AML audit společnosti: co se kontroluje a co má být ve zprávě

Dotaz "AML audit" nebo "AML audit pro investiční společnosti" ve vyhledávání téměř nikdy nevzniká z čistého zájmu o téma compliance. Obvykle za ním stojí konkrétní událost: regulátor požádal o nezávislé posouzení systému, partnerská banka podmínila pokračování spolupráce auditem, investor chce před transakcí znát skutečný stav AML kontrol, nebo si představenstvo prostě nevzpomíná, kdy byl systém naposledy prověřen. Tento článek nechává tyto scénáře stranou a zaměřuje se na samotný nástroj: co přesně nezávislý AML audit prověřuje, jak se na něj připravit a co musí obsahovat závěrečná zpráva, aby ji přijala banka, regulátor nebo kupující podniku.

Ve společnosti COREDO od roku 2016 provádíme nezávislé AML audity a provázíme jejich výsledky pro EMI, PSP, poskytovatele kryptoaktiv, investiční a korporátní společnosti v EU. Pokud potřebujete přesně takovou kontrolu, zajišťuje ji naše služba AML audit; ve zbytku článku rozebíráme, co taková práce obnáší a jak k ní přijít připraveni.

Kdy firma potřebuje AML audit

Nezávislé přezkoumání AML systému obvykle nabývá na aktuálnosti v jedné z šesti situací. Žádost regulátora — plánovaná nebo neplánovaná kontrola, po které regulátor přímo nebo nepřímo očekává nezávislé potvrzení, že zjištěné problémy byly odstraněny. Onboarding u banky nebo platebního partnera — velké banky a PSP čím dál častěji vyžadují zprávu o nezávislém AML auditu jako součást due diligence protistrany, místo aby věřily prezentaci o "fungujícím systému" na slovo. Podání nebo prodloužení licence — licenční orgán chce vidět nejen politiku na papíře, ale i potvrzení, že se postupy skutečně uplatňují v praxi. Změna skutečného majitele — po změně kontroly banky a regulátoři zpravidla chtějí samostatné přezkoumání, protože rizikový profil firmy se formálně obnovil. Due diligence před prodejem podniku — kupující chce znát skutečný stav AML kontrol před transakcí, ne až po ní. Plánovaná interní revize — i bez externího podnětu potřebuje systém periodické nezávislé hodnocení, protože postupy, které fungovaly před rokem, se mohly od reálného chodu firmy vzdálit.

Co prověřuje nezávislý AML audit

Nezávislý AML audit není opětovné přečtení politiky — prověřuje, zda systém v praxi funguje tak, jak je popsán na papíře. Bez ohledu na velikost podniku pokrývá kontrola téměř vždy stejnou sadu oblastí:

• Celkové hodnocení rizik firmy (business-wide risk assessment) — zda je aktuální vzhledem ke skutečným produktům, klientům, kanálům a geografii; logiku sestavení takové matice přímo pro potřeby auditu jsme rozebrali v článku o rizikově orientovaném přístupu a RBA matici rizik.
• Politiky a postupy — AML/KYC politika, postupy CDD/EDD, monitoringu a reakce na podezřelou činnost: zda jde o dokument, podle kterého se skutečně pracuje, a ne o formální text.
• Governance a role MLRO — zda je na úrovni vedoucího orgánu jmenována odpovědná osoba, zda má compliance officer přímý přístup k představenstvu a zda je provozní funkce compliance oddělena od nezávislého prověřování systému.
• Soubory CDD/EDD a KYC — výběrová kontrola klientských složek: zda byly shromážděny potřebné dokumenty, přiřazen rizikový rating a uplatněna zesílená kontrola tam, kde byla vyžadována.
• Transakční monitoring a práce s upozorněními — zda jsou scénáře monitoringu nastaveny podle reálného rizikového profilu a zda se upozornění uzavírají podle jasných pravidel, a ne nahodile; podrobněji o budování tohoto procesu píšeme v článku o řízení případů pro AML upozornění.
• Sankční a PEP screening — aktuálnost databází, frekvence přehodnocování shod a postup řešení falešných poplachů.
• Oznámení o podezřelém obchodu (STR/SAR) na FIU — zda je zaveden postup rozhodování "podat, nebo nepodat" a zda se dodržují lhůty pro podání.
• Školení personálu — zda probíhá pravidelně, a ne jen jednou při nástupu, a zda je zvládnutí látky dokumentováno; co v této oblasti konkrétně kontroluje regulátor, rozebíráme v samostatném článku o školení k AML pro zaměstnance.
• Uchovávání dokumentů a záznamů — zda jsou dodržovány lhůty uchovávání klientských souborů a operací a postup jejich následného mazání.
• IT infrastruktura a nástroje — zda používaný software pro screening a monitoring pokrývá skutečný objem a složitost operací, nebo zda se systém opírá o tabulky a ruční sesouhlasení tam, kde to objem už neumožňuje.

Regulatorní základ tohoto výčtu není vlastním výmyslem auditorů. Výkladová poznámka (Interpretive Note) k doporučení FATF č. 18 přímo zahrnuje nezávislou auditorskou funkci, která testuje fungování systému vnitřní kontroly, do seznamu povinných prvků — na stejné úrovni jako program průběžného školení personálu. Na úrovni EU nařízení (EU) 2024/1624 (AMLR) v čl. 9 vyžaduje od povinných osob udržování vnitřních politik, postupů a kontrolních opatření a výslovně počítá s nezávislou auditorskou funkcí pro jejich prověřování — přičemž tuto funkci může vykonávat externí odborník.

Jak se připravit na AML audit

Kvalita auditu přímo závisí na tom, jak dobře je před jeho zahájením zorganizován balíček dokumentů a dat. V praxi minimální balíček k přípravě zahrnuje:

1. platné celkové hodnocení rizik firmy s datem posledního přehodnocení;
2. AML/KYC politiku a postupy CDD/EDD, monitoringu, práce s upozorněními a podávání oznámení o podezřelém obchodu;
3. dokumenty o jmenování MLRO/compliance officera a zaznamenání odpovědnosti na úrovni vedoucího orgánu;
4. výběr klientských souborů (KYC/KYB) za prověřované období, včetně případů zesílené kontroly;
5. logy a zprávy z transakčního monitoringu a sankčního screeningu, včetně historie řešení upozornění;
6. registr podaných (a posouzených, ale nepodaných) oznámení o podezřelém obchodu s odůvodněním rozhodnutí;
7. program a záznamy o školení personálu za poslední cyklus;
8. politiku uchovávání záznamů a potvrzení jejího skutečného dodržování;
9. zprávu z předchozího interního nebo externího auditu a stav uzavření jejích doporučení.

Auditor téměř vždy pracuje s výběrovým vzorkem, ne s celým objemem operací a klientů: typickým přístupem je vzít namátkový vzorek a doplnit jej cíleným dovzorkováním vyššího rizika (nové produkty, velké nebo nestandardní operace, klienti s vysokým rizikovým ratingem). Schopnost dodat na vyžádání konkrétní soubory a logy, a ne jen zprůměrovanou statistiku, je to, co práci skutečně urychluje. Druhým nutným prvkem přípravy jsou rozhovory s klíčovými zaměstnanci: MLRO, provozním týmem, a někdy i s členem vedoucího orgánu odpovědným za AML/CFT. Auditor porovnává to, co je napsáno v postupu, s tím, co říkají lidé, kteří podle něj pracují každý den — právě zde obvykle vyplouvají na povrch rozdíly mezi dokumentem a praxí.

Co musí obsahovat zpráva o AML auditu

Zpráva, kterou banka, regulátor nebo kupující podniku přijme jako vážné potvrzení, a ne jako formální papír, obvykle obsahuje pět povinných bloků. Rozsah prověrky (scope) — které právnické osoby, produkty, období a oblasti byly do kontroly zahrnuty a co zůstalo mimo rámec. Metodologie — jak byl sestaven vzorek, jaké dokumenty a systémy byly zkoumány, s kým proběhly rozhovory a podle jakého standardu nebo seznamu kritérií byl soulad hodnocen. Zjištění podle míry závažnosti — každá odchylka je klasifikována (například kritická / významná / méně závažná), s popisem konkrétního faktu, a ne obecným hodnocením "celkem v pořádku". Plán nápravy — u každého zjištění: kdo odpovídá za nápravu, v jakém termínu a jaký výsledek bude považován za uzavření bodu. Stručné shrnutí pro vedení (management summary) — samostatná jedno- až dvoustránková část pro představenstvo a externí příjemce zprávy, bez které je nepraktické ukazovat zprávu přímo bance nebo investorovi.

Zpráva bez plánu nápravy s odpovědnými osobami a termíny uzavření není fakticky zprávou o auditu, ale pouhým seznamem připomínek — právě chybějící plán nápravy je nejčastějším důvodem opakované kontroly v krátkém odstupu.

Interní, nebo externí audit — a koho přijímají banky a regulátoři

Formálním požadavkem regulátorů je nezávislost auditorské funkce, ne nutně její externí charakter: to přímo vyplývá z logiky doporučení FATF č. 18 a čl. 9 AMLR, které hovoří o nezávislé funkci schopné být vykonávána externím odborníkem, aniž by to stanovovaly jako povinnost. Na úrovni governance obecné pokyny EBA o roli AML/CFT compliance officera (EBA/GL/2022/05) jasně oddělují provozní funkci compliance officera (druhá linie obrany) od nezávislé auditorské funkce (třetí linie) — jde o odlišné role a regulátor nepředpokládá jejich spojení v jedné osobě.

V praxi chtějí partnerské banky a investoři před velkou transakcí vidět spíše externí zprávu: je snazší jí důvěřovat, protože zpracovatel nehodnotí vlastní práci. Interní audit má svou roli — pravidelnou kontrolu mezi externími prověrkami — ale nenahrazuje nezávislé externí hodnocení tam, kde si ho protistrana přímo vyžádá. Rozdílem mezi oběma formáty a tím, co se v EU v jaké situaci volí, se podrobněji zabývá naše služba AML audit jako nezávislá funkce třetí linie; a o modelu, kdy je samotný audit vykonáván v outsourcingu, píšeme v článku o AML auditu v outsourcingu.

Typická zjištění AML auditu

Sada typických zjištění se od firmy k firmě opakuje téměř beze změny:

• Hodnocení rizik nebylo aktualizováno po změně produktu nebo trhu — dokument zůstal stejný jako v době spuštění, ačkoli se byznys dávno změnil.
• Politika existuje, ale proces funguje jinak — zaměstnanci vykonávají úkoly "jak jsou zvyklí", a ne podle popsaného postupu.
• Odpovědnost vedoucího orgánu je zakotvena jen formálně — jmenovaný ředitel nedostává pravidelné zprávy o AML rizicích a nerozhoduje na jejich základě.
• Prahy monitoringu a screeningu byly nastaveny jednou a dál se nepřehodnocují, ačkoli se objem a profil operací změnil.
• Chybí dokumentované odůvodnění rozhodnutí o oznámení podezřelého obchodu — zejména v případech, kdy bylo rozhodnuto "nepodat".
• Školení proběhlo jen jednou při nástupu, bez opakovaného cyklu a bez potvrzení zvládnutí látky.
• Předchozí doporučení auditu nebyla uzavřena — jedno ze zjištění, na které regulátoři a banky reagují nejcitlivěji, protože nevypovídá o jednorázové chybě, ale o systémové mezeře mezi odhalením problému a jeho odstraněním.

Co dělat dál

Pokud systém ještě neprošel nezávislým prověřením, nebo předchozí zpráva nebyla uzavřena plánem nápravy, rozumným prvním krokem je AML audit: ukáže, kde se dokument rozchází s praxí, dřív než to uvidí banka nebo regulátor. Pokud se v průběhu auditu ukáže, že chybí kapacita na provozní zajištění AML funkce, řeší to AML podpora a outsourcing. Pokud je potřeba trvalá odpovědná osoba s přístupem k vedoucímu orgánu, ale bez interní pozice na plný úvazek, lze tuto roli zajistit prostřednictvím externího MLRO. Jednotlivá zjištění ke školení personálu a ke kvalitě klientských souborů se řeší prostřednictvím AML školení a KYC/KYB screeningu. Pokud audit ukázal, že systém v podstatě ještě neexistuje, má smysl začít postupným plánem zavedení, který jsme rozebrali v článku "Zavedení AML compliance ve firmě: plán, dokumenty, role a termíny", a s příkladem, jak takový projekt vypadá v celém rozsahu, v případové studii "Proces vývoje AML systému od nuly".

Často kladené otázky

Jak dlouho trvá AML audit?

Regulatorní texty neuvádějí jednotný normativ délky — termín závisí na velikosti firmy, počtu jurisdikcí a připravenosti dokumentů před zahájením práce. Fáze sběru a analýzy podkladů obvykle zabere víc času než samotné rozhovory; z naší praxe v COREDO platí, že čím lépe je balíček dokumentů připraven předem, tím kratší je cyklus prověrky.

Jak se AML audit liší od běžné interní kontroly compliance?

Nezávislý audit testuje, zda systém v praxi funguje, a vytváří samostatnou zprávu se zjištěními a plánem nápravy pro externí příjemce — banku, regulátora, investora. Běžná průběžná kontrola ze strany compliance funkce je součástí každodenní provozní práce první a druhé linie obrany, a ne náhradou třetí, nezávislé linie.

Může nezávislý AML audit provést interní zaměstnanec?

Ne, pokud tento zaměstnanec zároveň odpovídá za provozní práci prověřované funkce — to je v rozporu se samotnou myšlenkou nezávislosti, na které jsou postaveny jak doporučení FATF č. 18, tak obecné pokyny EBA/GL/2022/05. Audit může provést samostatný interní útvar bez provozních povinností v AML funkci, nebo externí odborník.

Co regulátor dělá se zprávou o AML auditu?

Záleží na tom, v jakém kontextu byla zpráva vyžádána: při plánované nebo neplánované kontrole regulátor obvykle porovnává zjištění auditu s vlastními poznatky a prověřuje, zda byl uzavřen plán nápravy; při podání nebo prodloužení licence posuzuje zprávu jako součást balíčku potvrzujícího připravenost systému na dohled.

Co když audit odhalil kritická zjištění?

Kritické zjištění automaticky neznamená odmítnutí ze strany banky nebo regulátora — znamená, že k němu musí vzniknout plán nápravy s konkrétním termínem a odpovědnou osobou, a že tento termín bude třeba potvrdit fakticky, a ne jen na papíře. Zpráva bez takového plánu u kritických bodů je to, co nejčastěji vyvolává opakovanou kontrolu v krátké lhůtě.