Firmy muszą opracować i wdrożyć procedury anonimowego zgłaszania naruszeń

26 czerwca 2017 r. upłynął termin wdrożenia przez Polskę IV Dyrektywy AML (Dyrektywa Parlamentu Europejskiego i Rady (UE) 2015/849 z 20 maja 2015 r. w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu), jednak dopiero z początkiem 2018 r. pojawił się projekt nowej ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (dalej: projekt ustawy) wdrażający Dyrektywę AML do polskiego porządku prawnego. Projekt skierowano do pierwszego czytania na posiedzeniu Sejmu 8 lutego 2018 r. Ustawa ma wejść w życie 3 miesiące po ogłoszeniu, z wyjątkiem przepisów o rejestrze beneficjentów (w tej kwestii termin wejścia w życie przepisów wyniesie 18 miesięcy).

Projekt ustawy w art. 2. ust 1. wskazuje na podmioty, których dotyczyć ma nowa regulacja. Są nimi „instytucje obowiązane". Do kategorii instytucji obowiązanych projektodawca zalicza:

- banki, oddziały banków zagranicznych, oddziały instytucji kredytowych, instytucje finansowe,

- spółdzielcze kasy oszczędnościowo-kredytowe, krajową SKOK,

- instytucje płatnicze, instytucje pieniądza elektronicznego, biura usług płatniczych, agentów rozliczeniowych, firmy inwestycyjne, banki powiernicze,

- spółki prowadzące rynki regulowane, fundusze inwestycyjne, zakłady ubezpieczeń, przedsiębiorców prowadzących działalność kantorową (w tym usługi wymiany walut przez internet),

- pośredników nieruchomości,

- w ograniczonym zakresie: notariuszy, adwokatów, radców prawnych, doradców podatkowych,

- przedsiębiorców świadczących usługi w zakresie tworzenia jednostek organizacyjnych, pełnienia funkcji lub umożliwienia pełnienia funkcji członka zarządu spółki, prowadzenia biura wirtualnego,

- przedsiębiorców w zakresie, w jakim przyjmują lub dokonują lub przyjmują płatności w gotówce w wysokości co najmniej 10 tys. euro, chociażby w wielu powiązanych transakcjach.

Spośród wymienionych grup podmiotów, największe zainteresowanie w środowisku biznesowym wzbudzać mogą dwie ostatnie kategorie podmiotów, do których projekt ustawy zalicza przedsiębiorców. Podstawowe pytanie, na jakie muszą sobie odpowiedzieć firmy dotyczy tego, w jakim rozmiarze dokonują lub przyjmują płatności w gotówce oraz czy świadczą usługi w zakresie tworzenia spółek lub pełnienia funkcji zarządczych, np. członka zarządu. Przed tymi przedsiębiorcami pojawi się wyzwanie związane z dostosowaniem się do nowych realiów i wdrożeniem w życie obowiązków wynikających z projektu ustawy.

Projektowane przepisy nakładają nowe obowiązki, w szczególności:

- wprowadzenie wewnętrznej procedury instytucji obowiązanej,

- wyznaczenie członka zarządu odpowiedzialnego za wdrożenie procedury i kadry kierowniczej odpowiedzialnej za wykonywanie obowiązków ustawowych,

- przeprowadzanie i aktualizowanie oceny ryzyka,

- stosowanie środków bezpieczeństwa finansowego, w tym weryfikowanie kontrahentów,

- wprowadzenie procedury wewnętrznego zgłaszania nieprawidłowości,

- przekazywanie informacji o beneficjentach rzeczywistych – dotyczy wszystkich spółek prawa handlowego poza spółkami partnerskimi i publicznymi spółkami akcyjnymi.

Opracowanie i wdrożenie procedury anonimowego zgłaszania naruszeń (whistleblowing) w strukturze instytucji obowiązanej to jedno z głównych wyzwań, jakie przewiduje projekt ustawy. Procedura wewnętrznego mechanizmu whistleblowing opisuje zasady funkcjonowania mechanizmu anonimowego powiadamiania kierownictwa danego podmiotu o nieprawidłowościach występujących w jego strukturach związanych z naruszeniem prawa oraz obowiązujących procedur i standardów. Idea procedury whistleblowing jest taka, aby każdy pracownik/kontrahent (tzw. sygnalista lub whistleblower") miał możliwość anonimowego przekazania np. zarządowi lub powołanemu do tego compliance oficerowi informacji o zauważonych nieprawidłowościach za pośrednictwem specjalnego niezależnego i autonomicznego kanału informacji, który pozwala na anonimowość nadawcy.

Najważniejsze założenia dotyczące procedury whistleblowing to:

- wyznaczenie osoby odpowiedzialnej za odbieranie zgłoszeń,

- określenie sposobu odbierania zgłoszeń,

- określenie środków ochrony zgłaszającego przed dyskryminacją oraz ochrony danych osobowych,

- ustalenie zasad zachowania poufności,

- tryb postępowania wyjaśniającego,

- wskazanie terminu usunięcia danych.

Projekt ustawy wyróżnia trzy kategorie sankcji:

- kary administracyjne nakładane na przedsiębiorcę za naruszenie przepisów ustawy. Są to kary m.in. za brak oceny ryzyka prania brudnych pieniędzy i jej aktualizacji; niestosowanie środków bezpieczeństwa finansowego, czy też niewprowadzenie wewnętrznej procedury instytucji obowiązanej; procedury anonimowego zgłaszania naruszeń (Whistleblowing) albo za brak szkoleń.

Kary wymienione w projekcie ustawy to:

- publikacja informacji o naruszeniu ustawy w BIP,

- nakaz zaprzestania podejmowania określonych czynności,

- cofnięcie koncesji, zezwolenia, wykreślenie z rejestru działalności regulowanej,