Nové nařízení o boji proti praní peněz (AMLR) v čl. 18 a navazující český zákon o ekonomické ochraně státu (ZEOS) zásadně mění pohled na outsourcing AML činností. Externí poskytovatele lze nadále využívat, klíčové činnosti však musí zůstat pod kontrolou povinné osoby.
Základní pravidlo je, že odpovědnost nelze outsourcovat
AMLR připouští, že povinná osoba může část AML úkolů vykonávat prostřednictvím externího poskytovatele. Ten se pro tyto účely považuje za její součást. K přenesení odpovědnosti však nedochází, neboť veškerá právní i správní odpovědnost zůstává vždy na povinné osobě. Povinná osoba proto musí orgánu dozoru kdykoli doložit, že postupům dodavatele rozumí, kontroluje je a že outsourcing odpovídá jejímu rizikovému profilu.
Co je naopak na „černé listině“?
Čl. 18 odst. 3 AMLR vymezuje činnosti, které nelze za žádných okolností svěřit dodavateli — zejména:
- Návrh a schválení hodnocení rizik společnosti (čl. 10 odst. 2 AMLR).
- Schválení vnitřních strategií, postupů a kontrol (AML rámec dle čl. 9 AMLR).
- Rozhodnutí o rizikovém profilu konkrétního klienta.
- Konečné rozhodnutí o navázání obchodního vztahu či provedení příležitostné transakce.
- Podání oznámení o podezřelém obchodu (známé jako „OPO“) s výjimkou delegace uvnitř skupiny v rámci EU.
- Schválení scénářů a kritérií k odhalování podezřelých či neobvyklých transakcí.
Co lze externě zajistit?
Zákaz se netýká všech činností. Externí dodavatelé mohou poskytovat významnou podporu. Typicky lze outsourcovat:
- Technické provedení identifikace klienta včetně vzdáleného ověřování totožnosti.
- Monitoring a screening klientů a transakcí, např. proti sankčním seznamům, databázím PEP nebo interním scénářům.
- Nezávislé testování vnitřních strategií a postupů (funkce auditu).
- Školení zaměstnanců a odbornou vzdělávací činnost.
Outsourcing je třeba odlišovat od běžného využívání technologií, kdy samotné používání softwaru, screeningových databází či ověřovacích registrů se za outsourcing nepovažuje, pokud dodavatel sám nevykonává vlastní AML činnost.
Jaké podmínky musí outsourcing splňovat?
Outsourcing AML činností nelze založit pouze uzavřením smlouvy. Ještě před zahájením výkonu outsourcované činnosti bude nutné informovat orgán dozoru a zajistit, aby poskytovatel splňoval požadavky odborné způsobilosti a dostatečné kvalifikace. Současně s ním musí být uzavřena písemná smlouva, která jej zaváže k dodržování interních AML pravidel, a to včetně pravidel vztahujících se na případné subdodavatele. Povinná osoba je následně povinna průběžně vykonávat dohled a pravidelné kontroly nad poskytovanými službami a ověřovat jejich kvalitu. Zároveň nesmí využívat poskytovatele z vysoce rizikových třetích zemí, s výjimkou zvláštních skupinových režimů podle unijní právní úpravy. Klíčové přitom není samotné uzavření smlouvy, ale schopnost povinné osoby outsourcovanou činnost průběžně řídit, kontrolovat a prokázat, že za ni nadále nese plnou odpovědnost.
Co si z nové úpravy odnést?
AMLR odděluje technické a podpůrné činnosti od rozhodovacích pravomocí. Zjednodušeně dodavatel připravuje podklady, vyhodnocuje data či provádí screening, rozhodnutí tvořící jádro AML odpovědnosti však zůstávají uvnitř povinné osoby. Tedy outsourcovat lze práci, nikoli odpovědnost.
Jsme připraveni provést vás celým procesem a začít pro vás pracovat.
Další články v kategorii
