Аудит без доступа

Разница между проверкой документации о соответствии и анализом операционных данных — это разница между чтением инструкции и осмотром машины в работе.

Аналитическая записка №4 · Серия: Governance Briefs · Май 2026 · Операционализирует: Эссе 8 «Передача полномочий» — Beyond Control: Theory of Limits of AI Governance

English version

Решение Правления ЦБ от 25 марта 2026 года, зарегистрированное Министерством юстиции 15 апреля 2026 года (рег. №3817), закладывает операционную основу единой системы QR-платежей Узбекистана. Техническая конструкция документа последовательна. Она стандартизирует форматы QR-кодов для всех банков и платёжных сервисов, создаёт механизм предоставления расчётных данных в режиме реального времени и переводит всю розничную платёжную инфраструктуру на единую операционную платформу. С 1 июля 2026 года приём QR-платежей станет обязательным для всех торговых и сервисных организаций страны. По объёму и охвату эта система формирует первый в истории Узбекистана централизованный поведенческий финансовый датасет в реальном времени такого масштаба — то есть непрерывно обновляемую запись платёжных паттернов по каждой коммерческой транзакции в стране. Это весомое достижение. Оно же порождает структурный вопрос, который Правила не решают: кто вправе изучать эти данные и при каких институциональных условиях.

Что требует аудит на практике

Аналитическая записка №3 установила: ни один орган в действующей публичной архитектуре не располагает одновременно независимым мандатом, определёнными правами доступа к данным и операционными полномочиями для верификации поведения ИИ-систем. Настоящая записка идёт на уровень глубже: даже если такой орган будет создан, он столкнётся с предшествующей структурной проблемой.

Аналитическая записка №1 серии зафиксировала этот разрыв на уровне самой оперативной нормы ЗРУ-1115: запрет на исключительную опору на ИИ не обеспечен механизмом независимой верификации в действующей архитектуре.

Правоприменение Ст. 7¹ Закона ЗРУ-1115 — запрета опираться исключительно на выводы ИИ при принятии юридически значимых решений — требует конкретного доказательственного инструментария, который документарная проверка обеспечить не может. То, что ИИ-системы декларируют в документации, и то, что они фактически производят в работе, может расходиться. Это расхождение не является исключением. Независимые технические аудиты ИИ-систем в банковском, страховом и кредитном секторах фиксируют его как устойчивую структурную черту сложных систем, работающих в масштабе, — через явления, задокументированные как дрейф модели, автоматизированная предвзятость и систематические отклонения, выявленные в аудитах алгоритмического кредитного скоринга. Установить, что учреждение использовало вывод ИИ-системы как единственное основание решения, а не как один из факторов, можно только при доступе к операционному журналу: записи о том, что именно система выдала, когда и в ответ на какой входящий сигнал.

Архитектуру, которую создаёт Постановление №3817

Статьи 6-8 Правил определяют архитектуру данных единой QR-системы с конкретностью, принципиальной для надзорного анализа. Оператор обрабатывает данные всех участников системы и осуществляет первичные расчёты, предоставляя расчётную информацию и сведения о комиссиях в режиме реального времени или в тот же операционный день. Оператор ведёт мониторинг транзакционных потоков в реальном времени и автоматически оповещает участников о несоответствиях и рисках. Оператор ведёт единый реестр всех статических и динамических идентификаторов QR-кодов в масштабах всей системы.

Постановление ЦБ рег. №3266 (2020) обязывает агентов-эквайеров проводить идентификацию (KYC) торговцев и автоматически передавать идентификационные данные в систему. К моменту выхода единой QR-системы на обязательный масштаб централизованный реестр будет содержать не только транзакционные потоки, но и данные об идентичности и виде деятельности каждого участвующего коммерческого субъекта страны.

Статья 35 Правил возлагает мониторинг и надзор за соблюдением Правил на Центральный банк Республики Узбекистан. Ни одно положение не создаёт прав доступа для какого-либо органа за пределами этой структуры. Данные движутся: от транзакций к Оператору, от Оператора к участникам системы и в ЦБ. Архитектура спроектирована для операционных расчётов, а не для институциональной верификации извне расчётной цепи. Независимый верификационный орган не имел бы определённого пути доступа к данным в рамках действующего регулирования.

Это структурное условие с конкретным governance-следствием. Структура, наилучшим образом позиционированная для оценки соответствия ИИ-систем требованиям ЗРУ-1115, не располагает ни независимым мандатом, ни определённым доступом к данным. Разрыв не является результатом недосмотра. Это предсказуемое структурное следствие инфраструктуры, спроектированной для операционной эффективности, а не для независимой верификации.

Почему контекст ИИ повышает ставки

Эссе 8 серии описало закономерность, непосредственно применимую здесь. Когда принятие значимых решений мигрирует в автоматизированные системы, поведенческие данные, необходимые для верификации, концентрируются в той же инфраструктуре. Вопрос о том, кто может анализировать поведение ИИ-систем в финансовом секторе, на практике неотделим от вопроса о том, кто может изучать датасет, на котором эти системы работают.

Отечественный прецедент показателен. Централизация инфраструктуры корреспондентских счетов в 2003 году — когда, как автор непосредственно наблюдал в период работы в УзАгроИнвестбанке, специалисты, хранившие логику платёжной системы в памяти, вышли на пенсию или были переведены на другие должности, а никто не сохранил их знания — уничтожила возможность ручного восстановления именно тогда, когда оно было нужно. QR-реестр создаёт аналогичную зависимость быстрее и в большем масштабе.

Дело «Уздунробиты» (бренд «МТС-Узбекистан») 17 июля 2012 года задокументировано в собственной институциональной истории Узбекистана. Приказом No. 19-L УзБДИ действие лицензии мобильного оператора было приостановлено с 18:00 того же вечера. К следующему утру 9,5 млн абонентов — в том числе пользователей услуг по переводу средств со счёта на счёт и пополнению баланса — лишились доступа без предварительного уведомления. Правовые основания оспаривались: компания отрицала получение предписаний, за нарушение которых была санкционирована. Независимо от того, было ли действие регулятора процессуально обоснованным, его структура иллюстрирует ключевую проблему. Единственное регуляторное решение, применённое к единственному лицензированному оператору, единовременно отключило всю пользовательскую базу.

Единая QR-система создаёт структурно аналогичный риск концентрации — при более высокой скорости масштабирования и в сфере с более весомыми экономическими последствиями, чем мобильная связь.

Инфраструктурная проблема не уникальна для Узбекистана. Сопоставимые платёжные инфраструктуры в других странах сталкивались с тем же governance-вопросом, как только транзакционные данные концентрировались в масштабе.

Индийский UPI создал сопоставимую концентрацию транзакционных данных среди небольшого числа платформенных агрегаторов. Governance-последствия проявились после масштабирования, когда условия доступа к данным уже нельзя было определить как проектные решения. Бразильский Pix достиг 70-процентного охвата за два года, но выстроил отдельную архитектуру управления данными до выхода на полный масштаб. Европейская архитектура PSD2 закрепила доступ авторизованных третьих сторон к платёжным данным как исходное структурное условие. Технический успех в каждом случае опережал governance-вопросы. Когда они стали неизбежными, стоимость их решения возросла, а окно для определения условий доступа сузилось.

Что это означает для институтов

Для Центрального банка аналитический вопрос касается последовательности шагов. Возможность заложить требования независимого доступа к данным в архитектуру системы существует сейчас, пока система масштабируется, но ещё не встроена в институциональную практику. После 1 июля 2026 года, когда единая QR-инфраструктура станет операционным фактом для всех коммерческих организаций страны, определить условия доступа будет возможно в принципе, но структурно значительно сложнее. Данные приобретут институциональную значимость, Оператор закрепит интересы в существующей архитектуре, а любое требование доступа третьих сторон будет восприниматься как вмешательство в работающую систему, а не как проектный параметр. За пределами регуляторного соответствия возникает более широкий институциональный вопрос: кто в итоге держит интерпретационную власть над поведенческой записью целой национальной экономики?

Для организаций, внедряющих ИИ-системы в финансовом секторе, текущий разрыв имеет конкретное практическое измерение. Приложения, построенные на QR-транзакционных данных, будут со временем принимать решения, верификация которых потребует доступа к этим данным. Учреждение, не способное подтвердить из операционных записей, а не из документации, как его ИИ-системы пришли к конкретным выводам, накапливает регуляторный риск, который растёт по мере того, как требования ЗРУ-1115 приобретают операционное значение.

Переход к Записке №5

Аналитическая записка №5 — «Разрыв в инцидентах» (The Incident Gap) — рассматривает следующий структурный слой. Даже если независимый верификационный орган получит и мандат, и доступ к данным, для осмысленного надзора необходимо знать, что искать: сигнатуры инцидентов, отличающие аномальное поведение системы от операционной вариации. В действующем регуляторном пространстве Узбекистана не существует протоколов отчётности об инцидентах для ИИ-систем. Это отсутствие само по себе является governance-провалом.

Проблема последовательности, описанная в этой записке, — закрепление требований независимого доступа к данным до того, как инфраструктура масштабировалась и зафиксировалась, — это именно то, что решает предимплементационная оценка. Анализ архитектуры управления данными, прав доступа и условий выхода до того, как система стала операционным фактом, структурно отличается от аналогичного анализа после. ok@okhodjaev.com

Источники

[1] Постановление Правления ЦБ №5/11 от 25.03.2026; зарегистрировано Министерством юстиции РУз 15.04.2026, рег. №3817. Правила оказания платёжных услуг через единый QR-код при осуществлении платежей. lex.uz

[2] Указ Президента РУз ПФ-246 от 10.12.2025. О дополнительных мерах по популяризации безналичных расчётов и сокращению доли теневой экономики. Ст. I(3). lex.uz

[3] Постановление Президента РУз ПҚ-359 от 27.11.2025. О мерах по дальнейшему развитию сферы финансовых технологий в Узбекистане. lex.uz

[4] Закон ЗРУ-1115 от 21.01.2026. О внесении изменений и дополнений в отдельные законодательные акты Республики Узбекистан в связи с введением технологий искусственного интеллекта. Ст. 7¹. lex.uz

[5] Постановление ЦБ рег. №3266 от 30.06.2020. Правила внутреннего контроля по ПОД/ФТ для операторов платёжных систем, операторов систем электронных денег и платёжных организаций. lex.uz

[6] Постановление ЦБ рег. №3420 от 08.02.2023. Инструкция о порядке открытия, ведения и закрытия банковских счетов. lex.uz

[7] Закон РУз УРК-578 от 01.11.2019. О платежах и платёжных системах Республики Узбекистан. lex.uz

[8] Ходжаев, Ойбек. Эссе 8: «Передача полномочий: что происходит, когда машины принимают решения, которые раньше принимал человек». Beyond Control: Theory of Limits of AI Governance. Апрель 2026. okhodjaev.com/essays/the-agency-transfer/

[9] УзБДИ. Приказ No. 19-L от 17.07.2012. Приостановка лицензии ООО «Уздунробита» (бренд «МТС-Узбекистан»). 9,5 млн абонентов отключены без предварительного уведомления. [См. также: Эссе 7, Beyond Control.]

[10] NPCI. UPI Annual Report 2023–2024. npci.org.in; Banco Central do Brasil. Pix data governance framework, 2020. bcb.gov.br

Ойбек Ходжаев — более 35 лет опыта в банковском секторе, финансах, государственном управлении и бизнесе в Узбекистане и СНГ. Автор серии эссе «Beyond Control: Theory of Limits of AI Governance.» okhodjaev.com

Автор консультирует государственные органы и финансовые организации по вопросам управления ИИ, систем верификации и институциональной готовности.