🇺🇸BaaS: как банковский продукт живёт без лицензии

Банк-спонсор, платформа и клиентский бренд

BaaS (banking-as-a-service) — модель, в которой лицензированный банк предоставляет счета, карты и платежи через API, а небанковский бренд встраивает их в свой продукт. По сути это white-label banking: для клиента это «счёт в финтехе», юридически — счёт в банке-партнёре. Это одно из направлений embedded finance.

Разработчик финтех-продукта не получает банковскую лицензию — в США это годы и существенный капитал. Он арендует доступ к лицензии банка-партнёра: подключается к sponsor bank и создаёт продукт на основе его charter. Перспективная альтернатива — усечённый прямой доступ небанков к платёжной инфраструктуре ФРС без спонсора — разбор в Payment accounts ФРС.

За деньги конечных клиентов и за комплаенс перед регулятором отвечает банк-партнёр; финтех отвечает перед банком. Поэтому банк проверяет финтех как свой главный риск и вправе в любой момент отключить программу. Банки-спонсоры и связанные с ними риски описаны в разделе «США: банки-спонсоры».

Как это устроено

В модели выделяют три роли. Sponsor bank держит charter и страховку FDIC и отвечает перед регулятором. Middleware/BaaS-платформа даёт API и часть комплаенс-операций. Финтех ведёт продукт и привлекает клиентов. Банк зарабатывает на проценте по депозитам, доле interchange и плате за регуляторный доступ. Банковский сервис под брендом партнёра позволяет объединить счета, платежи и учёт активов в одной интеграции. Британский ClearBank позволяет встраивать текущие и сберегательные счета под брендом партнёра, с API и уведомлениями об операциях. Для сопоставления предложений определяют страну и владельца счёта, банк по договору и состав подключаемых продуктов; затем считают стоимость запуска и обслуживания. Офшорный банк Доминики British Atlantic Bank предоставляет банковскую инфраструктуру, а партнёр формирует предложение своим клиентам. Подключение стоит $25 000, обслуживание с запуска — $2 000 в месяц за один бренд и API-интеграцию; каждая дополнительная интеграция — $5 000. Поклиентский учёт и отдельный учёт обеспечения партнёра помогают сверять расчёты. Клиентские договоры и распределение исполнения, комплаенса и работы с претензиями определяют роли сторон в применимом лицензионном режиме.

Клиент обращается к финтех-бренду; счёт ведётся и средства хранятся в банке-партнёре. Middleware обеспечивает связь между ними, а перед регулятором за всю программу отвечает банк.

Деньги клиентов лежат в банке-партнёре, часто на pooled FBO-счёте (for-benefit-of). Страховка FDIC работает как pass-through: $250 000 на конечного вкладчика на банк — при условии корректного поимённого учёта; sweep-сети по нескольким банкам поднимают лимит (у Mercury — до $5 млн). Критически важна реконсиляция: сведения о принадлежности средств на счёте должны постоянно совпадать у банка и платформы. Это та же дисциплина safeguarding, что и в корреспондентском банкинге.

Цену сбоя показал крах middleware Synapse (подробный разбор — в разделе «Middleware» ниже): 22 апреля 2024 года он подал на банкротство по главе 11, и клиентские средства на pooled FBO-счетах оказались недоступны на недели и месяцы. Учётные записи посредника разошлись с записями банков-партнёров: по иску CFPB от 21 августа 2025 года банки держали меньше, чем показывали записи Synapse, а управляющий по главе 11 оценил недостачу в $60–90 млн. Реконсиляция держалась на системе самого Synapse — после остановки этой системы не осталось данных для восстановления принадлежности средств.

Что нужно, чтобы запустить

Своей банковской лицензии не нужно. Нужен sponsor bank и, как правило, middleware либо issuer-processor (Unit, Treasury Prime, Synctera, Lithic, Marqeta — в зависимости от продукта). Банк-партнёр проводит due diligence по interagency guidance и относит финтех к высшей категории риска.

Что попросит банк при онбординге: audited financials и runway; устойчивость бизнес-модели; операционную зрелость — платформа, штат, BCP/DR, трек-рекорд; готовый пакет политик BSA/AML, KYC/KYB, PCI-DSS и обработки PII. Без укомплектованной комплаенс-функции подавать заявку на онбординг нецелесообразно. Требования к уже лицензированному оператору — MSB, MSO, EMI или PSP — при открытии счетов рассмотрены в статье о банковском обслуживании лицензированного оператора.

Комплаенс

Финтех несёт операционный комплаенс, который банк обязан контролировать. Базовый набор:

• все pillars BSA;
• CIP плюс CDD/EDD;
• санкционный скрининг;
• транзакционный мониторинг.

Банк требует demonstrable control над онбордингом конечных клиентов — это шире формального CIP.

Слабый контроль над финтех-партнёрами уже приводил к мерам надзора: Blue Ridge в январе 2024 года получил consent order OCC (BSA/AML, «troubled condition», новые финтех-партнёры — только без возражений OCC), Evolve в июне 2024 года — предписание ФРС о прекращении нарушений (cease & desist).

Рыночные модели BaaS

Типовая архитектура: банк-партнёр + middleware + issuer-processor. Публичный пример: Mercury (финтех, не банк) предоставляет банковские услуги через Choice Financial Group и Column N.A. На инфраструктуре того же Column строит нишевой бизнес-банкинг Slash — пример того, как узкоспециализированный сервис обходится спонсором вместо собственной лицензии. На той же конструкции собран и Flex: бизнес-счета, карты и казначейство для владельцев американского бизнеса работают на банках и брокерах-партнёрах, сервис также включает личные финансы самого владельца — сегмент, в котором арендованная лицензия дешевле собственного чартера. Профили банков-спонсоров и банков, которых избегают (Evolve, Blue Ridge), — ниже в разделе «США: банки-спонсоры»; карточная часть — в материале о BIN sponsorship.

На что смотреть при выборе. Экономика: доля interchange, плата за доступ, минимальные обороты; на стороне финтеха выручка при этом складывается из interchange, подписки и дохода на остатки. Концентрация: банк с десятками финтех-программ под давлением надзора закрывает сразу несколько программ — стоит диверсифицировать партнёров. Контроль над данными: доступ клиента к ledger и реконсиляции должен быть независим от middleware, иначе повторится сценарий Synapse. Право на выход: заранее пропишите перенос программы и клиентских средств в другой банк.

США: банки-спонсоры

Партнёрский банкинг вырос из двух сил. Малым банкам (активы до $10 млрд) поправка Durbin оставила высокий interchange по дебетовым картам — обслуживать чужие карточные программы для них выгодно. А волне финтех-стартапов 2010-х нужен был доступ к charter и страховке FDIC без многолетнего получения собственной лицензии. Список кандидатов при этом короткий: из примерно 4 200 застрахованных FDIC организаций banking-as-a-service предлагает лишь небольшая группа, и каждый такой банк надзор знает поимённо.

Банки, заметные в BaaS на середину 2026 года (партнёрства меняются часто, поэтому ориентироваться стоит на профиль банка, а не на список его клиентов):

• Cross River Bank (Нью-Джерси) — один из пионеров BaaS и кредитных программ для финтеха.
• Column N.A. — национальный банк с прямым API-доступом без middleware; на нём стоят счета Mercury и Slash.
• Choice Financial Group (Северная Дакота) и Coastal Community Bank (Вашингтон, около $5 млрд активов на начало 2026 года) — заметные банки по счетам и платежам; Coastal ведёт BaaS-программы через платформу CCBX.
• Lead Bank (Канзас-Сити) — сделал ставку на встроенные банковские программы.
• Sutton Bank, Celtic Bank, Pathward (бывший MetaBank) и The Bancorp Bank — давние игроки в эмиссии карт, prepaid и BIN-спонсорстве.

Чему научили провалы: Evolve Bank & Trust — партнёр Synapse — в июне 2024 года получил cease & desist ФРС за слабый AML/BSA, нарушения по OFAC и неэффективный контроль над финтех-партнёрствами. Blue Ridge Bank за провал BSA/AML получил consent order OCC (январь 2024), а 13 ноября 2025 года OCC снял меру: из-под order можно выйти, перестроив контроль.

Как выбрать банк-партнёра:

• Регуляторный статус. Банк под свежим consent order может не иметь права брать новые программы — приказ OCC 2024 года запрещал Blue Ridge новые финтех-партнёрства без возражений регулятора. Это проверяют первым делом.
• Прямой доступ или middleware. Column и Lead тяготеют к API-first без посредника; другие работают через платформы вроде Unit, Treasury Prime, Synctera.
• Специализация. Карты и BIN-спонсорство (Sutton, Celtic, Pathward, Bancorp) против счетов и платежей (Choice, Coastal, Column).
• Концентрация. Насколько банк зависит от пары крупных программ и устойчив ли к их уходу.
• Аппетит к риску. Готовность банка к вертикали и масштабу клиента: кредитование, крипто и трансграничные платежи проходят по-разному.

Новый спрос на банки-спонсоры создают стейблкоины: подписанный в июле 2025 года GENIUS Act впервые задал федеральные правила для эмитентов платёжных стейблкоинов — выпускать их разрешено «дочкам» застрахованных банков, одобренным OCC небанковским эмитентам и эмитентам, квалифицированным штатами, при резервах не меньше 1:1 и под Bank Secrecy Act.

Для эмитента это та же потребность в charter и банке-партнёре, что и у обычного финтеха — подробнее в материале о стейблкоинах; бренду, который не хочет получать собственную PPSI-лицензию, остаётся white-label-эмиссия через Bridge.

Middleware: Unit, Treasury Prime, Synctera — и урок Synapse

Между sponsor bank и финтех-брендом почти всегда стоит технологический посредник — BaaS-платформа, или middleware: открытие счетов, выпуск карт, движение платежей, ledger конечных клиентов и комплаенс-инфраструктура через API. При создании embedded finance финтех непосредственно интегрируется с middleware: sponsor bank часто остаётся за кадром. Лицензии у middleware нет — charter, FDIC-страховка и ответственность перед регулятором остаются на банке, посредник лишь обслуживает поток. Та же конструкция работает и за пределами счетов и карт: в крипте роль бэкенда для брокеров и финтехов играет Zero Hash, а собрать продукт на чужой инфраструктуре может даже G-SIB — так устроен цифровой trust-банк Morgan Stanley.

Ключевые провайдеры:

• Unit — широкая API-платформа: счета, карты, платежи, кредитование.
• Treasury Prime — развернулся от продаж финтехам к продаже софта напрямую банкам (платформа Bank Direct). Логика: регуляторы хотят, чтобы банк сам контролировал партнёра, без посредника-продавца.
• Synctera — end-to-end платформа: инфраструктура, комплаенс и сеть community-банков. Продаёт и самим банкам инструменты для комплаентной спонсорской программы, есть отдельная линейка для Канады.

У краха Synapse есть и финал: CFPB направил на возмещение пострадавшим из своего Civil Penalty Fund US$46,2 млн 28 ноября 2025 года и ещё US$9,0 млн 29 мая 2026 года — всего US$55,2 млн; доступ к фонду открыл символический штраф в US$1 по stipulated judgment, внесённому судом 12 сентября 2025 года. Уже первое распределение покрыло больше половины оценённой недостачи. Вывод для оператора не изменился: главный риск программы — учётная система посредника; целостность middleware-ledger'а и способность банка независимо сверять балансы определяют, получат ли конечные клиенты свои деньги.

После Synapse и interagency guidance банки требуют прямого контроля над конечными клиентами, и middleware переходит к прямым продажам программного обеспечения банкам, а не финтехам (кейс Treasury Prime), а контрактные схемы всё чаще связывают банк и финтех напрямую, оставляя платформе только технологию. Что проверять при выборе middleware:

• Кто держит ledger и как сверяется FBO — ежедневная независимая реконсиляция на стороне банка, а не доверие к системе платформы.
• Какие sponsor banks стоят за платформой и в каком они состоянии — consent orders, аппетит к риску (см. раздел «США: банки-спонсоры»).
• Чей это комплаенс — BSA/AML-программа на банке, платформа лишь инструментарий; кто по контракту отвечает за CIP/CDD конечных клиентов.
• Готовность к прямой модели — продолжит ли программа работать, если банк захочет заключить договор с финтехом напрямую.

EU/UK: EMI-⁠модель

В Европе ту же роль, что sponsor bank в США, играет провайдер с лицензией банка (credit institution) или EMI. Компания подключается к API и предлагает счета, карты и платежи под своим брендом, а лицензию и ответственность держит провайдер; одна home-state авторизация даёт паспорт по всему EEA. Ключевое различие — тип лицензии: банк может принимать депозиты под страховку вкладов и кредитовать, EMI выпускает электронные деньги и ведёт платежи, но клиентские средства защищает не страховка вкладов, а safeguarding — обособление на отдельном счёте либо страховой полис. Минимальный капитал EMI — €350 000, у банка несоразмерно больше; поэтому EMI быстрее и дешевле как провайдер, а банк нужен там, где есть депозиты и кредит.

Заметные провайдеры (середина 2026):

• Банки (credit institution): ClearBank (UK, лицензия PRA/FCA; дочерний ClearBank Europe N.V. авторизован ЕЦБ и поднадзорен DNB — евро-счета, SEPA, SEPA Instant, T2), Griffin (банк Великобритании с авторизацией PRA; счета под защитой FSCS через API), Solaris SE (Германия; полная банковская лицензия, BaFin).
• EMI: Swan (Франция, ACPR; встроенные счета, карты и платежи), Treezor (Франция, ACPR; средства клиентов обособлены в Société Générale), Modulr (UK/ЕС; FCA и DNB, прямой участник Faster Payments и Bacs с расчётными счетами в Банке Англии, principal member Mastercard и Visa), Railsr (UK, FCA; новых агентов и дистрибьюторов может подключать только с предварительного письменного согласия FCA).

На что смотреть: тип лицензии под продукт (застрахованные депозиты и кредит — только через банк), устойчивость провайдера (его регуляторные и финансовые проблемы затрагивают все продукты на его инфраструктуре) и доступ к схемам (прямое участие в платёжных системах, как у Modulr и ClearBank, надёжнее доступа через посредника).

Регуляторный горизонт: PSD3 и PSR включат EMI в единый режим платёжных институтов, сузят исключение для коммерческих агентов и обяжут платёжные системы допускать лицензированных небанковских поставщиков платёжных услуг на объективных недискриминационных условиях. Предварительное политическое соглашение достигнуто 27 ноября 2025 года, комитет ECON Европейского парламента одобрил согласованные тексты 5 мая 2026 года, пленарное голосование ориентировочно назначено на 14 декабря 2026 года (OEIL 2023/0209(COD)); ни один из актов пока не принят и в силу не вступил. По согласованным текстам правила начнут применяться через 21 месяц после вступления в силу, поэтому дату применения можно будет назвать только после публикации актов в Официальном журнале ЕС. Инфраструктура криптоактивов переходит под MiCA и режим CASP, к ICT-рискам применяется EU DORA. Агентская модель и пороги собственных лицензий разобраны в статье о платёжных агентах в ЕС и Великобритании.

Провайдер предоставляет доступ к услугам по своей лицензии: компания получает скорость выхода на рынок и берёт на себя регуляторный и финансовый риск провайдера. Поэтому BaaS-партнёра в Европе выбирают по надзорному статусу, капиталу и реальному доступу к платёжным схемам — API здесь вторично.

Сравнение банков-спонсоров и европейских провайдеров

Сравнение двенадцати банков-спонсоров США

Тип чартера, штат и надзорный орган взяты из реестра FDIC BankFind по отчётности на 30 июня 2026 года; сведения о специализации, модели интеграции и надзорной истории приведены в описаниях банков.

Сравнение выявляет три особенности. Во-первых, все двенадцать банков стоят ниже $10 млрд активов, то есть ниже линии поправки Durbin: банк выше неё получает регулируемый interchange по дебетовым картам, ниже — нерегулируемый, и эта разница и есть экономическая основа всей модели. Исключение проверяется по банку вместе с аффилированными лицами на конец каждого года, поэтому банк у самой линии — The Bancorp с $9,2 млрд, Cross River с $8,5 млрд — это ещё и банк, чья карточная экономика может измениться после удачного года. Во-вторых, надзор неоднороден: шесть из двенадцати подчиняются FDIC, четыре — OCC, два — ФРС, а публичные меры в таблице пришли от разных ведомств: ФРС в 2024-м и OCC в 2026-м. Финтех оценивает consent order любого из них одинаково — как возможную заморозку новых программ, — но выход из-под меры банк обсуждает с разными ведомствами. В-третьих, модели интеграции образуют две группы: Column и Lead продают прямой API и ждут, что финтех понесёт свою долю комплаенса, а карточные банки работают через program managers, стоящих между ними и брендом, — эта модель разобрана в материале о BIN sponsorship.

Сравнение восьми европейских провайдеров

При сравнении европейских провайдеров решающими являются тип лицензии и возможность принимать депозиты и кредитовать. Продукт с депозитами или кредитом может опереться лишь на три провайдера — ClearBank, Griffin и Solaris. Остальные — EMI, где средства клиентов не застрахованы, а обособлены, и где капитал, собственники и надзорный статус самого провайдера становятся риском, который продукт наследует. Прямой доступ к схемам — второй фильтр: провайдер, который рассчитывается через чужой банк, добавляет в цепочку ещё одного коммерческого посредника; прямое участие здесь названо только у Modulr и пары ClearBank.

Для четырёх типов продуктов применяются следующие модели партнёрства.

Пример на риске концентрации. Американская карточная программа получает дебетовый interchange по нерегулируемой ставке лишь пока её спонсор вместе с аффилированными лицами остаётся ниже $10 млрд; если спонсор пересекает линию, тот же объём с июля следующего года оплачивается по регулируемому потолку. Программа, которая к тому же зависит от спонсора под свежим consent order — Evolve в 2024-м, CFSB в 2026-м, — может обнаружить, что одобрение новых программ заморожено именно тогда, когда от них зависит её рост. Оба риска закрываются одинаково: второй спонсор под контрактом до того, как понадобится, и ledger, который программа может сверить без middleware.

Условия для основателей с российским паспортом

Санкции в BaaS действуют на двух уровнях. На уровне конечных клиентов европейского провайдера связывает ст. 5b регламента 833/2014: с 24 октября 2025 года EMI и банк ЕС не вправе выпускать электронные деньги и платёжные инструменты, вести эквайринг и инициирование платежей для граждан и резидентов России без гражданства или вида на жительство ЕЭЗ или Швейцарии, а их депозиты в банке ЕС ограничены €100 тыс. на институт. Продукт, чья целевая аудитория — россияне без европейского статуса, не встроится в европейский BaaS ни у одного провайдера сетки. На уровне самого финтеха банк-спонсор или провайдер проводит KYB до конечных бенефициаров и санкционный скрининг; в США он работает по спискам OFAC, а нарушения по OFAC прямо названы в предписании ФРС против Evolve. Налоговая сторона для основателя — налогового резидента РФ: американская компания, держащая программу, — КИК с уведомлениями по гл. 3.4 НК РФ, а действие ряда положений соглашения об избежании двойного налогообложения с США приостановлено указом № 585 от 8 августа 2023 года.

Применимое регулирование

Отдельного режима для BaaS нет: банк остаётся под обычным надзором (OCC/FDIC/Fed), а отношения с финтехом описывает межведомственное Interagency Guidance on Third-Party Relationships (июнь 2023). После краха Synapse FDIC внесла проект о custodial accounts (NPRM от 2 октября 2024, новый Part 375, RIN 3064-AG07): поимённый учёт бенефициаров и ежедневная сверка остатков, чтобы при падении банка быстро выплатить страховку. Comment period закрылся 16 января 2025; на середину 2026 года правило остаётся на стадии проекта — финальная версия не выпущена.

В 2025-м FDIC под новым руководством отозвала часть проектов (в том числе ограничения по brokered deposits), но проект по custodial-счетам не отзывала — показатель приоритетов надзора.

Параллельно часть игроков переходит от аренды лицензии к собственному чартеру — см. ILC-чартеры и заявки на банковские чартеры в США, а также периметр регулирования и rent-a-bank. Короткий путь — готовый чартер: инфраструктурный финтех Increase теперь работает через Increase Bank — бывший Twin City Bank из штата Вашингтон, переименованный 1 июля 2026 года по данным FDIC BankFind, — вместо многолетней заявки de novo.

Преимущества и риски модели:

Эволюция: кризис BaaS и надзорный разворот

BaaS-бум 2021–2023 годов рос быстрее, чем надзор за ним: десятки банков подключали финтех-программы ради комиссионного дохода и дешёвых депозитов, а контроль за самими программами часто отставал. В июне 2023 года OCC, FDIC и ФРС выпустили совместное Interagency Guidance по управлению рисками третьих сторон, а в 2023–2024 годах по рынку прошла волна предписаний против sponsor banks — среди них Blue Ridge и Evolve, — где регуляторы требовали устранить недостатки в AML и контроле над программами.

Поворотной точкой стал крах Synapse: цепочка «финтех → middleware → банк» делает клиентские средства недоступными, когда реконсиляция держится на посреднике. После него часть банков свернула BaaS-направления, рынок middleware прошёл через консолидацию, а финтехи стали тщательнее проверять надзорную историю банка и предпочитать короткую интеграцию с прямым доступом к партнёру. В Европе сопоставимую роль играют EMI и платёжные лицензии — см. раздел «EU/UK: EMI-модель» выше.

В 2025-м надзорный подход сместился к «rightsizing»: FDIC под новым руководством отозвала ряд спорных проектов, OCC начала закрывать часть старых consent orders, а тон сместился от давления к нормализации. При этом требования к учёту бенефициаров и реконсиляции остались, и базовая логика «банк отвечает за свою программу» закрепилась как новая норма работы рынка.

Что проверяют при выборе партнёра после Synapse: надзорную историю самого банка (были ли consent orders), длину цепочки до денег (прямой доступ или дополнительный middleware-посредник) и качество FBO-учёта и реконсиляции. Чем короче путь от клиента до застрахованного счёта и чем прозрачнее записи, тем устойчивее программа.

Sponsor bank предоставляет финтеху доступ к банковским услугам по своему charter и остаётся ответственным перед регулятором за всю программу; в Европе ту же роль играет провайдер с банковской или EMI-лицензией. Поэтому партнёра проверяют по регуляторному статусу и зрелости надзора раньше, чем по тарифам, а разговор о собственной лицензии начинается там, где масштаб программы перерастает партнёрскую модель.