Poznaj swojego klienta (KYC): Globalne standardy krajobrazu i zgodności

Poznaj swojego klienta (KYC) Proces należytej staranności (ang. due diligence) wdrażany przez firmy, zwłaszcza z sektora bankowego, fintech i usług finansowych, w celu weryfikacji tożsamości klientów, oceny legalności ich funduszy oraz analizy ogólnego profilu ryzyka. Odbywa się to poprzez gromadzenie i weryfikację kluczowych informacji, takich jak dokumenty tożsamości, potwierdzenia adresu, sprawozdania finansowe, a czasem także źródła majątku. KYC wykracza poza proces onboardingu, obejmując stały monitoring transakcji finansowych i okresową weryfikację ryzyka klienta, co pozwala na wczesne wykrywanie podejrzanych zachowań i podejmowanie odpowiednich działań.

KYC jest podstawą globalnego przeciwdziałania praniu pieniędzy (AML) i zwalczania terroryzmu 

finansowania (CTF), umożliwiając firmom zapobieganie niewłaściwemu wykorzystaniu swoich platform i przestrzeganie krajowych i międzynarodowych przepisów ustanowionych przez organizacje takie jak Grupa Specjalna ds. Przeciwdziałania Praniu Pieniędzy (FATF). Niewdrożenie odpowiednich procedur KYC może narazić instytucje na kary regulacyjne, utratę reputacji i znaczną utratę zaufania konsumentów.

Chociaż wdrażanie procedur KYC może być skomplikowane i zasobochłonne, jest ono niezbędne dla zrównoważonego rozwoju zarówno w kraju, jak i za granicą. Dobrze wdrożone praktyki KYC mogą zarówno zapobiegać oszustwom, jak i chronić dane klientów, umożliwiając bardziej spersonalizowane usługi i silniejsze relacje biznesowe. Wraz z rosnącą cyfryzacją świata, innowacje takie jak e-KYC, weryfikacja biometryczna i ocena ryzyka oparta na sztucznej inteligencji są coraz częściej wykorzystywane do usprawnienia przestrzegania przepisów i poprawy jakości obsługi klienta. Dzięki temu KYC staje się nie tylko wymogiem regulacyjnym, ale także przewagą konkurencyjną!

Ramy regulacyjne KYC

Ramy zgodności KYC są w dużej mierze dyktowane przez Grupę Specjalną ds. Przeciwdziałania Praniu Pieniędzy (FATF), międzyrządowy organ utworzony w 1989 roku, który ustala standardy AML i CTF na całym świecie. Ponad 200 jurysdykcji przyjęło 40 Rekomendacji FATF, które były stale aktualizowane na przestrzeni lat i rozwijane na poziomie krajowym.

Organizacja przeprowadza wzajemne oceny, aby ocenić państwa członkowskie pod kątem zarówno technicznej zgodności ich przepisów dotyczących przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu (AML/CTF), jak i skuteczności ich wdrażania. Państwa, które nie przejdą tych ocen, mogą zostać umieszczone na szarej lub czarnej liście FATF, co poważnie ogranicza ich dostęp do międzynarodowych rynków finansowych. Znalezienie się na tych listach może mieć ogromny wpływ na dobrobyt finansowy regionu, co skłania państwa do uchwalania i egzekwowania odpowiednich przepisów.

Chociaż niektóre nadrzędne zasady, takie jak należyta staranność wobec klienta (CDD), wzmożona należyta staranność (EDD) w przypadku klientów wysokiego ryzyka oraz stały monitoring, szczegółowe przepisy mogą się znacznie różnić w zależności od kraju. Przepisy krajowe mogą interpretować wytyczne FATF poprzez lokalne oceny ryzyka, dojrzałość sektora finansowego i możliwości egzekwowania prawa. Większość jurysdykcji posiada dedykowane organy regulacyjne, które egzekwują przestrzeganie zasad KYC i AML i mogą nakładać grzywny lub zlecać reformy w przypadku wykrycia uchybień.

Ze względu na cyfrową rzeczywistość nowoczesnego systemu finansowego, na całym świecie wprowadzane są nowe przepisy dotyczące zdalnego onboardingu, cyfrowej weryfikacji tożsamości i automatycznego monitorowania transakcji. W niektórych częściach świata zakres regulacji rozszerzył się również o instytucje pozabankowe, takie jak dostawcy usług aktywów wirtualnych (VASP), startupy fintech, giełdy kryptowalut, pośrednicy w obrocie nieruchomościami, a nawet prawnicy i księgowi. Odzwierciedla to rosnącą świadomość, że pranie pieniędzy i oszustwa mogą wykraczać poza tradycyjne kanały finansowe. 

Poniżej znajduje się przegląd najważniejszych organów regulacyjnych KYC, krajowych trendów w egzekwowaniu prawa oraz najważniejszych działań w zakresie zgodności z przepisami z ostatnich kilku lat, ze szczególnym uwzględnieniem podziału jurysdykcji na jurysdykcje, co pokazuje, w jaki sposób globalne zasady są stosowane w kontekście lokalnym.

United States

Stany Zjednoczone utrzymują jeden z największych i najbardziej kompleksowych systemów zgodności z KYC i AML. Podstawą jego działania jest ustawa o tajemnicy bankowej (Bank Secrecy Act, BSA) z 1970 roku, która na przestrzeni lat przeszła znaczną ewolucję, aby sprostać rosnącej złożoności przestępstw finansowych. Dotyczy to m.in. ustawy USA PATRIOT Act z 2001 roku oraz ustawy o przeciwdziałaniu praniu pieniędzy (Anti-Money Laundering Act) z 2020 roku.

FinCEN (Sieć ścigania przestępstw finansowych)

FinCEN to biuro Departamentu Skarbu USA, które egzekwuje przepisy BSA i nadzoruje zgodność z procedurami KYC/AML w firmach takich jak banki, firmy świadczące usługi finansowe, kasyna, firmy papierów wartościowych oraz rosnącą liczbę dostawców usług fintech i aktywów wirtualnych (VASP). Nadzoruje również składanie raportów o podejrzanej aktywności (SAR), obowiązki związane z należytą starannością wobec klientów (Customer Due Diligence – CDD) oraz transparentność rzeczywistych właścicieli, zgodnie z Ustawą o przejrzystości korporacyjnej z 2024 r.

OFAC (Biuro Kontroli Aktywów Zagranicznych)

OFAC administruje i egzekwuje amerykańskie sankcje gospodarcze i handlowe, zgodne z celami bezpieczeństwa narodowego i polityki zagranicznej, zgodnie z wytycznymi Prezydenta i ustawami Kongresu. W ramach KYC instytucje muszą weryfikować klientów na podstawie listy Specjalnie Wyznaczonych Obywateli (SDN) OFAC oraz listy osób zablokowanych. 

Ostatnie egzekwowanie 

TD Bank (październik 2024)

W ramach jednej z największych akcji egzekwowania przepisów AML w najnowszej historii, TD Bank przyznał się do naruszenia ustawy BSA i zgodził się zapłacić karę w wysokości 3 miliardów dolarów. Było to wynikiem braku odpowiedniego monitorowania i raportowania przez TD podejrzanych transakcji o wartości ponad 670 dolarów w ciągu wielu lat, co odzwierciedlało systemowe nieprawidłowości w kontroli wewnętrznej, monitorowaniu transakcji i składaniu raportów SAR. W ramach tego rozwiązania, TD Bank został zobowiązany do wyznaczenia niezależnego monitora zgodności, który nadzorowałby działania naprawcze AML przez okres trzech lat. 

Wielka Brytania

Od momentu opuszczenia Unii Europejskiej Wielka Brytania utrzymała i rozszerzyła własne mandaty w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, głównie zgodnie z przepisami dotyczącymi przeciwdziałania praniu pieniędzy z 2017 r. i zmieniała je w razie potrzeby.

Organ Nadzoru Finansowego (FCA)

FCA posiada szerokie uprawnienia do nadzorowania firm świadczących usługi finansowe i egzekwowania wymogów AML/KYC, oceniając, jak zarządzają one ryzykiem przestępstw finansowych, w tym jak przeprowadzają weryfikację tożsamości klientów, przeprowadzają kontrole należytej staranności i monitorują transakcje. Mają również prawo do nakładania grzywien, ograniczania działalności gospodarczej, a w skrajnych przypadkach do cofania licencji. 

Ostatnie egzekwowanie 

Equifax Limited (październik 2023)

Firma Equifax Limited została niedawno ukarana przez FCA grzywną w wysokości 11.16 mln funtów za poważne niedociągnięcia w sposobie zarządzania cyberatakiem z 2017 roku, który dotknął jej amerykańską spółkę dominującą, doprowadzając do ujawnienia danych osobowych 14 milionów brytyjskich klientów. FCA stwierdziła, że ​​Equifax UK nie sprawował wystarczającego nadzoru nad przetwarzaniem przez swoją spółkę dominującą poufnych danych osobowych i pomimo tego, że proces odbywał się za granicą, Equifax Limited zachował odpowiedzialność zgodnie z brytyjskimi przepisami. FCA wskazała na słabości w zarządzaniu ryzykiem, zabezpieczeniach i procedurach zarządzania w Equifax, które bezpośrednio przyczyniły się do wpływu naruszenia na brytyjskich klientów.

Unia Europejska (UE)

Unia Europejska przyjęła progresywne, wielowarstwowe podejście do zwalczania przestępczości finansowej, kładąc nacisk na transgraniczną spójność sposobu, w jaki instytucje identyfikują klientów, oceniają ryzyko i zgłaszają podejrzane działania.  

Dyrektywy AML (AMLD)

Ustanowione w 1991 roku, kolejne wersje dyrektyw w sprawie przeciwdziałania praniu pieniędzy mają na celu udoskonalenie i wzmocnienie oczekiwań dotyczących zgodności w całej Europie. Czwarta dyrektywa AML (2015) ustanowiła minimalne wymogi KYC i należytej staranności dla banków, agentów nieruchomości, księgowych i innych dostawców usług finansowych, natomiast Piąta dyrektywa AML (2018) rozszerzyła zakres o platformy kryptowalutowe i wystawców kart przedpłaconych. 

Niedawno Szósta Dyrektywa AML (2021) rozszerzyła odpowiedzialność karną za przestępstwa związane z praniem pieniędzy na osoby prawne, co oznacza, że ​​same firmy mogą ponosić odpowiedzialność za naruszenia AML popełnione przez ich pracowników.

Ostatnie egzekwowanie 

Euram Bank (październik 2024)

W październiku 2024 roku Austriacki Urząd Nadzoru nad Rynkiem Finansowym (FMA) nakazał europejsko-amerykańskiemu bankowi inwestycyjnemu AG (Euram Bank) natychmiastowe wstrzymanie działalności z powodu niedostatecznych kontroli AML. FMA ostrzegł Euram Bank wcześniej w tym roku o konieczności przestrzegania dyrektyw AML w celu zapobiegania praniu pieniędzy, ale okazało się, że nie podjęto odpowiednich działań w tym zakresie.

Chiny

Chiny wykorzystują strukturę podwójnego regulatora w zakresie krajowego nadzoru finansowego i egzekwowania przepisów AML, z podziałem obowiązków między bank centralny kraju a wyznaczony organ regulacji finansowej. W ostatnich latach Chiny zwiększyły nacisk na dostosowanie krajowych działań do standardów międzynarodowych, jednocześnie stawiając czoła wyjątkowym wyzwaniom krajowym, takim jak transakcje gotówkowe na dużą skalę i podziemne sieci bankowe.

Ludowy Bank Chin (PBC)

Zgodnie z Ustawą Chińskiej Republiki Ludowej o przeciwdziałaniu praniu pieniędzy, PBC jest odpowiedzialne za opracowywanie polityk AML, ustanawianie wymogów regulacyjnych dotyczących weryfikacji tożsamości klientów oraz badanie instytucji finansowych podejrzewanych o uchybienia w przestrzeganiu przepisów. PBC nadzoruje również Chińskie Centrum Monitorowania i Analizy Przeciwdziałania Praniu Pieniędzy (CAMLMAC), które podobnie jak inne jednostki analityki finansowej (FIU) gromadzi i analizuje dane transakcyjne w celu wykrywania podejrzanych zachowań w całym systemie finansowym.

Chińska Komisja Regulacyjna ds. Bankowości i Ubezpieczeń (CBIRC)

CBIRC zapewnia, że ​​instytucje prawidłowo wdrażają standardy AML wprowadzone przez PBC, poprzez weryfikację mechanizmów kontroli wewnętrznej, procedur onboardingowych i stałe działania due diligence. Od momentu powstania w 2018 roku, CIBRC przyczynił się do udoskonalenia protokołów KYC w Chinach, zwłaszcza wśród państwowych i wiejskich instytucji finansowych, które historycznie miały opóźnienia w przestrzeganiu tych standardów.

Ostatnie egzekwowanie

Grupa Mrówek (lipiec 2023)

Po zakończeniu wieloletniego śledztwa PBC nałożyła karę pieniężną w wysokości 7.123 mld juanów (~984 mln USD) nałożono na Ant Group za szereg naruszeń, w tym zaniedbania w zakresie przeciwdziałania praniu pieniędzy (AML), niedbałe praktyki ochrony konsumentów i nieodpowiedni ład korporacyjny. Grzywna ta dała regulatorom sygnał, że firmy fintech, niezależnie od wielkości i wpływów, muszą przestrzegać przepisów KYC w takim samym stopniu jak tradycyjne banki, aby zapobiegać nadużyciom w zakresie swoich produktów finansowych. 

India

Podstawową ustawą AML w Indiach jest ustawa o zapobieganiu praniu pieniędzy, uchwalona w 2002 r., która stanowi podstawę prawną dla szerokiego zakresu obowiązków w zakresie zgodności wdrożonych w ciągu ostatnich dwóch dekad.

Reserve Bank of India (RBI)

RBI, indyjski bank centralny, wydaje wytyczne ramowe i okresowe aktualizacje, które określają, w jaki sposób instytucje finansowe muszą weryfikować tożsamość klientów, prowadzić dokumentację i oceniać ryzyko. Oprócz stanowienia przepisów, RBI przeprowadza również audyty, inspekcje na miejscu i przeglądy tematyczne, aby upewnić się, że instytucje nie tylko przyjmują odpowiednie polityki na papierze, ale także skutecznie je wdrażają. Do ich uprawnień egzekucyjnych należy nakładanie grzywien i ograniczeń na działalność gospodarczą w przypadku uporczywego nieprzestrzegania przepisów.

Jednostka wywiadu finansowego (FIU-IND)

FIU-IND pełni funkcję centralnej agencji w Indiach, zajmującej się przyjmowaniem, przetwarzaniem i analizowaniem zgłoszeń o podejrzanych transakcjach (STR) składanych przez podmioty zgłaszające. Działa na rzecz ułatwienia współpracy międzyagencyjnej oraz wspierania dochodzeń organów ścigania. W ostatnich latach FIU-IND coraz bardziej kładzie nacisk na monitorowanie oparte na danych, międzysektorową wymianę informacji wywiadowczych oraz szybsze reagowanie na uchybienia w zakresie zgodności (zwłaszcza w obliczu cyfrowej ekspansji usług finansowych).

Ostatnie egzekwowanie

HDFC Bank i Punjab & Sind Bank (marzec 2025)

W marcu 2025 roku RBI nałożył grzywny w wysokości 75 lakh rupii (~87 000 USD) i 68.20 lakh rupii (~80 000 USD) odpowiednio na HDFC Bank i Punjab & Sind Bank. Były one wynikiem uchybień w procedurach identyfikacji klientów i braku spójnych protokołów klasyfikacji ryzyka. Chociaż organy regulacyjne zauważyły, że kary te wynikały z luk proceduralnych, a nie celowego działania, nadal podkreślały wagę utrzymania ścisłego nadzoru, zwłaszcza w obliczu powszechnego stosowania onboardingu cyfrowego.