 7).

Проте, посилюючи функції виявлення підозрілих операцій, документ виключає з підзаконного регулювання механізми обміну інформацією та повернення викрадених коштів.

Суть проблеми: розрив цілісного контуру керування

Ефективна протидія платіжному шахрайству працює як замкнена система зі зворотним зв’язком, що складається з чотирьох послідовних елементів (Розділ 3 позиції ЄМА).

Натомість проєкт НБУ пропонує скасувати розділ Х Положення №164 , не перенісши їхній зміст до нового Положення. Через це контур керування розривається:

Наслідки розриву контуру за оцінкою ЄМА

«Детекція без дії». Система стає надсучасною в ідентифікації шахраїв, але позбавляється законодавчо внормованого інструменту для блокування та повернення вкрадених грошей (Розділ 5 позиції ЄМА).

Втрата керування. Різноманітність шахрайських схем зростає, а регулятор самостійно позбавляє себе важелів нагляду та притягнення банків до відповідальності (Розділ 10 позиції ЄМА).

Сплеск скарг громадян. Відсутність єдиного обов'язкового алгоритму повернення коштів призведе до відмов банків клієнтам-жертвам, що переросте у хвилю скарг до НБУ та публічний резонанс (Розділ 11 позиції ЄМА).

Аналіз юридичних та практичних суперечностей проєкту

Таблиця 1. Неузгодженості, які виникнуть у разі прийняття проєкту в поточній редакції, на думку ЄМА

Асоціація ЄМА підкреслює, що доопрацювання проєкту та повернення норм про обмін і повернення коштів відповідає стратегічним цілям самого Нацбанку:

• НБУ зберігає право проводити перевірки, вимагати дотримання стандартів обміну та застосовувати заходи впливу за порушення термінів повернення коштів;
• європейська модель (PSD2, а надалі PSD3/PSR) розглядає моніторинг, інформаційний обмін та реагування як єдиний інститут. Збереження обміну й повернення підтверджує курс України на гармонізацію з законодавством ЄС до 2028 року;
• НБУ отримує чіткі публічні показники ефективності – суми збережених та повернутих громадянам коштів, а також динаміку зниження рівня шахрайства.

Пропозиції Асоціації ЄМА щодо зміни проєкту

Для збереження робочої системи та уникнення правового вакууму Асоціація ЄМА пропонує НБУ внести такі поправки до проєкту Положення:

• Доповнити преамбулу. Включити ст. 66 та 86 Закону України «Про платіжні послуги» до переліку законодавчих підстав видання Положення.
• Унормувати інформаційний обмін. Закріпити обов’язок надавачів обмінюватися даними про неналежні операції та поновити порядок підтвердження інформації на запити правоохоронних органів.
• Врегулювати залучення спеціалізованої юрособи. Передбачити право залучати юридичну особу, засновниками якої є надавачі послуг (згідно з ч. 3 ст. 66 Закону), для технологічного забезпечення обміну без передачі їй права ухвалювати рішення щодо операцій.
• Встановити сквозний механізм реагування. Прописати чітку процедуру: «виявлення → зупинення/блокування → встановлення неправомірності → повернення коштів», прямо поширивши її на всі платіжні системи, включаючи СЕП НБУ.
• Закріпити договірні засади. Визначити підстави для обробки персональних даних та зобов'язати надавачів включати до договорів із користувачами згоду на передачу відомостей, що становлять банківську таємницю чи таємницю надавача послуг.
• Запровадити превентивну звірку. Внести зміни до Інструкції №163 щодо обов'язкової превентивної перевірки реквізитів отримувача (IBAN, коду та найменування/ПІБ) до моменту зарахування коштів.

Які наслідки для фізосіб матиме затвердження нового Положення?

Для пересічних користувачів платіжних карток та рахунків новація створює суперечливу ситуацію.

Що виграють громадяни?

• Превентивний захист. Банки використовуватимуть сучасні алгоритми та аналітику на основі штучного інтелекту, що дозволить виявляти аномальні операції (наприклад, нетиповий час, суму чи географію транзакції) ще до їх завершення.
• Зниження ризиків міскодингу. Жорсткіший контроль за кодами категорій торговців (MCC) зменшить ризики залучення громадян у сірі схеми чи нелегальні азартні ігри під виглядом звичайних покупок.

Які нові проблеми вони матимуть?

• «Детекція без повернення». Система банку зможе швидко зафіксувати, що гроші з рахунку клієнта викрали шахраї. Однак через скасування нормативно закріпленого алгоритму міжбанківської взаємодії у банку-отримувача не буде чітких зобов'язань зупинити операцію та повернути кошти потерпілому.
• Зростання частки неповернутих збитків. Без обов'язкового оперативного каналу сповіщення між банками вкрадені гроші швидко виводитимуться через ланцюжки дропів, а громадяни залишатимуться сам на сам зі своїми збитками.
• Затягування розгляду скарг. Відсутність уніфікованих правил призведе до того, що банки частіше відмовлятимуть у компенсаціях, перекладаючи відповідальність один на одного. Це спричинить зростання кількості судових позовів та скарг до регулятора.

Які можливі наслідки для бізнесу та фінансового сектору?

Для банків, небанківських надавачів платіжних послуг та торговців нові правила принесуть як прогресивні стандарти, так і серйозні регуляторні та операційні виклики.

Таблиця 2. Вплив нового Положення на діяльність бізнесу

Головна проблема для бізнесу: проєкт НБУ вимагає від банків будувати ефективні правила ризик-менеджменту на основі зовнішніх даних (від інших банків чи правоохоронців), але водночас скасовує обов'язок інших учасників ринку ці дані надавати.

Висновки

Затвердження Положення у пропонованому НБУ вигляді без врахування правок, запропонованих експертами, загрожує зниженням рівня захисту споживачів та ускладненням боротьби з кіберзлочинністю. Для бізнесу це означатиме зростання операційних ризиків, а для громадян – втрату надійного механізму повернення своїх заощаджень.

Тим не менш, поки що, щоб перехід на нові стандарти відбувся безболісно, фінансовим установам варто діяти превентивно:

• провести аудит наявних систем моніторингу: вже зараз оцініть, наскільки поточні IT-рішення здатні виявляти відхилення від «звичного профілю активності» користувача;
• взяти участь в обговоренні: скористайтеся правом надати конструктивну пропозицію до НБУ до 31 липня 2026 року, щоб врахувати специфіку вашої бізнес-моделі;
• переглянути договори: актуалізуйте перевірку MCC-кодів для виключення ризиків міскодингу;
• підготувати правову та технічну базу для аутсорсингу: якщо планується залучення третіх осіб, заздалегідь розробіть детальні правила та вимоги до безпеки даних.