Punktowa ocena ryzyka AML: jak zamienić intuicję pracownika w powtarzalny system decyzji

Jeśli Twoja firma jest instytucją obowiązaną, to przy każdej kontroli GIIF pada jedno pytanie: na jakiej podstawie podjęliście decyzję o przyjęciu tego klienta? Odpowiedź „pracownik uznał, że klient wygląda wiarygodnie” nie wystarczy. Brak formalnej, udokumentowanej oceny ryzyka jest traktowany przez organy nadzoru jako niewykonanie obowiązku — nawet jeśli decyzja była merytorycznie trafna.

Krajowa Ocena Ryzyka 2023 oceniła poziom zagrożenia praniem pieniędzy w Polsce jako bardzo wysoki — 4 w skali czterostopniowej. Szacowane zyski z nielegalnej działalności to około 3,34% PKB. Polska zajmuje 131. miejsce na 160 państw w Basel AML Index 2024 z oceną 4,34. W takim otoczeniu regulacyjnym zarząd, który nie ma widoczności nad tym, jak zespół podejmuje decyzje o przyjęciu klienta, naraża firmę na sankcje administracyjne i odpowiedzialność osobistą.

W tym artykule pokażę, jak zamienić subiektywną ocenę pracownika w powtarzalny system decyzji oparty na punktowej matrycy ryzyka AML. Dowiesz się, jakie sześć kryteriów musisz uwzględnić, jak przypisać im punkty, jak ustalić progi decyzyjne i jak zbudować formularz, który zespół faktycznie wypełnia. Artykuł jest skierowany do zarządów, oficerów compliance i osób odpowiedzialnych za obsługę prawną firm będących instytucjami obowiązanymi.

Podstawowe pojęcia, które musisz znać

Zanim przejdziemy do budowy matrycy, warto uporządkować terminologię. Poniższe pojęcia pojawiają się w dalszej części artykułu i mają konkretne znaczenie w kontekście ustawy AML.

Dlaczego „wydaje mi się, że klient jest OK” nie wystarczy przy kontroli GIIF

Subiektywna ocena pracownika opiera się na intuicji, relacjach osobistych, reputacji rynkowej lub długości współpracy. Jest podatna na błędy poznawcze — efekt halo, efekt znajomości, stereotypizację. Nie jest transparentna, nie można jej odtworzyć ani porównać między klientami. I przede wszystkim — nie pozostawia śladu w dokumentacji AML.

GIIF ocenia wyłącznie to, co można obiektywnie zweryfikować na podstawie dokumentów. Orzecznictwo sądów administracyjnych potwierdza: brak dokumentu potwierdzającego ocenę ryzyka = niewykonanie obowiązku. Przepisy ustawy AML nakładają zarówno obowiązek materialny (dokonać oceny), jak i formalny (udokumentować ją i przechowywać dokumentację przez co najmniej 5 lat od zakończenia stosunków gospodarczych).

Typowe nieprawidłowości stwierdzane przez GIIF

Kontrole GIIF ujawniają powtarzające się wzorce:

1. Brak formalnie przyjętej procedury określającej sposób oceny ryzyka
2. Procedura istnieje, ale jest ogólnikowa, nie zawiera konkretnych kryteriów i nie jest stosowana na co dzień
3. Procedury skopiowane z innych podmiotów bez dostosowania do specyfiki działalności
4. Formalizm i pozorność oceny — wszystkim klientom przypisywana jest ta sama kategoria ryzyka bez różnicującej argumentacji
5. Uzasadnienia ograniczają się do lakonicznych sformułowań (np. „brak przesłanek wskazujących na podwyższone ryzyko”) bez odniesienia do konkretnych danych
6. Brak aktualizacji oceny ryzyka klienta — ocena dokonana jednorazowo przy nawiązaniu współpracy, nieaktualizowana przez lata mimo zmian profilu transakcji

Subiektywna ocena vs. udokumentowana matryca — porównanie

Konsekwencje naruszeń to nie tylko administracyjne kary pieniężne sięgające wielomilionowych kwot. GIIF może nałożyć sankcje na osoby odpowiedzialne za wdrożenie systemu AML — w tym członków zarządu. Ma też możliwość publikowania informacji o nałożonych karach, co generuje ryzyko reputacyjne.

Napisz do nas, jeśli chcesz zweryfikować, czy Twoja obecna procedura oceny ryzyka spełnia wymogi ustawowe.

Sześć kryteriów ryzyka i jak przekształcić je w punkty

Art. 33 ust. 3 ustawy AML wymienia sześć kategorii czynników ryzyka, które każda instytucja obowiązana musi uwzględnić przy dokumentowaniu oceny. Katalog ma charakter minimalny — możesz go rozszerzać, ale nie możesz pominąć żadnego z wymienionych elementów.

Ustawa nie narzuca konkretnej metodyki punktowej. KNF dopuszcza metody ilościowe (punktowe), jakościowe oraz mieszane, pod warunkiem że metodyka jest opisana i konsekwentnie stosowana. Opis metodyki — w tym sposób ważenia czynników, stosowane skale punktowe oraz sposób agregacji wyników — powinien stanowić integralną część dokumentacji oceny ryzyka.

Kryterium 1: rodzaj klienta

Obejmuje formę prawną, stopień skomplikowania struktury właścicielskiej, status PEP, sektor działalności, reputację i historię współpracy.

Osoba fizyczna działająca we własnym imieniu bez skomplikowanych powiązań — niższa punktacja. Złożona struktura korporacyjna z wielopoziomową siatką spółek w różnych jurysdykcjach — wyższa punktacja. Brak możliwości ustalenia beneficjenta rzeczywistego może uzasadniać odmowę nawiązania relacji na podstawie art. 41 ustawy AML.

Ważna uwaga: komunikat GIIF nr 73 wskazuje, że instytucje nie mogą stosować automatycznego wykluczania całych grup klientów bez uprzedniej indywidualnej oceny ryzyka. Matryca nie może zawierać automatycznych wykluczeń bazujących wyłącznie na pojedynczym kryterium.

Kryterium 2: obszar geograficzny

Obejmuje kraj rezydencji klienta, kraj rejestracji podmiotu, kraje prowadzenia intensywnych relacji gospodarczych oraz kraje pochodzenia i docelowe środków finansowych.

Szczególna uwaga dotyczy krajów objętych sankcjami, na listach FATF, rajów podatkowych i państw o słabo rozwiniętych systemach AML/CFT. Obecność klienta lub beneficjenta rzeczywistego na liście sankcyjnej (krajowa lista MSWiA, listy UE i ONZ) powinna skutkować maksymalną punktacją.

Kryterium 3: przeznaczenie rachunku

Obejmuje funkcję rachunku w relacji z klientem — bieżący, oszczędnościowy, powierniczy, escrow, zbiorczy, do obsługi konkretnych projektów.

Rachunki powiernicze, zbiorcze lub służące do rozliczania środków wielu klientów generują wyższe ryzyko, zwłaszcza przy ograniczonej przejrzystości struktury uprawnionych. Zmiana przeznaczenia rachunku (np. nagłe wykorzystanie rachunku osobistego do rozliczania dużych transakcji handlowych) powinna skutkować przeglądem i potencjalnym podwyższeniem oceny.

Kryterium 4: rodzaj produktów, usług i sposób dystrybucji

Produkty najwyższego ryzyka według KOR 2023: produkty oparte na gotówce, szybkie transfery transgraniczne, produkty o wysokiej anonimowości, usługi realizowane wyłącznie zdalnie.

Wytyczne EBA wskazują relacje nawiązywane w pełni zdalnie (bez fizycznego kontaktu) jako czynnik ryzyka wymagający wzmożonych środków należytej staranności.

Kryterium 5: poziom wartości majątkowych i transakcji

Wyższe wolumeny środków generują co do zasady wyższe ryzyko, ale zależność nie jest liniowa. Znaczenie ma spójność wolumenów z profilem ekonomicznym klienta.

Punktowane nie tylko wartości bezwzględne, ale też: dynamika zmian, koncentracja transakcji w krótkim czasie, udział operacji gotówkowych, relacja wartości transakcji do deklarowanych przychodów klienta.

Kryterium 6: cel, regularność i czas trwania stosunków gospodarczych

Stabilna, wieloletnia relacja z przewidywalnymi wzorcami — niższa punktacja w tym kryterium. Krótkotrwałe lub sporadyczne relacje z wysokokwotowymi transakcjami, zwłaszcza z udziałem gotówki lub krajów podwyższonego ryzyka — wyższa punktacja.

Komunikat GIIF nr 22 wskazuje, że bieżące monitorowanie obejmuje badanie, czy realizowane transakcje są zgodne z deklarowanym celem relacji i profilem działalności klienta.

Przykładowa ilustracja wag i punktacji

Poniższa tabela ma charakter wyłącznie poglądowy — ustawa AML ani wytyczne nadzorcze nie narzucają konkretnych skal ani wag. Każda instytucja powinna dostosować wagi do specyfiki swojej działalności i profilu klientów.

W formularzu oceny ryzyka oznaczasz punkty w każdym z czynników ryzyka, dodajesz je do siebie (z uwzględnieniem wag) i uzyskujesz wynik z oceną ryzyka dla danego klienta. Wynik ten jest powtarzalny, porównywalny i — przede wszystkim — udokumentowany.

Rola screeningu internetowego

Screening internetowy nie jest wprost nazwany w ustawie AML, ale wynika z ogólnego obowiązku stosowania środków bezpieczeństwa finansowego i bieżącego monitorowania relacji. Załącznik D KNF rekomenduje jako dobrą praktykę wdrożenie programu obejmującego pozyskiwanie danych z wiarygodnych źródeł publicznych, w tym internetu i rejestrów publicznych.

Nie zniechęcaj się liczbą czynników do sprawdzenia. Znaczną część informacji — negatywne artykuły prasowe, postępowania karne, powiązania z rajami podatkowymi — znajdziesz od razu w internecie. Wyniki screeningu muszą być dokumentowane w sposób umożliwiający późniejszą weryfikację przez audyt wewnętrzny i organy nadzoru.

Ważne zastrzeżenie: brak negatywnych informacji w wiarygodnych źródłach nie może być jedyną podstawą do obniżenia punktacji. Screening ma swoje ograniczenia — nie ujawnia np. nieujawnionych jeszcze postępowań.

Progi decyzyjne: kiedy przyjmujesz klienta, kiedy eskalacja do zarządu, kiedy odmowa

Ustawa AML nie zawiera liczbowo zdefiniowanych progów ryzyka. Ustawodawca opiera się na podejściu opartym na ryzyku, pozostawiając instytucjom swobodę projektowania modeli oceny i progów decyzyjnych. To nie luka — to celowy wybór regulatora, który wymaga od Twojej instytucji samodzielnego zaprojektowania i udokumentowania progów adekwatnych do profilu działalności.

Praktyka rynku finansowego wskazuje na konieczność wprowadzenia przynajmniej trzech poziomów ryzyka: niskiego, normalnego i wysokiego. Popularnym rozszerzeniem jest dodatkowy poziom „nieakceptowalny”, którego przyznanie jest równoznaczne z nienawiązywaniem relacji lub jej rozwiązaniem w trybie art. 41 ustawy AML.

Kiedy odmowa jest obowiązkowa

Art. 41 ust. 1 ustawy AML jest bezwzględnie obowiązujący: jeśli instytucja nie może zastosować wymaganych środków bezpieczeństwa finansowego — nie nawiązuje stosunków gospodarczych, nie przeprowadza transakcji okazjonalnej lub rozwiązuje istniejące relacje. Nie ma tu pola do negocjacji. Dodatkowa przesłanka obligatoryjnej odmowy: objęcie klienta sankcjami międzynarodowymi. W obu przypadkach instytucja powinna rozważyć złożenie zawiadomienia do GIIF.

Kiedy eskalacja jest obowiązkowa

Ustawa AML wymaga uzyskania zgody wyższego kierownictwa w dwóch sytuacjach:

1. PEP — członek zarządu firmy musi wyrazić zgodę na zawarcie umowy z osobą zajmującą eksponowane stanowisko polityczne, członkiem jej rodziny lub bliskim współpracownikiem. Ryzyko współpracy z takim klientem trzeba od razu uznać za podwyższone.
2. Relacje korespondencyjne z bankami respondentami z państw trzecich — obowiązek przeprowadzenia szczegółowej analizy banku respondenta i uzyskania zgody wyższego kierownictwa.

Przykładowy model progów decyzyjnych

Poniższa tabela ma charakter wyłącznie ilustracyjny — nie wynika z przepisów prawa. Każda instytucja powinna skalibrować progi do swojego modelu biznesowego.

Kalibracja i walidacja modelu

Progi nie są ustalone raz na zawsze. Kalibracja powinna opierać się na:

1. Analizie danych historycznych instytucji
2. Wynikach kontroli wewnętrznych i zewnętrznych
3. Wnioskach z Krajowej Oceny Ryzyka
4. Doświadczeniu praktycznym komórek AML
5. Zmianach w profilu klientów i produktów

Walidacja modelu powinna być prowadzona systemowo i cyklicznie. Jeśli zmienia się wycena wartości poszczególnych czynników ryzyka składających się na całościową ocenę, taka zmiana powinna wpływać na przeliczenie ryzyka dotychczasowych klientów.

Jak zbudować formularz oceny ryzyka, który zespół faktycznie wypełnia

Formularz oceny ryzyka to narzędzie, z którego zespół korzysta przy każdym nowym kliencie i przy każdym przeglądzie istniejącej relacji. Jeśli jest zbyt skomplikowany, pracownicy go omijają. Jeśli jest zbyt ogólnikowy, nie spełni wymogów GIIF. Dobre projektowanie formularza to balans między użytecznością a zgodnością z przepisami.

Ustawa AML nie narzuca wzorca formularza. To instytucja decyduje o jego formie. Ale kilka zasad projektowania zwiększa prawdopodobieństwo, że formularz będzie faktycznie używany.

Siedem sekcji formularza

Zasady projektowania, które zwiększają użyteczność

1. Logika warunkowa — jeśli klient jest osobą fizyczną, pomiń sekcję dotyczącą struktury korporacyjnej. Jeśli wynik screeningu PEP jest pozytywny, automatycznie wyświetl pole „zgoda wyższego kierownictwa”. Formularz powinien prowadzić pracownika przez proces, a nie zmuszać go do wypełniania nieadekwatnych pól.
2. Zamknięte skale oceny — zamiast otwartego pola „oceń ryzyko”, daj pracownikowi skalę 1–5 z opisem każdego poziomu. Przykład dla kryterium „rodzaj klienta”: 1 = osoba fizyczna, znana tożsamość, brak powiązań z jurysdykcjami podwyższonego ryzyka; 5 = złożona struktura wielopoziomowa, brak możliwości pełnego ustalenia beneficjenta rzeczywistego.
3. Obowiązkowe pole uzasadnienia — przy każdym kryterium wymagaj krótkiego uzasadnienia (2–3 zdania). To eliminuje pozorność oceny i daje GIIF materiał do weryfikacji.
4. Automatyczne sumowanie — formularz powinien sam wyliczać wynik końcowy i przypisywać kategorię ryzyka. Pracownik nie powinien ręcznie przeliczać wag.
5. Data i podpis — każdy formularz musi zawierać datę wypełnienia i identyfikację osoby oceniającej. Przy eskalacji — również datę i podpis osoby zatwierdzającej.

Ocena ryzyka nie jest jednorazowa

Ocena ryzyka klienta zmienia się wraz z czasem trwania relacji, pozyskiwaniem dodatkowej wiedzy o kliencie i jego zachowaniach. Instytucja powinna wprowadzić periodyczne przeglądy, uzależnione od poziomu ryzyka:

Źródło: Załącznik D KNF (zasady AML dla krajowych instytucji płatniczych).

Proces nie może polegać jedynie na zapisach regulaminowych nakazujących klientowi informowanie o zmianach. Ustawa wyraźnie nakazuje aktywne podejmowanie działań przez instytucję obowiązaną. W przypadku klientów o podwyższonym ryzyku proces powinien być bardziej dogłębny i zindywidualizowany.

Dashboard zarządczy: co zarząd powinien widzieć, a czego nie musi mikrozarządzać

Matryca punktowa generuje dane. Te dane muszą trafiać do zarządu w formie, która pozwala podejmować decyzje — bez konieczności analizowania każdego formularza indywidualnie. Dashboard zarządczy AML to narzędzie raportowe, które daje zarządowi widoczność nad systemem oceny ryzyka.

Ustawa AML nie definiuje wprost pojęcia dashboardu. Wymogi wynikają pośrednio z obowiązku nadzoru nad systemem AML i odpowiedzialności zarządu za jego prawidłowe funkcjonowanie.

Obszary, które zarząd powinien monitorować

Czego zarząd nie musi mikrozarządzać

Zarząd nie powinien zatwierdzać każdej indywidualnej oceny ryzyka klienta niskiego lub umiarkowanego ryzyka. System progów decyzyjnych istnieje po to, żeby delegować decyzje na odpowiedni poziom organizacji. Zarząd angażuje się bezpośrednio w trzech sytuacjach:

1. Klient z kategorią „bardzo wysokie / nieakceptowalne” ryzyko
2. Obowiązkowa eskalacja (PEP, relacje korespondencyjne z bankami z państw trzecich)
3. Systemowe nieprawidłowości widoczne na dashboardzie (np. gwałtowny wzrost odsetka klientów z podwyższonym ryzykiem bez zmiany profilu działalności)

Ryzyka związane z dashboardem

Dwa najczęstsze problemy:

1. Przeciążenie danymi — dashboard z 50 wskaźnikami nie daje widoczności, tylko szum informacyjny. Ogranicz się do 8–12 wskaźników pogrupowanych w 4–6 obszarów.
2. Zarządzanie pod wskaźniki — jeśli zespół wie, że zarząd monitoruje np. odsetek klientów z podwyższonym ryzykiem, może zacząć zaniżać punktację, żeby „poprawić” statystyki. Dlatego audyt wewnętrzny powinien cyklicznie weryfikować jakość ocen, a nie tylko ich wyniki liczbowe.

Raportowanie do zarządu powinno odbywać się co najmniej raz na kwartał. Przy incydentach lub zmianach regulacyjnych — natychmiast.

Jak możemy pomóc Twojej firmie wdrożyć matrycę AML

Wdrożenie punktowej oceny ryzyka to nie jednorazowy projekt dokumentacyjny. To zmiana sposobu, w jaki Twoja organizacja podejmuje i dokumentuje decyzje o przyjęciu klienta. Wymaga połączenia wiedzy prawnej z rozumieniem specyfiki Twojej działalności — rodzaju klientów, produktów, kanałów dystrybucji i struktury zespołu.

Wspieramy instytucje obowiązane — fintechy, podmioty płatnicze, kantory kryptowalut, biura rachunkowe, pośredników nieruchomości — w budowie systemów AML, które działają na co dzień, a nie tylko przy kontroli. Łączymy doradztwo prawne z narzędziem AMLtrack, które prowadzi zespół przez proces krok po kroku.

Zakres wsparcia obejmuje:

1. Audyt obecnych procedur — porównanie stanu faktycznego z wymogami ustawy AML, stanowiskami KNF i komunikatami GIIF
2. Zaprojektowanie matrycy punktowej — dobór kryteriów, wag i progów decyzyjnych dopasowanych do profilu Twojej instytucji
3. Przygotowanie formularza oceny ryzyka — w formie, którą zespół faktycznie wypełnia, z logiką warunkową i automatycznym sumowaniem
4. Wdrożenie procedur eskalacji — jasne zasady: kto decyduje, kiedy angażować zarząd, jak dokumentować odmowę
5. Szkolenie zespołu — nie teoria ustawy, ale konkretne scenariusze: jak wypełnić formularz, jak ocenić klienta z rajów podatkowych, jak zareagować na pozytywny wynik screeningu PEP
6. Stałe wsparcie i monitoring — aktualizacje procedur przy zmianach regulacyjnych, alerty prawne, wsparcie przy kontrolach GIIF

Matryca AML jako fundament obrony przed GIIF — podsumowanie

Punktowa ocena ryzyka AML eliminuje subiektywność z procesu decyzyjnego i daje zarządowi kontrolę nad tym, jak zespół przyjmuje klientów. Sześć kryteriów z art. 33 ust. 3 ustawy AML to minimalny zakres — Twoja instytucja może go rozszerzać, ale nie może pominąć żadnego z nich. Progi decyzyjne (przyjmij / eskaluj / odmów) muszą być opisane, skalibrowane do profilu działalności i konsekwentnie stosowane. Formularz musi być zaprojektowany tak, żeby był używany — nie omijany.

Jeśli Twoja firma jest instytucją obowiązaną i chcesz uporządkować system oceny ryzyka klientów, zbudować matrycę punktową lub przygotować organizację na kontrolę GIIF — napisz do nas. Pomożemy Ci zaprojektować system, który spełnia wymogi regulacyjne i działa w codziennej pracy zespołu.

Najczęściej zadawane pytania

Czy ustawa AML narzuca konkretny wzór formularza oceny ryzyka klienta?
Nie. Ustawa AML z 1 marca 2018 r. nie zawiera wzorca formularza ani nie narzuca konkretnej metodyki punktowej. KNF dopuszcza metody ilościowe (punktowe), jakościowe oraz mieszane. Warunek: przyjęta metodyka musi być opisana w dokumentacji wewnętrznej i konsekwentnie stosowana wobec wszystkich klientów. Instytucja ma swobodę w doborze formy — ale brak formularza lub brak dokumentacji oceny ryzyka jest traktowany przez GIIF jako niewykonanie obowiązku.

Ile poziomów ryzyka powinna mieć matryca?
Praktyka rynku finansowego wskazuje na minimum trzy poziomy: niskie, normalne i wysokie. Popularnym rozszerzeniem jest czwarty poziom — „nieakceptowalny” — którego przyznanie jest równoznaczne z nienawiązywaniem relacji lub jej rozwiązaniem w trybie art. 41 ustawy AML. Liczba poziomów powinna być adekwatna do skali działalności i różnorodności klientów Twojej instytucji.

Jak często trzeba aktualizować ocenę ryzyka klienta?
Ocena ryzyka nie jest jednorazowa. Zgodnie z Załącznikiem D KNF rekomendowana częstotliwość przeglądów to: klienci niskiego ryzyka — co 4–5 lat, standardowego ryzyka — co 2–3 lata, wysokiego ryzyka — co najmniej raz w roku. Dodatkowo ocena powinna być aktualizowana przy każdej zmianie okoliczności — np. zmianie profilu transakcji, zmianie struktury właścicielskiej czy ujawnieniu negatywnych informacji w screeningu.

Czy screening internetowy jest obowiązkowy?
Screening internetowy nie jest wprost nazwany w ustawie AML, ale wynika z ogólnego obowiązku stosowania środków bezpieczeństwa finansowego i bieżącego monitorowania relacji. Załącznik D KNF rekomenduje jako dobrą praktykę pozyskiwanie danych z wiarygodnych źródeł publicznych, w tym internetu i rejestrów publicznych. Wyniki screeningu muszą być dokumentowane. Brak negatywnych informacji nie może być jedyną podstawą do obniżenia punktacji ryzyka.

Co grozi za brak udokumentowanej oceny ryzyka klienta?
Administracyjne kary pieniężne sięgające wielomilionowych kwot, sankcje osobiste wobec członków zarządu i osób odpowiedzialnych za wdrożenie systemu AML, a także publikacja informacji o nałożonych karach przez GIIF — co generuje ryzyko reputacyjne. Orzecznictwo sądów administracyjnych potwierdza, że brak dokumentu potwierdzającego ocenę ryzyka jest traktowany jako niewykonanie obowiązku, nawet jeśli pracownik deklaruje, że ocena była dokonywana nieformalnie.

Kiedy zarząd musi osobiście zatwierdzić przyjęcie klienta?
Ustawa AML wymaga zgody wyższego kierownictwa w dwóch sytuacjach: nawiązanie lub kontynuacja relacji z PEP (osobą zajmującą eksponowane stanowisko polityczne, członkiem jej rodziny lub bliskim współpracownikiem) oraz nawiązanie relacji korespondencyjnych z bankami respondentami z państw trzecich. Poza tym instytucja może w procedurze wewnętrznej określić dodatkowe przypadki obowiązkowej eskalacji — np. dla klientów z najwyższą kategorią ryzyka w matrycy punktowej.