Як не побудувати систему, яку ніхто не розуміє

За роки роботи з різними системами я переконалась: найнебезпечніша комплаєнс-система — та, про яку всі говорять «так працює автомат» і ніхто не може пояснити, чому саме.

Чому «система, яку ніхто не розуміє» — це вже не технічний, а бізнес-ризик?

Тому що незрозуміла система сьогодні напряму впливає на доступ до ринків капіталу, до фінансових послуг і до інвесторів. Регулятори та контрагенти очікують не тільки результат, а й зрозумілу логіку його отримання.

Національна комісія з цінних паперів та фондового ринку прямо пов’язує розвиток ринку з діалогом із бізнесом і прозорими правилами гри НКЦПФР, 2026. Це сигнал: навіть на рівні інфраструктури ринку очікування зміщуються від формального виконання вимог до спільно зрозумілої архітектури контролю. Для компанії це означає, що будь-яка складна система — від AML-моніторингу до санкційних скринінгів — повинна бути не тільки «налаштована», а й пояснювана тим, хто за неї відповідає.

Що показали нові вимоги НКЦПФР щодо маніпуляцій, і до чого тут пояснюваність?

Нові вимоги НКЦПФР до виявлення маніпуляцій на ринках капіталу фактично вимагають, щоб учасники ринку могли показати, як вони бачать аномальну поведінку і чому вважають її маніпулятивною. Це про пояснюваність системи виявлення ризиків.

За інформацією Комісії, документ адаптує українське законодавство до європейських підходів до боротьби з інсайдерською торгівлею та маніпулюванням НКЦПФР, 2026. Для бізнесу це означає:

1. Недостатньо «підключити систему сповіщень» біржі чи брокера.
2. Потрібні зрозумілі критерії, які саме патерни ви вважаєте ризиковими.
3. Потрібні журнали рішень — хто і як реагував на сигнали.

Якщо ваша внутрішня логіка: «робить система постачальника, ми не втручаємось», у момент реального запиту від Комісії або іноземного партнера це перетворюється на слабке місце. Саме тут з’являється «система, яку ніхто не розуміє», — і вона вже не захищає, а оголює компанію.

Як AI та автоматизація найчастіше перетворюються на «чорну скриньку»?

Найчастіше це відбувається тоді, коли рішення про автоматизацію ухвалюють як IT-проєкт, а не як зміну способу ухвалення ризикових рішень. Налаштування віддають зовнішньому вендору, а всередині компанії залишається лише кнопка «approved / declined».

У таких системах:

• ніхто не може коротко описати, які саме правила вшиті в алгоритм;
• пороги спрацьовувань змінюють «за відчуттям», без фіксації логіки;
• під час перевірки команда каже: «так налаштовано з коробки».

У кращому випадку це означає додаткові питання від банку чи регулятора. У гіршому — відмову в операції або серйозні репутаційні втрати, коли виявляється, що система роками ігнорувала суттєві ризики. Саме тому будь-яке AI-рішення в комплаєнсі потребує такої ж карти рішень, як і ручний процес.

Як зрозуміти, що ваша поточна комплаєнс-система вже стала «чорною скринькою»?

Є кілька простих тестів, які можна зробити без зовнішнього аудиту. Якщо команда не проходить ці тести, система вже в зоні ризику.

Спробуйте всередині компанії відповісти на три питання в письмовому вигляді, однією сторінкою:

1. Як ухвалюється рішення «працюємо / не працюємо» з новим контрагентом?
2. Як визначається, що операція є «незвичною» і вимагає додаткової уваги?
3. Як фіксується факт, що ризик був прийнятий свідомо, а не «проскочив»?

Якщо відповіді:

• розбігаються у різних підрозділів;
• спираються на «так історично склалося»;
• посилаються на систему, але не на чіткі правила;

— у вас класичний приклад чорної скриньки. Далі варто перейти до карти рішень.

Які дані потрібні, щоб система була зрозумілою, а не просто великою?

Потрібні не всі можливі дані, а ті, які реально впливають на рішення — і це має бути задокументовано. Зібрати максимум інформації й не знати, навіщо вона — прямий шлях до системи, яку бояться чіпати.

На практиці це означає три рівні даних:

1. Обов’язкові — без них рішення не ухвалюється (наприклад, ідентифікаційні дані контрагента, структура власності, базова країнова та галузева інформація).
2. Підсилюючі — впливають на рівень ризику, але не блокують рішення автоматично (репутаційні відомості, історія співпраці, нетипові умови договору).
3. Контекстні — пояснюють картину для майбутніх перевірок (чому операція вважалася звичною в момент її погодження).

Якщо у ваших процедурах ці три рівні не розділені, а в політиках це не відображено, система росте вшир, але не стає зрозумілішою. Дані перетворюються на шум, а не на аргументи.

Як побудувати карту рішень, щоб люди й алгоритми говорили однією мовою?

Карта рішень — це спосіб перетворити розрізнені правила й «неписані практики» на структуру, з якою може працювати як людина, так і алгоритм. Вона має описувати не тільки «що перевіряємо», а й «що робимо з результатом».

Простий формат карти рішень для комплаєнсу можна оформити як таблицю:

Ключове: для кожного вузла має бути прописано, хто може змінити автоматичне рішення і як це фіксується. Тоді навіть складна система не стає «магією», а залишається набором керованих правил.

Про те, як саме пояснювати логіку роботи моделей і на що дивиться регулятор, детальніше — в окремому матеріалі: «Пояснюваність моделі: чому регулятор питає «чому саме так»».

Як не перетворити AI в комплаєнсі на ще один «центр впливу», якого бояться?

Щоб AI не став недоторканним «оракулом», його треба вбудовувати в уже зрозумілу рамку ризиків, а не навпаки. Технологія доповнює людські рішення, а не замінює їхню відповідальність.

У практичному вимірі це означає:

1. Мати базовий перелік ризиків і критерії їх оцінки до впровадження AI.
2. Чітко фіксувати, яку частину процесу віддаєте машині (пошук патернів, пріоритезація сигналів, скринінг великих масивів даних).
3. Визначити, у яких точках людина зобов’язана втрутитися — наприклад, під час прийняття остаточного рішення про відмову у співпраці.

Без цієї рамки AI стає ще одним «незрозумілим центром», до якого всі бояться ставити питання. І це той випадок, коли страх перед системою прямо конвертується у ризик для бізнесу.

Про те, що саме варто віддавати машині, а що — залишати людям, є окремий розбір: «Автоматизація фінансового моніторингу: що справді можна віддати машині».

Чому зовнішній тиск посилюється, навіть якщо формально вимоги не змінюються?

Тому що до стандартних регуляторних вимог додаються політичні та репутаційні очікування щодо прозорості. Навіть без нових законів, сама увага до інфраструктурної безпеки та фінансових потоків змінює тон розмови з бізнесом.

Міжнародні розслідування, такі як про роль великих банків у фінансуванні стратегічної інфраструктури ICIJ, 2026, показують, що парламенти й регулятори готові переглядати цілі підходи до ризиків через політичні наслідки. Для українських компаній це означає, що партнери з розвинених юрисдикцій ставитимуть більше запитань не тільки до бенефіціарів, а й до того, як саме у вас організована система контролю. Формальна наявність політик стає лише початком розмови.

Що означають нові індикатори ризику FATF для сектору, який «і так під підозрою»?

Коли глобальний регулятор публікує нові індикатори ризику для конкретної індустрії, це майже завжди призводить до перегляду очікувань банків, інвесторів і національних органів. Гральний сектор — класичний приклад високоризикової сфери, де невміння пояснити систему контролю дорівнює проблемам із доступом до фінансової інфраструктури.

Нові індикатори ризику для грального та геймінг-сектору, опубліковані FATF CDC Gaming, 2026, не просто додають чекбокси до переліку перевірок. Вони змушують операторів чітко відповісти:

• які типи клієнтів і транзакцій ви вважаєте підвищеним ризиком;
• як система їх виявляє — руками, автоматично чи комбіновано;
• що відбувається після спрацювання: блок, додаткова перевірка чи повідомлення.

Якщо відповіді розмиті, банки та платіжні партнери можуть ставитися до вас гірше, ніж до конкурентів із прозорішими підходами, навіть без формальних санкцій чи приписів.

Як побудувати систему, яка витримує питання, але не паралізує бізнес?

Потрібно від самого початку проектувати комплаєнс як механізм прийняття зважених рішень, а не як «стіну з заборон». Сильна система — це не та, де все зупиняється, а та, де зрозуміло, що саме зупинили й чому.

Орієнтиром може бути тришаровий дизайн:

1. Червона зона — чітко визначені ситуації, де рішення завжди «ні» (санкційні обмеження, відсутність ідентифікації, явне шахрайство).
2. Жовта зона — кейси, де допускається прийняття ризику за додаткових умов (додаткові гарантії, посилений моніторинг, погодження на вищому рівні).
3. Зелена зона — стандартні ситуації, де рішення делеговано ближче до бізнесу за умови виконання базових вимог.

Якщо ці зони не описані й не підкріплені даними, кожне нове обмеження сприймається як «чергова заборона», а не як інструмент керування ризиком. І комплаєнс автоматично стає «гальмом», а не співрозмовником у прийнятті рішень.

Про те, чому інвестор дивиться насамперед на процеси, а не на «красиву прибутковість», я окремо писала в статті «Чому інвестор дивиться на процеси, а не на прибуток».

Практичний чекліст: як за тиждень оцінити пояснюваність вашої системи

Нижче — мінімальний чекліст, який можна пройти внутрішніми силами. Він не замінює аудит, але показує, де система вже перетворюється на чорну скриньку.

1. Політики й процедури
2. Чи є в актуальних документах чіткий опис ролей і відповідальності у ключових рішеннях (хто має право сказати «так/ні»)?
3. Чи відображають документи фактичну практику, а не «ідеальну картинку»?

1. Дані й джерела
2. Чи є перелік обов’язкових, підсилюючих і контекстних даних для основних рішень (контрагент, транзакція, новий продукт)?
3. Чи зафіксовано, які зовнішні джерела інформації ви використовуєте й для чого саме?

1. Автоматизація та AI
2. Чи маєте опис логіки системи зрозумілою мовою: які правила, пороги, сценарії в ній налаштовано?
3. Чи задокументовано порядок зміни цих налаштувань і хто може це робити?

1. Документування рішень
2. Чи є стандартизований спосіб фіксації складних рішень (шаблони висновків, короткі обґрунтування, чеклісти)?
3. Чи можна за одним кейсом відтворити, хто, коли й чому прийняв рішення?

1. Зворотний зв’язок і навчання
2. Чи аналізуються випадки, коли система «перегнула палицю» або, навпаки, пропустила ризик?
3. Чи оновлюються правила й навчання команди після таких випадків?

Якщо хоча б на половину пунктів відповідь «ні» або «частково», це привід не будувати новий модуль чи «купувати ще один інструмент», а спочатку зробити систему зрозумілою.

Як новини про криптобанки, політичний вплив і корупційні ризики змінюють очікування до прозорості?

Резонансні розслідування навколо криптобанків та політичних зв’язків бізнесу нагадують: регулятори й правоохоронні органи дедалі частіше дивляться не лише на формальну сторону, а й на те, як компанія управляє ризиками на практиці.

Приклад, коли засновники криптобанку опиняються в центрі кримінального розслідування через рух коштів інвесторів OCCRP, 2026, створює контекст для всього сектору: будь-який бізнес із високоризиковою моделлю повинен бути готовим показати, як саме він контролює рух коштів та конфлікти інтересів. Додайте до цього дослідження про корупційні прогалини, які залишають демократії вразливими Transparency International, 2026, і стає зрозуміло, чому запит на прозорість систем ухвалення рішень зростає незалежно від формальних норм. Це фон, у якому працює кожен український бізнес.

FAQ

Чому недостатньо просто купити «хорошу систему» для моніторингу, щоб усе працювало?

Будь-яка система — це лише інструмент, який відображає вашу логіку ризиків, або їх відсутність. Якщо немає чіткого розуміння, що саме ви хочете контролювати і як реагувати на сигнали, навіть найдорожча система перетворюється на чорну скриньку з великою кількістю сповіщень.

Чи обов’язково документувати кожне комплаєнс-рішення, чи достатньо тільки «важливих»?

Докладне обґрунтування потрібне не для кожного дрібного кроку, а для рішень, які виходять за стандартні сценарії або стосуються підвищених ризиків. Важливо мати чіткі критерії того, що вважається «значущим рішенням», і єдиний підхід до його фіксації.

Чи не зробить підвищена прозорість систему повільною та неповороткою?

Система стає повільною не від прозорості, а від надлишкових ручних узгоджень і відсутності чітких порогів ризику. Добре спроєктована пояснюваність, навпаки, дозволяє делегувати типові рішення вниз, зберігаючи контроль над дійсно ризиковими ситуаціями.

Як переконати керівництво інвестувати час у пояснюваність, якщо вже є працюючі процедури?

Аргумент простий: у момент реального зовнішнього тиску (перевірка, питання банку, інвесторська перевірка) ви будете оцінені не за кількістю документів, а за здатністю швидко й переконливо пояснити свою логіку. Інвестиція в пояснюваність — це спосіб зменшити вартість помилки, коли система дає збій.

Чим відрізняється «комплаєнс для галочки» від робочої системи з точки зору даних і AI?

«Для галочки» — це коли збираються дані, які ніхто не аналізує, а AI впроваджується заради самого факту впровадження. Робоча система чітко відповідає на три питання: які рішення ми приймаємо, на підставі яких даних і як саме технології допомагають нам робити це послідовно й відтворювано.

---

Якщо підсумувати, компанії сьогодні програють не тому, що у них немає політик або сучасних ІТ-рішень, а тому, що вони не можуть показати логіку своїх рішень у зрозумілій формі тим, хто ставить незручні запитання. Перший практичний крок — подивитися на свої процеси очима зовнішнього критичного читача й чесно відповісти: чи зможете ви за один день відтворити, як саме працює ваша система ризиків. Від цієї чесної діагностики починається перехід від «чорної скриньки» до керованої, пояснюваної системи, яка справді підтримує бізнес-рішення, а не ламається при першому тиску.