Amerykański nadzorca finansowy (FinCEN) opublikował 3 sierpnia 2026 r. informację o nałożeniu na firmę UBS Financial Services Inc. (UBSFS) rekordowej kary w wysokości 125 milionów dolarów za naruszenie ustawy BSA.

Jest to tzw. Consent Order, co oznacza, że UBSFS zgodził się z ustaleniami faktycznymi FinCEN, przyznał się do umyślnego naruszenia ustawy Bank Secrecy Act i zaakceptował zarówno karę pieniężną, jak i rozbudowany program działań naprawczych.

Podstawowy zarzut jest następujący: UBSFS nie utrzymywał skutecznego programu AML spełniającego minimalne wymagania BSA oraz nie składał prawidłowo i terminowo SAR-ów dotyczących podejrzanych transakcji. W okresie objętym decyzją FinCEN zakwestionował niewłaściwe monitorowanie ponad 61 500 zagranicznych transferów walutowych o łącznej wartości ok. 10,5 mld USD.

Najważniejsza część decyzji dotyczy rzeczywistej skuteczności systemu. Przez długi czas UBSFS stosował do kontroli transferów walutowych rozwiązanie częściowo manualne, oparte m.in. na Excelu. Dane były pobierane z kilku systemów, ręcznie zestawiane i oczyszczane, a sam raport był uruchamiany rzadko. Późniejsze wdrożenie automatycznego systemu monitorowania również było wadliwe: zabrakło prawidłowego mapowania przepływu danych (data lineage), właściwego testowania źródeł danych i mechanizmu wyłapującego transakcje, które z jakiegoś powodu nie trafiły do systemu monitorującego. W próbie zbadanej przez UBSFS ponad 5% transferów walutowych w ogóle nie trafiało do systemu AML, a około 12% zawierało niepełne dane kontrahenta. System nie posiadał również ścieżki pozwalającej wykrywać transakcje, których monitoring się nie powiódł (exception queue).

Z decyzji wynika, że FinCEN nie zadowala się tym, że instytucja „ma system AML”, lecz czy każda transakcja, która powinna znaleźć się w systemie monitoringu, rzeczywiście do niego trafia, z kompletnymi i prawidłowymi danymi. Jest to coś, co w będzie najważniejszą zmianą przewidzianą unijnym Rozporządzeniem AML.

Środki bezpieczeństwa finansowego.

Amerykański CDD opisany w decyzji jest bardzo podobny do europejskiego. Instytucja ma rozumieć charakter i cel relacji z klientem, monitorować jego transakcje oraz — w zależności od ryzyka — aktualizować informacje o kliencie i jego beneficjencie rzeczywistym. UBSFS stosował cztery poziomy ryzyka: Low, Medium, High i Higher. Dla klientów High/Higher własne procedury UBS przewidywały EDD, bardziej intensywny monitoring oraz co najmniej coroczny przegląd. FinCEN stwierdził jednak m.in.:

• niewystarczającą analizę source of wealth/source of funds;
• nieuwzględnianie lub pochopne odrzucanie tzw. adverse media screening (zbieranie negatywnych informacji medialnych dotyczących klienta, beneficjenta rzeczywistego albo osoby z nim powiązanej);
• niewłaściwe kwalifikowanie PEP;
• brak aktualizacji profilu ryzyka mimo oczywistych zmian sytuacji klienta;
• nieuwzględnianie rozbieżności między deklarowaną a rzeczywistą aktywnością;
• brak właściwego rozpoznania wspólnych beneficjentów wielu spółek;
• ustanawianie ograniczeń na rachunkach wysokiego ryzyka, których następnie faktycznie nie egzekwowano.

Dobrym przykładem jest klient pierwotnie zakwalifikowany do kategorii Low Risk, który następnie przeniósł się do Rosji, podał rosyjski numer telefonu, logował się z Rosji i otrzymywał przelewy z rosyjskiego banku. Przez ponad osiem lat nie zaktualizowano odpowiednio jego profilu ryzyka.

SAR — system raportowania transakcji podejrzanych

Dla broker-dealerów i FCM (podmiotu działającego na rynku instrumentów pochodnych) amerykańskie przepisy opisane w decyzji przewidują SAR zasadniczo wtedy, gdy transakcja lub transakcje powiązane osiągają co najmniej 5 000 USD i instytucja wie, podejrzewa lub ma podstawy podejrzewać określone nieprawidłowości. FinCEN stwierdził setki przypadków, w których SAR-y zostały złożone z opóźnieniem albo były niepełne. Część opóźnień była bezpośrednim skutkiem wadliwego transaction monitoringu.

Kara i zalecenia

FinCEN ustalił karę pieniężną (Civil Money Penalty) w wysokości 125 mln USD. Na tę kwotę zaliczono 48 mln USD płaconych równolegle innym instytucjom nadzoru finansowego (SEC, CFTC i FINRA). UBSFS ma zapłacić 62 mln USD do budżetu państwa, natomiast pozostałe 15 mln USD ma być należne do 31 maja 2028 r., przy czym FinCEN może część lub całość tej ostatniej kwoty umorzyć w zależności od wykonania programu naprawczego i poniesionych kwalifikowanych kosztów. Jeszcze ciekawsze są jednak zalecenia naprawcze. USBFS musi zatrudnić niezależnych konsultantów, którzy:

• przeprowadzą sprawdzenie transakcji pod kątem kwalifikacji jako podejrzanych (SAR lookback), wraz z mapowaniem i testowaniem przepływów danych;
• wskażą transakcje, dla których należało złożyć SAR;
• dokonają niezależnego przeglądu programu AML;
• przetestują klientów wysokiego ryzyka, ale również próbę klientów Medium i Low;
• ponownie przetestują system po wdrożeniu zmian, aby sprawdzić efektywność zmian.

Zakres przeglądu obejmuje m.in. KYC, jurysdykcje wysokiego ryzyka, transaction monitoring i data governance, zarządzanie wykrytymi problemami, mechanizmy kompensacyjne, SAR oraz decyzje o ograniczaniu usług i offboardingu klientów — włącznie z badaniem, czy działy sprzedażowe nie wywierają niewłaściwego wpływu na takie decyzje.

„Formal compliance” vs. "effective compliance"

Decyzja FinCEN jest szczególnie interesująca z perspektywy praktyki europejskiej. USBFS oczywiście miał wdrożony system AML, w tym procedury monitorowania transakcji. Jednak wg FinCEN system formalnie istniejący nie jest systemem AML, jeżeli nie daje racjonalnej pewności, że rzeczywiście obejmuje wszystkie transakcje i wykorzystuje właściwe dane. Stąd tak duży nacisk na data lineage, kompletność danych źródłowych, błędy interfejsów, exception handling, QA/QC (Quality Assurance/Quality Control) oraz testowanie systemu „od źródła do alertu”.

W nowym prawie UE fundament jest podobny — art. 8 AMLD wymaga skutecznego zarządzania i ograniczania ryzyka, a nie samego posiadania dokumentów i procedur, choć szczegółowość typu „udowodnij, że 100% właściwych danych ze źródła A przechodzi do modelu B, a każdy odrzucony rekord trafia do kolejki wyjątków” (exception handling) wynika raczej z praktyki nadzorczej i konkretnych środków naprawczych niż wprost z AMLD.

Podsumowanie.

Największa różnica systemu amerykańskiego w porównaniu do europejskiego leży w mechanizmie wymuszenia zgodności. FinCEN może przekształcić decyzję o karze w szczegółowy kilkuletni projekt naprawczy. Niezależny konsultant sprawdza przeszłość, drugi ocenia przyszły system, organ ma wpływ na zakres badania, otrzymuje dokumenty robocze i kwartalne raporty, następuje ponowne testowanie po wdrożeniu zmian, a część kary może zostać uzależniona od rzeczywistego wykonania programu.

Decyzja FinCEN pokazuje operacyjne rozumienie skuteczności AML. Nie wystarcza procedura, ocena ryzyka ani system informatyczny. Instytucja musi być w stanie udowodnić, że jej architektura zarządzania danymi faktycznie powoduje, iż wszystkie istotne transakcje są monitorowane, dane trafiają do modelu analitycznego, anomalie są wykrywane, alerty są badane, a wyniki CDD, adverse media i transaction monitoring „komunikują się ze sobą”, zamiast funkcjonować w oddzielnych silosach. FinCEN wprost nakazał konsultantowi badać, czy informacje o źródle majątku, mediach negatywnych oraz alertach są integrowane w profilu ryzyka klienta.

Systemy amerykańskie i UE są podobne, EU jest bardziej preskryptywna w kilku punktach, szczególnie w kwestii PEP, krajów trzecich wysokiego ryzyka oraz raportowaniu podejrzeń bez żadnego progu kwotowego. Od 10 lipca 2027 r., gdy zacznie być stosowany AMLR 2024/1624, różnice między systemami jeszcze bardziej się zmniejszą.