Środki bezpieczeństwa finansowego – czym są i kiedy należy je stosować?

Środki bezpieczeństwa finansowego to działania, które instytucja obowiązana stosuje wobec klientów w celu rozpoznania i ograniczenia ryzyka prania pieniędzy oraz finansowania terroryzmu. Nie sprowadzają się wyłącznie do sprawdzenia dokumentu tożsamości. Obejmują również ustalenie beneficjenta rzeczywistego, poznanie celu i charakteru relacji z klientem oraz jej bieżące monitorowanie.

Polska ustawa AML wymaga od instytucji obowiązanych rozpoznawania i oceny ryzyka związanego z konkretnym klientem, stosunkiem gospodarczym lub transakcją okazjonalną. Zakres i intensywność stosowanych środków powinny odpowiadać temu ryzyku.

W praktyce oznacza to, że prawidłowy proces nie kończy się na jednorazowym KYC podczas onboardingu. Środki bezpieczeństwa finansowego powinny działać przez cały okres relacji z klientem, a część czynności związanych z ich stosowaniem może zostać powierzona zewnętrznemu podmiotowi na zasadach określonych w ustawie AML.

Co to są środki bezpieczeństwa finansowego?

Środki bezpieczeństwa finansowego są ustawowym elementem systemu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. Zgodnie z art. 33 ustawy AML instytucje obowiązane stosują je wobec swoich klientów oraz rozpoznają i oceniają ryzyko prania pieniędzy i finansowania terroryzmu związane ze stosunkami gospodarczymi lub transakcją okazjonalną.

Nie jest to więc jeden formularz ani pojedyncza czynność wykonywana przy rozpoczęciu współpracy. Środki bezpieczeństwa finansowego tworzą proces, który pozwala instytucji odpowiedzieć m.in. na pytania:

• kim jest klient,
• kto faktycznie kontroluje klienta będącego np. spółką,
• jaki jest cel nawiązywanej relacji,
• jakiej aktywności można spodziewać się po kliencie,
• jaki poziom ryzyka wiąże się z relacją,
• czy późniejsze transakcje odpowiadają wiedzy instytucji o kliencie.

Sposób stosowania tych środków powinien wynikać zarówno z przepisów, jak i z rozpoznanego poziomu ryzyka.

Jakie środki bezpieczeństwa finansowego przewiduje ustawa AML?

Art. 34 ustawy AML wskazuje cztery podstawowe obszary środków bezpieczeństwa finansowego: identyfikację i weryfikację klienta, ustalenie i weryfikację beneficjenta rzeczywistego, ocenę stosunków gospodarczych oraz ich bieżące monitorowanie.

1. Identyfikacja klienta i weryfikacja jego tożsamości

Pierwszym elementem jest ustalenie, z kim instytucja ma do czynienia. Warto rozróżnić dwa pojęcia:

identyfikacja klienta polega na ustaleniu wymaganych danych, natomiast weryfikacja tożsamości polega na potwierdzeniu tych danych na podstawie odpowiednich dokumentów, danych lub informacji pochodzących z wiarygodnego i niezależnego źródła.

W przypadku osoby fizycznej chodzi więc nie tylko o zebranie imienia i nazwiska czy numeru dokumentu. Instytucja musi również potwierdzić, że pozyskane dane rzeczywiście dotyczą osoby, z którą nawiązuje relację. W przypadku spółki proces obejmuje natomiast m.in. ustalenie danych podmiotu i osób go reprezentujących oraz zweryfikowanie ich na podstawie odpowiednich źródeł.

Jest to jeden z podstawowych elementów procesu KYC, ale nie wyczerpuje całego zakresu środków bezpieczeństwa finansowego.

2. Ustalenie i weryfikacja beneficjenta rzeczywistego

Jeżeli klientem jest spółka, fundacja, trust albo inna struktura, instytucja obowiązana powinna ustalić, kto jest jej beneficjentem rzeczywistym. Nie chodzi wyłącznie o wskazanie osoby figurującej w rejestrze. Instytucja powinna:

• zidentyfikować beneficjenta rzeczywistego,
• podjąć uzasadnione czynności w celu weryfikacji jego tożsamości,
• w przypadku odpowiednich klientów ustalić strukturę własności i kontroli.

Przykład: klientem jest spółka należąca do innej spółki, która z kolei znajduje się pod kontrolą kolejnego podmiotu zagranicznego. Samo sprawdzenie bezpośrednich wspólników pierwszej spółki nie wystarczy. Trzeba przeanalizować strukturę do poziomu osoby lub osób fizycznych sprawujących ostateczną kontrolę.

W procesie może być wykorzystywany Centralny Rejestr Beneficjentów Rzeczywistych (CRBR), jednak samo sprawdzenie wpisu w rejestrze nie zastępuje obowiązku prawidłowego ustalenia i weryfikacji beneficjenta rzeczywistego.

3. Ocena celu i charakteru stosunków gospodarczych

Środki bezpieczeństwa finansowego obejmują również ocenę stosunków gospodarczych i, stosownie do sytuacji, uzyskanie informacji o ich celu oraz zamierzonym charakterze. Instytucja powinna więc wiedzieć nie tylko: „Kim jest klient?”

ale także:

„Dlaczego klient chce korzystać z naszych usług i jakiego rodzaju aktywności możemy się po nim spodziewać?”

Przykład: spółka deklaruje, że będzie korzystać z określonego produktu do rozliczania bieżącej działalności krajowej. Informacja ta tworzy kontekst dla późniejszego monitorowania. Jeżeli po rozpoczęciu współpracy pojawią się liczne wysokokwotowe transakcje z państwami, z którymi klient wcześniej nie wykazywał żadnych powiązań, może to wymagać dodatkowej analizy.

Cel relacji nie powinien być więc informacją zbieraną wyłącznie po to, aby wypełnić pole w formularzu KYC.

4. Bieżące monitorowanie stosunków gospodarczych

Stosowanie środków bezpieczeństwa finansowego nie kończy się po zaakceptowaniu klienta. Ustawa AML wymaga bieżącego monitorowania stosunków gospodarczych. Obejmuje ono m.in.:

• analizę transakcji w kontekście wiedzy o kliencie, jego działalności i poziomie ryzyka,
• badanie źródła pochodzenia wartości majątkowych, jeżeli uzasadniają to okoliczności,
• zapewnienie, że dokumenty, dane i informacje dotyczące relacji są na bieżąco aktualizowane.

Przykład: klient przez dwa lata prowadzi działalność o stosunkowo stałym profilu. Następnie zmienia strukturę właścicielską, rozpoczyna działalność w nowych państwach i znacząco zwiększa wartość transakcji. Instytucja nie powinna opierać się wyłącznie na informacjach pozyskanych dwa lata wcześniej.

Monitoring i aktualizacja KYC są integralną częścią środków bezpieczeństwa finansowego.

Kiedy należy stosować środki bezpieczeństwa finansowego?

Środki bezpieczeństwa finansowego stosuje się przede wszystkim przy nawiązywaniu stosunków gospodarczych, ale ustawa przewiduje również szereg innych sytuacji. Zgodnie z art. 35 ustawy AML obowiązek może powstać m.in. przy:

• nawiązywaniu stosunków gospodarczych,
• transakcji okazjonalnej o równowartości co najmniej 15 000 euro,
• określonym transferze środków pieniężnych przekraczającym równowartość 1000 euro,
• określonych transakcjach z wykorzystaniem walut wirtualnych o równowartości co najmniej 1000 euro,
• określonych gotówkowych transakcjach okazjonalnych o wartości co najmniej 10 000 euro,
• określonych czynnościach związanych z hazardem o wartości co najmniej 2000 euro,
• podejrzeniu prania pieniędzy lub finansowania terroryzmu,
• wątpliwościach dotyczących prawdziwości lub kompletności wcześniej uzyskanych danych identyfikacyjnych klienta.

Konkretne progi i przypadki nie dotyczą jednak wszystkich instytucji obowiązanych w identyczny sposób. Przy ich stosowaniu należy uwzględnić kategorię podmiotu oraz pełne brzmienie odpowiednich przepisów.

Czy środki bezpieczeństwa finansowego stosuje się tylko wobec nowych klientów?

Nie. Ustawa wymaga stosowania ich również wobec klientów, z którymi instytucja już utrzymuje stosunki gospodarcze, z uwzględnieniem rozpoznanego ryzyka. Może to być konieczne w szczególności, gdy:

• zmienił się charakter lub okoliczności stosunków gospodarczych,
• zmieniły się dane klienta,
• zmieniły się dane beneficjenta rzeczywistego,
• wystąpiła inna sytuacja wymagająca ponownej weryfikacji informacji.

Oznacza to, że KYC nie powinno być traktowane jako procedura wykonywana raz podczas onboardingu. Jeżeli zmienia się klient lub charakter relacji, powinien zmieniać się również obraz ryzyka posiadany przez instytucję.

Od czego zależy zakres środków bezpieczeństwa finansowego?

Ustawa AML opiera stosowanie środków bezpieczeństwa finansowego na podejściu opartym na ryzyku. Instytucja obowiązana powinna rozpoznać, ocenić i udokumentować ryzyko związane z konkretnymi stosunkami gospodarczymi lub transakcją okazjonalną. Przy ocenie bierze się pod uwagę m.in.:

• rodzaj klienta,
• obszar geograficzny,
• przeznaczenie rachunku,
• produkty i usługi,
• sposób ich dystrybucji,
• wartość majątku lub transakcji,
• cel relacji,
• jej regularność i czas trwania.

Dopiero na tej podstawie instytucja określa zakres i intensywność stosowanych środków.

Przykład: lokalna spółka o prostej strukturze właścicielskiej i przejrzystym profilu działalności może wymagać innej intensywności weryfikacji niż spółka posiadająca kilka warstw własności w różnych jurysdykcjach, prowadząca wysokokwotowe transakcje z obszarami podwyższonego ryzyka.

Nie oznacza to jednak, że przy niższym ryzyku instytucja może po prostu zrezygnować z obowiązków ustawowych. Podejście oparte na ryzyku dotyczy sposobu i intensywności ich wykonywania. Więcej o samym procesie rozpoznawania ryzyka opisujemy w artykule Ocena ryzyka AML – co to jest i jak ją przygotować?.

Uproszczone środki bezpieczeństwa finansowego – kiedy można je stosować?

Jeżeli ocena ryzyka konkretnej relacji lub transakcji potwierdziła niższe ryzyko prania pieniędzy lub finansowania terroryzmu, instytucja może zastosować uproszczone środki bezpieczeństwa finansowego. O niższym ryzyku mogą świadczyć m.in. cechy klienta, charakter produktu lub usługi, transparentność struktury oraz powiązanie z państwami uznawanymi na podstawie wiarygodnych źródeł za obszary niższego ryzyka.

Uproszczenie nie oznacza jednak: „nie musimy robić KYC”. Oznacza dostosowanie sposobu stosowania środków do potwierdzonego niższego poziomu ryzyka.

Co istotne, uproszczonych środków nie można stosować, gdy istnieje podejrzenie prania pieniędzy lub finansowania terroryzmu albo wątpliwości dotyczące prawdziwości lub kompletności posiadanych danych identyfikacyjnych klienta. Decyzja o zastosowaniu uproszczeń powinna więc wynikać z udokumentowanej oceny ryzyka, a nie wyłącznie z założenia, że dany klient „wydaje się bezpieczny”.

Wzmożone środki bezpieczeństwa finansowego – kiedy są wymagane?

Jeżeli instytucja rozpozna wyższe ryzyko prania pieniędzy lub finansowania terroryzmu, powinna zastosować wzmożone środki bezpieczeństwa finansowego. Ustawa wskazuje szereg czynników, które mogą świadczyć o wyższym ryzyku. Należą do nich m.in.:

• nawiązanie relacji w nietypowych okolicznościach,
• nietypowa lub nadmiernie złożona struktura właścicielska klienta,
• znaczna liczba lub wysoka wartość transakcji gotówkowych,
• korzystanie z produktów sprzyjających anonimowości,
• określone relacje zawierane bez fizycznej obecności klienta, jeżeli ryzyko nie zostało odpowiednio ograniczone,
• powiązania z określonymi państwami lub obszarami geograficznymi wysokiego ryzyka.

Wzmożone środki stosuje się także w szczególnych przypadkach określonych w dalszych przepisach ustawy, m.in. w relacjach z osobami posiadającymi status PEP. Zakres dodatkowych działań zależy od konkretnej sytuacji.

Może obejmować np.:

• pozyskanie dodatkowych informacji o kliencie i beneficjencie rzeczywistym,
• dokładniejsze ustalenie źródła majątku lub środków,
• dodatkowe wyjaśnienie celu transakcji,
• zwiększenie częstotliwości monitoringu,
• analizowanie większej liczby transakcji,
• uzyskanie odpowiedniej akceptacji wewnętrznej.

W przypadku podwyższonego ryzyka nie chodzi więc wyłącznie o oznaczenie klienta etykietą „high risk”. Wynik oceny powinien prowadzić do konkretnych działań.

Środki bezpieczeństwa finansowego a KYC – czy to to samo?

Nie są to pojęcia całkowicie tożsame. KYC (Know Your Customer) jest powszechnie używanym określeniem procesu poznania i weryfikacji klienta. Środki bezpieczeństwa finansowego są natomiast pojęciem wynikającym bezpośrednio z polskiej ustawy AML i obejmują szerszy proces. W ich skład wchodzą m.in.:

• identyfikacja i weryfikacja klienta,
• identyfikacja i weryfikacja beneficjenta rzeczywistego,
• analiza struktury własności i kontroli,
• ocena celu i charakteru relacji,
• bieżący monitoring,
• analiza transakcji,
• aktualizacja informacji o kliencie.

Można więc powiedzieć, że KYC jest bardzo istotną częścią praktycznej realizacji środków bezpieczeństwa finansowego, ale same środki bezpieczeństwa finansowego nie kończą się na KYC wykonywanym podczas onboardingu.

Co jeśli nie można zastosować środków bezpieczeństwa finansowego?

Niemożność zastosowania wymaganego środka nie powinna być traktowana jako zwykły brak dokumentu, który można pominąć i kontynuować obsługę klienta. Art. 41 ustawy AML przewiduje, że jeżeli instytucja obowiązana nie może zastosować jednego ze środków określonych w art. 34 ust. 1, co do zasady:

• nie nawiązuje stosunków gospodarczych,
• nie przeprowadza transakcji okazjonalnej,
• nie przeprowadza transakcji za pośrednictwem rachunku bankowego,
• rozwiązuje istniejące stosunki gospodarcze.

Instytucja powinna dodatkowo ocenić, czy niemożność zastosowania środków stanowi podstawę do przekazania zawiadomienia do Generalnego Inspektora Informacji Finansowej. Ustawa przewiduje przy tym szczególne wyjątki dotyczące określonych czynności niektórych zawodów prawniczych.

Przykład: klient posiada wielopoziomową strukturę właścicielską, ale mimo podjęcia odpowiednich działań instytucja nie jest w stanie wiarygodnie ustalić informacji niezbędnych do prawidłowego zastosowania środków bezpieczeństwa finansowego. Nie można po prostu oznaczyć pola „brak danych” i zaakceptować klienta na standardowych zasadach.

Taka sytuacja wymaga decyzji zgodnej z art. 41 oraz odpowiedniego udokumentowania jej podstaw.

Czy stosowanie środków bezpieczeństwa finansowego można zlecić na zewnątrz?

Tak. Polska ustawa AML wprost przewiduje możliwość powierzenia stosowania środków bezpieczeństwa finansowego zewnętrznemu podmiotowi.

Zgodnie z art. 48 instytucja obowiązana może powierzyć stosowanie środków bezpieczeństwa finansowego oraz prowadzenie i dokumentowanie wyników bieżącej analizy transakcji osobie fizycznej, osobie prawnej albo jednostce organizacyjnej działającej w imieniu i na rzecz instytucji obowiązanej. Powierzenie powinno opierać się na pisemnej umowie, a wykonawca ma być traktowany w tym zakresie jako część instytucji obowiązanej.

W praktyce zewnętrzne wsparcie może obejmować m.in.:

• identyfikację i weryfikację klientów,
• procesy KYC i KYB,
• analizę struktur właścicielskich,
• ustalanie i weryfikację beneficjentów rzeczywistych,
• screening PEP i sankcyjny,
• pozyskiwanie i analizowanie dokumentacji klienta,
• wsparcie w ocenie ryzyka klienta,
• aktualizację danych KYC,
• bieżący monitoring,
• analizę alertów i transakcji,
• dokumentowanie wykonanych czynności.

Powierzenie tych działań nie oznacza jednak przeniesienia ustawowej odpowiedzialności. Art. 48 ust. 2 wskazuje wprost, że powierzenie stosowania środków bezpieczeństwa finansowego nie zwalnia instytucji obowiązanej z odpowiedzialności za ich zastosowanie. Dlatego outsourcing AML powinien być odpowiednio zorganizowany. Instytucja powinna wiedzieć:

• jakie czynności wykonuje zewnętrzny zespół,
• według jakich zasad są one realizowane,
• jakie przypadki wymagają eskalacji,
• jak dokumentowane są wykonane działania,
• kto podejmuje decyzje w przypadkach podwyższonego ryzyka,
• w jaki sposób instytucja nadzoruje jakość procesu.

Dobrze zaprojektowany outsourcing nie polega więc na „przeniesieniu odpowiedzialności za AML”, ale na operacyjnym wykonywaniu określonych procesów przez wyspecjalizowany zespół przy zachowaniu odpowiedzialności i nadzoru po stronie instytucji obowiązanej.

Czy zastosowanie środków bezpieczeństwa finansowego trzeba dokumentować?

Tak. Ustawa wymaga dokumentowania zastosowanych środków bezpieczeństwa finansowego oraz wyników bieżącej analizy przeprowadzanych transakcji. Co więcej, na żądanie właściwego organu instytucja obowiązana powinna być w stanie wykazać, że zastosowany zakres środków był odpowiedni do rozpoznanego ryzyka. W praktyce dokumentacja powinna pozwalać ustalić m.in.:

• jakie informacje pozyskano od klienta,
• z jakich źródeł korzystano podczas weryfikacji,
• w jaki sposób ustalono beneficjenta rzeczywistego,
• jakie czynniki ryzyka rozpoznano,
• jaki poziom ryzyka przypisano klientowi,
• dlaczego zastosowano określony zakres działań,
• jakie dodatkowe czynności wykonano w przypadkach podwyższonego ryzyka,
• w jaki sposób monitorowano i aktualizowano relację.

Przykład: samo zapisanie w systemie „klient zweryfikowany” nie pokazuje jeszcze, jakie środki zostały zastosowane ani czy były adekwatne do ryzyka.

Podobnie samo oznaczenie klienta jako „high risk” nie wystarczy, jeżeli dokumentacja nie pokazuje, jakie czynniki doprowadziły do takiej oceny i jakie działania zostały podjęte w jej następstwie. Brak prawidłowego dokumentowania zastosowanych środków jest również jednym z naruszeń, za które ustawa przewiduje możliwość zastosowania kary administracyjnej.

Jak środki bezpieczeństwa finansowego powinny działać w praktyce?

Prawidłowe stosowanie środków bezpieczeństwa finansowego powinno tworzyć jeden spójny proces. W uproszczeniu może wyglądać następująco:

identyfikacja klienta → weryfikacja tożsamości → ustalenie beneficjenta rzeczywistego → poznanie celu relacji → ocena ryzyka → dobór intensywności środków → monitoring → aktualizacja danych i ponowna ocena

Poszczególne elementy nie powinny funkcjonować niezależnie od siebie. Jeżeli podczas ustalania beneficjenta rzeczywistego pojawi się nietypowa struktura właścicielska, powinno to wpłynąć na ocenę ryzyka. Jeżeli późniejsza aktywność klienta nie odpowiada deklarowanemu celowi relacji, powinno to wpłynąć na monitoring i ewentualną aktualizację KYC. To właśnie dlatego środki bezpieczeństwa finansowego należy traktować jako proces ciągły, a nie zestaw formularzy wypełnianych przed podpisaniem umowy.

Część operacyjnej realizacji tego procesu może zostać powierzona zewnętrznemu zespołowi zgodnie z art. 48 ustawy AML. Instytucja obowiązana zachowuje jednak odpowiedzialność za prawidłowe stosowanie środków i powinna posiadać możliwość nadzorowania oraz odtworzenia wykonanych czynności.

Jeżeli Twoja organizacja potrzebuje wsparcia w stosowaniu środków bezpieczeństwa finansowego, możemy przejąć bieżące procesy związane m.in. z KYC i KYB, weryfikacją klientów, analizą beneficjentów rzeczywistych, screeningiem PEP i sankcyjnym, oceną ryzyka, aktualizacją danych oraz monitoringiem. Zakres współpracy może zostać dopasowany do rodzaju instytucji, liczby klientów, istniejących procedur oraz tego, które elementy procesu organizacja chce realizować wewnętrznie, a które powierzyć zewnętrznemu zespołowi.