AML w firmie: obowiązki, kary i wdrożenie krok po kroku

Wprowadzenie

W tym artykule omawiamy praktyczne obowiązki wynikające z ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu: kogo dotyczą, jak wdrożyć proces AML w organizacji i jakie kary grożą za brak działania.

5 najważniejszych wniosków

1. AML to proces, nie dokument. Kupienie wzoru procedury i zapisanie go na dysku nie chroni firmy. Regulatora interesuje, jak Twój zespół stosuje procedury w codziennej pracy.
2. Podejście oparte na ryzyku (Risk-Based Approach) ogranicza koszty. Dopasuj zakres weryfikacji do realnego poziomu ryzyka. Nie kopiuj bankowych procedur, jeśli Twoja działalność tego nie wymaga.
3. Weryfikacja beneficjenta rzeczywistego (UBO) to obszar wysokich kar. BOŚ zapłacił 1,2 mln zł za błędy w ustalaniu UBO klientów. Skomplikowane struktury właścicielskie wymagają pogłębionej analizy.
4. Listy sankcyjne od 2022 roku zmieniły wagę procedur AML. Nieświadoma współpraca z podmiotem objętym sankcjami oznacza zamrożenie środków, odpowiedzialność karną i utratę relacji bankowych.
5. Odpowiedzialność za AML spoczywa na zarządzie. Wyznaczenie osoby odpowiedzialnej za compliance nie zdejmuje z zarządu obowiązku nadzoru. Kary administracyjne i karne dotyczą osób decyzyjnych.

Dobre praktyki i kluczowe wnioski

Szkolenie ujawniło powtarzające się błędy w podejściu firm do AML oraz konkretne mechanizmy, które pozwalają je wyeliminować. Poniżej kluczowe obszary wymagające uwagi zarządów i osób odpowiedzialnych za compliance.

Operacjonalizacja AML: od dokumentu do codziennego procesu

Najczęstszy problem, z jakim stykamy się w praktyce doradczej, to traktowanie AML jako jednorazowego projektu dokumentacyjnego. Firma kupuje gotowy wzór procedury, zapisuje go na dysku i uznaje temat za zamknięty. Tymczasem przy kontroli GIIF (Generalnego Inspektora Informacji Finansowej) regulator nie pyta, czy masz dokument. Pyta, jak Twój zespół weryfikuje kontrahentów, kto podejmuje decyzję o wstrzymaniu transakcji i w jakim czasie raportujesz podejrzane operacje.

AML to ciągły proces operacyjny składający się z konkretnych kroków: ocena ryzyka dla przedsiębiorstwa, ocena ryzyka klienta, stosowanie środków bezpieczeństwa finansowego, monitorowanie stosunków gospodarczych i raportowanie do GIIF w przypadku podejrzanych transakcji. Każdy z tych kroków wymaga dokumentacji, odpowiedzialnej osoby i mechanizmu kontroli.

„Firma kupi gdzieś jakieś wzory dokumentów, czy być może nawet zostaną przez kogoś te dokumenty przygotowane dla takiej firmy. Następnie dokumenty są gdzieś chowane do szuflady czy zapisane na dysku. No i dana osoba myśli, że ma prowadzone AML w firmie i że spełnia wszystkie te obowiązki. No i to nic bardziej mylnego, ponieważ AML to jest cały proces, który należy spełniać właściwie każdego dnia prowadzenia biznesu.”

Prelegent, Szkolenie AML / Kancelaria Sawaryn & Partnerzy

Co to oznacza w praktyce dla Twojej firmy:

• Procedura wewnętrzna musi żyć. Przekuj dokument prawny w prostą instrukcję dla zespołu. Jedna strona A4, konkretne kroki, zero żargonu. Jeśli handlowiec nie wie, co robić z nowym klientem w 30 sekund, procedura jest źle zaprojektowana.
• Szkolenia muszą być cykliczne. Każdy nowy pracownik przechodzi onboarding AML. Obecni pracownicy są szkoleni okresowo. To nie jest opcja, to obowiązek ustawowy.
• Dokumentacja musi być na bieżąco. Ocena ryzyka klienta powinna być zapisana, datowana i dostępna na wypadek kontroli. Jeśli zrobiłeś ocenę, ale jej nie udokumentowałeś, dla regulatora jej nie ma.

Podejście oparte na ryzyku: nie każdy klient wymaga bankowej weryfikacji

Zasada Risk-Based Approach oznacza, że zakres stosowanych środków bezpieczeństwa finansowego powinien odpowiadać rzeczywistemu poziomowi ryzyka prania pieniędzy. To kluczowa reguła, która pozwala firmom uniknąć dwóch skrajności: nadmiernej biurokracji (over-compliance) i niedostatecznej weryfikacji.

W praktyce wygląda to tak: na jednym końcu skali są banki z zaawansowanymi systemami monitoringu transakcji, na drugim biura wirtualne wystawiające fakturę na 150 zł miesięcznie. Oba podmioty muszą stosować AML, ale zakres obowiązków jest fundamentalnie różny.

Kategorie ryzyka klienta dzielą się na cztery poziomy:

• Niższe ryzyko (uproszczone środki bezpieczeństwa): podmioty z UE, zarejestrowane w KRS, działające za pośrednictwem rachunku bankowego, o znanej tożsamości.
• Normalne ryzyko (zwykłe środki bezpieczeństwa): standardowi kontrahenci, w stosunku do których nie zachodzą czynniki podwyższające ryzyko.
• Podwyższone ryzyko (wzmożone środki bezpieczeństwa): klienci z jurysdykcji wysokiego ryzyka, skomplikowane struktury właścicielskie, transakcje bez logicznego uzasadnienia ekonomicznego, osoby o statusie PEP (osoby zajmujące eksponowane stanowiska polityczne).
• Ryzyko nieakceptowalne: podmioty z list sankcyjnych. Kategoryczny zakaz nawiązywania współpracy i obowiązek zgłoszenia do GIIF.

Reguła decyzyjna: jeśli obsługujesz lokalne firmy z polskim KRS i transparentną strukturą właścicielską, zastosuj uproszczone środki weryfikacji. Zostaw zasoby na klientów zagranicznych, transakcje o dużej wartości i skomplikowane holdingi.

Beneficjent rzeczywisty i listy sankcyjne: dwa obszary najwyższego ryzyka kar

Ustalenie beneficjenta rzeczywistego (UBO, czyli Ultimate Beneficial Owner) to osoba fizyczna, która ostatecznie kontroluje dany podmiot. W najprostszym przypadku to wspólnik spółki z o.o. posiadający ponad 25% udziałów. W praktyce, szczególnie przy obsłudze prawnej spółek z udziałem zagranicznych funduszy czy holdingów, ustalenie UBO bywa wielopoziomowym procesem wymagającym analizy łańcucha podmiotów w kilku jurysdykcjach.

Skala ryzyka jest realna. Bank Ochrony Środowiska otrzymał karę 1,2 mln zł za nieprawidłowe stosowanie przepisów w zakresie ustalania beneficjentów rzeczywistych swoich klientów.

„Kilka miesięcy temu Bank Ochrony Środowiska otrzymał milion 200 000 zł kary właśnie z tego tytułu, że nieprawidłowo stosował przepisy w zakresie ustalania beneficjentów rzeczywistych swoich klientów. Z tego co sprawdzałem, to nie wpłynęło odwołanie od tej decyzji, także bank przyjął to na klatę, mówiąc kolokwialnie, i ten milion 200 000 zł musiał najwyraźniej zapłacić.”

Prelegent, Szkolenie AML / Kancelaria Sawaryn & Partnerzy

Narzędzia weryfikacyjne, z których warto korzystać:

• Centralny Rejestr Beneficjentów Rzeczywistych (CRBR) w Polsce pozwala szybko sprawdzić zgłoszonych beneficjentów polskich spółek.
• Rejestry zagraniczne funkcjonują w większości krajów UE i w niektórych stanach USA.
• Indeks Bazyl (Basel AML Index) pozwala ocenić ryzyko prania pieniędzy związane z konkretnym krajem pochodzenia kontrahenta.

Od lutego 2022 roku, po agresji rosyjskiej na Ukrainę, przepisy AML zyskały dodatkowy wymiar: weryfikację list sankcyjnych. Współpraca z podmiotem objętym sankcjami, nawet nieświadoma, niesie za sobą ryzyko zamrożenia środków firmy, zerwania relacji z bankami i dostawcami płatności, odpowiedzialności karnej osób decyzyjnych oraz strat reputacyjnych.

Jeśli Twoja firma działa na rynkach zagranicznych, prowadzi ekspansję cross-border lub obsługuje klientów o złożonych strukturach właścicielskich, automatyczny screening kontrahentów na listach sankcyjnych (OFAC, listy UE, listy ONZ) to konieczność. Listy zmieniają się z dnia na dzień, dlatego weryfikacja musi odbywać się przed podpisaniem umowy i cyklicznie w trakcie jej trwania.

Jak wdrożyć te wnioski w Twojej firmie

Poniżej znajdziesz konkretne kroki wdrożeniowe, uporządkowane od działań najpilniejszych do systematycznych.

Krok 1: Ustal, czy Twoja firma jest instytucją obowiązaną

Instytucje obowiązane to nie tylko banki. Katalog obejmuje m.in. firmy z sektora finansowego (w tym kryptowaluty i fintechy), biura rachunkowe, kancelarie prawne, wirtualne biura, pośredników w obrocie nieruchomościami, salony samochodowe, podmioty handlujące sztuką, kasyna i podmioty hazardowe. Nawet jeśli Twoja firma nie mieści się w żadnej z tych kategorii, a przyjmujesz płatności gotówkowe powyżej 10 000 EUR (jednorazowo lub w powiązanych transakcjach), obowiązki AML Cię dotyczą.

Jeśli prowadzisz kancelarię IT lub software house z elementem działalności finansowej, fintech, albo platformę e-commerce z płatnościami krypto, zweryfikuj swój status.

Krok 2: Przeprowadź ocenę ryzyka na dwóch poziomach

Poziom firmy: Oceń, jak przestępcy mogliby wykorzystać Twoje produkty, usługi, systemy IT lub pracowników do prania pieniędzy. Stwórz skalę punktową i listę sygnałów alarmowych (red flags). Skorzystaj z krajowej oceny ryzyka przygotowanej przez GIIF.

Poziom klienta: Dla każdego kontrahenta oceń czynniki ryzyka: behawioralne (czy klient chce się identyfikować), geograficzne (kraj pochodzenia i prowadzenia działalności), produktowe (z jakich usług korzysta) i kanałowe (anonimowa transakcja przez internet vs. spotkanie osobiste). Przypisz kategorię ryzyka i dobierz adekwatne środki bezpieczeństwa.

Krok 3: Wdróż procedurę KYC w proces onboardingu klienta

Identyfikacja klienta (procedura Know Your Customer) powinna odbywać się przed nawiązaniem współpracy. Obejmuje:

• Ustalenie danych identyfikacyjnych osoby fizycznej (imię, nazwisko, PESEL, seria i numer dokumentu, miejsce urodzenia i zamieszkania).
• W przypadku spółki: identyfikację podmiotu (siedziba, forma prawna, KRS, NIP) oraz osoby reprezentującej.
• Weryfikację tożsamości (przelew weryfikacyjny, selfie z dokumentem, screening w rejestrach publicznych i social mediach).
• Ustalenie beneficjenta rzeczywistego i sprawdzenie statusu PEP.

Zintegruj te kroki z Twoim procesem sprzedaży i CRM-em. Weryfikacja nie może blokować sprzedaży, ale musi się wydarzyć zanim podpiszesz kontrakt.

Krok 4: Zdefiniuj sygnały alarmowe i ścieżkę eskalacji

Opracuj listę red flags specyficznych dla Twojej branży. Uniwersalne sygnały to:

• Klient nalega na dużą transakcję gotówkową.
• Częste zmiany nazwy firmy, prezesa lub pełnomocników.
• Transakcja bez logicznego uzasadnienia ekonomicznego.
• Klient unika identyfikacji lub ukrywa dane.
• Spółka zarejestrowana kilka dni temu, a transakcja opiewa na miliony.
• Rozbijanie jednej transakcji na wiele mniejszych bez powodu.

Ustal, kto w firmie podejmuje decyzję o wstrzymaniu transakcji, kto informuje zarząd i kto raportuje do GIIF.

Krok 5: Wyznacz odpowiedzialność i zaplanuj cykl monitoringu

• Wyznacz uchwałą członka zarządu odpowiedzialnego za AML.
• Wyznacz analityka AML (osobę odpowiedzialną za codzienny nadzór nad procesem).
• Zaplanuj cykliczny przegląd: ocena ryzyka firmy co 2 lata (częściej przy istotnych zmianach), okresowe szkolenia zespołu, aktualizacja procedury wewnętrznej.
• Wdróż procedurę anonimowego zgłaszania naruszeń (powiązaną z obowiązkami wynikającymi z ustawy o sygnalistach).

Krok 6: Przygotuj się na obowiązki raportowe

Znaj cztery sytuacje wymagające zgłoszenia do GIIF:

• Transakcja ponadprogowa (15 000 EUR lub więcej): przeprowadzasz transakcję i zgłaszasz ją w określonym terminie.
• Brak możliwości zastosowania środków bezpieczeństwa finansowego: nie przeprowadzasz transakcji i zgłaszasz.
• Podejrzenie prania pieniędzy lub finansowania terroryzmu (art. 74): nie przeprowadzasz transakcji i zgłaszasz.
• Uzasadnione podejrzenie prania pieniędzy lub finansowania terroryzmu (art. 86): nie przeprowadzasz transakcji i zgłaszasz.

System AML, który chroni firmę i nie blokuje jej operacyjnie

Obsługa prawna firm w obszarze AML to nie jednorazowe przygotowanie dokumentacji. To zaprojektowanie systemu, który działa w tle organizacji: ogranicza ryzyko sankcji i osobistej odpowiedzialności zarządu, nie paraliżując jednocześnie sprzedaży i onboardingu klientów.

Rosnąca aktywność GIIF, zmieniający się krajobraz sankcyjny i coraz bardziej złożone struktury właścicielskie kontrahentów sprawiają, że firmy potrzebują podejścia operacyjnego, a nie kolejnego dokumentu do segregatora. Dotyczy to szczególnie firm technologicznych, fintechów, platform e-commerce i podmiotów rozwijających się międzynarodowo, gdzie tempo działania i złożoność relacji biznesowych wymagają sprawnych procesów compliance.

Jeśli nie masz pewności, czy Twoja procedura AML faktycznie działa w organizacji, lub potrzebujesz wsparcia przy wdrożeniu systemu AML dopasowanego do Twojej branży, skontaktuj się z naszym zespołem.