Документ передбачає обов'язковий моніторинг платіжних операцій, їх щоденне звірення (реконсиляцію) та заходи із запобігання міскодингу — використанню торговцями невідповідних кодів категорій діяльності (MCC).

Нові вимоги поширюватимуться на банки, платіжні установи (крім малих), установи електронних грошей, фінансові компанії, які надають платіжні послуги, та операторів поштового зв'язку. На адаптацію до нових правил відводиться 90 днів після набрання постановою чинності.

Проєкт передбачає три обов'язкові інструменти контролю. Перший — моніторинг операцій у режимі, наближеному до реального часу, для виявлення нетипової активності. Другий — щоденну реконсиляцію платіжних операцій шляхом звірення ключових параметрів, зокрема ідентифікатора операції, суми та отримувача. Третій — регулярну перевірку відповідності фактичної діяльності торговців присвоєним їм MCC-кодам.

Кожній платіжній операції присвоюватиметься один із трьох рівнів ризику — низький, середній або високий. Для їх визначення надавачі платіжних послуг мають розробити власні правила аналізу, використовуючи перелік із 16 обов'язкових ознак нетипової поведінки, серед яких аномальна географія операцій, концентрація однотипних платежів, транзитний характер рахунків або використання одного цифрового відбитка пристрою різними клієнтами.

Документ також дозволяє використовувати моделі штучного інтелекту та машинного навчання для аналізу поведінки користувачів і виявлення підозрілих операцій. Водночас остаточні рішення щодо зупинення операцій, зміни правил контролю чи встановлення рівня ризику залишатимуться виключно за надавачем платіжних послуг і не можуть передаватися на аутсорсинг.

Проєктом також передбачено створення окремого переліку користувачів, операції яких підлягатимуть посиленому контролю, зберігання відповідної інформації протягом року та можливість застосування до таких клієнтів додаткових обмежень, зокрема блокування платіжного інструменту, встановлення лімітів або закриття рахунку.

Національний банк планує контролювати ефективність нової системи через аналіз внутрішніх процедур фінансових установ, перевірку роботи механізмів моніторингу, реконсиляції та боротьби з міскодингом. Крім того, про операційні інциденти високого рівня критичності, які можуть унеможливити здійснення моніторингу, установи повинні будуть повідомляти регулятора протягом однієї години.

Запропоновані зміни покликані посилити протидію шахрайству та неправомірному використанню платіжної інфраструктури, при цьому вони не стосуються вимог фінансового моніторингу у сфері протидії відмиванню коштів, які регулюються окремим законодавством.