Procedura AML w szufladzie nie ochroni Cię podczas kontroli. Jak zbudować system, który faktycznie działa

Jeśli Twoja firma ma procedurę AML, ale ostatni raz ktoś do niej zaglądał w dniu wdrożenia – ten artykuł jest dla Ciebie. Generalny Inspektor Informacji Finansowej (GIIF) podczas kontroli nie sprawdza, czy masz dokument. Sprawdza, czy Twój system faktycznie działa – czy monitorujesz transakcje, dokumentujesz zmiany w profilach klientów, szkolisz zespół i archiwizujesz decyzje. Raport NIK z kontroli obejmującej okres styczeń 2022 – czerwiec 2024 ocenił skuteczność polskiego systemu przeciwdziałania praniu pieniędzy jako niewystarczającą, wskazując m.in. na luki nadzorcze i opóźnienia w postępowaniach administracyjnych. Polska znalazła się w pierwszej dziesiątce krajów europejskich o najwyższym ryzyku prania pieniędzy.

Dla CEO i founderów fintechów, biur rachunkowych czy instytucji płatniczych oznacza to jedno: procedura w szufladzie nie ochroni Cię podczas kontroli. W tym artykule pokażę, co organ kontrolny sprawdza naprawdę, czym jest ciągłość monitoringu w codziennej pracy i jak przejść od martwego dokumentu do systemu, który wytrzyma weryfikację. To wiedza, której potrzebuje każda firma korzystająca z obsługi prawnej startupów i podmiotów regulowanych.

Najważniejsze pojęcia, które musisz znać

Zanim przejdziemy dalej, uporządkujmy terminologię. W artykule pojawią się skróty i pojęcia, które warto rozumieć od razu.

Co tak naprawdę sprawdza GIIF podczas kontroli

Wielu przedsiębiorców zakłada, że kontrola GIIF polega na sprawdzeniu, czy firma ma procedurę AML. To błędne założenie. Organ kontrolny bada cały system – od oceny ryzyka, przez stosowanie środków bezpieczeństwa finansowego, po kompletność dokumentacji i jakość raportowania.

Zakres weryfikacji krok po kroku

Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (ustawa AML) nakłada na instytucje obowiązane szereg odrębnych obowiązków. GIIF weryfikuje każdy z nich osobno:

1. Ocena ryzyka instytucji (art. 27 ustawy AML) – czy obejmuje wszystkie wymagane kategorie czynników: klientów, państwa i obszary geograficzne, produkty, usługi, transakcje i kanały dystrybucji. Czy jest aktualizowana nie rzadziej niż co 2 lata. Czy została zatwierdzona przez zarząd i przedstawiona radzie nadzorczej.
2. Środki bezpieczeństwa finansowego (art. 34 ustawy AML) – identyfikacja i weryfikacja klienta, ustalenie beneficjenta rzeczywistego, ocena celu i charakteru stosunków gospodarczych, bieżące monitorowanie.
3. Bieżący monitoring transakcji (art. 43 ustawy AML) – czy instytucja posiada systemy i procedury umożliwiające ciągły monitoring, czy stosuje scenariusze i reguły transakcyjne, czy prowadzi rejestry alertów i dokumentuje ich rozpatrzenie.
4. Wewnętrzna procedura AML/CFT (art. 50 ustawy AML) – czy jest aktualna, czy pracownicy ją znają (inspektor może pytać pracowników bezpośrednio), czy jest powiązana z oceną ryzyka, czy opisuje mechanizmy whistleblowingowe.
5. Szkolenia (art. 52 ustawy AML) – czy obejmują wszystkich wykonujących obowiązki AML (etatowi, na umowach cywilnoprawnych, agenci, członkowie zarządu), czy są dokumentowane (lista obecności + program szkolenia).
6. Dokumentacja i raportowanie – kompletność dokumentacji, spójność z procedurą, jakość zawiadomień (art. 74 i 86 ustawy AML), terminowość raportowania, przechowywanie dokumentów przez 5 lat.

Dlaczego sam dokument nie wystarczy

Procedura AML to dowód przyjętej koncepcji – nie dowód jej realizacji. GIIF ocenia zgodność stanu faktycznego ze stanem normatywnym. Jeśli procedura opisuje monitoring transakcji, ale Twoja firma nie prowadzi rejestrów alertów ani nie dokumentuje wyników analiz – organ kontrolny uzna to za naruszenie.

Komunikat GIIF nr 92 (wspólny z UKNF i NBP) wymaga aktualizacji procedury po każdej istotnej zmianie przepisów AML/CFT. Urząd Komisji Nadzoru Finansowego (UKNF) traktuje ocenę ryzyka jako dokument wymagający regularnych aktualizacji – zatwierdzany przez zarząd i przedstawiany radzie nadzorczej.

Cały system AML opiera się na zasadzie proporcjonalności do ryzyka (risk-based approach), wynikającej z dyrektywy AML IV. Oznacza to, że instytucja musi nie tylko posiadać procedury, ale udowodnić, że podejmuje działania adekwatne do rozpoznanego ryzyka – zarówno wzmożone, jak i uproszczone.

Napisz do nas

Ciągłość monitoringu: co oznacza „proces ciągły” w codziennej pracy

Bieżące monitorowanie stosunków gospodarczych klienta wynika z art. 34 ust. 1 pkt 4 oraz art. 43 ustawy AML. Jest jednym z czterech równorzędnych środków bezpieczeństwa finansowego. Art. 43 ust. 3 ustawy AML wprost stanowi, że instytucje obowiązane prowadzą bieżącą analizę przeprowadzanych transakcji – monitoring nie może mieć charakteru incydentalnego.

Trzy filary bieżącego monitorowania

Ustawa definiuje trzy elementy składowe ciągłego monitoringu (art. 34 ust. 1 pkt 4 lit. a–c):

Zdawkowe wyjaśnienia to za mało

Komunikat GIIF nr 31 wyraźnie wskazuje, że akceptowanie zdawkowych wyjaśnień klienta nie stanowi należytego wykonania obowiązku monitoringu. Instytucja musi znać i rozumieć gospodarcze uzasadnienie transakcji. Realizowanie operacji niezgodnych z zadeklarowanymi przez klienta informacjami (wartość, częstotliwość, rodzaj, kierunek geograficzny) może być uznane za naruszenie art. 34 ust. 1 pkt 4.

Kiedy musisz zintensyfikować monitoring

Art. 43 ust. 4 ustawy AML (omówiony w komunikacie GIIF nr 31): ujawnienie transakcji nietypowej – niezgodnej z wiedzą o kliencie i ryzykiem AML – obliguje do podjęcia działań wyjaśniających i zintensyfikowania monitoringu.

Wzmożone środki bezpieczeństwa finansowego są bezwzględnie wymagane w czterech przypadkach:

1. Relacje z PEP (osobami na eksponowanych stanowiskach politycznych)
2. Relacje korespondenckie
3. Klienci z krajów trzecich wysokiego ryzyka
4. Ujawnienie transakcji nietypowych (art. 43 ust. 4)

Komunikat GIIF nr 73 dodatkowo ostrzega przed „deriskingiem” – masowym odrzucaniem klientów z określonych branż lub regionów bez indywidualnej oceny ryzyka. Intensyfikacja monitoringu nie może być zastępowana przez proste odrzucanie całych kategorii klientów.

Dokumentowanie zmian w profilu klienta – minimum, które musisz spełnić

Tu pojawia się istotna luka regulacyjna: ustawa AML oraz komunikaty GIIF nie zawierają szczegółowego katalogu „minimalnych pól” ani konkretnych formatów dokumentowania zmian w profilu klienta. Minimalne wymagania trzeba rekonstruować z ogólnych przepisów i wytycznych.

Jakie zmiany musisz dokumentować

Na podstawie art. 34, 36 i 43 ustawy AML oraz komunikatów GIIF nr 22, 45 i 114 – każda istotna zmiana w poniższych elementach musi być utrwalona:

Profil klienta według komunikatu GIIF nr 114

Komunikat nr 114 GIIF wskazuje, że instytucja obowiązana powinna budować profil klienta obejmujący:

1. Sposób, w jaki klient zamierza korzystać z relacji z instytucją
2. Typowe kwoty transakcji i częstotliwość operacji
3. Produkty i usługi, z których korzysta
4. Obszary geograficzne działalności
5. Formę organizacyjną (osoba fizyczna/prawna)
6. Profil działalności klienta

Każda aktywność klienta jest porównywana do tego profilu. Komunikat GIIF nr 45 precyzuje, że nawet przegląd, który nie prowadzi do zmiany kategorii ryzyka, powinien pozostawić zapis w dokumentacji.

Rozbieżności z CRBR

Art. 50–61 ustawy AML nakładają obowiązek odnotowywania rozbieżności między informacjami z Centralnego Rejestru Beneficjentów Rzeczywistych a danymi ustalonymi przez instytucję w ramach stosowania ustawy. Komunikat GIIF nr 114 podkreśla, że przy identyfikacji beneficjenta rzeczywistego nie można polegać wyłącznie na informacjach z CRBR – konieczne są niezależne czynności weryfikacyjne.

Przechowywanie danych: kto ma dostęp, jak długo, w jakiej formie

Okres retencji – 5 lat, ale od kiedy?

Art. 49 ustawy AML określa okres przechowywania danych AML na 5 lat, ale moment rozpoczęcia biegu terminu różni się w zależności od kategorii danych:

GIIF może przedłużyć okres retencji – np. na potrzeby postępowania karnego.

Relacja AML–RODO

Ustawa AML jako przepis szczególny uzasadnia przechowywanie danych przez 5 lat, nawet jeśli z zasady minimalizacji RODO wynikałby krótszy okres. Prezes UODO wskazuje jednak, że uprawnienie do kopiowania dokumentów tożsamości nie jest bezwzględne – instytucja musi ocenić niezbędność kopiowania w konkretnym przypadku (zasada proporcjonalności).

Po upływie 5-letniego okresu retencji dane powinny być usunięte lub zanonimizowane, chyba że inny przepis (podatkowy, rachunkowy, procesowy) uzasadnia dalsze przechowywanie. Dlatego Twoja firma potrzebuje spójnej polityki retencji uwzględniającej oba reżimy.

Zasady dostępu

1. Zasada „need to know” – dostęp do danych AML wyłącznie dla osób, dla których jest niezbędny do wykonywania zadań służbowych
2. System ról i uprawnień w systemach informatycznych powinien odzwierciedlać strukturę organizacyjną
3. Rejestrowanie logów dostępu – kto, kiedy i do jakich danych uzyskał dostęp
4. Klauzule poufności obejmujące dane AML, obowiązujące także po zakończeniu stosunku pracy
5. Nadzór zamkniętych alertów – powinien podlegać osobie kierującej komórką AML/CFT (stanowisko KNF)

Częstotliwość przeglądów KYC

Stanowisko KNF (załącznik D) określa zalecane minimalne częstotliwości przeglądów:

Wzorcowa procedura Krajowej Izby Radców Prawnych (KIRP) dodaje: przy znacznej zmianie czynników ryzyka – aktualizacja niezwłocznie, bez czekania na upływ rocznego okresu.

Plan naprawczy: 4 kroki od martwej procedury do działającego systemu

Jeśli Twoja firma ma procedurę AML, ale nie jest w stanie wykazać ciągłości monitoringu, dokumentowania zmian w profilach klientów ani kompletności archiwum decyzji – potrzebujesz planu naprawczego. Poniżej cztery etapy, które pozwolą Ci przejść od stanu „dokument na półce” do systemu, który wytrzyma kontrolę.

Krok 1: diagnoza stanu obecnego

Zacznij od porównania tego, co masz, z tym, czego wymaga ustawa AML. Sprawdź:

1. Czy Twoja ocena ryzyka obejmuje wszystkie wymagane kategorie czynników (klienci, państwa, produkty, usługi, transakcje, kanały dystrybucji) i czy była aktualizowana w ciągu ostatnich 2 lat
2. Czy prowadzisz rejestr alertów transakcyjnych i dokumentujesz wyniki ich rozpatrzenia
3. Czy profile klientów są aktualne – czy odnotowujesz zmiany danych identyfikacyjnych, beneficjentów rzeczywistych i celu stosunków gospodarczych
4. Czy masz dokumentację szkoleń (lista obecności + program) obejmującą wszystkich wykonujących obowiązki AML
5. Czy dokumentacja jest przechowywana w bezpiecznym miejscu z kontrolowanym dostępem

Krok 2: aktualizacja oceny ryzyka i procedury

Na podstawie diagnozy zaktualizuj:

1. Ocenę ryzyka instytucji – uwzględnij zmiany w otoczeniu regulacyjnym, nowe produkty, nowe rynki, zmiany w profilu klientów. Przedstaw ją zarządowi do zatwierdzenia.
2. Wewnętrzną procedurę AML/CFT – dopasuj do aktualnej oceny ryzyka, uzupełnij o brakujące elementy (np. mechanizm whistleblowingowy, zasady aktualizacji profili klientów, scenariusze eskalacji).
3. Politykę retencji danych – spójną z ustawą AML (5 lat) i RODO (minimalizacja danych po upływie okresu retencji).

Krok 3: wdrożenie procesów operacyjnych

Procedura musi przełożyć się na codzienne działania:

1. Ustal harmonogram przeglądów KYC zgodny ze stanowiskiem KNF (co 1 rok dla klientów wysokiego ryzyka, co 2–3 lata dla standardowego, co 4–5 lat dla niskiego)
2. Wdróż mechanizm aktualizacji „on event” – np. automatyczny alert przy zmianie danych w CRBR lub przy transakcji odbiegającej od profilu
3. Wyznacz osobę odpowiedzialną za rejestr alertów i nadzór nad zamkniętymi sprawami
4. Zapewnij szkolenia przed powierzeniem obowiązków AML nowym osobom i po każdej istotnej zmianie przepisów (wymóg art. 52 ustawy AML, komunikat GIIF nr 92)
5. Dokumentuj każdy przegląd – nawet jeśli nie prowadzi do zmiany kategorii ryzyka klienta (komunikat GIIF nr 45)

Krok 4: audyt wewnętrzny i cykliczny przegląd

1. Przeprowadź audyt wewnętrzny po wdrożeniu zmian – sprawdź, czy procesy działają zgodnie z procedurą
2. Zaplanuj cykliczne przeglądy systemu AML (minimum raz na 2 lata, zgodnie z wymogiem aktualizacji oceny ryzyka)
3. Zbieraj informacje zwrotne od zespołu – pracownicy wykonujący obowiązki AML najszybciej zauważą luki w procesach
4. Monitoruj zmiany regulacyjne – unijny Pakiet AML/CFT 2024 i powstanie AMLA (nowego unijnego organu ds. AML) wprowadzą dodatkowe wymogi

Kiedy warto zastąpić arkusze i foldery dedykowanym narzędziem

Arkusze kalkulacyjne i foldery sieciowe mogą wystarczyć na początku – ale mają swoje ograniczenia. Brak automatycznych alertów, ryzyko nadpisania danych, trudności z kontrolą dostępu i brak logów to problemy, które narastają wraz ze skalą działalności.

Europejski Urząd Nadzoru Bankowego wskazuje, że obszar AML jest jednym z najbardziej dostępnych od strony produktowej i usługowej w kontekście rozwiązań RegTech. Na rynku dostępne są narzędzia wspierające procesy KYC, monitoring transakcji, ocenę ryzyka i raportowanie do GIIF.

Kiedy rozważyć przejście na dedykowane narzędzie

Na co uważać przy wdrażaniu narzędzi

Warto pamiętać o ryzyku, które rzadko pojawia się w dyskusjach o automatyzacji AML: nadmierne poleganie analityków na rekomendacjach narzędzia. Jeśli zespół zaczyna ślepo akceptować wyniki algorytmu zamiast bazować na własnej wiedzy i doświadczeniu – narzędzie nie poprawia skuteczności, a ją obniża. Każdorazowo instytucja powinna ocenić, czy wdrożenie technologii rzeczywiście poprawi jakość procesów AML, a nie zastąpi ludzki osąd.

Dedykowane narzędzie powinno:

1. Umożliwiać integrację z GIIF i CRBR (schematy XML wymagane przez organ)
2. Zapewniać kontrolę dostępu opartą na rolach
3. Rejestrować logi dostępu i zmian
4. Automatyzować alerty przy zbliżających się terminach przeglądów KYC
5. Generować raporty na potrzeby kontroli

Jak Ci w tym pomożemy

Jeśli Twoja firma jest instytucją obowiązaną i masz procedurę AML, ale nie jesteś pewien, czy wytrzyma kontrolę – potrzebujesz nie tylko korekty dokumentów, ale uporządkowania całego systemu: od oceny ryzyka, przez procesy operacyjne, po archiwizację decyzji.

Łączymy doradztwo prawne z narzędziem AMLtrack, które prowadzi zespół przez proces krok po kroku – od onboardingu klienta, przez monitoring transakcji, po raportowanie. Każdy element jest dopasowany do modelu działalności i skali organizacji.

Nasze wsparcie obejmuje trzy obszary:

1. Audyt i mapa ryzyk – sprawdzamy, co masz, czego brakuje i gdzie jest ryzyko naruszenia. Przygotowujemy raport z konkretnymi rekomendacjami.
2. Wdrożenie systemu AML (procedury + AMLtrack) – porządkujemy procedury, wdrażamy narzędzie, szkolimy zespół. System prowadzi pracowników przez decyzje – zamiast zostawiać je do interpretacji.
3. Stałe wsparcie i monitoring obowiązków – śledzimy zmiany regulacyjne, aktualizujemy procedury, wspieramy przy kontrolach.

Efektem jest system AML, który porządkuje decyzje, automatyzuje powtarzalne czynności i daje zarządowi kontrolę nad ryzykiem – bez spowalniania onboardingu klientów ani relacji biznesowych.

Procedura AML to za mało – potrzebujesz systemu, który działa codziennie

Procedura AML w szufladzie to ryzyko – finansowe, regulacyjne i reputacyjne. GIIF sprawdza nie dokument, ale system: ciągłość monitoringu, kompletność dokumentacji, aktualność profili klientów i jakość szkoleń. Raport NIK potwierdza, że organy kontrolne zaostrzają podejście, a unijny Pakiet AML/CFT 2024 przyniesie kolejne wymagania.

Jeśli chcesz uporządkować system AML w swojej firmie – od diagnozy, przez wdrożenie procesów, po wybór odpowiedniego narzędzia – napisz do nas. Pomożemy Ci przejść od martwej procedury do systemu, który wytrzyma kontrolę i nie blokuje codziennej pracy zespołu.

Najczęściej zadawane pytania

Czy posiadanie procedury AML wystarczy, żeby przejść kontrolę GIIF? Nie. GIIF bada nie istnienie dokumentu, a funkcjonowanie całego systemu – ocenę ryzyka, stosowanie środków bezpieczeństwa finansowego, bieżący monitoring transakcji, szkolenia personelu i kompletność dokumentacji. Procedura jest dowodem przyjętej koncepcji, nie dowodem jej realizacji. Jeśli nie jesteś w stanie wykazać ciągłości monitoringu i dokumentowania zmian w profilach klientów, organ kontrolny uzna to za naruszenie obowiązków ustawowych.

Jak długo muszę przechowywać dokumentację AML? Art. 49 ustawy AML określa okres retencji na 5 lat, ale moment rozpoczęcia biegu terminu zależy od kategorii danych. Kopie dokumentów KYC i ewidencje transakcji – 5 lat od zakończenia stosunków gospodarczych z klientem lub od dnia transakcji okazjonalnej. Wyniki bieżących analiz transakcji – 5 lat od dnia przeprowadzenia analizy (niezależnie od zakończenia relacji z klientem). GIIF może przedłużyć ten okres na potrzeby postępowania karnego.

Czym jest „ciągłość monitoringu” i jak ją wykazać? Ciągłość monitoringu oznacza, że analiza transakcji klienta, badanie źródeł środków i aktualizacja danych to procesy stałe – nie jednorazowe czynności wykonywane przy nawiązaniu relacji. Art. 43 ust. 3 ustawy AML wprost stanowi, że instytucje obowiązane prowadzą bieżącą analizę transakcji. Aby wykazać ciągłość, musisz prowadzić rejestry alertów, dokumentować wyniki analiz i odnotowywać przeglądy profili klientów – nawet jeśli przegląd nie prowadzi do zmiany kategorii ryzyka (komunikat GIIF nr 45).

Jak często powinienem aktualizować profile klientów? Stanowisko KNF (załącznik D) określa zalecane minimalne częstotliwości: dla klientów niskiego ryzyka – co 4–5 lat, standardowego – co 2–3 lata, wysokiego – co najmniej raz do roku. Przy znacznej zmianie czynników ryzyka (np. zmiana struktury właścicielskiej, pojawienie się PEP) aktualizacja powinna nastąpić niezwłocznie, bez czekania na upływ rocznego okresu. Każda aktualizacja musi być udokumentowana.

Kiedy arkusze kalkulacyjne przestają wystarczać do obsługi AML? Arkusze stają się ryzykowne, gdy obsługujesz więcej niż kilkudziesięciu klientów wymagających KYC, przetwarzasz transakcje z wielu kanałów, masz klientów z kategorii wysokiego ryzyka lub nie jesteś w stanie wykazać logów dostępu do danych AML. Dedykowane narzędzie powinno zapewniać kontrolę dostępu opartą na rolach, automatyczne alerty przy zbliżających się terminach przeglądów i możliwość integracji z GIIF oraz CRBR.

Jakie kary grożą za brak działającego systemu AML? Za naruszenie przepisów ustawy AML grożą sankcje administracyjne (kara pieniężna do 1 mln euro) oraz sankcje karne (grzywna i/lub pozbawienie wolności od 3 miesięcy do 5 lat). Dotychczasowe kary nakładane w Polsce sięgają od 100–200 tys. zł do kilku milionów złotych, a lista ukaranych podmiotów jest publicznie dostępna na stronie Ministerstwa Finansów.