Przez lata przeciwdziałanie praniu pieniędzy kojarzyło się przede wszystkim z bankami, instytucjami finansowymi, formularzem dotyczącym beneficjenta rzeczywistego i milionem pytań, skąd klient ma pieniądze. Był to świat procedur, alertów transakcyjnych i specjalistów zamkniętych w departamentach compliance. Ten świat właśnie się definitywnie kończy.
AML przestaje coraz bardziej być specjalizacją sektora finansowego. Natomiast jego kluczowe wymagania coraz wyraźniej wchodzą do kancelarii, spółek technologicznych, biur rachunkowych, agencji nieruchomości, podmiotów operujących na rynku krypto, przedsiębiorstw handlujących dobrami luksusowymi, a nawet do zawodowego sportu. Unijny pakiet AML rozszerza dalej katalog podmiotów obowiązanych m.in. na znaczną część sektora krypto, sprzedawców dóbr luksusowych oraz profesjonalne kluby piłkarskie i agentów.
Jednocześnie utworzył się europejski urząd AMLA, który ma wzmacniać i ujednolicać nadzór nad całym systemem. Nie chodzi jednak wyłącznie o dopisywanie kolejnych branż do ustawy. Znacznie ważniejsza jest zmiana sposobu myślenia o odpowiedzialności.
Bank nie jest już jedynym strażnikiem
System AML opiera się na założeniu, że nie tylko państwo ma “ścigać” przestępców. Mają mu w tym pomagać również prywatne podmioty znajdujące się pomiędzy klientem a transakcją.
Bank widzi przepływ pieniędzy. Księgowy zna strukturę rozliczeń. Agent nieruchomości widzi, kto kupuje apartament. Doradca pomaga zaprojektować transakcję. Kancelaria może uczestniczyć w utworzeniu spółki, nabyciu przedsiębiorstwa albo zarządzaniu aktywami klienta. Każdy z tych podmiotów jest w optyce europejskiego ustawodawcy strażnikiem dostępu do legalnego obrotu.
W Polsce adwokaci, radcowie prawni, prawnicy zagraniczni i doradcy podatkowi już obecnie są instytucjami obowiązamymi, gdy świadczą pomoc dotyczącą m.in. kupna i sprzedaży nieruchomości lub przedsiębiorstwa, zarządzania aktywami, otwierania rachunków, wnoszenia wkładów oraz tworzenia i zarządzania spółkami. Nie oznacza to, że każda porada prawna podlega AML. Oznacza jednak, że kancelaria uczestnicząca w określonych transakcjach nie może już zakładać, że problem pochodzenia pieniędzy jest wyłącznie problemem banku.
Podobnie jest z przedsiębiorcami. Nie każdy przedsiębiorca jest bezpośrednio instytucją obowiązaną. Niemal każdy może jednak zetknąć się z AML jako klient banku, uczestnik transakcji, podmiot ujawniający beneficjenta rzeczywistego albo kontrahent, którego struktura właścicielska, źródło finansowania lub kierunek płatności zaczynają budzić pytania.
AML rozlewa się więc poza formalny katalog ustawowy. Wchodzi do zwykłego obrotu gospodarczego tylnymi drzwiami, przez banki, kontrahentów, audyty, finansowanie oraz wymagania grup kapitałowych. Ograniczeniem jest tu tylko „moc przerobowa” organów nadzoru.
Procedura to już nie „pułkownikowe alibi”
Jeszcze kilka lat temu wiele organizacji traktowało compliance dość prosto, otóż piszemy opasłą procedurę, której zasadniczo nie da się czytać, przeprowadzamy jakieś tam szkolenie, zbieramy podpisy i umieszczamy dokument w odpowiednio grubym segregatorze tudzież w pięknie nazwanym folderze na sharedrive.
Segregator miał jedną podstawową zaletę, wyglądał profesjonalnie, a dysk jest backupowany.
Problem polega na tym, że regulator coraz rzadziej pyta wyłącznie, czy procedura istniała. Pyta, czy była dostosowana do rzeczywistego modelu działalności, czy identyfikowała konkretne ryzyka, czy była aktualizowana i czy ktoś sprawdzał, że działa.
W aktualnym podejściu ocena ryzyka nie może sprowadzać się do nadania klientowi etykiety „niski”, „normalny” albo „wysoki”. Kategoria ryzyka ma wpływać na zakres i intensywność rzeczywiście podejmowanych działań. Zmiana produktu, kanału dystrybucji, obszaru geograficznego, struktury klientów albo sytuacji politycznej może wymagać niezwłocznej aktualizacji oceny. Organ oczekuje także, że dokumentacja będzie pozwalała sprawdzić skuteczność zastosowanych środków, a ocena ryzyka będzie zatwierdzana przez osoby odpowiedzialne na poziomie kierowniczym.
Innymi słowy procedura leżąca na serwerze dowodzi najwyżej, że ktoś potrafił pisać albo zlecić pisanie. Nie dowodzi jeszcze, że organizacja potrafi zarządzać ryzykiem.
„Czy powinieneś był wiedzieć?”
W tym miejscu pojawia się najbardziej niebezpieczna zmiana.
Odpowiedzialność coraz częściej nie jest budowana wyłącznie na pytaniu, czy ktoś faktycznie wiedział o podejrzanym charakterze transakcji. Coraz większe znaczenie ma pytanie, czy przy prawidłowo zorganizowanym systemie powinieneś był to zauważyć.
Czy profil klienta odpowiadał charakterowi transakcji? Czy źródło środków było wiarygodne? Czy struktura właścicielska miała gospodarczy sens? Czy nagła zmiana kierunku płatności została wyjaśniona? Czy podmiot pośredniczący miał rzeczywiste uzasadnienie biznesowe? Czy ktoś połączył ze sobą kilka pozornie neutralnych informacji?
To nie jest już klasyczna kontrola dokumentów. To obowiązek wyciągania wniosków.
Regulator nie oczekuje jasnowidzenia. Oczekuje jednak, że organizacja będzie znała własny biznes na tyle dobrze, aby zauważyć sytuacje, które od niego odbiegają. A gdy czegoś nie zauważy, pojawi się bardzo niewygodne pytanie, czy zawiódł pracownik, procedura, system informatyczny, czy może zarząd, który zaakceptował model działania bez odpowiednich zabezpieczeń. Tak właśnie zaciera się granica między compliance a odpowiedzialnością osobistą.
Problem spółki może szybko stać się problemem członka zarządu
Polska ustawa AML nie pozostawia tego wyłącznie w sferze dobrych praktyk.
W instytucji obowiązanej, w której działa zarząd, należy wyznaczyć spośród jego członków osobę odpowiedzialną za wdrażanie obowiązków AML. Nie jest to funkcja honorowa ani dopisek do uchwały organizacyjnej. Ustawa pozwala nałożyć na osoby odpowiedzialne za wykonywanie obowiązków AML karę pieniężną. Przewiduje również możliwość czasowego zakazu pełnienia funkcji kierowniczych. W określonych przypadkach naruszenia obowiązków informacyjnych mogą prowadzić także do odpowiedzialności karnej.
Oczywiście członek zarządu nie ma osobiście analizować każdej transakcji. Ma jednak zapewnić, że istnieje sprawny system, odpowiednie zasoby, czytelny podział odpowiedzialności i realna ścieżka eskalacji.
Nie wystarczy więc powiedzieć: „Od tego mamy AML officera”.
Zarząd może delegować wykonywanie zadań. Nie może delegować całego problemu, a następnie udawać, że raporty AML były egzotycznym, ładnym graficznie dodatkiem do materiałów na posiedzenie.
Szczególnie ryzykowne stają się sytuacje, w których komórka compliance od miesięcy sygnalizuje braki kadrowe, niesprawne narzędzia, zaległości w przeglądach klientów albo problemy z jakością danych, a kierownictwo przyjmuje te informacje do wiadomości i spokojnie przechodzi do punktu dotyczącego sprzedaży.
Taki protokół może kiedyś okazać się bardziej interesujący niż niejedna procedura.
AML staje się elementem zarządzania przedsiębiorstwem
Największym błędem jest dziś traktowanie AML jako odrębnej wyspy regulacyjnej. Ryzyko prania pieniędzy łączy się z ryzykiem sankcyjnym, korupcyjnym, podatkowym, reputacyjnym, cybernetycznym oraz z odpowiedzialnością karną osób zarządzających.
Nowy produkt, ekspansja na zagraniczny rynek, przejęcie spółki, wejście w aktywa cyfrowe, obsługa klientów z państw podwyższonego ryzyka albo zmiana modelu płatności nie są wyłącznie decyzjami biznesowymi. Powinny również uruchamiać pytanie o konsekwencje AML.
Dlatego prawidłowo działający system nie może być zbudowany raz na zawsze. Musi reagować na zmianę działalności przedsiębiorstwa. Jeżeli biznes się zmienił, a ocena ryzyka pozostała ta sama, to najczęściej nie oznacza, że ryzyko było stabilne. Oznacza, że nikt do dokumentu nie zajrzał.
Nowa granica odpowiedzialności
AML nie jest już wyłącznie walką z walizką gotówki wniesioną do banku przez człowieka w ciemnych okularach o aparycji przywodzącej na myśl gangsterskie kino klasy „b”. Dzisiejsze ryzyko ukrywa się w wielopoziomowych strukturach właścicielskich, płatnościach transgranicznych, aktywach cyfrowych, pozornie legalnych inwestycjach, umowach pośrednictwa i transakcjach, z których każda oddzielnie wygląda całkiem niewinnie.
Dlatego zmienia się również oczekiwanie wobec osób odpowiedzialnych za organizację. Nie wystarczy nie wiedzieć. Trzeba jeszcze wykazać, że organizacja zrobiła wszystko, czego racjonalnie można było od niej oczekiwać, aby wiedzieć. I właśnie tutaj kończy się wygodny świat compliance rozumianego jako zbiór dokumentów. Zaczyna się odpowiedzialność za decyzje, zaniechania, brak zasobów oraz ryzyka, których nikt nie chciał zobaczyć.
AML wchodzi dziś do kolejnych branż. Ale przede wszystkim wchodzi do gabinetów zarządów.
AML wchodzi dziś do kolejnych branż. Ale przede wszystkim wchodzi do gabinetów zarządów, i to tam dziś zapada decyzja, czy firma naprawdę rozumie swoje ryzyko, czy tylko ma na nie dokument. Jeśli nie masz pewności, po której stronie stoi Twoja organizacja, pomożemy to sprawdzić, zanim zapyta o to regulator.
