Возмещение через государственную систему. Анализируем грядущие мартовские изменения в законодательстве
С 1 марта 2027 года у банка появляется процесс, в котором он не платит и не получает денег, но от его действий зависит, получит ли их клиент. Речь о возмещении суммы перевода, сделанного под влиянием мошеннического звонка. Возмещает оператор связи клиента, и возмещает напрямую клиенту, по банковским реквизитам из обращения. Банк проверяет условия, собирает и направляет обращение, а потом доводит решение до человека.
Порядок такого взаимодействия описан в проекте постановления правительства с регистрационным номером 02/07/07-26/00169315.
Существует также второй проект, 02/07/07-26/00169312: он задает критерии, по которым абонентский номер попадает в государственную систему и по которым оператор связи обязан приостановить пропуск трафика.
Оба проекта Минцифры вынесло на общественное обсуждение 15 июля 2026 года, обсуждение шло до 29 июля, вступают в силу оба акта 1 марта 2027 года.
Я направлял замечания к обоим, и часть предложений разработчик отметил учтенными. Ниже разбор по текстам проектов: что в них написано, что меняется по итогам обсуждения и что из этого стоит проверить у себя.
Система, вокруг которой все построено
В обоих проектах речь идет о государственной информационной системе противодействия правонарушениям, совершаемым с использованием информационных и коммуникационных технологий.
Через государственную систему проходит вся информация. Доставляется обращение, электронные документы подписываются усиленной квалифицированной электронной подписью, а датой получения документа считается та, когда система сформировала уведомление о доставке. Отдельным пунктом постановления Минцифры поручено создать в системе средства для ведения неизменяемых журналов, определения оператора связи клиента и формирования выписок по состоянию на заданный момент времени. Эти журналы и выписки станут доказательствами в споре.
К проектам может быть ряд замечаний, рассмотрим их по порядку.
Основные условия
Пункт 6 «Правил» перечисляет условия, при одновременном соблюдении которых банк направляет обращение оператору связи. Их четыре.
Первое. Банк надлежаще исполнил требования частей 3.1-3.5 и 3.8-3.11 статьи 8 закона «О национальной платежной системе» по этому переводу. Если антифрод-процедуры банка по конкретной операции отработали не так, как требует закон, дальше обращение не идет.
Второе. На момент перевода в базе данных о случаях и попытках переводов без добровольного согласия, которую ведет Банк России, не было сведений о получателе. Подтверждается выпиской из базы, она прикладывается к обращению.
Третье. Клиент обратился в банк не позднее 10 рабочих дней со дня перевода либо со дня, когда получил уведомление о совершённой операции.
Четвертое. В государственной системе нет сведений в отношении номера самого клиента.
Отдельно стоит пункт 5: обращение не направляется, если банк уже полностью возместил клиенту сумму сам или если перевод был приостановлен и деньги не ушли.
Для банка это значит, что возмещение от оператора связи получит не всякий пострадавший клиент, а тот, чей случай прошел фильтр из четырех условий, и одно из них про качество работы самого банка. Доказательства надлежащего исполнения придется собирать по каждому случаю: пункт 15 «Правил» и форма обращения требуют указать дату и время проверки признаков перевода без добровольного согласия и принятые меры противодействия. К обращению прикладываются также согласие клиента на передачу персональных данных оператору связи и скан-копия талона-уведомления о регистрации сообщения о преступлении.
Окно в шесть часов, а не режим дежурства
Ключевое понятие «Правил» называется интервалом сверки, и читать его нужно внимательно. Это не периодичность проверок и не режим работы дежурной смены. Это окно, предшествующее моменту перевода: в июльской редакции четыре часа, по итогам обсуждения шесть. Оператор связи клиента берет полный перечень вызовов и сообщений, поступивших на номер клиента в этом окне, сопоставляет их с номерами из обращения и смотрит по выписке системы, соответствовали ли те номера критериям на момент вызова.
Исходов три:
· Вызовов и сообщений с указанных номеров в окне не было: условие не соблюдено, возмещения не будет.
· Вызов был, номер на тот момент подпадал под критерии, а оператор связи свои обязанности не исполнил: принимается решение о возмещении.
· Вызов был, но номер критериям не соответствовал: оператору возмещать нечего.
Из этого следует вывод, который стоит проверить в банке заранее. Момент перевода в «Правилах» определен как списание денежных средств либо прием распоряжения к исполнению, и в обращение банк вносит дату и время с точностью до секунды по московскому времени. При расхождении между сведениями клиента и сведениями банка окно считается по данным банка. То есть одна отметка времени в вашей системе решает, попадёт мошеннический вызов в окно или нет. Сценарии обработки жертвы обычно длиннее шести часов, так что цена ошибки в этой отметке выше, чем кажется.
Например, я предлагал здесь сутки вместо четырех часов – как раз из-за растянутых сценариев: глубина хранения данных у операторов связи такое окно выдерживает. Разработчик увеличил окно до шести часов и объяснил величину синхронизацией с признаками осуществления перевода денежных средств без добровольного согласия клиента, которые устанавливает Банк России.
Карта сроков
Сроки в «Правилах» расставлены плотно, и почти все лежат на стороне банка и оператора связи.
Оператор государственной системы определяет оператора связи клиента за срок не более 3 рабочих дней. Банк направляет обращение не позднее 5 рабочих дней со дня, когда установил соблюдение всех условий. Некомплектное обращение оператор связи возвращает без рассмотрения за 3 рабочих дня с указанием, чего не хватает, и повторно подать его можно, только уложившись в общий срок обращения клиента.
Принадлежность номера оператор связи подтверждает за 3 рабочих дня, сверку проводит и заключение формирует за 10 рабочих дней. Решение банк доводит до клиента за 3 рабочих дня. Возмещение оператор связи производит в течение 30 дней со дня положительного решения, при трансграничном переводе в течение 60 дней.
Отдельно идет постановление о возбуждении уголовного дела: пока клиент не представит копию, возмещение не производится, срок приостанавливается, а если копии нет 30 дней, принимается решение об отказе.
Еще один срок работает на банк. Если банк или клиент не согласны с заключением оператора связи, у банка есть 10 рабочих дней на мотивированное возражение. Тогда оператор государственной системы проводит контрольную сверку: сопоставляет заключение с неизменяемыми журналами системы и с перечнем вызовов, и за 15 рабочих дней направляет сторонам результат.
Вот здесь видно, зачем нужна была правка о недоступности системы. Спор разбирается по журналам и выпискам, и, если система в какой-то момент не работала, это должно быть зафиксировано и учтено. В июльской редакции последствия недоступности не описаны вообще: сроки формально шли, а добросовестная сторона рисковала пропустить их не по своей вине. Я предложил останавливать сроки на время недоступности, а сами перерывы отмечать в журналах системы. Разработчик отметил это предложение учтенным.
Учтенным отмечено и второе предложение, о сроке на перенаправление обращения надлежащему оператору связи: в июльской редакции оператор государственной системы перенаправляет обращение без всякого срока, и это время уходит из времени банка.
Что банк не увидит
Есть деталь, которая в разборах обычно теряется. Правила прямо запрещают передавать банку сведения, составляющие тайну связи. Банковская тайна оператору связи тоже не передается, кроме перечня сведений, необходимых для проверки условий возмещения, и только при согласии клиента.
Значит, оспаривая заключение, банк не видит детализацию вызовов, на которой оно построено. Его инструменты — это выписки государственной системы, форма обращения и собственные записи. Планировать доказательную работу нужно исходя из этого, а не из привычки запросить у контрагента первичные данные. Отсюда же практический смысл собственного лога обращений к системе: он показывает, когда вы к ней обращались и что она отвечала.
Номера банка и перечень, который утверждает Банк России
Второй проект в банках читают реже, а он про повседневную работу с клиентом.
В критериях четыре раздела. Первый описывает, откуда система берет сведения о номерах. Второй и третий перечисляют основания, по которым оператор связи обязан приостановить пропуск трафика: второй для вызовов, приходящих в его сеть, третий для вызовов внутри сети.
Четвертый описывает признаки номеров, на которые звонят и пишут мошенники, то есть номеров тех, кого атакуют. Блокировки этот раздел не влечет, и путать его с предыдущими не стоит.
Для банка главное лежит во втором и третьем разделах, и там оно сформулировано почти дословно одинаково. Оператор связи обязан пресечь вызов с номера, который выделен кредитной организации и который согласно перечню, утверждаемому Банком России, не используется для исходящих вызовов. То есть перечень номеров банка сам становится основанием для блокировки звонков, идущих от его имени. Тот же перечень работает в четвёртом разделе: входящий вызов клиенту с такого номера это признак атаки на клиента.
Отсюда вытекают две задачи, причем обе организационные. Первая: перечень должен быть точным и поддерживаться в актуальном состоянии. Номер, ошибочно помеченный как не используемый для исходящих, перестанет дозваниваться до клиентов, а номер, выпавший из перечня, останется удобным для подмены.
Вторая задача: у перечня нужен владелец внутри банка, который знает всех, кто звонит клиентам от имени банка, включая подрядчиков и партнерские сервисы. Практика показывает, что полный список исходящих номеров редко лежит в одном месте.
Есть и обратный риск. Первый раздел критериев вносит в систему номер, с которого пришло сообщение с недостоверной информацией о номерах портала госуслуг, и, отдельным пунктом, номер, указанный в тексте такого сообщения. В мошеннических рассылках обычно указывают номер, который выдают за телефон службы безопасности банка. Дальше работают пункты второго и третьего разделов: оператор связи обязан приостановить трафик по номеру, сведения о котором получены из системы как о номере, используемом в противоправных целях.
Я предлагал не вносить номер в систему, когда единственный источник сведений — это текст сообщения, а также ввести заявительный порядок для номеров, оформленных на человека без его ведома. По существу, эти предложения в текст не вошли. Из четырех технико-юридических правок разработчик отметил учтенными две, ещё в одной убрал избыточную отсылку.
Что осталось за кадром?
Порядка исключения номера из системы в проекте нет. Разработчик ответил, что возможность исключения будет технически реализована на портале госуслуг в рамках плановой работы и сопровождена разъяснительной кампанией. В самом постановлении такого порядка не появилось, а портал госуслуг это инструмент для гражданина. Как исключается номер, выделенный юридическому лицу, из текста не следует никак. Для банка это открытый вопрос, и задавать его лучше сейчас, а не в марте 2027 года, когда перестанет дозваниваться колл-центр.
Номер клиента тоже может оказаться в контуре: и как номер, включенный в базу данных Банка России о переводах без добровольного согласия, и как номер, сведения о котором поступили в систему. В обоих случаях трафик по нему приостанавливается, а вместе с ним и ваш способ подтвердить операцию голосом или сообщением. Запасной канал подтверждения нужен не из-за вины клиента, а потому что канал внешний и управляется не вами.
И, наконец, общее примечание. Приостановление сроков при недоступности системы урегулировано теперь в одном акте. Пласт регулирования, где сроки и юридически значимые действия привязаны к государственным системам, растет, а такой нормы в нем по большей части не существует. Читая следующий проект, стоит сразу искать ответ на вопрос, что произойдет с вашими сроками, если система не работала двое суток.
Еще одно окно для отрасли
Оба проекта перешли на стадию оценки регулирующего воздействия, а значит, у отрасли еще будет один раунд обсуждения.
Скажу то, ради чего писал этот текст. На странице обсуждения правил возмещения было три замечания: два от крупных банков и одно мое. У проекта о критериях, который затрагивает миллионы абонентов и прямо задевает голосовой канал банка с клиентом, за две недели высказался один участник (тоже ваш покорный слуга). При этом портал отзывчив к предметности. Замечание, оформленное готовым текстом пункта с коротким обоснованием, читают и отвечают на него по существу, а статус подающего роли почти не играет. Это видно по опубликованным сводкам, где ответ независимому эксперту стоит рядом с ответом крупному банку.
До 1 марта 2027 года времени на перестройку процессов хватает. Времени на то, чтобы поправить сам текст акта, остается заметно меньше.
