12 błędów w procesach AML instytucji obowiązanych i jak ich uniknąć

Działania podejmowane przez instytucje obowiązane w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu są kontrolowane przez wyznaczone do tego organy – m.in. Generalny Inspektor Informacji Finansowej (GIIF). Z doniesień medialnych oraz ze sprawozdań GIIF wynika, że podczas przeprowadzanych kontroli na jaw wychodzą słabości i uchybienia w procesach AML, które w najlepszym wypadku mogą zakończyć się zaleceniami pokontrolnymi, a w najgorszym – karami administracyjnymi, w tym finansowymi, a także sankcjami karnymi i utratą reputacji.

Analizując błędy popełniane przez instytucje obowiązane w ich działaniach AML, często okazuje się, że wiele uchybień nie wynika ze świadomej chęci ominięcia przepisów, ale z braku wiedzy, nieumiejętnego wdrażania obowiązków lub zwykłych zaniedbań. W tym artykule wskażemy 12 błędów w procesach AML, które osłabiają skuteczność firmowego systemu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, a także wyjaśnimy, jak można ich uniknąć, zanim stanie się to problemem np. podczas wizyty inspektorów GIIF.

Kluczowe tematy omawiane w tym artykule:

• Błędy związane z oceną ryzyka AML w odniesieniu do organizacji i klienta.
• Błędy w zakresie stosowania środków bezpieczeństwa finansowego.
• Błędy odnoszące się do obowiązku prowadzenia dokumentacji AML.
• Praktyczne rekomendacje obejmujące dobre praktyki i zalecenia prawne.

1. Niedostosowanie procesów AML do skali i profilu działalności

Zdarza się, że mała instytucja obowiązana wdraża rozbudowany, kosztowny system AML przeznaczony dla dużych podmiotów, niepotrzebnie inwestując czas i pieniądze. Bywa też odwrotnie, duże przedsiębiorstwa korzystają czasem z prostych narzędzi i angażują swój personel w wiele ręcznych działań obarczonych błędami pracy manualnej i czasochłonnych. W efekcie procesy są albo niewydolne, albo nieopłacalne.

Problemem może okazać się również brak dostosowania procesów AML do specyfiki konkretnej branży, typu realizowanych transakcji i nawiązywanych stosunków gospodarczych, charakterystyki obsługiwanych klientów czy rozwiązań używanych do dostarczania produktów i usług. Ten problem najczęściej występuje, gdy instytucja obowiązana wdraża dokumentację ze wzoru niedostosowanego do specyfiki jej działalności.

W procesach AML kluczowe jest zastosowanie zasady proporcjonalności i podejścia opartego na ryzyku, czyli podejmowane działania powinny wynikać z dobrze przeprowadzonej oceny ryzyka, na podstawie której organizacja określa ryzyka wynikające z procesów, zasobów lub systemów, a następnie buduje spójny system działań. Firmowy system AML musi być adekwatny m.in. do liczby i typu klientów, rodzaju produktów i usług, geograficznego zasięgu działalności czy poziomu ryzyka zidentyfikowanego dla danego rynku. Równie istotne jest, aby przyjęte rozwiązania nie były jedynie formalnym wypełnieniem wymogów ustawowych, ale realnie wspierały skuteczne zarządzanie ryzykiem oraz zapewniały spójność i skuteczność działań w całej organizacji.

2. Brak rozróżnienia oceny ryzyka AML dla organizacji i dla klienta

Innym błędem popełnianym przez instytucje obowiązane jest mylenie lub nieumiejętność rozdzielenia oceny ryzyka AML odnoszącej się do całej organizacji z oceną ryzyka AML dotyczącą konkretnego klienta. Gdy podmioty próbują stosować te same kryteria i narzędzia zarówno do ryzyka instytucjonalnego, jak i indywidualnego, może to prowadzić do nieprawidłowych wniosków i działań. Ale dodatkowo powoduje też brak prawidłowego wypełnienia obowiązków AML, co może nieść konsekwencje w razie kontroli GIIF.

Ryzyko organizacyjne obejmuje szerokie spektrum czynników takich jak profil działalności, struktura organizacyjna, kanały dystrybucji czy obszary geograficzne. Z kolei ocena ryzyka klienta dotyczy przede wszystkim jego tożsamości, zachowań transakcyjnych czy charakteru relacji gospodarczej.

Warto zwrócić uwagę na to, że polska ustawa AML rozdziela te dwa obszary – art. 27 reguluje obowiązek sporządzenia oceny ryzyka dla organizacji, natomiast art. 33 odnosi się do sporządzania oceny ryzyka klienta. Prawidłowe rozdzielenie tych dwóch obszarów jest kluczowe, aby zapewnić zgodność z przepisami oraz adekwatność stosowanych środków bezpieczeństwa finansowego. Instytucje, które mają wątpliwości co do konstrukcji wymaganej dokumentacji, mogą skorzystać ze wsparcia specjalistów. W iAML pomagamy przygotować kompleksową ocenę ryzyka AML dla organizacji, procedurę AML oraz praktyczne wskazówki dotyczące realizacji procesu KYC. Dzięki temu instytucje mogą sprawniej i bezpieczniej wypełniać swoje obowiązki ustawowe.

3. Grupowanie klientów w procesie identyfikacji i oceny ryzyka klienta

Jednym z poważnych błędów popełnianych przez instytucje obowiązane jest dokonywanie oceny ryzyka AML nie dla pojedynczego klienta, lecz dla wszystkich klientów razem albo dla całych grup lub segmentów klienckich. Zamiast analizować konkretne podmioty – pojedynczą firmę, instytucję czy osobę fizyczną – organizacje czasem stosują uogólnione kategorie, takie jak „wszyscy pośrednicy nieruchomości”, „wszyscy klienci instytucjonalni” czy “klienci zagraniczni”. Takie grupowanie może w konsekwencji przełożyć się na uznanie, że dana grupa, niosąca zbyt duże ryzyko, nie może być klientem instytucji obowiązanej, co w konsekwencji prowadzi do bardzo niebezpiecznego zjawiska – de-riskingu.

Jest to błąd zarówno z perspektywy prawnej, jak i praktycznej. Ustawa AML jednoznacznie wymaga przeprowadzania oceny ryzyka dla konkretnego klienta, a nie dla grupy czy segmentu. Grupowa analiza upraszcza proces w sposób, który może prowadzić do błędnych wniosków i stosowania niewłaściwych środków bezpieczeństwa finansowego – niewystarczających lub nadmiernych. Każdy klient ma inny profil ryzyka, wynikający z jego indywidualnych działań, struktury, źródeł finansowania czy charakteru relacji gospodarczej. W praktyce takie uogólnienia osłabiają system AML, ale też narażają instytucję obowiązaną na kary i sankcje w razie kontroli, ze względu na brak zastosowania ustawowych środków bezpieczeństwa finansowego zgodnie z wymaganiami ustawy AML. Wspomniany de-risking jest oceniany w tych samych kategoriach – organy regulujące, widząc taką praktykę w instytucji obowiązanej, mogą potraktować tę sytuację tak, jakby instytucja obowiązana nie zastosowała środków bezpieczeństwa finansowego, co naraża instytucję na karę pieniężną.

4. Brak aktualizacji oceny ryzyka AML dla indywidualnego klienta

Instytucje obowiązane często dokonują oceny ryzyka klienta tylko na etapie rozpoczynania z nim współpracy. Zapominają o tym, że przy kolejnych transakcjach lub w trakcie trwania stosunków gospodarczych sytuacja może się zmienić – ryzyko może zmniejszyć lub zwiększyć się, powodując tym samym konieczność zastosowania innych środków bezpieczeństwa finansowego niż na początku relacji. Innym błędem jest brak uwzględnienia w ocenie klienta wniosków płynących z analizy ryzyka przeprowadzonej dla całej organizacji. W efekcie profile ryzyka klientów tracą aktualność, a podejmowane działania przestają odpowiadać rzeczywistemu poziomowi zagrożenia.

Dokonywanie oceny ryzyka klienta powinno być ciągłym procesem, aktualizowanym przy każdej zmianie danych, transakcji lub działalności. Warto też opracować procedurę automatycznej aktualizacji klasy ryzyka po zastosowaniu środków bezpieczeństwa finansowego – np. po sprawdzeniu źródeł finansowania oraz beneficjentów rzeczywistych. Taki systematyczny model pracy pozwala na bieżąco identyfikować odstępstwa od założonego profilu i zapobiegać realizacji transakcji o podwyższonym ryzyku.

5. Ignorowanie ryzyk branżowych, geograficznych i produktowych

Wiele instytucji obowiązanych ma problem z dokonaniem oceny ryzyka AML dla organizacji w odniesieniu do swojej branży, obsługiwanych krajów czy oferowanych produktów i usług. Brak niezbędnej wiedzy, brak znajomości źródeł i brak dostępnych danych prowadzą do tego, że organizacje czasem przyjmują zbyt ogólne założenia lub stosują jeden wzór do wszystkich rynków. Powiązanym błędem jest nieuwzględnianie zagrożeń branżowych, geograficznych i produktowych podczas przeprowadzania oceny ryzyka AML w odniesieniu do konkretnego klienta, czyli przy weryfikacji w ramach procesu KYC.

Ocenę ryzyka AML pod kątem branż, krajów czy produktów – zarówno dla całej organizacji, jak i w stosunku do indywidualnego klienta – można przygotować z uwzględnieniem publicznie dostępnych analiz i publikacji. Warto sięgnąć np. po krajowe oceny ryzyka AML, sprawozdania roczne oraz komunikaty GIIF oraz raporty instytucji takich jak Grupa Specjalna ds. Przeciwdziałania Praniu Pieniędzy (Financial Action Task Force, FATF), Grupa Egmont, Grupa Wolfsberg czy Europejski Urząd Nadzoru Bankowego (European Banking Authority, EBA). Przy weryfikacji klientów pomocne mogą być też Listy Restrykcyjne iAML – narzędzie do sprawdzania podmiotów i osób m.in. na liście PKD podwyższonego ryzyka, liście krajów podwyższonego ryzyka, liście ostrzeżeń publicznych Komisji Nadzoru Finansowego (KNF) czy liście ostrzeżeń publicznych EURO-BOZON.

6. Traktowanie dokumentacji AML jako obciążenia, a nie wsparcia

Jednym z częstych błędów w obszarze AML jest postrzeganie dokumentacji – procedur, polityk i formularzy – jako biurokratycznego i prawnego obowiązku, który trzeba odhaczyć, zamiast jako realnego narzędzia wspierającego codzienną pracę i ograniczającego ryzyko. W rezultacie wiele firm tworzy dokumenty zbyt ogólne, które nie mają dużej wartości praktycznej, albo przeciwnie – nadmiernie rozbudowane, pełne niepotrzebnych formalizmów, przez co pracownicy nie są w stanie ich skutecznie stosować.

Dokumentacja AML – w tym procedura wewnętrzna AML oraz procedura zgłoszeń sygnalistów – powinna być precyzyjna, ale elastyczna, tak aby odzwierciedlała faktyczną specyfikę działalności firmy, jej strukturę organizacyjną, typy klientów oraz skalę i charakter ryzyka. Zbyt szczegółowe procedury często prowadzą do paraliżu operacyjnego, podczas gdy zbyt ogólne – do braku odpowiedzialności i niespójnych decyzji. Dla wielu organizacji dobrym rozwiązaniem może być wsparcie zewnętrznych ekspertów AML, którzy dokonają audytu AML, a następnie opracują, poprawią lub zaktualizują dokumenty – spójne z profilem ryzyka, wymogami prawnymi oraz realnymi procesami operacyjnymi. Tak przygotowana dokumentacja nie tylko minimalizuje ryzyko błędów, ale też realnie ułatwia codzienną pracę.

7. Braki w procesie KYC klientów i beneficjentów rzeczywistych

Zdarza się, że choć instytucja obowiązana prawidłowo przeprowadza proces identyfikacji i weryfikacji klienta i beneficjenta rzeczywistego, to jednak nie dokumentuje tego w sposób kompletny i spójny z procedurami wewnętrznymi. Brakuje dat, źródeł weryfikacji lub informacji, kto wykonał daną czynność. Ponadto, w strukturach o złożonej własności, zwłaszcza międzynarodowych, często analizowana jest tylko pierwsza warstwa właścicielska, a pomijane są powiązania pośrednie i rzeczywisty wpływ poszczególnych osób na działalność klienta. Zdarza się także, że organizacja nie weryfikuje należycie pełnomocnictw i umocowania osób reprezentujących klienta, co może prowadzić do akceptowania działań osób nieuprawnionych.

Proces identyfikacji i weryfikacji powinien być całkowicie udokumentowany – w formie elektronicznej lub papierowej – z oznaczeniem osoby przeprowadzającej proces, daty, źródeł danych oraz wyników sprawdzeń. Analiza beneficjentów rzeczywistych musi obejmować pełną ścieżkę właścicielską aż do osób fizycznych, z uwzględnieniem powiązań pośrednich, gospodarczych i osobowych. Każdy reprezentant klienta powinien być sprawdzony pod kątem prawidłowego umocowania, ewentualnych ograniczeń i występowania na listach PEP i RCA oraz listach sankcyjnych. Warto stosować zautomatyzowane systemy takie jak Listy Restrykcyjne iAML, które rejestrują historię czynności oraz dają możliwość pobierania wyników, co ułatwia wykazanie należytej staranności podczas kontroli.

8. Brak analizy celu oraz charakteru stosunków gospodarczych

Czasem problemem jest zbyt powierzchowna analiza celu współpracy – szczególnie gdy klient zmienia profil działalności, skalę operacji lub typ przepływów finansowych. Brak reakcji na takie zmiany może oznaczać przeoczenie sygnałów ostrzegawczych wskazujących na próbę obejścia systemu AML. Instytucje obowiązane zbyt często ograniczają się do złożenia przez klienta jednorazowego oświadczenia o celu współpracy, bez dokonania weryfikacji, czy rzeczywiste działania pozostają z tym dokumentem spójne. Powoduje to, że nietypowe transakcje – np. przelewy do nowych jurysdykcji wysokiego ryzyka czy zmiana źródeł finansowania – mogą pozostać niezauważone.

Każda instytucja obowiązana powinna w swoich procedurach i politykach zakładać proces ponownej weryfikacji celu i charakteru relacji w razie istotnych zmian w działalności klienta, jego strukturze właścicielskiej lub sposobie korzystania z produktów i usług. Analiza powinna obejmować porównanie transakcji z profilem klienta tworzonym przy rozpoczęciu współpracy, a także ocenę, czy zmiany są uzasadnione. W przypadku odstępstw należy dokumentować podjęte działania wyjaśniające, a w razie potrzeby zastosować dodatkowe środki bezpieczeństwa finansowego. Takie podejście pozwala utrzymać relację z klientem w granicach akceptowalnego ryzyka i stanowi dowód rzeczywistego stosowania podejścia opartego na ryzyku.

9. Niewłaściwe aktualizowanie i archiwizowanie dokumentów AML

Dane z procesu KYC i dokumenty potwierdzające identyfikację oraz weryfikację klientów i ich beneficjentów rzeczywistych bywają rozproszone między działami, czasem nie są wcale zapisywane lub drukowane albo są usuwane po krótkim czasie. A przecież brak pełnej historii utrudnia dowodzenie należytej staranności podczas kontroli. Ponadto część instytucji obowiązanych zapomina, że dokumentacja AML to nie tylko akta klientów, ale także procedury, polityki, rejestry, oceny ryzyka czy raporty z monitorowania transakcji i klientów – one również bywają zapominane, nieaktualizowane latami lub zbyt wcześnie wyrzucane.

Dokumenty AML muszą być przechowywane przez minimum 5 lat od dnia zakończenia stosunków gospodarczych z klientem lub od dnia przeprowadzania transakcji okazjonalnej – w sposób zapewniający integralność, poufność i możliwość odtworzenia decyzji. Warto więc korzystać z bezpiecznych repozytoriów elektronicznych z kontrolą dostępu, historią zmian i możliwością audytu. Równie istotne jest wdrożenie okresowych przeglądów i aktualizacji wszystkich elementów dokumentacji – od procedur wewnętrznych i oceny ryzyka organizacji, po dokumenty szkoleniowe. Tylko spójny, kompletny i aktualny zestaw dokumentów pozwala wykazać, że organizacja faktycznie stosuje podejście oparte na ryzyku i spełnia wymogi ustawy AML.

10. Brak regularnych szkoleń AML i potwierdzeń uczestnictwa

Jednym z częstych błędów w obszarze AML jest traktowanie szkoleń jako jednorazowej formalności lub pominięcie ich całkowicie w odniesieniu do części personelu, która jednak powinna być objęta tymi szkoleniami. Zdarza się też, że pracownicy, menedżerowie czy członkowie zarządu uczestniczą w programach szkoleniowych, które nie są zgodne z wymogami prawnymi, nie mają właściwego zakresu merytorycznego, nie są powtarzane, aby aktualizować wiedzę, albo dokumentacja na temat udziału tych osób jest niekompletna lub nieimienna.

Aby wypełnić obowiązek szkoleniowy, szkolenia muszą być nie tylko powtarzane, ale też odpowiednio zaprojektowane – muszą omawiać aspekty praktyczne i tematykę adekwatną do profilu działalności instytucji (w tym ochrony danych osobowych), być dokumentowane listą obecności, programem szkolenia, a najlepiej testem końcowym. Takie są właśnie szkolenia AML oferowane przez iAML – dostępne w formie online, zdalnej lub stacjonarnej. Warto zapoznać się też z komunikatem przygotowanym wspólnie przez GIIF, Urząd Komisji Nadzoru Finansowego (UKNF) i Narodowy Bank Polski (NBP), w którym zostały opisane szczegółowe zasady realizacji obowiązku szkoleniowego z zakresu AML.

11. Nieefektywne wykorzystanie systemów IT w procesach AML

W niektórych instytucjach obowiązanych procesy AML wciąż są realizowane w całości lub w części ręcznie – analitycy sprawdzają klientów w licznych zewnętrznych bazach, kopiują dane między systemami i ręcznie tworzą raporty. Takie podejście nie tylko znacząco wydłuża czas analizy, ale też zwiększa ryzyko błędów ludzkich oraz niespójności danych. Co więcej, nawet tam, gdzie wdrożono dedykowane systemy AML, często działają one w trybie domyślnym – bez dostosowania ustawień do specyfiki danej firmy, jej klientów oraz oferowanych produktów i usług. Błędem jest również brak integracji z innymi wewnętrznymi systemami, mimo że nowoczesne rozwiązania technologiczne umożliwiają taką współpracę poprzez API i większą automatyzację procesów.

Narzędzia AML powinny umożliwiać realizację wielu procesów w jednym miejscu, dostosowywać ustawienia do specyfiki organizacji i realnie wspierać analityków – tak jak na Listach Restrykcyjnych AML można weryfikować klientów w setkach publicznych i komercyjnych baz za jednym kliknięciem albo tak jak w Systemie AML można monitorować transakcje i klientów, ale też raportować do GIIF. Dzięki temu można zyskać pełną transparentność decyzji, wyeliminować duplikację pracy między działami oraz przyspieszyć reakcję na sygnały ostrzegawcze. Wdrożenie jednego, zintegrowanego, spójnego środowiska AML pozwala również lepiej zarządzać ryzykiem operacyjnym i audytowym – każda decyzja, weryfikacja czy raport są rejestrowane i łatwo dostępne w przypadku kontroli.

12. Brak spójności działań i komunikacji między zespołami

Działy sprzedaży, IT, prawny i AML często działają w silosach, co powoduje brak przepływu informacji o ryzykach, zmianach w danych klienta czy podejrzanych zachowaniach. Brak komunikacji sprawia, że istotne sygnały ostrzegawcze pozostają niezauważone lub docierają do zespołu AML zbyt późno. Dodatkowo, procesy biznesowe i AML bywają projektowane niezależnie od siebie, przez co rozwiązania technologiczne, procedury i praktyka operacyjna nie tworzą spójnego systemu kontroli ryzyka.

Projektując procesy biznesowe, warto więc uwzględnić w nich aspekt compliance – pracownicy działów sprzedażowych przed podjęciem decyzji o zwarciu stosunku gospodarczego lub przed przeprowadzeniem transakcji powinni uzyskać wsparcie lub weryfikację ze strony odpowiedniego działu lub specjalisty AML. Ponadto proces ten może być wspierany przez zintegrowany model współpracy między działami, np. przez regularne spotkania na temat AML, wspólne dashboardy ryzyka i dedykowane kanały komunikacji wewnętrznej. Taki model pozwala szybciej reagować na zmiany w profilach klientów, nowych typach zagrożeń czy wymaganiach regulatorów. Włączenie AML w codzienny obieg informacji – od sprzedaży po zarząd – sprawia, że przeciwdziałanie praniu pieniędzy staje się nie tylko formalnym obowiązkiem, ale elementem kultury organizacyjnej i wspólnej odpowiedzialności za bezpieczeństwo organizacji.

AML compliance to przewaga, a nie obowiązek

Dobrze zaprojektowany firmowy system AML nie jest wyłącznie narzędziem do spełnienia wymogów prawnych, ale to także strategiczny element budowania wiarygodności i zaufania. Firmy, które ze świadomością i uwagą wdrażają podejście oparte na ryzyku i dbają o jakość swoich procesów, zyskują przewagę konkurencyjną: szybciej identyfikują niebezpieczne relacje, ograniczają straty reputacyjne i unikają kosztownych kar i sankcji.

Chcesz mieć pewność, że Twoja firma właściwie realizuje obowiązki AML?
Skontaktuj się z nami – zaproponujemy Ci wsparcie na miarę Twoich potrzeb!

FAQ, czyli o błędach w procesach AML w pigułce:

1. Jak rozpoznać, że w procesach AML są błędy?

Najczęstsze sygnały błędów w procesach AML to np. niespójność danych między działami, brak udokumentowania działań weryfikacyjnych czy nieaktualne procedury i oceny ryzyka. Jeśli procesy AML nie przekładają się na realne efekty operacyjne, to znak, że są w nich jakieś problemy, a więc wymagają audytu i korekty. Skuteczne procesy AML to też takie, które realnie ograniczają ryzyko, są zrozumiałe dla pracowników i działają w praktyce, a nie tylko na papierze.

2. Co zrobić, jeśli brakuje wiedzy lub zasobów na naprawienie błędów w procesach AML?

Warto rozważyć współpracę z profesjonalnym dostawcą rozwiązań AML lub specjalistami zewnętrznymi w obszarze AML, którzy dokonają audytu oraz dostosują systemy, procesy, procedury i dokumenty do specyfiki danej organizacji. Zewnętrzne wsparcie eksperta takiego jak iAML pozwala uniknąć kosztownych błędów, wdrożyć praktyczne rozwiązania zgodne z wymogami i zapewnić pełną zgodność procesów z przepisami prawa.

3. Jakie mogą być konsekwencje błędów w procesach AML?

Niewykonanie lub nieprawidłowe wykonanie obowiązków w zakresie AML może skutkować nałożeniem dotkliwych kar i sankcji – m.in. administracyjnych, w tym finansowych, a także odpowiedzialnością karną. Konsekwencje może ponieść zarówno instytucja obowiązana, jak i osoby odpowiedzialne za procesy AML. Utrata reputacji, publikacja naruszenia w Biuletynie Informacji Publicznej, cofnięcie zezwolenia czy zakaz pełnienia funkcji kierowniczych w spółce to realne ryzyka, które mogą poważnie zaburzyć dalsze funkcjonowanie organizacji.