Комплаенс-контроль объединяет несколько разных правовых режимов: противодействие отмыванию денег, борьба с коррупцией, защита персональных данных, антимонопольное регулирование, банковский надзор. У каждого режима свой круг обязанных лиц, и не везде это вообще обязанность — где-то закон прямо называет это правом. Разберём, какой режим на кого распространяется, кто внутри компании за него отвечает и что из проверок можно автоматизировать, а что по закону остаётся за людьми.
Здесь — правовой комплаенс: режимы, где закон называет обязанного и ответственного. Информационная безопасность — защита информации, DLP, требования ФСТЭК — в этой статье не разбирается.
Что такое комплаенс-контроль
Слова «комплаенс» в пяти законах, которые здесь разбираются, нет. Они называют это иначе: 115-ФЗ — «правила внутреннего контроля», 273-ФЗ — «меры по предупреждению коррупции», 152-ФЗ — меры по защите персональных данных без отдельного термина для их совокупности, 135-ФЗ — «система внутреннего обеспечения соответствия требованиям антимонопольного законодательства», закон о банках — «система внутреннего контроля». «Комплаенс-контроль» и «комплаенс» — собирательное бизнес-понятие, которым на практике называют эти разные по своей правовой природе режимы вместе, когда говорят о них как об одной функции компании.
Из-за этого на вопрос «что такое комплаенс-контроль» нет одного правового ответа — есть несколько отдельных обязанностей и прав, у каждой свой адресат.
Кто обязан: режимы с разным кругом лиц
Для каждого режима ниже закон по-своему определяет круг обязанных лиц и то, обязанность это или право:
| Режим | Кто обязан | Кто внутри отвечает | Обязанность или право |
|---|---|---|---|
| Противодействие отмыванию денег и финансированию терроризма, 115-ФЗ | Организации, осуществляющие операции с денежными средствами или иным имуществом (перечень — ст. 5: кредитные организации, профучастники рынка ценных бумаг, страховые и лизинговые компании, микрофинансовые организации, операторы инвестиционных и финансовых платформ и другие); а также адвокаты, нотариусы, аудиторы, лица, оказывающие юридические и бухгалтерские услуги, и некоторые другие — при определённых операциях и услугах (ст. 7.1 п. 1) | Специальное должностное лицо, ответственное за реализацию правил внутреннего контроля; сами правила утверждает руководитель организации | Обязанность |
| Противодействие коррупции, 273-ФЗ | Организации — без ограничения по виду, размеру и форме собственности | Закон называет определение ответственных подразделений или должностных лиц одной из мер, которые организация может включить в свои меры | Обязанность принимать меры по предупреждению коррупции; конкретный состав мер — на выбор организации |
| Защита персональных данных, 152-ФЗ | Любой оператор — меры по ст. 18.1; оператор, являющийся юридическим лицом, — дополнительно назначение ответственного | Лицо, ответственное за организацию обработки персональных данных (у оператора-юрлица); подотчётно исполнительному органу | Обязанность |
| Защита персональных данных у государственных и муниципальных органов, 152-ФЗ | Государственные и муниципальные органы как операторы | Перечень мер устанавливает Правительство | Обязанность |
| Антимонопольный комплаенс, 135-ФЗ | Хозяйствующий субъект — если решил организовать систему | Должностное лицо, которое внутренний акт называет ответственным за функционирование системы | Право — организовать систему; если организована, назвать ответственное лицо уже обязательно |
| Внутренний контроль в банках, закон о банках (395-1) | Кредитные организации, головные кредитные организации банковских групп, филиалы иностранных банков | — (ч. 4 не называет; требования к системам устанавливает Банк России) | Обязанность |
Противодействие отмыванию денег. ПВК по 115-ФЗ обязаны разрабатывать организации, которые проводят операции с денежными средствами или иным имуществом, а также адвокаты, нотариусы, аудиторы, лица, оказывающие юридические и бухгалтерские услуги, и некоторые другие — при определённых операциях и услугах (ст. 7 п. 2, ст. 7.1 115-ФЗ). Условие у каждой из этих групп своё: у адвокатов, доверительных собственников иностранной структуры и лиц, оказывающих юридические или бухгалтерские услуги, — когда они готовят или осуществляют от имени клиента определённые операции и сделки (например, с недвижимостью или по управлению счетами); у нотариусов — при таких же операциях и при отдельных нотариальных действиях; у аудиторских организаций и индивидуальных аудиторов — именно при оказании аудиторских услуг; у лиц, организующих майнинг-пул, — при распределении цифровой валюты между участниками пула. Единого условия «при операциях» для всех четырёх групп нет. Полный разбор того, что именно обязан сделать бизнес по 115-ФЗ и как выполнить эти требования, — в статье «115-ФЗ: что обязан делать бизнес и как выполнить требования закона».
Противодействие коррупции. Организации обязаны принимать меры по предупреждению коррупции (ст. 13.3 273-ФЗ) — закон не ограничивает круг по виду, размеру или форме собственности компании. Определение ответственных подразделений или должностных лиц закон называет одной из мер, которые такие меры могут включать, наряду с пятью другими, включая сотрудничество с правоохранительными органами и предотвращение конфликта интересов, — перечень открытый, и организация сама решает, какие из этих мер принять.
Защита персональных данных. Назначить ответственного за организацию обработки персональных данных обязан оператор — юридическое лицо (ст. 22.1 ч. 1 152-ФЗ). Любой оператор, включая индивидуального предпринимателя, обязан принимать меры по ст. 18.1 ч. 1; состав мер оператор определяет сам, и две из шести — назначение ответственного и политика обработки — адресованы юридическому лицу. Одна из шести мер — применение мер безопасности персональных данных по ст. 19 того же закона — относится уже к информационной безопасности. Для государственных и муниципальных органов перечень мер устанавливает Правительство — это отдельный от операторов-компаний круг адресатов.
Антимонопольный комплаенс. Создать систему внутреннего обеспечения соответствия антимонопольному законодательству компания вправе — закон формулирует это как право (ст. 9.1 ч. 1 135-ФЗ). Но если компания решила её создать, внутренние акты должны в совокупности содержать пять элементов, включая порядок оценки рисков нарушения антимонопольного законодательства и информацию о должностном лице, ответственном за функционирование системы (ч. 2). То есть право организовать систему превращается в обязанность назвать ответственного — но только для тех, кто этим правом уже воспользовался.
Внутренний контроль в банках. Кредитная организация, головная кредитная организация банковской группы и филиал иностранного банка обязаны создать системы внутреннего контроля (ст. 24 ч. 4 закона о банках). Кто именно внутри банка за это отвечает, сама норма не называет; требования к системам, которые банк обязан создать, устанавливает Банк России.
Кто отвечает внутри компании
По закону ответственность распределена по-разному для каждого режима — кто именно отвечает, видно по третьему столбцу таблицы выше.
На практике за несколько таких режимов разом в компании часто отвечает один человек или подразделение — комплаенс-служба, комплаенс-офицер или комплаенс-менеджер. Это распределение ролей внутри компании: ни один из разобранных режимов не обязывает заводить именно такую должность с таким названием — важно, чтобы роли, которые называет каждая конкретная норма, были закрыты.
Что можно автоматизировать, а что остаётся за людьми
Нормы о внутреннем контроле, которые мы разобрали, требуют организационных мер: правил, ответственных лиц, документальной фиксации, обучения. Программно-технические средства в них упомянуты один раз — как предмет оценки риска: среди требований, которые ст. 7.1 п. 1 распространяет на группы из первой строки таблицы, есть оценка возможности использования новых услуг и программно-технических средств для легализации (отмывания) доходов и финансирования терроризма. Требования применять конкретную программу в них нет. Какими инструментами выполнять организационные меры, решает сама компания.
На рынке автоматизируют то, что поддаётся формализации: проверки контрагентов и клиентов по базам, скрининг санкционных списков и списков публичных должностных лиц, выявление конфликта интересов, контроль коммуникаций, учёт пройденных инструктажей. Как выстроить такую проверку контрагентов и бенефициаров для B2B-комплаенса — отдельный разбор в статье «AML, KYB и проверка бенефициаров: как выстроить комплаенс для B2B-клиентов». Проверки по базам — это инструмент одной части одного режима: идентификации клиента и подтверждения достоверности сведений по 115-ФЗ. Сами правила внутреннего контроля, назначение ответственного лица, их обучение и документальную фиксацию такая проверка не заменяет и не выполняет.
Проверки клиентов и контрагентов по государственным и международным базам можно вести через один сервис — это помогает с частью проверок при идентификации и работе с контрагентами
Ответственность при этом остаётся за людьми: правила внутреннего контроля утверждает руководитель организации, за их реализацию отвечает назначенное специальное должностное лицо. Для других режимов — свои ответственные, по строкам таблицы выше.
С чего начать
Практический порядок такой: сначала по таблице выше определить, какие из разобранных режимов распространяются на компанию — по виду деятельности и по тому, какие операции она совершает. Для каждого применимого режима — назначить того, кто внутри компании отвечает за него, по правилам соответствующей нормы. Дальше — подготовить документы, которые требует конкретный режим: правила внутреннего контроля, политику обработки персональных данных, внутренний акт о системе антимонопольного комплаенса, если компания решила её создать. Провести обучение тех сотрудников, для которых оно предусмотрено. И регулярно проверять, что меры действительно применяются на практике.
Статья актуальна на 29.10.2026. Нормы приведены по редакциям, действующим на эту дату: 115-ФЗ в ред. от 04.08.2026 — ст. 5, ст. 7 п. 2; ст. 7.1 п. 1 в ред. от 08.08.2024; 273-ФЗ в ред. от 25.04.2026 — ст. 13.3; 152-ФЗ в ред. от 26.07.2026 — ст. 3 п. 2, ст. 18.1 ч. 3, ст. 22.1; ст. 18.1 ч. 1 в ред. от 14.07.2022; 135-ФЗ в ред. от 08.03.2026 — ст. 9.1; закон о банках (395-1) в ред. от 04.08.2026 — ст. 24 ч. 4 в ред. от 08.08.2024.
Комплаенс-контроль собирает в одно название набор разных режимов, и у каждого свой круг обязанных лиц и свой ответственный внутри компании. Единой обязанности «вести комплаенс-контроль» ни один из разобранных законов не называет: где-то это прямая обязанность с указанным ответственным, где-то — право, которое становится обязанностью лишь после того, как им воспользовались. Практический вывод: определять применимость по каждому режиму отдельно — слово «комплаенс» здесь не опора. Ответственность за выполнение организационных мер в любом из этих режимов закон возлагает на людей.
Частые вопросы
