Аудит ПОД/ФТ

Для организаций в юрисдикции МФЦА проверка эффективности ПОД/ФТ системы обязательна не реже одного раза в два года: так устроены правила AIFC AML Rules. Остальные субъекты финансового мониторинга под надзором ежегодно проверяют систему внутреннего контроля по требованиям в соответствии с правилами внутреннего контроля.

Внешний независимый аудит чаще всего заказывают в трёх случаях:

1. Этого просит банк-партнёр;
2. Получено предписание;
3. Руководство хочет знать реальное положение дел до того, как его узнает регулятор.

Отдельный повод, о котором вспоминают поздно, это смена бизнес-модели. Новый продукт, новая география или новый канал привлечения клиентов меняют профиль риска, а правила внутреннего контроля остаются прежними. Разрыв между написанным и происходящим накапливается незаметно и вскрывается в самый неподходящий момент.

Формальная проверка сверяет наличие документов. Она почти бесполезна, потому что документы обычно есть. Проблемы находятся в другом месте.

Система разбирается по четырём слоям:

1. 1

   Документы

   Правила внутреннего контроля и все предыдущие редакции, оценка рисков, регламенты онбординга, программа и журналы обучения, приказ о назначении ответственного сотрудника.

2. 2

   Системы

   Как устроены мониторинг транзакций и санкционный скрининг, какие сценарии работают, что видит специалист на экране и какие журналы остаются после его решений.

3. 3

   Практика

   Выборка клиентов разного уровня риска и операций по ним, чтобы увидеть, как требования применялись в реальности.

4. 4

   Следы

   Можно ли восстановить, кто, когда и на каком основании принял решение.

Аудит ищет места, где слои не совпадают: в правилах написано одно, а на практике происходит другое.

• Правила требуют усиленной проверки для высокорискового клиента, а в досье её нет.
• Сценарий мониторинга настроен так, что не срабатывал ни разу за год.
• Обучение проведено, но подтверждается только подписями.

Каждое такое расхождение на проверке превращается в вопрос, на который нечего ответить.

Сначала запрашиваем пакет документов. Он большой и известен заранее, так что собрать его можно ещё до старта:

• Правила внутреннего контроля и все предыдущие редакции.
• Организационная структура подразделения ПОД/ФТ и приказ о назначении ответственного лица.
• Оценка рисков ОД/ФТ/ФРОМУ и бизнес-профиль.
• Регламенты онбординга для физических лиц, юридических лиц, индивидуальных предпринимателей и нерезидентов вместе с шаблонами анкет НПК.
• Описание систем мониторинга и санкционного скрининга с журналами срабатываний.
• Реестры подозрительных и пороговых сообщений.
• Программа и журналы обучения.
• Результаты предыдущих внутренних и внешних проверок.

Перечень уточняется после первичного анализа, и по ходу работы бывают дозапросы. Дальше читаем документы, смотрим внутренние системы, с которыми работают специалисты, и сверяем увиденное с требованиями и практикой рынка. Затем берём выборку клиентов разного уровня риска и операции по ним и смотрим, как правила применялись на деле.

Интервью проводим с ответственным сотрудником и руководителем подразделения, а при необходимости и с теми, кто работает в системе руками. Обычно это два или три разговора. Люди рассказывают то, чего нет в документах: где процесс идёт в обход и почему.

Находки обсуждаем до финального отчёта, а не после него. Часть наблюдений на этом обсуждении снимается, потому что у вас есть объяснение или документ, которого мы не видели. Это нормальная часть работы, а не уступка: в финальный отчёт должно попасть только то, что выдержит спор. Каждое наблюдение сопровождается ссылкой на конкретное доказательство.

Пять находок повторяются почти в каждом проекте. Список стоит прочитать как чек-лист: отметьте пункты, в которых вы не уверены.

• Правила отстали от закона. Внутренние правила не актуализированы после изменений законодательства или постановлений регулятора.
• Оценка риска клиента формальная. Методика скоринга нигде не задокументирована, поэтому объяснить уровень риска нечем.
• Сценарии мониторинга не пересматривались. Система почти не порождает собственных сообщений о подозрительных операциях.
• Санкционные совпадения отработаны не до конца. Порядок работы с совпадениями и отказами неполный или не формализован.
• Усиленные меры закреплены с пробелами. Политически значимые лица, владельцы нескольких кошельков, платёжные агенты.

Если по трём пунктам из пяти вы не уверены в ответе, аудит найдёт больше, чем вы ожидаете.

Аудит показывает расхождения, но сам их не закрывает. Обычно следом идут доработка правил внутреннего контроля по находкам, обучение сотрудников с учётом выявленных пробелов и калибровка сценариев мониторинга и скрининга.

Через три или шесть месяцев по желанию клиента проводим повторную проверку и подтверждаем, что замечания действительно закрыты. Это отдельная работа за отдельную плату, и она нужна не всем: если план устранения выполнен, повторная проверка ничего не добавит.