Compliance w praktyce - rozmowa z Lechem Wilczyńskim, ekspertem SystemAML.pl

Biura rachunkowe są instytucjami obowiązanymi od lat, a mimo to wiele z nich wciąż traktuje AML jako zbiór dokumentów „na kontrolę”. Od 10 lipca 2027 r. zacznie się stosowanie unijnego rozporządzenia AMLR, które wprowadza konkretne terminy i wymaga, by każda decyzja dała się odtworzyć z dokumentacji. O tym, co w praktyce sprawia biurom najwięcej trudności, rozmawiamy z Lechem Wilczyńskim, ekspertem AML i compliance, współtwórcą SystemAML.pl.

Z czym biura rachunkowe mają dziś największy problem, jeśli chodzi o obowiązki AML?

Z tym, że AML żyje obok codziennej pracy, a nie w niej. Biuro ma procedurę, często nawet porządnie napisaną, ale przyjęcie klienta odbywa się tak jak zawsze: umowa, dostęp do bankowości, pierwsze dokumenty. Ocena ryzyka, beneficjent rzeczywisty i cel współpracy zostają „na później”, a potem nikt do nich nie wraca.

Drugi problem to przekonanie, że wystarczy zebrać dokumenty. Tymczasem przepisy wymagają oceny. Każda informacja o kliencie powinna być sprawdzona pod kątem tego, czy zmienia poziom ryzyka. Generalny Inspektor Informacji Finansowej mówi wprost, że biuro nie może po prostu odłożyć informacji do bazy, nie zastanawiając się, co ona oznacza.

Dobrze widać to na beneficjencie rzeczywistym. Typowa sytuacja: biuro przyjmuje spółkę, klient wypełnia oświadczenie, że beneficjentem jest prezes, i na tym się kończy. Nikt nie porównuje tego z wpisem w CRBR ani nie sprawdza struktury udziałów. Przy kontroli okazuje się, że w rejestrze figuruje ktoś inny albo wpis jest nieaktualny, a biuro nie potrafi wykazać, że cokolwiek weryfikowało. Tymczasem ustalenie beneficjenta to nie przepisanie oświadczenia, tylko sprawdzenie, kto faktycznie kontroluje klienta, i udokumentowanie tego. Jeśli dane z CRBR nie zgadzają się z ustaleniami biura, rozbieżność trzeba odnotować i wyjaśnić, a jeśli się potwierdzi - zgłosić do organu prowadzącego CRBR wraz z uzasadnieniem i dokumentacją.

Od czego zaczyna się kontrola i co najczęściej wychodzi?

Z naszych doświadczeń wynika, że w pierwszej kolejności pada pytanie o certyfikaty ze szkoleń AML - razem z programem szkolenia. To dobry test na start: pokazuje, czy biuro traktuje obowiązki poważnie, czy tylko ma dokument w szufladzie. Sam certyfikat nie wystarczy, jeśli nie wiadomo, czego szkolenie dotyczyło i czy obejmowało zawiadamianie GIIF oraz ochronę danych osobowych.

Obraz dopełniają informacje o karach, które Ministerstwo Finansów publikuje na gov.pl. Opublikowanych decyzji jest już prawie dwieście i widać w nich wyraźny wzór. Najczęściej powtarzają się te same braki: nieaktualna lub brakująca ocena ryzyka biura (niemal w połowie decyzji), brak lub wadliwa procedura wewnętrzna, brak szkoleń oraz niestosowanie środków bezpieczeństwa finansowego wobec klientów - każde z nich w ponad jednej trzeciej decyzji. Dalej są brak wyznaczonej osoby odpowiedzialnej i brak procedury anonimowego zgłaszania naruszeń.

Drugi punkt, który regularnie wychodzi na kontrolach, to sposób weryfikacji tożsamości reprezentantów klienta. Wiele biur wciąż opiera się na przelewie weryfikacyjnym, a to już nie jest akceptowalna forma potwierdzenia tożsamości - przelew pokazuje tylko, że ktoś ma dostęp do rachunku. Zdalnie tożsamość trzeba potwierdzić profilem zaufanym, mObywatelem, podpisem elektronicznym albo weryfikacją dokumentu tożsamości online.

To są obowiązki podstawowe, a nie skomplikowane przypadki. Najtrudniej jest jednak wtedy, gdy dokumenty są, ale nie da się z nich odtworzyć toku decyzji. Klient ma przypisane „niskie ryzyko”, a nikt nie umie powiedzieć dlaczego.

Ocena ryzyka biura i ocena ryzyka klienta - gdzie biura popełniają błędy?

Najczęściej obie oceny żyją osobno. Ocena ryzyka biura to dokument sporządzany raz na dwa lata, który opisuje ogólne ryzyka branży. Ocena klienta to punktacja w arkuszu, której nikt nie łączy z tym dokumentem. Tak nie powinno być. Jeśli ocena biura mówi, że podwyższone ryzyko niosą spółki z zagranicznym wspólnikiem, to formularz przyjęcia klienta musi o to pytać, a taki klient powinien automatycznie trafiać do szczegółowej analizy.

Drugi błąd to punktacja bez uzasadnienia. Samo „ryzyko: niskie” nie wystarczy. Przy każdym kliencie powinno być kilka zdań: dlaczego taki poziom, jakie czynniki wzięto pod uwagę, jakie środki zastosowano.

Beneficjent rzeczywisty i CRBR: jak w praktyce radzić sobie z rozbieżnościami?

Przede wszystkim nie traktować CRBR jako jedynego źródła. Rejestr to punkt odniesienia, ale dane trzeba porównać z umową spółki, listą wspólników i tym, co biuro wie o kliencie. Jeśli coś się nie zgadza, biuro odnotowuje rozbieżność, wyjaśnia ją z klientem, a gdy się potwierdzi, przekazuje informację z uzasadnieniem i dokumentami.

Warto już teraz przejrzeć klientów pod kątem AMLR. Od 10 lipca 2027 r. próg własności to co najmniej 25%, a nie „więcej niż 25%”, a rozbieżności zgłasza się w ciągu 14 dni kalendarzowych. Wspólnik z dokładnie 25% udziałów, także pośrednio, stanie się beneficjentem rzeczywistym.

Które sygnały w księgach klienta powinny zapalić księgowemu czerwoną lampkę?

Biuro ma tu przewagę nad bankiem: widzi całą księgowość klienta, a nie tylko przepływy na rachunku. Sygnały ostrzegawcze to przede wszystkim operacje niespójne z dotychczasowym profilem działalności, obroty nieproporcjonalne do skali firmy, nagły wzrost częstotliwości transakcji, przelewy od lub do podmiotów, z którymi nie ma uzasadnienia gospodarczego, a także pożyczki od osób niezwiązanych z działalnością.

GIIF zwraca szczególną uwagę na nieprawidłowości przy rachunku VAT: płacenie z niego kwot netto faktur albo pożyczek oraz celowe dzielenie płatności za jedną fakturę. Kiedy księgowy to widzi, nie musi od razu zawiadamiać GIIF. Musi jednak zgłosić wątpliwość osobie odpowiedzialnej za AML w biurze i nie może informować klienta, że jego operacje są analizowane.

AMLR od 10 lipca 2027 r. - co biuro powinno zrobić już teraz, a co może poczekać?

Już teraz warto zrobić to, co i tak trzeba zrobić według obecnej ustawy, ale od razu w strukturze zgodnej z AMLR. Jeśli biuro aktualizuje procedurę albo ocenę ryzyka, niech pisze ją z odwołaniami do obu aktów. Osobny projekt „pod AMLR” w 2027 roku oznacza tę samą pracę wykonaną drugi raz.

Konkretnie teraz:

• wprowadzić rejestr klientów z poziomem ryzyka i datą ostatniej weryfikacji, bo AMLR wymaga przeglądu co najmniej raz w roku przy podwyższonym ryzyku i raz na pięć lat przy pozostałych klientach,
• sprawdzić beneficjentów przy progu 25%,
• ustalić, kto będzie kierownikiem, a kto pracownikiem ds. zapewniania zgodności (w małym biurze może to być jedna osoba).

Na polską ustawę wdrażającą dyrektywę 2024/1640, która określi kary i tryb kontroli, trzeba jeszcze poczekać.

Jak małe, kilkuosobowe biuro może to wszystko udźwignąć bez zatrudniania osobnego specjalisty?

Przepisy są proporcjonalne. Ustawa i AMLR wprost mówią o dostosowaniu do charakteru i wielkości działalności, a w małym biurze obie role związane ze zgodnością może pełnić jedna osoba. Proporcjonalność nie zwalnia jednak z wiedzy. Nawet najmniejsze biuro musi wiedzieć, które obowiązki są krytyczne i kto podejmuje decyzje.

W praktyce wystarczy krótka ocena ryzyka, jedna procedura napisana językiem zespołu, a nie przepisów, kilka formularzy i checklist oraz jasna ścieżka zgłaszania wątpliwości. Do tego systematyczność: stałe terminy przeglądów zamiast akcji przed kontrolą.

Z naszych doświadczeń wynika, że wielkość biura niewiele tu zmienia - małe i duże biura potykają się o te same rzeczy. Trudno uzyskać od klientów formularze AML, a jeszcze trudniej je potem przetworzyć. Brakuje realnego dowodu potwierdzenia tożsamości klienta i jego reprezentantów. Bieżący monitoring nie jest prowadzony. Ktoś zapomina, że szkolenia AML trzeba regularnie powtarzać. Ocena ryzyka została przeprowadzona, ale nie da się tego wykazać, bo nikt jej nie udokumentował. I wreszcie cała wiedza o kliencie opiera się wyłącznie na jego oświadczeniach, bez sprawdzenia ich w rejestrach.

Gdzie technologia realnie pomaga, a gdzie decyzja musi zostać po stronie człowieka?

Trzeba to powiedzieć wprost: część obowiązków jest w praktyce niewykonalna ręcznie. Bieżące monitorowanie klientów to nie jednorazowa czynność przy podpisaniu umowy, tylko stała praca. Listy sankcyjne zmieniają się często. Status osoby zajmującej eksponowane stanowisko polityczne może pojawić się w trakcie współpracy. Zmieniają się wspólnicy, zarządy i beneficjenci. Przy kilkudziesięciu czy kilkuset klientach ręczne sprawdzanie tego wszystkiego w kilku źródłach, regularnie i z udokumentowaniem, zajęłoby więcej czasu niż sama księgowość.

Do tego dochodzi problem, który biura dobrze znają: klienci nagminnie nie informują swojego biura o zmianach. Nowy wspólnik, zmiana w zarządzie, przeniesienie udziałów, nowy beneficjent - biuro często dowiaduje się o tym przypadkiem albo wcale. A odpowiedzialność za aktualne dane i tak spoczywa na biurze.

Dlatego monitoring sankcyjny, sprawdzanie statusu PEP i śledzenie zmian w rejestrach, takich jak KRS, CEIDG i CRBR, trzeba automatyzować. Tu przydają się dedykowane rozwiązania IT. Sprawdzają całą bazę klientów na bieżąco, same wychwytują zmiany i zostawiają ślad, który można pokazać kontrolerowi.

Decyzje muszą jednak zostać po stronie człowieka: przypisanie podwyższonego ryzyka, odmowa przyjęcia klienta, rozwiązanie umowy, zawiadomienie GIIF. System może wskazać sygnał, ale ocena, czy podejrzenie jest uzasadnione, wymaga znajomości klienta i kontekstu. I jeszcze jedno: narzędzie nie zastąpi procesu. Najpierw trzeba ustalić, jak biuro ma działać, a dopiero potem wybierać oprogramowanie, które ten proces obsłuży.

Z tego powodu w SystemAML.pl postawiliśmy na moduł KYC do zdalnej weryfikacji tożsamości klientów i ich reprezentantów oraz na automatyczny monitoring klientów - listy sankcyjne, status PEP i zmiany w rejestrach sprawdzane są na bieżąco, a nie raz w roku.

Jedna rada dla właściciela biura, który chce uporządkować AML w tym roku?

Weź losowo jednego klienta i przejdź jego ścieżkę tak, jak zrobiłby to kontroler. Kiedy go zidentyfikowano? Czy beneficjent rzeczywisty jest ustalony i porównany z CRBR? Dlaczego ma taki poziom ryzyka? Czy od ostatniej weryfikacji coś się zmieniło? Na każdym etapie żądaj dowodu, a nie opisu. Po jednym takim przeglądzie zwykle wiadomo, co trzeba poprawić w całym biurze, i lepiej dowiedzieć się tego samemu niż od kontrolera.

---

Więcej na te tematy piszemy w artykułach AMLR od 10 lipca 2027 r. - co zmienia się dla biur rachunkowych?, Ocena ryzyka klienta - jak to zrobić krok po kroku? oraz w poradniku Jak przygotować biuro rachunkowe do kontroli GIIF?