Ocena ryzyka według ustawy AML. Co powinno się w niej znaleźć?

W ustawie o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (AML) znajduje się informacja o obowiązku formułowania oceny ryzyka instytucji obowiązanej. Wymóg ten wynika z artykułu 27 ustawy o AML. Określono w nim również, że oprócz określenia ryzyka, instytucja obowiązana musi wyznaczyć środki niezbędne do zapobiegania praniu pieniędzy i finansowaniu terroryzmu. Głównym celem tego wymogu jest uświadomienie ekspozycji danego podmiotu na pewne niebezpieczeństwa oraz określenie ewentualnych zagrożeń.

Definicja oceny ryzyka według ustawy AML

Ocena ryzyka to punkt wyjścia dla procedur AML (Anti-Money Laundering)/CFT (Counter-Financing of Terrorism). Wpływa bezpośrednio na ich właściwe tworzenie i działanie. Z tego względu podczas sporządzania oceny ryzyka nie można popełnić błędów, gdyż może mieć to poważne konsekwencje. Największą z nich są bez wątpienia wysokie kary pieniężne, nakładane przez organy kontrolne.

Do formułowania oceny ryzyka zostały zobligowane głównie tzw. instytucje obowiązane – określone w ten sposób ze względu na rodzaj działalności. Wśród nich wymienia się maklerów, firmy ubezpieczeniowe, banki, firmy inwestycyjne, kantory, czy podmioty świadczące doradztwo podatkowe. Oprócz tego w tej kategorii znajdują się też adwokaci, radcy prawni i notariusze w zakresie, w jakim biorą udział np. w zakładaniu rachunków bankowych czy handlu nieruchomościami. Ponadto do przestrzegania postanowień ustawy AML są zobowiązane też inne podmioty takie jak fundacje, stowarzyszenia i przedsiębiorcy uczestniczący w transakcji gotówkowej o wartości większej lub równej 10 tysięcy euro.

Urząd Komisji Nadzoru Finansowej wydał stanowisko 15 kwietnia 2020 roku odnośnie prawidłowego sposobu tworzenia oceny ryzyka. Przedstawił też dobre praktyki w tym zakresie. Stanowisko było skierowane przede wszystkim do podmiotów pod nadzorem KNF (rynku kapitałowego, emerytalnego, ubezpieczeniowego, członków sektora bankowego i kas spółdzielczych), ale dostępne w nim informacje można odnieść do wszystkich instytucji obowiązanych.

Podstawowe czynniki ryzyka

Międzynarodowy standard określa pięć kluczowych wskaźników ryzyka o nazwie Key Risk Indicators. Powinny być brane pod uwagę w procesie oceny. Będą to:

1. Typ, wielkość i złożoność biznesu.
2. Oferowane produkty i usługi.
3. Rodzaje klientów i relacje do nich – B2B, B2C.
4. Metody przyjmowania nowych klientów i komunikacji z obecnymi.
5. Ryzyka geograficzne.

Podobny katalog znajduje się w krajowym akcie prawnym i to właśnie tym dokumentem powinni kierować się polscy przedsiębiorcy. Mimo to warto uwzględnić również elementy zawarte w Key Risk Indicators.

W art. 27 ust. 1 dyrektywy krajowej wymienia się czynniki związane z: klientami, państwami lub obszarami geograficznymi, produktami/usługami/transakcjami, bądź kanałami ich dostaw. Każdy z wymienionych czynników to główna kategoria, wedle której należy dokonywać oceny. Każda z nich zawiera też różne zmienne, które są uzależnione od rodzaju działalności. Pozwalają one na dokładniejsze zdefiniowanie ryzyka. Wedle KNF w ocenie trzeba uwzględnić także:

• Stosowane przez podmiot narzędzia i systemy informatyczne,
• Skuteczność systemu szkoleń w zakresie AML/CFT,
• Poziom uzależnienia od dostawców zewnętrznych,
• Outsourcing procesów związanych z AML/CFT,
• Możliwość zapewnienia ciągłości działania procesów AML/CFT w przypadku wystąpienia sytuacji kryzysowych,
• Adekwatność struktury organizacyjnej oraz liczby pracowników odpowiedzialnych za wykonywanie obowiązków AML/CFT w stosunku do zidentyfikowanego ryzyka,
• Skalę rotacji pracowników oraz kierownictwa jednostek odpowiedzialnych za procesy AML/CFT,
• Efektywność systemu kontroli wewnętrznej i jego adekwatność w stosunku do wielkości instytucji obowiązanej,
• Planowane zmiany w działalności biznesowej/strukturze organizacyjnej,
• Istotne zmiany w otoczeniu prawnym związane z przeciwdziałaniem praniu pieniędzy i finansowaniem terroryzmu.

Poza stosowaniem się do powyższych wskazówek, warto zasięgnąć też innych źródeł, np. Krajowej Oceny Ryzyka oraz Ponadnarodowej Oceny Ryzyka, o których wspomina dyrektywa AML. Ten drugi dokument to sprawozdanie tworzone przez Komisję Europejską służące regulacji ogólnego systemu AML. Opr&oa...