Outsourcing systemu bezpieczeństwa finansowego

Na gruncie przepisów ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, dopuszczalne jest zlecanie instytucjom zewnętrznym zadań z zakresu realizacji środków bezpieczeństwa finansowego.

Obowiązująca od dnia 13 lipca 2018 r. ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (dalej jako: „UPPP”) nakłada na zakłady ubezpieczeń na życie obowiązek stosowania wobec swoich klientów środków bezpieczeństwa finansowego.  Zgodnie z treścią art. 34 ustawy, obejmują one w szczególności identyfikację klienta i beneficjenta rzeczywistego, a także ocenę oraz monitorowanie stosunków gospodarczych.

Temat realizacji wskazanych wyżej obowiązków został szerzej omówiony w artykułach: Przeciwdziałanie praniu pieniędzy na rynku ubezpieczeń (cz. 1) oraz Przeciwdziałanie praniu pieniędzy na rynku ubezpieczeń (cz. 2).

Dopuszczalność outsourcingu systemu bezpieczeństwa finansowego

Konieczność zapewnienia wysokiego poziomu realizacji obowiązków z zakresu bezpieczeństwa finansowego, a także postępujące na rynku ubezpieczeniowym procesy optymalizacji procesów sprzyjają podejmowaniu przez zakłady ubezpieczeń działań mających na celu outsourcing czynności, które można zaliczyć do szeroko pojmowanego compliance. Ustawodawca, wychodząc naprzeciw potrzebom instytucji finansowych, wprost dopuszcza zlecanie instytucji zewnętrznej zadań dotyczących realizacji środków bezpieczeństwa finansowego.

Obowiązująca ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu przewiduje dwie odrębne podstawy prawne outsourcingu czynności z zakresu bezpieczeństwa finansowego.

Outsourcing czynności bezpieczeństwa finansowego na gruncie art. 47 UPPP

Zgodnie z treścią art. 47 ust. 1 UPPP, instytucja obowiązana może zlecić stosowanie środków bezpieczeństwa finansowego, wskazanych w treści art. 34 ust. 1 pkt 1-3 UPPP, podmiotowi trzeciemu. Czynności te obejmują:

1. identyfikację klienta oraz weryfikację jego tożsamości,

2. identyfikację beneficjenta rzeczywistego oraz weryfikację jego tożsamości,

3. ocenę stosunków gospodarczych i, stosownie do sytuacji, uzyskanie informacji na temat ich celu i zamierzonego charakteru.

W związku z redakcją omawianego przepisu, zawarty w jego treści katalog czynności z zakresu bezpieczeństwa finansowego należy traktować jako zamknięty. Poza wskazaniem dopuszczalnego zakresu czynności, przepis ten reguluje w sposób szczegółowy katalog podmiotów, którym może zostać zlecone ich wykonywanie. Obejmuje on w szczególności inne podmioty obowiązane do stosowania środków bezpieczeństwa finansowego. Należałoby więc przyjąć, że na podstawie art. 47 ust. 3 w zw. z art. 2 ust. 1 pkt 9 UPPP czynności takie mogą zostać zlecone agentowi ubezpieczeniowemu świadczącemu swoje usługi na rzecz zakładu ubezpieczeń działającego w ramach działu I. Ponadto ustawa dopuszcza także zlecenie wykonywania omawianych czynności organizacji członkowskiej lub federacji, do której należy instytucja obowiązana, jeżeli są one zobowiązane na podstawie regulacji państwa, w którym działają, do stosowania środków bezpieczeństwa finansowego.

Outsourcing czynności z zakresu stosowania środków bezpieczeństwa finansowego, co do zasady, nie może zostać dokonany, jeżeli podmiot, do którego miałoby zostać zlecone stosowanie środków bezpieczeństwa finansowego, działa w państwie trzecim wysokiego ryzyka w rozumieniu art. 2 ust. 2 pkt 13 UPPP. Wyjątkiem od wskazanego wyżej zakazu jest sytuacja, w której dostawca usług jest:

a) oddziałem instytucji obowiązanej lub jednostek zależnych z większościowym udziałem instytucji obowiązanej, bądź

b) oddziałem lub jednostką zależną z większościowym udziałem podmiotów mających siedzibę na terytorium państwa członkowskiego Unii Europejskiej oraz podlegających obowiązkom wynikającym z przepisów o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, wydanych na podstawie dyrektywy 2015/849.

Podmioty takie są jednak zobowiązane do stosowania procedur grupowych uregulowanych na gruncie art. 51 ust. 1 UPPP.

Z treści art. 47 ust. 1 UPPP należy wyciągnąć wniosek, iż elementem koniecznym umowy outsourcingu środków bezpieczeństwa finansowego jest wskazanie w treści umowy obowiązku niezwłocznego przekazania niezbędnych informacji oraz dokumentów dotyczących zastosowanych środków, w tym kopii dokumentów uzyskanych podczas stosowania tych środków bezpieczeństwa finansowego, które polegają na identyfikacji klienta i beneficjenta rzeczywistego oraz weryfikacji ich tożsamości instytucji zlecającej. Obowiązek ten powinien zostać wskazany w umowie wprost, gdyż redakcja ustawy nie wskazuje, aby ona sama stanowiła podstawę do domagania się przedstawienia w/w informacji. Brak dochowania wskazanego wyżej wymogu mógłby prowadzić do wniosku, iż umowa jest sprzeczna z ustawą, a więc nieważna na podstawie art. 58 § 1 k.c.

Outsourcing czynności bezpieczeństwa finansowego na podstawie art. 48 UPPP

Art. 48 ust. 1 UPPP stanowi podstawę dla outsourcingu stosowania środków bezpieczeństwa finansowego oraz prowadzenie i dokumentowanie wyników bieżącej analizy przeprowadzanych transakcji, zgodnie z treścią art. 43 ust. 3 UPPP. W przeciwieństwie do treści art. 47 ust. 1, art. 48 nie wprowadza katalogu zamkniętego czynności z zakresu stosowania środków bezpieczeństwa finansowego, które mogą być wykonywane na rzecz instytucji obowiązanej przez podmiot trzeci.

Poza odmiennym zakresem przedmiotowym omawianego przepisu względem art. 47 UPPP, należy także zwrócić uwagę na inne określenie katalogu podmiotów, którym instytucja obowiązana może zlecić wykonywanie tych czynności. Art. 48 UPPP jest w tym przypadku mniej restrykcyjny, gdyż mówi o osobie fizycznej, osobie prawnej lub jednostce organizacyjnej nieposiadającej osobowości prawnej, działającej w imieniu i na rzecz instytucji obowiązanej. Brak jest natomiast obostrzeń analogicznych do tych wskazanych w treści art. 47 ust. 3 i 4 UPPP.

Porównanie art. 48 ust. 1 oraz art. 47 ust. 1 UPPP pozwala na przyjęcie założenia, zgodnie z którym  pierwszy ze wskazanych przepisów należy traktować w charakterze regulacji ogólnej, natomiast drugi będzie znajdować zastosowanie w przypadku outsourcingu wymienionych w jego treści czynności.

Umowa outsourcingu

Ustawodawca nie określa konkretnego rodzaju umowy jako właściwego dla zlecania czynności z zakresu stosowania środków bezpieczeństwa finansowego. Wobec braku generalnego uregulowania umowy outsourcingu przez ustawodawcę, umowę tę zalicza się do katalogu tzw. umów nienazwanych. W zależności od ukształtowania konkretnej umowy, będą do niej znajdować zastosowanie odpowiednie regulacje dotyczące w szczególności umowy zlecenia lub umowy o dzieło. Dokonując jej wykładni, konieczne jest uwzględnianie obustronnie profesjonalnego charakteru umowy, w szczególności w zakresie obowiązku zachowania należytej staranności.

Ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu wprowadza w treści art. 48 ust. 1 pisemną formę umowy outsourcingu. W przypadku outsourcingu dokonywanego na podstawie art. 47 ust. 1 UPPP, ustawodawca nie zdecydował się na określenie formy umowy. Wydaje się jednak, że z uwagi na konieczność zachowania pewności odnośnie wynikających z umowy outsourcingu działań z zakresu stosowania środków bezpieczeństwa finansowego, a także funkcjonującą praktykę rynkową, należałoby skłaniać się ku potrzebie odpowiedniego stosowania obowiązku zachowania formy pisemnej, wynikającej z treści art. 48 ust. 1 UPPP.

Ustawodawca nie zdecydował się na określenie szczególnej sankcji z tytułu naruszenia przewidzianej przepisami formy. Oznaczałoby to więc, że zastosowanie znajdowałby art. 73 § 1 k.c. Niedochowanie formy pisemnej umowy, o ile przepis szczególny nie stanowi inaczej, skutkowałoby jedynie sankcją ad probationem, a więc nie można byłoby uznać, że taka umowa jest nieważna. Wydaje się, że obecna redakcja przepisów stanowi niedopatrzenie ze strony ustawodawcy.

Odpowiedzialność w ramach umowy outsourcingu

W przypadku outsourcingu czynności z zakresu stosowania środków bezpieczeństwa finansowego nie znajduje zastosowania regulacja art. 474 k.c., przewidująca możliwość uchylenia się od odpowiedzialności przez podmiot zlecający z tytułu szkód wyrządzonych przez profesjonalnego podwykonawcę. Podobnie jak ma to miejsce na gruncie ustawy o działalności ubezpieczeniowej i reasekuracyjnej (dalej jako: „UDUiR”), ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu przewiduje w tym zakresie regulację szczególną.

W przypadku tej pierwszej, stanowi ją art. 76 ust. 1 UDUiR, zgodnie z którym odpowiedzialności zakładu ubezpieczeń za szkody wyrządzone ubezpieczającym, ubezpieczonym lub uprawnionym z umów ubezpieczenia wskutek niewykonania lub nienależytego wykonania outsourcingu nie można wyłączyć ani ograniczyć.

Na gruncie UPPP, zarówno w przypadku dokonywania outsourcingu na podstawie art. 47, jak i art. 48, ustawa jednoznacznie stwierdza, że powierzenie stosowania środków bezpieczeństwa finansowego nie zwalnia instytucji obowiązanej z odpowiedzialności za ich zastosowanie. W przypadku tego ostatniego przepisu, należy uznać go za regulację odnoszącą się przede wszystkim do odpowiedzialności o charakterze administracyjnoprawnym.

W obecnym kształcie regulacji ustawowych, pierwszeństwo stosowania przepisów określających odpowiedzialność instytucji zobowiązanej za działania lub zaniechania dostawcy usług należy przypisać regulacjom UPPP, jako regulacji szczególnej względem UDUiR. Wynika stąd więc wniosek, iż dokonanie outsourcingu czynności z zakresu stosowania środków bezpieczeństwa finansowego można obecnie traktować wyłącznie w kategoriach biznesowych. Nie stanowią one jednak sposobu na wyłączenie odpowiedzialności podmiotu zobowiązanego.

Outsourcing w zakładach ubezpieczeń

W świetle art. 73 ust. 3 UDUiR, zakład ubezpieczeń i zakład reasekuracji mogą, w drodze outsourcingu, pisemnie powierzyć innym podmiotom wykonywanie funkcji należących do systemu zarządzania. Przez „system zarządzania” należy natomiast rozumieć, zgodnie z treścią art. 3 ust. 1 pkt 46 UDUiR, system obejmujący funkcję zarządzania ryzykiem, funkcję zgodności z przepisami, funkcję audytu wewnętrznego i funkcję aktuarialną, który zapewnia prawidłowe i ostrożne zarządzanie zakładem ubezpieczeń lub zakładem reasekuracji.

W związku z faktem, że wykonywanie działań związanych z systemem bezpieczeństwa finansowego stanowi realizację obowiązku wynikającego wprost z przepisów prawa, należałoby przyjąć, że stosowanie środków bezpieczeństwa finansowego stanowi element systemu zarządzania zakładem ubezpieczeń. Oznacza to, że zlecanie wykonywania takich czynności stanowiłoby, co do zasady, outsourcing ubezpieczeniowy w rozumieniu art. 3 ust. 1 pkt 27 UDUiR.

Zakład ubezpieczeń na życie, dokonując outsourcingu w zakresie stosowania środków bezpieczeństwa finansowego, musi uwzględniać, obok regulacji UPPP, także wymogi i obostrzenia stawiane przez UDUiR. Dotyczy to przede wszystkim konieczności respektowania wymogów dotyczących umowy outsourcingu, wynikających z treści art. 75 ust. 1 UDUiR.

Na zakładzie ubezpieczeń dokonującym outsourcingu spoczywa obowiązek poinformowania KNF na co najmniej 30 dni przed rozpoczęciem wykonywania umowy outsourcingu. Wynika on z treści art. 75 ust. 2 UDUiR. Ponadto umowa outsourcingu czynności z zakresu stosowania środków bezpieczeństwa finansowego będzie podlegać obowiązkowi ewidencjonowania na podstawie art. 77 UDUiR.

Autor: dr Maciej Balcerowski