Atitikties dokumentų rengimas finansinių technologijų įmonėms Lietuvoje

Ką tai apima: Pagrindinis politikos dokumentas, apimantis visą įmonės kovos su pinigų plovimu sistemą – valdymą, rizikos apetitą, vaidmenis ir atsakomybę bei visų atitikties kontrolės priemonių išsamų aprašymą.

• Bendrovės reguliavimo įsipareigojimai pagal Lietuvos pinigų plovimo prevencijos įstatymus ir taikomas ES direktyvas
• PP/TF rizikos apetito pareiškimas – įmonės apibrėžta pinigų plovimo ir teroristų finansavimo rizikos tolerancija
• Valdymo struktūra – valdybos, vyresniosios vadovybės ir MLRO atitinkami vaidmenys ir atsakomybė
• Visų AML kontrolės priemonių apžvalga – klientų pasitikrinimas (CDD), vykdomas klientų pasitikrinimas (EDD), sandorių stebėsena, sankcijų tikrinimas, įtartinų pranešimų (STR) registravimas ir įrašų saugojimas
• Darbuotojų pareigos – ko tikimasi iš kiekvieno darbuotojo, susijusio su atitiktimi kovos su pinigų plovimu (AML) reikalavimams
• Neatitikties pasekmės – vidinės drausminės sankcijos ir reguliavimo ataskaitų teikimo įpareigojimai
• Metinės peržiūros mechanizmas – kaip ir kada programa peržiūrima ir atnaujinama
• Nuorodos į visus patvirtinamuosius procedūrų dokumentus – AML programa yra aukščiausio lygio dokumentas; procedūros yra žemiausio lygio dokumentas.

Ką tai apima: Apibrėžia, kuriuos klientus įmonė priims, kurių atsisakys ir kuriems reikalingas atidesnis patikrinimas prieš priimant – įmonės kodifikuotas rizikos apetitas klientų lygmeniu.

• Priimtinos klientų kategorijos – įmonės aptarnaujamų klientų tipai ir jų priėmimo pagrindas
• Draudžiamos klientų kategorijos – aiškiai draudžiami klientų tipai (pvz., klientai iš sankcionuotų jurisdikcijų, fiktyvios įmonės be identifikuojamo galutinio savininko).
• Didelės rizikos klientų kategorijos – klientai, kuriems reikalingas sustiprintas deramas patikrinimas (EDD) pagal taikomus pinigų plovimo ir teroristų finansavimo prevencijos teisės aktus arba įstaigos dokumentuotą rizikos vertinimą. Tai apima politikoje dalyvaujančius asmenis (PEP), atitinkamus klientus ar sandorius, susijusius su didelės rizikos trečiosiomis šalimis, ir klientus, kurių nuosavybės struktūros ar verslo veikla kelia didelę pinigų plovimo ar teroristų finansavimo riziką. Vien pilietybė automatiškai nesukelia sustiprinto deramo patikrinimo, o sudėtingos nuosavybės struktūros turi būti vertinamos pagal jų realią riziką, o ne traktuojamos kaip visuotinai draudžiamos arba iš esmės didelės rizikos.
• Vyresniosios vadovybės patvirtinimo reikalavimai – klientų kategorijos, kurių negalima priimti be aiškaus vyresniosios vadovybės patvirtinimo
• Geografiniai apribojimai – šalys ir jurisdikcijos, iš kurių įmonė nepriims klientų
• Verslo veiklos apribojimai – verslo veiklos rūšys, kurių bendrovė neteiks
• Kliento pakartotinio vertinimo veiksniai – įvykiai, dėl kurių reikia iš naujo įvertinti esamo kliento priėmimo būseną.

Ką tai apima: Žingsnis po žingsnio aprašomos individualių ir verslo klientų identifikavimo ir tikrinimo procedūros, kurių dokumentų analitikai laikosi įtraukdami kiekvieną klientų tipą.

• Fizinio asmens įdarbinimo procedūra – tapatybės patvirtinimas, adreso patvirtinimas, PEP patikrinimas, sankcijų patikrinimas, rizikos vertinimas
• Įmonių (juridinių asmenų) įdarbinimo procedūra – įmonės dokumentų rinkimas, galutinio savininko identifikavimas, kontrolės struktūros nustatymas, naudos gavėjo patvirtinimas
• Dokumentų rinkimo kontroliniai sąrašai – kiekvienam kliento tipui ir jurisdikcijai reikalingi konkretūs dokumentai
• Rizikos vertinimo darbalapis – nuoseklus kliento PP/TF rizikos balo apskaičiavimas pagal apibrėžtus kriterijus
• Sprendimų matrica – ką daryti su rizikos balu: priimti, perduoti bylą EDD, perduoti MLRO ar atmesti
• Įrašų tvarkymo reikalavimai – kur, kokiu formatu ir kiek laiko saugoti įdarbinimo dokumentus
• Pakartotinio KYC inicijavimo sąrašas – įvykiai, kuriems esant esamas klientas turi dar kartą atlikti prisijungimo procedūrą.

Ką tai apima: Procedūros, skirtos atlikti sustiprintą didelės rizikos klientų – politikoje dalyvaujančių asmenų, klientų iš didelės rizikos jurisdikcijų ir sudėtingų nuosavybės struktūrų – tikrinimą, viršijantį standartinį CDD darbo eigą.

• PEP identifikavimo ir atrankos procedūra – kaip identifikuoti PEP, kokias duomenų bazes naudoti ir kaip dokumentuoti rezultatą
• PEP EDD reikalavimai – konkreti papildoma informacija, reikalinga PEP klientui (turto šaltinis, lėšų šaltinis, santykių tikslas).
• Didelės rizikos jurisdikcijos procedūra – papildomi patikrinimai reikalingi klientams iš FATF sąraše esančių šalių arba ES didelės rizikos šalių
• Sudėtinga nuosavybės struktūros procedūra – kaip atsekti naudos gavėją naudojant daugiasluoksnes įmonių struktūras
• Vyresniosios vadovybės patvirtinimo darbo eiga – dokumentuotas patvirtinimo gavimo procesas prieš priimant EDD klientą
• EDD stebėsenos reikalavimai – dažnesnės sandorių stebėsenos ribos ir periodiniai peržiūros intervalai EDD klientams
• EDD failo dokumentacijos standartas – ką turi apimti visas EDD kliento failas, skirtas patikrinimui

Ką tai apima: Operacijų stebėsenos funkcijos veiklos procedūros – nuo įspėjimų generavimo per tyrimą iki MLRO eskalavimo ar uždarymo.

• Įspėjimų triažo procedūra – kaip suskirstyti gaunamus įspėjimus pagal skubumą ir rizikos lygį
• Įspėjimų tyrimo darbo eiga – nuoseklus tyrimo procesas, įskaitant kliento konteksto peržiūrą, operacijų analizę ir modelių vertinimą
• Tipologijos informacinis vadovas – dokumentuotos ML/TF tipologijos, susijusios su įmonės verslo modeliu, naudojamos įspėjimams kontekstualizuoti.
• Eskalavimo kriterijai – objektyvūs kriterijai, pagal kuriuos nustatoma, kada įspėjimas turi būti perduotas MLRO, o ne uždaromas analitiko.
• Įspėjimo uždarymo dokumentacijos standartas – kas turi būti užfiksuota, kai įspėjimas uždaromas be eskalavimo
• MLRO kreipimosi memorandumo šablonas – formatas, kuriuo analitikai dokumentuoja ir perduoda MLRO eskaluotus įspėjimus
• Kokybės kontrolės procedūra – kaip atitikties pareigūnas peržiūri uždarytus įspėjimus dėl procedūrinės atitikties
• Modelio peržiūros iniciatorius – įvykiai, dėl kurių reikia peržiūrėti sandorių stebėsenos modelio ribas arba tipologijas

Ką tai apima: Žingsnis po žingsnio procedūros, skirtos klientų ir sandorių patikrai pagal taikomus sankcijų sąrašus ir patikros sistemos sugeneruotų atitikmenų tvarkymui.

• Atrankos sąrašų nuoroda – įstaigai teisiškai taikomų sankcijų režimų, įskaitant ES ribojamąsias priemones ir taikytinas JT Saugumo Tarybos sankcijas, nustatymas kartu su atitinkamais Lietuvos įgyvendinimo reikalavimais. OFAC ir kitų trečiųjų šalių sankcijos turi būti įvertintos, kai jos taikomos tiesiogiai arba sukuria atitinkamą sutartinę, korespondentinės bankininkystės ar veiklos riziką. Finansinių nusikaltimų tyrimo tarnyba (FNTT) yra kompetentinga Lietuvos institucija, dalyvaujanti sankcijų įgyvendinime ir priežiūroje, tačiau jos skelbiama informacija neturėtų būti apibūdinama kaip atskiras universalus nacionalinių sankcijų sąrašas, lygiavertis ES ar JT konsoliduotiems sankcijų sąrašams.
• Įdarbinimo atrankos procedūra – kaip ir kada patikrinti naujus klientus prieš aktyvuojant paskyrą
• Nuolatinio patikrinimo procedūra – kaip tvarkyti automatinį pakartotinį patikrinimą, kai atnaujinami sankcijų sąrašai
• Sandorių tikrinimo procedūra – mokėjimo šalių tikrinimas realiuoju laiku arba paketiniu būdu
• Atitikmenų peržiūros procedūra – dokumentuotas procesas, skirtas įvertinti, ar atrankos rezultatas yra tikras atitikimas, ar klaidingai teigiamas.
• Klaidingai teigiamo rezultato dokumentavimo standartas – kas turi būti užregistruota, kai patvirtinamas klaidingai teigiamas rezultatas
• Tikrojo atitikmens eskalavimo procedūra – nedelsiant patikrinami taikomi sankcijų įsipareigojimai, nustatomas tiesiogiai ar netiesiogiai paskirtų asmenų ar subjektų identifikavimas ir reikiamų ribojamųjų priemonių įgyvendinimas. Kai taikomas turto įšaldymas, įstaiga privalo įšaldyti atitinkamas lėšas ar ekonominius išteklius ir laikytis draudimų suteikti lėšas ar ekonominius išteklius paskirtiems asmenims. Pranešimai ir prašymai gauti leidimą turi būti adresuojami kompetentingoms Lietuvos institucijoms pagal taikomą sankcijų režimą. Ne kiekvienas sankcijų patikros atitikmuo automatiškai reikalauja sąskaitos įšaldymo, o klaidingai teigiami rezultatai turi būti tinkamai ištirti ir dokumentuoti.
• Sankcijų mokymo pastaba – trumpas informacinis vadovas darbuotojams, kuriame paaiškinama, ką reiškia sankcijų laikymasis ir ką daryti, kai vardas atrodo įtartinas.

Ką tai apima: Procedūros, reglamentuojančios, kaip darbuotojai praneša MLRO apie įtartiną veiklą viduje, ir kaip MLRO vertina šiuos pranešimus ir nusprendžia, ar pateikti pranešimą apie įtartiną veiklą FNTT.

• Vidinė SAR pranešimų procedūra – kaip darbuotojai praneša apie įtarimus MLRO (forma, kanalas, terminai)
• Vidinis SAR formos šablonas – standartizuota forma, kurią darbuotojai pildo pranešdami apie įtarimą
• MLRO vertinimo procedūra – kaip MLRO vertina vidinę SAR ir priima sprendimą dėl pateikimo
• MLRO sprendimų dokumentavimo standartas – ką MLRO turi užregistruoti, neatsižvelgiant į tai, ar pateiktas pranešimas apie strigimą (STR)
• STR pateikimo tvarka – kaip parengti ir pateikti STR FNTT per AML sistemą
• Draudimas įtarti asmenį – nurodymai visiems darbuotojams, kodėl įtarimas negali būti atskleistas tiriamajam asmeniui.
• FNTT užklausų atsakymo procedūra – kaip tvarkyti ir atsakyti į FNTT informacijos prašymus
• MLRO mėnesinių ataskaitų šablonas – formatas, kuriuo MLRO teikia ataskaitas atitikties pareigūnui ir valdybai.

Ką tai apima: Apibrėžia, kokie atitikties įrašai turi būti saugomi, kiek laiko, kokiu formatu ir kaip jie turi būti pateikti reguliavimo institucijai – laikantis tiek minimalių Kovos su pinigų plovimu prevencijos (AML) reikalavimų, tiek BDAR.

• Kovos su pinigų plovimu ir teroristų finansavimu įrašų saugojimo grafikas – pagal Lietuvos Respublikos pinigų plovimo ir teroristų finansavimo prevencijos įstatymo 19 straipsnį, kliento tapatybės dokumentai, informacija apie tikrąjį savininką ir atitinkama sąskaitos ar sutarties dokumentacija paprastai turi būti saugomi aštuonerius metus po verslo santykių ar sandorio pabaigos. Dokumentai ir duomenys, susiję su piniginėmis operacijomis ar sandoriais, paprastai turi būti saugomi aštuonerius metus po atitinkamos operacijos ar sandorio. Verslo korespondencija paprastai saugoma penkerius metus. Įtartinų sandorių pranešimų ir susijusių įrašų saugojimo terminai turi būti nustatyti pagal galiojančius Lietuvos Respublikos kovos su pinigų plovimu ir teroristų finansavimu teisės aktus. Taip pat reikia atsižvelgti į visus papildomus saugojimo reikalavimus ar teisiškai leidžiamus pratęsimus.
• BDAR duomenų saugojimo suderinimas – pinigų plovimo prevencijos (AML) reikalavimų duomenų saugojimo suderinimas su BDAR duomenų kiekio mažinimo ir saugojimo apribojimo principais.
• Įrašo formato reikalavimai – kas laikoma tinkamu įrašu patikrinimo tikslais (išsamumas, įskaitomumas, autentiškumas)
• Saugojimo ir prieigos kontrolė – kas ir kokiomis sąlygomis gali pasiekti atitikties įrašus
• Reguliuotojo prieigos procedūra – kaip atsakyti į Lietuvos banko arba FNTT prašymus pateikti įrašus per nustatytą laiką
• Įrašų naikinimo procedūra – kaip ir kada įrašai sunaikinami pasibaigus saugojimo laikotarpiui
• Saugojimo registras – pagrindinis dokumentas, kuriame išvardytos visos atitikties įrašų kategorijos ir jų saugojimo laikotarpiai.

Ką tai apima: Reglamentas (ES) 2022/2554 dėl finansų sektoriaus skaitmeninio operacinio atsparumo (DORA) apskritai taikomas nuo 2025 m. sausio 17 d. Juo nustatomi IRT rizikos valdymo, incidentų pranešimo, operacinio atsparumo testavimo ir IRT trečiųjų šalių rizikos reikalavimai finansų subjektams, patenkantiems į jo taikymo sritį, įskaitant įgaliotas elektroninių pinigų įstaigas, mokėjimo įstaigas, mokėjimo institucijas, grynųjų pinigų paslaugų teikėjus ir investicines įmones. Tačiau tam tikriems subjektams, įskaitant mokėjimo įstaigas, kurioms taikoma išimtis pagal Direktyvos (ES) 2015/2366 32 straipsnio 1 dalį, ir elektroninių pinigų įstaigas, kurioms taikoma išimtis pagal Direktyvos 2009/110/EB 9 straipsnio 1 dalį, taikomos konkrečios išimtys ir proporcingi reikalavimai. Todėl DORA įpareigojimų taikymas ir apimtis turi būti vertinami atsižvelgiant į įstaigos teisinį statusą, veiklos leidimą ir reguliavimo klasifikaciją.

• IRT rizikos valdymo politika – IRT rizikos valdymas, vaidmenys ir atsakomybė bei rizikos toleravimas veiklos sutrikimų atveju
• IRT turto registras – visų licencijuojamai veiklai svarbių IRT sistemų ir turto inventorius
• IRT rizikos vertinimo procedūra – kaip nustatyti, įvertinti ir balais įvertinti IRT riziką visoje technologijų infrastruktūroje
• IRT incidentų klasifikavimo procedūra – kaip klasifikuoti IRT incidentus pagal sunkumą ir nustatyti, ar reikia teikti ataskaitas Lietuvos bankui
• Svarbių IRT incidentų pranešimo tvarka – dokumentuota Lietuvos banko informavimo apie svarbius IRT incidentus procedūra
• IRT trečiųjų šalių rizikos valdymo procedūra – kaip vertinti ir stebėti svarbiausius IRT paslaugų teikėjus
• Verslo tęstinumo ir atkūrimo nuo nelaimių planas – dokumentuotas atsakas į IRT sutrikimus, darančius įtaką reguliuojamai veiklai
• Skaitmeninio operacinio atsparumo testavimo programa – metinio atsparumo testavimo grafikas ir metodika

Ką tai apima: Privaloma visiems licencijuotiems subjektams, kurie perduoda bet kokią funkciją išoriniam paslaugų teikėjui – apibrėžia išorinių paslaugų teikimo susitarimų valdymą, išorinių paslaugų teikėjų registrą ir trečiųjų šalių veiklos stebėsenos būdą.

• Užsakomųjų paslaugų valdymo sistema – valdybos vaidmuo tvirtinant užsakomųjų paslaugų susitarimus ir kriterijai, pagal kuriuos užsakomosios paslaugos priskiriamos prie esminių arba svarbių
• Užsakomųjų paslaugų registras – tiesioginis visų perduotų funkcijų, paslaugų teikėjų ir sutarčių sąlygų įrašas
• Išsamios patikros procedūra užsakomųjų paslaugų teikėjams – kaip įvertinti naują paslaugų teikėją prieš sudarant užsakomųjų paslaugų sutartį
• Minimalūs paslaugų teikimo sutarties terminai – sutartinės nuostatos, kurių reikalaujama pagal EBI gaires kiekvienam paslaugų teikimo susitarimui
• Paslaugų teikėjų stebėsenos procedūra – nuolatinė išorės paslaugų teikėjų veiklos ir atitikties stebėsena
• Koncentracijos rizikos vertinimas – koncentracijos rizikos vertinimo ir valdymo procedūra visame užsakomųjų paslaugų portfelyje
• Pasitraukimo planavimo procedūra – kaip planuoti ir valdyti pasitraukimą iš užsakomųjų paslaugų susitarimo
• Lietuvos banko pranešimų procedūra – kaip pranešti reguliavimo institucijai apie kritinį ar svarbų paslaugų teikimą išorės rangovams

Ką tai apima: Struktūrizuotas metinės atitikties programos peržiūros šablonas, apimantis visas AML/KYC kontrolės priemones, sandorių stebėsenos veiksmingumą, įtartinų pranešimų apie įtartinus atvejus (STR) registraciją ir mokymų baigimą.

• Peržiūros apimtis ir metodika – ką apima metinė peržiūra ir kaip ji atliekama
• Kovos su pinigų plovimu politikos peržiūros skyrius – vertinimas, ar politika tebėra aktuali ir atitinka paskirtį
• CDD bylų kokybės vertinimas – peržiūros metu atliktos bylų atrankos rezultatai
• Sandorių stebėsenos efektyvumo skyrius – įspėjimų apimtys, užbaigimo rodikliai, eskalavimo rodikliai ir modelio našumas
• STR pateikimo įrašų skyrius – gautų SAR skaičius, pateiktų STR skaičius ir tendencijos, palyginti su ankstesniais metais
• Mokymų baigimo skyrius – patvirtinimas, kad visi atitinkami darbuotojai baigė metinius kovos su pinigų plovimu mokymus
• Rizikos vertinimo atnaujinimo skyrius – ar reikia atnaujinti visos įmonės rizikos vertinimą
• Korekcinių veiksmų seklys – ankstesnių metų peržiūros metu neatlikti veiksmai ir jų užbaigimo būsena
• Valdybos pristatymo santrauka – vieno puslapio apimties valdybai skirta peržiūros išvadų santrauka