Карточная программа: роли и риски

Концепция

BIN (Bank Identification Number) — первые цифры номера карты; их выдаёт платёжная схема (Visa, Mastercard) только своему principal member — банку или лицензированному эмитенту. BIN sponsorship — это доступ к чужому BIN: лицензированный участник схемы выпускает карты «на своей бумаге», а финтех строит на них продукт, не будучи сам членом Visa или Mastercard.

Так запускают дебетовые, prepaid и кредитные карты необанки и встроенные финпродукты. Выпуск карт — это всегда регулируемая деятельность (эмиссия e-money или банковский счёт), поэтому BIN-спонсор и несёт лицензию, и отвечает перед схемой.

Членство в Visa/Mastercard и ответственность перед схемой остаются на BIN-спонсоре. Финтех арендует доступ, а требования — PCI-DSS, мониторинг, collateral — диктуют спонсор и схема.

История модели

Эмиссия карт исторически была привилегией банков: выпускать карты под своим BIN мог только principal member схемы. Сдвиг произошёл, когда issuer-processors, такие как Marqeta и Galileo, превратили эмиссию в модульный API — финтех получил карточный продукт без создания собственного банка. В США дополнительным экономическим основанием модели стал доход от interchange.

Поправка Durbin ограничила debit-interchange для банков с активами от $10 млрд (12 CFR § 235.3: 21 цент плюс 5 базисных пунктов от суммы, то есть $0,26 на покупку в $100, а с надбавкой на противодействие мошенничеству по § 235.4 — ещё один цент, $0,27), оставив меньшие банки exempt. По данным ФРС за 2024 год, в dual-message сетях средний interchange по exempt-транзакциям составил $0,61, или 1,41% от средней суммы покупки, против $0,22 (0,45%) по регулируемым. Поэтому дебетовые программы необанки запускают через небольшие Durbin-exempt банки-спонсоры: повышенный interchange финансирует «бесплатные» счета. У Chime, например, interchange по дебетовым картам дал 49% выручки за 2025 год (10-K).

Как это устроено

Цепочка обычно такая: principal member (банк или эмитент — обладает членством в схеме и BIN) → program manager (ведёт программу, онбординг, часть комплаенса) → issuer-processor (техническая обработка транзакций, авторизация, ledger) → sponsored issuer, то есть финтех с продуктом, брендом и клиентом. Часть функций финтех может выполнять самостоятельно, если у него есть лицензия и масштаб.

Роли и провайдеры

В цепочке эмиссии четыре роли:

• Principal member — банк или лицензированный эмитент с членством Visa/Mastercard и собственными BIN.
• Program manager — оператор программы; иногда это сам спонсор, иногда отдельная компания.
• Issuer-processor — техническое обеспечение эмиссии. Среди провайдеров: Marqeta, Galileo, Lithic, Highnote, i2c, Thredd.
• Sponsored issuer / финтех — владелец продукта и клиентского опыта.

Провайдеры эмитентского процессинга

Issuer-processor — техническая платформа выпуска карт: он авторизует, клирингует и рассчитывает транзакции на стороне эмитента, ведёт жизненный цикл карты и ledger программы, отвечая сети за миллисекунды. Сам по себе процессор не даёт ни лицензии, ни BIN — но современные платформы превратили долгую банковскую интеграцию в работу с API, часто с оплатой по факту. Исторически процессинг работал на мейнфреймах: FIS, Fiserv и TSYS десятилетиями обслуживали банки на закрытых системах, пока API-процессоры вроде Marqeta не перенесли ту же функцию в API — provisioning карты за минуты, just-in-time funding, песочница для разработчика.

Основные провайдеры на середину 2026 года:

• Marqeta — один из ведущих независимых issuer-processors, публичная компания (NASDAQ: MQ); имеет сильные позиции в США, поддерживает debit, credit и prepaid. Объём обработки на платформе за 2025 год — US$382,5 млрд. 31 июля 2025 года закрыла покупку TransactPay и получила лицензии e-money institution и BIN-спонсорство в UK, Гибралтаре и ЕЭЗ.
• Galileo — куплена SoFi в мае 2020 года за US$1,2 млрд и входит в технологическую платформу SoFi, обслуживает финтехи и банки; с 2024 года ядро Cyberbank работает в программе sponsor bank у SoFi.
• Lithic — американский процессинг, ориентированный на разработчиков; вырос из сервиса виртуальных карт Privacy, основанного в 2014 году, которому не хватало возможностей прежнего процессора. Приоритеты платформы — простота API и скорость выпуска первой карты.
• Highnote — американская платформа, где issuing, acquiring, кредитные программы, money movement и ledger в реальном времени собраны вместе.
• i2c — давняя, гибко конфигурируемая платформа; глобальное покрытие, debit/credit/prepaid.
• Thredd — экс-Global Processing Services: британская операционная компания переименована в Thredd UK Limited в апреле 2023 года. Британский issuer-processor.

Рядом с чистыми процессорами работают Stripe Issuing и Adyen Issuing — эмиссия в составе более широкой платёжной платформы: такая интеграция удобна для действующих клиентов платформы и менее удобна при необходимости независимого от спонсора процессора. Другую часть рынка составляет традиционная инфраструктура банковского процессинга FIS, Fiserv и бывшего эмитентского бизнеса TSYS.

В 2025 году на рынке происходили изменения: в апреле FIS договорился купить у Global Payments бизнес Issuer Solutions (бывший эмитентский процессинг TSYS) исходя из стоимости бизнеса US$13,5 млрд, сделка закрыта 9 января 2026 года. Выбор процессора всё чаще определяет и сопутствующую инфраструктуру: биллинг, казначейские функции и сверку расчётов.

Функции при этом всё чаще совмещает один провайдер: Marqeta после покупки TransactPay обеспечивает BIN-спонсорство и program management в Европе сама, SoFi запустила программу sponsor bank на своей технологической платформе. Это упрощает контракт, но не меняет распределение ответственности — перед сетью и регулятором отвечает держатель BIN и лицензии, и в договоре важно прямо зафиксировать, кто именно.

Критерии выбора процессора:

• Сертификации сети — Visa Ready / Mastercard и для нужных продуктов (debit, credit, prepaid).
• География — где процессор сертифицирован и уже работает: США, Европа, APAC.
• Совмещение ролей — берёт ли провайдер на себя BIN-спонсорство и program management или только процессинг.
• Модель интеграции и цена — оплата по использованию или минимальные платежи; скорость запуска.
• Надёжность — uptime, резервирование, токенизация, поддержка сетевых обновлений.

Требования к запуску

Запуск программы требует пяти компонентов:

• Юрлицо и лицензия. Зарегистрированная компания и, в зависимости от юрисдикции и продукта, лицензия эмитента e-money (EMI) или платёжная (PI) — либо работа под лицензией спонсора.
• Комплаенс-инфраструктура. KYC/AML, транзакционный мониторинг, обработка споров и chargeback.
• Инфраструктура. Связка program manager + issuer-processor (или эти функции in-house).
• Сроки. Задаются в основном due diligence спонсора и сертификацией в схеме, а не интеграцией по API.
• Стоимость. Setup fee, транзакционные сборы, revenue share (часть interchange) и collateral, который спонсор удерживает под расчётный риск.

Комплаенс

PCI-DSS для обработки карточных данных; правила схемы (брендинг, лимиты, дисклоужеры); AML и санкционный скрининг; расчётные циклы и collateral; управление спорами и fraud. Последствия нарушения правил схемы прежде всего несёт спонсор, что обусловливает строгость требований к партнёру.

Применимое регулирование

Карточные схемы Visa и Mastercard работают по частным правилам членства, при этом применяется лицензионный режим конкретного рынка. В ЕС и UK это режим эмиссии e-money и платёжных услуг — см. агентов и паспортизацию в платежах; в США выпуск карт идёт через sponsor bank — см. материал BaaS, включающий обзор банков-спонсоров США. Встроенные финансовые услуги описаны в статье embedded finance.

Кейсы

Наиболее заметные необанки используют эту модель. Chime выпускает дебетовые карты через The Bancorp Bank и Stride Bank — оба под $10 млрд активами, оба Durbin-exempt. Предоплаченную карту Cash App от Block выпускает Sutton Bank, а карточную программу ведёт Marqeta. В ЕС и UK финтехи обычно стартуют на стороннем issuer-processor и лицензии спонсора, а по мере роста объёмов получают собственные лицензии и членство в схемах. Примеры встроенных финансовых продуктов приведены в статье embedded finance, раздел «Кейсы».

Эквайринг: PayFac, ISO и merchant of record

Эмиссия карт и приём платежей — разные направления деятельности. Три модели по-разному распределяют договор с мерчантом и операционный риск:

• PayFac использует master MID, подключает sub-merchant'ов и отвечает за андеррайтинг, мониторинг, резервы и chargeback'и.
• ISO распространяет продукт эквайера; договор и андеррайтинг каждого мерчанта остаются у эквайера.
• Merchant of record заключает договор с покупателем как продавец и поэтому берёт на себя приём платежа вместе с инвойсингом, косвенными налогами, возвратами и потребительскими требованиями.

Managed PayFac и PayFac-as-a-service занимают промежуточное положение между этими моделями: платформа контролирует больше пользовательского пути, а лицензированный или зарегистрированный провайдер даёт доступ и риск-инфраструктуру. Договорная цепочка, правила платёжных систем, регуляторный периметр, экономика и выбор модели для marketplace, SaaS-вертикали или инфраструктурной платформы рассмотрены в статье PayFac, ISO и merchant of record: кто несёт риск в эквайринге.

Сначала определяется продукт. Правила Visa и Mastercard, режим платёжного агента, KYC/KYB, PCI DSS и налоговый учёт выступают ограничениями внутри выбранной модели. Нужно решить, кто владеет отношениями с мерчантом, онбордингом и убытками, а затем выбирать форму доступа.

Риски и развитие регулирования

Уязвимым элементом модели оказались middleware-посредники между финтехом и банком. Посредник Synapse подал на банкротство по главе 11 22 апреля 2024 года. По данным CFPB, банки-партнёры недосчитались от $60 до $90 млн клиентских средств против записей Synapse, а клиенты неделями и месяцами не имели доступа к деньгам. 14 июня 2024 года ФРС приняла меры принуждения против банка-партнёра Evolve за недостатки в AML, риск-менеджменте и защите прав потребителей. FDIC предложила правило об учёте кастодиальных счетов с транзакционными функциями, чтобы по каждому конечному клиенту было видно, кому принадлежат средства. Формально это Recordkeeping for Custodial Accounts, опубликованное в Federal Register 2 октября 2024 года с продлённым сроком комментариев; на сентябрь 2026 года оно так и остаётся проектом — ни финального текста, ни отзыва не опубликовано. Деятельность посредников рассмотрена в статье BaaS, раздел «Middleware».

В ЕС изменяется система лицензирования. Пакет PSD3 и PSR должен заменить PSD2 и директиву об e-money 2009/110/EC и включить эмиссию e-money в единый режим платёжных услуг; переходный порядок для действующих EMI определят принятые тексты. Пакет ещё не принят: Совет и Парламент согласовали тексты в межинституциональных переговорах, эти тексты комитет ECON Европарламента одобрил 5 мая 2026 года (процедуры 2023/0209(COD) и 2023/0210(COD)), оба досье ждут позицию Совета в первом чтении, а ориентировочная дата пленарного голосования — 14 декабря 2026 года. Сроки применения будут зафиксированы только в принятых текстах. Последствия для BaaS и EMI в ЕС рассмотрены в статье BaaS, раздел «EU/UK: EMI-модель».