Automatyzacja monitorowania list sankcyjnych - na co zwrócić uwagę?

Od czasu rosyjskiej inwazji na Ukrainę w lutym 2022 roku wzrósł nacisk kładziony na przestrzeganie sankcji międzynarodowych, w szczególności zwiększyło się zainteresowanie automatyzacją procesów monitorowania list sankcyjnych przez instytucje obowiązane.

Według opinii EBA¹ (Europejskiego Urzędu Nadzoru Bankowego) z 13 lipca 2023 r., agresja rosyjska doprowadziła do nałożenia przez Unię Europejską bezprecedensowych środków ograniczających pod względem skali jak i zakresu sankcji na Rosję. Jednocześnie podejście poszczególnych krajów do egzekwowania środków ograniczających nie jest zharmonizowane i wywiera presję na zasoby instytucji finansowych w zakresie zapewnienia zgodności z wymogami.

Potrzeba aktywnego reagowania na rosnącą liczbę wprowadzanych nowych pakietów środków ograniczających sprawiła, że zarządzanie ryzykiem sankcyjnym i zgodnością z przepisami stanowi coraz większe wyzwanie dla instytucji obowiązanych. Zarówno w obliczu już obowiązujących przepisów jak i tych, które są przed nami.

Rada Unii Europejskiej oraz Parlament Europejski 12 grudnia 2023 r. doszły do porozumienia w kwestii zaostrzenia egzekwowania kar za złamanie sankcji. We wstępnym dokumencie przyjęto zapisy dotyczące uznania naruszenia sankcji w ramach unijnego wykazu przestępstw, co ma dodatkowo zniechęcić do prób ich obchodzenia. Aktualny status wynikający z traktatów Unii Europejskiej pozwala państwom członkowskim do tej pory na stosowanie kar administracyjnych. Nie musiały one uznawać naruszeń sankcji za przestępstwo i wymiar kar mógł się różnić pomiędzy krajami. Po zatwierdzeniu dyrektywy i jej publikacji, przepisy zostaną ujednolicone, członkowie Unii Europejskiej będą musieli uznać określone czyny za przestępstwo. Przykładowo jako przestępstwo zdefiniowano handel towarami objętymi sankcjami i prowadzenie transakcji z państwami lub podmiotami, do których odnoszą się sankcje.²

W Polsce zgodnie z obowiązującą Ustawą z 13 kwietnia 2023 r. przewidywana kara pieniężna za niedopełnienie obowiązku zamrożenia środków finansowych oraz zasobów gospodarczych, a także za naruszenie zakazu udostępniania środków finansowych podmiotom objętym listami sankcyjnymi może wynosić do 20.000.000 zł. Osoby, które naruszają sankcje podlegają karze pozbawienia wolności na czas nie krótszy niż trzy lata.³

Krajowi regulatorzy coraz częściej zwracają uwagę na zagadnienia związane z sankcjami. Przykładem może być tutaj inicjatywa regulatora litewskiego, Banku Litewskiego, który w instrukcji wydanej 1 września 2023 r. wymaga od instytucji obowiązanych udokumentowania oceny ryzyka sankcyjnego w oddzielnym dokumencie lub uwzględnienie tej analizy w połączeniu z oceną ryzyka instytucji obowiązanej. Regulator doprecyzował, że w dokumencie związane z sankcjami zawarte musi być ryzyko operacyjne, ryzyko klientów oraz ryzyko finansowania proliferacji.⁴

Punktem wyjścia dla instytucji obowiązanych przy wyborze odpowiedniego rozwiązania służącego monitorowaniu list sankcyjnych jest analiza ekspozycji organizacji na ryzyko sankcyjne. Potencjalny dostawca usługi powinien rozumieć narażenie danej instytucji na ryzyko sankcji oraz być w stanie dostosować swoją usługę do charakterystyki oraz potrzeb działalności danej instytucji. Dokumentem, który powinien umożliwiać wgląd w charakter, złożoność oraz rozmiar instytucji jest ocena ryzyka instytucji obowiązanej.

Decydując się na automatyzację monitorowania list sankcyjnych przez zewnętrznego dostawcę, instytucja powinna mieć wiedzę o tym, jak często zapewniona będzie aktualizacja list sankcyjnych. Chociaż regulatorzy krajowi oraz europejscy nie precyzują w jakim czasie zmiany na listach sankcyjnych muszą zostać uwzględnione, w narzędziach wykorzystywanych do monitorowania sankcji, najlepsze praktyki rynkowe wskazują, że dostawca narzędzia powinien zapewnić aktualizację list sankcyjnych do weryfikacji nie później niż w ciągu 24h.

Narzędzie wykorzystywane do monitorowania sankcji powinno umożliwiać sporządzenie dokumentacji lub innej formy dowodu przechowywanego w systemie, który będzie świadczyć o tym, że analizę przeprowadzono:

• przed nawiązaniem relacji (tj. onboardingu),
• przed realizacją transakcji,
• w przypadku tzw. trigger events w trakcie relacji (np. zmiana sytuacji geopolitycznej i związane z nią nowe sankcje, przy wprowadzeniu nowego produktu lub usługi), wyzwalający podejrzenie dotyczące możliwego powiązania z listą sankcyjną,
• podczas okresowych przeglądów (kwartalnych, rocznych),
• przy screeningu bazy klientów / kontrahentów w trybie ciągłym,
• gdy relacja z podmiotem dobiega końca.

Monitoring list sankcyjnych obejmuje dużą ilość różnorodnych danych, w tym nie tylko nazwy weryfikowanych podmiotów i osób fizycznych, ale także dodatkowe informacje, takie jak: skrócone formy imienia, zdrobnienia, skrócone elementy nazwy, inicjały, aliasy, czy też lokalizacje geograficzne. Utrudnienie dla prawidłowej weryfikacji z listami sankcyjnymi może stanowić inny zapis wynikający z transliteracji zapisu z innego alfabetu niż łaciński, literówki, błędna pisownia słów lub różne warianty nazewnictwa, wprowadzanie znaków specjalnych. Zadaniem automatycznego monitoringu sankcji jest zniwelowanie tego typu zagrożeń, co powinno przełożyć się na realizację przeglądu w krótszym czasie, pozwalając skupić się na prawidłowo zidentyfikowanych potencjalnych alertach.

Należy też zwrócić uwagę, iż nawet najlepsze narzędzia służące monitorowaniu sankcji, dysponujące wysokiej jakości bazą danych dotyczącą podmiotów sankcjonowanych, czy też wprowadzenie najlepszych polityk i procedur dotyczących monitorowania sankcji, przy słabej jakości danych wewnętrznych, nie są w stanie zapewnić bezpieczeństwa instytucjom obowiązanym. Jak ważna jest wysoka jakość danych wewnętrznych instytucji można zobrazować na poniższym przykładzie: wiele osób w bazie może mieć bardzo podobne nazwisko, co może generować dużą liczbę potencjalnych trafień (dopasowań) w systemie. Dopiero posiadanie rzetelnej dokumentacji i wynikającej z niej informacji dodatkowych takich jak data urodzenia, drugie imię, adres, działalność biznesowa, może zwiększyć możliwość potwierdzenia prawdziwego dopasowania z listą sankcyjną.

Zgodność z wymogami stawianymi przez nowe sankcje to potrzeba przestrzeganie przepisów, regulacji, zasad i norm związanych z sankcjami, które mają coraz bardziej skomplikowany charakter. Kolejne pakiety sankcji oznaczają dla instytucji konieczność przeprowadzenia analizy i włączenia nowych wytycznych. Proces ten powinien obejmować nie tylko sprawdzenie występowania osób i podmiotów na aktualnych listach sankcyjnych, ale również sprawdzenie transakcji i dokumentów mogących świadczyć o eksporcie towarów podwójnego zastosowania, czy też wykorzystania zaawansowanych technologii.

Wprowadzenie narzędzi automatycznego screeningu względem list sankcyjnych stanowi szansę dla instytucji obowiązanych w uszczelnieniu systemu zarządzania ryzkiem sankcyjnym. Wybór rzetelnego dostawcy, z którym organizacja podejmie współpracę, jest bardzo istotny. Należy podkreślić, że ostatecznie to organizacja odpowiada przed organami nadzoru, w kwestii zapewnienia środków bezpieczeństwa w tym zakresie i to instytucja obowiązana ostatecznie poniesie ewentualne konsekwencje w przypadku wdrożenia nieskutecznych rozwiązań.

Przypisy:

¹ Opinion of the European Banking Authority on money laundering and terrorist financing risks affecting the EU’s financial sector 13 June 2023 EBA Op 2023 08 Opinion on MLTF risks EBA REP 2023 21.pdf (europa.eu)

² Rada i Parlament zgodne co do uznawania naruszeń unijnych sankcji za przestępstwa - Consilium (europa.eu)

³ Ustawa z dnia 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego. Ustawa z dnia 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego (sejm.gov.pl)

⁴ Resolution on the approval of the Guidelines for Financial Market Participants on the implementation of international sanctions Documents | Bank of Lithuania (lb.lt)