Krótka odpowiedź
Przepisy o przeciwdziałaniu praniu pieniędzy zobowiązują każdą firmę, która obsługuje Pana/Panią — od dostawcy usług dla spółek i notariusza po bank — do utworzenia i prowadzenia własnych akt. Prawo pozwala im polegać na pracy innych, lecz odpowiedzialność pozostaje po stronie podmiotu, który na niej polega, dlatego w praktyce każdy zaczyna od zera, a jeden klient trafia do trzech lub czterech odrębnych akt. Każde akta wymagają personelu i oprogramowania, a klient płaci za wszystkie. Niewielka część tej dokumentacji ogranicza ryzyko. Większość istnieje po to, by organizacja, która ją przechowuje, mogła wykazać kontrolerowi, że zadawała pytania.
Zawodowo zajmuję się zgodnością. Eesti Firma jest licencjonowanym dostawcą usług powierniczych i korporacyjnych, co czyni nas podmiotem obowiązanym: jedną z firm, którym prawo o przeciwdziałaniu praniu pieniędzy (AML), stosowane w niemal tej samej formie w całej UE, nakazuje sprawdzać klientów i zgłaszać to, co wygląda podejrzanie. Każdy klient rejestrujący za naszym pośrednictwem spółkę jest identyfikowany, sprawdzany i pytany o pochodzenie środków; uważam, że należy robić to właściwie. Identyfikacja typowego założyciela i sprawdzenie go na listach sankcyjnych oraz osób zajmujących eksponowane stanowiska polityczne zajmuje przeszkolonej osobie około 15–20 minut. Reszta onboardingu to dokumentacja zbudowana wokół tego kwadransa, następnie odtwarzana od początku przez każdy inny podmiot obowiązany, z którym spotyka się klient.
Nie jest to argument przeciwko kontrolom „know-your-customer” (KYC). Jest to argument dotyczący tego, czym się stały. Każdy w łańcuchu wykonuje pracę starannie, ponieważ każdy obawia się skutków jej niewykonania, a gdzieś po drodze ten lęk stał się celem samym w sobie. Coraz bardziej uważam, że akta służą mniej powstrzymywaniu prania pieniędzy niż udowodnieniu podczas kontroli, że organizacja, która je prowadzi, zadała właściwe pytania.
Jeden klient, trzy lub cztery rundy kontroli
Tak wyglądają pierwsze miesiące typowego naszego klienta: założyciela z Niemiec, Hiszpanii lub Turcji, który chce założyć estońską spółkę z ograniczoną odpowiedzialnością (OÜ) i otworzyć działający rachunek. Sekwencja byłaby bardzo podobna w Dublinie lub Lizbonie, ponieważ zasady wynikają z tych samych dyrektyw UE; Estonia dodaje własny etap dla e-residents.
- Państwo — dla e-residents. Założyciel, który chce uzyskać estońską cyfrową tożsamość, składa wniosek o e-Residency, a Police and Border Guard Board przeprowadza kontrolę przeszłości przed wydaniem karty. Nie jest to kontrola AML w sensie prawnym, lecz weryfikacja na podstawie innej ustawy, jednak wymaga tego samego paszportu i tego samego wyjaśnienia celu, a wnioskodawca uiszcza za nią opłatę państwową.
- Dostawca usług. Weryfikujemy tożsamość założyciela, ustalamy beneficjenta rzeczywistego, sprawdzamy go na listach sankcyjnych i PEP (PEP to osoba zajmująca eksponowane stanowisko polityczne, której funkcja publiczna stwarza ryzyko korupcji), pytamy, czym będzie zajmować się firma i skąd pochodzą środki na start, a następnie przypisujemy poziom ryzyka. Oznacza to kwestionariusz, zestaw dokumentów i zazwyczaj rozmowę wideo.
- Notariusz. Założyciel bez estońskiej cyfrowej tożsamości zakłada spółkę zamiast tego przez notariusza, a notariusz jest odrębnym podmiotem obowiązanym o tych samych obowiązkach. Nasze akta nie mają znaczenia w jego kancelarii; sam identyfikuje klienta i sprawdza właściciela.
- Bank lub instytucja płatnicza. Podmiot otwierający rachunek — bank lub fintech — stosuje własny formularz, własną listę dokumentów i własną rozmowę: ponownie biznesplan, przewidywane wolumeny, głównych kontrahentów i źródło środków. Drugi rachunek, którego potrzebuje wielu naszych klientów, oznacza ponowienie tej samej rundy.
W zależności od ścieżki założyciel przechodzi przez trzy lub cztery takie etapy, a kontrola na tym się nie kończy. Gdy klient płaci naszą fakturę, nasz własny bank może zapytać nas, kim jest płatnik i za co są środki. Księgowy, który później przejmie obsługę spółki, również jest podmiotem obowiązanym. Każda z tych organizacji musi przechowywać swoje akta przez co najmniej pięć lat po zakończeniu relacji, aktualizować je, chronić jako dane osobowe i monitorować pod ich kątem, ponieważ każda odrębnie odpowiada za to, co przechowuje.
Za każdą rundę płaci się osobno. Dostawca taki jak my zatrudnia osoby do czytania kwestionariuszy, pozyskiwania dokumentów, sprawdzania nazwisk, sporządzania oceny ryzyka i utrzymywania akt przez lata, a tę pracę pokrywa opłata. Notariusz rozlicza czas. Banki ponoszą zdecydowanie największe wydatki; jedno badanie branżowe oszacowało koszt zgodności w zakresie przestępczości finansowej w globalnym sektorze finansowym na ponad $270 miliardów w 2022. Nikt nie sumuje tych kwot, ponieważ każda znajduje się w innym budżecie, lecz klient płaci je wszystkie — w opłatach i opłatach państwowych — a personel ds. zgodności na każdym etapie nie widzi ustaleń poprzedniego. I podobnie jak reszta unijnego zbioru przepisów, jest to koszt stały: bank go absorbuje, a dostawca zatrudniający kilkanaście osób odczuwa go w pełni.
Jak formularz stał się aktami
Dziesięć lat temu kontrole istniały, lecz były formularzem, a nie aktami. Otwarcie rachunku oznaczało paszport, podpis i kilka pytań, a dostawca taki jak my prowadził cienką teczkę. Potem przyszły skandale. UE przepisała dyrektywę o przeciwdziałaniu praniu pieniędzy w 2015, a następnie w 2018, za każdym razem dodając podmioty obowiązane i obowiązki. Estonia otrzymała nową ustawę krajową w 2017, a w 2018 raport Danske Bank wskazał kwotę około €200 miliardów środków nierezydentów, które przeszły przez jeden oddział w Tallinnie, z czego dużą część później uznano za podejrzaną. Mały kraj stał się synonimem prania pieniędzy.
W przypadku Danske nie brakowało formularzy. Bank miał akta swoich klientów niebędących rezydentami i ignorował to, co wykazywał własny monitoring, a organy nadzoru zbyt słabo przyjrzały się jednej instytucji. Odpowiedzią były jednak kolejne formularze dla wszystkich. Każdy bank i każdy nadzorca zrobił to, co robi każda organizacja po publicznym upokorzeniu: pytał więcej, przechowywał więcej i nikomu nie ufał. Z mojego doświadczenia wynika, że ten cykl działa tylko w jedną stronę. Nadzorca jest obwiniany za skandal, któremu nie zapobiegł, a nie za kwestionariusz, który kazał wypełnić dziesięciu tysiącom uczciwych klientów. Podmiot obowiązany otrzymuje karę za pole, które pozostawił puste, a nie za pole, które dodał. Programy upraszczające istnieją w Brukseli i Tallinnie, lecz żadna kontrola od nich nie zależy, więc pytania gromadzą się szybciej, niż są usuwane.
Prawo pozwala udostępniać. W praktyce nikt nie udostępnia
Tożsamość, uczciwie mówiąc, jest już współdzielona. Gdy e-resident lub mieszkaniec Estonii loguje się za pomocą cyfrowego ID, każdy bank i dostawca opiera się na tożsamości zweryfikowanej przez państwo. Nie jest współdzielone wszystko inne w dokumentacji: kto jest właścicielem, czym zajmuje się firma, skąd pochodzą pieniądze. Prawo również na to zezwala. Zarówno obecna dyrektywa UE, jak i nowe unijne rozporządzenie w sprawie przeciwdziałania praniu pieniędzy, które obowiązuje od lipca 2027 r., pozwalają podmiotowi obowiązanemu polegać na kontrolach klienta przeprowadzonych już przez inny podmiot obowiązany, a nowy unijny organ AMLA ma wydać wytyczne dotyczące sposobu postępowania. Dlaczego więc bank prosi naszego klienta o rozpoczęcie od zera?
Ponieważ odpowiedzialność pozostaje po stronie podmiotu, który polega na cudzej pracy. Jeżeli nasze akta okażą się błędne, grzywna trafi do banku, a nadzorca banku zapyta bank, a nie nas, dlaczego zaufał firmie, której nie kontroluje. Ocena procedur innej spółki kosztuje więcej niż wysłanie klientowi nowego formularza, dlatego każda instytucja podejmuje ten sam racjonalny wybór. Prawo na papierze pozwala polegać na cudzej pracy, a w praktyce to karze; suma tych rozsądnych indywidualnych wyborów stanowi teatr z tytułu. Akta przestały być narzędziem i stały się produktem: ich zadaniem jest istnieć, być kompletne i możliwe do przedstawienia na żądanie, aby chronić podmiot, który je posiada.
Założenie spółki jest moim przykładem, ponieważ to moja praca, lecz ten wzorzec przenika gospodarkę. Mieszkanie sprzedane w dowolnym mieście UE tworzy akta u pośrednika nieruchomości, kolejne u notariusza, trzecie w banku kredytującym, a czasem czwarte w banku przekazującym oszczędności kupującego — cztery akta dotyczące tych samych dwóch osób przy jednej transakcji, z których żadne nie korzystają z poprzednich. Jeśli w estońskim kantorze wymieni Pan/Pani gotówkę o wartości ponad €1,000, zostanie Pan/Pani zidentyfikowany(-a) i zarejestrowany(-a), a kantor będzie przechowywać ten zapis przez lata obok tysięcy podobnych. Księgowi, audytorzy, prawnicy i handlarze przedmiotami wartościowymi prowadzą akta tego samego rodzaju.
Co w aktach ogranicza ryzyko
Standardowe akta, które banki i dostawcy na rynku zbierają od nowej spółki, dzielą się — w mojej ocenie — na trzy grupy: część utrudniającą niewłaściwe wykorzystanie spółki, część istniejącą głównie po to, by posiadacz mógł zadowolić kontrolera, oraz część będącą czystym rytuałem. Tabela przedstawia moją własną klasyfikację, a nie prawną, a test w każdym wierszu jest prosty: czy ktokolwiek kiedykolwiek działa na podstawie tej informacji?
| Element standardowych akt | Co robi |
|---|---|
| Tożsamość zweryfikowana na podstawie dokumentu, z kontrolą na żywo lub wideo | Ogranicza ryzyko. Ze spółką powiązana jest rzeczywista osoba. |
| Ustalony beneficjent rzeczywisty i sprawdzony w rejestrze | Ogranicza ryzyko. Ukryta własność jest tym, czego podmiot piorący pieniądze najbardziej potrzebuje. |
| Dokumenty dotyczące źródła środków: umowy, wyciągi, akty sprzedaży | Ogranicza ryzyko, jeśli ktoś je czyta. Podpisane oświadczenie, że środki są legalne, nic nie dodaje do dokumentów. |
| Prosty opis działalności: kto komu płaci i za co | Ogranicza ryzyko, gdy posiadacz monitoruje względem niego transakcje. Bank to robi. Notariusz lub agent zakładający spółkę nigdy nie widzi transakcji, a mimo to zbiera ten sam opis. |
| Kontrola sankcji i PEP | Ogranicza ryzyko i jest tania, ponieważ wykonuje ją oprogramowanie. |
| Przewidywany roczny obrót, zaokrąglony do najbliższego tysiąca, dla spółki, która jeszcze nie istnieje | Przydatny bankowi jako punkt odniesienia do monitoringu. Dla każdego innego posiadacza akt jest to liczba, na którą nikt już nie spojrzy. |
| Samoocena, że klient nie jest PEP i działa we własnym imieniu | Głównie dla kontrolera. Przenosi winę na klienta, jeśli skłamał; niczego nie wykrywa. |
| Ten sam zestaw zbierany ponownie przez każdą instytucję | Dla kontrolera, jak wyjaśniono powyżej. Każda kopia chroni posiadacza; druga kopia nie chroni systemu. |
| Okresowe ponowne KYC, pełny przegląd co jeden lub dwa lata, gdy nic się nie zmieniło | Dla kontrolera. Dowodzi, że przestrzegano kalendarza. |
Z tabeli wynikają dwie rzeczy. Po pierwsze, akta są warte swojej ceny tylko tam, gdzie ktoś później prowadzi względem nich monitoring, co w opisanym wyżej łańcuchu oznacza bank — i tylko bank. Po drugie, długość wynika ze środkowej grupy. Kontroler nie może zobaczyć, czy zrozumieliśmy klienta, lecz może zobaczyć, czy pole 14 zostało wypełnione, dlatego pola są dodawane i rzadko usuwane.
Co mówią liczby
Posługuję się danymi estońskimi, ponieważ znam je najlepiej i ponieważ Financial Intelligence Unit publikuje rocznik. W 2024 r. jednostka otrzymała 14 185 zgłoszeń od podmiotów obowiązanych. Przekazała ona organom prowadzącym dochodzenia 133 przeanalizowane informacje oraz około 1 700 dalszych przekazań informacji, a śledczy zajęli aktywa o wartości 5,7 mln €, które jednostka zamroziła. Zgodnie z krajową oceną ryzyka przeanalizowane przekazania jednostki doprowadziły do wszczęcia dziesięciu nowych postępowań karnych w 2024 r., a w ciągu pięciu lat do 2024 r. estońskie sądy wydały 32 wyroki w sprawach o pranie pieniędzy.
Teraz druga strona. W Estonii rejestruje się każdego roku ponad 25 000 nowych estońskich spółek z ograniczoną odpowiedzialnością (OÜ), rejestr obejmuje około 370 000 podmiotów prawnych wszystkich rodzajów, a program e-Residency liczy ponad 134 000 e-residents. Każda nowa spółka, każdy rachunek i każda cyfrowa tożsamość oznaczają co najmniej jedne pełne akta KYC, zazwyczaj kilka. Moje przybliżone szacunki — podkreślam, że są moje — wskazują, że podmioty obowiązane w Estonii tworzą znacznie ponad sto tysięcy akt KYC rocznie, a cały system przekłada je na dziesięć postępowań karnych i kilka milionów euro zajętych aktywów. Załóżmy, że jeden klient na dziesięć tysięcy ma zamiar przestępczy. Pozostałych 9 999 przechodzi przez trzy lub cztery rundy kontroli, aby można było go znaleźć, a powyższe dane mówią, że zazwyczaj nie zostaje znaleziony.
Istnieją dwa uzasadnione zastrzeżenia i chcę je przedstawić. Pierwsze dotyczy odstraszania: przestępcy, którzy nigdy nie składają wniosku, ponieważ wiedzą, że zostaną o to poproszeni, nie pojawiają się w żadnej statystyce. To prawda, a zarazem dlatego nikt nigdy nie musiał tego udowodnić. Drugie dotyczy skali: jeden proceder prania pieniędzy może przepływem objąć więcej pieniędzy, niż tysiąc uczciwych firm zarabia, a gdyby dokumentacja powstrzymała Danske, zwróciłaby się wielokrotnie. Jednak dokumentacja nie powstrzymała Danske, a skazania opisane przez FIU w jego roczniku zaczęły się od zgłoszeń podejrzanych transakcji, nie od kwestionariuszy. Dokumentacja przy onboardingu jest miejscem ponoszenia kosztów; monitorowanie jest źródłem wyników. Dowody międzynarodowe wskazują na to samo. Europol oszacował w 2016 r., że tylko około 1% dochodów z przestępstw w UE jest kiedykolwiek konfiskowany, a badacz Ronald Pol, który próbował zestawić koszty i odzyskane środki, stwierdził, że koszty zgodności przewyższają odzyskane fundusze ponad stukrotnie. Żaden organ nadzoru w Estonii nie opublikował takiego porównania dla systemu, którym zarządza.
Nie oczekuję poprawy tej równowagi. Nowy unijny zbiór przepisów dodaje europejskiego nadzorcę, ogólnounijny limit €10 000 dla płatności gotówkowych oraz kilka nowych kategorii podmiotów obowiązanych — od platform finansowania społecznościowego po kluby piłkarskie. Każda nowa kategoria oznacza kolejną szufladę. Każdy przyszły skandal doda pola, ponieważ dodawanie pól jest sposobem, w jaki instytucja pokazuje, że wyciągnęła wnioski. A jeden europejski zbiór przepisów utrudnia każde wycofanie zmian, ponieważ pytania wpisanego do rozporządzenia nie może usunąć parlament krajowy, który zauważy, że jest bezużyteczne.
Dlaczego nikt nie mówi tego głośno
Nie jest modne rozważać tego w ten sposób. Publicznie jedynym bezpiecznym stanowiskiem wobec prania pieniędzy jest „więcej”: więcej kontroli, więcej zgłoszeń, więcej gorliwości. Każdy, kto pyta, czy ostatnia runda zasad cokolwiek osiągnęła, ryzykuje, że zostanie odebrany jako ktoś, kto chce mniej zasad dla przestępców, dlatego specjaliści ds. zgodności i prawnicy, którzy z mojego doświadczenia prywatnie podzielają wiele tych wątpliwości, pozostawiają je dla siebie. Walka z praniem pieniędzy stała się bardziej sprawą niż polityką, a sprawy rzadko są pytane o wskaźniki kosztów i korzyści.
Warto powiedzieć to jasno ze względu na kierunek, w którym prowadzi ta droga, jeśli nikt nie będzie ważył kosztów. Europa, która stworzyła najsurowsze na świecie prawo o prywatności, drugą ręką zobowiązała miliony prywatnych firm do prowadzenia przez lata akt swoich klientów, zgłaszania ich państwu w razie podejrzenia i odpowiadania za to, jeśli akta są zbyt skąpe. Każde z tych akt otwarto w dobrej wierze, by zapobiec przestępstwu. Łącznie stanowią stały rejestr tego, kto co posiada i kto komu zapłacił, przechowywany w szufladach, które odpowiadają przede wszystkim przed kontrolerem. Nie sądzę, by ktokolwiek to zaprojektował. Nie sądzę też, aby powinno to nadal rosnąć, nie pytając, czemu służy.
Co bym zmienił
Większość z tego nie wymaga nowej ustawy, lecz innych decyzji dotyczących stosowania obecnej. Pierwszy punkt wymaga.
- Jedne zweryfikowane akta, przekazywane przez klienta. Ktoś raz weryfikuje osobę i ponosi odpowiedzialność za tę weryfikację, wspartą licencją, ubezpieczeniem i audytem, aby instytucja na niej polegająca nie była karana, jeśli okaże się błędna. Tym weryfikującym może być bank, notariusz, licencjonowany dostawca lub usługa państwowa oparta na cyfrowej tożsamości; znaczenie ma miejsce odpowiedzialności. Dzisiejsze zasady, krajowe i unijne, nakładają ją na podmiot, który polega na cudzej pracy, dlatego nikt na niej nie polega. Zmiana wymaga ustawodawców, a nadchodzące wytyczne AMLA dotyczące polegania na cudzej pracy są naturalnym miejscem do rozpoczęcia dyskusji.
- Nadzorować wyniki, nie formularze. Kontrola powinna pytać, co przyniósł monitoring firmy i dokąd trafiły jej zgłoszenia, a nie czy wypełniono każde pole w każdym formularzu.
- Formularze dopasowane do spółki. Nowa spółka z jednym założycielem i bez obrotów potrzebuje dwóch stron, nie dwudziestu. Rozszerzone pytania, głębsze kontrole, które prawo zastrzega dla klientów wyższego ryzyka, powinny pojawić się w momencie rozpoczęcia działalności, gdy istnieje coś do zbadania.
- Ponowne KYC przy zmianie, nie według kalendarza. Nowy właściciel, nowy kraj lub nowy rodzaj działalności są powodem, by sprawdzić ponownie. Upływ dwóch lat nim nie jest.
- Wykorzystać dane, które państwo już posiada. W przypadku istniejącej spółki estoński rejestr handlowy (Äriregister) zawiera właścicieli, zarząd i roczne sprawozdania finansowe. Podmiot obowiązany powinien pobierać je z rejestru zamiast prosić klienta o ich ponowne wpisywanie. Estoński Sąd Najwyższy zastosował tę samą logikę wobec samego nadzorcy w styczniu 2026, gdy uznał za niezgodny z prawem formularz 44 pytań, który Financial Intelligence Unit wysłała wszystkim licencjonowanym dostawcom usług, częściowo dlatego, że państwo powinno najpierw wykorzystać dane, które już posiada.
Jak przejść kontrole bez teatru
W Eesti Firma prosimy o to, czego wymagają prawo i nasza własna ocena ryzyka, oraz wyjaśniamy, dlaczego każdy dokument ma znaczenie. Pomagamy również klientom od początku przygotować jeden zestaw dokumentów i odpowiedzi, który można przekazać bankowi i instytucji płatniczej bez przepisywania, ponieważ z mojego doświadczenia wynika, że onboarding skraca nie krótszy kwestionariusz, lecz działalność opisana identycznie wszystkim pytającym. Dla spółek, które same stają się podmiotami obowiązanymi, opracowujemy polityki i procedury wymagane przez prawo, co, przyznaję, jest częścią tego samego teatru; różnica, którą możemy wprowadzić, polega na ich napisaniu tak, aby były użyteczne, a nie jedynie kompletne. Jeśli zakłada Pan/Pani spółkę i chce, aby częścią zgodności zajęli się ludzie czytający przesłane materiały, możemy pomóc w założeniu spółki i we wszystkim, co następuje po nim.
