Obowiązki AML – jakie obowiązki ma instytucja obowiązana?

Obowiązki AML nie sprowadzają się wyłącznie do sprawdzenia klienta przed rozpoczęciem współpracy. Instytucja obowiązana powinna stworzyć system pozwalający identyfikować i ograniczać ryzyko prania pieniędzy oraz finansowania terroryzmu na każdym etapie relacji z klientem. W praktyce oznacza to m.in. konieczność przeprowadzania oceny ryzyka, stosowania środków bezpieczeństwa finansowego, monitorowania klientów i transakcji, wdrożenia procedury AML, szkolenia osób realizujących obowiązki AML oraz przekazywania wymaganych informacji do Generalnego Inspektora Informacji Finansowej.

Zakres poszczególnych obowiązków zależy od rodzaju instytucji i charakteru prowadzonej działalności. Podstawowe elementy systemu AML są jednak wspólne dla instytucji obowiązanych wskazanych w ustawie o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu.

Kogo dotyczą obowiązki AML?

Obowiązki wynikające z ustawy AML dotyczą instytucji obowiązanych. Pojęcie to jest znacznie szersze niż banki czy instytucje finansowe. Ustawa obejmuje nim m.in. określone instytucje płatnicze, firmy inwestycyjne, zakłady ubezpieczeń, biura rachunkowe, pośredników nieruchomości, kantory, notariuszy oraz część przedstawicieli zawodów prawniczych, podatkowych i innych przedsiębiorców spełniających ustawowe przesłanki. Pełny katalog znajduje się w art. 2 ustawy AML.

Sam fakt podlegania ustawie oznacza konieczność zorganizowania działalności w taki sposób, aby instytucja była w stanie wykonywać obowiązki AML w praktyce, a nie tylko posiadała odpowiednie dokumenty.

Przykład: biuro rachunkowe będące instytucją obowiązaną nie realizuje wymogów AML wyłącznie przez posiadanie procedury w segregatorze. Musi również oceniać ryzyko, stosować odpowiednie środki wobec klientów, szkolić osoby wykonujące obowiązki AML i dokumentować przeprowadzone czynności.

Jakie są najważniejsze obowiązki AML?

Zakres obowiązków AML jest szeroki, ale najważniejsze elementy można podzielić na kilka podstawowych obszarów:

• identyfikację i ocenę ryzyka prania pieniędzy oraz finansowania terroryzmu,
• stosowanie środków bezpieczeństwa finansowego, w tym KYC,
• identyfikację i weryfikację beneficjentów rzeczywistych,
• bieżące monitorowanie stosunków gospodarczych i transakcji,
• wdrożenie oraz aktualizację wewnętrznej procedury AML,
• określenie odpowiedzialności za wykonywanie obowiązków AML,
• szkolenie osób wykonujących zadania związane z AML,
• dokumentowanie działań i przechowywanie wymaganych informacji,
• przekazywanie informacji i zawiadomień do GIIF,
• stosowanie odpowiednich działań w przypadkach podwyższonego ryzyka, np. wobec PEP,
• stosowanie szczególnych środków ograniczających i uwzględnianie obowiązujących sankcji.

W praktyce obowiązki te tworzą jeden system. Ocena ryzyka wpływa na sposób przeprowadzenia KYC, wynik KYC wpływa na monitoring klienta, a sposób wykonywania wszystkich tych czynności powinien wynikać z procedury AML.

Ocena ryzyka prania pieniędzy i finansowania terroryzmu

Jednym z podstawowych obowiązków instytucji obowiązanej jest identyfikacja i ocena ryzyka AML. Warto jednak rozróżnić dwa poziomy takiej oceny.

Ocena ryzyka działalności instytucji

Instytucja obowiązana powinna analizować ryzyko związane z całą prowadzoną działalnością.

Przy takiej ocenie bierze się pod uwagę m.in. czynniki związane z:

• klientami,
• państwami i obszarami geograficznymi,
• produktami i usługami,
• rodzajami transakcji,
• kanałami dystrybucji lub sposobem świadczenia usług.

Ocena powinna odpowiadać rzeczywistemu charakterowi działalności. Nie powinna być jedynie skopiowanym wzorem, który nie uwzględnia klientów, produktów i ryzyk charakterystycznych dla konkretnej organizacji. GIIF zwraca uwagę, że działania związane z oceną ryzyka powinny być proporcjonalne do charakteru i wielkości instytucji obowiązanej.

Szerzej o tym zagadnieniu pisaliśmy w artykule Ocena ryzyka AML – co to jest i jak ją przygotować?.

Ocena ryzyka konkretnego klienta

Drugim poziomem jest ryzyko związane z konkretnym klientem, stosunkiem gospodarczym albo transakcją okazjonalną. Instytucja powinna rozpoznać i ocenić to ryzyko oraz odpowiednio je udokumentować.

Znaczenie mogą mieć m.in.:

• rodzaj klienta,
• struktura właścicielska,
• geografia,
• cel relacji,
• rodzaj wykorzystywanego produktu,
• wartość i charakter transakcji,
• częstotliwość i czas trwania relacji.

Dopiero na tej podstawie można określić, jak intensywne powinny być dalsze działania wobec klienta. Ustawa AML wymaga bowiem, aby zakres środków bezpieczeństwa finansowego uwzględniał rozpoznany poziom ryzyka.

KYC i środki bezpieczeństwa finansowego

Jednym z najbardziej widocznych obowiązków AML jest stosowanie środków bezpieczeństwa finansowego. W praktyce obejmują one proces poznania klienta, czyli KYC. Instytucja obowiązana powinna m.in.:

• zidentyfikować klienta,
• zweryfikować jego tożsamość,
• ustalić beneficjenta rzeczywistego,
• podjąć uzasadnione działania w celu weryfikacji tożsamości beneficjenta rzeczywistego,
• zrozumieć strukturę własności i kontroli klienta, jeśli jest to wymagane,
• ocenić stosunki gospodarcze i ich zamierzony charakter,
• monitorować relację w czasie.

Takie elementy środków bezpieczeństwa finansowego wynikają bezpośrednio z art. 34 ustawy AML. Istotne jest jednak nie tylko samo zebranie danych.

Przykład: jeżeli klientem jest spółka, nie wystarczy sprawdzić jej nazwy i numeru KRS. Instytucja powinna również ustalić, kto jest jej beneficjentem rzeczywistym, zrozumieć strukturę własności i kontroli oraz ocenić ryzyko związane z relacją.

W zależności od wyniku oceny ryzyka środki mogą być stosowane z różną intensywnością. Klient o prostej strukturze i niskim poziomie ryzyka może wymagać innego zakresu działań niż klient posiadający wielopoziomową strukturę zagraniczną, powiązania z państwem podwyższonego ryzyka albo nietypowy profil działalności.

Monitoring klientów i analiza transakcji

Obowiązki AML nie kończą się w momencie zakończenia onboardingu. Instytucja obowiązana powinna prowadzić bieżący monitoring stosunków gospodarczych. Monitoring obejmuje m.in. analizę transakcji przeprowadzanych w trakcie relacji w celu sprawdzenia, czy odpowiadają one wiedzy o kliencie, jego działalności i rozpoznanemu profilowi ryzyka.

W praktyce oznacza to konieczność zwracania uwagi na:

• nietypowe zmiany aktywności,
• transakcje niepasujące do profilu klienta,
• zmianę charakteru działalności,
• zmianę struktury własności,
• pojawienie się nowych czynników ryzyka,
• nieaktualne dane KYC.

Przykład: klient deklaruje, że prowadzi niewielką działalność usługową i przez rok wykonuje typowe dla niej transakcje. Następnie na jego rachunku zaczynają pojawiać się wielokrotnie wyższe przelewy zagraniczne, których charakter nie odpowiada znanej działalności. Taka zmiana powinna zostać odpowiednio przeanalizowana.

Monitoring nie oznacza więc wyłącznie technicznego wykrywania transakcji przekraczających określone wartości. Jego celem jest również identyfikowanie zachowań odbiegających od wiedzy instytucji o kliencie.

Wewnętrzna procedura AML

Instytucja obowiązana powinna posiadać wewnętrzną procedurę dotyczącą przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. Procedura określa, jak obowiązki wynikające z ustawy mają być wykonywane w praktyce. Powinna regulować m.in.:

• sposób identyfikacji i oceny ryzyka,
• stosowanie środków bezpieczeństwa finansowego,
• zasady identyfikacji i weryfikacji klientów,
• sposób monitorowania relacji,
• zasady postępowania w przypadku PEP,
• przekazywanie informacji i zawiadomień,
• dokumentowanie czynności,
• zasady szkolenia osób wykonujących obowiązki AML,
• podział odpowiedzialności wewnątrz organizacji.

Procedura nie powinna być dokumentem przygotowanym raz i pozostawionym bez zmian. Powinna być dostosowana do charakteru, rodzaju i rozmiaru działalności oraz aktualizowana, jeżeli zmienia się działalność instytucji, przepisy albo profil występującego ryzyka. Więcej o tym zagadnieniu opisaliśmy w artykule Procedura AML – kto musi ją wdrożyć i co powinna zawierać?.

Wyznaczenie osób odpowiedzialnych za AML

Prawidłowo działający system AML wymaga jasnego określenia, kto odpowiada za poszczególne obowiązki. W zależności od formy organizacyjnej i wielkości podmiotu odpowiedzialność może dotyczyć m.in. członków zarządu, kadry kierowniczej albo wyznaczonego pracownika. W większych organizacjach funkcjonuje często osoba określana jako AML Officer albo AMLRO, która odpowiada operacyjnie za organizację i wykonywanie obowiązków związanych z AML. Nie oznacza to jednak, że samo powołanie AML Officera powoduje przeniesienie całej odpowiedzialności z organizacji na jednego pracownika.

System powinien określać m.in.:

• kto podejmuje decyzje,
• kto przeprowadza KYC,
• kto ocenia przypadki wymagające eskalacji,
• kto odpowiada za raportowanie,
• kto zatwierdza relacje wymagające dodatkowej akceptacji,
• kto nadzoruje aktualność procedur i szkoleń.

Szerzej rolę tę opisujemy w artykule Kim jest AML Officer i czym się zajmuje?.

Obowiązki informacyjne i zawiadomienia do GIIF

Jednym z istotnych elementów systemu AML jest współpraca z Generalnym Inspektorem Informacji Finansowej. Instytucje obowiązane mają obowiązek analizować informacje i aktywność klientów oraz reagować, jeżeli pojawiają się okoliczności mogące wskazywać na pranie pieniędzy lub finansowanie terroryzmu. W przypadkach określonych w ustawie instytucja powinna przekazywać do GIIF odpowiednie informacje lub zawiadomienia.

Dotyczy to m.in. sytuacji, w których występuje podejrzenie, że określona transakcja lub wartości majątkowe mogą mieć związek z praniem pieniędzy albo finansowaniem terroryzmu. W ustawowo określonych przypadkach występują również obowiązki dotyczące przekazywania informacji o określonych transakcjach ponadprogowych.

Nie każda nietypowa transakcja oznacza automatycznie pranie pieniędzy. Rolą instytucji jest jednak rozpoznanie sytuacji, jej analiza, odpowiednie udokumentowanie oraz podjęcie działań przewidzianych przez ustawę i procedurę wewnętrzną.

Szkolenia AML

Osoby wykonujące obowiązki związane z AML powinny posiadać wiedzę pozwalającą prawidłowo je realizować. Ustawa przewiduje obowiązek udziału odpowiednich osób w programach szkoleniowych dotyczących wykonywania obowiązków AML, z uwzględnieniem m.in. ochrony danych osobowych.

Obowiązek szkoleniowy nie dotyczy wyłącznie pracowników zatrudnionych na umowę o pracę. GIIF, UKNF i NBP wskazują, że obejmuje on również inne osoby wykonujące obowiązki AML, np. współpracowników, agentów czy osoby działające na zlecenie instytucji. Osoba powinna być odpowiednio przeszkolona przed rozpoczęciem wykonywania zadań w tym obszarze.

Co istotne, szkolenie AML nie powinno być traktowane jako jednorazowy kurs. Program szkoleniowy powinien zapewniać aktualność wiedzy i uwzględniać zmiany przepisów, działalności instytucji oraz występujących ryzyk. Organy nadzoru wskazują wprost, że szkolenia powinny stanowić proces ciągły.

Dokumentowanie i przechowywanie informacji

W AML istotne jest nie tylko wykonanie określonej czynności, ale również możliwość wykazania, że została ona przeprowadzona prawidłowo. Instytucja powinna więc dokumentować m.in.:

• przeprowadzone oceny ryzyka,
• dane i dokumenty pozyskane w KYC,
• sposób ustalenia beneficjenta rzeczywistego,
• wyniki analiz,
• zastosowane środki bezpieczeństwa,
• decyzje dotyczące podwyższonego ryzyka,
• działania podejmowane w związku z monitoringiem,
• wymagane zgłoszenia i zawiadomienia.

Dokumentacja powinna pozwalać odtworzyć sposób, w jaki instytucja podjęła daną decyzję.

Przykład: samo zapisanie w systemie, że klient został zaklasyfikowany jako „wysokie ryzyko”, nie wyjaśnia jeszcze, dlaczego podjęto taką decyzję. Instytucja powinna być w stanie wskazać czynniki, które wpłynęły na ocenę, oraz działania zastosowane w związku z jej wynikiem.

Aktualne materiały GIIF przypominają również o obowiązku przechowywania wymaganej dokumentacji przez okres przewidziany w ustawie; w podstawowym modelu obowiązki dokumentacyjne obejmują okres co najmniej 5 lat.

Co grozi za niewykonywanie obowiązków AML?

Naruszenie obowiązków AML może skutkować odpowiedzialnością administracyjną oraz innymi konsekwencjami przewidzianymi w przepisach. Znaczenie ma przy tym nie tylko całkowity brak systemu AML. Problemy mogą wynikać również z niewłaściwego wykonywania poszczególnych obowiązków, np.:

• braku odpowiedniej oceny ryzyka,
• niewłaściwego stosowania środków bezpieczeństwa finansowego,
• nieaktualnej procedury,
• braku szkoleń,
• nieprawidłowego dokumentowania czynności,
• braku wymaganych zawiadomień,
• braku odpowiedniego monitoringu.

Przykładowo brak prawidłowej realizacji obowiązku szkoleniowego może stanowić podstawę do zastosowania kary administracyjnej. GIIF, UKNF i NBP wskazują również, że instytucja musi być w stanie wykazać prawidłową realizację tego obowiązku. Dlatego compliance AML nie powinno być traktowane jako zestaw dokumentów przygotowywanych wyłącznie na potrzeby ewentualnej kontroli. System powinien faktycznie działać w codziennej obsłudze klientów.

Czy obowiązki AML można zlecić na zewnątrz?

Część czynności związanych z AML może być wykonywana przy wsparciu zewnętrznego podmiotu. W praktyce outsourcing może obejmować m.in.:

• procesy KYC,
• identyfikację i analizę beneficjentów rzeczywistych,
• screening PEP i sankcyjny,
• analizę struktur właścicielskich,
• aktualizację danych klientów,
• wsparcie w ocenie ryzyka,
• przygotowanie i aktualizację dokumentacji AML,
• prowadzenie określonych działań związanych z monitoringiem.

Skorzystanie z zewnętrznego wsparcia nie oznacza jednak automatycznego przeniesienia ustawowej odpowiedzialności z instytucji obowiązanej na dostawcę usług. Instytucja nadal powinna zapewnić prawidłową realizację obowiązków, odpowiednio nadzorować powierzane czynności oraz zachować kontrolę nad procesem. Wspólne stanowisko GIIF, UKNF i NBP dotyczące szkoleń podkreśla przykładowo, że korzystanie z podmiotu trzeciego przy wykonywaniu określonych zadań AML nie zwalnia instytucji obowiązanej z odpowiedzialności za stosowanie środków bezpieczeństwa finansowego.

Dobrze zaprojektowany outsourcing nie powinien więc polegać na „oddaniu AML na zewnątrz”, lecz na takim podziale czynności, który pozwala instytucji wykonywać obowiązki sprawniej, przy zachowaniu kontroli i odpowiedzialności po swojej stronie. W zależności od potrzeb możemy wspierać instytucje obowiązane zarówno w pojedynczych procesach, takich jak KYC czy analiza beneficjentów rzeczywistych, jak i w szerszym uporządkowaniu operacyjnego systemu AML.

Dowiedz się więcej o outsourcingu AML