Audyt AML: przebieg i korzyści dla instytucji obowiązanych

• Sporządzenie oceny ryzyka. Jak to zrobić?
• Dlaczego warto zlecić audyt zewnętrzny AML?
• Na czym polega zewnętrzny audyt AML?
• Procedura kontrolna. Jak się przygotować?
• Co grozi za niespełnienie ustawowych obowiązków?

Sporządzenie oceny ryzyka. Jak to zrobić?

Jako jeden z głównych obowiązków ciążący na każdej instytucji obowiązanej w artykule 27 ustawy wskazuje się dokonanie oceny ryzyka prania pieniędzy i finansowania terroryzmu z uwzględnieniem profilu jej działalności. Ma to być punktem wyjścia do spełnienia innych obowiązków ustawowych. W ramach takiej oceny trzeba sporządzić:

• identyfikację ryzyka,
• ocenę ryzyka.

Wdrażając ocenę ryzyka musimy wziąć pod uwagę skalę działalności podmiotu. Trzeba uwzględnić również czynniki związane z klientami, państwami i obszarami geograficznymi, produktami, usługami lub transakcjami, a także kanałami dostaw produktów lub usług. Co więcej, przygotowując ocenę, możemy wziąć pod uwagę krajową wycenę ryzyka – dokument opracowany przez Generalnego Inspektora Informacji Finansowej, współdziałającego z:

• Komitetem Bezpieczeństwa Finansowego,
• jednostkami współpracującymi,
• instytucjami obowiązanymi.

Jednak niezależnie od powyższego, w lokalnej ocenie ryzyka dokonywanej przez instytucję obowiązaną można zastosować również postanowienia artykułu 6 dyrektywy 2015/849, czyli:

• najbardziej zagrożone obszary rynku wewnętrznego,
• ryzyko związane z danym sektorem,
• najpowszechniejsze metody wykorzystywane przez przestępców dla prania nielegalnych dochodów.

Poza tym trzeba zwrócić uwagę, że sama ocena ryzyka nie stanowi konstrukcji statycznej. W przepisach znajdziemy zobowiązanie instytucji obowiązanych do regularnego aktualizowania wytycznych w razie potrzeby, ale nie rzadziej niż co dwa lata. Oprócz tego ocena musi zostać utrwalona w formie elektronicznej lub papierowej.

Dbałość o zgodność procedur w firmie z obowiązującymi wymogami prawnymi nie jest łatwym zadaniem. Często wymaga współpracy wielu działów, w tym sprawnie funkcjonującej komórki compilance.

Chociaż zgodnie z obowiązującymi przepisami zlecenie zewnętrznego audytu nie jest obowiązkowe, takie rozwiązanie daje wiele korzyści. Przede wszystkim umożliwia weryfikację działalności pod względem wymogów zawartych w ustawie AML, pozwalając uniknąć dotkliwych kar.

Dlaczego warto zlecić audyt zewnętrzny AML?

W ramach wdrażania kolejnych rozwiązań wspólnotowych, oczekiwania ustawodawcy w kwestii instytucji obowiązanych stają się coraz bardziej rygorystyczne. Często ich przestrzeganie skutkuje koniecznością poniesienia dodatkowych kosztów, np. w związku z wydatkami na szkolenie personelu, utworzenie nowych komórek organizacyjnych, czy wdrażanie rozwiązań IT.

W celu ich uniknięcia, warto zlecić sporządzenie audytu odpowiedniemu podmiotowi. W wyniku kontroli zewnętrznej łatwiej jest spełnić wymogi związane z takimi zagadnieniami jak wspomniana ocena ryzyka, a także:

• identyfikacja i weryfikacja klienta oraz beneficjenta rzeczywistego,
• identyfikacja osób zajmujących eksponowane stanowisko polityczne (ang. PEP, Politically Exposed Person),
• ocena dokonywanych transakcji z punktu widzenia AML.

Wiele firm napotyka na trudności z wdrożeniem ustawowych regulacji, głównie ze względu na fakt, iż przepisy są bardzo rozbudowane. Jednocześnie ich niespełnienie wiąże się z poważnymi sankcjami, m.in. wysokimi karami pieniężnymi.

Dlatego coraz więcej państw wprowadza obligatoryjny audyt zewnętrzny, co ma zagwarantować zgodność z procedurami AML. Takie rozwiązanie stosuje się m.in. w Stanach Zjednoczonych czy Wielkiej Brytanii. Istnieje szansa, że obowiązek ten pojawi się również w naszym kraju.

Na czym polega zewnętrzny audyt AML?

Zewnętrzny audyt AML jest prowadzony przez niezależnych specjalistów z zakresu m.in. technologii IT, prawa, rachunkowości, czy HR. Każdorazowo wygląda on trochę inaczej, gdyż musi uwzględniać specyfikę danej działalności i jej zasięg.

W ramach audytu dokonuje się analizę sytuacji danej firmy w odniesieniu do stopnia wypełnienia formalnych wymagań dotyczących procesów AML, ale nie tylko. Dodatkowo ocenia się stan wiedzy i kompetencje pracowników w tym zakresie.

Prawidłowo przeprowadzony audyt zewnętrzny oscyluje wokół następujących obszarów:

• ustalenie, jakie obowiązki ciążą na instytucji obowiązanej,
• kompleksowa ocena zgodności działania z procedurami,
• weryfikacja wprowadzonych ścieżek działania oraz ocena dokumentacji,
• zidentyfikowanie obszarów, które są szczególnie narażone na ryzyko prania pieniędzy lub finansowania terroryzmu,
• ustalenie osób odpowiedzialnych za stosowanie mechanizmów AML oraz ocena ich wiedzy i kompetencji.

Audyt kończy się sporządzeniem protokołu zawierającego podsumowanie zebranych wyników oraz zalecenia co do zmiany obowiązujących procedur, dokumentów, czy protokołów działania. Ze względu na bardzo ogólne brzmienie przepisów, wyłącznie tak spersonalizowane, indywidualne rekomendacje stanowią realną wartość dla instytucji obowiązanej.

Model wdrażania procedur AML przyjęty w UE opiera się o tak zwany risk based approach. Oznacza to, że obligacje ustawowe wskazują niezbędne minimum działania. Jednak jego spełnienie nie jest równoznaczne z tym, że instytucja obowiązana nie odpowiada za brak staranności w tym zakresie(!).

Każdy podmiot zobligowany do wdrożenia procedur wynikających z ustawy o AML, musi indywidualnie ustalić, jakie działania i w jakim zakresie powinien podjąć, aby optymalnie chronić interes Skarbu Państwa oraz swój własny. Oczywiście rygor AML względem banku lub zakładu ubezpieczeń będzie znacznie większy niż w odniesieniu do małego biura rachunkowego.

Ponadto audyt zewnętrzny umożliwia opracowanie zasad kontroli wewnętrznej, która obejmuje m.in.:

• czynności zmierzające do zmniejszenia ryzyka prania pieniędzy i finansowania terroryzmu,
• opracowanie wydajnej oceny ryzyka,
• mechanizmy zarządzania ryzykiem AML w organizacji,
• zasady stosowania środków bezpieczeństwa finansowego,
• zasady przechowywania dokumentów i informacji oraz przekazywania ich Generalnemu Inspektorowi Informacji Finansowej,
• zasady zgłaszania naruszeń ustawy,
• mechanizmy dotyczące rozbieżności w CRBR,
• mechanizmy identyfikacji beneficjenta rzeczywistego (także będącego PEP) oraz trudności w tym zakresie.

Procedura kontrolna. Jak się przygotować?

Dzięki wdrożeniu zewnętrznego audytu AML i opracowaniu własnych zasad autokontroli, instytucja obowiązana jest przygotowana do kontroli, do których przeprowadzenia uprawniono konkretne organy państwowe. Procedurę kontroli reguluje ustawa prawo przedsiębiorców z zachowaniem odrębności, o których traktuje ustawa o AML.

Zgodnie z artykułem 130 ust. Ustawy, kontrolę wykonywanych przez instytucję obowiązane obowiązków nałożonych ustawą sprawuje Generalny Inspektor Informacji Finansowej. Zależnie od rodzaju instytucji obowiązanej, do takiego nadzoru są uprawnieni także:

• Prezes NBP – w przypadku podmiotów realizujących działalność kantorową,
• Komisja Nadzoru Finansowego – w odniesieniu do instytucji przez nią nadzorowanych (np. banki, instytucje płatnicze, agencje ratingowe, pośrednicy kredytowi),
• Krajowa Spółdzielcza Kasa Oszczędnościowo-Kredytowa – w przypadku SKOK-ów,
• prezesi sądów apelacyjnych – w stosunku do notariuszy,
• naczelnicy urzędów celno-skarbowych – w odniesieniu do instytucji obowiązanych, kontrolowanych przez te organy,
• wojewodowie lub starostowie – w stosunku do stowarzyszeń,
• ministrowie lub starostowie – w przypadku fundacji.

Kontrole realizuje się na podstawie półrocznych planów kontroli. Wyjątkiem są kontrole doraźne, których nie trzeba ujmować w planie. Co roku ustala się również sektory oraz obszary wyjątkowo narażone na ryzyko prania pieniędzy i finansowania terroryzmu, które są traktowane priorytetowo. 

Przebieg kontroli na gruncie ustawy o AML

Wszystkie kontrole są wykonywane przez dwie osoby, które posiadają upoważnienie do ich przeprowadzania. Najważniejsze elementy, które muszą widnieć na takim upoważnieniu, to:

• podstawa prawna do przeprowadzenia kontroli,
• oznaczenie organu przeprowadzającego kontrolę,
• data i miejsce wystawienia upoważnienia,
• imię i nazwisko kontrolera oraz numer jego legitymacji służbowej,
• oznaczenie kontrolowanej instytucji obowiązanej,
• miejsce przeprowadzenia kontroli,
• przedmiot oraz zakres kontroli,
• data rozpoczęcia kontroli oraz przewidywany czas jej trwania,
• podpis osoby udzielającej upoważnienia,
• pouczenie o prawach i obowiązkach kontrolowanej instytucji obowiązanej.

Z reguły czynności kontrole podejmuje się tylko w dniach i godzinach pracy kontrolowanej instytucji obowiązanej. Kiedy jednak jest podejrzenie prania pieniędzy lub finansowania terroryzmu, można przeprowadzić kontrolę również w innych dniach i godzinach. Co więcej, kontrola dotyczy nie tylko głównego miejsca prowadzenia działalności, ale również wszystkich innych miejsc z nim związanych.

Każda czynność podejmowana przez kontrolera musi być podjęta w obecności osoby upoważnionej przez instytucję obowiązaną. Wyjątkiem są sytuacje, w których charakter sprawy wymaga dokonania ich samodzielnie, a takie działanie może skutkować szybszym i skuteczniejszym przeprowadzeniem kontroli. Aby sprawnie przeprowadzić kontrolę, osoby, które ją wykonują, mogą skorzystać nawet z pomocy funkcjonariuszy Policji.

Przed podpisaniem protokołu, kontroler ma prawo zażądać udzielenia dodatkowych wyjaśnień na piśmie lub złożenia dokumentów. Uwzględnia się też możliwość odebrania ustnych oświadczeń, które powinny znaleźć się w podpisanym przez uczestników kontroli protokole.

Zakończenie kontroli skutkuje sporządzeniem tzw. stanowiska pokontrolnego, zawierającego:

• ocenę działalności instytucji obowiązanej w zakresie objętym kontrolą,
• zwięzły opis ustaleń kontroli i ewentualne wskazanie naruszonych przepisów,
• zalecenia pokontrolne ze wskazaniem sposobu i terminu usunięcia ustalonych nieprawidłowości.

Instytucja obowiązana musi przesłać informacje o sposobie realizacji zaleceń kontrolerów bądź o stanie ich realizacji ze wskazaniem ostatecznej daty ich wykonania. Termin można przesunąć jedynie za zgodną Generalnego Inspektora Informacji Finansowej.

Jeśli w ramach kontroli dojdzie do stwierdzenia nieprawidłowości, warto skorzystać z pomocy kancelarii prawnej. Ze wsparciem specjalistów łatwiej będzie złożyć opcjonalne zastrzeżenia do protokołu i stopniowo wdrożyć odpowiednie środki zaradcze.

Obowiązki instytucji obowiązanej wobec kontrolerów

Instytucja obowiązana objęta kontrolą AML musi na swój koszt zapewnić warunki oraz środki potrzebne do prawidłowego przeprowadzenia kontroli, a przede wszystkim:

• przedstawić dokumenty lub materiały,
• zapewnić terminowe udzielanie informacji,
• udostępnić środki łączności oraz urządzenia techniczne,
• umożliwić sporządzanie kopii, filmowanie, fotografowanie, dokonywanie nagrań dźwiękowych,
• przedłożyć urzędowe tłumaczenie na język polski dokumentów mających znaczenie dla kontroli, które zostały sporządzone w języku obcym.

Zgłaszanie zastrzeżeń do protokołu kontroli

W ramach przeprowadzonej kontroli sporządza się protokół w dwóch jednobrzmiących egzemplarzach, który jest dostarczany instytucji obowiązanej w terminie 30 dni od dnia zakończenia kontroli. Według artykułu 114 ust. 7 instytucja obowiązana może zgłosić umotywowane zastrzeżenia do protokołu kontroli.

Zastrzeżenie należy zgłosić w terminie 14 dni od daty otrzymania protokołu kontroli, kierując je do Generalnego Inspektora Informacji Finansowej. Jeśli zastrzeżenia zostaną uwzględnione, protokół zostanie poprawiony w drodze pisemnego aneksu. Jeżeli tak się nie stanie, Generalny Inspektor wydaje stanowisko dotyczące zastrzeżeń. Zarówno aneks, jak i stanowisko są doręczane instytucji obowiązanej.

Co grozi za niespełnienie ustawowych obowiązków?

Niespełnienie obowiązków wynikających z przepisów ustawy skutkuje sankcjami – grozi m.in. nałożeniem na instytucję obowiązaną kary administracyjnej, która może przybierać formę:

• publikacji informacji o instytucji obowiązanej oraz zakresie naruszenia przepisów w BIP,
• nakazania zaprzestania podejmowania określonych czynności,
• cofnięcia koncesji lub zezwolenia albo wykreślenia z rejestru działalności regulowanej,
• zakazu pełnienia obowiązków na stanowisku kierowniczym,
• kary pieniężnej.

Czasem może pojawić się również odpowiedzialność karna. Dotyczy to głównie nieprzekazania potrzebnych informacji Generalnemu Inspektorowi Informacji Finansowej lub przekazania danych nieprawdziwych, a także przypadków utrudniania i uniemożliwiania kontroli.

Wdrożenie zewnętrznego audytu AML jest więc szansą na dopasowanie modelu działania instytucji obowiązanej do wiążących przepisów. Stanowi niezwykle korzystne rozwiązanie – zwłaszcza gdy weźmiemy pod uwagę możliwość wszczęcia kontroli przez organ uprawniony i ryzyko nałożenia dotkliwych sankcji.

Dlatego gdy nie jesteś pewny, czy Twoja firma jest instytucją obowiązaną według ustawy AML i nie wiesz, jakie wymagania powinna spełnić, skorzystaj z audytu i już teraz zabezpiecz swoje interesy.

Podstawa prawna:
- Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu - tekst jednolity: Dz.U. z 2022 r. poz. 593.
- Dyrektywa Parlamentu Europejskiego i Rady (UE) 2015/849 z dnia 20 maja 2015 r. w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu, zmieniająca rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 648/2012 i uchylająca dyrektywę Parlamentu Europejskiego i Rady 2005/60/WE oraz dyrektywę Komisji 2006/70/WE.

Kamila Wasilewska, Kancelaria Prawna RPMS Staniszewski & Wspólnicy