Kim jest AML Officer i za co odpowiada?

AML Officer to osoba odpowiedzialna za zapewnienie zgodności działań firmy z przepisami dotyczącymi przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. Nadzoruje funkcjonowanie systemu AML, w tym ocenę ryzyka, stosowanie procedur, weryfikację klientów, monitoring relacji i transakcji oraz reakcję na okoliczności mogące wskazywać na pranie pieniędzy lub finansowanie terroryzmu.

W polskiej ustawie AML nie występuje stanowisko nazwane wprost „AML Officer”. Art. 8 mówi natomiast o pracowniku zajmującym kierownicze stanowisko, odpowiedzialnym za zapewnienie zgodności działalności instytucji obowiązanej z przepisami AML/CFT oraz za przekazywanie określonych zawiadomień w jej imieniu. UKNF określa tę funkcję jako AMLRO – Anti-Money Laundering Reporting Officer.

Nie chodzi więc o osobę, która jedynie „pilnuje dokumentów AML”. AML Officer ma sprawić, że przyjęte w firmie zasady rzeczywiście działają: ryzyko jest oceniane, klient prawidłowo weryfikowany, nietypowa aktywność analizowana, a stwierdzone nieprawidłowości prowadzą do konkretnej reakcji.

Jaką rolę pełni AML Officer w firmie?

Rola AML Officera znajduje się pomiędzy przepisami, zarządzaniem ryzykiem a codzienną działalnością firmy. Z jednej strony musi rozumieć wymagania regulacyjne, z drugiej – wiedzieć, jak w praktyce działa organizacja, jakie ma produkty, kim są jej klienci i gdzie mogą pojawić się ryzyka związane z praniem pieniędzy lub finansowaniem terroryzmu.

To istotne, ponieważ skuteczny system AML nie może opierać się wyłącznie na sztywnym zestawie reguł. Ten sam rodzaj transakcji może być całkowicie naturalny dla jednego klienta i wymagać pogłębionej analizy w przypadku innego. AML Officer musi więc patrzeć na zachowanie klienta w szerszym kontekście.

W większych organizacjach nie wykonuje przy tym osobiście wszystkich czynności AML. Weryfikacją klientów, analizą dokumentów czy monitoringiem transakcji mogą zajmować się wyspecjalizowane zespoły. Zadaniem AML Officera jest natomiast zapewnienie, że procesy te zostały prawidłowo zaprojektowane, są nadzorowane, a wykrywane problemy trafiają do odpowiednich osób.

UKNF wskazuje, że AMLRO powinien funkcjonować jako element drugiej linii obrony, zachowywać niezależność od kontrolowanych obszarów biznesowych oraz mieć dostęp do informacji potrzebnych do realizacji swoich obowiązków i bezpośredni dostęp do odpowiedniego szczebla kierownictwa.

Jakie są obowiązki AML Officera?

Dokładny zakres obowiązków zależy od rodzaju instytucji, skali działalności i jej profilu ryzyka. Inaczej będzie wyglądała praca AML Officera w rozbudowanej instytucji finansowej, a inaczej w niewielkiej firmie będącej instytucją obowiązaną.

Do typowych zadań AML Officera należą:

• nadzór nad oceną ryzyka prania pieniędzy i finansowania terroryzmu;
• opracowywanie, wdrażanie i aktualizowanie procedur AML;
• kontrolowanie prawidłowości procesów KYC oraz stosowania środków bezpieczeństwa finansowego;
• nadzorowanie monitoringu klientów, relacji gospodarczych i transakcji;
• analizowanie zgłoszeń dotyczących nietypowych lub podejrzanych zachowań;
• zapewnienie prawidłowego raportowania wymaganych informacji i zawiadomień;
• identyfikowanie nieprawidłowości w systemie AML i rekomendowanie działań naprawczych;
• wspieranie i szkolenie osób wykonujących obowiązki AML;
• raportowanie do kierownictwa na temat ryzyka, stwierdzonych problemów i skuteczności przyjętych zabezpieczeń.

UKNF zwraca szczególną uwagę m.in. na opracowanie ram oceny ryzyka, aktualizację procedur, monitorowanie ich skuteczności, nadzór nad mechanizmami kontrolnymi oraz rekomendowanie działań naprawczych. AMLRO powinien również znać działanie systemu monitorowania transakcji i zapewniać właściwą obsługę zgłoszeń dotyczących podejrzanej aktywności.

W praktyce zakres pracy AML Officera jest więc znacznie szerszy niż samo KYC.

AML Officer a KYC i weryfikacja klientów

KYC, czyli Know Your Customer, jest jednym z podstawowych elementów AML, ale nie należy utożsamiać go z całą funkcją AML Officera.

Instytucja obowiązana musi stosować odpowiednie środki bezpieczeństwa finansowego. Obejmują one m.in. identyfikację klienta, weryfikację jego tożsamości, ustalenie beneficjenta rzeczywistego, ocenę celu i charakteru stosunków gospodarczych oraz ich bieżące monitorowanie.

Rolą AML Officera jest zadbanie o to, żeby proces został skonstruowany odpowiednio do ryzyka.

Jeżeli firma obsługuje klienta o prostej i przejrzystej strukturze właścicielskiej, działającego lokalnie w branży o stosunkowo niewielkim ryzyku, sposób jego obsługi może wyglądać inaczej niż w przypadku spółki posiadającej wielopoziomową strukturę własnościową, prowadzącej transakcje z wieloma jurysdykcjami albo działającej w sektorze szczególnie narażonym na ryzyko ML/FT.

AML Officer powinien zatem nie tylko wiedzieć, jakie dane trzeba zebrać, ale również rozumieć, dlaczego są potrzebne i kiedy standardowa weryfikacja przestaje być wystarczająca.

AML Officer a monitoring transakcji

Istotnym elementem AML jest również bieżące obserwowanie relacji z klientem.

Informacje zebrane podczas onboardingu nie pozostają aktualne bezterminowo. Profil klienta może się zmienić, podobnie jak jego działalność, właściciele, obszary geograficzne czy charakter wykonywanych transakcji.

Dlatego system AML powinien pozwalać wychwycić sytuacje, w których rzeczywiste zachowanie klienta zaczyna odbiegać od tego, czego można było się po nim rozsądnie spodziewać.

Nie każda nietypowa transakcja jest oczywiście próbą prania pieniędzy. Nietypowość jest przede wszystkim sygnałem, że sytuacji warto przyjrzeć się bliżej.

Przykładem może być klient, który przez długi czas prowadził działalność o określonej skali, a następnie zaczyna przeprowadzać wielokrotnie większe transakcje bez widocznej przyczyny biznesowej. Innym sygnałem może być nagłe pojawienie się przepływów związanych z krajami, z którymi klient wcześniej nie prowadził działalności.

AML Officer powinien zapewnić, że takie zdarzenia nie są automatycznie ignorowane, a firma ma jasne zasady ich analizy i eskalacji.

Co dzieje się, gdy pojawia się podejrzenie prania pieniędzy?

Właśnie w takich sytuacjach znaczenie AML Officera staje się szczególnie widoczne.

Podejrzenie może wynikać z pojedynczej transakcji, ale równie dobrze z kombinacji kilku pozornie niezwiązanych ze sobą informacji. Znaczenie mogą mieć sposób działania klienta, źródło środków, nietypowa struktura transakcji, powiązania osobowe czy brak ekonomicznego uzasadnienia określonych operacji.

AML Officer powinien doprowadzić do analizy takich sygnałów, udokumentowania ustaleń i podjęcia decyzji zgodnej z procedurą i przepisami.

W polskim systemie pracownik wskazany w art. 8 ustawy odpowiada również za przekazywanie w imieniu instytucji obowiązanej zawiadomień przewidzianych przez ustawę. Jednym z kluczowych organów w tym procesie jest Generalny Inspektor Informacji Finansowej – GIIF.

Nie oznacza to, że każda anomalia powinna automatycznie kończyć się zawiadomieniem. W AML istotna jest analiza okoliczności i ocena ryzyka. Mechanizm powinien jednak działać na tyle sprawnie, aby uzasadnione podejrzenie nie pozostało bez reakcji.

Za co odpowiada AML Officer?

Odpowiedzialność AML Officera nie sprowadza się do odhaczania pojedynczych czynności.

Powinien on oceniać, czy cały system AML działa skutecznie. Jeśli organizacja posiada procedurę, której pracownicy nie stosują, albo system monitoringu generuje setki alertów, których nikt właściwie nie analizuje, samo formalne posiadanie tych rozwiązań nie zapewnia zgodności.

Dlatego AML Officer powinien regularnie identyfikować słabe punkty procesu. Może chodzić np. o braki w dokumentacji klientów, zbyt rzadką aktualizację danych, nieprawidłowe przypisywanie poziomu ryzyka, brak właściwej eskalacji alertów czy niedostosowanie procedury do nowych produktów oferowanych przez firmę.

Jeżeli pojawia się problem, rolą AML Officera nie jest tylko jego opisanie. Powinien również wskazać, jakie działania naprawcze należy wdrożyć i poinformować o nich odpowiednie osoby w organizacji.

UKNF wskazuje także na potrzebę regularnego raportowania działalności AMLRO do kierownictwa. Funkcja AML nie powinna więc działać w oderwaniu od osób faktycznie zarządzających przedsiębiorstwem.

Jakie kompetencje powinien mieć AML Officer?

AML Officer powinien przede wszystkim dobrze znać przepisy AML/CFT, ale sama znajomość regulacji nie wystarczy.

Konieczne jest również rozumienie mechanizmów prania pieniędzy, oceny ryzyka, KYC, struktury własnościowej klientów, beneficjentów rzeczywistych i monitorowania transakcji.

Równie ważna jest znajomość samego przedsiębiorstwa. Osoba odpowiedzialna za AML musi rozumieć jego model biznesowy i wiedzieć, skąd wynikają charakterystyczne dla niego zagrożenia.

UKNF wskazuje przy ocenie osoby mającej pełnić funkcję AMLRO m.in. na jej wiedzę i umiejętności AML/CFT, rozumienie ryzyk związanych z modelem biznesowym, doświadczenie w ich identyfikacji i zarządzaniu, a także reputację, uczciwość i możliwość wykonywania funkcji skutecznie oraz niezależnie.

W praktyce liczą się również umiejętności analityczne. W AML rzadko otrzymuje się gotową odpowiedź w postaci komunikatu „ta transakcja jest podejrzana”. Zazwyczaj trzeba połączyć kilka informacji, ocenić ich znaczenie i odpowiednio udokumentować tok analizy.

Jaką pozycję w firmie powinien mieć AML Officer?

AML Officer nie może być skuteczny, jeżeli nie posiada dostępu do informacji albo jego rekomendacje mogą być swobodnie ignorowane przez biznes.

Z tego powodu istotna jest jego odpowiednia pozycja organizacyjna.

UKNF wskazuje, że AMLRO powinien być pracownikiem na stanowisku kierowniczym, posiadać odpowiednie uprawnienia oraz możliwość proponowania z własnej inicjatywy działań koniecznych dla zapewnienia skuteczności procesu AML/CFT. Powinien mieć również wystarczające zasoby oraz dostęp do danych z całej organizacji.

Ma to bardzo praktyczny sens. Jeśli dział sprzedaży chce rozpocząć współpracę z klientem przynoszącym znaczne przychody, ale AML Officer identyfikuje poważne ryzyka, względy handlowe nie powinny uniemożliwiać przeprowadzenia prawidłowej analizy.

Niezależność funkcji AML jest więc jednym z warunków jej skuteczności.

Kto musi wyznaczyć AML Officera?

Obowiązek należy rozpatrywać przede wszystkim przez pryzmat tego, czy dany podmiot jest instytucją obowiązaną w rozumieniu ustawy AML.

Jeżeli tak, musi prawidłowo zorganizować odpowiedzialność za wykonywanie obowiązków wynikających z ustawy. Art. 8 przewiduje wyznaczenie pracownika zajmującego kierownicze stanowisko odpowiedzialnego za zapewnienie zgodności działalności instytucji z przepisami AML/CFT.

Ustawa przewiduje jednocześnie szczególne rozwiązanie dla działalności wykonywanej jednoosobowo. W takim przypadku odpowiednie zadania realizuje osoba prowadząca tę działalność. UKNF również wskazuje na ten wyjątek w swoim stanowisku dotyczącym AMLRO.

Dlatego pytanie „czy moja firma potrzebuje AML Officera?” powinno zaczynać się od ustalenia statusu firmy i konkretnych obowiązków, które mają do niej zastosowanie.

Nie warto przy tym traktować wyznaczenia takiej osoby jako formalności. Organy nadzorcze rzeczywiście kontrolują wykonanie tego obowiązku, a jego niewypełnienie może być podstawą zastosowania sankcji administracyjnych. Przykłady decyzji publikowanych przez Ministerstwo Finansów pokazują, że brak prawidłowo wyznaczonej osoby odpowiedzialnej za zgodność AML jest przedmiotem kontroli.

Czy zadania AML Officera można powierzyć na zewnątrz?

Tak, część zadań AML może być realizowana w modelu outsourcingowym, ale outsourcing nie powoduje, że firma przestaje odpowiadać za wykonanie swoich obowiązków.

To rozróżnienie jest istotne.

Polskie przepisy umożliwiają powierzanie podmiotom zewnętrznym określonych działań związanych m.in. ze stosowaniem środków bezpieczeństwa finansowego i analizą transakcji. UKNF wprost odnosi się również do outsourcingu funkcji operacyjnych AMLRO. Zaznacza jednak, że odpowiedzialność za przestrzeganie powierzonych obowiązków nadal spoczywa na podmiocie nadzorowanym. Zakres zadań obu stron powinien być jasno określony, a jakość pracy usługodawcy musi podlegać monitoringowi.

W praktyce zewnętrzny zespół może wspierać organizację m.in. w realizowaniu procesów KYC, analizach AML, monitorowaniu klientów i transakcji, przygotowywaniu dokumentacji, aktualizowaniu procedur czy organizacji procesów operacyjnych.

Taki model może być szczególnie użyteczny dla przedsiębiorstw, które nie potrzebują rozbudowanego wewnętrznego działu AML, ale jednocześnie muszą posiadać dostęp do specjalistycznej wiedzy i zapewnić ciągłość realizowania obowiązków.

Zakres outsourcingu AML powinien być jednak ustalany indywidualnie – z uwzględnieniem rodzaju instytucji, obowiązujących ją regulacji, struktury organizacyjnej oraz profilu ryzyka.

Samo podpisanie umowy z firmą zewnętrzną nie przenosi odpowiedzialności regulacyjnej na usługodawcę. Outsourcing ma wspierać system AML, a nie zastępować nadzór organizacji nad własnym ryzykiem.

AML Officer a zmiany w przepisach od 2027 roku

Warto zwrócić uwagę na kierunek, w którym zmierzają regulacje unijne.

Rozporządzenie AMLR – Regulation (EU) 2024/1624 – będzie zasadniczo stosowane od 10 lipca 2027 r. i wprost wprowadza pojęcia compliance manager oraz compliance officer. Compliance officer ma posiadać odpowiednio wysoką pozycję w strukturze organizacji i odpowiadać za codzienne funkcjonowanie polityk, procedur i kontroli AML/CFT. Ma być także punktem kontaktowym dla właściwych organów i odpowiadać za raportowanie podejrzanej aktywności do jednostki analityki finansowej.

Nowe przepisy jeszcze wyraźniej akcentują również zasoby i niezależność takiej funkcji. Organizacja ma zapewnić jej odpowiednią liczbę pracowników, technologię i dostęp do informacji, a AML Officer ma mieć możliwość bezpośredniego raportowania do organu zarządzającego.

Co ciekawe z perspektywy outsourcingu, AMLR wprost przewiduje możliwość powierzania dostawcom zewnętrznym części zadań AML, ale jednocześnie określa czynności, których outsourcować nie będzie można. Odpowiedzialność za zlecone zadania nadal będzie spoczywać na instytucji obowiązanej.

Kierunek zmian jest więc jasny: rola AML Officera staje się coraz bardziej sformalizowana, ale równocześnie przepisy uwzględniają możliwość korzystania ze specjalistycznego wsparcia zewnętrznego.

AML Officer – najważniejsza jest skuteczność systemu

AML Officer nie jest tylko osobą „od AML” wpisaną do procedury. To funkcja, która powinna łączyć znajomość regulacji z praktycznym zarządzaniem ryzykiem.

Jej znaczenie widać szczególnie wtedy, gdy pojawia się sytuacja niestandardowa: nietypowy klient, niejasna struktura własnościowa, transakcja odbiegająca od wcześniejszej aktywności, problem z ustaleniem źródła środków czy podejrzenie, że organizacja może zostać wykorzystana do prania pieniędzy.

Dobry AML Officer powinien wiedzieć, jak taką sytuację przeanalizować, jakie informacje zebrać, kiedy ją eskalować i jakie działania należy podjąć.

Ostatecznie nie chodzi bowiem o samo posiadanie procedury AML. Liczy się to, czy firma potrafi wykorzystać ją w praktyce i skutecznie zarządzać ryzykiem prania pieniędzy oraz finansowania terroryzmu.