Identyfikacja i weryfikacja klienta KYC – w ramach procedury Know Your Customer

Procedura Know Your Customer (KYC), znana w Polsce jako Poznaj Swojego Klienta (PSK), stanowi kluczowy element systemu przeciwdziałania praniu pieniędzy (AML) i finansowaniu terroryzmu (CFT). KYC jest zdefiniowana jako procedura należytej staranności oraz regulacja bankowa, którą muszą przeprowadzać instytucje finansowe oraz inne podmioty prawnie zobowiązane. Jej głównym celem jest ustalenie tożsamości klientów w celu zapobiegania praniu pieniędzy, finansowaniu terroryzmu, oszustwom finansowym oraz kradzieży tożsamości.

KYC stanowi kluczowy zestaw działań w całym procesie AML i jest składową tzw. środków bezpieczeństwa finansowego.  Identyfikacja i weryfikacja klienta są fundamentalnymi filarami skutecznej polityki KYC i całego systemu AML. Należy jednak podkreślić, że samo przeprowadzenie procedury KYC nie jest wystarczające do pełnego spełnienia obowiązków ustawowych w zakresie AML.

Obowiązek identyfikacji i weryfikacji klienta w procedurze Know Your Customer

Obowiązek stosowania procedur KYC wynika bezpośrednio z przepisów prawa, w tym z polskiej ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, która implementuje dyrektywy Unii Europejskiej. Instytucje obowiązane są prawnie zobligowane do posiadania i stosowania wewnętrznej procedury AML. Zapisy dotyczące identyfikacji i weryfikacji klientów są kluczową częścią tej procedury. Szczegółowy zakres danych podlegających identyfikacji określony jest w art. 36 ustawy, natomiast sposób weryfikacji w art. 37 ustawy.

Lista podmiotów obejmuje szeroki zakres branż, w tym m.in. instytucje finansowe, banki, pośredników nieruchomości, biura rachunkowe oraz podmioty zajmujące się obrotem walutami wirtualnymi. Każda firma prowadząca działalność w wymienionych branżach ma obowiązek stosowania przepisów AML i wykonywania procedury KYC.

Niezależnie od ustawowego obowiązku, stosowanie procedury KYC, nawet na niewielką skalę, jest rekomendowane dla każdego przedsiębiorcy. Umożliwia to weryfikację, czy dana osoba lub podmiot nie jest objęty sankcjami, co jest obowiązkiem każdego przedsiębiorcy. 

Wymagania procedury KYC w zakresie identyfikacji i weryfikacji klienta

Procedura KYC jest procesem dynamicznym i wieloetapowym. Choć specyficzne metody mogą się różnić w zależności od instytucji, podstawowe elementy powinny być spójne. Główne etapy obejmują:

1. Pozyskanie danych klienta (Identyfikacja – CIP – Customer Information Program): Ten etap polega na zebraniu podstawowych danych identyfikacyjnych o kliencie.
   • W przypadku osób fizycznych, dane wymagane do identyfikacji obejmują m.in. imię i nazwisko, obywatelstwo, PESEL (lub datę urodzenia w przypadku braku PESEL), kraj urodzenia, serię i numer dokumentu tożsamości oraz adres zamieszkania. Należy również pozyskać oświadczenie o statusie PEP (osoba zajmująca eksponowane stanowisko polityczne) bądź RCA. W uzasadnionych przypadkach można dopytać o źródło pochodzenia środków przeznaczanych na wykonanie umowy.
   • W przypadku podmiotów innych niż osoby fizyczne (osób prawnych, jednostek organizacyjnych nieposiadających osobowości prawnej), identyfikacja obejmuje zebranie danych takich jak nazwa/firma, siedziba/adres, NIP, REGON oraz charakter działalności. Kluczowe jest także ustalenie listy beneficjentów rzeczywistych. Identyfikacja beneficjenta rzeczywistego obejmuje ustalenie danych identyfikacyjnych, przede wszystkim imienia i nazwiska. W przypadku posiadania przez instytucję obowiązaną informacji, identyfikacja beneficjenta rzeczywistego może obejmować również inne dane identyfikacyjne.
   • Instytucje obowiązane identyfikują również osobę upoważnioną do działania w imieniu klienta, ustalając jej dane identyfikacyjne, takie jak imię, nazwisko, obywatelstwo, PESEL lub data urodzenia, kraj urodzenia, serię i numer dokumentu tożsamości oraz adres zamieszkania.
   • Identyfikacja obejmuje także uzyskanie informacji o celu i zamierzonym charakterze stosunków gospodarczych, jak również dotychczasowej działalności kontrahenta. W uzasadnionych okolicznościach, zwłaszcza przy podwyższonym ryzyku lub w przypadku wątpliwości, należy dopytać o źródło pochodzenia środków.
2. Weryfikacja danych klienta (Weryfikacja tożsamości): Po pozyskaniu danych, niezbędne jest zweryfikowanie ich prawdziwości. Weryfikacja tożsamości klienta, osoby upoważnionej oraz beneficjenta rzeczywistego polega na potwierdzeniu ustalonych danych identyfikacyjnych.

• Metody weryfikacji obejmują:
  • Weryfikację na podstawie dokumentu stwierdzającego tożsamość osoby fizycznej (np. dowód osobisty, paszport). W przypadku nawiązywania relacji na odległość, instytucje obowiązane powinny dobierać środki umożliwiające realną weryfikację cech charakterystycznych dokumentu poświadczającego tożsamość. Pracownicy powinni być szkoleni w zakresie identyfikowania dokumentów podrobionych.
    • Weryfikację na podstawie dokumentu zawierającego aktualne dane z właściwego rejestru (dla osób prawnych), takiego jak KRS czy CEIDG, lub innych wiarygodnych danych/informacji, w tym ze środków identyfikacji elektronicznej.
    • Weryfikację na podstawie innych dokumentów, danych lub informacji pochodzących z wiarygodnego i niezależnego źródła. Przykładowo, można poprosić klienta o wykonanie przelewu weryfikacyjnego z jego osobistego rachunku bankowego. W przypadku relacji nawiązywanych na odległość, można zastosować dodatkowe środki, takie jak zapewnienie, że pierwsza płatność pochodzi z konta klienta w instytucji podlegającej dyrektywie ML.
    • W przypadku osoby upoważnionej do działania w imieniu klienta obejmują weryfikację jej tożsamości i umocowania do działania.
    • Weryfikacja tożsamości klienta powinna obejmować także zapytania dotyczące celu i charakteru działalności.
• W ramach weryfikacji należy przeprowadzić sprawdzenia w odpowiednich rejestrach i listach:
  • Rejestr beneficjentów rzeczywistych (np. CRBR),
  • Listy sankcyjne (krajowe i międzynarodowe),
  • Bazy PEP (Osoby Eksponowane Politycznie),
  • Lista ostrzeżeń KNF,
  • Zestawienia krajów i PKD branż podwyższonego ryzyka.

Identyfikacja i weryfikacja beneficjenta rzeczywistego

Elementem środków bezpieczeństwa finansowego jest również identyfikacja beneficjenta rzeczywistego klienta oraz podjęcie uzasadnionych czynności w celu weryfikacji jego tożsamości. W przypadku klienta będącego osobą prawną, jednostką organizacyjną nieposiadającą osobowości prawnej lub trustem, konieczne jest ustalenie struktury własności i kontroli. Obejmuje to identyfikację osoby fizycznej, która ostatecznie posiada lub kontroluje podmiot (np. poprzez posiadanie więcej niż 25% udziałów lub głosów) lub w inny sposób sprawuje nad nim kontrolę, w tym na wyższym szczeblu kierowniczym.

Należy podjąć uzasadnione środki w celu weryfikacji tożsamości beneficjenta rzeczywistego. Dostęp do informacji o beneficjentach rzeczywistych powinien być zapewniony osobom z uzasadnionym interesem, a proces identyfikacji nie powinien prowadzić do dyskryminacji. Wykorzystanie danych z Centralnego Rejestru Beneficjentów Rzeczywistych (CRBR) stanowi część tego procesu. W przypadku stwierdzenia niezgodności danych w CRBR, instytucje obowiązane obsługujące taki podmiot powinny zgłosić informację o niezgodności i przeprowadzić analizę w celu identyfikacji prawidłowych danych, a następnie przekazać te wyniki do CRBR.,

Pozostałe kluczowe elementy Procedury KYC w kontekście identyfikacji i weryfikacji

Procedura KYC obejmuje także inne elementy, które są ściśle powiązane z identyfikacją i weryfikacją danych.

Przechowywanie, bieżące monitorowanie i aktualizacja danych

Zebrane i zweryfikowane dane oraz dokumenty dotyczące klienta i beneficjenta rzeczywistego muszą być odpowiednio zarchiwizowane i przechowywane. Jest to niezbędne m.in. w celu wykazania spełnienia obowiązków podczas kontroli. Informacje te powinny być przechowywane w bezpiecznym miejscu z dostępem wyłącznie dla osób uprawnionych. Przetwarzanie danych osobowych musi być zgodne z przepisami prawa, takimi jak RODO, i ograniczać się do minimalnej ilości niezbędnych danych. Dane przechowuje się przez okres wymagany ustawą, np. 5 lat od zakończenia stosunków gospodarczych.

Wiedza o kliencie, uzyskana w procesie KYC (identyfikacji i weryfikacji), jest kluczowa dla bieżącego monitorowania stosunków gospodarczych. Monitorowanie polega na analizie transakcji przeprowadzanych w ramach stosunków gospodarczych w celu zapewnienia, że są one zgodne z wiedzą instytucji obowiązanej o kliencie, rodzaju i zakresie jego działalności oraz z rozpoznanym ryzykiem AML/CFT. Ciągła należyta staranność odnosi się właśnie do monitorowania klientów i ich aktywności.

Procedura KYC nie jest jednorazowym działaniem. Instytucje obowiązane mają obowiązek dbać o to, aby zebrane dane były na bieżąco aktualizowane. Należy regularnie sprawdzać, czy dane klienta nie uległy zmianie. W przypadku informacji o zmianie danych klienta lub beneficjenta rzeczywistego, a także w przypadku wątpliwości co do prawdziwości lub kompletności dotychczasowych danych, należy przeprowadzić procedurę KYC ponownie. Bieżące monitorowanie stosunków gospodarczych obejmuje zapewnienie, że posiadane dokumenty, dane lub informacje są na bieżąco aktualizowane.

Identyfikacja i weryfikacja w kontekście oceny ryzyka

Zebrane dane w ramach identyfikacji i weryfikacji klienta są niezbędne do przeprowadzenia analizy i oceny ryzyka prania pieniędzy oraz finansowania terroryzmu związanego z danym klientem lub transakcją. Identyfikacja i weryfikacja są integralną częścią procesu oceny ryzyka klienta. Na podstawie pozyskanych danych instytucja obowiązana ustala profil ryzyka klienta.

Poziom i intensywność stosowania środków bezpieczeństwa finansowego, w tym weryfikacji tożsamości klienta, powinny uwzględniać rozpoznane ryzyko prania pieniędzy oraz finansowania terroryzmu.

• W przypadku niższego ryzyka, instytucje obowiązane mogą stosować uproszczone środki bezpieczeństwa finansowego, co może polegać na ograniczeniu ilości dokumentów weryfikowanych. Nie oznacza to jednak ograniczenia ilości danych, które muszą zostać zidentyfikowane. Możliwe jest również zmniejszenie częstotliwości stosowania środków bezpieczeństwa finansowego lub sposobu ich stosowania, ale nie ilości samych środków wymienionych w ustawie.
• W przypadku wyższego ryzyka, instytucje obowiązane mają obowiązek stosowania wzmożonych środków bezpieczeństwa finansowego (Enhanced Due Diligence). Wymaga to m.in. zwiększenia ilości weryfikowanych dokumentów oraz częstotliwości stosowania środków. Wzmożone środki stosuje się np. wobec osób zajmujących eksponowane stanowiska polityczne (PEP) lub gdy pojawiają się wątpliwości co do prawdziwości lub kompletności uzyskanych danych identyfikacyjnych. Wzmożone środki wymagają pogłębionej analizy stosunków gospodarczych. Instytucje obowiązane powinny wyraźnie wskazać w swoich wewnętrznych procedurach, kiedy i jakie środki są stosowane w zależności od poziomu ryzyka.

Narzędzia wspierające identyfikację i weryfikację

Procesy identyfikacji i weryfikacji w ramach KYC mogą być wspierane i usprawniane przez wykorzystanie narzędzi technologicznych. Należą do nich m.in. systemy analityczne AML oraz dostęp do list restrykcyjnych (listy sankcyjne, listy PEP, rejestry beneficjentów rzeczywistych). Dostępne rozwiązania mogą obejmować edytowalne formularze online do zbierania danych, aktywne formularze oceny ryzyka czy checklisty. Automatyzacja procesów KYC dzięki technologii może przyczynić się do zwiększenia bezpieczeństwa, oszczędności czasu, zmniejszenia ryzyka błędu ludzkiego oraz ograniczenia ryzyka nałożenia kar.

KYC to element szerszego systemu AML

Warto podkreślić, że choć procedury identyfikacji i weryfikacji w ramach KYC oraz sprawdzanie klientów w rejestrach stanowią kluczowy fundament procesu AML, same w sobie nie są wystarczające do pełnego spełnienia obowiązków nałożonych przez polską ustawę o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu. Panuje błędne przekonanie, że KYC wystarczy do spełnienia wymogów ustawowych.

KYC jest jedynie punktem wyjścia do kompleksowego systemu AML, który obejmuje znacznie szerszy zestaw procedur. Poza identyfikacją i weryfikacją, kluczowe obowiązki AML wykraczające poza samo KYC obejmują m.in.:

• Bieżące monitorowanie stosunków gospodarczych klienta i analizę transakcji,
• Raportowanie transakcji podejrzanych do Generalnego Inspektora Informacji Finansowej (GIIF),
• Wdrożenie i stosowanie wewnętrznej procedury AML,
• Przeprowadzanie regularnych szkoleń pracowników,
• Wyznaczenie kadry kierowniczej odpowiedzialnej za AML,
• Badanie źródła pochodzenia wartości majątkowych w uzasadnionych przypadkach,
• Powstrzymanie się od przeprowadzenia podejrzanej transakcji.

Podsumowanie

Identyfikacja i weryfikacja klienta stanowią fundament procedury KYC i są kluczowymi elementami Środków Bezpieczeństwa Finansowego stosowanych w ramach AML. Poprawne ich przeprowadzenie jest niezbędne do zrozumienia, kim jest klient, z kim prowadzi się współpracę, a także do oceny związanego z nim ryzyka prania pieniędzy i finansowania terroryzmu. Skuteczna identyfikacja i weryfikacja, oparta na pozyskaniu pełnych danych i ich potwierdzeniu z wiarygodnych źródeł, pozwala instytucjom obowiązanym spełnić podstawowe wymogi prawne i chronić się przed ryzykami operacyjnymi, finansowymi i reputacyjnymi.

Należy jednak pamiętać, że identyfikacja i weryfikacja klienta to zaledwie część szerszych obowiązków AML. Pełna zgodność z przepisami i skuteczne przeciwdziałanie przestępczości finansowej wymagają wdrożenia kompleksowej procedury AML, obejmującej wszystkie jej składowe, w tym ocenę ryzyka, bieżące monitorowanie i raportowanie podejrzanych działań.

Słownik kluczowych terminów

• AML (Anti-Money Laundering): System przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. Obejmuje szeroki zakres procedur i regulacji mających na celu wykrywanie i zapobieganie działaniom przestępczym związanym z nielegalnymi środkami finansowymi.
• CFT (Counter-Terrorist Financing): Przeciwdziałanie finansowaniu terroryzmu. Element szerszego systemu AML, skupiający się na wykrywaniu i blokowaniu przepływów finansowych wspierających działalność terrorystyczną.
• CRBR (Centralny Rejestr Beneficjentów Rzeczywistych): Publiczny rejestr zawierający informacje o osobach fizycznych, które ostatecznie kontrolują polskie podmioty prawne.
• Identyfikacja Klienta: Proces zbierania podstawowych danych identyfikacyjnych o kliencie (np. imię, nazwisko, adres, NIP) i innych wymaganych informacji w ramach procedury KYC.
• Instytucje Obowiązane: Podmioty prawne (np. banki, pośrednicy nieruchomości, biura rachunkowe), które na mocy prawa są zobowiązane do stosowania przepisów AML i przeprowadzania procedur KYC.
• KYC (Know Your Customer) / PSK (Poznaj Swojego Klienta): Obowiązkowa procedura należytej staranności, którą muszą przeprowadzać instytucje obowiązane w celu ustalenia tożsamości klienta i beneficjenta rzeczywistego, a także zrozumienia charakteru jego działalności.
• PEP (Politically Exposed Person) / Osoba Zajmująca Eksponowane Stanowisko Polityczne: Osoba fizyczna, która zajmuje lub zajmowała znaczące stanowisko publiczne, co wiąże się z potencjalnie podwyższonym ryzykiem korupcji.
• Pranie Pieniędzy: Proces ukrywania lub przekształcania dochodów pochodzących z nielegalnej działalności w celu nadania im pozorów legalności.
• Ryzyko AML/CFT: Prawdopodobieństwo wykorzystania danej instytucji lub transakcji do prania pieniędzy lub finansowania terroryzmu. Ryzyko to podlega ocenie i zarządzaniu w ramach systemu AML.
• Środki Bezpieczeństwa Finansowego: Zbiór procedur stosowanych przez instytucje obowiązane w celu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, w tym identyfikacja i weryfikacja klienta, bieżące monitorowanie stosunków gospodarczych oraz analiza transakcji.
• Weryfikacja Tożsamości: Proces potwierdzania prawdziwości danych identyfikacyjnych zebranych podczas identyfikacji klienta, osoby upoważnionej lub beneficjenta rzeczywistego, zazwyczaj na podstawie dokumentów lub innych wiarygodnych źródeł.
• Wzmożone Środki Bezpieczeństwa Finansowego (Enhanced Due Diligence): Zintensyfikowane procedury KYC stosowane w sytuacjach podwyższonego ryzyka prania pieniędzy lub finansowania terroryzmu, np. wobec PEP lub w przypadku transakcji bez fizycznej obecności klienta.

Najczęściej zadawane pytania – Identyfikacja i weryfikacja klienta KYC