Zlecenie weryfikacji AML dostawcy zewnętrznemu przestaje być zwykłą decyzją zakupową. Od 10 lipca 2027 roku to proces objęty bezpośrednim nadzorem regulatora – z obowiązkiem zgłoszenia, zakazem „czarnych skrzynek” (tzw. black boxes) i odpowiedzialnością, która i tak zawsze zostaje po Twojej stronie.
Obowiązek notyfikacji przed startem współpracy
Art. 18 ust. 1 AMLR nakłada na instytucję obowiązaną obowiązek zgłoszenia właściwemu organowi nadzorczemu (w Polsce: KNF lub GIIF, zależnie od sektora) zamiaru zlecenia zadań AML na zewnątrz – zanim dostawca faktycznie zacznie świadczyć usługę. Niedopełnienie tego obowiązku to naruszenie przepisów samo w sobie, niezależnie od tego, jak dobre technologicznie jest narzędzie, które wdrażasz. Jeżeli nie podlegasz pod DORA, nie masz natomiast obowiązku zgłaszania współpracy z Vercly.
Koniec systemów „black box”
To prawdopodobnie najbardziej praktyczna zmiana dla działów compliance. Instytucja obowiązana musi być w stanie wykazać przed regulatorem, że rozumie logikę działania narzędzia, z którego korzysta, i potrafi wyjaśnić, w jaki sposób konkretnie mityguje ono ryzyko prania pieniędzy właściwe dla jej działalności.
Narzędzie, które zwraca tylko „klient zweryfikowany pomyślnie” bez pokazania, jak do tego doszło – nie spełnia już wymogów. Liczy się pełna, przejrzysta ścieżka logiczna każdej decyzji.
Kto ponosi odpowiedzialność? Zawsze Ty
Art. 18 ust. 2 wprowadza konstrukcję, w której dostawca usług outsourcingowych jest w trakcie realizacji zadania traktowany jak część samej instytucji obowiązanej. To nie zdejmuje z dostawcy odpowiedzialności umownej – ale oznacza, że nie da się przenieść odpowiedzialności regulacyjnej na podwykonawcę. Błędne pominięcie kogoś na liście sankcyjnej czy nieprawidłowe przypisanie UBO wraca do Ciebie, nie do dostawcy narzędzia.
Czego nie można zlecić na zewnątrz?
Art. 18 ust. 3 wprost zabrania outsourcingu zadań o charakterze decyzyjnym i strategicznym.Przepis określa zamknięty katalog zadań zastrzeżonych (w tym zatwierdzanie polityk, oceny ryzyka oraz składanie zawiadomień do FIU)
Prawodawca unijny zabrania m.in.:
- Opracowania i zatwierdzania oceny ryzyka dla całej instytucji
- Zatwierdzania wewnętrznych strategii, procedur i środków kontroli;
- Decydowania o przypisaniu profilu ryzyka do klienta o wysokim ryzyku;
- Przekazywania zgłoszeń o transakcjach podejrzanych (STR/SAR) do jednostki analityki finansowej (w Polsce: GIIF).
Dostawca – także Vercly – może zbierać dane, analizować powiązania korporacyjne i rekomendować poziom ryzyka. Ale ostateczna decyzja o akceptacji ryzyka klienta i nawiązaniu relacji gospodarczej musi zostać po stronie Twojego zespołu.
Przed nawiązaniem współpracy musisz też przeprowadzić ocenę kwalifikacji i reputacji dostawcy (tzw. ex-ante qualification check) i sformalizować relację pisemną umową, która zobowiązuje dostawcę do stosowania Twoich wewnętrznych procedur.
Jak przygotować się do audytu KNF lub GIIF?
- Zgłoś zamiar korzystania z outsourcingu do właściwego organu przed uruchomieniem produkcyjnym
- Zbierz i przechowuj dokumentację techniczną algorytmów dostawcy – nie wystarczy „zaufaj nam”
- Upewnij się, że masz pisemną umowę zgodną z wymogami Art. 18
- Zachowaj pełną ścieżkę audytową każdej decyzji weryfikacyjnej, nie tylko końcowego wyniku
Jak Vercly wspiera zgodność z art. 18?
Platforma Vercly nie jest projektowana jako czarna skrzynka. Każdy proces weryfikacyjny w Vercly ONE generuje pełną ścieżkę audytową – z widocznymi źródłami danych i zastosowanym algorytmem dopasowania (Jaro-Winkler, Levenshtein, Soundex), gotową do przedstawienia regulatorowi. Klienci Vercly otrzymują też dokumentację techniczną, którą mogą bezpośrednio dołączyć do własnego zgłoszenia notyfikacyjnego do KNF lub GIIF. Niemniej na mocy przepisów korzystanie z Vercly nie stanowi outsourcingu w rozumieniu art 18. Obowiązek notyfikacji dotyczy wyłącznie outsourcingu zadań, a nie zakupu narzędzi IT i oprogramowania.
FAQ
Czy muszę zgłaszać do KNF każdego dostawcę oprogramowania AML?
Nie. Ale w przypadku instytucji finansowych nabycie oprogramowania AML/KYC od podmiotu trzeciego nie stanowi co prawda outsourcingu w rozumieniu art. 18 AMLR (ze względu na wyłączenie w motywie 48), ale kwalifikuje się jako umowa z zewnętrznym dostawcą usług ICT wspierających kluczowe lub istotne funkcje na gruncie DORA. Wdrożenie narzędzia wymaga zatem wpisu do rejestru informacji ICT i oceny ryzyka stron trzecich, a nie notyfikacji zamiaru outsourcingu zadań AML do KNF na podstawie art. 18 AMLR. Dostawcy usług ICT podlegają weryfikacji pod kątem ryzyka operacyjnego na podstawie rozporządzenia DORA, natomiast reżim notyfikacyjny AMLR z art. 18 dotyczy wyłącznie usług outsourcingu procesowego.
Co to jest system typu „czarna skrzynka” w rozumieniu AMLR?
To narzędzie, które przedstawia wyłącznie końcowy wynik weryfikacji (np. „zweryfikowano pozytywnie”) bez ujawnienia logiki, źródeł danych i kryteriów, na podstawie których podjęto decyzję. Takie rozwiązania nie spełniają nowych wymogów transparentności.
Czy odpowiedzialność za błąd systemu spada na dostawcę narzędzia?
Nie w sensie regulacyjnym. Instytucja obowiązana ponosi pełną odpowiedzialność administracyjną i finansową za wyniki weryfikacji, niezależnie od tego, czyje narzędzie ich dostarczyło.
Czy dostawca AML może samodzielnie podejmować decyzję o akceptacji klienta?
Nie. Art. 18 ust. 3 wprost zabrania outsourcingu zadań decyzyjnych i strategicznych – ostateczna decyzja musi pozostać po stronie personelu instytucji obowiązanej.
