Шаг 1
Алерт становится кейсом
Срабатывание мониторинга или запрос уполномоченного органа открывает кейс: сумма, участники, история операций. Кейс назначается аналитику, статус — «В работе».
Расследование подозрительных операций и графовый анализ связей
Аномалии в транзакциях редко живут поодиночке. NeuroVision раскладывает алерт на граф: клиенты, счета, контрагенты и общие реквизиты — чтобы аналитик увидел цепочку, кольцо или веер переводов, а ответственный сотрудник принял решение по собранному досье.
Данные хранятся в России Реестр российского ПО № 19972 Облако или ваш контур
Алерт закрыт, схема осталась: зачем расследовать связи после мониторинга
Связи — главный материал расследования
Поведенческий анализ находит необычную операцию, граф объясняет, зачем она понадобилась и кто ещё в схеме.
- 01
Одна операция выглядит честно
Перевод 480 000 ₽ за «консультационные услуги» сам по себе не подозрителен. Подозрительно, что через час те же деньги ушли дальше тремя платежами, а получатели зарегистрированы по одному адресу. Это видно только на связях.
- 02
Схема разнесена по клиентам
Транзит, дробление и круговые переводы строятся из нескольких клиентов и счетов. Алерты по каждому разбирают разные сотрудники — и никто не видит картину целиком.
- 03
Решение нужно обосновать
Ответственный сотрудник принимает решение о квалификации операции, а основания должны быть зафиксированы. Граф и досье кейса показывают, на чём оно основано.
- 04
Через годы спросят снова
Запрос Росфинмониторинга или проверка Банка России может прийти через годы. Материалы расследования хранятся вместе с журналом действий, и кейс можно открыть таким, каким его видел аналитик.
- 3 рабочих дня на сведения после выявления операции
- 5 лет хранение документов после окончания отношений
- 0 клиент не узнаёт о мерах: информировать его закон не разрешает
Граф связей транзакций: клиенты, счета, контрагенты и общие реквизиты на одной схеме
Узел графа — участник, связь — платёж или общий признак. Шесть видов связей, из которых складывается картина. Как платёж попадает в мониторинг и почему получает высокий риск — на странице мониторинга платёжных операций.
-
Платежи между счетами
Кто, кому, сколько и когда. Толщина связи — сумма, направление — стрелка, время — шкала под графом. Видно, сколько часов деньги провели на счёте.
-
Общие реквизиты
Один адрес, телефон, email или руководитель у разных клиентов. Данные берутся из анкет KYC и реестров по ИНН.
-
Устройства и IP
Вход в интернет-банк с одного устройства или адреса у формально не связанных клиентов — сигнал, что счетами управляет один человек. Данные — из ваших ДБО и процессинга.
-
Владельцы и руководители
Учредители, директора и бенефициары компаний-участников. Две «независимые» фирмы с общим учредителем становятся одной группой. Подробнее — на странице UBO.
-
Списки и уровень риска
Совпадения с перечнями Росфинмониторинга, санкциями и PEP, а также уровень риска клиента — отметки на узлах. Узел из перечня окрашивает всю цепочку.
-
Поведенческий профиль
Поведенческий анализ транзакций отмечает, что нетипично для этого клиента: новый круг получателей, ночные переводы, обороты выше обычного. Граф показывает, с кем связано отклонение.
Цепочка, кольцо, веер, сборщик: фигуры, которые видны только на графе
-
Цепочка
Деньги проходят через 3–5 счетов подряд и нигде не задерживаются. Выявление цепочек транзакций начинается с первого звена: граф достраивает остальные, даже если они в других алертах.
-
Кольцо
Платежи возвращаются к исходному клиенту через посредников. Оборот растёт, а денег у группы не прибавляется. Кольцо видно, только когда замкнулась последняя связь.
-
Веер
Один счёт за короткое время рассылает деньги десяткам получателей суммами ниже ваших порогов. Это паттерн переводов, который правило по одной операции пропускает.
-
Сборщик
Обратная фигура: десятки отправителей переводят на один счёт, который тут же отправляет всё одной суммой дальше. Типичный след счетов «под управлением».
-
Группа с общим ядром
Компании без общих платежей, но с одним руководителем, адресом или устройством. Если одна из них в схеме, остальные — кандидаты на углублённую проверку.
-
Мост к списку
Клиент сам чист, но через одно-два звена связан с лицом из перечня или санкционного списка. Граф показывает длину и суммы этого пути.
Фигура на графе — повод для проверки, а не доказательство. Квалифицирует операцию ответственный сотрудник по правилам внутреннего контроля вашей организации.
Ход расследования: от первого алерта до решения ответственного сотрудника
Шесть шагов, которые проходит аналитик. Каждое действие остаётся в журнале кейса.
Шаг 2
Граф раскрывается на 1–3 звена
Аналитик выбирает глубину и период: от участников алерта граф достраивает связанных клиентов, счета и контрагентов.
Шаг 3
Фигуры подсвечены
Цепочки, кольца, веера и узлы из списков выделены цветом. Лишние связи аналитик скрывает и оставляет в кейсе комментарий, почему.
Шаг 4
Проверка участников
Неизвестные контрагенты из графа проверяются по реестрам и спискам прямо из кейса — 5 ₽ за реестр, международный скрининг — 36 ₽.
Шаг 5
Запрос документов
Если связь не объясняется, по вашим правилам запрашиваются договоры и пояснения у клиента. Ответы прикладываются к кейсу. О самом расследовании клиент не узнаёт.
Шаг 6
Решение и досье
Ответственный сотрудник видит граф, комментарии и документы и принимает решение. Шаблон сообщения заполняется данными кейса; направляет его организация по своему каналу.
Фиксация, воспроизводимость, пять лет хранения: что 115‑ФЗ и 860‑П ждут от расследования
Закон не требует граф. Он требует, чтобы основания решения были зафиксированы, детали операции можно было воспроизвести, а материалы хранились пять лет. Граф и досье кейса закрывают это одним действием.
- Организация документально фиксирует информацию, полученную при реализации правил внутреннего контроля: запутанный или необычный характер сделки, несоответствие целям деятельности, повторные операции в обход контроля (п. 2 ст. 7)
- В кейсе сохраняются граф на момент решения, комментарии аналитика и приложенные документы
- Программа выявления операций задаёт порядок углублённой проверки, основания и срок решения ответственного сотрудника и порядок его фиксирования (п. 6.2)
- Если сведения решено не направлять — нужно мотивированное обоснование (п. 6.3). Срок решения внутри программы задаёт ваша организация
- Сведения о подозрительной операции — не позднее трёх рабочих дней после дня выявления (п. 3 ст. 7)
- По запросу уполномоченного органа организация предоставляет имеющуюся информацию (пп. 5 п. 1 ст. 7): выгрузка кейса собирает её в один пакет
- Документы хранятся не менее пяти лет со дня прекращения отношений с клиентом (п. 4 ст. 7); сведения об операции фиксируются так, чтобы её детали можно было воспроизвести (п. 6.2 860‑П)
- Клиента и иных лиц о принимаемых мерах не информируют (п. 6 ст. 7). Доступ к кейсам — по ролям, каждое действие — в журнале
- Ориентир по закону 115‑ФЗ (ред. от 04.08.2026) и Положению Банка России от 18.06.2025 № 860‑П; точный текст — в КонсультантПлюс. Порог обязательного контроля и признаки необычных операций — на странице мониторинга платёжных операций.
Досье кейса: что выгружается для решения, проверки и запроса Росфинмониторинга
Три набора материалов из одного кейса. Состав настраивается под ваши правила внутреннего контроля и шаблоны отчётов по подозрительным операциям.
- Пример сводки кейса
Для решения
Ответственному сотруднику.
Сводка
- участники и их уровень риска
- найденные фигуры
- суммы и период
- совпадения со списками
Основания
- комментарии аналитика
- ответы клиента и документы
- вывод и предложенное решение
- Обсудить шаблоны
Для сообщения
Черновик по шаблону.
Поля из кейса
- сведения об участниках операции
- операции схемы с датами и суммами
- описание оснований подозрения
Шаблоны
- сообщение по подозрительной операции
- SAR/STR для международных процедур
- ваши формы
- Как устроен журнал
Для проверки и запроса
Через годы — как в день решения.
Снимок
- граф на дату решения
- таблица операций в CSV
- версия правил, по которым сработал алерт
Журнал
- кто открывал кейс
- кто менял статус и когда
- кто выгружал материалы
Общий адрес — ещё не схема: как отличить связь от совпадения
Граф находит связи быстрее человека и находит их слишком много. Четыре частых совпадения, которые аналитик помечает как объяснённые. Как разобрать совпадение имени клиента со списком — на странице проверки по перечням Росфинмониторинга.
-
Бизнес-центр и массовый адрес
Что видно: десятки компаний с одним адресом.
Как проверить: есть ли между ними платежи, общие руководители или устройства. Один адрес без других связей — шум. -
Бухгалтер на аутсорсе
Что видно: один телефон, email или IP у разных клиентов.
Как проверить: совпадает ли он с контактом обслуживающей компании. Подтверждённое объяснение сохраняется в кейсе и не поднимается снова. -
Платёжный агрегатор и маркетплейс
Что видно: узел, через который идут тысячи платежей.
Как проверить: это хаб по природе бизнеса. Такие узлы помечаются и исключаются из поиска фигур, чтобы не связывать всех со всеми. -
Семья и зарплата
Что видно: регулярные переводы между физлицами и веер выплат от одной компании.
Как проверить: суммы и периодичность соответствуют профилю, назначение платежа понятно.
Кто расследует связи: финмониторинг банка, платёжный сервис, криптоплатформа, лизинг
-
Банки
- Транзитные цепочки по счетам юрлиц
- Группы клиентов с общим ядром
- Материалы для ответа на запрос
-
РНКО и операторы электронных денег
- Веера и сборщики по кошелькам
- Устройства и IP в одном графе
- Досье для банка-партнёра
-
Платёжные агрегаторы
- Мерчанты с общими реквизитами
- Круговые возвраты
- Хабы, исключённые из поиска фигур
-
Криптоплатформы и обменники
- Связь фиатных платежей клиента с его криптооперациями
- Мосты к спискам
- Подробнее — KYT для криптовалют
-
Лизинг и факторинг
- Покупатель, поставщик и лизингополучатель в одной группе
- Кольца поставок
- Проверка участников по реестрам
-
Сколько стоит модуль расследований
Цена зависит от объёма операций, глубины графа и варианта установки. Рассчитаем под ваш поток. Тарифы на проверки — в прайс-матрице.
Рассчитать стоимость- 01
Модуль расследований — по запросу. Отдельно или вместе с мониторингом операций. Облако NeuroVision или установка в вашем контуре.
- 02
Проверка участников графа — 5 ₽ за реестр. Неизвестный контрагент проверяется из кейса. Международный скрининг по санкциям и PEP — 36 ₽.
- 03
Без абонентской платы за проверки. Демо на обезличенной выборке ваших операций — по запросу.
Подключение: операции, KYC и списки в одном графе
- API, Kafka, CSV
- ISO 20022
- Анкеты KYC и реестры
- Вебхук с итогом кейса
Условия.
Облако в России или ваш контур. Персональный менеджер. Шифрование и разграничение доступа.
Обсудить подключениеСловарь расследований: узел, связь, транзитный счёт и кольцо
- Граф связей
- Схема, где участники — узлы, а платежи и общие признаки — связи между ними.
- transaction graph
- Узел
- Клиент, счёт, контрагент, устройство или адрес на графе.
- node
- Связь
- Платёж или общий признак двух узлов: адрес, телефон, руководитель, устройство.
- edge
- Глубина графа
- Сколько звеньев от участников алерта показывает граф.
- hops
- Транзитный счёт
- Счёт, на котором деньги не задерживаются: поступили и сразу ушли дальше.
- pass-through account
- Кольцо
- Платежи, которые через посредников возвращаются к исходному участнику.
- circular flow
- Веер и сборщик
- Рассылка с одного счёта многим получателям и обратное — сбор со многих на один.
- fan-out / fan-in
- Кейс
- Карточка расследования: участники, операции, граф, комментарии, статус и журнал.
- case
- Ответственный сотрудник
- Специальное должностное лицо, которое отвечает за правила внутреннего контроля и принимает решение о квалификации операции.
- MLRO
- SAR / STR
- Сообщение о подозрительной активности или операции в международной практике.
- suspicious activity report
Читайте также
223 20
KYC, AML и цифровая идентификация
KYT (Know Your Transaction): что это, как работает мониторинг операций и при чём здесь Travel Rule
273 14
KYC, AML и цифровая идентификация
Финмониторинг и ПОД/ФТ простыми словами: что это, кого касается и как проходит
901 27
KYC, AML и цифровая идентификация
Комплаенс в финтехе по 115-ФЗ: как собрать KYC и AML-контур без перегрузки команды
132 29
KYC, AML и цифровая идентификация
115-ФЗ: что обязан делать бизнес и как выполнить требования закона
Вопросы о расследовании подозрительных операций
Это разбор алерта или запроса, после которого ответственный сотрудник решает, подозрительна ли операция. Аналитик раскрывает связи участников, проверяет контрагентов, запрашивает документы и фиксирует основания. NeuroVision показывает связи на графе и собирает материалы в одном кейсе.
Мониторинг проверяет каждую операцию и поднимает алерт. Расследование начинается после алерта: выясняет, часть ли операция схемы, кто ещё в ней участвует и чем подтверждается вывод.
Граф соединяет платежи по счетам и времени. Если деньги проходят несколько счетов подряд и нигде не задерживаются, цепочка видна целиком, даже когда её звенья попали в разные алерты и к разным сотрудникам.
Операции из АБС или процессинга, данные клиентов из KYC и реестров, по желанию — устройства и IP из ДБО. Чем больше общих признаков подключено, тем больше связей видно.
Ответственный сотрудник вашей организации по правилам внутреннего контроля. Сервис не квалифицирует операции сам: он показывает связи, подсвечивает фигуры и собирает основания.
Да. Сообщение и SAR/STR заполняются данными кейса: участники, операции, основания. Шаблон настраивается под ваши формы. Направляет сведения организация по своему каналу.
Закон требует хранить документы не менее пяти лет со дня прекращения отношений с клиентом. Срок хранения кейсов в NeuroVision задаётся договором или вашей инфраструктурой при установке в контуре.
Нет. Закон запрещает информировать клиентов и иных лиц о принимаемых мерах. Запрос документов формулируется по вашим правилам, а доступ к кейсам ограничен ролями.
Найдите клиента в кабинете, откройте связанные кейсы и выгрузите досье: сводку, граф, таблицу операций и журнал. Что включить в ответ, решает ответственный сотрудник.
Паттерны мошеннических транзакций — дропы, веера переводов после хищения — на графе видны так же. Но переводы без согласия клиента регулирует 161‑ФЗ, и для них есть фрод-мониторинг операций.
Обсудим расследования в вашей службе финмониторинга
Расскажите, сколько алертов в месяц разбирает команда и откуда приходят операции, — покажем граф на демо и предложим схему подключения.
Не можете сформулировать запрос? Запишитесь на звонок, и наша команда свяжется с вами в удобное время
Записаться на звонок
Компания внесена в реестр IT-компаний и реестр операторов персональных данных Минцифры России.
Адрес: Москва, Пресненская наб., д. 12 — деловой центр «Москва-Сити», башня «Федерация». Ближайшие станции метро — «Деловой центр» и «Международная».
