Ocena ryzyka całej organizacji według AMLR: metodyka, dane i governance

Business-wide risk assessment (BWRA), czyli ocena ryzyka AML/CFT całej organizacji, powinna pokazywać, gdzie organizacja jest narażona na ryzyko prania pieniędzy, finansowania terroryzmu oraz ryzyka związane z ukierunkowanymi sankcjami finansowymi. Powinna również wyjaśniać, jak istotne są te ryzyka, czy istniejące kontrole skutecznie je ograniczają oraz jakie ryzyko pozostaje po zastosowaniu zabezpieczeń.

Zgodnie z art. 10 Rozporządzenia (UE) 2024/1624 (AMLR) instytucje obowiązane muszą identyfikować i oceniać ryzyka ML/TF, na które są narażone, a także ryzyka niewdrożenia i obchodzenia ukierunkowanych sankcji finansowych (TFS). Projekt wytycznych AMLA z 2026 r. przedstawia proponowane wspólne ramy prowadzenia takiej oceny.

Cztery elementy BWRA proponowane przez AMLA

Projekt wytycznych AMLA opiera BWRA na czterech minimalnych wymaganiach. Razem tworzą logiczny ciąg od zrozumienia działalności do określenia ekspozycji pozostającej po uwzględnieniu kontroli.

Model biznesowy → ryzyko inherentne → kontrole → skuteczność kontroli → ryzyko rezydualne → działania zarządcze. Taki ciąg daje znacznie więcej informacji niż ocena ryzyka sprowadzona wyłącznie do końcowej punktacji.

1. Zacznij od działalności, a nie od modelu punktowego

Częstym problemem ocen ryzyka jest rozpoczęcie pracy od arkusza z uniwersalną listą czynników bez wcześniejszego opisania organizacji, której ryzyko ma zostać ocenione.

Punktem wyjścia powinno być zrozumienie m.in.:

• struktury prawnej i organizacyjnej,
• linii biznesowych i działalności regulowanej,
• produktów i usług,
• segmentów klientów,
• rodzajów i wolumenów transakcji lub aktywności,
• kanałów sprzedaży i onboardingu,
• ekspozycji geograficznej,
• outsourcingu i zależności od podmiotów zewnętrznych,
• governance i zasobów AML/CFT,
• systemów i danych wspierających kontrole AML,
• planowanych zmian modelu działalności.

Transgraniczny CASP obsługujący klientów detalicznych i korporacyjnych nie powinien rozpoczynać od identycznego modelu oceny jak mała instytucja obowiązana prowadząca działalność wyłącznie lokalnie. Metodyka powinna odzwierciedlać biznes, a nie zmuszać biznes do dopasowania się do uniwersalnego szablonu.

2. Zdefiniuj katalog ryzyk

Po zrozumieniu modelu operacyjnego można zidentyfikować ryzyka wynikające z działalności. Art. 10 AMLR oraz projekt AMLA zwracają szczególną uwagę na klientów, produkty i usługi, transakcje, kanały dostępu oraz ekspozycję geograficzną.

3. Oceń ryzyko inherentne przed uwzględnieniem kontroli

Projekt AMLA definiuje ryzyko inherentne jako ekspozycję ML/TF i odpowiednie ryzyka TFS wynikające z działalności organizacji przed zastosowaniem działań ograniczających.

Rozdzielenie tych perspektyw zapobiega sytuacji, w której dobre kontrole przesłaniają rzeczywisty charakter działalności. Przykładowo:

• transgraniczne transfery kryptoaktywów mogą posiadać podwyższone ryzyko inherentne pomimo rozwiniętego blockchain analytics,
• złożone struktury korporacyjne mogą generować wysokie ryzyko własności mimo dojrzałych kontroli KYB,
• duże wolumeny płatności międzynarodowych mogą tworzyć istotną ekspozycję monitoringową mimo funkcjonującego systemu transaction monitoring.

Oddzielenie ryzyka inherentnego od skuteczności kontroli pozwala zarządowi zobaczyć również obszary, w których organizacja jest szczególnie zależna od jakości swojego środowiska kontrolnego.

4. Wykorzystaj dane odpowiadające rzeczywistej ekspozycji

BWRA nie powinna opierać się wyłącznie na warsztatach i ocenie eksperckiej. Dane ilościowe zwiększają możliwość uzasadnienia wyniku, jego odtworzenia i zakwestionowania.

W zależności od modelu działalności można wykorzystać m.in.:

• klientów według kategorii ryzyka i typu,
• geografię klientów i beneficjentów rzeczywistych,
• populację PEP i klientów podwyższonego ryzyka,
• wykorzystanie produktów i wolumeny transakcji,
• przepływy transgraniczne i jurysdykcje wysokiego ryzyka,
• kanały onboardingu,
• alerty, postępowania wyjaśniające i eskalacje,
• zgłoszenia podejrzeń,
• alerty i trafienia screeningowe,
• zaległe przeglądy KYC/CDD,
• wyniki audytu, QA i testowania kontroli,
• backlog remediacji, incydenty i ustalenia nadzorcze.

5. Zbuduj metodykę, którą można wyjaśnić

Bardziej skomplikowany wzór nie oznacza automatycznie lepszej oceny ryzyka. Metodyka powinna prowadzić do wyniku, który można zrozumieć, zakwestionować i odtworzyć.

Powinna jasno definiować:

• czynniki ryzyka i kryteria oceny,
• skale punktowe i kategorie ryzyka,
• wagi,
• zasady agregacji,
• traktowanie brakujących lub niepełnych danych,
• wykorzystanie profesjonalnego osądu,
• mechanizmy override,
• dokumentowanie i governance zmian metodologii.

6. Oceń jakość kontroli, a nie wyłącznie ich istnienie

Po ocenie ryzyka inherentnego organizacja powinna ustalić jakość kontroli stosowanych do jego ograniczania. Nie wystarczy ustalenie, że odpowiednia procedura istnieje.

Dowodami jakości kontroli mogą być:

• monitoring compliance,
• wyniki Quality Assurance,
• ustalenia audytu wewnętrznego i zewnętrznego,
• testy kontroli,
• wskaźniki błędów KYC/KYB,
• QA alertów monitoringu transakcji,
• testy skuteczności screeningu,
• status remediacji,
• informacja zarządcza,
• ustalenia organu nadzoru.

Procedura mówiąca, że kontrola istnieje, nie jest dowodem na to, że kontrola jest skuteczna. Dlatego BWRA, audyt AML i Quality Assurance powinny być elementami jednego środowiska kontrolnego.

7. Określ i zakwestionuj ryzyko rezydualne

Ryzyko rezydualne jest ekspozycją pozostającą po uwzględnieniu polityk, procedur, systemów i kontroli ograniczających ryzyko.

Ryzyko inherentne + skuteczność kontroli → ryzyko rezydualne

Wynik nie powinien być przyjmowany automatycznie. Szczególnej analizy wymagają sytuacje, w których:

• bardzo wysokie ryzyko inherentne staje się niskie wyłącznie dzięki wysokiej punktacji kontroli,
• istotne ustalenia audytowe nie wpływają na ocenę kontroli,
• duży backlog remediacji nie wpływa na ryzyko rezydualne,
• szybki wzrost działalności nie zmienia oceny,
• znane ograniczenia systemów nie znajdują odzwierciedlenia w wyniku.

8. Połącz BWRA z oceną ryzyka klienta

Business-wide risk assessment i indywidualna ocena ryzyka klienta są odrębnymi procesami, ale zgodnie z projektem AMLA powinny wzajemnie się informować.

Wyniki ocen klientów dostarczają danych o ogólnej ekspozycji organizacji. Jednocześnie BWRA powinien wpływać na sposób oceny klientów związanych z określonymi produktami, usługami, jurysdykcjami, cechami klientów i kanałami dostępu.

Jeżeli BWRA wskazuje istotne ryzyko, którego metodologia customer risk assessment praktycznie nie rozpoznaje, oba modele są ze sobą niespójne. Analogicznie duża populacja klientów wysokiego ryzyka powinna znaleźć odzwierciedlenie w ocenie całej organizacji.

9. Przełóż BWRA na rzeczywiste kontrole AML

Ocena ryzyka nie powinna kończyć się wraz z zatwierdzeniem dokumentu. Jej wyniki powinny wpływać na polityki, procedury, kontrole i alokację zasobów.

Podwyższone ryzyko płatności transgranicznych
→ scenariusze monitoringu i standardy analizy powinny odpowiadać tej ekspozycji.

Wysoka złożoność struktur właścicielskich
→ KYB, weryfikacja beneficjentów rzeczywistych i EDD powinny być odpowiednio wzmocnione.

Istotna ekspozycja na określone jurysdykcje
→ screening, ocena ryzyka klienta, EDD i monitoring powinny uwzględniać ten czynnik.

Podwyższone ryzyko obchodzenia TFS
→ należy odpowiednio ocenić kontrole sankcyjne, dane, proces eskalacji i governance.

10. Ustal jasny governance i odpowiedzialność

Aktualny projekt AMLA przewiduje, że BWRA powinien być przygotowany przez Compliance Officera, zatwierdzony przez organ zarządzający w jego funkcji zarządczej oraz — jeżeli taki organ istnieje — przekazany organowi pełniącemu funkcję nadzorczą.

Organizacja powinna również zapewnić, że BWRA jest:

• udokumentowany,
• aktualny,
• regularnie przeglądany,
• dostępny dla organu nadzoru na jego żądanie,
• rozumiany przez pracowników, których obowiązki tego wymagają,
• wykorzystywany do poprawy polityk, procedur i kontroli.

Zewnętrzni eksperci mogą wspierać przygotowanie oceny, ale instytucja obowiązana zachowuje odpowiedzialność za BWRA. Powinna rozumieć i potrafić wyjaśnić jego metodologię, założenia, dane, wyniki i wynikające z nich działania.

11. Określ, kiedy BWRA powinien zostać ponownie przeanalizowany

Regularny cykl przeglądu jest ważny, ale istotne zmiany działalności mogą wymagać ponownej oceny przed kolejnym planowanym terminem.

Potencjalne zdarzenia obejmują:

• nowy produkt lub usługę,
• wejście do nowej jurysdykcji,
• nowe segmenty klientów,
• istotny wzrost liczby klientów lub wolumenów transakcji,
• przejęcie, połączenie lub zmianę struktury,
• istotną zmianę outsourcingu,
• nową technologię lub systemy,
• istotny incydent AML lub sankcyjny,
• ważne ustalenia audytu lub nadzoru,
• nowe typologie i zagrożenia zewnętrzne.

12. Zamień ryzyko rezydualne w plan działania

Dojrzały BWRA powinien prowadzić do decyzji. Jeżeli ryzyko rezydualne pozostaje zbyt wysokie albo kontrole są niewystarczające, organizacja powinna określić konkretne działania.

Mogą one obejmować:

• zmiany polityk i procedur,
• przebudowę kontroli,
• zmiany systemowe,
• rekalibrację monitoringu transakcji,
• remediację KYC/KYB,
• dodatkowy Quality Assurance,
• dedykowane szkolenia,
• dodatkowe zasoby lub poprawę informacji zarządczej,
• zmiany apetytu na ryzyko,
• ograniczenie określonego rodzaju działalności.

Najczęstsze słabości business-wide risk assessment

• kopiowanie uniwersalnego szablonu bez dostosowania go do rzeczywistej działalności,
• opisywanie teoretycznych czynników zamiast mierzenia realnej ekspozycji,
• mieszanie ryzyka inherentnego i rezydualnego,
• arbitralne punktacje lub wagi,
• przyznawanie wysokiej oceny kontrolom bez dowodów ich skuteczności,
• nieuwzględnianie wyników audytu i QA,
• słabe powiązanie z customer risk assessment,
• słabe powiązanie z monitoringiem transakcji i innymi kontrolami,
• pomijanie ryzyka niewdrożenia i obchodzenia TFS,
• traktowanie zatwierdzenia przez zarząd jako formalności,
• brak przełożenia ryzyka rezydualnego na działania naprawcze.

Praktyczny przegląd gotowości do AMLR

Organizacje nie muszą czekać do rozpoczęcia stosowania AMLR, aby sprawdzić, czy obecny BWRA odpowiada kierunkowi nowego systemu. Przegląd można oprzeć na sześciu pytaniach.

Celem nie powinno być stworzenie najdłuższego możliwego dokumentu. Dobra ocena powinna pozwalać zarządowi zrozumieć, zakwestionować, wykorzystywać i udokumentować podejście organizacji oparte na ryzyku.

Jak APOG wspiera business-wide risk assessment

APOG wspiera podmioty regulowane i instytucje obowiązane m.in. poprzez:

• projektowanie i niezależny przegląd metodologii BWRA,
• mapowanie działalności i czynników ryzyka,
• ocenę ryzyka inherentnego,
• dobór danych i wskaźników,
• ocenę skuteczności kontroli,
• metodologię ryzyka rezydualnego,
• powiązanie z customer risk assessment,
• powiązanie BWRA z monitoringiem transakcji,
• governance i raportowanie zarządcze,
• planowanie remediacji i walidację zamknięcia.

Oficjalne źródła

• Rozporządzenie (UE) 2024/1624 — AMLR
• AMLA — konsultacje projektu wytycznych dotyczących business-wide risk assessment
• AMLA — Consultation Paper dotyczący wytycznych na podstawie art. 10 ust. 4 AMLR

Artykuł przedstawia praktyczną interpretację wymogów dotyczących oceny ryzyka AML/CFT i nie stanowi porady prawnej. Na dzień 17 sierpnia 2026 r. wytyczne AMLA dotyczące business-wide risk assessment pozostają projektem. Konsultacje publiczne zakończyły się 15 lipca 2026 r., a AMLA wskazuje IV kwartał 2026 r. jako planowany termin wydania finalnych wytycznych. Ich ostateczna treść może różnić się od wersji konsultacyjnej.