Analiza postanowienia FinCEN (s. 33–49 opis relacji z klientami A, B i C w latach 2016–2025) to pouczający przykład konfliktu między funkcją compliance instytucji obowiązanej a działem biznesowym. Oczywiście tzw. "biznes" rozumie znaczenie ryzyka danej relacji z punktu widzenia odpowiedzialności za nieprzestrzeganie przepisów AML. Opisany w postanowieniu FinCEN mechanizm nie polegał więc na prostym ignorowaniu ostrzeżeń działu compliance, lecz proponował kolejne środki ograniczające to ryzyko, dzięki którym można było zachować wartościową relację. 

W efekcie postulat zakończenia relacji z klientem A, sformułowany przez pracowników działu compliance w połowie 2022 r., został wycofany w marcu 2023 r. na rzecz planu mitygacji. Jednak według FinCEN zasadniczy problem płatności od osób trzecich utrzymywał się aż do czerwca 2025 r.

Dlaczego ci klienci byli tak cenni dla banku?

Klienci A i B prowadzili platformy aukcyjne pojazdów powypadkowych, ponadto w przypadku klienta A Bank of America pełnił funkcję głównego agenta refinansowania 200 mln USD, będącego częścią większego finansowania przekraczającego 1 mld USD.

Nie chodziło zatem o małych klientów, których zamknięcie rachunków nie miałoby większego znaczenia komercyjnego. W przypadku klienta A (do sytuacji którego ograniczę ten wpis) dokument wprost łączy spodziewany opór wobec zakończenia relacji z jego wieloletnim statusem oraz istotną ekspozycją kredytową.

Co więcej, klienci nie byli w postanowieniu przedstawieni jako organizatorzy wszystkich wykrytych oszustw. Pracownicy banku podejrzewali, że osoby trzecie wykorzystywały prowadzone dla nich rachunki i platformy do przekazywania środków pochodzących z przestępstw. Jednak z punktu widzenia wymogów AML nie ma to znaczenia - nie jest konieczne stwierdzenie świadomego udziału klienta w przestępstwie, aby powiązać charakter jego działalności z ryzykiem wymagającym zastosowania silniejszych mechanizmów przeciwdziałania ryzyku ML.

W czerwcu 2020 r. analitycy banku odnotowali, że klient A jest uznawany za podejrzanego w związku z badaną aktywnością, ale rachunek nie zostanie zamknięty, ponieważ rekomendacja zamknięcia nie uzyskała poparcia na szczeblu decyzyjnym banku.

Jest to pierwszy wskazany w postanowieniu przykład, w którym obawy związane z obowiązkami w zakresie AML nie doprowadziły do zakończenia relacji, mimo że były wielokrotnie eskalowane do zespołu obsługi klienta. Co istotne, do października 2020 r. prowadzone przez bank wewnętrzne postępowania wyjaśniające obejmowały już tzw. oszustwa matrymonialne, BEC (business email compromise), oszustwa związane z COVID i inne schematy. Wolumen aktywności klienta A był tak duży, że bankowy system dochodzeniowy nie potrafił pobrać wszystkich istotnych transakcji do analizy.

Był to zatem problem realnej zdolności banku do kontrolowania ryzyka, na które godził się, utrzymując relację.

Kluczowy punkt tej historii to moment, w którym dział compliance zgromadził i zaprezentował informacje o ponad 100 dochodzeniach AML dotyczących klienta A, z których około 90% dotyczyło oszustw. Pracownicy wskazywali, że klient (prawdopodobnie) "nie ma wystarczającej wiedzy o rzeczywistych źródłach środków trafiających na jego rachunki".

W korespondencji pojawiła się ocena, że "ryzyko jest zbyt duże i nie widać skutecznego sposobu jego kontrolowania lub ograniczenia". Jednocześnie pracownicy działu compliance przewidywali opór wobec zamknięcia rachunków, ponieważ klient był wieloletnim partnerem, a bank miał wobec niego znaczną ekspozycję kredytową.

Właśnie tutaj ujawnia się istota konfliktu, który stanowi nieuchronną rzeczywistość każdej instytucji obowiązanej: dział compliance oceniał, czy bank potrafi realnie kontrolować ryzyko związane z daną relacją vs. biznes, który musi ocenić, jakie straty przyniesie bankowi zakończenie czy choćby ograniczenie takiej relacji.

Odpowiedź biznesu: klient jest zbyt ważny, aby go stracić.

We wrześniu 2022 r. opiekun klienta A przygotował memorandum (memo) odnoszące się do zastrzeżeń działu compliance. Dokument podkreślał, że klient A jest dużym i wartościowym klientem, generuje około 6 mln USD rocznych przychodów, relacja obejmuje finansowanie kredytowe i usługi zarządzania środkami pieniężnymi oraz że pion biznesowy zdecydowanie popiera dalsze utrzymywanie relacji.

Po spotkaniu ówczesnego BSA Officer'a z szefem odpowiedniego pionu biznesowego w grudniu 2022 r. zespół obsługi klienta nadal zabiegał o zachowanie relacji. Opiekun przyznawał, że branża aukcyjna wiąże się z istotnym ryzykiem oszustw, ale wskazywał na działania mitygujące deklarowane przez klienta oraz negatywne skutki komercyjne zakończenia relacji. W marcu 2023 r., ponad sześć miesięcy od rekomendacji zamknięcia rachunku, przedstawiono cztery środki:

1) ograniczenie przyjmowania płatności do zarejestrowanych nabywców/dealerów.

2) usunięcie numeru rachunku bankowego z publicznej strony klienta.

3) zmiana numeru rachunku, który wcześniej został wykorzystany w oszustwie.

4) przyjęcie restrykcyjnej polityki wobec dealerów zgłaszających nieuzasadnione żądania zwrotu środków z powołaniem się na oszustwo.

Wobec powyższego, dział compliance wycofał rekomendację zamknięcia rachunku (relacji z klientem), uzależniając swoją decyzję od komunikacji i wdrożenia środków ograniczających ryzyko oraz pozostawiając możliwość ponownego rozważenia zamknięcia.

Jednak najważniejszy warunek planu mitygacji nie został skutecznie zrealizowany przez ponad dwa lata (nieprzyjmowanie wpłat od niezweryfikowanych stron trzecich).

To najbardziej obciążająca bank okoliczność z perspektywy oceny całego procesu decyzyjnego. Głównym źródłem ryzyka była bowiem możliwość przyjmowania na rachunki klienta A płatności od osób trzecich, bez wystarczającej wiedzy o pochodzeniu środków i rzeczywistych nabywcach pojazdów. Ograniczenie tego mechanizmu stanowiło podstawowy element planu pozwalającego uniknąć zamknięcia rachunków.

Tymczasem klient A uważał przyjmowanie płatności od osób trzecich za integralny element swojego modelu biznesowego i nie chciał albo nie był w stanie całkowicie z niego zrezygnować. Zamiast wyeliminowania tych płatności deklarował stosowanie określonych "kontroli"j (czynności sprawdzających).

Wnioski.

FinCEN podkreśla (w przypisie 42 na stronie 35), że zamknięcie rachunku nie jest jedyną prawidłową odpowiedzią na podwyższone ryzyko AML. Bank może utrzymywać relację i stosować wzmocnione monitorowanie, ograniczenia produktowe, dodatkowe procedury CDD lub inne adekwatne środki. Nie byłoby więc prawidłowe twierdzenie, że dział biznesowy "narusza obowiązki w zakresie AML" już przez sam sprzeciw wobec zamknięcia rachunku.

Rzeczywisty problem (z punktu widzenia obowiązku zapewnienia zgodności) pojawił się w momencie, gdy argumenty komercyjne przeważyły nad nierozwiązanymi zastrzeżeniami dotyczącymi zdolności kontrolowania ryzyka, przyjęty plan mitygacji nie jest wdrażany lub nie osiąga zakładanej skuteczności, utrzymywanie się tego samego ryzyka nie powoduje terminowej ponownej oceny decyzji, a informacja o problemach w jednej relacji nie przekłada się na ocenę innych powiązanych klientów.

W tej sprawie pracownicy działu compliance banku prawidłowo rozpoznawali podejrzane schematy, zbierali dowody, w odpowiedni sposób przekazywali dalej swoje zastrzeżenia ("eskalowali"), rekomendowali zamknięcie rachunków i konsekwentnie monitorowali aktywność klienta.

Także tzw. biznes nie był całkowicie bierny. Uczestniczył w rozmowach z klientem, przygotował alternatywny plan oraz przyczynił się do wdrożenia niektórych ograniczeń. Ostatecznie jednak decyzja o utrzymaniu wartościowego klienta przesądziła o rzeczywistej skuteczności zastosowanych środków AML.

Z perspektywy art. 11 ust. 4 rozporządzenia AML 2024/1624 szczególnie istotny jest aspekt niezależności decyzji działu compliance AML od "interesów handlowych" podmiotu zobowiązanego. W sierpniu 2022 r. dział compliance banku uznawał, że klient A generuje zbyt duże ryzyko, którego nie da się skutecznie ograniczyć. W marcu 2023 r. wycofał rekomendację zamknięcia, opierając się na zapowiedzianych działaniach. W czerwcu 2025 r. praktyka generująca to ryzyko nadal istniała.

To pokazuje, dlaczego w podmiocie zobowiązanym nie wystarcza formalna możliwość zgłaszania zastrzeżeń przez dział compliance. Równie ważna jest rzeczywista zdolność tej funkcji do doprowadzenia do wdrożenia środków ograniczających ryzyko, aby w razie ich nieskuteczności - móc skutecznie zakwestionować decyzje biznesowe.