Ręczny monitoring AML nie skaluje się. Kiedy i jak przejść na automatyzację procesów KYC

Jeśli prowadzisz fintech, instytucję płatniczą lub kantor kryptowalut, to wiesz, jak wygląda ręczny monitoring AML od środka: arkusze kalkulacyjne z danymi klientów, foldery z kopiami dokumentów, maile z pytaniami o źródło środków i notatki w Wordzie zamiast spójnej dokumentacji. Przy dwudziestu klientach to jeszcze działa. Przy dwustu — zaczyna generować błędy. Przy pięciuset — staje się ryzykiem samym w sobie.

Polskie przepisy AML nie wyznaczają liczbowego progu, po którym ręczny monitoring jest niezgodny z prawem. Wyznaczają za to coś trudniejszego do spełnienia: obowiązek proporcjonalności. Twoja firma sama musi ocenić, czy jej procesy są adekwatne do skali działalności. A KNF wprost wskazuje, że przy „znacznej liczbie transakcji” bieżąca analiza powinna odbywać się z wykorzystaniem programów informatycznych.

W tym artykule pokażę, kiedy ręczny proces AML przestaje ograniczać ryzyko i zaczyna je tworzyć, jakie wymogi procesu ciągłego wykraczają poza możliwości arkusza kalkulacyjnego, jakie błędy najczęściej ujawniają kontrole GIIF — i jak zaplanować przejście na automatyzację krok po kroku.

Podstawowe pojęcia, które warto znać

Zanim przejdziemy do szczegółów, warto uporządkować terminologię. W artykule wielokrotnie pojawiają się skróty i pojęcia, które mają konkretne znaczenie prawne.

Skala, przy której ręczny AML zaczyna generować ryzyko

Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu nie podaje liczby klientów ani transakcji, po przekroczeniu której musisz wdrożyć system informatyczny. Stosuje podejście oparte na ryzyku (risk-based approach): to Twoja firma ocenia, czy jej procesy są adekwatne do skali.

Ale KNF w wytycznych dla Krajowych Instytucji Płatniczych formułuje to precyzyjniej: przy „znacznej liczbie transakcji” bieżąca analiza powinna odbywać się z wykorzystaniem programów informatycznych stosujących odpowiednie reguły wyszukujące transakcje potencjalnie podejrzane. Pojęcie „znacznej liczby” nie jest zdefiniowane liczbowo — i to celowe. Nadzorca oczekuje, że instytucja sama ustali ten próg, ale oczekuje też automatyzacji od pewnej skali.

Wyrok WSA z 10 sierpnia 2021 r. (sygn. V SA/Wa 2574/21) potwierdza zasadę proporcjonalności: działania AML mają być proporcjonalne do charakteru i wielkości instytucji obowiązanej. Rosnąca skala automatycznie wymusza bardziej zaawansowane narzędzia.

Cztery typy ryzyka, które rośnie wraz ze skalą

Co więcej, KNF wskazuje, że same narzędzia i systemy informatyczne wykorzystywane przez instytucję obowiązaną stanowią czynnik ryzyka w ocenie ryzyka instytucji. Brak odpowiednich narzędzi IT podnosi ocenę ryzyka Twojej firmy — nawet jeśli dotychczas nie doszło do żadnego incydentu.

Punkt krytyczny osiągasz, gdy liczba klientów i transakcji przewyższa możliwości rzetelnej analizy przez pracowników AML przy zachowaniu norm czasu pracy. W sektorze bankowym, gdzie dzienny wolumen transakcji liczy się w setkach tysięcy, manualne łączenie profilu klienta z każdą transakcją jest niemożliwe. Ale ten sam mechanizm działa w fintechach i kantorach kryptowalut — tyle że próg pojawia się wcześniej, niż myślisz.

Jeśli Twoja firma rośnie i widzisz, że zespół AML nie nadąża — napisz do nas. Pomożemy ocenić, czy Twoje procesy są jeszcze adekwatne do skali.

Co musi spełniać proces ciągły AML — i dlaczego arkusz tego nie pokryje

Art. 34 ust. 1 ustawy AML definiuje środki bezpieczeństwa finansowego, które obejmują m.in. bieżące monitorowanie stosunków gospodarczych klienta. Komunikat GIIF nr 22 precyzuje, że to monitorowanie obejmuje analizę transakcji w celu zapewnienia ich zgodności z wiedzą instytucji o kliencie, badanie źródła pochodzenia wartości majątkowych oraz bieżącą aktualizację dokumentów i danych.

To nie jest jednorazowe sprawdzenie przy onboardingu. To proces, który trwa przez cały okres relacji z klientem.

Siedem wymogów, których arkusz kalkulacyjny nie spełni

1. Automatyczny monitoring transakcji w czasie zbliżonym do rzeczywistego. Arkusz nie „widzi” nowych transakcji — ktoś musi je ręcznie wprowadzić. Przy dziennym wolumenie liczonym w setkach operacji opóźnienie rośnie z godzin do dni.
2. Integracja z listami sankcyjnymi i PEP z funkcją fuzzy matching. Listy sankcyjne zmieniają się dynamicznie. Arkusz nie porówna automatycznie nazwisk klientów z aktualnymi listami, nie uwzględni transliteracji ani wariantów pisowni.
3. Śledzenie zmian i rekonstrukcja stanu wiedzy na dany moment w przeszłości. Komunikat GIIF nr 45 wymaga, by każda zmiana w sytuacji klienta — zmiana w zarządzie, przejęcie przez nowego właściciela, nowy typ transakcji — mogła zainicjować aktualizację oceny ryzyka. Arkusz nie rejestruje, kto, kiedy i co zmienił. Użytkownik może nadpisać formułę lub usunąć dane bez możliwości wykrycia tego po kilku miesiącach.
4. Generowanie raportów do GIIF w wymaganych formatach XML. Art. 72 ustawy AML nakłada obowiązek przekazywania informacji o transakcjach przekraczających równowartość 15 000 euro. Schematy XML opublikowane w centralnym repozytorium wzorów dokumentów elektronicznych są standardem raportowania. Arkusz nie posiada natywnego wsparcia dla generowania takich plików.
5. Zintegrowane zarządzanie ryzykiem instytucji i klientów. KNF wymaga przypisywania kategorii ryzyka (niskie, normalne, wysokie, nieakceptowalne) z harmonogramami przeglądów zależnymi od poziomu ryzyka. Nowe standardy europejskie wskazują: nie rzadziej niż co rok dla ryzyka wysokiego, nie rzadziej niż co 5 lat dla ryzyka normalnego i niskiego. Przy kilkuset klientach ręczne pilnowanie tych terminów jest niewykonalne.
6. Zarządzanie alertami z przypisaniem do analityka, monitorowaniem statusu i rejestrowaniem decyzji. KNF wskazuje, że reguły w systemach analizujących transakcje powinny być aktualizowane, a każda analiza alertu powinna podlegać archiwizacji. Arkusz nie oferuje workflow alertów.
7. Automatyczna retencja danych zgodna z wymogami ustawy AML. Obowiązek przechowywania dokumentów przez co najmniej 5 lat od zakończenia stosunków gospodarczych, z możliwością przedłużenia przez GIIF o kolejne 5 lat. Arkusz nie oferuje mechanizmów automatycznego ograniczenia czasu przechowywania danych ani kontroli dostępu zgodnej z RODO.

Wymogi RODO, o których łatwo zapomnieć

Decyzja UODO dotycząca jednego z banków pokazała, że skanowanie dowodów osobistych jest legalne w kontekście ustawy AML wyłącznie wtedy, gdy wiąże się z koniecznym stosowaniem środków bezpieczeństwa finansowego. Bank, który skanował dokumenty w sytuacjach niepowiązanych z obowiązkami AML, został ukarany znaczną karą finansową. Arkusz kalkulacyjny nie rozróżnia kontekstu przetwarzania danych — nie zapewnia minimalizacji danych, ograniczenia celu ani rozliczalności wymaganej przez RODO.

Typowe błędy przy ręcznym monitoringu — i ich konsekwencje przy kontroli

Kontrola GIIF wszczynana jest po uprzednim zawiadomieniu instytucji obowiązanej. Między doręczeniem zawiadomienia a rozpoczęciem kontroli upływa od 7 do 30 dni. To niewiele czasu na uporządkowanie dokumentacji, która powinna być kompletna na bieżąco.

Decyzja KNF wobec Credit Agricole Bank Polska S.A.

KNF nałożyła na Credit Agricole Bank Polska S.A. łączną karę pieniężną 1 000 000 zł za naruszenia obejmujące:

1. Niesporządzenie oceny ryzyka w sposób umożliwiający identyfikację i ocenę ryzyka związanego z praniem pieniędzy (naruszenie art. 27 ustawy AML).
2. Niezastosowanie środków bezpieczeństwa finansowego dotyczących identyfikacji beneficjenta rzeczywistego (naruszenie art. 33 i 34 ustawy AML).
3. Brak właściwego bieżącego monitorowania stosunków gospodarczych klienta poprzez analizę transakcji i aktualizację dokumentów.

Bank nie wniósł skargi do sądu, co potwierdza akceptację ustaleń organu nadzoru.

Raport NIK za lata 2022–2024

NIK oceniła skuteczność polskiego systemu AML/CFT jako niewystarczającą. Polska znajduje się w pierwszej dziesiątce krajów o najwyższym ryzyku prania pieniędzy i finansowania terroryzmu w Europie. NIK zaleciła m.in. zintensyfikowanie prac nad Systemem Informatycznym GIIF 2.0 wraz z implementacją aplikacji goAML.

Cztery grupy błędów, które kontrola ujawnia najczęściej

GIIF wskazuje, że przyjmowanie zdawkowych wyjaśnień klientów, które nie pozwalają na faktyczne zrozumienie ich aktywności, nie może być uznane za należyte zastosowanie środków bezpieczeństwa finansowego. Jeśli instytucja nie jest w stanie przedstawić dokumentacji potwierdzającej przeprowadzenie analizy, kontrolerzy mogą uznać, że obowiązki nie zostały wykonane — niezależnie od tego, czy analiza faktycznie miała miejsce.

Warto też pamiętać o obowiązku szkoleniowym. Komunikat nr 92 GIIF, UKNF i NBP precyzuje, że obowiązek szkoleniowy dotyczy wszystkich osób wykonujących obowiązki AML/CFT — pracowników, osób na umowach cywilnoprawnych, agentów, członków zarządu. Niedopuszczalne jest wzajemne szkolenie pracowników w ramach tej samej instytucji, jeśli żadna z tych osób nie odbyła szkolenia zewnętrznego.

Kryteria wyboru narzędzia do automatyzacji AML

Polskie przepisy nie zawierają katalogu „certyfikowanych” narzędzi informatycznych AML/KYC. Kryteria wyboru wynikają pośrednio z obowiązków instytucji obowiązanych i oczekiwań organów nadzoru. Poniżej zestawienie tego, na co zwrócić uwagę.

Kryteria funkcjonalne

Kryteria bezpieczeństwa i audytu

1. Kontrola dostępu z definiowaniem ról — analityk AML, AMLRO, kierownik, audytor — z przypisaniem uprawnień do konkretnych funkcji.
2. Pełne dziennikowanie aktywności — kto, kiedy, jakie dane przeglądał, modyfikował, zatwierdzał.
3. Automatyczna retencja danych — mechanizm pilnujący 5-letniego (z możliwością 10-letniego) okresu archiwizacji.
4. Zgodność z RODO — minimalizacja danych, ograniczenie celu, integralność i poufność, rozliczalność.
5. Możliwość rekonstrukcji stanu wiedzy — odtworzenie tego, co instytucja wiedziała o kliencie na dany moment w przeszłości.

Ważne zastrzeżenie: automatyzacja nie zastępuje ludzkiego osądu

Europejski Urząd Nadzoru Bankowego (EBA) potwierdza, że obszar AML jest najbardziej dojrzały od strony produktowej w kategorii RegTech — rynek oferuje wiele rozwiązań. Ale komentarze do ustawy AML wskazują na rzadko dyskutowane ryzyko: analitycy mogą zbytnio sugerować się rekomendacjami narzędzi AI zamiast bazować na własnej wiedzy i doświadczeniu. Narzędzie automatyzuje powtarzalne czynności i porządkuje dane. Decyzję o zgłoszeniu transakcji do GIIF podejmuje człowiek.

Jak AMLtrack łączy procedurę, monitoring i dokumentację

AMLtrack to narzędzie, które łączy doradztwo prawne z technologią — prowadzi zespół przez proces AML krok po kroku, zamiast zostawiać decyzje do samodzielnej interpretacji.

Co robi AMLtrack w codziennej pracy zespołu AML

1. Weryfikacja klientów — automatyczne sprawdzanie w KRS, CEIDG, CRBR oraz na listach sankcyjnych i PEP.
2. Ocena ryzyka — przypisywanie kategorii ryzyka na podstawie zdefiniowanych kryteriów, z automatycznymi harmonogramami przeglądów.
3. Monitoring transakcji — bieżąca analiza z regułami detekcyjnymi i agregacją transakcji powiązanych.
4. Dokumentacja i archiwizacja — pełna ścieżka audytu: każda decyzja, każda zmiana, każdy przegląd jest zarejestrowany i dostępny dla kontroli.
5. Raportowanie — generowanie dokumentów w formatach wymaganych przez GIIF.

Dzięki temu AMLRO ma dostęp do pełnego, aktualnego obrazu ryzyka i aktywności klientów — nie musi kompilować danych z kilku arkuszy, folderów i skrzynek mailowych.

Jeśli chcesz sprawdzić, jak AMLtrack może uprościć procesy AML w Twojej firmie — napisz do nas.

Plan przejścia: od ręcznego procesu do działającego systemu w czterech etapach

Wdrożenie automatyzacji AML nie musi oznaczać rewolucji. Poniżej plan, który pozwala przejść od ręcznego procesu do zautomatyzowanego systemu bez przerywania bieżącej działalności.

Etap I: diagnoza i mapowanie (2–4 tygodnie)

1. Przegląd aktualnych procedur AML — jak wygląda onboarding klienta, monitoring transakcji, raportowanie, archiwizacja.
2. Identyfikacja luk między stanem faktycznym a wymogami ustawy AML i wytycznymi KNF.
3. Ocena skali: liczba klientów, wolumen transakcji, liczba alertów, obciążenie zespołu AML.
4. Mapowanie przepływu danych — skąd pochodzą informacje o klientach i transakcjach, gdzie są przechowywane, kto ma do nich dostęp.

Etap II: projekt docelowego modelu (2–3 tygodnie)

1. Zdefiniowanie docelowego modelu procesów AML/KYC — z uwzględnieniem kategoryzacji ryzyka, harmonogramów przeglądów i reguł detekcyjnych.
2. Wybór narzędzia na podstawie kryteriów opisanych powyżej — funkcjonalnych, bezpieczeństwa i audytu.
3. Określenie ról i uprawnień w systemie — kto analizuje alerty, kto zatwierdza decyzje, kto raportuje do GIIF.
4. Zaplanowanie integracji z istniejącymi systemami (systemy transakcyjne, CRM, rejestry publiczne).

Etap III: wdrożenie i migracja (4–8 tygodni)

1. Konfiguracja narzędzia — reguły detekcyjne, kategorie ryzyka, harmonogramy przeglądów, szablony raportów.
2. Migracja danych klientów z dotychczasowych źródeł (arkusze, foldery, systemy) do nowego narzędzia.
3. Szkolenie zespołu AML — zgodnie z art. 52 ustawy AML i Komunikatem nr 92 GIIF. Szkolenie musi obejmować wszystkie osoby wykonujące obowiązki AML/CFT.
4. Równoległa praca w starym i nowym systemie przez okres przejściowy — weryfikacja poprawności danych i procesów.

Etap IV: utrzymanie i doskonalenie (ciągłe)

1. Monitoring efektywności systemu — czy alerty są adekwatne, czy reguły detekcyjne wymagają kalibracji.
2. Aktualizacja oceny ryzyka instytucji — nie rzadziej niż co dwa lata (art. 27 ustawy AML).
3. Regularne szkolenia zespołu — programy dostosowane do zmian w przepisach i nowych typów zagrożeń.
4. Przegląd i aktualizacja procedur wewnętrznych w odpowiedzi na zmiany regulacyjne, nowe komunikaty GIIF i stanowiska KNF.

Obsługa prawna startupów i instytucji obowiązanych w obszarze AML

Automatyzacja procesów AML to decyzja, która łączy wymiar prawny, technologiczny i organizacyjny. Nie wystarczy kupić narzędzie — trzeba je osadzić w procedurach zgodnych z ustawą AML, dostosować do modelu biznesowego i przeszkolić zespół.

Wspieramy fintechy, instytucje płatnicze i kantory kryptowalut w uporządkowaniu procesów AML — od audytu i mapy ryzyk, przez wdrożenie systemu AML z AMLtrack, po stałe wsparcie i monitoring obowiązków. Każdy element jest dopasowany do modelu działalności i skali organizacji.

Łączymy doradztwo prawne z technologią. AMLtrack prowadzi zespół przez decyzje krok po kroku — zamiast zostawiać je do interpretacji. Dajemy zarządowi widoczność i kontrolę, a zespołowi jasne instrukcje działania.

Jeśli Twoja firma rośnie, a ręczny monitoring AML zaczyna generować ryzyko zamiast je ograniczać — napisz do nas. Pomożemy zaplanować przejście na automatyzację w sposób, który nie zatrzyma Twojej działalności.

Podsumowanie

Ręczny monitoring AML działa przy niewielkiej skali. Ale rosnąca liczba klientów i transakcji sprawia, że arkusze kalkulacyjne, foldery i maile przestają spełniać wymogi ustawy AML — nie zapewniają ciągłego monitoringu, kontroli dostępu, raportowania w formatach XML ani pełnej ścieżki audytu.

KNF oczekuje automatyzacji od pewnej skali. NIK ocenia skuteczność polskiego systemu AML jako niewystarczającą. Kary administracyjne — jak 1 000 000 zł nałożone na Credit Agricole Bank Polska S.A. — pokazują, że organy nadzoru egzekwują obowiązki.

Przejście na zautomatyzowany system nie musi być rewolucją. Cztery etapy — diagnoza, projekt, wdrożenie, utrzymanie — pozwalają uporządkować procesy bez przerywania działalności. Zacznij od audytu obecnych procesów i oceny, czy są jeszcze adekwatne do skali Twojej firmy.

Najczęściej zadawane pytania

Czy ustawa AML wyznacza konkretny próg liczby klientów, po którym trzeba wdrożyć system informatyczny?
Nie. Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu stosuje podejście oparte na ryzyku — instytucja obowiązana sama ocenia adekwatność swoich procesów. KNF w wytycznych dla Krajowych Instytucji Płatniczych wskazuje, że przy „znacznej liczbie transakcji” bieżąca analiza powinna odbywać się z wykorzystaniem programów informatycznych, ale nie definiuje tego progu liczbowo. Wyrok WSA z 10 sierpnia 2021 r. (sygn. V SA/Wa 2574/21) potwierdza zasadę proporcjonalności — środki AML muszą być proporcjonalne do charakteru i wielkości instytucji.

Jakie kary grożą za błędy w monitoringu AML wykryte podczas kontroli?
Kary administracyjne mogą sięgać do 1 mln euro. KNF nałożyła na Credit Agricole Bank Polska S.A. karę 1 000 000 zł za m.in. brak właściwego bieżącego monitorowania stosunków gospodarczych klienta. Ministerstwo Finansów prowadzi publiczną stronę z informacjami o nałożonych karach. Poza karami finansowymi instytucja musi liczyć się z zaleceniami pokontrolnymi, obowiązkiem ich wdrożenia oraz ryzykiem powtórnej kontroli w przypadku rażących naruszeń.

Jak długo trzeba przechowywać dokumenty AML i czy arkusz kalkulacyjny spełnia wymogi archiwizacji?
Ustawa AML nakłada obowiązek przechowywania dokumentów i informacji przez co najmniej 5 lat od dnia zakończenia stosunków gospodarczych lub od dnia przeprowadzenia transakcji okazjonalnej. GIIF może zażądać przedłużenia tego okresu o kolejne 5 lat — łącznie do 10 lat. Arkusz kalkulacyjny nie oferuje mechanizmów automatycznej retencji danych, kontroli dostępu z dziennikowaniem aktywności ani ograniczenia czasu przechowywania zgodnego z RODO.

Ile czasu zajmuje przejście z ręcznego monitoringu AML na zautomatyzowany system?
Przy odpowiednim zaplanowaniu — od 10 do 17 tygodni, w zależności od skali i złożoności procesów. Diagnoza i mapowanie zajmują 2–4 tygodnie, projekt docelowego modelu 2–3 tygodnie, a wdrożenie z migracją danych i szkoleniem zespołu 4–8 tygodni. Następnie rozpoczyna się etap ciągłego utrzymania i doskonalenia systemu.

Czy automatyzacja AML oznacza, że nie potrzebuję zespołu AML?
Nie. Automatyzacja porządkuje powtarzalne czynności — screening list sankcyjnych, agregację transakcji, pilnowanie terminów przeglądów, generowanie raportów XML. Ale decyzję o zgłoszeniu transakcji do GIIF podejmuje człowiek. Komentarze do ustawy AML wskazują na ryzyko nadmiernego polegania analityków na rekomendacjach narzędzi AI — narzędzie wspiera, ale nie zastępuje ludzkiego osądu i doświadczenia.

Czy mała instytucja obowiązana (np. biuro rachunkowe) też musi automatyzować procesy AML?
Niekoniecznie. Przy niewielkim wolumenie transakcji i bezpośrednich relacjach z klientami ręczny AML może być adekwatny. Zasada proporcjonalności działa w obie strony — nie można wymagać, aby mała instytucja stosowała środki na takim samym poziomie szczegółowości jak bank. Ale nawet w małych podmiotach wzrost skali działalności może sprawić, że dotychczasowe metody staną się niewystarczające. Warto okresowo weryfikować, czy procesy nadal odpowiadają skali.