W wielu biurach rachunkowych AML istnieje przede wszystkim w segregatorze lub w kilku plikach zapisanych na dysku. Jest procedura, certyfikat ukończenia szkolenia i zestaw formularzy. Problem pojawia się jednak wtedy, gdy trzeba odpowiedzieć na konkretne pytania: kto zweryfikował klienta, jak ustalono jego beneficjenta rzeczywistego, dlaczego nadano mu określony poziom ryzyka i jak biuro zareagowało na nietypową informację lub transakcję. Komunikat nr 114 Generalnego Inspektora Informacji Finansowej, skierowany m.in. do podmiotów prowadzących usługowo księgi rachunkowe oraz przedsiębiorców prowadzących księgi podatkowe i sporządzających deklaracje, pokazuje, że samo posiadanie dokumentów nie wystarcza. Liczy się rzeczywiste działanie według procedury oraz możliwość odtworzenia toku podejmowanych decyzji.
Które biura rachunkowe są instytucjami obowiązanymi?
Ustawa AML obejmuje podmioty prowadzące działalność w zakresie usługowego prowadzenia ksiąg rachunkowych. Obejmuje również przedsiębiorców, których podstawową działalnością jest m.in. prowadzenie ksiąg podatkowych, sporządzanie deklaracji oraz udzielanie określonych porad lub wyjaśnień z zakresu prawa podatkowego lub celnego.
Nieprecyzyjne jest zatem stwierdzenie, że ustawa dotyczy każdego, kto po prostu obsługuje przedsiębiorców. Znaczenie ma rzeczywisty zakres i podstawowy charakter świadczonych usług. W typowym biurze rachunkowym warto to ustalić na samym początku, ponieważ od statusu instytucji obowiązanej zależy cały dalszy zakres działań.
Dwa rodzaje oceny ryzyka w biurze rachunkowym
Jednym z najczęstszych błędów jest traktowanie oceny ryzyka jako pojedynczej ankiety wypełnianej przy przyjmowaniu klienta. Ustawa wymaga tymczasem działania na dwóch poziomach.
Pierwszy to ogólna ocena ryzyka instytucji obowiązanej. Dotyczy ona całego biura: rodzaju obsługiwanych klientów, branż, państw, oferowanych usług, sposobu nawiązywania współpracy czy wykorzystywanych kanałów komunikacji. Ocena powinna odpowiadać rzeczywistej skali i charakterowi działalności oraz być aktualizowana w razie potrzeby, nie rzadziej niż raz na dwa lata.
Drugi poziom to indywidualna ocena ryzyka konkretnego klienta i relacji z nim. Powinna uwzględniać między innymi rodzaj klienta, obszary geograficzne jego działalności, profil produktów lub usług, wartość i charakter operacji oraz cel i przewidywany sposób współpracy.
GIIF wyraźnie ostrzega przed wykorzystywaniem uniwersalnych wzorów ogólnych ocen ryzyka bez dokładnego dostosowania ich do konkretnej działalności. Dokument pobrany z internetu lub kupiony w gotowym pakiecie może być punktem wyjścia, ale nie zastąpi rzeczywistej analizy biura.
Co powinno wydarzyć się przy zawieraniu nowej relacji z klientem?
Prawidłowy proces AML dla biur rachunkowych powinien obejmować co najmniej:
- Identyfikację i weryfikację klienta oraz osoby działającej w jego imieniu, w tym sprawdzenie umocowania reprezentanta.
- Ustalenie beneficjenta rzeczywistego oraz struktury własności i kontroli. W przypadku spółki nie można zakończyć tej czynności na bezrefleksyjnym przepisaniu danych z CRBR. Ustawa wprost zabrania polegania wyłącznie na tym rejestrze.
- Ustalenie celu i zamierzonego charakteru współpracy. Biuro powinno wiedzieć, czym zajmuje się klient, z jakich usług będzie korzystał, na jaką skalę działa i jakie cechy jego aktywności można uznać za typowe.
- Sprawdzenie klienta i beneficjenta rzeczywistego pod kątem PEP i sankcji. Status osoby zajmującej eksponowane stanowisko polityczne wymaga zastosowania odpowiednich procedur opartych na ryzyku. Każda instytucja obowiązana powinna również stosować wymagane środki ograniczające wobec podmiotów objętych sankcjami.
- Przypisanie i uzasadnienie poziomu ryzyka. Samo oznaczenie „niskie”, „standardowe” lub „wysokie” nie wystarcza. Musi być możliwe odtworzenie, jakie czynniki wpłynęły na wynik.
- Określenie dalszego sposobu monitorowania. Częstotliwość aktualizacji danych oraz intensywność stosowanych środków powinny wynikać z poziomu ryzyka.
Monitoring bieżący
Bieżące monitorowanie nie powinno być rozumiane jako mechaniczne podejrzewanie wszystkich przedsiębiorców ani jako produkowanie setek bezużytecznych alertów. Nie oznacza jednak również, że po przyjęciu klienta można odłożyć jego dokumentację na kilka lat.
Biuro powinno porównywać informacje uzyskane podczas obsługi z wcześniej ustalonym profilem klienta. Znaczenie mogą mieć na przykład:
● nagły i niewyjaśniony wzrost obrotów;
● nietypowe źródła przychodów;
● duża skala operacji gotówkowych;
● płatności na rzecz podmiotów, z którymi klient nie ma widocznego związku gospodarczego;
● nieprawidłowości związane z mechanizmem podzielonej płatności;
● zmiana właścicieli, reprezentantów albo beneficjenta rzeczywistego;
● nowe powiązania z państwami podwyższonego ryzyka;
● pojawienie się klienta lub powiązanej osoby na liście sankcyjnej albo PEP.
Pojawienie się takiego sygnału nie oznacza automatycznie, że doszło do przestępstwa. Oznacza natomiast konieczność dokonania analizy, uzyskania wyjaśnień, ewentualnego aktualizowania oceny ryzyka i udokumentowania podjętej decyzji.
Ustawa nie wskazuje, że każde biuro ma stosować konkretny program, importować co miesiąc wszystkie pliki JPK albo kontrolować każdą fakturę ręcznie. Aktualne stanowisko GIIF nie pozostawia jednak wątpliwości, że informacje i transakcje poznawane w ramach prowadzenia ksiąg nie mogą pozostawać całkowicie oderwane od procesu AML.
Nie każdy duży przelew podlega automatycznemu zgłoszeniu
Biura rachunkowe często obawiają się, że muszą zgłaszać do GIIF każdy przelew klienta przekraczający równowartość 15 tys. euro. Komunikat nr 114 wyjaśnia, że typowe biuro rachunkowe nie wykonuje transferów środków pieniężnych jako dostawca usług płatniczych i co do zasady nie jest zobowiązane do raportowania takich transakcji ponadprogowych tylko dlatego, że posiada o nich wiedzę.
Inaczej wygląda sytuacja, gdy posiadane informacje uzasadniają podejrzenie, że określona transakcja lub wartości majątkowe mogą mieć związek z praniem pieniędzy, finansowaniem terroryzmu albo przestępstwem źródłowym. Wtedy należy przeprowadzić analizę i rozważyć przekazanie odpowiedniego zawiadomienia do GIIF.
Dokumenty muszą odzwierciedlać rzeczywisty proces
Biuro powinno wyznaczyć osobę odpowiedzialną za wykonywanie obowiązków AML. W przypadku działalności jednoosobowej zadania te wykonuje sam przedsiębiorca. W większej organizacji odpowiedzialność, uprawnienia i obieg informacji powinny zostać jasno określone.
Wewnętrzna procedura musi być dopasowana do charakteru, rodzaju i rozmiaru działalności oraz podlegać bieżącej weryfikacji. Konieczne jest także zapewnienie odpowiednich szkoleń, udokumentowanie ich przeprowadzenia oraz wdrożenie procedury anonimowego zgłaszania naruszeń. Dokumentację i wyniki analiz przechowuje się zasadniczo przez pięć lat.
W praktyce podczas kontroli warto być przygotowanym nie tylko na pokazanie procedury, lecz także na odtworzenie historii konkretnego klienta: źródeł wykorzystanych przy weryfikacji, wyników sprawdzeń, oceny ryzyka, późniejszych aktualizacji oraz reakcji na zauważone nieprawidłowości.
Co warto automatyzować?
Technologia najlepiej sprawdza się tam, gdzie zastępuje powtarzalne czynności, a nie profesjonalny osąd człowieka. W biurze rachunkowym warto automatyzować przede wszystkim:
● pobieranie i porównywanie danych z rejestrów;
● weryfikację PEP i list sankcyjnych;
● prowadzenie jednego profilu klienta;
● przygotowywanie raportów i historii sprawdzeń;
● zapisywanie uzasadnienia oceny ryzyka;
● zarządzanie wersjami dokumentów;
● przypominanie o aktualizacjach;
● przygotowanie dokumentacji do kontroli.
Ostateczna ocena ryzyka, decyzja o zastosowanych środkach oraz ocena nietypowej transakcji nadal należą do biura. Korzystanie z zewnętrznego systemu nie zwalnia instytucji obowiązanej z odpowiedzialności.
Jeden proces zamiast arkuszy, e-maili i segregatorów
SystemAML.pl – został zaprojektowany tak, aby połączyć najważniejsze etapy procesu w jednym środowisku. Umożliwia tworzenie profili klientów, sprawdzanie danych w CRBR, KRS, CEIDG, VIES, bazach PEP i na listach sankcyjnych, przeprowadzanie oceny ryzyka oraz zachowywanie wyników i historii działań.
System wspiera również prowadzenie dokumentacji, raportów, rejestrów i procedur. Nie zastępuje osoby odpowiedzialnej za AML, lecz ogranicza pracę polegającą na wielokrotnym przepisywaniu danych, przeszukiwaniu różnych źródeł i kompletowaniu rozproszonych dokumentów.
Najprostszym sposobem oceny własnego procesu jest wybranie jednego rzeczywistego klienta i próba odtworzenia całej ścieżki: identyfikacji, beneficjenta rzeczywistego, sprawdzenia PEP i sankcji, uzasadnienia oceny ryzyka, aktualizacji danych oraz wykonanych analiz. Jeżeli wymaga to przeszukiwania skrzynki e-mailowej, kilku arkuszy i papierowych teczek, proces nie jest wystarczająco kontrolowany.
Konto podstawowe w SystemAML.pl jest bezpłatne, dlatego taki test można przeprowadzić bez zobowiązań.
Dobre AML nie polega na tworzeniu maksymalnej liczby dokumentów. Polega na tym, aby biuro potrafiło wykazać, co sprawdziło, na jakiej podstawie podjęło decyzję i jak zareagowało, gdy pojawił się sygnał ostrzegawczy. Przy rosnącej liczbie klientów nie jest to zbędna biurokracja, lecz element elementarnego porządku operacyjnego.
Materiał sponsorowany