Комплаенс при работе с подрядчиками в Восточной Европе и Центральной Азии: шаги, которые компании упускают

В последние годы всё больше компаний выстраивают распределённые команды в Восточной Европе и Центральной Азии. Сильные разработчики в Украине, дизайнеры в Грузии, маркетологи в Эстонии — квалифицированные специалисты с разумным уровнем ставок. Возможности этого региона действительно велики, но и сопутствующая сложность не меньше.

Как правило, компании совершают не одну крупную ошибку, а упускают сразу несколько мелких шагов, поскольку найм распределенной команды кажется проще, чем он есть на самом деле. Какой бы термин ни использовался — подрядчик, контрактор или фрилансер, — обязательства по комплаенсу остаются одинаковыми. И цена ошибки на любом из этапов может оказаться вполне ощутимой: переквалификация подрядчиков в штатных сотрудников, штрафы по законодательству о защите данных, ретроактивные налоговые доначисления или утрата прав на результаты работы, за которую вы уже заплатили.

Это руководство охватывает картину целиком.

Прежде всего необходимо ответить на главный вопрос: тот, кого вы собираетесь нанять, действительно является независимым подрядчиком, или речь идёт о трудовых отношениях, оформленных иначе?

За последнее десятилетие, на фоне роста гиг-экономики, часть работодателей начала пользоваться этим сдвигом, чтобы оформлять фактических сотрудников как независимых подрядчиков и таким образом обходить налоги, социальные взносы и гарантии, которые сопровождают официальное трудоустройство. Налоговые органы это заметили, контроль в Европе усилился, и сегодня существует целый набор формальных и неформальных критериев, по которым выявляется скрытое трудоустройство.

Конкретные тесты различаются от юрисдикции к юрисдикции, однако базовые индикаторы везде сходятся к одному и тому же набору признаков:

• Экономическая зависимость. Получает ли подрядчик основную часть дохода от одного клиента?
• Контроль над процессом. Определяет ли компания, как, когда и где должна выполняться работа?
• Встроенность в структуру. Интегрирован ли подрядчик в организационную структуру компании — пользуется ли её инструментами, участвует ли во внутренних встречах, отчитывается ли перед менеджером?
• Эксклюзивность. Ограничен ли подрядчик в возможности работать с другими клиентами?
• Длительность. Носит ли сотрудничество непрерывный характер на протяжении длительного периода, без чётко определённого объёма проектных работ?

Стоимость ошибки: ретроактивная переквалификация подразумевает доплату всех работодательских налогов и социальных взносов за весь период сотрудничества, что нередко составляет 30–40% от каждой совершённой выплаты, причём поверх этого начисляются штрафы и пени. В некоторых юрисдикциях повторная или умышленная неверная классификация влечёт уголовную ответственность.

После того как вы убедились в действительно независимом характере сотрудничества, следующий шаг — установить, с кем именно вы имеете дело.

Речь идёт о полноценной процедуре KYC (Know Your Customer, идентификация клиента), которая включает сбор и верификацию документа, удостоверяющего личность, подтверждение гражданства, а также проверку страны проживания подрядчика и его резидентского статуса в применимых случаях. Подрядчик может быть гражданином одной страны, но при этом проживать в совершенно иной юрисдикции, и от этого зависит, какие именно правила применяются к вашим отношениям.

Помимо этого, подрядчика необходимо проверять по международным санкционным спискам. Отдельные регионы, национальности и конкретные физические лица подпадают под ограничения, при которых сотрудничество либо юридически запрещено, либо сопряжено с серьёзным финансовым риском.

Стоимость ошибки: работа с подсанкционным физическим лицом или компанией способна привести к штрафам свыше €1 млн в рамках санкционного регулирования ЕС, уголовному преследованию и заморозке активов. Даже в отсутствие санкционных рисков отсутствие верификации лишает компанию возможности подтвердить законность деловых отношений, если соответствующий вопрос возникнет у банка или налоговой.

С того момента, как вы начинаете собирать персональные данные в ходе KYC и онбординга, на компанию ложатся обязательства по их защите. Для бизнеса, ведущего деятельность в ЕС или связанного с ЕС, это означает необходимость иметь чёткое правовое основание для обработки данных подрядчика, обеспечивать их безопасное хранение и не удерживать их дольше, чем это объективно необходимо.

На практике защита данных оказывается одним из первых направлений, которым в отношениях с подрядчиками уделяется наименьшее внимание — особенно если подрядчик находится за пределами ЕС. При этом GDPR применяется независимо от местонахождения подрядчика, пока компания зарегистрирована в ЕС или обрабатывает данные европейских резидентов.

ЕС при этом — далеко не единственная юрисдикция с серьёзным регулированием защиты данных.

Великобритания. После Brexit страна перешла на собственный режим UK GDPR, который по сути идентичен европейскому и соблюдение которого контролирует Information Commissioner's Office (ICO). Для компаний, зарегистрированных в UK или обрабатывающих данные британских резидентов, это прямое обязательство, а не второстепенный фактор.

США. Единого федерального закона о защите данных в стране не существует. Наиболее проработанной рамкой остаётся калифорнийский CCPA/CPRA, и в отличие от большинства штатных законов он одинаково распространяется на данные потребителей, сотрудников и подрядчиков. С каждым годом всё большее число штатов принимает собственные комплексные законы о конфиденциальности.

Сингапур. Personal Data Protection Act (PDPA) распространяется на любую организацию, обрабатывающую персональные данные лиц, находящихся в Сингапуре, включая иностранные компании, работающие удалённо. Требования к безопасности и срокам хранения данных применяются даже к организациям, выступающим исключительно в роли посредников по данным.

Гонконг. Personal Data (Privacy) Ordinance (PDPO) требует, чтобы данные собирались исключительно с законной целью, не хранились дольше необходимого и были защищены от несанкционированного доступа. Трансграничная передача данных допускается только при условии, что принимающая юрисдикция обеспечивает сопоставимый уровень защиты.

Другие юрисдикции. Сегодня собственное законодательство о защите данных есть у большинства стран с развитой экономикой: Канада (PIPEDA), Австралия (Privacy Act), ОАЭ, Индия (DPDP Act, 2023). Объём требований и подходы к их применению различаются, однако базовый принцип везде один: если компания собирает персональные данные, на неё распространяется регулирование той юрисдикции, откуда эти данные происходят. Восприятие GDPR как единственной значимой рамки — распространённая слепая зона у компаний, нанимающих сотрудников за рубежом.

Стоимость ошибки: нарушения GDPR влекут штрафы в размере до €20 млн или 4% от глобального годового оборота — в зависимости от того, какая сумма выше. Регулятор по защите данных также вправе предписать полное прекращение обработки данных, что фактически останавливает онбординг и всю работу с подрядчиками.

Договор представляет собой фундамент всех отношений с подрядчиком, а не формальность. Грамотно составленное соглашение определяет объём работ, подтверждает независимый характер сотрудничества и обеспечивает защиту обеих сторон.

В договоре необходимо отдельно урегулировать вопрос прав на интеллектуальную собственность. По умолчанию результаты работы, созданные независимым подрядчиком, не обязательно автоматически переходят к нанимающей компании, и конкретные правила различаются от страны к стране. В ряде юрисдикций права на интеллектуальную собственность, созданную в рамках договора, остаются за подрядчиком, если иное прямо не предусмотрено соглашением. Поэтому здесь необходим чёткий пункт о передаче прав, фиксирующий, что все результаты работы переходят к клиенту в момент оплаты.

Не менее важны закрывающие документы: инвойсы, акты приёмки-передачи и записи, подтверждающие выполнение работы в соответствии с договорённостями. Они необходимы не только для целей налогового учёта, но и как доказательство того, что речь идёт о законных отношениях между независимыми сторонами. Если сотрудничество когда-либо станет предметом вопросов со стороны налогового органа или аудитора, потребуется именно этот пакет документов.

Стоимость ошибки: без пункта о передаче прав компания юридически может оказаться не владельцем кода, дизайна или контента, за которые она заплатила, поскольку в большинстве юрисдикций нормы по умолчанию работают в пользу подрядчика. Отсутствие закрывающих документов — инвойсов, актов приёмки — означает, что расходы невозможно подтвердить для целей налогообложения, а сами отношения нельзя защитить в ходе проверки.

Не каждый подрядчик юридически оформлен как самозанятый у себя в стране. В ряде восточноевропейских юрисдикций обязанность удерживать и перечислять подоходный налог возлагается на компанию, осуществляющую выплату, а не на самого подрядчика.

В качестве практического примера показательна Латвия. Если латвийская компания производит выплату физическому лицу, не зарегистрированному как самозанятый, она обязана удержать 25% от валовой суммы платежа, что покрывает одновременно социальные взносы и подоходный налог. Дополнительно к этому компания уплачивает работодательский социальный взнос — около 10% сверху, в результате чего совокупная налоговая нагрузка составляет порядка 35% от валовой суммы. Независимо от обязанностей по удержанию налога, латвийские компании также обязаны уведомлять налоговый орган обо всех выплатах нерезидентам.

Трансграничные выплаты добавляют ещё один уровень сложности. Например, латвийская компания, оплачивающая услуги подрядчика из Литвы, может быть освобождена от налога у источника по соглашению об избежании двойного налогообложения, поскольку доход от услуг, как правило, облагается налогом только в стране налогового резидентства подрядчика. Однако это действует только при условии, что подрядчик предоставляет действующий сертификат налогового резидентства и не имеет постоянного представительства в Латвии. В отсутствие такого документа применяется внутренняя ставка по умолчанию, и компания оказывается в зоне риска.

Чтобы защититься от этих рисков, с каждого подрядчика ещё до первой выплаты следует собрать определённый набор документов: подтверждение регистрации в качестве индивидуального предпринимателя или самозанятого, локальный налоговый идентификационный номер, подтверждение активного статуса в соответствующем налоговом органе, а для трансграничных отношений — сертификат налогового резидентства.

Именно этот пакет запрашивает налоговая инспекция, если сотрудничество когда-либо становится предметом проверки, и наличие соответствующих документов с первого дня сотрудничества в конечном счёте и определяет её исход.

Стоимость ошибки: если налог не был удержан там, где это требовалось по закону, последует ретроактивное доначисление полной суммы задолженности с начислением штрафов и пеней за весь период сотрудничества. В случае трансграничных выплат применение льготной ставки по налоговому соглашению при отсутствии действующего сертификата резидентства означает, что по умолчанию применяется внутренняя ставка у источника, а возникшая переплата подрядчику может оказаться невозвращаемой.

Когда вопрос с документами решён, на повестке появляется сугубо практическая задача: каким именно способом производить выплату подрядчику и во сколько это в итоге обойдётся.

SWIFT-перевод остаётся наиболее привычным вариантом, однако у него есть свои издержки. Комиссия за транзакцию может достигать $25–50, обработка занимает от двух до пяти рабочих дней, а в зависимости от страны получателя возможны дополнительные сложности на стороне банков-корреспондентов. Для подрядчиков, получающих небольшие или частые выплаты, подобные расходы быстро накапливаются.

Часть подрядчиков предпочитает получать оплату в стейблкоинах (USDC или USDT), особенно в странах, где локальная валюта нестабильна или банковская инфраструктура ограничена. В растущем числе юрисдикций это легальный вариант, однако его применение требует понимания местного регулирования крипто-доходов и обязательной фиксации способа оплаты в договоре. Компаниям, работающим в ЕС или из ЕС, дополнительно следует учитывать Markets in Crypto-Assets Regulation (MiCA) — регламент, полностью вступивший в силу в конце 2024 года и устанавливающий требования к эмитентам стейблкоинов и операциям с ними. На практике большинство компаний пока не готовы к подобной модели, в первую очередь из-за регуляторной неопределённости; бухгалтерские службы также, как правило, сопротивляются всему, что выходит за рамки привычных банковских каналов.

Ещё один сложный аспект — валюта расчёта. Банки в стране получателя могут не поддерживать валюту отправителя, и наоборот, в результате чего выплаты в EUR или USD способны приводить к ощутимым курсовым потерям для одной из сторон.

Альтернативные варианты — локальные платёжные сети, электронные кошельки, региональные платформы — для отдельных коридоров могут обеспечивать более быстрые расчёты и более низкие комиссии. Оптимальная схема зависит от того, где находится подрядчик, в какой валюте и насколько часто производятся выплаты, а также от того, что компания сможет при необходимости задокументировать и обосновать перед банком.

Слишком многие компании относятся к выбору способа оплаты как к второстепенному вопросу, и именно отсюда, как правило, и возникает излишнее трение — для обеих сторон.

Стоимость ошибки: плохо задокументированные способы оплаты могут привести к тому, что банки откажутся проводить переводы. Выплаты в стейблкоинах, осуществлённые без учёта MiCA или местных требований по криптовалютам, создают регуляторные риски и ставят под угрозу саму возможность учесть соответствующие расходы. Несоответствие валют оборачивается скрытыми издержками в 2–5% за транзакцию через спред FX, и на масштабе это превращается в существенные суммы.

Сама выплата зачастую представляет собой простейшую часть процесса. Компании недооценивают другое — то, что происходит, когда банк запрашивает подтверждающие документы по международному переводу.

Банки уделяют всё более пристальное внимание трансграничным платежам, особенно тем, что адресованы в определённые регионы, и платежи в адрес физических лиц, а не компаний, привлекают дополнительное внимание.

Многие предприниматели не знают, какие именно страны входят в перечни высокорисковых юрисдикций MONEYVAL и FATF, на которые опираются банки при оценке рисков платежа, и эти страны далеко не всегда оказываются теми, на которые подумаешь в первую очередь. Под усиленным мониторингом оказывались и государства — члены ЕС: Болгария попала в «серый список» FATF в октябре 2023 года и по состоянию на начало 2026 года остаётся в нём; Хорватия была включена в июне 2023 года и исключена в 2025-м; Мальта находилась в «сером списке» с 2021 по 2022 год. Все три страны являются членами ЕС, что вызывает удивление у компаний, исходящих из предположения, что усиленные банковские проверки касаются исключительно государств за пределами Евросоюза.

Сходная ситуация складывается с платежами в такие страны, как Казахстан, Грузия, Армения и ряд других, которые формально не включены ни в «серые», ни в «чёрные» списки. Из-за тесных экономических и финансовых связей с подсанкционными юрисдикциями банки могут неформально рассматривать эти направления как зоны повышенного риска, в связи с чем платежи туда нередко вызывают дополнительные вопросы и приводят к усиленным проверкам или проблемам в отношениях с обслуживающим банком.

Когда это происходит, компания должна оперативно и в понятной форме представить договор, инвойс, KYC-досье и бизнес-обоснование платежа. Те, у кого на всех предыдущих шагах документация была в порядке, закрывают подобные запросы за несколько часов; те, у кого нет, сталкиваются с задержками и замороженными переводами.

Стоимость ошибки: если на комплаенс-запрос банка не удаётся оперативно ответить, платёж может зависнуть на дни и недели. Повторяющиеся комплаенс-сбои или неспособность объяснить операции могут привести к подаче банком SAR (Suspicious Activity Report), после чего по счёту вводится усиленный постоянный мониторинг, а в конечном итоге банк может закрыть его в рамках стратегии de-risking. Поиск нового банка с сопоставимым профилем риска нередко занимает месяцы, и всё это время компания не может ни рассчитываться с подрядчиками и поставщиками, ни вести нормальную операционную деятельность.

Многие компании предпочитают рассчитываться с подрядчиками напрямую, не пользуясь специализированной платформой или провайдером. Это вполне законный подход, однако связанную с ним ответственность легко недооценить.

При прямой оплате все описанные выше обязательства по комплаенсу полностью ложатся на нанимающую компанию: оценка рисков переквалификации, KYC, защита данных, удержание налогов, документация по платежам, банковский комплаенс. Здесь нет посредника, который принимал бы на себя регуляторный риск, поддерживал документацию или выступал буфером между вами и комплаенс-запросом банка.

Прямой перевод выглядит простой операцией, однако то, что стоит за ним, простым не является.

Стоимость ошибки: все риски, описанные в шагах 1–7, умножаются с каждым дополнительным подрядчиком и каждой новой юрисдикцией. Компания, рассчитывающаяся напрямую с 15 подрядчиками в 5 странах, ведёт 15 отдельных комплаенс-досье, разбирается с 5 различными налоговыми режимами и 5 различными наборами локальных правил, причём делает это без какой-либо страховки.

Каждый из этих восьми шагов сам по себе вполне выполним. Сложность заключается в том, чтобы корректно и последовательно реализовать их все для каждого подрядчика и каждой юрисдикции, в которых работает ваша компания.

Компании подходят к этой задаче по-разному. Один из вариантов — выстраивание внутренней функции комплаенса, которое становится экономически оправданным при численности от 50 подрядчиков. Другой — привлечение Contractor of Record (COR), берущего на себя договорные отношения и обязательства по комплаенсу. Третий — использование Employer of Record (EOR) для полноценного оформления трудовых отношений. Четвёртый — подключение Payroll-платформы для расчёта и проведения выплат. Пятый — работа через Contractor Management-платформу, на которой договоры ведутся напрямую, а сама платформа берёт на себя учёт и выплаты. Оптимальный выбор зависит от масштаба, перечня юрисдикций и того, какой объём риска компания готова нести самостоятельно.

Восточная Европа и Центральная Азия открывают реальные возможности, однако комплаенс-ландшафт здесь существенно меняется от страны к стране. Компании, которые корректно проходят каждый из перечисленных шагов и работают с партнёрами, знающими регион, избегают тех проблем, на которых спотыкаются остальные.

Перечисленные шаги не претендуют на исчерпывающий характер: у каждого сотрудничества есть своя специфика, а локальные правила периодически меняются. Тем не менее предложенная рамка применима ко всем юрисдикциям и типам подрядчиков: убедиться в действительно независимом характере отношений, понимать, кому именно осуществляется выплата, обеспечивать защиту данных, грамотно структурировать договор, проверять налоговый статус, выбирать подходящий способ оплаты — и быть готовыми объяснить каждый перевод.

Большая часть этих задач перестаёт быть сложной, как только понимаешь, куда смотреть. Проблема заключается в том, что большинство компаний узнают об этих шагах уже после того, как что-то пошло не так.