KYC i AML – co to jest i czym się różnią?

KYC i AML to procedury stosowane przez firmy i instytucje w celu ograniczania ryzyka prania pieniędzy, finansowania terroryzmu i innych przestępstw finansowych. KYC (Know Your Customer) oznacza proces poznania i weryfikacji klienta, natomiast AML (Anti-Money Laundering) to szerszy system działań służących przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu. KYC jest więc jednym z podstawowych elementów AML – dostarcza informacji potrzebnych do oceny, z kim organizacja nawiązuje relację i jakie ryzyko może być z nią związane.

Przykład:

Firma rozpoczyna współpracę z nowym kontrahentem. W ramach KYC sprawdza dane spółki, osoby uprawnione do reprezentacji oraz ustala beneficjenta rzeczywistego. Następnie ocenia ryzyko związane z klientem, m.in. jego branżę, strukturę właścicielską i kraje, w których prowadzi działalność. Jeżeli w trakcie współpracy pojawią się transakcje nietypowe dla profilu tego klienta, mogą zostać poddane dodatkowej analizie w ramach procesu AML.

KYC a AML – jaka jest różnica?

KYC i AML są ze sobą bezpośrednio powiązane, ale mają inny zakres.

	KYC	AML
Znaczenie	Know Your Customer – poznaj swojego klienta	Anti-Money Laundering – przeciwdziałanie praniu pieniędzy
Cel	Ustalenie, kim jest klient i z jakim ryzykiem wiąże się relacja	Ograniczanie ryzyka prania pieniędzy i finansowania terroryzmu
Zakres	Dane klienta, tożsamość, beneficjent rzeczywisty, profil klienta	KYC, ocena ryzyka, monitoring relacji i transakcji, analiza podejrzanej aktywności oraz inne mechanizmy AML
Kiedy	Przy rozpoczęciu relacji oraz przy późniejszych aktualizacjach	Przez cały okres trwania relacji z klientem
Relacja	Jeden z elementów AML	Szerszy system obejmujący KYC i pozostałe procesy AML

Dlatego samo zweryfikowanie dokumentu tożsamości nie oznacza jeszcze przeprowadzenia całego procesu AML. Informacje uzyskane w ramach KYC są punktem wyjścia do dalszej oceny ryzyka i określenia, w jaki sposób klient powinien być obsługiwany.

Jak wygląda proces KYC/AML w praktyce?

Zakres procesu zależy od rodzaju klienta, charakteru działalności oraz rozpoznanego ryzyka. W praktyce można jednak wyróżnić kilka podstawowych etapów.

1. Identyfikacja i weryfikacja klienta

Pierwszym krokiem jest ustalenie danych klienta i sprawdzenie jego tożsamości. W przypadku osoby fizycznej mogą to być m.in. dane wynikające z dokumentu tożsamości. Przy kliencie będącym spółką konieczna jest również weryfikacja informacji dotyczących samego podmiotu.

2. Ustalenie beneficjenta rzeczywistego i charakteru relacji

W przypadku osób prawnych istotne jest ustalenie, kto faktycznie posiada lub kontroluje dany podmiot. Sama informacja o wspólnikach widocznych w rejestrze nie zawsze wystarcza, szczególnie przy bardziej złożonych strukturach właścicielskich. Organizacja powinna również rozumieć cel i zamierzony charakter relacji biznesowej. Pozwala to później ocenić, czy rzeczywista aktywność klienta odpowiada temu, czego można było oczekiwać na początku współpracy.

3. Ocena ryzyka

Zebrane informacje służą do określenia ryzyka prania pieniędzy i finansowania terroryzmu związanego z klientem. Znaczenie mogą mieć m.in. rodzaj działalności, struktura własnościowa, wykorzystywane produkty, geografia prowadzonej działalności czy charakter planowanych transakcji. Na tym etapie w praktyce wykonywany jest również screening klienta i osób z nim powiązanych, np. pod kątem statusu PEP czy występowania na odpowiednich listach sankcyjnych.

Nie każdy klient wymaga takiego samego poziomu kontroli. Polski system AML opiera się na podejściu opartym na ryzyku, zakres i intensywność stosowanych środków powinny odpowiadać rozpoznanemu ryzyku.

4. Monitoring i aktualizacja informacji

Proces nie kończy się wraz z zaakceptowaniem klienta. W trakcie relacji należy oceniać, czy jego aktywność pozostaje zgodna z posiadaną wiedzą o nim, charakterem działalności i ustalonym profilem ryzyka. Znaczenie może mieć np. nagła zmiana skali transakcji, rozpoczęcie działalności w nowych jurysdykcjach, zmiana właścicieli albo pojawienie się nowych okoliczności wpływających na ocenę klienta.

Dane i dokumenty dotyczące relacji z klientem powinny być również aktualizowane. Bieżące monitorowanie i aktualność informacji są wprost elementami środków bezpieczeństwa finansowego wskazanych w ustawie AML.

KYC/AML w polskich przepisach

W polskiej ustawie AML pojęcie KYC funkcjonujące powszechnie w branży należy przede wszystkim odnosić do środków bezpieczeństwa finansowego stosowanych przez instytucje obowiązane.

Zgodnie z art. 34 ustawy obejmują one:

• identyfikację klienta i weryfikację jego tożsamości,
• identyfikację beneficjenta rzeczywistego, a w odpowiednich przypadkach także ustalenie struktury własności i kontroli,
• ocenę stosunków gospodarczych oraz, stosownie do sytuacji, uzyskanie informacji o ich celu i zamierzonym charakterze,
• bieżące monitorowanie stosunków gospodarczych, w tym analizę transakcji i zapewnienie aktualności posiadanych danych.

Środki te stosuje się przede wszystkim przy nawiązywaniu stosunków gospodarczych, ale ustawa przewiduje również inne sytuacje, w których ich zastosowanie jest wymagane. Dotyczy to m.in. określonych transakcji okazjonalnych, podejrzenia prania pieniędzy lub finansowania terroryzmu czy pojawienia się wątpliwości dotyczących wcześniej uzyskanych danych klienta.

Oznacza to, że KYC nie powinno być traktowane wyłącznie jako formularz wypełniany podczas onboardingu. Jego zadaniem jest zbudowanie wystarczającej wiedzy o kliencie, aby możliwe było prawidłowe zarządzanie ryzykiem również później.

Dlaczego jakość KYC ma znaczenie dla całego procesu AML?

System AML działa w dużej mierze na podstawie informacji zebranych o kliencie. Jeżeli są one niepełne, nieaktualne albo błędnie ocenione, problemy pojawiają się również na kolejnych etapach. Przykładowo trudno prawidłowo ocenić nietypową transakcję, jeśli organizacja nie wie, jaka aktywność jest normalna dla danego klienta. Podobnie brak prawidłowego ustalenia beneficjenta rzeczywistego może oznaczać, że firma nie zna osób faktycznie stojących za podmiotem, z którym prowadzi relację.

Dlatego skuteczny proces nie powinien sprowadzać się do zebrania określonego zestawu dokumentów. Istotne jest ich przeanalizowanie, przypisanie właściwego poziomu ryzyka i wykorzystanie uzyskanych informacji podczas dalszego monitorowania klienta. Podejście to znajduje odzwierciedlenie również w praktyce nadzorczej. GIIF wskazuje na obowiązek oceny informacji uzyskiwanych o klientach, a organy nadzoru zwracają uwagę m.in. na prawidłową identyfikację beneficjentów rzeczywistych, bieżący monitoring oraz aktualizowanie danych klientów.

KYC daje organizacji wiedzę o kliencie. AML określa, jak wykorzystać tę wiedzę do identyfikowania i ograniczania ryzyka przez cały okres współpracy. W praktyce oba obszary muszą więc działać jako jeden spójny proces – od onboardingu, przez ocenę ryzyka, aż po bieżący monitoring relacji.

Więcej artykułów o AML

• Kim jest AML Officer i czym się zajmuje?
• AML – co to jest i na czym polega?
• KYC – co to jest i jaką rolę pełni w AML?

Dowiedz się więcej o outsourcingu AML