Are you subject to AML?
Enter your company ID (IČO) and instantly find out whether you're subject to AML regulations
Table of contents
Co to jest system wewnętrznych polityk AML?
System wewnętrznych polityk (SVZ) to dokument wewnętrzny — w praktyce podręcznik AML — który określa, jak twoja firma wypełnia swoje zobowiązania na mocy ustawy AML.
SVZ to nie tylko formalność leżąca w szufladzie. To żywy dokument operacyjny opisujący konkretne procedury identyfikacji klientów, oceny ryzyka, screeningu, zgłaszania podejrzanych transakcji oraz szkolenia pracowników i osób w porównywalne pozycje. Musi odzwierciedlać rzeczywistość twojego biznesu — a nie generyczne szablony pobrane z internetu.
Obowiązek posiadania SVZ dotyczy wszystkich podmiotów zobowiązanych niezależnie od wielkości firmy. Dotyczy to jednakowo agenta nieruchomości z dwoma pracownikami i dużej instytucji finansowej.
Podstawa prawna: ustawa AML
Obowiązek utworzenia systemu wewnętrznych polityk narzuca bezpośrednio ustawa AML. Ustawa stanowi, że podmiot zobowiązany musi wdrażać i stosować wewnętrzne polityki, procedury i środki kontroli w celu zapobiegania praniu pieniędzy i finansowaniu terroryzmu.
Te wewnętrzne polityki muszą w szczególności obejmować:
- Procedury identyfikacji klientów i proper due diligence (identyfikacja i kontrola klientów)
- Ocenę ryzyka na poziomie firmy i dla poszczególnych relacji biznesowych
- Procedury zgłaszania podejrzanych transakcji do Biura Analiz Finansowych (FIU)
- Zasady przechowywania dokumentacji
- Program szkoleniowy dla pracowników i osób w porównywalne pozycje
- Wyznaczenie osoby odpowiedzialnej za zgodność z AML
SVZ musi być dostosowany do specyficznego charakteru, zakresu i charakteru działalności podmiotu zobowiązanego. Generyczne szablony, które ignorują specyfikę twojego sektora, nie spełniają standardu prawnego — i stanie się to widoczne podczas inspekcji FIU.
Co musi zawierać SVZ?
Ani Ustawa, ani przepisy wykonawcze nie prescribują stałej struktury SVZ, ale praktyka i wytyczne FIU określają, co powinien zawierać funkcjonalny SVZ. Oto przegląd kluczowych obszarów:
1. Identyfikacja i ocena ryzyka
SVZ musi opisać, jak firma ocenia ryzyko prania pieniędzy i finansowania terroryzmu. Obejmuje to ocenę ryzyka na poziomie biznesu i ocenę ryzyka na poziomie klienta dla poszczególnych klientów i transakcji.
2. Procedury KYC i CDD
SVZ musi wyraźnie określać, jak przebiega identyfikacja klientów — od dokumentów tożsamości osób fizycznych i z rejestru handlowego dla osób prawnych. Obejmuje to również procedury identyfikacji Ostatecznego Rzeczywistego Właściciela (UBO) klientów korporacyjnych.
3. Wzmocniona identyfikacja i due diligence klienta (Sekcja 9a)
Dla klientów wysokiego ryzyka, osób politycznie eksponowanych (PEP) lub klientów z krajów trzecich wysokiego ryzyka, SVZ musi określać procedury wzmocnionej due diligence.
4. Screening i bieżący monitoring
Dokument musi opisywać, jak firma sprawdza klientów w stosunku do list sankcji UE i ONZ (the international sanctions legislation), rejestrów PEP i negatywnych mediów — i jak monitoring ten odbywa się w sposób ciągły, a nie tylko podczas onboardingu klienta.
5. Zgłaszanie podejrzanych transakcji (OPO)
SVZ musi zawierać jasną procedurę: kto ocenia podejrzane wskaźniki, kto decyduje o złożeniu raportu i jak podejrzana transakcja jest zgłaszana do FIU. Procedura ta musi być praktycznie użyteczna, a nie tylko opisana w ogólnych słowach.
6. Przechowywanie dokumentacji
SVZ określa, które dokumenty są przechowywane, przez jak długo (Ustawa wymaga 10 lat) i w jakim formacie. Dokumentacja musi być dostępna do inspekcji przez FIU.
7. Szkolenie osób zgodnie z przepisami ustawowymi
SVZ musi określać program ciągłego szkolenia z zakresu AML dla pracowników i osób w porównywalne pozycje — zawartość, częstotliwość i metodę weryfikacji. Ustawa wymaga regularnego szkolenia przynajmniej raz w roku.
8. Wyznaczenie osoby odpowiedzialnej
SVZ musi wyraźnie zidentyfikować, kto w firmie ponosi odpowiedzialność za zgodność z AML — tzw. wyznaczona osoba (compliance officer). W mniejszych firmach rolę tę zazwyczaj pełni członek organu statutowego.
Ocena ryzyka AML jako fundament
Ocena ryzyka AML jest kręgosłupem całego systemu wewnętrznych polityk. Bez funkcjonalnej oceny ryzyka niemożliwe jest wdrażanie proporcjonalnych środków — a to właśnie wymaga Ustawa (podejście oparte na ryzyku).
Ocena ryzyka działa na dwóch poziomach:
- Ocena ryzyka biznesowego: Ogólna ocena ryzyk Twojej firmy w odniesieniu do typu klientów, geografii, produktów i kanałów dystrybucji.
- Ocena ryzyka klienta: Indywidualna ocena każdego klienta i transakcji — przypisanie wyniku ryzyka (niskie / średnie / wysokie ryzyko).
Kluczowe czynniki ryzyka, które musisz ocenić:
- Geografia — skąd pochodzi klient i gdzie działa (jurysdykcje wysokiego ryzyka wg FATF, listy szare/czarne UE)
- Typ klienta — osoba fizyczna, jednostka prawna, PEP, beneficjent rzeczywisty
- Produkty i usługi — jaki rodzaj transakcji lub relacji jest nawiązywany
- Kanały dystrybucji — bezpośredni kontakt vs. pośredniczone onboarding
- Źródło środków — skąd pochodzą pieniądze klienta
- Złożoność struktury właścicielskiej — łańcuchy spółek, struktury offshore
Wynikiem oceny ryzyka jest udokumentowane uzasadnienie, dlaczego konkretny klient otrzymał konkretny rating ryzyka — i dlaczego zastosowano lub nie zastosowano wzmocnioną weryfikację.
Kto odpowiada za SVZ?
Ustawa AML stanowi, że ogólna odpowiedzialność za wykonanie zobowiązań AML spoczywa na podmiocie zobowiązanym — jednostce prawnej lub przedsiębiorcy. Wewnątrz firmy określone osoby ponoszą odpowiedzialność za system polityk wewnętrznych:
- Członek organu ustawodawczego — musi być formalnie wyznaczony z pełną odpowiedzialnością za program AML. Odpowiedzialność ta musi być udokumentowana.
- Wyznaczona osoba (oficer ds. compliance) — osoba zajmująca się codziennymi operacjami AML: weryfikacją klientów, ocenę podejrzanych transakcji, koordynowaniem szkoleń. Musi być zarejestrowana w FIU (w ciągu 30 dni od wyznaczenia; zmiany w ciągu 15 dni).
- Pracownicy i osoby współpracujące — każdy pracownik i osoba na porównywalnym stanowisku, która ma kontakt z klientami lub transakcjami, musi być przeszkolona i wiedzieć, jak reagować w przypadku identyfikacji podejrzanych sytuacji.
- Pracownicy i osoby współpracujące — każdy pracownik i osoba na podobnym stanowisku (np. dyrektorzy zarządzający, partnerzy, osoby prowadzące działalność gospodarczą na własny rachunek, osoby współpracujące), która ma kontakt z klientami lub transakcjami, musi być przeszkolona i wiedzieć, jak postępować w przypadku zidentyfikowania podejrzanych sytuacji.
W małych firmach jest zwyczajne, że członek organu ustawodawczego pełni również funkcję wyznaczonej osoby. Nie oznacza to jednak, że odpowiedzialności się łączą — obie role muszą być jasno opisane w SVZ.
Jak utrzymać SVZ w aktualnym stanie
SVZ nie jest dokumentem jednorazowym. Jest to żywy system, który musi odzwierciedlać obecny stan Twojej firmy oraz zmiany w przepisach. FIU zwraca szczególną uwagę podczas inspekcji na to, czy SVZ jest aktualny — czy też jest dokumentem utworzonym raz i nigdy nie zmienianym.
Powinieneś przejrzeć i zaktualizować SVZ, gdy:
- Dojdzie do zmiany w ustawodawstwie AML lub wytycznych FIU
- Rozszerzysz lub zmienisz swoje działalności biznesowe lub portfel produktów
- Wejdziesz na nowe rynki geograficzne lub nabędziesz nowe kategorie klientów
- Zmienią się osoby odpowiedzialne (wyznaczona osoba, członek organu ustawodawczego)
- FIU lub inna władza przeprowadza inspekcję i wydaje zalecenia
- Przeprowadzisz wewnętrzny audyt AML i zidentyfikujesz luki
Jako standard minimalny zalecane jest dokładne przejrzenie SVZ co najmniej raz w roku, z każdym przeglądem udokumentowanym — włącznie z datą i osobą, która go przeprowadziła.
Najczęstsze błędy podczas tworzenia SVZ
Te same typy niedociągnięć pojawiają się wielokrotnie podczas inspekcji FIU. Wiedza o najczęstszych błędach pomoże Ci ich uniknąć:
- Generyczny szablon bez dostosowania: Pobrany szablon, który nie został dostosowany do konkretnego rodzaju działalności, nie spełnia wymogów proporcjonalności prawnej. FIU identyfikuje to natychmiast.
- Brakująca lub czysto formalna ocena ryzyka: Ocena ryzyka, która jedynie stwierdza, że ryzyko jest niskie, bez żadnego uzasadnienia lub metodologii, jest nieadekwatna.
- Nieaktualny dokument: SVZ ważny od 2021 r., który nie został zaktualizowany po zmianach w Ustawie lub zmianach w biznesie, zostanie oceniony jako niezgodny podczas inspekcji.
- Nierealistyczne procedury: SVZ opisuje procedury, których firma faktycznie nie stosuje w praktyce. Rozbieżność między dokumentem a rzeczywistością jest czerwonym sztandarem dla FIU.
- Brak dowodów szkolenia: SVZ opisuje szkolenie pracowników i osób na porównywalnym stanowisku, ale firma nie może wykazać, że szkolenie faktycznie się odbywa — brak zapisów, listy obecności lub testów.
- Niejasne wyznaczenie osoby odpowiedzialnej: SVZ nie określa osoby odpowiedzialnej za AML, lub ta osoba nie jest zarejestrowana w FIU.
Kary za brakujący lub nieadekwatny SVZ
Brak systemu polityk wewnętrznych lub poważne jego niedociągnięcia stanowią wykroczenie administracyjne zgodnie z ustawą AML. FIU może nałożyć grzywnę do 1 miliona CZK (ok. 40 tys. EUR) za to. W poważniejszych przypadkach lub przy powtarzających się naruszeniach kary mogą być wyższe — lub może zostać nałożony zakaz wykonywania danej działalności.
Przegląd odpowiednich kar:
- Brak SVZ lub oceny ryzyka: grzywna do 1 miliona CZK (ok. 40 tys. EUR)
- Niewyznaczenie osoby odpowiedzialnej: kara do 1 000 000 CZK
- Nieadekwatna identyfikacja klienta: grzywna do 10 milionów CZK (ok. 400 tys. EUR)
- Niemożność wykazania szkolenia: grzywna do 5 milionów CZK (ok. 200 tys. EUR)
- Niezgłoszenie podejrzanej transakcji: grzywna do 5 milionów CZK (ok. 200 tys. EUR), do 30 milionów CZK (ok. 1,2 mln EUR) za powtarzające się naruszenia
Ważne: kary nie wymagają dowodu, że firma ułatwiła pranie pieniędzy. Wystarczy ustalić, że zobowiązania nie były formalnie spełnione — nawet jeśli nie powstała żadna podejrzana sprawa.
Podsumowanie i praktyczne rekomendacje
System wewnętrznych polityk AML jest zobowiązaniem prawnym dla każdego podmiotu zobowiązanego — i Twoją najlepszą linią obrony podczas inspekcji FIU. Dobrze przygotowany SVZ, który rzeczywiście odzwierciedla Twoją działalność i jest regularnie aktualizowany, daje Ci pewność: wiesz, co robić i możesz to udowodnić.
Praktyczne rekomendacje w skrócie:
- Utwórz swój SVZ dostosowany do Twojej działalności — nie z generycznego szablonu.
- Upewnij się, że SVZ obejmuje wszystkie wymagane prawnie obszary — od oceny ryzyka do szkolenia.
- Wyznacz i zarejestruj wyznaczoną osobę w FIU.
- Przeprowadzaj i dokumentuj regularne szkolenia pracowników i osób w porównywalnej pozycji.
- Przejrzyj SVZ co najmniej raz w roku i przy każdej istotnej zmianie.
- Upewnij się, że wszystkie kroki AML są możliwe do wykazania — od identyfikacji klienta do oceny ryzyka.
<software>AML PROOF</software> pomaga zarządzać całym SVZ — od oceny ryzyka poprzez identyfikację klienta aż po przygotowanie do inspekcji FIU — w jednym kompleksowym narzędziu.