Czy podejście oparte na ryzyku nadal coś znaczy? Granice uznania banku po AMLR

Wprowadzenie – od elastyczności do harmonizacji

Podejście oparte na ryzyku należy do podstawowych konstrukcji współczesnego systemu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. Jego znaczenie wykracza poza sam obowiązek sporządzania oceny ryzyka. Ryzyko wpływa na sposób organizacji systemu AML/CFT, zakres środków stosowanych wobec klienta, intensywność monitorowania, potrzebę stosowania środków wzmożonych oraz możliwość ograniczenia intensywności części działań w sytuacjach niższego ryzyka. U podstaw takiego modelu znajduje się założenie, że zróżnicowanie klientów, produktów, kanałów dystrybucji, jurysdykcji i modeli działalności powoduje również zróżnicowanie ekspozycji na ryzyko. Jednolity poziom kontroli stosowany niezależnie od tej ekspozycji prowadziłby zarówno do niedostatecznej reakcji w przypadkach rzeczywiście istotnych, jak i do angażowania nadmiernych środków tam, gdzie ryzyko jest ograniczone. Rozporządzenie (UE) 2024/1624 zachowuje tę konstrukcję. Już art. 10 AMLR nakazuje podmiotom zobowiązanym identyfikować i oceniać ryzyka ML/TF oraz ryzyka niewykonania ukierunkowanych sankcji finansowych i uchylania się od nich, stosując środki proporcjonalne do charakteru działalności, jej ryzyk, złożoności i wielkości. Ocena ma uwzględniać nie tylko zmienne i czynniki ryzyka wskazane w samym rozporządzeniu, lecz także ocenę ryzyka na poziomie Unii, oceny krajowe i sektorowe, informacje właściwych organów, publikacje Komisji i AMLA oraz charakter własnej bazy klientów. AMLR wyraźnie wymaga ponadto odrębnej oceny ryzyka przed wprowadzeniem nowych produktów, usług, kanałów dystrybucji lub technologii oraz przed wejściem w nowy segment klientów albo obszar geograficzny.

Dotychczas RBA rozwijało się w systemie opartym w znacznej części na dyrektywach, ich transpozycji, wytycznych europejskich organów nadzoru i krajowej praktyce nadzorczej. AMLR przenosi zasadniczą część obowiązków podmiotów zobowiązanych do bezpośrednio stosowanego rozporządzenia, uzupełnianego regulacyjnymi standardami technicznymi i wytycznymi AMLA. Rozporządzenie weszło już w życie; co do zasady rozpocznie jednak stosowanie 10 lipca 2027 r. Zmienia się więc nie tyle samo istnienie RBA, ile prawne otoczenie decyzji opartych na ryzyku. Zmiana ta stwarza problem wykraczający poza typowe pytanie o zakres nowych obowiązków. Jeżeli coraz większa część procesu AML/CFT jest określana jednolicie na poziomie Unii, trzeba ustalić, co pozostaje właściwie przedmiotem decyzji opartej na ryzyku. Problem nie polega wyłącznie na tym, czy bank nadal powinien różnicować środki w zależności od poziomu ryzyka. AMLR odpowiada na to pytanie twierdząco. Istotniejsza jest granica pomiędzy elementami procesu zdeterminowanymi prawem a tymi, w których prawidłowe wykonanie obowiązku nadal wymaga profesjonalnej oceny instytucji.

Granica ta jest szczególnie widoczna w art. 20 AMLR. W typowej relacji banku z klientem, gdy zachodzi obowiązek stosowania pełnego zestawu CDD, ust. 1 wyznacza katalog środków należytej staranności, a ust. 2 nakazuje różnicować ich zakres na podstawie indywidualnej analizy ryzyka. Niższe ryzyko uzasadnia możliwość zastosowania środków uproszczonych, zaś podwyższone ryzyko uruchamia obowiązek stosowania środków wzmożonych. Trzeba jednak uwzględnić rozwiązania szczególne przewidziane w art. 19: w ust. 3 lit. b dla części transakcji kryptoaktywowych, w ust. 4 dla określonych transakcji gotówkowych oraz w ust. 7 dla niektórych instrumentów pieniądza elektronicznego. Analiza rdzenia obowiązku musi zatem rozpoczynać się od ustalenia właściwej przesłanki i zakresu jego stosowania.

W czasie przygotowania artykułu dostępny jest już finalny projekt RTS dotyczących art. 28 ust. 1 AMLR, ujęty w raporcie AMLA z 30 września 2026 r. i opublikowany wraz z komunikatem z 1 października 2026 r. Dokument został przekazany Komisji Europejskiej, ale nie stanowi przyjętego ani obowiązującego rozporządzenia delegowanego. Projekt uszczegóławia m.in. identyfikację i weryfikację tożsamości, źródła informacji, beneficjenta rzeczywistego, ocenę celu relacji, PEP, SDD, EDD i weryfikację sankcyjną. Zawiera przy tym wyraźną zasadę proporcjonalności i podejścia opartego na ryzyku w art. 1. W dalszych rozważaniach projekt stanowi materiał prognostyczny, odróżniony od obowiązującej treści AMLR. To rozróżnienie jest ważne również dlatego, że pojęcie „uznania banku” łatwo prowadzi do nieporozumienia. W prawie administracyjnym uznanie wiąże się z pozostawieniem organowi wyboru pomiędzy kilkoma prawnie dopuszczalnymi rozstrzygnięciami. W AML/CFT sytuacja banku jest inna. Podmiot zobowiązany wykonuje obowiązek prawny, często na podstawie otwartych lub ocennych przesłanek, lecz nie otrzymuje przez to generalnej swobody wyboru rezultatu. Musi dokonać profesjonalnej oceny na podstawie wymaganych czynników, posiadać odpowiednią podstawę faktyczną i być zdolny wykazać racjonalność zastosowanych środków. Dlatego w dalszej analizie pojęcie uznania będzie używane szerzej, jako określenie przestrzeni decyzyjnej pozostającej bankowi przy wykonywaniu obowiązków AML/CFT, przy jednoczesnym rozróżnieniu jej poszczególnych postaci.

Podstawowy problem badawczy artykułu można w konsekwencji sformułować następująco: w jakim zakresie AMLR pozostawia bankowi możliwość kształtowania sposobu wykonywania obowiązków na podstawie własnej oceny ryzyka, a w jakim wynik działania jest zdeterminowany bezpośrednio przez normę prawną lub jej przyszłe uszczegółowienie na poziomie drugim? Odpowiedź wymaga dodatkowo ustalenia, czy wszystkie przypadki wymagające oceny można traktować jako przejaw podejścia opartego na ryzyku. Czym innym może być bowiem wybór intensywności środka w zależności od ryzyka, czym innym profesjonalna ocena faktów pozwalająca zakwalifikować klienta do określonego poziomu ryzyka, a jeszcze czym innym wybór technologicznego lub organizacyjnego sposobu wykonania z góry określonego obowiązku. 

Hipoteza zakłada, że AMLR zachowuje podejście oparte na ryzyku, lecz zmienia strukturę jego oddziaływania na decyzje banku. Harmonizacja ogranicza możliwość samodzielnego określania części wymagań minimalnych i konstrukcji procesu. Istotne znaczenie zachowują natomiast kwalifikacja ryzyka, profesjonalna ocena informacji i dostosowywanie środków w granicach prawa. Artykuł proponuje w tym celu model czterech współwystępujących przestrzeni decyzyjnych: rdzenia związanego normą, kalibracji opartej na ryzyku, profesjonalnego osądu i wyboru operacyjnego. Hipoteza ta wymaga jednak dalszego doprecyzowania. Samo stwierdzenie, że bank zachowuje możliwość „kalibracji”, nie wyjaśnia jeszcze zakresu tej możliwości ani standardu, według którego powinna być oceniana. W szczególności trzeba rozstrzygnąć, czy bardziej konserwatywne rozwiązanie można zawsze uznać za zgodne z podejściem opartym na ryzyku. Jeżeli bank stosuje środki istotnie dalej idące niż wynikałoby to z rozpoznanego ryzyka, może ograniczać ryzyko niewykonania obowiązku AML/CFT, a równocześnie generować inne ryzyka prawne i operacyjne oraz podważać samą zasadę proporcjonalnego różnicowania środków. Podejście oparte na ryzyku wyznacza więc potencjalnie nie tylko dolną granicę wymaganej intensywności działań, ale również kryterium oceny ich nadmiernego zaostrzenia.

Artykuł koncentruje się na bankach oraz na tych elementach AMLR, w których związek pomiędzy obowiązkiem a oceną ryzyka jest szczególnie widoczny. Analiza obejmuje przede wszystkim ocenę ryzyka całej działalności, środki należytej staranności wobec klienta, środki uproszczone i wzmożone oraz rozwiązania poziomu drugiego uszczegóławiające te obowiązki. Ongoing monitoring będzie uwzględniany o tyle, o ile jest potrzebny do ustalenia granic podejścia opartego na ryzyku; jego pełna konstrukcja będzie przedmiotem odrębnego artykułu w ramach niniejszego cyklu. Podobnie poza zasadniczym zakresem pozostaje szczegółowa analiza relacji pomiędzy ryzykiem, nietypowością transakcji i podejrzeniem, która wymaga odrębnego opracowania.

Podejście oparte na ryzyku jako konstrukcja prawna

Podejście oparte na ryzyku bywa ujmowane jako ogólna zasada elastyczności systemu AML/CFT. W dorobku FATF i EBA jest ono zarazem metodą rozpoznawania ryzyk i dostosowywania do nich środków. Dla analizy dogmatycznoprawnej kluczowe jest jednak ustalenie, kiedy i w jakim zakresie wynik oceny ryzyka może prawnie zmieniać działanie banku. Ryzyko może wpływać na zakres lub częstotliwość środka, sposób monitorowania albo organizację systemu, ale nie wszystkie te mechanizmy tworzą jednakową przestrzeń decyzyjną. Punktem wyjścia powinno być więc rozdzielenie dwóch kwestii, które w praktyce są często utożsamiane. Pierwsza dotyczy oceny ryzykajako procesu identyfikacji, analizy i rozumienia zagrożeń, na które narażony jest bank albo konkretna relacja z klientem. Druga dotyczy konsekwencji prawnej tej oceny, czyli ustalenia, czy i w jaki sposób wynik analizy ryzyka wpływa na treść działania wymaganego przez prawo. Dopiero druga z tych kwestii pozwala mówić o podejściu opartym na ryzyku jako o konstrukcji normatywnej, a nie wyłącznie metodologii zarządzania ryzykiem.

Na tym poziomie podejście oparte na ryzyku pełni przede wszystkim funkcję organizacyjną i alokacyjną. Pozwala ustalić, gdzie znajdują się najistotniejsze ekspozycje banku i w jakich obszarach potrzebne są silniejsze mechanizmy kontrolne, zasoby, kompetencje albo częstsze przeglądy. Nie oznacza to jednak, że bank może na podstawie własnej oceny wyłączyć określoną część działalności spod AMLR. Ocena ryzyka służy organizacji sposobu wykonania obowiązków, ale nie wyznacza ich zakresu podmiotowego czy materialnego wbrew przepisom rozporządzenia. Taką samą zależność widać w art. 9 AMLR. Wewnętrzne strategie, procedury i środki kontroli mają służyć skutecznemu zarządzaniu i ograniczaniu zidentyfikowanych ryzyk, a jednocześnie mają być proporcjonalne do charakteru działalności, jej ryzyk, złożoności i wielkości podmiotu. Ustawodawca od początku łączy więc obowiązek posiadania określonego systemu z możliwością różnicowania jego architektury. Bank nie decyduje, czy w ogóle potrzebuje procedur AML/CFT, ram zarządzania ryzykiem czy środków kontroli. Ocenia natomiast, jak rozbudowane powinny być te rozwiązania przy jego modelu działalności i ekspozycji na ryzyko. 

W tym miejscu bardzo dobrze widać, że podejście oparte na ryzyku nie może być utożsamiane z prawem do rezygnacji z obowiązku. Ryzyko oddziałuje przede wszystkim na parametry jego wykonania. Niski poziom ryzyka nie usuwa obowiązku należytej staranności, lecz pozwala w określonych przypadkach zmniejszyć jej intensywność. Motyw 78 AMLR potwierdza tę logikę wprost: uproszczona należyta staranność nie oznacza braku środków CDD, lecz ich uproszczony lub ograniczony sposób wykonania, przy zachowaniu wszystkich podstawowych elementów procesu.  Zestawienie art. 20, 33 i 34 pozwala zrekonstruować pierwszą istotną cechę normatywną RBA. Ryzyko pełni funkcję mechanizmu różnicującego intensywność wykonania obowiązku, ale działa wewnątrz granic wyznaczonych przez sam obowiązek. To oznacza, że podejście oparte na ryzyku nie stanowi ogólnej klauzuli pozwalającej odstępować od przepisów. Jest raczej normatywnie kontrolowanym mechanizmem dostosowania sposobu ich wykonania.

Drugą cechą jest to, że RBA nie ma charakteru czysto ilościowego. Wyższe ryzyko nie oznacza automatycznie „więcej wszystkiego”, a niższe ryzyko nie sprowadza się do prostego zmniejszenia liczby czynności. Dostosowanie powinno odpowiadać charakterowi konkretnego ryzyka. Jeżeli problem dotyczy złożonej struktury właścicielskiej, właściwą reakcją może być pogłębiona analiza własności i kontroli, a nie ogólne zwiększenie częstotliwości monitorowania wszystkich transakcji. Jeżeli natomiast ryzyko wynika z modelu przepływów, bardziej adekwatne może być zwiększenie intensywności monitoringu transakcyjnego niż pozyskiwanie kolejnych danych identyfikacyjnych. Podejście oparte na ryzyku wymaga więc nie tylko różnicowania siły środka, lecz także jego dopasowania do źródła ryzyka. W tym sensie proporcjonalność i RBA pozostają ze sobą ściśle związane, ale nie są pojęciami tożsamymi. Ocena ryzyka odpowiada na pytanie, z jakim zagrożeniem bank ma do czynienia i jak istotne jest ono w danym przypadku. Proporcjonalność dotyczy natomiast relacji pomiędzy rozpoznanym ryzykiem a zastosowanym środkiem. Bank może więc prawidłowo rozpoznać podwyższone ryzyko, a mimo to zastosować środek źle dopasowany do jego charakteru albo nadmierny względem potrzeb procesu.

Art. 20 ust. 4 AMLR wymaga, aby podmiot zobowiązany był w każdej chwili zdolny wykazać organowi nadzoru odpowiedniość zastosowanych środków do zidentyfikowanych ryzyk ML/TF. Korzystanie z RBA łączy się tym samym z powinnością uzasadnienia zależności pomiędzy rozpoznanym ryzykiem a przyjętym sposobem działania. Wymóg rozliczalności należy jednak odróżnić od procesowych reguł ciężaru dowodu w konkretnym postępowaniu. Można więc powiedzieć, że RBA tworzy model kontrolowanego profesjonalnego osądu. Bank nie jest związany jednym mechanicznym sposobem działania w każdym przypadku, ale jego decyzja powinna być odtwarzalna. Musi istnieć rozpoznane ryzyko, odpowiednia podstawa informacyjna, logiczny związek pomiędzy tym ryzykiem a wybranym środkiem oraz możliwość wykazania, że zastosowana reakcja odpowiada charakterowi sytuacji. Ta konstrukcja ma również konsekwencje dla sposobu rozumienia błędu w AML/CFT. Podejście oparte na ryzyku z natury zakłada podejmowanie decyzji w warunkach niepełnej informacji. Nie każda materializacja ryzyka oznacza więc, że wcześniejsza ocena była nieprawidłowa. Możliwa jest sytuacja, w której bank prawidłowo rozpoznał ryzyko, zastosował racjonalne i proporcjonalne środki, a mimo to klient wykorzystał usługę do celów przestępczych. Odwrotnie, brak materializacji ryzyka nie dowodzi prawidłowości procesu, jeżeli decyzja została podjęta bez wystarczającej analizy albo zastosowane środki nie odpowiadały dostępnej wiedzy.

Trzecia cecha podejścia opartego na ryzyku dotyczy jego relacji z profesjonalnym osądem. Ryzyko nie jest danym faktem, który można w każdym przypadku jedynie odczytać. Jest wynikiem procesu kwalifikacji informacji. Bank musi ustalić, jakie czynniki mają znaczenie, jaka jest ich waga, czy wzajemnie się wzmacniają, czy część z nich została ograniczona przez istniejące mechanizmy kontrolne oraz jaki poziom ryzyka pozostaje po zastosowaniu tych mechanizmów. To oznacza, że przed wyborem środka pojawia się jeszcze etap oceny, który sam w sobie wymaga profesjonalnego osądu. Nie każda taka ocena jest jednak przejawem swobody normatywnej. Jeżeli bank ustala, czy struktura klienta jest złożona, czy określone zachowanie ma charakter nietypowy albo czy dany czynnik zwiększa ryzyko ML/TF, wykonuje ocenę faktów według kryteriów prawnych i regulacyjnych. Może istnieć kilka racjonalnych sposobów interpretacji tej samej informacji, ale nie oznacza to, że prawo zezwala na dowolny rezultat. Ocena powinna być racjonalna, oparta na odpowiednich informacjach i zgodna z obowiązującymi kryteriami.

Właśnie tutaj trzeba rozdzielić podejście oparte na ryzyku od uznania. RBA jest mechanizmem nakazującym uwzględnić ryzyko w konstrukcji decyzji. Uznanie opisuje zakres możliwych rozstrzygnięć, jaki prawo pozostawia podmiotowi. Możliwe jest więc istnienie RBA przy niewielkim zakresie uznania, jeżeli prawo bardzo szczegółowo określa konsekwencje poszczególnych poziomów ryzyka. Możliwa jest również sytuacja odwrotna: norma może pozostawiać szeroki wybór środków operacyjnych, choć sam poziom ryzyka jest stosunkowo jednoznaczny. Na tym etapie można sformułować pierwszą zasadniczą konkluzję. Podejście oparte na ryzyku w AMLR nie jest samodzielnym źródłem swobody banku. Jest sposobem wykonywania obowiązków w tych miejscach, w których prawo nakazuje albo dopuszcza różnicowanie działania w zależności od ryzyka. Zakres tej przestrzeni trzeba zawsze wyprowadzać z konkretnej normy. To przepis decyduje, czy ryzyko wpływa na zakres środka, jego intensywność, częstotliwość, wybór jednego z kilku działań czy wyłącznie na sposób organizacji procesu.

Architektura ryzyka w AMLR – gdzie ryzyko oddziałuje na obowiązek

Pierwszym poziomem jest ryzyko całej działalności podmiotu zobowiązanego. Art. 10 AMLR wymaga identyfikacji i oceny ryzyk ML/TF oraz ryzyk niewykonania ukierunkowanych sankcji finansowych i uchylania się od nich, z uwzględnieniem charakteru i złożoności działalności, wielkości podmiotu, określonych w rozporządzeniu zmiennych i czynników ryzyka, ocen unijnych i krajowych, informacji właściwych organów oraz struktury bazy klientów. Ocena ta podlega dokumentowaniu, aktualizacji i regularnemu przeglądowi.  Na tym poziomie ryzyko nie służy jeszcze do rozstrzygnięcia, jakie środki należy zastosować wobec konkretnego klienta. Jego funkcja jest szersza. Ocena obejmująca całą działalność tworzy podstawę do zaprojektowania systemu AML/CFT odpowiedniego do rzeczywistej ekspozycji banku. Powinna wpływać na strategie, procedury, środki kontroli, zasoby i sposób organizacji procesów, a następnie stanowić jedno ze źródeł wykorzystywanych przy ocenie konkretnych relacji. W tym znaczeniu można mówić o funkcji systemowej ryzyka.

Drugim poziomem jest indywidualna analiza ryzyka stosunków gospodarczych lub transakcji sporadycznej. Tutaj przedmiotem oceny przestaje być cały model działalności banku, a staje się nim konkretna relacja. Art. 20 ust. 2 wymaga uwzględnienia specyfiki klienta, charakteru stosunków gospodarczych albo transakcji sporadycznej, wyników oceny obejmującej całą działalność oraz zmiennych i czynników ryzyka wskazanych w załącznikach do AMLR. Wynik tej analizy nie pozostaje wyłącznie opisem sytuacji. Uruchamia dalsze konsekwencje normatywne: w razie stwierdzenia podwyższonego ryzyka bank stosuje wzmożone środki należytej staranności, a w sytuacji niższego ryzyka może zastosować środki uproszczone. Na tym poziomie ryzyko pełni więc funkcję kwalifikacyjną. Pozwala przypisać relację do sytuacji, z którą prawo wiąże określony reżim wykonania obowiązku. Jednocześnie już sama konstrukcja art. 20 ust. 2 pokazuje istotną asymetrię. Stwierdzenie podwyższonego ryzyka prowadzi do obowiązku zastosowania EDD, natomiast stwierdzenie niższego ryzyka jedynie otwiera możliwość zastosowania SDD. Bank nie ma więc symetrycznej swobody po obu stronach skali ryzyka. Wynik oceny podwyższonego ryzyka wywołuje obowiązkową konsekwencję, podczas gdy niższe ryzyko pozwala na złagodzenie sposobu wykonania obowiązku, ale samo w sobie tego nie wymusza.

Trzecim poziomem jest zatem kalibracja środków. Samo zakwalifikowanie klienta jako klienta niższego lub podwyższonego ryzyka nie przesądza jeszcze automatycznie o całym zestawie działań, które powinny zostać zastosowane. W przypadku EDD art. 34 ust. 4 wymaga środków proporcjonalnych do zidentyfikowanego podwyższonego ryzyka i wskazuje katalog możliwych działań obejmujący między innymi pozyskanie dodatkowych informacji o kliencie i beneficjencie rzeczywistym, badanie źródła środków i majątku, pozyskanie informacji o przyczynach transakcji czy zwiększenie intensywności monitorowania. W tym miejscu podejście oparte na ryzyku pełni inną funkcję niż przy samej klasyfikacji relacji. Nie chodzi już o odpowiedź na pytanie, czy występuje ryzyko podwyższone, lecz o ustalenie, jakie środki rzeczywiście odpowiadają charakterowi tego ryzyka. Dwie relacje sklasyfikowane na tym samym ogólnym poziomie mogą wymagać różnych reakcji. Podwyższone ryzyko wynikające z nieprzejrzystej struktury właścicielskiej uzasadniać może przede wszystkim dodatkowe działania służące zrozumieniu własności i kontroli. Podwyższone ryzyko związane ze sposobem prowadzenia transakcji może wymagać przede wszystkim intensywniejszego monitorowania. Wysokość ryzyka określa więc jedynie część problemu. Dla wyboru środka znaczenie ma także jego źródło i charakter. To pokazuje ograniczenia popularnego modelu, w którym klientowi przypisuje się wynik punktowy albo kategorię „niski”, „średni” lub „wysoki”, a następnie automatycznie wiąże z nią jednolity pakiet środków. Taka klasyfikacja może być użytecznym elementem systemu, lecz z samego AMLR nie wynika, że wynik zagregowany zastępuje analizę konkretnych czynników. W szczególności art. 34 ust. 4 odwołuje się do środków proporcjonalnych do zidentyfikowanego podwyższonego ryzyka, co wymaga zachowania związku pomiędzy przyczyną kwalifikacji a reakcją banku. 

Czwarty poziom dotyczy czasu i częstotliwości wykonywania obowiązków. Art. 26 AMLR dobrze pokazuje, że ryzyko może być parametrem temporalnym. Podmioty zobowiązane mają zapewniać aktualność dokumentów, danych i informacji dotyczących klienta, a okres pomiędzy aktualizacjami zależy od ryzyka związanego ze stosunkami gospodarczymi. Jednocześnie ustawodawca ustanawia granice zewnętrzne: w przypadku klientów podwyższonego ryzyka okres ten nie może przekraczać jednego roku, a w przypadku pozostałych klientów pięciu lat. Niezależnie od tych terminów określone zmiany dotyczące klienta powodują potrzebę wcześniejszego przeglądu. 

Piąty element architektury dotyczy sprzężenia zwrotnego pomiędzy monitoringiem a oceną ryzyka. Art. 26 ust. 1 nakazuje monitorować stosunki gospodarcze w taki sposób, aby transakcje pozostawały zgodne z wiedzą o kliencie, jego działalności i profilu ryzyka, a także aby możliwe było wykrywanie transakcji wymagających bardziej szczegółowej analizy. Monitoring korzysta więc z wcześniejszej oceny ryzyka, ale jednocześnie może dostarczyć informacji prowadzących do jej zmiany.  Relacja ta ma zasadnicze znaczenie dla rozumienia RBA jako procesu dynamicznego. Ocena ryzyka nie jest jednorazowym rozstrzygnięciem dokonanym przy nawiązaniu relacji, po którym bank jedynie wykonuje przypisany zestaw środków. Kolejne informacje mogą zmieniać zarówno ocenę klienta, jak i właściwą intensywność działań. Podejście oparte na ryzyku tworzy zatem cykl, w którym wcześniejsza ocena determinuje sposób monitorowania, a wyniki monitorowania mogą prowadzić do ponownej oceny i zmiany stosowanych środków.

Nie oznacza to jednak, że każdy element systemu AMLR został uzależniony od takiego cyklu. W rozporządzeniu występują również normy o bezpośrednich przesłankach zastosowania, które ograniczają znaczenie samodzielnej oceny ryzyka. Art. 34 ust. 2 nakazuje badać pochodzenie i przeznaczenie środków oraz cel wszystkich transakcji spełniających co najmniej jeden z wymienionych warunków, takich jak złożony charakter, nietypowo duża wartość, nietypowy sposób przeprowadzenia albo brak wyraźnego celu gospodarczego lub zgodnego z prawem. Jeżeli ustawowe przesłanki są spełnione, bank nie może zrezygnować z wymaganego działania tylko dlatego, że zagregowany wynik oceny klienta pozostaje niski.

Odrębnej uwagi wymaga ryzyko niewykonania ukierunkowanych sankcji finansowych i uchylania się od nich. Art. 10 AMLR obejmuje je oceną całej działalności, a art. 9 wiąże z odpowiednią organizacją strategii, procedur i środków kontroli. Sama sankcja ma jednak źródło we właściwym reżimie prawnym i jej zastosowanie po spełnieniu przesłanek nie zależy od apetytu banku na ryzyko. Art. 20 ust. 1 lit. d wymaga weryfikacji sankcyjnej w ramach CDD, zaś art. 26 ust. 4 przewiduje ponawianie tej weryfikacji z częstotliwością współmierną do ekspozycji na ryzyko oraz dodatkowo, w odniesieniu do instytucji kredytowych i finansowych, przy każdym nowym wpisie na listę sankcyjną. Parametrem ryzyka pozostaje zatem między innymi częstotliwość kontroli, a nie możliwość niewykonania wiążącego zakazu sankcyjnego.

Architektura AMLR okazuje się więc bardziej złożona niż prosty model, w którym bank identyfikuje ryzyko, a następnie swobodnie dobiera odpowiadające mu środki. Można wyróżnić co najmniej cztery funkcje ryzyka w konstrukcji norm prawnych: systemową, gdy ryzyko kształtuje organizację całego systemu; kwalifikacyjną, gdy wynik oceny prowadzi do określonego reżimu CDD; kalibracyjną, gdy wpływa na zakres i intensywność środków; oraz temporalną, gdy determinuje częstotliwość ich ponownego wykonywania. Te funkcje mogą nakładać się na siebie, ale nie powinny być utożsamiane. To prowadzi do istotnego wniosku dla dalszej analizy. Pytanie, czy AMLR pozostawia bankowi uznanie, nie może być rozstrzygane na poziomie całego systemu. Trzeba je zadawać w odniesieniu do konkretnego elementu normy. W jednej decyzji prawo może całkowicie przesądzić obowiązek działania, pozostawić częściową swobodę co do jego zakresu, odwołać się do profesjonalnej oceny faktów oraz pozostawić wybór sposobu technicznego wykonania. Wszystkie te elementy mogą występować jednocześnie.

Obszar związany – czego bank nie może „skalibrować ryzykiem”

Rdzeń związany prawem wynika przede wszystkim z art. 20 ust. 1 AMLR, obejmującego identyfikację i weryfikację klienta, beneficjenta rzeczywistego, ustalenie celu i charakteru relacji, weryfikację sankcyjną i PEP, ocenę działalności klienta oraz – w stosunkach gospodarczych – bieżące monitorowanie. Przepis przewiduje również działania dotyczące osób reprezentujących klienta i tych, na których rzecz podejmowana jest aktywność, gdy spełnione są odpowiednie przesłanki. Zakres poszczególnych środków podlega ocenie zgodnie z ust. 2, przy uwzględnieniu przewidzianych w art. 19 sytuacji szczególnych. Nie należy więc utożsamiać obowiązku stosowania wszystkich właściwych kategorii CDD z obowiązkiem wykonywania każdej czynności w identycznym zakresie w każdym stanie faktycznym. W odniesieniu do pełnego procesu CDD ocena niskiego ryzyka uzasadnia jedynie uproszczenia przewidziane prawem; nie daje bankowi uprawnienia do samodzielnego zniesienia podstawowych obowiązków. Zakres wymaganego działania zależy jednak także od tego, jakie środki i w jakiej sytuacji nakazuje zastosować art. 19 AMLR. Ustalenie rdzenia związanego wymaga więc łącznej wykładni art. 19, 20, 22 i 33 rozporządzenia.

Jeszcze wyraźniej granicę tę pokazuje przeciwna strona skali ryzyka. Zgodnie z art. 20 ust. 2 AMLR stwierdzenie podwyższonego ryzyka powoduje obowiązek zastosowania wzmożonych środków należytej staranności. Nie jest to możliwość pozostawiona decyzji banku. Sam wybór konkretnych środków może wymagać kalibracji, ale przejście do reżimu EDD po prawidłowym rozpoznaniu podwyższonego ryzyka ma charakter obowiązkowy. Oznacza to, że profesjonalny osąd banku może funkcjonować w dwóch kolejnych momentach, ale nie powinny być one mieszane. Najpierw bank dokonuje oceny, czy konkretna relacja rzeczywiście wiąże się z podwyższonym ryzykiem. Na tym etapie istnieje przestrzeń oceny faktów i czynników ryzyka. Jeżeli jednak prawidłowo przeprowadzona analiza prowadzi do takiej kwalifikacji, konsekwencja w postaci zastosowania EDD wynika już z prawa. Przestrzeń decyzyjna pojawia się ponownie przy ustalaniu, jakie środki wzmożone odpowiadają konkretnemu ryzyku. Podobny mechanizm występuje wtedy, gdy sam AMLR wiąże określony stan faktyczny z konkretnym obowiązkiem. Art. 34 ust. 2 nakazuje badać pochodzenie i przeznaczenie środków finansowych oraz cel wszystkich transakcji, które mają złożony charakter, nietypowo dużą wartość, są dokonywane w nietypowy sposób albo nie mają wyraźnego celu ekonomicznego lub celu zgodnego z prawem. 

Kolejny przykład stanowią skutki niemożności wykonania CDD. Na podstawie art. 21 ust. 1 AMLR bank, który nie jest w stanie zastosować środków z art. 20 ust. 1, powinien powstrzymać się od transakcji lub nawiązania relacji, zakończyć istniejące stosunki gospodarcze oraz rozważyć zgłoszenie do FIU. Przepis przewiduje jednocześnie dodatkowe zastrzeżenia odnoszące się m.in. do otrzymania należnych środków i ochrony aktywów klienta; nie można zatem sprowadzać jego skutków do bezwarunkowego obowiązku natychmiastowego rozporządzenia wszystkimi aktywami. Z perspektywy banku kluczowa pozostaje zasada, że niski poziom ryzyka ML/TF nie uzasadnia zaakceptowania niewykonania bezwzględnego obowiązku CDD. Również tutaj podejście oparte na ryzyku nie daje bankowi ogólnej możliwości uznania, że brak wymaganej informacji jest akceptowalny ze względu na niski profil ryzyka klienta albo atrakcyjność ekonomiczną relacji. Jeżeli brak uniemożliwia wykonanie obowiązkowego elementu CDD, prawo wiąże z tym określone konsekwencje. Ocena ryzyka może mieć znaczenie przy ustalaniu zakresu działań potrzebnych do spełnienia wymogu, ale nie przekształca prawnego obowiązku w ryzyko, które bank może po prostu zaakceptować.

To prowadzi do istotnego rozróżnienia pomiędzy ryzykiem ML/TF a ryzykiem niewykonania obowiązku AML/CFT. Pierwsze jest przedmiotem zarządzania w modelu RBA. Bank identyfikuje je, ocenia, rozumie i stosuje środki odpowiednie do jego poziomu i charakteru. Drugie powstaje wtedy, gdy instytucja nie wykonuje wymogu ustanowionego przez prawo. Nie można przenieść logiki zarządzania ryzykiem ML/TF na sam obowiązek zgodności i stwierdzić, że określone naruszenie jest akceptowalne, ponieważ prawdopodobieństwo materializacji ryzyka przestępczego jest niewielkie. Ta różnica jest szczególnie ważna przy projektowaniu apetytu na ryzyko. Bank może określać rodzaje klientów, produktów, sektorów albo jurysdykcji, wobec których jego gotowość do podejmowania ryzyka ML/TF jest ograniczona. Może też przyjąć, że określonych relacji ze względu na poziom ryzyka nie chce nawiązywać. Nie oznacza to jednak możliwości ustanowienia „apetytu” na niewykonywanie wymagań AMLR. Granice biznesowej akceptacji ryzyka funkcjonują wewnątrz ram prawnych, a nie zamiast nich.

Podobną konstrukcję widać w odniesieniu do bieżącego monitorowania i aktualizacji informacji. Art. 26 AMLR uzależnia okres pomiędzy aktualizacjami od ryzyka relacji, ale równocześnie ustanawia maksymalne okresy: jeden rok dla klientów podwyższonego ryzyka oraz pięć lat dla pozostałych klientów. Dodatkowo przewiduje sytuacje, w których zmiana istotnych okoliczności dotyczących klienta powoduje potrzebę wcześniejszego przeglądu i aktualizacji.

Postępująca harmonizacja na poziomie drugim będzie takich granic prawdopodobnie więcej doprecyzowywać. Art. 28 AMLR przewiduje, że regulacyjne standardy techniczne określą wymagania i informacje dotyczące standardowej, uproszczonej i wzmożonej należytej staranności, w tym minimalne wymogi w sytuacjach niższego ryzyka, oraz rodzaje uproszczonych środków, które podmioty zobowiązane mogą stosować.  Sam mandat legislacyjny jest tutaj znaczący. Skoro prawodawca wymaga określenia minimalnych wymogów także dla sytuacji niższego ryzyka, podejście oparte na ryzyku nie może być rozumiane jako mechanizm pozwalający bankowi samodzielnie wyznaczyć dowolnie niski poziom działania. RBA funkcjonuje ponad regulacyjnym minimum. Może różnicować zakres i intensywność w granicach, które zostaną wyznaczone przez AMLR i wiążący akt poziomu drugiego.

Z tej perspektywy obszar związany można uporządkować w kilku kategoriach. Pierwszą stanowią obowiązkowe elementy procesu, których bank nie może pominąć ze względu na niski poziom ryzyka. Drugą tworzą obowiązkowe konsekwencje określonego wyniku oceny, czego przykładem jest konieczność stosowania EDD po stwierdzeniu podwyższonego ryzyka. Trzecią są obowiązki uruchamiane bezpośrednio przez określone zdarzenie lub cechę stanu faktycznego, niezależnie od ogólnego profilu klienta. Czwartą tworzą granice liczbowe i czasowe, wewnątrz których ryzyko może być wykorzystywane do dalszej kalibracji. Ma to również znaczenie dla nadzoru i późniejszej oceny zgodności. Jeżeli bank nie wykona elementu należącego do rdzenia związanego, nie powinien bronić takiej decyzji wyłącznie argumentem, że jego ocena ryzyka wskazywała na niewielkie zagrożenie. W tym obszarze problemem nie jest jakość profesjonalnego osądu, ale zgodność z konkretnym obowiązkiem. Dopiero tam, gdzie AMLR pozostawia możliwość doboru zakresu, częstotliwości albo rodzaju środka, przedmiotem oceny staje się racjonalność zastosowania podejścia opartego na ryzyku.

Obszar oceny – gdzie AMLR nadal potrzebuje profesjonalnego osądu banku

Wyznaczenie prawnie związanego rdzenia obowiązków nie oznacza, że pozostała część procesu AML/CFT może zostać sprowadzona do mechanicznego wykonania szczegółowych reguł. AMLR w wielu miejscach określa rezultat, który bank powinien osiągnąć, wskazuje czynniki wymagające uwzględnienia albo ustanawia minimalne wymagania, nie przesądzając jednak w całości sposobu dojścia do prawidłowego rozstrzygnięcia. W tej przestrzeni istotne znaczenie zachowuje profesjonalny osąd podmiotu zobowiązanego. Pojęcie to wymaga odróżnienia od swobodnego uznania. Bank nie otrzymuje kompetencji do wyboru dowolnego rezultatu, który następnie może uzasadnić własną oceną ryzyka. Jego zadaniem jest ustalenie faktów, ich kwalifikacja według kryteriów prawnych, ocena znaczenia poszczególnych czynników ryzyka oraz dobór środków odpowiadających wynikowi tej analizy. Możliwe jest przy tym, że kilka sposobów działania pozostanie racjonalnych i zgodnych z prawem. Nie wynika z tego jednak dowolność, ponieważ każdy z nich musi prowadzić do realizacji celu określonego przez normę i pozostawać uzasadniony informacjami dostępnymi w konkretnym przypadku.

Art. 20 ust. 1 lit. b AMLR wymaga identyfikacji beneficjenta rzeczywistego i podjęcia racjonalnych środków w celu weryfikacji jego tożsamości, aby bank był przekonany, że wie, kto jest beneficjentem rzeczywistym, oraz rozumiał strukturę własności i kontroli klienta. Obowiązek nie sprowadza się do formalnego odczytania danych z jednego rejestru. Motyw 54 AMLR podkreśla, że centralny rejestr beneficjentów rzeczywistych powinien służyć weryfikacji spójności informacji, ale nie stanowić jej podstawowego źródła. Przepis wyznacza rezultat poznawczy, pozostawiając ocenę wystarczalności podjętych środków w konkretnych okolicznościach. „Racjonalne środki” muszą być oceniane w kontekście konkretnej struktury. W prostej spółce posiadającej jednego bezpośredniego właściciela wystarczający zakres weryfikacji może być inny niż w grupie obejmującej kilka jurysdykcji, podmioty pośrednie, trusty lub inne porozumienia prawne. Prawo wyznacza cel poznawczy – ustalenie rzeczywistej własności i kontroli – ale stopień koniecznej weryfikacji zależy od dostępnych informacji, złożoności struktury, wiarygodności źródeł i występujących niespójności. Motyw 54 AMLR wskazuje przy tym, że rejestr beneficjentów rzeczywistych nie powinien być głównym źródłem weryfikacji i że podmiot powinien korzystać z wiarygodnych dokumentów i źródeł informacji. 

Profesjonalny osąd dotyczy więc najpierw wystarczalności podstawy faktycznej. Bank musi ocenić, kiedy zgromadzone informacje pozwalają osiągnąć poziom wiedzy wymagany przez przepis, a kiedy istniejąca niepewność wymaga dalszych działań. Nie chodzi o osiągnięcie pewności absolutnej. Takiego standardu AMLR nie ustanawia i w wielu złożonych strukturach byłby on praktycznie niewykonalny. Chodzi o osiągnięcie takiego poziomu uzasadnionej pewności, który pozwala racjonalnie przyjąć, że obowiązek został wykonany. Podobna konstrukcja występuje przy ustalaniu celu i zamierzonego charakteru stosunków gospodarczych. Art. 25 AMLR wymaga, aby przed nawiązaniem relacji lub przeprowadzeniem transakcji sporadycznej podmiot zobowiązany upewnił się, że rozumie ich cel i zamierzony charakter. W tym celu „w razie potrzeby” uzyskuje informacje między innymi o ekonomicznym uzasadnieniu transakcji, szacowanej skali planowanej aktywności, źródle i przeznaczeniu środków oraz działalności gospodarczej lub zawodzie klienta. Również tutaj prawodawca nie tworzy jednego, identycznego pakietu danych dla wszystkich klientów. Wynik procesu jest określony: bank ma rozumieć relację. Sposób osiągnięcia tego rezultatu zależy jednak od sytuacji. W przypadku prostego produktu i klienta o oczywistym profilu działalności wiedza banku może wynikać w znacznej części z samego charakteru relacji oraz podstawowych informacji o kliencie. Przy bardziej złożonej działalności, dużych przepływach albo nietypowym modelu gospodarczym konieczne może być pozyskanie dodatkowych wyjaśnień. Zwrot „w razie potrzeby” wymaga więc oceny, czy bez dodatkowej informacji bank rzeczywiście jest zdolny osiągnąć wymagany stan wiedzy.

Trzeci wymiar profesjonalnego osądu dotyczy samej kwalifikacji ryzyka. AMLR wskazuje zmienne i czynniki, które należy uwzględnić, ale ich obecność nie zawsze prowadzi mechanicznie do jednego wyniku. Ten sam czynnik może mieć różne znaczenie zależnie od pozostałych okoliczności. Złożona struktura własności może być elementem zwiększającym ryzyko, ale jej znaczenie będzie inne w grupie międzynarodowej prowadzącej rzeczywistą działalność gospodarczą, a inne w strukturze nieposiadającej oczywistego uzasadnienia gospodarczego. Działalność w określonej jurysdykcji może wymagać zwiększonej uwagi, lecz nie musi przesądzać samodzielnie o końcowej klasyfikacji relacji. Ocena ryzyka jest zatem czymś więcej niż zsumowaniem wskaźników. Wymaga przypisania im znaczenia w konkretnym kontekście, zbadania wzajemnych zależności oraz ustalenia, czy określone okoliczności wzmacniają się, czy przeciwnie – dostępne informacje ograniczają początkową obawę. Model punktowy może wspierać ten proces, ujednolicać sposób postępowania i zmniejszać ryzyko arbitralności, ale nie powinien być utożsamiany z samym obowiązkiem oceny. AMLR wymaga analizy ryzyka relacji, a nie jedynie wygenerowania przez system określonej liczby.

Czwarty wymiar dotyczy doboru środka do rozpoznanego ryzyka. Art. 34 ust. 4 AMLR wymaga, aby w przypadkach podwyższonego ryzyka stosowane środki wzmożone pozostawały proporcjonalne do zidentyfikowanego ryzyka. Przepis wskazuje możliwe działania, między innymi pozyskanie dodatkowych informacji o kliencie i beneficjencie rzeczywistym, badanie źródła środków i majątku, ustalenie przyczyn transakcji czy zwiększenie intensywności monitorowania. Katalog ten pokazuje, że profesjonalny osąd nie kończy się na zaklasyfikowaniu klienta jako wysokiego ryzyka. Trzeba jeszcze ustalić, jaka reakcja odpowiada przyczynie tej kwalifikacji.

Piątym obszarem osądu jest bieżąca interpretacja zachowania klienta. Art. 26 ust. 1 AMLR wymaga monitorowania relacji w celu ustalenia, czy transakcje pozostają zgodne z wiedzą banku o kliencie, jego działalności gospodarczej i profilu ryzyka oraz – w razie potrzeby – z informacjami o pochodzeniu i przeznaczeniu środków. Monitoring ma również pozwalać identyfikować transakcje wymagające bardziej szczegółowej analizy.

Pojęcie zgodności transakcji z wiedzą o kliencie z natury ma charakter ocenny. Bank musi zbudować pewien obraz normalnego lub oczekiwanego sposobu korzystania z relacji, a następnie oceniać znaczenie odchyleń. Nietypowość nie jest właściwością transakcji istniejącą w oderwaniu od kontekstu. Ta sama kwota, kierunek płatności czy częstotliwość operacji mogą być naturalne dla jednego klienta i istotnie odbiegać od profilu innego. Skuteczność monitoringu zależy więc nie tylko od ustawienia progów technicznych, ale od jakości wcześniejszego poznania klienta i właściwego powiązania obserwowanego zachowania z profilem ryzyka. W procesach masowych część profesjonalnego osądu jest wykonywana już przy projektowaniu scenariuszy, reguł, parametrów i modeli, które pozwalają typować zdarzenia do dalszej analizy. Nie oznacza to potrzeby ręcznej oceny każdego pojedynczego odchylenia; automatyzacja przenosi część osądu na etap projektowania kontroli. Trzeba jednak oddzielić automatyczne wykrywanie sygnałów od decyzji wpływających na relację z klientem. Art. 76 ust. 5 AMLR wymaga znaczącej interwencji człowieka m.in. przy decyzjach o nawiązaniu, odmowie lub utrzymaniu relacji oraz zwiększaniu lub zmniejszaniu zakresu CDD, jeżeli decyzje te wynikają z procesów zautomatyzowanych, w tym wykorzystujących systemy AI. Przestrzeń wyboru narzędzia jest więc również ograniczona prawnie.

Wszystkie te sytuacje pozwalają wyróżnić co najmniej trzy warstwy profesjonalnego osądu. Pierwsza ma charakter poznawczy i dotyczy ustalenia, czy bank posiada wystarczające i wiarygodne informacje o kliencie i relacji. Druga ma charakter kwalifikacyjny i polega na ocenie znaczenia faktów dla poziomu ryzyka. Trzecia ma charakter reakcyjny i dotyczy doboru środków odpowiadających zidentyfikowanemu ryzyku. Warstwy te są powiązane, ale nie powinny być utożsamiane. Błąd może powstać na każdym z tych etapów niezależnie. Z tej perspektywy szczególnego znaczenia nabiera wymóg z art. 20 ust. 4 AMLR, zgodnie z którym podmioty zobowiązane muszą być w stanie wykazać organowi nadzoru, że zastosowane środki są odpowiednie do zidentyfikowanego ryzyka. Wymóg ten wskazuje, że profesjonalny osąd jest dopuszczalny właśnie dlatego, że podlega rekonstrukcji i ocenie. Nie wystarcza powołanie się na wewnętrzną politykę ani na wynik modelu ryzyka. Bank powinien być zdolny pokazać zależność pomiędzy faktami, oceną ryzyka i przyjętym sposobem działania.

Nie oznacza to konieczności sporządzania indywidualnego uzasadnienia prawnego każdej standardowej decyzji. W procesach masowych część uzasadnienia może zostać przeniesiona na poziom metodologii, polityki ryzyka, reguł decyzyjnych i konstrukcji systemu. Jeżeli określony zestaw cech klienta prowadzi do podwyższonej klasyfikacji i określonego pakietu środków, organizacja powinna wcześniej móc wykazać, dlaczego właśnie taka zależność została przyjęta. Indywidualizacja staje się natomiast szczególnie istotna tam, gdzie konkretny przypadek odbiega od scenariusza standardowego albo gdzie informacje wskazują w różne strony. Można wręcz postawić tezę, że wraz ze wzrostem harmonizacji zmienia się przedmiot profesjonalnego osądu. Bank w mniejszym stopniu będzie decydował, jakie podstawowe elementy systemu CDD sam chce uznać za konieczne. Coraz większą część minimum określą AMLR i akty poziomu drugiego. Pozostanie natomiast konieczność oceny, jak przepisy zastosować wobec konkretnego klienta, jak interpretować niejednoznaczne informacje, kiedy istniejące źródła dają wystarczającą podstawę do decyzji oraz jaki środek odpowiada rozpoznanemu ryzyku.

Granica tej przestrzeni przebiega tam, gdzie osąd przestaje być zastosowaniem kryteriów prawnych do konkretnej sytuacji, a zaczyna zastępować sam obowiązek. Bank może oceniać, jakie racjonalne środki są potrzebne do weryfikacji beneficjenta rzeczywistego, ale nie może uznać, że beneficjenta nie trzeba ustalać. Może oceniać zakres informacji niezbędnych do zrozumienia celu relacji, ale nie może zrezygnować z obowiązku jej zrozumienia. Może dobrać wzmożone środki odpowiadające konkretnemu ryzyku, ale nie może odstąpić od EDD po stwierdzeniu podwyższonego ryzyka.

Czy RTS-y i wytyczne AMLA wypierają podejście oparte na ryzyku?

Postępująca harmonizacja unijnego systemu AML/CFT może na pierwszy rzut oka prowadzić do wniosku, że podejście oparte na ryzyku stopniowo traci znaczenie. Im bardziej szczegółowo prawodawca określa informacje, które należy pozyskać, sposób ich weryfikacji, przesłanki stosowania środków uproszczonych i wzmożonych czy częstotliwość wykonywania określonych czynności, tym mniejsza wydaje się przestrzeń dla samodzielnej oceny banku. Szczególnego znaczenia nabiera przy tym poziom drugi regulacji. AMLR zawiera liczne mandaty dla AMLA do opracowania regulacyjnych standardów technicznych i wytycznych, które mają doprecyzować sposób wykonywania obowiązków określonych w samym rozporządzeniu. Dobrym przykładem jest mandat wynikający z art. 28 ust. 1 AMLR. Przepis przewiduje opracowanie regulacyjnych standardów technicznych określających między innymi wymagania i informacje potrzebne do stosowania standardowej, uproszczonej i wzmożonej należytej staranności, rodzaje uproszczonych środków możliwych do zastosowania w sytuacjach niższego ryzyka, wiarygodne i niezależne źródła informacji oraz określone wymagania dotyczące elektronicznej identyfikacji. Sam ustawodawca nakazuje przy tym, aby rozwiązania dotyczące CDD były budowane z uwzględnieniem między innymi nieodłącznego ryzyka usługi, kategorii klienta, charakteru i częstotliwości transakcji oraz kanału prowadzenia relacji. RBA nie pojawia się więc obok standardu technicznego, ale stanowi jedno z kryteriów jego konstrukcji.

Znaczenie ma jednak nie tylko deklarowany cel, lecz także treść finalnego projektu AMLA z 30 września 2026 r. W art. 1 projekt wprost nakazuje stosowanie RTS zgodnie z RBA i zasadą proporcjonalności. W części omawiającej konsultacje AMLA wyjaśnia, że ograniczała nadmierną kazuistykę, w tym interpretację wymagań jako sztywnej listy czynności; wprowadziła też punktowe zmiany dotyczące zakresu informacji i środków EDD. Świadczy to o zamiarze pogodzenia harmonizacji ze zróżnicowaniem decyzji, choć nie przesądza o ostatecznym brzmieniu aktu delegowanego przyjmowanego przez Komisję. Nie oznacza to oczywiście, że harmonizacja pozostaje neutralna dla zakresu decyzji banku. Ujednolicenie wymagań dotyczących identyfikacji, weryfikacji, beneficjenta rzeczywistego, PEP czy CDD usuwa część różnic wynikających wcześniej z krajowych praktyk i interpretacji. To, co dotychczas mogło być przedmiotem lokalnego standardu, wewnętrznej praktyki banku albo oczekiwania krajowego organu nadzoru, może zostać przesunięte na poziom jednolitego wymogu unijnego. W tym znaczeniu zmniejsza się swoboda normatywna banku i państwa członkowskiego.

Właśnie w ten sposób należy rozumieć relację pomiędzy poziomem pierwszym i drugim. AMLR określa obowiązek oraz podstawowe ramy jego wykonania. RTS może te ramy doprecyzować, wskazując elementy obligatoryjne lub dopuszczalne warianty. Podejście oparte na ryzyku działa następnie w tej przestrzeni, której prawo nie zamknęło. Nie można zatem wyprowadzać RBA ponad normę prawną i używać go jako uzasadnienia odstąpienia od wymogu określonego w RTS. Z drugiej strony nie powinno się również interpretować RTS w sposób prowadzący do zaniku tych elementów oceny, które sam AMLR świadomie pozostawia zależne od ryzyka. Dobrze ilustruje to uproszczona należyta staranność. W raporcie końcowym AMLA wyjaśnia, że analizowała możliwość dalszego uproszczenia CDD ponad rozwiązania z art. 33 AMLR, ale nie zidentyfikowała dodatkowych środków o zastosowaniu horyzontalnym, które można byłoby wprowadzić bez ustanowienia faktycznych wyłączeń wykraczających poza mandat z art. 28 ust. 1. Jednocześnie AMLA deklaruje gotowość do dalszych prac nad wskazówkami dotyczącymi stosowania SDD. Przykład pokazuje, że poziom drugi powinien konkretyzować, a nie zmieniać zakres obowiązków wynikających z AMLR.

Podobna zależność pojawia się przy wzmożonych środkach należytej staranności. AMLR określa przypadki, w których ich zastosowanie jest obowiązkowe, oraz wskazuje możliwe środki. Poziom drugi może dalej doprecyzować określone informacje i wymagania, ale nie powinien przekształcać konstrukcji proporcjonalności w automatyczny katalog działań wykonywanych zawsze w identyczny sposób. Jeżeli źródła podwyższonego ryzyka są różne, identyczny pakiet działań wobec wszystkich klientów wysokiego ryzyka byłby trudny do pogodzenia z funkcją art. 34 ust. 4 AMLR, który wymaga środków proporcjonalnych do zidentyfikowanego ryzyka. Szczególne znaczenie ma odejście przez AMLA od traktowania RTS jako sztywnej listy czynności. W finalnym raporcie podkreślono, że zakres danych, dokumentów i działań powinien odpowiadać konkretnemu ryzyku, a nie wynikać z automatycznie stosowanej checklisty. Ta korekta projektu wzmacnia argument, że nadmierne uszczegółowienie mogłoby osłabić jakość RBA: instytucja koncentrowałaby się na formalnym wykonaniu katalogu, zamiast na ocenie funkcji zastosowanego środka. Nadal jest to jednak argument odnoszący się do projektu RTS i intencji AMLA, a nie do gotowego obowiązku prawnego.

Odrębną funkcję pełnią wytyczne AMLA. Przykładem są prace nad wytycznymi dotyczącymi bieżącego monitorowania na podstawie art. 26 ust. 5 AMLR: projekt poddano konsultacjom od 3 czerwca do 3 września 2026 r. Wytyczne mogą doprecyzować interpretację pojęć ocennych i oczekiwania co do procesu, a przez to zwiększyć przewidywalność oceny nadzorczej. Ich status trzeba jednak odróżniać zarówno od obowiązujących przepisów AMLR, jak i od przyjętego rozporządzenia delegowanego zawierającego RTS. Wytyczne różnią się jednak od przyjętego aktu delegowanego zawierającego RTS. Nie tworzą w ten sam sposób wiążącego, bezpośrednio stosowanego katalogu obowiązków. Ich znaczenie praktyczne może mimo to być bardzo duże, ponieważ będą kształtować sposób rozumienia pojęć ocennych, oczekiwania nadzorcze i kryteria, według których oceniane będą rozwiązania przyjmowane przez banki. Właśnie w tym obszarze pojawia się ryzyko swoistego „utwardzenia” podejścia opartego na ryzyku poprzez praktykę nadzorczą.

To właśnie na styku RBA i praktyki nadzorczej może powstać największe napięcie. Formalnie prawo pozostawia bankowi możliwość doboru środka, lecz w praktyce instytucja może być skłonna wybierać rozwiązanie najbliższe oczekiwaniu wyrażonemu w wytycznych, ponieważ jest ono łatwiejsze do obrony wobec organu nadzoru. W efekcie kilka teoretycznie dopuszczalnych rozwiązań może zostać zredukowanych do jednego rozwiązania postrzeganego jako „bezpieczne nadzorczo”. Można więc rozróżnić dwa efekty harmonizacji. Pierwszy to uzasadnione ograniczenie swobody, gdy przepisy lub RTS ustalają wspólne minimum albo eliminują rozbieżne praktyki dotyczące elementów, które powinny być wykonywane jednolicie. Drugi to potencjalne wypieranie RBA, gdy interpretacja standardu lub wytycznych prowadzi do mechanicznego stosowania identycznych środków mimo różnic w charakterze ryzyka. Pierwszy efekt jest założeniem single rulebook. Drugi należałoby oceniać krytycznie z perspektywy samej konstrukcji AMLR.

Finalny projekt RTS z art. 28 ust. 1 dostarcza argumentu przeciwko tezie o nieuchronnym zaniku RBA: AMLA wprost akcentuje proporcjonalność, neutralność technologiczną i zachowanie wyboru tam, gdzie AMLR rzeczywiście go pozostawia. Zarazem jest to wyłącznie materiał z określonego etapu prac regulacyjnych. Ostateczna granica obowiązków będzie wynikała z AMLR oraz treści standardu przyjętego przez Komisję, a znaczenie wytycznych i praktyki nadzorczej należy oceniać osobno. Z punktu widzenia banku oznacza to również zmianę charakteru odpowiedzialności za decyzję. W obszarach coraz dokładniej uregulowanych trudniej będzie uzasadniać odstępstwo ogólnym powołaniem się na własną ocenę ryzyka. Tam natomiast, gdzie regulacja pozostawia wybór, rośnie znaczenie zdolności wykazania, dlaczego określony środek był właściwy wobec konkretnego ryzyka. Im bardziej precyzyjnie prawo definiuje ramy działania, tym bardziej ocena banku przesuwa się z projektowania samego obowiązku w stronę kwalifikacji faktów, kalibracji środków i dokumentowania związku pomiędzy ryzykiem a reakcją.

Czy bank może zawsze zrobić więcej? Granice regulacyjnego konserwatyzmu

Podejście oparte na ryzyku jest zwykle analizowane od strony ryzyka niedostatecznego działania. Pytanie brzmi wtedy, czy bank prawidłowo rozpoznał podwyższone ryzyko, zastosował odpowiednio wzmożone środki i zgromadził wystarczające informacje. Z perspektywy odpowiedzialności regulacyjnej naturalna jest więc tendencja do przyjmowania, że rozwiązanie bardziej restrykcyjne pozostaje bezpieczniejsze. Jeżeli powstaje wątpliwość, można uzyskać dodatkowy dokument, zwiększyć częstotliwość monitorowania, rozszerzyć analizę źródła majątku albo zrezygnować z relacji z klientem. Taki kierunek zmniejsza ryzyko zarzutu, że instytucja zrobiła za mało, ale rodzi pytanie, czy podejście oparte na ryzyku pozwala zawsze zrobić więcej. AMLR nie uzasadnia założenia, że rozwiązanie bardziej restrykcyjne jest automatycznie bardziej prawidłowe. Art. 20 ust. 4 wymaga wykazania odpowiedniości środków do rozpoznanych ryzyk ML/TF, co stanowi argument za badaniem również funkcjonalnego sensu ich intensyfikacji. Nie należy jednak odczytywać tego przepisu jako samoistnego i nieograniczonego zakazu stosowania środków ostrzejszych niż typowe. Granice takiego działania wynikają również z innych norm, zwłaszcza zasady minimalizacji danych (art. 5 ust. 1 lit. c RODO), celu przetwarzania (art. 76 AMLR) oraz wymogu proporcjonalności. Zbyt szeroki zakres pozyskiwanych danych może więc rodzić odrębne problemy prawne, nawet jeżeli bank przedstawia go jako przejaw ostrożności AML/CFT.

Problem staje się szczególnie widoczny w odniesieniu do klientów niższego ryzyka. Art. 33 AMLR pozwala w takich przypadkach zastosować uproszczone środki należytej staranności, między innymi poprzez zmniejszenie częstotliwości aktualizacji danych, ograniczenie zakresu informacji dotyczących celu i zamierzonego charakteru relacji albo zmniejszenie częstotliwości lub stopnia kontroli transakcji. Jednocześnie przepis zachowuje wymóg monitorowania na poziomie umożliwiającym wykrywanie transakcji nietypowych lub podejrzanych.  Art. 33 ust. 1 AMLR posługuje się konstrukcją „mogą stosować”: niższe ryzyko otwiera możliwość skorzystania z SDD, ale samo w sobie nie nakazuje zastosowania każdego uproszczenia wobec konkretnego klienta. Bank może pozostać przy standardowym środku, jeżeli jest to uzasadnione. Jednocześnie art. 33 ust. 2 wymaga, aby procedury wewnętrzne przewidywały konkretne uproszczone środki należytej staranności dla poszczególnych rodzajów klientów o niższym ryzyku. Dlatego indywidualna rezygnacja z uproszczenia nie może być utożsamiana z systemowym pominięciem SDD. Model, który z góry zakłada identyczną intensywność kontroli wobec wszystkich klientów niezależnie od ryzyka, wymagałby odrębnej oceny na tle art. 33 ust. 2 oraz zasad RBA i proporcjonalności.

W tym miejscu pojawia się istotne rozróżnienie pomiędzy ostrożnością a konserwatyzmem regulacyjnym. Ostrożność oznacza przyjęcie silniejszych środków wtedy, gdy szczególne cechy relacji, niepewność albo możliwy skutek błędu uzasadniają większą intensywność kontroli. Konserwatyzm regulacyjny polega natomiast na przyjmowaniu silniejszego środka przede wszystkim dlatego, że jego zastosowanie wydaje się łatwiejsze do obrony wobec nadzorcy. W pierwszym przypadku intensywność wynika z oceny ryzyka. W drugim zaczyna zastępować tę ocenę. AMLR zawiera wyraźny sygnał przeciwko takiemu mechanizmowi w odniesieniu do odmowy świadczenia usług. W motywie 53 prawodawca odnosi się do organizacji społeczeństwa obywatelskiego działających między innymi w jurysdykcjach podwyższonego ryzyka. Sam charakter takiej jurysdykcji nie powinien prowadzić do odmowy lub zakończenia świadczenia usług finansowych. Wymagana jest całościowa ocena ryzyka konkretnej relacji i zastosowanie środków odpowiadających szczególnym ryzykom. Rozporządzenie jednocześnie potwierdza swobodę instytucji kredytowych i finansowych w decydowaniu, z kim nawiązują stosunki umowne, ale wskazuje, że powodów AML/CFT nie należy używać do uzasadniania decyzji, które w rzeczywistości mają charakter handlowy. 

Rozróżnienie to ma szersze znaczenie niż szczególny przypadek organizacji społeczeństwa obywatelskiego. Bank może mieć własny apetyt na ryzyko i podejmować decyzje gospodarcze dotyczące segmentów, produktów albo typów klientów, z którymi chce prowadzić działalność. Nie każda odmowa nawiązania relacji jest więc problemem AML/CFT. Jeżeli jednak uzasadnieniem decyzji ma być właśnie ryzyko ML/TF, podejście oparte na ryzyku wymaga ustalenia tego ryzyka w odniesieniu do konkretnej sytuacji oraz oceny możliwości jego ograniczenia. Ogólna kategoria klienta lub pojedynczy czynnik ryzyka nie powinny automatycznie zastępować tej analizy. Nie oznacza to również obowiązku zaakceptowania każdego ryzyka. AMLR przewiduje sytuacje, w których zakończenie albo odmowa relacji stają się konsekwencją prawną. Art. 21 ust. 1 stanowi, że jeżeli podmiot zobowiązany nie jest w stanie zastosować wymaganych środków CDD z art. 20 ust. 1, powinien powstrzymać się od przeprowadzenia transakcji lub nawiązania stosunków gospodarczych, zakończyć istniejące stosunki oraz rozważyć zgłoszenie podejrzanej transakcji do FIU. W takim przypadku decyzja o odmowie nie wynika już z konserwatywnego wyboru banku, lecz z normatywnej konsekwencji niemożności wykonania obowiązku.

W praktyce ma to zasadnicze znaczenie dla projektowania procedur. Jeżeli przypisanie kategorii wysokiego ryzyka powoduje automatycznie zastosowanie pełnego, maksymalnego zestawu EDD niezależnie od przyczyny tej kwalifikacji, ryzyko przestaje pełnić funkcję kalibracyjną. Klasyfikacja nadal istnieje, ale służy jedynie uruchomieniu z góry określonego pakietu. Tymczasem AMLR odwołuje się do środków proporcjonalnych do zidentyfikowanego podwyższonego ryzyka, co przemawia za zachowaniem związku pomiędzy konkretnym czynnikiem, oceną jego znaczenia i zastosowanym środkiem. Nie oznacza to zakazu standaryzacji. W banku prowadzącym działalność masową nie byłoby racjonalne dokonywanie całkowicie indywidualnego wyboru każdego środka wobec każdego klienta. Procedury mogą z góry wiązać określone scenariusze ryzyka z określonym zestawem działań. RBA wymaga jednak, aby sama architektura takich reguł była uzasadniona ryzykiem oraz umożliwiała reakcję na przypadki, w których standardowy zestaw okazuje się niewystarczający albo nadmierny. Standaryzacja jest sposobem wykonywania profesjonalnego osądu na poziomie projektowania procesu, a nie jego eliminacją.

W tym sensie szczególne znaczenie ma rozliczalność. Jeżeli art. 20 ust. 4 wymaga wykazania odpowiedniości środków względem ryzyka, bank powinien być w stanie uzasadnić nie tylko decyzję o eskalacji, ale również logikę utrzymywania określonego poziomu kontroli. Z upływem czasu pierwotny czynnik ryzyka może przestać mieć tę samą wagę. Uzasadnienie zastosowania środka w chwili jego uruchomienia nie musi automatycznie uzasadniać utrzymywania go przez cały okres relacji. Nie należy z tego wyprowadzać zasady minimalnej ingerencji, która nakazywałaby bankowi wybierać zawsze najłagodniejszy możliwy środek. System AML/CFT ma zapewniać skuteczne zarządzanie ryzykiem, a w sytuacji rzeczywistej niepewności wybór bardziej ostrożnego wariantu może być racjonalny. Istotne jest jednak, aby ostrożność wynikała z oceny ryzyka, jakości dostępnych informacji i możliwych skutków błędu, a nie z założenia, że rozwiązanie bardziej restrykcyjne jest z definicji bardziej zgodne z prawem.

W konsekwencji RBA można przypisać dwie granice oceny. Dolną tworzą wiążące wymogi AMLR i obowiązek zastosowania środków wystarczających do zarządzania ryzykiem. Górnej nie da się wyrazić jako zamkniętego maksimum dopuszczalnych działań. Jej znaczenie ujawnia się w wymogu funkcjonalnego uzasadnienia dodatkowej ingerencji, w proporcjonalności oraz – w odniesieniu do przetwarzania informacji – w zasadzie minimalizacji danych. Konstrukcja ta pozwala krytycznie oceniać zarówno niedostateczną reakcję, jak i nieuzasadniony regulacyjny konserwatyzm, bez tworzenia zasady obowiązkowego wyboru zawsze najłagodniejszego środka. Prowadzi to do szerszej konsekwencji dla modelu uznania po AMLR. Przestrzeń pozostawiona bankowi nie jest przestrzenią swobodnego zaostrzania obowiązków. Jest przestrzenią odpowiedzialnego różnicowania środków w granicach wyznaczonych przez normę. Bank może przyjąć rozwiązanie bardziej ostrożne, ale im dalej odchodzi ono od standardu wynikającego z rozpoznanego ryzyka, tym silniejsze powinno być uzasadnienie takiej decyzji.

Model granic uznania banku po AMLR

Przeprowadzona dotychczas analiza pokazuje, że pojęcie „uznania banku” nie opisuje jednej, jednolitej przestrzeni decyzyjnej. W ramach tego samego procesu AML/CFT występują decyzje, których rezultat został w znacznej mierze przesądzony przez normę prawną, decyzje polegające na dostosowaniu zakresu lub intensywności środka do ryzyka, oceny wymagające profesjonalnego osądu oraz wybory dotyczące technicznego lub organizacyjnego sposobu wykonania obowiązku. Posługiwanie się wobec wszystkich tych sytuacji jednym określeniem „podejście oparte na ryzyku” zaciera różnice istotne zarówno dla projektowania systemu AML/CFT, jak i późniejszej oceny prawidłowości jego działania. Dla uporządkowania tych sytuacji zasadne jest wyróżnienie czterech rodzajów przestrzeni decyzyjnej: rdzenia związanego prawem, przestrzeni kalibracji opartej na ryzyku, przestrzeni profesjonalnego osądu oraz przestrzeni wyboru operacyjnego. Nie są to kolejne etapy jednego procesu ani rozłączne kategorie poszczególnych obowiązków. W ramach jednej decyzji mogą występować wszystkie cztery elementy. Model ma służyć ustaleniu, czego dokładnie dotyczy swoboda banku oraz według jakiego standardu powinna być później oceniana.

Rdzeń związany prawem obejmuje elementy, w których norma przesądza istnienie obowiązku albo minimalną konsekwencję prawną. Przykładem jest pełny zestaw środków CDD z art. 20 ust. 1 AMLR, stosowany w przypadkach wymagających go na podstawie art. 19. Ocena ryzyka wpływa wówczas na zakres lub sposób realizacji poszczególnych środków, z uwzględnieniem ustawowych uproszczeń. Nie pozwala jednak bankowi samodzielnie usunąć identyfikacji klienta lub beneficjenta rzeczywistego z właściwego procesu tylko dlatego, że relacja została uznana za niskiego ryzyka. Do tej samej kategorii należą ustawowe minima dotyczące danych identyfikacyjnych. Art. 22 AMLR określa informacje, które co najmniej należy pozyskać w celu identyfikacji klienta i innych wskazanych osób, z zastrzeżeniem szczególnych rozwiązań dla sytuacji niższego ryzyka. Bank może organizować sposób ich uzyskania i weryfikacji, ale nie może samodzielnie zastąpić wskazanego przez prawodawcę minimum własnym katalogiem uznanym za wystarczający.  Podobną konstrukcję można dostrzec przy EDD. Jeżeli powstaje sytuacja podwyższonego ryzyka objęta art. 34 ust. 1 AMLR, zastosowanie wzmożonych środków należytej staranności staje się obowiązkowe. Przestrzeń oceny może istnieć przy wcześniejszym ustaleniu, czy dana sytuacja rzeczywiście wiąże się z podwyższonym ryzykiem, a następnie przy doborze odpowiednich środków. Nie obejmuje natomiast możliwości stwierdzenia, że bank rozpoznał podwyższone ryzyko, ale mimo to pozostanie przy standardowym poziomie należytej staranności. 

Drugą kategorią jest przestrzeń kalibracji opartej na ryzyku. Tutaj norma określa obowiązek, jego cel oraz granice dopuszczalnego działania, ale pozostawia bankowi możliwość dostosowania określonych parametrów procesu do charakteru i poziomu ryzyka. Najbardziej bezpośrednim przykładem jest art. 20 ust. 2 AMLR, który wymaga ustalania zakresu środków CDD na podstawie indywidualnej analizy ryzyka klienta i relacji, z uwzględnieniem oceny obejmującej całą działalność oraz wskazanych przez prawodawcę zmiennych i czynników ryzyka. Kalibracja może dotyczyć różnych wymiarów działania. Art. 33 AMLR pozwala w sytuacjach niższego ryzyka między innymi zmniejszyć częstotliwość aktualizacji danych, ograniczyć ilość informacji potrzebnych do ustalenia celu i zamierzonego charakteru relacji czy zmniejszyć częstotliwość lub intensywność kontroli transakcji. Jednocześnie rozporządzenie pozostawia minimalny poziom monitorowania konieczny do wykrywania transakcji nietypowych lub podejrzanych. W przypadku ryzyka podwyższonego art. 34 ust. 4 pozwala natomiast dobierać środki wzmożone odpowiednie do konkretnego rodzaju ryzyka, w tym pozyskiwać dodatkowe informacje, badać źródło środków i majątku albo zwiększać intensywność monitorowania. W tym sensie kalibracja wymaga relacji pomiędzy trzema elementami: zidentyfikowanym ryzykiem, wybranym środkiem i oczekiwanym efektem tego środka. To właśnie ta relacja odróżnia prawidłowo stosowane RBA od mechanizmu, w którym wynik punktowy klienta automatycznie uruchamia szeroki pakiet dodatkowych działań bez analizy ich związku z konkretnymi źródłami ryzyka.

Trzecią kategorią jest przestrzeń profesjonalnego osądu. Jest ona najbardziej podatna na pomylenie z uznaniem w ścisłym sensie. Bank musi w wielu sytuacjach ocenić fakty, których znaczenie nie zostało i nie może zostać całkowicie przesądzone przez prawodawcę. Musi ustalić, czy struktura własności i kontroli została rzeczywiście zrozumiana, czy dana okoliczność zwiększa ryzyko, czy wyjaśnienie klienta jest spójne z posiadaną wiedzą, czy źródło informacji jest wystarczająco wiarygodne albo czy całokształt czynników uzasadnia zakwalifikowanie relacji jako podwyższonego ryzyka. Nie jest to jednak swoboda wyboru dowolnego wyniku. Profesjonalny osąd odbywa się w ramach kryteriów prawnych. Art. 20 ust. 2 nakazuje uwzględniać określone grupy zmiennych i czynników ryzyka, art. 34 ust. 3 wymaga uwzględnienia co najmniej czynników potencjalnie podwyższonego ryzyka, wytycznych AMLA, informacji FIU oraz wyników oceny całej działalności, a art. 10 wskazuje minimalne źródła wykorzystywane przy ocenie ryzyka podmiotu. Znaczenie tego rozróżnienia dobrze pokazuje proces ustalania beneficjenta rzeczywistego. Sam obowiązek identyfikacji beneficjenta oraz podjęcia racjonalnych środków jego weryfikacji wynika z art. 20 ust. 1 lit. b AMLR i należy do rdzenia związanego prawem. Ocena, czy określone dokumenty i informacje pozwalają bankowi uznać, że wie, kto jest beneficjentem rzeczywistym i rozumie strukturę własności i kontroli, wymaga już profesjonalnego osądu. Jeżeli struktura okazuje się skomplikowana albo informacje pozostają niespójne, ryzyko może następnie uzasadniać kalibrację poprzez pogłębienie zakresu weryfikacji. W jednym procesie występują więc jednocześnie trzy odmienne rodzaje decyzji.

Czwartą kategorię stanowi przestrzeń wyboru operacyjnego. Dotyczy ona sposobu organizacyjnego, technologicznego lub procesowego, za pomocą którego bank osiąga wymagany prawem rezultat. Prawo może wymagać weryfikacji określonej informacji, ale nie zawsze przesądza, czy bank wykorzysta w tym celu określoną bazę danych, własny system informatyczny, zewnętrznego dostawcę, proces manualny czy rozwiązanie hybrydowe. Może określać wymagany efekt monitorowania, pozostawiając instytucji wybór architektury modeli, scenariuszy i reguł zapewniających jego osiągnięcie. Granice wyboru operacyjnego wyznacza przede wszystkim wymagany rezultat. Jeżeli wybrana technologia nie pozwala uzyskać wymaganych informacji, nie zapewnia właściwej aktualizacji danych albo generuje poziom błędów podważający zdolność skutecznego monitorowania, fakt pozostawienia technologii do decyzji banku nie chroni rozwiązania przed oceną jako nieadekwatne. Swoboda środka nie jest swobodą co do skutku.

Przyszły wiążący RTS może dodatkowo przesunąć granicę między kalibracją a wyborem operacyjnym. Art. 28 AMLR przewiduje doprecyzowanie m.in. informacji potrzebnych do CDD, rodzajów uproszczonych środków, wiarygodnych i niezależnych źródeł informacji oraz wymogów identyfikacji elektronicznej. Rozwiązanie dziś pozostawione projektowaniu banku może więc po przyjęciu aktu delegowanego zostać objęte prawnie związanym minimum. Do tego czasu projekt AMLA wskazuje kierunek prac, lecz nie wyznacza samodzielnie nowego standardu obowiązującego. Model czterech przestrzeni nie powinien być więc traktowany jako statyczna mapa AMLR. Granice poszczególnych kategorii zależą od stopnia szczegółowości norm obowiązujących na danym etapie. Rozwój regulacyjnych standardów technicznych i wytycznych może zawężać obszar wyboru operacyjnego albo precyzować ramy profesjonalnego osądu, nie eliminując przy tym samego RBA. Harmonizacja może przede wszystkim zmieniać miejsce, w którym decyzja pozostaje po stronie banku.

Szczególne znaczenie ma fakt, że opisane przestrzenie często występują jednocześnie w jednym przypadku. Można to zilustrować przykładem nowej relacji z przedsiębiorstwem o rozbudowanej strukturze właścicielskiej. Bank jest zobowiązany do identyfikacji klienta i beneficjenta rzeczywistego; ten element należy do rdzenia związanego prawem. Następnie musi ocenić, czy przedstawiona struktura pozwala rzeczywiście ustalić własność i kontrolę oraz jakie znaczenie mają określone cechy klienta dla ryzyka; jest to profesjonalny osąd. Jeżeli analiza wskazuje na podwyższone ryzyko, bank musi zastosować EDD, ale dobór dodatkowych dokumentów, zakres badania źródła majątku czy intensywność monitorowania stanowią już kalibrację. Ostatecznie bank wybiera źródła danych, narzędzia informatyczne, podział zadań i sposób dokumentowania procesu; jest to wybór operacyjny. Jeżeli mimo tych działań nie można wykonać wymaganych środków CDD, ponownie uruchamia się związana konsekwencja wynikająca z art. 21 AMLR. Model pozwala również oddzielić podejście oparte na ryzyku od apetytu na ryzyko instytucji. Bank może w ramach strategii gospodarczej nie chcieć obsługiwać określonych kategorii ryzyka albo może ustalić bardziej konserwatywny poziom ich akceptacji. Taka decyzja biznesowa nie zmienia jednak normatywnego znaczenia RBA. Apetyt na ryzyko nie może znosić obowiązków bezwzględnych ani zastępować kwalifikacji dokonywanej według AMLR. Równocześnie przyjęcie bardzo niskiej tolerancji na ryzyko nie oznacza automatycznie, że każdy bardziej restrykcyjny środek staje się proporcjonalny.

Nie oznacza to jednak, że poszczególnym kategoriom odpowiada po prostu rosnący poziom „dowolności”. Profesjonalny osąd może wymagać znacznie silniejszego uzasadnienia niż rutynowy wybór operacyjny, mimo że prawo nie przesądza jego wyniku. Kalibracja środków może natomiast zostać pozostawiona bankowi w szerokim zakresie, ale musi pozostać proporcjonalna do konkretnego ryzyka. Z tego powodu zakres przestrzeni decyzyjnej i standard jej kontroli są dwiema odrębnymi kwestiami. Model czterech przestrzeni prowadzi więc do wniosku istotnego dla całego artykułu. AMLR nie eliminuje decyzji banku przez szczegółową harmonizację, ale porządkuje i zawęża miejsca, w których decyzja ta może oddziaływać na treść obowiązku. Podejście oparte na ryzyku zachowuje znaczenie przede wszystkim w przestrzeni kwalifikacji i kalibracji, profesjonalny osąd pozostaje konieczny przy stosowaniu otwartych kryteriów do niepełnego stanu faktycznego, a wybór operacyjny pozwala bankowi dostosowywać architekturę wykonania obowiązku. Żadna z tych przestrzeni nie pozwala natomiast na odstąpienie od rdzenia obowiązków przesądzonych bezpośrednio przez AMLR.

Kontrola nadzorcza i problem oceny ex post

Przestrzeń pozostawiona bankowi przez podejście oparte na ryzyku ma znaczenie praktyczne tylko wtedy, gdy odpowiada jej właściwy sposób późniejszej kontroli. Jeżeli prawo dopuszcza różnicowanie środków zależnie od ryzyka, lecz nadzór ocenia każdą decyzję wyłącznie przez pryzmat późniejszego rezultatu i przyjmuje, że prawidłowy był zawsze wariant najbardziej ostrożny, formalnie zachowane RBA może w praktyce zostać zastąpione modelem defensywnym. Bank zachowuje wówczas możliwość dokonania oceny, ale ekonomicznie i nadzorczo racjonalne staje się systematyczne wybieranie rozwiązania najbardziej restrykcyjnego. AMLR wyraźnie łączy przestrzeń oceny z obowiązkiem rozliczalności. Zgodnie z art. 20 ust. 4 podmiot zobowiązany musi być w każdej chwili zdolny wykazać podmiotowi sprawującemu nadzór, że zastosowane środki są odpowiednie w świetle zidentyfikowanych ryzyk ML/TF. Przepis ten należy odczytywać razem z art. 20 ust. 2, który pozostawia bankowi ustalenie zakresu środków CDD na podstawie indywidualnej analizy ryzyka. Ustawodawca najpierw dopuszcza zróżnicowanie działania, a następnie wymaga zdolności uzasadnienia dokonanej kalibracji. 

Nie oznacza to powstania po stronie banku swobody wyłączonej spod kontroli. Przeciwnie, tam gdzie prawo pozostawia przestrzeń profesjonalnej oceny, przedmiot kontroli staje się bardziej złożony. Organ nadzoru powinien ustalić nie tylko, jaki środek ostatecznie zastosowano, lecz również czy bank prawidłowo zidentyfikował relewantne czynniki ryzyka, korzystał z odpowiednich informacji, uwzględnił wymagane źródła, właściwie ocenił ich znaczenie oraz zachował racjonalny związek pomiędzy rozpoznanym ryzykiem a przyjętym sposobem działania. Podstawowym zagrożeniem dla kontroli decyzji opartych na ryzyku jest ich ocena z wykorzystaniem informacji, których bank nie posiadał w chwili podejmowania decyzji. Problem ten jest szczególnie widoczny wtedy, gdy ryzyko rzeczywiście się materializuje. Jeżeli po kilku latach okazuje się, że klient wykorzystywał rachunek do prania pieniędzy, niezwykle łatwo odczytać wcześniejsze zdarzenia jako sygnały, które „powinny były” prowadzić do podwyższenia ryzyka, zastosowania dodatkowych środków albo zakończenia relacji.

Taka analiza może być uzasadniona, ale nie może rozpoczynać się od założenia, że późniejszy rezultat dowodzi wadliwości wcześniejszej decyzji. Podejście oparte na ryzyku zakłada możliwość materializacji ryzyka pomimo zastosowania prawidłowych środków. Gdyby zgodność procesu można było oceniać wyłącznie przez jego wynik, obowiązek zarządzania ryzykiem zostałby w praktyce przekształcony w gwarancję niewystąpienia zdarzenia niepożądanego. Przedmiotem kontroli powinien być przede wszystkim proces prowadzący do decyzji oraz zgodność zastosowanych środków z ryzykiem możliwym do rozpoznania w chwili działania. Rezultat ex post pozostaje istotną informacją, ale pełni inną funkcję. Może służyć do weryfikacji modeli, zmiany wag czynników ryzyka, kalibracji scenariuszy monitoringu, poprawy procedur czy zwiększenia jakości danych. Powinien być zatem źródłem uczenia się systemu, a nie automatycznym dowodem wcześniejszego naruszenia.

Po pierwsze, bank powinien uwzględnić informacje, które racjonalnie powinny znajdować się w jego dyspozycji. Brak wiedzy nie chroni decyzji, jeżeli wynikał z wadliwie zaprojektowanego procesu, nieskutecznego monitoringu, niewykonania wymaganej aktualizacji danych albo pominięcia źródła informacji, które zgodnie z regulacją powinno zostać uwzględnione. Perspektywa ex ante dotyczy zatem wiedzy, którą bank posiadał albo powinien był posiadać przy prawidłowym wykonaniu obowiązków.

Po drugie, znaczenie ma sposób interpretacji tych informacji. Kilka czynników ryzyka może zostać prawidłowo zidentyfikowanych, lecz ich łączny wpływ może zostać oceniony nieracjonalnie. Nie wystarczy więc wykazać, że dane znalazły się w systemie. Trzeba jeszcze ocenić, czy model umożliwiał nadanie im odpowiedniej wagi i czy wynik pozostawał zgodny z regułami przyjętymi przez sam bank oraz z wymaganiami regulacyjnymi.

Po trzecie, decyzja musi być spójna z reakcją przewidzianą dla rozpoznanego ryzyka. Jeżeli bank prawidłowo uznaje klienta za klienta podwyższonego ryzyka, ale stosuje wobec niego środki, które faktycznie nie odnoszą się do źródła tego ryzyka, problem nie dotyczy już samej kwalifikacji. Dotyczy wadliwej kalibracji reakcji. W tym znaczeniu art. 20 ust. 4 wymaga możliwości wykazania nie tylko, że dokonano oceny, lecz także że zastosowane środki były odpowiednie do ryzyka. 

Najtrudniejszy problem powstaje wtedy, gdy przy tym samym stanie faktycznym możliwe są różne racjonalne sposoby wykonania obowiązku. W modelu opartym na ryzyku sytuacja taka nie powinna być traktowana jako anomalia. Jeżeli norma posługuje się pojęciami proporcjonalności, odpowiedniości, racjonalnych środków albo dostosowania intensywności działania do ryzyka, sama konstrukcja prawa zakłada konieczność dokonania oceny. Nie oznacza to, że każda decyzja mieści się w granicach prawa. Można wyobrazić sobie rozwiązanie oczywiście niewystarczające oraz rozwiązanie oczywiście nadmierne. Pomiędzy nimi może jednak istnieć zakres, w którym więcej niż jeden wariant spełnia wymagania regulacyjne. Jeden bank może przy określonym profilu ryzyka stosować częstsze przeglądy manualne, drugi mocniej oprzeć proces na monitoringu zdarzeniowym, a trzeci zastosować połączenie obu mechanizmów. Jeżeli każdy z tych modeli zapewnia realizację celu normy i pozostaje proporcjonalny do ryzyka, sama odmienność nie przesądza o naruszeniu.

Kontrola nadzorcza powinna więc odróżniać sytuację, w której bank przekracza granicę dopuszczalnego osądu, od sytuacji, w której organ nadzoru po prostu wybrałby inny spośród kilku racjonalnych wariantów. Gdyby każde odmienne stanowisko nadzorcy prowadziło do uznania wcześniejszej decyzji za nieprawidłową, przestrzeń profesjonalnego osądu pozostawiona przez AMLR miałaby charakter pozorny. Z tego punktu widzenia art. 20 ust. 4 AMLR można odczytać jako szczególny mechanizm rozliczalności podejścia opartego na ryzyku. Bank otrzymuje określoną przestrzeń różnicowania środków, ale musi zachować zdolność odtworzenia podstaw swojej decyzji. Nie oznacza to konieczności sporządzania odrębnego memorandum przy każdej typowej czynności CDD. W procesach masowych zasadnicza część uzasadnienia powinna wynikać już z konstrukcji systemu: metodologii oceny ryzyka, zasad kwalifikowania klientów, przypisanych środków, reguł eskalacji, częstotliwości przeglądów oraz dokumentacji wyjątków.

Indywidualne uzasadnienie nabiera większego znaczenia tam, gdzie bank odchodzi od standardowego modelu albo podejmuje decyzję w warunkach podwyższonej niepewności. Im większy zakres profesjonalnego osądu i im bardziej istotne skutki decyzji, tym większe znaczenie ma możliwość odtworzenia jej przesłanek. Nie chodzi przy tym o tworzenie dokumentacji dla samej dokumentacji. Istotne jest zachowanie śladu pozwalającego później ustalić, jakie informacje były dostępne, jak zostały ocenione, z czego wynikała kwalifikacja ryzyka i dlaczego zastosowany środek uznano za właściwy. Nie należy natomiast nadawać art. 20 ust. 4 znaczenia procesowego, którego przepis ten nie ma. Obowiązek wykazania odpowiedniości środków nie oznacza automatycznie, że w każdym postępowaniu sankcyjnym ciężar dowodu wszystkich elementów naruszenia zostaje przeniesiony na bank. Przepis ustanawia materialny obowiązek rozliczalności podmiotu zobowiązanego. Konsekwencje procesowe ewentualnego braku dokumentacji trzeba oceniać według przepisów właściwych dla danego postępowania.

Jeżeli po materializacji ryzyka analiza pokaże, że bank posiadał istotny sygnał, którego model nie uwzględniał, może to wskazywać na wadę metodologii. Jeżeli prawidłowo zidentyfikowany czynnik otrzymał wagę zbyt małą, potrzebna może być zmiana kalibracji. Jeżeli pracownik dysponował prawidłowym scenariuszem, ale go nie zastosował, problem dotyczy wykonania procedury. Jeżeli natomiast wszystkie racjonalnie dostępne informacje zostały prawidłowo uwzględnione, środki odpowiadały rozpoznanemu ryzyku, a mimo to klient zdołał wykorzystać bank do działalności przestępczej, sama materializacja nie tworzy jeszcze dowodu wadliwości wcześniejszego systemu. Powtarzalność błędów ma w tym kontekście szczególne znaczenie. Pojedynczy przypadek może mieścić się w granicach ryzyka, którego nie można było racjonalnie wyeliminować. Seria podobnych przypadków może już świadczyć o tym, że model systematycznie nie rozpoznaje określonego schematu albo że zastosowane środki nie odpowiadają rzeczywistej ekspozycji. Z punktu widzenia nadzorczego istotne staje się więc nie tylko pytanie, czy wystąpił incydent, lecz również czy bank potrafił wyciągnąć z niego właściwe wnioski.

Szczególne ryzyko pojawia się wtedy, gdy organ nadzoru rekonstruuje prawidłowy sposób działania według zasady, że bank zawsze mógł zastosować dodatkowy środek. Prawie w każdym procesie AML można wskazać dodatkowe dane, kolejny poziom weryfikacji, częstszy przegląd albo bardziej czuły scenariusz monitoringu. Jeżeli możliwość zastosowania środka dalej idącego staje się wystarczającym argumentem dla zakwestionowania decyzji, podejście oparte na ryzyku traci funkcję selekcyjną. Ma to znaczenie także dla zachowania realnej odpowiedzialności po stronie banku. Jeżeli prawidłowość każdej decyzji sprowadza się do wyboru wariantu najbardziej konserwatywnego, odpowiedzialność za profesjonalną ocenę zostaje zastąpiona mechanizmem samoobrony przed przyszłym zarzutem. Instytucja przestaje pytać, jaki środek odpowiada ryzyku, a zaczyna pytać, jaki środek najłatwiej będzie obronić po ewentualnym incydencie. W dłuższej perspektywie prowadzi to do defensywnego compliance, nadmiernej formalizacji i osłabienia samej zdolności organizacji do podejmowania decyzji. W dotychczasowym modelu zarządzania ryzykiem regulacyjnym problem ten został już zidentyfikowany jako odrębne źródło kosztów i ryzyk.

Nie oznacza to oczywiście ograniczenia kompetencji nadzoru do kontroli czysto proceduralnej. Środek może być prawidłowo udokumentowany i mimo to oczywiście niewystarczający. Proces może być spójny wewnętrznie, ale opierać się na błędnych przesłankach. Profesjonalny osąd banku musi pozostawać poddany ocenie merytorycznej. Granica przebiega gdzie indziej: pomiędzy kontrolą racjonalności i zgodności decyzji a zastępowaniem każdego dopuszczalnego osądu banku własnym, bardziej konserwatywnym osądem organu. Przedstawiony wcześniej model różnych stref przestrzeni decyzyjnej pozwala w konsekwencji zaproponować odpowiadające im zróżnicowanie kontroli nadzorczej. W obszarze obowiązków bezwzględnych przedmiotem kontroli pozostaje przede wszystkim wykonanie normy. Jeżeli prawo wymaga identyfikacji klienta, ustalenia beneficjenta rzeczywistego albo zastosowania określonego środka w szczególnej sytuacji, bank nie może powołać się na własną ocenę ryzyka w celu uchylenia obowiązku.

W obszarze kalibracji nadzór powinien badać przede wszystkim związek pomiędzy poziomem i charakterem ryzyka a intensywnością przyjętych środków. W obszarze profesjonalnego osądu większego znaczenia nabierają jakość informacji, kompletność uwzględnionych czynników, racjonalność wnioskowania i spójność zastosowanych kryteriów. W obszarze wyboru operacyjnego zasadniczym pytaniem powinno być natomiast to, czy wybrane rozwiązanie osiąga wymagany rezultat i spełnia minimalne wymagania prawne, a nie czy odpowiada preferowanej przez nadzorcę architekturze procesu. Na tej podstawie można sformułować jeden z ważniejszych wniosków całej analizy. Podejście oparte na ryzyku wymaga nie tylko prawa banku do różnicowania środków, lecz również kontroli, która odróżnia naruszenie obowiązku od dopuszczalnej różnicy profesjonalnego osądu. Bez tego rozróżnienia harmonizacja może w praktyce prowadzić do ujednolicenia nie tylko minimalnych standardów, lecz również wszystkich decyzji operacyjnych, mimo że AMLR nadal pozostawia część z nich zależną od indywidualnej oceny ryzyka.

Ostatecznie więc art. 20 ust. 4 AMLR należy traktować jako punkt równowagi pomiędzy dwiema wartościami. Bank nie może zasłaniać się podejściem opartym na ryzyku przed obowiązkiem wykazania racjonalności własnych decyzji. Organ nadzoru nie powinien natomiast wyprowadzać z późniejszej wiedzy automatycznego wniosku, że racjonalna decyzja podjęta wcześniej była błędna. Właśnie zdolność rozróżnienia tych sytuacji przesądzi, czy po rozpoczęciu stosowania AMLR podejście oparte na ryzyku pozostanie realnym mechanizmem regulacyjnym, czy stopniowo przekształci się w formalną deklarację przykrywającą praktykę maksymalnej ostrożności.

Wnioski – podejście oparte na ryzyku po harmonizacji

Odpowiedź na pytanie postawione w tytule jest twierdząca. Podejście oparte na ryzyku zachowuje znaczenie po rozpoczęciu stosowania AMLR, ale jego funkcjonowanie zmienia się wraz z harmonizacją minimalnych wymagań i uszczegółowieniem procesu CDD. Ryzyko pozostaje prawnym kryterium różnicowania środków tam, gdzie konkretny przepis dopuszcza lub nakazuje taką ocenę. Przestrzeń pozostawiona bankowi jest zatem wielowarstwowa, a jej granice należy rekonstruować oddzielnie dla poszczególnych obowiązków.

Pierwszą ze zidentyfikowanych przestrzeni stanowi rdzeń związany prawem. Obejmuje on obowiązki, których treść albo minimalny rezultat zostały przesądzone przez AMLR lub przez mające go uzupełniać akty poziomu drugiego. Bank nie może od nich odstąpić przez powołanie się na własną ocenę ryzyka, apetyt na ryzyko, efektywność operacyjną czy doświadczenie historyczne. W tym obszarze pytanie o prawidłowość działania ma przede wszystkim charakter zgodnościowy: należy ustalić, czy wymagany obowiązek został wykonany w sposób odpowiadający normie.

Druga przestrzeń obejmuje kalibrację opartą na ryzyku. Prawo ustanawia w niej obowiązek i określa jego podstawową treść, ale pozostawia podmiotowi zobowiązanemu możliwość dostosowania określonych parametrów działania. Tak dzieje się między innymi przy ustalaniu zakresu środków należytej staranności, doborze środków wzmożonych, ograniczaniu intensywności części działań w sytuacjach niższego ryzyka czy określaniu częstotliwości aktualizacji informacji. Ryzyko pełni tu rzeczywistą funkcję normatywną, ponieważ wpływa na sposób prawidłowego wykonania obowiązku.

Trzeci obszar stanowi profesjonalny osąd. Bank musi kwalifikować informacje, oceniać znaczenie poszczególnych czynników, rozumieć strukturę klienta, wyjaśniać nietypowość zachowania i oceniać, czy określona okoliczność rzeczywiście zwiększa ryzyko ML/TF. Prawo może wskazywać czynniki, które należy uwzględnić, ale nie może z góry rozstrzygnąć znaczenia każdego z nich w każdym możliwym stanie faktycznym. W tym zakresie szczególnie widoczna jest różnica pomiędzy stosowaniem reguły a wykonywaniem profesjonalnej oceny według reguły. Brak jednego mechanicznego wyniku nie oznacza jednak dowolności. Ocena powinna pozostawać oparta na relewantnych informacjach, racjonalna, spójna i możliwa do odtworzenia.

Czwarta przestrzeń obejmuje wybór operacyjnego sposobu wykonania obowiązku. Podmiot zobowiązany może korzystać z różnych rozwiązań organizacyjnych i technologicznych, o ile prowadzą one do osiągnięcia wymaganego przez prawo rezultatu. Tego rodzaju wybór może uwzględniać skalę działalności, architekturę systemów, zasoby, model dystrybucji czy strukturę organizacyjną banku. Nie powinien być jednak automatycznie utożsamiany z RBA. Ryzyko może wpływać na sposób zaprojektowania rozwiązania, ale sama możliwość wyboru pomiędzy kilkoma technicznie różnymi sposobami wykonania obowiązku wynika przede wszystkim z tego, że norma określa rezultat, nie narzędzie.

Odpowiedniość środka należy oceniać w odniesieniu do rozpoznanego ryzyka, a nie przez liczbę wykonanych czynności. Środek zbyt słaby może prowadzić do niewykonania obowiązku, natomiast środek nadmierny może w określonych okolicznościach naruszać inne wymagania prawne, zwłaszcza dotyczące ochrony danych, i osłabiać proporcjonalność procesu. Wniosek ten ma znaczenie interpretacyjne: nie tworzy automatycznego zakazu stosowania środków dalej idących, ale wymaga uzasadnienia ich celu, adekwatności i podstawy prawnej. Ma to szczególne znaczenie dla relacji pomiędzy RBA a de-riskingiem. Zidentyfikowanie ryzyka nie prowadzi automatycznie do wniosku, że relacji nie należy nawiązać albo kontynuować. AML/CFT wymaga zarządzania ryzykiem i jego ograniczania, a nie eliminowania każdej działalności, w której ryzyko jest wyższe od przeciętnego. Oczywiście w określonych przypadkach przepisy same wymagają odmowy albo zakończenia relacji. Poza nimi decyzja powinna jednak pozostawać wynikiem rzeczywistej oceny, a nie konsekwencją mechanicznej zasady, zgodnie z którą wyższe ryzyko zawsze prowadzi do najsurowszej reakcji.

Podejście oparte na ryzyku wymaga więc zaakceptowania, że prawidłowo zbudowany system AML/CFT może nie zapobiec każdej próbie wykorzystania banku do działalności przestępczej. Ryzyko rezydualne jest konsekwencją funkcjonowania systemu, którego przedmiotem są zachowania celowo ukrywane, zmienne i oceniane w warunkach niepełnej informacji. Standard prawny nie może być utożsamiony z obowiązkiem osiągnięcia stuprocentowej skuteczności. W przeciwnym razie każda materializacja ryzyka stawałaby się dowodem wadliwości systemu, a racjonalną reakcją instytucji byłoby nieustanne zaostrzanie środków niezależnie od ich rzeczywistej wartości. Można zatem sformułować końcowy model granic decyzji banku. Pierwszym pytaniem powinno być zawsze ustalenie, czy konkretna norma przesądza wymagany rezultat. Jeżeli tak, ryzyko nie może uzasadniać odstąpienia od tego obowiązku. Jeżeli prawo pozostawia możliwość różnicowania środków, należy następnie ustalić, jakie ryzyko jest przedmiotem decyzji oraz które parametry działania mogą zostać do niego dostosowane. Kolejnym etapem jest ocena profesjonalna: jakie informacje przemawiają za określoną kwalifikacją i jakie znaczenie należy im przypisać. Dopiero na końcu pojawia się wybór odpowiedniego środka i sposób jego operacyjnego wykonania.

Podejście oparte na ryzyku nadal więc coś znaczy. AMLR ogranicza samodzielność banku w wyznaczaniu normatywnego minimum, lecz zwiększa wagę uzasadnienia decyzji podejmowanej w pozostawionej przestrzeni. Prawidłowe zastosowanie RBA wymaga odtworzenia związku pomiędzy przepisem, informacją dostępną w chwili decyzji, oceną ryzyka i wybranym środkiem. W tych granicach podejście oparte na ryzyku pozostaje realnym mechanizmem prawa AML/CFT, a nie wyłącznie deklaracją w metodyce banku.