Procedura AML blokuje sprzedaż? Problem nie leży w przepisach, tylko w procesie pozyskiwania danych o kliencie

Jeśli Twoja firma jest instytucją obowiązaną — fintechem, kantorem kryptowalut, biurem rachunkowym lub pośrednikiem nieruchomości — znasz ten scenariusz: klient chce rozpocząć współpracę, ale zanim podpiszecie umowę, musi dostarczyć stos dokumentów, odpowiedzieć na kilkanaście pytań i czekać dni (albo tygodnie) na decyzję Twojego zespołu compliance. Część klientów rezygnuje w trakcie. Inne tracą cierpliwość i idą do konkurencji.

Problem nie leży w przepisach. Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (ustawa AML) nie narzuca konkretnej sekwencji ani ram czasowych procedury KYC — „poznaj swojego klienta” (ang. Know Your Customer). Nie wymaga też, żeby to klient dostarczał dane, które Twój zespół może pobrać samodzielnie z publicznych rejestrów.

Problem leży w procesie. A dokładniej — w tym, jak Twoja organizacja zaprojektowała kolejność pozyskiwania informacji o kliencie.

W tym artykule pokażę, które dane potrzebne do oceny ryzyka AML możesz zweryfikować bez udziału klienta, jak ułożyć kolejność weryfikacji, żeby compliance działał w tle, i jakie trzy błędy w onboardingu spowalniają sprzedaż, nie zmniejszając ryzyka. Na końcu znajdziesz checklist — 5-krokowy proces KYC, który nie wymaga angażowania klienta na starcie.

Podstawowe pojęcia, które warto znać

Zanim przejdziemy dalej, uporządkujmy terminologię. Przepisy AML operują pojęciami, które brzmią formalnie, ale mają konkretne znaczenie operacyjne.

Dlaczego onboarding trwa tygodnie, skoro dane leżą w publicznych rejestrach

Większość instytucji obowiązanych traktuje onboarding klienta jako liniowy proces: klient składa wniosek → zespół sprzedaży zbiera dane → compliance weryfikuje → decyzja. Każdy etap czeka na poprzedni. Każdy wymaga zaangażowania klienta.

Tymczasem znaczna część informacji potrzebnych do oceny ryzyka AML jest dostępna publicznie, zanim klient wypełni choćby jeden formularz.

Rejestry publiczne, z których możesz korzystać bez udziału klienta

Dane z KRS objęte są domniemaniem prawdziwości wobec osób trzecich działających w dobrej wierze. CRBR jest jawny i bezpłatny. Biała lista VAT daje historię rejestracyjną za 5 lat wstecz.

Skąd biorą się opóźnienia

Opóźnienia w onboardingu mają cztery źródła:

1. Nadregulacja wewnętrzna. Ustawa AML posługuje się pojęciami niedookreślonymi — „uzasadnione czynności”, „należyta staranność”. Instytucje, obawiając się zarzutu niedostatecznej staranności, rozbudowują procedury ponad minimum ustawowe. Żądają aktualnego odpisu z KRS, mimo że dane są dostępne online. Wymagają dodatkowych dokumentów „na wszelki wypadek”.
2. Silosowa struktura organizacyjna. Dział sprzedaży, dział operacyjny, compliance, dział prawny — każdy realizuje odrębne etapy w odrębnych systemach. Brak spójnego workflow oznacza, że te same dane są zbierane wielokrotnie.
3. Brak integracji z rejestrami. Systemy legacy nie komunikują się z interfejsami KRS, CEIDG czy CRBR. Dane, które mogłyby być pobierane automatycznie, są przepisywane ręcznie.
4. Przenoszenie ciężaru weryfikacji na klienta. Zamiast pobrać dane z rejestru, instytucja prosi klienta o dostarczenie dokumentów potwierdzających informacje, które i tak są publicznie dostępne.

Wyrok Wojewódzkiego Sądu Administracyjnego z 10 sierpnia 2021 r. (V SA/Wa 2574/21) potwierdza, że działania identyfikacyjne i ocena ryzyka muszą być proporcjonalne do charakteru i wielkości instytucji obowiązanej. Mniejszy fintech nie musi stosować procedur na poziomie banku systemowego.

Napisz do nas

Które kryteria oceny ryzyka AML zweryfikujesz bez udziału klienta

Art. 33 ustawy AML wymaga od instytucji obowiązanej rozpoznania i oceny ryzyka klienta z uwzględnieniem m.in.: rodzaju klienta, obszaru geograficznego, rodzaju produktów i usług, poziomu wartości majątkowych oraz celu stosunków gospodarczych.

Część tych kryteriów możesz ocenić, zanim klient dostarczy jakikolwiek dokument. Część wymaga jego bezpośredniego udziału.

Co sprawdzisz bez klienta

Czego nie ustalisz bez klienta

1. Cel stosunków gospodarczych — klient musi wskazać, po co nawiązuje relację z Twoją firmą.
2. Źródło pochodzenia wartości majątkowych — szczególnie przy podwyższonym ryzyku, wymaga oświadczenia lub dokumentacji od klienta.
3. Planowany wolumen i struktura transakcji — dane produktowe, których nie da się pozyskać z rejestrów.
4. Rzeczywiste miejsca prowadzenia działalności — mogą wykraczać poza formalną siedzibę z KRS.
5. Pełne dane identyfikacyjne osoby fizycznej — PESEL, seria i numer dokumentu tożsamości, adres zamieszkania.
6. Weryfikacja tożsamości — wymaga okazania dokumentu lub wideoweryfikacji.

Zwróć uwagę na proporcję: z dziesięciu kryteriów, które możesz sprawdzić bez klienta, tylko sześć wymaga jego bezpośredniego zaangażowania. A mimo to większość instytucji zaczyna onboarding od formularza, w którym klient wypełnia wszystko od zera.

Jak ułożyć kolejność weryfikacji, żeby nie blokować sprzedaży

Ustawa AML nie narzuca szczegółowej sekwencji czynności. Nakazuje jedynie, żeby środki bezpieczeństwa finansowego zostały zastosowane przed nawiązaniem stosunków gospodarczych. Dopuszcza też wyjątek — dokończenie weryfikacji tożsamości po nawiązaniu relacji, jeśli ryzyko oceniono jako niskie i klient nie dokonuje transakcji do czasu zakończenia weryfikacji.

Ta elastyczność pozwala zaprojektować proces w trzech etapach — od tego, co sprawdzasz sam, do tego, o co pytasz klienta na końcu.

Etap 1 — preselekcja (przed kontaktem z klientem)

Cel: wykluczenie klientów objętych sankcjami lub nieistniejących prawnie. Wstępna ocena, czy klient pasuje do profilu Twojej instytucji.

Co robisz:

1. Pobierz dane z KRS lub CEIDG na podstawie nazwy firmy lub NIP.
2. Sprawdź CRBR — ustal beneficjentów rzeczywistych i ich obywatelstwo.
3. Przeprowadź screening sankcyjny i PEP na podstawie dostępnych identyfikatorów.
4. Zweryfikuj status VAT na białej liście.
5. Oceń ryzyko geograficzne na podstawie kraju siedziby i rezydencji beneficjenta.

Na tym etapie nie angażujesz klienta. Nie wysyłasz formularzy. Nie prosisz o dokumenty.

Ograniczenie RODO: Jeśli pozyskujesz dane osobowe z rejestrów publicznych, musisz spełnić obowiązek informacyjny wobec osoby, której dane dotyczą — najpóźniej przy pierwszej komunikacji z nią lub w ciągu miesiąca od pozyskania danych (art. 14 RODO).

Etap 2 — zasadnicza weryfikacja KYC (z udziałem klienta)

Cel: pełna identyfikacja i weryfikacja tożsamości, ustalenie celu relacji, ocena ryzyka.

Co robisz:

1. Poproś klienta o dane, których nie da się pobrać z rejestrów — cel relacji, planowane transakcje, źródło środków (jeśli ryzyko jest podwyższone).
2. Zweryfikuj tożsamość — dokument tożsamości, wideoweryfikacja, e-dowód lub profil zaufany.
3. Uzyskaj oświadczenie o statusie PEP.
4. Porównaj dane od klienta z danymi z rejestrów — odnotuj rozbieżności.

Na tym etapie klient odpowiada na konkretne, celowane pytania — nie wypełnia uniwersalnego formularza z 30 polami, z których 20 mogłeś uzupełnić sam.

Etap 3 — domknięcie (przed lub tuż po zawarciu umowy)

Cel: potwierdzenie tożsamości w wybranym kanale, podpisanie dokumentacji, konfiguracja produktów, uruchomienie monitoringu.

Na tym etapie nie zbierasz już nowych danych z perspektywy wymogów AML. Proces KYC jest zamknięty.

Wytyczne KNF dopuszczają dwustopniową aktywację usług — wstępną (z ograniczoną funkcjonalnością) i pełną (po zakończeniu wszystkich czynności weryfikacyjnych). To oznacza, że klient może zacząć korzystać z części usług, zanim zakończysz cały proces.

Trzy błędy w onboardingu, które spowalniają sprzedaż i nie zmniejszają ryzyka

Analizy branżowe wskazują, że około 70% instytucji finansowych doświadcza odpływu klientów z powodu zbyt skomplikowanych i czasochłonnych procedur onboardingu. Poniżej trzy najczęstsze błędy, które za to odpowiadają.

Błąd 1: nadmierne i powielone czynności identyfikacyjne

Objaw: klient dostarcza te same dane kilka razy — raz do działu sprzedaży, raz do compliance, raz do działu operacyjnego. Instytucja żąda dokumentów wykraczających poza wymogi art. 36 i 37 ustawy AML — np. rachunków za media do potwierdzenia adresu, gdy dokument tożsamości już go zawiera.

Dlaczego nie zmniejsza ryzyka: GIIF wprost wskazuje, że identyfikacja klienta jest procesem „relatywnie prostym” i może polegać na podaniu danych np. przez formularz internetowy. Weryfikacja tożsamości powinna opierać się na dokumentach lub wiarygodnych źródłach — nie na maksymalizacji liczby dokumentów. Dodatkowe dokumenty nie zwiększają bezpieczeństwa, jeśli nie wnoszą nowych informacji.

Co zrobić: zmapuj, które dane są zbierane na poszczególnych etapach. Wyeliminuj powielenia. Ustal jeden punkt wejścia danych.

Błąd 2: szablonowe KYC zamiast podejścia opartego na ryzyku

Objaw: każdy klient przechodzi identyczną procedurę — niezależnie od tego, czy jest to wieloletnia polska spółka z przejrzystą strukturą właścicielską, czy podmiot z jurysdykcji podwyższonego ryzyka z wielopoziomową strukturą holdingową.

Dlaczego nie zmniejsza ryzyka: zasada RBA (podejścia opartego na ryzyku) wynikająca z dyrektywy AML IV oznacza nie tylko zaostrzanie procedur przy wyższym ryzyku, ale również ich upraszczanie przy ryzyku niższym. Komentarz do ustawy AML wprost ostrzega, że nieodpowiednie wdrożenie procesów może stanowić „nieproporcjonalne ograniczenie dostępności do produktów i usług”. Szablonowe podejście marnuje zasoby na klientów niskiego ryzyka, a nie pozwala skupić uwagi tam, gdzie ryzyko jest realne.

Co zrobić: skalibruj procedury do trzech poziomów ryzyka (niski, standardowy, podwyższony). Dla klientów niskiego ryzyka — uprość formularz i skróć ścieżkę. Dla klientów podwyższonego ryzyka — rozbuduj analizę i zaangażuj dodatkowe źródła.

Błąd 3: rozproszenie odpowiedzialności i brak integracji systemowej

Objaw: sprzedaż zbiera dane w CRM, compliance pracuje w Excelu, dział prawny korzysta z osobnej bazy. Nikt nie widzi pełnego obrazu. Klient czeka, bo pismo krąży między działami.

Dlaczego nie zmniejsza ryzyka: rozproszone dane utrudniają wykrywanie wzorców i anomalii. Brak centralnego widoku na klienta oznacza, że monitoring transakcyjny działa na niekompletnych informacjach. Europejski Urząd Nadzoru Bankowego (EBA) potwierdza, że obszar identyfikacji i oceny ryzyk AML jest „najbardziej dostępny od strony produktowej i usługowej” w kontekście rozwiązań technologicznych — ale jednocześnie ostrzega przed nadmiernym poleganiem na automatyzacji bez krytycznej oceny analityka.

Co zrobić: zintegruj dane w jednym systemie. Ustal workflow, w którym każdy etap automatycznie przekazuje dane do następnego. Decyzje o ryzyku pozostaw przy człowieku — automatyzuj pobieranie danych, nie podejmowanie decyzji.

Checklist: proces KYC w 5 krokach, który nie wymaga angażowania klienta na starcie

Poniższy model pozwala zrealizować cztery z pięciu kroków przed pierwszym kontaktem z klientem. Piąty krok — zogniskowane, minimalne zaangażowanie klienta — następuje dopiero, gdy masz już pełny obraz tego, co wiesz i czego brakuje.

Uwaga dotycząca art. 22 RODO: jeśli na podstawie kroków 1–4 podejmujesz automatyczną decyzję odmowną (np. odrzucenie klienta z powodu trafienia sankcyjnego), osoba fizyczna ma prawo do interwencji ludzkiej, wyrażenia stanowiska i zakwestionowania decyzji. Decyzje definitywnie odrzucające klienta z przyczyn regulacyjnych powinny być podejmowane przez człowieka, nie wyłącznie przez algorytm.

Jak możemy pomóc Twojej firmie uporządkować obsługę prawną w obszarze AML

Przebudowa procesu KYC wymaga dwóch rzeczy: znajomości przepisów i znajomości Twojego modelu biznesowego. Same procedury „z szuflady” nie wystarczą — GIIF w Komunikacie nr 36 wprost przestrzega przed mechanicznym stosowaniem ogólnodostępnych wzorów ocen ryzyka bez indywidualizacji.

Nasze wsparcie w obszarze AML obejmuje trzy obszary:

1. Audyt i mapa ryzyk. Analizujemy Twój obecny proces onboardingu — od pierwszego kontaktu z klientem po uruchomienie monitoringu. Wskazujemy, gdzie zbierasz dane, które możesz pobrać z rejestrów. Identyfikujemy powielone czynności i nadmiarowe wymogi dokumentacyjne.
2. Wdrożenie systemu AML. Projektujemy procedury dopasowane do Twojego modelu działalności i skali organizacji. Łączymy doradztwo prawne z narzędziem AMLtrack, które prowadzi zespół przez proces krok po kroku — od preselekcji po bieżący monitoring.
3. Stałe wsparcie i monitoring obowiązków. Śledzimy zmiany w przepisach, interpretacjach GIIF i orzecznictwie. Aktualizujemy procedury, żebyś nie musiał sprawdzać, czy Twój proces jest nadal zgodny z prawem.

Traktujemy AML jako proces operacyjny, nie zestaw procedur do szuflady. Eliminujemy zbędne kroki, skupiając się na działaniach proporcjonalnych do ryzyka i modelu biznesowego Twojej firmy.

Obsługa prawna firm w obszarze AML — co warto zapamiętać

Przepisy AML nie wymagają, żeby onboarding trwał tygodnie. Nie wymagają też, żeby klient dostarczał dane, które możesz pobrać samodzielnie z KRS, CEIDG, CRBR czy białej listy VAT. Wymagają natomiast, żeby Twój proces był proporcjonalny do ryzyka i udokumentowany.

Jeśli Twój onboarding spowalnia sprzedaż, sprawdź trzy rzeczy: czy nie powielasz czynności identyfikacyjnych, czy stosujesz podejście oparte na ryzyku (a nie szablonowe KYC) i czy Twoje systemy są zintegrowane.

Przebudowa procesu KYC to zadanie, które wymaga połączenia wiedzy prawnej z kontekstem biznesowym. Jeśli chcesz uporządkować obsługę prawną firmy w obszarze AML i odblokować lejek sprzedażowy — napisz do nas.

Najczęściej zadawane pytania

Czy mogę pobrać dane klienta z KRS i CEIDG bez jego zgody na potrzeby AML?

Tak. Ustawa AML nakłada na instytucje obowiązane obowiązek identyfikacji klienta i oceny ryzyka — to stanowi podstawę prawną przetwarzania danych. Rejestry KRS i CEIDG są publiczne i jawne. Pamiętaj jednak o obowiązku informacyjnym z art. 14 RODO — musisz poinformować osobę, której dane pozyskałeś z rejestru, najpóźniej przy pierwszej komunikacji z nią lub w ciągu miesiąca od pozyskania danych.

Czy dane z CRBR wystarczą do ustalenia beneficjenta rzeczywistego?

Nie zawsze. CRBR zawiera dane zgłaszane przez same podmioty — ich wiarygodność zależy od rzetelności zgłaszającego. Ustawa AML nakłada obowiązek podejmowania „uzasadnionych czynności” w celu weryfikacji beneficjenta — sam wpis w CRBR nie zwalnia z tej oceny. W przypadku struktur z podmiotami zagranicznymi rejestr może nie odzwierciedlać pełnego obrazu powiązań. Traktuj CRBR jako punkt wyjścia, nie jedyne źródło.

Czy mniejsza instytucja obowiązana musi stosować takie same procedury KYC jak bank?

Nie. Wyrok WSA z 10 sierpnia 2021 r. (V SA/Wa 2574/21) potwierdza, że środki bezpieczeństwa finansowego muszą być proporcjonalne do charakteru i wielkości instytucji. Spółka z o.o. udzielająca pożyczek online nie musi stosować procedur na poziomie szczegółowości banku systemowego. Zasada RBA pozwala upraszczać procedury przy niższym ryzyku.

Czy mogę automatycznie odrzucić klienta na podstawie wyników preselekcji?

Z zastrzeżeniami. Art. 22 RODO stanowi, że osoba fizyczna ma prawo do niepodlegania decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu, jeżeli decyzja wywołuje skutki prawne. Jeśli Twój system automatycznie odrzuca klienta (np. z powodu trafienia sankcyjnego), musisz zapewnić możliwość interwencji ludzkiej. Automatyzuj pobieranie danych — decyzje odmowne pozostaw przy analityku.

Jak często powinienem aktualizować ocenę ryzyka klienta?

GIIF w Komunikacie nr 45 wskazuje, że ocena ryzyka powinna być aktualizowana w toku relacji wraz z pozyskiwaniem nowych danych. Ogólna ocena ryzyka instytucji (art. 27 ustawy AML) powinna być aktualizowana nie rzadziej niż co dwa lata i zatwierdzana przez zarząd. W przypadku zmiany oceny indywidualnej klienta na wyższy poziom — musisz poszerzyć zakres stosowanych środków bezpieczeństwa finansowego.

Ile kosztuje brak optymalizacji procesu KYC?

Koszty są zarówno bezpośrednie (utrata klientów, wydłużony czas do przychodu), jak i pośrednie (nadmiarowe zasoby compliance, ryzyko sankcji za nieadekwatne procedury). Analizy branżowe wskazują, że około 70% instytucji finansowych doświadcza odpływu klientów z powodu zbyt skomplikowanego onboardingu. Z drugiej strony — sankcje administracyjne za naruszenia AML mogą sięgać kilkunastu milionów złotych. Optymalizacja procesu nie oznacza obniżenia standardów — oznacza eliminację zbędnych kroków i skupienie zasobów tam, gdzie ryzyko jest realne.