Atitikties paslaugos Lietuvoje
TRUMPAI
- Atitiktis teisės aktams Lietuvoje apima AML/KYC įsipareigojimus pagal Pinigų plovimo ir teroristų finansavimo prevencijos įstatymą, BDAR duomenų apsaugos reikalavimus, pranešėjų kanalų įdiegimą ir licencijuotų bei reguliuojamų įmonių atitiktį konkretiems sektoriams.
- Pinigų plovimo ir teroristų finansavimo prevencijos įstatymas (PPTFPĮ) reikalauja, kad įpareigotieji subjektai, įskaitant finansų įstaigas, kriptovaliutų bendroves, teisininkus, buhalterius ir kitus, įgyvendintų išsamias pinigų plovimo prevencijos programas, apimančias rizikos vertinimus, pažinkite savo klientą (KYC) procedūras ir įtartinų sandorių pranešimą.
- BDAR (ES reglamentas 2016/679) taikomas tiesiogiai visoms Lietuvos įmonėms, tvarkančioms ES gyventojų asmens duomenis. Priežiūros institucija yra Valstybinė duomenų apsaugos inspekcija (VDAI); už sunkius pažeidimus taikomos baudos iki 20 mln. eurų arba 4 % metinės pasaulinės apyvartos.
- Lietuvos pinigų plovimo prevencijos priežiūros institucija, atsakinga už ne finansų sektoriaus įpareigotuosius subjektus, yra Finansinių nusikaltimų tyrimo tarnyba (FNTT), kuri atlieka patikrinimus ir gali skirti administracines baudas iki 1 000 000 eurų už kiekvieną pažeidimą.
- Kuriame, įgyvendiname ir audituojame atitikties programas Lietuvos įmonėms ir tarptautinių grupių padaliniams Lietuvoje – AML/KYC, BDAR, pranešimų apie pažeidimus ir konkretiems sektoriams taikomų teisės aktų taikymo srityse.
Atitikties paslaugos apima vidinių sistemų, užtikrinančių, kad Lietuvos įmonė tinkamai laikytųsi savo reguliavimo įsipareigojimų, kūrimą, įgyvendinimą ir nuolatinį valdymą. Subjektams, kuriems taikoma pinigų plovimo prevencijos prievolė – finansų įstaigoms, kriptovaliutų bendrovėms, virtualaus turto paslaugų teikėjams, teisininkams ir kitiems – tai reiškia visapusišką pinigų plovimo prevencijos / pažink savo klientą (angl. AML/KYC) programą. Visoms įmonėms tai reiškia atitiktį BDAR duomenų apsaugos reikalavimams. Įmonėms, turinčioms daugiau nei 50 darbuotojų, tai reiškia pranešėjų pranešimų kanalą. Licencijuotoms įmonėms tai reiškia atitiktį konkrečiam sektoriui taikomiems reguliavimo reikalavimams. Konsultuojame dėl taikomų įsipareigojimų, kuriame politiką ir procedūrinę sistemą, apmokome atitinkamus darbuotojus ir teikiame nuolatines konsultacijas, atsižvelgiant į besikeičiančią reguliavimo aplinką.
AML/KYC atitiktis — Lietuvos sistema
Pinigų plovimo ir teroristų finansavimo prevencijos įstatymas (PPTFPĮ)
Pinigų plovimo ir teroristų finansavimo prevencijos įstatymas (PPTFPĮ) yra pagrindinis kovos su pinigų plovimu įstatymas Lietuvoje. Juo į Lietuvos teisę įgyvendinamos ES Ketvirtoji ir Penktoji kovos su pinigų plovimu direktyvos (4AMLD – Direktyva 2015/849; 5AMLD – Direktyva 2018/843) ir Finansinių veiksmų darbo grupės (FATF) rekomendacijos. Lietuvos pinigų plovimo ir teroristų finansavimo prevencijos įstatymas (PPTFPĮ) buvo iš dalies pakeistas siekiant įgyvendinti atitinkamus ES kovos su pinigų plovimu ir teroristų finansavimu reikalavimus, įskaitant nuostatas dėl tikrosios nuosavybės skaidrumo ir įpareigotųjų subjektų identifikavimo. Informacija apie tikrosios nuosavybės teises, susijusias su Lietuvos juridiniais asmenimis, tvarkoma per JANGIS – JADIS posistemį. Prieigą prie informacijos apie tikrąjį savininką reglamentuoja galiojantys Lietuvos ir ES teisės aktai ir nereikėtų apibūdinti kaip neribotos viešos prieigos kiekvienu atveju.
Įpareigotieji subjektai – kas privalo laikytis reikalavimų
PPTFPĮ nustato įpareigotųjų subjektų (asmenų ir įmonių, kurie privalo įgyvendinti kovos su pinigų plovimu programą) sąrašą. Įpareigotųjų subjektų sąrašas buvo išplėstas pagal 5-ąją kovos su pinigų plovimu direktyvą. Lietuvoje į jį įtraukta:
- Kredito ir finansų įstaigos – bankai, mokėjimo įstaigos (EPĮ), elektroninių pinigų įstaigos, investicinės įmonės, draudimo bendrovės
- Kriptoturto paslaugų teikėjai (CASP) – įmonės, teikiančios reguliuojamas kriptoturto paslaugas pagal Reglamentą (ES) 2023/1114 (MiCA), įskaitant saugojimą, keitimą, pavedimų vykdymą ir kitas autorizuotas paslaugas. CASP licenciją Lietuvoje paprastai suteikia Lietuvos bankas. Buvęs nacionalinis VASP pereinamasis režimas Lietuvoje baigėsi 2025 m. gruodžio 31 d., o ankstesnė VASP registracija nebesuteikia leidimo teikti reguliuojamų kriptoturto paslaugų. CASP privalo laikytis taikomų AML/CFT reikalavimų pagal Lietuvos ir ES teisės aktus.
- Audito įmonės ir auditoriai – teisės aktų nustatyti auditoriai ir audito bendrovės
- Buhalteriai ir mokesčių konsultantai – asmenys, teikiantys apskaitos, buhalterijos ar mokesčių konsultavimo paslaugas
- Teisininkai – teisininkai, notarai ir kiti teisininkai, padedantys klientams atlikti konkrečius sandorius (nekilnojamasis turtas, įmonių steigimas, klientų lėšų valdymas).
- Nekilnojamojo turto agentai – nekilnojamojo turto agentūros ir individualūs agentai
- Didelės vertės prekių prekiautojai – prekiaujantys prekėmis už 10 000 EUR ar didesnį grynąjį atlygį už kiekvieną sandorį
- Lošimų paslaugų teikėjai – sausumos ir internetinių lošimų operatoriai
- Sutelktinio finansavimo platformų operatoriai ir patikos fondų bei įmonių paslaugų teikėjai
Penki AML programos ramsčiai
Kiekvienas įpareigotas subjektas privalo įgyvendinti rizika pagrįstą kovos su pinigų plovimu programą pagal PPTFPĮ 12 straipsnį. Programa turi apimti penkias pagrindines sritis:
- Rizikos vertinimas – rašytinis subjekto patiriamos pinigų plovimo ir teroristų finansavimo rizikos vertinimas, atsižvelgiant į subjekto klientus, produktus, paslaugas, sandorius ir geografinę aprėptį. Rizikos vertinimas turi būti atnaujinamas kaskart, kai iš esmės pasikeičia subjekto verslo modelis arba kai FNTT ar Lietuvos bankas paskelbia atnaujintus nacionalinius ar sektorinius rizikos vertinimus.
- Deramas kliento patikrinimas (angl. KYC) – procedūros, skirtos klientų tapatybei nustatyti ir patikrinti prieš užmezgant verslo santykius. Standartinis deramas klientų patikrinimas taikomas visiems klientams; sustiprintas deramas klientų patikrinimas (angl. EDD) taikomas didelės rizikos klientams, įskaitant politikoje dalyvaujančius asmenis (angl. PEP), klientus iš didelės rizikos jurisdikcijų ir klientus, kurie nėra tiesiogiai su klientais. Supaprastintas deramas klientų patikrinimas taikomas mažos rizikos klientams konkrečiomis aplinkybėmis, apibrėžtomis PPTFPĮ 10 straipsnyje.
- Nuolatinė stebėsena – nuolatinė verslo santykių ir sandorių stebėsena, siekiant užtikrinti, kad jie atitiktų subjekto žinias apie klientą ir numatomą veiklos modelį. Neįprastos arba nenuoseklios operacijos turi būti toliau tiriamos.
- Įtartinų sandorių pranešimas – tai įtartinų sandorių ir veiklos nustatymo ir pranešimo FNTT procesas per FNTT FORSIS pranešimų sistemą. Pranešimo prievolė taikoma nepranešant klientui apie pateiktą pranešimą.
- Vidaus kontrolė – dokumentuotos pinigų plovimo ir teroristų finansavimo prevencijos politikos, klientų patikrinimo procedūros, operacijų stebėsena, įtartinų operacijų pranešimas, tinkamas darbuotojų mokymas, atsakingų asmenų paskyrimas ir, jei reikia, nepriklausomos atitikties peržiūros, pagrįstos rizika. Pagal Lietuvos pinigų plovimo prevencijos įstatymo 19 straipsnį, klientų tapatybės dokumentai ir atitinkami operacijų įrašai paprastai turi būti saugomi aštuonerius metus, o verslo korespondencija – penkerius metus. Kitų kategorijų įrašams gali būti taikomi skirtingi įstatyminiai saugojimo terminai. Nepriklausoma audito funkcija reikalinga, kai tai atitinka įpareigotojo subjekto pobūdį ir dydį; privalomas metinis vidaus auditas neturėtų būti pateikiamas kaip universalus įstatyminis reikalavimas kiekvienam įpareigotajam subjektui.
Kiekvienas įpareigotasis subjektas privalo paskirti pinigų plovimo prevencijos pareigūną (MLRO) – asmenį, atsakingą už vidinių darbuotojų pranešimų apie įtartinus sandorius gavimą, jų vertinimą ir išorinių pranešimų teikimą FNTT. MLRO turi būti vyresnysis vadovybės narys arba paskirtas pareigūnas, turintis pakankamai darbo stažo ir nepriklausomumo, kad galėtų veiksmingai atlikti šią funkciją. Mažiems įpareigotiesiems subjektams MLRO gali būti direktorius. Didesnėse organizacijose MLRO funkcijas atlieka specialus atitikties pareigūnas. MLRO turi būti įtrauktas į kovos su pinigų plovimu programą ir turi baigti kovos su pinigų plovimu mokymus. Konsultuojame MLRO paskyrimo ir atsakomybės klausimais bei galime organizuoti MLRO mokymus naujai paskirtiems atitikties pareigūnams.
Kliento deramas patikrinimas (KYC) praktikoje
Pagal PPTFPĮ numatytą klientų deramo tikrinimo (CDD) sistemą išskiriami trys kruopštumo lygiai, pagrįsti įvertinta kliento ir sandorio rizika. Teisingas CDD kalibravimas pagal rizikos lygį yra tai, kas skiria veiksmingą pinigų plovimo prevencijos programą nuo tokios, kuri neatitinka reikalavimų (per mažai kruopštumo) arba neveikia (per daug kruopštumo, vienodai taikomo visiems klientams).
Standartinis klientų klientų tikrinimas – PPTFPĮ 9 straipsnis
Standartinis klientų pasitikėjimo patikrinimas (CDD) turi būti taikomas visiems naujiems klientams verslo santykių pradžioje ir vėliau nuolat. Standartinis CDD reikalauja: kliento (fizinio ar juridinio asmens) tapatybės nustatymo ir tapatybės patvirtinimo naudojant patikimus, nepriklausomus šaltinius; juridinio asmens klientų (UBO – kaip apibrėžta PPTFPĮ 2 straipsnio 9 dalyje, atitinkančioje 5-osios pinigų plovimo prevencijos direktyvos apibrėžimą) tikrųjų savininkų tapatybės nustatymo ir patvirtinimo; informacijos apie siūlomų verslo santykių pobūdį ir tikslą gavimo; ir nuolatinės santykių bei sandorių stebėsenos.
Juridinių asmenų klientams atliekamas klientų patikrinimas apima juridinio asmens identifikavimą ir patikrinimą, jo nuosavybės ir kontrolės struktūros supratimą, tikrųjų savininkų nustatymą ir jo vardu veikiančių asmenų įgaliojimų patikrinimą. Atitinkami dokumentai gali būti registracijos išrašas, steigimo dokumentai, asmens tapatybės dokumentai ir tikrųjų savininkų įrašai. Lietuvoje akcininkų ir dalyvių informacija tvarkoma per JADIS, o tikrųjų savininkų informacija – per JANGIS. Įpareigotieji subjektai negali remtis vien registrų informacija, kai pagal taikomas rizika pagrįstas kovos su pinigų plovimu ir teroristų finansavimu taisykles reikalingas papildomas patikrinimas.
Sustiprintas deramas patikrinimas (EDD) – PPTFPĮ 11 straipsnis
Sustiprintas deramas patikrinimas yra privalomas didelės rizikos klientams ir situacijoms pagal PPTFPĮ. Sustiprintas deramas patikrinimas reikalauja visų standartinio deramo patikrinimo etapų ir papildomų priemonių. Situacijos, sukeliančios sustiprėjusį deramo patikrinimo poreikį, apima:
- Politiškai pažeidžiami asmenys (PEP) – asmenys, einantys arba ėję svarbias viešąsias pareigas. PEP statusas suteikia teisę taikyti sustiprintą derinimą (angl. Anyone's Demand) visam santykių laikotarpiui ir 12 mėnesių po to, kai PEP palieka savo pareigas. PEP sustiprintam derinimui reikia: nustatyti turto ir lėšų šaltinį; gauti vyresniosios vadovybės pritarimą santykiams užmegzti; ir atlikti sustiprintą nuolatinę stebėseną.
- Klientai arba sandoriai, susiję su didelės rizikos trečiosiomis šalimis – šalimis, kurias Europos Komisija nustatė kaip turinčias strateginių kovos su pinigų plovimu trūkumų. Šiuo metu ES didelės rizikos sąraše yra apie 20 šalių.
- Netiesioginiai klientų santykiai turi būti vertinami atsižvelgiant į jų realią pinigų plovimo ir teroristų finansavimo riziką bei naudojamus identifikavimo metodus. Nuotolinis identifikavimas nebūtinai kiekvienu atveju reikalauja sustiprinto deramo patikrinimo. Kai įstaiga naudoja teisiškai pripažintą elektroninę identifikaciją, kvalifikuotas pasitikėjimo paslaugas ar kitus reikalavimus atitinkančius nuotolinio patvirtinimo metodus, ji gali atlikti deramą klientų patikrinimą automatiškai nepriskirdama santykių didelės rizikos santykiams. Papildomas patikrinimas arba sustiprinto deramo patikrinimo priemonės reikalingos, kai jas pateisina taikytini teisės aktai arba individualus rizikos vertinimas.
- Korespondentinės bankininkystės santykiai – kai Lietuvos kredito įstaiga užmezga korespondentinės bankininkystės santykius su kredito įstaiga ne ES šalyje.
- Sudėtingi arba neįprastai dideli sandoriai be akivaizdaus ekonominio tikslo.
Supaprastintas klientų tikrinimas – PPTFPĮ 10 straipsnis
Supaprastintas klientų pasitikrinimas (CDD) taikomas mažos rizikos klientams tam tikromis aplinkybėmis, kai PPTFPĮ leidžia mažesnį patikrinimo lygį, įskaitant reguliuojamose ES rinkose listinguojamas bendroves, valdžios institucijas ir klientus, kurių rizika, remiantis subjekto dokumentuotu rizikos vertinimu, yra maža. Supaprastintas CDD nereiškia, kad CDD neatliekamas, o reiškia mažesnį patikrinimo lygį, kuris taikomas nuosekliai, remiantis dokumentuotu rizikos pagrindimu.
BDAR atitiktis Lietuvoje
ES Bendrasis duomenų apsaugos reglamentas (Reglamentas 2016/679 – BDAR) taikomas tiesiogiai ir be nacionalinio įgyvendinimo Lietuvoje. Jis reglamentuoja ES gyventojų asmens duomenų tvarkymą, kurį atlieka bet kuri organizacija, įsteigta ES arba siunčianti prekes ar paslaugas ES gyventojams. Lietuvos priežiūros institucija yra Valstybinė duomenų apsaugos inspekcija (VDAI).
Kam taikomas BDAR Lietuvoje
Kiekvienai Lietuvos įmonei, kuri tvarko asmens duomenis, t. y. renka, saugo, naudoja, perduoda ar naikina informaciją apie identifikuojamus asmenis, taikomas BDAR. Nėra jokio dydžio ribos: vieno asmens įmonei, kuri saugo klientų el. pašto adresus, taikomas BDAR. BDAR taikomas darbuotojų duomenims, klientų duomenims, tiekėjų duomenims, svetainių lankytojų duomenims ir visiems kitiems įmonės tvarkomiems asmens duomenims.
Šeši mūsų įgyvendinami BDAR atitikties reikalavimai
- Teisinis tvarkymo pagrindas – kiekviena tvarkymo veikla turi turėti teisėtą pagrindą pagal BDAR 6 straipsnį: sutikimą, sutarties vykdymą, teisinę prievolę, gyvybiškai svarbius interesus, viešąją užduotį arba teisėtus interesus. Teisėti interesai (6 straipsnio 1 dalies f punktas) yra dažniausiai taikomas B2B tvarkymo pagrindas, tačiau tam reikalingas dokumentuotas pusiausvyros testas.
- Privatumo pranešimai – asmenys, kurių duomenys tvarkomi, turi būti informuoti apie tvarkymą pagal BDAR 13–14 straipsnius. Svetainės privatumo politika, darbuotojų privatumo pranešimai ir klientų duomenų tvarkymo pranešimai turi būti aktualūs, išsamūs ir prieinami.
- Duomenų subjekto teisės – asmenys turi teisę susipažinti su savo duomenimis, juos ištaisyti, ištrinti (‘teisė būti pamirštam’), apriboti tvarkymą ir nesutikti su tvarkymu. Įmonės privalo turėti dokumentuotas procedūras, kaip tvarkyti šiuos prašymus per įstatyminį 30 dienų atsakymo laikotarpį.
- Duomenų tvarkymo sutartys – kai Lietuvos įmonė naudojasi trečiųjų šalių duomenų tvarkytojais (debesų kompiuterijos paslaugomis, darbo užmokesčio teikėjais, el. pašto rinkodaros platformomis), su kiekvienu duomenų tvarkytoju turi būti sudaryta duomenų tvarkymo sutartis pagal BDAR 28 straipsnį.
- Pranešimas apie duomenų saugumo pažeidimą. BDAR 33 straipsnis reikalauja pranešti VDAI per 72 valandas nuo tada, kai sužinoma apie asmens duomenų saugumo pažeidimą, kuris kelia pavojų asmenų teisėms. Apie pažeidimus, keliančius didelę riziką, taip pat turi būti pranešta nukentėjusiems asmenims. Turi būti parengtas reagavimo į pažeidimą planas.
- Duomenų apsaugos pareigūnas (DAP) – pagal BDAR 37 straipsnį DAP yra privalomas valdžios institucijoms, įmonėms, kurių pagrindinė veikla apima didelio masto sistemingą stebėseną, ir įmonėms, kurių pagrindinė veikla apima didelio masto jautrių duomenų tvarkymą. Kitoms įmonėms patartina savanoriškai paskirti DAP arba sudaryti DAP kaip paslaugos susitarimą.
VDAI vykdymo užtikrinimas – baudos ir tyrimai
VDAI palaipsniui stiprino savo vykdymo užtikrinimo veiklą. Baudos pagal BDAR yra skirtingos: iki 10 mln. EUR arba 2 % pasaulinės metinės apyvartos už techninius pažeidimus (nepakankamas saugumas, duomenų apsaugos pareigūno nepaskyrimas, įrašų tvarkymo sutrikimai); ir iki 20 mln. EUR arba 4 % pasaulinės metinės apyvartos už esminius pažeidimus (neteisėtas duomenų tvarkymas, duomenų subjekto teisių pažeidimas, neteisėtas tarptautinis duomenų perdavimas). Praktiškai VDAI baudos Lietuvos įmonėms paprastai svyravo nuo 2 000 iki 50 000 EUR už daugumą pažeidimų, tačiau didžiausia bauda buvo taikoma už sunkius atvejus. VDAI tyrimus dažnai pradeda duomenų subjektų skundai, kuriuos galima pateikti tiesiogiai VDAI internetu.
Pagal BDAR 30 straipsnį kiekviena įmonė, turinti daugiau nei 250 darbuotojų, privalo tvarkyti Tvarkymo veiklos registrą – rašytinį visų įmonės vykdomų asmens duomenų tvarkymo veiklų sąrašą. Įmonėms, turinčioms mažiau nei 250 darbuotojų, privalomas RoPA reikalavimas netaikomas, nebent jų tvarkymas kelia pavojų teisėms ir laisvėms, nėra retkarčiais atliekamas arba apima specialių kategorijų duomenis. Praktiškai rekomenduojame visoms Lietuvos įmonėms, nepriklausomai nuo dydžio, tvarkyti RoPA – tai yra bet kurios BDAR atitikties programos pagrindinis dokumentas, kuris gerokai supaprastina atsakymus į VDAI tyrimus ir duomenų subjektų prašymus.













