Защо оценката на риска е отделен документ
Проверяващият от ДАНС седи насреща и разглежда папките. Вашите Вътрешни правила са налице — добре структурирани, с дата, с подпис. Той ги прелиства, кима и задава единствения въпрос, за който не сте се подготвили: „Покажете ми Оценката на риска.”
Отговаряте, че е отразена в Правилата. Той поклаща глава. Не е същото. Оценката на риска е самостоятелен документ — и ако не го имате, проверката вече е намерила нарушение.
Тази ситуация не е теоретична. Тя се повтаря при проверки на всички надзорни органи — ДАНС, КФН, БНБ, ИДЕС — защото е типичното недоразумение в практиката: субектите смятат, че ако са написали Вътрешни правила, са изпълнили и задължението за оценка на риска. Не са.
Две задължения, два документа
Законодателят е разграничил двете задължения в отделни членове и с основание. Вътрешните правила описват как организирате работата по противодействие на изпирането на пари — процедурите, отговорниците, контролите. Оценката на риска отговаря на по-фундаментален въпрос: какви рискове съществуват в конкретната ви дейност и в каква степен.
Логиката е последователна: не може да изградите адекватни контроли, без да знаете спрямо какви рискове ги изграждате. Затова оценката на риска е предпоставката — тя трябва да е изготвена първа, а резултатите от нея да бъдат отразени в Правилата. Документите са свързани, но са различни.
Чл. 98 ЗМИП задължава лицата по чл. 4 да извършват оценка и документиране на рисковете от изпиране на пари и финансиране на тероризма. Чл. 60, ал. 8 ППЗМИП (ДВ, бр. 39/2024) изрично изисква резултатите от оценката да бъдат отразени във вътрешните правила — формулировката предполага две отделни неща: оценката и правилата. Чл. 101, ал. 1, т. 17 ЗМИП включва оценката по чл. 98 като задължително съдържание на Вътрешните правила — т.е. тя е препратка към вече съществуващ самостоятелен документ, не самото съдържание.
Кой е задължен — без изключения
Оценката на риска е задължение за всяко лице по чл. 4 ЗМИП без изключение. Не само за банки и финансови институции. Не само за по-големите субекти. Задължени са счетоводителите с единствен служител, брокерите на недвижими имоти, нотариусите, одиторите, адвокатите, доставчиците на криптоактиви. Обемът и дълбочината на оценката е пропорционален на размера и сложността на дейността — но самото задължение е универсално.
Именно тази универсалност прави оценката на риска различна от повечето AML задължения. Там, където определени изисквания се прилагат само за рискови сектори или при надхвърляне на прагове, задължението за оценка на риска следва всяко лице по чл. 4 от момента на регистрацията.
Йерархията на оценките
Вашата оценка не се изготвя в информационен вакуум — тя е третото ниво в пирамида от оценки, всяка от която влияе на следващата.
Националната оценка на риска задава общата рамка — кои сектори и дейности са по-рискови в България. Вашата собствена оценка трябва да я отчита, но я надгражда с конкретното ви клиентско портфолио, предлаганите услуги и географския ви обхват. Чл. 99 ЗМИП изисква изрично съобразяване с резултатите от НОР при изготвянето на вашата оценка.
Какво се случва при липса
Административните санкции по ЗМИП достигат до 100 000 лева за физически лица и до 1 000 000 лева за юридически. Но практическите последици от липсата на оценка на риска не спират до глобата. Без нея не можете да обосновете защо прилагате опростена комплексна проверка към определени клиенти — това е самостоятелно нарушение. Не можете да обосновете нивото на мониторинг на операциите. При проверка всяко решение, което се основава на рисковата оценка, остава без документирано основание.
Надзорните органи са ясни по въпроса: липсата на оценка на риска не е формален пропуск в документацията — тя е индикатор, че цялостната система за AML съответствие функционира без аналитична основа.
Задължен субект е включил в своите Вътрешни правила раздел „Оценка на риска” с описание на рисковите категории и прилаганите мерки. Изпълнено ли е задължението по чл. 98 ЗМИП?
Вижте отговора
Не. Чл. 98 ЗМИП изисква извършване и документиране на оценката — тя е самостоятелен аналитичен документ с дата, версия и подпис. Включването на рискови категории като раздел от Вътрешните правила описва методологията, но не замества конкретната оценка на реалния рисков профил на субекта. Формулировката в ППЗМИП е недвусмислена: резултатите от оценката по чл. 98 се „отразяват” в Правилата — което предполага, че оценката съществува самостоятелно преди отразяването.
Оценката на риска е самостоятелен документ — не раздел от Вътрешните правила. Задължена е всяка организация по чл. 4 ЗМИП без изключение, пропорционално на размера и сложността на дейността. Тя е предпоставката, от която произтичат комплексната проверка, мониторингът и всички останали AML мерки. Резултатите от нея се отразяват в Правилата — не обратно.
Вече знаете защо оценката на риска е самостоятелно задължение и какво означава липсата й. В следващия урок разглеждаме как се изготвя — трите стъпки на методологията: присъщ риск, смекчаващи мерки и остатъчен риск. Точно тези три стъпки очакват надзорните органи да видят документирани.
Генерирай Оценка на риска за вашата организация →Този материал има образователен характер и представя методология и общи принципи. Не представлява правен съвет. При специфични обстоятелства се консултирайте с квалифициран специалист.