Карточная программа: роли и риски

Концепция

BIN (Bank Identification Number) — первые цифры номера карты; их выдаёт платёжная схема (Visa, Mastercard) только своему principal member — банку или лицензированному эмитенту. BIN sponsorship — это доступ к чужому BIN: лицензированный участник схемы выпускает карты «на своей бумаге», а финтех строит на них продукт, не будучи сам членом Visa или Mastercard.

Так запускают дебетовые, prepaid и кредитные карты необанки и встроенные финпродукты. Выпуск карт — это всегда регулируемая деятельность (эмиссия e-money или банковский счёт), поэтому BIN-спонсор и несёт лицензию, и отвечает перед схемой.

Откуда это взялось

Эмиссия карт исторически была привилегией банков: выпускать пластик под своим BIN мог только principal member схемы. Сдвиг произошёл, когда issuer-processor'ы вроде Marqeta и Galileo превратили эмиссию в модульный API — финтех получил карточный продукт, не поднимая банк с нуля. В США у модели появился ещё и денежный мотор — экономика interchange.

Поправка Durbin ограничила debit-interchange для банков с активами от $10 млрд (12 CFR § 235.3: 21 цент плюс 5 базисных пунктов от суммы, то есть $0,26 на покупку в $100, а с надбавкой на противодействие мошенничеству по § 235.4 — ещё один цент, $0,27), оставив меньшие банки exempt — у них выходит ~0,8–1,0% от суммы, то есть $0,80–1,00 на те же $100. Поэтому дебетовые программы необанки пускают через небольшие Durbin-exempt банки-спонсоры: повышенный interchange финансирует «бесплатные» счета. Это и есть экономический двигатель американского необанкинга.

Как это устроено

Цепочка обычно такая: principal member (банк или эмитент — держит членство в схеме и BIN) → program manager (ведёт программу, онбординг, часть комплаенса) → issuer-processor (техническая обработка транзакций, авторизация, ledger) → sponsored issuer, то есть финтех с продуктом, брендом и клиентом. Часть ролей финтех может взять in-house, если у него есть лицензия и масштаб.

Роли и провайдеры

• Principal member — банк или лицензированный эмитент с членством Visa/Mastercard и собственными BIN.
• Program manager — оператор программы; иногда это сам спонсор, иногда отдельная компания.
• Issuer-processor — техническое ядро эмиссии. Заметные имена: Marqeta, Galileo, Lithic, Highnote, i2c, Thredd.
• Sponsored issuer / финтех — владелец продукта и клиентского опыта.

Issuer-processors: каталог

Issuer-processor — технический движок выпуска карт: он авторизует, клирингует и рассчитывает транзакции на стороне эмитента, ведёт жизненный цикл карты и ledger программы, отвечая сети за миллисекунды. Сам по себе процессор не даёт ни лицензии, ни BIN — но современные платформы сжали то, что раньше занимало год и стоило миллионы, в трёхнедельную интеграцию по API с оплатой по факту. Выросло это из мейнфреймов: FIS, Fiserv и TSYS десятилетиями обслуживали банки на закрытых системах, пока Marqeta в начале 2010-х не перенесла ту же функцию в API — provisioning карты за минуты, just-in-time funding, песочница для разработчика.

Кто есть кто (середина 2026):

• Marqeta — крупнейший независимый issuer-processor, публичная компания (NASDAQ: MQ); сильна в США, поддерживает debit, credit и prepaid. В 2025-м купила TransactPay с лицензией EMI и добавила BIN-спонсорство и program management в UK и ЕС.
• Galileo — куплена SoFi в 2020 году за US$1,2 млрд, работает самостоятельно (переименовывается в SoFi Tech Solutions); Visa-сертифицированный процессор, основа многих необанков, расширяется в sponsor banking на ядре Cyberbank.
• Lithic — developer-first процессинг из США (из той же команды, что потребительский Privacy.com); ставка на простоту API и выплаты в stablecoin. В 2025-м поднял Series C во главе со Stripes.
• Highnote — в январе 2025-го объединил issuing и acquiring на одном ledger и API (Series B US$90 млн, команда экс-Braintree); летом 2025-го добавил instant payments.
• i2c — давняя, гибко конфигурируемая платформа; глобальное покрытие, debit/credit/prepaid.
• Thredd — экс-Global Processing Services (ребрендинг в апреле 2023-го); британские корни, процессинг с 2007 года, сертификация Visa и Mastercard (оба — среди инвесторов наряду с Advent International), силён в Европе и APAC, 40+ стран.

Рядом с чистыми процессорами работают вертикально интегрированные платформы: Stripe Issuing удобен тем, кто уже внутри экосистемы Stripe и хочет самый быстрый старт; Adyen держит issuing, acquiring и treasury в одном стеке и за год к концу 2025-го провёл около US$1,5 трлн платежей. На другом полюсе — legacy-инфраструктура FIS, Fiserv и Global Payments (бывший TSYS), на которой до сих пор работает большинство банков мира. Рынок в 2025-м пришёл в движение: FIS выкупил issuer-processing бизнес (бывший TSYS Issuer Solutions) у Global Payments примерно за US$13,5 млрд, а Fiserv давит в сторону мерчантов через Clover. Выбор процессора всё чаще тянет за собой и экосистему вокруг: биллинг, treasury, реконсиляцию.

Роли при этом всё чаще собирает один провайдер: Marqeta после покупки TransactPay закрывает BIN-спонсорство и program management в Европе сама, у Galileo появляется sponsor banking. Это упрощает контракт, но не меняет распределение ответственности — перед сетью и регулятором отвечает держатель BIN и лицензии, и в договоре важно прямо зафиксировать, кто именно.

Что проверять при выборе процессора:

• Сертификации сети — Visa Ready / Mastercard и для нужных продуктов (debit, credit, prepaid).
• География — где процессор сертифицирован: США, Европа, APAC. Thredd силён международно, Marqeta и Galileo — в США.
• Совмещение ролей — берёт ли провайдер на себя BIN-спонсорство и program management или только процессинг.
• Модель интеграции и цена — pay-as-you-go против минимумов; скорость go-live.
• Надёжность — uptime, резервирование, токенизация, поддержка сетевых обновлений.

Что нужно, чтобы запустить

• Юрлицо и лицензия. Зарегистрированная компания и, в зависимости от юрисдикции и продукта, лицензия эмитента e-money (EMI) или платёжная (PI) — либо работа под лицензией спонсора.
• Комплаенс-обвязка. KYC/AML, транзакционный мониторинг, обработка споров и chargeback.
• Инфраструктура. Связка program manager + issuer-processor (или эти функции in-house).
• Сроки. Порядка 3–6 месяцев до запуска через готового спонсора и процессора.
• Стоимость. Setup fee, транзакционные сборы, revenue share (часть interchange) и collateral, который спонсор удерживает под расчётный риск.

Комплаенс

PCI-DSS для обработки карточных данных; правила схемы (брендинг, лимиты, дисклоужеры); AML и санкционный скрининг; расчётные циклы и collateral; управление спорами и fraud. Нарушение правил схемы бьёт прежде всего по спонсору — отсюда жёсткость требований к партнёру.

Применимое регулирование

Карточные схемы Visa и Mastercard работают по частным правилам членства, а под ними лежит лицензионный режим конкретного рынка. В ЕС и UK это режим эмиссии e-money и платёжных услуг — см. агентов и паспортизацию в платежах; в США выпуск карт идёт через sponsor bank — см. гайд BaaS, где теперь и обзор банков-спонсоров США. Общий контур встроенных финуслуг — в embedded finance (McKinsey: embedded finance и BaaS).

Кейсы

Самые заметные необанки построены ровно так. Chime выпускает дебетовые карты через The Bancorp Bank и Stride Bank — оба под $10 млрд активами, оба Durbin-exempt. Cash App от Block работает через Sutton Bank, а техническое ядро эмиссии у группы собственное — процессор Marqeta. В ЕС и UK Revolut и Wise стартовали на стороннем issuer-processor (GPS, ныне Thredd) и по мере роста объёмов добирали собственные лицензии и членство в схемах. Витрина встроенных финпродуктов разобрана в embedded finance, раздел «Кейсы».

Эквайринг: PayFac, ISO и merchant of record

Эмиссия карт и приём платежей — разные продуктовые слои. Три модели по-разному распределяют договор с мерчантом и операционный риск:

• PayFac использует master MID, подключает sub-merchant'ов и отвечает за андеррайтинг, мониторинг, резервы и chargeback'и.
• ISO распространяет продукт эквайера; договор и андеррайтинг каждого мерчанта остаются у эквайера.
• Merchant of record заключает договор с покупателем как продавец и поэтому берёт на себя приём платежа вместе с инвойсингом, косвенными налогами, возвратами и потребительскими требованиями.

Managed PayFac и PayFac-as-a-service находятся между этими полюсами: платформа контролирует больше пользовательского пути, а лицензированный или зарегистрированный провайдер даёт доступ и риск-инфраструктуру. Канонический decision guide — договорная цепочка, правила платёжных систем, регуляторный периметр, экономика и выбор модели для marketplace, SaaS-вертикали или инфраструктурной платформы — это PayFac, ISO и merchant of record: кто несёт риск в эквайринге.

Сначала определяется продукт. Правила Visa и Mastercard, режим платёжного агента, KYC/KYB, PCI DSS и налоговый учёт выступают ограничениями внутри выбранной модели. Нужно решить, кто владеет отношениями с мерчантом, онбордингом и убытками, а затем выбирать форму доступа.

Риски и куда это движется

Слабым звеном модели оказалась middleware-прослойка между финтехом и банком. Банкротство посредника Synapse в 2024-м заморозило клиентские средства и вскрыло разрывы в реконсиляции счетов; следом пошла волна consent orders регуляторов США (FDIC, OCC, ФРС) против банков-спонсоров за слабый надзор над партнёрами и пробелы в AML. FDIC предложила правило о near-real-time сверке счетов конечных клиентов — его уже прозвали «Synapse rule». Формально это Recordkeeping for Custodial Accounts, опубликованное в Federal Register 2 октября 2024 года с продлённым сроком комментариев; на сентябрь 2026 года оно так и остаётся проектом — ни финального текста, ни отзыва не опубликовано. Слой посредников разобран в гайде BaaS, раздел «Middleware».

В ЕС перестраивается сам лицензионный каркас. Пакет PSD3 и PSR сольёт режимы Payment Institution и EMI в единую лицензию Payment Institution с правом эмиссии e-money; действующие EMI грандфазерятся, но обновляют документацию под новую таксономию. Пакет ещё не принят: согласованные в трилоге тексты комитет ECON Европарламента одобрил 5 мая 2026 года (процедуры 2023/0209(COD) и 2023/0210(COD)), оба досье ждут позицию Совета в первом чтении, а ориентировочная дата пленарного голосования — 14 декабря 2026 года. Сроки применения будут зафиксированы только в принятых текстах. Что это значит для BaaS и EMI в ЕС — в гайде BaaS, раздел «EU/UK: EMI-модель».