🇺🇸BaaS: как банковский продукт живёт без лицензии

Концепция

BaaS (banking-as-a-service) — модель, в которой лицензированный банк отдаёт счета, карты и платежи наружу через API, а небанковский бренд встраивает их в свой продукт. По сути это white-label banking: для клиента это «счёт в финтехе», юридически — счёт в банке-партнёре. Это одна из вертикалей embedded finance.

Тот, кто строит финтех, не получает банковскую лицензию — в США это 3–5 лет и существенный капитал. Он арендует доступ к чужой лицензии: подключается к sponsor bank и строит продукт поверх его charter.

Как это устроено

Три роли. Sponsor bank держит charter и страховку FDIC и отвечает перед регулятором. Middleware/BaaS-платформа даёт API и часть комплаенс-операций. Финтех ведёт продукт и привлекает клиентов. Банк зарабатывает на проценте по депозитам, доле interchange и плате за регуляторный доступ.

Деньги клиентов лежат в банке-партнёре, часто на pooled FBO-счёте (for-benefit-of). Страховка FDIC работает как pass-through: $250 000 на конечного вкладчика на банк — при условии корректного поимённого учёта; sweep-сети по нескольким банкам поднимают лимит (у Mercury — до $5 млн). Критичный узел — реконсиляция: картина «чьи деньги на счёте» должна совпадать у банка и у платформы постоянно. Это та же дисциплина safeguarding, что и в корреспондентском банкинге.

Цену сбоя показал крах middleware Synapse (подробный разбор — в разделе «Middleware» ниже): 22 апреля 2024 года он подал на банкротство, и около $200 млн клиентских средств зависло на pooled FBO-счетах. Ledger’ы посредника разошлись с записями банков-партнёров, недостача оценивалась в $65–95 млн, пострадало больше 100 тысяч человек, а банк-партнёр Evolve отказался закрывать дыру из собственных денег. Реконсиляция держалась на системе самого Synapse — когда она встала, восстановить, кому сколько принадлежит, было уже не из чего.

Что нужно, чтобы запустить

Своей банковской лицензии не нужно. Нужен sponsor bank и, как правило, middleware либо issuer-processor (Unit, Treasury Prime, Synctera, Lithic, Marqeta — в зависимости от продукта). Банк-партнёр проводит due diligence по interagency guidance и относит финтех к высшему тиру риска.

Что попросит банк при онбординге: audited financials и runway; устойчивость бизнес-модели; операционную зрелость — платформа, штат, BCP/DR, трек-рекорд; готовый пакет политик BSA/AML, KYC/KYB, PCI-DSS и обработки PII. Без укомплектованной комплаенс-функции на онбординг можно не приходить.

Комплаенс

Финтех несёт операционный комплаенс, который банк обязан контролировать. Базовый набор: все pillars BSA; CIP плюс CDD/EDD; санкционный скрининг; транзакционный мониторинг. Банк требует demonstrable control над онбордингом конечных клиентов — это шире формального CIP.

Надзор идёт по каденции: compliance testing — не реже ежеквартального, финансовый review — не реже раза в полугодие, полный annual review раз в год. Слабый third-party risk management — главная причина санкций: в 2024 consent orders получили Blue Ridge (OCC, BSA/AML, «troubled condition»), Evolve (Fed), Cross River, First Fed.

Как это делается на рынке

Типовой стек: банк-партнёр + middleware + issuer-processor. Публичный пример: Mercury (финтех, не банк) работает с Choice Financial и Column N.A.; в марте 2025 Mercury объявил уход от Evolve к Column и Choice. Профили банков-спонсоров и тех, кого сторонятся (Evolve, Blue Ridge), — ниже в разделе «США: банки-спонсоры»; карточная часть — в материале о BIN sponsorship.

На что смотреть при выборе. Экономика: доля interchange, плата за доступ, минимальные обороты. Концентрация: банк с десятками финтех-программ под давлением надзора закрывает их пачками — стоит диверсифицировать партнёров. Контроль над данными: ваш доступ к ledger и реконсиляции должен быть независим от middleware, иначе повторится сценарий Synapse. Право на исход: заранее пропишите перенос программы и клиентских средств в другой банк.

США: банки-спонсоры

Партнёрский банкинг вырос из двух сил. Малым банкам (активы до $10 млрд) поправка Durbin оставила высокий interchange по дебетовым картам — обслуживать чужие карточные программы для них выгодно. А волне финтех-стартапов 2010-х нужен был доступ к charter и страховке FDIC без многолетнего получения собственной лицензии. Список кандидатов при этом короткий: из примерно 4 400 банков США banking-as-a-service вообще предлагают меньше сотни, по-настоящему активны около двадцати, а костяк рынка — примерно дюжина имён, каждое из которых регуляторы знают поимённо.

Банки, заметные в BaaS на середину 2026 года (партнёрства меняются часто, поэтому ориентироваться стоит на профиль банка, а не на список его клиентов):

• Cross River Bank (Нью-Джерси) — один из пионеров BaaS и кредитных программ для финтеха. В 2023 году получил consent order FDIC по fair lending и теперь обязан согласовывать новые партнёрства с регулятором.
• Column N.A. — банк, построенный инженерами для прямого API-доступа без middleware; популярен у инфраструктурных финтехов.
• Choice Financial Group (Северная Дакота) и Coastal Community Bank (Вашингтон, около $5 млрд активов на начало 2026 года) — заметные банки по счетам и платежам; Coastal через платформу CCBX ведёт несколько десятков программ и держит партнёров под плотным контролем.
• Lead Bank (Канзас-Сити) — перезапущен командой с финтех-бэкграундом под встроенные банковские программы.
• Sutton Bank, Celtic Bank, Pathward (бывший MetaBank) и The Bancorp Bank — давние игроки в эмиссии карт, prepaid и BIN-спонсорстве.

Чему научили провалы: Evolve Bank & Trust — партнёр Synapse — в июне 2024 года получил cease-and-desist ФРС за слабый AML/BSA, нарушения по OFAC и неэффективный контроль над финтех-партнёрствами, а тем же летом пережил крупную утечку данных. Blue Ridge Bank за провал BSA/AML получил consent order OCC (январь 2024), набрал новую команду риск-менеджмента — и 13 ноября 2025 года OCC снял меру: из-под order можно выйти, перестроив контроль. Через схожие предписания за надзор над финтех-партнёрствами проходили Lineage, Piermont и Sutton.

Как выбрать банк-партнёра:

• Регуляторный статус. Банк под свежим consent order может не иметь права брать новые программы — как Cross River после 2023 года. Это проверяют первым делом.
• Прямой доступ или middleware. Column и Lead тяготеют к API-first без посредника; другие работают через платформы вроде Unit, Treasury Prime, Synctera.
• Специализация. Карты и BIN-спонсорство (Sutton, Celtic, Pathward, Bancorp) против счетов и платежей (Choice, Coastal, Column).
• Концентрация. Насколько банк зависит от пары крупных программ и устойчив ли к их уходу.
• Аппетит к риску. Готовность банка к вашей вертикали и масштабу: кредитование, крипто и трансграничные платежи проходят по-разному.

Новый спрос на банки-спонсоры создают стейблкоины: подписанный в июле 2025 года GENIUS Act впервые задал федеральные правила для эмитентов платёжных стейблкоинов — выпускать их разрешено банковским «дочкам» и одобренным OCC структурам при 100-процентном резервировании и под BSA/AML. Для эмитента это та же потребность в charter и банке-партнёре, что и у обычного финтеха — подробнее в материале о стейблкоинах.

Middleware: Unit, Treasury Prime, Synctera — и урок Synapse

Между sponsor bank и финтех-брендом почти всегда стоит технологический посредник — BaaS-платформа, или middleware: открытие счетов, выпуск карт, движение платежей, ledger конечных клиентов и комплаенс-обвязка через API. Для того, кто строит embedded finance, middleware — это то, во что он реально интегрируется: sponsor bank часто остаётся за кадром. Лицензии у middleware нет — charter, FDIC-страховка и ответственность перед регулятором остаются на банке, посредник лишь обслуживает поток.

Ключевые провайдеры:

• Unit — широкая API-платформа: счета, карты, платежи, кредитование. После 2024-го поднимает планку отбора финтехов, потому что банки сузили аппетит к риску.
• Treasury Prime — в феврале 2024-го сократил около половины штата и развернулся от продаж финтехам к продаже софта напрямую банкам (продукт Bank-Direct). Логика: регуляторы хотят, чтобы банк сам контролировал партнёра, без посредника-продавца.
• Synctera — end-to-end платформа: инфраструктура, комплаенс и сеть community-банков. Сделала ставку на пост-2024 ужесточение — усиленная реконсиляция, fraud- и BSA-инструменты; в марте 2025-го подняла US$15 млн (всего около US$94 млн), подписала Bolt и вышла в Канаду.

У краха Synapse есть и финал: в ноябре 2025-го суд прекратил дело о банкротстве — средств расплатиться не было, покупателей на активы не нашлось. Параллельно CFPB направил US$46,2 млн из своего Civil Penalty Fund на возмещение пострадавшим (решение от 28 ноября 2025-го, разблокированное символическим штрафом в US$1 по stipulated judgment). Это покрыло примерно половину недостачи и стало первым случаем, когда фонд задействовали под финтех-инцидент. Вывод для оператора не изменился: главный риск программы — учётная система посредника; целостность middleware-ledger'а и способность банка независимо сверять балансы определяют, получат ли конечные клиенты свои деньги.

После Synapse и interagency guidance банки требуют прямого контроля над конечными клиентами, и middleware идёт «в прямую»: продаёт софт банкам, а не финтехам (кейс Treasury Prime), а контрактные схемы всё чаще связывают банк и финтех напрямую, оставляя платформе только технологию. Что проверять при выборе middleware:

• Кто держит ledger и как сверяется FBO — ежедневная независимая реконсиляция на стороне банка, а не доверие к системе платформы.
• Какие sponsor banks стоят за платформой и в каком они состоянии — consent orders, аппетит к риску (см. раздел «США: банки-спонсоры»).
• Чей это комплаенс — BSA/AML-программа на банке, платформа лишь инструментарий; кто по контракту отвечает за CIP/CDD конечных клиентов.
• Готовность к прямой модели — выживет ли программа, если банк захочет контрактовать финтех напрямую.

EU/UK: необанк-модель

В Европе ту же роль, что sponsor bank в США, играет провайдер с лицензией банка (credit institution) или необанк. Компания подключается к API и предлагает счета, карты и платежи под своим брендом, а лицензию и ответственность держит провайдер; одна home-state авторизация даёт паспорт по всему EEA. Ключевое различие — тип лицензии: банк может принимать депозиты под страховку вкладов и кредитовать, необанк выпускает электронные деньги и ведёт платежи, но клиентские средства защищает не страховка вкладов, а safeguarding — обособление на отдельном счёте либо страховой полис. Минимальный капитал необанк — €350 000, у банка несоразмерно больше; поэтому необанк быстрее и дешевле как провайдер, а банк нужен там, где есть депозиты и кредит.

Заметные провайдеры (середина 2026):

• Банки (credit institution): ClearBank (UK, лицензия PRA/FCA; с августа 2024 ClearBank Europe N.V. держит Credit Institution Licence от ЕЦБ под надзором DNB — евро-счета, SEPA, SEPA Instant, TARGET2), Griffin (UK; полная банковская лицензия с марта 2024 — первая BaaS-платформа Великобритании с полным charter), Solaris SE (Германия; банковская лицензия и необанк, но с декабря 2022 под особым надзором BaFin — спецпредставитель, новые клиенты только с одобрения регулятора; в 2024-м привлёк €96 млн Series F и гарантию капитала до €100 млн).
• neobank: Swan (Франция, ACPR, паспорт EEA; счета, карты и локальные IBAN, 150+ компаний в 30 странах), Treezor (Франция, ACPR, Principal Member Mastercard; принадлежит Société Générale, которая в январе 2026 договорилась о продаже Treezor финтеху Shares), Modulr (UK/ЕС; FCA и DNB, прямой участник Faster Payments и Bacs с расчётными счетами в Банке Англии, principal member Mastercard и Visa), Railsr (после pre-pack administration 2023 года рекапитализирован; в декабре 2024 договорился о покупке Equals Group за £283 млн и стал одним из крупнейших embedded-finance-провайдеров Европы).

На что смотреть: тип лицензии под продукт (застрахованные депозиты и кредит — только через банк), устойчивость провайдера (истории Solaris и Railsr показывают, что его регуляторные и финансовые проблемы бьют по всем, кто на нём построен) и доступ к схемам (прямое участие в платёжных системах, как у Modulr и ClearBank, надёжнее доступа через посредника).

Регуляторный горизонт: PSD3 и PSR сведут необанк и платёжные институты в один режим, сузят исключения для агентов и откроют небанкам прямой доступ к платёжным системам — политическое соглашение достигнуто в ноябре 2025, согласованные тексты прошли COREPER в апреле 2026, применение ожидается после переходного периода, ориентировочно с 2027–2028 года. Крипто-рельсы уходят под MiCA и режим CASP, к ICT-рискам применяется EU DORA. Агентская модель и пороги собственных лицензий разобраны в агентах в платежах EU/UK.

Применимое регулирование

Отдельного режима для BaaS нет: банк остаётся под обычным надзором (OCC/FDIC/Fed), а отношения с финтехом описывает межведомственное Interagency Guidance on Third-Party Relationships (июнь 2023). После краха Synapse FDIC внесла проект о custodial accounts (NPRM от 2 октября 2024, новый Part 375, RIN 3064-AG07): поимённый учёт бенефициаров и ежедневная сверка остатков, чтобы при падении банка быстро выплатить страховку. Comment period закрылся 16 января 2025; на середину 2026 года правило остаётся на стадии проекта — финальная версия не выпущена. В 2025-м FDIC под новым руководством отозвала часть проектов (brokered deposits, merger policy), но правило по custodial-счетам сохранила — показательный маркер того, куда дрейфует надзор. Параллельно идёт «rightsizing» и сдвиг части игроков от аренды лицензии к прямому чартеру — см. периметр регулирования и rent-a-bank.

Эволюция: кризис BaaS и надзорный разворот

BaaS-бум 2021–2023 годов рос быстрее, чем надзор за ним: десятки банков подключали финтех-программы ради комиссионного дохода и дешёвых депозитов, а контроль за самими программами часто отставал. В июне 2023 года OCC, FDIC и ФРС выпустили совместное Interagency Guidance по управлению рисками третьих сторон, а в 2024-м по рынку прошла волна consent orders против sponsor banks — среди них Blue Ridge, Cross River и Evolve, — где регуляторы требовали навести порядок в AML и в контроле над программами.

Поворотной точкой стал крах Synapse: цепочка «финтех → middleware → банк» оставляет деньги клиентов в подвешенном состоянии, когда реконсиляция держится на посреднике. После него часть банков свернула BaaS-направления, middleware-слой прошёл через консолидацию, а финтехи стали тщательнее проверять надзорную историю банка и предпочитать короткую интеграцию с прямым доступом к партнёру. В Европе сопоставимую роль играют необанк и платёжные лицензии — см. раздел «EU/UK: необанк-модель» выше.

В 2025-м маятник качнулся к «rightsizing»: FDIC под новым руководством отозвала ряд спорных проектов, OCC начала закрывать часть старых consent orders, а тон сместился от давления к нормализации. При этом требования к учёту бенефициаров и реконсиляции остались, и базовая логика «банк отвечает за свою программу» закрепилась как новая норма работы рынка.

Источники

• GENIUS Act
• Interagency Guidance on Third-Party Relationships (июнь 2023)
• Federal Register — custodial accounts
• Bankingdive — прекратил дело о банкротстве