Co to jest procedura AML?

Procedura AML/CFT to wewnętrzna regulacja instytucji obowiązanej określająca, w jaki sposób organizacja realizuje obowiązki związane z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu. Nie powinna być kopią ustawy ani uniwersalnym wzorem oderwanym od rzeczywistej działalności firmy. Jej zadaniem jest przełożenie wymogów prawnych i rozpoznanego ryzyka na konkretne zasady działania: kto wykonuje daną czynność, jakie informacje analizuje, kto podejmuje decyzję, kiedy następuje eskalacja i w jaki sposób dokumentuje się wykonanie obowiązku.

Procedura powinna uwzględniać charakter, rodzaj i rozmiar prowadzonej działalności. Musi również podlegać bieżącej weryfikacji i – gdy jest to potrzebne – aktualizacji. Przed wprowadzeniem do stosowania procedura oraz jej aktualizacje wymagają akceptacji kadry kierowniczej wyższego szczebla. Procedura AML nie jest dokumentem „na półkę”. Powinna opisywać sposób, w jaki organizacja rzeczywiście wykonuje obowiązki AML/CFT.

Kto musi mieć procedurę AML?

Obowiązek wprowadzenia wewnętrznej procedury AML/CFT dotyczy instytucji obowiązanych. Nie oznacza to, że każda firma prowadząca działalność w Polsce musi posiadać procedurę AML. Najpierw trzeba ustalić, czy podmiot jest objęty katalogiem instytucji obowiązanych określonym w ustawie AML. Dopiero z takim statusem wiążą się obowiązki wynikające z systemu AML/CFT, w tym obowiązek posiadania odpowiedniej procedury wewnętrznej.

Schemat można więc uprościć do:

rodzaj działalności → status instytucji obowiązanej → obowiązki AML/CFT → procedura AML.

Sama procedura również nie powinna wyglądać identycznie w każdej organizacji. Inne ryzyka, procesy i rozwiązania mogą występować w biurze rachunkowym, inne w instytucji płatniczej, a jeszcze inne w podmiocie obsługującym dużą liczbę klientów lub prowadzącym relacje wyłącznie zdalnie. Dlatego punktem wyjścia powinien być rzeczywisty model działalności organizacji, a nie gotowy wzór dokumentu przygotowany dla całego sektora.

Co powinna zawierać procedura AML?

Zakres wewnętrznej procedury AML określa art. 50 ustawy AML. Przepisu nie należy jednak traktować wyłącznie jako checklisty rozdziałów do umieszczenia w dokumencie. Procedura powinna przede wszystkim wyjaśniać, jak dana organizacja realizuje poszczególne obowiązki w praktyce.

Powinna obejmować m.in. zasady dotyczące:

• działań podejmowanych w celu ograniczania ryzyka prania pieniędzy i finansowania terroryzmu;
• rozpoznawania i oceny ryzyka klienta lub transakcji okazjonalnej;
• weryfikacji i aktualizacji wcześniejszej oceny ryzyka;
• stosowania środków bezpieczeństwa finansowego;
• przechowywania dokumentów i informacji;
• wykonywania obowiązków informacyjnych i zawiadomień;
• upowszechniania wśród pracowników wiedzy z zakresu AML/CFT;
• zgłaszania rzeczywistych lub potencjalnych naruszeń;
• kontroli wewnętrznej lub nadzoru nad zgodnością działalności z przepisami i procedurą;
• postępowania z informacjami dotyczącymi beneficjenta rzeczywistego i rozbieżnościami w tym zakresie.

W praktyce procedura może również szczegółowo regulować takie procesy jak KYC i KYB, screening PEP i sankcyjny, monitoring transakcji, analizę alertów, obsługę klientów podwyższonego ryzyka czy zasady eskalacji spraw. Nie wystarczy przy tym napisać, że „instytucja stosuje środki bezpieczeństwa finansowego zgodnie z ustawą”.

Dokument powinien pozwalać ustalić m.in.:

• kto wykonuje określone działania;
• na jakim etapie są wykonywane;
• jakie informacje i źródła są wykorzystywane;
• kto podejmuje decyzję;
• kiedy konieczna jest eskalacja;
• w jaki sposób dokumentuje się wynik analizy.

Przepisy określają obowiązki. Procedura powinna pokazywać, jak organizacja wykonuje je w praktyce.

Czym procedura AML różni się od oceny ryzyka?

Procedura AML i ocena ryzyka instytucji obowiązanej są ze sobą bezpośrednio związane, ale nie są tym samym dokumentem. Ocena ryzyka AML/CFT odpowiada przede wszystkim na pytanie:

Jakie ryzyka prania pieniędzy i finansowania terroryzmu występują w naszej działalności i gdzie są największe?

Przy jej sporządzaniu analizuje się m.in. czynniki dotyczące klientów, państw i obszarów geograficznych, produktów, usług, transakcji oraz kanałów ich dostarczania. Procedura AML/CFT odpowiada natomiast na pytanie:

Jak organizacja zarządza rozpoznanym ryzykiem i w jaki sposób wykonuje obowiązki wynikające z przepisów?

Najprościej:

Dokument	Główne pytanie
Ocena ryzyka AML/CFT	Jakie ryzyka występują w działalności?
Procedura AML/CFT	Jak organizacja zarządza ryzykiem i wykonuje obowiązki?

Ocena ryzyka wpływa więc na treść procedury. Jeżeli organizacja identyfikuje określone grupy klientów, produkty, kanały obsługi lub obszary geograficzne jako bardziej ryzykowne, procedura powinna określać, jak takie ryzyko jest obsługiwane w praktyce. Różne są również zasady aktualizacji obu dokumentów.

Ocena ryzyka instytucji obowiązanej powinna być aktualizowana w razie potrzeby, nie rzadziej niż co dwa lata. W przypadku procedury AML ustawa nie przewiduje analogicznego sztywnego dwuletniego terminu – wymaga jej bieżącej weryfikacji i aktualizacji w razie potrzeby. Dlatego stwierdzenie, że „procedurę AML trzeba aktualizować co dwa lata”, jest nieprecyzyjne. Ocena ryzyka identyfikuje problem. Procedura określa sposób działania organizacji wobec tego ryzyka.

Kiedy trzeba aktualizować procedurę AML?

Procedura AML powinna być na bieżąco weryfikowana i aktualizowana wtedy, gdy przestaje odpowiadać obowiązującym przepisom, rozpoznanemu ryzyku albo rzeczywistym procesom organizacji. Powodem aktualizacji może być zmiana prawa, ale nie tylko. Potrzeba zmiany może pojawić się również w związku z:

• wprowadzeniem nowego produktu lub usługi;
• zmianą grupy obsługiwanych klientów;
• rozpoczęciem działalności na nowych rynkach lub w nowych państwach;
• zmianą modelu obsługi klienta;
• przebudową procesu KYC lub KYB;
• wdrożeniem nowego narzędzia screeningowego;
• zmianą sposobu prowadzenia monitoringu transakcji;
• outsourcingiem części procesu AML;
• zmianą podziału ról i odpowiedzialności;
• zmianą ścieżek eskalacji;
• wynikami kontroli, audytu lub przeglądu wewnętrznego;
• zmianą rozpoznanych czynników ryzyka.

Przykładowo wdrożenie nowego systemu screeningu może zmienić sposób generowania, analizy i dokumentowania alertów. Outsourcing KYC może wymagać określenia nowego podziału obowiązków i zasad kontroli wykonywanych czynności. Nowy produkt może natomiast wpłynąć zarówno na ocenę ryzyka, jak i sposób stosowania środków bezpieczeństwa finansowego.

Nie każda drobna zmiana organizacyjna musi oznaczać konieczność stworzenia nowej wersji procedury. Instytucja powinna jednak być w stanie wykazać, że dokument jest aktualny i odpowiada procesom rzeczywiście wykonywanym w organizacji. Procedura oraz jej aktualizacje przed wprowadzeniem do stosowania wymagają akceptacji kadry kierowniczej wyższego szczebla. Procedura powinna nadążać za rzeczywistym sposobem działania organizacji, a nie tylko za kolejnymi zmianami ustawy.

Czy samo posiadanie procedury AML wystarczy?

Nie. Formalne posiadanie dokumentu nie oznacza jeszcze, że system AML/CFT działa prawidłowo. Procedura powinna znajdować odzwierciedlenie w rzeczywistych działaniach pracowników, decyzjach, systemach, formularzach, ścieżkach eskalacji i dokumentacji konkretnych spraw.

Jeżeli dokument przewiduje określony sposób oceny ryzyka klienta, organizacja powinna być w stanie wykazać, że ocena jest rzeczywiście wykonywana. Jeżeli procedura opisuje analizę alertów, z dokumentacji konkretnych spraw powinno wynikać, co zostało sprawdzone, jakie informacje wykorzystano i dlaczego alert został zamknięty albo eskalowany. Jeżeli dokument określa zasady obsługi klientów PEP, organizacja powinna potrafić wykazać, że wymagane akceptacje, ustalenia i monitoring są faktycznie realizowane.

Procedura powinna również jasno określać role i odpowiedzialność, w tym m.in.:

• kto wykonuje KYC lub KYB;
• kto ocenia ryzyko klienta;
• kto analizuje alerty;
• kto podejmuje decyzje dotyczące klientów podwyższonego ryzyka;
• kto zatwierdza relacje z PEP;
• kiedy sprawa podlega eskalacji;
• kto odpowiada za wykonanie określonych obowiązków wobec GIIF.

Gotowy wzór procedury może więc być punktem wyjścia, ale nie zastępuje dostosowania dokumentu do działalności, klientów, produktów, technologii, ryzyka i rzeczywistej organizacji procesów. Jeżeli zespół działa inaczej niż opisuje procedura, powstaje niespójność między formalnym systemem AML a jego faktycznym wykonywaniem. Procedura opisuje, jak proces powinien działać. Dokumentacja konkretnych spraw pokazuje, czy rzeczywiście działa.