KYC, czyli know your customer, to proces identyfikacji i oceny klienta stosowany w celu ograniczania ryzyka prania pieniędzy i finansowania terroryzmu. W praktyce oznacza obowiązek ustalenia, z kim przedsiębiorca zawiera relację gospodarczą, kto działa w imieniu klienta, jaki jest cel współpracy oraz czy transakcja lub struktura właścicielska nie generuje podwyższonego ryzyka [1].
Pytanie kyc co to pojawia się najczęściej w kontekście branż objętych ustawą AML, ale znaczenie tego procesu wykracza poza formalny obowiązek regulacyjny. Prawidłowa weryfikacja klienta ogranicza ryzyko sankcji administracyjnych, odpowiedzialności karnej oraz szkód reputacyjnych. Dla zarządów, działów compliance i właścicieli firm KYC jest elementem realnego zarządzania ryzykiem, a nie wyłącznie procedurą dokumentacyjną.
KYC co to oznacza na gruncie polskich przepisów AML
Podstawą prawną jest ustawa z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Ustawa nakłada na tzw. instytucje obowiązane obowiązek stosowania środków bezpieczeństwa finansowego, których istotnym elementem jest właśnie KYC [1].
Do instytucji obowiązanych należą między innymi:
- banki i instytucje płatnicze,
- biura rachunkowe w określonym zakresie,
- doradcy podatkowi, notariusze i adwokaci lub radcowie prawni w sytuacjach wskazanych ustawą,
- podmioty prowadzące działalność w zakresie walut wirtualnych,
- przedsiębiorcy przyjmujący lub dokonujący płatności gotówkowych o wartości równej lub przekraczającej 10 000 euro, niezależnie od tego, czy płatność jest przeprowadzana jako pojedyncza operacja czy kilka operacji, które wydają się ze sobą powiązane [1].
Nie każdy przedsiębiorca podlega AML w tym samym zakresie. Zakres obowiązków zależy od statusu danego podmiotu, modelu biznesowego oraz poziomu ryzyka. W praktyce ocena ta powinna być udokumentowana i powiązana z wewnętrzną procedurą AML, o ile dany podmiot ma obowiązek jej wdrożenia.
Weryfikacja klienta – kiedy jest obowiązkowa
Obowiązki AML aktualizują się w szczególności przy nawiązywaniu stosunków gospodarczych, przeprowadzaniu transakcji okazjonalnej o ustawowo określonej wartości, podejrzeniu prania pieniędzy lub finansowania terroryzmu oraz w razie wątpliwości co do prawdziwości lub kompletności wcześniej uzyskanych danych identyfikacyjnych klienta [1].
Weryfikacja nie kończy się na jednorazowym sprawdzeniu dokumentu. Ustawa wymaga także bieżącego monitorowania stosunków gospodarczych. Oznacza to konieczność analizy transakcji, aktualizowania danych oraz badania, czy profil działalności klienta pozostaje spójny z rzeczywistym przebiegiem współpracy.
Podstawowe elementy procesu KYC
- Identyfikacja klienta.
- Weryfikacja tożsamości klienta i osób działających w jego imieniu.
- Identyfikacja beneficjenta rzeczywistego oraz podejmowanie uzasadnionych czynności w celu weryfikacji jego tożsamości i ustalenia struktury własności oraz kontroli.
- Ocena celu i zamierzonego charakteru stosunków gospodarczych.
- Ocena ryzyka oraz dobór odpowiednich środków bezpieczeństwa finansowego.
- Bieżące monitorowanie stosunków gospodarczych i aktualizacja danych [1].
W przypadku spółek i bardziej złożonych struktur właścicielskich najważniejsze znaczenie ma ustalenie beneficjenta rzeczywistego. Nieprawidłowa identyfikacja na tym etapie może prowadzić do pozornego spełnienia obowiązków i istotnie zwiększać ekspozycję na ryzyko regulacyjne.
Know your customer a podejście oparte na ryzyku
Polskie i unijne regulacje AML opierają się na zasadzie risk-based approach. Nie każda relacja wymaga takiego samego poziomu analizy. Przedsiębiorca powinien ocenić ryzyko z uwzględnieniem rodzaju klienta, obszaru geograficznego, produktu, usługi, transakcji lub kanału ich dostaw [1][2].
W praktyce oznacza to trzy poziomy działania:
- uproszczone środki bezpieczeństwa finansowego, gdy ryzyko jest niższe,
- standardowe środki bezpieczeństwa finansowego,
- wzmożone środki bezpieczeństwa finansowego, gdy ryzyko jest wyższe, na przykład przy relacjach transgranicznych, niestandardowych strukturach właścicielskich lub powiązaniach z państwami wysokiego ryzyka [1][2].
Dobrze przygotowany system compliance powinien łączyć procedury AML z praktyką operacyjną, szkoleniami i mechanizmami eskalacji. Sam formularz onboardingu klienta zwykle nie wystarcza.
Jakie błędy w KYC pojawiają się najczęściej
Najczęstsze naruszenia nie wynikają wyłącznie z braku formalnej procedury, ale także z jej nieskutecznego stosowania. Dotyczy to zwłaszcza organizacji, które wdrożyły dokumenty, ale nie przypisały odpowiedzialności konkretnym osobom i nie zbudowały procesu kontroli.
W praktyce problematyczne są przede wszystkim:
- mechaniczne kopiowanie danych bez ich realnej weryfikacji,
- brak analizy beneficjenta rzeczywistego,
- brak aktualizacji danych przy długoletniej relacji z klientem,
- nieuwzględnianie sygnałów ostrzegawczych w transakcjach,
- niedostosowanie poziomu weryfikacji do ryzyka,
- brak dokumentowania przyczyn zastosowania środków uproszczonych lub wzmożonych.
W niektórych stanach faktycznych błędnie przeprowadzona weryfikacja klienta może łączyć się także z ryzykiem z obszaru przestępczości gospodarczej. Dotyczy to zwłaszcza sytuacji, w których przedsiębiorca ignoruje sygnały wskazujące na możliwe nadużycia, fikcyjne podmioty lub działania pozorne. W takich sprawach znaczenie ma nie tylko zgodność regulacyjna, ale również odpowiedzialność na gruncie white collar crime.
Sankcje za naruszenie obowiązków AML
Naruszenie obowiązków AML może skutkować sankcjami administracyjnymi nakładanymi przez Generalnego Inspektora Informacji Finansowej, a w określonych przypadkach także przez inne adekwatne organy. Ustawa przewiduje między innymi publikację informacji o naruszeniu, nakaz zaprzestania określonych działań, cofnięcie koncesji lub zezwoleń, zakaz pełnienia obowiązków na stanowisku kierowniczym przez osobę odpowiedzialną za naruszenie, a także kary pieniężne. Wysokość kary zależy od rodzaju naruszenia i statusu podmiotu [1].
Niezależnie od odpowiedzialności administracyjnej mogą pojawić się konsekwencje cywilne, korporacyjne oraz reputacyjne. Dla członków zarządu istotne znaczenie ma także dochowanie należytej staranności przy organizacji systemu zgodności. Ocena zawsze zależy od konkretnego stanu faktycznego, skali naruszenia i tego, czy przedsiębiorca był w stanie wykazać realne działanie, a nie tylko formalne istnienie procedur.
Jak przygotować organizację do prawidłowego KYC
Skuteczny model KYC wymaga połączenia prawa, operacji i technologii. Najważniejsze elementy to:
- prawidłowa identyfikacja, czy podmiot jest instytucją obowiązaną,
- ocena ryzyka i jej okresowa aktualizacja,
- procedura AML dostosowana do skali działalności, o ile jej posiadanie jest wymagane,
- jasny podział ról między sprzedaż, operacje, compliance i zarząd,
- szkolenia personelu,
- archiwizacja danych i możliwość wykazania przebiegu procesu decyzyjnego,
- regularne testowanie procedur i monitoring zmian prawa [1][2][3].
Materiał ma charakter informacyjny i nie stanowi porady prawnej. o ile w organizacji pojawiają się wątpliwości, czy przyjęty model KYC rzeczywiście spełnia obowiązki AML, bezpiecznym rozwiązaniem jest analiza procedur i praktyki operacyjnej przez zewnętrznych ekspertów. W razie potrzeby wsparcia przy projektowaniu lub weryfikacji rozwiązań AML warto skonsultować sytuację z zespołem KKZ przez formularz kontaktowy.
FAQ – KYC i weryfikacja klienta
Czy KYC dotyczy każdego przedsiębiorcy?
Nie. KYC w rozumieniu ustawy AML dotyczy przede wszystkim instytucji obowiązanych wskazanych w ustawie z 1 marca 2018 r. [1]. Część przedsiębiorców stosuje podobne procedury także dobrowolnie, jako element zarządzania ryzykiem.
KYC co to znaczy w praktyce operacyjnej?
To proces zebrania i sprawdzenia danych klienta, ustalenia beneficjenta rzeczywistego, oceny celu relacji oraz monitorowania stosunków gospodarczych i transakcji. Zakres działań zależy od poziomu ryzyka.
Czy jednorazowe sprawdzenie dokumentu spełnia obowiązki AML?
Co do zasady nie. Ustawa wymaga także bieżącego monitorowania stosunków gospodarczych i aktualizacji danych, o ile zmieniają się okoliczności lub pojawiają się wątpliwości [1].
Kiedy trzeba stosować wzmożoną weryfikację klienta?
Wtedy, gdy relacja lub transakcja wiąże się z wyższym ryzykiem. Przykładem mogą być skomplikowane struktury właścicielskie, relacje transgraniczne lub powiązania z państwami wysokiego ryzyka [1][2].
Jakie dane trzeba ustalić przy spółce?
Co najmniej dane identyfikacyjne samej spółki, osób ją reprezentujących oraz beneficjenta rzeczywistego. W praktyce konieczna bywa również analiza dokumentów korporacyjnych i rejestrów publicznych.
Jakie konsekwencje grożą za brak prawidłowej weryfikacji klienta?
Możliwe są sankcje administracyjne, w tym kary pieniężne, a także ryzyka reputacyjne i biznesowe. W określonych przypadkach nieprawidłowości mogą być oceniane również w kontekście odpowiedzialności za nadużycia gospodarcze [1].
Bibliografia
[1] Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, t.j. Dz.U. ze zm.
[2] Dyrektywa Parlamentu Europejskiego i Rady (UE) 2015/849 z dnia 20 maja 2015 r. w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu, ze zm.
[3] Generalny Inspektor Informacji Finansowej, informacje i komunikaty dotyczące stosowania ustawy AML, dostępne na stronach Ministerstwa Finansów i GOV.PL.
[4] Kopeć & Zaborowski, informacje o obszarach wsparcia prawnego.
Autor: adw. Maciej Zaborowski, Partner Zarządzający
E-mail: [email protected]
tel.: +48 22 501 56 10
