Kontrola AML w firmie kryptowalutowej – jak się przygotować?
Podmioty działające w branży krypto: giełdy, kantory, dostawcy portfeli – od dawna są instytucjami obowiązanymi w rozumieniu ustawy AML, a to oznacza, że prędzej czy później mogą spodziewać się kontroli ze strony GIIF albo Urzędu Celno-Skarbowego. Wielu klientów pyta mnie, czego się w ogóle spodziewać i czy da się do takiej kontroli w jakikolwiek sposób przygotować. Odpowiedź brzmi: tak, i to przygotowanie realnie wpływa na finalny wymiar ewentualnej kary.
Ile takich kontroli faktycznie widzieliśmy?
Na ten moment nasza kancelaria przeszła przez kilkadziesiąt kontroli UCS i GIIF w branży krypto. To dużo w porównaniu do skali, w jakiej te organy w ogóle działają – GIIF przeprowadza kontroli znacznie mniej niż UCS, ale to właśnie kontrole GIIF wymagają lepszego przygotowania. Kontrole GIIF prowadzone są stacjonarnie, a kontrole UCS – zdalnie, co samo w sobie zmienia sposób, w jaki trzeba się do nich przygotować.
Pełny opis samej procedury kontrolnej krok po kroku – od próby kontrolnej, przez protokół, po zalecenia pokontrolne – znajdziesz w artykule o kontroli AML przeprowadzanej przez GIIF i UCS. Tutaj skupiam się na tym, czego konkretnie żąda GIIF na starcie.
O co pyta GIIF na pierwszym etapie kontroli?
Z naszego doświadczenia z tych kilkudziesięciu kontroli wynika, że GIIF na wstępie żąda konkretnego zestawu dokumentów – i to właśnie ich kompletność decyduje o tym, jak spokojnie przejdzie dalsza część kontroli. Wśród pierwszych żądań najczęściej pojawiają się:
- potwierdzona za zgodność z oryginałem procedura AML wraz z dokumentem jej akceptacji przez kadrę kierowniczą (art. 50 ustawy),
- dokumentacja realizacji obowiązku szkoleniowego (art. 53 ustawy),
- ocena ryzyka instytucji obowiązanej (art. 27 ustawy),
- dokumenty potwierdzające wyznaczenie osób odpowiedzialnych za AML wraz z datami zatrudnienia (art. 6, 7, 8 ustawy),
- regulaminy świadczonych usług, w tym osobno dla usług online i stacjonarnych,
- liczba klientów przypisanych do poszczególnych grup ryzyka oraz szczegóły transakcji okazjonalnych powyżej progów ustawowych,
- opis procesu oceny ryzyka – jakie kryteria są brane pod uwagę i jak wpływają na jej wynik (art. 33 ust. 2 ustawy).
Więcej na temat pełnej listy pierwszych pytań GIIF, wraz z dokładnymi cytatami żądań, opisałem w artykule o pierwszych pytaniach GIIF. Jeśli prowadzisz działalność w branży krypto i chcesz sprawdzić, czy powyższe dokumenty masz przygotowane zanim zrobi to za Ciebie GIIF – umów konsultację. Przeprowadzamy audyty prewencyjne bazujące na realnych pytaniach z kontroli, w których braliśmy udział.
Dlaczego tempo odpowiedzi ma znaczenie?
Kontrola GIIF w praktyce oznacza częściowy paraliż bieżącej działalności instytucji obowiązanej. Zlecone zadania mają zwykle termin realizacji wyznaczony na następny dzień, do godziny 10:00 – brak realizacji w terminie skutkuje telefonem lub mailem z pytaniem, dlaczego zadanie nie zostało wykonane. Firma, która ma uporządkowaną dokumentację, o której mowa wyżej, jest w zupełnie innej sytuacji niż ta, która dopiero w trakcie kontroli próbuje uzupełniać braki pod presją czasu. Czym kończy się kontrola? Kontrola kończy się protokołem, w którym organ opisuje stwierdzone naruszenia. Dzielą się one na dwa rodzaje: te związane z nieprawidłowo stosowanymi środkami bezpieczeństwa finansowego – skutkujące karą dla samej firmy, oraz te dotyczące niezłożenia zawiadomienia o możliwym przestępstwie, gdzie odpowiedzialność ponoszą konkretne osoby, a sankcja to nawet 5 lat pozbawienia wolności.
