Федеральный закон № 161-ФЗ «О национальной платёжной системе» — это главный регуляторный акт, определяющий правила перевода денежных средств и работы электронных денег в России. Для финтех-стартапа игнорирование 161-ФЗ означает не просто штрафы, а блокировку операций и потерю бизнеса. В этой статье разберём, как построить compliance-ready продукт и не сойти с ума.
Закон вступил в силу в 2011 году и с тех пор постоянно ужесточается. Он регулирует: переводы денежных средств (внутрироссийские и трансграничные); эмиссию и обслуживание электронных средств платежа (ЭСП); деятельность операторов электронных денежных средств (ЭДС); взаимодействие участников платёжной инфраструктуры.
Кого касается напрямую: финтех-стартапы, выпускающие виртуальные карты или электронные кошельки; платёжные агрегаторы и шлюзы; сервисы денежных переводов и P2P-платежей; платформы краудфандинга и микрофинансирования; маркетплейсы с агентскими схемами расчётов; любой бизнес, работающий с预付卡 (prepaid) или электронными деньгами.
Даже если вы не получаете лицензию напрямую, а работаете через партнёра-оператора, ваш продукт должен соответствовать требованиям 161-ФЗ — иначе партнёр просто не подпишет договор.
Если стартап решает получить лицензию оператора электронных денежных средств (ОЭДС), нужно выполнить:
1. Капитал и отчётность. Минимальный собственный капитал — не менее 18 млн руб. (для небанковских кредитных организаций). Ежеквартальная отчётность в ЦБ, обязательный аудит.
2. Положение 375-П. ЦБ требует создания системы управления рисками информационной безопасности. Сюда входят: политика ИБ, классификация активов, управление инцидентами, регулярное тестирование на проникновение.
3. Идентификация клиентов (115-ФЗ). Обязательная идентификация плательщиков при переводах свыше 15 000 руб., при пополнении анонимных кошельков свыше 1 000 руб. – упрощённая идентификация.
4. Неприкосновенность средств. Электронные деньги клиента не могут быть использованы для других целей. Они не являются собственностью оператора — это целевые средства.
Для большинства стартапов получать собственную лицензию ОЭДС нецелесообразно — это 6–12 месяцев бюрократии, юридические затраты в 2–5 млн руб. и постоянное внимание ЦБ.
Оптимальная стратегия — работать через партнёра с лицензией. Как это выглядит: вы заключаете агентский договор с банком-оператором (например, Точка, Модульбанк, Qiwi); оператор открывает вашему стартапу счёт и предоставляет API для работы с ЭДС; вы принимаете платежи и совершаете переводы через партнёра; оператор берёт на себя compliance и отчётность — вы фокусируетесь на продукте.
Этот подход сокращает время выхода на рынок на 4–6 месяцев и снижает юридические риски. Большинство финтех-продуктов AXIIOM работает именно по такой схеме.
Независимо от того, получаете вы лицензию или работаете через партнёра, архитектура вашего продукта должна быть compliance-ready:
Аудит транзакций. Каждая операция с ЭДС должна логироваться и храниться не менее 5 лет. Необходима полная прослеживаемость: кто, когда, кому, в какой сумме.
Разделение средств. В архитектуре необходимо разделить счета: технический счёт (комиссии оператора), клиентские счета (средства пользователей), транзитные счета (незавершённые переводы). Смешение средств — грубейшее нарушение 161-ФЗ.
Защита каналов. Все API-запросы должны идти через TLS 1.3. Обязательна двухфакторная аутентификация для операций. Внедрение Web Application Firewall (WAF) и Anti-DDoS.
Обнаружение фрода. Согласно 161-ФЗ, оператор обязан мониторить подозрительные транзакции и блокировать их до списания средств. Антифрод-система должна работать в реальном времени.
Если вы работаете через партнёра, основная отчётность ложится на него. Однако вы обязаны предоставлять партнёру данные по: оборотам (ежедневно); инцидентам безопасности (в течение 24 часов); жалобам клиентов (ежеквартально); изменениям в продукте, затрагивающим платёжную функциональность.
При собственном лицензировании отчётность кратно сложнее: ежедневный реестр транзакций; ежеквартальная бухгалтерская и аудиторская отчётность; годовой отчёт о состоянии ИБ в ЦБ; отчёты по ПОД/ФТ (противодействие отмыванию доходов).
Игнорирование 115-ФЗ. 161-ФЗ неразрывно связан с законом о противодействии отмыванию доходов. Если ID-верификация клиентов не соответствует 115-ФЗ, оператор может заблокировать все операции — и ваш продукт встанет.
Смешение юрлиц. Часто стартап использует один расчётный счёт и для клиентских средств, и для своих оборотов. Это прямое нарушение. Средства клиентов должны быть изолированы.
Позднее подключение compliance. Самый дорогой вариант — переписывать архитектуру под требования регулятора после запуска. Дешевле заложить compliance на этапе проектирования.
Отсутствие юриста по финтеху. 161-ФЗ меняется 2–3 раза в год. Без профильного юриста легко пропустить изменения, которые сломают ваш продукт.
У нас сложился стандартный подход: аудит текущей архитектуры на соответствие 161-ФЗ и 115-ФЗ (2–3 дня); выбор оптимальной модели: партнёрская лицензия или собственная — на основе объёмов и бизнес-модели; проектирование compliance-ready архитектуры: разделение счетов, аудит транзакций, антифрод, ID-верификация; интеграция с партнёром-оператором через API — full cycle под ключ; сопровождение при прохождении аудита ЦБ (если выбрана собственная лицензия).
Это позволяет стартапам сократить время выхода на рынок на 30–40% относительно самостоятельного прохождения compliance.
Стартап P2P-переводов с фокусом на трансграничные платежи. Изначально планировали получать собственную лицензию ОЭДС. После нашего аудита выяснили, что на объёмах до 50 млн руб./мес лицензия не окупается.
Мы спроектировали архитектуру через партнёра-оператора, заложили compliance-ready изоляцию счетов, антифрод и логирование. Запустились за 3 месяца вместо планируемых 10. Экономия бюджета — 4 млн руб. Текущий объём — 120 млн руб./мес, через год планируют переход на собственную лицензию.
161-ФЗ — не препятствие, а фильтр, который отсеивает непрофессиональных игроков. Правильный подход — закладывать compliance в архитектуру с первого коммита, а не пытаться «догнать» регулятора после запуска. Для стартапов оптимальный путь — работа через партнёра-оператора с перспективой перехода на собственную лицензию при росте объёмов.
Нужна консультация по 161-ФЗ для вашего продукта? Свяжитесь с нами — проведём аудит и предложим оптимальную архитектуру.