System AML, który pokazuje, kto naprawdę stoi za klientem

Jeżeli jesteś instytucją obowiązaną w rozumieniu ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, musisz przy każdym kliencie zastosować środki bezpieczeństwa finansowego i umieć to udowodnić. Ta strona opisuje, czego ustawa oczekuje od narzędzia, które w tym pomaga, co robi Biznesmeni, a co zostaje po Twojej stronie.

Kto potrzebuje systemu AML

Ustawa AML obejmuje szeroki krąg podmiotów. Są wśród nich banki, instytucje płatnicze, firmy leasingowe i faktoringowe, zakłady ubezpieczeń w zakresie ubezpieczeń na życie, domy maklerskie, kantory, biura rachunkowe, doradcy podatkowi, biegli rewidenci, notariusze, adwokaci i radcy prawni w zakresie wskazanych czynności, pośrednicy w obrocie nieruchomościami oraz podmioty świadczące usługi w zakresie walut wirtualnych. Każdy z nich ma ten sam rdzeń obowiązków, choć skala i ryzyko są różne.

Mała kancelaria przyjmuje kilku nowych klientów w miesiącu, bank kilka tysięcy. W obu przypadkach kontrolujący zada te same pytania. Kim jest klient, kto jest jego beneficjentem rzeczywistym, czy w strukturze nie ma osoby zajmującej eksponowane stanowisko polityczne albo podmiotu z listy sankcyjnej, jak oceniono ryzyko i gdzie jest ślad, że to wszystko zrobiono przed nawiązaniem relacji.

Co musi umieć system AML

Ustawa nie wymaga konkretnego programu. Wymaga wykonania i udokumentowania określonych czynności. Dobre narzędzie skraca każdą z nich i zostawia ślad. Poniżej elementy, które warto sprawdzić, zanim wybierzesz rozwiązanie.

Identyfikacja i weryfikacja klienta

Dla spółki to nazwa, forma prawna, siedziba, numer KRS, NIP, REGON oraz dane osób reprezentujących. Weryfikacja polega na potwierdzeniu tych danych w wiarygodnym, niezależnym źródle. Dla podmiotów wpisanych do KRS takim źródłem jest sam rejestr, dla przedsiębiorców jednoosobowych CEIDG. System powinien pobrać dane wprost z rejestru i zapisać, kiedy to zrobił.

Ustalenie beneficjenta rzeczywistego

Beneficjent rzeczywisty to osoba fizyczna, która sprawuje kontrolę nad klientem, bezpośrednio lub pośrednio. W prostych spółkach wystarczy spojrzeć na listę wspólników. W strukturach wielopoziomowych, gdzie udziały ma spółka, której udziały ma inna spółka, trzeba przejść łańcuch do końca. Tu najbardziej przydaje się mapa powiązań. Więcej o samym pojęciu znajdziesz w poradniku o tym, kim jest beneficjent rzeczywisty.

Osoby zajmujące eksponowane stanowiska polityczne

Jeżeli klient albo jego beneficjent jest PEP, członkiem rodziny PEP lub osobą mu bliską, ustawa wymaga wzmożonych środków. System powinien oznaczyć takie osoby na podstawie publicznych źródeł i pokazać, skąd pochodzi oznaczenie. Ostateczna kwalifikacja należy do instytucji, bo publiczne źródła nie zawsze są kompletne.

Listy sankcyjne

Sprawdzeniu podlega klient, jego reprezentanci i beneficjenci. W praktyce warto sprawdzić całą najbliższą strukturę, bo sankcja nałożona na wspólnika spółki dominującej też ma znaczenie. Chodzi o listy unijne wynikające z rozporządzeń Rady UE, w tym rozporządzenia 269/2014, oraz o polską listę prowadzoną przez MSWiA na podstawie ustawy z 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę.

Ocena ryzyka klienta

Każdy klient dostaje ocenę ryzyka, która decyduje o zakresie środków. Na ocenę wpływają między innymi rodzaj klienta, obszar geograficzny, przedmiot działalności, struktura własności i to, czy w strukturze są PEP lub podmioty sankcyjne. System nie powinien wystawiać oceny za instytucję. Powinien dostarczyć fakty, na których ocena się opiera.

Bieżące monitorowanie

Obowiązki nie kończą się na przyjęciu klienta. Zmiana zarządu, nowy wspólnik, przeniesienie siedziby albo pojawienie się na liście sankcyjnej to sygnały, które powinny trafić do osoby odpowiedzialnej. Ręczne sprawdzanie KRS dla kilkuset klientów co miesiąc jest nierealne, dlatego potrzebne są alerty o zmianach.

Dokumentowanie i przechowywanie

Dokumentację środków bezpieczeństwa finansowego przechowuje się przez 5 lat, licząc co do zasady od zakończenia relacji z klientem lub od przeprowadzenia transakcji okazjonalnej. Wydruk z rejestru bez daty i podpisu osoby, która go zrobiła, niewiele wnosi. Liczy się to, kto, kiedy i co sprawdził.

Rejestr czynności

Kontrola zwykle zaczyna się od prośby o pokazanie kilku losowo wybranych teczek klientów. Rejestr, w którym każda weryfikacja ma datę, autora, wynik i załączony raport, zamienia kilkudniowe zbieranie papierów w jeden eksport.

Co robi Biznesmeni w procesie AML

Biznesmeni to mapa powiązań polskiego biznesu zbudowana z jawnych rejestrów. Opis wszystkich rejestrów, z których korzystamy, znajdziesz na stronie źródła danych. W procesie AML serwis wykonuje część pracy, która najdłużej trwa ręcznie, czyli zebranie danych o kliencie i jego otoczeniu.

• Pobiera dane spółki z KRS, przedsiębiorcy z CEIDG i status z białej listy VAT, z datą pobrania.
• Rysuje mapę osób i spółek powiązanych z klientem, z rolami (zarząd, rada nadzorcza, prokura, wspólnik) i datami od i do.
• Pokazuje strukturę udziałów na kilku poziomach, co ułatwia ustalenie, kto kontroluje klienta pośrednio. Jak porównać ją z wpisem w CRBR, opisujemy na stronie weryfikacja beneficjenta rzeczywistego.
• Sprawdza każdą osobę i spółkę z mapy na polskiej i unijnej liście sankcyjnej oraz oznacza osoby PEP z publicznych źródeł.
• Wysyła alerty, gdy w KRS klienta zmieni się zarząd, wspólnicy, prokura albo siedziba.
• Zapisuje każdą weryfikację w rejestrze czynności, z autorem, datą i raportem PDF, gotowym do eksportu na kontrolę.

Jak wygląda pojedyncza weryfikacja krok po kroku, opisujemy na stronie weryfikacja klienta AML. Jeżeli dopiero przygotowujesz dokumenty wewnętrzne, zajrzyj do opisu, co powinna zawierać procedura AML.

Co zostaje po stronie instytucji

Żadne narzędzie nie przejmuje odpowiedzialności, którą ustawa nakłada na instytucję obowiązaną. Biznesmeni pomaga wykonać środki bezpieczeństwa finansowego i je udokumentować, ale nie zastępuje decyzji ludzi. Po Twojej stronie zostają w szczególności te zadania.

• Weryfikacja tożsamości osoby fizycznej na podstawie dokumentu, na przykład dowodu osobistego. Nie przetwarzamy numerów PESEL ani skanów dokumentów.
• Pobranie i ocena wpisu w Centralnym Rejestrze Beneficjentów Rzeczywistych. Mapa udziałów z KRS pozwala porównać ten wpis z faktyczną strukturą.
• Ocena ryzyka klienta i decyzja o zastosowaniu uproszczonych albo wzmożonych środków.
• Ustalenie celu i charakteru relacji gospodarczej oraz źródła pochodzenia środków przy wzmożonych środkach bezpieczeństwa.
• Analiza transakcji i ewentualne zawiadomienia do Generalnego Inspektora Informacji Finansowej.
• Przyjęcie wewnętrznej procedury, szkolenia pracowników i wyznaczenie osób odpowiedzialnych.

Taki podział jest uczciwy wobec kontrolującego. Dane z rejestrów są pobrane automatycznie i opisane źródłem, a ocena i decyzje mają podpis konkretnego pracownika.

Plany dla instytucji obowiązanych

Dla zespołów, które pracują z AML codziennie, przygotowaliśmy dwa plany. Oba kupujesz w kasie, bez rozmowy z handlowcem, a fakturę VAT dostajesz od razu po płatności. Ceny są netto, w kasie doliczamy 23% VAT. Przy płatności rocznej cena miesięczna jest o połowę niższa. Pełne zestawienie wszystkich planów zawiera cennik.

Kancelaria

1 490 zł netto miesięcznie albo 745 zł netto miesięcznie przy płatności rocznej. Plan dla kancelarii, biura rachunkowego z kilkoma księgowymi albo działu ryzyka. Obejmuje 5 użytkowników, 3 000 map w miesiącu do 6 poziomów, sprawy klientów z notatkami i historią czynności, rejestr czynności AML gotowy do kontroli, alerty dla 1 500 podmiotów z raportem tygodniowym, API na 5 000 zapytań w miesiącu i hurtowe sprawdzenie listy NIP i KRS do 2 000 wierszy w pliku.

Instytucja

3 990 zł netto miesięcznie albo 1 995 zł netto miesięcznie przy płatności rocznej. Plan dla banku, firmy leasingowej, instytucji płatniczej i każdej dużej instytucji obowiązanej. Obejmuje 20 użytkowników z rolami i logowaniem SSO, 15 000 map w miesiącu, alerty dla 10 000 podmiotów, API na 50 000 zapytań w miesiącu, dziennik dostępu z retencją 5 lat, SLA 99,9% i umowę powierzenia danych do pobrania w panelu.

Tabela funkcji AML w planach

Mniejsze podmioty, które weryfikują kilku klientów w miesiącu, często zaczynają od planu Wywiad albo Analityk. Opis tego wyboru dla małego biura znajdziesz na stronie AML dla biur rachunkowych.

Jak wygląda wdrożenie

Nie ma instalacji ani projektu wdrożeniowego. Zakładasz konto, wybierasz plan w kasie, podajesz NIP i dane firmy do faktury, zapraszasz współpracowników z panelu. Pierwszą weryfikację możesz zrobić kilka minut później.

1. Wpisz nazwę, NIP albo numer KRS klienta.
2. Wybierz głębokość mapy i zakres, czyli tylko role obecne albo całą historię.
3. Przejrzyj mapę, wyniki list sankcyjnych i oznaczenia PEP.
4. Dodaj notatkę z oceną ryzyka i zapisz weryfikację w sprawie klienta.
5. Dodaj klienta do alertów, żeby dostawać informację o zmianach w KRS.

Firmy z dużą bazą klientów mogą wgrać plik z listą NIP i KRS i sprawdzić wszystkich naraz, a potem objąć ich alertami. Systemy własne łączą się przez API.

Bezpieczeństwo danych w systemie AML

Rejestr czynności i notatki to dane, które instytucja musi chronić. Dostęp mają tylko użytkownicy Twojego konta, a w planie Instytucja możesz nadać role i sprawdzić w dzienniku, kto i kiedy otworzył dany profil. Szczegóły techniczne i organizacyjne opisujemy na stronie bezpieczeństwo. Profile osób w serwisie zawierają wyłącznie dane z rejestrów jawnych, bez numerów PESEL, adresów zamieszkania i dat urodzenia.