Załącznik nr II do projektu AMLA RTS w sprawie metodologii oceny i klasyfikacji ryzyka inherentnego i rezydualnego podmiotu zobowiązanego z sektora niefinansowego zawiera 31 pytań. Na podstawie odpowiedzi na te pytania organ nadzoru (np. GIIF) będzie oceniał jakość (skuteczność) wewnętrznych mechanizmów przeciwdziałania praniu pieniędzy, finansowaniu terroryzmu oraz stosowania ukierunkowanych sankcji finansowych podmiotu zobowiązanego (Quality of AML/CFT controls). Jak wiemy, wg Rozporządzenia AML nie liczy się samo posiadanie procedur, dokumentów czy spełnienie obowiązków o charakterze formalnym (np. wyznaczenie osób), lecz wykazanie skutecznego wdrożenia systemu AML/CFT/TFS.

Na podstawie pytań ankietowych z załącznika do projektu RTS można określić, jak wygląda wg AMLA pożądany model wdrożenia mechanizmów wewnętrznych ML/FT/TFS.

Otóż najlepszy wynik osiąga się, pokazując organowi nadzoru, że:

1. podmiot zobowiązany posiada wszystkie wymagane dokumenty (ramy, procedury, polityki, oceny ryzyka), które aktualizuje co najmniej raz w roku;
2. podmiot zobowiązany posiada wysoki stosunek pracowników odpowiedzialnych za AML/CFT/TFS do wszystkich pracowników (najlepiej liczny dział compliance z dużym budżetem);
3. wszyscy pracownicy ds. AML/CFT/TFS oraz kadra wyższa podlegają regularnym szkoleniom z AML/CFT/TFS (najlepiej co najmniej raz do roku);
4. co najmniej raz do roku niezależny audytor sprawdza skuteczność wewnętrznych mechanizmów AML/CFT/TFS, a ewentualne uchybienia naprawiane są niezwłocznie;
5. w przypadku outsourcingu funkcji AML/CFT warunki wykonywania tych obowiązków są rygorystycznie opisane w umowie;
6. ryzyko ML/FT/TFS na które narażona jest firma, jest niskie dzięki skutecznym mechanizmom przeciwdziałania praniu pieniędzy, finansowaniu terroryzmu oraz stosowania ukierunkowanych sankcji finansowych;
7. liczba klientów, wobec których stosuje się wzmożone środki (EDD) jest przyzwoita (system działa!);
8. firma stosuje 100% automatyzację monitorowania i stosowania sankcji (dzięki czemu wyeliminowano zawodny czynnik ludzki), system reaguje natychmiast, i zawsze, kiedy należy (trigger events);
9. dane klientów są regularnie weryfikowane (pełna zgodność z założonym planem aktualizacji);
10. system aktywnie i adekwatnie do skali podmiotu generuje zgłoszenia podejrzanych transakcji (STR/SAR), co potwierdza, że filtry działają, a podmiot potrafi asertywnie odmówić relacji z klientem;
11. bezbłędnie weryfikuje wszystkich beneficjentów rzeczywistych, nie utrzymując relacji z podmiotami o ukrytej strukturze.

Trzeba jednak pamiętać, że nawet najlepszy wynik w kategorii "controls" nie może przeważyć wyniku z Załącznika nr I.