Najważniejsze obowiązki instytucji obowiązanej w świetle ustawy „AML”

Identyfikacja klienta, beneficjenta oraz weryfikacja tożsamości klienta, osoby upoważnionej, beneficjenta rzeczywistego wskazana w ustawie z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (w skrócie u.p.p.p.) wpisuje się w wyrażaną przez europejskiego regulatora zasadę bezwzględnego stosowania przez instytucje obowiązane środków bezpieczeństwa finansowego.

Zakres środków bezpieczeństwa finansowego

Instytucje obowiązane wymienione w art. 2 ust. 1 u.p.p.p. w ramach stosowania środków bezpieczeństwa finansowego powinny przede wszystkim:

• dokonać identyfikacji i weryfikacji tożsamość klienta (w rozumieniu art. 2 ust. 2 pkt 10 u.p.p.p.) oraz osoby upoważnionej do działania w jego imieniu;
• dokonać identyfikacji tożsamość beneficjenta rzeczywistego klienta (w rozumieniu art. 2 ust. 2 pkt 1 u.p.p.p) oraz podjąć uzasadnione działania w celu weryfikacji jego tożsamości;
• ustalić strukturę własności i kontroli – w przypadku klienta będącego osobą prawną, jednostką organizacyjną nieposiadającą osobowości prawnej lub trustem;
• ocenić stosunki gospodarcze i stosownie do sytuacji uzyskuje informacje na temat ich celu i zamierzonego charakteru.

Weryfikacja tożsamości klienta i beneficjenta rzeczywistego powinna nastąpić przed nawiązaniem stosunków gospodarczych lub przeprowadzeniem transakcji okazjonalnej. Gdy występuje niskie ryzyko prania pieniędzy oraz finansowania terroryzmu można poprzestać na weryfikacji tożsamości klienta i beneficjenta rzeczywistego podczas nawiązywania stosunków gospodarczych.

Identyfikacja klienta, o której mowa w art. 36 u.p.p.p., obejmuje:

• w przypadku osób fizycznych ustalenie:

• imienia i nazwiska;
• obywatelstwa;
• numeru PESEL lub daty urodzenia - w przypadku, gdy nie nadano numeru PESEL, oraz państwa urodzenia;
• serii i numeru dokumentu stwierdzającego tożsamość osoby;
• adresu zamieszkania – w przypadku jego posiadania przez instytucję obowiązaną;
• nazwy (firmy), NIP, adresu głównego miejsca wykonywania działalności gospodarczej – w przypadku osoby fizycznej prowadzącej działalność gospodarczą.

• w przypadku osób prawnych lub jednostek organizacyjnych nieposiadających osobowości prawnej ustalenie:

• nazwy (firmy);
• formy organizacyjnej;
• adresu siedziby lub adresu prowadzenia działalności;
• NIP, a w przypadku braku takiego numeru - państwa rejestracji, nazwy właściwego rejestru oraz numer i daty rejestracji;
• danych identyfikacyjnych (imienia i nazwiska, nr PESEL lub daty urodzenia - w przypadku, gdy nie nadano numeru PESEL, oraz państwa urodzenia) osoby reprezentującej tę osobę prawną lub jednostkę organizacyjną nieposiadającą osobowości prawnej.

Identyfikacja osoby upoważnionej do działania w imieniu klienta obejmuje ustalenie danych, tj.: imienia i nazwiska, obywatelstwa, numeru PESEL lub daty urodzenia - w przypadku, gdy nie nadano numeru PESEL, oraz państwa urodzenia, serii i numeru dokumentu stwierdzającego tożsamość osoby.

Identyfikacja beneficjenta rzeczywistego obejmuje ustalenie jego imienia i nazwiska, a w przypadku posiadania informacji przez instytucję obowiązaną - również danych, tj.: obywatelstwa, numeru PESEL lub daty urodzenia - w przypadku, gdy nie nadano numeru PESEL, oraz państwa urodzenia, serii i numeru dokumentu stwierdzającego tożsamość osoby, adresu zamieszkania.

Proces identyfikacji i przeprowadzenie oceny ryzyka co do każdego klienta wymaga szczegółowych procedur wewnętrznych, stworzonych przez każdą instytucję obowiązaną.

Ustalanie danych klienta dokonywane jest z jego dokumentów tożsamości.

W świetle obecnie obowiązujących przepisów za dokument tożsamości uznaje się:

• dowód osobisty;
• dokument paszportowy (paszport, paszport tymczasowy, paszport dyplomatyczny, paszport służbowy Ministerstwa Spraw Zagranicznych) – art. 2 ust. 2 ustawy o dokumentach paszportowych z dnia 13 lipca 2006 r. (wersja oczekująca ustawy z dnia 27 stycznia 2022 r.; art. 2 ust. 4 – wejście w życie 27 marca 2022 r.);
• kartę pobytu;
• dokument potwierdzający prawo stałego pobytu;
• książeczkę żeglarską;
• żołnierską kartę tożsamości.

Ustawowy wymóg nałożony na instytucje obowiązane, aby zidentyfikowały beneficjenta rzeczywistego klienta, jest obowiązkiem bezwzględnym. W każdym przypadku, gdy klientem jest osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej, należy ustalić, kto jest jej beneficjentem rzeczywistym. W przypadku osób fizycznych i osób fizycznych prowadzących działalność gospodarczą można przyjąć, że to klient jest swoim beneficjentem rzeczywistym, chyba że ujawnią się przesłanki wskazujące, np. na to, że klient jest sterowany przez osobę trzecią.

W zależności od poziomu ryzyka klienta trzeba będzie podjąć adekwatne działania sprawdzające. W pierwszej kolejności klient powinien przedłożyć stosowne oświadczenia. Instytucje obowiązane powinny także pozyskać dokumenty pozwalające na prawidłowe ustalenie beneficjenta rzeczywistego klienta. Należy przyjąć, że poleganie na oświadczeniu klienta jest możliwe tylko w przypadku niskiego ryzyka prania pieniędzy bądź finansowania terroryzmu.

Oprócz samej identyfikacji beneficjenta rzeczywistego, ustawodawca nałożył na instytucje obowiązane obowiązek podejmowania uzasadnionych czynności w celu weryfikacji jego tożsamości oraz ustalenia struktury własności i kontroli – w przypadku klienta będącego osobą prawną albo jednostką organizacyjną nieposiadającą osobowości prawnej.

Przez podejmowanie uzasadnionych czynności należy rozumieć podjęcie takich działań, m.in. takich jak: poszukiwanie informacji, pozyskanie dokumentów, nawet jeśli wiązałoby się to z dodatkowymi kosztami, np. poniesieniem opłaty za udostępnienie informacji z zagranicznego rejestru handlowego lub sądowego.

Ustalenie struktury własności i kontroli klienta może odbywać się m.in. w oparciu o pozyskane informacje od klienta czy graficzne schematy struktury organizacyjnej lub właścicielskiej.

Ocena stosunków gospodarczych Powinna bazować na całokształcie wiedzy o kliencie, jaką instytucja obowiązana posiada.

Uzyskanie informacji na temat celu i zamierzonego charakteru stosunków gospodarczych z klientem powinno być prowadzone stosownie do sytuacji, a nie w każdym przypadku.

Cel i zamierzony charakter stosunków gospodarczych mogą wynikać ze specyfiki produktu, usługi, transakcji lub z sytuacji.

Wynik przeprowadzonej oceny stosunków gospodarczych z klientem będzie miał wpływ zarówno na przyznaną klientowi kategorię ryzyka, jak i niekiedy na obowiązek złożenia do Generalnego Inspektora Informacji Finansowej (w skrócie: GIIF) zawiadomienia, o którym mowa w art. 74 lub art. 86 u.p.p.p.

Bieżące monitorowanie stosunków gospodarczych.

Ustawodawca wymaga, aby instytucja obowiązana na bieżąco była w stanie stwierdzić, czy przeprowadzane przez klienta transakcje bądź inne zachowania klienta, nie powodują konieczności skierowania do GIIF zawiadomienia w trybie art. 74 u.p.p.p. lub art. 86 u.p.p.p.

Bieżące monitorowanie stosunków gospodarczych polega na:

• analizie transakcji przeprowadzanych w ramach stosunków gospodarczych w celu zapewnienia, że transakcje te są zgodne z wiedzą instytucji obowiązanej o kliencie, rodzaju i zakresie prowadzonej przez niego działalności oraz zgodne z ryzykiem prania pieniędzy oraz finansowania terroryzmu związanym z tym klientem;
• badaniu źródła pochodzenia wartości majątkowych będących w dyspozycji klienta - w przypadkach uzasadnionych okolicznościami;
• zapewnieniu, że posiadane dokumenty, dane lub informacje dotyczące stosunków gospodarczych są na bieżąco aktualizowane.

Analiza transakcji pozwoli na wykrycie działań klienta, które powodują, że klient stwarza wyższe - niż wstępnie ustalono - ryzyka prania pieniędzy bądź finansowania terroryzmu.

Analiza może składać się z etapów lub obejmować różne czasookresy.

Badaniem źródła pochodzenia wartości majątkowych będzie: ustalenie, z jakiego źródła pochodzą środki, które klient deponuje w instytucji obowiązanej bądź używa do przeprowadzenia konkretnej transakcji.

Zapewnienie, że posiadane dokumenty, dane lub informacje dotyczące stosunków gospodarczych są na bieżąco aktualizowane, instytucja obowiązana wykaże, np. poprzez wprowadzenie periodycznego przeglądu informacji o kliencie. Powinien być to proces, którego zadaniem jest faktyczne pozyskanie nowych i aktualnych informacji o kliencie. Ponadto proces powinien prowadzić do zweryfikowania wszystkich informacji o kliencie, które mają wpływ na ocenę ryzyka.

Złożoność przeglądu informacji będzie przede wszystkim uzależniony od poziomu ryzyka generowanego przez klienta. W przypadku klientów podwyższonego ryzyka, proces powinien być bardziej szczegółowy i zindywidualizowany.

Instytucje obowiązane, stosując środki bezpieczeństwa finansowego, o których mowa w art. 34 ust. 1 pkt 1 i 2 u.p.p.p. identyfikują osobę upoważnioną do działania w imieniu klienta oraz weryfikują jej tożsamość i umocowanie do działania w imieniu klienta.

Podsumowanie

Prawidłowo przeprowadzona identyfikacja i weryfikacja klienta pozwolą na uznanie transakcji danego klienta za typowe dla jego działalności lub zakwalifikowanie danych przypadków do poddania analizie pod kątem przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu.

Instytucje obowiązane ustalają czy w danym przypadku występuje wyższe ryzyko prania pieniędzy lub finansowania terroryzmu. Rozpoznanie ryzyka prania pieniędzy i finansowania terroryzmu bada się przez pryzmat danego stosunku gospodarczego lub transakcji okazjonalnej. Gdy stosunki gospodarcze z klientem ulegną znaczącym zmianom, uniemożliwiającym ich kontynuowanie, może skutkować zakończeniem wszystkich relacji z klientem.

Nawiązywanie stosunków gospodarczych lub przeprowadzanie transakcji okazjonalnej bez fizycznej obecności klienta obliguje instytucję obowiązaną do zastosowania wzmożonych środków bezpieczeństwa finansowego.

Czy zatem weryfikacja i identyfikacja w oparciu o metody wykorzystujące nowe technologie, w tym metody biometryczne będą uznane za powszechne i bezpieczne? Jeśli tak to jakie warunki instytucje obowiązane będą musiały spełnić, aby takie metody swobodnie stosować?