Zgodnie z ustawą z dnia 1 marca 2018 roku o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, instytucje obowiązane muszą dokonywać identyfikacji oraz oceny ryzyka prania pieniędzy w zakresie, w jakim ryzyko to odnosi się do prowadzonej przez te podmioty działalności. W jaki sposób odbywa się rozpoznawanie ryzyka prania pieniędzy oraz finansowania terroryzmu?
Zgodnie z art. 33 ust. 1 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (t.j. Dz. U. z 2020 r. poz. 971 z późn. zm., dalej również jako „u.p.p.p.”) instytucje obowiązane stosują wobec swoich klientów środki bezpieczeństwa finansowego. Jest to zasada bezwzględna. Oznacza to, że każda instytucja musi więc stosować wskazane w art. 34 u.p.p.p. środki bezpieczeństwa finansowego, w okolicznościach wskazanych w art. 35 u.p.p.p. względem swoich klientów.
Zgodnie z art. 2 ust. 2 pkt 10 u.p.p.p., ilekroć w ustawie jest mowa o kliencie, rozumie się przez to osobę fizyczną, osobę prawną lub jednostkę organizacyjną nieposiadającą osobowości prawnej, której instytucja obowiązana świadczy usługi lub dla której wykonuje czynności wchodzące w zakres prowadzonej przez nią działalności zawodowej, w tym z którą instytucja obowiązana nawiązuje stosunki gospodarcze, lub na zlecenie której przeprowadza transakcję okazjonalną; w przypadku umowy ubezpieczenia przez klienta instytucji obowiązanej rozumie się ubezpieczającego.
W związku z brzmieniem przepisu art. 33 up.p.p.p. środki bezpieczeństwa finansowego muszą być stosowane przez instytucję nie tylko względem podmiotów, z którymi instytucja nawiązała stosunki gospodarcze. Odnosi się to bowiem również do osób i podmiotów, na zlecenie których przeprowadza transakcję okazjonalną. Oczywiście stosowanie środków bezpieczeństwa finansowego względem osób, na zlecenie których instytucja przeprowadza transakcję okazjonalną, nie odbywa się ciągle. Odbywa się to w zakresie i w okolicznościach wskazanych w przepisach ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu.
Przeczytaj również:
Na czym polega pranie brudnych pieniędzy?
Artykuł 2 u. p.p.p. wprowadza w ust. 1 definicję instytucji obowiązanej. Katalog ten zbudowany jest przez wymienienie podmiotów, które w rozumieniu ustawy stanowią instytucje obowiązane, czyli podmioty zobowiązane do wypełniania obowiązków przewidzianych ustawą. Zgodnie z tym przepisem instytucjami obowiązanymi są m.in.:
Instytucje obowiązane rozpoznają ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną. Oceniają też poziom rozpoznanego ryzyka (art. 33 ust. 2 u.p.p.p.). Jest to więc wymóg, aby w toku nawiązywania relacji z klientem, w pierwszej kolejności instytucje rozpoznały ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną. Należy przez to pojęcie rozumieć ogólne rozeznanie się na bazie wiedzy i doświadczenia osoby wypełniającej obowiązki w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu w ryzyku, jakie dana relacja bądź transakcja mogą generować dla instytucji. Na bazie rozpoznanego ryzyka, odnosząc już pozyskane informacje i dokumenty do matrycy oceny ryzyka, stosowanej w instytucji obowiązanej, powinna nastąpić ocena rozpoznanego ryzyka.
Ustawodawca wymaga, aby w ramach procedur wewnętrznych każda instytucja ustanowiła swoistą matrycę oceny ryzyka. Dzięki temu, w oparciu o kryteria obiektywne dotyczące klienta bądź transakcji, instytucja mogłaby przypisać danemu klientowi bądź transakcji okazjonalnej odpowiedni poziom ryzyka prania pieniędzy oraz finansowania terroryzmu. Standardowo praktyka rynku finansowego wskazuje na konieczność wprowadzenia przynajmniej trzech poziomów ryzyka: niskiego, normalnego i wysokiego. Oczywiście skala ta będzie zależeć od wielkości instytucji i skomplikowania jej działalności. Popularne jest wyodrębnianie dodatkowego poziomu ryzyka – nieakceptowalnego. Przyznanie go równoznaczne jest z nienawiązywaniem relacji z klientem bądź rozwiązaniem już istniejącej relacji.
Przepis art. 33 up.p.p. wymaga przeprowadzenia oceny ryzyka, a zatem i przypisania go konkretnemu klientowi bądź transakcji okazjonalnej. Dotyczy to jednak tylko transakcji okazjonalnej w rozumieniu ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Przepis nie nakłada wymogu oceniania pod tym kątem każdej transakcji przeprowadzanej przez instytucje. Należy zwrócić uwagę, że ocena ryzyka nie jest procesem jednorazowym. Ryzyko klienta zmienia się wraz z czasem trwania relacji z instytucją, pozyskiwaniem przez instytucję dodatkowej wiedzy o kliencie i jego zachowaniach. Instytucje powinny uwzględnić w swoich procedurach konieczność zmiany oceny ryzyka klienta w przypadku ujawnienia się jakichkolwiek okoliczności, które mają na nią wpływ, a także w ramach periodycznej ponownej oceny ryzyka związanego z danym klientem.
Przeprowadzona ocena ryzyka stanowi wstępny etap, niezbędny do prawidłowego zastosowania względem klienta środków bezpieczeństwa finansowego, proporcjonalnych do ryzyka prania pieniędzy, jakie klient ten generuje. Jest to proces, który musi oprzeć się na innych kryteriach niż np. ocena ryzyka biznesowego, związanego z klientem. Wymagając przeprowadzenia oceny ryzyka klienta, ustawodawca wskazał, jakie kryteria należy wziąć pod uwagę. I tak, zgodnie z art. 33 ust. 3 u.p.p.p. instytucje obowiązane dokumentują rozpoznane ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz jego ocenę, uwzględniając w szczególności czynniki dotyczące:
W celu zapewnienia uwzględnienia kryteriów ryzyka właściwych dla każdego klienta należy wziąć jednak pod uwagę różne okoliczności, nawet w ramach wyodrębnionych przez ustawodawcę kryteriów. Zamknięcie procesu oceny ryzyka jedynie w oparciu o kryteria wskazane powyżej będzie zatem zasadne tylko dla mniejszych instytucji o prostym profilu działalności. Wraz ze wzrostem skomplikowania instytucji obowiązanej spodziewane jest branie pod uwagę dodatkowych kryteriów (których nie wymieniono wprost w ustawie).