115-ФЗ в 2026: проверка паспортов и идентификация клиентов

1. Что изменилось по существу: от номера паспорта к сверке личности

Десять лет базовой практикой рынка была проверка паспорта по открытому списку недействительных российских паспортов МВД России: сотрудник вводил серию и номер, получал ответ «не найден» и считал документ пригодным. Этот подход имел два фундаментальных изъяна, о которых теперь прямо говорят и надзорные органы, и антифрод-подразделения банков.

Первый изъян: список недействительных паспортов содержит только серию и номер, без ФИО и без причины недействительности. Он отвечает на вопрос «есть ли этот бланк в перечне», но не на вопрос «принадлежит ли этот бланк человеку, который стоит перед вами».

Второй изъян: отсутствие в списке не равно действительности. Между фактическим событием (утрата, замена, смерть, признание недействительным) и появлением записи в открытом файле проходит время. Именно этот люфт годами использовали для оформления кредитов, регистрации подставных юрлиц, вывода средств через «дропов» и фиктивных сделок.

Современная схема проверки строится иначе. Через СМЭВ и сервисы Единого портала госуслуг доступна проверка действительности паспорта, где запрос формируется по совокупности данных: фамилия, имя, отчество, дата рождения, серия и номер, дата выдачи. Ответ приходит не в логике «есть/нет в списке», а в логике «данные соответствуют действительному документу / документ недействителен / сведения не найдены». Третий вариант — самый ценный: он ловит именно те случаи, когда бланк реален, а вписанные в него ФИО — нет.

2. Правовая база: 10 документов, которые нужно держать под рукой

3. Кто обязан идентифицировать клиента

Круг субъектов 115-ФЗ существенно шире, чем «банки». Ниже — те, у кого требования к идентификации проверяются наиболее регулярно.

4. Состав сведений при идентификации: минимальный обязательный набор

Для физического лица — гражданина РФ базовый состав сведений фиксируется в анкете клиента и включает:

• фамилию, имя, отчество (полностью, без сокращений, как в документе);
• дату и место рождения;
• гражданство;
• реквизиты документа, удостоверяющего личность: вид, серия, номер, дата выдачи, наименование органа и код подразделения;
• адрес места жительства (регистрации) и места пребывания;
• ИНН (при наличии), СНИЛС (при наличии);
• сведения о статусе публичного должностного лица (ПДЛ/ИПДЛ) и о родственных связях с такими лицами;
• контактные данные, цель установления отношений и характер планируемых операций;
• сведения о представителе и о выгодоприобретателе, если они есть;
• результаты проверки по перечням и результат проверки действительности документа с датой проверки.

Последний пункт — то, что чаще всего отсутствует. Анкета есть, паспортные данные переписаны, а доказательства того, что документ проверялся, в деле нет. Формально это означает, что проверка не проводилась.

5. Почему проверка «только по номеру» больше не защищает

Разберём типовые схемы, каждая из которых спокойно проходит проверку по серии и номеру.

Вывод простой: проверка по номеру закрывает один сценарий из шести. В 2026 году это уже не «минимально достаточная» мера, а формальность, которую надзор трактует как ненадлежащую идентификацию.

6. Три уровня проверки документа: подлинность, действительность, принадлежность

Профессиональная идентификация всегда разделяет три независимых вопроса. Смешивание их — источник большинства ошибок.

7. Алгоритм корректной идентификации: 9 шагов

Ниже — рабочая последовательность, которую имеет смысл закрепить в ПВК как обязательную для всех точек приёма клиентов.

1. Приём оригинала. Идентификация проводится по оригиналу документа либо через легитимный дистанционный канал (ЕСИА/ЕБС). Фото документа в мессенджере — не основание для идентификации.
2. Визуально-приборный контроль бланка. Проверка защитных элементов и логической согласованности записей (см. раздел 8).
3. Сверка личности. Сопоставление фотографии, возраста, антропометрических признаков; при сомнениях — уточняющие вопросы по данным документа (код подразделения, дата выдачи, адрес регистрации).
4. Проверка действительности по совокупности данных. Запрос в государственный сервис с передачей ФИО, даты рождения, серии, номера и даты выдачи. Результат «сведения не найдены» трактуется как красный флаг, а не как «всё чисто».
5. Кросс-проверка идентификаторов. Сопоставление ИНН и СНИЛС с ФИО и датой рождения; для ИП и юрлиц — сверка с ЕГРИП/ЕГРЮЛ, проверка полномочий представителя, реестра дисквалифицированных лиц, сведений о банкротстве и исполнительных производствах.
6. Проверка по перечням. Перечень организаций и физических лиц, причастных к терроризму и экстремизму; перечень ФРОМУ; решения межведомственной комиссии о приостановлении операций; санкционные и внутренние «чёрные» списки. Проверка выполняется при приёме на обслуживание и далее при каждой операции.
7. Оценка риска и статуса ПДЛ. Присвоение уровня риска, фиксация цели отношений, для повышенного риска — усиленные меры и решение уполномоченного сотрудника.
8. Документирование. Заполнение анкеты, сохранение машинно-читаемого ответа сервиса или выписки/скриншота с датой, временем и идентификатором запроса, подпись ответственного сотрудника.
9. Решение. Приём на обслуживание, запрос дополнительных документов либо отказ с фиксацией основания и, при наличии признаков, направление сообщения в уполномоченный орган в установленный срок.

8. Как выявлять поддельный паспорт: признаки и арифметика

8.1. Логические проверки, которые можно сделать без приборов

Это самый недооценённый инструмент: значительная часть подделок «рассыпается» на арифметике, а не под УФ-лампой.

• Серия против даты выдачи. Первые две цифры серии соответствуют региону изготовления бланка, третья и четвёртая — году выпуска серии бланков. Паспорт не может быть выдан раньше года выпуска бланка. Дата выдачи 2018 года при серии, указывающей на 2020-й, — грубая подделка.
• Код подразделения против региона. Первые цифры кода подразделения должны соответствовать субъекту РФ, указанному в наименовании выдавшего органа.
• Возрастные рубежи. Дата выдачи должна логически объясняться: первичная выдача, замена по возрасту, смена ФИО, утрата, порча. Если объяснения нет — уточняйте.
• Возраст на фото. Фотография должна соответствовать возрасту на дату выдачи, а не текущему.
• Согласованность страниц. Регистрация не может быть проставлена раньше даты выдачи паспорта; отметки о детях, воинской обязанности и ранее выданных паспортах должны быть непротиворечивы.
• Орфография и типографика. Ошибки в названиях органов, разнобой шрифтов, неверные сокращения, «плавающая» базовая линия текста.

8.2. Машиночитаемая зона (МЧЗ)

В нижней части страницы с фотографией размещены две строки по 44 символа. В них закодированы фамилия и имя, серия и номер, дата рождения, пол и реквизиты выдачи, а также контрольные разряды, вычисляемые по стандартному алгоритму ИКАО с весами 7-3-1 по модулю 10. Практический вывод: если данные МЧЗ не совпадают с визуальной зоной или контрольные разряды не сходятся, документ почти всегда подложный либо изготовлен кустарно. Любой промышленный сканер паспортов проверяет это автоматически за секунду — и именно поэтому ручной ввод паспортных данных «с листа» является слабым звеном процесса.

8.3. Приборный и тактильный контроль

• Лазерная перфорация номера: отверстия конусные, сквозные, с гладкой обратной стороной; на подделках номер часто напечатан или пробит механически с заусенцами.
• УФ-контроль: защитные волокна и защитный рисунок должны люминесцировать; равномерное «голубое» свечение всей страницы — признак офисной бумаги.
• Ламинат страницы с фото: отсутствие голограммы, пузыри, расслоение, «ступенька» по краю фотографии, следы термического воздействия.
• Микротекст и водяные знаки: под лупой микротекст должен читаться, а не выглядеть как размытая линия; водяные знаки видны на просвет, а не «напечатаны».
• Оттиски печатей: совпадение по цвету и структуре краски, отсутствие «пиксельной» структуры принтера, корректная геометрия герба.
• Износ бланка: идеально новый паспорт «десятилетней давности» и потёртый паспорт, выданный месяц назад, — оба требуют вопросов.

8.4. Поведенческие признаки

Формально они не относятся к документу, но по статистике антифрод-подразделений именно они дают наибольшую конверсию в подтверждённый фрод: клиент не знает наизусть адрес регистрации, путается в дате выдачи, торопит сотрудника, находится на связи с третьим лицом, отказывается от фотографирования или дополнительного документа, соглашается на любые условия без обсуждения цены и сроков, приходит группой с идентичными сценариями обращения.

9. Как выявлять украденный и «чужой» паспорт

Украденный паспорт — самый опасный случай, потому что бланк подлинный и все приборные проверки он проходит. Работают только три вещи: проверка действительности по совокупности данных, сверка личности и кросс-проверка идентификаторов.

10. Иностранные граждане и лица без гражданства

Здесь состав сведений шире: помимо данных документа, удостоверяющего личность, фиксируются данные миграционной карты и документа, подтверждающего право на пребывание или проживание в РФ (виза, РВП, ВНЖ, патент, разрешение на работу). Практические правила:

• проверяйте не только сам документ, но и срок его действия на дату операции, а не на дату первичного приёма клиента;
• сверяйте написание ФИО латиницей и в переводе — расхождения транслитерации создают «двойников» в вашей базе и ломают проверку по перечням;
• используйте сервисы проверки действительности разрешительных документов иностранных граждан, доступные через профильные государственные ресурсы;
• для документов иностранных государств применяйте усиленные меры: перевод, заверение, при необходимости — второй независимый идентификатор;
• отдельно оценивайте риск, если клиент — иностранный ПДЛ или связан со странами повышенного риска.

11. Дистанционная идентификация: ЕСИА, ЕБС, упрощённая идентификация

Дистанционные каналы — это не «облегчённая» идентификация, а другая по составу процедура с собственными ограничениями.

• ЕСИА. Использование подтверждённой учётной записи позволяет получить достоверные идентификационные данные, но не отменяет проверки действительности документа и проверки по перечням.
• ЕБС (ФЗ № 572-ФЗ). Биометрическая идентификация допустима только через государственную информационную систему в установленном порядке; хранение «своей» биометрии вне разрешённых сценариев — самостоятельное нарушение.
• Liveness-проверка. Селфи с документом без проверки живости и без сопоставления с эталоном не решает задачу: дипфейк и фото на фото — массовая техника 2024–2026 годов.
• Упрощённая идентификация. Возможна только при отсутствии подозрений в ОД/ФТ и при соблюдении условий по видам и суммам операций; сомнение в достоверности сведений автоматически закрывает эту опцию и требует полной идентификации.

12. Фиксация результата: что должно лежать в деле клиента

Проверка, которую нельзя доказать, юридически не существует. Минимальный доказательственный комплект по каждому клиенту:

1. анкета клиента по форме, установленной вашими ПВК, с датой составления и подписью ответственного сотрудника;
2. результат проверки действительности документа: машинно-читаемый ответ сервиса (XML/JSON), выписка или скриншот, содержащий дату, время, состав запроса и идентификатор обращения;
3. результат проверки по перечням с датой и временем сверки и указанием версии перечня;
4. сведения об оценке уровня риска и об основаниях присвоенного уровня;
5. сведения о статусе ПДЛ и решение уполномоченного лица, если требуется;
6. документы по представителю и бенефициарному владельцу (для юрлиц и ИП);
7. журнал (лог) проверок с историей повторных сверок и обновлений сведений.

Сроки хранения: документы и сведения, полученные при идентификации, хранятся не менее пяти лет со дня прекращения отношений с клиентом. Учтите, что «пять лет» относится к сведениям, а не только к сканам, — журнал проверок и логи запросов также должны быть доступны и читаемы весь срок.

13. Персональные данные: не переусердствуйте с копиями

Обратная сторона усиления идентификации — рост объёма чувствительных данных. Здесь важно не создать себе второй риск вместо первого.

• Собирайте только те сведения, которые прямо требуются законом и вашими ПВК; избыточное копирование всех страниц паспорта «на всякий случай» регулярно квалифицируется как обработка, несовместимая с заявленной целью.
• Разграничьте доступ: паспортные данные не должны быть доступны всем сотрудникам подряд, включая внешние подрядные колл-центры.
• Настройте политику удаления по истечении сроков хранения — «вечная» база сканов паспортов при утечке превращается в крупные штрафы и репутационную катастрофу.
• Проверьте договоры с поставщиками сервисов проверки: поручение на обработку персональных данных, локализация, требования к защите, обязательства по уведомлению об инцидентах.
• Оцените возможность хранить не полные копии, а верифицированные атрибуты и хеши плюс доказательство проверки.

14. Обновление сведений и мониторинг «постфактум»

Однократная проверка на входе больше не считается достаточной. Паспорт клиента может стать недействительным на следующий день после приёма на обслуживание.

15. Риски работы по старой схеме

Работа «по номеру паспорта» — это не только вопрос комплаенса. Совокупный риск складывается из четырёх слоёв.

16. Что поменять в ПВК: практический перечень правок

1. Заменить формулировку «проверка по серии и номеру» на «проверка действительности документа по совокупности сведений: ФИО, дата рождения, серия, номер, дата выдачи».
2. Указать конкретные источники проверки, порядок действий при недоступности сервиса и допустимый резервный способ.
3. Ввести обязательное правило трактовки ответа «сведения не найдены» как красного флага с описанием дальнейших действий.
4. Прописать требование фиксации доказательства проверки в деле клиента с перечнем обязательных реквизитов.
5. Добавить матрицу «канал — способ идентификации — лимиты» для дистанционных сценариев.
6. Установить периодичность плановой актуализации и пакетной сверки базы клиентов.
7. Описать процедуру приборного контроля документов, перечень оборудования и точки, где оно обязательно.
8. Обновить критерии и признаки подозрительных операций в части подставных лиц и «дропперства».
9. Актуализировать состав анкеты клиента и формы отказа с указанием оснований.
10. Провести обучение и зафиксировать его: программа, дата, список сотрудников, результаты проверки знаний.

17. Автоматизация: требования к сервису проверки

Если объём клиентов превышает несколько десятков в месяц, ручная схема неизбежно даёт сбои. При выборе решения проверяйте:

• проверку действительности документа по совокупности данных, а не только по номеру;
• чтение и валидацию МЧЗ, контроль контрольных разрядов, автоматическое сопоставление визуальной и машиночитаемой зон;
• проверку по перечням Росфинмониторинга и решениям о приостановлении операций с фиксацией версии перечня;
• кросс-проверку ИНН/СНИЛС, сведений ЕГРЮЛ/ЕГРИП, банкротств, дисквалификации и исполнительных производств;
• нечёткое сопоставление ФИО (транслитерация, «ё/е», двойные фамилии) — иначе проверка по перечням будет пропускать совпадения;
• пакетную (batch) сверку всей клиентской базы по расписанию;
• неизменяемый журнал проверок с идентификатором запроса, датой, временем и составом переданных атрибутов;
• разграничение доступа, шифрование, политику хранения и удаления;
• договорную модель обработки персональных данных и юридически корректный статус источников данных;
• выгрузку доказательств в формате, пригодном для предъявления проверяющим.

18. Топ-15 ошибок, которые находят проверяющие

• Проверка выполняется только по серии и номеру паспорта.
• Результат проверки нигде не фиксируется — доказательств нет.
• Ответ «сведения не найдены» трактуется как положительный.
• Идентификация проводится по фотографии или скану документа.
• ПВК не обновлялись годами и описывают несуществующие процедуры.
• Сведения о клиентах не обновляются ни разу за весь срок обслуживания.
• Проверка по перечням проводится однократно при приёме, а не при операциях.
• Не установлены и не проверены бенефициарные владельцы и выгодоприобретатели.
• Не проверяются полномочия представителя клиента (доверенность, срок, объём).
• Упрощённая идентификация применяется при наличии подозрений или за пределами допустимых операций.
• Не фиксируется статус публичного должностного лица.
• Ответственный сотрудник назначен формально, обучение не подтверждено документально.
• Хранятся избыточные копии документов без правовых оснований и без сроков удаления.
• Данные клиентов дублируются в базе из-за расхождений в написании ФИО — проверки «не находят» связанные записи.
• Отсутствует регламент действий при выявлении поддельного документа: сотрудник не знает, что делать здесь и сейчас.

19. FAQ: короткие ответы на частые вопросы

20. Чек-лист самопроверки

• ПВК актуализированы и содержат проверку по совокупности данных, а не только по номеру документа.
• Назначен ответственный сотрудник, его обучение подтверждено документально.
• Для каждого канала обслуживания определён допустимый способ идентификации и лимиты.
• Идентификация проводится по оригиналу документа либо через легитимный дистанционный канал.
• Сотрудники обучены логическим проверкам: серия/год бланка, код подразделения, возрастные рубежи.
• Есть оборудование и инструкция для приборного контроля документов в точках приёма клиентов.
• МЧЗ считывается и валидируется, а не игнорируется.
• Проверка действительности документа выполняется по ФИО, дате рождения и реквизитам.
• Результат «сведения не найдены» обрабатывается по отдельному сценарию.
• Проверка по перечням выполняется при приёме и при каждой операции, версия перечня фиксируется.
• Проводится кросс-проверка ИНН/СНИЛС и сведений о статусе клиента и представителя.
• Установлены бенефициарные владельцы и выгодоприобретатели, проверены полномочия представителей.
• Фиксируется статус ПДЛ и решения уполномоченного лица по клиентам повышенного риска.
• В деле каждого клиента есть доказательство проверки с датой, временем и идентификатором запроса.
• Сведения обновляются не реже раза в год, при сомнениях — в течение 7 рабочих дней.
• Проводится пакетная сверка клиентской базы по обновляемым перечням и спискам недействительных документов.
• Объём собираемых персональных данных минимизирован, доступ разграничен, сроки удаления настроены.
• Документы и журналы хранятся не менее 5 лет и остаются машинно-читаемыми.
• Есть письменный регламент действий при выявлении поддельного или недействительного документа.
• За последние 12 месяцев проведён внутренний аудит процедур идентификации с оформленными результатами.