Кратко

  • Налоговое соглашение само по себе не делает юрисдикцию подходящим получателем. Рамка Глобального форума требует правовых ограничений на использование и раскрытие, работающей системы управления информационной безопасностью и механизмов реагирования на нарушения.
  • С 2026 года ежегодный мониторинг дополняет оценки до начала обмена, после его запуска и на последующих этапах. Получение данных зависит от сохранения гарантий, а программы поддержки должны помогать большему числу администраций выполнить требования, а не только исключать их.

В автоматическом обмене налоговой информацией ключевое слово — не «автоматический», а «получать».

Опубликованные правила Глобального форума ОЭСР по прозрачности и обмену информацией в налоговых целях предусматривают: юрисдикция может получать сведения только при соблюдении требований конфиденциальности и защиты данных. Квалифицированный получатель называется «подходящим партнером». Эта оговорка меняет привычное представление о налоговом сотрудничестве. Договор или многостороннее соглашение создает правовой маршрут, но не делает пункт назначения надежным автоматически. Получающая администрация должна показать, что защитит сведения и будет использовать их только в рамках соглашения, разрешившего обмен.

Автоматический обмен информацией (AEOI) включает Общий стандарт отчетности (CRS) для финансовых счетов и Систему отчетности по криптоактивам (CARF) для операций с криптоактивами. Это регулярный обмен между налоговыми органами, а не отдельные запросы. Если чувствительные данные перемещаются каждый год, вопрос тоже возникает постоянно: сможет ли администрация после получения защитить их в работе сотрудников, систем, подрядчиков и при принятии решений?

Соглашение открывает маршрут, но не обеспечивает всю дорогу

Система гарантий соединяет три элемента. Первый — право: национальные нормы должны обеспечивать конфиденциальность и ограничивать доступ, использование и раскрытие целями, разрешенными применимым международным соглашением. Второй — организационный и технический: система управления информационной безопасностью (ISM) должна объединять политики, ответственность, управление рисками, меры контроля и процедуры защиты данных на протяжении всего жизненного цикла. Третий — применение правил: подозрения на злоупотребление или подтвержденные случаи должны расследоваться и повлечь надлежащие меры исправления или санкции.

Речь идет не только о межсетевом экране или защищенном канале передачи. Техническое задание на оценку конфиденциальности и защиты данных охватывает ответственность высшего руководства, распределение ролей безопасности, контроль сотрудников и подрядчиков, физическую защиту, безопасность систем, доступ по принципу служебной необходимости, а также обработку, хранение, сроки сохранения и удаление информации. В него также входят мониторинг и журналы, управление уязвимостями и инцидентами, аудит, санкции, исправление нарушений и уведомление других компетентных органов.

Жизненный цикл важен потому, что безопасное получение — только первое звено. Данные, защищенные договором, могут пройти через несколько ведомств, баз данных, аналитических инструментов и поставщиков услуг. Если ограничения соглашения не соблюдаются при каждой передаче между ними, международное обещание ослабевает внутри самого получателя. Поэтому рамка рассматривает не только ИТ-среду, но и институциональное управление. Операционный охват может отличаться: администрация должна описать реальный маршрут сведений, чтобы оценивался фактический процесс.

Гарантии проверяются в нескольких точках

Публичное описание Глобального форума задает последовательность, а не единственный экзамен на входе. Юрисдикция, начинающая AEOI, проходит оценку до обмена, затем оценку после его начала. После постобменного этапа стартовал третий раунд проверок в ответ на изменения технологий и кибербезопасности. В оценочных группах работают специалисты по информационной безопасности из стран-участниц при поддержке секретариата. По выявленным вопросам могут быть даны рекомендации. Серьезные проблемы могут привести к приостановке разрешения получать данные AEOI — до тех пор, пока их не сочтут устраненными.

С 2026 года ежегодный мониторинг проверяет, поддерживают ли юрисдикции надлежащие рамки конфиденциальности и защиты. Эксперты Глобального форума по ISM могут проводить адресную последующую работу, когда это уместно. Отдельно форум указывает, что очевидная утечка или отказ гарантий, создающий риск для переданных сведений, может привести к приостановке AEOI с данной юрисдикцией, пока адресная оценка не восстановит уверенность.

Последствия существенны, но эти ситуации нельзя смешивать. Приостановка «разрешения получать» данные из-за серьезных проблем оценки отличается от остановки действующего обмена после предполагаемого инцидента. Публичные правила описывают условные возможности; они не утверждают, что конкретную страну уже отстранили или что произошла утечка. «Ежегодный мониторинг» также не означает полную повторную экспертную оценку каждой страны каждый год. ОЭСР описывает ежегодный надзор и целевую экспертную работу при необходимости, но не публикует страновые баллы, общие пороги или правила выбора случаев.

Ограничение может быть и путем подготовки

Требования безопасности могут выглядеть барьером для налоговой администрации с малым числом специалистов, устаревшими системами или ограниченным бюджетом. Программа поддержки Глобального форума указывает на иную логику: развивать готовность до формальной оценки и поддерживать возможности после начала обмена.

В отчете ОЭСР за 2025 год об оценках зрелости управления информационной безопасностью сказано, что в 2024 году 21 подходящая юрисдикция согласилась на предварительную оценку зрелости. Семнадцать перешли к более подробному этапу; отчеты по нему были завершены к ноябрю 2025 года. Секретариат счел все 21 юрисдикцию способными определить 2027 год как год начала AEOI; один участник позднее взял политическое обязательство начать обмен CRS в 2028 году. Это этапы подготовки и планирования, а не формальное разрешение или подтверждение, что все участники уже обмениваются данными.

Тот же отчет указывает, что в 2024–2025 годах обмен начали еще семь развивающихся стран, доведя совокупное число таких стран до 43. Цифры не доказывают, что участие обеспечила только техническая помощь, но показывают связь между развитием возможностей и гарантиями. Оценки зрелости выявляют пробелы, объединяют юридические, налоговые, ИТ-безопасностные, закупочные и кадровые подразделения, а затем формируют планы внедрения. Формальная оценка гарантий остается отдельным этапом.

6 октября 2026 года Глобальный форум выпустил Safeguarding Tax Information — практическое руководство на основе более раннего инструментария, обновленное с учетом современных подходов к управлению, рискам, информационной и кибербезопасности. ОЭСР говорит, что оно должно помогать налоговым органам оценивать, развивать и постоянно совершенствовать их возможности ISM. Это практическая рекомендация и поддержка, а не новый договор, сертификат или замена действующей системы оценок.

Что общественность может проверить — и что остается закрытым

Система пытается сохранить два вида доверия. Партнеры по обмену должны быть уверены, что их данные защищены. Налогоплательщики хотят знать, что чувствительная информация не используется и не раскрывается за пределами законной цели. Однако Глобальный форум заявляет, что подробности оценок и самой рамки не публикуются из-за конфиденциальности. Это защищает операционные сведения, но ограничивает общественный контроль за применением условия и предсказуемостью исправлений.

Отсутствие подробностей не доказывает произвол или неэффективность. Но оно повышает значение публичного описания системы. В публичной рамке Глобального форума указаны правовое условие, этапы оценки, роль экспертов, возможные последствия и ежегодный мониторинг. Программа помощи и инструментарий 2020 года также показывают, что развитие возможностей входит в замысел системы.

Налоговую прозрачность и защиту данных часто противопоставляют: обменивать больше или защищать лучше. Модель Глобального форума отвергает такой простой выбор. Она считает безопасное обращение и договорные ограничения необходимыми условиями законного обмена. Реальный баланс зависит от эффективности гарантий и от справедливого и понятного применения условий. «Паспорт» налоговых данных заслуживает доверия, только если подтверждает обе стороны договоренности: сведения могут пересекать границу, а получатель отвечает за то, как он обращается с ними дальше.

Источники