Постанова КАС ВС № 320/12807/23

ПОСТАНОВА ІМЕНЕМ УКРАЇНИ 28 травня 2026 року м. Київ справа №320/12807/23 адміністративне провадження № К/990/49260/24 Верховний Суд у складі колегії суддів Касаційного адміністративного суду: судді-доповідача Кравчука В.М., суддів Єзерова А.А., Стародуба О.П., розглянув у порядку письмового провадження касаційну скаргу Національного банку України на рішення Київського окружного адміністративного суду від 24 червня 2024 року (суддя Кушнова А.О.) та постанову Шостого апеляційного адміністративного суду від 19 листопада 2024 року (колегія у складі суддів Собківа Я.М., Сорочка Є.О., Чаку Є.В.) у справі № 320/12807/23 за позовом Товариства з обмеженою відповідальністю «АВТО УКР БІЛС» до Національного банку України про визнання протиправним та скасування рішення. І. ЗМІСТ ПОЗОВНИХ ВИМОГ

1. Товариство з обмеженою відповідальністю «Укрфінстандарт» (рішенням учасника №31/08 від 31.08.2023 змінено назву Товариства на "АВТО УКР БІЛС") звернулося до суду з позовом до Національного банку України з вимогами визнати протиправним та скасувати рішення Національного банку України від 20.03.2023 № 21/496-рк "Про накладення штрафу на Товариство з обмеженою відповідальністю «Укрфінстандарт», яким вирішено накласти на Товариство з обмеженою відповідальністю «Укрфінстандарт» штраф за порушення вимог п. 2 ч. 2 ст. 8 Закону України «Про запобігання та протидію легалізації (відмивання) доходів, одержаних злочинним шляхом, фінансування тероризму та фінансування розповсюдження зброї масового знищення» від 06.12.2019 №361-IX (далі - Закон №361-IX) у частині не проведення первинного фінансового моніторингу у розмірі 14600100 гривень. II. ОБСТАВИНИ СПРАВИ

2. Судами попередніх інстанцій встановлено, що відповідно до ст. 18 Закону №361-IX на підставі розділу IV Положення про порядок організації та здійснення нагляду у сфері фінансового моніторингу, валютного нагляду, нагляду з питань реалізації моніторингу ефективності персональних економічних та обмежувальних заходів (санкцій), затвердженого постановою Правління Національного банку України від 30.06.2020 №90 (далі - Положення № 90) Департамент фінансового моніторингу Національного банку України шляхом безвиїзного нагляду провів перевірку дотримання ТОВ «Укрфінстандарт» вимог законодавства в сфері запобігання та протидії легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та фінансуванню розповсюдження зброї (далі - ПВК/ФТ), за результатами якої складено акт про результати безвиїзного нагляду з питань фінансового моніторингу від 22.12.2022 №В/25-0014/1826/ДСК. На підставі результатів безвиїзного нагляду ТОВ «УКРФІНСТАНДАРТ» у звіті зафіксовано низку суттєвих порушень законодавства у сфері фінансового моніторингу (ПВК/ФТ), узагальнено: - неналежна розробка та оновлення внутрішніх документів: Установа порушила вимоги щодо створення детальних та зрозумілих процедур для працівників, а також не забезпечила чіткого розподілу обов`язків між керівництвом та відповідальними особами. Внутрішні правила не містили опису визначення ризик-апетиту та не враховували всі необхідні принципи ризик-орієнтованого підходу; - недоліки методології оцінки ризиків: Методика оцінки ризик-профілів клієнтів та продуктів мала формальний характер і не дозволяла адекватно визначати високий рівень ризику. Зокрема, система була налаштована так, що навіть за наявності багатьох критеріїв ризику, підсумковий рівень не міг бути вищим за «середній»; - відсутність дієвого ризик-орієнтованого підходу: Установа не забезпечила постійного процесу виявлення та оцінки ризиків, притаманних її діяльності, що є порушенням закону про ПВК/ФТ. Оцінка ризиків не враховувала специфіку послуг та особливості географічного розташування клієнті; - порушення у сфері моніторингу операцій: Не було забезпечено ефективного виявлення фінансових операцій, спрямованих на уникнення порогових вимог (дроблення платежів). Моніторинг не враховував індикатори підозрілості, визначені НБУ, зокрема щодо операцій з переказу коштів; - порушення вимог щодо супроводження переказів інформацією: Установа не забезпечувала наявність унікальних номерів операцій (транзакцій) у даних, що супроводжують перекази, що є порушенням статті 14 Закону про ПВК/ФТ; - загальні недоліки організації фінмоніторингу: Установа не забезпечила належну організацію та проведення первинного фінансового моніторингу в цілому. 3. 13.03.2023 Національний банк України направив на адресу ТОВ «Укрфінстандарт» лист №25-0014/16843, яким позивача запрошено на розгляд питання щодо застосування заходів впливу за результатами безвиїзного нагляду на 20.03.2023 з початком о 10 год. 00 хв. за допомогою відеозв`язку через платформу ZOOM. 4. 20.03.2023 Національний банк України, керуючись ст. 17 Закону України «Про Національний банк України», ст.ст. 18, 32 Закону №361-IX, та п.10-2 розділу ХIII «Прикінцеві та перехідні положення» Закону України «Про виконавче провадження», Положення №106 та Положення про Комітет з питань нагляду та регулювання діяльності ринків небанківських фінансових послуг, затвердженого Рішенням Правління Національного Банку України від 29.07.2020 №498-рш прийняв рішення №21/496-рк, яким вирішено накласти на ТОВ "Укрфінстандарт" штраф за порушення вимог п. 2 ч. 2 ст. 8 Закону №361-IX у частині непроведення первинного фінансового моніторингу у розмірі 14600100 грн (п. 1 рішення).

5. Згідно з рішенням Національного банку України від 02.06.2024 №21/1015-рк ТОВ «Укфінстандарт» виключено з Державного реєстру фінансових установ.

6. Вважаючи вказані дії відповідача протиправними, а свої права порушеними, позивач звернувся до суду. ІІІ. АРГУМЕНТИ СТОРІН

7. Позов обґрунтовано відсутністю порушення положень ч. 1 ст.8 Закону №361-IX та наголошено на тому, що штраф, передбачений положеннями п. 13 ч. 5 ст. 32 зазначеного закону, застосуванню не підлягає, оскільки підставою для його застосування є порушення положень ч. 2 ст. 8 Закону №361-IX, який, у свою чергу, позивач не допустив. Представник позивача наполягає на тому, що ТОВ «Укрфінстандарт» не порушив ч. 2 ст.7, п. 25 ч. 2 ст.8 Закону №361-IX, вважає безпідставним застосування штрафу безпосередньо до позивача. При цьому наголошує, що розмір штрафу є надмірним та перевищує чистий фінансовий результат ТОВ «Укрфінстандарт» за 2019-2022 роки.

8. Відповідач щодо задоволення адміністративного позову заперечив, наполягаючи на тому, що оскаржуване рішення прийнято ним в порядок, спосіб та в межах наданих йому повноважень, враховуючи характер, тривалість порушення, фінансовий стан суб`єкта первинного фінансового моніторингу та вигоду, одержану позивачем внаслідок вчинення порушення. Оскаржуване рішення прийнято протягом розумного строку обґрунтовано, добросовісно, неупереджено, розсудливо, пропорційно та адекватно конкретним порушенням з урахуванням всіх обставин справи у зв`язку із встановленим за результатами безвиїзного нагляду непроведенням первинного фінансового моніторингу ІV. ОЦІНКА СУДІВ ПЕРШОЇ ТА АПЕЛЯЦІЙНОЇ ІНСТАНЦІЙ

9. Рішенням Київського окружного адміністративного суду від 24.06.2024, залишеним без змін постановою Шостого апеляційного адміністративного суду від 19.11.2024, адміністративний позов задоволено повністю: визнано протиправним та скасовано рішення Національного банку України від 20.03.2023 № 21/496-рк. Стягнуто за рахунок бюджетних асигнувань Національного банку України на користь ТОВ «Укрфінстандарт» судовий збір у розмірі 26840 грн. (а) щодо порушення вимог частини першої статті 8 Закону № 361-IX

10. Суд першої інстанції зазначив, що позивач затвердив Правила фінансового моніторингу наказом від 23.06.2021. НБУ не навів правового підґрунтя свого твердження про «завищені показники» оцінки обсягів діяльності, оскільки методика визначення таких показників (наприклад, для критерію «характер та масштаб діяльності») законодавчо не встановлена, а отже, визначається суб`єктом самостійно. Наявність окремих недоліків (наприклад, відсутність визначення «тривалості ділових відносин») не є беззаперечною підставою для висновку про порушення ч. 1 ст. 8 Закону № 361-IX.

11. Суд апеляційної інстанції підтримав висновок про те, що критерії ризику суб`єкт визначає самостійно. НБУ не вказав жодного нормативного акта, який би встановлював методику визначення показника для критерію «Характер та масштаб діяльності», тому твердження регулятора є суб`єктивними. (б) щодо порушення абз. 2 ч. 2 ст. 7 та п. 25 ч. 2 ст. 8 Закону №361-IX

12. Суд першої інстанції встановив, що позивач здійснював оцінку ризик-профілю установи та клієнтів, що зафіксовано у Звітах за 2021 та 2022 роки. Суд відхилив претензії НБУ щодо «відсутності аналізу р2р операцій» у звітах, зазначивши, що Положення №107 не регламентує деталізацію інформації у таких звітах, а наведений позивачем перелік заходів і є результатом аналізу.

13. Суд апеляційної інстанції дійшов висновку, що ТОВ «Укрфінстандарт» у Додатку 5 до Правил чітко визначило методику оцінки ризиків клієнта. Суд підкреслив, що відсутність у звітах деталізованих відомостей про р2р перекази не є порушенням, оскільки регулятор не послався на норму, яка б зобов`язувала таку деталізацію проводити. Висновки про порушення п. 25 ч. 2 ст. 8 Закону №361-IX визнані безпідставними. V. ДОВОДИ КАСАЦІЙНОЇ СКАРГИ ТА ВІДЗИВУ 14. 19.12.2024 Національний банк України звернувся до Верховного Суду з касаційною скаргою, у якій просить скасувати рішення Київського окружного адміністративного суду від 24.06.2024 та постанову Шостого апеляційного адміністративного суду від 19.11.2024 і ухвалити нове судове рішення, яким у задоволенні позову відмовити.

15. Ухвалою Верховного Суду від 06.01.2025 відкрито касаційне провадження.

16. Відзив від позивача надійшов 03.03.2025.

17. У зв`язку з обранням до Великої Палати Верховного Суду судді Стрелець Т.Г. (рішення зборів суддів Верховного Суду в Касаційному адміністративному суді від 21.05.2025 № 12), що унеможливило її участь у розгляді касаційних скарг, було призначено повторний автоматизований розподіл справи №480/3476/22. Протоколом автоматизованого розподілу судової справи між суддями від 23.05.2025 для розгляду цієї справи визначено колегію суддів у складі головуючого судді Кравчука В.М., суддів Єзерова А.А., Стародуба О.П. (а) щодо порушення вимог частини першої статті 8 Закону № 361-IX.

18. Відповідач не погодився з висновками судів попередніх інстанцій та у касаційній скарзі зазначив, що Правила фінансового моніторингу Установи (наказ від 23.06.2021 №1-ФМ) не відповідають вимогам законодавства, зокрема не враховують результатів національної оцінки ризиків (далі - НОР) та рекомендацій типологічних досліджень Державної служби фінансового моніторингу України (далі - ДСФМУ), що прямо вимагається ч. 4 ст. 7 Закону № 361-IX та п. 21 розділу ІІІ Положення №107. Критерії ризику у Додатку 4 до Правил не враховують особливостей діяльності Установи, видів її клієнтів та географії надання послуг - всупереч п. 24 розділу ІІІ Положення №

107. Конкретні дефекти критеріїв ризику в Додатку 4: - критерій «Продукти та послуги» - діапазон значень не містить високого рівня ризику, попри те що НОР кваліфікує р2р перекази як послугу з дуже високим ризиком ВК; - критерій «Канали/способи надання послуг» - онлайн визначено як «середній» ризик, тоді як НОР (другий раунд, Таблиця 4.3) встановлює «високий»; - критерій «Види клієнтів» - не зазначено конкретних видів клієнтів (юридичні особи, фізичні особи, ФОП), хоча це пряма вимога п. 24 розділу ІІІ Положення № 107; - критерій «Географічне розташування» - у Додатку 15 до Правил відсутні держави, що здійснюють збройну агресію проти України, що порушує п. 39 розділу IV Положення №107 (факт визнано самою Установою у листі від 06.01.2023). Додаток 4 до Правил та самі Правила не містять розрахунку ризик-апетиту Установи та порядку вжиття заходів мінімізації ризиків ВК/ФТ - всупереч пп. 4 п. 23 розділу ІІІ Положення №

107. При цьому суди оцінювали аргументи (методику показника, необхідність нормативно визначеної методики), яких у Рішенні № 21/496-рк взагалі не було - тим самим підміняючи реальну позицію НБУ та роблячи хибні висновки.

19. Позивач у відзиві не погодився з аргументами відповідача і зазначив, що у Рішенні № 21/496-рк не вказано, який саме характер діяльності позивача відповідно до типологічних досліджень ДСФМУ та результатів НОР не був врахований у Правилах. Позивач вважає, що Правила фактично враховували НОР. У критеріях «Контрагенти» та «Географічне розташування» Правила передбачали встановлення високого рівня ризику при наявності серед контрагентів осіб-нерезидентів із держав, що не виконують рекомендації FATF, мають стратегічні недоліки у сфері ПВК/ФТ або на територіях яких наявні військові конфлікти чи терористичні організації. Переліки таких держав визначені у Додатку 15 до Правил, а у тексті Правил використовується узагальнений термін «Переліки» як відсилка до цього Додатку. Методика оцінки була диверсифікованою та адекватною, адже Правила передбачали поєднання: вагових коефіцієнтів у відсотках (діапазони категорій ризику), елементів експертного оцінювання абсолютних значень (обіг коштів), бінарних показників «так/ні» (типи контрагентів, держави реєстрації клієнтів тощо). Таким чином, засоби і методи оцінювання ризику були максимально наближені до реальної діяльності Установи. Щодо методики оцінки клієнтів (5 і більше критеріїв середнього ризику), то Правила містили чітку методику: ризик клієнта є високим при наявності 3-4 критеріїв середнього ризику з будь-якої групи або хоча б 1 критерію високого ризику. Отже, за наявності 5 і більше критеріїв середнього ризику клієнт автоматично отримує статус «високий» - позиція НБУ про неможливість визначення ризику в такій ситуації є безпідставною. (б) щодо порушення абз. 2 ч. 2 ст. 7 та п. 25 ч. 2 ст. 8 Закону №361-IX

20. Відповідач у касаційній скарзі покликався на те, що звіти позивача за 2021 та 2022 роки, надані як офіційні документи оцінки ризик-профілю, не відповідають вимогам законодавства, зокрема: - ризик-профіль не враховує результатів НОР (р2р перекази оцінені як «середній» ризик замість «високого/дуже високого»); - відсутній обґрунтований опис визначення ризик-апетиту (лише декларується «середній» рівень без пояснення підстав); - заходи управління ризиками не охоплюють р2р-клієнтів (разові операції до 30 000 грн), з якими не встановлюються ділові відносини; - звіти не містять аналізу фінансових операцій цієї категорії клієнтів; - звіт 2022 не враховує санкцій, застосованих НБУ до Установи у 2021 році. Факт присвоєння банками-еквайрами МСС 7994 («відеоігри») віртуальним терміналам Установи, що фактично здійснювала р2р перекази, свідчить про відсутність дієвого контролю та маскування суті операцій - в Установі відсутні інструменти для запобігання багаторазовому проведенню фінансових операцій з високим ризиком ВК/ФТ у великих обсягах. Аналіз файлу 2LX показав, що 99,99% від загального обсягу переказів за період 01.10.2020- 01.10.2021 (5,08 млрд грн) здійснювались за кодами «перекази на рахунки фізичних осіб» та «погашення кредиту» - що підтверджує масштаб ризику та необхідність належного управління ним.

21. Відповідно до наданих позивачем у відзиві аргументів моніторинг р2р-клієнтів фактично здійснювався. У Звітах щодо управління ризиками на 01.04.2021 та 01.04.2022 прямо зазначено, що моніторинг здійснюється постійно щодо всіх клієнтів, включаючи всі операції переказу коштів без встановлення ділових відносин. НБУ не визначив чітких критеріїв глибини та форми аналізу. Положення № 107 не встановлює, якою саме має бути деталізація аналізу у звітах та у якій формі він повинен бути здійснений. Претензії НБУ стосувались виключно суб`єктивної оцінки ступеня детальності аналізу, а не його фактичної відсутності. Дистанційні послуги втратили статус «новітніх технологій». Поняття «новітні технології» законодавчо не визначене після скасування Наказу № 126 від 03.08.2010. Дистанційні послуги були предметом методологічних досліджень ДСФМУ ще з 2015 року, а Типологічне дослідження ДСФМУ за 2021 рік взагалі не відзначає їх як високоризикові. Щонайменше з 2020 року (введення карантину) такі послуги є звичним явищем і не можуть вважатися «новітніми». Позивач звертає увагу, що відповідно до НОР 2019 року ризик НФУ з метою ФТ оцінено як середній (а не «високий», як стверджує НБУ) - тоді як НБУ у скарзі замовчує цю частину ЗВІТУ. Таким чином, встановлення Позивачем «середнього» рівня ризику для р2р переказів і «високого» для термінальних мереж цілком відповідало НОР. НБУ як регулятор не забезпечив чіткого та несуперечливого регулювання критеріїв ризику дистанційних послуг, що за практикою ЄСПЛ позбавляє його права свавільно притягати позивача до відповідальності за недотримання невизначених стандартів. VI. ВИСНОВКИ ВЕРХОВНОГО СУДУ

22. Предмет та підстави позову стосуються незаконності та необґрунтованості рішення Нацбанку щодо накладення штрафу.

23. Відповідно до ч.1 ст. 2 Закону України «Про Національний банк України» від 20.05.1999 №679-XIV (далі - Закон № 679-XIV) Національний банк України (далі - Національний банк) є центральним банком України, особливим центральним органом державного управління, юридичний статус, завдання, функції, повноваження і принципи організації якого визначаються Конституцією України, цим Законом та іншими законами України.

24. Статтею 6 окресленого закону регламентовано, що відповідно до Конституції України основною функцією Національного банку є забезпечення стабільності грошової одиниці України. При виконанні своєї основної функції Національний банк має виходити із пріоритетності досягнення та підтримки цінової стабільності в державі. Національний банк у межах своїх повноважень сприяє фінансовій стабільності, в тому числі стабільності банківської системи за умови, що це не перешкоджає досягненню цілі, визначеної у частині другій цієї статті. Національний банк також сприяє додержанню стійких темпів економічного зростання та підтримує економічну політику Кабінету Міністрів України за умови, що це не перешкоджає досягненню цілей, визначених у частинах другій та третій цієї статті.

25. Згідно з п. 30 ч. 1 ст. 7 Закону № 679-XIV Національний банк виконує такі функції: здійснює державне регулювання та нагляд у сфері запобігання та протидії легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та фінансуванню розповсюдження зброї масового знищення за банками та філіями іноземних банків, страховиками (перестраховиками), страховими (перестраховими) брокерами, кредитними спілками, ломбардами, іншими фінансовими установами, реєстрацію чи ліцензування діяльності яких здійснює Національний банк, операторами поштового зв`язку, які надають платіжні послуги та/або послуги поштового переказу, та/або здійснюють валютні операції, операторами платіжних систем, філіями або представництвами іноземних суб`єктів господарської діяльності, які надають фінансові послуги на території України, іншими юридичними особами, які за своїм правовим статусом не є фінансовими установами, але надають окремі фінансові послуги.

26. Відповідно до ст. 1 Закону № 361-IX: - фінансовий моніторинг - сукупність заходів, що вживаються суб`єктами фінансового моніторингу у сфері запобігання та протидії, що включають проведення державного фінансового моніторингу та первинного фінансового моніторингу; - об`єкт фінансового моніторингу - дії з активами, пов`язані з відповідними учасниками фінансових операцій, які їх проводять, за умови наявності ризиків використання таких активів з метою легалізації (відмивання) доходів, одержаних злочинним шляхом, фінансування тероризму та/або фінансування розповсюдження зброї масового знищення, а також будь-яка інформація про такі дії чи події, активи та їх учасників; - первинний фінансовий моніторинг - сукупність заходів, які вживаються суб`єктами первинного фінансового моніторингу і спрямовані на виконання вимог законодавства у сфері запобігання та протидії; - фінансові операції, що підлягають фінансовому моніторингу, - порогові фінансові операції, підозрілі фінансові операції (діяльність); - ризик-орієнтований підхід - визначення (виявлення), оцінка (переоцінка) та розуміння ризиків легалізації (відмивання) доходів, одержаних злочинним шляхом, фінансування тероризму та/або фінансування розповсюдження зброї масового знищення, а також вжиття відповідних заходів щодо управління ризиками у спосіб та в обсязі, що забезпечують мінімізацію таких ризиків залежно від їх рівня; - національна оцінка ризиків - система заходів, що вживаються суб`єктами державного фінансового моніторингу, уповноваженими органами державної влади із залученням інших суб`єктів (за потреби) з метою визначення (виявлення) ризиків (загроз) легалізації (відмивання) доходів, одержаних злочинним шляхом, та фінансування тероризму, їх аналіз, оцінка та розроблення заходів, спрямованих на запобігання виникненню та/або зменшення негативних наслідків; - належна перевірка - заходи, що включають: ідентифікацію та верифікацію клієнта (його представника); встановлення кінцевого бенефіціарного власника клієнта або його відсутності, у тому числі отримання структури власності з метою її розуміння, та даних, що дають змогу встановити кінцевого бенефіціарного власника, та вжиття заходів з верифікації його особи (за наявності); встановлення (розуміння) мети та характеру майбутніх ділових відносин або проведення фінансової операції; проведення на постійній основі моніторингу ділових відносин та фінансових операцій клієнта, що здійснюються у процесі таких відносин, щодо відповідності таких фінансових операцій наявній у суб`єкта первинного фінансового моніторингу інформації про клієнта, його діяльність та ризик (у тому числі, в разі необхідності, про джерело коштів, пов`язаних з фінансовими операціями); забезпечення актуальності отриманих та існуючих документів, даних та інформації про клієнта.

27. Суб`єктами первинного фінансового моніторингу, перелік яких визначений у ч. 2 ст. 6 Закону № 361-IX, є банки, страхові компанії, ломбарди, букмекерські контори, оператори поштового зв`язку, торговці цінними паперами та інші фінансові установи, крім того, особи, які надають професійні послуги (зокрема, аудитори, бухгалтери, адвокати, нотаріуси).

28. Приписами Положення №90 передбачено, що з метою встановлення порядку організації та здійснення Національним банком України (далі - Національний банк) нагляду у сфері запобігання та протидії легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та фінансуванню розповсюдження зброї масового знищення (далі - легалізація кримінальних доходів/фінансування тероризму), валютного нагляду, нагляду за дотриманням вимог нормативно-правових актів Національного банку, якими запроваджені обмеження щодо проведення операцій, які мають на меті/порушують, сприяють або можуть сприяти уникненню/порушенню обмежень, установлених персональними спеціальними економічними та іншими обмежувальними заходами (санкціями) (далі - санкційне законодавство) та поширює свою дію на страховиків (перестраховиків), страхових (перестрахових) брокерів, кредитні спілки, ломбарди та інші фінансові установи (крім фінансових установ та інших юридичних осіб, щодо яких державне регулювання і нагляд у сфері запобігання та протидії здійснюються іншими суб`єктами державного фінансового моніторингу); платіжні організації, учасників чи членів платіжних систем, які надають фінансові послуги на підставі відповідних ліцензій чи реєстраційних документів; операторів поштового зв`язку; інші установи, які надають послуги з переказу коштів та здійснення валютних операцій; філії або представництва іноземних суб`єктів господарської діяльності, які надають фінансові послуги на території України, інших юридичних осіб, які за своїм правовим статусом не є фінансовими установами, але надають окремі фінансові послуги; небанківські фінансові установи, їх структурні підрозділи, а також операторів поштового зв`язку, які отримали ліцензію Національного банку на здійснення валютних операцій або генеральну ліцензію на здійснення валютних операцій, яка не втратила чинність після введення в дію Закону України "Про валюту і валютні операції" (далі - установи) (пп. 2 п. 2 р. I Положення №90).

29. Згідно з пп. 1, 2, 16 п. 3 розділу I Положення №90 акт про результати безвиїзного нагляду (далі - акт) - офіційний документ, що складається та підписується уповноваженими працівниками Національного банку за результатами безвиїзного нагляду відповідно до вимог розділу IV цього Положення; безвиїзний нагляд - аналіз діяльності банку/установи з питань дотримання банком/установою вимог законодавства, який проводиться на постійній основі з урахуванням ризик-орієнтованого підходу працівниками Національного банку без їх присутності за місцезнаходженням банку/установи; порушення вимог законодавства - виявлені під час проведення перевірки факти порушень законодавства з питань фінансового моніторингу, факти, що можуть свідчити про здійснення ризикової діяльності, яка загрожує інтересам вкладників чи інших кредиторів банку, або про факти, що можуть свідчити про здійснення ризикової діяльності установою (щодо ризику використання послуг банку/установи для легалізації кримінальних доходів/фінансування тероризму), факти порушень валютного та/або санкційного законодавства, а також виявлені факти невиконання вимог та обмежень у діяльності банку/установи у сфері фінансового моніторингу, валютного нагляду, нагляду з питань санкційного законодавства, установлених Національним банком.

30. Оскаржуване рішення прийнято відповідачем за результатами безвиїзного нагляду у зв`язку з порушення позивачем п. 2 ч. 2 ст.8 Закону №361-IX у частині незабезпечення належної організації та проведення первинного фінансового моніторингу. Ця норма зобов`язує суб`єкт первинного фінансового моніторингу (далі - СПФМ) забезпечувати відповідно до вимог суб`єкта державного фінансового моніторингу таку організацію, яка дозволяє: (а) виявляти порогові та підозрілі фінансові операції незалежно від рівня ризику ділових відносин; (б) повідомляти про них спеціально уповноважений орган; (в) запобігати використанню послуг та продуктів СПФМ для проведення клієнтами фінансових операцій з протиправною метою.

31. Вказане порушення було деталізоване через низку складових. (а) порушення вимог частини першої статті 8 Закону № 361-IX

32. Згідно з ч. 1 ст. 8 Закону №361-IX суб`єкт первинного фінансового моніторингу (крім спеціально визначених суб`єктів первинного фінансового моніторингу, що провадять свою діяльність одноособово, без утворення юридичної особи) з урахуванням вимог законодавства, результатів національної оцінки ризиків та оцінки ризиків, притаманних його діяльності, розробляє, впроваджує та оновлює правила фінансового моніторингу, програми проведення первинного фінансового моніторингу та інші внутрішні документи з питань фінансового моніторингу (далі - внутрішні документи з питань фінансового моніторингу) і призначає працівника, відповідального за його проведення (далі - відповідальний працівник). Внутрішні документи з питань фінансового моніторингу повинні містити процедури, достатні для забезпечення ефективного управління ризиками, а також для запобігання використанню послуг та продуктів суб`єкта первинного фінансового моніторингу для легалізації (відмивання) доходів, одержаних злочинним шляхом, фінансування тероризму та фінансування розповсюдження зброї масового знищення. Групи, учасниками яких є суб`єкти первинного фінансового моніторингу, розробляють та впроваджують єдині правила фінансового моніторингу, що, зокрема, включають процедуру використання інформації в межах групи з метою фінансового моніторингу. Такі правила поширюються на всіх суб`єктів первинного фінансового моніторингу, що входять до групи, їх філії та дочірні компанії, розташовані в інших країнах.

33. Згідно з п.пп.6,7 Розділу ІІ Положення №107 установа зобов`язана забезпечити належну організацію внутрішньої системи ПВК/ФТ та проведення первинного фінансового моніторингу. Метою належної організації внутрішньої системи ПВК/ФТ та проведення первинного фінансового моніторингу є: 1) виконання вимог законодавства України у сфері ПВК/ФТ; 2) можливість належним чином виявляти порогові та підозрілі фінансові операції (діяльність) та повідомляти про них СУО; 3) запобігання використанню послуг та продуктів установи для проведення клієнтами фінансових операцій з метою ВК/ФТ. Установа з метою належної організації внутрішньої системи ПВК/ФТ та проведення первинного фінансового моніторингу вживає, зокрема, таких заходів: 4) призначає відповідального працівника установи згідно з вимогами законодавства України у сфері ПВК/ФТ на рівні керівництва установи; 5) забезпечує функціонування системи управління ризиками ВК/ФТ; 6) розробляє та затверджує внутрішні документи установи з питань ПВК/ФТ в обсязі, необхідному для ефективного функціонування внутрішньої системи ПВК/ФТ та розуміння працівниками установи своїх обов`язків та повноважень у сфері ПВК/ФТ; 7) забезпечує на постійній основі розгляд проблемних та актуальних питань функціонування внутрішньої системи ПВК/ФТ; 8) забезпечує достатні ресурси для функціонування внутрішньої системи ПВК/ФТ; 9) забезпечує достатню інформованість та обізнаність керівництва установи щодо їхніх обов`язків у сфері ПВК/ФТ, а також щодо притаманних ризик-профілю установи ризиків ВК/ФТ; 10) забезпечує інформування керівництва установи щодо важливості дотримання вимог законодавства України з питань ПВК/ФТ з метою забезпечення належної системи управління ризиками, необхідності вжиття дієвих заходів для ефективного запобігання використанню послуг установи з метою ВК/ФТ та розуміння наслідків, на які наражається установа в разі невиконання вимог законодавства України з питань ПВК/ФТ; 11) забезпечує належну обізнаність та виконання працівниками установи, визначених їм обов`язків у сфері ПВК/ФТ, розуміння такими працівниками своєї відповідальності за невиконання обов`язків та/або бездіяльність; 12) запроваджує та постійно вдосконалює систему внутрішнього аудиту (контролю) з питань ПВК/ФТ та/або залучає незалежних аудиторів, зокрема забезпечує своєчасне виявлення внутрішнім аудитом (контролем) та/або незалежним аудитом проблемних питань та ознак неналежної системи управління ризиками ВК/ФТ; 13) вивчає нові продукти/послуги, включаючи нові канали продажу, використання або розроблення нових технологій для наявних або нових продуктів з метою належної оцінки притаманних їм ризиків ВК/ФТ та належного контролю за ризиками ВК/ФТ для наявних продуктів/послуг; 14) забезпечує на постійній основі проведення навчальних заходів для працівників установи та агентів установи (їх працівників) з метою розуміння ними покладених на них обов`язків та порядку дій; 15) забезпечує перевірку наявності бездоганної ділової репутації в усіх працівників установи, залучених до проведення первинного фінансового моніторингу; 16) створює та забезпечує функціонування дієвої та своєчасної системи ескалації підозр та проблемних питань у сфері ПВК/ФТ та порядку їх розгляду, уключно з повідомленням інформації/фактів, що стосуються випадків порушення або можливого порушення законодавства України у сфері ПВК/ФТ, у порядку, передбаченому внутрішніми документами установи; 17) забезпечує своєчасне та в повному обсязі виконання установою обов`язків СПФМ (зокрема виявлення фінансових операцій, що підлягають фінансовому моніторингу, замороження активів, пов`язаних з тероризмом та/або його фінансуванням / розповсюдженням зброї масового знищення та/або його фінансуванням, унеможливлення здійснення операцій особами з переліку терористів), уключаючи використання СА (за наявності); 18) забезпечує своєчасне виявлення фінансових операцій, що підлягають фінансовому моніторингу, та належний інформаційний обмін з СУО; 19) розробляє та здійснює заходи з НПК з метою розуміння суті діяльності клієнта, мети та очікуваного характеру ділових відносин з ним, що дає змогу установі бути впевненою, що фінансові операції клієнта відповідають наявній в установі інформації про нього, його бізнес, ризик-профіль, уключаючи в разі потреби джерела походження його коштів/статків, встановлення КБВ для оперативного виявлення незвичайної поведінки та підозрілих фінансових операцій (діяльності); 20) належно документує дії працівників установи та фіксує події, що стосуються виконання установою обов`язків СПФМ; 21) зберігає всі документи, дані, інформацію (у тому числі відповідні звіти, розпорядження, файли), що стосуються виконання установою обов`язків СПФМ, протягом строків, визначених законодавством України; 22) своєчасно та в повному обсязі надає на запити Національного банку необхідні документи/інформацію/пояснення/аргументи, що належним чином підтверджують виконання установою вимог законодавства України з питань ПВК/ФТ; 23) вживає заходів щодо постійного вдосконалення внутрішньої системи ПВК/ФТ.

34. Пункт 7 ч. 5 розділу І Положення № 107 до внутрішніх документів установи з питань ПВК/ФТ також включає методики, інші документи, розроблені та затверджені установою з метою належного виконання функцій суб`єкта первинного фінансового моніторингу.

35. У пункті 10 додатку 15 до Положення № 107 визначено вимоги до змісту внутрішніх документів установи з питань ПВК/ФТ: 1) перелік платіжних послуг (продуктів) установи, що надаються установою, на які розповсюджуються вимоги статті 14 Закону про ПВК/ФТ; 2) розподіл обов`язків та порядок дій уповноважених працівників установи в разі виявлення випадків відсутності інформації, неповної інформації та/або беззмістовної інформації в переказах; 3) способи заповнення необхідної інформації про платника та/або отримувача в документах про переказ коштів; 4) ознаки пов`язаності переказів коштів; 5) засоби, які дають можливість визначити країну реєстрації СПФМ платника та СПФМ отримувача; 6) індикатори моніторингу інформації про платника та/або отримувача переказу коштів; 7) порядок виявлення та випадки, у яких платник/отримувач, який регулярно ініціює/отримує перекази коштів, уважатиметься установою таким, який підтримує з ним ділові відносини та щодо якого необхідно здійснити заходи належної перевірки в порядку, передбаченому в додатку 1 до Положення про здійснення установами фінансового моніторингу. У випадку первинного фінансового моніторингу порядок протидії легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та фінансуванню розповсюдження зброї масового знищення (ПВК/ФТ), встановлює кожен суб`єкт первинного фінансового моніторингу окремо у межах вимог, визначених у пункті 10 додатку 15 до Положення № 107.

36. Згідно з п. 20 розділу ІІІ Положення № 107 установа розробляє та затверджує внутрішні документи з метою виконання вимог законодавства України у сфері ПВК/ФТ, які повинні містити дієві ризик-орієнтовані процедури, порядки, достатні для належної організації та функціонування внутрішньої системи ПВК/ФТ та проведення первинного фінансового моніторингу, функціонування належної системи управління ризиками ВК/ ФТ.

37. Відповідно до п. 21 розділу ІІІ Положення № 107 внутрішні документи установи з питань ПВК/ФТ розробляються установою з урахуванням вимог законів України, що регулюють питання ПВК/ФТ, цього Положення, нормативно правових актів Кабінету Міністрів України, Міністерства фінансів України, Національного банку, прийнятих для виконання та відповідно до цих законів, рекомендацій FATF, результатів національної оцінки ризиків (далі - НОР) та ризик-профілю установи, рекомендацій Національного банку та типологічних досліджень СУО.

38. Пунктом 24 розділу ІІІ Положення № 107 передбачено, що внутрішні документи установи з питань ПВК/ФТ мають враховувати особливості, напрями та специфіку діяльності установи, особливості різних типів клієнтів імплементацію установою ризик-орієнтованого підходу.

39. Відповідно до ч.ч. 1-4 ст. 7 Закону №361-IX суб`єкт первинного фінансового моніторингу зобов`язаний у своїй діяльності застосовувати ризик-орієнтований підхід, враховуючи відповідні критерії ризику, зокрема, пов`язані з його клієнтами, географічним розташуванням держави реєстрації клієнта або установи, через яку він здійснює передачу (отримання) активів, видом товарів та послуг, що клієнт отримує від суб`єкта первинного фінансового моніторингу, способом надання (отримання) послуг. Ризик-орієнтований підхід має бути пропорційний характеру та масштабу діяльності суб`єкта первинного фінансового моніторингу. Застосування ризик-орієнтованого підходу здійснюється в порядку, визначеному внутрішніми документами з питань фінансового моніторингу суб`єкта первинного фінансового моніторингу, з урахуванням рекомендацій відповідних суб`єктів державного фінансового моніторингу, які згідно із цим Законом виконують функції державного регулювання і нагляду за такими суб`єктами первинного фінансового моніторингу. Суб`єкт первинного фінансового моніторингу зобов`язаний здійснювати оцінку/переоцінку ризиків, у тому числі притаманних його діяльності, документувати їх результати, а також підтримувати в актуальному стані інформацію щодо оцінки ризиків, притаманних його діяльності (ризик-профіль суб`єкта первинного фінансового моніторингу), та ризику своїх клієнтів таким чином, щоб бути здатним продемонструвати своє розуміння ризиків, що становлять для нього такі клієнти (ризик-профіль клієнтів). Критерії ризиків визначаються суб`єктом первинного фінансового моніторингу самостійно з урахуванням критеріїв ризиків, встановлених відповідно: Національним банком України - для суб`єктів первинного фінансового моніторингу, щодо яких Національний банк України відповідно до статті 18 цього Закону виконує функції державного регулювання і нагляду; центральним органом виконавчої влади, що забезпечує формування та реалізацію державної політики у сфері запобігання та протидії легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та фінансуванню розповсюдження зброї масового знищення, - для інших суб`єктів первинного фінансового моніторингу. При визначенні критеріїв ризиків суб`єкт первинного фінансового моніторингу повинен враховувати типологічні дослідження у сфері запобігання та протидії, підготовлені спеціально уповноваженим органом та оприлюднені ним на своєму веб-сайті, результати національної оцінки ризиків, а також рекомендації суб`єктів державного фінансового моніторингу.

40. Враховуючи вищенаведені приписи, суб`єкти первинного фінансового моніторингу зобов`язані враховувати НОР та відповідні типологічні дослідження під час здійснення фінансового моніторингу.

41. Пунктом 4.3 «Зведення результатів Національної оцінки ризиків» розділу 4 «Оцінка загроз, вразливостей та ризиків системи ПВК/ФТ» НОР 2019 передбачено щодо: - ризику використання СПФМ з метою ВК: «Результати наглядової діяльності НБУ свідчать про високий рівень використання послуг переказу коштів для цілей ВК, у тому числі організованими злочинними групами. Для вказаних цілей використовуються різні техніки, що мають наступні ознаки: - дроблення платежів з метою уникнення перевищення законодавчо встановлених порогових сум для проведення ідентифікації; - використання третіх осіб; - відсутність економічної доцільності використання послуг переказу коштів; - одна юридична (фізична) особа переказує кошти на значну кількість юридичних (фізичних) осіб». - ризику використання СПФМ з метою ФТ: «Виникнення ризику ФТ обумовлене швидкістю та простотою здійснення ФО з переказу коштів, у поєднанні з їх великою кількістю, збереження анонімності, а також можливістю використання інтернет-технологій, платіжних терміналів, інших варіантів відділеного доступу. При цьому, складність відстеження ФО, метою яких може бути ФТ, обумовлена тим, що у більшості випадків такі операції здійснюються у незначних сумах, замасковані під звичайні перекази, такі як «допомога родичам», «пожертвування на лікування» тощо. Переказ коштів є основним і найбільш привабливим фінансовим інструментом для ФТ:- клієнт переказує/отримує кошти на користь/від контрагентів, що здійснюють свою діяльність на територіях високого ризику;- транзакція супроводжується інформацією, яка явно є недійсною або суперечливою інформацією;- клієнт отримує інструкції від третіх осіб».

42. Відповідно до п. 4.2 «Ідентифіковані загрози, вразливості та ризики системи ПВК/ФТ» та пункту 4.3 «Зведення результатів Національної оцінки ризиків» розділу 4 «Оцінка загроз, вразливостей та ризиків системи ПВК/ФТ» НОР ризик «ВК/ ФТ через дистанційні послуги або з використанням віртуальних валют» у зв`язку з вразливістю надання послуг через інтернет онлайн до ВК/ФТ оцінено як високий. ДСФМУ від 2017 року та Типологічному дослідженні «Ризики тероризму та сепаратизму» (2017 рік) в прикладі використання фінансової системи держави у схемі ФТ згадується про здійснення переказів шляхом інтернет-еквайрингу на власні рахунки групи фізичних осіб, відкривших рахунки в банківських установах України, кошти від яких направлялись потім на підтримку терористичних угруповань на території ОРДЛО.

43. Також Установа повинна враховувати географічні критерії ризику, приділяючи, зокрема, особливу увагу державам (територіям), що не виконують рекомендації FATF, або які мають стратегічні недоліки у сфері ПВК/ФТ (відповідно до заяв FATF), державам, що здійснюють збройну агресію проти України у значенні, наведеному статті 1 Закону України «Про оборону України», наявності/відсутності військових конфліктів, терористичних груп та/або організацій на території держави (території). Географічні критерії ризиків установи мають також враховувати місцезнаходження самої установи (її материнської установи, філій, представництв, дочірніх установ) та географію надання установою своїх продуктів та/або послуг (пункти 39, 40 розділу IV Положення № 107).

44. Водночас за результатами безвиїзного нагляду зокрема, відповідач встановив, що Правила фінансового моніторингу, затверджені наказом Директора Установи від 23.06.2021 № 1-ФМ, не відповідають окремим вимогам законодавства у сфері ПВК/ФТ, не враховують результатів НОР та рекомендацій типологічних досліджень спеціально уповноваженого органу, особливостей, напрямів та специфіки діяльності Установи, особливостей різних типів клієнтів, а також імплементацію Установою ризик-орієнтованого підходу.

45. Пунктом 24 розділу ІІІ Положення № 107 передбачено, що внутрішні документи установи з питань ПВК/ФТ мають враховувати особливості, напрями та специфіку діяльності установи, особливості різних типів клієнтів імплементацію установою ризик-орієнтованого підходу.

46. Згідно з п. 39 розділу ІV Положення № 107 установа повинна враховувати географічні критерії ризику, приділяючи, зокрема, особливу увагу державам (територіям), що не виконують рекомендації FATF, або які мають стратегічні недоліки у сфері ПВК/ФТ (відповідно до заяв FATF), державам, що здійснюють збройну агресію проти України у значенні, наведеному в статті 1 Закону України "Про оборону України", наявності/відсутності військових конфліктів, терористичних груп та/або організацій на території держави (території).

47. Відповідно до п. 40 розділу ІV Положення № 107 географічні критерії ризиків установи мають також враховувати місцезнаходження самої установи (її материнської установи, філій, представництв, дочірніх установ) та географію надання установою своїх продуктів та/або послуг.

48. Водночас критерії ризику, встановлені для ризик-профілю Установи та які визначені у додатку 4 до Правил, не відповідають вимогам у сукупності вищезазначених норм (ч. 4 ст.7 Закону про ПВК/ФТ, п. 24 розділу ІІІ, п.п. 39, 40 розділу ІV Положення № 107), оскільки не враховують: - характеру діяльності Установи (чим вона займається, які послуги надає, яких клієнтів обслуговує тощо) відповідно до типологічних досліджень ДСФМУ та результатів НОР; - видів клієнтів, що користуються послугами Установи (юридичні особи, фізичні особи, фізичні особи - підприємці); - географічного розташування, її клієнтів та установ, через які вона здійснює надання своїх продуктів та/або послуг, в тому числі розташування, зокрема її клієнтів на території держав (територій), що не виконують рекомендації FATF, або які мають стратегічні недоліки у сфері ПВК/ФТ (відповідно до заяв FATF), держав, що здійснюють збройну агресію проти України у значенні, наведеному в статті 1 Закону України «Про оборону України»; - результатів НОР, відповідно до яких ризик використання переказу коштів для ВК в Україні оцінюється як дуже високий, ризик використання переказу коштів з метою фінансування тероризму чи міжнародного збройного конфлікту на Сході Україні оцінюється як високий, в тому числі ризик до ВК/ФТ через дистанційні послуги.

49. Діапазон значень такого критерія як «Продукти та послуги, що надаються Компанією» критеріїв ризику, притаманних ризик-профілю Компанії, та критеріїв типу продукту «р2р перекази» критеріїв ризику продуктів Компанії, які визначені у додатку 4 до Правил, не містять високого рівня ризику, а критерій «Канали/способи надання (отримання) послуг» критеріїв ризику, притаманних ризик-профілю Компанії, які визначені у додатку 4 до Правил, шляхом надання послуг онлайн визначено як «середній».

50. Враховуючи зазначене, Суд не погоджується з позицією судів попередніх інстанцій про те, що визначення у НОР продукту (послуги) - переказ коштів, як високий ризик для ВК в Україні не може бути підставою та автоматичного віднесення такого продукту до високого ризику, і вважає, що відповідач довів наявність у діях позивача складу відповідного правопорушення.

51. Зазначене стосується і наявності в діях позивача порушення ч. 4 ст.7 Закону №361-IX щодо критерію «Продукти та послуги, що надаються компанією», оскільки у Рішенні № 21/496-рк чітко зазначено обґрунтування - критерії ризику, встановлені для ризик-профілю Установи, не враховують результатів НОР, відповідно до яких ризик використання переказу коштів для ВК в Україні оцінюється як дуже високий, ризик використання переказу коштів з метою фінансування тероризму чи міжнародного збройного конфлікту на Сході Україні оцінюється як високий, в тому числі ризик до ВК/ФТ через дистанційні послуги у зв`язку з вразливістю надання послуг через інтернет онлайн, оскільки діапазон значень такого критерія як «Продукти та послуги, що надаються Компанією» критеріїв ризику, притаманних ризик-профілю Компанії, та критеріїв типу продукту «р2р перекази» критеріїв ризику продуктів Компанії, які визначені у додатку 4 до Правил, не містить високого рівня ризику. (б) порушення абз. 2 ч. 2 ст. 7 та п. 25 ч. 2 ст. 8 Закону №361-IX

52. Згідно з абз. 2 ч. 2 ст. 7 Закону №361-IX СПФМ зобов`язаний здійснювати оцінку/переоцінку ризиків, у тому числі притаманних його діяльності, документувати їх результати, а також підтримувати в актуальному стані інформацію щодо оцінки ризиків, притаманних його діяльності (ризик-профіль СПФМ), та ризику своїх клієнтів таким чином, щоб бути здатним продемонструвати своє розуміння ризиків, що становлять для нього такі клієнти (ризик-профіль клієнтів).

53. Пунктом 25 ч. 2 ст. 8 Закону №361-IX передбачено, що СПФМ зобов`язаний здійснювати управління ризиками, пов`язаними із запровадженням чи використанням нових та існуючих інформаційних продуктів, ділової практики або технологій, у тому числі таких, що забезпечують проведення фінансових операцій без безпосереднього контакту з клієнтом Заходи щодо управління ризиками легалізації (відмивання) доходів, одержаних злочинним шляхом, фінансування тероризму та/або фінансування розповсюдження зброї масового знищення у спосіб та в обсязі, що забезпечують мінімізацію таких ризиків залежно від їх рівня (ризик-орієнтований підхід) відповідно до п. 35 розділу ІV Положення № 107 мають ґрунтуватися на оцінці ризиків та включати в себе: 1) оцінку ризик-профілю установи: виявлення та оцінку ризиків ВК/ФТ, притаманних діяльності установи; аналіз наявних заходів з управління ризиками ВК/ФТ для їх зниження (мінімізації); визначення ризик-апетиту установи у сфері ПВК/ФТ (прийнятного для установи рівня ризику ВК/ФТ); 2) оцінку ризик-профілю клієнта: виявлення та оцінку ризику ділових відносин (фінансової операції без встановлення ділових відносин) з клієнтом; аналіз наявних заходів з управління ризиками ВК/ФТ для їх зниження (мінімізації) до прийнятного для установи рівня ризику ВК/ФТ (у межах ризик-апетиту установи у сфері ПВК/ФТ).

54. Згідно з п. 45 розділу IV Положення № 107 установа на основі оцінки ризиків ВК/ФТ, притаманних її діяльності, визначає свій ризик-апетит (рівень прийнятного рівня ризику) у сфері ПВК/ФТ, ураховуючи: 1) ризики, які установа готова прийняти; 2) ризики, які установа може прийняти, але лише після вжиття заходів з управління такими ризиками (їх мінімізації); 3) ризики, які є неприйнятними для установи.

55. Пунктом 46 розділу IV Положення № 107 передбачено, що установа за результатами проведеного аналізу має право визначити (за потреби) і прописати у внутрішніх документах установи з питань ПВК/ФТ установлені заборони/ обмеження у своїй діяльності (щодо окремих видів діяльності та/або залучення окремих типів клієнтів на обслуговування) (пункт 46 розділу IV Положення № 107).

56. Відповідно до п.п. 47- 49 розділу ІV Положення № 107 Установа на основі оцінки ризиків ВК/ФТ, притаманних її діяльності, визначає свій ризик-апетит (рівень прийнятного рівня ризику) у сфері ПВК/ФТ, ураховуючи: 1) ризики, які установа готова прийняти; 2) ризики, які установа може прийняти, але лише після вжиття заходів з управління такими ризиками (їх мінімізації); 3) ризики, які є неприйнятними для установи. Установа за результатами проведеного аналізу має право визначити (за потреби) і прописати у внутрішніх документах установи з питань ПВК/ФТ установлені заборони/обмеження у своїй діяльності (щодо окремих видів діяльності та/або залучення окремих типів клієнтів на обслуговування). Установа, приймаючи відповідні ризики, має враховувати наявність у неї ефективних заходів з управління ними, зокрема наявність необхідних ресурсів.

57. У п. 59 розділу ІV Положення № 107 визначено обов`язок Установи постійно вживати заходи для підтримання в актуальному стані (включно зі здійсненням переоцінки рівня ризику за потреби): 1) власного ризик-профілю - у разі зміни бізнес-моделі, упровадження нових продуктів або послуг, що істотно відрізняються від наявних з огляду на притаманні їм ризики ВК/ФТ, але не рідше одного разу на рік; 2) ризик-профілю клієнта: під час здійснення заходів щодо актуалізації даних про клієнта; у разі виявлення нових притаманних діловим відносинам (фінансовим операціям без встановлення ділових відносин) з клієнтом критеріїв ризику - не пізніше 15 дня місяця, наступного за місяцем, у якому було виявлено новий критерій ризику.

58. Установа зобов`язана здійснювати оцінку/переоцінку ризиків, у тому числі притаманних її діяльності, документувати їх результати, а також підтримувати в актуальному стані інформацію щодо оцінки ризиків, притаманних її діяльності (ризик-профіль установи), та ризику своїх клієнтів таким чином, щоб бути здатною продемонструвати своє розуміння ризиків, що становлять для неї такі клієнти (ризик-профіль клієнтів) (п.62 розділу ІV Положення № 107).

59. Згідно з п. 21 розділу ІІІ постанови Національного банку України «Про затвердження Правил організації статистичної звітності, що подається до Національного банку України» від 13.11.2018 № 120 (далі - Правила №120), та додатку № 5 до цих Правил небанківські установи - суб`єкти первинного фінансового контролю, що є надавачами фінансових платіжних послуг, щоквартально подають до Нацбанку дані про обсяги, платіжних операцій для оцінки ризиків у сфері фінансового моніторингу (файл 2LX).

60. Відповідач стверджує, що порушення полягає у неналежному виконанні Установою обов`язку здійснювати оцінку/переоцінку ризиків, у тому числі притаманних її діяльності, документувати їх результати, а також підтримувати в актуальному стані інформацію щодо оцінки ризиків, притаманних її діяльності (ризик-профіль СПФМ), та здійсненні управління ризиками, пов`язаними із запровадженням чи використанням нових та існуючих інформаційних продуктів, ділової практики або технологій, у тому числі таких, що забезпечують проведення фінансових операцій без безпосереднього контакту з клієнтом. У процесі безвиїзного нагляду Національним банком з метою аналізу виконання Установою вимог законодавства у сфері ПВК/ФТ щодо оцінки нею ризиків, притаманних її діяльності, надіслано запит від 29.06.2022 №25-0014/44736 (далі - Запит від 29.06.2022) із вимогою надати, зокрема: 1) ризик-профілі Установи, копії документів (в електронному вигляді) щодо результатів оцінки ризик-профілю Установи, що включають виявлення та оцінку ризиків ВК/ФТ, притаманних діяльності Установи; аналіз наявних заходів з управління ризиками ВК/ФТ для їх зниження (мінімізації); визначення ризик апетиту Установи у сфері ПВК/ФТ (прийнятного для Установи рівня ризику ВК/ФТ), що були затверджені у 2021, 2022 роках; 2) копії внутрішніх документів Установи, що містять порядок оцінки ризик-профілю установи, з урахуванням вимог пункту 23 розділу III Положення № 107, розрахунку ризик-апетиту Установи у сфері ПВК/ФТ (прийнятного для установи рівня ризику ВК/ ФТ).

61. Листом від 30.06.2022 № 01/30-06 Установа надала інформацію та документи та, зокрема, повідомила: «…Відповідальний працівник Компанії, з метою забезпечення належного контролю, не рідше 1 разу на рік звітує керівнику Компанії про результати застосування ризик-орієнтованого підходу та управління ризиками, зокрема про здійснену оцінку ризик профілю Компанії та визначений ризик-апетит у сфері протидії легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та/або фінансуванню розповсюдження зброї масового знищення. Оцінка ризик-профілю Компанії та визначення ризик апетиту здійснюється відповідно до чинних Правил фінансового моніторингу Компанії. У 2021, 2022 роках Компанією були затверджені такі внутрішні документи: Звіт щодо управління ризиками у сфері протидії легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та/або фінансуванню розповсюдження зброї масового знищення станом на 01 квітня 2021р. (за результатами діяльності Компанії у 2020 році), затверджений 31.03.2021р.; Додаток 1 до Звіту від 31.03.2021р. - Визначення ризик-профілю та ризик-апетиту ТОВ «УКРФІНСТАНДАРТ», затверджене 29.03.2021 (далі - Звіт 2021). Звіт щодо управління ризиками у сфері протидії легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та/або фінансуванню розповсюдження зброї масового знищення станом на 01 квітня 2022р. (за результатами діяльності Компанії у 2021 році); Додаток 1 до Звіту від 31.03.2022р. - Визначення ризик профілю та ризик-апетиту ТОВ «УКРФІНСТАНДАРТ», затверджене 30.03.2022…» (далі - Звіт 2022) (далі - Звіти).

62. Отже, наведені у відповіді Установи документи є документами щодо результатів оцінки ризик-профілю Установи, що включають виявлення та оцінку ризиків ВК/ФТ, притаманних діяльності Установи; аналіз наявних заходів з управління ризиками ВК/ФТ для їх зниження (мінімізації); визначення ризик апетиту Установи у сфері ПВК/ФТ (прийнятного для Установи рівня ризику ВК/ФТ), що були затверджені у 2021, 2022 роках. При цьому інших документів позивач щодо зазначених питань не надав, включаючи й лист Установи від 06.01.2023 № 01/06-01 про надання пояснень та заперечень на акт.

63. За результатами аналізу наданих позивачем Звітів встановлено, що розрахований ризик-профіль Установи не враховує результатів НОР, зокрема щодо оцінки ризику використання небанківських фінансових установ (у частині надання ними фінансової послуги щодо переказу коштів) з метою ВК, як високого, з огляду на специфіку цієї послуги. Послузі Установи з р2р переказів на суму, що не перевищує 30 тисяч гривень, притаманна специфіка, описана у НОР та п. 37 розділу IV Положення № 107, зокрема можливість проводити операції анонімно, широке географічне охоплення (регіони високого ризику), онлайн доступ до послуги тощо.

64. Зазначені особливості послуги призводять до вразливості використання її для ВК і відповідно підвищують рівень ризику ВК. При цьому, Установа оцінює рівень ризику послуги з р2р переказів як середній та не враховує особливості та можливості цільового використання даної послуги з урахуванням результатів НОР та пункту 37 розділу IV Положення № 107; - у Додатку 1 до Звіту 2022 зазначено, що ризик-апетит є середнім, проте у внутрішніх документах з питань ПВК/ФТ Установи відсутній опис його визначення та рівні, яким він може відповідати; - заходи з управління ризиками ВК/ФТ для їх зниження (мінімізації), що проводяться Установою, стосуються, зокрема клієнтів Установи з якими укладені договори та підтримуються ділові відносини, та не охоплюють клієнтів, яким Установа надає послуги з р2р переказів на суму, що не перевищує 30 тисяч гривень; - звіти не містять результатів аналізу фінансових операцій клієнтів, яким Установа надає послуги з р2р перекази на суму, що не перевищує 30 тисяч гривень; - у звіті 2022 відсутня будь-яка інформація щодо фактів здійснення Установою фінансових операцій з p2p переказів, що перевищують, визначені ліміти платежу від одного платника на користь одного отримувача протягом доби; - звіт 2022 та Додаток 1 до нього не враховують наявності і характеру санкцій, які застосовані до Установи Національним банком у 2021 році за результатами перевірки діяльності Установи, а також не містять інформацію щодо розгляду керівником Установи проблемних питань, пов`язаних із забезпеченням належної системи управління ризиками ВК/ФТ.

65. За даними файлу 2LX «Дані про обсяги, спосіб та мету переказу для оцінки ризиків у сфері фінансового моніторингу» (далі - файл 2LX) обсяг фінансових операцій з переказу коштів, що здійснювались за допомогою Установи за кодами призначення платежу «Перекази для зарахування на рахунки фізичних осіб» та «Погашення кредиту» за період з 01.10.2020 до 01.10.2021 склав 5 083 094 177,85 грн що складає 99,99% від загальної суми переказів за відповідний період.

66. Відповідно до наданої інформації Установа на сайті https://pay24.ufst.com.ua» та на інших сайтах компанії зокрема, здійснює р2р перекази, зокрема «… з картки Платника на картку Отримувача: як безпосередньо з картки (по номеру) на картку (по номеру), так і з використанням проміжних етапів, коли номер картки Отримувача ще невідомий, а сума переказу накопичується за його e-mail або телефоном до того моменту, коли Отримувач не повідомить номер своєї картки та не забажає завершити переказ…» (далі - р2р перекази).

67. Проведення цих фінансових операцій з p2p переказів забезпечувалося, зокрема на підставі укладених Установою договорів інтернет-еквайрингу/переказу коштів з окремими банками. Водночас за наявною у Національного банку інформацією, отриманою від банків еквайрів, більшості фінансових операцій, що здійснювалися Установою, було присвоювоєно код категорії торговця - МСС (Merchant Category Code «код категорії продавця») - 7994 - відеоігри (Video Game Arcades/Establishments).

68. Таким чином, віртуальним платіжним терміналам, що використовуються Установою, банками-еквайрами присвоєний МСС - 7994 - відеоігри (Video Game Arcades/Establishments), а згідно з наданою Установою інформацією (лист Установи від 11.03.2021 № 01/11) вона здійснює p2p перекази.

69. Отже, здійснені Установою p2p перекази в МПС Visa та MasterCard можуть мати високі ризики використання послуг Установи для ВК/ФТ та маскування фактичної суті проведених фінансових операцій, використовуючи технологію р2р переказів. Водночас відповідно до договорів з банками еквайрами саме на позивача покладався обов`язок повідомлення про зміну діяльності.

70. За результатами аналізу наданої позивачем інформації відповідач встановив здійснення фінансових операцій за окремими ЕПЗ у значних обсягах (відображено дані про регулярне отримання одними і тими ж отримувачами регулярних платежів від широкого кола осіб протягом ІІІ кварталу 2021 року. Отже, вищезазначені факти можуть свідчити, що в Установі відсутні дієві інструменти для запобігання/унеможливлення багаторазового, у великих обсягах проведення фінансових операцій, що можуть мати високі ризики використання послуг Установи для ВК/ФТ чи вчинення іншого злочину.

71. Наведені факти вказують на відсутність в Установі ефективних механізмів для запобігання чи унеможливлення багаторазового здійснення великих обсягів фінансових операцій із високим ризиком використання послуг Установи для відмивання коштів/фінансування тероризму чи вчинення інших злочинів.

72. Враховуючи вищезазначене, Суд дійшов висновку про обґрунтованість позиції НБУ про вчинення позивачем правопорушень та відсутність підстав для скасування оскаржуваного рішення.

73. Стосовно доводів позивача про неспівмірність штрафу Суд виходить з того, що відповідно до ч. 3 ст. 32 Закону №361-IX у разі невиконання (неналежного виконання) суб`єктом первинного фінансового моніторингу (його уповноваженою (посадовою) особою) вимог законодавства у сфері запобігання та протидії до нього адекватно вчиненому порушенню протягом шести місяців з дня виявлення порушення, але не пізніше ніж через три роки з дня його вчинення застосовується, зокрема, такий захід впливу як штраф. За одне порушення не може бути застосовано більше одного штрафу. Днем виявлення порушення є дата складання суб`єктом державного фінансового моніторингу, який відповідно до цього Закону здійснює державне регулювання та нагляд за суб`єктом первинного фінансового моніторингу, документа, в якому зафіксовано порушення, виявлене під час здійснення нагляду.

74. Згідно з п. 24 розділу IV Положення № 106 Національний банк у разі виявлення за результатами нагляду порушень законодавства у сфері запобігання та протидії адекватно виявленим порушенням має право застосувати до установи такий захід впливу, як штраф, що накладається у розмірах, визначених у частині п`ятій статті 32 Закону про ПВК/ФТ.

75. Згідно з п. 15 ч. 5 ст. 32 Закону №361-IX суб`єкта первинного фінансового моніторингу можуть бути застосовані штрафи у таких розмірах за незабезпечення належної організації та проведення первинного фінансового моніторингу, відсутність належної системи управління ризиками, повторне невиконання вимог суб`єктів державного фінансового моніторингу про усунення виявлених порушень та/або про вжиття заходів для усунення причин, що сприяли їх вчиненню, - у розмірі до 10 відсотків загального річного обороту, але не більше 7950 тисяч неоподатковуваних мінімумів доходів громадян.

76. Частиною 7 ст. 32 Закону №361-IX при визначенні заходу впливу та/або розміру штрафу суб`єкти державного фінансового моніторингу враховують обставини вчиненого порушення, у тому числі: 1) характер і тривалість порушення; 2) фінансовий стан суб`єкта первинного фінансового моніторингу; 3) вигоду, одержану суб`єктом первинного фінансового моніторингу внаслідок вчинення порушення, якщо сума такої вигоди може бути визначена; 4) збитки третіх осіб, спричинені внаслідок вчинення порушення, якщо сума таких збитків може бути визначена; 5) повторне вчинення однорідного правопорушення, за яке до суб`єкта первинного фінансового моніторингу протягом останніх трьох років застосовувалися заходи впливу; 6) ступінь відповідальності; 7) співпрацю суб`єкта первинного фінансового моніторингу з державними органами, включеними до системи запобігання та протидії.

77. Відповідно до. п. 7 Розділу І Положення №106 заходи впливу, що застосовуються Національним банком до установ, мають бути адекватними конкретним порушенням, які ними були допущені. При визначенні заходу впливу та/або розміру штрафу Національний банк враховує обставини вчиненого порушення відповідно до вимог, визначених у частині сьомій статті 32 Закону.

78. Рішенням № 21/496-рк до позивача застосовано захід впливу у вигляді накладення штрафу у розмірі 14 600 100 грн. У рішенні зазначено, що загальний річний оборот позивача станом на 31.12.2021 становить 5 517 824 000 грн. Отже, розмір штрафу не перевищує 10 відсотків загального річного обороту.

79. Суд вважає пропорційним та співмірним розмір штрафу з огляду на невідворотність можливих наслідків через неналежне здійснення позивачем первинного фінансового моніторингу та відсутність відповідної належної оцінки ризиків діяльності фінансової установи.

80. Відповідно до п. 3 ч. 1 ст. 349 КАС України суд касаційної інстанції за наслідками розгляду касаційної скарги має право, зокрема скасувати судові рішення судів першої та (або) апеляційної інстанцій повністю або частково і ухвалити нове рішення у відповідній частині або змінити рішення, не передаючи справи на новий розгляд.

81. Згідно з ч. 1 ст. 351 КАС України Суд скасовує судове рішення повністю або частково і ухвалює нове рішення у відповідній частині або змінює його, якщо таке судове рішення, переглянуте в передбачених статтею 341 цього Кодексу межах, ухвалено з неправильним застосуванням норм матеріального права або порушенням норм процесуального права.

82. З огляду на зроблені висновки Суд вважає необхідним скасувати рішення судів першої та апеляційної інстанції та ухвалити нове - про відмову у задоволенні позову.

83. Судові витрати покладаються на учасників справи, які їх сплатили, та розподілу не підлягають. Керуючись ст. ст. 243, 341, 345, 349, 351, 356, 359 КАС України, Суд - У Х В А Л И В: Касаційну скаргу Національного банку України задовольнити. Рішення Київського окружного адміністративного суду від 24 червня 2024 року та постанову Шостого апеляційного адміністративного суду від 19 листопада 2024 року у справі №320/12807/23 скасувати. Ухвалити нове рішення, яким у задоволенні позову відмовити. Постанова набирає законної сили з дати її прийняття є остаточною і не оскаржується. Суддя В.М. Кравчук Суддя А.А. Єзеров Суддя О.П. Стародуб