Procedura AML a ocena ryzyka – czego zwykle brakuje?

Dwa formalne obowiązki instytucji obowiązanych: procedura AML i ocena ryzyka

Instytucje obowiązane to te wymienione w aktualnej (2026 r.) ustawie AML. Podlegają one dwóm konkretnym obowiązkom formalnym, które często potem kończą się stwierdzeniami w kontrolach AML, że jednak doszło do naruszenia. Chodzi o konieczność posiadania wewnętrznej procedury w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu (art. 50) oraz oceny ryzyka (art. 27). Skoro więc te przepisy stanowią jedynie o formalnym przygotowaniu dokumentów to dlaczego w co 2-3 protokole z kontroli widzę, że instytucja obowiązana nie zrealizowała odpowiednio tych obowiązków?

Dlaczego gotowe pakiety dokumentów AML nie wystarczą?

Faktem jest, że większość instytucji obowiązanych te dokumenty ma. Zgłaszają się do firm doradczych i dostają piękne pakiety dokumentów. Niektóre imponują swoją objętością i napisaniem 5 razy tego samego w swojej treści. Część firm nawet wysyła te dokumenty pocztą, wskazując że w ten sposób firma jest chroniona w rozumieniu ustawy AML, co jest szczególnie zabawne, zderzając to z realiami kontroli. Tak to jednak wygląda gdy za tworzenie takich dokumentów biorą się firmy (często nawet nie kancelarie), które zauważyły w takim przygotowywaniu świetny biznes. Trochę to nawet przypomina RODO jako przygotowane dokumenty do szuflady. Muszę jednak przyznać, że w przypadku AML przedsiębiorcy przywiązują większą uwagę, żeby chociaż w praktyce obowiązki choćby częściowo były realizowane.

Sprzeczność między procedurą a oceną ryzyka – przykład z praktyki

Ten wpis wynika z mojego niedawnego doświadczenia gdzie kancelaria z firmą audytorską (naprawdę znana swoją drogą) sprawdzała działalność jednego z moich klientów. Wspaniale było widzieć treści wypisane przez juniora/osobę bez znajomości dziedziny/AI (niepotrzebne skreślić, ale na pewno to jedna z tych osób, może nawet wszystkie naraz w pewnym zakresie). Otóż „audytor” stwierdził, że przygotowana procedura z określeniem jak firma może obsługiwać branże wysokiego ryzyka oraz osoby z jurysdykcji wysokiego ryzyka jest sprzeczna z oceną ryzyka samej instytucji obowiązanej. Chodziło o to, że w ocenie ryzyka zawarto wskazanie, że firma nie będzie obsługiwała określonych branż i osób z danych krajów, a jednak procedura AML zawierała mechanizmy w tym zakresie. Wskazano we wnioskach, że taka niekonsekwencja stanowi rażący błąd i byłaby podstawą do nałożenia kary administracyjnej przez GIIF lub UCS.

Moje podejście jako prawnika zajmującego się AML

Osobiście postrzegam się jako prawnika, który realizuje zadania. Nie zajmuję się tylko ogólnym informowaniem o ryzykach, z którymi firma nawet nie wie, co zrobić, tylko, skoro dany klient jest instytucją obowiązaną, to przygotowuję dokumenty formalnoprawne jak właśnie procedura AML oraz ocena ryzyka. Finalne decyzje należą do klientów, tzn. na jakie sektory chcą się zamykać, ale nie obawiam się tłumaczenia komuś, dlaczego coś przygotowałem w dany sposób.

Procedura AML jako sieć dróg, ocena ryzyka jako szlabany

No więc po otrzymaniu takiej „reklamacji” pozostaje jedynie wyjaśnić, jak działają dokumenty tego typu. Procedura AML ma stanowić instrukcję dla instytucji obowiązanej, jak mają postępować w danych przypadkach. Lubię porównywać procedurę do „sieci dróg”. Tworzy się drogi dla celów decyzji biznesowych. To instytucja obowiązana decyduje, które drogi wykorzystuje, ale dobrze, aby je miała. Ocena ryzyka natomiast to pewnego rodzaju szlabany/bramki. Zarząd/oficer AML decydują o apetycie na ryzyko. O tym, czy chcą obsługiwać klienta zamieszkałego w Gruzji. O tym, czy aktualne systemy wykorzystywane do monitorowania transakcji pozwalają skutecznie wyłapywać transakcje podejrzane związane z BLIKiem jako kanałem płatności. O tym, czy przyjmując do siebie klienta z sektora kantorów dewizowych, mają odpowiednie umiejętności, aby zbadać źródło pochodzenia środków.

Takie tworzenie dokumentów nie jest więc błędem, a świadomą decyzją, jak dać firmom możliwości działania na przyszłość. Zarząd i oficer AML decydują o wykorzystaniu dróg, ale prawniczo warto dać im ku temu możliwości.

Dlaczego procedury AML są zbyt ogólne?

Na początku napisałem, że wiele firm otrzymuje karę w związku z tymi formalizmami. W ostatnim roku zauważyłem, że GIIF wskazuje na powtarzający się schemat ogólności procedury.

Jak zindywidualizować procedurę AML?

Dlatego właśnie instytucje obowiązane muszą przejść punkt po punkcie wymogi z art. 50, ale nie to jest wystarczające. Ważne jest to, aby Twoją procedurę ZINDYWIDUALIZOWAĆ. Zrób z procedury instrukcję, jako fragment onboardingu dla nowego pracownika. Jeśli ktoś ma pracować na customer service, to powinien wiedzieć, jak się poruszać po systemie. Ja osobiście preferuję instrukcję jako załącznik do procedury i w ten sposób dochodzi do indywidualizacji. Sama procedura w głównej części to zwykle przepisanie ustawy i rekomendacji GIIF/organów unijnych. Załącznik dostosować można natomiast właśnie wygodnie do danej instytucji obowiązanej i wówczas wymogi są zachowane.

Najczęstszy błąd przy ocenie ryzyka

W przypadku oceny ryzyka instytucji obowiązanej dostrzegam natomiast inny błąd. Na siłę instytucje uznają, że nie chcą być na wysokim ryzyku. Wręcz się tego boją, a potem dziwią się, że GIIF uznaje, że ocena jest zrobiona nieprawidłowo. Skoro GIIF daną branżę uznaje za ryzyko wysokie, to firma swoimi mitygantami będzie miała trudności, aby zejść do średniego ryzyka. Pokazanie organowi nadzoru, że instytucja obowiązana jest świadoma tego na jakim polu ryzyka działa to nic złego.

Potrzebujesz pomocy z procedurą AML lub oceną ryzyka?

Jeśli potrzebujesz sprawdzić swoje dokumenty, przygotować lub zmienić procedurę AML lub ocenę ryzyka, przeprowadzić cykliczne szkolenie lub chciałbyś mieć w swojej firmie próbną kontrolę zanim przyjdzie organ, to proszę skontaktuj się ze mną – [email protected] (538-582-806).