Komunikat nr 114 GIIF: ocena ryzyka nie może być kopią szablonu, a CRBR to za mało

Generalny Inspektor Informacji Finansowej opublikował komunikat nr 114 skierowany do instytucji obowiązanych wymienionych w art. 2 ust. 1 pkt 15, 15a i 17 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu — m.in. do biegłych rewidentów. Polska Agencja Nadzoru Audytowego, która opisała komunikat, zapowiedziała w tym roku kontrolę tematyczną firm audytorskich w zakresie AML.

Choć adresatów wskazano wprost, komunikat to jedna z najbardziej praktycznych list kontrolnych, jakie GIIF opublikował dla sektora niefinansowego. Te same obowiązki ma każde biuro rachunkowe, doradca podatkowy czy pośrednik w obrocie nieruchomościami — a dwie uwagi GIIF dotyczą błędów, które kontrolerzy widzą najczęściej.

Dwie najważniejsze uwagi GIIF

Ocena ryzyka nie może być kopią gotowego szablonu

GIIF podkreśla, że ocena ryzyka musi odpowiadać charakterowi i skali działalności konkretnej instytucji. Wzór pobrany z internetu albo od szkoleniowca, podpisany bez zmian, to dokładnie to, co kontrolerzy wskazują jako nieprawidłowość.

Jak poznać, że ocena ryzyka jest „z szablonu”:

• nie ma w niej nic o Twoich klientach — branżach, formach prawnych, krajach, wielkości,
• nie odnosi się do Twoich usług — prowadzenie ksiąg, kadry, doradztwo, rejestracja spółek,
• nie była aktualizowana od dnia podpisania,
• jest identyczna jak w innych biurach, które korzystały z tego samego wzoru.

Ocena ryzyka to dwa osobne dokumenty: ocena ryzyka własnej działalności (całe biuro) i ocena ryzyka każdego klienta (stosunku gospodarczego). Druga powinna mieć uzasadnienie: dlaczego ten klient jest niskiego, średniego czy wysokiego ryzyka.

Sprawdzenie w CRBR nie wystarcza do ustalenia beneficjenta rzeczywistego

Wpis w Centralnym Rejestrze Beneficjentów Rzeczywistych to punkt wyjścia, a nie dowód. GIIF wymaga przeanalizowania wszystkich okoliczności. W praktyce oznacza to porównanie CRBR z innymi źródłami:

• wspólnicy i akcjonariusze w KRS — kto ma ponad 25% udziałów lub głosów,
• zarząd i prokurenci — kto faktycznie kieruje spółką,
• struktura grupy — czy wspólnikiem nie jest inna spółka, za którą stoi ktoś jeszcze,
• informacje od klienta — oświadczenie, umowy, pełnomocnictwa.

Jeśli CRBR mówi coś innego niż KRS albo dokumenty klienta, instytucja obowiązana musi to zgłosić jako rozbieżność.

Osiem obowiązków z komunikatu — i co powinno być w aktach

1. Osoba odpowiedzialna za AML

Wyznacz osobę odpowiedzialną za wykonywanie obowiązków z ustawy. W małym biurze to zwykle właściciel — ale musi to być zapisane. W aktach: dokument wyznaczenia z datą.

2. Ocena ryzyka

Własnej działalności oraz każdego stosunku gospodarczego i transakcji okazjonalnej. Patrz wyżej — bez szablonów. W aktach: ocena biura z datą ostatniej aktualizacji; przy każdym kliencie ocena z uzasadnieniem.

3. Środki bezpieczeństwa finansowego

Identyfikacja i weryfikacja klienta oraz beneficjenta rzeczywistego, ocena celu i charakteru stosunków gospodarczych, bieżące monitorowanie. W aktach: dane klienta, źródło ich weryfikacji (KRS, CEIDG, dokument), beneficjent rzeczywisty i sposób jego ustalenia, data.

4. Osoby zajmujące eksponowane stanowiska polityczne (PEP)

Ustal, czy klient, jego beneficjent lub członek rodziny albo bliski współpracownik nie jest PEP. Wobec PEP stosuje się wzmożone środki i zgodę kierownictwa na współpracę. W aktach: wynik sprawdzenia PEP z datą; przy trafieniu — decyzja i uzasadnienie.

5. Rozbieżności w CRBR

Zgłaszaj rozbieżności między CRBR a informacjami, które ustaliłeś. W aktach: porównanie CRBR z KRS i dokumentami; przy rozbieżności — potwierdzenie zgłoszenia.

6. Procedura, szkolenia, dokumentacja

Wewnętrzna procedura AML, szkolenia pracowników, dokumentowanie działań i przechowywanie dokumentacji przez co najmniej 5 lat od zakończenia współpracy. W aktach: procedura z datą, lista szkoleń i uczestników, archiwum dokumentów klientów.

7. Transakcje podejrzane

Rozpoznawaj działania i transakcje, które mogą wskazywać na pranie pieniędzy, i zawiadamiaj GIIF. Nie informuj klienta o zawiadomieniu. W aktach: rejestr analiz, także tych, które nie zakończyły się zawiadomieniem.

8. Sankcje i szczególne środki ograniczające

Sprawdzaj klientów i beneficjentów na listach sankcyjnych — unijnej, krajowej (MSWiA) — i stosuj zamrożenie, jeśli jest trafienie. W aktach: wynik sprawdzenia list z datą i nazwami list.

Najczęstsze błędy, które da się szybko naprawić

• Brak daty. Dokument bez daty nie pokazuje, że sprawdzenie było przed rozpoczęciem współpracy.
• Brak źródła. „Klient zweryfikowany” bez informacji, w jakim rejestrze, nic nie znaczy.
• Jednorazowość. Klient sprawdzony w 2019 r. i nigdy później — a zmieniły się wspólnicy, zarząd i listy sankcyjne.
• CRBR jako jedyne źródło beneficjenta. Wprost wskazane w komunikacie.
• Ocena ryzyka „wszyscy niskie ryzyko”. Bez uzasadnienia to sygnał dla kontrolera.

Prosty plan na najbliższy miesiąc

1. Tydzień 1: zaktualizuj ocenę ryzyka biura — opisz swoich klientów i usługi własnymi słowami.
2. Tydzień 2: przejrzyj akta 10 największych klientów: czy jest data, źródło, beneficjent, sprawdzenie sankcji i PEP.
3. Tydzień 3: porównaj CRBR z KRS u klientów-spółek; zgłoś rozbieżności.
4. Tydzień 4: zrób krótkie szkolenie dla zespołu i zapisz listę obecności.

Jak pomaga Verifykator

Raport AMLA z Verifykatora zestawia dane z KRS i CRBR i pokazuje rozbieżności, sprawdza listy sankcyjne (UE, MSWiA, OFAC) i PEP, uwzględnia upadłości z KRZ i MSiG oraz proponuje poziom środków — uproszczone, standardowe lub wzmożone. Każda informacja ma źródło i datę, a cały dokument można dołączyć do akt klienta jako ślad weryfikacji.