KYC – Procedura Know Your Customer Poznaj Swojego Klienta

Procedura Know Your Customer (KYC), tłumaczona na język polski jako Poznaj Swojego Klienta (PSK), stanowi jeden z kluczowych obowiązków instytucji zobowiązanych do stosowania przepisów o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (AML). KYC jest procedurą należytej staranności oraz regulacją bankową, której podstawowym celem jest ustalenie tożsamości klientów. Jest to fundamentalny zestaw działań w całym procesie AML. Procedura KYC stanowi integralną składową środków bezpieczeństwa finansowego, czyli wszelkich działań, jakie podmioty obowiązane muszą podejmować w związku z regulacjami AML.

Implementacja procedury KYC jest niezmiernie istotna z wielu perspektyw. Przede wszystkim zapobiega praniu pieniędzy i finansowaniu terroryzmu, uniemożliwiając ukrywanie nielegalnego pochodzenia środków finansowych oraz identyfikując osoby zaangażowane w działalność terrorystyczną. Ponadto, KYC przeciwdziała oszustwom finansowym i kradzieży tożsamości, zwiększając tym samym bezpieczeństwo zarówno firm, jak i ich klientów. Dogłębne poznanie klienta minimalizuje ryzyko związane z relacjami biznesowymi oraz pozwala na unikanie transakcji obarczonych podwyższonym ryzykiem. W konsekwencji, stosowanie KYC przyczynia się do zapewnienia bezpieczeństwa obrotu dla klientów oraz chroni przedsiębiorstwo przed potencjalnymi oskarżeniami o współudział w przestępstwach.

Kto ma obowiązek przeprowadzania procedury Know Your Customer KYC?

Obowiązek stosowania procedury KYC spoczywa na instytucjach obowiązanych na mocy przepisów ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu. Warto podkreślić, że obowiązek ten wynika bezpośrednio z ustawy o AML i stanowi część wewnętrznej procedury AML, którą te instytucje muszą posiadać i stosować.

Niezależnie od ustawowego obowiązku, każdy przedsiębiorca powinien rozważyć wdrożenie procedury KYC, przynajmniej na niewielką skalę. Pozwala to na sprawdzenie, czy dany kontrahent nie jest objęty sankcjami (co stanowi obligatoryjne działanie dla każdego przedsiębiorcy) oraz z praktycznego punktu widzenia ułatwia rozliczenia i może być wykorzystane w działaniach marketingowych (przy zachowaniu zgodności z przepisami RODO). Implementacja KYC stanowi również dobre praktykę zwiększającą bezpieczeństwo finansowe firmy.

Należy pamiętać, że sama procedura KYC, choć fundamentalna, nie wystarcza do pełnego spełnienia obowiązków AML. Konieczne jest również bieżące monitorowanie stosunków gospodarczych i transakcji, analiza ryzyka, oraz aktualizacja danych klienta.

Na czym polega procedura KYC? – Kluczowe etapy w procesach AML

Procedura KYC obejmuje kilka kluczowych etapów, które mają na celu wszechstronne poznanie klienta. Jej celem jest między innymi ustalenie tożsamości klientów oraz potwierdzenie ich wiarygodności. Szczegółowy proces może się różnić w zależności od firmy, ale co do zasady obejmuje kilka kluczowych etapów:

• Pozyskanie danych klienta (Identyfikacja klienta) – CIP (Customer Identification Program);
• Weryfikacja danych klienta (Weryfikacja tożsamości) – CDD (Client Due Diligence);
• Aktualizacja danych klienta (Bieżące monitorowanie stosunków gospodarczych);
• Archiwizacja / przechowywanie danych i dokumentów.

Na czym polega identyfikacja klienta?

Procedura identyfikacji klienta polega na ustaleniu dokładnych danych osobowych klienta lub osób reprezentujących dany podmiot. Celem identyfikacji jest m.in. ustalenie tożsamości klientów w celu zapobiegania praniu pieniędzy.

Kluczowe aspekty identyfikacji klienta obejmują:

• Pozyskanie danych klienta: Instytucja obowiązana musi zebrać niezbędne informacje o kliencie. W przypadku osób fizycznych będą to m.in. imię i nazwisko, adres, numer PESEL lub data urodzenia (w przypadku braku PESEL) oraz państwo urodzenia, obywatelstwo, seria i numer dokumentu stwierdzającego tożsamość. Instytucja obowiązana może również zażądać adresu zamieszkania, jeśli go posiada. Ważne jest także ustalenie, czy klient jest osobą zajmującą eksponowane stanowisko polityczne (PEP) lub osobą powiązaną z PEP (RCA).
• W przypadku osób fizycznych prowadzących działalność gospodarczą, należy ustalić nazwę (firmę), numer identyfikacji podatkowej (NIP) oraz adres głównego miejsca wykonywania działalności gospodarczej.
• W przypadku osób prawnych lub jednostek organizacyjnych nieposiadających osobowości prawnej, należy ustalić nazwę (firmę), formę organizacyjną, adres siedziby lub adres prowadzenia działalności, NIP (a w przypadku jego braku – państwo rejestracji, nazwę właściwego rejestru oraz numer i datę rejestracji). Należy również zebrać dane identyfikacyjne (imię i nazwisko oraz datę urodzenia) osoby reprezentującej tę osobę prawną lub jednostkę organizacyjną.
• Identyfikacja beneficjenta rzeczywistego obejmuje ustalenie jego imienia i nazwiska, a w przypadku posiadania informacji przez instytucję obowiązaną – również obywatelstwa, państwa zamieszkania, numeru PESEL albo daty urodzenia (w przypadku braku PESEL). Konieczne jest także ustalenie struktury własności i kontroli w przypadku klientów będących osobami prawnymi.
• Identyfikacja osoby upoważnionej do działania w imieniu klienta obejmuje ustalenie jej imienia i nazwiska, obywatelstwa, numeru PESEL lub daty urodzenia (w przypadku braku PESEL) oraz serii i numeru dokumentu stwierdzającego tożsamość.
• Instytucje obowiązane powinny również dążyć do ustalenia jaki jest cel realizacji zawieranej z klientem umowy, jakiego produktu czy usługi dokładnie oczekuje klient i po co, a także jaka jest dotychczasowa działalność firmy kontrahenta i czym się zajmuje. W szczególnych okolicznościach warto również dopytać o źródło pochodzenia środków, które klient przeznacza na wykonanie umowy.

Dane te pozyskuje się bezpośrednio od klienta, na przykład poprzez dedykowane formularze. Zebrane dane muszą zostać następnie zweryfikowane w celu potwierdzenia ich prawdziwości. Instytucje obowiązane mają obowiązek dokumentować zastosowane środki bezpieczeństwa finansowego, w tym identyfikację klienta. Przed nawiązaniem stosunków gospodarczych lub przeprowadzeniem transakcji okazjonalnej, klient powinien zostać poinformowany o przetwarzaniu jego danych osobowych w związku z obowiązkami wynikającymi z ustawy AML.

W jaki sposób następuje weryfikacja klienta?

Weryfikacja danych klienta jest kolejnym etapem następującym po pozyskaniu danych osobowych i innych informacji o kliencie. Celem tej weryfikacji jest potwierdzenie, że zebrane dane są prawdziwe i aktualne. Jest to niezbędne, aby ustalić wiarygodność klienta i jego profil transakcyjny oraz zapobiegać praniu pieniędzy, finansowaniu terroryzmu, przekrętom finansowym i kradzieży tożsamości.

Proces weryfikacji danych klienta może przebiegać ręcznie lub automatycznie i obejmuje sprawdzenie tożsamości klienta, a także beneficjenta rzeczywistego i osób upoważnionych do działania w imieniu klienta.

Do metod i źródeł wykorzystywanych w procesie weryfikacji danych klienta należą między innymi:

• Dokumenty tożsamości: Najczęściej wykorzystywane są dowody osobiste i paszporty. Instytucje obowiązane mogą również przetwarzać informacje zawarte w tych dokumentach i sporządzać ich kopie. Weryfikacja może polegać na potwierdzeniu ustalonych danych identyfikacyjnych na podstawie dokumentu stwierdzającego tożsamość osoby fizycznej.
• Przelew weryfikacyjny: Można poprosić klienta o wykonanie przelewu weryfikacyjnego z jego osobistego rachunku bankowego.
• Wiarygodne i niezależne źródła: Weryfikacja może odbywać się na podstawie dokumentów zawierających aktualne dane z wyciągu z właściwego rejestru lub innych dokumentów, danych lub informacji pochodzących z wiarygodnego i niezależnego źródła, w tym, o ile są dostępne, ze środków identyfikacji elektronicznej.
• Rejestry publiczne i komercyjne: Instytucje obowiązane korzystają z różnych rejestrów, w tym:
  • Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG).
  • Krajowego Rejestru Sądowego (KRS).
  • Centralnego Rejestru Beneficjentów Rzeczywistych (CRBR). Instytucje obowiązane powinny odnotowywać rozbieżności między informacjami w CRBR a ustalonymi przez nie informacjami.
  • Rejestru PESEL.
• Listy sankcyjne: Sprawdzenie klienta na krajowych i międzynarodowych listach osób i podmiotów objętych sankcjami. Każdy przedsiębiorca ma obowiązek to zrobić.
• Bazy PEP (Politically Exposed Persons): Weryfikacja, czy klient jest osobą zajmującą eksponowane stanowisko polityczne lub osobą powiązaną z PEP (RCA). Instytucje obowiązane mogą przyjmować od klienta oświadczenie o jego statusie PEP.
• Lista ostrzeżeń KNF.
• Zestawienia krajów podwyższonego ryzyka i PKD branż podwyższonego ryzyka.

Sposób i zakres weryfikacji danych zależy od oceny ryzyka prania pieniędzy oraz finansowania terroryzmu związanego z danym klientem. W przypadku wyższego ryzyka, instytucje obowiązane są zobowiązane do zwiększenia intensywności stosowanych środków bezpieczeństwa finansowego, co może wiązać się z weryfikacją większej ilości dokumentów i danych. W wyjątkowych sytuacjach, przy niższym ryzyku, weryfikacja może być uproszczona, ale nadal wszystkie wymagane dane osobowe powinny zostać zidentyfikowane.

Ważne jest, aby w wewnętrznych procedurach AML instytucja obowiązana jasno wskazywała, jakich dokumentów i kiedy będzie się domagać w zależności od poziomu ryzyka klienta. Instytucje obowiązane mają również obowiązek dokumentowania zastosowanych środków bezpieczeństwa finansowego, w tym metod weryfikacji.

Weryfikacja tożsamości klienta i beneficjenta rzeczywistego następuje zazwyczaj przed nawiązaniem stosunków gospodarczych lub przeprowadzeniem transakcji okazjonalnej. Jeśli nie można zweryfikować tożsamości, instytucja obowiązana odmawia nawiązania stosunków gospodarczych lub przeprowadzenia transakcji albo rozwiązuje istniejące stosunki gospodarcze.

eKYC (Elektroniczna Weryfikacja Tożsamości Klienta)

Wraz z postępem technologicznym, procesy KYC ewoluowały, prowadząc do powstania eKYC, czyli elektronicznej weryfikacji tożsamości klienta. eKYC wykorzystuje narzędzia i technologie cyfrowe do przeprowadzania identyfikacji i weryfikacji tożsamości klientów oraz beneficjentów rzeczywistych.

Ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu przewiduje możliwość weryfikacji tożsamości klienta i beneficjenta rzeczywistego za pomocą środków identyfikacji elektronicznej lub z odpowiednich usług zaufania określonych w rozporządzeniu (UE) nr 910/2014 w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych, zwanym Rozporządzeniem eIDAS. Rozporządzenie to dotyczy identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym.

Nowoczesne podejścia do KYC, takie jak te implementowane przez platformy oparte na sztucznej inteligencji, kładą nacisk na integrację płynnych i bezpiecznych mechanizmów onboardingu, w tym weryfikacji w czasie rzeczywistym. Dzięki wykorzystaniu zaawansowanych narzędzi, instytucje finansowe mogą usprawnić proces identyfikacji klienta (CIP), zapewniając jednocześnie zgodność z przepisami.

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2024/1624 zwraca uwagę na kluczowe znaczenie bezpośredniego, terminowego i niefiltrowanego dostępu krajowych organów publicznych do informacji o beneficjentach rzeczywistych, co w kontekście eKYC i rejestrów elektronicznych jest szczególnie istotne. Podobnie, dla Financial Intelligence Units (FIU) i innych właściwych organów istotny jest natychmiastowy i bezpośredni dostęp do informacji dotyczących nieruchomości, najlepiej za pośrednictwem pojedynczego punktu dostępu, w formacie cyfrowym i nadającym się do odczytu maszynowego. Dyrektywa ta przewiduje również, że podmioty zobowiązane, stosując środki należytej staranności wobec klienta, mają mieć terminowy dostęp do informacji przechowywanych w zintegrowanych centralnych rejestrach.

Państwa członkowskie mają również zapewnić, aby podmioty odpowiedzialne za centralne rejestry podejmowały środki w celu sprawdzenia istnienia uzasadnionego interesu w dostępie do informacji o beneficjentach rzeczywistych na podstawie dokumentów i informacji uzyskanych od wnioskodawcy, a także aby dostępne były wystarczające procesy weryfikacji tożsamości wnioskodawcy, w tym poprzez umożliwienie korzystania z elektronicznych środków identyfikacji i odpowiednich kwalifikowanych usług zaufania określonych w rozporządzeniu (UE) nr 910/2014.

Monitoring klienta i transakcji

Monitoring klienta i transakcji stanowi nieodłączny element procedury KYC. Monitoring jest procesem ciągłym, mającym na celu identyfikowanie wszelkich nieprawidłowości lub zmian w zachowaniu klienta oraz w przeprowadzanych przez niego transakcjach, które mogą wskazywać na pranie pieniędzy lub finansowanie terroryzmu.

Celem monitorowania jest zapewnienie, że transakcje przeprowadzane w ramach stosunków gospodarczych są zgodne z wiedzą instytucji obowiązanej o kliencie, rodzaju i zakresie prowadzonej przez niego działalności oraz zgodne z ryzykiem związanym z tym klientem. Umożliwia to wykrywanie nietypowych wzorców i potencjalnie podejrzanych działań, które mogłyby zostać przeoczone na etapie początkowej weryfikacji.

Proces monitorowania stosunków gospodarczych klienta obejmuje w szczególności:

• Bieżącą analizę transakcji przeprowadzanych w ramach stosunków gospodarczych. Instytucje obowiązane analizują transakcje pod kątem ich zgodności z profilem klienta, jego deklarowaną działalnością oraz znanym ryzykiem. Należy zwracać uwagę na powtarzające się schematy transakcji między podmiotami powiązanymi.
• Badanie źródła pochodzenia wartości majątkowych będących w dyspozycji klienta – w przypadkach uzasadnionych okolicznościami, takich jak wysokie kwoty transakcji, nietypowe operacje finansowe lub podejrzenia co do legalności środków. Weryfikacja źródła pochodzenia majątku może być rozważana nie tylko przy dużych przelewach przychodzących, ale także w przypadku spłat kredytów, zwłaszcza wcześniejszych, gdy informacje o dochodach klienta nie uzasadniają możliwości zgromadzenia środków na spłatę.
• Zapewnienie, że posiadane dokumenty, dane lub informacje dotyczące stosunków gospodarczych są na bieżąco aktualizowane. Instytucje obowiązane powinny regularnie weryfikować, czy dane klienta nie uległy zmianie i podejmować działania w celu ich aktualizacji, szczególnie w przypadku zmiany charakteru lub okoliczności stosunków gospodarczych.
• Szczególną uwagę należy zwracać na transfery środków do jurysdykcji charakteryzujących się wyższym ryzykiem ML/TF. Cykliczne transfery z enigmatycznym tytułem lub powtarzające się transfery bez uzasadnienia ekonomicznego powinny budzić szczególną czujność. W takich przypadkach instytucje obowiązane mogą zwracać się do klienta o dane dotyczące źródła transferowanych środków i dokumenty uzasadniające transakcję.
• Monitorowanie podstawy przeprowadzanych transakcji w celu potwierdzenia ich zgodności z wiedzą instytucji o kliencie. Należy zwracać uwagę na adres podmiotu, w szczególności pod kątem rejestracji w tzw. biurach wirtualnych. Istotne jest ustalenie, czy z wykorzystaniem rachunku przeprowadzane są transakcje charakterystyczne dla faktycznej działalności gospodarczej.
• W odniesieniu do wpłat i wypłat gotówkowych, instytucje obowiązane mogą rozważyć wprowadzenie limitów dla poszczególnych kategorii klientów, ustalonych na podstawie posiadanych informacji o kliencie. Przekroczenie limitów powinno podlegać dodatkowej weryfikacji.

Intensywność monitorowania powinna być dostosowana do poziomu zidentyfikowanego ryzyka klienta. W przypadku podwyższonego ryzyka, monitoring powinien być częstszy i bardziej szczegółowy. Może obejmować dokładniejszą analizę transakcji, częstszy kontakt z klientem w celu wyjaśnienia przeprowadzanych operacji oraz weryfikację źródeł pochodzenia środków dla mniejszych kwot.

W przypadku ujawnienia transakcji lub działań, które budzą podejrzenia co do prania pieniędzy lub finansowania terroryzmu, instytucja obowiązana jest zobowiązana do podjęcia odpowiednich działań, w tym:

• Powstrzymania się od przeprowadzenia transakcji, jeżeli zachodzi uzasadnione podejrzenie.
• Niezwłocznego zawiadomienia Generalnego Inspektora Informacji Finansowej (GIIF) o podejrzeniach.

Skuteczny monitoring klienta i transakcji wymaga wdrożenia odpowiednich systemów i narzędzi, a także regularnego szkolenia pracowników w zakresie identyfikowania nietypowych zachowań i podejrzanych transakcji. Jest to kluczowy element budowania bezpiecznych relacji biznesowych i ochrony instytucji przed ryzykiem związanym z praniem pieniędzy i finansowaniem terroryzmu..

Regularna aktualizacja danych klienta

Początkowa weryfikacja tożsamości klienta w ramach procedury KYC jest jedynie pierwszym krokiem. Z biegiem czasu sytuacja klienta, charakter jego działalności, a także poziom związanego z nim ryzyka mogą ulec zmianie. Dlatego instytucje obowiązane są zobowiązane do regularnego weryfikowania i aktualizowania posiadanych informacji.

Regularna aktualizacja danych klienta ma kluczowe znaczenie z kilku powodów:

• Zapewnienie aktualności oceny ryzyka: Ocena ryzyka prania pieniędzy oraz finansowania terroryzmu związanego z danym klientem opiera się na posiadanych informacjach. Zmiany w danych klienta, takie jak zmiana adresu, struktury własności, rodzaju prowadzonej działalności, czy źródeł dochodu, mogą znacząco wpłynąć na poziom ryzyka. Regularne aktualizacje pozwalają na bieżąco dostosowywać ocenę ryzyka i stosowane środki bezpieczeństwa finansowego.
• Wykrywanie podejrzanych transakcji i nieprawidłowości: Monitoring transakcji opiera się na porównaniu bieżących operacji z profilem klienta i jego dotychczasową aktywnością. Nieaktualne dane mogą utrudniać identyfikację transakcji nietypowych lub podejrzanych, które mogłyby wskazywać na pranie pieniędzy lub finansowanie terroryzmu.
• Spełnienie wymogów prawnych: Przepisy AML nakładają na instytucje obowiązane obowiązek stosowania środków bezpieczeństwa finansowego w odpowiednim zakresie, co implikuje konieczność posiadania aktualnych informacji o klientach. Wewnętrzne procedury instytucji obowiązanej podlegają bieżącej weryfikacji i w razie potrzeby aktualizacji.
• Współpraca z organami ścigania i GIIF: W przypadku podejrzenia prania pieniędzy lub finansowania terroryzmu, instytucje obowiązane są zobowiązane do przekazywania informacji odpowiednim organom. Aktualne i dokładne dane klientów znacząco ułatwiają pracę tych organów.

Proces regularnej aktualizacji danych może obejmować:

• Ustanowienie harmonogramu przeglądów danych klientów: Częstotliwość przeglądów powinna być proporcjonalna do poziomu ryzyka związanego z danym klientem. Klienci o wyższym ryzyku powinni być poddawani częstszym weryfikacjom.
• Wdrożenie procesów aktualizacji informacji przy istotnych zmianach: Instytucje obowiązane powinny posiadać procedury umożliwiające klientom zgłaszanie zmian w swoich danych (np. zmiana adresu, danych kontaktowych, struktury właścicielskiej) oraz aktywnie pozyskiwać informacje o takich zmianach z dostępnych źródeł. W przypadku zmiany określonych danych klienta, instytucja obowiązana dokonuje ich niezwłocznej aktualizacji.
• Wykorzystanie automatycznych narzędzi do monitorowania zmian: Dostępne są narzędzia informatyczne, które mogą automatycznie monitorować publicznie dostępne informacje o klientach, takie jak zmiany w rejestrach publicznych, doniesienia medialne, czy listy sankcyjne, i informować instytucję o potencjalnych zmianach wymagających weryfikacji.
• Okresowa weryfikacja dokumentów i informacji: W zależności od poziomu ryzyka, instytucje obowiązane mogą okresowo zwracać się do klientów z prośbą o potwierdzenie aktualności posiadanych danych lub o przedłożenie aktualnych dokumentów.
• Monitorowanie transakcji pod kątem spójności z profilem klienta: Bieżąca analiza transakcji może ujawnić niezgodności z dotychczasową wiedzą o kliencie, co może stanowić sygnał do zweryfikowania aktualności jego danych i oceny ryzyka. Należy zwracać szczególną uwagę na powtarzające się schematy transakcji między podmiotami powiązanymi oraz na adresy podmiotów, w szczególności pod kątem rejestracji w tzw. biurach wirtualnych.

Niezbędne jest, aby instytucje obowiązane dokumentowały przeprowadzone czynności związane z aktualizacją danych klientów, w tym daty weryfikacji, źródła pozyskanych informacji oraz wszelkie wprowadzone zmiany. W przypadku zidentyfikowania rozbieżności między informacjami zgromadzonymi przez instytucję a danymi w publicznych rejestrach (np. Rejestrze Beneficjentów Rzeczywistych), instytucja obowiązana powinna te rozbieżności wyjaśnić i, w przypadku potwierdzenia, przekazać zweryfikowane informacje do właściwego organu prowadzącego rejestr. Informacje o beneficjentach rzeczywistych w centralnych rejestrach powinny być adekwatne, dokładne i aktualne, a podmioty odpowiedzialne za te rejestry powinny weryfikować te dane regularnie.

Regularna aktualizacja danych nie jest jednorazową czynnością, lecz ciągłym procesem, który powinien być integralną częścią procedur AML każdej instytucji obowiązanej. Inwestycja w skuteczne procesy aktualizacji danych przyczynia się do zwiększenia bezpieczeństwa finansowego i minimalizuje ryzyko wykorzystania instytucji do prania pieniędzy lub finansowania terroryzmu. Przed nawiązaniem stosunków gospodarczych lub realizacją transakcji okazjonalnej, instytucja obowiązana powinna poinformować klienta o przetwarzaniu jego danych osobowych oraz obowiązkach wynikających z ustawy AML.

KYC a ocena ryzyka klienta (Risk Assessment)

Procedura KYC jest jednym z kluczowych elementów środków bezpieczeństwa finansowego w ramach AML. Jest ona nierozerwalnie związana z oceną ryzyka związanego z klientem. Informacje uzyskane podczas procesu KYC stanowią podstawę do przeprowadzenia rzetelnej oceny ryzyka i podjęcia dalszych działań w zakresie przeciwdziałania praniu pieniędzy.

KYC jako podstawa oceny ryzyka

Wszystkie dane zebrane podczas procedury KYC są niezbędne do dokonania oceny ryzyka związanego z danym klientem. Przykładowo:

• Identyfikacja klienta pozwala sprawdzić, czy dany podmiot lub osoba fizyczna nie figuruje na listach sankcyjnych lub w bazach PEP (osób zajmujących eksponowane stanowiska polityczne). Status PEP automatycznie wiąże się z wyższym ryzykiem ML/TF.
• Ustalenie struktury własności i beneficjentów rzeczywistych jest kluczowe w wykrywaniu prób ukrycia tożsamości osób faktycznie kontrolujących dany podmiot. Złożone struktury własności mogą wskazywać na wyższe ryzyko.
• Informacje o rodzaju prowadzonej działalności gospodarczej pozwalają ocenić, czy dany sektor jest uznawany za bardziej narażony na pranie pieniędzy lub finansowanie terroryzmu.
• Dane dotyczące kraju pochodzenia klienta mogą również wpływać na ocenę ryzyka, szczególnie w przypadku krajów uznawanych za wysokiego ryzyka.

Elementy oceny ryzyka klienta a dane KYC

Ocena ryzyka klienta powinna uwzględniać różne czynniki ryzyka, które są bezpośrednio powiązane z informacjami uzyskanymi w procesie KYC. Do kluczowych elementów oceny ryzyka należą:

• Ryzyko związane z klientem: Obejmuje charakter klienta (osoba fizyczna, prawna, PEP), jego lokalizację geograficzną, rodzaj prowadzonej działalności oraz strukturę własności. Dane te są zbierane i weryfikowane podczas KYC.
• Ryzyko związane z produktem lub usługą: Niektóre produkty lub usługi mogą być bardziej podatne na nadużycia związane z ML/TF (np. anonimowe instrumenty finansowe, skrytki sejfowe). Poznanie oferowanych klientowi produktów i usług w kontekście KYC pozwala na ocenę tego ryzyka.
• Ryzyko związane z kanałem dystrybucji: Relacje nawiązywane bez fizycznej obecności klienta mogą wiązać się z wyższym ryzykiem. Informacje o sposobie nawiązania relacji są elementem poznania klienta.
• Ryzyko geograficzne: Klienci pochodzący z krajów wysokiego ryzyka lub prowadzący z nimi interesy generują wyższe ryzyko ML/TF. Dane adresowe i informacje o kontrahentach zagranicznych, uzyskane w KYC, są tu kluczowe.

Należy podkreślić, że zarówno KYC, jak i ocena ryzyka klienta nie są jednorazowymi czynnościami, lecz procesami ciągłymi. Instytucje obowiązane mają obowiązek bieżącego monitorowania stosunków gospodarczych oraz aktualizowania danych klienta. Wszelkie zmiany w danych klienta, jego działalności lub otoczeniu prawnym i gospodarczym mogą wpłynąć na pierwotną ocenę ryzyka i wymagać ponownej analizy.

Poznaj Swojego Klienta a RODO

Przetwarzanie danych osobowych w ramach procedury KYC musi odbywać się zgodnie z obowiązującymi przepisami prawa, w tym z Ogólnym Rozporządzeniem o Ochronie Danych (RODO). Podstawą prawną przetwarzania danych w kontekście AML jest obowiązek prawny ciążący na administratorze. Przetwarzanie danych powinno odbywać się z poszanowaniem zasad zgodności z prawem, rzetelności, przejrzystości, minimalizacji danych, poufności i integralności. Instytucje obowiązane mają również obowiązek informacyjny wobec klientów o zbieraniu i przetwarzaniu ich danych osobowych. Istotna jest zasada minimalizacji danych, co oznacza przetwarzanie tylko tych danych, które są niezbędne do realizacji celów AML. Wewnętrzne procedury powinny wyraźnie wskazywać, kiedy i jakie środki są stosowane (np. kopiowanie dowodów tożsamości) oraz uzasadniać to w oparciu o ocenę ryzyka.

Podsumowanie

Procedura KYC stanowi fundament skutecznego systemu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. Niemniej jednak, samo wdrożenie KYC nie jest wystarczające do pełnego spełnienia wszystkich obowiązków AML. Konieczne jest kompleksowe podejście do AML, obejmujące KYC, analizę ryzyka, bieżące monitorowanie transakcji oraz inne środki bezpieczeństwa finansowego. Regularna aktualizacja wiedzy na temat obowiązujących przepisów AML i procedur KYC jest kluczowa dla zapewnienia zgodności i efektywności podejmowanych działań. W przypadku dodatkowych pytań lub potrzeby wsparcia we wdrożeniu procedur KYC, zachęcamy do kontaktu ze specjalistami w tej dziedzinie.

Glosariusz kluczowych terminów

• AML (Anti-Money Laundering): Przeciwdziałanie praniu pieniędzy, czyli działania mające na celu uniemożliwienie wprowadzania do legalnego obiegu finansowego środków pochodzących z nielegalnych źródeł.
• CTF (Counter-Terrorist Financing): Przeciwdziałanie finansowaniu terroryzmu, czyli działania mające na celu zapobieganie dostarczaniu lub gromadzeniu środków finansowych z zamiarem ich użycia na cele terrorystyczne.
• Instytucja Obowiązana: Podmiot prawny lub jednostka organizacyjna, na którą przepisy AML/CTF nakładają określone obowiązki w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu (np. banki, instytucje finansowe, notariusze, podmioty działające w obszarze walut wirtualnych).
• Beneficjent Rzeczywisty (UBO – Ultimate Beneficial Owner): Osoba fizyczna lub osoby fizyczne, które są ostatecznym właścicielem lub sprawują kontrolę nad klientem lub w imieniu których przeprowadzana jest transakcja lub czynność.
• Środki Bezpieczeństwa Finansowego (CDD – Customer Due Diligence): Działania podejmowane przez instytucje obowiązane w celu identyfikacji i weryfikacji tożsamości klienta oraz beneficjenta rzeczywistego, a także zrozumienia charakteru i celu stosunków gospodarczych.
• GIIF (Generalny Inspektor Informacji Finansowej): Centralny organ administracji rządowej w Polsce, odpowiedzialny za przeciwdziałanie praniu pieniędzy oraz finansowaniu terroryzmu.
• KNF (Komisja Nadzoru Finansowego): Organ nadzoru nad rynkiem finansowym w Polsce, sprawujący kontrolę nad instytucjami finansowymi w zakresie m.in. przestrzegania przepisów AML/CTF.
• Rynek Finansowy: Ogół instytucji, instrumentów i relacji finansowych umożliwiających przepływ kapitału między podmiotami gospodarczymi.
• Pranie Pieniędzy (Money Laundering): Proces, w którym nielegalnie uzyskane środki finansowe są maskowane w taki sposób, aby wydawały się pochodzić z legalnego źródła.
• Waluta Wirtualna: Cyfrowe przedstawienie wartości, które może być wymieniane, transferowane, przechowywane i sprzedawane elektronicznie, ale nie jest prawnym środkiem płatniczym ani pieniądzem elektronicznym.
• PEP (Politically Exposed Person): Osoba zajmująca eksponowane stanowisko polityczne lub osoba z nią powiązana, która ze względu na swoje stanowisko lub powiązania jest narażona na ryzyko korupcji.
• Risk-Based Approach (Podejście Oparte na Ryzyku): Zasada, zgodnie z którą instytucje obowiązane stosują środki bezpieczeństwa finansowego adekwatne do poziomu zidentyfikowanego ryzyka prania pieniędzy i finansowania terroryzmu.

Najczęściej zadawane pytania: