Съответствие на AML и електронен подпис в финансите: ръководство за 2026 г.

Съответствието на AML (Anti-Money Laundering) и електронният подпис са два неразделни стълба за финансовите институции, платформи за плащане и финтехи, работещи в Европа. От влизането в сила на 6-та директива за борба срещу отмиване на пари (6AMLD) и прогресията на нормативния пакет AML 2024-2025 на Европейския съюз — включително създаването на Европейския орган за борба срещу отмиване на пари (AMLA) — задължените лица трябва да демонстрират безпрецедентно ниво на разумна поделност. Електронният подпис, когато е внедрен правилно, не е просто инструмент за дематериализация: той става инструмент на съответствие сам по себе си. Тази статия ви ръководи чрез задълженията на AML, приложими към електронния подпис, необходимите нива на гарантиране, наличните технически решения и добрите практики, които трябва да приемете за 2026 г.

Защо електронният подпис е в центъра на съответствието на AML

Борбата срещу отмиване на капитал се основава на три основни стълба: познанието на клиента (KYC — Know Your Customer), наблюдението на транзакциите и съхранението на доказателства. Електронният подпис участва преки в първите два и третия елемент.

Електронният подпис като доказателство за проверена самоличност

В контекста на AML, началото на делово отношение е най-експозираният момент. Член 13 на директива 2015/849/EU (4AMLD, както е изменена от 5AMLD) налага строга проверка на самоличността на клиента преди всяко установяване на договорни отношения. Усъвършенстваният или квалифициран електронен подпис — в смисъла на регламент eIDAS № 910/2014 — гарантира, че подписващият е наистина лицето, за което се претендира, благодарение на процес на аутентификация и документирана идентификация. Квалифициран електронен подпис (SEQ), издан от доверена услуга (QTSP), намиращ се на европейския списък на доверени услуги, осигурява нивото на гарантиране "високо", както е определено в регламент eIDAS 2.0 (регламент EU 2024/1183, влязъл в сила през май 2024 г.). Това ниво е съвместимо с изискванията за подсилена поделност, наложени за клиенти с висок риск.

Проследяемост и одитна писта, съответни на изискванията на AML

Нормативната система на AML изисква съхранение на KYC документи за минимален период от 5 години след прекратяването на делово отношение (член 40 на директива 2015/849). Електронният подпис генерира естествено пълна одитна писта: сертифициран времеви печат, хеш на документа, самоличност на подписващия, логове на достъп и криптографски сертификати. Тази проследяемост, гарантирана от електронния времеви печат, отговаря директно на изискванията за съхранение и доказателство, наложени от органите на надзор — ACPR във Франция, BaFin в Германия, FCA във Великобритания.

Интегриране в процесите на цифров бординг

Финтехите и необанките са масово дигитализирали своя бординг. Според отчета McKinsey Digital Banking 2025, повече от 78 % на новите европейски банкови сметки се отварят изцяло онлайн. В този контекст, електронният подпис, интегриран в пътя на KYC бординг, позволява:

• Събиране на информирано съгласие от клиента относно общи условия и политика на обработка на данни (GDPR)
• Формализирано разрешение за събиране на документи за самоличност и доказателства за адрес
• Завършване на договори за отваряне на сметка с максимална доказателствена стойност
• Архивиране на целия файл в одитируем цифров сейф

За субектите, ищещи да укрепят своя инструмент, пълното ръководство за електронния подпис в предприятия представлява структуриран отправен пункт.

Нивата на подпис, необходими според профила на риск на AML

Един от най-честите въпроси на екипите по съответствие касае нивото на електронен подпис, което трябва да се внедри според нивото на риск на клиента. Подходът по риск, в сърцето на механизма на AML, се прилага и при технологичния избор.

Прост и усъвършенстван електронен подпис: случаи на употреба при стандартен риск

За клиенти, идентифицирани като представящи стандартен риск — физически лица, пребиваващи в държава-членка на EU, без специални рискови фактори —, усъвършенстваният електронен подпис (SEA) обикновено е достатъчен. SEA се основава на данни за създаване на подпис, свързани с подписващия по уникален начин, се създава от данни, които само подписващият може да използва под своя изключителен контрол, и позволява открояване на всяка последваща модификация на подписания документ (член 26 на регламент eIDAS). Съответни решения на eIDAS като Certyneo позволяват внедряване на това ниво на подпис с проверка на самоличност в реално време чрез документно разпознаване (OCR + биометричен лiveness check), което отговаря на изискванията на стандартна поделност.

Квалифициран подпис: задължение за подсилена поделност

Когато профилът на риск на клиента е висок — политически експонирани лица (PPE), граждани на трети държави с висок риск, перечислени от Европейската комисия, транзакции на значителен размер —, подсилена поделност (Enhanced Due Diligence, EDD) се налага. В този контекст, само квалифициран електронен подпис гарантира необходимото ниво на гарантиране. SEQ предполага използване на квалифициран диспозитив за създаване на подпис (QSCD) и квалифициран сертификат, издан от акредитиран QTSP. За по-добро разбиране на разликите между тези нива и избор на подходящо решение, сравнение на решения за електронен подпис, налично на Certyneo, предлага структуриран анализ на пазарните оферти през 2026 г.

Ролята на дистанционната проверка на самоличност (eIDAS 2.0 и портфейл EUDI)

Регламент eIDAS 2.0 (EU 2024/1183) въвежда европейския цифров портфейл за самоличност (EUDI Wallet), чието разгръщане е предвидено до края на 2026 г. във всички държави-членки. Този портфейл ще позволи на гражданите да представят проверени атрибути на самоличност (националност, дата на раждане, адрес) по децентрализиран начин, без да трябва отново да представят своите документи на всеки доставчик на услуги. За съответствието на AML, това развитие е основно: то ще позволи сертифицирана проверка на самоличност на ниво "високо" преди процеса на подпис, без допълнителна триене за потребителя. Финансовите институции, които днес интегрират решения, съвместими с eIDAS 2.0, предвиждат този преход и намаляват своя нормативен риск на средносрочен план. Актуализация относно регламент eIDAS 2.0, публикувана от Certyneo, детайлизира практическите последици за задължените субекти.

Специфични задължения на финансовите субекти по отношение на подпис и AML

Задължените субекти, засегнати

Директива 2015/849/EU, трансспозирана в френския закон в членове L. 561-1 и следващи на Кодекса на парите и финансите, определя широк обхват на задължени субекти на нормативната система на AML: кредитни институции, платежни институции, дружества по застраховка живот, съветници по управление на имущество, агенти по недвижими имоти, извършващи транзакции над 10 000 €, правни професии, и от 2020 г., доставчици на услуги на цифрови активи (PSAN), сега подложени на регистрация CASP под режима MiCA. За всяка от тези категории, документирането на договорни отношения чрез проследяема електронна подпис е косвено задължение, произтичащо от изискванията за съхранение и доказателство.

Съхранение на данни: съчетание на GDPR и AML

Очевидно противоречие съществува между периода на съхранение, наложен от AML (5 години минимум), и принципа на минимизиране на данни на GDPR (регламент EU 2016/679). Европейския комитет по защита на данни (EDPB) е уточнил в своите указания 4/2022, че правната основа за съхранение с цел борба срещу измама и отмиване на пари представлява оправдано отклонение от правото на изтриване, при условие че съхранените данни са строго необходими. Електронният подпис, архивирайки само криптографски метаданни и доказателства за самоличност, строго необходими, позволява едновременно задоволяване на двата режима. Използването на сертифициран цифров сейф, отделен от текущата система за управление на документи, е препоръчаната добра практика от FATF (Финансов наблюдателен комитет) в своите указания относно цифровата трансформация от 2023 г.

Санкции и рискове в случай на несъответствие

Санкциите в случай на нарушения на AML са значителни. Във Франция, ACPR (Орган на контрол и разрешение) може да наложи парични санкции до 100 млн. евро или 10 % от годишния оборот. През 2025 г., ACPR наложи санкции в размер на повече от 47 млн. евро срещу финансови субекти, като несколкими случаи включваше недостатъци в документирането и проверката на началото на отношения. Отсъствието на надежна одитна писта — което електронният подпис именно позволява да се установи — бяха сред причините, записани в няколко публични решения.

Добри практики за внедряване на електронен подпис, съответен на AML

Интегриране на подпис в работния поток на KYC от самото начало

Подходът "поверителност по проектиране", наложен от GDPR, се съчетава тук с подхода "съответствие по проектиране", препоръчан от FATF. Това означава, че електронният подпис не трябва да се добавя като повърхностен слой към съществуващ процес, а да се интегрира от начало на дизайна на пътя на клиента. Потоците трябва да бъдат замислени, така че всяка стъпка да генерира автоматично необходимите доказателства: сертификат за подпис, одитен доклад, квалифициран времеви печат, документен хеш. Екипите по съответствие трябва да работят в сътрудничество с IT екипите, за да дефинират ясни правила за оркестрация: какво ниво на подпис за кой тип документ, какъв период на архивиране, какви метаданни да се съхранят.

Избор на акредитиран QTSP доставчик и подлежащ на одит

Избора на доставчик на електронен подпис е структуриращ за съответствието на AML. Трябва да проверите, че доставчикът фигурира в национално доверено списък (във Франция, управляван от ANSSI) и в европейския доверен списък (EU Trust List), че е сертифициран според стандартите ETSI EN 319 411 (за политики на сертификати) и ETSI EN 319 132 (за XAdES подписи), и че разполага с годишен одитен доклад, изготвен от акредитиран орган. Способност за експортване на доказателства в стандартизиран формат (PAdES, XAdES, CAdES) е също критична за позволяване на тяхното използване в контекста на съдебни процедури или AML разследвания. Институции, ищещи да оптимизират своя механизъм, могат да използват ROI калкулатора на Certyneo, за да количествят ползите от съответствие и оперативна ефективност, свързани с електронния подпис.

Обучение на екипи и документиране на процедури

Съответствието на AML не завършва с технологията. Front-office екипите, officers по съответствие и risk managers трябва да бъдат обучени на спецификата на електронния подпис в контекста на AML: да разбират нивата на подпис, да могат да тълкуват одитен доклад, да знаят процедурите, които трябва да следват в случай на оспорване. Вътрешното документиране на процедурите на подпис — интегрирано в наръчниците по съответствие — е проверено при контрола на ACPR. Ясна, тестирана и редовно актуализирана процедура демонстрира ангажимента на институцията към активен подход на съответствие.

Приложима нормативна рамка за съответствие на AML и електронен подпис

Съчетанието между електронния подпис и борба срещу отмиване на пари се основава на плътен нормативен корпус, както европейски, така и национален.

Регламент eIDAS № 910/2014 и eIDAS 2.0 (EU 2024/1183): Тези текстове определят трите нива на електронен подпис (прост, усъвършенстван, квалифициран) и условията за взаимна признаност на правната сила между държави-членки. Член 25 на регламент eIDAS постулира принципа на недискриминация: електронен подпис не може да бъде отхвърлен като доказателство в съд само поради факта, че е в електронна форма. Регламент eIDAS 2.0, влязъл в сила през май 2024 г., укрепва изискванията за цифрова самоличност с введението на портфейл EUDI Wallet.

Гражданския кодекс, членове 1366 и 1367: Член 1366 на френския гражданския кодекс признава электронния текст като еквивалент на писменост на хартиен носител, при условие че може да бъде надлежно идентифицирано лицето, от което произхожда, и установено в условия, което гарантира интегритета му. Член 1367 специално регламентира електронния подпис според френския закон, препраща към условията, определени чрез декрет на Държавния съвет (декрет № 2017-1416 от 28 септември 2017 г.).

Директиви AML — 4AMLD (2015/849/EU), 5AMLD (2018/843/EU), 6AMLD (2018/1673/EU): Тези директиви налагат на задължените субекти задължения за проверка на самоличност, съхранение на документи в продължение на 5 години, наблюдение на транзакции и докладване на съмнения на компетентния финансов разузнавателен орган (TRACFIN във Франция). Френската трансспозиция фигурира в членове L. 561-1 до L. 565-1 на Кодекса на парите и финансите.

Нормативен пакет AML 2024 на EU: Регламент EU 2024/1624 (AMLR), приложим преки во всички държави-членки от 2027 г., и директива EU 2024/1640 (AMLD6) хармонизират правилата за поделност и създават Европейския орган за борба срещу отмиване на пари (AMLA), чието седалище е във Франкфурт. Тези текстове укрепват изискванията за проверка на самоличност чрез електронни средства, правещи съответствието на eIDAS още по-стратегическо.

GDPR № 2016/679: Член 5 (минимизиране на данни), член 17 (право на изтриване, със своите законови изключения) и член 30 (регистър на дейностите по обработка) се прилагат пълноценно към обработката, свързана с електронния подпис в контекста на AML. Правната основа за съхранение с цел на правно задължение (член 6.1.в на GDPR) оправдава продължаващото съхранение на данни за подпис.

Стандарти ETSI: Стандарт ETSI EN 319 132-1 определя профилите на електронния подпис XAdES. Стандарт ETSI EN 319 102-1 специфицира процедурите за създаване и валидиране на подпис. Тези технически стандарти са оперативната преводка на правните изисквания на eIDAS за технически доставчици.

Рискове от несъответствие: Вътре от парични санкции на ACPR (до 100 млн. евро или 10 % от CA), регламент AMLR 2024 предвижда хармонизирани санкции на европейско ниво, които могат да достигнат 10 % от консолидирания световен оборот за най-тежките нарушения. Управниците също могат да бъдат лично мотивирани, със забрани за упражняване, предвидени в член 42 на директива AMLD6.

Сценарии на употреба: електронен подпис и съответствие на AML на практика

Сценарий 1 — Цифров бординг в лицензирана платежна институция

Платежна институция, лицензирана от Банката на Франция, обработваща приблизително 15 000 нови начала на отношения месечно чрез своя мобилно приложение, се сблъсква със строги изисквания на AML за проверка на самоличност на своите клиенти. Преди внедряването на решение за усъвършенстваният електронен подпис, интегрирано в своя пътя на бординг, институцията разчиташе на ръчни процеси на документна проверка, генериращи средни закъснения от 72 часа и темп на отказ от 34 % по време на абонаментния процес.

При разгръщането на решение за усъвършенстваният електронен подпис, комбинирано с биометрична проверка на самоличност (liveness check + OCR на документ за самоличност), институцията намали периода на бординг до по-малко от 8 минути за 89 % на стандартни случаи. Автоматично генерираната одитна писта — включваща сертификат за подпис, доклад за биометрична проверка и квалифициран времеви печат — отговаря преки на изискванията на съхранение на AML. Темпът на отказ намаля от 34 % до 11 %, което означава нетно увеличение на финализираните абонаменти от около 35 %, според наблюдаваните диапазони в отчетите на Juniper Research 2025 за цифрово банкиране.

Сценарий 2 — Управление на подсилена поделност в портфолио управляващо дружество

Портфолио управляващо дружество, управляващо активи за богати клиенти (UHNWI — Ultra High Net Worth Individuals), е подложено на задължения за подсилена поделност за цялата си клиентела, значителна част от своите клиенти класифицирани като PPE (Политически експонирани лица). Договорната документация — мандати за управление, писма за приемане на риск, периодични докладване подписани — представлява хиляди документи годишно.

При разгръщането на решение за квалифициран електронен подпис за всички документи PPE и интегриране на автоматично архивиране в сертифициран цифров сейф NF461, дружеството установи пълна и одитируема одитна писта. При контрол на ACPR от 48 часа, целите исканите файлове могаха да бъдат представени за по-малко от 2 часа, в сравнение със средния сектор оценката на 2-3 дни според обратната информация, публикувана от ACPR в своя годишен доклад за контрол от 2024 г. Екипите по съответствие също намаляха с 60 % времето, посветено на подготовка на контролни файлове.

Сценарий 3 — Съответствие на AML за доставчик на услуги на цифрови активи (CASP)

Доставчик на услуги на цифрови активи (CASP), подложен на регламент MiCA и укрепени задължения на AML, приложими от януари 2026 г., трябва да документира цялата своя договорна отношения с задължения за проверка на самоличност, еквивалентни на тези на кредитна институция. Договори за използване на платформата, мандати за съхранение и удостоверения за инвестиционна политика трябва да бъдат подписани и съхранени.

При интегриране на решение за усъвършенстваният електронен подпис чрез API в своя пътя на регистрация, CASP успя да автоматизира генерирането и подпис на договорни документи веднага след валидирането на KYC. Всеки подписан документ е автоматично индексиран в системата за управление на съответствие със своите криптографски метаданни. Този подход позволи намаляване с 80 % на ръчни намесички на екипи по съответствие в стандартни случаи, освобождавайки време за обработка на случаи с висок риск, изискващи човешка преглед.

Заключение

Съответствието на AML и електронният подпис формират сега неизбежен дует за всеки финансов субект, работещ в Европа през 2026 г. Последователните директиви против отмиване на пари, кулминирайки с пакет AML 2024 и създаването на AMLA, значително повишиха нивата на изисквания по отношение на проверка на самоличност, документна проследяемост и съхранение на доказателства. Електронният подпис — при условие че е разгърнат на правилното ниво (усъвършенстван или квалифициран според профила на риск), интегриран от начало на дизайна на пътеци на клиента и подкрепен от акредитиран QTSP доставчик — отговаря структурно на тези изисквания. Той представлява едновременно инструмент на съответствие, лост на оперативна ефективност и конкурентно предимство в дигиталното отношение с клиенти.

Certyneo съпровожда финансовите субекти, финтехи и портфолио управляващи дружества при внедряване на решения за електронен подпис, съответни на eIDAS и адаптирани към изискванията на AML. Откройте нашите оферти и начните своето съответствие на AML днес.