Ocena ryzyka: od poziomu państwa do instytucji obowiązanej
W tej lekcji pokazujemy, jak system AML łączy ocenę ryzyka na poziomie państwa z obowiązkami po stronie instytucji obowiązanej.
Kluczowe jest zrozumienie, że dokumenty przygotowywane na poziomie krajowym stanowią punkt odniesienia, ale nie zwalniają instytucji z odpowiedzialności za własną ocenę ryzyka. To jedna z najczęstszych osi kontroli i audytów AML.
PODSTAWA PRAWNA
Przeczytaj proszę uważnie poniższy zapis Ustawy AML.
Art. 25. ust. 1
Generalny Inspektor opracowuje krajową ocenę ryzyka prania pieniędzy oraz finansowania terroryzmu, zwaną dalej „krajową oceną ryzyka”, we współpracy z Komitetem, jednostkami współpracującymi i instytucjami obowiązanymi.
Ten przepis tworzy systemowy punkt odniesienia dla całego rynku. Krajowa ocena ryzyka pokazuje, jakie obszary — z perspektywy państwa — są szczególnie narażone na ML lub TF.
To jest spojrzenie „z góry” na sektory, typy produktów, kierunki geograficzne oraz trendy i zagrożenia systemowe.
Krajowa ocena ryzyka nie uwzględnia jednak specyfiki każdej instytucji: jej modelu biznesowego, skali działalności czy struktury klientów. Dlatego pełni funkcję mapy ryzyk, a nie gotowej instrukcji operacyjnej.
Art. 27. ust. 1
Instytucje obowiązane identyfikują i oceniają ryzyko związane z praniem pieniędzy i finansowaniem terroryzmu odnoszące się do ich działalności, z uwzględnieniem czynników ryzyka dotyczących klientów, państw lub obszarów geograficznych, produktów, usług, transakcji lub kanałów ich dostaw. Działania te są proporcjonalne do charakteru i wielkości instytucji obowiązanej.
Ten przepis przenosi ciężar odpowiedzialności bezpośrednio na instytucję obowiązaną. Oznacza to, że każda instytucja musi odpowiedzieć na pytanie: jak wskazane ryzyka systemowe przekładają się na naszą konkretną działalność.
Dla dwóch instytucji działających w tym samym sektorze poziom i charakter ryzyka mogą wyglądać zupełnie inaczej — w zależności od klientów, produktów, wolumenów czy kanałów dystrybucji.
Właśnie dlatego ustawa nie pozwala na kopiowanie krajowej oceny ryzyka ani dokumentów branżowych. Instytucja musi wykazać własny proces analizy i własne wnioski.
Tutaj warto to podkreślić. Ustawa AML wymaga dwóch poziomów oceny ryzyka:
- krajowej (art. 25–26),
- instytucjonalnej (art. 27).
Krajowa ocena ryzyka wskazuje zagrożenia systemowe. Ocena instytucjonalna odpowiada na pytanie, jak te zagrożenia materializują się w konkretnej działalności danej instytucji.
Kluczowe nie jest to, czy instytucja obowiązana „zna” krajową ocenę ryzyka, ale czy potrafi wykazać własne rozumowanie.
Instytucja powinna być w stanie logicznie wyjaśnić które ryzyka są dla niej istotne, dlaczego mają takie, a nie inne znaczenie, i jak wpływają na konkretne decyzje AML.
REAL TALK SECTION
Krajowa ocena ryzyka jest bardzo często traktowana jak „gotowa odpowiedź”.
Tymczasem regulator patrzy na nią jak na punkt startowy, a nie końcowy efekt pracy instytucji.
W praktyce podczas kontroli padają pytania w stylu: „Dlaczego uznaliście, że to ryzyko ma dla Was znaczenie?” albo „Dlaczego to ryzyko uznaliście za mniej istotne?”
I nie da się na nie odpowiedzieć samym cytatem z krajowej oceny ryzyka. To, że dane zagrożenie istnieje na poziomie państwa, nie oznacza automatycznie, że w takiej samej skali dotyczy każdej instytucji.
Ocena ryzyka ma sens tylko wtedy, gdy prowadzi do realnych decyzji: uproszczonych albo wzmożonych środków, częstszych przeglądów lub zwiększonego monitoringu.
Jeżeli ocena ryzyka nie wpływa na działania, to z perspektywy regulatora jest dokumentem formalnym, a nie elementem systemu AML.
To nie koniec…
Jeżeli chcesz się dowiedzieć więcej na ten temat to warto zapoznać się z dodatkowymi materiałami:
Krajowa Ocena Ryzyka Prania Pieniędzy i Finansowania Terroryzmu
Oficjalny dokument publikowany przez Generalny Inspektor Informacji Finansowej.
Artykuł na naszym blogu
Krajowa vs instytucjonalna ocena ryzyka — najczęstsze błędy i dobre praktyki
Te materiały na pewno pomogą Ci jeszcze dokładniej zrozumieć kontekst i oczekiwania regulatora.