Перевірка системи фінансового моніторингу

Положення про здійснення установами фінансового моніторингу, затверджене постановою Правління Національного банку України від 28 липня 2020 року № 107, визначає вимоги до організації установами системи запобігання та протидії легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та фінансуванню розповсюдження зброї масового знищення (далі - "ПВК/ФТ") та застосування ризик-орієнтованого підходу.

Закон України № 361-IX також зобов’язує суб’єкта первинного фінансового моніторингу здійснювати оцінку та переоцінку ризиків, документувати її результати та підтримувати в актуальному стані інформацію щодо ризик-профілю установи та її клієнтів.

Перевірка дає можливість оцінити не лише формальну наявність необхідних політик, правил та процедур, а й те, наскільки фактично функціонує створена установою система фінансового моніторингу.

Перевірка охоплює:

- систему внутрішнього контролю у сфері ПВК/ФТ, у тому числі порядок отримання та розгляду інформації, звітів, виявлених недоліків, рекомендацій та коригувальних заходів;

- відповідність діяльності установи вимогам законодавства, нормативно-правових актів НБУ та внутрішніх документів;

- організацію договірних відносин із клієнтами та проведення фінансових операцій без встановлення ділових відносин;

- відповідність внутрішніх політик, правил і процедур установленим вимогам та їх практичне застосування;

- систему управління ризиками легалізації (відмивання) доходів, одержаних злочинним шляхом, фінансування тероризму та/або фінансування розповсюдження зброї масового знищення (далі - "ВК/ФТ"), включаючи операційні та комплаєнс-ризики;

- інформаційне та технологічне забезпечення процесів фінансового моніторингу;

- звітність та інформацію, що подається відповідним державним органам;

- організацію належної перевірки клієнтів;

- виконання вимог під час взаємодії з третіми особами;

- навчання працівників з питань ПВК/ФТ.

Одним із важливих елементів системи фінансового моніторингу є належна оцінка ризиків клієнтів.

Підприємство повинно мати можливість продемонструвати розуміння ризиків, пов’язаних із конкретними клієнтами, а оцінка повинна ґрунтуватися на сукупності встановлених критеріїв та бути належним чином задокументована. Закон № 361-IX прямо передбачає обов’язок здійснювати оцінку та переоцінку ризиків і підтримувати відповідну інформацію в актуальному стані.

Положення № 107 передбачає категоризацію ризику ділових відносин або фінансової операції без встановлення ділових відносин. Зокрема, нормативне регулювання визначає поняття середнього та високого ризику як результат оцінки сукупності критеріїв, передбачених законодавством та внутрішніми документами установи.

У межах виконання завдання перевіряється формування та ведення установою в електронному вигляді переліків клієнтів, щодо яких встановлені або переоцінені відповідні рівні ризику, а також фіксується належність клієнтів до категорії політично значущих осіб.

Такі переліки, залежно від виду клієнта, мають містити достатні ідентифікаційні дані та інформацію, що дає можливість простежити результати оцінки ризику.

 Зокрема, перевіряється наявність інформації про:

- дату проведення оцінки ризику;

- дату переоцінки ризику у випадку його зміни;

- дату встановлення належності клієнта до категорії PEP;

- для фізичних осіб-резидентів – прізвище, ім’я, по батькові та відповідні ідентифікаційні реквізити;

- для юридичних осіб-резидентів – повне найменування та код за ЄДРПОУ.

Окрему увагу аудитор приділяє узгодженості інформації в переліках клієнтів із клієнтськими справами, внутрішніми інформаційними системами та результатами проведеної належної перевірки.

Вибіркова перевірка клієнтських справ є одним із ключових елементів незалежної перевірки.

Аудитор оцінює:

- ідентифікацію та верифікацію клієнтів;

- встановлення кінцевих бенефіціарних власників;

- визначення мети та характеру ділових відносин;

- оцінку та переоцінку ризику клієнта;

- виявлення політично значущих осіб, членів їх сімей та пов’язаних із ними осіб;

- актуалізацію інформації про клієнта;

- здійснення постійного моніторингу ділових відносин та фінансових операцій.

Під час перевірки також оцінюється порядок роботи з клієнтами, ділові відносини з якими були встановлені раніше.

Зокрема, перевіряється здійснення належної перевірки, виявлення належності клієнтів та їх кінцевих бенефіціарних власників до категорії PEP, а також переоцінка ризику під час планового уточнення та актуалізації інформації.

Для клієнтів, які фактично не підтримують активних ділових відносин з установою, відповідні процедури мають виконуватися з урахуванням вимог законодавства та внутрішніх документів установи до проведення операцій, ініційованих таким клієнтом.

Ще одним напрямом перевірки є виконання установою обов’язків щодо виявлення, аналізу та повідомлення про фінансові операції.

Під час перевірки оцінюється, зокрема:

- порядок виявлення операцій, що підлягають фінансовому моніторингу;

- документування результатів їх аналізу;

- своєчасність і повнота повідомлень спеціально уповноваженому органу;

- виконання вимог щодо надання додаткової інформації;

- порядок дій у разі виявлення активів, пов’язаних із тероризмом, його фінансуванням або фінансуванням розповсюдження зброї масового знищення;

- виконання вимог щодо інформування компетентних державних органів у випадках, передбачених законодавством.

Для установ із значною кількістю клієнтів або операцій важливу роль відіграють автоматизовані системи фінансового моніторингу.

Перевірка може включати перевірку того, чи забезпечують інформаційні системи установи:

- облік клієнтів та присвоєних їм рівнів ризику;

- збереження історії оцінки та переоцінки ризику;

- ідентифікацію клієнтів підвищеного ризику та PEP;

- актуалізацію даних;

- моніторинг фінансових операцій;

- формування необхідної звітності;

- документування прийнятих рішень.

При цьому сам факт наявності автоматизованої системи не є достатнім: аудитор оцінює правильність її налаштувань та фактичне використання в процесах фінансового моніторингу.

Система ПВК/ФТ не може функціонувати належним чином лише на підставі внутрішніх документів. Працівники, залучені до відповідних процесів, повинні розуміти свої функції та вміти застосовувати встановлені процедури на практиці.

Під час виконання завдання перевіряється:

- чи розробляється щорічний план навчання з питань ПВК/ФТ;

- чи визначені категорії працівників, які повинні проходити навчання;

- чи враховується специфіка посадових обов’язків працівників;

- чи актуалізуються навчальні матеріали у зв’язку зі змінами законодавства, внутрішніх документів, процедур та ризик-профілю установи;

- чи мають працівники можливість отримувати необхідні роз’яснення;

- чи документуються проведені навчальні заходи та результати перевірки знань.

Отже основною метою незалежної перевірки є отримання об’єктивної оцінки того, чи забезпечує створена установою система ПВК/ФТ належне виконання обов’язків суб’єкта первинного фінансового моніторингу.

Наприклад, якщо за результатами проведених процедур суттєвих недоліків не встановлено, у звіті можуть бути наведені оцінки щодо належного рівня управління ризиками ПВК/ФТ, достатнього контролю з боку керівництва та достатнього рівня виконання установою вимог законодавства.

Незалежний аудит системи фінансового моніторингу, таким чином, є не формальною перевіркою наявності необхідних документів. Він передбачає комплексну оцінку того, наскільки система ПВК/ФТ установи фактично працює, чи забезпечує належне управління ризиками та чи дозволяє своєчасно виявляти й належним чином реагувати на ризики ВК/ФТ.