AML bez ustawy. Kiedy obowiązki nakłada na Ciebie nie przepis, a umowa z bankiem finansującym

Zarząd grupy deweloperskiej pyta: „czy podlegamy AML?”. Nie ma na to jednej odpowiedzi — jest kilkanaście, po jednej dla każdej spółki w strukturze. A równolegle istnieje druga odpowiedź, której nie znajdziesz w ustawie, tylko w umowie kredytowej: bank już zdecydował, że weryfikować musisz.

Twoja firma może nie być instytucją obowiązaną w rozumieniu ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy, a mimo to musieć prowadzić udokumentowaną weryfikację kontrahentów. Źródłem tego obowiązku jest umowa z bankiem finansującym inwestycję — nie przepis, lecz covenant. I często to właśnie ten drugi reżim okazuje się pilniejszy, bo bank nie czeka na kontrolę GIIF — sam żąda dowodów.

W tym artykule pokażę, jak rozstrzygnąć status każdej spółki w grupie, jak rozdzielić obowiązek ustawowy od kontraktowego i co zrobić, żeby weryfikacja kontrahentów była udokumentowana — niezależnie od tego, skąd wynika.

Podstawowe pojęcia, zanim przejdziemy dalej

Zanim wejdziemy w szczegóły, warto uporządkować kilka terminów, które pojawiają się w dalszej części tekstu.

Dlaczego status AML trzeba ustalać spółka po spółce

Grupy kapitałowe — szczególnie w branży deweloperskiej — składają się z kilkunastu, czasem kilkudziesięciu podmiotów o różnych funkcjach. Spółki projektowe budują i przyjmują wpłaty nabywców. Spółka sprzedażowa pozyskuje klientów i prowadzi negocjacje. Spółka zarządzająca obsługuje księgowość całego holdingu.

Naturalne pytanie zarządu brzmi: „czy jako grupa podlegamy AML?”. Odpowiedź jest jedna: nie istnieje zbiorczy status AML dla grupy kapitałowej. Katalog instytucji obowiązanych z art. 2 ust. 1 ustawy AML jest zamknięty i odnosi się do czynności faktycznie wykonywanych przez konkretny podmiot — nie do struktury właścicielskiej.

Trzy pytania do każdej spółki

Dla każdego podmiotu w grupie odpowiedz na trzy pytania:

1. Jakie czynności faktycznie wykonuje ta spółka?
2. Czy któraś z tych czynności mieści się w katalogu z art. 2 ust. 1 ustawy AML?
3. Czy spółka przyjmuje płatności gotówkowe powyżej równowartości 10 000 euro?

Wynik tej analizy zapisz jako dokument — uzasadnia on, dlaczego część spółek procedury AML nie ma i mieć nie musi.

Gdzie w grupie deweloperskiej najczęściej pojawia się status instytucji obowiązanej

Deweloper sprzedający wyłącznie lokale wybudowane we własnym imieniu i na własny rachunek co do zasady nie jest instytucją obowiązaną — zbywa własny towar, nie pośredniczy. Ale spółka, która sprzedaje lokale w imieniu spółek projektowych, wykazuje cechy pośrednika w obrocie nieruchomościami. Kwalifikacja zależy od tego, kto jest stroną umowy z nabywcą, kto zawiera umowy rezerwacyjne i deweloperskie, czy spółka sprzedażowa działa na podstawie pełnomocnictwa.

Odrębność osobowości prawnej spółek w grupie ma tu znaczenie. Spółka sprzedażowa nie nabywa tytułu prawnego do lokali tylko przez przynależność do holdingu (Ustawa AML — tekst jednolity ISAP).

Ważne: ustawowa procedura grupowa z art. 51 ustawy AML nie pozwala objąć jedną procedurą wszystkich spółek holdingu. Dotyczy ona wyłącznie instytucji obowiązanych wchodzących w skład grupy, ich oddziałów i jednostek zależnych z większościowym udziałem w państwie trzecim. Dla każdej spółki podlegającej ustawie powstaje odrębny zestaw dokumentów — choćby na wspólnym wzorcu (Komunikat MF nr 35 — procedury grupowe AML/CFT).

Drugi reżim: kiedy obowiązek AML wynika z umowy z bankiem

Tu zaczyna się temat, o którym rzadko się pisze. Twoja spółka przeszła analizę, nie jest instytucją obowiązaną — a mimo to bank finansujący inwestycję żąda wykazania, że weryfikujesz klientów i kontrahentów.

Skąd bierze się ten wymóg

Bank sam jest instytucją obowiązaną. Art. 33–36 ustawy AML nakłada na niego obowiązek identyfikacji i weryfikacji klienta, ustalenia beneficjenta rzeczywistego oraz bieżącego monitorowania relacji. Jeżeli bank nie może zastosować wymaganych środków, ustawa przewiduje zakaz nawiązania stosunków gospodarczych lub obowiązek ich rozwiązania (Ustawa AML — tekst jednolity ISAP).

Do tego dochodzi art. 70 Prawa bankowego, który zobowiązuje bank do oceny zdolności kredytowej przed zawarciem umowy. Banki analizują dane rejestrowe, sprawozdania finansowe i przepływy pieniężne (Materiał PARP — finansowanie przedsiębiorstw).

Te ustawowe obowiązki banku tworzą faktyczną podstawę do nakładania na kredytobiorcę wymogów informacyjnych i weryfikacyjnych — w formie covenantów w umowie kredytowej.

Co to oznacza dla Twojej firmy

To rozróżnienie jest fundamentalne. Spółka, która weryfikuje kontrahentów wyłącznie na żądanie banku, nie staje się instytucją obowiązaną i nie powinna tego deklarować. Zadeklarowanie statusu instytucji obowiązanej przez podmiot, który nim nie jest, oznacza dobrowolne przyjęcie pełnego reżimu obowiązków i odpowiedzialności — bez podstawy ustawowej.

W dokumentach wewnętrznych rozdziel i nazwij oba reżimy. Napisz wprost: „weryfikacja kontrahentów prowadzona jest na podstawie zobowiązania z § X umowy kredytowej nr Y, nie na podstawie ustawy AML”.

Skontaktuj się z nami, jeśli potrzebujesz wsparcia w rozdzieleniu obu reżimów i przygotowaniu odpowiedniej dokumentacji.

Co grozi za brak procedury i dokumentacji — kary i sankcje

Sankcje ustawowe

Art. 147 ustawy AML przewiduje katalog sankcji administracyjnych nakładanych na instytucje obowiązane:

1. Publikacja informacji o naruszeniu
2. Nakaz zaprzestania czynności
3. Cofnięcie koncesji lub zezwolenia
4. Zakaz pełnienia obowiązków na stanowisku kierowniczym — sankcja skierowana do konkretnej osoby fizycznej
5. Kara pieniężna

Decyzja Ministra Finansów potwierdza nałożenie kary 50 000 zł za łączne naruszenia: brak osoby odpowiedzialnej (art. 8), brak oceny ryzyka (art. 27), niestosowanie środków bezpieczeństwa finansowego (art. 33) oraz brak procedury wewnętrznej (art. 50) (Kara administracyjna — Gov.pl).

Sprawozdanie GIIF za 2024 r. potwierdza łączną wartość kar z decyzji wydanych w tym roku: 441 500 zł (31 decyzji o karze pieniężnej, 2 decyzje o publikacji w BIP) (Sprawozdanie roczne GIIF za 2024 r.).

Kontrola NIK potwierdziła przykładowe kary w innych postępowaniach: 60 000 zł (brak oceny ryzyka i środków bezpieczeństwa), 1 500 zł (naruszenia dotyczące oceny ryzyka, dokumentowania i procedury) (Raport NIK — funkcjonowanie systemu AML).

Sankcje kontraktowe

Niewykazanie bankowi finansującemu, że proces weryfikacji kontrahentów działa, może uruchomić sankcje z umowy kredytowej. Konkretne mechanizmy zależą od treści umowy, ale funkcjonalnie obejmują wstrzymanie kolejnej transzy, wypowiedzenie umowy lub postawienie kredytu w stan przedterminowej wymagalności. Źródłem sankcji jest tu umowa prywatna — inny organ i inna procedura niż przy kontroli GIIF.

Brak śladu = brak weryfikacji

Art. 49 ustawy AML nakłada obowiązek dokumentowania zastosowanych środków bezpieczeństwa finansowego. NSA w wyroku z 22.05.2019 r. (II GSK 1905/17) stwierdził, że „nie jest wystarczające złożenie przez stronę oświadczenia, że dobrze zna kontrahentów (…) i ma do nich zaufanie”. Sąd podkreślił, że gdyby skarżąca wykonywała wynikające z ustawy obowiązki, „nie miałaby trudności z wykazaniem tej okoliczności”.

Wniosek jest prosty: czynność wykonana bez śladu jest w postępowaniu kontrolnym czynnością niewykonaną — zarówno wobec GIIF, jak i wobec banku żądającego dowodów.

Jak zbudować weryfikację kontrahentów — zakres, źródła, dowody

Jeden zakres danych dla całej grupy

Nawet jeśli podstawa prawna różni się między spółkami (ustawa vs. umowa kredytowa), zakres weryfikacji warto ujednolicić. Dzięki temu unikasz sytuacji, w której każda spółka sprawdza coś innego, a wyniki nie dają się porównać.

Screening sankcyjny — trzy błędy, które go unieważniają

Błąd 1: sprawdzanie tylko nazwy spółki. Sankcja może obejmować osobę fizyczną — reprezentanta, pełnomocnika lub beneficjenta rzeczywistego. Screening zawężony do podmiotu nie wykryje tego ryzyka. Rozszerz zakres podmiotowy na osoby fizyczne stojące za kontrahentem.

Błąd 2: dopasowanie dokładne. To samo nazwisko funkcjonuje na listach w kilku transliteracjach z alfabetu niełacińskiego, z wariantami zapisu imion i literówkami. Wyszukiwanie po dokładnym ciągu znaków zwraca „brak trafień” — kontrola formalnie wykonana, faktycznie pozorna. Przestaw screening na dopasowanie przybliżone i wymagaj, by raport pokazywał porównywane warianty zapisu.

Błąd 3: jednorazowe sprawdzenie. Listy sankcyjne zmieniają się bez zapowiedzi. Screening wykonany raz, przy zawarciu umowy z kontrahentem stałym, zabezpiecza wyłącznie dzień jego wykonania. Dwa miesiące później kontrahent trafia na listę — bez rytmu ponownego skanowania nikt się o tym nie dowie. Ustal częstotliwość rescreeningu dla relacji długoterminowych.

Krajowa lista sankcyjna jest publikowana przez MSWiA w BIP w formie tabeli HTML — bez gwarantowanego API ani pliku do automatycznego pobrania (Lista sankcyjna MSWiA — Gov.pl). Sankcje UE dostępne są w narzędziach Komisji Europejskiej. Automatyzacja pobierania krajowej listy jest możliwa, ale wymaga parsowania HTML bez gwarancji stabilności struktury.

Ocena ryzyka w dwóch warstwach

1. Warstwa danych (automatyczna): dane rejestrowe, wynik screeningu sankcyjnego, powiązania, status w CRBR
2. Warstwa ocenna (decyzja człowieka): branża podwyższonego ryzyka, spójność deklarowanej działalności z transakcją, współpraca kontrahenta przy weryfikacji

Odmowę współpracy kontrahenta przy weryfikacji traktuj jako przesłankę podwyższonego ryzyka.

WSA w wyroku z 10.08.2021 r. (V SA/Wa 2574/21) wskazał, że działania weryfikacyjne mają być „proporcjonalne do charakteru i wielkości instytucji obowiązanej”. Mniejsza spółka w grupie deweloperskiej nie musi stosować procedur na poziomie banku — ale musi je mieć i udokumentować.

Dowód wykonania — co zabezpieczyć

1. Raport z weryfikacji w formacie niezmiennym (PDF, zapis z systemu) odłożony do akt sprawy
2. Log systemowy pokazujący datę, zakres sprawdzenia i osobę wykonującą czynność
3. Oświadczenie kontrahenta o statusie PEP — z datą i podpisem
4. Raport z rozbieżności — np. osoba podpisująca umowę nie figuruje w KRS jako uprawniona do reprezentacji

Dokumentację przechowuj przez 5 lat od zakończenia relacji lub przeprowadzenia transakcji (art. 49 ust. 1 ustawy AML). GIIF może zażądać dalszego przechowywania — ale tylko wobec finansowych instytucji obowiązanych.

Listy sankcyjne a podmioty niebędące instytucjami obowiązanymi

Osobny wątek, o którym warto pamiętać: obowiązek stosowania krajowej listy sankcyjnej wynikający z ustawy z 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę obciąża szeroki krąg podmiotów — także tych, które nie są instytucjami obowiązanymi (Ustawa z 13 kwietnia 2022 r. — ELI).

Unijne wykazy sankcyjne (rozporządzenia Rady (WE) 765/2006 i (UE) 269/2014) obowiązują bezpośrednio — bez implementacji do prawa krajowego.

Listy państw trzecich i organizacji międzynarodowych nie wiążą polskiego przedsiębiorcy wprost, ale mają znaczenie w relacjach z bankami i kontrahentami zagranicznymi.

Wniosek: nawet jeśli Twoja spółka nie jest instytucją obowiązaną i nie ma covenantów w umowie kredytowej — listy sankcyjne i tak Cię dotyczą.

RODO w procesie weryfikacji kontrahentów

Zbieranie danych o kontrahentach, ich reprezentantach i beneficjentach rzeczywistych to przetwarzanie danych osobowych w rozumieniu RODO. Zweryfikuj trzy elementy:

1. Podstawa prawna przetwarzania. Jeśli Twoja spółka jest instytucją obowiązaną — art. 6 ust. 1 lit. c RODO (obowiązek prawny). Jeśli weryfikujesz na podstawie umowy z bankiem — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes) wymaga dodatkowej analizy (RODO — tekst polski EUR-Lex).
2. Zakres danych. Zasada minimalizacji (art. 5 ust. 1 lit. c RODO) ogranicza gromadzenie informacji do niezbędnych. Status PEP nie jest kategorią szczególnych danych z art. 9 RODO, ale weryfikacja może obejmować dane wrażliwe — wtedy potrzebujesz dodatkowej przesłanki z art. 9 ust. 2.
3. Okres przechowywania. 5 lat od zakończenia relacji (art. 49 ustawy AML) — ale tylko jeśli jesteś instytucją obowiązaną. Przy obowiązku kontraktowym okres retencji ustal w oparciu o treść umowy z bankiem i zasadę rozliczalności RODO.

Co zmieni się 10 lipca 2027 r.

Rozporządzenie (UE) 2024/1624 (AMLR) zacznie być stosowane co do zasady 10 lipca 2027 r. Art. 80 ust. 1 AMLR ustanawia unijny limit płatności gotówkowych: 10 000 EUR dla osób handlujących towarami lub świadczących usługi, obejmujący jedną operację lub kilka powiązanych. Państwa członkowskie mogą utrzymać lub wprowadzić niższe limity krajowe (Rozporządzenie (UE) 2024/1624 — EUR-Lex).

Katalog podmiotów zobowiązanych z art. 3 AMLR obejmuje pośredników w obrocie nieruchomościami i podmioty wykonujące określone czynności nieruchomościowe na rzecz klienta.

Do 10 lipca 2027 r. obowiązuje polska ustawa AML i krajowy katalog instytucji obowiązanych. Ale dokumentacja i procedury wymagają przeglądu przed tą datą — przypisz każdej procedurze i polityce właściciela oraz termin przeglądu z wpisanym kamieniem milowym: 10 lipca 2027 r.

Narzędzie na końcu, proces na początku

Częsty błąd: firma najpierw kupuje system weryfikacji, potem zastanawia się, co właściwie ma być weryfikowane. Kończy się to narzędziem skonfigurowanym pod nieustalony proces i procedurą pisaną pod możliwości systemu.

Prawidłowa kolejność:

1. Zmapuj grupę spółka po spółce — rozstrzygnij status
2. Rozdziel i nazwij dwa reżimy (ustawowy vs. kontraktowy)
3. Ustal zakres danych i źródła weryfikacji
4. Zaprojektuj proces: kto wykonuje, kiedy, jak dokumentuje, jak często powtarza
5. Dopiero teraz wybierz narzędzie, które ten proces obsłuży

Ustawa AML nie wskazuje obowiązkowego oprogramowania. Rozwiązanie może być ręczne, półautomatyczne lub komercyjne — o ile zapewnia adekwatność kontroli i możliwość wykazania jej wykonania.

Pamiętaj też: jeśli w grupie jedna spółka wykonuje weryfikacje na rzecz pozostałych (art. 47 ustawy AML), odpowiedzialność za błędy wykonawcy pozostaje po stronie zlecającego. Zlecenie środków bezpieczeństwa finansowego podmiotowi trzeciemu nie przenosi odpowiedzialności — jest to ograniczone do trzech pierwszych środków z art. 34 ust. 1 pkt 1–3 i nie obejmuje analizy transakcji ani okresowej weryfikacji.

Jak możemy pomóc Twojej firmie

Mapowanie AML grupy kapitałowej to proces, który wymaga jednoczesnej znajomości prawa spółek, ustawy AML, reżimu sankcyjnego i specyfiki umów kredytowych. Łączymy te obszary, zamiast rozbijać je na osobne zlecenia.

Nasze wsparcie obejmuje trzy poziomy:

Nie kupujemy narzędzi za klienta i nie sprzedajemy oprogramowania. Projektujemy proces — a narzędzie dobieramy na końcu, pod ustalony zakres.

Napisz do nas

Weryfikacja kontrahentów w grupie kapitałowej — od czego zacząć

Obowiązki AML mogą wynikać z ustawy albo z umowy z bankiem. Oba reżimy wymagają udokumentowanej weryfikacji — ale mają różne źródła, różne sankcje i różnych kontrolujących. Pomylenie ich lub połączenie w jeden dokument generuje ryzyko po obu stronach.

Zacznij od trzech kroków:

1. Zmapuj grupę spółka po spółce i zapisz wynik
2. Rozdziel obowiązek ustawowy od kontraktowego w dokumentach
3. Ustal jeden zakres weryfikacji i zabezpiecz dowód wykonania

Jeśli potrzebujesz wsparcia w mapowaniu grupy, przygotowaniu procedur lub zaprojektowaniu procesu weryfikacji pod wymogi banku finansującego — napisz do nas.

Najczęściej zadawane pytania

Mamy kilkanaście spółek w grupie — czy naprawdę muszę robić osobną analizę dla każdej z nich?
Tak. Katalog instytucji obowiązanych z art. 2 ust. 1 ustawy AML odnosi się do czynności faktycznie wykonywanych przez konkretny podmiot. Przynależność do grupy kapitałowej nie przenosi statusu ani w górę, ani w dół. Wynik analizy zapisz jako dokument — uzasadnia on, dlaczego część spółek procedury nie ma.

Nasza spółka zarządzająca prowadzi księgowość wszystkich podmiotów w grupie. Czy jest instytucją obowiązaną?
Jeśli prowadzi usługowo księgi rachunkowe — może być. Usługowe prowadzenie ksiąg rachunkowych jest wprost wymienione w katalogu instytucji obowiązanych. Sprawdź, czy spółka zarządzająca prowadzi te księgi na podstawie odrębnej umowy (nawet wewnątrzgrupowej) i czy czynności te odpowiadają definicji ustawowej.

Bank wpisał nam do umowy kredytowej obowiązek weryfikacji kontrahentów. Czy stajemy się instytucją obowiązaną?
Nie. Obowiązek wynika z umowy prywatnej, nie z ustawy. Twoja spółka nie powinna deklarować statusu instytucji obowiązanej, jeśli go nie posiada. W dokumentach wewnętrznych wskaż wprost, że weryfikacja prowadzona jest na podstawie zobowiązania kontraktowego.

Co grozi za niewykonanie obowiązku, który wynika tylko z umowy z bankiem?
Sankcje kontraktowe — zależne od treści umowy. Funkcjonalnie mogą obejmować wstrzymanie transzy, wypowiedzenie umowy lub przedterminową wymagalność kredytu. To inna ścieżka niż kara administracyjna GIIF, ale konsekwencje finansowe mogą być dotkliwsze.

Jak często trzeba powtarzać screening sankcyjny?
Jednorazowe sprawdzenie zabezpiecza wyłącznie dzień jego wykonania. Listy sankcyjne zmieniają się bez zapowiedzi. Ustal rytm ponownego screeningu — częstotliwość powinna wynikać z oceny ryzyka i charakteru relacji z kontrahentem. Dla kontrahentów stałych minimalny standard to cykliczne ponowne skanowanie w ustalonych odstępach.

Czy zbieranie oświadczeń o statusie PEP nie narusza RODO?
Status PEP nie jest kategorią szczególnych danych z art. 9 RODO. Podstawą przetwarzania dla instytucji obowiązanej jest art. 6 ust. 1 lit. c RODO (obowiązek prawny). Jeśli weryfikujesz na podstawie umowy z bankiem, przeanalizuj art. 6 ust. 1 lit. f (prawnie uzasadniony interes). W obu przypadkach stosuj zasadę minimalizacji — zbieraj tylko dane niezbędne do wykonania weryfikacji.