Платёжные провайдеры: как управлять рисками

Это третья статья из серии про международные платежи

В первых двух я писал про пайплайн подключения и специфику high risk вертикалей

Там риски упоминались по ходу. Здесь же будет только про риски: как их классифицировать, мониторить и на что реагировать до того, как стало плохо

Я всё так же не претендую на абсолютную истину, но делюсь своими опытом и мыслями

Платёжный провайдер - это контрагент, от которого зависит денежный поток. Относиться к нему надо соответственно

Прежде чем управлять рисками, нужно понимать их полный список

Большинство компаний держат в голове два: «провайдер заморозит деньги» и «будет много чарджбэков»

На практике карта шире

Операционные риски
- Технический сбой на стороне провайдера: платежи не проходят, конверсия падает
- Изменение API без уведомления: интеграция ломается
- Смена банка-эквайера провайдером: внезапная недоступность части методов оплаты

Финансовые риски
- Заморозка rolling reserve сверх договорённостей
- Задержки settlement без объяснений
- Одностороннее повышение тарифов с коротким уведомлением
- FX-потери при неудобных условиях конвертации

Комплаенс-риски
- Закрытие аккаунта из-за изменения политики провайдера или его банка
- Блокировка из-за превышения chargeback
- KYC/KYB-пересмотр: провайдер запрашивает переверификацию, временно ограничивая выплаты

Концентрационный риск
- Один провайдер обрабатывает 80–100% трафика, значит любой инцидент останавливает бизнес
Репутационный риск провайдера
- Провайдер попадает под санкции/теряет лицензию/банковского партнёра: вы с ним в одной лодке

В предыдущих статьях я упоминал, что нельзя работать с одним провайдером. Здесь объясню механику

Диверсификация имеет смысл только если она реально работает в момент инцидента

Это значит:
- Второй провайдер должен быть активным. Хотя бы 10–20% трафика должно проходить через него постоянно. Иначе при переключении вы можете обнаружить, что интеграция протухла, лимиты не настроены, конверсия неизвестна
- Переключение трафика должно быть автоматизированным или занимать минуты
- Провайдеры должны быть независимыми: разные банки-эквайеры, разные юрисдикции. Два провайдера на одном банке-эквайере не считается диверсификацией

Минимальная рабочая конфигурация: 70/30 между двумя активными провайдерами. Третий в постоянной стадии онбординга, чтобы не начинать с нуля при необходимости замены

Мониторинг без порогов - это просто дашборд, который никто не смотрит в нужный момент. Нужна система: метрика - порог - действие

Что мониторить и с какими порогами:

Пороги условные и зависят от вертикали и договора

Суть в том, что они должны быть зафиксированы заранее, а не определяться постфактум

При достижении жёлтого флага нужны анализ и подготовка. При красном - действие по заранее описанному сценарию

Большинство читает договор с провайдером как формальность. Это ошибка. Договор либо защищает вас при инциденте, либо нет

Что должно быть явно прописано:
- Условия изменения тарифов: минимальное уведомление 30+ дней, иначе право на расторжение без штрафа
- Условия расторжения: исчерпывающий список оснований, срок уведомления, порядок возврата средств из rolling reserve
- SLA на выплаты: конкретные сроки, штрафные условия при нарушении
- Порядок разрешения споров: желательно нейтральная юрисдикция, не только юрисдикция провайдера
- Ограничение ответственности: на какую сумму провайдер отвечает при своих сбоях

Если провайдер отказывается обсуждать эти пункты - это информация о том, как он будет вести себя при инциденте

Заморозка средств провайдером - это один из самых болезненных сценариев. Деньги есть, но недоступны. Операционка продолжается, расходы идут

Нужен заранее описанный план, а не импровизация в стрессе:
- Финансовый буфер. Резерв на операционные расходы минимум на 60–90 дней, хранящийся отдельно от средств, проходящих через провайдера. Не на том же счёте, который может быть заморожен
- Эскалационный путь. Кто общается с провайдером, каким способом, что говорит, когда подключает юриста. Это должны быть конкретные имена и контакты
- Юридическая подготовка. Юрист, знакомый с платёжным законодательством нужной юрисдикции, должен быть определён заранее. Искать его в момент, когда заморожено полмиллиона долларов - плохая идея
- Публичная коммуникация. Если заморозка влияет на выплаты клиентам или партнёрам, нужен заготовленный шаблон коммуникации. Молчание в таких ситуациях стоит дороже проблемы

Провайдер, который был хорош два года назад, может не быть хорош сегодня

Рынок меняется: банки-партнёры меняются, лицензии отзываются, команды уходят

Минимальная квартальная проверка:
- Финансовая стабильность провайдера: нет ли публичных новостей о проблемах
- Изменения в лицензиях или регуляторных предписаниях
- Реальные конверсия и стоимость и соотношение с рынком: не переплачиваете ли по сравнению с альтернативами
- Качество поддержки: субъективная оценка по последним инцидентам

Раз в год нужен полноценный пересмотр: стоит ли продолжать с текущим провайдером или пора искать замену

Риск-менеджмент в платежах - это скучная работа, которая не видна, пока всё работает и очень заметна, когда что-то ломается

Компании, у которых есть система, переживают инциденты как рабочую ситуацию. Остальные - как кризис. Разница в том, проделали ли вы эту работу или нет

Надеюсь, эта статья для вас полезна

Успехов в делах!

* Метрики порогов - это числовые значения (лимиты), при достижении или превышении которых платежная система или банк-эквайер автоматически меняет статус операции, инициирует проверку безопасности или накладывает ограничения

Хэштеги: #рискменеджмент #платежи #финтех #платёжнаяинфраструктура #операционноеуправление #эквайринг #бизнес