Procedura AML w biurze rachunkowym i dokumentowanie weryfikacji

Biuro rachunkowe jest instytucją obowiązaną w rozumieniu ustawy AML, więc taką procedurę musi mieć niezależnie od wielkości. Poniżej opisujemy jej elementy, wzór karty klienta, sposób dokumentowania weryfikacji i to, czego zwykle szuka kontrola.

Dlaczego biuro rachunkowe potrzebuje procedury AML

Ustawa z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu wymienia podmioty prowadzące działalność w zakresie usługowego prowadzenia ksiąg rachunkowych wśród instytucji obowiązanych. Dotyczy to biur w formie spółki i jednoosobowych działalności, także takich, które obsługują kilkunastu klientów na ryczałcie. Obowiązki nie zależą od liczby pracowników ani od obrotów.

Instytucja obowiązana ma wprowadzić wewnętrzną procedurę, wyznaczyć osobę odpowiedzialną za wykonywanie obowiązków, stosować środki bezpieczeństwa finansowego wobec klientów, szkolić pracowników, prowadzić dokumentację i przekazywać informacje do Generalnego Inspektora Informacji Finansowej. Procedura spina to wszystko w jednym dokumencie. Bez niej biuro nie wykaże podczas kontroli, że działa według ustalonych zasad, a nie od przypadku do przypadku.

W jednoosobowym biurze osobą odpowiedzialną jest właściciel. W spółce wskazuje się członka zarządu odpowiedzialnego za obowiązki AML, a jeśli biuro zatrudnia pracowników, także pracownika na stanowisku kierowniczym, który pilnuje procedury na co dzień. Jak to wygląda w praktyce biur, opisujemy na stronie AML dla biur rachunkowych.

Co musi zawierać procedura AML

Ustawa wymienia elementy, które procedura powinna obejmować. W biurze rachunkowym sprowadzają się one do kilku rozdziałów, które opisują konkretne czynności, a nie przepisują ustawę.

1. Działania służące ograniczeniu ryzyka prania pieniędzy i finansowania terroryzmu oraz zarządzaniu nim, w tym odesłanie do oceny ryzyka biura.
2. Zasady stosowania środków bezpieczeństwa finansowego, czyli kiedy i jak biuro identyfikuje klienta, ustala beneficjenta rzeczywistego, ocenia cel relacji i monitoruje współpracę.
3. Zasady stosowania środków uproszczonych i wzmożonych, z listą sytuacji, w których biuro je stosuje.
4. Sposób przechowywania dokumentów i informacji oraz czas przechowywania.
5. Zasady wykrywania nietypowych transakcji, przekazywania informacji do GIIF i wstrzymywania transakcji.
6. Sprawdzanie klientów na listach sankcyjnych i zasady stosowania szczególnych środków ograniczających.
7. Ustalanie, czy klient lub beneficjent jest osobą zajmującą eksponowane stanowisko polityczne.
8. Szkolenia pracowników, podział obowiązków i sposób anonimowego zgłaszania naruszeń.
9. Zasady kontroli wewnętrznej i aktualizacji procedury.

Dobra procedura biura ma kilkanaście stron, a nie sto. Zawiera wzory dokumentów jako załączniki, wskazuje osoby z imienia i funkcji oraz opisuje, w jakim systemie i folderze przechowuje się akta. Gotowe elementy i sposób ich wdrożenia omawiamy szerzej na stronie procedura AML.

Ocena ryzyka biura i ocena ryzyka klienta

Są dwie oceny, które łatwo pomylić. Pierwsza to ocena ryzyka całego biura. Biuro identyfikuje i ocenia ryzyko związane ze swoją działalnością, biorąc pod uwagę klientów, branże, obszary geograficzne, produkty i kanały kontaktu. Ocenę sporządza się na piśmie, aktualizuje co najmniej raz na dwa lata, a także przy istotnej zmianie działalności, i uwzględnia w niej krajową ocenę ryzyka.

Druga to ocena ryzyka każdego klienta. Na jej podstawie biuro decyduje, czy stosuje standardowe, uproszczone czy wzmożone środki bezpieczeństwa finansowego i jak często weryfikuje klienta ponownie. W biurze rachunkowym wystarcza zwykle prosta skala trzech poziomów z jasnymi kryteriami.

Ocena powinna mieć datę, autora i uzasadnienie. Sama litera „N” w arkuszu bez wyjaśnienia nie przekona kontrolującego, że biuro rzeczywiście przeanalizowało klienta.

Jak przeprowadzić i udokumentować weryfikację klienta

Środki bezpieczeństwa finansowego stosuje się przed nawiązaniem stosunków gospodarczych, czyli zanim biuro podpisze umowę o prowadzenie księgowości. W praktyce weryfikacja nowego klienta będącego spółką z o.o. obejmuje kilka czynności.

1. Identyfikacja klienta, czyli nazwa, forma prawna, siedziba, NIP, numer KRS i dane osób reprezentujących, potwierdzone odpisem z KRS.
2. Identyfikacja i weryfikacja osoby działającej w imieniu klienta, na przykład na podstawie dokumentu tożsamości i odpisu potwierdzającego umocowanie.
3. Ustalenie beneficjenta rzeczywistego na podstawie odpisu, CRBR i oświadczenia klienta oraz udokumentowanie ewentualnych rozbieżności.
4. Ocena celu i charakteru współpracy, na przykład zakresu usług, przewidywanej liczby dokumentów i rodzaju działalności klienta.
5. Sprawdzenie klienta, reprezentantów i beneficjenta na polskiej liście sankcyjnej, listach unijnych i pod kątem statusu PEP.
6. Ocena ryzyka klienta i wybór poziomu środków.

Każda czynność zostawia ślad. Odpis z datą pobrania, wydruk lub zrzut z CRBR, wynik sprawdzenia list z datą i godziną, podpisane oświadczenia klienta, notatka z oceny ryzyka. Dla spółek z bardziej złożoną strukturą przydaje się mapa powiązań na danych z baza KRS, która pokazuje wspólników kolejnych pięter, i opis ustalenia, kim jest beneficjent rzeczywisty. Cały ten etap opisujemy też na stronie weryfikacja klienta AML.

Karta klienta i co zapisać w aktach

Karta klienta to jeden dokument, w którym zbiera się wyniki weryfikacji. Ułatwia pracę zespołu i kontrolę, bo zamiast przeglądać folder z kilkunastoma plikami, kontrolujący widzi całość na jednej lub dwóch stronach i odsyłacze do załączników. Wzór karty dla spółki może wyglądać następująco.

Dla klienta prowadzącego jednoosobową działalność kartę upraszcza się, a dane potwierdza wpisem w CEIDG i na białej liście VAT. Warto, żeby karta była w formacie, który da się wydrukować z datą i podpisem osoby odpowiedzialnej.

Monitorowanie klientów w trakcie współpracy

Weryfikacja przy podpisaniu umowy to dopiero początek. Ustawa wymaga bieżącego monitorowania stosunków gospodarczych, czyli analizy transakcji i aktualizacji danych klienta. Biuro rachunkowe ma tu przewagę nad wieloma instytucjami, bo co miesiąc widzi dokumenty klienta. Nietypowe operacje, na przykład duże wpłaty gotówkowe bez uzasadnienia, faktury od nowych podmiotów zagranicznych albo nagłe zmiany profilu działalności, powinny trafić do notatki i oceny, czy nie wymagają zgłoszenia do GIIF.

Druga część monitorowania to zmiany w rejestrach. Nowy wspólnik, nowy prezes, przeniesienie siedziby czy wszczęcie likwidacji mogą zmienić ocenę ryzyka i beneficjenta. Biuro z kilkudziesięcioma klientami nie jest w stanie ręcznie przeglądać odpisów co miesiąc, dlatego warto ustawić monitoring KRS, który powiadamia o zmianach, i zapisywać w karcie klienta, co z każdym powiadomieniem zrobiono.

Terminy ponownej weryfikacji wynikają z oceny ryzyka. Klientów z wyższym ryzykiem sprawdza się częściej, z niższym rzadziej, ale każdy termin trzeba gdzieś zapisać, żeby nie zginął w kalendarzu jednej osoby.

Przechowywanie dokumentacji

Kopie dokumentów i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego przechowuje się przez 5 lat, licząc od dnia zakończenia stosunków gospodarczych z klientem. Ten sam okres dotyczy dowodów i zapisów transakcji oraz wyników analiz. W określonych przypadkach okres może zostać przedłużony na żądanie uprawnionego organu.

Procedura powinna wskazywać, gdzie i w jakiej formie biuro przechowuje akta, kto ma do nich dostęp i jak są chronione. Dane osobowe zebrane na potrzeby AML przetwarza się w celu wykonania obowiązku prawnego, więc nie wymagają zgody klienta, ale wymagają zabezpieczenia. Folder na wspólnym dysku bez kontroli dostępu to słaby punkt, który kontrola łatwo wychwyci.

Szkolenia, zgłoszenia i podział obowiązków

Procedura działa tylko wtedy, gdy znają ją osoby, które na co dzień przyjmują dokumenty od klientów. Ustawa wymaga, żeby pracownicy wykonujący obowiązki AML uczestniczyli w programach szkoleniowych. W biurze rachunkowym wystarczy zwykle krótkie szkolenie przy zatrudnieniu i powtórka po każdej zmianie procedury albo przepisów. Ważne, żeby zostało po nim potwierdzenie z datą, tematem i listą uczestników.

Procedura powinna też jasno mówić, kto co robi. Księgowa, która zauważy nietypową operację, zapisuje ją i przekazuje osobie odpowiedzialnej. Osoba odpowiedzialna analizuje sprawę, decyduje o zgłoszeniu do GIIF i dokumentuje decyzję, także wtedy, gdy uzna, że zgłoszenie nie jest potrzebne. Klient nie może się dowiedzieć o przekazaniu informacji do GIIF, dlatego procedura powinna opisywać, jak rozmawiać z nim w takiej sytuacji.

Osobny element to wewnętrzny kanał anonimowego zgłaszania naruszeń przepisów AML przez pracowników i współpracowników. W małym biurze może to być wydzielona skrzynka albo formularz, do którego dostęp ma tylko osoba odpowiedzialna. Procedura opisuje, jak zgłoszenie jest przyjmowane, kto je rozpatruje i jak chroni się osobę zgłaszającą.

Na koniec warto wyznaczyć termin przeglądu samej procedury. Raz w roku albo po każdej zmianie przepisów osoba odpowiedzialna sprawdza, czy opis nadal odpowiada temu, jak biuro pracuje, i zapisuje datę przeglądu w historii zmian dokumentu.

Jak przygotować się do kontroli

Kontrolę przestrzegania przepisów AML w biurach rachunkowych prowadzi przede wszystkim GIIF, a także organy Krajowej Administracji Skarbowej w ramach swoich uprawnień. Kontrolujący zwykle prosi o procedurę, ocenę ryzyka biura, dokument wyznaczający osobę odpowiedzialną, potwierdzenia szkoleń i akta kilku lub kilkunastu wybranych klientów.

W aktach klienta sprawdza, czy weryfikacja nastąpiła przed podpisaniem umowy, czy ustalono beneficjenta, czy sprawdzono listy sankcyjne i status PEP oraz czy ocena ryzyka ma uzasadnienie. Patrzy też na daty, bo dokument utworzony po zawiadomieniu o kontroli jest łatwy do rozpoznania. Najlepszym przygotowaniem jest więc praca według procedury na co dzień i rejestr czynności, w którym każde sprawdzenie ma datę i autora.

Przed kontrolą warto przeprowadzić własny przegląd. Wybierz losowo kilku klientów, sprawdź, czy karta jest kompletna, czy terminy kolejnych weryfikacji zostały dotrzymane i czy rozbieżności z CRBR zostały wyjaśnione. Braki uzupełnij z aktualną datą i adnotacją, zamiast antydatować dokumenty.

Najczęstsze błędy w procedurach biur

• Procedura skopiowana z innej branży, która opisuje rachunki bankowe i przelewy zamiast realiów biura.
• Brak oceny ryzyka biura albo ocena sprzed wielu lat bez aktualizacji.
• Beneficjent przepisany z CRBR bez porównania z odpisem KRS.
• Sprawdzenie list sankcyjnych tylko dla klienta, bez reprezentantów i beneficjentów.
• Brak dat i godzin przy wynikach sprawdzeń.
• Weryfikacja wykonana po podpisaniu umowy i rozpoczęciu księgowania.
• Brak potwierdzeń szkoleń pracowników.

Wiele z tych błędów wynika z braku jednego miejsca na dokumentację. Biznesmeni w planie Kancelaria prowadzi sprawy klientów z notatkami i historią czynności oraz rejestr czynności AML gotowy do kontroli, a sprawdzenie całej mapy klienta na listach sankcyjnych i PEP jest dostępne od planu Analityk. Plan Kancelaria kosztuje 1 490 zł netto miesięcznie (745 zł przy płatności rocznej), plan Analityk 599 zł netto (299 zł przy rocznej), do cen doliczamy 23% VAT. Narzędzie pomaga wykonać i udokumentować obowiązki, ale nie zastępuje procedury ani decyzji osoby odpowiedzialnej.