AML – Najczęstsze błędy przy wdrażaniu ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu

Wprowadzenie do obowiązków AML

Kogo dotyczy ustawa AML?

Ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, znana także jako ustawa AML, określa katalog instytucji, które mają obowiązki związane z bezpieczeństwem finansowym. Pojęcie „instytucja obowiązana” odnosi się do podmiotów, które prowadzą działalność mogącą ułatwiać pranie pieniędzy lub finansowanie terroryzmu.

Zgodnie z art. 2 ust. 1 pkt 15 i 16 ustawy AML, są to m.in. biura rachunkowe oraz biura wirtualne. Biura rachunkowe, obsługując osoby fizyczne i przedsiębiorstwa, mogą nieświadomie uczestniczyć w procesach maskujących pochodzenie środków pieniężnych. Biura wirtualne natomiast zapewniają adresy i obsługę korespondencji, co bywa wykorzystywane przez podmioty zakładane w celu ukrywania rzeczywistej działalności. Dlatego ustawodawca nałożył na nie obowiązki AML.

Cel przepisów AML i odpowiedzialność karna

Celem regulacji AML jest ochrona systemu finansowego Rzeczypospolitej Polskiej przed wykorzystaniem do prania pieniędzy i finansowania terroryzmu. Przepisy mają zapobiegać wprowadzaniu brudnych pieniędzy do legalnego obrotu i zwiększać transparentność działań uczestników rynku.

Z perspektywy prawnej naruszenie ustawy AML może nieść poważne konsekwencje. Art. 147–153 ustawy AML przewidują administracyjne kary finansowe sięgające nawet 21 mln zł. Odpowiedzialność karna może także wynikać z Kodeksu karnego skarbowego oraz samej ustawy AML. Organy ścigania, Generalny Inspektor Informacji Finansowej (GIIF) oraz Narodowy Bank Polski współpracują w celu egzekwowania zgodności.

Najczęstsze błędy przy wdrażaniu ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu w praktyce

Brak wdrożonej procedury wewnętrznej AML

Art. 50 ustawy AML nakłada obowiązek opracowania procedury wewnętrznej, która powinna określać zasady identyfikacji klienta, stosowania środków bezpieczeństwa finansowego, analizy ryzyka oraz zgłaszania podejrzanych transakcji do GIIF. W praktyce wiele biur rachunkowych korzysta z gotowych wzorów znalezionych w internecie. Takie rozwiązanie może polegać na powierzchownej formalności i nie uwzględnia specyfiki działalności danego podmiotu.

Brak lub nieprawidłowa ocena ryzyka

Art. 27 ustawy AML wskazuje, że każda instytucja obowiązana musi przeprowadzać ocenę ryzyka. Częstym błędem jest brak dokumentacji potwierdzającej analizę albo posługiwanie się uniwersalnym szablonem. W efekcie nie dochodzi do faktycznej klasyfikacji klientów i oceny ryzyka prania pieniędzy lub finansowania terroryzmu.

Niewłaściwa identyfikacja beneficjenta rzeczywistego

Instytucje obowiązane powinny dokładnie sprawdzić, kto jest beneficjentem rzeczywistym. Problemy pojawiają się zwłaszcza przy spółkach zagranicznych i strukturach wielopoziomowych. Błędem jest bezrefleksyjne uznawanie osoby wpisanej do CRBR za beneficjenta bez weryfikacji dokumentów źródłowych. Takie działanie może narazić instytucję na zarzut braku staranności w stosowaniu środków bezpieczeństwa finansowego.

Brak rejestru transakcji i zgłoszeń

Art. 8 ustawy AML nakłada obowiązek dokumentowania wszelkich działań – od identyfikacji klienta, przez wyniki analizy ryzyka, po zgłoszenia do GIIF. Błędem jest brak centralnego rejestru dokumentów AML, co utrudnia kontrolę i naraża podmiot na sankcje.

Brak szkolenia pracowników

Art. 52 ustawy AML wymaga, aby pracownicy instytucji obowiązanej mieli zapewnione szkolenia. Częstym uchybieniem jest brak potwierdzenia udziału w szkoleniu, prowadzenie go wyłącznie w formie instrukcji mailowej lub brak egzaminu sprawdzającego wiedzę. Brak odpowiedniego przygotowania zespołu zwiększa ryzyko naruszenia przepisów ustawy.

Szczególne wyzwania dla biur rachunkowych i wirtualnych

Obsługa klientów z wysokim ryzykiem (PEP, klienci spoza EOG)

Art. 35–37 ustawy AML nakłada szczególne wymogi wobec klientów o podwyższonym ryzyku, takich jak osoby zajmujące eksponowane stanowiska polityczne (PEP), klienci spoza EOG czy podmioty działające w rajach podatkowych. Błędy w obsłudze tej grupy klientów mogą prowadzić do poważnych naruszeń i sankcji.

Identyfikacja klientów w modelu zdalnym

Biura wirtualne często działają w modelu online, co rodzi problemy przy weryfikacji tożsamości klientów. Art. 34 ust. 5 pkt 2 AML wskazuje dopuszczalne metody, jak wideoweryfikacja czy wykorzystanie narzędzi zaufanych. Częstym błędem jest przyjmowanie skanów dokumentów bez faktycznej weryfikacji danych. To istotne ryzyko naruszenia przepisów AML.

Outsourcing a odpowiedzialność

Zlecenie obsługi AML firmie zewnętrznej nie zwalnia instytucji obowiązanej z odpowiedzialności – wynika to z art. 6 AML. Częstym błędem jest brak monitoringu działań podmiotu zewnętrznego czy brak audytów zgodności. Outsourcing może wspierać, ale nie zastąpi odpowiedzialności zarządu.

Kontrola GIIF i postępowanie sprawdzające

Jak wygląda kontrola GIIF?

Generalny Inspektor Informacji Finansowej ma szerokie uprawnienia kontrolne. Kontrole najczęściej rozpoczynają się po sygnale z banku lub KNF. GIIF sprawdza m.in. procedury AML, rejestry transakcji, dokumentację oceny ryzyka i dowody identyfikacji klientów. Instytucja obowiązana musi przedstawić wszystkie żądane dokumenty.

Jakie są najczęstsze uchybienia wskazywane przez GIIF?

Raporty GIIF oraz praktyka kancelarii pokazują, że najczęstsze błędy to brak procedury AML, brak dokumentacji oceny ryzyka oraz brak zgłoszeń do CRBR. Warto sprawdzić oficjalne raporty GIIF: Sprawozdania roczne z działalności Generalnego Inspektora Informacji Finansowej – Ministerstwo Finansów – Portal Gov.pl

Dobre praktyki i rekomendacje

Szablony dostosowane do rodzaju działalności

Procedura AML powinna być opracowana indywidualnie, z uwzględnieniem charakteru usług, typów klientów i zakresu prowadzonej działalności. Uniwersalne wzory nie oddają realnych ryzyk i nie chronią instytucji przed zarzutami.

Regularna aktualizacja dokumentów

Ocena ryzyka i procedury AML powinny być aktualizowane co najmniej raz w roku albo po każdej istotnej zmianie w działalności lub prawie. Tylko w ten sposób można zapewnić pełną zgodność z ustawą z dnia 1 marca 2018 r., wdrażającą dyrektywę Parlamentu Europejskiego i Rady UE.

Wewnętrzna kontrola i audyt

Dobrym standardem jest coroczna kontrola wewnętrzna, audyt zgodności z procedurami AML oraz przygotowanie raportu dla kierownictwa biura. Taki proces pozwala sprawdzić, czy procedury są stosowane i skutecznie zapobiegają ryzyku prania pieniędzy.

Podsumowanie i checklista dla biura

Lista kontrolna zgodności z AML

Aby zapewnić pełną zgodność z ustawą AML, biura rachunkowe i wirtualne powinny sprawdzić:

• Czy posiadamy podpisaną i dostosowaną procedurę AML?
• Czy dokumentujemy identyfikację beneficjenta rzeczywistego?
• Czy mamy udokumentowaną ocenę ryzyka?
• Czy pracownicy odbyli szkolenia i jest na to dowód?

Ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu wymaga systematycznej pracy, regularnej aktualizacji dokumentów i świadomego podejścia do ryzyka. Dzięki temu instytucje obowiązane mogą skutecznie zapobiegać nadużyciom i chronić bezpieczeństwo finansowe swoich klientów oraz własnej działalności.