Kto w banku odpowiada za decyzję sankcyjną? O odpowiedzialności w nowym reżimie środków ograniczających

Wprowadzenie

W analizie sankcyjnej stosunkowo łatwo wskazać moment rozpoczęcia procesu. System kontroli list sankcyjnych generuje trafienie, pojawia się informacja o powiązaniu właścicielskim, nietypowym kierunku płatności, przedmiocie transakcji albo inna okoliczność wymagająca sprawdzenia. Rozpoczyna się analiza, której zadaniem jest ustalenie, czy określony środek ograniczający ma zastosowanie i jakie konsekwencje wynikają z niego dla czynności banku. Znacznie trudniej opisać moment zakończenia tego procesu. W pewnym miejscu analiza musi bowiem doprowadzić do konkretnego rozstrzygnięcia. Bank musi wykonać płatność, wstrzymać jej realizację na czas dalszej analizy albo jej nie wykonać, zamrozić środki lub pozostawić je do dyspozycji klienta, udzielić albo odmówić finansowania, kontynuować relację albo uznać, że określona czynność nie może zostać wykonana. Każde z tych działań może mieć inną podstawę prawną i inne konsekwencje. Nawet decyzja o pozyskaniu dalszych informacji jedynie przesuwa moment końcowego rozstrzygnięcia. Ostatecznie ktoś musi ocenić zgromadzone fakty, odnieść je do właściwego reżimu sankcyjnego i zdecydować, co bank zrobi.

W pierwszym tekście tej serii problem został postawiony od strony zakresu wiedzy banku. Kontrola list sankcyjnych może działać prawidłowo, a mimo to nie odpowiadać na wszystkie pytania istotne dla dopuszczalności transakcji. Znaczenie mogą mieć własność i kontrola nad podmiotem niewpisanym na listę, pośrednie udostępnienie środków albo sankcja gospodarcza odnosząca się do towaru, technologii, usługi czy kierunku transakcji. W konsekwencji podstawowym problemem staje się ustalenie, kiedy informacje już dostępne bankowi powinny spowodować przejście od standardowego procesu do pogłębionej analizy. Jeżeli taka analiza zostanie uruchomiona, pojawia się kolejne pytanie. Kto w banku ma prawo i obowiązek zakończyć ją decyzją? To pytanie ma znaczenie wykraczające poza organizację procesu. Projektowana ustawa o środkach ograniczających zwiększa wagę decyzji podejmowanych w ramach systemu sankcyjnego. Projekt buduje krajowy system kontroli i odpowiedzialności, w którym to samo zdarzenie może być oceniane z kilku różnych perspektyw. Przestrzeganie środków ograniczających przez instytucje finansowe ma podlegać kontroli właściwych organów, określone naruszenia mogą prowadzić do administracyjnej kary pieniężnej, inne do odpowiedzialności karnej konkretnej osoby, a projektowane zmiany dotyczące odpowiedzialności podmiotów zbiorowych otwierają jeszcze odrębny poziom konsekwencji dla organizacji.

Nie oznacza to automatycznej kumulacji tych reżimów. Każdy z nich ma własne przesłanki, adresatów i mechanizmy rozgraniczenia. Tym bardziej problem staje się jednak bardziej złożony niż pytanie o to, kto formalnie „zatwierdził” określoną płatność. Trzeba odróżnić odpowiedzialność za naruszenie materialnego zakazu od oceny sposobu zorganizowania procesu, a tę z kolei od wewnętrznego podziału kompetencji do wykonywania poszczególnych czynności. Z perspektywy banku powstaje w ten sposób naturalne napięcie. Decyzje sankcyjne często muszą być podejmowane operacyjnie, w ograniczonym czasie i na podstawie informacji, które nie dają pełnej pewności. Równocześnie ich konsekwencje prawne mogą być bardzo poważne. Przeniesienie każdej wątpliwości na najwyższy szczebel organizacji nie rozwiązuje tego problemu. Bank wykonujący tysiące lub miliony operacji nie może funkcjonować w modelu, w którym każda nietypowa płatność albo każda niejednoznaczna relacja właścicielska wymaga decyzji członka zarządu.

Równie ryzykowne byłoby pozostawienie najbardziej złożonych decyzji na najniższym poziomie operacyjnym bez wyraźnie określonego mandatu, dostępu do właściwej wiedzy i możliwości eskalacji. Formalna decentralizacja mogłaby wtedy oznaczać faktyczne przeniesienie ciężaru decyzji na osoby, które nie powinny samodzielnie rozstrzygać najbardziej skomplikowanych problemów sankcyjnych. Dlatego pytanie o odpowiedzialność za decyzję sankcyjną trzeba postawić szerzej. Chodzi o stworzenie takiej architektury procesu, w której można rozróżnić co najmniej trzy funkcje: identyfikację problemu, jego merytoryczną ocenę oraz podjęcie decyzji dotyczącej konkretnej czynności. Osoba, która wykrywa sygnał sankcyjny, nie musi być osobą właściwą do jego prawnej kwalifikacji. Osoba dokonująca kwalifikacji nie musi z kolei posiadać kompetencji do podjęcia decyzji operacyjnej będącej jej konsekwencją.

Takiej architektury nie buduje się jednak w banku na czystej kartce. Musi ona zostać wpisana w istniejący system zarządzania i kontroli wewnętrznej, oparty na trzech niezależnych poziomach, określanych powszechnie jako trzy linie obrony. Podział kompetencji sankcyjnych powinien więc odpowiadać nie tylko charakterowi konkretnego problemu, lecz również miejscu danej jednostki w systemie kontroli wewnętrznej, wymaganej niezależności funkcji kontrolnych oraz zasadom zarządzania konfliktami interesów. Projektowana ustawa powoduje, że znaczenie tego rozróżnienia rośnie. W nowym otoczeniu regulacyjnym procedura ograniczająca się do ogólnego polecenia, aby „w przypadku wątpliwości skontaktować się z funkcją zgodności”, może okazać się zbyt mało precyzyjna. Trzeba wiedzieć, jaka wątpliwość uruchamia eskalację, kto ma ją przeanalizować, kiedy konieczne jest zaangażowanie funkcji prawnej, kto może zakończyć sprawę na określonym poziomie oraz jakie przypadki powinny trafić wyżej. Równie ważna staje się możliwość późniejszego odtworzenia, dlaczego konkretna decyzja została podjęta właśnie na tym poziomie i na podstawie jakich informacji.

W tym sensie nowy reżim sankcyjny stawia przed bankiem problem ładu organizacyjnego równie istotny jak problem samej kontroli list sankcyjnych. System musi nie tylko wykrywać przypadki wymagające uwagi. Musi również zapewniać, że trafiają one do osób posiadających wystarczające informacje, wiedzę i kompetencje do ich rozstrzygnięcia, a jednocześnie zachować właściwy podział odpowiedzialności pomiędzy jednostkami prowadzącymi działalność operacyjną, funkcje kontrolne i audyt wewnętrzny. Zanim jednak będzie można odpowiedzieć na pytanie, jak taki model zbudować, trzeba przyjrzeć się temu, dlaczego pojedyncza decyzja sankcyjna może obecnie oddziaływać na kilka różnych poziomów odpowiedzialności.

Jedna decyzja – kilka poziomów odpowiedzialności

Projektowana ustawa o środkach ograniczających w istotny sposób porządkuje i rozbudowuje krajową architekturę egzekwowania sankcji. Jej znaczenie nie polega przede wszystkim na stworzeniu nowych materialnych zakazów dotyczących działalności banków. W przypadku sankcji unijnych treść konkretnego obowiązku nadal trzeba ustalać przede wszystkim na podstawie właściwego rozporządzenia ustanawiającego dany środek ograniczający. Projekt tworzy natomiast znacznie bardziej rozbudowany mechanizm kontroli przestrzegania tych obowiązków oraz wyciągania konsekwencji w przypadku ich naruszenia.

Pierwszym elementem tej konstrukcji jest kontrola. Projekt przewiduje udział KNF i GIIF w kontroli przestrzegania środków ograniczających przez instytucje obowiązane, w tym banki, z uwzględnieniem właściwości poszczególnych organów. Informacje i dokumenty pozyskane w ramach kontroli mają następnie w określonym zakresie trafiać do organów Krajowej Administracji Skarbowej. W efekcie ocena sposobu stosowania sankcji przez bank może rozpocząć się w relacji z organem nadzorczym lub organem właściwym dla systemu AML, podczas gdy postępowanie dotyczące administracyjnej kary pieniężnej będzie prowadzone na innym poziomie administracji. Dla banku znaczenie ma nie tylko sama liczba organów uczestniczących w systemie. Kontrola może dotyczyć sposobu, w jaki instytucja doszła do określonego rozstrzygnięcia. Jeżeli analizowano własność lub kontrolę nad podmiotem niewpisanym na listę, możliwość pośredniego udostępnienia środków albo zastosowanie sankcji sektorowej, naturalne staje się pytanie o zakres informacji pozostających w dyspozycji banku, sposób ich oceny, wystąpienie przesłanek do eskalacji oraz poziom, na którym sprawę zakończono.

Drugim poziomem jest odpowiedzialność administracyjna. Projektowany art. 55 obejmuje szeroki katalog zachowań dokonywanych z naruszeniem zakazu albo niedopełnieniem obowiązku wynikającego ze środka ograniczającego. Katalog ten obejmuje nie tylko klasyczne przypadki związane z niezamrożeniem środków lub ich niedozwolonym udostępnieniem, lecz również określone transakcje, obrót towarami i technologiami, finansowanie, pomoc finansową oraz działalność i usługi finansowe. W przypadku naruszenia możliwe ma być nałożenie administracyjnej kary pieniężnej sięgającej 20 mln zł. Już sama wysokość potencjalnej sankcji powoduje, że decyzja o dopuszczalności określonej czynności trudno może być traktowana wyłącznie jako techniczny etap obsługi płatności. Jednocześnie nie ma podstaw, aby każdy alert traktować jak zdarzenie wymagające decyzji najwyższego szczebla. Art. 55 wiąże odpowiedzialność z naruszeniem konkretnego środka ograniczającego, a nie z samym pojawieniem się wątpliwości. Sama wadliwość procedury sankcyjnej, brak odpowiednio zaprojektowanego progu eskalacji czy nieoptymalny podział kompetencji nie stanowią więc samoistnego deliktu administracyjnego z tego przepisu. Jakość procesu może jednak mieć znaczenie dla oceny nadzorczej, ustaleń dowodowych oraz – po spełnieniu odrębnych przesłanek – odpowiedzialności podmiotu zbiorowego. Problem ładu organizacyjnego polega więc na takim rozłożeniu kompetencji, aby sprawy standardowe mogły być sprawnie rozstrzygane operacyjnie, natomiast przypadki rzeczywiście zwiększające ryzyko naruszenia trafiały na odpowiedni poziom.

Trzeci poziom tworzy odpowiedzialność karna. Projekt przewiduje nowe typy przestępstw sankcyjnych, obejmujące między innymi określone przypadki bezpośredniego i pośredniego udostępnienia środków podmiotowi objętemu sankcjami, niewykonanie obowiązku zamrożenia czy wykonywanie zakazanych transakcji. W przypadku części czynów art. 63 przewiduje karę pozbawienia wolności do lat 8, a w kwalifikowanym przypadku dotyczącym mienia znacznej wartości – od roku do lat 10. Odrębnie penalizowane ma być również prowadzenie działalności finansowej albo świadczenie usług finansowych lub innych usług wbrew zakazowi albo ograniczeniu wynikającemu ze środka ograniczającego. Ten element szczególnie łatwo prowadzi do zbyt daleko idących wniosków dotyczących odpowiedzialności osób pracujących w banku. Fakt, że określona płatność została ostatecznie wykonana przez konkretnego pracownika albo że to konkretny analityk zamknął alert, nie przesądza jeszcze o jego odpowiedzialności karnej. Odpowiedzialność wymaga przypisania określonej osobie czynu wypełniającego znamiona danego przestępstwa, z uwzględnieniem wymaganej przez przepis strony podmiotowej. Osoby technicznie wykonującej czynność nie można więc automatycznie utożsamiać z osobą, której można przypisać popełnienie przestępstwa sankcyjnego. Nie usuwa to jednak problemu odpowiedzialności decyzyjnej. Przeciwnie, pokazuje, dlaczego wewnętrzna architektura banku powinna umożliwiać ustalenie, kto rzeczywiście dokonał kwalifikacji danego przypadku, kto dysponował informacjami istotnymi dla tej kwalifikacji i kto posiadał mandat do podjęcia decyzji. W rozbudowanej organizacji czynność techniczna, analiza merytoryczna i decyzja mogą być wykonywane przez różne osoby, a ścieżka operacyjna widoczna w systemie transakcyjnym nie musi odpowiadać rzeczywistemu przebiegowi procesu decyzyjnego.

Czwartym poziomem jest projektowana odpowiedzialność podmiotu zbiorowego. Projekt zakłada objęcie przestępstw sankcyjnych szczególnym reżimem odpowiedzialności organizacji oraz przewiduje w tym zakresie kary od 10 tys. do 200 mln zł albo 5% przychodu osiągniętego w poprzednim roku obrotowym. Szczególnie istotne jest przy tym odejście, w odniesieniu do tych czynów, od konieczności wcześniejszego uzyskania orzeczenia stwierdzającego odpowiedzialność osoby fizycznej jako warunku uruchomienia odpowiedzialności podmiotu zbiorowego. Nie oznacza to jednak stworzenia autonomicznej odpowiedzialności podmiotu zbiorowego za samą wadliwość systemu zgodności lub organizacji procesu sankcyjnego. Projekt nie usuwa przesłanek wynikających z art. 3 i 5 ustawy o odpowiedzialności podmiotów zbiorowych. Nadal znaczenie ma powiązanie czynu osoby należącej do kręgu określonego w art. 3 z korzyścią, którą czyn ten przyniósł albo mógł przynieść podmiotowi zbiorowemu, oraz wystąpienie właściwej przesłanki odpowiedzialności dotyczącej między innymi braku należytej staranności w wyborze lub nadzorze albo takiej organizacji działalności podmiotu, która nie zapewniała uniknięcia popełnienia czynu zabronionego, choć można było tego uniknąć przy zachowaniu wymaganej staranności. Zasadniczą zmianą jest natomiast rezygnacja w odniesieniu do projektowanych przestępstw sankcyjnych z wcześniejszego orzeczenia wobec osoby fizycznej jako warunku odpowiedzialności podmiotu zbiorowego.

Z punktu widzenia ładu organizacyjnego kieruje to uwagę na sposób funkcjonowania banku: jego strukturę decyzyjną, organizację kontroli, podział kompetencji i mechanizmy zapobiegania naruszeniom. Nie dlatego, że sama niedoskonałość tych rozwiązań rodzi odpowiedzialność, ale dlatego, że przy spełnieniu pozostałych przesłanek sposób organizacji działalności może stać się jednym z elementów jej przypisania. Dla banku oznacza to, że problemu nie można rozwiązać przez samo formalne wskazanie jednej funkcji albo jednego pracownika jako odpowiedzialnego za zgodność sankcyjną.  Poszczególnych poziomów odpowiedzialności nie należy jednak składać w prosty model kumulacyjny. Projekt zawiera przepisy rozgraniczające odpowiedzialność administracyjną, karną oraz odpowiedzialność podmiotu zbiorowego. W szczególności odpowiedzialność administracyjna osoby fizycznej ma być wyłączona, jeżeli jej czyn wyczerpuje znamiona jednego z projektowanych przestępstw, a przepisy dotyczące kar administracyjnych nie mają znajdować zastosowania do podmiotu, który w związku z danym czynem podlega odpowiedzialności na podstawie ustawy o odpowiedzialności podmiotów zbiorowych.

Nie mamy więc do czynienia z konstrukcją, w której jedna błędna decyzja zawsze prowadzi równocześnie do kary administracyjnej dla banku, odpowiedzialności karnej pracownika i kary dla podmiotu zbiorowego. Każdy z tych reżimów wymaga odrębnego ustalenia jego przesłanek. Z perspektywy organizacyjnej pozostaje jednak istotne, że ta sama decyzja operacyjna może stać się punktem wyjścia do kilku różnych ocen prawnych, dokonywanych wobec różnych podmiotów i według różnych kryteriów. To zmienia znaczenie pytania o to, kto w banku „odpowiada za sankcje”. W modelu skoncentrowanym przede wszystkim na kontroli list sankcyjnych łatwo było utożsamiać tę odpowiedzialność z jednostką zajmującą się zgodnością sankcyjną albo AML. W nowym otoczeniu taka odpowiedź jest zbyt uproszczona. Jedna funkcja może być odpowiedzialna za metodologię i monitorowanie systemu, inne jednostki wykonują mechanizmy kontrolne w procesach operacyjnych, jeszcze inna funkcja może dokonywać interpretacji prawnej, a sama decyzja o wykonaniu określonej czynności może należeć do osoby lub jednostki działającej poza funkcją zgodności.

Dlatego zanim zaczniemy budować poziomy eskalacji, trzeba rozdzielić dwie rzeczy, które w praktyce łatwo się mieszają: odpowiedzialność banku za prawidłowe zorganizowanie systemu oraz odpowiedzialność konkretnej osoby za działanie podjęte w ramach tego systemu.

Odpowiedzialność banku to nie to samo co odpowiedzialność pracownika

W praktyce często posługujemy się skrótem myślowym, zgodnie z którym „bank odpowiada za naruszenie sankcji”. Jest on użyteczny operacyjnie, ale może zacierać istotne różnice. Bank jako instytucja może podlegać określonym obowiązkom administracyjnym, może ponosić odpowiedzialność jako podmiot zbiorowy i być adresatem działań nadzorczych. Odpowiedzialność karna wymaga natomiast przypisania czynu konkretnej osobie fizycznej. Te poziomy mogą dotyczyć tego samego zdarzenia gospodarczego, ale powinny być analizowane odrębnie. 

Ma to szczególne znaczenie w organizacji takiej jak bank, gdzie pojedyncza decyzja transakcyjna rzadko jest rezultatem działania jednej osoby. Informacja o potencjalnym ryzyku może zostać wygenerowana przez system. Pierwszej analizy może dokonać pracownik operacyjny. Ocena sankcyjna może należeć do wyspecjalizowanego zespołu funkcji zgodności, a interpretacja niejednoznacznego przepisu wymagać udziału funkcji prawnej. Ostateczne wykonanie albo niewykonanie płatności może następnie nastąpić w jednostce odpowiedzialnej za operacje. Na każdym z tych etapów inna osoba wykonuje inną funkcję. Dlatego sam fakt technicznego uczestnictwa w procesie nie przesądza o odpowiedzialności za jego wynik. Pracownik wykonujący przelew może działać na podstawie decyzji podjętej wcześniej przez inną jednostkę. Analityk sankcyjny może przygotować ocenę lub rekomendację, ale nie mieć kompetencji do podjęcia decyzji o odmowie wykonania czynności. Funkcja prawna może przedstawić interpretację konkretnego zakazu, nie będąc jednocześnie właścicielem procesu operacyjnego. Członek zarządu może odpowiadać za ustanowienie systemu i jego nadzór, nie uczestnicząc w rozstrzyganiu pojedynczych transakcji.

Taka wielowarstwowość jest naturalną cechą dużej instytucji finansowej. Problem pojawia się wtedy, gdy granice pomiędzy rolami pozostają niejasne. Jeżeli nie wiadomo, kto dokonuje kwalifikacji, kto podejmuje decyzję operacyjną, a kto odpowiada za eskalację, późniejsze odtworzenie procesu może prowadzić do przypisania decydującego znaczenia osobie, która w rzeczywistości wykonywała jedynie jeden z technicznych etapów. Właśnie dlatego w nowym reżimie sankcyjnym trzeba ostrożnie posługiwać się pojęciem „osoby odpowiedzialnej za sankcje”. Można odpowiadać za funkcjonowanie systemu, za prawidłowe wykonanie określonego zadania, za kwalifikację konkretnego przypadku albo za podjęcie decyzji końcowej. Każda z tych odpowiedzialności ma inny charakter i nie powinna być automatycznie utożsamiana z potencjalną odpowiedzialnością prawną za naruszenie materialnego zakazu sankcyjnego.

Szczególnie wyraźnie widać to przy odpowiedzialności karnej. Projektowane przestępstwa sankcyjne nie tworzą odpowiedzialności za sam fakt bycia pracownikiem jednostki zajmującej się zgodnością sankcyjną ani za zajmowanie określonego stanowiska. Konieczne pozostaje przypisanie konkretnej osobie zachowania odpowiadającego znamionom czynu zabronionego oraz ustalenie wymaganej przez dany przepis strony podmiotowej. Osoba, która zatwierdziła technicznie wykonanie płatności w systemie, nie staje się więc tylko z tego powodu osobą odpowiedzialną za przestępstwo związane z naruszeniem środka ograniczającego. Wewnętrzny podział kompetencji pozostaje jednak istotny dla ustalenia rzeczywistego przebiegu procesu. Może wskazywać, kto posiadał wiedzę o ryzyku sankcyjnym, kto dysponował informacjami potrzebnymi do jego oceny oraz kto miał realną możliwość podjęcia albo zatrzymania określonego działania. Im bardziej nieformalny jest proces decyzyjny, tym trudniej później odpowiedzieć na pytanie, kto rzeczywiście przesądził o wykonaniu danej czynności.

Podobny problem dotyczy odpowiedzialności banku jako organizacji. Instytucja nie może ograniczyć się do argumentu, że błąd popełnił pojedynczy pracownik, jeżeli źródłem problemu był sposób zaprojektowania procesu. Jeżeli osoba podejmująca decyzję nie miała dostępu do informacji istotnych dla kwalifikacji sankcyjnej, procedura nie określała momentu eskalacji albo struktura kompetencyjna pozostawiała najbardziej złożone przypadki na poziomie operacyjnym bez wsparcia merytorycznego, ocenie może podlegać sposób funkcjonowania całego systemu zarządzania ryzykiem. Nie oznacza to jednak, że każda wada takiego systemu sama w sobie rodzi odpowiedzialność podmiotu zbiorowego. Projektowana zmiana nie zastępuje przesłanek wynikających z art. 3 i 5 ustawy o odpowiedzialności podmiotów zbiorowych ogólną odpowiedzialnością za niewłaściwie zorganizowaną funkcję zgodności. Konieczne pozostaje ustalenie czynu osoby należącej do kręgu określonego w art. 3, jego związku z korzyścią podmiotu oraz właściwej przesłanki przypisania odpowiedzialności organizacji. Wada organizacyjna może więc mieć zasadnicze znaczenie, ale w ramach określonej ustawowo konstrukcji odpowiedzialności, a nie jako niezależna podstawa ukarania. To odróżnia sytuację, w której pracownik podejmuje wadliwą decyzję w ramach prawidłowo zaprojektowanego i rzeczywiście działającego procesu, od sytuacji, w której sam proces sprzyja błędnym decyzjom. W pierwszym przypadku znaczenia nabierają przede wszystkim okoliczności konkretnego działania. W drugim naturalne staje się pytanie o ład organizacyjny, podział odpowiedzialności, zasoby, szkolenia, dostęp do informacji oraz sposób nadzorowania funkcji sankcyjnej.

Granica pomiędzy odpowiedzialnością systemową i indywidualną nabiera dodatkowego znaczenia przy projektowanej odpowiedzialności podmiotów zbiorowych. Rezygnacja z konieczności wcześniejszego orzeczenia wobec osoby fizycznej powoduje, że postępowanie dotyczące podmiotu nie musi czekać na zakończenie odrębnego postępowania karnego w dotychczas wymaganym zakresie. Nie znosi jednak materialnych przesłanek przypisania odpowiedzialności organizacji. Z punktu widzenia banku tym większego znaczenia nabiera możliwość pokazania, że określone zadania, kompetencje i mechanizmy nadzoru zostały zaprojektowane w sposób odpowiadający charakterowi ryzyka sankcyjnego. Rozwiązaniem nie jest przy tym maksymalne przesuwanie decyzji w górę organizacji. Gdyby każda decyzja o wstrzymaniu realizacji albo wykonaniu płatności wymagała formalnej akceptacji dyrektora departamentu, członka komitetu albo zarządu, proces szybko stałby się niewydolny. Odpowiedzialność organizacyjna polega raczej na takim zaprojektowaniu systemu, aby decyzje standardowe były podejmowane tam, gdzie mogą być rozstrzygnięte bezpiecznie i sprawnie, a decyzje nietypowe lub istotne trafiały wyżej według wcześniej określonych kryteriów.

Z tego punktu widzenia najważniejsze staje się rozróżnienie pomiędzy odpowiedzialnością za cały system a odpowiedzialnością za konkretny przypadek. Zarząd odpowiada za ustanowienie właściwej struktury, polityk i mechanizmów kontrolnych w zakresie należącym do jego kompetencji. Rada nadzorcza wykonuje właściwe jej funkcje nadzorcze. Wyznaczona funkcja sankcyjna może odpowiadać za metodologię, ocenę i wsparcie procesu. Poszczególni pracownicy odpowiadają za wykonywanie określonych zadań zgodnie z zakresem swoich kompetencji. Dopiero konkretny przypadek pokazuje, który z tych poziomów nabiera znaczenia dla oceny określonego działania. Ten podział nie może jednak abstrahować od miejsca poszczególnych jednostek w systemie kontroli wewnętrznej. Ta sama czynność może bowiem wyglądać inaczej z perspektywy pierwszej linii, która zarządza ryzykiem w działalności operacyjnej, drugiej linii, która ma wykonywać swoje zadania niezależnie od pierwszej, oraz trzeciej linii, która ma następnie niezależnie ocenić adekwatność i skuteczność całego systemu. Jeżeli role te zostaną pomieszane, problem nie ogranicza się już do nieczytelnego podziału kompetencji w procedurze sankcyjnej. Może dotyczyć konstrukcji samego systemu kontroli wewnętrznej.

Takie rozróżnienie znajduje ważny punkt odniesienia w wytycznych EBA dotyczących środków ograniczających. Pokazują one znacznie wyraźniej niż dotychczas, gdzie należy umieścić odpowiedzialność za system, a jednocześnie pozostawiają instytucji zadanie zbudowania operacyjnej architektury decyzji.

EBA wskazuje odpowiedzialność za system, nie za każdą transakcję

Problem odpowiedzialności za decyzję sankcyjną nie zaczyna się od projektowanej polskiej ustawy. Istotny punkt odniesienia tworzą już wytyczne EBA dotyczące wewnętrznych polityk, procedur i mechanizmów kontroli służących zapewnieniu stosowania unijnych i krajowych środków ograniczających. Ich znaczenie dla banków wykracza poza techniczne zasady kontroli list sankcyjnych. EBA traktuje sankcje jako obszar ładu organizacyjnego, w którym trzeba określić odpowiedzialność właściwych organów banku, wskazać odpowiedzialność na odpowiednio wysokim szczeblu oraz zapewnić przejrzysty podział zadań w całej organizacji. Wytyczne rozróżniają funkcję zarządzającą i nadzorczą organu zarządzającego w rozumieniu regulacji unijnych. W polskim dualistycznym modelu banku oznacza to odpowiednie przypisanie zadań zarządowi oraz radzie nadzorczej, z uwzględnieniem krajowego podziału kompetencji między te organy. Nie chodzi więc o przeniesienie obowiązków zarządczych na radę nadzorczą ani odwrotnie, lecz o zapewnienie, aby zarówno zarządzanie systemem sankcyjnym, jak i nadzór nad jego funkcjonowaniem miały wyraźnie określone miejsce w strukturze banku.

Po stronie zarządczej powinny być zapewnione odpowiednie ramy zarządzania ryzykiem, struktura organizacyjna, polityki i procedury, system kontroli oraz zasoby pozwalające na rzeczywiste wykonywanie obowiązków sankcyjnych. Po stronie nadzorczej znaczenie ma monitorowanie i ocena funkcjonowania przyjętych ram i mechanizmów kontrolnych. W efekcie odpowiedzialność organów nie sprowadza się do formalnego zatwierdzenia procedury przygotowanej przez funkcję zgodności. Chodzi o stworzenie i nadzorowanie warunków, w których system jest zdolny wykrywać ryzyko, właściwie je oceniać i reagować na przypadki wymagające decyzji.

EBA przewiduje również wyznaczenie członka wyższej kadry kierowniczej odpowiedzialnego za wykonywanie funkcji i zadań w zakresie zgodności ze środkami ograniczającymi. Funkcja ta może zostać połączona z inną funkcją kontrolną, w szczególności z funkcją zgodności z przepisami AML/CFT albo szerzej z funkcją zgodności, jeżeli odpowiada to zasadzie proporcjonalności, osoba posiada odpowiednie kompetencje, a połączenie ról nie prowadzi do konfliktu interesów ani do osłabienia skuteczności wykonywania obowiązków. Nie chodzi więc o stworzenie w każdym banku całkowicie nowego stanowiska. Kluczowe jest to, aby wykonywanie funkcji i zadań w obszarze środków ograniczających miało wyraźnie przypisaną odpowiedzialność na odpowiednio wysokim poziomie organizacji. Rozstrzygnięcie to jest szczególnie istotne z perspektywy delegowania zadań. W dużym banku większość czynności związanych ze środkami ograniczającymi musi być wykonywana przez rozbudowaną strukturę: zespoły operacyjne, analityków, jednostki KYC, ekspertów zajmujących się zgodnością sankcyjną, funkcję prawną czy pracowników biznesowych posiadających wiedzę o kliencie. Wytyczne pozwalają na delegowanie zadań, przy zachowaniu odpowiedzialności wyznaczonej osoby za skuteczne wykonywanie tych delegowanych funkcji i zadań w zakresie określonym przez EBA.

Właśnie tutaj wyraźnie widać różnicę pomiędzy odpowiedzialnością za funkcjonowanie systemu a kompetencją do podjęcia pojedynczej decyzji. To, że członek wyższej kadry kierowniczej odpowiada za wykonywanie określonych funkcji i zadań w ramach systemu sankcyjnego, nie oznacza, że powinien zatwierdzać każdą płatność, każdy alert albo każdy przypadek potencjalnego powiązania właścicielskiego. Taki model byłby organizacyjnie niewykonalny. Odpowiedzialność na tym poziomie oznacza przede wszystkim obowiązek zapewnienia, że wiadomo, kto powinien rozstrzygnąć dany przypadek, jakie informacje ma otrzymać i w jakich okolicznościach sprawa powinna zostać eskalowana wyżej. Ma to znaczenie także dla zarządu. Powinien on stworzyć architekturę, w której sprawy standardowe mogą być bezpiecznie rozstrzygane niżej, natomiast przypadki wykraczające poza przyjęty poziom ryzyka, standardową interpretację albo kompetencje danego szczebla trafiają na odpowiedni poziom eskalacji. Im lepiej zaprojektowany jest taki system, tym mniej decyzji musi faktycznie docierać na samą górę organizacji.

Wytyczne EBA pokazują również, dlaczego zgodność sankcyjna nie powinna być rozumiana jako zamknięta funkcja działająca obok pozostałych procesów banku. Skuteczne stosowanie środków ograniczających wymaga jasno określonych ról i odpowiedzialności w całej instytucji. Informacja istotna dla oceny może powstać w jednostce KYC, w procesie kredytowym, finansowaniu handlu albo w relacji z klientem. Jednostka operacyjna może jako pierwsza zauważyć nietypową konstrukcję płatności. Funkcja prawna może być potrzebna dopiero wtedy, gdy problem dotyczy wykładni konkretnego zakazu. Odpowiedzialność za funkcjonowanie systemu może być skoncentrowana, ale wykonywanie poszczególnych obowiązków jest z natury rozproszone. Nie wystarczy więc formalnie wskazać jednego departamentu jako „właściciela sankcji”. Jeżeli inne jednostki nie wiedzą, jakie informacje powinny przekazywać, kiedy należy zatrzymać standardowy proces i komu eskalować problem, odpowiedzialność przypisana na papierze nie zapewni skuteczności całego systemu. Z punktu widzenia ładu organizacyjnego równie ważne jak wskazanie jednostki odpowiedzialnej za koordynację procesu jest opisanie relacji pomiędzy wszystkimi jednostkami uczestniczącymi w jego wykonywaniu.

Szczególnego znaczenia nabiera możliwość podejmowania decyzji niezależnie od bieżącej presji biznesowej. Informacja o gospodarczym tle transakcji często będzie pochodziła właśnie z biznesu, ponieważ to doradca albo jednostka produktowa najlepiej zna klienta. Ta wiedza jest potrzebna do prawidłowej oceny, ale nie powinna przesądzać o sankcyjnej dopuszczalności czynności w sytuacji, w której jednostka biznesowa ma bezpośredni interes w jej wykonaniu. Nie każda kwalifikacja powinna również należeć wyłącznie do funkcji zgodności. Funkcja zajmująca się zgodnością sankcyjną może posiadać wiedzę potrzebną do oceny typowych przypadków, stosowania ustalonej metodologii i interpretacji utrwalonych zakazów. Niektóre sytuacje mogą jednak dotyczyć problemów prawnych, których nie da się bezpiecznie rozstrzygnąć wyłącznie na podstawie procedury operacyjnej. Pytanie o zakres kontroli nad podmiotem, charakter pośredniego udostępnienia, zastosowanie wyjątku lub interpretację niejednoznacznego przepisu może wymagać zaangażowania funkcji prawnej. Inne przypadki będą natomiast wymagały przede wszystkim wiedzy o produkcie albo przebiegu konkretnej transakcji.

Dlatego odpowiedzialność za zgodność sankcyjną nie powinna być utożsamiana z monopolem jednej funkcji na podejmowanie wszystkich decyzji. Jeżeli problem można rozstrzygnąć według ustalonej metodologii, powinien pozostać na poziomie operacyjnym. Jeżeli wymaga specjalistycznej oceny, powinien trafić do właściwej funkcji kontrolnej. Jeżeli pojawia się istotna kwestia prawna, potrzebne może być stanowisko funkcji prawnej. Jeżeli sprawa jest precedensowa, ma znaczącą wartość albo może wpływać na sposób stosowania sankcji wobec całej kategorii klientów czy produktów, może wymagać jeszcze wyższego poziomu decyzji. W tym sensie wytyczne EBA nie odpowiadają wprost na pytanie, kto ma podjąć decyzję „wykonać” albo „nie wykonać”. Tworzą natomiast ramę, w której bank powinien sam udzielić na to pytanie odpowiedzi. Zarząd i rada nadzorcza wykonują przypisane im funkcje w zakresie ustanowienia, funkcjonowania i nadzorowania skutecznego systemu. Wyznaczony członek wyższej kadry kierowniczej odpowiada za przewidziane w wytycznych funkcje i zadania dotyczące środków ograniczających. Poszczególne zadania mogą być wykonywane na różnych poziomach i przez różne jednostki.

Jest jednak jeszcze jeden element, którego przy projektowaniu takiego modelu nie można pominąć. Zadania nie mogą być rozdzielane wyłącznie według kryterium wiedzy i sprawności operacyjnej. Trzeba je również umieścić we właściwej części systemu kontroli wewnętrznej i zapewnić, że wybrany model nie prowadzi do konfliktów interesów ani do zatarcia niezależności funkcji kontrolnych.

Decyzja sankcyjna w trzech liniach obrony

Bank nie projektuje procesu sankcyjnego poza swoim systemem kontroli wewnętrznej. Polski model wymaga funkcjonowania systemu zarządzania ryzykiem i kontroli wewnętrznej na trzech niezależnych poziomach, określanych w praktyce jako trzy linie obrony. Pierwszy poziom obejmuje zarządzanie ryzykiem w działalności operacyjnej banku. Drugi – niezależne od pierwszego poziomu zarządzanie ryzykiem oraz działalność komórki do spraw zgodności. Trzeci tworzy audyt wewnętrzny. To rozróżnienie nie jest wyłącznie elementem schematu organizacyjnego. Określa sposób rozłożenia odpowiedzialności za ryzyko oraz możliwość późniejszej niezależnej oceny, czy mechanizmy kontrolne działają prawidłowo. Dlatego również proces sankcyjny powinien być projektowany tak, aby role poszczególnych uczestników odpowiadały funkcjom wykonywanym przez nich w systemie kontroli wewnętrznej.

Pierwsza linia obrony nie może być traktowana jako pasywny dostarczyciel danych do wyspecjalizowanej jednostki sankcyjnej. To w działalności operacyjnej powstaje znaczna część informacji potrzebnych do identyfikowania ryzyka. Jednostka biznesowa zna klienta i ekonomiczny cel relacji. Proces kredytowy dostarcza wiedzy o przeznaczeniu finansowania. Finansowanie handlu pozwala zobaczyć dokumentację dotyczącą towaru, transportu i uczestników transakcji. Jednostki płatnicze widzą strukturę transferu środków. KYC gromadzi informacje o klientach, reprezentantach, beneficjentach rzeczywistych i strukturach właścicielskich. Z punktu widzenia sankcji informacje te mogą okazać się równie ważne jak wynik kontroli list sankcyjnych. Pierwsza linia powinna więc posiadać odpowiednie mechanizmy kontrolne, znać podstawowe sygnały wymagające uwagi i wiedzieć, kiedy standardowy proces może być kontynuowany, a kiedy konieczne jest przekazanie sprawy do dalszej oceny. Odpowiedzialność pierwszej linii za zarządzanie ryzykiem nie znika dlatego, że bank posiada wyspecjalizowany zespół sankcyjny. Nie oznacza to oczywiście, że pracownik biznesowy albo operacyjny ma samodzielnie dokonywać złożonej wykładni rozporządzenia sankcyjnego. Właściwe rozłożenie odpowiedzialności polega właśnie na odróżnieniu obowiązku rozpoznania problemu od obowiązku jego specjalistycznej oceny. Pierwsza linia powinna potrafić zidentyfikować sytuację, w której dalsze działanie wymaga zaangażowania odpowiedniej wiedzy. Nie można natomiast budować modelu, w którym odpowiedzialność za rozpoznanie ryzyka zaczyna się dopiero wtedy, gdy sprawa trafi do funkcji zgodności.

Druga linia obrony ma inną funkcję. Na tym poziomie znajduje się między innymi komórka do spraw zgodności, a zarządzanie ryzykiem powinno być wykonywane niezależnie od działalności pierwszej linii. W obszarze sankcji właśnie tutaj naturalnie lokują się zadania dotyczące metodologii, standardów postępowania, monitorowania ryzyka zgodności, oceny działania mechanizmów kontrolnych, doradztwa oraz specjalistycznego wsparcia w przypadkach wykraczających poza standardowe kompetencje działalności operacyjnej. Nie wynika z tego jednak, że druga linia powinna stać się centralnym wykonawcą wszystkich procesów sankcyjnych. Gdyby każdy alert, każda nietypowa płatność i każdy problem związany z klientem automatycznie przechodził z pierwszej linii do funkcji zgodności, odpowiedzialność pierwszej linii za zarządzanie ryzykiem zostałaby w praktyce osłabiona. Funkcja kontrolna zaczęłaby wykonywać za działalność operacyjną zadania, które powinny pozostać częścią jej własnego procesu.

Pojawia się również drugi problem. Im większa część bieżących decyzji operacyjnych jest przejmowana przez drugą linię, tym trudniej zachować jej zdolność do niezależnego monitorowania mechanizmów, w których sama uczestniczyła. Nie oznacza to, że funkcja zgodności nie może uczestniczyć w rozstrzyganiu konkretnych przypadków ani że każda jej akceptacja decyzji prowadzi do niedopuszczalnego konfliktu. Przy trudnych sprawach jej udział może być wręcz konieczny. Model powinien jednak rozróżniać sytuację, w której druga linia zapewnia niezależną ocenę albo wymagane współdecydowanie, od sytuacji, w której zaczyna stale zastępować pierwszą linię w prowadzeniu działalności operacyjnej. To rozróżnienie jest szczególnie ważne przy sankcjach. Materialny zakaz wynikający ze środka ograniczającego nie jest zwykłym ryzykiem biznesowym, które można zaakceptować w ramach apetytu na ryzyko. Jeżeli określona czynność jest prawnie zakazana, interes ekonomiczny banku lub klienta nie może przeważyć nad obowiązkiem jej niewykonania. Równocześnie proces prowadzący do ustalenia, czy zakaz rzeczywiście znajduje zastosowanie, nadal powinien respektować podział odpowiedzialności pomiędzy linie obrony.

Trzecia linia znajduje się poza tym bieżącym procesem decyzyjnym. Audyt wewnętrzny powinien mieć możliwość niezależnej i obiektywnej oceny adekwatności i skuteczności systemu zarządzania ryzykiem i kontroli wewnętrznej. W obszarze sankcji oznacza to możliwość zbadania między innymi tego, czy właściwie rozdzielono role, czy pierwsza linia wykonuje przypisane jej mechanizmy kontrolne, czy druga linia rzeczywiście zachowuje niezależność, czy progi eskalacji działają oraz czy system prowadzi trudne przypadki do właściwych osób. Dlatego audyt wewnętrzny nie powinien stawać się kolejnym szczeblem bieżącej eskalacji sankcyjnej. Jeżeli uczestniczyłby w podejmowaniu konkretnej decyzji, późniejsza niezależna ocena tego samego procesu zostałaby utrudniona. Trzecia linia ma oceniać system oraz sposób jego funkcjonowania, a nie przejmować odpowiedzialność za decyzję dotyczącą pojedynczej płatności.

Trzy linie obrony pokazują więc, że odpowiedź na pytanie „kto decyduje?” nie może polegać wyłącznie na znalezieniu osoby posiadającej największą wiedzę o sankcjach. Trzeba również uwzględnić funkcję organizacyjną tej osoby. Ekspert sankcyjny może być najlepszym źródłem merytorycznej oceny, ale miejsce, w którym funkcjonuje, wpływa na to, jaką rolę powinien pełnić w procesie decyzyjnym. Ta sama wiedza może służyć wykonaniu kontroli w pierwszej linii, niezależnej ocenie w drugiej linii albo późniejszej weryfikacji systemu przez trzecią linię. Nie są to role zamienne. Nie każda jednostka uczestnicząca w decyzji sankcyjnej musi natomiast sama tworzyć odrębną linię obrony. Dobrym przykładem jest funkcja prawna. Nie staje się ona automatycznie „kolejną linią” tylko dlatego, że uczestniczy w trudnym przypadku. Jej miejsce w strukturze zależy od modelu przyjętego przez bank, natomiast jej funkcję w samym procesie sankcyjnym można opisać znacznie precyzyjniej: ma dostarczyć kwalifikacji prawnej tam, gdzie wynik sprawy zależy od wykładni przepisu, konstrukcji prawnej relacji albo zakresu obowiązku wynikającego ze środka ograniczającego.

To pozwala również lepiej zrozumieć relację pomiędzy funkcją prawną i funkcją zgodności. Funkcja zgodności może identyfikować ryzyko, stosować metodologię sankcyjną i oceniać przypadek z perspektywy zgodności działania banku. Funkcja prawna może rozstrzygnąć zagadnienie interpretacyjne niezbędne do tej oceny. Samo przedstawienie opinii prawnej nie oznacza jednak automatycznie przejęcia końcowej decyzji dotyczącej transakcji.

W tle całego tego podziału znajduje się jeszcze jedna zasada: struktura organizacyjna i rozdział kompetencji powinny ograniczać ryzyko konfliktów interesów oraz pozwalać funkcjom kontrolnym wykonywać ich zadania w sposób niezależny. W obszarze sankcji ma to bardzo praktyczne konsekwencje. Najbardziej oczywisty konflikt może powstać po stronie biznesu. Jednostka posiadająca najlepszą wiedzę o kliencie może równocześnie mieć interes w wykonaniu transakcji, utrzymaniu relacji, udzieleniu finansowania albo realizacji określonego wyniku. Nie oznacza to, że jej wiedzę należy pomijać. Przeciwnie, bez niej analiza może być niepełna. Oznacza natomiast, że interes ekonomiczny tej jednostki nie powinien przesądzać o wyniku kwalifikacji sankcyjnej. Konflikt może jednak powstać także w mniej oczywistym miejscu. Jeżeli druga linia projektuje metodologię, wykonuje każdą analizę, podejmuje wszystkie decyzje dotyczące trudniejszych przypadków, a następnie sama monitoruje skuteczność systemu, pojawia się ryzyko oceny własnych działań. Nie oznacza to konieczności całkowitego oddzielenia funkcji doradczej, kontrolnej i eksperckiej. Wymaga natomiast świadomego zaprojektowania mechanizmów, które pozwalają zachować niezależność tam, gdzie jest ona potrzebna.

Podobnie funkcja prawna może znaleźć się w sytuacji, w której jej opinia jest później traktowana jako formalne uzasadnienie decyzji podjętej faktycznie gdzie indziej. Jeżeli procedura nie rozróżnia opinii prawnej, oceny zgodności i decyzji operacyjnej, z czasem trudno ustalić, która z funkcji rzeczywiście wykonywała określoną kompetencję. Problem konfliktu interesów łączy się wtedy bezpośrednio z problemem odpowiedzialności. Dlatego architektura sankcyjna powinna odpowiadać nie tylko na pytanie, kto posiada odpowiednią wiedzę, ale również na pytanie, czy miejsce tej osoby w strukturze pozwala jej wykonać daną rolę bez naruszenia niezależności wymaganej od jej funkcji. Pierwsza linia musi zarządzać ryzykiem, druga zachować zdolność do niezależnej oceny, a trzecia pozostawać poza bieżącym podejmowaniem decyzji, które później ma badać.

Dopiero na tak zbudowanym szkielecie można rozłożyć pojedynczą decyzję sankcyjną na jej podstawowe elementy. W praktyce bowiem w jednym procesie kryją się co najmniej trzy różne funkcje: ktoś musi problem zidentyfikować, ktoś musi go ocenić, a ktoś musi na podstawie tej oceny zdecydować, co bank zrobi.

Identyfikacja, ocena i decyzja: trzy różne etapy jednego procesu

W praktyce pojęcie „decyzji sankcyjnej” obejmuje kilka różnych czynności, które łatwo traktować jako jeden proces tylko dlatego, że następują po sobie. Tymczasem dla prawidłowego rozłożenia kompetencji w banku zasadnicze znaczenie ma ich rozdzielenie. Czym innym jest wykrycie okoliczności mogącej mieć znaczenie sankcyjne, czym innym jej merytoryczna kwalifikacja, a jeszcze czym innym podjęcie decyzji o tym, co bank ma zrobić z konkretną transakcją albo relacją. Pierwszym etapem jest identyfikacja. Najbardziej oczywistym przykładem pozostaje trafienie wygenerowane przez system kontroli list sankcyjnych, ale – jak pokazano w pierwszym artykule tej serii – sygnał sankcyjny może powstać również poza klasyczną kontrolą nazw podmiotów. Może wynikać z informacji o strukturze własnościowej klienta, danych dotyczących celu finansowania, dokumentacji finansowania handlu, informacji o towarze albo technologii, kierunku płatności czy wiedzy posiadanej przez pracownika pozostającego w bezpośrednim kontakcie z klientem.

Na tym etapie nie dochodzi jeszcze do stwierdzenia naruszenia środka ograniczającego. Zadaniem osoby albo systemu identyfikującego problem jest rozpoznanie, że określona okoliczność nie powinna zostać potraktowana jako standardowa i wymaga dalszego sprawdzenia. Ma to podstawowe znaczenie dla konstrukcji odpowiedzialności wewnętrznej. Pracownik, który zauważa nietypową informację i przekazuje ją dalej zgodnie z procedurą, nie musi posiadać kompetencji do samodzielnego rozstrzygnięcia, jakie skutki prawne z niej wynikają. Taki model jest konieczny, jeżeli sankcje mają być stosowane w całej organizacji, a nie wyłącznie w wyspecjalizowanej jednostce. Doradca klienta może wiedzieć, że zmienił się sposób prowadzenia określonego przedsięwzięcia. Pracownik kredytowy może dysponować informacją o końcowym przeznaczeniu finansowanego aktywa. Zespół finansowania handlu może zauważyć zmianę w dokumentach przewozowych. Jednostka operacyjna może zidentyfikować nietypową trasę płatności. Trudno oczekiwać, aby każda z tych osób dokonywała pełnej kwalifikacji według właściwego rozporządzenia sankcyjnego. Można natomiast oczekiwać, że system wskaże im, kiedy informacja powinna zostać przekazana do dalszej analizy. Właśnie na tym etapie szczególnie widoczna jest rola pierwszej linii obrony. Identyfikacja nie może być sprowadzona do działania systemu informatycznego ani do obowiązku wyspecjalizowanego zespołu sankcyjnego. Jeżeli informacje istotne dla ryzyka powstają w procesie biznesowym albo operacyjnym, mechanizm kontrolny powinien zapewniać ich dostrzeżenie i właściwe przekazanie. W przeciwnym razie druga linia może otrzymać do analizy jedynie te problemy, które da się wykryć na podstawie danych dostępnych w jej własnych narzędziach.

Drugim etapem jest ocena. Tutaj pojawia się konieczność ustalenia, czy zidentyfikowana okoliczność rzeczywiście ma znaczenie z perspektywy konkretnego środka ograniczającego. Sam fakt wystąpienia sygnału nie odpowiada jeszcze na pytanie, czy bank ma obowiązek zamrożenia środków, czy doszłoby do ich niedozwolonego udostępnienia, czy transakcja dotyczy zakazanego towaru albo usługi ani czy mamy do czynienia z próbą obejścia sankcji. Ocena wymaga przejścia od informacji faktycznej do kwalifikacji prawnej. Trzeba ustalić właściwy reżim sankcyjny, zakres konkretnego zakazu, ewentualne wyjątki i zezwolenia oraz znaczenie faktów ustalonych w danej sprawie. W części przypadków proces ten może być stosunkowo prosty. Trafienie może okazać się oczywistym fałszywym trafieniem, struktura własnościowa może nie budzić wątpliwości, a dana transakcja może jednoznacznie pozostawać poza zakresem właściwego środka ograniczającego. W takich przypadkach ustalona metodologia powinna pozwalać na zakończenie analizy bez angażowania kolejnych szczebli organizacji.

Inaczej jest wtedy, gdy problem nie daje się rozstrzygnąć poprzez zastosowanie standardowej reguły. Ocena kontroli nad podmiotem może wymagać analizy szczególnych uprawnień korporacyjnych. Możliwe pośrednie udostępnienie środków może zależeć od rzeczywistej funkcji kilku podmiotów uczestniczących w strukturze. Sankcja gospodarcza może wymagać kwalifikacji towaru, technologii albo rodzaju świadczonej usługi. Pojawić się może także pytanie, czy konkretny wyjątek znajduje zastosowanie albo czy wykonanie czynności wymaga uzyskania zezwolenia właściwego organu. W takich przypadkach rola funkcji zajmującej się zgodnością sankcyjną polega przede wszystkim na przeprowadzeniu albo skoordynowaniu merytorycznej oceny ryzyka sankcyjnego. Jeżeli problem staje się problemem wykładni prawa, naturalne może być zaangażowanie funkcji prawnej. Jeżeli jego rozstrzygnięcie zależy od parametrów technicznych towaru, konieczne może być uzyskanie informacji od klienta albo specjalisty produktowego. Jeżeli znaczenie ma sposób funkcjonowania danej relacji gospodarczej, niezbędna może okazać się wiedza jednostki biznesowej.

Ocena sankcyjna ma więc często charakter interdyscyplinarny. Nie zmienia to potrzeby wskazania osoby lub funkcji odpowiedzialnej za jej skoordynowanie i doprowadzenie do jednoznacznego wyniku. Wielość uczestników procesu nie może prowadzić do sytuacji, w której każda jednostka przedstawia fragment własnej analizy, ale nikt nie zestawia ich w sposób pozwalający określić konsekwencje dla dalszego działania banku. Na tym etapie trzeba także uwzględnić relację pomiędzy pierwszą i drugą linią. Ocena może obejmować działania wykonywane w pierwszej linii według metodologii określonej przez bank, a w przypadkach przekraczających jej mandat wymagać niezależnego stanowiska drugiej linii. Samo przekazanie sprawy wyżej nie powinno jednak zacierać pierwotnej odpowiedzialności za proces. Eskalacja do funkcji zgodności ma dostarczyć odpowiedniej oceny lub kontroli, a nie automatycznie przenieść na nią całe ryzyko operacyjne związane z transakcją.

Dopiero trzeci etap stanowi właściwa decyzja. Jest nią rozstrzygnięcie, co bank zrobi w świetle przeprowadzonej oceny. W zależności od charakteru sprawy może chodzić o wykonanie płatności, czasowe wstrzymanie jej realizacji na potrzeby dalszej analizy, niewykonanie płatności, zamrożenie środków albo pozostawienie ich do dyspozycji klienta, udzielenie albo nieudzielenie finansowania, wykonanie innej usługi, pozyskanie dalszych informacji albo uruchomienie procedury związanej z uzyskaniem zezwolenia. Rozdzielenie oceny i decyzji jest szczególnie ważne. Opinia funkcji zajmującej się zgodnością sankcyjną, że określony zakaz znajduje zastosowanie, może w praktyce bardzo silnie determinować dalsze działanie banku. Nie zawsze oznacza to jednak, że ta sama funkcja powinna być formalnym właścicielem każdej decyzji operacyjnej. W innych przypadkach funkcja zgodności może wskazać, że ryzyka sankcyjnego nie można wykluczyć na podstawie dostępnych informacji, ale decyzja o dalszym postępowaniu będzie wymagała zastosowania przyjętego w banku mechanizmu eskalacji.

Trzeba przy tym zachować szczególną ostrożność przy używaniu pojęcia „decyzji biznesowej”. Jeżeli z przeprowadzonej oceny wynika, że konkretna czynność jest zakazana przez mający zastosowanie środek ograniczający, bank nie stoi przed klasycznym wyborem pomiędzy różnymi poziomami akceptowanego ryzyka. W takim przypadku dalsze działanie jest determinowane obowiązkiem prawnym. Przestrzeń decyzyjna może dotyczyć sposobu wykonania tego obowiązku, dalszego postępowania z klientem czy uzyskania zezwolenia, ale nie możliwości świadomego zaakceptowania naruszenia sankcji w zamian za korzyść gospodarczą. Nie należy przy tym sprowadzać decyzji sankcyjnej do prostego wyboru pomiędzy „wykonać” i „nie wykonać”. Szczególnie ważne jest rozróżnienie pomiędzy czasowym wstrzymaniem realizacji czynności na potrzeby analizy, niewykonaniem transakcji z powodu właściwego zakazu oraz zamrożeniem środków. Zamrożenie jest konsekwencją wynikającą z określonego materialnego obowiązku i nie może być traktowane jako ogólne narzędzie ostrożnościowe stosowane zawsze wtedy, gdy bank ma wątpliwości. Te działania mają odmienne podstawy prawne i mogą wywoływać różne skutki dla banku oraz klienta.

Podobnie samo wystąpienie ryzyka obejścia sankcji nie oznacza jeszcze, że bank może automatycznie zastosować wszystkie konsekwencje właściwe dla stwierdzonego naruszenia. Ryzyko może uzasadniać pogłębienie analizy, żądanie dodatkowych informacji lub eskalację przypadku, ale końcowe działanie powinno wynikać z kwalifikacji konkretnego stanu faktycznego i właściwego środka ograniczającego. 

Właśnie dlatego trzy etapy procesu powinny mieć różnie zdefiniowane progi kompetencyjne. Identyfikacja musi być możliwie szeroka, ponieważ sygnał może pojawić się w wielu częściach organizacji. Ocena powinna być dokonywana tam, gdzie znajduje się odpowiednia wiedza sankcyjna, prawna lub produktowa, z zachowaniem wymaganej roli funkcji kontrolnych. Decyzja musi natomiast należeć do osoby lub jednostki posiadającej formalny mandat do wywołania określonego skutku dla klienta i banku. Nie oznacza to konieczności organizacyjnego oddzielenia każdej z tych czynności w każdym przypadku. Przy prostych sprawach ta sama osoba może zidentyfikować trafienie, ocenić je według ustalonej metodologii i zamknąć alert, jeżeli odpowiada to zakresowi jej obowiązków i modelowi kontroli przyjętemu przez bank. Rozdzielenie ma przede wszystkim charakter funkcjonalny. Procedura powinna pozwalać ustalić, kiedy pracownik wykonuje standardową analizę w granicach swojego mandatu, a kiedy pojawia się problem wymagający udziału innej funkcji albo decyzji na wyższym szczeblu. To prowadzi do kolejnego elementu architektury: nie każda decyzja sankcyjna wymaga tego samego poziomu wiedzy, formalnego umocowania i odpowiedzialności.

Nie każda decyzja wymaga tego samego poziomu kompetencji

Rozdzielenie identyfikacji, oceny i decyzji nie rozwiązuje jeszcze problemu odpowiedzialności decyzyjnej. Trzeba bowiem odpowiedzieć na pytanie, które sprawy mogą zostać zakończone na poziomie standardowego procesu operacyjnego, a które powinny zostać przekazane wyżej. W praktyce właśnie sposób wyznaczenia tej granicy będzie decydował o tym, czy system sankcyjny pozostanie jednocześnie skuteczny i operacyjnie wykonalny. Nie ma podstaw, aby wszystkie przypadki sankcyjne traktować tak samo. Znaczna część alertów generowanych przez system kontroli list sankcyjnych będzie nadal dotyczyła sytuacji typowych, dla których bank posiada ustaloną metodologię i wystarczające informacje pozwalające na jednoznaczne rozstrzygnięcie. Jeżeli podobieństwo nazwy okazuje się oczywistym fałszywym trafieniem albo z przyjętych kryteriów jednoznacznie wynika, że dana relacja nie mieści się w zakresie określonego środka ograniczającego, eskalowanie sprawy do kolejnych funkcji nie zwiększa jakości decyzji. Powoduje natomiast wzrost kosztu procesu i obciążenie osób, które powinny zajmować się przypadkami rzeczywiście wymagającymi eksperckiej oceny.

Granica pojawia się tam, gdzie standardowa metodologia przestaje prowadzić do jednoznacznej odpowiedzi. Może chodzić o strukturę własnościową, w której formalny udział osoby sankcjonowanej nie przesądza jeszcze o sprawowaniu kontroli, ale istnieją dodatkowe uprawnienia pozwalające wpływać na działania spółki. Może pojawić się pytanie, czy przekazanie środków podmiotowi niewpisanemu na listę stanowi w konkretnym układzie pośrednie udostępnienie wartości osobie sankcjonowanej. Przy sankcjach gospodarczych wątpliwość może dotyczyć kwalifikacji towaru, zakresu zakazanej usługi, miejsca końcowego wykorzystania albo zastosowania określonego wyjątku. W takich przypadkach wartość eskalacji nie polega na samym przesunięciu decyzji do osoby zajmującej wyższe stanowisko. Dyrektor departamentu nie musi posiadać większej wiedzy o klasyfikacji towarów niż ekspert finansowania handlu, a członek zarządu nie musi lepiej interpretować zakresu określonego zakazu niż prawnik zajmujący się sankcjami. Poziom eskalacji powinien więc odpowiadać zarówno wadze sprawy, jak i rodzajowi problemu, który wymaga rozstrzygnięcia.

To prowadzi do rozróżnienia eskalacji merytorycznej i decyzyjnej. Pierwsza służy pozyskaniu wiedzy potrzebnej do prawidłowej kwalifikacji przypadku. Sprawa może zostać przekazana do bardziej doświadczonego analityka, funkcji zajmującej się zgodnością sankcyjną, zespołu prawnego, eksperta produktowego albo innej jednostki posiadającej informacje niezbędne do oceny. Druga dotyczy natomiast sytuacji, w której kwalifikacja została już dokonana, ale ze względu na charakter lub znaczenie sprawy ostateczne rozstrzygnięcie powinno zostać podjęte na wyższym poziomie organizacji. Te dwa rodzaje eskalacji nie zawsze będą występowały razem. Trudny problem prawny może wymagać opinii funkcji prawnej, ale po jego rozstrzygnięciu decyzja operacyjna może nadal należeć do jednostki posiadającej odpowiedni mandat do wykonania czynności. Z kolei przypadek prawnie stosunkowo prosty może wymagać wyższego poziomu decyzyjnego ze względu na skalę jego konsekwencji, wartość transakcji, znaczenie relacji z klientem albo możliwość oddziaływania na szerszą grupę produktów i klientów.

Równie istotne jest odróżnienie eskalacji pomiędzy szczeblami organizacji od przejścia pomiędzy liniami obrony. Przekazanie przypadku z pierwszej do drugiej linii nie musi oznaczać, że druga linia przejmuje całą odpowiedzialność za jego dalszy przebieg. Może oznaczać konieczność uzyskania niezależnej oceny, zastosowania dodatkowego mechanizmu kontrolnego albo uzyskania stanowiska, które zgodnie z procedurą jest warunkiem dalszej decyzji pierwszej linii. Jeżeli procedura nie opisuje tej różnicy, samo słowo „eskalacja” może ukrywać bardzo różne modele odpowiedzialności.

Szczególnego znaczenia nabierają przypadki precedensowe. Jeżeli bank po raz pierwszy musi rozstrzygnąć, czy określony model działalności albo konstrukcja transakcji mieści się w zakresie nowego zakazu, decyzja może wykraczać daleko poza pojedynczą operację. Przyjęta interpretacja stanie się w praktyce regułą dla kolejnych podobnych przypadków. Wtedy problemem jest nie tylko to, czy wykonać konkretną płatność, lecz również to, jaki standard bank zamierza stosować wobec całej kategorii transakcji. Takie sprawy uzasadniają wyższy poziom zaangażowania dlatego, że pojedyncza decyzja może ukształtować sposób działania całej instytucji. Błąd nie pozostanie wtedy ograniczony do jednego przypadku. Może zostać powielony w kolejnych procesach, a utrwalona metodologia może przez dłuższy czas kierować decyzje w niewłaściwą stronę.

Znaczenie może mieć również wartość i charakter konkretnej czynności. Wysoka kwota sama w sobie nie przesądza o większym ryzyku naruszenia sankcji, podobnie jak niewielka płatność nie jest automatycznie sankcyjnie nieistotna. Z punktu widzenia ładu organizacyjnego wartość transakcji może jednak być jednym z elementów wpływających na wymagany poziom autoryzacji, zwłaszcza jeżeli potencjalne skutki błędnej decyzji dla banku są szczególnie poważne. Kryterium finansowe powinno więc uzupełniać ocenę merytoryczną, a nie ją zastępować.

Podobnie należy traktować znaczenie klienta albo produktu. Fakt, że sprawa dotyczy kluczowego klienta, nie może prowadzić do obniżenia standardu sankcyjnego. Może natomiast uzasadniać szczególnie staranne zarządzanie procesem decyzyjnym i zapewnienie, że ostateczna decyzja została podjęta niezależnie od presji biznesowej. Właśnie w takich przypadkach wyraźne określenie kompetencji i właściwe rozdzielenie ich pomiędzy linie obrony chroni zarówno funkcję kontrolną, jak i biznes przed sytuacją, w której odpowiedzialność za trudne rozstrzygnięcie zaczyna być nieformalnie przenoszona pomiędzy jednostkami.

Właściwie zaprojektowane progi decyzyjne powinny więc opierać się na kilku grupach kryteriów. Znaczenie ma stopień niepewności prawnej, kompletność informacji, rodzaj środka ograniczającego, możliwość obejścia sankcji, precedensowy charakter sprawy, potencjalny wpływ na większą liczbę transakcji oraz skala konsekwencji dla banku. Nie wszystkie elementy muszą występować jednocześnie. Ich funkcją jest wskazanie momentu, w którym osoba działająca na poziomie standardowym powinna uznać, że dalsze rozstrzygnięcie wykracza poza jej mandat. Taki model wymaga jednak, aby mandat był opisany wystarczająco precyzyjnie. Nie wystarczy określenie, że analityk może rozstrzygać „proste przypadki”, a przypadki „trudne” powinien eskalować. Pracownik musi wiedzieć, jakie okoliczności powodują utratę kompetencji do samodzielnego zakończenia sprawy. Może chodzić o brak możliwości jednoznacznego ustalenia statusu własnościowego, zastosowanie wyjątku wymagającego interpretacji, niepełne informacje dotyczące przedmiotu transakcji, rozbieżność pomiędzy jednostkami uczestniczącymi w analizie albo odejście od wcześniej przyjętej metodologii.

Jednocześnie system powinien przeciwdziałać eskalacji automatycznej. Jeżeli każde odstępstwo od typowej transakcji powoduje przekazanie sprawy do centralnego zespołu zajmującego się zgodnością sankcyjną, funkcja ta szybko stanie się wąskim gardłem całego procesu. Z czasem może to prowadzić do paradoksalnego rezultatu: najbardziej doświadczeni specjaliści będą zajmowali się ogromną liczbą prostych przypadków, podczas gdy czas potrzebny na analizę rzeczywiście trudnych spraw będzie się wydłużał. Może to również prowadzić do osłabienia odpowiedzialności pierwszej linii. Jeżeli praktyczną odpowiedzią na każdą wątpliwość staje się przekazanie sprawy drugiej linii, pracownicy działalności operacyjnej mogą zacząć traktować ryzyko sankcyjne jako ryzyko należące do funkcji zgodności. Tymczasem prawidłowy model wymaga, aby pierwsza linia wykonywała własne zadania kontrolne i kończyła sprawy mieszczące się w granicach jej kompetencji, korzystając z drugiej linii tam, gdzie wymaga tego charakter problemu lub przyjęty mechanizm kontroli.

Dlatego progi eskalacyjne powinny działać w obu kierunkach. Z jednej strony muszą chronić pracownika przed podejmowaniem decyzji wykraczających poza jego kompetencje. Z drugiej powinny chronić organizację przed przekazywaniem wyżej spraw, które zgodnie z ustaloną metodologią mogą zostać bezpiecznie zakończone niżej. Odpowiedzialność decyzyjna polega na podejmowaniu rozstrzygnięć na najniższym poziomie, który dysponuje wystarczającą wiedzą, mandatem i możliwością właściwej oceny, przy jednoczesnym zachowaniu roli przypisanej danej jednostce w systemie kontroli wewnętrznej.

W tym miejscu szczególnego znaczenia nabiera rola zarządu. Nie powinien on zastępować funkcji zajmującej się zgodnością sankcyjną ani pierwszej linii w rozstrzyganiu poszczególnych przypadków. Jego zadaniem jest przede wszystkim zatwierdzenie modelu, w którym wiadomo, jakie decyzje mogą być podejmowane na poszczególnych poziomach, jakie są kryteria eskalacji, w jaki sposób rozdzielone są zadania pomiędzy linie obrony oraz które kategorie spraw ze względu na ich znaczenie powinny być przedstawiane wyżej. Zarząd odpowiada więc za architekturę odpowiedzialności w zakresie swoich kompetencji, a nie za ręczne wykonywanie procesu. Podobne podejście powinno dotyczyć członka wyższej kadry kierowniczej odpowiedzialnego za przewidziane w wytycznych EBA funkcje i zadania w zakresie środków ograniczających. Jego rola nie polega na osobistym zatwierdzaniu każdego przypadku, lecz na zapewnieniu, że sposób delegowania zadań i uprawnień nie prowadzi do luk decyzyjnych ani do konfliktów ról. Powinna być możliwa odpowiedź na pytanie, czy w każdej kategorii spraw istnieje osoba lub funkcja, która może doprowadzić proces do końca, oraz czy wiadomo, co należy zrobić w przypadku przekroczenia jej kompetencji.

Problem staje się szczególnie widoczny wtedy, gdy jednostki uczestniczące w procesie różnią się w ocenie konkretnego przypadku. Biznes może wskazywać na gospodarcze uzasadnienie transakcji, funkcja zajmująca się zgodnością sankcyjną może dostrzegać ryzyko wynikające z jej konstrukcji, a funkcja prawna może uznać, że właściwy przepis pozwala na więcej niż sugeruje ostrożnościowa praktyka banku. Jeżeli procedura nie odpowiada na pytanie, kto rozstrzyga taki konflikt, formalny podział ról przestaje działać właśnie w najbardziej wymagającym przypadku. Dlatego bank potrzebuje nie tylko ścieżki eskalacji, ale również jednoznacznych reguł kończenia sporu kompetencyjnego. Nie każda różnica zdań powinna trafiać do zarządu, ale każda powinna mieć z góry określony sposób rozstrzygnięcia. W przeciwnym razie realnym decydentem może stać się ta jednostka, która technicznie kontroluje wykonanie transakcji, mimo że nie została do tego merytorycznie ani formalnie umocowana.

Właśnie na tym tle widać ograniczenie procedur opartych na ogólnym poleceniu, aby „w razie wątpliwości skontaktować się z funkcją zgodności”. Taka reguła wskazuje kierunek pierwszej eskalacji, ale nie opisuje rzeczywistej architektury odpowiedzialności.

VII. „W razie wątpliwości skontaktuj się z funkcją zgodności” już nie wystarczy

W wielu procedurach wewnętrznych punkt styku pomiędzy procesem operacyjnym a funkcją zgodności opisuje się stosunkowo prostą regułą: jeżeli pracownik ma wątpliwość, powinien przekazać sprawę do dalszej analizy. Takie rozwiązanie ma oczywistą zaletę. Pozwala uniknąć sytuacji, w której osoba nieposiadająca specjalistycznej wiedzy samodzielnie rozstrzyga problem sankcyjny. Wraz ze wzrostem złożoności środków ograniczających i znaczenia decyzji podejmowanych przez bank sama instrukcja „skontaktuj się z funkcją zgodności” przestaje jednak odpowiadać na najważniejsze pytania.

Po osadzeniu procesu sankcyjnego w systemie trzech linii obrony pojawia się jeszcze jedno zastrzeżenie. Ogólna reguła eskalowania wszystkich wątpliwości do funkcji zgodności może nieświadomie prowadzić do przeniesienia na drugą linię zadań należących do działalności operacyjnej. W prawidłowo zbudowanym modelu pierwsza linia nie tylko wykrywa problem, lecz również wykonuje te elementy kontroli i analizy, które zgodnie z przyjętym podziałem kompetencji pozostają jej zadaniem. Dopiero określone zdarzenie powinno uruchamiać udział drugiej linii.

Pierwsze pytanie dotyczy więc samego pojęcia wątpliwości. Jeżeli procedura nie określa, jakie okoliczności powodują konieczność eskalacji, pracownik musi sam zdecydować, czy jego poziom niepewności jest już wystarczający, aby zatrzymać standardowy proces. W praktyce może to prowadzić do dwóch przeciwnych rezultatów. Jedna osoba będzie eskalowała niemal każdy nietypowy przypadek, druga uzna podobną sytuację za mieszczącą się jeszcze w granicach zwykłej analizy. Formalnie obie wykonują tę samą procedurę, ale rzeczywisty standard działania banku zaczyna zależeć od indywidualnej ostrożności pracownika.

Dlatego procedura powinna w możliwie precyzyjny sposób określać zdarzenia powodujące utratę kompetencji do samodzielnego zakończenia sprawy. Nie musi to oznaczać stworzenia zamkniętego katalogu wszystkich możliwych sytuacji sankcyjnych. Przy tak dynamicznym i zróżnicowanym reżimie byłoby to nierealne. Możliwe jest jednak wskazanie kategorii problemów wymagających dalszej oceny: niejednoznacznej struktury własności lub kontroli, potencjalnego pośredniego udostępnienia wartości, informacji sugerującej związek z towarem lub usługą objętą ograniczeniem, niejasności dotyczącej końcowego przeznaczenia, zastosowania wyjątku, podejrzenia obchodzenia sankcji czy przypadku odbiegającego od przyjętej wcześniej interpretacji.

Kolejne pytanie dotyczy kierunku eskalacji. Nie każda wątpliwość sankcyjna ma ten sam charakter. Jeżeli problem dotyczy potencjalnego trafienia nazwowego, może zostać rozstrzygnięty w wyspecjalizowanym zespole zajmującym się kontrolą list sankcyjnych. Jeżeli dotyczy struktury własnościowej albo kontroli, potrzebna może być szersza analiza funkcji odpowiedzialnej za zgodność sankcyjną. Jeżeli spór dotyczy zakresu konkretnego zakazu, wyjątku albo relacji pomiędzy kilkoma przepisami, naturalne staje się zaangażowanie funkcji prawnej. Przy kwalifikacji towaru czy technologii sama wiedza prawna może z kolei nie wystarczyć bez informacji dostarczonych przez jednostkę produktową, klienta albo specjalistę technicznego.

W tym sensie „eskalacja do funkcji zgodności” jest często początkiem kolejnego procesu. Funkcja ta musi wiedzieć, jakie sprawy może ocenić lub rozstrzygnąć w ramach swojej roli, w jakich powinna uzyskać opinię innej jednostki i kiedy sama nie powinna przejmować końcowej decyzji operacyjnej. Bez takiego podziału ryzyko zostaje jedynie przesunięte z pierwszej linii do drugiej, a formalna niezależność funkcji kontrolnej może stopniowo zostać zastąpiona jej bezpośrednim uczestnictwem w działalności operacyjnej.

Szczególne miejsce zajmuje tutaj funkcja prawna. Znaczna część przypadków może być rozstrzygana według ustalonej metodologii bez konieczności każdorazowej interpretacji przepisów. Jeżeli jednak wynik zależy od wykładni nowego albo niejednoznacznego środka ograniczającego, zastosowania wyjątku, znaczenia pojęcia kontroli czy zakresu zakazu świadczenia określonej usługi, problem nabiera charakteru prawnego. Wtedy pozostawienie rozstrzygnięcia wyłącznie funkcji zgodności może prowadzić do sytuacji, w której interpretację prawa wykonuje jednostka, której podstawową rolą jest zarządzanie ryzykiem zgodności.

Nie oznacza to przejęcia własności procesu przez funkcję prawną. Prawnik może odpowiedzieć na pytanie o treść i zakres przepisu, ale niekoniecznie posiada wszystkie informacje potrzebne do oceny konkretnej transakcji ani mandat do podjęcia decyzji operacyjnej. Właściwe rozłożenie ról polega więc na określeniu punktu, w którym specjalistyczna ocena sankcyjna wymaga wsparcia prawnego i sposobu wykorzystania takiej opinii w dalszym procesie decyzyjnym.

Jeszcze inny charakter ma udział biznesu. To właśnie jednostka pozostająca w relacji z klientem może posiadać informacje, których nie ma funkcja zajmująca się zgodnością sankcyjną ani funkcja prawna. Może znać gospodarczy cel transakcji, historię współpracy, przyczyny zmiany kontrahenta, charakter projektu albo rzeczywiste znaczenie dokumentów przekazanych przez klienta. Bez tej wiedzy analiza sankcyjna może być niepełna. Jednocześnie biznes może być zainteresowany szybkim wykonaniem transakcji, utrzymaniem relacji albo realizacją wyniku finansowego. Dlatego wykorzystanie wiedzy biznesowej trzeba oddzielić od prawa do przesądzenia sankcyjnej dopuszczalności czynności. Biznes powinien dostarczać informacji i wyjaśniać gospodarcze tło operacji, ale konflikt pomiędzy celem handlowym a oceną wynikającą ze środka ograniczającego nie może być rozstrzygany wyłącznie przez jednostkę, której wynik zależy od wykonania transakcji. Z drugiej strony funkcja kontrolna powinna korzystać z wiedzy pierwszej linii jako jednego z podstawowych źródeł informacji o stanie faktycznym.

Właśnie na styku biznesu, operacji, funkcji zgodności i funkcji prawnej szczególnego znaczenia nabiera pytanie o sytuacje konfliktowe. Możliwy jest przypadek, w którym funkcja odpowiedzialna za zgodność sankcyjną uznaje transakcję za niedopuszczalną, podczas gdy funkcja prawna wskazuje, że zakaz nie znajduje zastosowania. Możliwa jest także sytuacja odwrotna: prawnik identyfikuje ryzyko interpretacyjne, którego funkcja operacyjna nie uważa za wystarczające do niewykonania transakcji. Jeżeli bank nie określi wcześniej, kto rozstrzyga taką różnicę zdań, odpowiedzialność za końcową decyzję może powstać przypadkowo.

Przy projektowaniu tego mechanizmu trzeba uwzględnić również konflikt interesów wynikający z samego miejsca jednostki w strukturze. Biznes nie powinien mieć możliwości przeważenia kwalifikacji sankcyjnej wyłącznie dlatego, że ponosi ekonomiczne konsekwencje odmowy wykonania transakcji. Druga linia powinna mieć natomiast możliwość przedstawienia niezależnego stanowiska bez presji ze strony jednostki generującej przychód. Jednocześnie nie powinna być organizowana w taki sposób, aby odpowiedzialność za bieżące wykonanie procesu i późniejszą ocenę działania tego procesu w całości koncentrowały się w tych samych rękach. Najbardziej ryzykowny byłby model, w którym decyduje faktycznie ten, kto posiada techniczną możliwość wykonania albo wstrzymania czynności. Kontrola nad systemem płatniczym, możliwość zdjęcia blokady czy formalne zatwierdzenie operacji nie powinny same w sobie przesądzać o kompetencji do rozstrzygnięcia sporu prawnego lub sankcyjnego. Techniczne wykonanie decyzji trzeba oddzielić od jej merytorycznego podjęcia.

Dlatego procedura powinna przewidywać mechanizm rozstrzygania różnic stanowisk. Nie oznacza to konieczności tworzenia komitetu dla każdego przypadku. W wielu sytuacjach wystarczy wskazanie, która funkcja posiada ostateczny mandat w danej kategorii spraw, albo ustanowienie kolejnego szczebla eskalacji dla przypadków, w których właściwe jednostki nie osiągnęły zgodnego stanowiska. Ważne jest, aby sposób zakończenia sporu był określony przed wystąpieniem konkretnej transakcji, a nie negocjowany dopiero w chwili presji czasowej.

Presja czasowa sama w sobie jest kolejnym elementem, który powinien zostać uwzględniony w architekturze procesu. Płatności mają określone terminy realizacji, operacje rynku finansowego mogą wymagać reakcji w bardzo krótkim czasie, a klient może oczekiwać natychmiastowej odpowiedzi. Standardowa ścieżka eskalacji, która działa prawidłowo w zwykłych godzinach pracy i przy kilku dniach na analizę, może okazać się niewystarczająca w przypadku transakcji wymagającej rozstrzygnięcia tego samego dnia. Bank powinien więc wiedzieć nie tylko, kto podejmuje decyzję, ale również kto może go zastąpić, jak działa eskalacja poza standardowymi godzinami pracy i co następuje wtedy, gdy wymaganej decyzji nie da się uzyskać w czasie pozwalającym na realizację czynności. Nie oznacza to automatycznie prawa do zamrożenia środków czy zastosowania innego środka niewynikającego z właściwej podstawy prawnej. Chodzi o takie zorganizowanie procesu, aby presja czasu nie prowadziła do zastąpienia wcześniej ustalonych kompetencji intuicją osoby, która akurat pozostaje przy danej operacji.

Równie ważne jest określenie zakresu informacji, które powinny towarzyszyć eskalacji. Samo przesłanie komunikatu „proszę o decyzję” nie pozwala osobie znajdującej się wyżej w strukturze na rzeczywiste przejęcie odpowiedzialności za rozstrzygnięcie. Jeżeli decydent otrzymuje wyłącznie skrócony opis przygotowany przez poprzedni szczebel, bez informacji o materiale źródłowym, zastosowanym środku ograniczającym, wątpliwościach i możliwych wariantach interpretacji, formalna eskalacja może stać się jedynie przeniesieniem podpisu. Dobra eskalacja powinna więc przekazywać zarówno problem, jak i podstawę potrzebną do jego rozstrzygnięcia. Zakres tej informacji może być różny zależnie od poziomu sprawy, jednak co do zasady powinno być możliwe ustalenie, czego dotyczy transakcja, jakie informacje sankcyjnie istotne zostały zidentyfikowane, jaki przepis lub środek ograniczający jest analizowany, co zostało już zweryfikowane, jakie wątpliwości pozostały oraz czego dokładnie oczekuje się od kolejnego poziomu procesu.

Jest to szczególnie ważne wtedy, gdy decyzja ma trafić na poziom kierowniczy. Członek wyższej kadry kierowniczej albo zarząd nie powinien być zmuszony do odtwarzania całego stanu faktycznego z dokumentacji operacyjnej. Powinien otrzymać materiał pozwalający podjąć decyzję odpowiadającą zakresowi jego kompetencji. Nie może to być jednak materiał tak uproszczony, że rzeczywista kwalifikacja została już dokonana niżej, a wyższy poziom jedynie formalnie ją zatwierdza.

W tym miejscu procedura sankcyjna zaczyna pełnić funkcję szerszą niż instrukcja dla analityka. Staje się opisem przepływu odpowiedzialności w organizacji. Powinna wskazywać, kto może zamknąć sprawę, jakie przesłanki odbierają mu tę możliwość, kto przejmuje analizę na kolejnym etapie, kiedy potrzebna jest funkcja prawna lub inny ekspert, jaka jest rola pierwszej i drugiej linii, kto rozstrzyga różnicę stanowisk, jaki poziom autoryzacji odpowiada określonej kategorii decyzji oraz co zrobić, gdy standardowa ścieżka nie jest dostępna. Nie oznacza to konieczności opisania każdej możliwej konfiguracji. Nadmiernie rozbudowana procedura może być równie mało użyteczna jak procedura zbyt ogólna. Potrzebna jest raczej architektura pozwalająca pracownikowi w każdym momencie odpowiedzieć na dwa pytania: czy nadal mogę samodzielnie prowadzić tę sprawę oraz kto przejmuje odpowiedzialność, jeżeli odpowiedź brzmi „nie”?

Samo właściwe przypisanie kompetencji nie wystarczy jednak, jeżeli po kilku miesiącach bank nie będzie w stanie odtworzyć, jak z nich skorzystano w konkretnym przypadku. Im bardziej decyzja zależy od niepełnych informacji, interpretacji i oceny przesłanek, tym większego znaczenia nabiera możliwość pokazania nie tylko, kto zdecydował, ale również dlaczego zdecydował właśnie tak.

Decyzję trzeba móc odtworzyć

W obszarze sankcji dokumentowanie procesu decyzyjnego łatwo sprowadzić do funkcji dowodowej. Bank zachowuje ślad analizy po to, aby w razie kontroli wykazać, że określona transakcja została sprawdzona, alert rozpatrzony, a decyzja podjęta zgodnie z obowiązującą procedurą. Przy projektowanym systemie odpowiedzialności takie podejście może jednak okazać się zbyt wąskie. Dokumentacja powinna pozwalać odtworzyć, dlaczego proces zakończył się właśnie takim rozstrzygnięciem. Ma to szczególne znaczenie dlatego, że wiele decyzji sankcyjnych nie wynika z prostego zastosowania reguły do jednoznacznego stanu faktycznego. Często problemem jest właśnie niepełność informacji, niejednoznaczna struktura własnościowa, ocena rzeczywistego wpływu na podmiot, możliwe pośrednie udostępnienie wartości, klasyfikacja określonej działalności albo zastosowanie wyjątku od zakazu. W takich sytuacjach sama informacja, że „transakcja została zaakceptowana przez funkcję zgodności”, mówi bardzo niewiele o jakości procesu, który poprzedził decyzję.

Po uwzględnieniu trzech linii obrony znaczenie takiego sformułowania jest jeszcze bardziej problematyczne. Nie wiadomo bowiem, czy funkcja zgodności dokonała niezależnej oceny w ramach drugiej linii, formalnie podjęła decyzję, przedstawiła rekomendację pierwszej linii, czy tylko potwierdziła wykonanie określonego mechanizmu kontrolnego. Jeżeli tych ról nie da się odróżnić w dokumentacji, nie da się również wiarygodnie ustalić, czy proces odpowiadał przyjętej architekturze kontroli. Jeżeli po pewnym czasie trzeba będzie ocenić prawidłowość zachowania banku, istotne może być przede wszystkim ustalenie, jaki obraz sytuacji był dostępny w chwili podejmowania decyzji. Nie można analizować jej wyłącznie z perspektywy informacji, które pojawiły się później. Transakcja, która po kilku miesiącach okaże się elementem bardziej złożonej struktury obchodzenia sankcji, mogła w momencie jej wykonania wyglądać inaczej. Z drugiej strony fakt, że bank nie posiadał pełnej wiedzy, nie będzie wystarczającym argumentem, jeżeli już dostępne informacje wskazywały na potrzebę dalszego sprawdzenia. Dlatego pierwszy element śladu decyzyjnego powinien dotyczyć stanu wiedzy. Powinno być możliwe ustalenie, jakie informacje posiadał bank, z jakich źródeł pochodziły, które z nich zostały uznane za istotne i czy pojawiły się dane wymagające dodatkowej analizy. Nie oznacza to konieczności kopiowania do każdej sprawy całej dokumentacji klienta. Chodzi o zachowanie tych informacji, które rzeczywiście miały znaczenie dla sankcyjnej kwalifikacji konkretnego przypadku.

Drugim elementem jest identyfikacja analizowanego problemu prawnego. W przypadku prostego fałszywego trafienia może wystarczyć wskazanie, dlaczego trafienie zostało odrzucone. Przy bardziej złożonej sprawie potrzebne może być ustalenie, jaki konkretny środek ograniczający brano pod uwagę i jaki zakaz albo obowiązek mógł znaleźć zastosowanie. Bez tego po pewnym czasie trudno odróżnić rzeczywistą analizę prawną od ogólnego stwierdzenia, że „ryzyko sankcyjne oceniono jako niskie”. Ma to znaczenie również dlatego, że samo pojęcie ryzyka nie może zastępować kwalifikacji prawnej. Bank może uznać określoną konstrukcję za nietypową albo potencjalnie związaną z obchodzeniem sankcji, ale ostateczna decyzja o zamrożeniu środków, niewykonaniu transakcji czy jej dopuszczeniu powinna wynikać z konkretnej podstawy prawnej. Dokumentacja powinna więc pozwalać zobaczyć przejście od sygnału ostrzegawczego do oceny materialnego zakazu.

Trzecim elementem jest tok samej analizy. Jeżeli sprawa wymagała pozyskania dodatkowych informacji, powinno być możliwe ustalenie, czego bank próbował się dowiedzieć i dlaczego. Jeżeli klient przedstawił dokumenty lub wyjaśnienia, znaczenie może mieć wskazanie, w jaki sposób wpłynęły one na ocenę. Jeżeli zaangażowano funkcję prawną, warto wiedzieć, jaki problem został jej przedstawiony i jaka była treść konkluzji istotnej dla dalszego postępowania. Jeżeli stanowiska jednostek różniły się, dokumentacja powinna pokazywać nie tylko fakt wystąpienia rozbieżności, ale również sposób jej rozstrzygnięcia. Dodatkowo powinno być możliwe ustalenie, w jakiej roli występowała każda z jednostek. Czy pierwsza linia wykonywała własny mechanizm kontrolny? Czy druga linia przedstawiała niezależne stanowisko, dokonywała kontroli, czy zgodnie z procedurą współuczestniczyła w decyzji? Czy funkcja prawna dokonała interpretacji przepisu, czy powierzono jej również formalną kompetencję decyzyjną? Takie rozróżnienie może mieć znaczenie zarówno dla oceny konkretnego przypadku, jak i dla późniejszej oceny adekwatności całego systemu kontroli wewnętrznej. Nie chodzi przy tym o tworzenie rozbudowanych opinii prawnych dla każdej niestandardowej płatności. Dokumentowanie musi pozostawać proporcjonalne do charakteru sprawy. Prosty przypadek może wymagać kilku danych i krótkiego uzasadnienia. Sprawa precedensowa, dotycząca wysokiej ekspozycji albo niejednoznacznego zakazu, może wymagać znacznie bardziej rozbudowanego śladu. Zasadą powinno być jednak to, że poziom dokumentacji pozwala zrozumieć, jakie rozumowanie doprowadziło do końcowej decyzji.

Czwarty element dotyczy samej kompetencji do jej podjęcia. W systemie opartym na progach decyzyjnych powinno być możliwe ustalenie, dlaczego określona sprawa została zakończona na danym poziomie. Jeżeli analityk posiadał mandat do samodzielnego rozstrzygnięcia przypadku, dokumentacja powinna wskazywać, że mieścił się on w granicach tego mandatu. Jeżeli sprawę eskalowano, istotne jest z kolei ustalenie, jaka przesłanka spowodowała przejście na wyższy poziom, czy eskalacja miała charakter merytoryczny czy decyzyjny oraz kto przejął odpowiedzialność za dalszy proces. To rozróżnienie może być ważne również z perspektywy odpowiedzialności indywidualnej. Sama obecność nazwiska pracownika w systemie nie musi oznaczać, że to on podjął merytoryczną decyzję. Jedna osoba mogła wprowadzić wynik analizy, inna zatwierdzić kwalifikację, jeszcze inna przedstawić niezależne stanowisko drugiej linii, a kolejna technicznie wykonać dyspozycję. Jeżeli system nie pozwala odróżnić tych czynności, późniejsza rekonstrukcja odpowiedzialności może być przypadkowa. Podobnie niewystarczające jest automatyczne utożsamianie podpisu osoby zajmującej wyższe stanowisko z rzeczywistym przejęciem decyzji. Jeżeli eskalacja polega wyłącznie na formalnym zatwierdzeniu konkluzji przygotowanej niżej, bez przedstawienia informacji pozwalających na samodzielną ocenę sprawy, dokumentacja może tworzyć pozór rozłożenia odpowiedzialności, który nie odpowiada rzeczywistemu przebiegowi procesu. Wyższy poziom decyzyjny powinien otrzymać zakres informacji adekwatny do rodzaju decyzji, którą ma podjąć.

Piątym elementem jest uzasadnienie końcowego rozstrzygnięcia. Nie każda decyzja będzie wymagała długiego opisu, ale powinno być możliwe ustalenie, dlaczego bank uznał, że może wykonać określoną czynność, dlaczego jej nie wykonał albo na jakiej podstawie zastosował zamrożenie. W sytuacji niejednoznacznej szczególnego znaczenia nabiera wskazanie, które fakty przesądziły o wyniku analizy. Taki ślad decyzyjny pełni kilka funkcji jednocześnie. Pozwala na późniejszą kontrolę zgodności, wspiera wewnętrzny nadzór nad jakością decyzji i umożliwia identyfikowanie rozbieżności pomiędzy podobnymi przypadkami. Może również ujawnić, że formalnie poprawny proces prowadzi w praktyce do różnych rezultatów w zależności od osoby analizującej sprawę. Dokumentacja staje się wtedy narzędziem do doskonalenia samej metodologii.

Ma również znaczenie dla trzeciej linii obrony. Audyt wewnętrzny nie powinien uczestniczyć w bieżącej decyzji, ale musi posiadać materiał pozwalający później ocenić, czy system zadziałał tak, jak został zaprojektowany. Ślad decyzyjny powinien więc umożliwiać nie tylko ocenę wyniku konkretnej sprawy, lecz również sprawdzenie, czy poszczególne linie wykonywały swoje zadania, czy zachowano właściwą niezależność i czy proces nie prowadził do konfliktów interesów. Ma to szczególne znaczenie przy przypadkach precedensowych. Jeżeli bank po raz pierwszy rozstrzyga znaczenie nowego zakazu albo przyjmuje określoną interpretację pojęcia kontroli, pośredniego udostępnienia czy zakresu usługi finansowej, rezultat takiej sprawy powinien być możliwy do wykorzystania w kolejnych podobnych przypadkach. W przeciwnym razie organizacja będzie wielokrotnie rozwiązywała ten sam problem od początku, a różne jednostki mogą dochodzić do odmiennych wniosków.

Dokumentowanie decyzji powinno więc łączyć dwa poziomy. Pierwszy dotyczy konkretnego przypadku i pozwala odtworzyć jego przebieg. Drugi umożliwia przenoszenie doświadczenia z pojedynczej sprawy na poziom metodologii, procedur i progów decyzyjnych. Jeżeli określony typ wątpliwości powtarza się często, może to oznaczać, że nie powinien już być traktowany jako wyjątek wymagający każdorazowej eskalacji, lecz jako problem, dla którego należy stworzyć standardową regułę. W ten sposób ślad decyzyjny wpływa również na efektywność systemu. Im więcej przypadków bank potrafi przekształcić z precedensowych w standardowe poprzez wypracowanie jasnej metodologii, tym mniejsza liczba spraw musi trafiać na najwyższe poziomy eksperckie. Jednocześnie przypadki rzeczywiście nowe pozostają lepiej widoczne, ponieważ nie giną w strumieniu eskalacji dotyczących problemów już wcześniej rozwiązanych.

Projektowana ustawa zwiększa praktyczne znaczenie takiej dokumentacji przede wszystkim dlatego, że nowy system kontroli i odpowiedzialności może prowadzić do znacznie dokładniejszego odtwarzania sposobu działania banku. Sam fakt posiadania procedury sankcyjnej nie odpowie wtedy na pytanie, czy w konkretnym przypadku procedura zadziałała prawidłowo. Podobnie sam pozytywny wynik audytu systemu nie wyjaśni, dlaczego określona transakcja została wykonana mimo wystąpienia sygnałów wymagających dodatkowej analizy.

Dobra dokumentacja nie zastępuje prawidłowej decyzji. Nie usuwa skutków naruszenia materialnego zakazu ani nie tworzy automatycznej ochrony przed odpowiedzialnością. Może natomiast mieć zasadnicze znaczenie dla wykazania, jaki był rzeczywisty stan wiedzy banku, jak zareagowano na dostępne informacje, czy zastosowano właściwy poziom eskalacji, czy zachowano właściwy podział ról pomiędzy liniami obrony i czy decyzję podjęła osoba posiadająca odpowiednie kompetencje. Właśnie dlatego dokumentowanie powinno być traktowane jako część architektury odpowiedzialności, a nie czynność wykonywana dopiero po zakończeniu analizy. Jeżeli system od początku nie gromadzi informacji pozwalających odtworzyć tok decyzji, późniejsze przygotowanie takiego uzasadnienia będzie w dużej mierze rekonstrukcją dokonywaną już ze świadomością końcowego rezultatu. To z kolei może prowadzić do obrazu procesu bardziej uporządkowanego niż rzeczywisty sposób działania banku w chwili podejmowania decyzji.

Ostatecznie pytanie „kto zdecydował?” nie może więc być rozpatrywane w oderwaniu od trzech innych: na podstawie jakich informacji zdecydował, dlaczego właśnie ten poziom organizacji miał prawo tę decyzję podjąć oraz jaką funkcję pełnił w systemie kontroli wewnętrznej. Dopiero połączenie tych elementów pozwala ocenić, czy bank rzeczywiście posiada system odpowiedzialności decyzyjnej, czy jedynie zbiór procedur i śladów technicznych pozostawionych przez kolejne osoby uczestniczące w procesie.

Zakończenie

Najtrudniejsze decyzje sankcyjne rzadko pojawiają się w sytuacjach całkowicie jednoznacznych. Jeżeli klient albo odbiorca płatności znajduje się bezpośrednio na właściwej liście, a środek ograniczający wyraźnie nakazuje zamrożenie aktywów, problem może być prawnie poważny, ale proces decyzyjny pozostaje stosunkowo czytelny. Znacznie trudniejsze są przypadki znajdujące się pomiędzy oczywistym brakiem zastosowania sankcji a równie oczywistym zakazem: niejednoznaczna kontrola nad podmiotem niewpisanym na listę, możliwe pośrednie udostępnienie środków, niejasny gospodarczy cel transakcji, nowy zakaz sektorowy albo wątpliwość co do zakresu określonej usługi. Właśnie w takich sytuacjach bank potrzebuje czegoś więcej niż poprawnie działającej kontroli list sankcyjnych i wyspecjalizowanego zespołu zajmującego się zgodnością sankcyjną. Potrzebuje systemu, który pozwala przeprowadzić sprawę od momentu pojawienia się sygnału do podjęcia konkretnej decyzji. Musi być wiadomo, kto ma problem zidentyfikować, kto dysponuje wiedzą potrzebną do jego oceny, kto może żądać dodatkowych informacji, kiedy należy włączyć funkcję prawną i kto ostatecznie ma mandat do przesądzenia o dalszym działaniu banku.

Taki system musi jednocześnie respektować architekturę kontroli wewnętrznej. Pierwsza linia nie może pozbywać się odpowiedzialności za ryzyko sankcyjne poprzez przekazanie każdego przypadku do funkcji zgodności. Druga linia powinna zachować zdolność do niezależnej oceny i kontroli zamiast stawać się wykonawcą całego procesu operacyjnego. Trzecia linia musi pozostawać poza bieżącymi decyzjami, aby móc później niezależnie ocenić adekwatność i skuteczność systemu. Takiego systemu nie da się zbudować poprzez wskazanie jednej osoby „odpowiedzialnej za sankcje”. Odpowiedzialność za wykonywanie funkcji i zadań dotyczących całego systemu, odpowiedzialność za wykonanie określonego zadania i kompetencja do podjęcia konkretnej decyzji to różne kwestie. Wytyczne EBA przypisują odpowiednie obowiązki zarządowi i funkcji nadzorczej oraz przewidują wyznaczenie odpowiedzialności na poziomie wyższej kadry kierowniczej. Nie oznacza to jednak przeniesienia wszystkich rozstrzygnięć transakcyjnych na te poziomy. Ich zadaniem jest przede wszystkim zapewnienie, że architektura decyzyjna istnieje i rzeczywiście działa.

To rozróżnienie ma szczególne znaczenie właśnie teraz. Projektowana polska ustawa o środkach ograniczających buduje bardziej rozbudowany krajowy system kontroli i odpowiedzialności. Potencjalne naruszenie może być analizowane na poziomie odpowiedzialności administracyjnej, karnej oraz odpowiedzialności podmiotu zbiorowego. Poszczególne reżimy nie nakładają się automatycznie, a odpowiedzialność podmiotu zbiorowego nadal wymaga spełnienia właściwych przesłanek ustawowych. Sposób podjęcia pojedynczej decyzji może jednak nabrać znaczenia z kilku różnych perspektyw. W takim otoczeniu procedura sankcyjna powinna odpowiadać również na pytanie o granice mandatu poszczególnych uczestników procesu. Osoba wykonująca standardową analizę musi wiedzieć, kiedy nadal może zakończyć sprawę samodzielnie, a kiedy problem przekracza jej kompetencję. Funkcja zajmująca się zgodnością sankcyjną musi wiedzieć, które sprawy może ocenić lub rozstrzygnąć w granicach przypisanej jej roli, a kiedy potrzebuje udziału funkcji prawnej, eksperta produktowego albo decyzji na wyższym szczeblu. Osoba otrzymująca eskalację musi natomiast wiedzieć, czy oczekuje się od niej dodatkowej oceny merytorycznej, niezależnego stanowiska drugiej linii czy już podjęcia rozstrzygnięcia wiążącego dla banku.

Dojrzały model powinien pozwalać zdecydowaną większość przypadków kończyć możliwie nisko i możliwie szybko. Jasne fałszywe trafienia, przypadki odpowiadające ustalonej metodologii oraz problemy wcześniej rozstrzygnięte nie powinny obciążać najwyższych poziomów organizacji. Eskalacja ma wartość wtedy, gdy prowadzi sprawę do osoby posiadającej wiedzę lub mandat, których zabrakło niżej, a nie wtedy, gdy jedynie dodaje kolejny podpis do już podjętej decyzji. Dlatego właściwą miarą jakości systemu nie jest liczba spraw trafiających do funkcji zgodności, funkcji prawnej czy zarządu. Jest nią zdolność organizacji do odróżnienia przypadków standardowych od tych, które wymagają rzeczywistego podniesienia poziomu analizy lub decyzji, a jednocześnie do zachowania właściwego podziału odpowiedzialności pomiędzy linie obrony. Zbyt mała liczba eskalacji może oznaczać pozostawienie istotnych problemów na poziomie operacyjnym. Zbyt duża może wskazywać, że bank nie potrafi przełożyć doświadczeń z wcześniejszych przypadków na jasne reguły albo że druga linia w praktyce przejmuje zadania pierwszej.

Równie ważne jest zarządzanie konfliktami interesów. Wiedza biznesowa jest potrzebna do ustalenia stanu faktycznego, ale interes w wykonaniu transakcji nie może przesądzać o jej sankcyjnej dopuszczalności. Funkcja zgodności musi zachować niezależność pozwalającą zakwestionować działanie pierwszej linii, ale jej rola nie powinna zostać skonstruowana w sposób prowadzący do trwałego wykonywania i późniejszego kontrolowania tych samych czynności. Audyt wewnętrzny musi natomiast pozostać poza bieżącym procesem, który następnie ma niezależnie ocenić.

W tym miejscu znaczenia nabiera również dokumentowanie. Jeżeli decyzja była podejmowana na podstawie niepełnych informacji i wymagała oceny, po kilku miesiącach trzeba móc odtworzyć, jaki stan wiedzy istniał w chwili jej podejmowania, jakie wątpliwości zostały zidentyfikowane, jakie czynności wykonano, kto dokonał kwalifikacji, jaką rolę pełniły poszczególne linie obrony i dlaczego sprawa została zakończona właśnie na danym poziomie kompetencyjnym. Taki ślad nie gwarantuje prawidłowości decyzji i nie usuwa odpowiedzialności za naruszenie, ale pozwala wykazać rzeczywisty sposób działania systemu. Odpowiedzialności decyzyjnej nie można więc projektować dopiero wtedy, gdy pojawi się pierwszy naprawdę trudny przypadek. W chwili, w której płatność czeka na wykonanie, klient oczekuje odpowiedzi, a kilka jednostek różni się w ocenie znaczenia określonego środka ograniczającego, jest za późno na ustalanie, kto właściwie ma ostatnie słowo. Jeżeli procedura tego wcześniej nie określiła, końcowa decyzja może zależeć od hierarchii organizacyjnej, dostępności konkretnej osoby albo technicznej możliwości wstrzymania realizacji transakcji, a nie od świadomie zaprojektowanego modelu ładu organizacyjnego.

Pierwszy artykuł tej serii prowadził do wniosku, że lista sankcyjna jest początkiem analizy i coraz częściej nie daje wystarczającej odpowiedzi na pytanie o dopuszczalność transakcji. Bank musi umieć rozpoznać moment, w którym to, co już wie, wymaga dowiedzenia się więcej. Ten artykuł prowadzi krok dalej. Jeżeli standardowa kontrola przestaje wystarczać, organizacja musi również wiedzieć, kto ma prawo zdecydować, co zrobić z wynikiem pogłębionej analizy. Dlatego przygotowanie do projektowanego polskiego reżimu środków ograniczających nie powinno ograniczać się do aktualizacji list, scenariuszy kontroli i katalogów sygnałów ostrzegawczych. Powinno objąć również przegląd rzeczywistego procesu decyzyjnego: mandatów, progów eskalacji, roli biznesu, operacji, funkcji zajmującej się zgodnością sankcyjną i funkcji prawnej, sposobu wpisania tych ról w trzy linie obrony, zasad zarządzania konfliktami interesów, reguł rozstrzygania różnic stanowisk oraz sposobu dokumentowania końcowych decyzji.

Pytanie „kto w banku odpowiada za decyzję sankcyjną?” ma bowiem kilka warstw. Prawo określa, kto i po spełnieniu jakich przesłanek może ponieść konsekwencje naruszenia środka ograniczającego. System kontroli wewnętrznej wyznacza ramy, w których powinny funkcjonować poszczególne role. Bank sam musi natomiast wcześniej określić, kto ma otrzymać właściwą informację, kto ma dokonać właściwej oceny i kto – z zachowaniem niezależności funkcji oraz zasad zarządzania konfliktami interesów – posiada mandat, aby podjąć decyzję, zanim problem odpowiedzialności w ogóle powstanie.