Jak AI weryfikuje kontrahenta na listach sankcyjnych i pilnuje zmian w rejestrach AML?

AI może sprawdzić nowego kontrahenta na kilku listach sankcyjnych jednocześnie, zanim jego kartoteka w systemie zostanie zatwierdzona przez pracownika. Robi to szybciej niż ręczna weryfikacja, opisuje każde trafienie z numerem wpisu i podstawą prawną i zostawia ślad kontroli na potrzeby audytu. Decyzję o tym, czy transakcja dojdzie do skutku, podejmuje zawsze człowiek: system ma wychwycić sytuację i ją udokumentować, zanim cokolwiek zostanie podpisane albo przelane.

Które listy sankcyjne obowiązują polską firmę i dlaczego to nie jest jeden plik do ściągnięcia?

Listy sankcyjne to nie jest jeden, jednolity rejestr. Polska firma prowadząca obrót zagraniczny, obsługująca klientów z różnych krajów albo podlegająca przepisom AML, musi sprawdzać kilka źródeł równolegle.

Lista unijna (EU Financial Sanctions) to plik publikowany przez Komisję Europejską w ramach Wspólnej Polityki Zagranicznej i Bezpieczeństwa (CFSP). Zawiera podmioty prawne, osoby fizyczne i statki objęte rozporządzeniami Rady UE. Obowiązuje każdą firmę z siedzibą lub działalnością na terenie UE, bez względu na branżę.

Krajowa lista sankcyjna MSWiA wynika z ustawy o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę. To osobny dokument. Zdarzają się wpisy obecne na liście krajowej, których nie ma jeszcze na unijnej, i odwrotnie. Firmy, które sprawdzają tylko jedno źródło, mają niepełny obraz.

OFAC to lista SDN (Specially Designated Nationals and Blocked Persons) Departamentu Skarbu USA. Dla firmy rozliczającej się w dolarach, korzystającej z banku z korespondentami w Stanach albo handlującej z kontrahentami zarejestrowanymi w USA jest de facto obowiązkowa. Wiele europejskich banków odrzuca transakcje, gdy jedna ze stron trafia na SDN, nawet jeśli bank sam jest europejski i nie leży pod jurysdykcją OFAC.

OpenSanctions to otwarty agregat kilkudziesięciu list sankcyjnych: unijnych, krajowych (m.in. UK OFSI, australijska DFAT, japońska MOF) i resortowych. Przydatny, gdy firma chce mieć jedno punktowe zapytanie zamiast odpytywać każdą listę osobno. Udostępnia API z wynikiem w formacie JSON, więc wpina się bezpośrednio do systemu ERP, TMS lub CRM.

W spedycji i handlu morskim do tego dochodzą numery IMO statków i listy portów objętych ograniczeniami. Armatorzy, czarterujący i agenci morskie muszą sprawdzać jednostki, a nie tylko podmioty prawne.

Co AI wyciąga z kartoteki kontrahenta i co z tym robi przy zakładaniu nowego konta?

Gdy pracownik wprowadza nowego kontrahenta, wypełnia standardowe pola: pełna nazwa firmy, skrócona nazwa handlowa, kraj rejestracji, lokalny numer identyfikacji podatkowej (odpowiednik NIP), adres rejestrowy, imię i nazwisko osoby kontaktowej, numer rachunku bankowego. Każde z tych pól jest potencjalnym punktem do weryfikacji.

AI wyciąga z kartoteki kilka elementów do sprawdzenia:

• Pełną nazwę i aliasy: wpisaną w systemie nazwę handlową, dawną nazwę po zmianie, ewentualne skróty
• Kraj rejestracji i lokalny numer identyfikacyjny: odpowiednik NIP w Turcji to VKN, w Niemczech Steuernummer, na Ukrainie ЄДРПОУ
• Imiona i nazwiska osób reprezentujących lub upoważnionych
• Numer IMO statku, jeśli kontrahent to armator lub czarterujący

Następnie odpytuje listy sankcyjne. Żeby wychwycić transkrypcje z cyrylicy, chińskiego czy arabskiego, a także skróty i warianty pisowni, system używa dopasowania rozmytego (fuzzy matching). Spółka o nazwie Novatex LLC z Dubaju może być zupełnie nieszkodliwym podmiotem albo jednym z kilkudziesięciu aliasów wpisanych przy podmiocie objętym rozporządzeniem. Samo dopasowanie po NIP lub jego odpowiedniku jest pewne, dopasowanie po nazwie wymaga oceny człowieka.

Gdy nie ma żadnego trafienia: system zapisuje wynik kontroli z datą, godziną i numerem sprawdzenia. Pracownik widzi zielony status i zatwierdza kartotekę. Gdy jest trafienie: system blokuje zatwierdzenie, wyświetla opis wpisu z numerem rozporządzenia lub numerem SDN, datą wpisu na listę i typem ograniczenia, i czeka na decyzję osoby uprawnionej.

Typowo wygląda to tak, że spedytor zakłada nowe konto dla klienta z Bliskiego Wschodu. Imię i nazwisko właściciela spółki zbiegle się z osobą fizyczną wpisaną na listę unijną, ale z innym numerem paszportu. AI opisuje zbieżność: podaje datę urodzenia z wpisu, kraj obywatelstwa i rozporządzenie, i oznacza kartotekę do ręcznej weryfikacji. Spedytor nie blokuje konta samodzielnie i nie zatwierdza go samodzielnie. Sprawa trafia do oficera AML z gotowym opisem, co zostało znalezione i gdzie.

Co się dzieje, gdy kontrahent, z którym już pracujesz, nagle trafia na listę?

To jest trudniejszy scenariusz. Z nowym kontrahentem weryfikacja jest naturalnym krokiem w procesie. Z podmiotem, z którym firma współpracuje od roku, nikt nie wraca do list sankcyjnych co tydzień. A powinien, bo listy się zmieniają.

Komisja Europejska aktualizuje listę unijną kilka razy w miesiącu. OFAC robi to nieregularnie. Krajowa lista MSWiA zmieniała się w ciągu jednego roku kilkukrotnie w związku z kolejnymi pakietami sankcji. Bez automatycznego monitoringu pracownik dowie się o zmianie, gdy ktoś mu o tym powie, albo gdy bank odrzuci przelew.

AI pobiera aktualne listy według harmonogramu: raz dziennie lub częściej, zależnie od ustawienia portalu. Po każdym pobraniu przegląda aktywne kartoteki kontrahentów i sprawdza je na nowo względem nowych wpisów. Gdy nowy wpis odpowiada któremuś z istniejących kontrahentów, system:

• Oznacza kartotekę jako zablokowaną do wyjaśnienia
• Wstrzymuje automatyczne wystawianie faktur i nowych zleceń powiązanych z tym kontrahentem
• Wysyła powiadomienie do oficera AML: który kontrahent, która lista, numer wpisu, data wpisu, typ sankcji
• Odnotowuje zdarzenie w rejestrze kontroli z dokładną godziną

U jednego klienta z branży TSL zdarzył się taki przypadek: firma obsługiwała zlecenia dla przewoźnika z Turcji od ponad roku. Aktualizacja listy unijnej dodała pewnego poniedziałku rano podmiot o bardzo podobnej nazwie i tym samym kraju rejestracji, bez zbieżności numeru identyfikacyjnego. System wychwycił podobieństwo, ale nie pewne dopasowanie, i skierował sprawę do weryfikacji. Po sprawdzeniu dokumentów rejestracyjnych okazało się, że to zupełnie inny podmiot. Compliance odhaczyła wyjaśnienie z notatką, system odnotował powód zwolnienia blokady i praca poszła dalej. Bez monitoringu ten poniedziałek wyglądałby jak każdy inny: do chwili, gdy bank zatrzymałby przelew.

Jak AI opisuje trafienie i co podpowiada jako kolejny krok?

Trafienie na listę sankcyjną to nie automatyczna blokada. To sygnał do zbadania. AI opisuje każde trafienie w kilku elementach, żeby człowiek miał od razu wszystko w jednym miejscu:

• Nazwa i alias: dokładna nazwa z listy i wersja, która zbiegła się z danymi w kartotece
• Typ wpisu: osoba fizyczna, podmiot prawny, statek
• Lista i numer wpisu: np. „EU Financial Sanctions, rozporządzenie Rady (UE) 833/2014, zmienione rozporządzeniem (UE) 2022/xxx"
• Data wpisu: kiedy podmiot trafił na listę, bo to ma znaczenie dla transakcji zawartych przed tym dniem
• Typ sankcji: zamrożenie aktywów, zakaz transakcji, zakaz eksportu określonych towarów
• Uzasadnienie z listy: zwięzły opis podany w źródle, np. „podmiot finansujący zakup sprzętu wojskowego"
• Ocena pewności dopasowania: czy to zbieżność numeru identyfikacyjnego, czy dopasowanie po nazwie z określoną pewnością

Obok opisu AI wskazuje możliwy kolejny krok, zależnie od rodzaju trafienia. Przy dokładnej zbieżności numeru identyfikacyjnego: „Bezpośredni wpis. Transakcja wymaga konsultacji prawnej i ewentualnego zgłoszenia do GIIF." Przy dopasowaniu po nazwie bez potwierdzenia numerem: „Sprawdź numer rejestracyjny z dokumentów źródłowych, adres i osoby reprezentujące. Odnotuj wynik weryfikacji." Przy osobie fizycznej powiązanej z podmiotem: „Osoba wskazana jako reprezentant figuruje na liście. Oceń, czy ma kontrolę nad podmiotem i czy transakcja byłaby pośrednim kanałem korzyści."

To nie jest porada prawna. AI pokazuje, co znalazł, i wskazuje, co sprawdzić. Co dalej zrobić z wynikiem pod kątem przepisów: to zadanie dla człowieka, najczęściej radcy prawnego lub wyznaczonego oficera AML.

Co system dokumentuje i jak wygląda ślad kontroli na potrzeby audytu?

Obowiązek weryfikacji wynika z przepisów. Ale obowiązek udokumentowania tej weryfikacji to osobna sprawa. Bez zapisanego śladu trudno udowodnić, że w ogóle sprawdzano, gdy pojawi się kontrola GIIF albo audyt bankowy przy otwieraniu linii kredytowej.

Przy każdym sprawdzeniu system zapisuje:

• Datę i godzinę kontroli
• Wersję list użytych do weryfikacji: datę pobrania każdej listy z osobna
• Pola kartoteki, które były sprawdzane, i ich wartości w chwili sprawdzenia
• Wynik: brak trafień / trafienie z pełnym opisem / trafienie odrzucone z uzasadnieniem
• Kto zatwierdził lub odrzucił flagę: imię, adres e-mail, rola w systemie
• Treść uzasadnienia wpisanego przez pracownika compliance, gdy flaga była odrzucana

Ten rejestr jest osobną tabelą w systemie bez dostępu edycyjnego dla zwykłego użytkownika. Eksportuje się do PDF lub CSV na potrzeby kontroli, audytu zewnętrznego albo dokumentacji banku. Firmy, które prowadzą pełny rejestr AML i wypełniają obowiązki instytucji obowiązanej, wpinają ten plik bezpośrednio do akt klienta w ramach procedury KYC (Know Your Customer). Każda weryfikacja dostaje własny numer, który można przywołać w dokumencie oceny ryzyka lub w piśmie do GIIF.

Od czego zaczyna się wdrożenie i co trzeba ustalić przed uruchomieniem?

Zanim cokolwiek uruchomisz, warto odpowiedzieć na kilka konkretnych pytań.

Skąd weźmiesz dane kontrahentów? Jeśli masz kartoteki w ERP (Comarch Optima, wFirma, Sage), TMS (LogTMS, boxTMS, Spedtrans) albo CRM, połączenie z tymi systemami jest punktem startowym. Bez tego AI sprawdza podmioty wpisywane ręcznie, co pomaga przy nowych, ale nie wychwytuje zmian na kontrahentach, z którymi już pracujesz.

Kto w Twojej firmie odpowiada za compliance? W małej firmie to zwykle właściciel albo główna księgowa. W większej: wyznaczony oficer AML. Ta osoba musi dostać powiadomienie z opisem trafienia i mieć możliwość zatwierdzenia lub odrzucenia flagi w systemie z odnotowaniem uzasadnienia.

Które listy musisz sprawdzać? Firma spedycyjna obsługująca transport morski potrzebuje weryfikacji statków po numerze IMO. Firma, która rozlicza się w dolarach lub ma kontrahentów z rynku amerykańskiego, powinna mieć OFAC w zestawie obowiązkowym. Firma wyłącznie krajowa, ale podlegająca AML, potrzebuje przynajmniej listy unijnej i listy MSWiA.

Połączenie z OpenSanctions przez API jest dostępne bez dużych barier technicznych. API zwraca wynik w JSON z opisem trafienia, oceną pewności dopasowania i informacją o źródle. AI przetwarza ten wynik na czytelny opis po polsku, przypisuje go do kartoteki w CRM lub ERP i uruchamia ścieżkę zatwierdzenia. Pracownik nie zmienia swojego procesu zakładania konta. Zanim kliknie „Zatwierdź", widzi jeden dodatkowy komunikat: albo „Sprawdzono, brak trafień, numer kontroli XY" albo „Sprawdzono, jedno trafienie do weryfikacji" z opisem.

Cały mechanizm można wpiąć w istniejący system jako jeden krok w procesie zakładania kartoteki, obok weryfikacji NIP w GUS czy sprawdzenia VAT-UE w VIES. Nie wymaga oddzielnej aplikacji.

Jeśli chcesz zobaczyć, jak to wygląda w praktyce przy Twoim systemie, zacznijmy od 15 minut rozmowy. Możesz też zajrzeć na realne wdrożenia, żeby zobaczyć, jak podobne mechanizmy działają u firm z branży TSL, handlu zagranicznego i finansów.