OSINT для перевірки контрагента: з чого почати, коли довіряти вже пізно

Я бачила службу безпеки, яка місяцями збирала довідки й офіційні запити, поки конкурент за годину знайшов у відкритому реєстрі те, що директор компанії приховував роками — і саме цю годину роботи потім довелося відтворювати в суді.

Що таке OSINT для перевірки контрагента і чому це не "погуглити компанію"

OSINT для перевірки контрагента — це структурований процес, який відрізняється від випадкового пошуку тим, що має послідовність кроків, перелік джерел і фіксацію результату. Різниця не в інструментах, а в підході: одна людина відкриє п'ять сайтів навмання, інша пройде реєстр за реєстром і залишить слід, який можна показати банку чи регулятору.

Саме тому OSINT цінний не лише для служби безпеки, а й для комплаєнс-функції, юридичного відділу і фінансового директора. Коли банк зупиняє платіж і питає про природу відносин з партнером, відповіддю має бути не "ми йому довіряємо", а конкретний перелік перевірених джерел і дата перевірки.

З яких джерел почати перевірку контрагента

Починати варто з офіційних реєстрів країни реєстрації контрагента, а не з пошукової видачі. Логіка проста: реєстри дають структуровані факти, тоді як публікації в медіа — це вже чужа інтерпретація цих фактів.

Послідовність, яка працює для більшості випадків:

1. Реєстр юридичних осіб і кінцевих бенефіціарних власників країни реєстрації.
2. Реєстр судових рішень (цивільні, господарські, кримінальні провадження, де контрагент є стороною).
3. Санкційні списки — національні та ті, що застосовуються до контрагентів із міжнародними операціями.
4. Реєстр виконавчих провадженьта банкрутств.
5. Корпоративні реєстри інших юрисдикцій, якщо в ланцюгу власності є іноземні структури.
6. Медіа-архіви та галузеві бази даних — на цьому етапі, а не на першому.

Про типові помилки саме на етапі розкриття бенефіціарної власності можна почитати в матеріалі про кінцевого бенефіціарного власника — там розібрано, чому формально коректна структура власності часто прикриває реального контролера.

Як перевірити, чи контрагент пов'язаний із публічним діячем або санкційною особою

Перевірка на PEP-статус і санкційні зв'язки має відбуватися не лише щодо самого контрагента, а й щодо всіх осіб у ланцюгу власності до кінцевого бенефіціара. Пряма перевірка назви компанії за санкційним списком — недостатня, бо схеми обходу будуються саме на розриві прямого зв'язку.

Практично це означає: перевіряється не тільки директор і засновник, а й особи, які мають номінальний контроль, довірених представників чи родинні зв'язки з підсанкційними особами. Хто саме підпадає під визначення публічного діяча і чому це розширює периметр перевірки — детальніше в статті про PEP-ризик.

Якщо в ланцюгу власності зустрічається юрисдикція з низькою прозорістю реєстрів, це саме по собі не доказ порушення, але це сигнал, що перевірку варто продовжити глибше, ніж стандартний перелік кроків.

Які red flags варто шукати в OSINT-перевірці

Red flag — це ознака, яка сама не доводить нічого, але змінює обсяг подальшої перевірки. Кілька типових прикладів, на які варто звертати увагу під час аналізу відкритих джерел:

Жоден з цих сигналів не є самостійною підставою для відмови від співпраці. Але накладення кількох red flags одночасно — це вже підстава для глибшої перевірки перед підписанням угоди, а не після.

Як задокументувати результати OSINT-перевірки, щоб вони мали вагу

Результат OSINT-перевірки має цінність лише тоді, коли зафіксовано джерело, дату перевірки і точний скрін чи копію даних на момент перегляду. Публічні реєстри й медіа змінюються — сторінка, яку ви бачили сьогодні, може виглядати інакше через тиждень або зникнути зовсім.

Мінімальний набір для фіксації:

1. Скріншот або збережена копія сторінки з видимою датою й URL.
2. Опис того, яке саме твердження ця сторінка підтверджує.
3. Позначка, хто проводив перевірку і коли.
4. Висновок — чи знахідка є підставою для подальших дій, чи закривається як неістотна.

Це саме той момент, де OSINT перетинається з побудовою доказової бази: знахідка без методики фіксації — це просто інформація, а не аргумент. Про те, як зібрати доказову базу, яку не розвалить перевірка чи суд, є окремий матеріал: як зібрати доказову базу, яку не розвалить суд.

Коли OSINT-перевірки контрагента вже недостатньо

Самостійного OSINT недостатньо тоді, коли перевірка потрібна не для внутрішнього рішення, а для банку, регулятора чи інвестора, який вимагає формалізованого процесу due diligence. У такому випадку одноразова перевірка перед підписанням угоди — це лише перший крок, а не завершений процес.

Окрема складність виникає, коли контрагент проходить через кілька юрисдикцій одночасно: національний OSINT дає фрагменти картини, а повний ланцюг власності відновлюється лише за рахунок зіставлення реєстрів різних країн. Саме тут нові вимоги ЄС до належної перевірки клієнта змінюють обсяг того, що вважається достатньою перевіркою — детальніше про це в матеріалі про належну перевірку клієнта.

Чекліст: базовий OSINT-процес перед підписанням угоди

• [ ] Перевірено реєстр юридичних осіб і актуальний статус контрагента.
• [ ] Розкрито ланцюг бенефіціарної власності до фізичних осіб.
• [ ] Перевірено всіх осіб у ланцюгу за санкційними списками.
• [ ] Перевірено PEP-статус ключових осіб і їхніх близьких родичів.
• [ ] Перевірено реєстр судових рішень і виконавчих провадженнь.
• [ ] Зафіксовано дату, джерело і копію кожної суттєвої знахідки.
• [ ] Прийнято й задокументовано рішення: продовжувати співпрацю, вимагати додаткових пояснень чи відмовитися.

FAQ

Чи достатньо перевірити контрагента лише за назвою компанії?

Ні, перевірка лише за назвою пропускає ключовий ризик — приховане управління через номінальних директорів чи власників. Потрібно розкривати ланцюг бенефіціарної власності й перевіряти фізичних осіб окремо від юридичної особи.

Як часто варто повторювати OSINT-перевірку контрагента?

Частота залежить від рівня ризику співпраці: для разових угод достатньо перевірки перед підписанням, для довгострокових партнерств варто повторювати перевірку періодично, особливо після зміни власників чи керівництва контрагента. Санкційний статус і судові провадження можуть змінюватися швидше, ніж триває сама угода.

Що робити, якщо OSINT виявив red flag, але прямого порушення немає?

Red flag сам по собі не є підставою для відмови від угоди, але вимагає додаткового запиту до контрагента або глибшої перевірки. Рішення варто фіксувати письмово незалежно від того, продовжується співпраця чи ні — це та сама доказова механіка, яка знадобиться пізніше.

Чи можна повністю замінити юридичну перевірку контрагента на OSINT?

Ні, OSINT — це інструмент збору фактів, а не юридичний висновок про правомірність структури чи угоди. Оцінка правових ризиків і структурування угоди на основі знайдених фактів потребує окремого юридичного розгляду відповідно до конкретної ситуації.

Чому банк чи регулятор не приймає результати OSINT-перевірки як доказ?

Частіше це трапляється тоді, коли перевірка не була зафіксована з датою, джерелом і методикою — тобто виглядає як твердження без підтвердження. Формалізований звіт з переліком перевірених джерел і датою має набагато більшу вагу, ніж усний опис "ми перевіряли і все було чисто".

OSINT для перевірки контрагента дає результат лише тоді, коли перетворюється з разової дії на повторюваний процес із чіткою послідовністю джерел і фіксацією кожного кроку. Почати варто не з пошуку компромату, а з базового переліку реєстрів і санкційних списків — решта глибини перевірки залежить від того, скільки red flags виявиться на цьому першому проході.