Środki bezpieczeństwa finansowego (CDD) to operacyjne serce Procedury AML/CFT — codzienna praca pracownika sali operacyjnej, opiekuna klienta, analityka transakcji. Stanowisko UKNF poświęca obszarowi cztery cały blok 4 podzielony na siedem podobszarów oznaczonych A–G. W tym artykule omawiamy każdy z nich z odwołaniem do konkretnych przepisów Ustawy oraz Komunikatu GIIF nr 31 z 22 czerwca 2021 r.

Zanim zaczniemy — kontekst: Procedura AML/CFT musi wskazywać przypadki, w których zachodzi konieczność zmodyfikowania zakresu i częstotliwości stosowania podstawowych środków bezpieczeństwa finansowego, oraz zawierać opis faktycznych czynności wykonywanych przez IO w zakresie stosowania środków z art. 34 ust. 1 Ustawy.

Kiedy IO stosuje środki bezpieczeństwa finansowego?

Art. 35 Ustawy wskazuje cztery wyzwalacze:

  1. nawiązywanie stosunków gospodarczych;
  2. przeprowadzanie transakcji okazjonalnej o równowartości 15 000 euro lub większej (jako pojedyncza operacja albo kilka transakcji wydających się powiązanych) albo transferu środków pieniężnych przekraczającego równowartość 1 000 euro;
  3. podejrzenie ML/TF;
  4. wątpliwości co do prawdziwości lub kompletności dotychczas uzyskanych danych identyfikacyjnych klienta.

Ponadto — w czasie utrzymywania stosunków gospodarczych — IO stosuje środki, gdy doszło do zmiany ustalonego charakteru lub okoliczności stosunków, doszło do zmiany ustalonych danych klienta lub beneficjenta rzeczywistego albo IO była zobowiązana w ciągu roku do skontaktowania się z klientem w celu weryfikacji informacji o beneficjentach rzeczywistych (np. z ustawy z 9 marca 2017 r. o wymianie informacji podatkowych).

W przypadku braku możliwości wykonania któregokolwiek ze środków IO ma obowiązek (zgodnie z art. 41 Ustawy) — w zależności od sytuacji — nie nawiązać stosunku gospodarczego, nie przeprowadzić transakcji okazjonalnej, nie przeprowadzać transakcji za pośrednictwem rachunku bankowego albo rozwiązać stosunek gospodarczy. Pełen kontekst tej decyzji prezentujemy w artykule Kategorie ryzyka klienta i matryca ryzyka.

Identyfikacja klienta i osoby upoważnionej do działania

Weryfikacja tożsamości klienta (art. 37 ust. 1 Ustawy) polega na potwierdzeniu danych identyfikacyjnych na podstawie dokumentu stwierdzającego tożsamość osoby fizycznej, dokumentu zawierającego aktualne dane z właściwego rejestru lub innych dokumentów, danych lub informacji z wiarygodnego i niezależnego źródła, w tym (jeśli są dostępne) ze środków identyfikacji elektronicznej lub usług zaufania określonych w rozporządzeniu 910/2014 (eIDAS).

UKNF wprost ostrzega: nie można uznać za wiarygodne źródło oświadczenia o zbyciu udziałów bez potwierdzonej notarialnie umowy sprzedaży. IO powinny wskazać w Procedurze AML/CFT, jakiego rodzaju dokumenty identyfikujące muszą być pozyskiwane od osoby fizycznej oraz osoby prawnej, w tym określić wiarygodne i niezależne źródła weryfikacji.

Ustawa wprowadza rozróżnienie pomiędzy:

Osoba reprezentująca klienta
Np. członek zarządu. Inny zakres zbieranych danych.
Osoba upoważniona do działania w imieniu klienta
Np. pełnomocnik otwierający rachunek. Upoważnienie powinno zostać poddane analizie pod kątem prawidłowości udzielenia.

W Procedurze AML/CFT należy uwzględnić art. 47 Ustawy (korzystanie z usług podmiotu trzeciego) i art. 48 Ustawy (powierzenie środków innemu podmiotowi działającemu w imieniu IO, np. sieć agencyjna). Procedura musi zawierać szczegółowe informacje potwierdzające, że proces jest właściwie zorganizowany i kontrolowany — bo odpowiedzialność za realizację obowiązków z art. 34 ust. 1 pkt 1–3 oraz art. 43 ust. 3 Ustawy obciąża IO, niezależnie od outsourcingu. Pomocny jest dokument EBA Wytyczne w sprawie outsourcingu z 25 lutego 2019 r. (EBA/GL/2019/02).

A) Identyfikacja beneficjenta rzeczywistego — definicja, weryfikacja, struktura własności

Definicja beneficjenta rzeczywistego (BR) z art. 2 ust. 2 pkt 1 Ustawy składa się z definicji ogólnej i szczegółowej:

Definicja ogólna
Każda osoba fizyczna, która sprawuje bezpośrednio lub pośrednio kontrolę nad klientem poprzez posiadane uprawnienia wynikające z okoliczności prawnych lub faktycznych, umożliwiające wywieranie decydującego wpływu na czynności klienta — albo każda osoba fizyczna, w imieniu której są nawiązywane stosunki gospodarcze lub przeprowadzana transakcja okazjonalna.
Definicja szczegółowa
Kryteria ułatwiające wskazanie BR dla opisanych stanów faktycznych (np. próg 25% udziałów dla osób prawnych, lit. a tiret piąte — wyższe stanowisko kierownicze).

Zawsze BR jest osobą fizyczną.

Sposób identyfikacji BR zależy od IO — może korzystać z publicznie dostępnych rejestrów (CRBR), poprosić klienta o dane lub zdobyć je w inny sposób. Dobrą praktyką jest opracowanie przez IO dokumentu dla pracowników z wytycznymi co do sposobu ustalania BR w zależności od formy prawnej klienta. Niezależnie IO powinny dążyć do ustalenia struktury własności i kontroli klienta (art. 34 ust. 1 pkt 2 Ustawy).

Kiedy weryfikacja musi być przeprowadzona?

Co do zasady — przed nawiązaniem stosunków gospodarczych lub przeprowadzeniem transakcji okazjonalnej.

Wyjątek (art. 39 Ustawy) — weryfikacja może zostać zakończona podczas nawiązywania stosunków gospodarczych, jeżeli łącznie spełnione są dwa warunki: jest to konieczne dla zapewnienia ciągłości prowadzenia działalności gospodarczej i występuje niskie ryzyko ML/TF. W takich przypadkach weryfikacja jest przeprowadzana w możliwie krótkim terminie od rozpoczęcia nawiązywania stosunków.

Zawsze jednak identyfikacja i weryfikacja muszą być przeprowadzone przed realizacją transakcji z wykorzystaniem rachunku bankowego, rachunku papierów wartościowych lub rachunku zbiorczego (art. 39 ust. 3 Ustawy).

W obszarze ubezpieczeń na życie identyfikacja i weryfikacja musi być przeprowadzona względem uposażonych po ustaleniu kręgu tych osób, nie później niż w momencie wypłaty świadczenia. W przypadku częściowego lub całkowitego przeniesienia praw z umowy ubezpieczenia, identyfikację i weryfikację BR stosuje się wobec osób uprawnionych z tych umów.

B) Stwierdzenie nawiązania stosunku gospodarczego

Zgodnie z art. 2 ust. 2 pkt 20 Ustawy, stosunki gospodarcze to stosunki IO z klientem związane z działalnością zawodową IO, które w chwili ich nawiązywania wykazują cechę trwałości.

Wytyczne EBA wskazują, że IO powinny określić w Procedurze AML/CFT, jakie działania klienta lub IO uznaje się za nawiązanie stosunków gospodarczych. Ponadto Procedura musi określać, kiedy seria transakcji okazjonalnych — biorąc pod uwagę częstotliwość i regularność — będzie uznana za nawiązanie stosunków gospodarczych. UKNF oczekuje jasnego opisu procesu: zbieranie danych o transakcjach → warunki uznania za nawiązanie → działania, jakie IO podejmie wobec tego klienta.

C) Ocena stosunków gospodarczych — program KYC

IO powinny ustalić cel i zamierzony charakter stosunków gospodarczych (art. 2 ust. 2 pkt 20 Ustawy) na podstawie informacji i dokumentów uzyskanych od klienta, z zewnętrznych baz danych, ze stron internetowych, z przeprowadzanych transakcji oraz innych wiarygodnych informacji.

Dobrą praktyką jest opracowanie programu „Poznaj swojego klienta" (Know your customer, KYC) — standardu postępowania ostrożnościowego obejmującego identyfikację klientów (dążenie do ustalenia prawdziwej tożsamości) oraz monitoring transakcji.

IO mogą dodatkowo wykorzystywać:

  • ankiety odpowiedniości MiFID,
  • ocenę STIR (wskaźnik ryzyka wykorzystywania sektora bankowego/SKOK do wyłudzeń skarbowych — szczególnie VAT).

UKNF wprost ostrzega: nie jest właściwym podejściem opieranie oceny ML/TF klienta wyłącznie na podstawie oceny STIR. STIR uzupełnia, nie zastępuje analizy AML/CFT.

Cel relacji może zostać ustalony z wykorzystaniem informacji o naturze produktów/usług nabywanych przez klienta (np. fundusze inwestycyjne, ubezpieczenia), ale nie powinien ograniczać się tylko do tej wiedzy. Nie można poprzestać na domniemaniu, że klient wszedł w relację z IO, by skorzystać z oferowanych produktów — celem czwartego środka jest umożliwienie monitoringu przez pryzmat wiedzy o kliencie, rodzaju i zakresie jego działalności oraz związanego ryzyka.

D) Bieżący monitoring stosunków gospodarczych — czwarty środek

Art. 34 ust. 1 pkt 4 Ustawy obliguje IO do bieżącego monitorowania stosunków gospodarczych. Wykonanie tego obowiązku składa się z trzech elementów:

  1. analiza transakcji w ramach stosunków gospodarczych — sprawdzenie, czy są zgodne z wiedzą IO o kliencie, rodzaju i zakresie jego działalności oraz z ryzykiem ML/TF;
  2. badanie źródła pochodzenia wartości majątkowych w przypadkach uzasadnionych okolicznościami;
  3. zapewnienie aktualności posiadanych dokumentów, danych lub informacji.

Dopiero realizacja wszystkich obligatoryjnych elementów (a + c, oraz w uzasadnionych przypadkach b) skutkuje wykonaniem czwartego środka bezpieczeństwa.

Kluczowe — IO musi rozpoznać rodzaj i zakres działalności gospodarczej klienta na etapie nawiązywania relacji i aktualizować tę wiedzę w ramach monitoringu i okresowych przeglądów. Komunikat GIIF nr 31 z 22 czerwca 2021 r. wprowadza obowiązek precyzyjnego ustalenia profilu klienta wykorzystywanego do monitoringu stosunków gospodarczych. Profil obejmuje:

  • wartość transferowanych środków (wartość rzeczywistych transakcji nie odbiega od deklaracji klienta);
  • częstotliwość transakcji;
  • rodzaj transakcji (zgodność z deklarowanym rodzajem);
  • przedmiot transakcji (zgodność z deklarowanym profilem działalności);
  • kierunek/kraj transakcji (zgodność z deklaracją klienta).

Procedura AML/CFT musi opisywać:

  • analizę transakcji w ramach stosunków gospodarczych,
  • bieżącą analizę transakcji,
  • wzmożoną analizę w przypadku transakcji nietypowych, złożonych, wysokokwotowych i osób PEP.

Monitoring zautomatyzowany vs manualny

W IO realizujących znaczną liczbę transakcji bieżąca analiza powinna odbywać się z wykorzystaniem programów IT zawierających reguły wyszukujące transakcje potencjalnie podejrzane. Reguły powinny pochodzić z typologii GIIF, FATF lub wiedzy własnej IO i być na bieżąco weryfikowane (zmiany otoczenia, nowe schematy ML/TF).

UKNF zwraca uwagę na cztery praktyczne aspekty: częstotliwość, z jaką reguły wyszukują transakcje; parametryzację reguł (nie powinna pomijać istotnych kryteriów); czas od wygenerowania alertu do jego zamknięcia (w tym sytuacje wymagające skontaktowania się z klientem); kategorie alertów do natychmiastowej analizy (PEP, listy sankcyjne).

Każda analiza alertu (i sam alert) musi być archiwizowana. Właściwym rozwiązaniem jest weryfikowanie zamkniętych alertów przez innego pracownika oraz nadzorowanie procesu przez osobę kierującą komórką AML/CFT.

W IO przeprowadzających niewielką liczbę transakcji analiza może odbywać się manualnie. Powinna obejmować m.in. ustalenie: czy występują operacje charakterystyczne dla danego typu klienta i jego produktu, beneficjentów transakcji, źródła pochodzenia wartości majątkowych klienta (np. na podstawie historii transakcji), powiązań klienta z innymi rachunkami, transakcji realizowanych przez osoby powiązane z rachunkiem oraz weryfikacji informacji medialnych w ogólnodostępnych źródłach.

Każda analiza transakcji powinna kończyć się udokumentowanym wynikiem — jednoznacznym wskazaniem, czy transakcje wskazują na symptomy ML/TF. Wynikowi towarzyszą wnioski uzasadniające decyzję analityka. UKNF dodatkowo wskazuje: perspektywa jednodniowa nie wystarczy do rzetelnej analizy transakcji.

W Procedurze AML/CFT lub odrębnej regulacji IO musi uwzględnić wymogi rozporządzenia 2023/1113 (Travel Rule — informacje towarzyszące transferom środków pieniężnych i kryptoaktywów).

E) Badanie źródła pochodzenia wartości majątkowych — przypadki uzasadnione

IO w Procedurze AML/CFT muszą jednoznacznie określić „przypadki uzasadnione okolicznościami" dla badania źródła pochodzenia środków klienta. Inaczej osoby realizujące proces będą miały wątpliwości, kiedy pozyskać od klienta dodatkowe informacje lub dokumenty.

Okoliczności mogą być określone przez liczbę lub wartość transakcji (łączną lub pojedynczych) oraz przez opisanie określonych działań klienta (w zakresie korzystania z produktu lub działań w aplikacji obsługującej produkt).

Za prawidłowe rozwiązanie UKNF uznaje podejmowanie tych czynności w przypadku nadania klientom wysokiej kategorii ryzyka, transakcji nietypowych dla danego klienta oraz okoliczności świadczących o ML/TF.

Po otrzymaniu dokumentów od klienta niezbędna jest ich analiza — wszystkie zidentyfikowane nieprawidłowości (np. natury formalnej) trzeba wziąć pod uwagę przy ocenie ML/TF.

F) Aktualność danych klienta (art. 34 ust. 1 pkt 4 lit. c)

W ramach tego procesu IO wprowadzają okresowe przeglądy informacji o kliencie, uzależnione od ryzyka. Standard rynkowy akceptowany przez UKNF (rok / 3 lata / 5 lat) i ramy art. 26 rozporządzenia 2024/1624 omawiamy szczegółowo w artykule Kategorie ryzyka klienta i matryca ryzyka.

UKNF podkreśla: nie wystarczy zawarcie w umowie z klientem postanowień nakazujących informowanie o każdej zmianie danych. Aktywne podejmowanie działań mających na celu realizację tego środka jest obowiązkiem IO. W odniesieniu do klientów wysokiego ryzyka proces powinien być bardziej szczegółowy i zindywidualizowany. Aktualizacja danych klienta ma zasadniczy wpływ na zmianę lub utrzymanie kategorii ryzyka.

W przypadku osób fizycznych istotną informacją jest data ważności dokumentu tożsamości — powinna być monitorowana.

G) Dokumentowanie środków bezpieczeństwa finansowego

Każda czynność podjęta w ramach realizacji środków bezpieczeństwa finansowego powinna być udokumentowana w formie papierowej lub elektronicznej, pozwalającej zweryfikować, że obowiązek został wykonany i kiedy. Wyniki analiz transakcji powinny w sposób jednoznaczny wskazywać powody uznania transakcji za potencjalnie podejrzaną lub nie. Procedura AML/CFT powinna określać formę dokumentowania.

Zgodnie z art. 34 ust. 3 Ustawy IO na żądanie organów kontrolnych (art. 130 Ustawy) wykazują, że — przy uwzględnieniu poziomu rozpoznanego ryzyka — zastosowały odpowiednie środki bezpieczeństwa finansowego. To na IO spoczywa obowiązek udowodnienia, że zakres i intensywność zastosowanych środków były właściwe.

Na potrzeby stosowania środków IO mogą przetwarzać informacje z dokumentów tożsamości klienta i osoby upoważnionej oraz sporządzać ich kopie — przy czym mają obowiązek poinformować klienta o tym uprawnieniu, zarówno przed nawiązaniem relacji, jak i przed transakcją okazjonalną. Zawsze obowiązują przepisy RODO (rozporządzenie 2016/679).

Najważniejsze działania do podjęcia

  1. Audyt definicji BR w Procedurze AML/CFT — czy uwzględnia pełną treść art. 2 ust. 2 pkt 1 (definicja ogólna i szczegółowa).
  2. Weryfikacja procesu „cel relacji" — czy IO faktycznie ustala cel poza domniemaniem produktowym.
  3. Audyt profilu klienta — zgodność z Komunikatem GIIF nr 31 (5 elementów).
  4. Test reguł monitoringu — czy parametryzacja nie pomija istotnych kryteriów, czy alerty PEP/sankcyjne są analizowane natychmiast.
  5. Określenie „przypadków uzasadnionych" dla badania źródła wartości majątkowych — w Procedurze AML/CFT, nie w głowie analityka.
  6. Implementacja Travel Rule (rozp. 2023/1113) — w Procedurze lub osobnej regulacji.
  7. Audyt outsourcingu — art. 47 i 48 Ustawy + EBA/GL/2019/02. Odpowiedzialność za środki zostaje na IO.

Jak możemy Ci pomóc?

W Legal Geek wspieramy instytucje obowiązane w opracowaniu Procedury AML/CFT w obszarze środków bezpieczeństwa finansowego — od mapowania obowiązków A–G po praktyczne sformułowanie reguł monitoringu transakcji i procesu KYC. Pomagamy także w obronie analizy stosowania środków podczas kontroli KNF. Skontaktuj się z nami przez formularz kontaktowy.

Co dalej w cyklu?

Źródła

  • Stanowisko UKNF dotyczące procesów AML/CFT, sekcja „Zasad stosowania środków bezpieczeństwa finansowego" — KNF
  • Ustawa z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. 2025 poz. 644 t.j.), art. 2 ust. 2 pkt 1 i 20, art. 34, 35, 37, 39, 41, 47, 48, 130 — ISAP
  • Rozporządzenie PE i Rady (UE) 2023/1113 z 31 maja 2023 r. (Travel Rule) — EUR-Lex
  • Rozporządzenie PE i Rady (UE) nr 910/2014 z 23 lipca 2014 r. (eIDAS) — EUR-Lex
  • Rozporządzenie 2016/679 (RODO) — EUR-Lex
  • Komunikat GIIF nr 31 z 22 czerwca 2021 r. — GIIF
  • Wytyczne EBA/GL/2019/02 z 25 lutego 2019 r. (outsourcing) — EBA
  • Wytyczne EBA/GL/2021/02 z 1 marca 2021 r. (czynniki ryzyka) — EBA