Procedura AML, którą da się stosować na co dzień

Ten poradnik pomaga zbudować procedurę od zera albo uporządkować istniejącą. Na początku znajdziesz szkielet procedury jako wzór do adaptacji, dalej opis poszczególnych elementów, a w środku tabelę, która pokazuje, które etapy procedury wspiera Biznesmeni.

To nie jest porada prawna. Treść opisuje obowiązki ogólnie, na podstawie ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Procedurę dostosuj do rodzaju działalności i skali ryzyka, a w razie wątpliwości skonsultuj ją z prawnikiem znającym przepisy AML i aktualne wytyczne GIIF.

Szkielet procedury AML jako wzór do adaptacji

1. Postanowienia ogólne, czyli cel procedury, podstawa prawna, zakres stosowania i definicje.
2. Osoby odpowiedzialne, czyli członek zarządu odpowiedzialny za wykonywanie obowiązków AML i pracownik na stanowisku kierowniczym odpowiedzialny za zgodność.
3. Ocena ryzyka instytucji, czyli odwołanie do odrębnego dokumentu i zasady jego aktualizacji.
4. Ocena ryzyka klienta, czyli czynniki, skala ryzyka i sposób przypisania klienta do poziomu.
5. Środki bezpieczeństwa finansowego, czyli kiedy się je stosuje i jak przebiega identyfikacja, weryfikacja, ustalenie beneficjenta rzeczywistego, ocena relacji i monitorowanie.
6. Środki uproszczone i wzmożone, czyli przesłanki, zakres i kto zatwierdza.
7. Osoby zajmujące eksponowane stanowiska polityczne, czyli sposób ustalania i dodatkowe czynności.
8. Sankcje, czyli listy, które sprawdzamy, częstotliwość i postępowanie przy dopasowaniu.
9. Rozbieżności z CRBR, czyli jak je dokumentujemy i zgłaszamy.
10. Odmowa nawiązania lub zakończenie relacji, czyli kiedy i jak to dokumentujemy.
11. Analiza transakcji i zgłoszenia do GIIF, czyli progi, transakcje podejrzane, terminy i sposób przekazania.
12. Wstrzymanie transakcji i blokada rachunku, jeżeli dotyczy działalności instytucji.
13. Przechowywanie dokumentacji, czyli co, gdzie, jak długo i kto ma dostęp.
14. Szkolenia pracowników, czyli kto, jak często i jak dokumentujemy udział.
15. Zgłaszanie naruszeń przez pracowników, czyli kanał wewnętrzny i ochrona osoby zgłaszającej.
16. Kontrola wewnętrzna i przegląd procedury, czyli kto sprawdza stosowanie i jak często aktualizujemy dokument.
17. Załączniki, czyli formularz oceny ryzyka klienta, karta weryfikacji, rejestr szkoleń i wzory notatek.

Taki spis jest punktem wyjścia. Mała firma może połączyć kilka punktów w jeden, bank rozbije każdy z nich na osobne instrukcje. Ważne, żeby każdy obowiązek z ustawy miał w procedurze swoje miejsce i osobę, która go wykonuje.

Ocena ryzyka instytucji

Zanim napiszesz procedurę dla klientów, oceń ryzyko własnej działalności. Ustawa wymaga, by instytucja obowiązana zidentyfikowała i oceniła ryzyko prania pieniędzy i finansowania terroryzmu związane z jej działalnością, uwzględniając czynniki dotyczące klientów, państw lub obszarów geograficznych, produktów, usług, transakcji i kanałów dystrybucji. Ocenę sporządza się na piśmie i aktualizuje w razie potrzeby, nie rzadziej niż co dwa lata.

Dobrze zrobiona ocena ryzyka instytucji odpowiada na pytania, kim są Twoi typowi klienci, jakie usługi są najbardziej narażone na nadużycia i jakie sytuacje uznajesz za sygnał ostrzegawczy. Na przykład biuro rachunkowe obsługujące głównie lokalne firmy usługowe ma inny profil niż biuro, które prowadzi księgi spółek z udziałowcami zagranicznymi. Przy ocenie warto skorzystać z krajowej oceny ryzyka publikowanej przez GIIF.

Kto zatwierdza procedurę

Procedurę wewnętrzną przyjmuje kierownictwo instytucji, w spółce zwykle zarząd. Ustawa wymaga wskazania członka zarządu albo innego organu odpowiedzialnego za wykonywanie obowiązków AML oraz, w zależności od rodzaju i wielkości instytucji, pracownika na stanowisku kierowniczym odpowiedzialnego za zapewnienie zgodności. W jednoosobowej działalności obie role pełni sam przedsiębiorca.

Zatwierdzenie warto udokumentować uchwałą lub zarządzeniem z datą. Każdą zmianę procedury też. Kontrolujący zapyta, która wersja obowiązywała w dniu weryfikacji danego klienta.

Ocena ryzyka klienta

Procedura opisuje, jak przypisujesz klientowi poziom ryzyka. Najprościej sprawdza się skala trzystopniowa, czyli niskie, standardowe i wysokie. Dla każdego poziomu określasz zakres środków i częstotliwość przeglądu. Czynniki, które zwykle bierze się pod uwagę, to forma prawna i złożoność struktury, kraj siedziby wspólników, branża, sposób nawiązania relacji, obecność PEP w strukturze i historia klienta.

Przy spółkach najwięcej informacji daje struktura właścicielska i osoby w organach. Spółka z jednym wspólnikiem, który od lat jest prezesem, to inny przypadek niż spółka, w której w ciągu roku trzykrotnie zmienił się zarząd, a wspólnikiem jest podmiot zagraniczny. Jak sprawdzać takie zależności, opisujemy w poradniku, jak sprawdzić powiązania kapitałowe.

Środki bezpieczeństwa finansowego w procedurze

Ta część procedury mówi, kiedy stosujesz środki, czyli przy nawiązaniu relacji, przy transakcji okazjonalnej powyżej progu, przy podejrzeniu prania pieniędzy i przy wątpliwości co do danych klienta. Opisuje też, jak przebiega każda czynność i jakie dokumenty powstają. Szczegółowy opis kroków, od KRS po zapis czynności, znajdziesz na stronie weryfikacja klienta AML.

Jak narzędzie wspiera procedurę

Procedura opisuje, co robisz. Biznesmeni pomaga to robić szybciej i zostawia ślad. Poniższa tabela łączy etapy procedury z funkcjami serwisu. Tam, gdzie serwis nie pomaga, piszemy to wprost.

W procedurze możesz wprost wskazać serwis jako źródło danych rejestrowych i narzędzie do dokumentowania weryfikacji. Wtedy karta weryfikacji klienta to raport PDF ze sprawy, a rejestr weryfikacji to eksport rejestru czynności. Ogólny opis podziału obowiązków między serwis a instytucję zawiera strona system AML.

Szkolenia pracowników

Ustawa wymaga, by pracownicy wykonujący obowiązki AML uczestniczyli w programach szkoleniowych. Procedura określa, kto podlega szkoleniu, jak często się ono odbywa i jak dokumentuje się udział. W praktyce sprawdza się szkolenie przy zatrudnieniu, coroczne odświeżenie i dodatkowe szkolenie po każdej istotnej zmianie przepisów lub procedury.

Najlepiej działa szkolenie na prawdziwych sytuacjach z własnej praktyki, oczywiście bez danych klientów. Pracownik, który raz sam przeszedł mapę powiązań i zobaczył rozbieżność z CRBR, zapamięta to lepiej niż slajd z definicją.

Zgłoszenia do GIIF

Generalny Inspektor Informacji Finansowej przyjmuje od instytucji obowiązanych informacje o transakcjach powyżej progów określonych w ustawie oraz zawiadomienia o okolicznościach, które mogą wskazywać na podejrzenie prania pieniędzy lub finansowania terroryzmu. Ustawa określa terminy przekazania i sposób komunikacji z GIIF. Procedura powinna opisywać, kto w instytucji podejmuje decyzję o zawiadomieniu, jak dokumentuje analizę i jak chroni informację o zawiadomieniu przed klientem.

Serwis nie przekazuje niczego do GIIF. Może natomiast dostarczyć materiał do analizy, na przykład pokazać, że kontrahent klienta ma wspólnego członka zarządu z samym klientem albo że spółka, która ma przyjąć przelew, powstała kilka tygodni temu i ma tego samego wspólnika co płatnik.

Przechowywanie dokumentacji

Dokumentację związaną ze stosowaniem środków bezpieczeństwa finansowego przechowuje się przez 5 lat, licząc co do zasady od dnia zakończenia relacji z klientem albo przeprowadzenia transakcji okazjonalnej. Procedura określa, gdzie dokumenty leżą, kto ma do nich dostęp i jak są zabezpieczone. Przy wersji elektronicznej warto zadbać o to, by dało się wykazać datę sporządzenia dokumentu.

Rejestr czynności w Biznesmeni zapisuje datę, godzinę i autora każdej weryfikacji. Eksport z rejestru warto regularnie archiwizować w systemie dokumentów instytucji, bo obowiązek przechowywania trwa dłużej niż pojedynczy abonament.

Kontrola wewnętrzna i przegląd procedury

Procedura, której nikt nie czyta, nie chroni instytucji. Wyznacz osobę, która co pewien czas wybiera kilka spraw klientów i sprawdza, czy weryfikację przeprowadzono zgodnie z dokumentem. Wyniki zapisz. Sam dokument przeglądaj po każdej zmianie przepisów, po aktualizacji oceny ryzyka instytucji i po wnioskach z kontroli. Jeżeli prowadzisz biuro rachunkowe, praktyczne wskazówki dla tej branży znajdziesz na stronie AML dla biur rachunkowych i w poradniku o tym, jak przygotować procedurę AML w biurze rachunkowym.

Plan do pracy z procedurą

Jeżeli procedura opiera się na rejestrze czynności i sprawach klientów, potrzebujesz planu Kancelaria albo Instytucja. Kancelaria kosztuje 1 490 zł netto miesięcznie (745 zł netto przy płatności rocznej), Instytucja 3 990 zł netto miesięcznie (1 995 zł netto przy płatności rocznej). Do cen doliczamy 23% VAT. Mniejsze podmioty, które dokumentują weryfikację raportem PDF w swoich aktach, mogą zacząć od planu Wywiad za 199 zł netto miesięcznie albo Analityk za 599 zł netto miesięcznie, który dodaje sprawdzenie sankcji i PEP.