GIIF wyjaśnia obowiązki wynikające z zasady „Travel Rule”: wymagana weryfikacja techniczna w przypadku portfeli niehostowanych 

Generalny Inspektor Informacji Finansowej (GIIF) opublikował komunikat nr 113 dotyczący stosowania Travel Rule, czyli wymogów informacyjnych przy transferach środków pieniężnych i niektórych kryptoaktywów wynikających z rozporządzenia TFR (UE) 2023/1113. Komunikat dotyczy przede wszystkim:

• dostawców usług płatniczych (PSP),
• pośredniczących dostawców usług płatniczych (IPSP),
• dostawców usług w zakresie kryptoaktywów,
• pośredniczących dostawców usług w zakresie kryptoaktywów.

Weryfikacja techniczna portfeli niehostowanych oraz zgłaszanie naruszeń TFR zgodnie z wytycznymi GIIF

GIIF doprecyzował, jak instytucje obowiązane powinny stosować wytyczne Europejskiego Urzędu Nadzoru Bankowego (EBA) dotyczące Travel Rule. Najważniejszy praktyczny wniosek dotyczy transferów z udziałem adresów niehostowanych, czyli adresów portfeli krypto, którymi klient zarządza samodzielnie.

Instytucja obowiązana powinna zweryfikować, czy klient faktycznie kontroluje taki adres. GIIF wskazuje, że akceptowalne mogą być techniczne metody weryfikacji, np. podpisanie wiadomości testowej kluczem prywatnym, mikropłatność albo wykorzystanie zaawansowanych narzędzi analitycznych blockchain.

Jednocześnie GIIF wyraźnie wskazał, czego nie należy uznawać za wystarczające. Samo oświadczenie klienta o kontroli nad portfelem nie jest akceptowalnym rozwiązaniem. Tak samo niewystarczające są zrzuty ekranu z komputera lub aplikacji mobilnej służącej do obsługi portfela. Zatem jeśli ktoś do tej pory opierał się na takich dowodach, będzie musiał zmienić podejście.

Komunikat porządkuje też zasady raportowania naruszeń TFR do GIIF. Samo wystąpienie okoliczności naruszenia TFR, bez innych czynników ryzyka oraz bez wniosków instytucji obowiązanej dokonanych na podstawie informacji i dokumentów zgromadzonych w ramach stosowania środków bezpieczeństwa finansowego nie powinno być podstawą do przekazywania do zawiadomienia o podejrzanej transakcji.

Instytucja obowiązana powinna najpierw przeprowadzić całościową ocenę ryzyka czy naruszenia wymogów informacyjnych TFR (np. próby obejścia progów lub brak współpracy ze strony dostawcy) mogą stanowić podstawę do złożenia zawiadomienia o podejrzanej transakcji czy podejrzanych okolicznościach.

W praktyce naruszenie wymogów informacyjnych TFR powinno być w pierwszej kolejności analizowane jako transakcja przeprowadzona w nietypowy sposób. Oznacza to konieczność wyjaśnienia okoliczności transakcji, zastosowania środków bezpieczeństwa finansowego, oceny relacji z klientem, celu transakcji, źródła pochodzenia wartości majątkowych oraz zgodności transakcji z profilem klienta i przypisanym mu ryzykiem AML/CFT.

Dopiero jeżeli analiza potwierdzi podejrzenie prania pieniędzy lub finansowania terroryzmu, instytucja obowiązana powinna złożyć zawiadomienie do GIIF. W takim zgłoszeniu trzeba będzie wskazać również powiązanie z naruszeniem TFR. GIIF zapowiada, że w systemie goAML pojawi się odpowiednie pole do oznaczenia takiej okoliczności.

Procedury związane z travel rule: kluczowe kontrole zgodności po komunikacie GIIF

Podmioty objęte TFR powinny przede wszystkim sprawdzić, czy ich procedury Travel Rule przewidują realną, techniczną weryfikację kontroli adresów niehostowanych. Jeżeli obecny proces opiera się na oświadczeniach klienta, screenshotach albo deklaracji w formularzu, należy go zmienić.

Po komunikacie GIIF należy sprawdzić przede wszystkim:

• czy procedura AML/CFT lub odrębna procedura TFR opisuje sposób weryfikacji adresów niehostowanych;
• czy system transakcyjny pozwala zebrać i przechować dowód technicznej kontroli adresu;
• czy proces obsługi brakujących danych TFR nie prowadzi do automatycznego raportowania wszystkiego do GIIF;
• czy zespół AML potrafi rozróżnić naruszenie formalne TFR od sytuacji, która rzeczywiście uzasadnia podejrzenie prania pieniędzy lub finansowania terroryzmu;
• czy procedura przewiduje analizę transakcji nietypowej, zastosowanie odpowiednich środków bezpieczeństwa finansowego oraz udokumentowanie wniosków;
• czy zasady zwrotu środków przy odrzuceniu transferu zapewniają, że środki wracają na adres faktycznie kontrolowany przez inicjatora transferu;
• czy organizacja uwzględnia nowy formularz w systemie SIGIIF służący do informowania GIIF o nieprzekazaniu informacji wymaganych przez TFR.

Ryzyka związane z nieprzestrzeganiem Travel Rule: kontrole nadzorcze, błędy w raportowaniu i odpowiedzialność AML/CFT

Największe ryzyko dotyczy kontroli ze strony organu nadzoru. Jeżeli instytucja obowiązana nie potrafi wykazać, że realnie weryfikuje kontrolę klienta nad adresem niehostowanym, organ może zakwestionować skuteczność procedury Travel Rule oraz szerzej – sposób wykonywania obowiązków AML/CFT.

Szczególnie ryzykowne będzie poleganie wyłącznie na oświadczeniach klientów lub zrzutach ekranu, skoro GIIF wprost wskazał, że takie metody nie są akceptowalne.

Drugie ryzyko dotyczy raportowania. Automatyczne zgłaszanie każdego naruszenia TFR do GIIF może świadczyć o braku prawidłowej analizy ryzyka. Z kolei brak zgłoszenia w sytuacji, w której naruszeniu TFR towarzyszą inne czynniki ryzyka, może zostać oceniony jako niewłaściwe wykonanie obowiązków AML/CFT.

W rzeczywistości instytucje obowiązane powinny być gotowe pokazać organowi nie tylko samą procedurę, ale też dowody jej stosowania: dokumentację wewnętrzną, w tym notatki analityczne, decyzje compliance/AMLRO, dokumentację wyjaśnienia transakcji nietypowej i uzasadnienie, dlaczego w danej sprawie zgłoszenie do GIIF było albo nie było wymagane.

Nasze wsparcie w dostosowywaniu procedur związanych z zasadą „Travel Rule”

Komunikat GIIF nr 113 potwierdza, że podmioty podlegające zasadzie „Travel Rule” powinny technicznie weryfikować kontrolę klienta nad portfelami niehostowanymi i nie powinny opierać się wyłącznie na oświadczeniach klientów lub zrzutach ekranu.

W wytycznych podkreślono również, że naruszenia zasady „Travel Rule” powinny być oceniane pod kątem ryzyka przed złożeniem zgłoszenia o podejrzanej transakcji. Dostawcy usług płatniczych (PSP), dostawcy usług w zakresie aktywów cyfrowych (CASPs) oraz inne instytucje zobowiązane powinny obecnie dokonać przeglądu swoich procedur dotyczących zasady „Travel Rule”, przeciwdziałania praniu pieniędzy (AML) i finansowania terroryzmu (CFT) oraz monitorowania transakcji, aby zapewnić ich zgodność z oczekiwaniami GIIF i EBA.

Czy po opublikowaniu najnowszego komunikatu GIIF konieczna jest aktualizacja procedur dotyczących zasady „Travel Rule”? Nasz zespół może pomóc w przeglądzie obecnych procesów, opracowaniu technicznych zasad weryfikacji portfeli oraz dostosowaniu ram sprawozdawczości w zakresie AML/CFT do oczekiwań GIIF i EBA. Skontaktuj się z nami, aby omówić, w jaki sposób możemy wesprzeć Twoją organizację.