Co to jest monitoring transakcji AML?

Monitoring transakcji AML to bieżący proces analizowania aktywności klienta w celu oceny, czy jego transakcje są zgodne z wiedzą instytucji o kliencie, charakterem i zakresem jego działalności oraz rozpoznanym ryzykiem prania pieniędzy i finansowania terroryzmu. Monitoring transakcji jest częścią szerszego obowiązku bieżącego monitorowania stosunków gospodarczych w ramach środków bezpieczeństwa finansowego. Nie polega wyłącznie na wyszukiwaniu wysokich przelewów, częstych operacji czy innych odstępstw od typowych parametrów.

Kluczowe jest porównywanie rzeczywistej aktywności z profilem klienta zbudowanym na podstawie informacji uzyskanych m.in. podczas KYC lub KYB oraz w dalszym okresie relacji. Jeżeli określona aktywność odbiega od oczekiwanego profilu, może powstać alert wymagający analizy. Alert nie oznacza jednak automatycznie podejrzenia prania pieniędzy lub finansowania terroryzmu ani konieczności przekazania zawiadomienia do GIIF.

Monitoring wykrywa sygnał. Analiza ma ustalić, co ten sygnał oznacza.

Na czym polega monitoring transakcji AML?

Podstawę bieżącego monitorowania stosunków gospodarczych określa art. 34 ust. 1 pkt 4 ustawy AML. Obejmuje ono m.in.:

• analizę transakcji przeprowadzanych w ramach relacji z klientem;
• ocenę ich zgodności z wiedzą o kliencie, jego działalności i ryzyku AML/CFT;
• badanie źródła pochodzenia wartości majątkowych, gdy uzasadniają to okoliczności;
• zapewnienie aktualności dokumentów, danych i informacji dotyczących stosunków gospodarczych.

Monitoring transakcji nie powinien być więc analizowany w oderwaniu od wiedzy o kliencie. Punkt odniesienia powstaje już podczas KYC lub KYB. Instytucja poznaje klienta, jego działalność, cel relacji, charakter wykorzystywanych produktów oraz inne informacje potrzebne do oceny ryzyka. Na tej podstawie można określić, jakiego rodzaju aktywności można racjonalnie oczekiwać w ramach relacji. Znaczenie mogą mieć m.in.:

• wartość transakcji;
• ich częstotliwość;
• rodzaj operacji;
• strony i kontrahenci;
• kierunki geograficzne;
• sposób korzystania z produktu;
• zmiany zachodzące w czasie.

Dopiero na tym tle można oceniać rzeczywiste transakcje. Przelew o wysokiej wartości nie musi być nietypowy dla przedsiębiorstwa regularnie realizującego podobne płatności. Z kolei transakcja o stosunkowo niewielkiej wartości może wymagać analizy, jeżeli nie odpowiada profilowi klienta, jego działalności albo dotychczasowemu sposobowi korzystania z usług. Praktyczny model można uprościć do:

profil klienta → rzeczywista aktywność → odstępstwo → alert lub inny sygnał → analiza → decyzja → aktualizacja lub eskalacja.

Monitoring nie pyta wyłącznie „czy transakcja jest nietypowa?”. Istotne jest przede wszystkim, czy jest nietypowa dla konkretnego klienta i konkretnej relacji.

Jakie transakcje wymagają dodatkowej analizy?

Dodatkowej uwagi mogą wymagać przede wszystkim transakcje, których charakter, wartość, sposób przeprowadzenia lub cel odbiegają od wiedzy instytucji o kliencie. Ustawa AML zwraca szczególną uwagę m.in. na transakcje:

• skomplikowane;
• opiewające na wysokie kwoty, których nie uzasadniają okoliczności;
• przeprowadzane w nietypowy sposób;
• wydające się nie mieć uzasadnienia prawnego lub gospodarczego.

Nie istnieje jednak uniwersalna lista operacji, które zawsze oznaczają podejrzenie prania pieniędzy. Sygnałem wymagającym analizy może być również np.:

• nagła zmiana wartości lub częstotliwości transakcji;
• pojawienie się nowych kierunków geograficznych;
• aktywność niezgodna z deklarowanym profilem działalności;
• nietypowa sekwencja wpływów i wypłat;
• pojawienie się nowych kontrahentów lub stron transakcji;
• sposób korzystania z produktu istotnie odmienny od wcześniejszego;
• brak dostrzegalnego ekonomicznego uzasadnienia dla operacji.

Nietypowość nie przesądza jeszcze o praniu pieniędzy lub finansowaniu terroryzmu. Powinna prowadzić do analizy pozwalającej zrozumieć okoliczności aktywności klienta. W zależności od sytuacji potrzebne może być ustalenie m.in. celu transakcji, relacji między jej stronami, gospodarczego uzasadnienia, źródła określonych wartości majątkowych albo aktualności informacji uzyskanych wcześniej w ramach KYC lub KYB.

Nie oznacza to, że przy każdym alercie trzeba automatycznie żądać takiego samego zestawu dokumentów lub badać źródło środków w identycznym zakresie. Zakres analizy powinien wynikać z konkretnej sytuacji i rozpoznanego ryzyka. Monitoring może również ujawnić, że dotychczasowy profil klienta przestał odpowiadać rzeczywistości. W takim przypadku konieczne może być uzupełnienie informacji, aktualizacja profilu lub ponowna ocena ryzyka.

Nietypowa aktywność jest sygnałem do wyjaśnienia, a nie automatycznym dowodem prania pieniędzy.

Czym różni się monitoring transakcji od alertu AML?

Monitoring i alert AML nie oznaczają tego samego. Monitoring transakcji jest ciągłym procesem analizowania aktywności klienta. Alert AML jest natomiast sygnałem wskazującym, że określona aktywność spełniła kryteria wymagające sprawdzenia albo została w inny sposób zidentyfikowana jako wymagająca dodatkowej analizy.

Alert może powstać np. ze względu na:

• wartość transakcji;
• częstotliwość operacji;
• określoną sekwencję przepływów;
• kierunek geograficzny;
• kontrahenta;
• zmianę zachowania klienta;
• niezgodność aktywności z jego profilem.

W systemach automatycznych alert może zostać wygenerowany przez określoną regułę lub scenariusz. Sygnał wymagający analizy może jednak zostać rozpoznany również w procesie manualnym. Samo powstanie alertu nie oznacza, że doszło do prania pieniędzy, finansowania terroryzmu ani że istnieje już potwierdzone podejrzenie.

Po alercie powinna nastąpić analiza kontekstu. Może ona prowadzić do ustalenia, że aktywność ma racjonalne uzasadnienie i alert może zostać zamknięty. W innych przypadkach potrzebne mogą być dodatkowe informacje, aktualizacja profilu klienta, zmiana oceny ryzyka, pogłębiona analiza albo eskalacja.

Właściwa sekwencja wygląda więc następująco:

monitoring → alert lub inny sygnał → analiza → ustalenia → decyzja.

Wynik analizy powinien zostać odpowiednio udokumentowany wraz z uzasadnieniem podjętej decyzji.

Alert wskazuje, gdzie trzeba spojrzeć. Nie przesądza, jaki będzie wynik analizy.

Czy monitoring transakcji musi być automatyczny?

Nie w każdym przypadku. Ustawa AML nakłada obowiązek bieżącego monitorowania stosunków gospodarczych i analizy transakcji, ale sposób organizacji tego procesu powinien odpowiadać charakterowi, skali i złożoności działalności instytucji oraz występującemu ryzyku. Przy niewielkiej liczbie klientów i transakcji część monitoringu może być prowadzona manualnie.

Inaczej wygląda sytuacja w organizacji przetwarzającej znaczne wolumeny transakcji, gdzie ręczna analiza wszystkich operacji może nie zapewniać skutecznego i terminowego wykrywania aktywności wymagającej sprawdzenia. W takich przypadkach odpowiednio zaprojektowane rozwiązania informatyczne mogą stanowić podstawowy element procesu monitoringu.

System może wykorzystywać reguły lub scenariusze pozwalające identyfikować określone zachowania i odstępstwa. Nie powinny one jednak funkcjonować jako niezmienna lista ustawień. Skuteczność monitoringu zależy m.in. od:

• jakości danych;
• właściwego profilu klienta;
• odpowiedniego doboru reguł i scenariuszy;
• ich parametryzacji;
• aktualizowania ich wraz ze zmianą ryzyka i sposobów działania sprawców;
• terminowej analizy wygenerowanych alertów;
• jakości decyzji podejmowanych przez analityków.

Nie istnieje jedna uniwersalna lista reguł, która byłaby właściwa dla każdej instytucji obowiązanej. Inne scenariusze mogą być potrzebne w banku, inne w instytucji płatniczej, a jeszcze inne w podmiocie obsługującym niewielką liczbę klientów biznesowych.

Skuteczność monitoringu nie polega na wygenerowaniu jak największej liczby alertów. Chodzi o identyfikowanie sygnałów, które pozwalają właściwie rozpoznawać i analizować ryzyko. Technologia wspiera ten proces, ale nie zastępuje wiedzy o kliencie, analizy kontekstu ani udokumentowanej decyzji.

Czy monitoring transakcji prowadzi do zgłoszenia do GIIF?

Może, ale nie automatycznie. Monitoring służy przede wszystkim identyfikowaniu aktywności wymagającej analizy. Alert jest jednym ze sposobów wskazania takiej aktywności. Dopiero dalsza analiza może doprowadzić do ustaleń powodujących powstanie określonego obowiązku wobec GIIF.

Trzeba więc rozróżnić:

monitoring → sygnał lub alert → analiza → ustalenia → ewentualne podejrzenie → ocena właściwego obowiązku raportowego.

Nie każdy alert oznacza podejrzenie prania pieniędzy lub finansowania terroryzmu. Nie każda nietypowa transakcja jest również automatycznie transakcją podejrzaną. Celem analizy jest ustalenie, co wynika z dostępnych danych, czy aktywność można racjonalnie wyjaśnić oraz czy występują przesłanki wymagające dalszego działania na podstawie ustawy AML.

Monitoring trzeba również odróżnić od obowiązków dotyczących przekazywania informacji o określonych transakcjach na podstawie odrębnych przepisów. Przekroczenie określonego ustawowego progu nie oznacza samo w sobie podejrzenia prania pieniędzy. Z drugiej strony aktywność mogąca prowadzić do podejrzenia może obejmować również transakcje o niewielkich wartościach. Monitoring i raportowanie są więc powiązanymi, ale odrębnymi elementami systemu AML.

Monitoring dostarcza informacji potrzebnych do podjęcia decyzji. Raportowanie następuje wtedy, gdy przeprowadzona analiza prowadzi do przesłanek wymagających określonego działania na podstawie przepisów.

Najważniejsza zasada jest prosta:

celem monitoringu nie jest zamknięcie alertu. Celem jest zrozumienie aktywności klienta i podjęcie uzasadnionej, udokumentowanej i możliwej do odtworzenia decyzji.