Съответствие на AML и електронен подпис в финансите: ръководство за 2026 г.

Съответствието на AML (Anti-Money Laundering) и електронният подпис са два неразделни стълба за финансовите институции, платформи за плащане и финтехи, работещи в Европа. От влизането в сила на 6-та директива за борба срещу отмиване на пари (6AMLD) и прогресията на нормативния пакет AML 2024-2025 на Европейския съюз — включително създаването на Европейския орган за борба срещу отмиване на пари (AMLA) — задължените лица трябва да демонстрират безпрецедентно ниво на разумна поделност. Електронният подпис, когато е внедрен правилно, не е просто инструмент за дематериализация: той става инструмент на съответствие сам по себе си. Тази статия ви ръководи чрез задълженията на AML, приложими към електронния подпис, необходимите нива на гарантиране, наличните технически решения и добрите практики, които трябва да приемете за 2026 г.

Защо електронният подпис е в центъра на съответствието на AML

Борбата срещу отмиване на капитал се основава на три основни стълба: познанието на клиента (KYC — Know Your Customer), наблюдението на транзакциите и съхранението на доказателства. Електронният подпис участва преки в първите два и третия елемент.

Електронният подпис като доказателство за проверена самоличност

В контекста на AML, началото на делово отношение е най-експозираният момент. Член 13 на директива 2015/849/EU (4AMLD, както е изменена от 5AMLD) налага строга проверка на самоличността на клиента преди всяко установяване на договорни отношения. Усъвършенстваният или квалифициран електронен подпис — в смисъла на регламент eIDAS № 910/2014 — гарантира, че подписващият е наистина лицето, за което се претендира, благодарение на процес на аутентификация и документирана идентификация. Квалифициран електронен подпис (SEQ), издан от доверена услуга (QTSP), намиращ се на европейския списък на доверени услуги, осигурява нивото на гарантиране "високо", както е определено в регламент eIDAS 2.0 (регламент EU 2024/1183, влязъл в сила през май 2024 г.). Това ниво е съвместимо с изискванията за подсилена поделност, наложени за клиенти с висок риск.

Проследяемост и одитна писта, съответни на изискванията на AML

Нормативната система на AML изисква съхранение на KYC документи за минимален период от 5 години след прекратяването на делово отношение (член 40 на директива 2015/849). Електронният подпис генерира естествено пълна одитна писта: сертифициран времеви печат, хеш на документа, самоличност на подписващия, логове на достъп и криптографски сертификати. Тази проследяемост, гарантирана от електронния времеви печат, отговаря директно на изискванията за съхранение и доказателство, наложени от органите на надзор — ACPR във Франция, BaFin в Германия, FCA във Великобритания.

Интегриране в процесите на цифров бординг

Финтех компаниите и необанките масово дигитализираха процеса си на онбординг. Все повече нови европейски банкови сметки се откриват изцяло онлайн. В този контекст електронният подпис, интегриран в процес на онбординг с KYC проверка, позволява:

• Събиране на информирано съгласие от клиента относно общи условия и политика на обработка на данни (GDPR)

• Формализирано разрешение за събиране на документи за самоличност и доказателства за адрес

• Завършване на договори за отваряне на сметка с максимална доказателствена стойност

• Архивиране на целия файл в одитируем цифров сейф

За субектите, ищещи да укрепят своя инструмент, пълното ръководство за електронния подпис в предприятия представлява структуриран отправен пункт.

Нивата на подпис, необходими според профила на риск на AML

Един от най-честите въпроси на екипите по съответствие касае нивото на електронен подпис, което трябва да се внедри според нивото на риск на клиента. Подходът по риск, в сърцето на механизма на AML, се прилага и при технологичния избор.

Прост и усъвършенстван електронен подпис: случаи на употреба при стандартен риск

За клиенти, идентифицирани като представящи стандартен риск — физически лица, пребиваващи в държава-членка на EU, без специални рискови фактори —, усъвършенстваният електронен подпис (SEA) обикновено е достатъчен. SEA се основава на данни за създаване на подпис, свързани с подписващия по уникален начин, се създава от данни, които само подписващият може да използва под своя изключителен контрол, и позволява открояване на всяка последваща модификация на подписания документ (член 26 на регламент eIDAS). Съответни решения на eIDAS като Certyneo позволяват внедряване на това ниво на подпис с проверка на самоличност в реално време чрез документно разпознаване (OCR + биометричен лiveness check), което отговаря на изискванията на стандартна поделност.

Квалифициран подпис: задължение за подсилена поделност

Когато профилът на риск на клиента е висок — политически експонирани лица (PPE), граждани на трети държави с висок риск, перечислени от Европейската комисия, транзакции на значителен размер —, подсилена поделност (Enhanced Due Diligence, EDD) се налага. В този контекст, само квалифициран електронен подпис гарантира необходимото ниво на гарантиране. SEQ предполага използване на квалифициран диспозитив за създаване на подпис (QSCD) и квалифициран сертификат, издан от акредитиран QTSP. За по-добро разбиране на разликите между тези нива и избор на подходящо решение, сравнение на решения за електронен подпис, налично на Certyneo, предлага структуриран анализ на пазарните оферти през 2026 г.

Ролята на дистанционната проверка на самоличност (eIDAS 2.0 и портфейл EUDI)

Регламент eIDAS 2.0 (EU 2024/1183) въвежда европейския цифров портфейл за самоличност (EUDI Wallet), чието разгръщане е предвидено до края на 2026 г. във всички държави-членки. Този портфейл ще позволи на гражданите да представят проверени атрибути на самоличност (националност, дата на раждане, адрес) по децентрализиран начин, без да трябва отново да представят своите документи на всеки доставчик на услуги. За съответствието на AML, това развитие е основно: то ще позволи сертифицирана проверка на самоличност на ниво "високо" преди процеса на подпис, без допълнителна триене за потребителя. Финансовите институции, които днес интегрират решения, съвместими с eIDAS 2.0, предвиждат този преход и намаляват своя нормативен риск на средносрочен план. Актуализация относно регламент eIDAS 2.0, публикувана от Certyneo, детайлизира практическите последици за задължените субекти.

Специфични задължения на финансовите субекти по отношение на подпис и AML

Задължените субекти, засегнати

Директива 2015/849/EU, трансспозирана в френския закон в членове L. 561-1 и следващи на Кодекса на парите и финансите, определя широк обхват на задължени субекти на нормативната система на AML: кредитни институции, платежни институции, дружества по застраховка живот, съветници по управление на имущество, агенти по недвижими имоти, извършващи транзакции над 10 000 €, правни професии, и от 2020 г., доставчици на услуги на цифрови активи (PSAN), сега подложени на регистрация CASP под режима MiCA. За всяка от тези категории, документирането на договорни отношения чрез проследяема електронен подпис е косвено задължение, произтичащо от изискванията за съхранение и доказателство.

Съхранение на данни: съчетание на GDPR и AML

Очевидно противоречие съществува между периода на съхранение, наложен от AML (5 години минимум), и принципа на минимизиране на данни на GDPR (регламент EU 2016/679). Европейския комитет по защита на данни (EDPB) е уточнил в своите указания 4/2022, че правната основа за съхранение с цел борба срещу измама и отмиване на пари представлява оправдано отклонение от правото на изтриване, при условие че съхранените данни са строго необходими. Електронният подпис, архивирайки само криптографски метаданни и доказателства за самоличност, строго необходими, позволява едновременно задоволяване на двата режима. Използването на сертифициран цифров сейф, отделен от текущата система за управление на документи, е препоръчаната добра практика от FATF (Финансов наблюдателен комитет) в своите указания относно цифровата трансформация от 2023 г.

Санкции и рискове в случай на несъответствие

Санкциите в случай на нарушения на AML са значителни. Във Франция, ACPR (Орган на контрол и разрешение) може да наложи парични санкции до 100 млн. евро или 10 % от годишния оборот. През 2025 г., ACPR наложи санкции в размер на повече от 47 млн. евро срещу финансови субекти, като несколкими случаи включваше недостатъци в документирането и проверката на началото на отношения. Отсъствието на надежна одитна писта — което електронният подпис именно позволява да се установи — бяха сред причините, записани в няколко публични решения.

Добри практики за внедряване на електронен подпис, съответен на AML

Интегриране на подпис в работния поток на KYC от самото начало

Подходът "поверителност по проектиране", наложен от GDPR, се съчетава тук с подхода "съответствие по проектиране", препоръчан от FATF. Това означава, че електронният подпис не трябва да се добавя като повърхностен слой към съществуващ процес, а да се интегрира от начало на дизайна на пътя на клиента. Потоците трябва да бъдат замислени, така че всяка стъпка да генерира автоматично необходимите доказателства: сертификат за подпис, одитен доклад, квалифициран времеви печат, документен хеш. Екипите по съответствие трябва да работят в сътрудничество с IT екипите, за да дефинират ясни правила за оркестрация: какво ниво на подпис за кой тип документ, какъв период на архивиране, какви метаданни да се съхранят.

Избор на акредитиран QTSP доставчик и подлежащ на одит

Избора на доставчик на електронен подпис е структуриращ за съответствието на AML. Трябва да проверите, че доставчикът фигурира в национално доверено списък (във Франция, управляван от ANSSI) и в европейския доверен списък (EU Trust List), че е сертифициран според стандартите ETSI EN 319 411 (за политики на сертификати) и ETSI EN 319 132 (за XAdES подписи), и че разполага с годишен одитен доклад, изготвен от акредитиран орган. Способност за експортване на доказателства в стандартизиран формат (PAdES, XAdES, CAdES) е също критична за позволяване на тяхното използване в контекста на съдебни процедури или AML разследвания. Институции, ищещи да оптимизират своя механизъм, могат да използват ROI калкулатора на Certyneo, за да количествят ползите от съответствие и оперативна ефективност, свързани с електронния подпис.

Обучение на екипи и документиране на процедури

Съответствието на AML не завършва с технологията. Front-office екипите, officers по съответствие и risk managers трябва да бъдат обучени на спецификата на електронния подпис в контекста на AML: да разбират нивата на подпис, да могат да тълкуват одитен доклад, да знаят процедурите, които трябва да следват в случай на оспорване. Вътрешното документиране на процедурите на подпис — интегрирано в наръчниците по съответствие — е проверено при контрола на ACPR. Ясна, тестирана и редовно актуализирана процедура демонстрира ангажимента на институцията към активен подход на съответствие.

Приложима нормативна рамка за съответствие на AML и електронен подпис

Съчетанието между електронния подпис и борба срещу отмиване на пари се основава на плътен нормативен корпус, както европейски, така и национален.

Регламент eIDAS № 910/2014 и eIDAS 2.0 (EU 2024/1183): Тези текстове определят трите нива на електронен подпис (прост, усъвършенстван, квалифициран) и условията за взаимна признаност на правната сила между държави-членки. Член 25 на регламент eIDAS постулира принципа на недискриминация: електронен подпис не може да бъде отхвърлен като доказателство в съд само поради факта, че е в електронна форма. Регламент eIDAS 2.0, влязъл в сила през май 2024 г., укрепва изискванията за цифрова самоличност с введението на портфейл EUDI Wallet.

Гражданския кодекс, членове 1366 и 1367: Член 1366 на френския гражданския кодекс признава електронния текст като еквивалент на писменост на хартиен носител, при условие че може да бъде надлежно идентифицирано лицето, от което произхожда, и установено в условия, което гарантира интегритета му. Член 1367 специално регламентира електронния подпис според френския закон, препраща към условията, определени чрез декрет на Държавния съвет (декрет № 2017-1416 от 28 септември 2017 г.).

Директиви AML — 4AMLD (2015/849/EU), 5AMLD (2018/843/EU), 6AMLD (2018/1673/EU): Тези директиви налагат на задължените субекти задължения за проверка на самоличност, съхранение на документи в продължение на 5 години, наблюдение на транзакции и докладване на съмнения на компетентния финансов разузнавателен орган (TRACFIN във Франция). Френската трансспозиция фигурира в членове L. 561-1 до L. 565-1 на Кодекса на парите и финансите.

Нормативен пакет AML 2024 на EU: Регламент EU 2024/1624 (AMLR), приложим преки во всички държави-членки от 2027 г., и директива EU 2024/1640 (AMLD6) хармонизират правилата за поделност и създават Европейския орган за борба срещу отмиване на пари (AMLA), чието седалище е във Франкфурт. Тези текстове укрепват изискванията за проверка на самоличност чрез електронни средства, правещи съответствието на eIDAS още по-стратегическо.

GDPR № 2016/679: Член 5 (минимизиране на данни), член 17 (право на изтриване, със своите законови изключения) и член 30 (регистър на дейностите по обработка) се прилагат пълноценно към обработката, свързана с електронния подпис в контекста на AML. Правната основа за съхранение с цел на правно задължение (член 6.1.в на GDPR) оправдава продължаващото съхранение на данни за подпис.

Стандарти ETSI: Стандарт ETSI EN 319 132-1 определя профилите на електронния подпис XAdES. Стандарт ETSI EN 319 102-1 специфицира процедурите за създаване и валидиране на подпис. Тези технически стандарти са оперативната преводка на правните изисквания на eIDAS за технически доставчици.

Рискове от несъответствие: Вътре от парични санкции на ACPR (до 100 млн. евро или 10 % от CA), регламент AMLR 2024 предвижда хармонизирани санкции на европейско ниво, които могат да достигнат 10 % от консолидирания световен оборот за най-тежките нарушения. Управниците също могат да бъдат лично мотивирани, със забрани за упражняване, предвидени в член 42 на директива AMLD6.

Илюстративни сценарии на използване: електронен подпис и AML съответствие

Сценарий 1 — Цифров бординг в лицензирана платежна институция

Тези сценарии са илюстративни: те описват типични ситуации и не представят никакъв измерен резултат при клиент. Платежна институция, лицензирана от Banque de France, обработваща около 15 000 нови установявания на взаимоотношения месечно чрез мобилното си приложение, е изправена пред строги AML изисквания за проверка на идентичността на своите клиенти. Без интегрирано в процеса на onboarding решение за усъвършенстван електронен подпис, тя разчита на ръчни процеси за документна проверка, което удължава сроковете и благоприятства отказите в хода на записването.

С решение за усъвършенстван електронен подпис, съчетано с биометрична проверка на идентичността (liveness check + OCR на документ за самоличност), срокът за onboarding може значително да се съкрати за стандартните случаи. Одитната следа, генерирана автоматично — включваща сертификата за подпис, доклада от биометричната проверка и квалифицирания времеви печат — отговаря пряко на изискванията за съхранение по AML. По-плавен процес ограничава отказите и увеличава дела на завършените записвания. Размерът на ползата се измерва върху реалния обхват, преди и след пилотен проект.

Сценарий 2 — Управление на подсилена поделност в портфолио управляващо дружество

Портфолио управляващо дружество, управляващо активи за богати клиенти (UHNWI — Ultra High Net Worth Individuals), е подложено на задължения за подсилена поделност за цялата си клиентела, значителна част от своите клиенти класифицирани като PPE (Политически експонирани лица). Договорната документация — мандати за управление, писма за приемане на риск, периодични докладване подписани — представлява хиляди документи годишно.

С решение за квалифициран електронен подпис за всички документи, свързани с ПИЛ (PPE), и автоматично архивиране в сертифициран по NF461 цифров сейф, дружеството изгражда пълна и проверима одитна следа. При проверка от ACPR цялата заявена документация може да бъде предоставена бързо, без ръчно възстановяване. Екипите по съответствие отделят по-малко време за подготовка на документацията за проверки. Реалната полза се оценява в засегнатия обхват, преди и след пилотен проект.

Сценарий 3 — Съответствие на AML за доставчик на услуги на цифрови активи (CASP)

Доставчик на услуги на цифрови активи (CASP), подложен на регламент MiCA и укрепени задължения на AML, приложими от януари 2026 г., трябва да документира цялата своя договорна отношения с задължения за проверка на самоличност, еквивалентни на тези на кредитна институция. Договори за използване на платформата, мандати за съхранение и удостоверения за инвестиционна политика трябва да бъдат подписани и съхранени.

Чрез интегриране на решение за усъвършенстван електронен подпис посредством API в процеса на регистрация, CASP може да автоматизира генерирането и подписването на договорните документи веднага след валидирането на KYC. Всеки подписан документ се индексира автоматично в системата за управление на съответствието заедно с криптографските му метаданни. Този подход ограничава ръчните намеси на екипите по съответствие при стандартните случаи и освобождава време за обработка на случаите с висок риск, изискващи човешки преглед. Размерът на ползата се измерва върху реалния обхват, преди и след пилотен проект.

Често задавани въпроси

Какво ниво на електронен подпис се изисква за клиент с висок риск?

Когато се прилага разширена комплексна проверка — видно политическо лице или гражданин на високорискова трета държава от списъка на Европейската комисия — се изисква квалифициран електронен подпис. Само той се ползва от презумпцията за надеждност по Регламент eIDAS и само той създава проверима връзка между подписващия и удостоверение, издадено от квалифициран доставчик. При стандартен риск обикновеното и усъвършенстваното ниво остават допустими.

Колко дълго трябва да се съхраняват електронно подписаните документи за идентификация?

Най-малко пет години след прекратяване на деловото взаимоотношение, съгласно член 40 от Директива 2015/849/ЕС. Задължението обхваща цялото доказателствено досие: подписания документ, събраните идентификационни данни и одитната следа на подписа. Запазването само на подписания PDF файл, без метаданните за проверка, не е достатъчно за доказване на съответствие при проверка.

Пречи ли регламентът за защита на данните на петгодишното съхранение?

Не. Напрежението между свеждането до минимум на данните и дългото съхранение е само привидно: правото на изтриване съдържа изрично изключение, когато обработването произтича от правно задължение, какъвто е случаят с борбата срещу изпирането на пари. Добра практика е това основание да се документира в регистъра на дейностите по обработване и данните да се заличат след изтичане на срока.

Какви санкции грозят институция при пропуски?

Във Франция надзорният орган може да наложи имуществени санкции до 100 милиона евро или 10 % от годишния оборот, наред с дисциплинарни мерки до отнемане на лиценза. Регламентът от 2024 г. в тази област, пряко приложим във всички държави членки от 2027 г., въвежда хармонизиран санкционен режим на европейско равнище и намалява различията между правните системи.

Ще замени ли европейският портфейл за цифрова самоличност сегашната проверка?

По-скоро ще я допълни, отколкото да я замени. Регламентът eIDAS 2.0 предвижда въвеждането на европейския портфейл за цифрова самоличност, който ще позволява представяне на проверени идентификационни данни без предаване на пълен документ за самоличност. Съществуващите методи за дистанционна проверка остават валидни, затова е добре процесът по установяване на взаимоотношения да се проектира и за двата канала.

Заключение

Съответствието на AML и електронният подпис формират сега неизбежен дует за всеки финансов субект, работещ в Европа през 2026 г. Последователните директиви против отмиване на пари, кулминирайки с пакет AML 2024 и създаването на AMLA, значително повишиха нивата на изисквания по отношение на проверка на самоличност, документна проследяемост и съхранение на доказателства. Електронният подпис — при условие че е разгърнат на правилното ниво (усъвършенстван или квалифициран според профила на риск), интегриран от начало на дизайна на пътеци на клиента и подкрепен от акредитиран QTSP доставчик — отговаря структурно на тези изисквания. Той представлява едновременно инструмент на съответствие, лост на оперативна ефективност и конкурентно предимство в дигиталното отношение с клиенти.

Certyneo съпровожда финансовите субекти, финтехи и портфолио управляващи дружества при внедряване на решения за електронен подпис, съответни на eIDAS и адаптирани към изискванията на AML. Откройте нашите оферти и начните своето съответствие на AML днес.