Zgodnie z art. 12 ust. 1 pkt 11 ustawy AML do zadań GIIF należy udostępnianie wiedzy i informacji z zakresu przepisów AML/CFT. Przepis ten, jakkolwiek jest jedną z form podejmowania przez Generalnego Inspektora działań w celu przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu, nie zawiera upoważnienia do ustanawiania nowych obowiązków, w szczególności do „uzupełniania” ustawy AML o wymagania pominięte przez ustawodawcę, określania jedynej dopuszczalnej formy realizacji obowiązku, tworzenia pozaustawowych wymagań kwalifikacyjnych, ustanawiania dodatkowych obowiązków dokumentacyjnych, określania wiążącego sposobu ograniczania zasady podejścia opartego na ryzyku czy uznawania odstępstwa od rekomendacji GIIF za delikt administracyjny.

Zgodnie z art. 7 Konstytucji RP organy władzy publicznej działają na podstawie i w granicach prawa. Komunikaty GIIF nie należą do źródeł powszechnie obowiązującego prawa określonych w art. 87 Konstytucji. Zasada legalizmu oznacza nie tylko zakaz wydawania formalnych rozstrzygnięć bez podstawy prawnej. Wyklucza również posługiwanie się kompetencją informacyjną w celu faktycznego wymuszenia zachowań, których ustawodawca nie nakazał. Jednocześnie zgodnie z art. 8 ustawy Prawo przedsiębiorców, przedsiębiorca może podejmować wszelkie działania, z wyjątkiem tych, których zakazują przepisy prawa. Przedsiębiorca może być obowiązany do określonego zachowania tylko na podstawie przepisów prawa.

Szczególna ostrożność jest wymagana w przypadku organu takiego jak GIIF, ponieważ organ ten kumuluje w sobie funkcje edukacyjną (publikuje komunikaty i wytyczne), nadzorczą i kontrolną (sprawuje albo koordynuje kontrole, może przekazywać innym organom wskazówki dotyczące kontroli), a także - nakłada kary administracyjne przewidziane w ustawie.

W praktyce nawet materiały formalnie niewiążące mogą wywoływać skutki zbliżone do regulacji prawnej. Instytucje obowiązane wiedzą bowiem, że autorem komunikatu jest zarazem organ kontrolny i sankcyjny. Mogą więc być zmuszone wykonywać nawet jednoznacznie pozaustawowe zalecenia nie dlatego, że uznają je za trafne, lecz w obawie przed zarzutami podczas kontroli.

Komunikat GIIF nr 114 nie rozdziela konsekwentnie cytatu lub parafrazy przepisu, wniosku interpretacyjnego, rekomendacji organizacyjnej, dobrej praktyki, jednego z możliwych sposobów dokumentowania wykonywanych obowiązków od oczekiwania GIIF czy innego uprawnionego organu. Aczkolwiek pojawiają się w tekście określenia typu „organ zaleca”, to częściej w jednym ciągu narracyjnym przytaczane są przepisy, a następnie bez wyraźnego oznaczenia dodawane szczegółowe wymagania GIIF. Przy wymaganiach tych używane są kategoryczne zwroty typu: „konieczne jest”, „należy”, „zawsze”, „niezbędne jest”, „powinno zawsze obejmować” czy „wyłącznie”.

Poniżej kilka przykładów wymagań ustanowionych w Komunikacie nr 114.

Art. 8 ustawy AML wymaga wyznaczenia pracownika zajmującego kierownicze stanowisko (AMLRO), odpowiedzialnego za zapewnienie zgodności działalności instytucji, jej pracowników i współpracowników z przepisami ustawy AML oraz za przekazywanie określonych zawiadomień. Ustawa nie ustanawia wobec tej osoby jakichkolwiek wymagań dotyczących posiadania określonej wiedzy, doświadczenia zawodowego, szczególnej niezależności, nieograniczonego dostępu do informacji, osobistego aktualizowania wszystkich regulacji czy kompetencji do samodzielnego wprowadzania działań naprawczych. Mimo to Komunikat nr 114 przedstawia te elementy jako niezbędny katalog cech i zadań AMLRO.

Także art. 52 ustawy AML nie tworzy wymagania kwalifikacyjnego polegającego na posiadaniu przez AMLRO „odpowiedniej wiedzy”. Przepis ten nakłada na instytucję obowiązaną obowiązek zapewnienia udziału odpowiednich osób w programach szkoleniowych. Nie ustanawia obowiązku przeprowadzania egzaminu, wydawania certyfikatu ani nawet osiągnięcia minimalnego poziomu wiedzy jako warunku powołania albo dalszego pełnienia funkcji AMLRO. GIIF może oceniać, czy instytucja wykonała obowiązek szkoleniowy i czy wykonała inne, konkretne obowiązki AML. Nie może natomiast tworzyć autonomicznych wymagań dla AMLRO.

Komunikat wprowadza także wymaganie dotyczące zbudowania „kompleksowego profilu klienta”, dokładnego ustalenia sposobu „wykorzystywania” relacji z instytucją obowiązaną, przewidywanych kwot i produktów, a następnie analizowania „wszelkich aktywności klienta” (W ramach stosowania tego środka należy zbudować kompleksowy profil klienta. Należy dokładnie ustalić, w jaki sposób klient zamierza wykorzystywać relację z instytucją obowiązaną, jakimi kwotami zamierza operować, z jakich produktów czy usług korzystać).

Ustawa AML w ogóle nie posługuje się pojęciem „kompleksowy profil klienta”, nie przewiduje obowiązku określania dokładnych kwot wykorzystywanych w każdym rodzaju relacji z klientem czy obowiązku analizowania całokształtu działalności klienta, w tym – pozostających poza zakresem obsługiwanych relacji z klientem. Jednocześnie, jeśli już określone działanie GIIF nazywa budowaniem „kompleksowego profilu klienta” (na tym, zdaniem GIIF polega ocena stosunków gospodarczych, o której mowa w art. 34 ust. 1 pkt 3), to oczywistym walorem edukacyjnym byłoby objaśnienie, czym się ten „profil klienta” różni od „profilu klienta” z art. 33 ust. 2? Obowiązek rozpoznania i oceny poziomu ryzyka prania pieniędzy oraz finansowania terroryzmu związanego ze stosunkami gospodarczymi lub z transakcją okazjonalną, o którym mowa w art. 33 ust. 2, który buduje się w oparciu o konkretne kryteria, oraz od którego zależy zakres i intensywność stosowania środków bezpieczeństwa finansowego - stanowi wręcz modelowy przykład „budowy kompleksowego profilu klienta”. Wyjaśnienie tej zależności stanowiłoby bardzo pomocny materiał edukacyjny.

Komunikat wskazuje, że badanie źródła wartości majątkowych powinno zawsze obejmować uzyskanie od klienta wyjaśnień i wiarygodnych dokumentów, a informacje z otwartych źródeł mogą mieć jedynie znaczenie pomocnicze. Tymczasem art. 34 ust. 1 pkt 4 lit. b ustawy AML, który nakazuje badanie źródła pochodzenia wartości majątkowych w przypadkach uzasadnionych okolicznościami, nie ustanawia obowiązku pozyskiwania dokumentów od klienta w każdym przypadku, nie określa hierarchii źródeł dowodowych, nie wyklucza oparcia ustalenia na wiarygodnym rejestrze lub dokumencie urzędowym, a już z całą pewnością nie nakłada obowiązku badania źródła pochodzenia majątku klienta. GIIF zastępuje więc elastyczny i oparty na ryzyku standard ustawowy (risk-based approach) bezwzględną regułą dowodową (rule-based approach), połączoną z oczekiwaniem pozyskiwania nadmiarowych danych osobowych (informacji o źródłach pochodzenia majątku klienta).

GIIF w komunikacie szczegółowo określa, jakie elementy powinna zawierać notatka z analizy transakcji oraz jak powinna wyglądać historia aktualizacji danych klienta. Ustawa AML rzeczywiście nakazuje dokumentowanie zastosowanych środków bezpieczeństwa i wyników prowadzonych analiz, lecz bynajmniej nie narzuca obowiązku sporządzania odrębnej notatki o zdefiniowanej strukturze, stosowania obowiązkowego formularza, powtarzania w każdej notatce wszystkich danych z teczki klienta czy określonej technicznej postaci rejestru zmian. Instytucja obowiązana może więc wykonać obowiązek dokumentacyjny w inny sposób, np. za pomocą zapisów w systemie, formularza alertu, okresowego raportu, elektronicznej karty klienta albo innej metody pozwalającej odtworzyć tok postępowania.

GIIF, w komunikacie nr 114 pryncypialnie stanowi, że wszyscy pracownicy instytucji obowiązanej powinni zapoznać się z wewnętrzną procedurą i fakt ten powinien zostać udokumentowany. Art. 50 ustawy AML wymaga w procedurze wewnętrznej określenia zasad upowszechniania wiedzy, natomiast art. 52 odnosi się do osób wykonujących obowiązki związane z AML/CFT. Ustawa nie wymaga, by każdy pracownik, bez względu na zakres obowiązków, miał zostać zapoznany z pełnym tekstem całej procedury. Może to być oczywiście dobra praktyka w niektórych podmiotach. Nie powinna jednak być przedstawiana jako rozwiązanie obowiązkowe dla wszystkich instytucji obowiązanych.

Komunikat nr 114 stanowi ponadto, że przedsiębiorca prowadzący działalność jednoosobowo może zrealizować obowiązek szkoleniowy wyłącznie poprzez udział w szkoleniu prowadzonym przez podmiot zewnętrzny. Art. 52 ust. 3 ustawy AML przewiduje jedynie odpowiednie stosowanie ust. 1 do osób fizycznych prowadzących działalność gospodarczą. Nie zawiera wymogu korzystania z zewnętrznego organizatora szkoleń ani zakazu samokształcenia przez osobę mającą odpowiednie przygotowanie zawodowe.

Nie jest także zrozumiałe, jak z treści art. 46 ust. 1 ustawy AML, wprost dopuszczającego ustalenie statusu PEP na podstawie oświadczenia złożonego przez klienta pod rygorem odpowiedzialności karnej, GIIF wysnuł następujący wniosek: Oświadczenie klienta nie zwalnia jednak z obowiązku zastosowania, odpowiednio do poziomu ryzyka, niezależnych źródeł weryfikacyjnych, takich jak informacje dostępne publicznie, w tym krajowy wykaz stanowisk PEP oraz wiarygodne komercyjne bazy danych. W przypadku większych instytucji obowiązanych, zalecane jest stosowanie bardziej zaawansowanych sposobów weryfikacji PEP.[1]

Ww. praktyka narusza pewność i przewidywalność prawa, zaciera granicę między działalnością informacyjną a quasi-prawotwórczą, prowadzi do zwiększania kosztów wykonywania działalności gospodarczej, osłabia zasadę proporcjonalności i podejście oparte na ryzyku, tworzy popyt na usługi podmiotów oferujących określone usługi, np. szkolenia zewnętrzne, przymusza małe podmioty do wdrażania rozwiązań właściwych bankom i dużym instytucjom finansowym, a przede wszystkim - podważa zaufanie do GIIF jako źródła rzetelnej informacji o prawie. Wpływa nie tylko na działalność podmiotów wskazanych w ustawie AML jako instytucje obowiązane, ale także na działalność podmiotów świadczących usługi doradcze w tym obszarze, takie jak skarżąca spółka.

Podsumowując, działalność informacyjna GIIF jest bardzo potrzebna, gdyż dotyczy skomplikowanego obszaru regulacji AML/CFT. Komunikaty GIIF nie powinny jednak:

-         rozmywać obowiązków prawnych od oczekiwań organu;

-         używać języka nakazowego wobec tez bez wyraźnej podstawy ustawowej;

-         przedstawiać preferowanych przez organ metod jako jedynych prawidłowych;

-         tworzyć pozaustawowych wymagań organizacyjnych, kwalifikacyjnych i dokumentacyjnych;

-         łączyć bezzasadnie brak realizacji niektórych oczekiwań organu z sankcją administracyjną;

-         realnie i negatywnie dla instytucji obowiązanych oddziaływać na praktykę kontroli.

Organ władzy publicznej nie powinien wykorzystywać przyznanego mu autorytetu kontrolnego i sankcyjnego do nadawania praktycznie wiążącego charakteru wymaganiom, których ustawodawca nie ustanowił. Taka praktyka pozostaje w sprzeczności z obowiązkiem działania na podstawie i w granicach prawa oraz stanowi nienależyte wykonywanie zadania informacyjnego z art. 12 ust. 1 pkt 11 ustawy AML. Ustawa AML nakłada na instytucje obowiązane wystarczającą liczbę obowiązków (ponad 60), nie ma potrzeby dopisywania kolejnych. W państwie prawnym to, że niektóre z tych obowiązków mają charakter ograniczony do konkretnych czynności (np. wyznaczenie AMLRO czy zapewnienie udziału w szkoleniach) powinno się traktować jako świadome i celowe zamierzenie prawodawcy, a nie – jako okazję do ich „naprawiania” wg uznania nadzorcy.

[1] Nawiasem mówiąc, eskalowanie oczekiwań wobec instytucji obowiązanych ma w tym przypadku bardzo wymowny kontrapunkt w postaci tego, że nawet dysponenci największej wiedzy na ten temat w danym państwie członkowskim (tj. państwa członkowskie) nie podjęli nawet próby stworzenia imiennego wykazu osób o takim statusie. Zadanie niemożliwe do zrealizowania przez jakiekolwiek państwo (monitorowanie statusu PEP swoich polityków, członków organów spółek państwowych czy organów samorządowych, a także ich członków ich rodzin i współpracowników, z dokładnością do jednego dnia) zostało bez zmrużenia okiem przerzucone na przysłowiowego właściciela biura rachunkowego.