Masz procedurę AML.Czy to znaczy, że AML naprawdę działa?

01

Procedura jest obowiązkiem. Nie jest jednak całym systemem AML.

Art. 50 ustawy AML przewiduje obowiązek wprowadzenia przez instytucję obowiązaną wewnętrznej procedury przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu. Procedura ma porządkować sposób realizacji obowiązków w danej organizacji.

Jednocześnie ustawa nakłada również obowiązki, które trzeba wykonywać operacyjnie. Obejmują one m.in. ocenę ryzyka związanego z działalnością instytucji, rozpoznawanie i dokumentowanie ryzyka klienta, stosowanie środków bezpieczeństwa finansowego czy zapewnienie odpowiednich szkoleń osobom wykonującym obowiązki AML.

02

DOCUMENT: czy dokumentacja pasuje do tego, jak biuro naprawdę pracuje?

Sam fakt, że procedura pochodzi z gotowego wzoru, pakietu dokumentów albo programu, nie oznacza automatycznie braku zgodności. Źródło dokumentu nie jest najważniejszym kryterium.

Kluczowe jest to, czy dokumentacja została dostosowana do charakteru i skali działalności konkretnego biura: jego klientów, sposobu onboardingu, podziału odpowiedzialności, stosowanych narzędzi i rzeczywistego obiegu informacji.

Procedura, której zespół nie potrafi przełożyć na konkretne czynności, może pozostać poprawnym dokumentem, ale słabym narzędziem operacyjnym.

03

PROCESS: czy obowiązki AML są wykonywane w praktyce?

Druga warstwa dotyczy wykonania. Jeżeli biuro jest instytucją obowiązaną, AML nie kończy się w momencie zatwierdzenia procedury. Trzeba stosować określone działania wtedy, gdy powstają właściwe przesłanki.

W praktycznym procesie biura rachunkowego znaczenie mogą mieć m.in. identyfikacja i weryfikacja klienta, ustalenie beneficjenta rzeczywistego, ustalenia dotyczące PEP, ocena ryzyka klienta, weryfikacja informacji oraz bieżące monitorowanie relacji.

GIIF zwraca uwagę, że ocena ryzyka nie może być wyłącznie formalnym elementem dokumentacji. Instytucja obowiązana identyfikuje i ocenia ryzyko dotyczące własnej działalności, a przy relacji z klientem rozpoznaje ryzyko i dokumentuje czynniki uwzględnione w ocenie.

04

EVIDENCE: czy można wykazać, że czynność rzeczywiście została wykonana?

Trzecia warstwa jest często pomijana, mimo że z perspektywy kontroli i zarządzania zgodnością jest bardzo praktyczna. Nie wystarczy wiedzieć, że dana czynność powinna zostać wykonana. Organizacja powinna być w stanie odtworzyć jej wykonanie w zakresie wymaganym przez przepisy i własny proces.

Dobrym przykładem są szkolenia. W komunikacie dotyczącym obowiązku szkoleniowego GIIF, UKNF i NBP podkreślają, że realizacja szkoleń powinna być udokumentowana w sposób pozwalający ustalić m.in. kto, kiedy i w jakim zakresie został przeszkolony.

Ta sama logika jest użyteczna szerzej: ślad wykonania pomaga wykazać, że procedura była stosowana jako proces, a nie tylko przechowywana jako dokument.

06

„Nie wiem” jest lepsze niż pozorne potwierdzenie zgodności.

Jeżeli na część powyższych pytań odpowiedź brzmi „nie wiem”, nie należy automatycznie traktować tego jako naruszenia. To sygnał, że określony element wymaga weryfikacji.

Właśnie dlatego w AML Check rozdzielamy obszary wymagające działania od tych, które wymagają dalszego sprawdzenia. Celem nie jest wygenerowanie efektownej oceny punktowej, lecz wskazanie konkretnego następnego kroku.