Dlaczego efektywna ocena ryzyka AML ma istotne znaczenie dla małych i średnich instytucji obowiązanych?

Ocena ryzyka prania pieniędzy oraz finansowania terroryzmu (ML/FT) w instytucji obowiązanej nie powinna być traktowana wyłącznie jako dokument, a tym bardziej jako uzupełniony wzór. To proces obejmujący analizę obszarów działalności instytucji oraz identyfikację tych, które wiążą się z ekspozycją na ryzyko ML/FT. Następnie, na podstawie przeprowadzonej analizy, instytucja ocenia zidentyfikowane ryzyka, stosując przyjętą metodologię. Zgodnie z art. 27 ustawy AML przy ocenie ryzyka instytucja uwzględnia czynniki dotyczące klientów, państw lub obszarów geograficznych, produktów, usług, transakcji oraz kanałów ich dostaw. Może również uwzględnić obowiązującą krajową ocenę ryzyka. Działania te powinny być proporcjonalne do charakteru i wielkości instytucji obowiązanej. Aby lepiej zrozumieć znaczenie takiego podejścia, warto najpierw przyjrzeć się temu, jak proces oceny ryzyka może wyglądać w dużej organizacji.

Złożoność identyfikacji i ograniczania ryzyka w dużej organizacji

W instytucjach obowiązanych z sektora bankowego, ubezpieczeniowego czy usług płatniczych ocena ryzyka AML jest złożonym procesem, a jej kompleksowa aktualizacja może wymagać znacznego nakładu czasu i pracy. Wynika to między innymi z liczby procesów narażonych na ryzyko w różnych obszarach działalności oraz wzajemnych zależności między nimi. Zależności te utrudniają dobór mechanizmów ograniczających ryzyko, które z jednej strony będą skuteczne, a z drugiej nie spowodują nieproporcjonalnego obciążenia działalności operacyjnej.

Specjaliści AML muszą więc analizować rekomendacje wynikające z oceny ryzyka również pod kątem ich wpływu na procesy biznesowe. Nadmiernie zachowawcza ocena ryzyka lub nieproporcjonalnie rozbudowane mechanizmy kontrolne mogą prowadzić do sytuacji, w której ryzyko inherentne, czyli ryzyko przed zastosowaniem środków kontrolnych, zostaje obniżone do poziomu ryzyka rezydualnego, czyli ryzyka pozostającego po uwzględnieniu tych środków, ale kosztem nadmiernego obciążenia organizacji. Może to na przykład wydłużyć obsługę klienta do nieakceptowalnego poziomu, a jednocześnie angażować znaczne zasoby IT lub czas pracy analityków procesów AML.

Przykładowo, instytucja może rozważać wdrożenie zautomatyzowanego procesu weryfikacji podmiotów, na rzecz których realizuje płatności, pod kątem list sankcyjnych, list ostrzeżeń lub negatywnych doniesień medialnych. Załóżmy jednak, że analiza historycznych transakcji wskazuje, iż mniej niż 5% płatności wychodzących było kierowanych do podmiotów mających siedzibę w państwach UE innych niż Polska, a mniej niż 1% z tego - poza UE, z wyłączeniem państw podwyższonego ryzyka lub objętych sankcjami. W takiej sytuacji warto ocenić, czy planowany mechanizm jest adekwatny do rzeczywistej ekspozycji i czy zasoby przeznaczone na jego wdrożenie nie przyniosłyby większego efektu, gdyby zostały skierowane na inne obszary działalności o wyższym poziomie ryzyka. Nie chodzi przy tym o rezygnację z wymaganych prawem kontroli, lecz o ich racjonalne zaprojektowanie i właściwe rozłożenie zasobów.

Jak podejść do oceny ryzyka w mniejszych instytucjach obowiązanych?

Mała lub średnia instytucja obowiązana, na przykład spółka z ograniczoną odpowiedzialnością prowadząca biuro rachunkowe lub kantor albo osoba prowadząca jednoosobową działalność gospodarczą w zakresie objętym ustawą AML, również ma obowiązek identyfikować i oceniać ryzyko ML/FT związane ze swoją działalnością. Zgodnie z art. 27 ust. 1 ustawy AML działania te powinny być proporcjonalne do charakteru i wielkości instytucji. Ocena ryzyka musi zostać sporządzona w postaci papierowej lub elektronicznej. W razie potrzeby należy ją aktualizować, nie rzadziej jednak niż co dwa lata, a także w szczególności w związku ze zmianami czynników ryzyka lub dokumentów uwzględnianych przy ocenie.

Przepisy nie pozostawiają zatem małej instytucji obowiązanej możliwości całkowitego pominięcia oceny ryzyka. W praktyce można jednak spotkać różne nieprawidłowe podejścia, które mogą narazić podmiot na konsekwencje nadzorcze lub administracyjne. Przykładowo:

Brak udokumentowanej oceny ryzyka związanego z działalnością podmiotu, a w konsekwencji brak świadomego doboru działań służących ograniczaniu zidentyfikowanego ryzyka ML/FT.
Samodzielne wypełnienie gotowego wzoru oceny ryzyka AML bez zrozumienia jego celu, znaczenia poszczególnych czynników i informacji wynikających z dokumentu, co może prowadzić do błędów i niedopasowania oceny do rzeczywistej działalności podmiotu.
Sporządzenie poprawnej oceny ryzyka, a następnie unikanie sytuacji lub działań opisanych w dokumencie po to, aby nie stosować środków ograniczających zidentyfikowane ryzyko.

Można zrozumieć, skąd biorą się takie zachowania i próby sprostania wymogom prawa przez małych przedsiębiorców. Duże instytucje często dysponują dedykowanymi jednostkami Compliance, które mogą korzystać ze wsparcia wewnętrznych prawników, a w uzasadnionych przypadkach także zewnętrznych kancelarii lub firm doradczych specjalizujących się w AML/CFT. Mały podmiot objęty przepisami AML może nie mieć podobnego zaplecza, dlatego czasami szuka prostszych i mniej kosztownych sposobów realizacji obowiązków. Nie usprawiedliwia to jednak pomijania wymogów ustawowych.

Rozwiązaniem jest rzetelne i dostosowane do skali działalności podejście do przygotowania oceny ryzyka AML, nawet wtedy, gdy podmiot nie korzysta z zewnętrznego wsparcia eksperckiego. Należy koncentrować się na procesach, które rzeczywiście generują ekspozycję na ryzyko, zamiast ograniczać się do przepisania czynników ryzyka z ustawy lub materiałów branżowych i ogólnego opisania sposobów ich ograniczania. Takie działanie może prowadzić jedynie do pozornego wypełnienia obowiązku posiadania oceny ryzyka. Aby uniknąć opisanych błędów i czerpać rzeczywiste korzyści z oceny ryzyka, mała lub średnia instytucja obowiązana powinna spojrzeć na ten proces z perspektywy własnego modelu biznesowego.

Punktem wyjścia powinno być zrozumienie własnego modelu biznesowego

Warto uporządkować informacje dotyczące typów klientów, oferowanych produktów i usług, kanałów ich dystrybucji oraz obszarów geograficznych, z którymi wiąże się działalność podmiotu. Dopiero na tej podstawie należy zidentyfikować, gdzie może występować ryzyko ML/FT. Pomocne mogą być również doświadczenia samego przedsiębiorcy - właściciel często zna specyfikę swojego biznesu lepiej niż zewnętrzny konsultant. Specjalista AML może natomiast dostrzec ekspozycje i zależności, których przedsiębiorca nie postrzega jako potencjalnych zagrożeń ML/FT. Ocena ryzyka związana z działalnością instytucji obowiązanej powinna również stanowić punkt odniesienia dla organizacji procesów związanych z rozpoznawaniem i oceną ryzyka ML/FT dotyczącego poszczególnych klientów i stosunków gospodarczych. Nie zastępuje ona jednak indywidualnej oceny ryzyka wymaganej w ramach stosowania środków bezpieczeństwa finansowego.

Po zidentyfikowaniu ryzykownych obszarów należy dobrać odpowiednie środki ograniczające ryzyko, z uwzględnieniem obowiązków wynikających z przepisów. Koszty i możliwości organizacyjne mogą wpływać na wybór sposobu wdrożenia takich środków, ale nie mogą uzasadniać pominięcia obowiązkowych działań. Jeżeli odpowiednie zabezpieczenie określonego kanału lub usługi wymagałoby nieproporcjonalnych nakładów, przedsiębiorca może rozważyć rezygnację z tego elementu działalności. Przykładowo, jeśli określony kanał pozyskiwania klientów generuje wysoką ekspozycję na ryzyko, a jego bezpieczne prowadzenie wymagałoby kosztownych rozwiązań, podmiot może rozważyć, czy dalsze korzystanie z tego kanału jest uzasadnione. Należy przy tym pamiętać, że ryzyko można ograniczać, ale nie da się go całkowicie wyeliminować.

Po przeprowadzeniu analizy i wskazaniu obszarów eksponowanych na ryzyko należy również ocenić, czy instytucja ma realne możliwości wdrożenia zaplanowanych środków ograniczających ryzyko ML/FT. Nie chodzi tu wyłącznie o dostęp do zaawansowanych systemów AML czy narzędzi wykorzystujących sztuczną inteligencję do weryfikacji klientów. Istotne jest przede wszystkim to, czy przyjęte rozwiązania można włączyć do procesów i codziennej praktyki organizacji oraz czy pracownicy będą w stanie prawidłowo je stosować. Pomocne są w tym odpowiednie procedury lub instrukcje AML, które określają sposób realizacji obowiązków, w tym stosowania środków bezpieczeństwa finansowego, a także szkolenia dla pracowników. Procedury porządkują i formalizują zasady postępowania, natomiast szkolenia pomagają przygotować osoby mające bezpośredni kontakt z procesami i klientami do prawidłowego wykonywania przypisanych im zadań.

Warto spojrzeć na ocenę ryzyka i wynikające z niej działania całościowo. Mała instytucja obowiązana, która rozpoznaje obszary podwyższonego ryzyka i wdraża adekwatne środki, wnosi swój wkład w skuteczność całego systemu AML. Takie podejście może przynieść korzyści również samej organizacji: wspierać ograniczanie ryzyka reputacyjnego, pomagać w identyfikowaniu sygnałów ostrzegawczych związanych z kontrahentami oraz zwiększać świadomość personelu. W efekcie może poprawiać jakość stosowania środków bezpieczeństwa finansowego i codziennego zarządzania ryzykiem, nie tylko tym związanym z ML/FT.

Jakie wnioski można z tego wyciągnąć?

Efektywna ocena ryzyka AML nie powinna być traktowana jako kolejny obowiązek dokumentacyjny do odhaczenia, lecz jako narzędzie wspierające codzienne funkcjonowanie instytucji obowiązanej. Jej wartość nie wynika z objętości dokumentu ani z liczby zidentyfikowanych czynników ryzyka, ale przede wszystkim z tego, czy rzeczywiście odzwierciedla charakter prowadzonej działalności oraz czy wskazuje adekwatne kierunki dalszego działania. Szczególnie w mniejszych podmiotach istotne jest, aby przyjęte rozwiązania były nie tylko zgodne z obowiązującymi przepisami, lecz także możliwe do skutecznego wdrożenia i stosowania. Nie chodzi o kopiowanie rozwiązań największych instytucji finansowych, ale o świadome i proporcjonalne zarządzanie własną ekspozycją na ryzyko ML/FT. Dobrze przygotowana ocena ryzyka może dzięki temu realnie wspierać organizację procesów AML, zamiast być jedynie dokumentem przedstawianym podczas kontroli. Ostatecznie o jej wartości świadczy praktyczne zastosowanie, a nie samo posiadanie.

Powrót