4.2 Rola i obowiązki pracownika ds. zgodności z przepisami AML/CFT

Podejmując decyzję o powołaniu pracownika ds. zgodności z przepisami AML/CFT zgodnie z art. 8 ust. 4 dyrektywy (UE) 2015/849, organ zarządzający powinien uwzględnić skalę i złożoność operacji instytucji kredytowej lub finansowej oraz jej narażenie na ryzyk a ML/TF zgodnie z kryteriami określonymi w sekcji 4.2.2.

Pracownik ds. zgodności z przepisami AML/CFT powinien być powoływany n a szczeblu kierowniczym. Osoba ta powinna dysponować wystarczającymi uprawnieniami, aby z własnej inicjatywy proponować wszystkie konieczne lub stosowne środki w celu zapewnienia zgodności i skuteczności wewnętrznych środków AML/CFT organowi zarządzającemu pełniącemu funkcję nadzorczą i zarządczą.

Jeżeli powołano pracownika ds. zgodności z przepisami AML/CFT zgodnie z art. 8 ust. 4 dyrektywy (UE) 2015/849, organ zarządzający powinien określić, czy dana osoba będzie pełnić tę rolę w pełnym wymiarze czasu pra cy , czy też dodatkowo względem istniejących zadań realizowanych przez tę osobę w instytucji kredytowej lub finansowej.

Jeżeli zadania pracownika ds. zgodności z przepisami AML/CFT mają zostać powierzone pracownikowi, który ma już inne obowiązki lub funkcje w instytucji kredytowej lub finansowej, organ zarządzający powinien zidentyfikować i rozważyć ewentualne konflikty interesów oraz podjąć działania niezbędne do ich uniknięcia lub w razie konieczności do zarządzania nimi. Organ zarządzający powinien zapewnić, aby osoba ta mogła poświęcić wystarczająco dużo czasu na realizowanie zadań pracownika ds. zgodności z przepisami AML/CFT .

Pracownik ds. zgodności z przepisami AML/CFT powinien pozostawać do dyspozycji właściwego organu i jednostki analityki finansowej na ich żądanie, dlatego też powinien być zwykle zatrudniony i pracować w państwie, w którym dana instytucja kredytowa lub finansowa ma siedzibę.

Jeżeli jest to współmierne do ryzyk ML/TF , na które narażona jest instytucja kredytowa lub finansowa, jak również w zakresie dozwolonym przepisami krajowymi, pracownik ds. zgodności z przepisami AML/CFT może zostać zatrudniony do pracy w innej jurysdykcji. W takich przypadkach instytucja kredytowa lub finansowa powinna posiadać niezbędne systemy i środki kontroli, aby zagwarantować pracownikowi ds. zgodności z przepisami AML/CFT dostęp do wszystkich niezbędnych informacji i systemów koniecznych do realizacji jego zadań oraz zapewnić jego bezzwłoczną dyspozycyjność na potrzeby spotkania z lokalną jednostką analityki finansowej i właściwym organem. Instytucja kredytowa lub finansowa powinna również być w stanie wykazać właściwemu organowi, że środki wprowadzone przez nią w tym zakresie są adekwatne i skuteczne.

Pracownik ds. zgodności z przepisami AML/CFT powinien mie ć możliwość przydzielania i delegowania zadań określonych w sekcji 4.2.4 innym pracownikom działającym pod jego kierownictwem i nadzorem, przy czym ostateczna odpowiedzialność za skuteczne wykonywanie tych zadań spoczywa na pracowniku ds. zgodności z przepisami AML/CFT.

Pracownik ds. zgodności z przepisami AML/CFT powinien być częścią drugiej linii obrony, a w związku z tym stanowić część niezależnej komórki, przy czym należy spełnić następujące warunki:

• a) pracownik ds. zgodności z przepisami AML/CFT powinien być niezależny od kontrolowanych przez siebie linii lub je dnostek biznesowych i nie może być podwładnym osoby odpowiedzialnej za zarządzanie którąkolwiek z tych linii lub jednostek biznesowych;
• b) instytucja kredytowa lub finansowa wprowadziła wewnętrzne procedury w celu zagwarantowania, aby pracownik ds. zgodności z przepisami AML/CFT miał przez cały czas nieograniczony i bezpośredni dostęp do wszystkich informacji niezbędnych do realizacji swoich zadań. Decyzja o tym, do jakich informacji musi mieć dostęp w tym zakresie, powinna należeć wyłącznie do pracownika ds. zgodności z przepisami AML/CFT ;
• c) w razie wystąpienia istotnego incydentu pracownik ds. zgodności z przepisami AML/CFT powinien być w stanie przedstawić sprawozdania organowi zarządzającemu pełniącemu funkcję nadzorczą lub – w przypadku braku takiego organu – kadrze kierowniczej wyższego szczebla i mieć bezpośredni dostęp do takiego organu lub kierownictwa.

4.2.2 Kryteria proporcjonalności na potrzeby powołania odrębnego pracownika ds. zgodności z przepisami AML/CFT

Instytucja kredytowa lub finansowa powinna powołać odrębnego pracownika ds. zgodności z przepisami AML/CFT , chyba że jest ona jednoosobowym przedsiębiorcą lub ma bardzo ograniczoną liczbę pracowników lub jeżeli zachodzą okoliczności uzasadniające niepowoływanie takiej osoby określone w pkt . 33.

Jeżeli organ zarządzający podejmuje decyzję, by nie powoływać odrębnego pracownika ds. zgodności z przepisami AML/CFT, należy uzasadnić i udokumentować taką decyzję, powołując się wprost na co najmniej następujące kryteria:

• a) charakter działalności instytucji kredytowej lub finansowej oraz związane z nią ryzyk a ML/TF z uwzględnieniem jej ekspozycji geograficznej, bazy klientów, kanałów dystrybucji oraz oferowanych produktów i usług;
• b) skala działalności w danej jurysdykcji, liczba klientów, liczba i wolumen transakcji o raz liczba zatrudnionych w przeliczeniu na pełne etaty ;
• c) forma prawna instytucji kredytowej lub finansowej, w tym informacja, czy instytucja ta jest częścią grupy.

Jeżeli nie powołano odrębnego pracownika ds. zgodności z przepisami AML/CFT, instytucja kredytowa lub finansowa powinna powierzyć wykonywanie zadań tego pracownika (zob. poniżej sekcja 4.2.4 Zadania i rola pracownika ds. zgodności z przepisami AML/CFT ) członkowi organu zarządzającego, o którym mowa w sekcji 4.1.3, lub członkowi kadry kierowniczej wyższego szczebla odpowiedzialnemu za przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu, o którym mowa w sekcji 4.1.4, lub zlecić je w drodze outsourcingu funkcji operacyjnych, o czym mowa w sekcji 4.2.6, bądź zorganizować wykonywanie tych zadań przez połączenie wymienionych wariantów.

Jeżeli pracownik ds. zgodności z przepisami AML/CFT działa dla co najmniej dwóch podmiotów w ramach grupy lub odpowiada za inne zadania, instytucja kredytowa lub finansowa powinna zapewnić, aby pomimo zbiegu funkcji mógł skutecznie realizować swoje zadania. Pracownik ds. zgodności z przepisami AML/CFT powinien działać na rzecz różnych podmiotów tylko wtedy, gdy należą one do tej samej grupy. Ze względu na specyfikę sektora przedsiębiorstw zbiorowego inwestowania⁵ pracownik ds. zgodności z przepisami AML/CFT może jednak obsługiwać kilka funduszy.

4.2.3 Adekwatność, umiejętności i wiedza fachowa

⁵ Przedsiębiorstwo zbiorowego inwestowania oznacza przedsiębiorstwo zbiorowego inwestowania w zbywalne papiery wartościowe (UC ITS) w rozumieniu art. 1 ust. 2 dyrektywy Parlamentu Europejskiego i Rady 2009/65/WE z dnia 13 lipca 2009 r. w sprawie koordynacji przepisów ustawowych, wykonawczych i administracyjnych odnoszących się do przedsiębiorstw zbiorowego inwestowania w zbywalne papiery wartościowe (UCITS) lub AFI w rozumieniu art. 4 ust. 1 lit. a) dyrektywy 2011/61/UE.

Jeżeli chodzi o kontrole pracowników, o których mowa w art. 8 ust. 4 lit. a) dyrektywy (UE) 2015/849, instytucje kredytowe lub finansowe powinny przed powołaniem pracownika ds. zgodności z przepisami AML/CFT ocenić, czy spełnia on następujące kryteria:

• a) rep utacja, uczciwość i etyka niezbędne do sprawowania tej funkcji;
• b) stosowne umiejętności i wiedza fachowa w dziedzinie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, w tym znajomość obowiązujących przepisów ustawowych i wykonawczych w dziedzinie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, jak również w dziedzinie wdrażania strategii, środków kontroli i procedur AML/CFT;
• c) wystarczająca wiedza i zrozumienie ryzyk ML/TF związan ych z modelem biznesowym instytucji kredytowej lub finansowej, umożliwiające skuteczne sprawowanie tej funkcji;
• d) odpowiednie doświadczenie w identyfikacji i ocenie ryzyk ML/TF oraz zarządzania nim i; oraz
• e) wystarczająco dużo czasu i odpowiedni staż pracy, aby sprawować powierzone funkcje w sposób skuteczny, niezależny i autonomiczny.

Instytucje kredytowe lub finansowe powinny zapewnić, aby komórka ds. zgodności z przepisami AML/CFT działała w sposób ciągły, wpisując się w ramy ogólnego zarządzania ciągłością działania instytucji. Powinna ona przewidzieć możliwość zaprzestania pełnienia funkcji przez pracownika ds. zgodności z przepisami AML/CFT oraz zapewnić dostępność zastęp cy

• o odpowiednich umiejętnościach i wiedzy fachowej na potrzeby przejęcia funkcji tego pracownika w przypadku jego tymczasowej nieobecności lub w przypadku zakwestionowania jego uczciwości.

4.2.4 Zadania i rola pracownika ds. zgodności z przepisami AML/CFT

Rola i obowiązki pracownika ds. zgodności z przepisami AML/CFT powinny być jasno określone i udokumentowane.

• a. Opracowanie ram oceny ryzyka

W związku z identyfikacją i oceną ryzyka, o których mowa w art. 8 ust. 1 dyrektywy (UE) 2015/849 , pracownik ds. zgodności z przepisami AML/CFT powinien opracować i utrzymywać ramy oceny ryzyka prania pieniędzy i finansowania terroryzmu obejmującej całą działalność oraz indywidualnych ocen ryzyka ML/TF zgodnie z wytycznymi EUNB dotyczącymi czynników ryzyka prania pieniędzy i finansowania terroryzmu⁶ .

⁶ Zmienione wytyczne EUNB dotyczące czynników ryzyka prania pieniędzy i finansowania terroryzmu: EBA/GL/2021/02.

Pracownik ds. zgodności z przepisami AML/CFT powinien zgłaszać wyniki oceny ryzyka prania pieniędzy i finansow ania terroryzmu obejmującej całą działalność oraz indywidualnych ocen ryzyka ML/TF organowi zarządzającemu, dokonując tego za pośrednictwem członka organu zarządzającego, lub członkowi kadry kierowniczej wyższego szczebla odpowiedzialnemu za przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu, bądź bezpośrednio, jeżeli uzna to za konieczne. Pracownik ds. zgodności z przepisami AML/CFT powinien zaproponować organowi zarządzającemu środki służące ograniczaniu tego rodzaju ryzyka. Nie należy inicjować wprowadzania nowego produktu lub nowej usługi ani istotnych zmian w istniejących produktach lub usługach, wchodzić na nowy rynek ani podejmować nowych działań do czasu udostępnienia i skutecznego wdrożenia odpowiednich zasobów umożliwiających zrozumienie związanego z nimi ryzyka i zarządzanie tym ryzykiem.

• b. Opracowanie strategii i procedur

Pracownik ds. zgodności z przepisami AML/CFT powinien zapewnić wprowadzenie odpowiednich strategii i procedur, ich aktualizowanie i skutecznie wdrażanie na bieżąco. Strate gie i procedury powinny być współmierne do ryzyk ML/TF zidentyfikowan ych przez instytucję kredytową lub finansową. Pracownik ds. zgodności z przepisami AML/CFT powinien co najmniej:

• a) określić strategie i procedury AML/CFT , które mają zostać przyjęte przez instytucję kredytową lub finansową, a także środki kontroli i systemy, które mają zostać wdrożone na podstawie art. 8 ust. 4 dyrektywy (UE) 2015/849;
• b) zapewnić skuteczne wdrażanie strategii i procedur AML/CFT przez instytucję kredytową lub finansową, co wyjaśniono w sekcji d) dotyczącej monitorowania zgodności z przepisami;
• c) zapewnić, aby strategie i procedury AML/CFT były regularnie poddawane przeglądowi i w razie konieczności zmieniane lub aktualizowane;
• d) proponować, w jaki sposób dostosować się do wsz elki ch zmian w zakresie wymogów regulacyjnych lub w zakresie ryzyk ML/TF , a także jak najlepiej skorygować uchybienia stwierdzone w ramach działań w zakresie monitorowania lub nadzoru.

Strategie, środki kontroli i procedury, o których mowa w art. 8 ust. 4 dyrektywy (UE) 2015/849, powinny obejmować co najmniej następujące elementy:

• a) metodykę oceny ryzyka ML/TF obejmującej całą działalność oraz ocen indywidualnych;
• b) procedurę należytej staranności wobec klienta, w tym procedurę przewidzianą w zmienionych wytycz nych EUNB dotyczących czynników ryzyka prania pieniędzy i finansowania terroryzmu⁷ , oraz proces akceptacji klienta, wyjaśnione poniżej w sekcji c) dotyczącej klientów, w szczególności w odniesieniu do klientów wysokiego ryzyka;
• c) wewnętrzne zgłoszenia (analizę nietypowych transakcji) oraz zgłoszenia podejrzanych transakcji do jednostki analityki finansowej;
• d) prowadzenie dokumentacji; oraz
• e) przepisy dotyczące monitorowania zgodności z przepisami AML/CFT , jak określono w sekcji d) dotyczącej monitorowania zgodności.
• c. Klienci, w tym klienci wysokiego ryzyka

⁷ Wytyczne na podstawie art. 17 i art. 18 ust. 4 d yrektywy (UE) 2015/849 dotyczące środków należytej staranności wobec klienta oraz czynników, które instytucje kredytowe i finansowe powinny uwzględnić podczas oceny ryzyka prania pieniędzy i finansowania terroryzmu związanego z indywidualnymi stosunkami go spodarczymi i transakcjami sporadycznymi („wytyczne dotyczące czynników ryzyka prania pieniędzy i finansowania terroryzmu”): EBA/GL/2021/02.

Przed podjęciem przez kadrę kierowniczą wyższego szczebla ostatecznej decyzji w sprawie przyjęcia nowych klientów wysokiego ryzyka lub utrzymania stosunków gospodarczych z klientami wysokiego ryzyka zgodnie z opartymi na analizie ryzyka wewnętrznymi strategiami AML/CFT obowiązującymi w danej instytucji kredytowej lub finansowej, a w szczególności w sytuacjach, gdy zgoda kadry kierowniczej wyższego szczebla jest wyraźnie wymagana na mocy dyrektywy (UE) 2015/849, należy skonsultować się z pracownikiem ds. zgodności z przepisami AML/CFT . Jeżeli kadra kierownicza wyższego szczebla podejmie decyzję o tym, by nie stosować się do porady pracownika ds. zgodności z przepisami AML/CFT, powinna należycie odnotować swoją decyzję i przedstawić sposób, w jaki zamierza ograniczyć ryzyko ws kazane przez tego pracownika.

• d. Monitorowanie zgodności

Pracownik ds. zgodności z przepisami AML/CFT, stanowiąc drugą linię obrony, powinien być odpowiedzialny za monitorowanie, czy środki, strategie, środki kontroli i procedury wdrażane przez instytucję kredytową lub finansową są zgodne z obowiązkami AML/CFT ciążącymi na instytucji kredytowej lub finans owej. Pracownik ds. zgodności z przepisami AML/CFT powinien również nadzorować skuteczne stosowanie środków kontroli w tej dziedzinie przez linie biznesowe i jednostki wewnętrzne (pierwsza linia obrony).

Pracownik ds. zgodności z przepisami AML/CFT powinien – w razie konieczności i każdorazowo w przypadku wykrycia uchybień, powstania nowego ryzyka lub zmiany ram ustawowych lub wykonawczych – zapewnić aktualizację system ów AML/CFT.

Pracownik ds. zgodności z przepisami AML/CFT powinien zalecić organowi zarządzającemu środki naprawcze, które należy zastosowa ć w celu wyeliminowania stwierdzonych uchybień w systemie AML/CFT instytucji kredytowej lub finansowej, w tym uchybień stwierdzonych przez właściwe organy lub audytorów wewnętrznych lub zewnętrznych.

• e. Składanie sprawozdań organowi zarządzającemu

Pracownik ds. zgodności z przepisami AML/CFT powinien doradzać organowi zarządzającemu w sprawie środków, które należy zastosować w celu zapewnienia zgodności z obowiązującymi przepisami, zasadami, regulacjami oraz standardami, a także oceniać możliwy wpływ ewentualnych zmian w otoczeniu prawnym lub regulacyjnym na działalność instytucji kredytowej lub finansowej i ramy zgodności z przepisami.

Pracownik ds. zgodności z przepisami A ML/CFT powinien zwrócić uwagę członka organu zarządzającego lub członka kadry kierowniczej wyższego szczebla odpowiedzialnego za przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu na:

• a) obszary, w których należy wdrożyć lub usprawnić funkcjonowanie środków kontroli AML/CFT;
• b) odpowiednie usprawnienia sugerowane w związku z lit. a) powyżej;
• c) sprawozdanie z postępów dotyczące wszelkich istotnych programów naprawczych, sporządzane co najmniej raz w roku w ramach sprawozdania z działalności, o którym mowa w pkt . 50, oraz w trybie doraźnym lub okresowo, w zależności od usprawnień, w celu dostarczenia informacji na temat poziomu narażenia na ryzyk a ML/TF oraz środków wprowadzonych lub zalecanych w celu ograniczenia tych ryzyk i skutecznego zarządzania nim i;
• d) kwestię, czy zasoby ludzkie i techniczne przydzielone komórce ds. zgodności z przepisami AML/CFT są wystarczające, czy też powinny zostać wzmocnione.

Instytucja kredytowa lub finansowa musi być gotowa do przekazania właściwemu organowi kopii sprawozdania z działalności, o którym mowa w pkt . 50.

Pracownik ds. zgodności z przepisami AML/CFT powinien sporządzać sprawozdanie z działalności co najmniej raz w roku. Sprawozdanie to powinno być proporcjonalne względem skali i charakteru działalności instytucji kredytowej lub finansowej. Może ono w stosownych przypadkach opierać się na informacjach przesłanych już właściwym organom krajowym w formie

informacje:

1) W odniesieniu do oceny ryzyka ML/TF :

• a) podsumowanie głównych ustaleń dotyczących oceny ryzyka ML/TF obejmującej całą

aktualizacja została przeprowadzona w poprzednim roku, oraz potwierdzenie, czy właściwy organ zażądał przedłożenia takiej oceny za dany rok sprawozdawczy⁸ ;

• b) opis wszelkich zmian związanych z metodą stosowaną przez instytucję kredytową lub finansową do oceny indywidualnego profilu ryzyka klienta wraz ze wskazaniem, w jaki sposób taka zmiana jest dostosowana do oceny ryzyka ML/TF instytucji kredytowej lub finansowej obejmującej całą działalność ;

kategorię ryzyka), w odniesieniu do których nie dokonano dotąd przeglądu i aktualizacji środków należytej staranności wobec klienta;

• d) informacje i dane statystyczne dotyczące:

2) W odniesieniu do zasobów:

• e) krótki opis struktury organizacyjnej w dziedzinie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu oraz, w stosownych przypadkach, wszelkich istotnych zmian wprowadzonych w minionym roku, a także ich uzasadnienie;
• f) krótki opis zasobów ludzkich i technicznych przydziel onych przez instytucję kredytową lub finansową komórce ds. zgodności z przepisami AML/CFT;
• g) w stosownych przypadkach – wykaz procesów AML/CFT zleconych na zasadzie outsourcingu wraz z opisem nadzoru sprawowanego przez instytucję kredytową lub finansową nad tymi działaniami.

3) W odniesieniu do strategii i procedur:

• h) podsumowanie istotnych wprowadzonych środków i procedur przyjętych w ciągu roku, w tym krótki opis zaleceń, problemów, uchybień i nieprawidłowości stwierdzonych w roku sprawozdawczym;
• i) opis działań w zakresie monitorowania zgodności podjętych w celu oceny stosowania strategii, środków kontroli i procedur AML/CFT obowiązujących w instytucji kredytowej lub finansowej przez pracowników, pośredników, dystrybutorów i dostawców usług tej instytucji, a także opis adekwatności wszelkich narzędzi monitorowania stosowanych przez instytucję kredytową lub finansową do celów przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu;
• j) opis zakończonych szkoleń w zakresie przeciwdziałania praniu pieniędzy i finansow aniu terroryzmu oraz planu szkoleń na kolejny rok;
• k) plan działań pracownika ds. zgodności z przepisami AML/CFT na kolejny rok;
• l) ustalenia z wewnętrznych i zewnętrznych audytów istotne z perspektywy przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu oraz postępy poczynione przez instytucję kredytową lub finansową w reakcji na te ustalenia;
• m) działania nadzorcze, w tym komunikacja z instytucją kredytową lub finansową, prowadzone przez właściwy organ, przedłożone zgłoszenia, stwierdzone naruszenia i nałożone kary, a także sposób, w jaki instytucja kredytowa lub finansowa zobowiązuje się do usunięcia stwierdzonych naruszeń, jak również etap, na którym podejmowane są działania naprawcze, bez uszczerbku dla wszelkich innych okresowych sprawozdań, które mogą być wymagane w przypadku działań nadzorczych lub naprawczych.
• f. Zgłaszanie podejrzanych transakcji

⁸ Zobacz wytyczne EUNB dotyczące czynników ryzyka prania pieniędzy i finansowania terroryzmu podczas przeprowadzani a ocen ryzyka (EBA/GL/2021/02).

W odniesieniu do wynikającego z art. 33 ust. 2 dyrektywy (UE) 2015/849 ciążącego na pracowniku ds. zgodności z przepisami AML/CFT obowiązku przekazywania informacji, o których mowa w ust. 1 tego artykułu, pracownik ten powinien upewnić się, że inni członkowie personelu, z których pomocy korzysta przy realizacji zadań związanych ze swoją funkcją, dysponują umiejętnościami, posiadają wiedzę i są odpowiednimi osobami do udzielania pomocy w wykonywaniu danego zadania. Należy odpowiednio uwzględnić wrażliwość i poufność informacji, które mogą zostać ujawnione, a także obowiązki w zakresie nieujawniania informacji, których instytucja kredytowa lub finansowa musi przestrzegać.

Gdy pracownik ds. zgodności z przepisami AML/CFT przekazuje informacje jednostce analityki finansowej zgodnie z art. 33 ust. 2 dyrektywy (UE) 2015/849, powinien on zapewnić skuteczne przekazywanie tych informacji w formacie zgodnym z wytycznymi wydanymi przez krajową jednostkę analityki finansowej oraz z wykorzystaniem środków zgodnych z tymi wytycznymi. W ramach swojej roli wynikającej z tego przepisu pracownik ds. zgodności z przepisami AML/CFT powinien:

• a) rozumieć funkcjonowanie i strukturę systemu monitorowania transakcji, w tym uwzględnione scenariusze wynikające z ryzyk ML/TF powstający ch dla instytucji kredytowej lub finansowej oraz wewnętrzne procedury postępowania z ostrzeżeniami;
• b) przyjmować zgłoszenia od pracowników, pośredników lub dystrybutorów instytucji kredytowej lub finansowej lub zgłoszenia wygenerowane w inny sposób przez systemy instytucji kredytowej lub finansowej, dotyczące powzięcia wiedzy o praniu pieniędzy lub finansowaniu terroryzmu lub podejrzenia prania pieniędzy lub finansowania terroryzmu lub powzięcia wiedzy lub podejrzenia, że dana osoba jest lub mogła/może być powiązana z praniem pieniędzy lub finansowaniem terroryzmu;
• c) zapewnić niezwłoczne rozpatrywanie tych zgłoszeń w celu ustalenia, czy doszło do powzięcia wiedzy lub podejrzenia, że środki finansowe pochodzą z działalności przestępczej, w tym prania pieniędzy lub finansowania terroryzmu, lub czy dana osoba jest lub mogła/może być powiązana z praniem pieniędzy lub finansowaniem terroryzmu; pracownik ds. zgodności z przepisami AML/CFT powinien również określić, udokumentować i w drożyć proces ustalania priorytetów w odniesieniu do otrzymywanych zgłoszeń wewnętrznych, tak aby zgłoszenia wewnętrzne dotyczące szczególnie sytuacji wysokiego ryzyka były traktowane jako pilne;
• d) podczas oceny otrzymanych zgłoszeń – prowadzić rejestr wszystkich przeprowadzonych ocen oraz wszelkich informacji zwrotnych otrzymanych od jednostki analityki finansowej w celu poprawy wykrywania podejrzanych transakcji w przyszłości;
• e) zapewnić niezwłoczne zgłaszanie jednostce analityki finansowej powzięcia wiedzy o praniu pieniędzy lub finansowaniu terroryzmu lub podejrzenia prania pieniędzy lub finansowania terroryzmu lub związku danej osoby z praniem pieniędzy i finansowaniem terroryzmu, przedstawiając wraz ze zgłoszeniem takie fakty, zdarzenia lub informacje i do kumenty, które są niezbędne do uzasadnienia podejrzenia lub uzasadnionych podstaw podejrzenia prania pieniędzy i finansowania terroryzmu;
• f) zapewnić szybką i wyczerpującą odpowiedź na wszelkie wnioski o udzielenie informacji złożone przez jednostkę analityki finansowej; oraz
• g) regularnie analizować powody, dla których ostrzeżenia o nietypowej działalności lub transakcjach nie zostały przekazane na wyższy szczebel jako zgłoszenia wewnętrzne, aby ustalić, czy istnieją problemy, którymi należy się zająć, by zapewnić skuteczne wykrywanie podejrzanych działań lub transakcji.

Pracownik ds. zgodności z przepisami AML/CFT powinien zagwarantować, aby wewnętrzne środki kontroli instytucji kredytowej lub finansowej umożliwiały stosowanie się do wszelkich wytycznych wydanyc h przez jednostkę analityki finansowej.

Instytucje kredytowe lub finansowe powinny zwrócić uwagę swoich kierowników i pracowników na obowiązek ścisłego przestrzegania zakazu informowania klienta lub osób trzecich

• o tym, że analiza dotycząca prania pieniędz y i finansowania terroryzmu jest w toku lub może zostać rozpoczęta, jak również na obowiązek ograniczenia dostępu do tych informacji do osób, które potrzebują ich do wykonywania swoich funkcji. Chociaż w instytucji kredytowej lub finansowej istnieje obowiązek nieujawniania informacji, pracownik ds. zgodności z przepisami AML/CFT powinien dokładnie przeanalizować, komu w ramach instytucji kredytowej lub finansowej przekazywane są informacje na temat wszelkich zgłoszeń przedłożonych jednostce analityki finansowej lub wniosków o udzielenie informacji otrzymanych od jednostki analityki finansowej. Procedura zgłaszania powinna być poufna, a tożsamość osób zaangażowanych w przygotowanie i przekazanie zgłoszenia powinna być chroniona polityką prywatności.
• g. Szkolenia i zwiększanie świadomości

Zgodnie z obowiązkiem określonym w art. 46 ust. 1 dyrektywy (UE) 2015/849 oraz jak określono w zmienionych wytycznych EUNB dotyczących czynników ryzyka prania pieniędzy i finansowania terroryzmu⁹ , pracownik ds. zgodności z przepisami AML/CFT powinien należycie informować personel o ryzyk ach ML/TF , na które narażona jest instytucja kredytowa lub finansowa, w tym o metodach, tendencjach i typach prania pieniędzy i finansowania terroryzmu, a także

• o podejściu opartym na analizie ryzyka stosowanym przez instytucję kredytową lub finansową w celu ograniczeni a tego ryzyka. Informacje te mogą być przekazywane w różnej formie, między innymi w postaci pism wewnętrznych spółki, przez intranet lub w trakcie spotkań.

⁹ Wytyczna 6: Szkolenia w zmienionych wytycznych EUNB dotyczących czynników ryzyka prania pieniędzy i finansowania terroryzmu: EBA/GL/2021/02.

Pracownik ds. zgodności z przepisami AML/CFT powinien nadzorować przygotowanie i wdrażanie realizowanego na bieżąco programu szkoleniowego w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. We współpracy z działem zasobów ludzkich instytucji kredytowej lub finansowej należy udokumentować roczny plan szkoleń i kształcenia personelu o raz odnieść się do niego w sprawozdaniu z działalności składanym organowi zarządzającemu zgodnie z pkt . 50.

Pracownik ds. zgodności z przepisami AML/CFT powinien zapewnić, aby wszyscy członkowie personelu byli informowani o wewnętrznych procedurach sprawozdawczych przyjętych przez instytucję kredytową lub finansową.

Oprócz kształcenia ogólnego, do celów art. 46 ust. 1 dyrektywy (UE) 2015/849 pracownik ds. zgodności z przepisami AML/CFT powinien ocenić szczególne potrzeby szkoleniowe w instytucji kredytowej lub finansowej oraz zapewnić, aby odpowiednie szkolenia teoretyczne i praktyczne zagwarantowano osobom narażonym na różne poziomy ryzyk ML/TF , takim jak:

• a) osoby pracujące w komórce ds. zgodności z przepisami, pod kierownictwem pracownika ds. zgodności z prz episami AML/CFT;
• b) osoby mające kontakt z klientami lub odpowiedzialne za realizację ich transakcji (pracownicy, pośrednicy i dystrybutorzy);
• c) osoby odpowiedzialne za opracowanie procedur lub narzędzi wewnętrznych mających zastosowanie do działań, które mogą być podatne na ryzyko ML/TF.

Treść szczegółowych programów szkoleń prowadzonych dla osób narażonych w różnym stopniu na ryzyk a ML/TF powinna zostać dostosowana w sposób uwzględniający ryzyko, jak opisano w zmienionych wytycznych EUNB dotyczących czynników ryzyka prania pieniędzy i finansowania terroryzmu¹⁰ .

¹⁰ Wytyczna 6: Szkolenia w zmienionych wytycznych EUNB dotyczących czynników ryzyka prania pieniędzy i finansowania terroryzmu: EBA/GL/2021/02.

Pracownik ds. zgodności z przepisami AML/CFT powinien określić wskaźniki oceny na potrz eby sprawdzenia skuteczności prowadzonych szkoleń.

W przypadku gdy instytucja kredytowa lub finansowa przyjmuje program szkoleń i zwiększania świadomości opracowany za granicą, np. przez jej siedzibę lub spółkę dominującą, pracownik ds. zgodności z przepis ami AML/CFT powinien zapewnić dostosowanie tego programu do przepisów ustawowych i wykonawczych mających zastosowanie na szczeblu krajowym, a także do typologii prania pieniędzy i finansowania terroryzmu oraz specyfiki działań danej instytucji kredytowej lub finansowej.

W przypadku gdy niektóre działania szkoleniowe są zlecane dostawcy usług w ramach outsourcingu, pracownik ds. zgodności z przepisami AML/CFT powinien zagwarantować

• (i) dysponowanie przez dostawcę usług wymaganą wiedzą w dziedzinie przeciwdzi ałania praniu pieniędzy i finansowaniu terroryzmu w celu zapewnienia jakości prowadzonych szkoleń;
• (ii) ustalenie i przestrzeganie warunków zarządzania outsourcingiem; oraz (iii) dostosowanie treści tego szkolenia do specyfiki danej instytucji kredytowej lub finansowej.

4.2.5 Zależności między komórką ds. zgodności z przepisami AML/CFT a innymi komórkami

Zarówno komórka ds. zgodności z przepisami, jak i niezależna komórka ds. zgodności z przepisami AML/CFT powinny być zlokalizowane w drugiej linii obrony instytuc ji kredytowych i finansowych.

W przypadku gdy komórka ds. zgodności z przepisami AML/CFT działa odrębnie od ogólnej komórki ds. zgodności z przepisami, instytucje kredytowe lub finansowe powinny – oprócz przepisów zawartych w wytycznych europejskich urzędów nadzoru w sprawie zarządzania wewnętrznego¹¹ dotyczących przejrzystego i udokumentowanego procesu podejmowania decyzji oraz jasnego podziału obowiązków i uprawnień w ramach kontroli wewnętrznej – przestrzegać przepisów określonych w ni niejszej sekcji.

¹¹ Wytyczne EUNB w sprawie zarządzania wewnętrznego wydane na podstawie dyrektywy 2013/36/UE: EBA/GL/2021/05; wytyczne ESMA dotyczące wybranych aspektów wymogów dyrektywy MiFID II dotyczących komórki ds. nadzoru zgodności z prawem: ESMA35 -36- 1946; wytyczne EIOPA dotyczące systemu zarządzania: EIOPA -BoS-14/253 EN.

Niezależna funkcja audytu, o której mowa w art. 8 ust. 4 lit. b) dyrektywy (UE) 2015/849, nie powinna być połączona z komórką ds. zgodności z przepisami AML/CFT.

W zakresie, w jakim instytucja kredytowa lub finansowa posiada komórkę ds. za rządzania ryzykiem, komórka ds. zarządzania ryzykiem oraz komitet ds. ryzyka, jeżeli został powołany, powinny mieć dostęp do odpowiednich informacji i danych koniecznych do realizacji ich obowiązków, w tym informacji i danych pochodzących od odpowiednich komórek ds. kontroli korporacyjnej i wewnętrznej, takich jak komórka ds. zgodności z przepisami AML/CFT.

Kierownik komórki ds. zarządzania ryzykiem i pracownik ds. zgodności z przepisami AML/CFT powinni ściśle współpracować ze sobą w celu wymiany informacji . Pracownik ds. zgodności z przepisami AML/CFT powinien współpracować z komórką ds. ryzyka w celu ustalenia metod AML/CFT spójnych ze strategią zarządzania ryzykiem instytucji kredytowej lub finansowej.

4.2.6 Outsourcing funkcji operacyjnych pracownika ds. zgodności z przepisami AML/CFT

Instytucje kredytowe lub finansowe poza wytycznymi europejskich urzędów nadzoru w sprawie outsourcingu¹² , stosownie do przypadku i gdy outsourcing funkcji operacyjnych pracownika ds. zgodności z przepisami AML/CFT jest dozwolony p rawem krajowym, powinny mieć na uwadze następujące kluczowe zasady:

• a. ostateczna odpowiedzialność za przestrzeganie obowiązków wynikających z przepisów ustawowych i wykonawczych, niezależnie od tego, czy konkretne funkcje są zlecane na zewnątrz w ramach outs ourcingu, spoczywa na instytucji kredytowej lub finansowej;
• b. prawa i obowiązki instytucji kredytowej lub finansowej oraz dostawcy usług powinny być w sposób jasny rozdzielone i określone w pisemnej umowie;
• c. instytucja kredytowa lub finansowa opierająca się na umowie outsourcingu powinna pozostać odpowiedzialna za monitorowanie i nadzorowanie jakości świadczonych usług;
• d. outsourcing wewnątrz grupy powinien podlegać tym samym ramom regulacyjnym co zlecanie zadań w ramach outsourcingu dostawcom us ług spoza grupy¹³ ;
• e. outsourcing funkcji nie może skutkować oddelegowaniem odpowiedzialności organu zarządzającego. Nie należy zlecać na zewnątrz w ramach outsourcingu decyzji strategicznych dotyczących przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. Do decyzji tych należą w szczególności:
• i. zatwierdzanie oceny ryzyka ML/TF obejmującej całą działalność ;
• ii. decyzja w sprawie wewnętrznej organizacji systemu AML/CFT instytucji kredytowej i finansowej;
• iii. przyjmowanie wewnętrznych strategii i procedur AML/CFT;
• iv. zatwierdzanie metodyki stosowanej do określenia ryzyka ML/TF związanego z danym stosunkiem gospodarczym oraz przypisanie profilu ryzyka;
• v. zatwierdzenie kryteriów, które mają być stosowane przez instytucję kredytową lub finansową do wykrywania podejrzanych lub nietypowych transakcji na potrzeby bieżącego monitorowania lub sprawozdawczości.

Instytucje kredytowe i finansowe ponoszą ostateczną odpowiedzialność za decyzję

• o zgłoszeniu podejrzanych transakcji jednostce analityki finansowej, również w sytuacjach , gdy identyfikacja i zgłaszanie podejrzanych transakcji są zlecane na zewnątrz w ramach outsourcingu.

¹² Wytyczne EUNB w sprawie outsourcingu: EBA/GL/2019/02; wytyczne EIOPA dotyczące outsourcingu do dostawców usług chmury obliczeniowej: EIOPA -BoS-20- 002; wytyczne ESMA dotyczące outsourcingu do dostawców usług chmury obliczeniowej: ESMA50 -157-2403.

¹³ Punkt 2 7 sekcji „Kontekst” w wytycznych EUNB w sprawie outsourcingu z dnia 25 lutego 2019 r.: EBA/GL/2019/02.

Instytucje kredytowe i finansowe przy zlecaniu dostawcy usług – w ramach outsourcingu – zadań operacyjnych pracownika ds. zgodności z przepisami AML/CFT powinny przestrzegać procesu outsourcingu określonego w wytycznych EUNB w sprawie outsourcingu. Obejmuje to identyfikację i ocenę odpowiedniego ryzyka związanego z umową outsourcingu, uzasadnienie decyzji o zleceniu zadania w ramach outsourcingu w świetle zamierzonych celów (czy ma to zapewnić optymalną alokację zasobów AML/CFT w całej grupie, czy na podstawie kryteriów proporcjonalności), przeprowadzenie procedur należytej staranności wobec potencjalnego dostawcy usług oraz zawarcie umowy outsourcingu.

Instytucja kredytowa lub finansowa, która zleca na zewnątrz w ramach outsourcingu zadania komórki ds. zgodności z przepisami AML/CFT , powinna powierzyć swojemu pracownikowi ds. zgodności z przepisami AML/CFT następujące zadania:

• i) monitorowanie działań dostawcy usług w celu zapewnienia, aby outsourcing skutecznie umożliwiał instytucji kredytowej lub finansowej wypełnienie wszystkich jej obowiązków AML/CFT wynikających z przepisów ustawowych lub wykonawczych;
• ii) przeprowadzanie regularn ej kontroli przestrzegania przez dostawcę usług zobowiązań wynikających z umowy. Zgodnie z udokumentowaną analizą regularna kontrola powinna zapewniać, aby komórka ds. zgodności z przepisami AML/CFT dysponowała środkami umożliwiającymi regularne i sporadyczne sprawdzanie i monitorowanie przestrzegania obowiązków spoczywających na dostawcy usług. Jeżeli chodzi o dane klienta, komórka ds. zgodności z przepisami AML/CFT oraz właściwy organ powinny mieć prawo dostępu do systemów/baz danych dostawcy usług;
• iii) składanie organowi zarządzającemu sprawozdań z outsourcingu w ramach sprawozdania z działalności pracownika ds. zgodności z przepisami AML/CFT lub każdorazowo, gdy wymagają tego okoliczności, w szczególności w celu jak najszybszego wdrożenia wszelkich niezbędnych środków zaradczych.

W przypadku gdy instytucja kredytowa lub finansowa nie ma własnych pracowników ani członków kadry innych niż organ zarządzający, może ona dokonać outsourcingu funkcji, zlecając dostawcy usług zapewnienie zgodności z przepisami AML/CFT . W takich przypadkach pracownikiem ds. zgodności z przepisami AML/CFT powinien być pracownik ds. zgodności z przepisami AML/CFT jednego z dostawców usług, który ma doświadczenie lub wiedzę w dziedzinie działalności danej instytucji kredytowej lub finansowej lub przeprowadzanych przez nią transakcji.

W sytuacjach, w których instytucja kredytowa lub finansowa korzysta z outsourcingu wewnątrz grupy, powinna ona w szczególności podjąć działania niezbędne do zidentyfikowania wszelkich konfliktów interesów, które mogłyby wyniknąć z takiej umowy outsourcingu, i zarządzania takimi konfliktami. Jednostka dominująca grupy powinna:

• a) zapewnić, aby w zaangażowanych podmiotach powstał wykaz przypadków wewnątrzgrupowego outsourcingu w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu w celu określenia, który podmiot prawny sprawuje którą funkcję, i aby wykaz ten był regularnie udostępniany do wglądu; oraz
• b) zapewnić, aby outsourcing wewnątrz grupy nie zagrażał wypełnianiu przez każdą spółkę zależną, oddział lub innego rodzaju podmiot ich obowiązków AML/CFT.

Zlecanie w ramach outsourcingu zadań związanych z AML/CFT dostawcom usług mającym siedzibę w państwach trzecich powinno podlegać dodatkowym środkom ochronnym w celu zapewnienia, aby outsourcing nie zwiększał – ze względu na lokalizację dostawcy usług – ryzyka nieprzestrzegania wymogów wynikających z przepisów ustawowych i wykonawczych, nie powodował niewydajnego wykonywania zleconych zadań ani nie ograniczał zdolności właściwego organu do skutecznego wykonywania uprawnień nadzorczych wobec dostawcy usług.