Obowiązki dla biur rachunkowych wynikające z ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu

Przed 31 lipca podmiotami i obowiązanymi byli m.in. doradcy podatkowi, biegli rewidenci oraz podmioty prowadzące działalność gospodarczą dotyczącą usługowego prowadzenia ksiąg rachunkowych. 
Zmiany do ustawy rozszerzyły tę listę  m.in. o biura rachunkowe (niepodlegające wcześniej pod tą ustawę), które działają na podstawie ustawy Prawo przedsiębiorców, a zakresem ich działalności są usługi polegające na sporządzaniu deklaracji, prowadzeniu ksiąg podatkowych czy też udzielaniu porad, opinii czy też objaśnień dotyczących prawa podatkowego lub celnego (art. 2 ust. 1 pkt 15a ustawy).
W myśl art. 27 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu instytucje obowiązane – IO – do których należy zaliczyć biura rachunkowe muszą badać ryzyko związane z praniem pieniędzy czyli:

1. identyfikują i oceniają ryzyko związane z praniem pieniędzy i finansowaniem terroryzmu odnoszące się do ich działalności, z uwzględnieniem czynników ryzyka dotyczących klientów, państw lub obszarów geograficznych, produktów, usług, transakcji lub kanałów ich dostaw. Działania te są proporcjonalne do charakteru i wielkości instytucji obowiązanej.
2. przy ocenie ryzyka mogą uwzględniać obowiązującą krajową ocenę ryzyka, jak również sprawozdanie Komisji Europejskiej, o którym mowa w art. 6 ust. 1-3 dyrektywy 2015/849.
3. oceny ryzyka sporządzają w postaci papierowej lub elektronicznej i w razie potrzeby, nie rzadziej jednak niż co 2 lata, aktualizują, w szczególności w związku ze zmianami czynników ryzyka dotyczących klientów, państw lub obszarów geograficznych, produktów, usług, transakcji lub kanałów ich dostaw albo dokumentów, o których mowa w pkt 2.
4. oceny ryzyka mogą udostępniać organom samorządów zawodowych lub stowarzyszeń skupiających te instytucje obowiązane.

Na podstawie art. 33 ustawy biura rachunkowe jako instytucje obowiązane:

1. stosują wobec swoich klientów środki bezpieczeństwa finansowego.
2. rozpoznają ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz oceniają poziom rozpoznanego ryzyka.
3. dokumentują rozpoznane ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz jego ocenę, uwzględniając w szczególności czynniki dotyczące:

• rodzaju klienta,
• obszaru geograficznego,
• przeznaczenia rachunku,
• rodzaju produktów, usług i sposobów ich dystrybucji;
• poziomu wartości majątkowych deponowanych przez klienta lub wartości przeprowadzonych transakcji;
• celu, regularności lub czasu trwania stosunków gospodarczych.

Zgodnie z art. 34 ust. 1 ustawy środki bezpieczeństwa finansowego obejmują:

1. identyfikację klienta oraz weryfikację jego tożsamości;
2. identyfikację beneficjenta rzeczywistego oraz podejmowanie uzasadnionych czynności w celu:
   - weryfikacji jego tożsamości,
   - ustalenia struktury własności i kontroli - w przypadku klienta będącego osobą prawną albo jednostką organizacyjną nieposiadającą osobowości prawnej.
3. ocenę stosunków gospodarczych i, stosownie do sytuacji, uzyskanie informacji na temat ich celu i zamierzonego charakteru;
4. bieżące monitorowanie stosunków gospodarczych klienta, w tym:
   a) analizę transakcji przeprowadzanych w ramach stosunków gospodarczych w celu zapewnienia, że transakcje te są zgodne z wiedzą instytucji obowiązanej o kliencie, rodzaju i zakresie prowadzonej przez niego działalności oraz zgodne z ryzykiem prania pieniędzy oraz finansowania terroryzmu związanym z tym klientem,
   b) badanie źródła pochodzenia wartości majątkowych będących w dyspozycji klienta - w przypadkach uzasadnionych okolicznościami,
   c) zapewnienie, że posiadane dokumenty, dane lub informacje dotyczące stosunków gospodarczych są na bieżąco aktualizowane.

Instytucje obowiązane, stosując środki bezpieczeństwa finansowego, o których mowa w ust. 1 pkt 1 i 2, identyfikują osobę upoważnioną do działania w imieniu klienta oraz weryfikują jej tożsamość i umocowanie do działania w imieniu klienta.
Dokumentują zastosowane środki bezpieczeństwa finansowego oraz wyniki bieżącej analizy przeprowadzanych transakcji. Na żądanie organów, o których mowa w art. 130, instytucje obowiązane wykazują, że przy uwzględnieniu poziomu rozpoznanego ryzyka prania pieniędzy oraz finansowania terroryzmu związanego 
z danymi stosunkami gospodarczymi lub transakcją okazjonalną zastosowały odpowiednie środki bezpieczeństwa finansowego.
Instytucje obowiązane na potrzeby stosowania środków bezpieczeństwa finansowego mogą przetwarzać informacje zawarte w dokumentach tożsamości klienta i osoby upoważnionej do działania w jego imieniu oraz sporządzać ich kopie.
Przed nawiązaniem stosunków gospodarczych lub przeprowadzeniem transakcji okazjonalnej instytucje obowiązane informują klienta o przetwarzaniu jego danych osobowych, w szczególności o obowiązkach instytucji obowiązanej wynikających z ustawy w zakresie przetwarzania tych danych.
Wewnętrzne procedury w omawianym zakresie reguluje art. 50 ustawy w myśl, którego:

1. Instytucje obowiązane wprowadzają wewnętrzną procedurę w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu, zwaną dalej „wewnętrzną procedurą instytucji obowiązanej”. Wewnętrzna procedura IO podlega bieżącej weryfikacji oraz w razie potrzeby aktualizacji.
2. Wewnętrzna procedura instytucji obowiązanej określa, z uwzględnieniem charakteru, rodzaju i rozmiaru prowadzonej działalności, zasady postępowania stosowane w instytucji obowiązanej i obejmuje w szczególności określenie:
   1) czynności lub działań podejmowanych w celu ograniczenia ryzyka prania pieniędzy oraz finansowania terroryzmu i właściwego zarządzania zidentyfikowanym ryzykiem prania pieniędzy lub finansowania terroryzmu;
   2) zasad rozpoznawania i oceny ryzyka prania pieniędzy oraz finansowania terroryzmu związanego z danymi stosunkami gospodarczymi lub transakcją okazjonalną, w tym zasad weryfikacji i aktualizacji uprzednio dokonanej oceny ryzyka prania pieniędzy oraz finansowania terroryzmu;
   3) środków stosowanych w celu właściwego zarządzania rozpoznanym ryzykiem prania pieniędzy lub finansowania terroryzmu związanym z danymi stosunkami gospodarczymi lub transakcją okazjonalną;
   4) zasad stosowania środków bezpieczeństwa finansowego;
   5) zasad przechowywania dokumentów oraz informacji;
   6) zasad wykonywania obowiązków obejmujących przekazywanie Generalnemu Inspektorowi informacji o transakcjach oraz zawiadomieniach;
   7) zasad upowszechniania wśród pracowników instytucji obowiązanej wiedzy z zakresu przepisów o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu;
   8) zasad zgłaszania przez pracowników rzeczywistych lub potencjalnych naruszeń przepisów z zakresu przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu;
   9) zasad kontroli wewnętrznej lub nadzoru zgodności działalności instytucji obowiązanej z przepisami o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu oraz zasadami postępowania określonymi w wewnętrznej procedurze;
   oraz od 31.10.2021 roku również:
   10) zasad odnotowywania rozbieżności między informacjami zgromadzonymi w Centralnym Rejestrze Beneficjentów Rzeczywistych a informacjami o beneficjentach rzeczywistych klienta ustalonymi w związku ze stosowaniem ustawy;
   11) zasad dokumentowania utrudnień stwierdzonych w związku z weryfikacją tożsamości beneficjenta rzeczywistego oraz  czynności podejmowanych w związku z identyfikacją jako beneficjenta rzeczywistego osoby fizycznej zajmującej wyższe stanowisko kierownicze.
3. Wewnętrzna procedura instytucji obowiązanej lub jej aktualizacja, przed wprowadzeniem do  stosowania, podlega akceptacji przez  kadrę kierowniczą wyższego szczebla.

Dodatkowo IO zgodnie z art. 53 ustawy muszą wprowadzić wewnętrzną procedurę anonimowego zgłaszania naruszeń przepisów z zakresu przeciwdziałania  praniu pieniędzy  oraz  finansowaniu  terroryzmu. Procedura ta określa w szczególności:

• osobę odpowiedzialną za odbieranie zgłoszeń;
• sposób odbierania zgłoszeń;
• sposób ochrony pracownika dokonującego zgłoszenia, zapewniający co najmniej ochronę przed działaniami o  charakterze represyjny, dyskryminacją lub innymi rodzajami niesprawiedliwego traktowania, 
• sposób ochrony danych osobowych pracownika dokonującego zgłoszenia oraz  osoby, której zarzuca się dokonanie naruszenia, zgodnie z  przepisami o  ochronie danych osobowych; 
• zasady zachowania poufności w przypadku ujawnienia tożsamości osób, o których mowa w pkt 4, lub gdy ich tożsamość jest możliwa do ustalenia;
• rodzaj i charakter działań następczych podejmowanych po odebraniu zgłoszenia;
• termin usunięcia przez instytucje obowiązane danych osobowych zawartych w zgłoszeniach,

a od 31.10.2021 roku również:

• Instytucje obowiązane zapewniają pracownikom oraz  innym osobom wykonującym czynności na  rzecz  instytucji obowiązanej, o  których mowa w  ust. 1, ochronę przed podejmowaniem wobec nich działań o  charakterze represyjnym lub wpływających na  pogorszenie ich sytuacji prawnej lub faktycznej, lub polegających na  kierowaniu gróźb,
• Instytucje obowiązane, ich pracownicy oraz  inne osoby wykonujące czynności na  rzecz  instytucji obowiązanej nie podejmują wobec pracowników oraz  innych osób, o  których mowa w  ust. 1, działań o  charakterze represyjnym lub wpływających na  pogorszenie ich sytuacji prawnej lub faktycznej, lub polegających na  kierowaniu wobec nich gróźb, w  szczególności działań negatywnie wpływających na  ich warunki pracy lub zatrudnienia.

Dodać także trzeba, że zgodnie ze stanowiskiem Urzędu Komisji Nadzoru Finansowego prawidłowa ocena ryzyka związanego z p...