Zakres CDD: co dokładnie składa się na środki bezpieczeństwa finansowego
W poprzedniej lekcji ustaliliśmy, kiedy powstaje obowiązek stosowania środków bezpieczeństwa finansowego.
W tej lekcji wchodzimy w szczegóły i rozbijamy na elementy, co dokładnie instytucja ma ustalić i utrzymywać w relacji z klientem, żeby CDD było realnym narzędziem zarządzania ryzykiem, a nie jednorazowym onboardingiem.
PODSTAWA PRAWNA
O obowiązku stosowania środków bezpieczeństwa finansowego stanowi Art. 33 , a Art. 34 ust. 1 nie definiuje pojęcia środków bezpieczeństwa finansowego, lecz wskazuje zamknięty katalog działań, które składają się na środki bezpieczeństwa finansowego.
Poniżej dla przypomnienia treść art. 34.1
Art. 34. 1.
Art. 34. ust. 1
1. Środki bezpieczeństwa finansowego obejmują:
1) identyfikację klienta oraz weryfikację jego tożsamości;
2) identyfikację beneficjenta rzeczywistego oraz podejmowanie uzasadnionych czynności w celu:
- weryfikacji jego tożsamości,
- ustalenia struktury własności i kontroli – w przypadku klienta będącego osobą prawną, jednostką organizacyjną nieposiadającą osobowości prawnej lub trustem;
3) ocenę stosunków gospodarczych i, stosownie do sytuacji, uzyskanie informacji na temat ich celu i zamierzonego charakteru;
4) bieżące monitorowanie stosunków gospodarczych klienta, w tym:
a) analizę transakcji przeprowadzanych w ramach stosunków gospodarczych w celu zapewnienia, że transakcje te są zgodne z wiedzą instytucji obowiązanej o kliencie, rodzaju i zakresie prowadzonej przez niego działalności oraz zgodne z ryzykiem prania pieniędzy oraz finansowania terroryzmu związanym z tym klientem,
b) badanie źródła pochodzenia wartości majątkowych będących w dyspozycji klienta – w przypadkach uzasadnionych okolicznościami,
c) zapewnienie, że posiadane dokumenty, dane lub informacje dotyczące stosunków gospodarczych są na bieżąco aktualizowane.
1. Identyfikacja i weryfikacja klienta
Identyfikacja i weryfikacja to dwie osobne czynności, a ta różnica ma realne konsekwencje. Identyfikacja to zebranie danych. Weryfikacja to potwierdzenie, że te dane są prawdziwe i że instytucja ma podstawy, żeby im ufać. W praktyce najczęstszy błąd polega na tym, że dane są w systemie, dokumenty są zeskanowane, ale nikt nie potrafi odpowiedzieć na pytanie dlaczego uznaliśmy te informacje za wiarygodne? To pytanie pada podczas każdej kontroli — i brak odpowiedzi jest problemem niezależnie od tego, czy dokumenty są kompletne.
2. Beneficjent rzeczywisty i struktura własności
Ustawa wymaga „uzasadnionych czynności”. To celowo elastyczne sformułowanie, które oznacza, że zakres weryfikacji BO powinien być proporcjonalny do złożoności struktury i poziomu ryzyka. W prostych przypadkach może wystarczyć oświadczenie klienta poparte weryfikacją w rejestrze. Przy bardziej złożonych strukturach, spółki holdingowe, wielopoziomowe łańcuchy własności, trusty, samo oświadczenie nie wystarczy i ustawa wprost zabrania polegania wyłącznie na danych z CRBR. Najczęstszy „blind spot” w praktyce: instytucja ustala formalnego właściciela, ale nie drąży dalej pytania kto realnie kontroluje podmiot i kto czerpie z niego korzyści.
3. Cel i zamierzony charakter relacji
To element CDD, który najłatwiej zbagatelizować — i który ma największy wpływ na jakość całego monitoringu. Cel relacji to nie pole do wpisania formułki („konto rozliczeniowe”, „działalność gospodarcza”). To informacja, która pozwala instytucji ocenić później, czy to co faktycznie dzieje się na rachunku ma sens w kontekście tego, co klient deklarował na wejściu. Bez jasno określonego i udokumentowanego celu relacji każda analiza transakcji staje się oceną „na oko”, bo nie ma punktu odniesienia.
4. Bieżące monitorowanie i aktualizacja danych
Ten punkt ustawy wprost zaprzecza jednemu z najczęstszych mitów w AML, tj., że CDD kończy się na onboardingu. Monitoring to nie tylko system alertów i progi transakcyjne. To aktywne sprawdzanie, czy sposób korzystania z produktu nadal pasuje do wiedzy instytucji o kliencie i do rozpoznanego ryzyka. Jeżeli klient zmienia skalę transakcji, model biznesowy albo profil kontrahentów, a profil ryzyka w systemie pozostaje bez zmian, CDD przestało odzwierciedlać rzeczywistość. Aktualizacja danych nie jest formalnością. To warunek, bez którego cały monitoring traci sens.
REAL TALK SECTION
CDD bardzo łatwo zamienia się w zbiór poprawnych informacji o kliencie. Dokumenty mogą się zgadzać, dane być kompletne, ale jeśli nikt nie potrafi wyjaśnić, jak ta relacja faktycznie ma działać, to CDD nie spełnia swojej roli.
Onboarding to tylko początek, nie koniec CDD. Jeżeli po otwarciu relacji nikt już nie wraca do założeń, profilu ryzyka i celu współpracy, CDD staje się jednorazowym rytuałem zamiast procesu.
Najczęstszy błąd w CDD to nie brak danych, tylko brak kontekstu. Instytucja wie co klient zrobił, ale nie wie dlaczego — a bez tego nie da się ocenić, czy zachowanie mieści się jeszcze w akceptowalnym ryzyku.
Cel i zamierzony charakter relacji to punkt odniesienia dla całego monitoringu. Bez jasno określonego celu każda transakcja jest albo „dziwna”, albo „akceptowana na oko”, co prowadzi do chaosu decyzyjnego.
Monitoring bez aktualizacji danych to iluzja kontroli. Jeżeli profil klienta nie zmienia się mimo realnych zmian w jego działalności, to system AML przestaje odzwierciedlać rzeczywistość.
CDD ma sens tylko wtedy, gdy wspiera decyzje, a nie tylko dokumentację. Prawdziwym testem CDD jest to, czy na jego podstawie instytucja potrafi zdecydować: kontynuujemy relację, zmieniamy podejście, czy stawiamy granicę.