 |
Маєте Телеграм? Два кліки - і ви не пропустите жодної важливої юридичної новини. Нічого зайвого, лише #самасуть. З турботою про ваш час! |
Чому ми порівнюємо FinTech та DefTech
На перший погляд фінансові технології та оборонні технології належать до абсолютно різних світів.
FinTech працює з платежами, цифровими активами, відкритим банкінгом, фінансовими сервісами, клієнтськими даними та штучним інтелектом у фінансовому секторі. DefTech створює технології для оборони й безпеки: безпілотні системи, захищений зв’язок, рішення для радіоелектронної боротьби, програмне забезпечення для військових операцій, аналітичні платформи та інші продукти, які можуть мати критичне значення для обороноздатності держави.
Але різниця між цими ринками не скасовує головного: обидва сектори розвиваються швидше, ніж класичне регулювання встигає адаптуватися до нових технологій, бізнес-моделей і ризиків.
І FinTech, і DefTech залежать від інвестицій, міжнародних партнерств, складних ланцюгів постачання, програмного забезпечення, даних і довіри з боку зовнішнього світу. Саме тому обидва ринки поступово приходять до одного висновку: сильна технологія сама по собі вже не є достатньою умовою успіху.
Інвестор, банк, донор, державний замовник або міжнародний партнер дедалі частіше оцінює не лише продукт. Він дивиться на те, чи здатна компанія управляти ризиками, перевіряти контрагентів, контролювати третіх осіб, виконувати санкційні вимоги, пояснювати структуру власності, документувати рішення та демонструвати зріле корпоративне управління.
Саме тому питання комплаєнсу перестає бути допоміжною функцією і стає одним із ключових елементів бізнес-моделі. Для технологічної компанії комплаєнс — це здатність бути зрозумілою, передбачуваною і прийнятною для тих, без кого масштабування неможливе.
Спільна природа ризиків
FinTech і DefTech мають різні продукти, але багато в чому схожу природу ризиків.
Передусім це регуляторний ризик. FinTech перебуває у фокусі фінансового моніторингу, AML, санкцій, цифрових активів та захисту споживачів. DefTech — у фокусі експортного контролю, санкцій, кінцевого використання продукції, державних закупівель, технологій подвійного призначення, захисту чутливої інформації та безпеки ланцюгів постачання.
Друга спільна зона — треті сторони. Жодна сучасна технологічна компанія не працює ізольовано. Постачальники компонентів, розробники програмного забезпечення, хмарні сервіси, консультанти, агенти, дистриб’ютори, інтегратори, субпідрядники та локальні партнери формують цілу мережу залежностей. Саме через третіх сторін часто виникають найболючіші ризики: санкційні, корупційні, кібернетичні, репутаційні або пов’язані з недоброчесним кінцевим використанням продукту.
Третя зона — транскордонність. Інвестор може бути з однієї країни, постачальник — з другої, компонент — з третьої, клієнт — з четвертої, а регуляторні наслідки можуть виникати одразу у кількох юрисдикціях. Для FinTech це означає складність фінансового моніторингу та роботи з клієнтами. Для DefTech — складність експорту, реекспорту, передачі технологій, походження компонентів і перевірки кінцевого користувача.
І нарешті — довіра. FinTech не може розвиватися без довіри клієнтів, банків, платіжних систем, регуляторів та інвесторів. DefTech не може розвиватися без довіри держави, військових замовників, союзників, експортних органів, міжнародних партнерів та оборонно-промислової екосистеми.
Тому комплаєнс у цих секторах дедалі менше схожий на набір окремих правил. Це вже про систему управління довірою.
Де починаються відмінності
Попри спільну логіку, характер ризиків у FinTech і DefTech суттєво відрізняється.
Для FinTech ключовими питаннями залишаються протидія відмиванню коштів, запобігання фінансуванню тероризму, KYC, моніторинг транзакцій, санкційний скринінг, виявлення шахрайства, кібербезпека, захист персональних даних і відповідність фінансовому законодавству.
Для DefTech на перший план виходять інші речі: експортний контроль, санкційні обмеження, технології подвійного призначення, контроль кінцевого користувача, кінцеве використання продукції, державні закупівлі, антикорупційні ризики, захист інтелектуальної власності, походження критичних компонентів, кіберзахист технічної інформації та безпека ланцюгів постачання.
FinTech переважно захищає фінансову систему, клієнтські кошти, дані та довіру до цифрових фінансових сервісів. DefTech працює з технологіями, які можуть впливати на обороноздатність, національну безпеку, міжнародні зобов’язання держави та безпеку союзників.
Саме тому ціна помилки різна.
У FinTech наслідком може бути штраф, регуляторне обмеження, втрата ліцензії, репутаційна криза або блокування доступу до фінансової інфраструктури.
У DefTech наслідки можуть бути ширшими: зупинка експорту, зрив поставок, втрата державного або міжнародного замовника, потрапляння технології не до того кінцевого користувача, санкційний ризик, загроза партнерству або шкода оборонній спроможності.
ISO 37301 як універсальна архітектура довіри
Незалежно від галузі, одним із найбільш ефективних інструментів побудови системи комплаєнсу сьогодні залишається стандарт ISO 37301 «Compliance Management Systems».
На відміну від багатьох галузевих рекомендацій, він не встановлює конкретних процедур для окремих сфер діяльності.
Його головна цінність полягає у формуванні універсальної моделі управління комплаєнсом.
Стандарт передбачає побудову системи через:
-
визначення контексту організації;
-
оцінку комплаєнс-ризиків;
-
залучення керівництва;
-
встановлення політик і процедур;
-
контроль ефективності;
-
безперервне вдосконалення.
Для FinTech це означає можливість інтегрувати AML, санкційний контроль, кібербезпеку та захист даних у єдину систему.
Для DefTech — поєднати експортний контроль, антикорупційні механізми, перевірку контрагентів та безпеку ланцюгів постачання.
Фактично ISO 37301 створює єдину логіку управління ризиками незалежно від специфіки бізнесу.
Роль ISO 37302 та ISO 37303
Не менш важливими є стандарти ISO 37302 та ISO 37303.
ISO 37302 концентрується на практичній реалізації системи комплаєнс-менеджменту та допомагає організаціям перейти від декларативних політик до реального управління ризиками.
Саме цей стандарт надає практичні рекомендації щодо інтеграції комплаєнсу в операційні процеси компанії.
Для швидкозростаючих FinTech- та DefTech-компаній це особливо актуально, оскільки масштабування бізнесу часто відбувається швидше, ніж розвиток контрольних функцій.
ISO 37303, своєю чергою, допомагає оцінювати ефективність системи комплаєнсу.
Адже наявність політик ще не означає їх дієвість.
Сучасна практика дедалі більше переходить від перевірки наявності документів до оцінки результативності контрольного середовища.
Саме тому питання метрик комплаєнсу, ключових індикаторів ризику (KRI), показників ефективності контролів та культури доброчесності стають центральними для обох секторів.
DefTech входить у нову регуляторну реальність
DefTech-компанії сьогодні працюють у середовищі, де простого твердження «ми діємо в межах закону» вже недостатньо.
Компанія має розуміти не лише локальні вимоги. Вона повинна орієнтуватися в експортному контролі, санкційних режимах, правилах фінансування оборонних програм, вимогах до структури власності, походження компонентів, кінцевого використання продукції, захисту чутливої інформації, кібербезпеки та взаємодії з державними замовниками.
Особливо це помітно у Європейському Союзі, де після 2022 року формується нова оборонно-промислова архітектура. Її логіка поступово зміщується від окремих дозволів і заборон до системного управління ризиками: стійкістю виробництва, безпекою поставок, прозорістю учасників ланцюга, контрольованістю технологій та передбачуваністю партнерів.
Для українського DefTech це має практичне значення. Навіть якщо певні європейські або американські регуляторні акти не застосовуються до української компанії прямо, вони можуть ставати фактично важливими через інвесторів, європейських партнерів, банки, державних замовників, спільні виробничі проєкти, експорт, грантове фінансування або використання компонентів іноземного походження. Інакше кажучи, регуляторка ЄС і США для українського DefTech — це не абстрактна зовнішня рамка. Це частина практичної реальності для компаній, які хочуть масштабуватися, залучати фінансування, працювати з союзниками, виходити на міжнародні ринки та бути прийнятними для оборонно-промислових ланцюгів ЄС і НАТО.
EDIP: комплаєнс як умова входу до оборонної екосистеми
Одним із важливих елементів нової європейської оборонної політики є European Defence Industry Programme — EDIP. Його мета — посилити європейську оборонну промисловість, збільшити виробничі спроможності, підтримати спільні закупівлі, підвищити стійкість ланцюгів постачання та сприяти інтеграції України в європейську оборонно-промислову базу.
Для комплаєнсу EDIP важливий не лише як інструмент фінансування. Він показує загальну логіку, в якій рухається європейський оборонний ринок: доступ до програм, партнерств і фінансування дедалі більше залежить від прозорості структури власності, відсутності неприйнятного контролю з боку третіх країн, походження компонентів, безпеки постачання та здатності компанії підтвердити свою відповідність критеріям прийнятності.
DefTech-компанії мають бути готовими пояснити, хто є їхніми бенефіціарами, чи існує вплив з боку третіх країн, звідки походять ключові компоненти, хто є критичними постачальниками, як перевіряються контрагенти, як контролюється кінцеве використання продукції, чи є санкційні ризики та як захищаються технології.
Dual-use: продукт треба вміти правильно класифікувати
Для DefTech-компанії класифікація продукції — одне з базових питань комплаєнсу.
Багато оборонних технологій мають змішану природу. Системи зв’язку, шифрування, сенсори, навігаційні модулі, програмне забезпечення для аналізу даних, компоненти безпілотних систем або технології радіозв’язку можуть мати як цивільне, так і військове застосування. Тому компанія повинна розуміти, чи підпадає продукт під контроль товарів подвійного призначення, чи потребує експортного дозволу, чи виникають додаткові вимоги у конкретній юрисдикції, чи є ризики реекспорту, технічної допомоги або передачі технологій.
Окрема складність полягає в тому, що контрольні списки оновлюються, а отже, класифікація не може бути одноразовою дією на етапі запуску продукту. Її потрібно переглядати при зміні компонентів, програмного забезпечення, функціоналу, ринку, маршруту постачання або регуляторного переліку.
ITAR / EAR: компонент може принести з собою юрисдикцію
Окремий виклик для DefTech — вплив американських режимів ITAR та EAR.
Якщо компанія використовує компоненти, програмне забезпечення, технічні дані або технології американського походження, це може створювати додаткові обмеження щодо експорту, реекспорту, передачі технологій, доступу іноземних осіб до технічної інформації або продажу продукту в окремі юрисдикції.
Для українських і європейських DefTech-компаній це має стратегічне значення. Вибір компонента на етапі проєктування може впливати на майбутню географію продажів, можливість передачі технологій, участь у спільних проєктах і швидкість отримання дозволів.
AI Act: військовий виняток не завжди закриває питання
Штучний інтелект дедалі частіше стає частиною DefTech-продуктів: аналіз даних, розпізнавання об’єктів, логістика, обробка сигналів, підтримка прийняття рішень, автономні або напівавтономні системи.
AI Act передбачає виняток для AI-систем, які використовуються виключно для військових, оборонних або цілей національної безпеки. Але ключове слово тут — «виключно».
Якщо продукт має змішане призначення або може застосовуватися також у цивільному, правоохоронному, гуманітарному, логістичному чи комерційному контексті, компанія не повинна автоматично виходити з припущення, що AI Act її не стосується. Найбільш чутлива зона — dual-use AI. Наприклад, система аналізу зображень, логістичний AI-модуль, інструмент ідентифікації, аналітична платформа або система прогнозування можуть мати оборонний контекст, але водночас бути придатними для використання поза суто військовою сферою.
Тому DefTech-компаніям потрібна документована оцінка AI-компонентів: для чого система розроблена, де вона використовується, кому постачається, які функції виконує, чи має цивільне застосування і які ризики може створювати.
Антикорупційний комплаєнс: особлива чутливість оборонного сектору
Оборонний сектор традиційно є одним із найбільш чутливих до корупційних ризиків. Причини очевидні: великі бюджети, терміновість закупівель, обмежений доступ до інформації, посередники, політична чутливість, закриті процедури, питання національної безпеки та висока залежність від довіри.
Особливої уваги потребують агенти, консультанти, дистриб’ютори, локальні партнери, взаємодія з державними замовниками, подарунки, hospitality, спонсорство, конфлікти інтересів, комісійні винагороди, участь у тендерах і платежі третім сторонам.
Кейс Airbus добре показав, що для оборонно-аерокосмічного сектору «паперовий комплаєнс» не працює. Політики, які існують лише формально, не захищають компанію, якщо їх можна обійти через посередників, неформальні домовленості, непрозорі виплати або слабкий контроль керівництва.
Комплаєнс як конкурентна перевага
Однією з найбільших помилок залишається сприйняття комплаєнсу як витратної функції. Для технологічних компаній це вже не відповідає реальності. Для інвестора зріла комплаєнс-система є ознакою якості корпоративного управління. Для банку — фактором оцінки ризику клієнта. Для міжнародного партнера — підтвердженням надійності та передбачуваності. Для державного замовника — свідченням здатності відповідально працювати з чутливими контрактами. Для DefTech-компанії — це ще й елемент допуску до міжнародної оборонної кооперації.
У FinTech комплаєнс став умовою доступу до фінансової інфраструктури. У DefTech він поступово стає умовою доступу до оборонно-промислової екосистеми: фінансування, експортних дозволів, міжнародних партнерств, державних контрактів, технологічної кооперації та довіри з боку партнерів.
Компанія може мати сильний продукт, талановиту команду і правильний ринок. Але якщо вона не здатна пояснити, хто її власники, звідки компоненти, кому вона продає, як перевіряє контрагентів, як захищає технології, як контролює посередників і як реагує на ризики, її масштабування буде обмеженим.
Висновки
FinTech та DefTech рухаються різними траєкторіями, але приходять до спільного висновку: у сучасному світі технології самі по собі вже не є достатньою конкурентною перевагою.
Інноваційність має бути підкріплена довірою. Довіра — системою управління. Система управління — реальним комплаєнсом.
У FinTech комплаєнс забезпечує довіру до фінансової системи, цифрових сервісів, транзакцій, клієнтських даних і ринкової інфраструктури.
У DefTech комплаєнс забезпечує довіру до технологій, які можуть впливати на безпеку держави, обороноздатність, міжнародні зобов’язання та спроможність союзників.
Саме тому для DefTech-компаній комплаєнс не може бути другорядною функцією, яку створюють «після масштабування». Він має формуватися разом із продуктом, ринком, інвестиційною стратегією та міжнародними партнерствами.
Комплаєнс більше не є лише питанням відповідності.
Для FinTech це питання довіри до фінансової інновації.
Для DefTech — питання довіри до оборонної технології.
А в сучасному світі саме довіра визначає, чи зможе технологія стати не лише успішною, а й стійкою.
Практичні кейси: чого навчають FinTech та DefTech
Кейс 1. Wirecard: коли відсутність культури комплаєнсу руйнує технологічного лідера
До 2020 року Wirecard вважалася одним із флагманів європейського FinTech. Компанія входила до індексу DAX, обслуговувала платежі по всьому світу та демонструвала стрімке зростання.
Проте внутрішні контролі виявилися значно слабшими за маркетингову картинку. Після розслідування з’ясувалося, що понад 1,9 млрд євро фактично не існувало.
Головний урок цього кейсу полягає не лише у фінансовому шахрайстві.
Wirecard продемонструвала, що навіть найсучасніша технологія не компенсує відсутності незалежної комплаєнс-функції, ефективного внутрішнього аудиту та культури повідомлення про порушення.
Для FinTech-компаній цей кейс став аналогом «великого попередження»: швидкість росту не повинна випереджати розвиток системи контролю.
Кейс 2. Revolut: регулятор очікує зрілості навіть від стартапу
Revolut пройшов складний шлях побудови систем AML та фінансового моніторингу під контролем європейських регуляторів.
Під час масштабування компанія зіткнулася з критикою щодо автоматизації AML-процесів та достатності контролів при швидкому зростанні клієнтської бази.
У результаті компанія інвестувала сотні мільйонів доларів у розвиток комплаєнс-функції, аналітичних платформ, KYC-процедур та систем моніторингу транзакцій.
Ключовий висновок: регулятор оцінює не розмір компанії, а рівень ризику, який вона створює.
Кейс 3. MiCA та криптобізнес: нова реальність для цифрових активів
Після набуття чинності регламентом Markets in Crypto-Assets Regulation (MiCA) європейський крипторинок фактично перейшов від етапу «інновацій без правил» до етапу «інновацій під наглядом».
Для криптобірж та постачальників криптопослуг це означає:
-
обов’язкове корпоративне управління;
-
управління конфліктами інтересів;
-
контроль операційних ризиків;
-
AML-процедури;
-
кібербезпеку;
-
звітність перед регуляторами.
По суті, ЄС показав, що майбутнє FinTech — це не дерегуляція, а розумне регулювання.
Кейс 4. DORA: кіберстійкість як новий напрям комплаєнсу
Регламент ЄС Digital Operational Resilience Act (DORA) змінив підхід до управління ризиками у фінансовому секторі.
Якщо раніше кібербезпека вважалася переважно ІТ-функцією, то тепер вона стала частиною комплаєнс-системи.
Фінансові установи повинні:
-
картувати критичні сервіси;
-
оцінювати ризики постачальників;
-
проводити стрес-тестування;
-
повідомляти про кіберінциденти.
Цей підхід поступово стає актуальним і для DefTech-компаній, де кібератака може впливати не лише на бізнес, а й на обороноздатність держави.
Кейс 5. Експорт без належної перевірки кінцевого користувача
Один із найпоширеніших ризиків DefTech-компаній виникає під час міжнародних поставок технологій подвійного призначення.
У практиці США та ЄС зафіксовано десятки випадків, коли виробники формально продавали продукцію цивільним контрагентам, однак згодом вона потрапляла до санкційних юрисдикцій або військових структур третіх країн.
Саме тому сьогодні стандартом для DefTech стають:
-
Enhanced Due Diligence;
-
перевірка кінцевого користувача;
-
перевірка кінцевого призначення продукції;
-
моніторинг маршруту поставки;
-
санкційний скринінг усіх учасників ланцюга.
Кейс 6. Український DefTech та вимоги міжнародних інвесторів
Після 2022 року український DefTech став одним із найдинамічніших секторів економіки.
Водночас більшість міжнародних інвесторів перед фінансуванням проводять повноцінний Compliance Due Diligence.
У фокусі перевірки:
-
структура власності;
-
бенефіціари;
-
антикорупційні механізми;
-
перевірка контрагентів;
-
санкційний контроль;
-
захист інтелектуальної власності;
-
експортний контроль.
Дедалі частіше інвестиційне рішення залежить не лише від технології, а від рівня зрілості системи комплаєнсу.
Кейс 7. NATO Defence Integrity Programme: комплаєнс як елемент оборонної стійкості
NATO протягом останніх років активно розвиває програму Defence Integrity.
Її основна ідея полягає у тому, що корупція та слабке управління є такими ж загрозами безпеці, як і зовнішній противник.
Програма передбачає:
-
оцінку корупційних ризиків;
-
контроль конфліктів інтересів;
-
прозорість закупівель;
-
захист викривачів;
-
етичне лідерство.
Фактично НАТО розглядає комплаєнс не як юридичну функцію, а як інструмент забезпечення оборонної спроможності.
Уроки для FinTech та DefTech
Wirecard став одним із найбільших попереджень для європейського FinTech. Компанія вважалася технологічним лідером, входила до DAX, демонструвала швидке зростання і будувала сильну публічну історію. Але ця історія не витримала перевірки реальністю: внутрішні контролі, аудит, управлінська культура і здатність ставити незручні питання виявилися слабшими за зовнішній образ компанії.
Головний урок Wirecard полягає не лише у фінансовому шахрайстві. Він у тому, що швидке зростання не може замінити контроль, а технологічна риторика не компенсує відсутність реальної культури доброчесності.
Revolut показує інший урок. Регулятор оцінює не «стартаповість» компанії, а рівень ризику, який вона створює. Якщо бізнес працює з мільйонами клієнтів, платежами, переказами, картками, криптоактивами або транскордонними операціями, очікування до його комплаєнс-системи будуть високими незалежно від віку компанії.
Для DefTech ця логіка так само актуальна. Невеликий розмір компанії не скасовує високого ризику, якщо вона працює з оборонними технологіями, товарами подвійного призначення, міжнародними поставками або державними замовниками.
MiCA та DORA демонструють ще одну тенденцію: інноваційність більше не є аргументом проти регулювання. Навпаки, що складнішим і чутливішим стає продукт, то вищими стають очікування до governance, контролю, операційної стійкості, кібербезпеки та прозорості.
Для DefTech це має пряме значення. Оборонні технології також входять у фазу, коли ринок, держава та партнери очікують не лише швидких рішень, а й зрілої системи управління ризиками.
Кейс Airbus є особливо важливим для оборонно-аерокосмічного сектору. Він показав, що найбільший ризик часто виникає не там, де компанія відкрито ігнорує комплаєнс, а там, де комплаєнс існує формально, але не працює в реальних комерційних процесах.
Посередники, консультанти, агенти, локальні партнери, непрозорі виплати, слабкий контроль і відсутність реальної культури доброчесності можуть створити ризики навіть для дуже великої і технологічно сильної компанії.
Для DefTech це прямий сигнал: у роботі з державними замовниками, іноземними партнерами та оборонними контрактами комплаєнс має бути не декоративною функцією, а реальною системою стримувань і контролю.