Закон о регулировании криптовалют: методика аудита комплаенс и что она выявила

Эти цифры описывают разные периоды и, вероятно, разные способы подсчёта, поэтому складывать их или напрямую сравнивать нельзя. Но обе показывают масштаб рынка, который регулятору уже трудно считать периферийным.

4 августа 2026 года подписаны федеральные законы № 282-ФЗ и № 283-ФЗ. Требования к цифровым депозитариям и криптообменникам вступили в силу 1 сентября 2026 года. Для операторов это меняет практический смысл комплаенса: теперь недостаточно предъявить банку папку с политиками и процедурами. Нужно показать, как они работают в реальных операциях, где выявляется риск и что происходит после сигнала системы. Разберём, на каких ориентирах строится аудит, почему передача данных о транзакциях остаётся узким местом и что означает новый порядок для легального контура.

Каркас, который наращивали шесть лет

Российский закон о регулировании криптовалют складывался поэтапно. Это не один документ, а набор правил, которые отвечают на разные вопросы: какой статус получают цифровые активы, как оформляется майнинг и какие требования предъявляются к инфраструктуре рынка. Называть это последовательным закрытием всех лазеек было бы слишком просто. На практике каждый новый слой добавлял обязанности, но не устранял сразу все неопределённости.

Федеральный закон № 259-ФЗ от 31 июля 2020 года закрепил в российском праве понятия цифровой валюты и цифровых прав. Цифровую валюту можно владеть и использовать в предусмотренных законом случаях, однако она не признаётся законным средством платежа внутри страны. Это важная граница: правовой статус криптовалюты не означает, что её можно использовать вместо рублей для расчётов за товары, работы и услуги.

Правовой статус цифровой валюты даёт ей место в правовом поле, но не превращает её в обычные деньги для внутренних расчётов.

Следующие изменения касались отдельных сегментов рынка. С 1 сентября 2024 года заработал экспериментальный правовой режим для использования цифровой валюты во внешнеторговых расчётах. Он создал ограниченный регулируемый контур, но не отменил общие требования к участникам и не сделал криптовалюту универсальным средством платежа.

С 1 ноября 2024 года вступили в силу положения Федерального закона № 221-ФЗ о майнинге. Юридические лица и индивидуальные предприниматели, занимающиеся майнингом, должны вноситься в реестр, который ведёт ФНС. Это придало части отрасли более определённый правовой статус, но одновременно связало деятельность с отчётностью и налоговыми обязанностями. Для компаний это не формальность на старте: регистрационные сведения и данные о деятельности становятся частью отношений с государством.

Законы № 282-ФЗ и № 283-ФЗ добавили требования к инфраструктуре рынка. С 1 сентября 2026 года действуют правила для цифровых депозитариев и криптообменников. В законодательстве также предусмотрен механизм анализа цифровых валют и цифровых прав. Следующий рубеж обозначен на 1 июля 2027 года: с этой даты банки должны будут отказывать в переводах в адрес организаций, не включённых в установленный периметр. Для бизнеса это означает, что доступ к банковским каналам становится частью регуляторной модели, а не внешним вопросом, который можно отложить до первого запроса банка.

Само по себе наличие закона не отвечает на вопрос, насколько устойчив конкретный сервис. Для этого и нужен аудит: он должен связать нормы, внутренние процедуры и реальные потоки операций. Если документы не совпадают с тем, как устроены регистрация клиентов, обработка переводов и эскалация подозрительных случаев, наличие папки с политиками ничего не доказывает.

Что проверяют при комплаенс-аудите

Единой универсальной методологии аудита комплаенса для криптопроектов нет. Практика складывается из нескольких ориентиров: рекомендаций FATF, подходов европейского регламента MiCA и требований национального законодательства. Их нельзя механически свести к одному шаблону: юрисдикции, виды услуг и правовой статус участников различаются. Поэтому аудит начинается с определения того, кто именно оказывает услугу, какие операции проводит и какие обязанности применимы к этой модели.

Внутри проверки обычно рассматривают несколько взаимосвязанных уровней:

1. AML, противодействие отмыванию денег. Аудитор смотрит, как устроен внутренний контроль: кто отвечает за процедуры, как сотрудники распознают риск и что происходит после выявления подозрительной операции. Политика, которую никто не применяет, не заменяет работающий процесс.

2. KYC, идентификация клиента. Проверка не заканчивается на получении документа. Для оценки риска имеют значение назначение отношений с клиентом, характер его операций и доступная информация об источнике средств. Проверки на политически значимых лиц и санкционные ограничения могут быть частью этой картины, если они требуются применимым режимом и профилем риска.

3. KYT, оценка риска транзакций. Ончейн-аналитика помогает оценивать связи адреса с другими адресами и выявлять рискованные паттерны. Но подключённый сервис сам по себе не делает платформу безопасной: важно, кто разбирает сработавшие сигналы, как фиксирует решение и когда ограничивает или отклоняет операцию.

4. Передача данных о сторонах перевода. В международной практике этот блок связан с Travel Rule, рекомендацией FATF о передаче определённых сведений между провайдерами. Для конкретного оператора важны применимые требования и возможность связать сведения о клиенте с соответствующей транзакцией.

Эта схема не означает, что каждый аудит обязан иметь ровно четыре этапа. В одном проекте основное внимание потребуется уделить процедурам идентификации, в другом — движению активов между кошельками и провайдерами. Риск-ориентированный подход как раз предполагает, что глубина проверки зависит от услуг, клиентской базы, географии операций и технической архитектуры.

Аудиторская проверка становится содержательной, когда прослеживает цепочку целиком: от регистрации клиента до решения по конкретной операции. Например, недостаточно установить, что сервис использует ончейн-аналитику. Нужно понять, какие данные поступают в систему, кто интерпретирует результат, сохраняются ли основания для решения и можно ли восстановить ход проверки позднее. Та же логика применима к KYC: получение документов не отвечает на вопрос, соответствует ли фактическая активность клиента тому профилю, который был зафиксирован при регистрации.

Здесь важна и граница между стандартом и инструментом. FATF, MiCA и национальные законы задают ориентиры и требования в своих областях, но не предлагают единую универсальную инструкцию, пригодную для любого криптопроекта. Поэтому комплаенс-аудит не сводится к галочкам в списке. Его задача — проверить, насколько выбранная модель контроля соответствует конкретной деятельности и можно ли подтвердить её работу документами и следами операций.

Travel Rule: узкое горлышко системы

Travel Rule выглядит понятно на уровне принципа: при переводе между провайдерами сведения об отправителе и получателе должны сопровождать операцию в предусмотренном объёме. Сложность начинается, когда это правило нужно встроить в разные информационные системы и применить к переводам на адреса, которые не принадлежат зарегистрированному провайдеру.

Первый барьер — совместимость. Разные VASP могут использовать разные решения для обмена данными или выстраивать собственные процессы. Даже если оба участника собирают необходимые сведения, это не гарантирует, что они могут передать их друг другу в совместимом формате и в нужный момент. Тогда компании приходится отдельно решать, как идентифицировать контрагента, получить данные и связать их с транзакцией.

Второй барьер возникает при переводе на некастодиальный кошелёк. У такого адреса нет очевидного оператора-посредника, которому можно отправить сведения по стандартному каналу между VASP. Это не отменяет необходимости оценить риск самой операции, но меняет способ проверки. Платформе нужны понятные правила: какие сведения она запрашивает у клиента, как фиксирует принадлежность адреса, какие сигналы ведут к дополнительной проверке и в каких случаях операция не проходит.

Третий барьер связан с ресурсами. Интеграция систем, настройка мониторинга и обучение сотрудников требуют времени и затрат. Для небольшого оператора это может быть особенно заметно. Но решение не подключаться к процессу не устраняет риск: оно оставляет компании меньше возможностей показать, как она выполняет применимые требования и что делает при несовпадении данных.

Travel Rule упирается не только в желание соблюдать правила. Нужны совместимые процессы, достоверные данные и понятный порядок действий, когда перевод идёт на кошелёк вне инфраструктуры провайдеров.

Поэтому в аудите важно не ограничиваться вопросом, подключён ли оператор к конкретному сервису обмена данными. Проверяется и сценарий сбоя: что происходит, если получатель использует другое решение, сведения пришли не полностью или отправитель переводит актив на собственный кошелёк. Чем яснее такие сценарии описаны и проверены, тем меньше комплаенс зависит от ручной импровизации сотрудника.

Тень и легальный контур: что можно измерить

Оценка «Шарда» в 44 трлн рублей и данные Chainalysis о 379,3 млрд долларов относятся к разным временным интервалам и методикам. По ним нельзя определить точную долю теневого оборота. Для этого потребовались бы сопоставимые данные о том, какие операции учтены, как исключались повторные перемещения активов и что именно считается российским рынком.

Теневой оборот по определению трудно измерять напрямую. Поэтому корректнее говорить не о его точном размере, а о механизмах, которые могут переводить деятельность в регулируемый контур. К ним относятся требования к операторам, регистрация отдельных видов деятельности, проверки со стороны банков и налоговые обязанности. Это не означает, что вся активность автоматически станет прозрачной после вступления новых правил в силу. Часть операций может перейти к другим посредникам или формам взаимодействия, а часть останется вне доступного наблюдения.

Новый режим меняет стимулы для участников. Крупным игрокам придётся выстраивать процедуры, которые можно объяснить банку и регулятору. Для небольших сервисов цена организационных изменений может быть существенной. Но утверждать заранее, что рынок целиком пойдёт по модели реестра майнеров, нельзя: у разных типов участников разная правовая конструкция и разные обязательства.

Реестр майнеров, который ведёт ФНС в соответствии с законом № 221-ФЗ, показывает, как регистрация связывает отраслевую деятельность с отчётностью. Для участников рынка цифровых активов важна и другая сторона этого процесса: налогообложение криптовалютных операций зависит от характера операции и применимых норм. Одного факта владения активом недостаточно, чтобы описать налоговые последствия всех возможных действий с ним. Поэтому финансовый учёт и документы по операциям становятся частью практического комплаенса, а не отдельной задачей бухгалтерии.

Цифровой контент давно вошёл в разные отрасли, от блокчейн-аналитики до покрытия трендов сезона и стрит-стайла. Регуляция крипты тоже перестала быть узкой юридической темой: она касается банков, налоговой службы, майнинговых операторов и компаний, которые взаимодействуют с цифровыми активами. Участнику рынка теперь приходится следить не только за котировками, но и за тем, какие правила применимы к его роли в цепочке операций.

От реакции на запрос к проактивной защите

Реактивная модель знакома рынку: сервис запускается без достаточной инфраструктуры, а процессы идентификации и мониторинга появляются после вопросов со стороны банка или надзорного органа. В этот момент компании приходится менять не только документы. Нужно перестраивать операции, объяснять пользователям новые требования и разбирать накопившиеся сигналы, которые раньше могли оставаться без внимания.

Проактивная модель начинается раньше, на этапе проектирования сервиса. Это не обещание пройти любой аудит без замечаний и не способ заранее угадать все требования. Это способ сделать так, чтобы правила проверки были встроены в продукт: понятно, когда клиент проходит идентификацию, как учитывается риск операции и кто принимает решение при спорном случае. Если сервис рассчитывает работать с банковской инфраструктурой и институциональными контрагентами, такие вопросы нельзя оставлять на потом.

Особенно важно не путать наличие инструмента с наличием контроля. Сервис ончейн-аналитики может подсветить риск, но не заменяет процедуру принятия решения. KYC-платформа может собрать документы, но не определяет сама по себе, как проверять изменения в поведении клиента. А подключение к каналу обмена данными не решит проблему, если контрагент использует несовместимый процесс. Комплаенс работает как система только тогда, когда роли, данные и действия согласованы между собой.

Для аудитора и самой компании полезно проверять не абстрактное соответствие, а несколько конкретных связок:

• кто отвечает за каждую процедуру и кому эскалировать спорный сигнал;
• какие данные нужны для идентификации клиента и оценки конкретной операции;
• где сохраняются основания для блокировки, пропуска или дополнительной проверки;
• как компания действует при переводе на адрес вне инфраструктуры VASP;
• когда и кем пересматриваются правила, если меняются продукт или применимые требования.

Это не универсальный чек-лист, который заменит юридический анализ. Скорее, способ увидеть, где политика расходится с работой продукта. Хорошо спроектированные процедуры не устраняют регуляторный риск, но помогают обнаружить разрыв до того, как он станет проблемой для банка, клиента или самого оператора.

Вердикт практика

К концу 2026 года правовой каркас стал плотнее: от Федерального закона № 259-ФЗ, определившего статус цифровой валюты и цифровых прав, до законов № 282-ФЗ и № 283-ФЗ, требования которых к цифровым депозитариям и криптообменникам действуют с 1 сентября 2026 года. Отдельно работает контур майнинга по закону № 221-ФЗ. Но это не означает, что у рынка появилась единая методика комплаенс-аудита. Проверка строится на совокупности ориентиров FATF, MiCA и национальных норм, а конкретный подход зависит от вида деятельности и юрисдикции.

Самая сложная часть по-прежнему находится на стыке права и технической реализации. Travel Rule требует не просто собрать сведения, но и связать их с транзакцией, передать в совместимом формате и определить действия для ситуаций с некастодиальными кошельками. Ончейн-скоринг полезен, только если у компании есть процесс разбора сигналов. Регистрация имеет смысл, если за ней стоят учёт операций и понятная ответственность сотрудников.

Операторам стоит строить комплаенс не как набор документов для проверки, а как часть архитектуры сервиса. Инвесторам, в свою очередь, полезно смотреть не только на доходность и токеномику проекта, но и на то, способен ли он объяснить свою модель работы с риском и требованиями. Это не гарантирует устойчивости бизнеса, но отсутствие таких ответов делает его зависимым от случайного запроса банка или регулятора.

Усиление регулирования не означает автоматического конца крипторынка. Оно меняет условия доступа к легальной инфраструктуре и повышает цену ошибок. В ближайшие годы преимущество получат не те, кто собрал больше политик в папке, а те, кто умеет показать, как правила работают внутри продукта, от регистрации клиента до последнего перевода.