Bangko Sentral ng Pilipinas (BSP) добивается от поднадзорных ему учреждений (BSI) более строгого риск-ориентированного контроля в целях укрепления безопасности и целостности национальной платёжной системы.

В проекте циркуляра центральный банк предложил поправки к Manual of Regulations for Payment Systems (MORPS), обязывающие BSI создать механизмы, усиливающие контроль над их платёжными операциями. Этот шаг является частью более широкого мандата BSP по надзору за национальной платёжной системой, на который центральный банк всё активнее опирается по мере распространения в стране цифровых платежей и транзакций на основе QR-кодов.

«BSP-Supervised Institutions, включая Operators of Payment Systems (OPS), Payment Service Providers (PSPs) и других значимых участников национальной платёжной системы, должны установить и поддерживать риск-ориентированные меры контроля, обеспечивающие достаточную, точную, актуальную и своевременную видимость в отношении лиц, мерчантов, посредников, счетов, платёжных каналов, транзакций и расчётных потоков, связанных с платёжной деятельностью, соразмерно их соответствующим ролям», — заявил центральный банк.

Более строгая комплексная проверка и классификация рисков

Предлагаемые правила обязывают BSI проводить строгую комплексную проверку (due diligence), осуществлять оценку рисков и создавать структуры отчётности, охватывающие их платёжную деятельность, включая соглашения с мерчантами.

«При проведении оценки рисков OPS-MAL (лицензия на мерчант-эквайринг) или BSFI (поднадзорное BSP финансовое учреждение), уполномоченное заниматься мерчант-эквайрингом, должны присваивать классификацию рисков, отражающую риски, исходящие от мерчанта и конечных бенефициаров, чьи транзакции обрабатываются в рамках такого соглашения», — отметил BSP.

«Например, мерчант не может считаться низкорисковым в ситуации, когда его конечный бенефициар классифицируется как высокорисковый».

Центральный банк запрещает BSI содействовать любым платёжным соглашениям, которые скрывают личности, нарушают подотчётность, препятствуют реконструкции транзакций или затрудняют выявление, расследование или сообщение о финансовых преступлениях.

В рамках прямых соглашений с мерчантами BSI будет запрещено подключать мерчантов, связанных с незаконной деятельностью. Мерчанты с высоким уровнем риска смогут быть подключены только после усиленной комплексной проверки, усиленного мониторинга и введения лимитов на транзакции.

Проект циркуляра относит к высокорисковым мерчантам или видам деятельности те, что связаны с казино и операторами онлайн-гемблинга; администраторами игровых систем и операторами платформ; легальными поставщиками контента или товаров для взрослых; лицензированными поставщиками услуг в сфере виртуальных активов; а также поставщиками денежных услуг.

Прямое соглашение с мерчантом, согласно определению в проекте циркуляра, — это схема приёма платежей, при которой уполномоченный BSI поддерживает прямые отношения с мерчантом, гарантируя, что никакой посредник не принимает, не обрабатывает, не собирает, не получает, не распределяет и не проводит расчёты по платежам от их имени.

В отношении иностранных мерчантов и посредников BSI обязаны будут проверять их правовую состоятельность, юрисдикционные риски, легитимность веб-сайтов и подверженность санкциям, а также обеспечивать возможность беспрепятственного получения записей до их подключения.

Новые правила для многоуровневых мерчантских соглашений

Центральный банк также вводит правила для многоуровневых мерчантских соглашений — схем, в которых между эквайринговой организацией BSI и конечным мерчантом находится один или несколько посредников для поддержки обработки, маршрутизации, сбора или расчётов по платежам.

BSI могут заключать такие соглашения только при условии, что участвующие посредники должным образом уполномочены, роли всех сторон чётко распределены, а платёжные потоки остаются полностью отслеживаемыми от исходного счёта до конечного мерчанта и конечного бенефициара.

Кроме того, такие соглашения должны подкрепляться надёжным рамочным договором, гарантирующим эквайринговой организации своевременный доступ к исчерпывающим данным о транзакциях и юридически закреплённые права на аудит, мониторинг и ограничение деятельности в целях предотвращения любого ущерба для видимости или подотчётности.

По завершении переходных периодов BSI, поддерживающие многоуровневые мерчантские соглашения, должны будут ежеквартально представлять их перечень, а также список ограниченных, приостановленных или расторгнутых конечных мерчантов и посредников.

Они также должны будут уведомлять о любом существенном изменении в соглашении не менее чем за 30 рабочих дней до даты вступления его в силу и ежегодно представлять результаты годового обзора или независимого заверительного отчёта в течение 120 дней после окончания календарного или финансового года.

Централизованная база данных QR-мерчантов

Отдельно BSP намерен создать централизованную национальную базу данных мерчантов по QR-кодам (quick-response), чтобы усилить борьбу страны с мошенничеством и обезопасить транзакции на основе QR. QR-платежи стали в Филиппинах распространённым каналом мошенничества, и предлагаемая база данных призвана предоставить платёжным провайдерам общий авторитетный реестр легитимных мерчантов, доступный для проверки в режиме реального времени.

База данных должна быть запущена в течение 90 дней и полностью работать не позднее чем через год после вступления в силу соответствующих поправок к MORPS.

Для базы данных поставщики платёжных услуг (PSP) должны будут представлять и актуализировать свои основные бизнес-профили, включая уникальные учётные данные мерчанта и QR-кода, зарегистрированные деловые и торговые наименования, классификацию бизнеса, сведения о лицензиях, а также физические или цифровые адреса магазинов.

Мерчанты, в свою очередь, должны хранить в базе данных записи о связанных с ними PSP; расчётных счетах; используемых устройствах, терминалах или каналах; структурах бенефициарной собственности, а также о дате подключения, классификации рисков в реальном времени и статусе проверки на санкции, среди прочего.

Кроме того, BSP потребует, чтобы все активные записи мерчантов были полностью перенесены и валидированы в базе данных не позднее чем через 15 месяцев с момента вступления правил в силу.

База данных будет в режиме реального времени информировать всех участвующих PSP об изменениях статуса мерчантов — например, о приостановке или прекращении сотрудничества из-за мошенничества, — при этом BSP обяжет затронутые стороны немедленно проводить обзоры рисков.

В течение шести месяцев орган управления платёжной системой (PSMB) должен представить BSP на утверждение полный порядок управления, стандарты данных, спецификации интерфейсов программирования приложений (API), требования безопасности и план внедрения базы данных.

С вступлением циркуляра в силу BSP также приостановит приём и обработку всех новых регистраций OPS на один год, пока будет проводить комплексный пересмотр своих лицензионных и таксономических рамок. — Katherine K. Chan