Co to jest alert AML?

Alert AML to sygnał wskazujący, że określona aktywność klienta, transakcja, wynik screeningu albo inne zdarzenie wymaga dodatkowej analizy z perspektywy ryzyka prania pieniędzy lub finansowania terroryzmu. Alert może zostać wygenerowany automatycznie przez system lub regułę monitoringu, ale może również wynikać z obserwacji pracownika, nowych informacji o kliencie albo zmiany okoliczności relacji.

Samo powstanie alertu nie oznacza jednak, że doszło do prania pieniędzy, że transakcja jest podejrzana ani że należy automatycznie zawiadomić GIIF. Znaczenie alertu można określić dopiero po analizie danych, profilu klienta, historii relacji i kontekstu zdarzenia. Alert jest sygnałem do analizy, a nie gotową decyzją AML.

Skąd może powstać alert AML?

„Alert AML” jest określeniem używanym w praktyce operacyjnej. Polska ustawa AML nie definiuje alertu jako odrębnej kategorii prawnej. Alerty mogą powstawać w różnych częściach procesu AML/CFT. W monitoringu transakcji sygnałem może być aktywność odbiegająca od profilu klienta, np. nietypowa wartość, częstotliwość, kierunek lub sposób realizowania transakcji.

W screeningu sankcyjnym alert może oznaczać potencjalne dopasowanie osoby lub podmiotu do danych występujących we właściwym źródle sankcyjnym. Przy weryfikacji PEP może pojawić się potencjalne dopasowanie do osoby zajmującej lub wcześniej zajmującej określone stanowisko lub funkcję publiczną.

Alert może również wynikać z innych informacji, np.:

• zmiany beneficjenta rzeczywistego;
• zmiany struktury własności lub kontroli klienta;
• nowych informacji uzyskanych podczas KYC lub KYB;
• zmiany charakteru działalności klienta;
• pojawienia się nowego czynnika ryzyka;
• niespójności pomiędzy informacjami z różnych źródeł;
• obserwacji pracownika niewykrytej przez automatyczne reguły.

Nie należy więc utożsamiać alertu wyłącznie z komunikatem wygenerowanym przez system transaction monitoring. Alert opisuje potrzebę analizy, a nie technologię, która go wygenerowała.

Jak analizuje się alert AML?

Analiza alertu powinna prowadzić do ustalenia, co wykryty sygnał oznacza w kontekście konkretnego klienta, relacji lub zdarzenia.

W uproszczeniu proces może wyglądać następująco:

alert → przyczyna → dane o kliencie → historia relacji → kontekst → dodatkowe ustalenia → ocena → decyzja → dokumentacja.

Najpierw trzeba ustalić, co spowodowało alert i czego dokładnie dotyczy. Następnie należy zestawić ten sygnał z dostępną wiedzą o kliencie, jego działalności, profilu ryzyka, dotychczasowej aktywności oraz charakterze relacji. Zakres dalszej analizy zależy od rodzaju alertu.

W przypadku alertu transakcyjnego znaczenie mogą mieć m.in.:

• cel i charakter transakcji;
• jej wartość i częstotliwość;
• strony i kierunek przepływu;
• wcześniejsza aktywność klienta;
• zgodność transakcji z profilem działalności;
• gospodarcze lub prawne uzasadnienie operacji.

Przy alercie sankcyjnym kluczowe może być potwierdzenie tożsamości osoby lub podmiotu, analiza dodatkowych identyfikatorów oraz – gdy jest to potrzebne – struktury własności i kontroli. Przy alercie dotyczącym PEP trzeba natomiast ustalić, czy dopasowanie dotyczy właściwej osoby oraz jaka funkcja i okres jej pełnienia mają znaczenie dla dalszego postępowania. W zależności od sytuacji potrzebne mogą być również dodatkowe informacje lub dokumenty, aktualizacja KYC lub KYB albo ponowna ocena ryzyka klienta.

Nie istnieje jedna checklista analizy właściwa dla każdego alertu. Zakres działań powinien odpowiadać temu, co zostało wykryte i jakie ryzyko może z tego wynikać.

Czym alert AML różni się od podejrzenia?

To podstawowe rozróżnienie. Alert jest sygnałem, że określony przypadek wymaga sprawdzenia. Podejrzenie jest wynikiem analizy faktów i okoliczności, które mogą wskazywać na pranie pieniędzy lub finansowanie terroryzmu.

Prawidłowa sekwencja wygląda więc tak:

alert → analiza → ustalenia → podejrzenie albo brak podejrzenia → właściwe działanie.

Nie:

alert → GIIF.

Alert może zostać w pełni wyjaśniony i zamknięty bez dalszej eskalacji. Może też doprowadzić do pogłębionej analizy, zmiany oceny ryzyka albo innych działań. Dopiero jeżeli ustalenia prowadzą do przesłanek określonych w ustawie AML, może powstać obowiązek zastosowania właściwego trybu zawiadomienia lub innego działania regulacyjnego. Dlatego nie każdy alert jest transakcją podejrzaną i nie każdy powinien być przekazywany do GIIF.

Alert nie jest podejrzeniem. Jest informacją, którą trzeba przeanalizować, aby ustalić, czy podejrzenie istnieje.

Co może być wynikiem analizy alertu?

Analiza alertu nie musi kończyć się wyborem pomiędzy „false positive” a zgłoszeniem do GIIF. Możliwych wyników jest więcej. Alert może zostać zamknięty bez dalszej eskalacji, jeżeli zgromadzone informacje racjonalnie wyjaśniają jego przyczynę i nie wskazują na potrzebę dodatkowych działań.

Analiza może również wykazać, że konieczne jest:

• uzupełnienie informacji o kliencie;
• aktualizacja KYC lub KYB;
• aktualizacja profilu klienta;
• ponowna ocena ryzyka;
• pozyskanie dodatkowych dokumentów lub wyjaśnień;
• pogłębiona analiza określonych transakcji lub powiązań;
• zastosowanie dodatkowych środków bezpieczeństwa finansowego;
• eskalacja sprawy do osoby posiadającej odpowiednie kompetencje;
• wykonanie obowiązku wynikającego z właściwych przepisów.

Warto również rozróżnić alert wyjaśniony od false positive. False positive oznacza co do zasady, że system wskazał dopasowanie lub zdarzenie, które po weryfikacji okazało się pozorne. Nie każdy alert zamknięty bez eskalacji jest jednak fałszywym alarmem. Przykładowo transakcja mogła rzeczywiście odbiegać od wcześniejszego profilu klienta, ale po analizie zostać racjonalnie wyjaśniona i uznana za zgodną z jego rzeczywistą działalnością.

Zamknięcie alertu nie oznacza braku problemu do przeanalizowania. Powinno być wynikiem przeprowadzonej analizy.

Jak dokumentować analizę alertu AML?

Prawidłowo obsłużony alert powinien pozostawić ścieżkę pozwalającą odtworzyć sposób przeprowadzenia analizy i podstawę podjętej decyzji.

Dokumentacja powinna pozwalać ustalić m.in.:

• co spowodowało alert;
• jakiej osoby, podmiotu, transakcji lub zdarzenia dotyczył;
• jakie dane i źródła zostały przeanalizowane;
• jakie fakty ustalono;
• czy pozyskano dodatkowe informacje lub dokumenty;
• jak oceniono ustalenia w kontekście klienta i jego ryzyka;
• jaka decyzja została podjęta;
• czy wykonano dalsze działania.

Samo stwierdzenie:

„alert zamknięty – brak ryzyka”

może nie wystarczać do odtworzenia podstaw decyzji. Uzasadnienie powinno pokazywać, dlaczego wykryty sygnał został uznany za wyjaśniony albo dlaczego sprawa wymagała dalszego działania. Dokumentacja ma znaczenie również wtedy, gdy alert nie prowadzi do eskalacji. Brak dalszego działania jest także decyzją AML i powinien mieć możliwą do odtworzenia podstawę.

Alert można zamknąć. Uzasadnienie decyzji powinno pozostać.