Intensywność CDD: podejście oparte na ryzyku, SDD i EDD
W poprzedniej lekcji rozłożyliśmy na części składowe to, co ustawa rozumie przez środki bezpieczeństwa finansowego. Wiemy już co instytucja musi ustalić i utrzymywać w relacji z klientem.
Teraz kluczowe pytanie: czy każda relacja wymaga takiego samego poziomu analizy? Ustawa AML odpowiada jasno — nie. Zakres i intensywność CDD zawsze wynikają z rozpoznanego ryzyka ML/TF. To oznacza, że ten sam obowiązek może być realizowany z różną głębokością — od uproszczonych środków bezpieczeństwa finansowego (ang. Simplified Due Diligence – SDD) przy niskim ryzyku, po wzmożone środki bezpieczeństwa finansowego (ang. Enhanced Due Diligence – EDD) przy ryzyku podwyższonym.
PODSTAWA PRAWNA
Art. 33. ust.4
Instytucje obowiązane stosują środki bezpieczeństwa finansowego w zakresie i z intensywnością uwzględniającymi rozpoznane ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz jego ocenę.
Ten przepis stanowi, że środki bezpieczeństwa finansowego stosuje się w zakresie i z intensywnością adekwatną do rozpoznanego ryzyka prania pieniędzy oraz finansowania terroryzmu.
Art. 43 ust. 1
Art. 43. ust. 1
1. Instytucje obowiązane stosują wzmożone środki bezpieczeństwa finansowego w przypadkach wyższego ryzyka prania pieniędzy lub finansowania terroryzmu, a także w przypadkach, o których mowa w art. 44–46.
Art. 43 ust. 2
Art. 43. ust. 2
2. O wyższym ryzyku prania pieniędzy oraz finansowania terroryzmu może świadczyć w szczególności:
1) nawiązywanie stosunków gospodarczych w nietypowych okolicznościach;
2) to, że klient jest:
a) osobą prawną lub jednostką organizacyjną nieposiadającą osobowości prawnej, których działalność służy do przechowywania aktywów osobistych,
b) spółką, w której wydano akcje na okaziciela, której papiery wartościowe nie są dopuszczone do obrotu zorganizowanego, lub spółką, w której prawa z akcji lub udziałów są wykonywane przez podmioty inne niż akcjonariusze lub udziałowcy,
c) rezydentem państwa, o którym mowa w pkt 10;
3) przedmiot prowadzonej przez klienta działalności gospodarczej obejmujący przeprowadzanie znacznej liczby lub opiewających na wysokie kwoty transakcji gotówkowych;
4) nietypowa lub nadmiernie złożona struktura własnościowa klienta, biorąc pod uwagę rodzaj i zakres prowadzonej przez niego działalności gospodarczej;
5) korzystanie przez klienta z usług lub produktów oferowanych w ramach bankowości prywatnej;
6) korzystanie przez klienta z usług lub produktów sprzyjających anonimowości lub utrudniających jego identyfikację, w tym z usługi polegającej na tworzeniu dodatkowych numerów rachunków oznaczanych zgodnie z przepisami wydanymi na podstawie art. 68 pkt 3 i 4 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe oraz art. 4a ust. 5 ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych, powiązanych z posiadanym rachunkiem, w celu ich udostępniania innym podmiotom do identyfikacji płatności lub zleceniodawców tych płatności;
7) nawiązywanie albo utrzymywanie stosunków gospodarczych lub przeprowadzanie transakcji okazjonalnej bez fizycznej obecności klienta – w przypadku gdy związane z tym wyższe ryzyko prania pieniędzy lub finansowania terroryzmu nie zostało ograniczone w inny sposób, w tym przez użycie środków identyfikacji elektronicznej oraz usług zaufania umożliwiających identyfikację elektroniczną w rozumieniu rozporządzenia 910/2014;
8) zlecanie przez nieznane lub niepowiązane z klientem podmioty trzecie transakcji, których beneficjentem jest klient;
9) objęcie stosunkami gospodarczymi lub transakcjami nowych produktów lub usług albo oferowanie produktów lub usług przy wykorzystaniu nowych kanałów dystrybucji lub nowych rozwiązań technologicznych;
10) powiązanie stosunków gospodarczych lub transakcji okazjonalnej z:
a) państwem trzecim wysokiego ryzyka,
b) państwem określanym przez wiarygodne źródła jako państwo o wysokim poziomie korupcji lub innego rodzaju działalności przestępczej, państwo finansujące lub wspierające popełnianie czynów o charakterze terrorystycznym, lub z którym łączona jest działalność organizacji o charakterze terrorystycznym,
c) państwem, w stosunku do którego Organizacja Narodów Zjednoczonych lub Unia Europejska podjęły decyzję o nałożeniu sankcji lub szczególnych środków ograniczających;
11) powiązanie stosunków gospodarczych lub transakcji okazjonalnej z ropą naftową, bronią, metalami szlachetnymi, produktami tytoniowymi, artefaktami kulturowymi, kością słoniową, gatunkami chronionymi lub innymi przedmiotami o znaczeniu archeologicznym, historycznym, kulturowym i religijnym lub o szczególnej wartości naukowej;
12) powiązanie stosunków gospodarczych lub transakcji okazjonalnej z klientem będącym obywatelem państwa trzeciego i ubiegającym się o prawo pobytu lub obywatelstwo w państwie członkowskim w zamian za transfery kapitałowe, nabycie nieruchomości lub obligacji skarbowych lub inwestycje w podmioty o charakterze korporacyjnym w danym państwie członkowskim.
Art. 43 ust. 3
Art. 43. ust. 3
3. Instytucje obowiązane prowadzą bieżącą analizę przeprowadzanych transakcji.
Art. 43 robi dwie rzeczy jednocześnie.
Po pierwsze, ustanawia zasadę ogólną, czyli wyższe ryzyko ML/TF wymaga EDD.
Po drugie, daje konkretną listę sytuacji, które ustawodawca uznaje za sygnały podwyższonego ryzyka. Od nietypowych okoliczności nawiązania relacji, przez złożone struktury własnościowe, po powiązania z jurysdykcjami wysokiego ryzyka.
Kluczowe słowo w tym przepisie to „w szczególności” — lista z ust. 2 nie jest zamknięta. Instytucja nie może założyć, że jeśli klient nie pasuje do żadnego z wymienionych punktów, to ryzyko jest automatycznie standardowe. Ocena ryzyka zawsze musi uwzględniać całość kontekstu relacji.
W praktyce najczęstszy błąd to traktowanie tej listy jak checklisty do odhaczenia. Instytucja przechodzi przez punkty, żaden nie pasuje, konkluzja: „brak podwyższonego ryzyka”. Tymczasem przepis działa odwrotnie — to rozpoznane ryzyko prowadzi do EDD, a nie dopasowanie do listy. Lista to tylko punkt wyjścia do analizy, nie jej zastąpienie.
REAL TALK SECTION
EDD bardzo często jest traktowane jak kara za wysoki risk score. Klient trafia do high risk i automatycznie dokładamy więcej dokumentów, więcej kroków i więcej kontroli- zdarza się, że bez zmiany jakości analizy.
Tymczasem EDD nie istnieje po to, żeby mnożyć papier albo żeby kogokolwiek karać, tylko po to, żeby lepiej zrozumieć ryzyko.
To jest sygnał, że tej relacji trzeba lepiej się przyjrzeć, a nie tylko ją bardziej obudować dokumentami. Jeżeli EDD polega wyłącznie na dokładaniu dokumentów, to system po prostu nie działa.
Z drugiej strony uproszczone środki bezpieczeństwa finansowego też bywają źle rozumiane. To nie jest ulga ani „przymknięcie oka”. To nadal jest decyzja regulacyjna, za którą instytucja bierze odpowiedzialność. Uproszczenie bez realnej oceny ryzyka jest tak samo problematyczne jak EDD stosowane na ślepo.
W obu przypadkach tracimy sens podejścia opartego na ryzyku. Najdroższy błąd w AML rzadko polega na braku procedur. Znacznie częściej polega na złym użyciu zasobów. Jeżeli wszystko wrzucamy do high risk, nikt nie jest analizowany porządnie, EDD traci znaczenie, a uproszczenia przestają istnieć.
I dokładnie w tym miejscu kończy się RBA, a zaczyna automatyzm. Klient = etykieta. Produkt = etykieta. I koniec myślenia.