Co to jest AML (Anti-Money Laundering)?

AML (Anti-Money Laundering) oznacza przeciwdziałanie praniu pieniędzy. W praktyce regulacyjnej obszar ten funkcjonuje razem z przeciwdziałaniem finansowaniu terroryzmu, dlatego często stosuje się określenie AML/CFT (Anti-Money Laundering / Countering the Financing of Terrorism).

AML nie jest jednym dokumentem, pojedynczą kontrolą ani samym sprawdzeniem klienta przed rozpoczęciem współpracy. To ciągły, oparty na ryzyku proces, którego celem jest rozpoznawanie zagrożeń związanych z klientem, relacją i jego aktywnością oraz podejmowanie odpowiednich i możliwych do uzasadnienia działań.

W praktyce obejmuje to m.in. ocenę ryzyka, identyfikację i weryfikację klienta, ustalenie beneficjenta rzeczywistego, screening, monitoring relacji i transakcji, analizę sygnałów ryzyka, eskalację oraz dokumentowanie podejmowanych decyzji.

W Polsce podstawowym krajowym aktem prawnym regulującym ten obszar jest ustawa z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Samo pranie pieniędzy jest odrębnym pojęciem. AML oznacza natomiast system działań, które mają ograniczać ryzyko wykorzystania organizacji do tego rodzaju działalności.

Na czym polega AML w praktyce?

Podstawą AML jest rozpoznanie i ocena ryzyka, a następnie dobranie do niego odpowiednich działań. Nie każdy klient, produkt, transakcja czy relacja biznesowa wiążą się z takim samym poziomem ryzyka. Znaczenie mogą mieć m.in. profil i działalność klienta, jego struktura właścicielska, rodzaj wykorzystywanych produktów lub usług, sposób realizowania transakcji, geografia działalności czy charakter relacji z instytucją.

Dlatego skuteczny AML nie powinien polegać na mechanicznym wykonywaniu identycznego zestawu czynności wobec każdego klienta. W praktyce proces AML może obejmować:

• ocenę ryzyka: określenie ryzyka związanego z działalnością organizacji oraz konkretną relacją z klientem;
• identyfikację i weryfikację klienta: zebranie i sprawdzenie wymaganych informacji o osobie lub podmiocie;
• ustalenie beneficjenta rzeczywistego: identyfikację osoby lub osób sprawujących rzeczywistą kontrolę nad podmiotem;
• poznanie celu i charakteru relacji: zrozumienie, dlaczego klient korzysta z określonych usług i jak może wyglądać jego typowa aktywność;
• screening: sprawdzenie informacji istotnych z perspektywy PEP, sankcji oraz innych czynników ryzyka;
• monitorowanie stosunków gospodarczych i transakcji: ocenę, czy aktywność klienta pozostaje spójna z wiedzą o jego działalności i profilem ryzyka;
• analizę alertów i nietypowej aktywności: ustalenie, co oznacza wykryty sygnał i czy wymaga dalszego działania;
• eskalację i raportowanie: podjęcie kolejnych czynności, gdy wymagają tego wyniki analizy lub przepisy;
• dokumentowanie: zapisanie podstaw oceny, przeprowadzonej analizy i podjętej decyzji.

Istotne jest przy tym rozróżnienie między sygnałem a decyzją. Sam alert nie oznacza jeszcze, że doszło do prania pieniędzy. Wynik screeningu nie powinien automatycznie przesądzać o sposobie postępowania, a pozytywna weryfikacja tożsamości klienta nie oznacza zakończenia procesu AML. Informacje trzeba ocenić w odpowiednim kontekście, a następnie zdecydować, czy wystarczy standardowe postępowanie, potrzebna jest pogłębiona analiza, zmiana oceny ryzyka, eskalacja albo inne działanie przewidziane procedurami i przepisami. Dlatego proces AML można w uproszczeniu przedstawić jako:

rozpoznanie ryzyka → zebranie i analiza informacji → decyzja → monitoring → reakcja na zmianę ryzyka → dokumentacja.

Kogo dotyczą obowiązki AML w Polsce?

Obowiązki wynikające z ustawy AML dotyczą przede wszystkim instytucji obowiązanych, czyli podmiotów wskazanych przez ustawodawcę, które ze względu na rodzaj prowadzonej działalności muszą realizować określone obowiązki w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. Do tej grupy należą m.in. banki, określone instytucje finansowe i płatnicze, przedsiębiorcy prowadzący działalność kantorową, a także wskazane w ustawie podmioty wykonujące określone usługi księgowe, podatkowe, prawne czy związane z obrotem nieruchomościami.

Nie oznacza to jednak, że każda firma działająca w szeroko rozumianym sektorze finansowym, prawnym czy księgowym automatycznie podlega tym samym obowiązkom. Status instytucji obowiązanej wynika z konkretnych przesłanek określonych w ustawie i powinien być oceniany na podstawie rzeczywistego modelu działalności podmiotu.

Obowiązki instytucji obowiązanej nie ograniczają się również do posiadania procedury AML. Organizacja powinna faktycznie realizować wymagane procesy, w tym oceniać ryzyko, stosować środki bezpieczeństwa finansowego, prowadzić odpowiedni monitoring oraz dokumentować sposób wykonania obowiązków.

AML a KYC – jaka jest różnica?

KYC jest elementem AML, a nie jego synonimem. KYC (Know Your Customer) koncentruje się na poznaniu klienta. Obejmuje przede wszystkim jego identyfikację i weryfikację oraz zebranie informacji potrzebnych do zrozumienia relacji i związanego z nią ryzyka. AML jest pojęciem szerszym. Oprócz KYC obejmuje m.in. ocenę ryzyka, ustalanie beneficjenta rzeczywistego, screening, monitoring relacji i transakcji, analizę alertów, eskalację, raportowanie oraz wewnętrzne procesy i mechanizmy kontrolne organizacji.

Można więc powiedzieć, że KYC dostarcza części informacji potrzebnych do podejmowania decyzji w systemie AML. Samo potwierdzenie tożsamości klienta nie wystarcza, jeżeli organizacja nie analizuje tych informacji w kontekście ryzyka i nie reaguje na istotne zmiany w dalszym okresie relacji. Przykładowo klient może zostać prawidłowo zidentyfikowany i zweryfikowany na początku współpracy, a dopiero późniejsza zmiana jego działalności, struktury właścicielskiej, sposobu korzystania z usług lub charakteru transakcji może wpłynąć na ocenę ryzyka i wymagać dodatkowych działań.

Jaką rolę pełni GIIF w systemie AML?

Centralnym elementem polskiego systemu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu jest Generalny Inspektor Informacji Finansowej (GIIF). GIIF realizuje zadania określone w ustawie AML, w tym związane z uzyskiwaniem, gromadzeniem, przetwarzaniem i analizowaniem informacji. W wykonywaniu tych zadań jest wspomagany przez Departament Informacji Finansowej Ministerstwa Finansów, wykonujący zadania polskiej jednostki analityki finansowej.

Z perspektywy instytucji obowiązanej oznacza to m.in., że określone informacje, transakcje lub wyniki przeprowadzonej analizy mogą prowadzić do obowiązków informacyjnych lub zawiadomienia GIIF. Nie każdy alert i nie każda nietypowa transakcja oznaczają jednak automatycznie konieczność dokonania zawiadomienia. Alert jest przede wszystkim sygnałem wymagającym analizy. Dopiero jej wynik, oceniony w kontekście dostępnych informacji oraz obowiązujących przepisów, powinien prowadzić do odpowiedniej decyzji.

Rola AML nie sprowadza się więc do raportowania do GIIF. Jego podstawą pozostaje działający proces zarządzania ryzykiem: od poznania klienta i oceny relacji, przez monitoring i analizę sygnałów, aż po właściwą reakcję i udokumentowanie podjętej decyzji.

Dlaczego AML jest procesem ciągłym?

Ryzyko związane z klientem nie jest stałe. W trakcie współpracy może zmienić się jego działalność, struktura właścicielska, sposób korzystania z produktów, geografia operacji, charakter transakcji albo inne okoliczności istotne z perspektywy AML. Dlatego prawidłowe przeprowadzenie weryfikacji przy rozpoczęciu relacji nie wystarcza na cały okres współpracy.

Działający system AML powinien umożliwiać organizacji odpowiedź na kilka podstawowych pytań:

• kim jest klient i czym się zajmuje;
• kto faktycznie kontroluje podmiot;
• jakie ryzyko wiąże się z relacją;
• czy aktywność klienta jest zgodna z posiadaną o nim wiedzą;
• czy pojawiły się okoliczności wpływające na dotychczasową ocenę;
• czy wykryty sygnał wymaga dodatkowej analizy lub eskalacji;
• dlaczego w danej sytuacji podjęto określoną decyzję.

Dopiero połączenie oceny ryzyka, wiedzy o kliencie, monitoringu, analizy, eskalacji i dokumentowania decyzji tworzy system AML, który działa również w praktyce, a nie wyłącznie na poziomie procedur.