PayFac, ISO и merchant of record: роли и ответственность в эквайринге

Приём карточных платежей платформой оформляется одной из нескольких юридически разных конструкций, и различают их два признака: проходит ли settlement через посредника и наследует ли посредник ответственность продавца. Payment facilitator (PayFac) наследует оба: деньги приходят на его счёт, а действия подключённых им продавцов правила Visa вменяют ему самому. Independent sales organization (ISO) не наследует ничего — продаёт эквайринг банка и получает долю комиссии, договор продавец подписывает напрямую с банком. Merchant of record (MoR) — фигура торгового и налогового права: лицо, которое юридически продаёт товар или услугу конечному покупателю и признаёт выручку своей.

Ни одна из трёх ролей не заменяет лицензию. Регистрация PayFac у Visa и Mastercard подтверждает, что эквайер взял посредника под свою ответственность, и ничего не говорит о праве держать чужие деньги — это решает закон юрисдикции: PSD2 и приходящий ему на смену пакет PSD3/PSR в ЕС, режим money transmitter в США. Обратное тоже верно: лицензия PI или EMI не даёт доступа к карточным рельсам без спонсорского договора с эквайером. Общая раскладка режимов — в карте финансовых лицензий.

Страница идёт от договоров к деньгам: кто с кем связан обязательством и кто платит по chargeback; что правила Visa требуют от PayFac и при каком обороте продавца модель ломается; какие категории схемы завели в 2024–2026 годах и что запретили; когда статус merchant of record превращается в налоговую обязанность, а когда — в лицензионную; сколько стоят резервы, мониторинг и PCI DSS; и что изменили в экономике приёма карт решения 2025 и 2026 годов.

Договорная цепочка и денежная цепочка

Публичная редакция правил Visa — «Core Rules» и «Product & Service Rules» — в редакции от 18 апреля 2026 года — 923 страницы. Термин Payment Facilitator встречается в ней 217 раз, Third Party Agent — 139, Marketplace — 138, Ramp Provider — 94. Independent Sales Organization упоминается единственный раз, в перечне субъектов, которых эквайер обязан внести в Visa Merchant Screening Service при расторжении договора «за причину». Merchant of record — ноль раз.

Это следствие устройства правил. Роль, у которой в них есть своя глава, получает описанную ответственность, регистрацию, штрафную шкалу и право схемы её дисквалифицировать. Роль, которой в правилах нет, живёт в налоговом и договорном праве и в законах о переводе денежных средств: последствия там не мягче, просто адресуются другому регулятору.

Две цепочки и место посредника

Договорная цепочка в карточном платеже не совпадает с денежной. Держатель карты состоит в договоре с эмитентом, продавец — с эквайером, эмитент и эквайер — со схемой и только через неё друг с другом. Продавца с эмитентом не связывает ничего, кроме правил Visa и Mastercard, поэтому спор держателя карты разбирается по процедуре схемы, а деньги списываются с эквайера безакцептно.

Посреднические роли встраиваются между продавцом и эквайером. Payment facilitator по разделу 5.3.1.2 правил Visa забирает обе функции: sponsored merchant считается мерчантом эквайера этого PayFac, действия и упущения sponsored merchant считаются действиями PayFac, а действия PayFac — действиями эквайера. Ответственность транслируется вверх целиком, включая судебные издержки и исполнение расчётных обязательств по выплатам и P2P-программам.

Деньги и риск: кто получает settlement и на ком остаётся спор.

Регуляторная сторона тех же ролей: лицензию даёт закон юрисдикции, регистрацию — правила схемы.

Правила схем задают в обеих таблицах всё, кроме одной колонки: лицензионное требование определяет закон юрисдикции, и именно на нём ломается большинство продуктовых планов.

PayFac: master MID, порог в один миллион и обязанности перед схемой

Payment facilitator в определении Visa — сущность, которая заключает договор с эквайером, чтобы депонировать транзакции, получать settlement или заключать договор с эквайером от имени sponsored merchant. Экономически это один master merchant account, под которым живут тысячи продавцов, каждый со своим идентификатором в авторизационном сообщении и без собственного идентификатора в клиринговом.

Порог прямого договора и два исключения

По разделу 5.3.1.4 правил Visa эквайер обязан заключить прямой договор с sponsored merchant, чей годовой оборот превышает US$1 млн: для нового продавца — до обработки первой транзакции, для действующего — в течение двух лет после превышения. PayFac при этом продолжает оказывать платёжные услуги, включая settlement, — операционно ничего не рушится, меняется сторона договора. Mastercard подняла свой порог со US$100 000 до US$1 млн октябрьским бюллетенем 2014 года, тогда же сняв требование рассчитываться с крупными sub-merchant напрямую с банка, минуя PayFac.

Два исключения из порога читают редко. Прямой договор не нужен, если PayFac держит отношения с этим продавцом не менее двух лет у того же эквайера, регулярно отчитывается по обороту, спорам и fraud, и эквайер продолжает надзирать за парой. Второе исключение — закрытый список MCC: коммунальные услуги (4900), финансовые институты (6012), небанковские финансовые организации, включая криптовалютные (6051), аренда недвижимости (6513), медицина (8011, 8050, 8062, 8099), образование (8211–8299), налоги (9311), судебные издержки, штрафы и залоги (9211, 9222, 9223). Оба исключения отключаются, если эквайер, PayFac или продавец попали в риск-программы Visa либо допустили грубые нарушения в предшествующие три года.

Обязанности по разделу 5.3.1

Обязанности PayFac сформулированы как обязанности эквайера, и это принципиально. По разделу 5.3.1.1 договор обязан содержать прямые заявления: PayFac финансово отвечает за каждую транзакцию, обработанную от имени sponsored merchant, не вправе перекладывать эту ответственность на держателя карты через отказ от права на спор, не вправе депонировать транзакции за другого PayFac и обязан обеспечить соответствие своих продавцов PCI DSS и PCI Software Security Framework. Раздел 5.3.1.3 добавляет операционные требования: регистрацию с аттестацией due diligence Visa подтверждает до первой транзакции, settlement уходит на счёт в юрисдикции эквайера, а эквайер по запросу отдаёт Visa помесячные обороты и споры по каждому sponsored merchant. Для высокорисковых сегментов раздел 10.4.5.2 требует ежедневного мониторинга каждого продавца начиная с 31-го календарного дня после первого депозита, еженедельного пересмотра нормального профиля и выдачи исходного андеррайтингового пакета в течение семи календарных дней по запросу Visa.

Регистрация в схемах и её цена

Регистрация в Visa идёт через программу Third Party Agent. Опубликованный FAQ программы перечисляет десять категорий агентов — ISO, ESO, Merchant Servicer, TPS, Payment Facilitator, High-Risk Internet Payment Facilitator, DCC Servicer, Corporate Franchise Servicer, Distribution Channel Vendor и Instant Card Personalization Issuance Agent — и задаёт для них сборы. Действующая редакция Mastercard Rules — от 2 июня 2026 года: требования к регистрации и валидации сервис-провайдеров собраны в разделе 7.10, обязанности PayFac — в разделе 7.8. Прейскурант обеих схем:

Фактические ставки задаются региональными fee guides и меняются.

Дорого обходится не регистрация. Дороги PCI-валидация уровня сервис-провайдера, андеррайтинговый и мониторинговый стек, резервы и время: рыночные оценки полного собственного PayFac-стека в 2026 году держатся на 12–18 месяцах и семизначном бюджете первого года. Поэтому большинство платформ идёт в managed PayFac, оставляя себе бренд и онбординг; что при этом остаётся арендованным, разобрано в «Лицензии напрокат».

Своя регистрация, managed PayFac или ISO

Категории, которые схемы завели в 2024–2026 годах

ISO как роль из правил практически исчез: посредник без денег и без риска остаётся категорией регистрации Third Party Agent, и регулировать в нём больше нечего. Роли, которые держат чужие деньги, развивались обратным образом. За два года Visa вынесла в отдельные главы Marketplace (5.3.4), Digital Wallet Operator с разделением на stored value и staged (5.3.3), Ramp Provider с его conversion affiliates (5.3.5, редакции апреля 2024 и апреля 2025) и завела в глоссарий Agentic Payment Provider и Agentic Payment Enabler — платёжных агентов искусственного интеллекта (редакция от октября 2025 года). Обязанность отвечать на запросы Visa Integrity Risk Program в течение семи рабочих дней распространена по разделу 1.9.2.2 и на них.

Сквозная линия этих правок — запрет на этажерку из посредников. PayFac не вправе заключать договор с другим PayFac, со staged-кошельком и с ramp-провайдером (5.3.1.5). Digital wallet operator не вправе контрактовать с PayFac, другим кошельком или ramp-провайдером (5.3.3.2). Ramp provider не вправе депонировать транзакции за другого ramp-провайдера, PayFac или staged-кошелёк (5.3.5.1). Схема закрывает конструкции, где между эквайером и реальным продавцом стоят два и более посредника: ответственность там размывается, а мониторинг перестаёт видеть конечного бенефициара оборота.

Второй сюжет — концентрация оборота. Чтобы Visa классифицировала платформу как Marketplace, она должна держать собственный бренд заметнее брендов продавцов, получать settlement за них и быть финансово ответственной за споры — с обязательным механизмом разрешения: решением, обязательным для обеих сторон, либо money-back guarantee за счёт самой площадки (5.3.4.1). Ни один продавец за пределами юрисдикции маркетплейса не должен превышать одновременно US$10 млн годового оборота Visa через площадку и 10% её годового оборота. Маркетплейс, подключённый через PayFac, дополнительно обязан держать не менее 75% продавцов в своей стране (5.3.1.5). Франчайзи без согласия франчайзера, турагенты, high-integrity risk мерчанты, благотворительные и краудфандинговые площадки маркетплейсами быть не могут вовсе.

Третий сюжет — штрафные шкалы, переписанные под новые категории.

Merchant of record: продавец для покупателя и для налоговой

Merchant of record — торговая и налоговая конструкция: лицо, которое юридически продаёт товар или услугу конечному покупателю, признаёт выручку своей, выставляет счёт, обрабатывает возвраты и отвечает за налог с продажи. Ноль упоминаний в правилах Visa объясняется просто: схема не спрашивает, кто считает себя MoR, она применяет собственный тест. По разделу 5.3.2.2 сущность классифицируется как Merchant или Sponsored Merchant, если одновременно продаёт товар или услугу держателю карты, использует своё имя для идентификации торговой точки перед ним и предоставляет ему recourse в случае спора. Не прошедшая тест сущность становится Digital Wallet Operator, Marketplace, Payment Facilitator или Ramp Provider, причём категорию Visa вправе определить самостоятельно. Дополнительные критерии там же — имя на чеке, владение товаром, признание выручки, клиентский сервис и возвраты — почти дословно совпадают с бухгалтерским тестом principal versus agent.

Налоговая цена статуса

Отсюда практическое следствие, о котором узнают поздно: принять статус merchant of record — значит стать продавцом для налоговых целей во всех юрисдикциях покупателей. В ЕС посредническая площадка и без того может оказаться предполагаемым поставщиком по статье 14a Директивы по НДС — режим deemed supplier для электронных интерфейсов действует с 1 июля 2021 года. Пакет VAT in the Digital Age, принятый 11 марта 2025 года, расширяет ту же логику на платформенную экономику: с 1 июля 2028 года площадки краткосрочной аренды жилья и пассажирских автоперевозок обязаны собирать НДС там, где сам поставщик его не платит; тогда же включается single VAT registration, а финальное выравнивание правил отнесено к 1 января 2035 года.

В США та же логика пришла раньше и жёстче. Законы о marketplace facilitator действуют во всех пятидесяти штатах и округе Колумбия: первым обязанность ввёл Вашингтон с 1 января 2018 года, остальные подтянулись после решения Верховного суда по делу Wayfair. Типовой порог — US$100 000 продаж или 200 транзакций за год, в Калифорнии и Нью-Йорке US$500 000, в Пенсильвании и Оклахоме US$10 000. Площадка собирает и перечисляет sales tax за продавцов независимо от того, считает ли она себя merchant of record.

Где статус превращается в money transmitter

Второе следствие статуса — денежное, и оно контринтуитивно. Платформа, которая получает деньги покупателя и перечисляет их третьему лицу — продавцу, водителю, автору, — перемещает чужие средства, и вопрос лицензии в США решается на уровне штатов. Merchant of record, продающий от своего имени и платящий поставщику по обычному коммерческому договору, чужих средств не перемещает: у него есть выручка и себестоимость. Разница выглядит бухгалтерской, но именно она отделяет money transmitter от торговой компании. Режим лицензирования разобран в money transmitter license в США, федеральная регистрация, которая лицензию штата не заменяет, — в FinCEN MSB.

Где начинается лицензия: коммерческий агент в ЕС и UK, agent of the payee в США

Европейская конструкция держится на исключении для коммерческого агента — пункт (b) статьи 3 PSD2. Оно снимает платёжные операции с площадки, если та уполномочена договором вести переговоры о сделке или заключать её и действует при этом от имени только одной стороны: либо плательщика, либо получателя. EBA в ответе на вопрос 2020_5355 Единого свода правил сформулировала это прямо: B2C-площадка может ссылаться на исключение, только если действует исключительно за продавца и не представляет одновременно покупателя; сама PSD2 критериев не даёт, и оценивать модель обязан национальный регулятор.

FCA перевела тот же тест в проверяемый признак. На странице о commercial agent exclusion регулятор указывает: фирма, вероятнее всего, действует за обе стороны, если платежи поступают на счёт, который она контролирует или которым управляет, до отправки получателю, а долг плательщика погашается только после получения денег получателем.

Рядом лежит второе исключение — limited network exclusion: закрытый круг мерчантов или узкий круг товаров. Оно живёт по руководству EBA/GL/2022/02, применяемому с 1 июня 2022 года, и не бесплатно: при превышении общего объёма операций в 1 млн евро за предшествующие двенадцать месяцев эмитент обязан уведомить регулятора по статье 37(2) PSD2. Для подарочных карт, топливных программ и внутренних кошельков это рабочая конструкция; для универсального приёма карт она не годится.

PSD3 и PSR сужают оба исключения. Финальные компромиссные тексты Совет опубликовал 23 апреля 2026 года, ECON одобрил их 5 мая, индикативное пленарное голосование назначено на 14 декабря 2026 года; по разбору Arthur Cox PSR применяется через 21 месяц после вступления в силу, а статьи о verification of payee и конец переходного окна для действующих институтов — через 27 месяцев. Исключение коммерческого агента в компромиссном тексте ужесточено, чтобы платформы и посредники не обходили статус PSP; исключение specific-purpose instrument ограничено, чтобы под ним не прятались массовые потребительские сервисы. Календарь и капитальные пороги — в статье про PSD3 и PSR.

США: agent of the payee и модернизация MTMA

В США нет ни коммерческого агента, ни единого регулятора. Работает конструкция agent of the payee: если платформа по письменному договору выступает агентом получателя, публично об этом заявляет и получение денег ею считается получением их продавцом, перемещения чужих средств нет. Исключение признаётся, по обзору Troutman на 2026 год, в 39 штатах, исключение для агента банка — в 35; формулировки различаются, и юридическое заключение приходится делать поштатно.

Унификация идёт медленно: по июньскому обновлению CSBS 2026 года Money Transmission Modernization Act целиком или существенной частью приняли около тридцати штатов, в 2026 году законопроекты идут в Аляске, Делавэре и Мичигане, а Луизиана, Мэриленд и Оклахома получают новые редакции с 1 июля, 1 октября и 1 ноября 2026 года соответственно.

Федеральный надзор при этом ослаб: резолюция Конгресса по Congressional Review Act отменила правило CFPB о крупных участниках рынка цифровых кошельков и платёжных приложений, и бюро не приоритизирует надзор и принуждение в этом сегменте. Требования никуда не делись — они сместились на штаты и на сами схемы, как описано в трендах регуляторных требований.

Риск и капитал: резервы, мониторинг и PCI DSS

Кредитный риск в эквайринге создаёт не неплатёж продавца, а его исчезновение между продажей и возвратом. Оплаченная, но не оказанная услуга — авиабилет, абонемент, предоплаченный курс — превращается в chargeback через недели или месяцы, когда деньги уже выплачены. Платит тот, кто в цепочке ближе к пропавшему: PayFac закрывает разрыв за sponsored merchant, эквайер — за PayFac, схема списывает с эквайера безакцептно.

Поэтому Visa разделом 1.9.1.10 требует от эквайера по запросу в течение пяти рабочих дней раскрыть андеррайтинговый процесс, текущую экспозицию, взятое обеспечение, точные объёмы collateral под споры — особенно по продавцам будущей услуги — и порядок удержания средств у контрагента, которого эквайер считает неспособным исполнить обязательства. Для high-integrity risk эквайер по разделу 1.9.5.1 проходит финансовый обзор, обязан располагать требуемым капиталом, иметь инвестиционный рейтинг либо согласиться на компенсирующие меры — прямо названо обеспечение, — и при необходимости пройти выездной обзор Visa Acceptance Risk Standards. Рыночная норма rolling reserve для платформ — 5–10% оборота, у высокорисковых вертикалей выше и дольше.

Мониторинг: VAMP и программы Mastercard

Мониторинговые пороги в 2025–2026 годах сместились вниз; диспутный цикл, программы мониторинга и экономика interchange разобраны в правилах платёжных схем. Visa объединила прежние программы по спорам и fraud в единый Visa Acquirer Monitoring Program: по фактшиту VAMP коэффициент считается как отношение суммы мошеннических (TC40) и оспоренных (TC15) операций к числу рассчитанных, по card-not-present. Mastercard прежние пороги сохранила: её шкала — в программе в изложении Braintree. Действующие пороги обеих схем и цена попадания в программу:

Программа BRAM описана в «Security Rules & Procedures — Merchant Edition» от 4 августа 2026 года, раздел 8.8: эквайер обязан отвечать на расследования Mastercard о рисках мерчанта, там же шкала assessment'ов.

PCI DSS в цепочке ответственности

PCI DSS распределяется по цепочке иначе, чем финансовый риск. PayFac валидируется как сервис-провайдер: уровень 1 при обороте свыше 300 000 транзакций в год с отчётом QSA, уровень 2 ниже этого порога с самооценкой по SAQ D — при этом, как отмечает Electronic Transactions Association, попадание в Visa Global Registry of Service Providers требует отчёта QSA независимо от уровня. Мерчантские уровни считаются от 6 млн транзакций Visa в год для первого и от 20 000 операций электронной коммерции для третьего.

Sub-merchant остаётся мерчантом со своим SAQ — от SAQ A на полностью размещённой платёжной странице до SAQ D при передаче данных через API, — но обеспечивать его соответствие обязан PayFac: это прямое требование раздела 5.3.1.1 правил Visa, и нарушение на стороне продавца порождает ответственность и PayFac, и эквайера.

Действующая редакция стандарта — v4.0.1; из 64 новых требований версии 4.0 51 было отложенным и стало обязательным 31 марта 2025 года. Версия 5.0 обсуждается — цели заявлены, дата нет, и в бюджет 2027 года её закладывать рано. Как это встраивается в остальной комплаенс оператора — в комплаенс-стеке.

Экономика приёма: interchange, scheme fees и решения 2026 года

Себестоимость приёма карты складывается из трёх частей:

• interchange, который эквайер платит эмитенту;
• scheme fees, которые обе стороны платят Visa и Mastercard;
• наценка эквайера.

Потолки interchange задаёт закон, и только на части рынков:

Регуляторный статус потолка Regulation II неустойчив: в деле Corner Post окружной суд Северной Дакоты 6 августа 2025 года признал стандарт Regulation II недействительным, сам же приостановив исполнение до апелляции; ФРС ушла в Восьмой округ и подала ответную записку в апреле 2026 года, так что потолок продолжает действовать.

Главное событие года на кредитной стороне — предварительная развязка многолетнего спора о swipe fees. 9 июня 2026 года судья Брайан Коган в Восточном округе Нью-Йорка вынес предварительное одобрение мирового соглашения — в отличие от варианта, отвергнутого в 2024 году: снижение ставок на 10 базисных пунктов на пять лет, потолок 1,25% по стандартным потребительским кредитным картам на восемь лет, право мерчанта отказаться принимать часть премиальных и корпоративных кредитных карт, расширенные права на surcharging и стимулирование выбора; охват — около 12 млн мерчантов. Одобрение предварительное: дальше рассылка уведомлений классу, приём возражений и отдельное решение об окончательном утверждении, дата слушания на 20 августа 2026 года не назначена. До этого условия соглашения окончательно в силу не вступили. Для платформы это меняет и себестоимость, и продуктовую логику: право отказываться от дорогих карт и стимулировать дешёвые впервые становится реальным рычагом.

Ставка sub-merchant у PayFac почти всегда blended — единый процент плюс фикс. Разница между этой ставкой и interchange++ прямого мерчанта и есть маржа PayFac, из которой финансируются андеррайтинг, мониторинг, споры и резерв. Экономика работает на малом чеке и большом числе продавцов; у порога в US$1 млн продавец начинает считать и уходит на прямой договор — что правила и предписывают.

Альтернативные рельсы: VRP и стейблкоины

Параллельно растут альтернативные рельсы. В Великобритании 2 июня 2026 года заработала первая волна коммерческих variable recurring payments под управлением UK Payments Initiative — первая новая платёжная схема со времён Faster Payments 2008 года, с фиксированной комиссией в пенсах вместо процента и покрытием коммунальных услуг, регулируемых финуслуг, EMI, государства и благотворительности; FCA и PSR 20 января 2026 года заявили, что не будут приоритизировать антимонопольное расследование централизованной модели ценообразования.

Стейблкоин-расчёты перестали быть пилотом: Visa 16 декабря 2025 года запустила расчёты в USDC в США с Cross River Bank и Lead Bank на Solana при годовом run rate 3,5 млрд долларов на 30 ноября 2025 года, а 29 апреля 2026 года добавила пять блокчейнов — Arc, Base, Canton, Polygon и Tempo, доведя число сетей до девяти, run rate до 7 млрд долларов и охват до 130 с лишним карточных программ на стейблкоинах более чем в 50 странах. Для платформы это способ расчётов между эквайером и схемой; правовой режим выпуска самих токенов — в статье про стейблкоины.

Хронология 2021–2028

Типичные ошибки

Сценарии