Wprowadzenie – aktualność wiedzy o kliencie jako problem prawny
Wykonanie środków należytej staranności przed nawiązaniem stosunku gospodarczego pozwala bankowi rozpoznać klienta, ustalić jego beneficjentów rzeczywistych, zrozumieć charakter prowadzonej działalności oraz ocenić ryzyko prania pieniędzy i finansowania terroryzmu. Informacje zgromadzone na tym etapie stanowią następnie podstawę monitorowania relacji. Nie mają jednak charakteru niezmiennego. Dane dotyczące działalności przedsiębiorstwa, sposobu sprawowania nad nim kontroli, struktury kontrahentów albo rzeczywistego wykorzystania usług finansowych mogą ulegać zmianom przez cały okres współpracy. Prawidłowe przeprowadzenie początkowej weryfikacji nie przesądza zatem o aktualności ustaleń po kilku miesiącach lub latach utrzymywania relacji. Problem ma szerszy zakres niż aktualizacja danych identyfikacyjnych. Klient może nie zmienić nazwy, siedziby ani składu organów, a mimo to w zasadniczy sposób zmodyfikować model działalności i sposób korzystania z rachunków bankowych. Możliwa jest również zmiana danych identyfikacyjnych niemająca istotnego znaczenia dla ryzyka relacji gospodarczej. Każde z tych zdarzeń wymaga odrębnej kwalifikacji. Nie wystarcza więc stwierdzenie, że informacje powinny pozostawać aktualne. Konieczne jest określenie, jakie informacje podlegają weryfikacji, kiedy bank powinien ją przeprowadzić oraz jakie obowiązki powstają w następstwie ustalonej zmiany.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1624 z 31 maja 2024 r. w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu, określane dalej jako AMLR, reguluje te zagadnienia przede wszystkim w art. 20 i 26. Pierwszy z przepisów wskazuje katalog środków należytej staranności wobec klienta. Obejmuje on identyfikację i weryfikację tożsamości, ustalenie beneficjentów rzeczywistych, ocenę celu i zamierzonego charakteru stosunku gospodarczego, rozpoznanie charakteru działalności klienta oraz bieżące monitorowanie relacji. Drugi przepis określa sposób monitorowania, maksymalne okresy aktualizacji odpowiednich informacji, przesłanki przeglądu poza tymi okresami oraz szczególne wymagania odnoszące się do ukierunkowanych sankcji finansowych. AMLR będzie co do zasady stosowane od 10 lipca 2027 r. Bieżące monitorowanie jest jednak obowiązkiem znanym już dotychczasowemu systemowi AML/CFT. Art. 13 ust. 1 lit. d dyrektywy (UE) 2015/849, a w polskim porządku prawnym art. 34 ust. 1 pkt 4 ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, przewidują analizę transakcji oraz utrzymywanie aktualności informacji dotyczących stosunku gospodarczego. Znaczenia AMLR należy więc poszukiwać przede wszystkim w harmonizacji i doprecyzowaniu obowiązku już istniejącego. Rozporządzenie określa granice czasowe jego wykonywania, wyróżnia zdarzenia wymagające wcześniejszej reakcji i wprost reguluje znaczenie informacji o relacjach klienta z innymi podmiotami grupy.
Podstawowe pytanie dotyczy relacji pomiędzy okresową aktualizacją informacji a obowiązkiem reagowania na zmiany ujawnione w trakcie współpracy. W praktyce bankowej czynności te mogą należeć do różnych procesów organizacyjnych. Przeglądy danych bywają prowadzone według harmonogramu zależnego od oceny ryzyka, natomiast transakcje podlegają bieżącej analizie. Podział taki może być uzasadniony ze względów organizacyjnych, ale nie rozstrzyga o zakresie obowiązków prawnych. Informacje uzyskane podczas monitorowania transakcji mogą wskazywać na konieczność wcześniejszego przeglądu danych klienta, a aktualizacja informacji o jego działalności może zmienić punkt odniesienia dla kolejnych analiz transakcyjnych. Szczególne znaczenie posiada przy tym art. 25 AMLR. Przepis wymaga, aby przed nawiązaniem stosunku gospodarczego podmiot zobowiązany rozumiał jego cel i zamierzony charakter, uzyskując w razie potrzeby informacje dotyczące między innymi ekonomicznego uzasadnienia relacji, przewidywanej skali działalności, źródła i przeznaczenia środków oraz działalności gospodarczej klienta. Informacje te służą także późniejszej ocenie, czy rzeczywista aktywność odpowiada wcześniej rozpoznanej relacji. Cel i charakter stosunku gospodarczego mogą jednak zmieniać się z czasem. Dlatego wiedza o kliencie nie może być rozpatrywana wyłącznie jako rezultat czynności przeprowadzonych przed rozpoczęciem współpracy.
Wykładnia art. 26 AMLR wymaga rozróżnienia trzech zagadnień: powstania obowiązku przeglądu, zakresu informacji, które należy ponownie ocenić, oraz skutków takiej oceny. Obowiązek zbadania aktualności danych nie musi prowadzić do ich zmiany. Z kolei aktualizacja określonej informacji nie musi oznaczać konieczności ponownego wykonania wszystkich środków należytej staranności. Odmienna sytuacja występuje wtedy, gdy nowe okoliczności podważają prawidłowość wcześniejszych ustaleń albo powodują konieczność zmiany zakresu stosowanych środków ze względu na ryzyko. W takim przypadku skutki wykraczają poza uzupełnienie dokumentacji.
Przedmiotem niniejszej analizy jest zatem ustalenie prawnych granic aktualizacji wiedzy o kliencie. Chodzi zwłaszcza o rozstrzygnięcie, w jakich sytuacjach bank może nadal opierać się na wcześniejszych informacjach, kiedy powinien poddać je ponownej ocenie oraz jakie czynności musi podjąć po ustaleniu istotnej zmiany. Znaczenie posiada również możliwość zachowania proporcjonalności środków należytej staranności w modelu, w którym niektóre obowiązki zostały wyrażone jako sztywne wymagania czasowe albo zdarzeniowe. Analiza nie zakłada, że każda nowa informacja prowadzi do ponownego przeprowadzenia całej weryfikacji klienta. Punktem odniesienia pozostają konkretne przesłanki przewidziane w AMLR oraz rzeczywisty wpływ nowej wiedzy na wykonywanie należytej staranności.
Bieżące monitorowanie jako element należytej staranności wobec klienta
Art. 20 ust. 1 lit. f AMLR zalicza bieżące monitorowanie stosunków gospodarczych do środków należytej staranności wobec klienta. Obowiązek ten obejmuje badanie transakcji podejmowanych w trakcie trwania relacji w celu ustalenia ich zgodności z wiedzą podmiotu zobowiązanego o kliencie, profilu działalności i ryzyka, w tym – w razie konieczności – o źródłach pochodzenia środków finansowych. Szczegółowe rozwinięcie tej regulacji zawiera art. 26 ust. 1, który odwołuje się również do informacji o przeznaczeniu środków oraz do wykrywania transakcji wymagających bardziej szczegółowej oceny na podstawie art. 69 ust. 2. Monitorowanie zostało więc ujęte jako obowiązek obejmujący ocenę aktywności klienta w kontekście posiadanej wiedzy oraz identyfikowanie zdarzeń mogących wymagać dalszych działań. Przedmiotem art. 26 ust. 1 jest stosunek gospodarczy, a nie wyłącznie pojedyncza transakcja. Ocena operacji wymaga uwzględnienia relacji, w której została przeprowadzona. Ten sam przepływ finansowy może posiadać odmienne znaczenie w przypadku przedsiębiorcy prowadzącego handel międzynarodowy, spółki świadczącej usługi lokalne albo podmiotu zarządzającego określonym rodzajem aktywów. Nie wynika z tego obowiązek posiadania pełnej wiedzy o wszystkich aspektach działalności klienta. Bank powinien jednak dysponować informacjami pozwalającymi w sposób odpowiedni do ryzyka oceniać charakter transakcji i rozpoznawać okoliczności wymagające dalszej weryfikacji.
Punktem odniesienia dla takiej oceny są przede wszystkim ustalenia dokonane na podstawie art. 20 ust. 1 lit. c i e oraz art. 25 AMLR. Zrozumienie celu i zamierzonego charakteru stosunku gospodarczego zakłada pozyskanie informacji o powodach nawiązania relacji i przewidywanym sposobie korzystania z usług finansowych. Prawodawca przewiduje przy tym uzyskiwanie poszczególnych informacji „w razie potrzeby”, co uzasadnia różnicowanie ich zakresu odpowiednio do ryzyka i charakteru relacji. Przepis nie wskazuje jednak jednego zestawu danych wystarczającego we wszystkich przypadkach. Jeżeli zebrane informacje są tak ogólne, że nie pozwalają ocenić rzeczywistej aktywności klienta, powstaje pytanie o prawidłowość wykonania zarówno obowiązku określenia celu relacji, jak i jej późniejszego monitorowania. Nie można równocześnie przyjmować, że pierwotnie ustalony sposób korzystania z usług bankowych stanowi niezmienny wzorzec zachowania klienta. Określenie zamierzonego charakteru relacji dotyczy częściowo przewidywań opartych na wiedzy istniejącej w chwili jej nawiązywania. Przedsiębiorca może rozwijać działalność, zmieniać strukturę kontrahentów, korzystać z nowych produktów i zwiększać skalę rozliczeń. Odstępstwo od wcześniejszych przewidywań nie jest samo w sobie dowodem nieprawidłowości. Ma jednak znaczenie dla monitorowania, ponieważ może wskazywać, że punkt odniesienia przyjęty przez bank utracił aktualność albo wymaga uzupełnienia.
W takim przypadku należy oddzielić wyjaśnienie konkretnej rozbieżności od oceny wcześniejszej wiedzy o kliencie. Jednorazowa operacja odbiegająca od zwykłej aktywności może posiadać uzasadnienie gospodarcze i nie wymagać zmiany informacji o relacji. Powtarzające się odstępstwa mogą natomiast wskazywać na trwałą zmianę jej charakteru. Samo stwierdzenie rozbieżności nie przesądza, jakie czynności powinny zostać wykonane. Konieczne jest ustalenie, czy istnieją przesłanki przeglądu informacji, zbadania transakcji lub podjęcia innych działań wynikających z AMLR. Funkcją monitorowania pozostaje dostarczanie informacji pozwalających dokonać tej kwalifikacji. Szczególne znaczenie posiada odwołanie w art. 26 ust. 1 do pochodzenia i przeznaczenia środków finansowych. Prawodawca wskazuje na potrzebę uwzględniania takich informacji wtedy, gdy wymagają tego okoliczności monitorowania. Nie ustanawia tym samym generalnego obowiązku ponownego badania pochodzenia wszystkich środków zaangażowanych w każdą transakcję klienta. Nie wyłącza jednak odrębnych wymagań dotyczących określonych operacji. Art. 34 ust. 2 AMLR nakazuje badanie pochodzenia i przeznaczenia środków oraz celu transakcji, jeżeli posiada ona co najmniej jedną z wymienionych w nim cech, w szczególności złożony charakter, nietypowo dużą wartość, nietypowy sposób przeprowadzenia lub brak wyraźnego celu ekonomicznego albo zgodnego z prawem. Obowiązek ten posiada własne przesłanki i nie powinien być utożsamiany z każdorazowym wykonaniem monitorowania na podstawie art. 26.
Analogicznie należy rozróżnić monitorowanie i ocenę transakcji na potrzeby obowiązku zgłoszenia podejrzenia. Art. 26 ust. 1 nakazuje wykrywanie transakcji podlegających bardziej szczegółowej ocenie zgodnie z art. 69 ust. 2. Ten ostatni przepis wymaga uwzględnienia wszystkich istotnych faktów i informacji znanych podmiotowi zobowiązanemu lub pozostających w jego posiadaniu. Samo rozpoznanie transakcji wymagającej analizy nie oznacza jednak, że spełnione zostały przesłanki zgłoszenia określone w art. 69 ust. 1. Monitorowanie może prowadzić do wyjaśnienia transakcji bez powstania podejrzenia, a uzyskane w jego toku informacje mogą jednocześnie mieć znaczenie dla aktualności wiedzy o kliencie. Odrębność tych rozstrzygnięć ma znaczenie zarówno dla zakresu obowiązków, jak i ich dokumentowania. Zasady określania intensywności monitorowania wynikają z podejścia opartego na ryzyku. Art. 20 ust. 2 AMLR wymaga indywidualnej analizy ryzyka związanego z klientem i stosunkiem gospodarczym. W przypadkach niższego ryzyka art. 33 ust. 1 lit. d dopuszcza zmniejszenie częstotliwości lub stopnia kontroli transakcji, przy zachowaniu monitorowania wystarczającego do wykrywania operacji nietypowych lub podejrzanych. W sytuacjach podwyższonego ryzyka art. 34 ust. 4 lit. f przewiduje natomiast możliwość wzmocnienia monitorowania poprzez zwiększenie liczby i odpowiedniej częstotliwości kontroli oraz wskazywanie schematów transakcji wymagających dalszej analizy. Zakres wykonywanych czynności może być więc zróżnicowany, ale ich odpowiedniość powinna wynikać z rzeczywistych czynników ryzyka.
Nie oznacza to, że przyjęta kategoria ryzyka raz na zawsze określa sposób monitorowania klienta. Informacje uzyskiwane podczas trwania stosunku gospodarczego mogą wskazywać na potrzebę ponownej oceny tej kategorii albo modyfikacji zakresu stosowanych środków. Właśnie dlatego bieżące monitorowanie i aktualizacja informacji pozostają ze sobą funkcjonalnie powiązane. Monitorowanie opiera się na wcześniejszej wiedzy o kliencie, ale może również ujawniać jej nieaktualność. Z kolei prawidłowo przeprowadzona aktualizacja może zmienić sposób oceny kolejnych transakcji. Brak takiego powiązania prowadziłby do sytuacji, w której bank analizuje działalność klienta na podstawie historycznych założeń niedostosowanych do rzeczywistej relacji. Obowiązek monitorowania nie został w AMLR utożsamiony z określonym rozwiązaniem technicznym. Prawidłowość jego wykonywania zależy przede wszystkim od zdolności rozpoznawania i oceniania informacji mających znaczenie dla należytej staranności. Wykorzystywanie systemów informatycznych może stanowić istotny element tego procesu, ale sama liczba wygenerowanych sygnałów albo analizowanych transakcji nie pozwala ocenić zgodności z art. 26. Znaczenie ma także jakość informacji o kliencie oraz sposób uwzględniania rezultatów analiz. Art. 20 ust. 4 wymaga ponadto, aby bank był w stanie wykazać odpowiedniość zastosowanych środków w świetle zidentyfikowanego ryzyka.
W rezultacie bieżące monitorowanie należy rozumieć jako element należytej staranności obejmujący ocenę rzeczywistej aktywności klienta w kontekście informacji zgromadzonych przez bank. Nie każda nowa informacja powoduje obowiązek aktualizacji danych, lecz informacje istotne dla relacji nie mogą pozostawać bez wpływu na jej dalszą ocenę. Właściwe rozróżnienie pomiędzy wyjaśnieniem transakcji, przeglądem informacji i zastosowaniem innych obowiązków AMLR stanowi warunek prawidłowego wykonywania monitorowania przez cały okres trwania stosunku gospodarczego.
Okresowa aktualizacja informacji – znaczenie terminów określonych w AMLR
Art. 26 ust. 2 AMLR ustanawia maksymalne okresy pomiędzy aktualizacjami informacji o klientach. W tym zakresie rozporządzenie wprowadza wyraźną granicę swobody podmiotu zobowiązanego przy ustalaniu częstotliwości przeglądów. Przepis wymaga zapewnienia aktualności odpowiednich dokumentów, danych lub informacji w kontekście bieżącego monitorowania, a następnie uzależnia okres między aktualizacjami od ryzyka związanego ze stosunkiem gospodarczym. Odstęp ten nie może przekraczać jednego roku w przypadku klientów o podwyższonym ryzyku, do których mają zastosowanie środki przewidziane w sekcji 4 rozdziału III, oraz pięciu lat w odniesieniu do wszystkich pozostałych klientów. Dwie części przepisu należy odczytywać łącznie: obowiązek utrzymywania aktualnych informacji posiada wymiar materialny, natomiast maksymalne terminy określają granice czasowe jego wykonywania. Dotychczasowy model regulacyjny również wymagał aktualizacji informacji, jednak art. 13 ust. 1 lit. d dyrektywy (UE) 2015/849 i art. 34 ust. 1 pkt 4 polskiej ustawy AML nie ustanawiały porównywalnych, jednolitych okresów maksymalnych. W praktyce bankowej częstotliwość przeglądów była w znacznej mierze określana przez zasady wewnętrzne, z uwzględnieniem oceny ryzyka. Art. 26 ust. 2 AMLR zachowuje to kryterium, ale wyznacza bezwzględne granice odstępu pomiędzy aktualizacjami. Samo ustalenie niskiego ryzyka relacji nie może uzasadniać terminu dłuższego niż przewidziany w rozporządzeniu. Równocześnie dochowanie terminu maksymalnego nie przesądza o adekwatności przyjętej częstotliwości w konkretnej relacji.
Rocznego okresu przewidzianego w art. 26 ust. 2 lit. a nie należy rozumieć jako obowiązku wykonywania aktualizacji dokładnie raz w roku, niezależnie od okoliczności. Stanowi on granicę maksymalną. Cechy konkretnego klienta, charakter działalności, złożoność struktury własnościowej lub inne czynniki ryzyka mogą uzasadniać częstsze czynności. Podobnie pięcioletni okres z lit. b nie jest jednolitym terminem właściwym dla wszystkich klientów innych niż wskazani w lit. a. Kategoria ta obejmuje zarówno relacje o niższym ryzyku, jak i te, w których stosowane są standardowe środki należytej staranności. Rozporządzenie wymaga więc określenia częstotliwości zależnej od ryzyka, przy zachowaniu zewnętrznej granicy czasowej. Znaczenie ma również sposób określenia grupy klientów objętych terminem rocznym. Art. 26 ust. 2 lit. a odwołuje się do podwyższonego ryzyka i stosowania środków wskazanych w sekcji 4 rozdziału III AMLR. O zastosowaniu tego terminu nie rozstrzyga zatem sama nazwa kategorii używanej w systemie bankowym. Konieczne jest odniesienie kwalifikacji klienta do przesłanek wynikających z rozporządzenia. Z kolei użycie w lit. b określenia „wszyscy inni klienci” wyklucza zawężenie maksymalnego terminu pięcioletniego wyłącznie do relacji o najniższym ryzyku. W obu przypadkach bank powinien posługiwać się kryteriami normatywnymi, nie poprzestając na wewnętrznych oznaczeniach.
Zestawienie art. 26 ust. 2 z art. 33 ust. 1 lit. b pozwala dodatkowo określić granice uproszczonych środków należytej staranności. W sytuacjach niższego ryzyka AMLR dopuszcza zmniejszenie częstotliwości aktualizacji danych identyfikacyjnych klienta. Uprawnienie to powinno być wykonywane w granicach maksymalnego okresu wynikającego z art. 26 ust. 2. Nie może też automatycznie obejmować wszystkich pozostałych informacji wykorzystywanych w ramach należytej staranności, skoro art. 33 ust. 1 lit. b odnosi się bezpośrednio do danych identyfikacyjnych. Informacje o celu i charakterze relacji, działalności klienta lub czynnikach ryzyka mogą wymagać odmiennego podejścia. Odpowiednia częstotliwość ich weryfikacji powinna wynikać z charakteru tych informacji i obowiązków, których wykonaniu służą. Należy ponadto odróżnić okresową aktualizację informacji od regularnego sprawdzania przesłanek dalszego stosowania uproszczeń. Art. 33 ust. 4 AMLR przewiduje odrębny obowiązek weryfikowania, czy nadal istnieją warunki do stosowania uproszczonych środków należytej staranności. Ocena ta może wykorzystywać informacje zgromadzone podczas przeglądu okresowego, lecz nie musi przypadać na ten sam moment ani mieć identycznego zakresu. Jeżeli informacje uzyskane wcześniej wskazują, że podstawy uproszczenia przestały występować, bank powinien uwzględnić konsekwencje wynikające z art. 33 ust. 5 niezależnie od terminu kolejnego przeglądu danych klienta.
Najważniejszy problem interpretacyjny dotyczy jednak przedmiotu okresowej aktualizacji. Art. 26 ust. 2 wymaga zapewnienia aktualności „odpowiednich” dokumentów, danych lub informacji. Nie ustanawia wprost obowiązku każdorazowego ponawiania wszystkich czynności identyfikacyjnych, weryfikacyjnych i analitycznych w zakresie odpowiadającym początkowemu nawiązaniu relacji. Użyte sformułowanie uzasadnia uwzględnienie charakteru poszczególnych informacji i ich znaczenia dla wykonywania należytej staranności. Informacje o tożsamości klienta wymagają innego sposobu weryfikacji niż dane dotyczące celu relacji czy rzeczywistej działalności gospodarczej. Podobnie przegląd struktury własności i kontroli może wymagać innych źródeł niż ocena aktualności informacji o przewidywanej skali transakcji. Nie wystarcza jednak ograniczenie przeglądu wyłącznie do zmian zgłoszonych przez klienta. W takim modelu wykonanie obowiązku okresowego zależałoby w istocie od wystąpienia zdarzenia zewnętrznego, podczas gdy art. 26 ust. 2 ustanawia obowiązek zapewnienia aktualności informacji z określoną częstotliwością. Bank powinien więc podjąć odpowiednie czynności pozwalające ocenić, czy wcześniej zgromadzone informacje nadal mogą stanowić podstawę wykonywania należytej staranności. Jeżeli pozostają one prawidłowe, wynik przeglądu może polegać na potwierdzeniu ich aktualności. Brak faktycznej zmiany danych nie jest równoznaczny z niewykonaniem przeglądu. Znaczenie posiada sposób ustalenia aktualności informacji i możliwość wykazania zakresu wykonanych czynności.
Odmienność przedmiotu poszczególnych danych ma również znaczenie dla sposobu organizowania aktualizacji. Przepisy nie wymagają wprost, aby wszystkie informacje dotyczące klienta były weryfikowane w jednej chwili i na podstawie nowo dostarczonego zestawu dokumentów. Bank może uzyskiwać odpowiednie informacje podczas świadczenia innych usług i wykorzystywać je przy aktualizacji wiedzy o kliencie, jeżeli ich charakter i wiarygodność odpowiadają wymaganiom danego środka należytej staranności. Nie każda interakcja z klientem stanowi jednak wykonanie aktualizacji w rozumieniu art. 26 ust. 2. Pozyskanie aktualnego adresu korespondencyjnego nie przesądza na przykład o weryfikacji struktury własnościowej albo celu stosunku gospodarczego. Ocena dochowania terminu powinna więc odnosić się do rzeczywistego zakresu aktualizowanych informacji. Z tym zagadnieniem związane jest ustalanie początku kolejnego okresu aktualizacji. Art. 26 ust. 2 nie określa szczegółowej metody obliczania terminu w przypadkach, w których informacje o kliencie są weryfikowane częściowo i w różnych momentach. Nie uzasadnia jednak przyjęcia, że zmiana dowolnej pojedynczej informacji automatycznie rozpoczyna nowy okres aktualizacji całej wiedzy o kliencie. Prowadziłoby to do możliwości faktycznego przedłużania czasu nieweryfikowania pozostałych danych. Jednocześnie rzeczywiście wykonany, odpowiedni do ryzyka przegląd może mieć znaczenie dla ustalenia terminu kolejnych czynności. Rozstrzygający powinien pozostawać przedmiot i wynik weryfikacji, a nie samo administracyjne oznaczenie daty ostatniej zmiany w dokumentacji.
Zmiana poziomu ryzyka klienta w trakcie trwania stosunku gospodarczego może wpływać na właściwy okres aktualizacji. Jeżeli relacja zostaje zakwalifikowana do podwyższonego ryzyka wymagającego stosowania środków przewidzianych w sekcji 4 rozdziału III, bank powinien uwzględnić krótszą granicę czasową wynikającą z art. 26 ust. 2 lit. a. Nie można utrzymywać wcześniejszego, dłuższego terminu wyłącznie dlatego, że został ustalony przy poprzedniej kwalifikacji klienta. Sama zmiana kategorii ryzyka nie przesądza jednak automatycznie o sposobie ustalenia terminu kolejnej aktualizacji. Należy uwzględnić zakres wcześniejszych czynności i przyczyny zmiany oceny ryzyka; mogą one także stanowić odrębną przesłankę przeglądu zgodnie z art. 26 ust. 3. Dla oceny prawidłowości okresowej aktualizacji znaczenie posiadają również obowiązki dokumentacyjne. Art. 20 ust. 4 AMLR wymaga wykazania odpowiedniości zastosowanych środków względem zidentyfikowanego ryzyka, a art. 21 ust. 3 przewiduje dokumentowanie działań i decyzji podejmowanych w ramach należytej staranności oraz aktualizowanie dokumentów, danych lub informacji przy dokonywaniu przeglądu na podstawie art. 26. Wykonanie obowiązku powinno być możliwe do odtworzenia. Nie wymaga to sporządzania rozbudowanego uzasadnienia dla każdej prostej czynności. Istotne pozostaje ustalenie, co podlegało weryfikacji, na jakich informacjach oparto jej wynik i czy stwierdzone zmiany odpowiednio uwzględniono.
W rezultacie art. 26 ust. 2 wyznacza granice czasu, w którym wcześniejsze informacje powinny być poddawane okresowej aktualizacji, przy zachowaniu możliwości różnicowania jej zakresu i częstotliwości stosownie do ryzyka. Dochowanie maksymalnego terminu jest wymagane, ale nie wystarcza do wykazania prawidłowości całego procesu. Utrzymywanie aktualności wiedzy o kliencie wymaga również reagowania na istotne zdarzenia występujące między przeglądami. Ich znaczenie zostało odrębnie uregulowane w art. 26 ust. 3 AMLR.
Aktualizacja wywołana zdarzeniem – trzy przesłanki z art. 26 ust. 3 AMLR
Art. 26 ust. 3 AMLR przewiduje obowiązek dokonania przeglądu i, w stosownych przypadkach, aktualizacji informacji o kliencie niezależnie od wymagań wynikających z ust. 2. Podstawą tego obowiązku mogą być trzy sytuacje: zmiana istotnych okoliczności dotyczących klienta, wystąpienie określonego prawnego obowiązku kontaktu z klientem w danym roku kalendarzowym oraz uzyskanie wiedzy o istotnym fakcie odnoszącym się do klienta. Przesłanki te posiadają odmienny charakter. Pierwsza dotyczy zmiany stanu faktycznego, druga wynika z innego obowiązku prawnego, trzecia odwołuje się do zmiany zakresu wiedzy podmiotu zobowiązanego. Ich wspólną konsekwencją pozostaje potrzeba ponownej oceny informacji odpowiednich dla należytej staranności. Znaczenie ma sposób określenia skutku prawnego w części wprowadzającej art. 26 ust. 3. Prawodawca posługuje się odrębnie pojęciami przeglądu i aktualizacji. Wystąpienie jednej z przesłanek powoduje obowiązek przeglądu, natomiast konieczność aktualizacji zależy od wyniku tej czynności. Możliwa jest sytuacja, w której określone zdarzenie zostaje ocenione, a bank stwierdza, że wcześniejsze informacje pozostają prawidłowe i wystarczające. Możliwe jest również ustalenie potrzeby uzupełnienia konkretnych danych, ponownej weryfikacji określonych okoliczności albo zmiany oceny ryzyka. Samo wystąpienie przesłanki przeglądu nie przesądza o jednakowym zakresie dalszych działań.
Pierwsza przesłanka została określona w art. 26 ust. 3 lit. a jako zmiana istotnych okoliczności dotyczących klienta. Wymaga ona ustalenia zarówno faktu wystąpienia zmiany, jak i jej znaczenia dla wykonywania należytej staranności. Prawodawca nie ustanawia zamkniętego katalogu takich okoliczności. Pojęcie istotności powinno zatem być interpretowane w związku z art. 20 i 25 AMLR, które określają przedmiot wiedzy wymaganej od podmiotu zobowiązanego. Znaczenie mogą posiadać w szczególności zmiany dotyczące beneficjentów rzeczywistych, charakteru działalności, celu stosunku gospodarczego, sposobu wykorzystywania produktów albo czynników ryzyka. Nie można jednak przyjąć, że istotność występuje wyłącznie wtedy, gdy zmiana prowadzi do podwyższenia ryzyka. Nowy beneficjent rzeczywisty może wymagać odpowiedniej identyfikacji i weryfikacji także wtedy, gdy ogólny poziom ryzyka klienta pozostaje niezmieniony. Podobnie zmiana celu wykorzystania określonego produktu może być istotna dla prawidłowości informacji zgromadzonych na podstawie art. 25, mimo że nie prowadzi do konieczności stosowania wzmocnionych środków należytej staranności. Z drugiej strony nie każda modyfikacja danych administracyjnych uzasadnia ponowne badanie całej relacji. Ocena istotności powinna odnosić się do konkretnego obowiązku prawnego, na którego wykonanie nowa okoliczność może wpływać.
Przykładem zmiany istotnych okoliczności jest przebudowa struktury właścicielskiej prowadząca do zmiany osoby sprawującej rzeczywistą kontrolę nad klientem. Zdarzenie może wymagać ponownego ustalenia beneficjenta rzeczywistego, weryfikacji jego tożsamości oraz oceny związanych z nim okoliczności istotnych dla należytej staranności. Nie oznacza automatycznie konieczności ponownego określenia wszystkich elementów celu i charakteru relacji. W innym przypadku zasadniczą zmianą może być rozpoczęcie przez klienta działalności w nowej branży albo na nowym rynku. Wówczas potrzeba przeglądu może dotyczyć przede wszystkim charakteru działalności, przewidywanej aktywności i oceny ryzyka, przy zachowaniu aktualności wcześniejszych danych identyfikacyjnych.
Odrębny problem dotyczy rozpoznania zdarzenia przez bank. Zmiana istotnych okoliczności może nastąpić przed uzyskaniem przez podmiot zobowiązany informacji o jej wystąpieniu. Ocena terminowości działania powinna uwzględniać, kiedy bank uzyskał wiedzę i czy przy prawidłowym wykonywaniu obowiązków był zobowiązany rozpoznać zmianę wcześniej. Sam brak faktycznej wiedzy nie wyłącza możliwości stwierdzenia naruszenia, jeżeli informacja powinna zostać ustalona w ramach bieżącego monitorowania lub innych wymaganych czynności. Jednocześnie nie można przypisywać bankowi obowiązku reagowania w chwili zaistnienia każdej obiektywnie nieznanej mu zmiany, której nie miał możliwości ustalić przy prawidłowym działaniu. Właśnie w tym kontekście szczególnego znaczenia nabiera art. 26 ust. 3 lit. c. Przepis dotyczy sytuacji, w której podmiot zobowiązany dowiaduje się o istotnym fakcie odnoszącym się do klienta. Jego zastosowanie nie wymaga, aby sam fakt powstał w chwili uzyskania informacji. Bank może dowiedzieć się o wcześniej istniejącej okoliczności, której nie uwzględniono przy ocenie klienta. Przykładowo może uzyskać informacje wskazujące, że rzeczywista kontrola nad przedsiębiorstwem była od dłuższego czasu sprawowana w sposób inny niż wcześniej ustalony. Późniejsze poznanie tej okoliczności może uzasadniać przegląd, choć w rzeczywistej sytuacji przedsiębiorstwa nie nastąpiła nowa zmiana.
Rozróżnienie pomiędzy lit. a i c posiada zatem samodzielne znaczenie. Pierwsza przesłanka odnosi się do zmiany okoliczności, druga umożliwia uwzględnienie nowej wiedzy o stanie faktycznym, który mógł istnieć już wcześniej. Zakresy obu przepisów mogą się jednak pokrywać. Wiadomość o niedawnej zmianie beneficjenta rzeczywistego jest jednocześnie informacją o zmianie okoliczności i poznanym faktem. Nie wynika z tego potrzeba prowadzenia dwóch przeglądów dotyczących tej samej sytuacji. Znaczenie ma wykonanie obowiązku w zakresie odpowiadającym nowej informacji i jej wpływowi na wcześniejsze ustalenia. Wykładnia lit. c wymaga również ustalenia, kiedy można mówić o uzyskaniu wiedzy o istotnym fakcie. Nie każda pogłoska ani nieweryfikowana informacja stanowi wystarczającą podstawę do przyjęcia, że dany fakt rzeczywiście wystąpił. Ocena powinna uwzględniać treść informacji, jej źródło, wiarygodność i znaczenie dla należytej staranności. Rozporządzenie nie ustanawia jednak generalnego wymagania uzyskania dokumentu urzędowego albo ostatecznego rozstrzygnięcia właściwego organu. Wiarygodna informacja o wszczęciu postępowania dotyczącego klienta może stanowić wiedzę o fakcie prowadzenia takiego postępowania, choć sama przez się nie potwierdza zasadności zarzutów. Znaczenie prawne powinno być przypisywane ustalonej okoliczności, nie zaś domniemanym konsekwencjom, których informacja jeszcze nie uzasadnia.
Istotność informacji może również wynikać z jej związku z innymi faktami. Pojedyncza zmiana w sposobie korzystania z rachunku może nie wpływać na ocenę relacji, podczas gdy seria powiązanych zdarzeń ujawnia trwałą zmianę działalności klienta. Podobnie kilka informacji uzyskanych z różnych źródeł może łącznie prowadzić do odmiennego obrazu struktury kontroli albo rzeczywistego celu transakcji. Art. 26 ust. 3 nie ogranicza oceny do faktów rozpatrywanych w izolacji. Bank powinien ustalić ich znaczenie w kontekście informacji pozostających już w jego dyspozycji oraz obowiązków, które wykonuje wobec klienta.
Druga przesłanka, określona w art. 26 ust. 3 lit. b, ma odmienną konstrukcję. Dotyczy sytuacji, w której na podmiocie zobowiązanym spoczywa prawny obowiązek skontaktowania się z klientem w danym roku kalendarzowym w celu sprawdzenia istotnych informacji dotyczących beneficjentów rzeczywistych albo wykonania wymogów dyrektywy Rady 2011/16/UE w sprawie współpracy administracyjnej w dziedzinie opodatkowania. Podstawą przeglądu pozostaje więc występowanie określonego obowiązku prawnego, a nie stwierdzenie konkretnej zmiany. Przepis nie ustanawia generalnego obowiązku corocznego kontaktowania się ze wszystkimi klientami banku na potrzeby AMLR. Wymaga ustalenia, czy wobec konkretnego klienta istnieje wskazany obowiązek kontaktu w danym roku. Związek z obowiązkami wynikającymi z innych przepisów nie oznacza, że samo wykonanie czynności podatkowej albo weryfikacji beneficjenta rzeczywistego zawsze wyczerpuje cały zakres przeglądu na podstawie art. 26 ust. 3. Konieczne pozostaje ustalenie, jakie informacje rzeczywiście zostały zweryfikowane i jakie znaczenie posiadają dla należytej staranności. Zarazem literalne brzmienie przepisu nie uzasadnia automatycznego ponawiania wszystkich czynności z art. 20 ust. 1 przy każdym takim kontakcie. Jeden przegląd może służyć wykonaniu kilku obowiązków, jeżeli jego przedmiot i sposób przeprowadzenia odpowiadają wymaganiom wynikającym z ich odrębnych podstaw prawnych.
Art. 26 ust. 3 nie określa jednego terminu liczbowego na wykonanie przeglądu po wystąpieniu przesłanki zdarzeniowej. Nie pozwala to jednak na bezterminowe odraczanie czynności do następnej aktualizacji okresowej. Wymagany moment reakcji powinien uwzględniać znaczenie nowej informacji dla dalszego wykonywania należytej staranności oraz czas obiektywnie potrzebny na odpowiednie ustalenia. W szczególności jeżeli nowe okoliczności wskazują na nieprawidłowość danych stanowiących podstawę oceny ryzyka, utrzymywanie wcześniejszych ustaleń bez podjęcia odpowiednich działań może prowadzić do stosowania środków nieadekwatnych do rzeczywistej relacji. Z drugiej strony pozyskanie dodatkowych dokumentów albo wyjaśnień może wymagać czasu, którego samo upływanie nie przesądza o naruszeniu obowiązku. Wynik przeglądu powinien zostać odpowiednio udokumentowany zgodnie z art. 21 ust. 3 AMLR. W szczególności możliwe powinno być ustalenie, jaka okoliczność stanowiła podstawę ponownej oceny, które informacje podlegały weryfikacji oraz czy stwierdzono potrzebę ich zmiany. Nie oznacza to obowiązku rozbudowanego uzasadniania każdej prostej aktualizacji. W przypadkach istotnie wpływających na ocenę ryzyka albo wiarygodność wcześniejszych informacji znaczenie dokumentacji będzie jednak odpowiednio większe. Sam brak zmiany danych nie powinien być traktowany jako dowód zaniechania, jeżeli przeprowadzony przegląd pozwolił prawidłowo potwierdzić ich aktualność.
Trzy przesłanki art. 26 ust. 3 tworzą odrębny od harmonogramu okresowego mechanizm reagowania na zmiany i nową wiedzę. Jego zastosowanie wymaga ustalenia istotności informacji oraz powiązania jej z konkretnymi obowiązkami należytej staranności. Nie prowadzi automatycznie do ponownego zastosowania wszystkich środków przewidzianych przez AMLR. Zakres dalszych czynności powinien wynikać z rezultatów przeglądu i z regulacji dotyczących informacji, na których aktualność lub prawidłowość wpływa określone zdarzenie.
Zakres ponownej oceny – kiedy aktualizacja informacji wymaga zastosowania kolejnych środków należytej staranności?
Wystąpienie przesłanki przeglądu określonej w art. 26 ust. 3 AMLR otwiera odrębny problem: jakie czynności powinien wykonać bank po ustaleniu, że określone informacje o kliencie wymagają ponownej oceny. Przepis nakazuje dokonanie przeglądu i, w stosownych przypadkach, aktualizacji, nie ustanawiając jednego katalogu działań identycznego dla wszystkich zdarzeń. Nie można więc z samego obowiązku przeglądu wyprowadzać zasady każdorazowego ponownego stosowania wszystkich środków należytej staranności wymienionych w art. 20 ust. 1. Równocześnie ograniczenie czynności wyłącznie do zmiany pojedynczej informacji może okazać się niewystarczające, jeżeli nowa okoliczność wpływa na inne elementy wiedzy o kliencie lub na ryzyko relacji gospodarczej. Prawidłowe określenie zakresu ponownej oceny wymaga rozróżnienia trzech możliwych następstw. Po pierwsze, przegląd może potwierdzić aktualność wcześniejszych ustaleń i zakończyć się bez zmiany danych. Po drugie, może wykazać potrzebę uzupełnienia albo aktualizacji określonej informacji. Po trzecie, nowa okoliczność może uzasadniać ponowne zastosowanie jednego lub kilku środków należytej staranności, w szczególności jeżeli wcześniejsze ustalenia nie pozwalają już prawidłowo wykonać obowiązków wynikających z art. 20. Sytuacje te mogą występować łącznie, lecz różnią się przedmiotem i konsekwencjami. Samo formalne oznaczenie czynności jako „aktualizacji klienta” nie rozstrzyga, jaki obowiązek został w rzeczywistości wykonany.
Znaczenie ma konstrukcja art. 20 ust. 1 AMLR. Poszczególne środki należytej staranności mają odmienny przedmiot: identyfikację i weryfikację tożsamości, ustalenie beneficjentów rzeczywistych, rozpoznanie celu i zamierzonego charakteru stosunku gospodarczego, weryfikację określonych powiązań sankcyjnych, ocenę działalności klienta i inne wymagane czynności. Zmiana odnosząca się do jednego z tych obszarów nie musi automatycznie podważać prawidłowości wszystkich pozostałych ustaleń. Konieczne jest jednak określenie, czy pozostają one ze sobą na tyle powiązane, że nowa informacja wymaga szerszej oceny. Zakres ponownie stosowanych środków powinien wynikać z tego związku i z charakteru obowiązku, którego prawidłowe wykonanie stało się przedmiotem wątpliwości.
Przykładowo zmiana określonych danych identyfikacyjnych osoby fizycznej może wymagać ich aktualizacji zgodnie z wymaganiami art. 22 AMLR. Jeżeli wcześniejsza identyfikacja pozostaje prawidłowa, a zmiana nie wpływa na inne elementy należytej staranności, nie ma podstaw do automatycznego ponownego badania wszystkich okoliczności dotyczących celu relacji i źródeł majątku. Odmiennie należy oceniać przypadek, w którym bank uzyskuje informacje podważające prawdziwość danych wykorzystanych do identyfikacji klienta. Wtedy potrzebna może być ponowna weryfikacja jego tożsamości i ustalenie, czy wcześniejsza niezgodność wpływa na pozostałe elementy oceny. Zmiana danych i wątpliwość co do ich prawdziwości nie są więc zdarzeniami równoważnymi pod względem skutków prawnych. Szczególnie wyraźnie problem ten występuje przy zmianie beneficjenta rzeczywistego. Art. 20 ust. 1 lit. b wymaga identyfikacji beneficjentów rzeczywistych i podjęcia racjonalnych środków w celu weryfikacji ich tożsamości, a także zrozumienia struktury własności i kontroli klienta. Jeżeli kontrolę nad przedsiębiorstwem zaczyna sprawować inna osoba, bank może być zobowiązany do ponownego ustalenia beneficjenta rzeczywistego oraz odpowiedniej weryfikacji. Samo zastąpienie danych jednej osoby danymi drugiej może być niewystarczające, gdy zmiana wynika z przebudowy wielopoziomowej struktury właścicielskiej. W takim przypadku właściwy zakres czynności powinien umożliwiać zrozumienie aktualnego sposobu sprawowania własności i kontroli, a nie wyłącznie ustalenie nazwiska osoby wskazanej przez klienta.
Zmiana beneficjenta rzeczywistego może wpływać także na inne obowiązki. Nowa osoba powinna zostać oceniona w zakresie wynikającym z art. 20 ust. 1 lit. d i g AMLR, dotyczącym odpowiednio ukierunkowanych sankcji finansowych oraz osób zajmujących eksponowane stanowiska polityczne i określonych powiązań. W stosownych przypadkach zmiana może oddziaływać również na ocenę ryzyka klienta. Nie wynika z tego konieczność ponownego badania wszystkich informacji dotyczących samej działalności przedsiębiorstwa, jeżeli pozostają one prawidłowe. Z drugiej strony poważna zmiana struktury własności może wpływać na rozumienie ekonomicznego uzasadnienia relacji lub rzeczywistego celu korzystania z usług bankowych. Zakres ponownej oceny powinien odpowiadać konkretnemu znaczeniu zmiany. Odrębne konsekwencje mogą wynikać ze stwierdzenia rozbieżności pomiędzy informacjami o beneficjencie rzeczywistym zgromadzonymi przez bank a danymi dostępnymi w odpowiednim rejestrze. Art. 24 AMLR przewiduje określone obowiązki związane ze zgłaszaniem takich rozbieżności, przy uwzględnieniu warunków i wyjątków wskazanych przez prawodawcę. Obowiązek ten należy odróżnić od samej aktualizacji danych w dokumentacji klienta. Bank może ustalić rzeczywisty sposób sprawowania kontroli, a jednocześnie stwierdzić rozbieżność wymagającą odrębnej oceny prawnej. Samo skorygowanie posiadanej informacji nie wyczerpuje w takim przypadku wszystkich potencjalnych obowiązków wynikających z rozporządzenia.
Inaczej należy traktować zmianę osoby uprawnionej do reprezentowania klienta. Art. 20 ust. 1 lit. i wymaga weryfikacji umocowania osoby działającej w imieniu klienta oraz jej identyfikacji i weryfikacji tożsamości. Zmiana reprezentanta może więc uzasadniać zastosowanie odpowiednich czynności wobec nowej osoby, bez konieczności ponownej identyfikacji klienta będącego osobą prawną lub jego beneficjentów rzeczywistych. Nie należy przy tym utożsamiać zmiany reprezentacji ze zmianą struktury kontroli, choć w określonych przypadkach oba zdarzenia mogą wystąpić równocześnie. Ponowna ocena powinna uwzględniać rzeczywisty przedmiot zmiany.
Odmienny zakres czynności może być wymagany w przypadku zmiany charakteru działalności klienta. Art. 20 ust. 1 lit. c i e oraz art. 25 AMLR dotyczą celu i zamierzonego charakteru stosunku gospodarczego oraz rzeczywistej działalności klienta. Jeżeli przedsiębiorca rozpoczyna działalność w nowej branży, zwiększa skalę obrotów albo zmienia sposób finansowania działalności, bank powinien ustalić, czy wcześniejsze informacje pozostają odpowiednie do dalszego monitorowania. Nie każda zmiana przewidywanej wartości transakcji wymaga ponownego ustalenia całego celu stosunku gospodarczego. Jeżeli jednak dotychczasowy opis działalności nie odpowiada jej rzeczywistemu charakterowi, konieczne może być uzupełnienie informacji i ponowna ocena czynników ryzyka. W tym zakresie istotne jest odróżnienie zmiany przewidywań od ujawnienia wadliwości pierwotnych ustaleń. Informacje zbierane przed nawiązaniem relacji częściowo dotyczą planowanego sposobu korzystania z usług finansowych. Rzeczywista aktywność klienta może z uzasadnionych przyczyn odbiegać od tych przewidywań. Sama rozbieżność nie dowodzi, że pierwotnie podane informacje były nieprawdziwe albo że bank nieprawidłowo wykonał swoje obowiązki. Inna sytuacja występuje, gdy nowa wiedza wskazuje, że deklarowany cel relacji już w chwili jej nawiązania nie odpowiadał rzeczywistości. Wtedy przedmiotem ponownej oceny może być także wiarygodność wcześniejszych informacji oraz zakres czynności, które powinny były zostać przeprowadzone na ich podstawie.
Przegląd może prowadzić również do zmiany oceny ryzyka bez konieczności aktualizowania danych identyfikacyjnych. Informacja o nowym kierunku działalności gospodarczej, rodzaju kontrahentów lub sposobie wykorzystania rachunku może wpływać na czynniki ryzyka przy niezmienionej strukturze własnościowej i reprezentacji klienta. W takim przypadku bank powinien rozważyć odpowiedniość dotychczasowych środków należytej staranności. Art. 20 ust. 2 wymaga ich indywidualizacji na podstawie ryzyka, ale nie oznacza to automatycznego zastosowania wszystkich środków wzmocnionych po każdej zmianie oceny. Zakres dodatkowych czynności powinien wynikać z konkretnej podstawy zastosowania wzmocnionej należytej staranności i charakteru rozpoznanych zagrożeń. W sytuacjach podwyższonego ryzyka zastosowanie znajdują odpowiednie przepisy sekcji 4 rozdziału III AMLR. Art. 34 ust. 4 przewiduje między innymi możliwość uzyskania dodatkowych informacji o kliencie i beneficjentach rzeczywistych, źródle środków lub majątku, przyczynach transakcji oraz zwiększenia intensywności monitorowania. Nie jest to jednak katalog środków, które należy stosować łącznie w każdym przypadku podwyższonego ryzyka; należy przy tym uwzględnić przepisy ustanawiające szczególne obowiązkowe działania w określonych sytuacjach. Jeżeli przyczyna ryzyka dotyczy struktury własnościowej, istotne może być jej pogłębione zbadanie. Jeżeli wynika z charakteru przepływów finansowych, właściwe mogą okazać się dodatkowe informacje o transakcjach albo zwiększenie intensywności ich monitorowania. Decyzja o zakresie środków powinna pozostawać powiązana z ryzykiem, którego ograniczaniu mają służyć.
Podobną zasadę należy stosować przy ocenie dalszej dopuszczalności uproszczonych środków należytej staranności. Art. 33 ust. 5 AMLR określa przypadki, w których bank powinien zaprzestać ich stosowania. Dotyczy to między innymi wątpliwości co do prawdziwości informacji przekazanych przy identyfikacji, zaniku czynników niższego ryzyka lub informacji z monitorowania wykluczających dalsze przyjmowanie niskiego ryzyka. Wystąpienie takiej przesłanki wymaga odpowiedniej zmiany sposobu wykonywania należytej staranności, nawet gdy dane identyfikacyjne klienta pozostają aktualne. Zaprzestanie stosowania uproszczeń nie oznacza jednak automatycznego zakwalifikowania każdego takiego klienta do najwyższej kategorii ryzyka. Konieczna jest odrębna ocena właściwych środków na podstawie rzeczywistych okoliczności. Istotną granicę stanowi ponadto art. 21 ust. 1 AMLR, dotyczący niemożności wykonania wymaganych środków należytej staranności. Przegląd może ujawnić brak określonych informacji, wątpliwości co do ich prawdziwości albo konieczność uzyskania dodatkowych dokumentów. Sytuacje te nie są automatycznie tożsame ze stwierdzeniem niemożności wykonania środka. Konieczne pozostaje określenie, jakiej informacji brakuje, czy jest ona niezbędna do wykonania obowiązku z art. 20 ust. 1 oraz czy bank może pozyskać lub zweryfikować ją w odpowiedni sposób. Dopiero rzeczywista niemożność wykonania wymaganego środka prowadzi do konsekwencji przewidzianych przez art. 21 ust. 1, obejmujących określone obowiązki dotyczące transakcji, relacji gospodarczej i rozważenia zgłoszenia do jednostki analityki finansowej.
Problem ten występuje szczególnie wyraźnie przy braku odpowiedzi klienta na wezwanie do aktualizacji danych. Samo nieprzekazanie dokumentu wymaganego przez wewnętrzną procedurę banku nie musi jeszcze oznaczać niemożności zastosowania środka przewidzianego przez AMLR. Znaczenie posiada prawny charakter wymaganej informacji i możliwość wykonania obowiązku w inny dopuszczalny sposób. Równocześnie nie można zakładać obowiązku bezterminowego ponawiania wezwań, jeżeli bank rzeczywiście nie może zastosować wymaganej należytej staranności. Ocena powinna być oparta na przesłankach normatywnych, a nie wyłącznie na administracyjnym terminie zakończenia wewnętrznego przeglądu. Odpowiednie zastosowanie środków należytej staranności wymaga także uwzględnienia informacji już posiadanych przez bank. Art. 26 nie nakazuje generalnie ponownego pozyskiwania całej dokumentacji źródłowej po każdej zmianie. Jeżeli posiadane dane pozostają aktualne i zostały zweryfikowane w sposób odpowiadający wymaganiom określonego środka, mogą nadal stanowić podstawę wykonywania obowiązków. Zakres ponownego pozyskiwania informacji powinien wynikać z charakteru ustalonej okoliczności i odpowiednich przepisów AMLR. Ma to znaczenie również z perspektywy ochrony danych osobowych, ponieważ obowiązki należytej staranności nie powinny prowadzić do pozyskiwania informacji niemających odpowiedniego związku z ich prawnie określonym celem.
Możliwość zachowania wcześniejszych ustaleń nie zwalnia banku z odpowiedniego udokumentowania przeglądu. Art. 21 ust. 3 wymaga dokumentowania działań i decyzji podejmowanych w celu wykonania należytej staranności. W przypadkach złożonych istotne będzie wykazanie, które informacje zostały poddane ponownej ocenie, dlaczego pozostałe uznano za nadal aktualne oraz jakie konsekwencje wynikają z nowej wiedzy o kliencie. Zakres uzasadnienia powinien odpowiadać znaczeniu decyzji i nie musi przyjmować postaci rozbudowanej opinii przy każdej prostej aktualizacji. Rozstrzygająca pozostaje możliwość odtworzenia podstaw przyjętego sposobu postępowania. Zasadniczy wniosek jest więc związany z koniecznością ustalenia rzeczywistego wpływu nowej informacji na dotychczasową wiedzę o kliencie. Wystąpienie przesłanki przeglądu nie prowadzi automatycznie do obowiązku ponownego wykonania całego katalogu środków należytej staranności. Bank nie może jednak poprzestać na zmianie pojedynczej informacji, jeżeli jej znaczenie wykracza poza przedmiot tej zmiany. Granicę dopuszczalnej elastyczności wyznaczają wymagania konkretnych przepisów AMLR, charakter ustalonych okoliczności i możliwość wykazania odpowiedniości przyjętego zakresu czynności.
Monitorowanie transakcji jako źródło nowych informacji o kliencie
Bieżące monitorowanie transakcji może ujawniać okoliczności wskazujące, że wcześniejsze informacje o kliencie przestały odpowiadać rzeczywistemu charakterowi stosunku gospodarczego. Art. 26 ust. 1 AMLR wymaga oceny zgodności transakcji z wiedzą banku o działalności klienta i jego profilu ryzyka. Ocena ta posiada znaczenie również dla aktualności samego punktu odniesienia. Jeżeli rzeczywista aktywność ulega trwałej zmianie, konieczne może być rozważenie, czy wcześniejsze ustalenia o celu relacji, przewidywanej skali rozliczeń albo rodzaju działalności nadal pozostają prawidłowe. Informacje uzyskane podczas monitorowania mogą więc stanowić podstawę przeglądu wykraczającego poza wyjaśnienie konkretnej operacji. Nie każda rozbieżność pomiędzy przewidywaną a rzeczywistą aktywnością klienta ma taki skutek. Przedsiębiorca może przeprowadzić jednorazową transakcję o znacznej wartości, która posiada wyraźne uzasadnienie gospodarcze i nie zmienia zasadniczego charakteru jego działalności. W takim przypadku odpowiednie ustalenie okoliczności operacji może nie wymagać aktualizacji informacji o całym stosunku gospodarczym. Odmienna sytuacja występuje, gdy określone zmiany mają charakter trwały albo łącznie wskazują na nowy model prowadzenia działalności. Wówczas analiza pojedynczych transakcji może nie wystarczać do prawidłowego określenia obowiązków banku, ponieważ znaczenie posiada również aktualność wiedzy stanowiącej podstawę dalszego monitorowania.
Dobrym przykładem jest przedsiębiorca, który przy nawiązywaniu relacji prowadził działalność handlową na rynku krajowym, a następnie stopniowo rozpoczął regularne rozliczenia z kontrahentami z nowych państw. Poszczególne transakcje mogą być zgodne z prawem, posiadać racjonalny cel ekonomiczny i nie wskazywać na powstanie podejrzenia. Jednak wzrost skali działalności i zmiana jej zasięgu geograficznego mogą wymagać uzupełnienia informacji o charakterze relacji oraz ponownej oceny ryzyka. Przyjęcie, że każda z operacji została oddzielnie wyjaśniona, nie rozstrzyga jeszcze, czy wcześniejszy opis działalności klienta pozostaje wystarczający do wykonywania należytej staranności. Istotna jest także sytuacja odwrotna. Jednorazowa operacja może ujawnić okoliczność zasadniczo zmieniającą obraz klienta. Może to dotyczyć na przykład przepływu finansowego pozwalającego ustalić nieznane wcześniej powiązanie gospodarcze, zmianę sposobu finansowania działalności albo okoliczność dotyczącą osoby sprawującej rzeczywistą kontrolę nad przedsiębiorstwem. Wówczas znaczenie dla obowiązku przeglądu wynika z treści nowej informacji, a nie z powtarzalności transakcji. Art. 26 ust. 3 lit. a i c wymaga bowiem uwzględniania zarówno istotnych zmian okoliczności, jak i wiedzy o istotnych faktach, które mogły istnieć już wcześniej.
Przy ocenie informacji transakcyjnych należy jednak zachować ostrożność. Sama obserwacja przepływów finansowych nie zawsze pozwala ustalić rzeczywisty charakter działalności klienta. Bank może stwierdzić, że przedsiębiorca wykonuje przelewy do określonego państwa albo otrzymuje środki od określonych kontrahentów, ale bez dodatkowych informacji może nie znać gospodarczego uzasadnienia tych relacji. Informacje transakcyjne stanowią więc podstawę oceny, a w odpowiednich przypadkach również pozyskiwania wyjaśnień z innych źródeł. Aktualizacja wcześniejszej wiedzy nie powinna polegać na automatycznym uznawaniu każdego zaobserwowanego zachowania za prawidłowy i dostatecznie wyjaśniony element profilu klienta. W praktyce konieczne jest odróżnienie sytuacji, w której transakcja wskazuje na potrzebę wyjaśnienia konkretnej operacji, od przypadku uzasadniającego zmianę informacji o kliencie. Ocena może prowadzić do ustalenia, że operacja posiada jednostkowy charakter i nie wpływa na wcześniejszą wiedzę o relacji. Może również wykazać, że dotychczasowe dane wymagają uzupełnienia, ponieważ klient prowadzi działalność w szerszym zakresie niż wcześniej rozpoznano. W obu sytuacjach bank powinien odpowiednio uwzględnić rezultat analizy. Wyjaśnienie jednej transakcji nie zawsze wyczerpuje skutki ujawnionej informacji, ale samo jej wystąpienie nie przesądza o konieczności przeprowadzenia kompleksowego przeglądu.
Odrębny problem dotyczy wpływu aktualizacji informacji na dalsze parametry monitorowania. Jeżeli bank prawidłowo ustalił, że charakter działalności klienta uległ trwałej zmianie, dotychczasowe przewidywania dotyczące skali i rodzaju transakcji mogą utracić aktualność. Utrzymywanie niezmienionych parametrów oceny mogłoby prowadzić do wielokrotnego identyfikowania operacji odpowiadających rzeczywistej, uprzednio wyjaśnionej działalności klienta. Nie oznacza to jednak, że częstotliwość występowania określonych transakcji sama w sobie potwierdza ich gospodarczą zasadność. Zmiana punktu odniesienia dla monitorowania powinna wynikać z odpowiednio przeprowadzonej oceny nowych informacji i ryzyka, a nie wyłącznie z dostosowania się do historycznie obserwowanych przepływów. Aktualizacja informacji nie rozstrzyga również o prawidłowości wcześniejszych transakcji. Jeżeli bank stwierdził, że określona aktywność wymagała wyjaśnienia, późniejsza zmiana profilu klienta nie zastępuje czynności wynikających z obowiązków właściwych dla tych transakcji. W odpowiednich przypadkach uzyskanie nowej wiedzy może ponadto uzasadniać ponowną ocenę wcześniejszych operacji, których znaczenie zmieniło się w świetle ujawnionych faktów. AMLR nie ustanawia jednak generalnego obowiązku retrospektywnego badania wszystkich transakcji po każdej aktualizacji informacji. Zakres ewentualnej ponownej analizy powinien wynikać z charakteru nowej wiedzy oraz przesłanek właściwych przepisów.
Art. 34 ust. 2 AMLR przewiduje samodzielny obowiązek badania pochodzenia i przeznaczenia środków oraz celu transakcji, jeżeli spełnia ona co najmniej jedną z wymienionych w tym przepisie przesłanek. Dotyczy to transakcji złożonych, nietypowo dużych, przeprowadzanych w nietypowy sposób albo pozbawionych wyraźnego celu ekonomicznego lub zgodnego z prawem. Czynność taka może prowadzić do uzyskania informacji wymagających aktualizacji wiedzy o kliencie, ale sama przesłanka badania transakcji nie jest automatycznie przesłanką przeglądu na podstawie art. 26 ust. 3. Możliwy jest też przypadek, w którym trwała zmiana działalności ujawnia się w serii zwykłych transakcji, z których żadna samodzielnie nie spełnia wymagań art. 34 ust. 2. Wówczas znaczenie posiada łączny obraz relacji gospodarczej.
Jeszcze inny charakter posiada ocena prowadzona na podstawie art. 69 ust. 2 AMLR. Przepis ten nakazuje uwzględnianie wszystkich istotnych faktów i informacji znanych podmiotowi zobowiązanemu lub pozostających w jego posiadaniu przy ocenie transakcji i działań klientów na potrzeby obowiązku zgłaszania podejrzeń. Nowa informacja o działalności klienta może mieć znaczenie zarówno dla jego oceny ryzyka, jak i dla analizy określonego zdarzenia. Sama potrzeba aktualizacji wiedzy nie przesądza jednak o powstaniu obowiązku zgłoszenia z art. 69 ust. 1. Podobnie brak podstaw do zgłoszenia nie wyłącza konieczności aktualizacji informacji, jeżeli wystąpiły przesłanki wymagane przez art. 26 ust. 3. Każde rozstrzygnięcie posiada odrębną podstawę prawną. Z perspektywy prawidłowości wykonywania monitorowania istotna jest możliwość wykorzystania informacji ujawnionych w różnych analizach transakcyjnych. W określonych przypadkach pojedyncza operacja nie będzie miała dostatecznego znaczenia, podczas gdy zestawienie kilku zdarzeń wskaże na istotną zmianę działalności klienta. Prawidłowe wykonywanie art. 26 ust. 1 powinno umożliwiać dostrzeżenie tego rodzaju związków. Nie oznacza to obowiązku nieustannego ponawiania wszystkich czynności należytej staranności. Chodzi o odpowiednie rozpoznanie sytuacji, w której wyniki analiz transakcyjnych przestają dotyczyć wyłącznie poszczególnych operacji, a zaczynają podważać aktualność informacji stanowiących podstawę oceny całej relacji.
Odpowiedniość przyjętego sposobu monitorowania powinna być możliwa do wykazania na podstawie art. 20 ust. 4 AMLR. Znaczenie ma także dokumentowanie istotnych ustaleń zgodnie z art. 21 ust. 3. Bank powinien móc wyjaśnić, dlaczego informacje uzyskane podczas monitorowania uznano za wymagające dalszej oceny albo dlaczego nie prowadziły one do zmiany wcześniejszych ustaleń. Zakres dokumentacji powinien pozostawać współmierny do znaczenia zdarzenia. W szczególności konieczne jest rozróżnienie świadomego zachowania aktualnych informacji o kliencie od przypadku, w którym dane wskazujące na istotną zmianę pozostały bez oceny. W rezultacie monitorowanie transakcji posiada znaczenie zarówno dla identyfikowania operacji wymagających odrębnej analizy, jak i dla oceny aktualności wiedzy o kliencie. Odpowiednie wykorzystanie jego rezultatów wymaga zachowania granic pomiędzy obowiązkami z art. 26, art. 34 ust. 2 i art. 69 AMLR. Ustalona rozbieżność może prowadzić do różnych następstw prawnych, zależnie od jej przyczyn i znaczenia dla wcześniejszych informacji. Podstawowe wymaganie sprowadza się do zachowania związku pomiędzy rzeczywistą aktywnością klienta a wiedzą, na której bank opiera dalsze wykonywanie należytej staranności.
Granice wiedzy o kliencie – wiele produktów, informacje z grupy oraz ukierunkowane sankcje finansowe
Zakres wiedzy uwzględnianej podczas bieżącego monitorowania nie musi ograniczać się do informacji zgromadzonych przy nawiązywaniu konkretnej relacji gospodarczej albo obsłudze jednego produktu. Art. 26 ust. 1 AMLR przewiduje w tym zakresie dwa dodatkowe wymagania. Jeżeli stosunek gospodarczy obejmuje więcej niż jeden produkt lub usługę, środki należytej staranności powinny obejmować wszystkie te produkty i usługi. Ponadto podmiot zobowiązany należący do grupy powinien uwzględniać informacje dotyczące innych stosunków gospodarczych utrzymywanych z tym samym klientem przez podmioty tej grupy. Oba rozwiązania posiadają znaczenie dla określenia zakresu informacji istotnych dla monitorowania, choć ich zastosowanie wymaga uwzględnienia odmiennych okoliczności prawnych i organizacyjnych.
Pierwsze wymaganie wynika z art. 26 ust. 1 akapit drugi. Klient banku może jednocześnie korzystać z rachunków płatniczych, finansowania kredytowego, usług inwestycyjnych i innych produktów finansowych. Poszczególne usługi mogą posiadać odmienny cel gospodarczy oraz generować różne rodzaje ryzyka. Bank może odpowiednio różnicować sposób wykonywania należytej staranności w zależności od ich charakteru, ale nie powinien pomijać określonego produktu tylko dlatego, że jest obsługiwany przez odrębną jednostkę organizacyjną. Przepis wymaga objęcia należytą starannością całego zakresu relacji, z uwzględnieniem informacji istotnych dla poszczególnych środków i oceny ryzyka klienta. Znaczenie tej regulacji jest widoczne w przypadku informacji uzyskiwanych przy ocenie kredytowej. Bank może dowiedzieć się o zmianie struktury przychodów przedsiębiorstwa, jego modelu działalności albo źródeł finansowania. Informacje te nie zawsze muszą wpływać na ocenę transakcji płatniczych, ale nie można z góry wykluczyć ich znaczenia dla wcześniejszej wiedzy o kliencie. Jeżeli pozwalają ustalić istotną zmianę charakteru relacji, powinny zostać odpowiednio uwzględnione także w ramach bieżącego monitorowania. Podobnie informacje pozyskane podczas obsługi rachunku mogą wskazywać na potrzebę ponownej oceny określonych elementów należytej staranności wykonywanej w związku z innymi produktami. Rozstrzygające pozostaje znaczenie informacji, a nie miejsce jej pozyskania w strukturze banku.
Nie oznacza to jednak obowiązku jednolitego oceniania wszystkich produktów ani każdorazowego powtarzania całego procesu weryfikacji po rozpoczęciu korzystania przez dotychczasowego klienta z kolejnej usługi. Art. 20 ust. 2 AMLR wymaga indywidualizacji środków należytej staranności na podstawie ryzyka. Nowy produkt może uzasadniać pozyskanie dodatkowych informacji, jeśli wiąże się z odmiennym sposobem korzystania z usług finansowych albo dodatkowymi zagrożeniami. Wcześniejsze ustalenia, które pozostają aktualne i zostały odpowiednio zweryfikowane, mogą jednak nadal stanowić podstawę wykonywania określonych czynności. Właściwe zastosowanie art. 26 ust. 1 akapit drugi wymaga więc objęcia należytą starannością wszystkich produktów przy zachowaniu rozróżnienia ich cech i ryzyk.
Drugi problem wynika z art. 26 ust. 1 akapit trzeci. Jeżeli klient banku utrzymuje stosunki gospodarcze również z innymi podmiotami należącymi do tej samej grupy, bank powinien uwzględniać informacje dotyczące tych relacji na potrzeby monitorowania. Prawodawca wyraźnie uwzględnia tutaj także informacje dotyczące stosunków utrzymywanych przez przedsiębiorstwa grupy niepodlegające obowiązkom AML/CFT. Jest to istotne rozszerzenie perspektywy informacyjnej, w której podmiot zobowiązany powinien oceniać klienta. Nie wszystkie informacje o jego działalności muszą bowiem ujawniać się w relacji utrzymywanej z bankiem; znaczenie mogą posiadać również dane pochodzące od innych podmiotów świadczących klientowi usługi w ramach grupy. Podstawą stosowania tej regulacji pozostaje istnienie grupy w rozumieniu art. 2 ust. 1 pkt 41 AMLR. Przepis odnosi się do grupy składającej się z jednostki dominującej, jej jednostek zależnych oraz jednostek powiązanych w sposób określony w art. 22 dyrektywy 2013/34/UE. Samo posiadanie wspólnych klientów albo prowadzenie współpracy gospodarczej pomiędzy odrębnymi przedsiębiorstwami nie stanowi więc wystarczającej przesłanki. Znaczenie ma również tożsamość klienta utrzymującego stosunki gospodarcze z więcej niż jednym podmiotem grupy. Omawiana norma nie ustanawia generalnego obowiązku wymiany wszystkich informacji o dowolnych podmiotach powiązanych z klientem, choć określone takie informacje mogą być istotne na podstawie innych przepisów dotyczących należytej staranności.
Przykładowo klient banku może korzystać również z finansowania leasingowego udzielanego przez spółkę należącą do tej samej grupy. Informacje dotyczące skali takiego finansowania, charakteru wykorzystywanych aktywów albo rzeczywistej działalności klienta mogą posiadać znaczenie dla oceny ryzyka stosunku gospodarczego utrzymywanego przez bank. Nie wynika z tego automatyczny obowiązek włączania całej dokumentacji leasingowej do dokumentacji należytej staranności banku. Konieczne jest ustalenie, które informacje dotyczące innej relacji mają znaczenie dla monitorowania klienta oraz w jaki sposób mogą zostać odpowiednio wykorzystane. Odmienne produkty i rodzaje działalności podmiotów grupy mogą prowadzić do odmiennych wniosków dotyczących tego samego klienta.
W tym zakresie art. 26 ust. 1 należy odczytywać łącznie z art. 16 AMLR. Art. 16 ust. 1 wymaga ustanowienia i wdrożenia strategii, procedur i środków kontroli obejmujących całą grupę, w tym dotyczących ochrony danych oraz wymiany informacji do celów AML/CFT. Art. 16 ust. 3 przewiduje wymianę odpowiednich informacji pomiędzy podmiotami zobowiązanymi należącymi do grupy, jeżeli ma ona znaczenie dla należytej staranności wobec klienta i zarządzania ryzykiem. Dotyczy to w szczególności informacji o tożsamości i cechach klienta, beneficjentach rzeczywistych, charakterze i celu stosunków gospodarczych oraz określonych informacji związanych z podejrzeniami i analizami zgłoszonymi jednostce analityki finansowej, z zastrzeżeniami wynikającymi z przepisu. Rozwiązania te uzupełniają obowiązek uwzględniania informacji przewidziany w art. 26 ust. 1. Należy jednak zachować rozróżnienie pomiędzy obowiązkiem wymiany informacji przez podmioty zobowiązane a możliwością przekazywania odpowiednich danych przez inne przedsiębiorstwa grupy. Art. 16 ust. 3 przewiduje, że strategie, procedury i środki kontroli obejmujące całą grupę nie powinny uniemożliwiać podmiotom nieobjętym obowiązkami AML/CFT udostępniania informacji podmiotom zobowiązanym, jeżeli jest to istotne dla wykonania wymogów rozporządzenia. Nie oznacza to automatycznego objęcia takich przedsiębiorstw pełnym katalogiem obowiązków właściwych dla instytucji obowiązanych. Konieczne pozostaje rozpoznanie zakresu informacji istotnych dla banku oraz właściwych zasad ich przekazywania.
Sam obowiązek uwzględnienia informacji o innych relacjach nie przesądza o konieczności przyjmowania takich samych ocen ryzyka przez wszystkie podmioty grupy. Bank powinien ustalić znaczenie otrzymanych danych dla własnej relacji, biorąc pod uwagę rodzaj świadczonych usług i związane z nimi ryzyko. Informacja o odmowie zawarcia umowy przez inny podmiot nie musi automatycznie oznaczać, że bank powinien zakończyć własną relację z klientem. Znaczenie posiada przyczyna podjętej decyzji, jej wiarygodność i związek z obowiązkami należytej staranności. Jeżeli jednak informacja ujawnia istotny fakt dotyczący klienta albo podważa wcześniejsze ustalenia, bank powinien rozważyć wynikające z tego konsekwencje, w szczególności na podstawie art. 26 ust. 3. Wymiana informacji w grupie wymaga uwzględnienia zasad ich ochrony. Art. 16 ust. 3 akapit trzeci AMLR nakazuje zapewnienie odpowiednich gwarancji poufności, ochrony danych i wykorzystania informacji, w tym zabezpieczeń przed ich nieuprawnionym ujawnieniem. Z kolei art. 76 AMLR określa szczególne warunki przetwarzania danych osobowych na potrzeby przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, a w ust. 4 ogranicza wykorzystywanie danych przetwarzanych na podstawie rozporządzenia do celów AML/CFT. Nie można więc utożsamiać obowiązku uwzględniania informacji z nieograniczonym uprawnieniem do gromadzenia danych pozostających w dyspozycji innych podmiotów grupy. Konieczne pozostaje stosowanie odpowiednich zasad wynikających również z rozporządzenia 2016/679 oraz, w stosownych przypadkach, z regulacji dotyczących tajemnic prawnie chronionych.
Problem jest szczególnie istotny w grupach prowadzących działalność w różnych państwach. Udostępnianie informacji może wymagać ustalenia zasad przetwarzania i przekazywania danych pomiędzy odrębnymi podmiotami prawnymi, także z uwzględnieniem szczególnych wymagań dotyczących jednostek zależnych i oddziałów w państwach trzecich. Art. 17 AMLR przewiduje w tym zakresie rozwiązania odnoszące się do grup działających poza Unią. Nie można jednak z samego istnienia ograniczeń dotyczących przekazywania określonych danych wyprowadzać automatycznego zwolnienia z obowiązku uwzględniania informacji wymaganych na podstawie art. 26 ust. 1. Właściwe rozwiązanie powinno uwzględniać jednocześnie obowiązki AML/CFT i warunki prawnie dopuszczalnego przepływu informacji. Osobną kategorię obowiązków tworzy art. 26 ust. 4 AMLR, dotyczący ukierunkowanych sankcji finansowych. Przepis wymaga regularnej weryfikacji, czy spełnione są warunki określone w art. 20 ust. 1 lit. d. Częstotliwość powinna pozostawać proporcjonalna do ekspozycji podmiotu zobowiązanego i stosunku gospodarczego na ryzyko niewykonania ukierunkowanych sankcji finansowych i uchylania się od nich. W przypadku instytucji kredytowych i finansowych weryfikację należy przeprowadzać również w związku z każdym nowym wyznaczeniem sankcyjnym. Jest to obowiązek odrębny od okresowej aktualizacji informacji i od przeglądu wywołanego zdarzeniami określonymi w art. 26 ust. 3.
Zakres tej weryfikacji wyznacza art. 20 ust. 1 lit. d AMLR. Przepis odnosi się do klienta i beneficjentów rzeczywistych, a w odpowiednich przypadkach również do określonych relacji własności i kontroli nad podmiotem prawnym. Wykonanie obowiązku może więc wymagać wykorzystania aktualnych informacji o strukturze własnościowej, w tym ustalenia, czy osoba objęta sankcjami sprawuje kontrolę albo posiada odpowiedni udział własnościowy. Nie wystarcza w każdym przypadku sama ocena zgodności nazwy klienta z wykazem sankcyjnym. Z drugiej strony podobieństwo danych identyfikacyjnych nie przesądza automatycznie o objęciu określonego klienta sankcjami. Konieczna jest weryfikacja znaczenia ustalonego powiązania i przesłanek wynikających z właściwych przepisów. Nowe wyznaczenie sankcyjne stanowi szczególną okoliczność wymagającą działania niezależnie od tego, kiedy przeprowadzono ostatnią okresową aktualizację informacji. Bank nie może powoływać się na pięcioletni albo roczny harmonogram przeglądów, aby odstąpić od czynności wymaganej przez art. 26 ust. 4. Nie oznacza to jednak, że po każdym nowym wyznaczeniu należy ponownie wykonać wszystkie środki należytej staranności wobec wszystkich klientów. Przedmiotem obowiązku jest określona weryfikacja sankcyjna, a dalsze czynności powinny wynikać z jej rezultatu i innych odpowiednich przepisów.
Art. 26 ust. 4 akapit trzeci wyraźnie zastrzega, że przewidziane w nim wymagania nie zastępują obowiązku stosowania ukierunkowanych sankcji finansowych ani dalej idących wymagań wynikających z innych aktów prawa Unii lub prawa krajowego. W konsekwencji należy odróżnić sam obowiązek weryfikacji od prawnych skutków stwierdzenia, że określony klient lub powiązany z nim podmiot jest objęty sankcjami. Zakres tych skutków powinien być określany na podstawie właściwych aktów sankcyjnych. Zdarzenie sankcyjne nie może być sprowadzane wyłącznie do zwiększenia oceny ryzyka klienta, ale samo wpisanie osoby do wykazu sankcyjnego nie musi również automatycznie przesądzać o spełnieniu przesłanek zgłoszenia podejrzenia prania pieniędzy na podstawie art. 69 AMLR. Uzupełniające znaczenie posiada art. 27 AMLR, ustanawiający określone środki tymczasowe w odniesieniu do sankcji finansowych ONZ w okresie przed rozpoczęciem stosowania odpowiednich ukierunkowanych sankcji finansowych w Unii. Przepis przewiduje szczególne obowiązki ewidencyjne w sytuacjach objętych jego zakresem. Pokazuje on, że weryfikacja sankcyjna i jej następstwa mogą podlegać odrębnym regulacjom, których nie można utożsamiać z okresową aktualizacją informacji o kliencie. Właściwe wykonywanie tych obowiązków wymaga zatem samodzielnego ustalenia ich przesłanek i zakresu.
Analiza art. 26 ust. 1 i 4 prowadzi do wniosku, że prawodawca rozszerza zakres informacji istotnych dla monitorowania, a jednocześnie ustanawia szczególny mechanizm reagowania na zmiany w ukierunkowanych sankcjach finansowych. Informacje o różnych produktach i innych relacjach w grupie powinny być uwzględniane w zakresie odpowiednim do obowiązków banku, przy zachowaniu zasad ich prawnie dopuszczalnego wykorzystania. Z kolei czynności sankcyjne muszą być podejmowane zgodnie z odrębnymi przesłankami wynikającymi z rozporządzenia. W obu przypadkach znaczenie posiada właściwa kwalifikacja informacji i wynikających z niej skutków prawnych, a nie wyłącznie samo posiadanie coraz szerszego zbioru danych dotyczących klienta.
Wnioski – aktualność informacji jako granica prawidłowego wykonywania należytej staranności
Analiza art. 20 i 26 AMLR prowadzi do wniosku, że należyta staranność wobec klienta powinna być wykonywana przez cały okres trwania stosunku gospodarczego na podstawie informacji odpowiadających rzeczywistemu charakterowi relacji. Dane uzyskane przed rozpoczęciem współpracy stanowią punkt wyjścia dla późniejszego monitorowania, lecz nie mogą być traktowane jako niezmienny obraz klienta. Zmiany struktury własnościowej, charakteru działalności, sposobu korzystania z produktów finansowych oraz okoliczności wpływających na poziom ryzyka mogą wymagać ponownej oceny wcześniejszych ustaleń. Prawidłowość początkowego zastosowania należytej staranności nie przesądza o aktualności informacji w późniejszym okresie. AMLR doprecyzowuje obowiązek bieżącego monitorowania istniejący już na podstawie dyrektywy (UE) 2015/849 i polskiej ustawy AML. Nowe znaczenie posiada przede wszystkim ustanowienie maksymalnych okresów aktualizacji informacji oraz wyraźne określenie zdarzeń wymagających wcześniejszego przeglądu. Art. 26 ust. 2 przewiduje terminy roczny i pięcioletni jako granice dopuszczalnych odstępów pomiędzy aktualizacjami. Rzeczywista częstotliwość powinna zależeć od ryzyka związanego ze stosunkiem gospodarczym. Dochowanie terminu jest wymagane, ale nie oznacza automatycznie, że zakres przeprowadzonych czynności był wystarczający. Bank powinien zapewnić aktualność odpowiednich informacji, a nie wyłącznie formalne zakończenie przeglądu w wyznaczonej dacie.
Art. 26 ust. 3 ustanawia odrębne podstawy przeglądu informacji niezależnie od harmonogramu okresowego. Znaczenie posiada szczególnie rozróżnienie pomiędzy zmianą istotnych okoliczności dotyczących klienta a uzyskaniem wiedzy o istotnym fakcie, który może dotyczyć również stanu istniejącego już wcześniej. Prawodawca obejmuje więc obowiązkiem przeglądu zarówno zmiany rzeczywistej sytuacji klienta, jak i przypadki ujawnienia niepełności wcześniejszej wiedzy. Trzecia przesłanka wiąże obowiązek przeglądu z określonym prawnym obowiązkiem kontaktu z klientem w danym roku kalendarzowym. Przesłanki te mogą współwystępować, a ich zastosowanie powinno prowadzić do oceny informacji odpowiednich dla konkretnej relacji gospodarczej. Wystąpienie obowiązku przeglądu nie przesądza automatycznie o zakresie jego skutków. Prawodawca rozróżnia przegląd i aktualizację informacji, która ma następować w stosownych przypadkach. Możliwe jest zatem potwierdzenie prawidłowości wcześniejszych ustaleń bez ich zmiany, aktualizacja konkretnej informacji albo ponowne zastosowanie odpowiednich środków należytej staranności. Granice czynności powinny wynikać z charakteru nowej okoliczności i przepisów regulujących dany środek. Nie każda zmiana uzasadnia ponowne wykonanie całego katalogu z art. 20 ust. 1, ale nie każda może zostać prawidłowo uwzględniona poprzez zmianę pojedynczego elementu dokumentacji.
Bieżące monitorowanie transakcji pełni w tym modelu szczególną funkcję. Wykorzystuje wcześniejszą wiedzę o kliencie do oceny rzeczywistej aktywności, a jednocześnie może ujawniać informacje wymagające jej ponownej weryfikacji. Powstanie rozbieżności pomiędzy przewidywanym a rzeczywistym sposobem korzystania z usług finansowych nie musi oznaczać nieprawidłowości. Znaczenie ma jej charakter, przyczyny i wpływ na aktualność wcześniejszych informacji. Wyniki monitorowania mogą prowadzić do przeglądu na podstawie art. 26 ust. 3, badania określonych transakcji zgodnie z art. 34 ust. 2 albo analizy przesłanek zgłoszeniowych z art. 69. Każdy z tych obowiązków posiada własną podstawę i powinien być oceniany odrębnie. Zakres aktualnej wiedzy o kliencie powinien uwzględniać również wymagania dotyczące wielu produktów i usług oraz określonych informacji z innych relacji utrzymywanych przez podmioty grupy. Przepisy AMLR ograniczają możliwość pomijania informacji istotnych dla należytej staranności ze względu na sposób organizacji działalności banku lub grupy. Wymagają jednak zachowania odpowiednich zasad ich wymiany, poufności i ochrony danych. Odrębne obowiązki dotyczące ukierunkowanych sankcji finansowych, w szczególności reagowania przez instytucje kredytowe i finansowe na każde nowe wyznaczenie sankcyjne, potwierdzają dodatkowo, że aktualność określonych informacji może wymagać działań niezależnych od zwykłego harmonogramu przeglądów.
Podejście oparte na ryzyku zachowuje znaczenie przy określaniu częstotliwości i zakresu czynności, ale jego zastosowanie podlega ograniczeniom wynikającym z konkretnych przepisów. Bank może różnicować sposób wykonywania należytej staranności, jeśli odpowiada to charakterowi relacji i rozpoznanym zagrożeniom. Nie może jednak pomijać ustawowej przesłanki przeglądu, przekraczać maksymalnych okresów aktualizacji ani odstępować od szczególnej weryfikacji wymaganej bezpośrednio przez rozporządzenie. Jednocześnie powinien unikać automatycznego utożsamiania każdej zmiany danych z koniecznością ponownego przeprowadzenia wszystkich czynności. Właściwe wykorzystanie przestrzeni decyzyjnej wymaga rozpoznania, które obowiązki są określone bezpośrednio przez prawodawcę, a które pozostawiają możliwość oceny zakresu odpowiednich środków. Znaczenie posiada wreszcie możliwość wykazania prawidłowości przyjętych rozstrzygnięć. Art. 20 ust. 4 i art. 21 ust. 3 AMLR wymagają odpowiednio wykazania adekwatności zastosowanych środków oraz dokumentowania działań i decyzji podejmowanych w ramach należytej staranności. Dotyczy to również przeglądów zakończonych stwierdzeniem, że wcześniejsze informacje nie wymagają zmiany. Odpowiednia dokumentacja powinna umożliwiać odtworzenie znaczenia nowej okoliczności oraz zakresu wykonanej oceny. Nie ma przy tym potrzeby tworzenia rozbudowanych uzasadnień dla każdej prostej czynności; forma dokumentowania powinna odpowiadać charakterowi decyzji i jej znaczeniu prawnemu.
Zasadniczy problem prawny sprowadza się więc do określenia granicy pomiędzy zachowaniem wcześniejszych ustaleń a obowiązkiem ich ponownej oceny. Bank nie może bezterminowo opierać się na historycznym obrazie klienta, jeżeli posiadane informacje wskazują na istotną zmianę albo ujawniają nieprawidłowość wcześniejszej wiedzy. Równocześnie obowiązek reagowania nie oznacza konieczności każdorazowego ponawiania pełnego procesu należytej staranności. Wymagany zakres czynności zależy od rodzaju informacji i odpowiednich podstaw prawnych. Tak rozumiana aktualność wiedzy o kliencie stanowi warunek właściwego wykonywania monitorowania oraz podejmowania decyzji odpowiadających rzeczywistemu ryzyku relacji gospodarczej. W tym znaczeniu trzeci artykuł domyka problematykę analizowaną w całym cyklu. Granice uznania banku wyznaczają zakres dopuszczalnej indywidualizacji środków należytej staranności. Kwalifikacja informacji pozwala odróżniać podwyższone ryzyko, nietypowość transakcji i przesłanki zgłoszenia podejrzenia. Bieżące monitorowanie i aktualizacja informacji pokazują natomiast, jak obowiązki te powinny być wykonywane w czasie. Ich prawidłowość zależy nie tylko od treści pierwotnej oceny klienta, ale również od zdolności rozpoznawania zmian i odpowiedniego wykorzystywania nowej wiedzy. Art. 26 AMLR określa w tym zakresie bardziej precyzyjne ramy prawne, pozostawiając bankowi konieczność profesjonalnej oceny znaczenia konkretnych okoliczności i zakresu czynności wymaganych do zachowania aktualności informacji o kliencie.