Środki bezpieczeństwa finansowego w praktyce: KYC, monitoring transakcji i zasada twardego stopu

Szkolenie AML, odc. 4 | Kancelaria Sawaryn & Partnerzy

W tym odcinku szkolenia AML prowadzonym przez Kancelarię Sawaryn & Partnerzy omawiamy krok po kroku środki bezpieczeństwa finansowego: od identyfikacji klienta, przez weryfikację beneficjenta rzeczywistego, po monitoring transakcji i zasady postępowania, gdy weryfikacja się nie powiedzie.

5 najważniejszych wniosków

1. Weryfikacja tożsamości to nie formalność. Sama identyfikacja danych nie wystarczy. Musisz potwierdzić, że klient jest tym, za kogo się podaje, zanim nawiążesz współpracę.
2. Zdalna weryfikacja jest legalna i skuteczna. Selfie z dokumentem, przelew na 1 PLN, OSINT i oprogramowanie automatyzujące to metody wprost dopuszczone przez przepisy AML.
3. Ustalenie UBO wymaga więcej niż odpis z rejestru. Dane w CRBR mogą być nieaktualne lub błędne. Twoim obowiązkiem jest samodzielna weryfikacja i udokumentowanie każdego kroku.
4. Monitoring transakcji to proces ciągły, nie jednorazowe sprawdzenie. Szukaj transakcji niestandardowych, nadmiernie skomplikowanych lub pozbawionych celu gospodarczego przez cały czas trwania relacji z klientem.
5. Brak możliwości weryfikacji oznacza zakaz współpracy. Jeśli nie możesz zastosować środków bezpieczeństwa finansowego, nie masz prawa nawiązać ani kontynuować relacji gospodarczej.

Jak to działa w praktyce: procedury, narzędzia, decyzje

Identyfikacja i weryfikacja tożsamości klienta: co sprawdzić i jak to udokumentować

Pierwszym krokiem w każdym procesie KYC jest identyfikacja klienta. W przypadku osoby fizycznej sprawdzasz dowód osobisty lub paszport i zbierasz: imię i nazwisko, PESEL, kraj urodzenia, obywatelstwo oraz NIP (jeśli prowadzi działalność). Dla osób prawnych weryfikujesz dodatkowo formę organizacyjną, adres siedziby, NIP i dane z KRS.

Samo zebranie danych to dopiero połowa pracy. Druga połowa to weryfikacja, czyli potwierdzenie, że dane są prawdziwe, a osoba jest tym, za kogo się podaje.

Jakie metody weryfikacji masz do dyspozycji:

• Okazanie dokumentu tożsamości przy spotkaniu
• Połączenie online z klientem i okazanie dokumentu na wideo
• Selfie z dokumentem (zdalne potwierdzenie tożsamości)
• Przelew weryfikacyjny na 1 PLN (potwierdzenie rachunku bankowego na dane klienta)
• Sprawdzenie w rejestrach publicznych: CEIDG, KRS, rejestry zagraniczne
• OSINT, czyli przegląd publicznie dostępnych źródeł: wyszukiwarka, media społecznościowe, portale branżowe
• Specjalistyczne oprogramowanie do zbierania i zapisywania danych KYC

„Jeżeli nie możemy spotkać się na żywo, to możemy się z taką osobą połączyć online lub możemy prosić ją o wysłanie nam jej zdjęcia, tak zwanego selfie, z dokumentem. (…) Możemy też skorzystać ze specjalistycznego oprogramowania, które pomaga w zbieraniu danych oraz ich zapisywaniu.”
Prelegent, Szkolenie AML, Kancelaria Sawaryn & Partnerzy

Co ważne: weryfikacja tożsamości musi nastąpić przed nawiązaniem stosunków gospodarczych lub przed przeprowadzeniem transakcji okazjonalnej. Nie po. Nie „w ciągu tygodnia”. Przed.

Jeśli Twój zespół zbiera dane ręcznie i wpisuje je do Excela, tracisz czas i zwiększasz ryzyko błędów. Narzędzia takie jak AMLtrack prowadzą zespół przez kolejne kroki procesu, automatyzują zbieranie danych i wymuszają dokumentowanie każdej decyzji. Przy 50 klientach Excel jakoś działa. Przy 500, procedura istnieje wyłącznie na papierze.

Beneficjent rzeczywisty (UBO) i monitoring transakcji: dwa obszary, w których firmy popełniają najwięcej błędów

Ustalenie UBO

Beneficjent rzeczywisty (UBO) to osoba fizyczna, która sprawuje kontrolę nad klientem, bezpośrednio lub pośrednio, przez udziały, prawo głosu, powiązania osobowe lub inne mechanizmy dające realny wpływ. Ustalenie UBO jest obowiązkowe przy każdej relacji z klientem niebędącym osobą fizyczną: spółką, fundacją, stowarzyszeniem.

Sam wpis w CRBR (Centralny Rejestr Beneficjentów Rzeczywistych) nie wystarczy. Dane w rejestrze mogą być nieaktualne, niekompletne lub błędne. Twoim obowiązkiem jest:

• Porównać dane z CRBR z odpisem z KRS i umową spółki
• Sprawdzić, czy struktura właścicielska nie jest wielopoziomowa
• Sięgnąć po rejestry zagraniczne, jeśli klient to podmiot z innego kraju
• Zapytać klienta wprost o strukturę kontroli, jeśli dokumenty nie dają jasnego obrazu
• Udokumentować każdy krok weryfikacji

GIIF sprawdza nie tylko to, czy ustaliłeś UBO, ale czy potrafisz pokazać, jak do tego doszedłeś. Brak śladu decyzyjnego to problem nawet wtedy, gdy sam wynik jest prawidłowy. Jeśli Twój proces KYC kończy się na pobraniu odpisu z rejestru, masz do uzupełnienia co najmniej kilka kroków.

Monitoring stosunków gospodarczych

Monitoring transakcji to nie jednorazowa czynność przy onboardingu. To ciągły proces, który trwa przez cały okres relacji z klientem. W praktyce oznacza to zwracanie uwagi na konkretne sygnały:

• Czy transakcja jest niestandardowa lub niezwykła dla profilu danego klienta?
• Czy transakcja ma sens gospodarczy, czy usługa jest adekwatna do ceny?
• Czy transakcja nie jest sztucznie podzielona na kilka mniejszych (tzw. structuring)?
• Czy klient nalega na transakcje gotówkowe bez dokumentacji finansowej?
• Czy cokolwiek w związku z transakcją wzbudza Twoje podejrzenia?

„Chodzi więc przede wszystkim o wyszukiwanie przez instytucje obowiązane transakcji niestandardowych, nadmiernie skomplikowanych, albo takich, które zdają się nie mieć wyraźnego celu gospodarczego.”
Prelegent, Szkolenie AML, Kancelaria Sawaryn & Partnerzy

Żaden z tych sygnałów sam w sobie nie oznacza naruszenia. Ale każdy wymaga reakcji: zapytania klienta o wyjaśnienie, udokumentowania odpowiedzi i podjęcia decyzji, czy profil ryzyka się zmienił. Jeśli Twój monitoring opiera się wyłącznie na progach kwotowych, pomijasz większość sytuacji, które naprawdę wymagają uwagi.

Wzmożone (EDD), uproszczone (SDD) środki bezpieczeństwa i zasada twardego stopu

Trzy poziomy weryfikacji

Przepisy AML przewidują zróżnicowane podejście do weryfikacji w zależności od poziomu ryzyka:

Uproszczone środki bezpieczeństwa (SDD) stosujesz, gdy ryzyko AML jest niskie. Przykłady: klient to jednostka sektora finansów publicznych, spółka giełdowa, rezydent państwa UE o niskim poziomie korupcji, a transakcje są dokonywane wyłącznie za pośrednictwem rachunków bankowych.

Standardowe środki bezpieczeństwa stosujesz dla większości klientów. Obejmują identyfikację, weryfikację tożsamości, ustalenie UBO i ocenę celu relacji gospodarczej.

Wzmożone środki bezpieczeństwa (EDD) stosujesz, gdy ryzyko jest podwyższone. Sytuacje wymagające EDD to m.in.:

• Klient ma status PEP (osoba na eksponowanym stanowisku politycznym)
• Klient działa w branży podwyższonego ryzyka (paliwa, tytoń, hazard, kryptowaluty, konsulting)
• Klient posiada skomplikowaną strukturę utrudniającą identyfikację UBO
• Klient korzysta z usług sprzyjających anonimowości
• Transakcje realizowane są bez fizycznej obecności klienta i bez kwalifikowanego podpisu
• Klient pochodzi z państwa wysokiego ryzyka lub jest objęty sankcjami

Stosowanie EDD do każdego klienta to jeden z najczęstszych błędów. Onboarding trwa tydzień, konwersja spada, zespół sprzedaży omija procedurę. Twoja procedura powinna zawierać matrycę ryzyka, która jasno określa, kto trafia na który poziom weryfikacji.

Zasada twardego stopu

Jeśli nie możesz zastosować środków bezpieczeństwa finansowego, bo nie udaje się ustalić pełnych danych klienta, danych beneficjenta rzeczywistego albo klient odmawia podania wymaganych informacji, jest tylko jedno rozwiązanie: odmowa transakcji lub rozwiązanie współpracy.

To nie rekomendacja. To obowiązek ustawowy.

Wpisz w procedurę konkretny punkt, w którym Twój zespół wie, że dalsza obsługa jest niemożliwa. Bez eskalacji do zarządu. Bez „damy mu jeszcze tydzień”. GIIF przy kontroli szuka takich przypadków odmowy. Jeśli ich nie znajdzie, uzna, że procedura nie działa.

Kiedy uruchomić twardy stop:

• Klient nie potwierdził tożsamości w wyznaczonym terminie
• Nie udało się ustalić beneficjenta rzeczywistego
• Klient odmawia podania źródła środków przy transakcji o podwyższonym ryzyku
• Dane w dokumentach są niespójne i klient nie wyjaśnia rozbieżności

Jak wdrożyć te zasady w swojej firmie

Krok 1: Przejrzyj obecną procedurę AML. Otwórz ją. Sprawdź datę ostatniej aktualizacji. Znajdź punkt, w którym pada słowo „odmowa” lub „rozwiązanie”. Jeśli go nie ma, masz lukę do zamknięcia.

Krok 2: Przypisz obowiązki do konkretnych osób. Kto weryfikuje klienta? Kto zatwierdza transakcję podwyższonego ryzyka? Kto robi przegląd co kwartał? Bez przypisania odpowiedzialności procedura to tylko dokument.

Krok 3: Zbuduj matrycę ryzyka. Określ, które kategorie klientów trafiają na SDD, które na standardowe środki, a które na EDD. Dopasuj zakres weryfikacji do poziomu ryzyka, zamiast stosować maksimum do wszystkich.

Krok 4: Ustal metody zdalnej weryfikacji i opisz je w procedurze. Selfie z dokumentem, przelew weryfikacyjny, OSINT. Zdecyduj, które akceptujesz, i daj zespołowi jasne instrukcje.

Krok 5: Wdróż narzędzie, które wymusza kolejność kroków. Nie polegaj na pamięci zespołu. Narzędzia takie jak AMLtrack prowadzą przez proces krok po kroku, automatyzują powtarzalne czynności i dokumentują każdą decyzję.

Krok 6: Zacznij dokumentować. Każdą decyzję, każdą odmowę, każdy przegląd. Format nie ma znaczenia. Ślad decyzyjny ma. GIIF nie pyta, czy masz procedurę. Pyta, czy potrafisz udowodnić, że ją stosujesz.

Procedura AML, która działa, to ta, którą potrafisz udowodnić

Obsługa prawna firm, które podlegają obowiązkom AML, wymaga połączenia wiedzy regulacyjnej z praktycznym podejściem do procesów. Obsługa prawna spółek w sektorze finansowym, fintechach czy e-commerce oznacza dziś nie tylko przygotowanie dokumentów, ale zaprojektowanie systemu, który działa przy rosnącej skali.

Procedura AML leżąca w folderze z datą modyfikacji sprzed trzech lat to nie zabezpieczenie. To dowód na to, że wiedziałeś, co robić, i tego nie robiłeś. Dobrze zaprojektowany system AML porządkuje decyzje, automatyzuje powtarzalne czynności i daje zarządowi kontrolę nad ryzykiem, bez spowalniania onboardingu i relacji z klientami.

Jeśli planujesz skalować bazę klientów, wejść na nowe rynki albo uporządkować procesy compliance przed kontrolą GIIF, zacznij od przeglądu tego, co masz. Często wystarczy zmiana kolejności kroków, jedno narzędzie automatyzujące i jasne reguły decyzji.

Skontaktuj się z nami, aby uporządkować proces KYC, wdrożyć monitoring transakcji i przygotować procedury gotowe na kontrolę.

Obejrzyj szkolenie

Obejrzyj pełny odcinek szkolenia AML: