Compliance аудит платёжного стека: что проверить перед тем как вырасти в объёмах

Compliance аудит платёжного стека: что проверить перед тем как вырасти в объёмах

Когда команда масштабируется с миллиона до десятков миллионов в месяц, PSP и эквайреры начинают копать глубже. Compliance-проверки становятся не формальностью, а реальным риском заморозки счёта. Вот что нужно аудитировать самостоятельно, чтобы не удивляться письму от compliance-офицера.

Платёжный стек и документация:
— Все используемые PSP, эквайреры и крипто-провайдеры в едином реестре с датами подключения и статусом верификации.
— Копии договоров, включая приложения про высокий риск (high-risk addendum).
— Версия PCI DSS, которую вы заявили. Если сказали 3.2.1 — убедитесь что именно эта, а не 4.0.
— Mapping между вашими MID и реальной business-сущностью (юрлицо, описание бизнеса, country of operation).

KYC и AML слой:
— UBO-задекларирование. Кто реальный владелец? Есть ли документация?
— Список стран, которые вы исключили из compliance-политики (blacklist + grey list). Совпадает ли он с политикой PSP?
— Proof of address для всех directors и beneficial owners (не старше 3-6 месяцев).
— Проверка на PEP/sanctions-листы — хотя бы автоматическая.

Логирование и документация платежей:
— Ведёте ли вы лог всех rejected и flagged транзакций? Compliance хочет видеть что вы отлавливали подозрительное.
— Хранятся ли детали dispute-кейсов (чарджбеки, refund-reason, outcome)? Compliance ищет pattern.
— Descriptor-стратегия. Какие дескрипторы используете? Совпадают ли они с реальным названием компании в документах?

Финальная проверка:
Попросите у compliance-офицера PSP письмом: какие документы нужны для следующей ревью, какой период покрытия и какой deadline. Не ждите пока они найдут дыры — предложите им закрытый чек-лист. Это сигнал что вы серьёзный партнёр, а не команда что живёт от платежа к платежу.