Отдать работу с документами бэк-офиса BPO-провайдеру или автоматизировать её с помощью AI на своих серверах: как решает операционный директор

Когда копятся страховые заявления, тикеты поддержки или KYC-документы, операционный директор может нанять больше сотрудников, передать работу BPO-провайдеру или автоматизировать её с помощью AI на собственных серверах компании. KYC-документы (know your customer) — это документы, удостоверяющие личность, и другие сведения, которые финансовая компания собирает, прежде чем принять клиента на обслуживание. BPO (business process outsourcing, аутсорсинг бизнес-процессов) означает, что работу выполняют сотрудники другой компании, иногда из другой страны. При автоматизации документы читает софт на серверах, которые контролирует ваша компания, а те документы, с которыми он не справляется, передаёт людям. BPO-провайдер подходит для работы, где большинство документов требует оценки человека, а внешним сотрудникам разрешено видеть документы. Для автоматизации подходят повторяющиеся типы документов, а также документы, которые должны оставаться внутри компании. Некоторые компании совмещают оба варианта.

Какие у нас есть варианты для работы с документами бэк-офиса?

Если расширять собственную команду, документы и ноу-хау остаются внутри компании. Тогда при каждом росте объёма приходится нанимать и обучать людей, а им нужно время, чтобы выйти на полную скорость.

BPO-провайдер по договору с уровнями сервиса берёт на себя процесс целиком, например проверку страховых заявлений или сортировку тикетов поддержки. Уровни сервиса — это целевые показатели, которые провайдер обязуется выдерживать, например за какое время нужно обработать каждый документ. Найм и обучение людей переходят к провайдеру. Его сотрудники могут находиться в другой стране и работать либо в системах самого провайдера, либо в ваших — через учётную запись, которую вы им выдаёте.

Автоматизация с AI на ваших собственных серверах — это софт, который читает каждый документ с помощью большой языковой модели (LLM), то есть AI того же типа, что стоит за ChatGPT. Софт сверяет извлечённые поля с вашими правилами, а прошедшие проверку записывает в ваши системы. Документы, не прошедшие проверки, уходят к человеку.

Эти варианты можно совмещать. Софт может взять на себя рутинные поля, например имена, даты и суммы в стандартной форме, а остальное оставить людям.

Кто видит наши документы, когда работу выполняет BPO-провайдер?

Их видят сотрудники провайдера, потому что читать документы — это и есть их работа, а страховые заявления и KYC-документы полны персональных данных. По Общему регламенту ЕС по защите данных (GDPR) компания, которая обрабатывает персональные данные по вашему поручению, считается обработчиком (processor). Ваша компания остаётся контролёром (controller) — той стороной, которая решает, зачем и как используются данные.

В статье 28 GDPR (текст по состоянию на 19 октября 2026 года на EUR-Lex, официальном сайте законодательства ЕС) сказано, что контролёр «привлекает только таких обработчиков, которые предоставляют достаточные гарантии». Она также требует заключить с каждым обработчиком договор или другой юридически обязывающий акт. По этому договору обработчик должен обеспечить, чтобы «лица, уполномоченные обрабатывать персональные данные», были обязаны соблюдать конфиденциальность — по собственному обязательству или в силу закона. Кроме того, прежде чем привлечь другого обработчика, например субподрядчика, который возьмёт на себя часть работы, провайдеру нужно ваше письменное разрешение.

Даже если сотрудники провайдера просто входят в ваши системы, а файлы к провайдеру не копируются, данные всё равно становятся им доступны. Европейский совет по защите данных (EDPB), в который входят надзорные органы ЕС по защите данных, разбирает этот случай в своих Руководящих принципах 05/2021 (версия 2.0 от 14 февраля 2023 года, текст по состоянию на тот же день).

Согласно руководящим принципам EDPB, удалённый доступ из третьей страны, то есть страны за пределами Европейской экономической зоны (ЕЭЗ), «также считается передачей», если выполнены три критерия. Так происходит, «даже если доступ сводится лишь к отображению персональных данных на экране». Один из критериев — компания, получающая доступ (здесь это BPO-провайдер), находится в третьей стране. EDPB добавляет, что такая передача «может происходить только при определённых условиях», установленных главой V GDPR.

Остаются ли документы у нас, если AI работает на наших собственных серверах?

Документы остаются у вас, если все части системы, включая языковую модель, работают на серверах, которые контролирует ваша компания. В повседневной работе документы не читает никто извне, а текст документов не уходит ни в OpenAI, ни к другому провайдеру моделей. Если система использует модель, размещённую у внешнего провайдера, документы уходят к этому провайдеру.

Даже на собственных серверах вам нужно решить, какие сотрудники могут открывать какие документы и что система может писать в логи — журналы своих действий. Людям, которые строят и эксплуатируют систему, может понадобиться видеть реальные документы. Тогда инженерная компания, которая делает для вас эту работу, как правило, становится обработчиком по GDPR, как и BPO-провайдер. Как внешние инженеры могут работать над такой системой, разбирает статья по ссылке выше о том, как отдать разработку AI на аутсорс и не выпустить данные из компании.

В смешанной схеме сотрудники BPO-провайдера могут разбирать очередь ручной проверки вашей системы — список документов, которые софт отправил человеку. Тогда сотрудники провайдера видят только эти документы, а правила GDPR о договорах с обработчиками и об удалённом доступе из-за пределов ЕЭЗ на них по-прежнему распространяются.

Кто отвечает, если с работой на аутсорсинге что-то пошло не так?

За вашей компанией остаются обязанности, которые возлагает на неё закон, а провайдер по договору берёт на себя собственные. Как это работает для KYC, показывает Регламент (ЕС) 2024/1624 о противодействии отмыванию денег (текст на EUR-Lex по состоянию на тот же день). Когда регламент начнёт применяться, его статья 18 позволит компаниям, на которые он распространяется, в том числе банкам и другим финансовым организациям, отдавать поставщикам услуг на аутсорсинг задачи, которые регламент от них требует.

Компания, которая отдаёт такие задачи на аутсорсинг, должна уведомить свой надзорный орган до того, как провайдер приступит к работе. При этом компания «по-прежнему несёт полную ответственность за любое действие или бездействие, связанное с задачами, переданными на аутсорсинг». Статья 18 также называет задачи, которые «ни при каких обстоятельствах не передаются на аутсорсинг». Среди них:

• Решение о том, какой профиль риска присвоить клиенту
• Решение о принятии клиента на обслуживание или о проведении с ним разовой операции
• Утверждение внутренних политик, процедур и механизмов контроля компании по противодействию отмыванию денег и финансированию терроризма
• Утверждение критериев для выявления подозрительных или необычных операций и действий

Та же статья запрещает передавать такие задачи провайдерам из третьих стран, которые ЕС включил в свой перечень из-за рисков отмывания денег. Исключение — провайдер из той же группы компаний при соблюдении дополнительных условий. По статье 90 регламент «применяется с 10 июля 2027 года», а для двух видов компаний — позже, поэтому проверьте, какие национальные правила действуют для вас сегодня.

Пункт 47 преамбулы регламента добавляет, что «использование или приобретение стороннего программного обеспечения» компанией не считается аутсорсингом, если задачу не выполняет поставщик услуг.

Софт может собрать комплект KYC-документов и проверить их поля, а одобряет клиента конкретный сотрудник вашей компании. Для страховых заявлений пропишите, какие решения всегда принимают ваши собственные сотрудники, независимо от того, кто готовит документы.

Как каждый из вариантов справляется со скачком объёма?

К концу месяца или к сроку, установленному регулятором, документов может резко прибавиться. BPO-провайдер справляется с таким всплеском, перебрасывая сотрудников с других задач или нанимая новых. Спросите, за сколько его нужно предупредить и что происходит с уровнями сервиса, пока новые сотрудники осваивают ваши правила.

Софт может обрабатывать больше документов по тем же правилам, если ему хватает серверных мощностей. Документы, с которыми он не справляется, по-прежнему уходят к людям, поэтому всплеск плохих сканов или нестандартных случаев удлиняет очередь ручной проверки. Заранее решите, кто разбирает эту очередь в ваш самый загруженный день: ваши собственные сотрудники или дежурные сотрудники провайдера.

Кто лучше справляется с нашими документами — сотрудники провайдера или софт?

Оба варианта можно измерить одинаково. Возьмите выборку недавних документов каждого типа и попросите своих сотрудников записать правильное значение каждого поля. Затем сотрудников провайдера и софт оценивают по этой выборке — по каждому полю каждого типа документов.

Провайдер может обработать выборку в пробном режиме, если ваши правила комплаенса разрешают его сотрудникам видеть эти документы. Софт тестируют на той же выборке, на серверах, где эти документы разрешено обрабатывать. Сравните точность по каждому полю, долю документов, отправленных человеку, и время от поступления документа до готовой записи.

Прогоните через ту же выборку и своих сотрудников. Люди тоже ошибаются, и результат ваших сотрудников — это уровень, которого должны достичь оба варианта. Как собрать такую выборку, объясняют статьи по ссылкам выше: о вопросах к подрядчику по автоматизации и о том, купить ПО для AI-обработки документов или построить своё решение. Во второй из них такая выборка называется приёмочным набором.

Как BPO-провайдеры и инженерные компании берут плату за работу?

Схемы оплаты различаются, поэтому спросите каждого BPO-провайдера и каждую инженерную компанию, как они берут плату. BPO-провайдер может выставлять счёт за человека, за час или за обработанный документ. Предложение инженерной компании может состоять из двух частей: разработка системы, а затем её поддержка.

Запишите ожидаемые объёмы по типам документов и по месяцам на три года вперёд, включая самый загруженный месяц, и запрашивайте все предложения под эти же цифры. Добавьте собственные расходы: для софта — серверы и сотрудников для очереди ручной проверки, для провайдера — время ваших руководителей на контроль его работы. Каждое предложение должно также показывать, как поменяется цена, если ваш объём упадёт или изменится какая-либо форма.

Что останется у нас, если мы расторгнем договор?

У BPO-провайдера значительная часть ноу-хау, например как поступать с нестандартными случаями, хранится в головах его сотрудников. По окончании договора эти знания уходят вместе с ними, если их не записали.

С самого начала попросите провайдера вести письменные правила процесса и обновлять их, когда меняется работа. Выборку с правильными ответами храните у себя. Письменные правила и выборка позволят передать работу новому провайдеру или софту и проверить, что качество не упало.

Что касается персональных данных в документах, статья 28 GDPR требует, чтобы договор с обработчиком определял, что с ними происходит по окончании работы. По выбору вашей компании обработчик «удаляет или возвращает контролёру все персональные данные после окончания оказания услуг». Он также удаляет свои копии, если закон не требует их хранить. До подписания договоритесь, какой из двух вариантов вам нужен и как провайдер подтвердит его выполнение.

При автоматизации у вас остаются код, инструкции для модели и любая модель, дообученная на ваших данных, — если договор передаёт их вам. Прочитайте, что договор исключает, например компоненты, которые подрядчик переиспользует от проекта к проекту.

Что спросить у BPO-провайдера и инженерной компании?

Отправьте одни и те же вопросы всем кандидатам — и BPO-провайдерам, и инженерным компаниям:

• Где будут находиться люди, которые видят наши документы, и будут ли они входить в наши системы или копировать файлы в ваши?
• Какие ещё компании будут участвовать в работе и в каких странах?
• Обработаете ли вы нашу выборку документов до подписания договора, чтобы мы могли оценить результаты по каждому полю?
• Что происходит с документом, который вы не можете обработать, и кто в нашей компании видит его следующим?
• Какие письменные правила, код и данные вернутся к нам по окончании договора и в каком виде?

Правила аутсорсинга, передачи данных и проверки клиентов различаются по странам и отраслям. В этой статье примеры взяты из текстов ЕС, и это не юридическая консультация, поэтому проверьте выбранный вариант у юриста или своего регулятора.

Где здесь место amBrain?

Единственный проект с языковой моделью, который amBrain описывает публично, таков: «Мы вывели интеграцию LLM в прод внутри FinTech-периметра клиента: извлечение и нормализация неструктурированных уведомлений брокеров и торговых площадок — о корпоративных действиях, изменениях по инструментам и марже — в структурированные записи, которые потребляет торговая система».

Эта статья — не кейс, и клиент не называется. В процитированной строке не сказано, где работала модель в том проекте и какие из описанных выше шагов в него входили. Здесь не утверждается, что amBrain строил системы для страховых заявлений, тикетов поддержки, KYC-документов или любых других документов бэк-офиса. Не утверждается и то, что amBrain заменял BPO-провайдера, работал с таким провайдером или запускал смешанную схему из софта и сотрудников провайдера.

GDPR и Регламент о противодействии отмыванию денег упоминаются в этой статье только как правила, которые, возможно, придётся соблюдать вашей компании. Статья ничего не утверждает о том, соответствует ли сам amBrain этим или любым другим правилам. Цен и сроков amBrain, а также условий для прототипа или пилота, включая пробную обработку вашей выборки до подписания договора, статья не приводит.

amBrain делает софт с 2019 года. Компания работает в трёх форматах: полная разработка, выделенная команда или инженеры внутри вашей команды. О владении у неё такая строка: «Клиент сохраняет полное владение продуктом и кодом, кроме наших переиспользуемых компонентов». Если amBrain в вашем шорт-листе, дайте ему ту же выборку и те же вопросы, что и любой другой инженерной компании.