Raportowanie transakcji podejrzanych na nowych zasadach | Co do zasady

Jednym z fundamentalnych obowiązków podmiotów zobowiązanych wynikających z regulacji AML jest raportowanie transakcji podejrzanych do właściwych organów. Obowiązująca ustawa AML przewiduje w tym zakresie trzy odrębne tryby postępowania, różniące się przesłankami, adresatami zawiadomień oraz skutkami prawnymi dla podmiotu zobowiązanego i samej transakcji lub wartości majątkowych. Ten wielotorowy model ulegnie zasadniczej zmianie od 10 lipca 2027 r., gdy zacznie być stosowane rozporządzenie AMLR. W artykule przyglądamy się wybranym zmianom krok po kroku.

Stan obecny

Ustawa AML (czyli ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu) przewiduje trzy zasadnicze tryby zgłaszania transakcji podejrzanych:

• zawiadomienie Głównego Inspektora Informacji Finansowej („GIIF”) o okolicznościach wskazujących na podejrzenie prania pieniędzy lub finansowania terroryzmu („PP/FT”) w trybie art. 74 ustawy AML („SAR”),
• zawiadomienie GIIF o przypadku powzięcia uzasadnionego podejrzenia, że określona transakcja lub określone wartości majątkowe mogą mieć związek z PP/FT w trybie art 86 ustawy AML („STR”),
• zawiadomienie prokuratora w trybie art. 89 ustawy AML o przypadku powzięcia uzasadnionego podejrzenia, że wartości majątkowe będące przedmiotem transakcji lub zgromadzone na rachunku pochodzą z przestępstwa innego niż przestępstwo PP/FT lub z przestępstwa skarbowego albo mają związek z przestępstwem innym niż przestępstwo PP/FT lub z przestępstwem skarbowym.

Funkcjonowanie trzech odrębnych trybów raportowania rodzi w praktyce istotne trudności. Podmiot zobowiązany, który zidentyfikuje transakcję podejrzaną, musi najpierw ocenić, który z trzech trybów znajdzie zastosowanie – a wybór ten nie jest trywialny, ponieważ przekłada się na różne skutki prawne, w szczególności w zakresie obowiązku wstrzymania transakcji lub blokady rachunku, a także zwolnienia podmiotu zobowiązanego z odpowiedzialności za zrealizowanie obowiązków ustawowych. Dodatkową komplikacją jest brak ustandaryzowanego formularza do składania zawiadomień – oczekiwana treść zawiadomienia wynika częściowo z przepisów ustawy AML, a częściowo ze stanowisk i komunikatów GIIF, co wymaga od podmiotów zobowiązanych monitorowania praktyki oraz oczekiwań organu. Oznacza to, że przy każdym zawiadomieniu podmiot zobowiązany musi konstruować zawiadomienie w zasadzie od podstaw, kompletując jego treść w oparciu o rozproszone źródła – a na to wszystko ma na przykład zaledwie 2 dni robocze w przypadku SAR. Tak krótki termin, w połączeniu z koniecznością każdorazowego opracowywania formy i zakresu zawiadomienia na nowo, w złożonych stanach faktycznych znacząco utrudnia cały proces i wymaga sprawnej koordynacji wewnątrz podmiotu zobowiązanego.

AMLR – jedna, zharmonizowana ścieżka raportowania

Rozporządzenie AMLR (czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1624) zastępuje dotychczasowy wielotorowy model raportowania jednym, zharmonizowanym trybem zawiadamiania jednostki analityki finansowej (FIU, w Polsce jest to GIIF). Zgodnie z art. 69 AMLR podmiot zobowiązany dokonuje zawiadomienia, gdy wie, podejrzewa lub ma uzasadnione podstawy, by podejrzewać, że środki finansowe lub działania – niezależnie od kwoty, o jaką chodzi:

• są dochodami z działalności przestępczej lub
• są powiązane z finansowaniem terroryzmu lub z działalnością przestępczą.

Na tej podstawie podmioty zobowiązane mają obowiązek zgłaszać wszystkie podejrzane transakcje, które pochodzą z działalności przestępczej lub mają związek z nią lub z finansowaniem terroryzmu, niezależnie od ich wartości. Muszą też zgłaszać próby takich transakcji (nawet jeśli ostatecznie nie doszło do ich przeprowadzenia) i podejrzenia wynikające z niemożności zastosowania środków należytej staranności (KYC) wobec klienta (co odpowiada obecnemu uregulowaniu z art. 41 ust. 2 ustawy AML).

Przestępstwa bazowe

Aby ocenić zakres obowiązku z art. 69 ust. 1 pkt a) AMLR, trzeba wiedzieć, czym jest „działalność przestępcza”. Zgodnie z art. 2 ust. 1 pkt 5 AMLR pojęcie to obejmuje:

• działalność przestępczą zdefiniowaną w art. 2 pkt 1 dyrektywy (UE) 2018/1673, tj. katalog przestępstw bazowych, obejmujący m.in. przestępstwa związane z przestępczością zorganizowaną, terroryzmem, handlem ludźmi, korupcją, oszustwami podatkowymi, cyberprzestępczością czy przestępczością środowiskową,
• nadużycia naruszające interesy finansowe Unii zdefiniowane w art. 3 ust. 2 dyrektywy (UE) 2017/1371,
• korupcję bierną i czynną zdefiniowane w art. 4 ust. 2 tej dyrektywy,
• sprzeniewierzenie zdefiniowane w art. 4 ust. 3 akapit drugi tej dyrektywy.

Pojęcie „działalności przestępczej” jest więc autonomicznie zdefiniowane w samym AMLR i niekoniecznie obejmuje każdy czyn zabroniony stypizowany w przepisach prawa karnego danego państwa członkowskiego. 

Na kanwie tej definicji pojawiają się dwie zasadnicze wątpliwości interpretacyjne: jak na rozumienie „działalności przestępczej” wpływa prawo krajowe i czy podmiot zobowiązany musi badać, jaki konkretny rodzaj przestępstwa bazowego zaistniał. Skoro bowiem katalog „działalności przestępczej” w rozumieniu AMLR może nie pokrywać się w pełni z katalogiem przestępstw zdefiniowanym w ustawodawstwie krajowym poszczególnych państw członkowskich, można zastanawiać się, czy podmiot zobowiązany będzie zobligowany do samodzielnego ustalenia, z jakim konkretnie przestępstwem ma do czynienia – a więc czy dane zachowanie mieści się w katalogu przestępstw bazowych z AMLR.

Czy i które krajowe prawo karne wpływa na ocenę tego, co jest „działalnością przestępczą” w rozumieniu AMLR?

Dla zobrazowania tego problemu warto posłużyć się – z konieczności dość jaskrawym i celowo hipotetycznym – przykładem. Załóżmy, że polski podmiot zobowiązany (bank) powziąłby podejrzenie, że środki wpływające na rachunek klienta pochodzą z czynu popełnionego za granicą, który w państwie jego popełnienia stanowi przestępstwo, natomiast w Polsce nie jest karalny (czysto przykładowo: powiedzmy, że środki pochodzą z zysków z publikacji krytycznej wobec władz obcego państwa, co tamtejsze prawo penalizuje, a w Polsce pod względem prawnokarnym jest obojętne). Powstaje pytanie, czyje prawo karne powinien wziąć pod uwagę podmiot zobowiązany, oceniając, czy w takim przypadku powstał obowiązek zawiadomienia.

Analogiczne pytanie pojawia się w relacjach między samymi państwami członkowskimi Unii –różnice między ich systemami prawa karnego z pewnością bowiem istnieją. Jeżeli dany czyn jest przestępstwem w jednym państwie członkowskim, a w innym nie, to jakie przepisy powinien brać pod uwagę podmiot zobowiązany, oceniając, czy ma obowiązek zawiadomienia? Prawo karne państwa, w którym ma siedzibę? Prawo karne miejsca popełnienia czynu, z którego pochodzą środki? A może abstrakcyjne, autonomiczne definicje przestępstw bazowych zaczerpnięte z AMLR i dyrektyw, do których ten akt odsyła?

Uznanie, że podmiot zobowiązany ma obowiązek uwzględniać przy tej ocenie prawo karne miejsca popełnienia czynu, prowadziłby w tym zakresie do absurdu – przy każdej transakcji o choćby potencjalnie transgranicznym charakterze podmiot zobowiązany musiałby analizować porządki prawnokarne całego świata, co w praktyce jest niewykonalne. Z drugiej strony, opieranie się wyłącznie na autonomicznej definicji „działalności przestępczej" zawartej w AMLR również nie wydaje się rozwiązaniem prawidłowym – i, jak się wydaje, nie taka była intencja prawodawcy unijnego. Definicja ta ma bowiem charakter abstrakcyjny i odwołuje się do katalogów przestępstw bazowych określonych w dyrektywach, w szczególności w dyrektywie (UE) 2018/1673, która ustanawia jedynie standard minimalnej harmonizacji. Państwa członkowskie mogły przyjąć szerszą definicję przestępstw bazowych w swoim prawie krajowym. Dobitnym przykładem jest Polska, gdzie przestępstwem bazowym dla przestępstwa prania pieniędzy może być każdy czyn zabroniony, a nie wyłącznie kategorie czynów wskazane w art. 2 pkt 1 dyrektywy (UE) 2018/1673. Gdyby zatem podmiot zobowiązany miał opierać się wyłącznie na definicji z AMLR, prowadziłoby to w takich przypadkach do sytuacji, w której nie miałby obowiązku zawiadomienia tam, gdzie krajowa definicja działalności przestępczej wykracza poza ramy dyrektyw – a takie ograniczenie obowiązku raportowania nie było chyba zamierzone przez prawodawcę unijnego. Na takie rozumienie wskazuje motyw 6 AMLR, zgodnie z którym harmonizacja w odpowiedniej dziedzinie prawa karnego umożliwia zdecydowane i spójne podejście na poziomie Unii, a jednocześnie gwarantuje, że państwa członkowskie, które przyjęły szersze podejście do definicji działalności przestępczej stanowiącej przestępstwo źródłowe w stosunku do prania pieniędzy, mogą nadal stosować takie podejście.  

W świetle powyższego jedyną rozsądną drogą wydaje się przyjęcie, że podmiot zobowiązany powinien oceniać, czy dany czyn wypełnia znamiona działalności przestępczej w rozumieniu AMLR, przez pryzmat własnego, krajowego prawa karnego. W praktyce więc ta sama transakcja może zostać zgłoszona przez jeden podmiot zobowiązany (bo w jego jurysdykcji dany czyn jest przestępstwem bazowym dla przestępstwa prania pieniędzy), a nie zostać zgłoszona przez inny podmiot zobowiązany, uczestniczący w tej samej transakcji, ale działający w innym państwie członkowskim (bo tam ten sam czyn nie jest przestępstwem bazowym dla przestępstwa prania pieniędzy) – i obie te instytucje obowiązane mogą przy tym postępować prawidłowo.

Czy podmiot zobowiązany musi badać, jaki konkretny rodzaj przestępstwa bazowego zaistniał?

W praktyce trudno oczekiwać, że podmiot zobowiązany będzie zawsze dysponował narzędziami, wiedzą i kwalifikacjami niezbędnymi do dokonania takiej kwalifikacji prawnokarnej. Podmiot zobowiązany nie jest organem ścigania – nie prowadzi postępowania dowodowego, nie ma dostępu do materiałów śledczych, a często nie zna nawet pełnego stanu faktycznego leżącego u podłoża danej transakcji, a jedynie fragment tego stanu wynikający z posiadanych informacji o kliencie. Wymaganie, aby przed złożeniem zawiadomienia AML Officer (czyli wyznaczony pracownik odpowiedzialny za zapewnianie zgodności z przepisami dotyczącymi przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu) ustalił z dokładnością właściwą dla organu procesowego, z jakim konkretnie typem przestępstwa bazowego ma do czynienia (np. z oszustwem podatkowym, korupcją czy przestępstwem środowiskowym), byłoby zatem nieproporcjonalne i w wielu przypadkach niewykonalne.

Wydaje się, że nie taka była również intencja prawodawcy unijnego – na co wskazuje motyw 138 AMLR, podkreślający, że podmioty zobowiązane nie powinny być zniechęcane do zgłaszania podejrzeń, nawet jeśli nie są w stanie precyzyjnie zidentyfikować leżącej u podstaw działalności przestępczej. Pośrednio potwierdza to również art. 72 AMLR, który ustanawia zasady ochrony osób dokonujących zgłoszeń w dobrej wierze (safe harbour) – wskazując wyraźnie, że ochrona ta obejmuje również sytuacje, w których podmiot zobowiązany nie wiedział dokładnie, jaka działalność przestępcza leżała u podstaw transakcji, i niezależnie od tego, czy nielegalna działalność faktycznie miała miejsce. Prawodawca unijny zdaje się więc zakładać, że kwalifikacja prawnokarna czynu leżącego u podłoża podejrzanych środków należy w praktyce do organów prowadzących późniejsze postępowanie, a nie do podmiotu zobowiązanego.

Wiedza, podejrzenie, uzasadnione podstawy do podejrzenia

Obowiązek przekazania FIU zawiadomienia aktualizuje się wtedy, gdy podmiot wie, podejrzewa lub ma uzasadnione podstawy, by podejrzewać, że transakcja ma związek z działalnością przestępczą. Nie definiuje jednak, co te trzy pojęcia oznaczają.

Najbardziej oczywisty przypadek to sytuacja, w której fakty są tak jednoznaczne, że można mówić wprost o wiedzy – to jednak w praktyce rzadkość, bo podmioty zobowiązane nie prowadzą śledztwa i nie mają narzędzi, by coś ustalić ponad wszelką wątpliwość.

Znacznie częściej mamy do czynienia z podejrzeniem – czyli momentem, w którym zebrane informacje dają rozsądne powody, by kwestionować legalność źródła środków lub sensu transakcji, choć nikt nie potrafi tego jeszcze przesądzić ze stuprocentową pewnością.

Trzecia z przesłanek z art. 69 ust. 1 lit. a AMLR – uzasadnione podstawy do podejrzeń – jest natomiast obiektywnym miernikiem nakładanym na to, jak podmiot zobowiązany postępował wobec posiadanych informacji. Z perspektywy zarządzania ryzykiem jest to przesłanka najbardziej wymagająca, ponieważ takie uzasadnione podstawy mogą zaistnieć nawet wtedy, gdy formalnie podejrzenie nie powstało. W tym wypadku wystarczy bowiem to, że dostępne dane – patrząc na nie obiektywnie z zewnątrz – powinny były do takiego podejrzenia doprowadzić. Przykładowo, jeżeli system transakcyjny w ogóle nie wygenerował alertu, bo był źle skalibrowany, a dostępne podmiotowi zobowiązanemu dane obiektywnie powinny były prowadzić do podejrzenia, to podmiot zobowiązany może narazić się na zarzut naruszenia obowiązku zawiadomienia. Taka sama sytuacja wystąpi, jeżeli alert transakcyjny jednak się pojawił, a mimo to AML Officer nie powziął podejrzenia, choć na podstawie posiadanych informacji powinien był je powziąć. W obu przypadkach tłumaczenie się brakiem subiektywnego przekonania o nieprawidłowościach może nie ochronić podmiotu zobowiązanego, jeśli sygnały ostrzegawcze były – obiektywnie rzecz biorąc – widoczne w dostępnych danych.

Skąd podmiot zobowiązany ma wiedzieć, czy środki finansowe lub działania są podejrzane?

Odpowiedź na to pytanie znajduje się w art. 69 ust. 2 AMLR, który nakazuje ocenę zachowania klienta na podstawie i w kontekście wszystkich istotnych faktów i informacji, jakimi dysponuje podmiot zobowiązany. W praktyce oznacza to, że pojedynczy nietypowy przelew, rozpatrywany samodzielnie i bez szerszego kontekstu, z reguły nie wystarczy, aby stwierdzić wiedzę lub podejrzenie w rozumieniu AMLR.

Ocena powinna zatem mieć charakter całościowy, a nie punktowy. Dopiero zestawienie ze sobą poszczególnych elementów – tożsamości klienta i osób go reprezentujących, wielkości i sposobu przeprowadzenia transakcji, zastosowanego schematu działania, ewentualnych powiązań między poszczególnymi transakcjami oraz rzeczywistego pochodzenia i przeznaczenia środków – pozwala ustalić, czy dana sytuacja przekracza próg uzasadniający zawiadomienie.

W praktyce istotnych wniosków dostarczy zestawienie bieżącego zachowania klienta z ustaleniami poczynionymi wcześniej w procesie KYC – a więc z deklarowanym profilem działalności, spodziewanymi wolumenami transakcji czy źródłem majątku. Dopóki zachowanie klienta pozostaje zgodne z ustaleniami dokonanymi na etapie onboardingu, trudno mówić o podejrzeniu. Problem powstaje wówczas, gdy te dwa obrazy – deklarowany i rzeczywisty – zaczynają się istotnie rozbiegać. Prawidłowe wykonywanie obowiązku z art. 69 AMLR wymaga zatem umiejętności łączenia danych pochodzących z różnych etapów relacji z klientem, a nie oceny poszczególnych zdarzeń w oderwaniu od siebie.

Dodatkowego wsparcia w tej ocenie dostarczą wytyczne, do których wydania zobowiązana jest AMLA. Zgodnie z art. 69 ust. 5 AMLR do dnia 10 lipca 2027 r. AMLA wyda wytyczne dotyczące wskaźników podejrzanej działalności lub zachowań, które następnie będą okresowo aktualizowane. Wytyczne te mają w założeniu ujednolicić i skonkretyzować kryteria oceny, o których mowa w art. 69 ust. 2 AMLR, ułatwiając podmiotom zobowiązanym praktyczne stosowanie testu wiedzy, podejrzenia oraz uzasadnionych podstaw do podejrzeń.

Podsumowanie

AMLR porządkuje dotychczasowy, rozproszony system raportowania transakcji podejrzanych i wprowadza jeden, zharmonizowany na poziomie całej Unii tryb zawiadamiania FIU, co – przynajmniej na poziomie systemowym – powinno ułatwić podmiotom zobowiązanym działanie, a FIU porównywanie oraz wymianę informacji. Nie oznacza to jednak, że nowy reżim jest wolny od wątpliwości interpretacyjnych, a część z nich może mieć daleko idące konsekwencje.

Do 10 lipca 2027 r. podmioty zobowiązane powinny zastąpić obecne tryby zgłaszania transakcji podejrzanych (SAR, STR i zawiadomienie prokuratora) jedną ścieżką zawiadamiania GIIF w trybie art. 69 ust. 1 lit. a AMLR oraz zweryfikować i w razie potrzeby dostosować procedury w zakresie identyfikowania i analizy podejrzeń. Im wcześniej te procedury zostaną zweryfikowane, tym mniejsze ryzyko, że luki i wątpliwości ujawnią się dopiero przy pierwszym zawiadomieniu składanym do GIIF już pod rządami AMLR.

O konkretach związanych z zawiadomieniem (termin i format zawiadomienia, osoba składająca zawiadomienie i jej odpowiedzialność) piszemy w artykule „Raportowanie transakcji podejrzanych – kto, jak i kiedy”.

Joanna Werner, radca prawny, praktyka bankowości i finansowania projektów oraz praktyka nowych technologii kancelarii Wardyński i Wspólnicy