הערכת סיכונים לאיסור הלבנת הון היא בדיקה מסודרת של השאלה איפה הארגון חשוף לשימוש לרעה בשירותים שלו. היא בוחנת ארבעה תחומים עיקריים: לקוחות, מוצרים, ערוצי הפצה וגאוגרפיה, ומשווה את הסיכון לבקרות הקיימות. התוצאה קובעת איפה להשקיע את רוב המאמץ, והיא בין המסמכים הראשונים שמבקשים בביקורת.
מה זו גישה מבוססת סיכון
גישה מבוססת סיכון (Risk-Based Approach, RBA) היא העיקרון שעליו בנויה רגולציית איסור הלבנת הון בעולם ובישראל. במקום להפעיל אותה בדיקה על כל לקוח ועל כל עסקה, הארגון מזהה איפה הסיכון גבוה יותר ומתאים את הבקרות.
מה זה אומר:
- בדיקה מוגברת ללקוחות, מוצרים ועסקאות בסיכון גבוה.
- תהליך פשוט יותר כשהסיכון נמוך, ככל שהצו מאפשר.
- תיעוד שמסביר למה כל דבר דורג כפי שדורג.
הערכת הסיכונים היא הבסיס לכל זה. בלעדיה אי אפשר להסביר לרגולטור למה לקוח אחד עבר בדיקה מוגברת ואחר לא.
שלב 1: הכנה ואיסוף מידע
לפני שמדרגים משהו, צריך תמונה מלאה של הפעילות:
- כל המוצרים והשירותים, כולל מוצרים קטנים או ישנים.
- ערוצי ההפצה: סניף, אתר, אפליקציה, סוכנים, שותפים.
- פילוח הלקוחות: יחידים, תאגידים, סוגי עיסוק, תושבות.
- נתונים על הפעילות: היקפים, אמצעי תשלום, התרעות ודיווחים מהתקופה האחרונה.
- ממצאים מביקורות קודמות, פנימיות וחיצוניות.
כדאי להיעזר גם במקורות חיצוניים: פרסומים של הרשות לאיסור הלבנת הון ומימון טרור, הערכת הסיכונים הלאומית של ישראל ופרסומי FATF על טיפולוגיות.
שלב 2: זיהוי הסיכון המובנה
לקוחות
שאלו אילו סוגי לקוחות מגדילים את הסיכון. דוגמאות:
- אנשי ציבור, קרובי משפחה ושותפים עסקיים שלהם.
- תאגידים עם מבנה בעלות מורכב, נאמנויות וחברות קש.
- לקוחות שאינם תושבי ישראל.
- עיסוקים שכרוכים בהרבה מזומן.
מוצרים ושירותים
לא כל מוצר מסוכן באותה מידה. הלוואה צרכנית קטנה עם לוח סילוקין קבוע שונה מהלוואה גדולה שאפשר לפרוע מוקדם מכל מקור. שאלו:
- האם המוצר מאפשר להעביר כסף לצד שלישי?
- האם אפשר לפרוע מוקדם, ומאיזה מקור?
- האם המוצר כרוך במזומן או בשיקים?
- מה ההיקפים האפשריים?
ערוצי הפצה
ערוץ שבו הלקוח לא נפגש עם אף אחד, כמו זיהוי מקוון, מעלה את הסיכון לזיהוי כוזב. עבודה דרך סוכנים או שותפים חיצוניים מוסיפה סיכון, כי חלק מהתהליך לא נמצא בשליטה ישירה שלכם.
גאוגרפיה
בדקו עם אילו מדינות ואזורים הפעילות קשורה: תושבות הלקוחות, מקור הכספים ויעד ההעברות. מדינות שמופיעות ברשימות של FATF כבעלות ליקויים במשטר איסור הלבנת הון מצריכות תשומת לב מיוחדת.
שלב 3: דירוג הסיכון
לכל גורם סיכון קובעים רמה, למשל נמוך, בינוני או גבוה, לפי סולם שמוגדר מראש במתודולוגיה. הסולם צריך להיות כתוב ומוסבר, כדי שמי שיחזור על ההערכה בשנה הבאה יגיע לתוצאה דומה.
כדאי לשלב שני מדדים:
- הסבירות שהסיכון יתממש.
- ההשפעה אם הוא יתממש: על הארגון, על הלקוחות ועל הרישיון.
שלב 4: הערכת הבקרות
עכשיו בודקים מה קיים כדי להתמודד עם כל סיכון: נהלים, מערכות, הדרכות ובקרות של קו שני ושלישי. השאלה החשובה היא לא אם הבקרה קיימת על הנייר, אלא אם היא עובדת.
איך בודקים:
- מדגם תיקים: האם הבקרה בוצעה בפועל?
- התרעות: האם טופלו בזמן ועם נימוק?
- ממצאי ביקורת: האם פערים קודמים נסגרו?
שלב 5: סיכון שארי
הסיכון השארי הוא מה שנשאר אחרי הבקרות. סיכון מובנה גבוה עם בקרות חזקות יכול להגיע לסיכון שארי בינוני. סיכון מובנה בינוני עם בקרות חלשות יכול להישאר גבוה.
ההנהלה צריכה להחליט אם הסיכון השארי מקובל עליה, ולתעד את ההחלטה. זה המקום שבו הערכת הסיכונים הופכת לכלי ניהולי ולא רק למסמך רגולטורי.
שלב 6: תוכנית פעולה
לכל פער שזוהה מגדירים:
- מה צריך לעשות.
- מי אחראי.
- עד מתי.
- איך יודעים שזה נסגר.
תוכנית הפעולה היא מה שמראה לרגולטור שהארגון לא רק מזהה בעיות אלא גם מטפל בהן. כדאי לעקוב אחריה בדיווחים התקופתיים של הממונה להנהלה. ראו גם את המאמר על תפקיד הממונה על איסור הלבנת הון.
שלב 7: אישור, תיעוד ועדכון
הערכת הסיכונים צריכה אישור של ההנהלה, ושל הדירקטוריון אם יש. שמרו את המסמך, את הנתונים שעליהם הוא מבוסס ואת הפרוטוקול של האישור.
עדכנו את ההערכה לפי התדירות שנקבעה בצו ובנהלים, ובכל שינוי מהותי: מוצר חדש, ערוץ חדש, כניסה לשוק חדש או שינוי ברגולציה.
מהערכת הסיכונים לדירוג הלקוח
הערכת הסיכונים הארגונית ודירוג הסיכון של לקוח בודד קשורים זה לזה. ההערכה הארגונית קובעת אילו גורמים מגדילים את הסיכון, ודירוג הלקוח מפעיל את אותם גורמים על כל לקוח בנפרד.
כשלקוח חדש מצטרף, המערכת או הנציג בודקים את אותם ארבעה תחומים: מי הלקוח, איזה מוצר הוא לוקח, באיזה ערוץ הוא הגיע ולאילו מדינות הוא קשור. התוצאה קובעת אם מספיק תהליך רגיל או שנדרשת בדיקה מוגברת, ובאיזו תדירות יעודכנו פרטיו. הרחבנו על כך במאמר על הכר את הלקוח אצל נותני אשראי.
טעויות נפוצות בהערכת סיכונים
- העתקה משנה קודמת. המסמך מתעדכן בתאריך בלבד, בלי לבדוק מה השתנה בפעילות.
- תבנית כללית. הערכה שנכתבה לפי תבנית ולא מתארת את המוצרים והלקוחות של הארגון.
- בקרות על הנייר. דירוג בקרה כחזקה רק כי יש נוהל, בלי לבדוק שהוא מיושם.
- ניתוק מהניטור. כללי הניטור לא משקפים את הסיכונים שזוהו.
- אין בעלות. אף אחד לא אחראי על תוכנית הפעולה, והפערים נשארים פתוחים.
מי צריך להשתתף
הערכת סיכונים שנכתבת רק על ידי הממונה מפספסת מידע. כדאי לשתף את מנהלי המוצרים, שמכירים את המבנה של כל מוצר, את התפעול, שרואה את התיקים, את ה-IT, שמכיר את המערכות, ואת ההנהלה, שתצטרך לאשר את הסיכון השארי. ישיבה או שתיים עם כל גורם מספיקות בדרך כלל, והן גם יוצרות מחויבות לתוכנית הפעולה.
צ'קליסט להערכת סיכונים
- אספו מידע מלא על מוצרים, ערוצים ולקוחות.
- עברו על פרסומי הרגולטור ועל הערכת הסיכונים הלאומית.
- זהו סיכונים בארבעת התחומים: לקוחות, מוצרים, ערוצים, גאוגרפיה.
- דרגו כל סיכון לפי מתודולוגיה כתובה.
- בדקו על מדגם שהבקרות עובדות.
- חשבו את הסיכון השארי.
- בנו תוכנית פעולה עם אחראים ותאריכים.
- הביאו לאישור ההנהלה ותעדו.
- חברו את התוצאות לכללי הניטור ולתהליך הכר את הלקוח.
סיכום
הערכת סיכונים טובה עונה על שאלה אחת: איפה הארגון הכי חשוף, ומה עושים עם זה. היא מכוונת את כל תוכנית הציות, מדירוג לקוחות ועד כללי הניטור. אם אתם צריכים לבצע הערכה ראשונה או לעדכן הערכה קיימת לפני ביקורת, אפשר לתאם ייעוץ ראשוני בנושא ניהול סיכונים.
המידע במאמר כללי ואינו מהווה ייעוץ משפטי.
