W związku z przysługującą, na podstawie art. 12 ust. 1 pkt 11 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. Dz. U. z 2021 r. poz. 1132, z późn. zm.) – zwanej dalej „ustawą AML”, kompetencją do udostępniania wiedzy i informacji z zakresu przepisów o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, Generalny Inspektor Informacji Finansowej – zwany dalej „Generalnym Inspektorem” zwraca uwagę na następujące kwestie.

1. Wybrane przepisy ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu.

W świetle art. 27 ust. 1 ustawy AML instytucje obowiązane identyfikują i oceniają ryzyko związane z praniem pieniędzy i finansowaniem terroryzmu odnoszące się do ich działalności, z uwzględnieniem czynników ryzyka dotyczących klientów, państw lub obszarów geograficznych, produktów, usług, transakcji lub kanałów ich dostaw. Działania te są proporcjonalne do charakteru i wielkości instytucji obowiązanej.

Zgodnie z art. 33 ust. 2 – 4 ustawy AML instytucje obowiązane rozpoznają ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz oceniają poziom rozpoznanego ryzyka. Instytucje obowiązane dokumentują rozpoznane ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz jego ocenę, uwzględniając w szczególności czynniki dotyczące: rodzaju klienta; obszaru geograficznego; przeznaczenia rachunku; rodzaju produktów, usług i sposobów ich dystrybucji; poziomu wartości majątkowych deponowanych przez klienta lub wartości przeprowadzonych transakcji; celu, regularności lub czasu trwania stosunków gospodarczych.

2. Różnica pomiędzy ogólną oceną ryzyka a indywidualną oceną ryzyka.  

Generalny Inspektor przypomina i podkreśla, że:

• art. 27 ust. 1 ustawy AML dotyczy identyfikacji i oceny ryzyka związanego z praniem pieniędzy i finansowaniem terroryzmu odnoszącego się do ogólnej działalności instytucji obowiązanej - w oderwaniu od konkretnego i indywidualnego stosunku gospodarczego oraz konkretnej i indywidualnej transakcji okazjonalnej (tzw. „ogólna ocena ryzyka”),
• art. 33 ust. 2 i 3 ustawy AML dotyczy rozpoznania i oceny ryzyka prania pieniędzy oraz finansowania terroryzmu związanego z konkretnym i indywidualnym stosunkiem gospodarczym instytucji obowiązanej z klientem lub z konkretną i indywidualną transakcją okazjonalną (tzw. „indywidualna ocena ryzyka”).

Nie można jednak zapominać, iż ogólna ocena ryzyka wpływa na indywidualną ocenę ryzyka i na odwrót. Instytucja obowiązana podczas rozpoznawania i oceny ryzyka prania pieniędzy oraz finansowania terroryzmu związanego z konkretnym stosunkiem gospodarczym lub z transakcją okazjonalną powinny wykorzystywać informacje i wnioski wynikające z ogólnej oceny ryzyka. Wnioski wynikające z przeprowadzania indywidualnych ocen ryzyka powinny wpływać na bieżące aktualizacje ogólnej oceny ryzyka.

3. Dobre praktyki w zakresie oceny ryzyka instytucji obowiązanej.

Generalny Inspektor zwraca uwagę, iż Urząd Komisji Nadzoru Finansowego w dniu 15 kwietnia 2020 r. opublikował „Stanowisko UKNF dotyczące oceny ryzyka instytucji obowiązanej”.[1]

Wprawdzie powyższy dokument skierowany został do instytucji obowiązanych podlegających nadzorowi KNF (podmiotów rynku finansowego - np. banków) jednakże przedstawione w nim dobre praktyki można odnieść do wszystkich instytucji obowiązanych. Należy przy tym uwzględnić, iż działania związane z identyfikacją i oceną ryzyka związanego z praniem pieniędzy i finansowaniem terroryzmu odnoszące się do działalności instytucji obowiązanej są proporcjonalne do jej charakteru i wielkości. W związku z tym Generalny Inspektor zachęca do zapoznania się z przedmiotowym dokumentem oraz dostosowaniem wynikających z niego wniosków do zakresu i charakteru prowadzonej działalności gospodarczej.

4. Praktyczne aspekty dotyczące ogólnej oceny ryzyka.

Każda instytucja obowiązana powinna znać i rozumieć ryzyko prania pieniędzy i finansowania terroryzmu na jakie jest narażona w związku z charakterem oraz zakresem prowadzonej przez siebie działalności gospodarczej.

Należy podkreślić, iż ogólna ocena ryzyka musi być bezwzględnie dostosowana do charakteru i zakresu działalności prowadzonej przez instytucję obowiązaną. Generalny Inspektor przestrzega, iż stosowanie wzorów ogólnych ocen ryzyka (przykładowo dostępnych w źródłach otwartych) bez dokładnego dostosowania ich do konkretnego i indywidualnego charakteru i zakresu działalności naraża instytucję obowiązaną na zarzut niedopełnienia obowiązku ustawowego. Warto podkreślić, iż w przypadku instytucji obowiązanych prowadzących działalność nawet w zbliżonym zakresie możliwe jest zidentyfikowanie całkowicie odmiennych ryzyk związanych z praniem pieniędzy i finansowaniem terroryzmu.

• Przykład

Instytucja obowiązana w ramach prowadzonej działalności nawiązuje relacje podczas bezpośredniego spotkania z klientem oraz zdalnie (na odległość). Klientami instytucji są m.in. klienci z siedzibą w biurze wirtualnym. W ogólnej ocenie ryzyka instytucja obowiązana przyjęła m.in., że ryzyko nawiązania relacji podczas bezpośredniego spotkania z klientem ocenia jako normalne. W ocenie ryzyka brakuje postanowień dotyczących oceny ryzyka świadczenia usług (nawiązywania relacji) kanałem zdalnym. Zgodnie z oceną ryzyka,  ryzyko związane z relacją z klientem posiadającym siedzibę w biurze wirtualnym jest normalne. Od czasu sporządzenia ogólnej oceny ryzyka instytucja obowiązana złożyła zawiadomienia do Generalnego Inspektora o okolicznościach, które mogą wskazywać na podejrzenie popełnienia przestępstwa prania pieniędzy lub finansowania terroryzmu. W większości zawiadomień powtarzającą się okolicznością, która w powiązaniu z innymi elementami decydowała o ich złożeniu, była siedziba klienta (tj. biuro wirtualne).

• Ocena zachowania instytucji obowiązanej

Zachowanie instytucji obowiązanej należy ocenić negatywnie. W pierwszej kolejności należy wskazać, iż instytucja obowiązana nie dokonała identyfikacji i oceny ryzyka związanego z świadczeniem usług (nawiązywaniem stosunków gospodarczych) przy wykorzystaniu kanału zdalnego. Dodatkowo pomimo kierowania do Generalnego Inspektora zawiadomień instytucja obowiązana nie dokonała aktualizacji ogólnej oceny ryzyka w zakresie nawiązywania i utrzymywania relacji z klientami z siedzibą w biurze wirtualnym. Należy przyjąć, iż uznawanie siedziby klienta (biura wirtualnego) za jedną z okoliczności, która może wskazywać na podejrzenie popełnienia przestępstwa prania pieniędzy lub finansowania powinno wpłynąć na weryfikację i zmianę ogólnej oceny ryzyka (przykładowo ryzyko związane z relacją z klientem posiadającym siedzibę w biurze wirtualnym powinno zostać podwyższone).

Powyższy przykład pokazuje, iż instytucje obowiązane powinny na bieżąco wyciągać wnioski z prowadzonej działalności (praktyki, wiedzy i doświadczenia) oraz aktualizować oceny ryzyka.