Outsourcing AML: jak zlecić realizację i zachować kontrolę regulacyjną

Outsourcing AML zmienia podmiot wykonujący pracę, ale nie przenosi odpowiedzialności regulacyjnej instytucji obowiązanej. Dostawca może realizować określone zadania operacyjne, przygotowywać analizy, przeglądać akta klientów i wspierać monitoring, jednak klient musi zachować skuteczny nadzór, uprawnienia decyzyjne, dostęp do informacji oraz zdolność do oceny i zakwestionowania wykonanej pracy.

Dojrzały model współpracy nie jest zatem budowany wokół liczby zewnętrznych analityków lub zakupionych godzin. Jego podstawę stanowią określony zakres, przypisana odpowiedzialność, udokumentowane standardy, mierzalna jakość, ścieżki eskalacji, informacja zarządcza i plan zakończenia współpracy.

Outsourcing, korzystanie z podmiotu trzeciego i staff augmentation to różne modele

Określenie „outsourcing” jest często używane wobec różnych form współpracy. Skutki prawne i operacyjne zależą od tego, co dostawca rzeczywiście wykonuje, czyją metodologię stosuje oraz kto podejmuje decyzje.

Model powinien zostać prawidłowo sklasyfikowany przed zawarciem umowy. Nazwanie każdej współpracy „doradztwem” nie usuwa potrzeby oceny, czy w rzeczywistości jest to outsourcing, korzystanie z podmiotu trzeciego, wsparcie zasobowe lub inne regulowane rozwiązanie.

Jakie zadania AML można zlecić?

Zgodnie z obowiązującą polską ustawą AML instytucja obowiązana może powierzyć zewnętrznemu podmiotowi stosowanie środków bezpieczeństwa finansowego oraz prowadzenie i dokumentowanie bieżącej analizy transakcji. Dostawca powinien działać w imieniu i na rzecz instytucji na podstawie pisemnej umowy.

W zależności od regulacji sektorowych, modelu operacyjnego i przyjętych uprawnień decyzyjnych dostawca może wspierać między innymi:

• onboarding oraz gromadzenie informacji KYC i KYB,
• identyfikację i weryfikację klienta oraz beneficjenta rzeczywistego,
• przeglądy okresowe i przeglądy wywołane zdarzeniem,
• remediację KYC/KYB i zarządzanie backlogiem,
• przygotowywanie ocen ryzyka klienta,
• research i pozyskiwanie dowodów na potrzeby EDD,
• screening PEP, sankcyjny i adverse media,
• pierwszy poziom analizy alertów monitoringu transakcji,
• bieżącą analizę transakcji i jej dokumentowanie,
• przygotowanie sprawy do wewnętrznej eskalacji i decyzji,
• kontrolę jakości i testowanie akt,
• informację zarządczą i raportowanie operacyjne.

Co powinno pozostać po stronie klienta?

Nawet przy zleceniu zadań operacyjnych klient powinien zachować odpowiedzialności zarządcze i strategiczne, które określają sposób działania jego systemu AML. Dotyczy to w szczególności apetytu na ryzyko, systemu kontroli i odpowiedzialności regulacyjnej.

Od 10 lipca 2027 r. art. 18 AMLR będzie wprost zakazywał outsourcingu między innymi:

• proponowania i zatwierdzania oceny ryzyka ML/TF całej organizacji,
• zatwierdzania wewnętrznych polityk, procedur i kontroli AML/CFT,
• podejmowania decyzji o profilu ryzyka klienta,
• podejmowania decyzji o nawiązaniu relacji lub wykonaniu transakcji okazjonalnej,
• przekazywania zawiadomień o podejrzeniu do FIU, z ograniczonym wyjątkiem wewnątrzgrupowym,
• zatwierdzania kryteriów wykrywania podejrzanych lub nietypowych transakcji i aktywności.

Dostawca może przygotowywać informacje, analizę, rekomendacje i dokumentację wspierającą te obszary. Ostateczne zatwierdzenie lub decyzja ustawowa powinny pozostać po stronie uprawnionej osoby lub organu klienta.

1. Zacznij od zdefiniowanego modelu operacyjnego

Przed rozmową o liczbie osób i cenie strony powinny zdefiniować docelowy model operacyjny. Musi on pokazywać, które działania pozostają po stronie klienta, które realizuje dostawca oraz jak decyzje są przekazywane pomiędzy organizacjami.

Model powinien określać:

• procesy i populacje klientów objęte zakresem,
• systemy oraz źródła danych,
• procedurę i metodologię klienta,
• role realizacyjne, kontrolne i zarządcze dostawcy,
• decyzje pozostające po stronie klienta,
• hierarchię eskalacji i zatwierdzania,
• kontrole stosowane przed odbiorem lub zamknięciem pracy,
• raportowanie i fora governance.

2. Udokumentuj odpowiedzialności w matrycy RACI

Pisemna matryca RACI lub równoważny podział ról ogranicza ryzyko luk pomiędzy umową, procedurą i rzeczywistą realizacją. Powinna obejmować każdy istotny etap procesu, a nie tylko ogólne przypisanie odpowiedzialności.

3. Oceń dostawcę przed rozpoczęciem współpracy

Dostawca powinien zostać oceniony przed uzyskaniem dostępu do danych klientów i regulowanych procesów. Zakres due diligence powinien odpowiadać krytyczności, skali, wrażliwości danych i poziomowi osądu wymaganego w procesie.

• doświadczenie AML, KYC i sektorowe,
• kompetencje osób prowadzących realizację,
• rekrutację, weryfikację i szkolenia personelu,
• kontrolę jakości i nadzór,
• bezpieczeństwo informacji, poufność i ochronę danych,
• ciągłość działania i odporność operacyjną,
• stabilność finansową i organizacyjną,
• podwykonawców i lokalizacje realizacji,
• konflikty interesów i konkurencyjne projekty,
• historię regulacyjną oraz istotne incydenty.

4. Przenieś wymagania operacyjne do umowy

Ogólna umowa doradcza zwykle nie wystarcza do cyklicznego procesu AML. Umowa powinna odzwierciedlać model operacyjny oraz zapewniać klientowi praktyczne prawa dostępu, kontroli, kwestionowania i przejęcia procesu.

• szczegółowy zakres i działania wyłączone,
• obowiązujące procedury i standardy decyzyjne,
• role, uprawnienia i decyzje pozostające u klienta,
• poziomy usług i oczekiwania jakościowe,
• systemy, dane, poufność i przechowywanie dokumentacji,
• incydenty, naruszenia i zasady eskalacji,
• dostęp klienta, audytorów i organów nadzoru,
• zasady podwykonawstwa i zmiany lokalizacji,
• ciągłość działania i odtworzenie procesu,
• zakończenie, wsparcie migracji oraz zwrot lub usunięcie danych.

5. Ustal standardy decyzyjne przed rozpoczęciem realizacji

Zewnętrzni analitycy nie powinni interpretować niekompletnej procedury inaczej w każdej sprawie. Polityki należy przełożyć na operacyjne standardy decyzji, wymagania dowodowe i zasady eskalacji.

• dowody wymagane dla poszczególnych typów klientów,
• sposób analizy własności i kontroli,
• czynniki wpływające na klasyfikację ryzyka,
• przypadki wymagające EDD lub analizy źródła środków,
• wyjątki, które mogą być rozwiązane operacyjnie,
• sprawy wymagające akceptacji compliance, MLRO lub kadry kierowniczej,
• postępowanie ze sprawami nierozwiązanymi i klientami nieodpowiadającymi.

6. Przeprowadź pilotaż przed skalowaniem

Pilotaż na reprezentatywnych sprawach pozwala przetestować metodologię, systemy, dostęp, czasy obsługi, standardy jakości i ścieżki eskalacji przed uruchomieniem pełnego modelu.

Pilotaż powinien służyć kalibracji, a nie wyłącznie realizacji małego wolumenu. Wyniki powinny potwierdzić typologię spraw, wymagane kompetencje, zdolność, model kontroli jakości i realistyczne poziomy usług.

7. Mierz jakość i ryzyko, nie tylko wolumen

Dostawca może osiągać cel produktywności, a jednocześnie tworzyć niespójne lub błędne decyzje. SLA powinny zatem łączyć wydajność i terminowość ze wskaźnikami jakości, ryzyka i kontroli.

• sprawy otrzymane, rozpoczęte, zakończone i oczekujące,
• wiek spraw i dotrzymanie SLA,
• średni czas obsługi według rodzaju sprawy,
• first-time-right i poziom poprawek,
• błędy QA według istotności i rodzaju,
• eskalacje i decyzje wyższego ryzyka,
• backlog i prognozy zdolności,
• skuteczność kontaktu z klientami,
• incydenty, problemy danych i awarie systemów.

8. Zapewnij skuteczną kontrolę jakości

QA powinno testować zarówno kompletność, jak i jakość decyzji. Metodologia musi określać sprawy objęte pełną kontrolą, sposób doboru próby oraz błędy wymagające poprawy, eskalacji lub analizy szerszej populacji.

• nadzór i kontrolę jakości po stronie dostawcy,
• próby kontrolne i challenge wykonywane przez klienta,
• obowiązkową kontrolę wybranych decyzji wysokiego ryzyka,
• próby zależne od ryzyka, wydajności i złożoności,
• taksonomię błędów i analizę przyczyn źródłowych,
• kontrolowany feedback, szkolenia i aktualizację metodologii,
• look-back review w przypadku wykrycia błędu systemowego.

9. Ustal governance i fora eskalacyjne

Problemy operacyjne nie powinny czekać do miesięcznego rozliczenia lub kwartalnego przeglądu umowy. Częstotliwość governance powinna odpowiadać wolumenowi, ryzyku i dojrzałości usługi.

• codzienne lub tygodniowe zarządzanie problemami operacyjnymi,
• regularne spotkania dotyczące realizacji i jakości,
• miesięczne przeglądy usługi i ryzyka,
• senioralne governance dla istotnych ryzyk, incydentów i decyzji strategicznych,
• udokumentowane decyzje, działania i właścicieli,
• natychmiastową eskalację podejrzeń, sankcji, naruszeń danych i istotnych błędów kontrolnych.

10. Zachowaj audytowalność i dostęp dla nadzoru

Klient powinien móc odtworzyć sposób obsługi każdej istotnej sprawy, przeanalizowane informacje, osobę podejmującą decyzję oraz dowody zamknięcia. Dokumentacja musi pozostawać dostępna w trakcie współpracy i po jej zakończeniu.

Outsourcing nie powinien ograniczać zdolności klienta, jego audytorów lub właściwych organów do przeglądu procesu. Dostawca powinien współpracować przy żądaniach informacji, testach, postępowaniach i kontrolach w granicach obowiązującego prawa.

11. Kontroluj podwykonawstwo i lokalizacje realizacji

Klient powinien wiedzieć, który podmiot i które osoby wykonują pracę, gdzie odbywa się realizacja i czy jakakolwiek część procesu jest podzlecana. Zmiany powinny podlegać uprzedniemu zawiadomieniu lub akceptacji.

Podwykonawstwo nie może osłabiać ochrony danych, poufności, jakości, praw audytowych, dostępu nadzoru ani odpowiedzialności dostawcy za całą usługę.

12. Zaplanuj zakończenie i przekazanie procesu

Instytucja powinna móc zmienić dostawcę, przejąć proces lub zakończyć usługę bez utraty danych klientów, historii decyzji i ciągłości operacyjnej.

• okres wypowiedzenia i harmonogram migracji,
• przekazanie otwartych spraw i eskalacji,
• zwrot danych, dokumentacji, procedur i raportów,
• transfer wiedzy i szkolenie nowego zespołu,
• utrzymanie usługi w okresie przejściowym,
• potwierdzenie zwrotu lub odebrania dostępów,
• końcowe uzgodnienie i formalny odbiór przekazania.

Najczęstsze przyczyny niepowodzenia outsourcingu AML

Jak APOG wspiera outsourcing AML?

APOG wspiera podmioty regulowane w realizacji zdefiniowanych projektów AML i zarządzanych procesów operacyjnych. Zakres może obejmować:

• diagnozę outsourcingu i zaprojektowanie modelu operacyjnego,
• zakres, RACI, standardy decyzji i ścieżki eskalacji,
• przeglądy KYC/KYB, remediację oraz procesy EDD,
• wsparcie analizy alertów monitoringu i screeningu,
• pilotaż i kalibrację zdolności,
• projektowanie i wykonywanie QA,
• raportowanie, KPI, SLA i governance usługi,
• migrację, przekazanie i walidację zamknięcia.

Oficjalne i profesjonalne źródła

• Ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu — art. 47 i 48
• Wytyczne EBA dotyczące funkcji AML/CFT compliance officer
• Wytyczne EBA dotyczące outsourcingu
• Rozporządzenie (UE) 2024/1624 — AMLR, art. 18

Artykuł ma charakter ogólnej informacji oraz przedstawia praktyczne zasady zarządzania outsourcingiem. Nie stanowi porady prawnej. Klasyfikacja, obowiązki notyfikacyjne oraz wymagania dotyczące konkretnego modelu zależą od rodzaju instytucji, sektora, zakresu, jurysdykcji, konstrukcji umowy i właściwych regulacji nadzorczych.