Podstawy AML
Instytucje obowiązane - kto musi stosować AML i jak to robić?
Najważniejsze grupy podmiotów objętych ustawą, środki bezpieczeństwa finansowego, procedury KYC i CDD, weryfikacja PEP i sankcji, zawiadomienia do GIIF oraz konsekwencje naruszeń.
ZAKRES PODMIOTOWY
Które podmioty są instytucjami obowiązanymi?
Ustawa AML obejmuje znacznie więcej podmiotów niż tylko banki. O statusie instytucji obowiązanej decyduje przede wszystkim rodzaj prowadzonej działalności, świadczonych usług lub wykonywanych czynności, a w niektórych przypadkach również wartość transakcji.
Banki i SKOK-i
Pośrednicy w obrocie nieruchomościami
Operatorzy płatności
Instytucje pożyczkowe
Biura rachunkowe
Kasyna i gry losowe
Firmy ubezpieczeniowe
Giełdy kryptowalut
Doradcy podatkowi
Notariusze i adwokaci
Kantory walutowe
Handel dziełami sztuki
Powyżej przedstawiono najczęściej spotykane kategorie instytucji obowiązanych. Ustawa obejmuje również inne podmioty, a w przypadku niektórych zawodów obowiązki AML dotyczą wyłącznie określonych czynności.
Sama wielkość firmy nie przesądza o jej statusie. Instytucją obowiązaną może być zarówno duża organizacja, jak i jednoosobowa działalność, jeśli wykonuje czynności objęte ustawą AML.
AML W PRAKTYCE
Kluczowe obowiązki instytucji obowiązanych
Każda instytucja obowiązana musi wdrożyć rozwiązania AML dostosowane do charakteru, rodzaju i rozmiaru swojej działalności. Ustawa określa wymagane elementy systemu, natomiast zakres i intensywność podejmowanych działań zależą od rozpoznanego ryzyka.
KYC i identyfikacja klienta
Identyfikacja klienta i weryfikacja jego tożsamości na podstawie dokumentów, danych lub informacji pochodzących z wiarygodnego i niezależnego źródła. W przypadku podmiotów obejmuje to również weryfikację osób działających w ich imieniu.
Ocena ryzyka (CDD)
Rozpoznanie i udokumentowanie ryzyka prania pieniędzy oraz finansowania terroryzmu związanego z konkretną relacją lub transakcją. Ocena uwzględnia między innymi rodzaj klienta, jurysdykcję, produkty, wartość transakcji oraz cel współpracy.
Monitorowanie transakcji
Analiza transakcji i relacji z klientem pod kątem zgodności z wiedzą o jego działalności i profilem ryzyka, aktualizowanie posiadanych danych oraz (w uzasadnionych przypadkach) - badanie źródła pochodzenia wartości majątkowych.
Weryfikacja PEP i list sankcyjnych
Ustalenie, czy klient lub jego beneficjent rzeczywisty jest PEP-em, członkiem rodziny albo bliskim współpracownikiem PEP, oraz zastosowanie wymaganych środków. Obejmuje to także weryfikację sankcji i stosowanie szczególnych środków ograniczających.
Zawiadomienia do GIIF
Przekazywanie GIIF zawiadomień o okolicznościach, które mogą wskazywać na podejrzenie prania pieniędzy lub finansowania terroryzmu, oraz podejmowanie działań przewidzianych w ustawie wobec podejrzanych transakcji lub wartości majątkowych.
Procedura, dokumentacja i szkolenia
Wdrożenie wewnętrznej procedury AML, dokumentowanie zastosowanych środków i wyników analiz, szkolenie osób wykonujących obowiązki AML oraz wyznaczenie osób odpowiedzialnych za ich realizację.
PROCEDURY WERYFIKACJI
KYC i CDD - jak przebiega weryfikacja klienta?
Know Your Customer (KYC) oznacza w praktyce identyfikację klienta i poznanie podstawowych informacji o jego działalności. Customer Due Diligence (CDD) ma szerszy zakres - obejmuje również ustalenie UBO, ocenę celu relacji i ryzyka oraz bieżące monitorowanie współpracy.
Etapy KYC
1
Identyfikacja osoby lub podmiotu
Zebranie wymaganych danych i weryfikacja tożsamości w wiarygodnym źródle – na podstawie dowodu osobistego lub paszportu, a w przypadku podmiotu także danych rejestrowych i dokumentów spółki.
2
Ustalenie beneficjenta rzeczywistego (UBO)
Ustalenie, które osoby fizyczne sprawują bezpośrednią lub pośrednią kontrolę nad klientem, oraz zrozumienie jego struktury własności i kontroli. Sam odpis z rejestru nie zawsze wystarcza do wykonania tego obowiązku.
3
Ocena celu relacji biznesowej
Ustalenie, dlaczego klient korzysta z usługi, jaki jest charakter jego działalności oraz jakich operacji można oczekiwać w ramach współpracy. W uzasadnionych przypadkach analizuje się również źródło majątku lub środków.
4
Weryfikacja w zewnętrznych bazach danych
Sprawdzenie statusu PEP i sankcji, potwierdzenie danych rejestrowych oraz analiza innych informacji istotnych dla ryzyka. Ważne jest nie tylko znalezienie wyniku, lecz także ustalenie, czy dotyczy on właściwej osoby lub podmiotu.
Zakres Due Diligence w zależności od ryzyka
Niższe ryzyko - SDD
Uproszczone środki bezpieczeństwa finansowego. Mogą być stosowane wyłącznie wtedy, gdy udokumentowana ocena potwierdza niższe ryzyko. Uproszczenie nie oznacza rezygnacji z identyfikacji klienta lub beneficjenta rzeczywistego.
Standardowy zakres - CDD
Podstawowe środki bezpieczeństwa finansowego: identyfikacja i weryfikacja klienta, ustalenie UBO, ocena celu relacji, rozpoznanie ryzyka oraz bieżące monitorowanie. Zakres działań powinien odpowiadać konkretnej relacji.
Wyższe ryzyko - EDD
Wzmożone środki bezpieczeństwa finansowego. Stosowane przy wyższym ryzyku oraz w przypadkach wskazanych w ustawie, między innymi wobec PEP i relacji z państwami trzecimi wysokiego ryzyka. Mogą wymagać dodatkowych informacji i intensywniejszego monitorowania.
Brak możliwości weryfikacji
Jeżeli instytucja obowiązana nie może zastosować jednego z wymaganych środków bezpieczeństwa finansowego, co do zasady nie nawiązuje relacji, nie przeprowadza transakcji okazjonalnej albo kończy już trwającą współpracę. Ocenia również, czy należy zawiadomić GIIF.
Ocena ryzyka nie jest jednorazowa. Dokumenty, dane i informacje o kliencie muszą być aktualizowane, a zakres stosowanych środków dostosowywany do zmian w jego działalności, strukturze, transakcjach i pozostałych czynnikach ryzyka.
W praktyce weryfikacja klienta - osoby fizycznej lub podmiotu - wymaga ustalenia jego tożsamości, beneficjenta rzeczywistego oraz czynników ryzyka związanych między innymi z PEP, sankcjami i powiązaniami. CheckLists FinAP od FinObserve łączy te informacje w jednym miejscu i wspiera dokumentowanie analizy.
ODPOWIEDZIALNOŚĆ
Konsekwencje niedopełnienia obowiązków AML
Naruszenie przepisów AML może prowadzić do poważnych skutków prawnych, finansowych i organizacyjnych - zarówno dla instytucji, jak i dla osób odpowiedzialnych za wykonywanie obowiązków.
Kary pieniężne
Wysokość kary zależy od rodzaju podmiotu, naruszenia i jego skutków. W najpoważniejszych przypadkach może sięgać wielomilionowych kwot, a odrębna kara może zostać nałożona również na osobę odpowiedzialną.
Odpowiedzialność karna
Brak wymaganego zawiadomienia do GIIF, przekazanie nieprawdziwych danych lub bezprawne ujawnienie chronionych informacji może prowadzić do odpowiedzialności karnej, w tym kary pozbawienia wolności.
Środki administracyjne
Możliwe są między innymi publikacja informacji o naruszeniu, nakaz zaprzestania określonych czynności, zakaz pełnienia funkcji kierowniczej oraz obowiązek wykonania zaleceń pokontrolnych.
Utrata zezwolenia
W przypadku poważnych naruszeń możliwe jest cofnięcie koncesji lub zezwolenia albo wykreślenie z rejestru działalności regulowanej, co może uniemożliwić dalsze prowadzenie danej działalności.
Sankcja nie wymaga stwierdzenia, że za pośrednictwem instytucji faktycznie wyprano pieniądze. Podstawą odpowiedzialności może być samo niewykonanie obowiązków, takich jak ocena ryzyka, stosowanie środków bezpieczeństwa, dokumentowanie działań, szkolenia lub przekazanie zawiadomienia.
Skąd pochodzi prawo AML i kto je egzekwuje?
Czym jest pranie pieniędzy, jak działa globalny system AML i jak przekłada się na obowiązki konkretnych podmiotów.
Jak instytucje obowiązane wdrażają AML w praktyce?
Regulacje określają obowiązki. Ich codzienne wykonywanie - wobec każdego klienta, na podstawie aktualnych danych, z zachowaniem dokumentacji i śladu audytowego. Wymaga jednak odpowiednich procesów i narzędzi.
Dlatego instytucje obowiązane coraz częściej korzystają z rozwiązań, które porządkują dane, standaryzują proces weryfikacji i pomagają przejść przez jego kolejne etapy.
Jednym z nich jest CheckLists FinAP od FinObserve - narzędzie wspierające identyfikację i analizę klientów, zarówno osób, jak i podmiotów, na potrzeby AML, KYC i KYB.
