AML: obowiązki instytucji obowiązanej i kontrola GIIF

Obowiązki AML powstają z mocy prawa i nikt o nich nie zawiadamia. Biuro rachunkowe, pośrednik w obrocie nieruchomościami, kantor, lombard i firma zakładająca spółki są instytucjami obowiązanymi z samego katalogu z art. 2 ust. 1 ustawy z 1 marca 2018 r. Zwykły przedsiębiorca staje się nią w dniu, w którym przyjmie za towar 10 000 euro w gotówce.

Czy Państwa organizacja jest instytucją obowiązaną

Katalog z art. 2 ust. 1 ustawy liczy trzydzieści jeden pozycji, a banki są tylko pierwszą z nich. Instytucją obowiązaną jest każdy podmiot prowadzący usługowo księgi rachunkowe (pkt 17) oraz przedsiębiorca, którego podstawową działalnością jest sporządzanie deklaracji, prowadzenie ksiąg podatkowych albo udzielanie porad podatkowych (pkt 15a). Liczba klientów i brak gotówki nic tu nie zmieniają.

Dalej stoją doradcy podatkowi i biegli rewidenci (pkt 15), pośrednicy w obrocie nieruchomościami (pkt 18, a przy najmie od czynszu 10 000 euro miesięcznie), kantory (pkt 11), instytucje pożyczkowe (pkt 25), lombardy (pkt 26), gry losowe (pkt 20) oraz firmy zakładające spółki i zapewniające adres siedziby (pkt 16). Fundacje (pkt 21) i stowarzyszenia z osobowością prawną (pkt 22) wchodzą do katalogu w zakresie, w jakim obracają gotówką od 10 000 euro.

Wielkość nie zwalnia z niczego: przy działalności jednoosobowej zadania kadry kierowniczej i pracownika odpowiedzialnego za zgodność pełni sama osoba ją prowadząca (art. 9).

Trzy progi kwotowe i jeden, który do AML nie należy

10 000 euro to próg gotówkowy: od tej kwoty instytucją obowiązaną staje się przedsiębiorca przyjmujący lub płacący gotówką za towary (art. 2 ust. 1 pkt 23) i od niej stosuje środki bezpieczeństwa finansowego (art. 35 ust. 1 pkt 3). 15 000 euro to próg transakcji okazjonalnej dla pozostałych instytucji i próg raportowania do GIIF, a 1 000 euro dotyczy transferu środków i waluty wirtualnej (art. 35 ust. 1 pkt 2). Przy progach 10 000 i 15 000 euro operacje, które wydają się ze sobą powiązane, liczy się łącznie (art. 2 ust. 1 pkt 23, art. 35 ust. 1 pkt 2 lit. a i pkt 3): trzy wpłaty gotówką po 4 000 euro to 12 000 euro, więc próg 10 000 euro jest osiągnięty.

Osobną sprawą jest 15 000 zł z art. 19 ustawy Prawo przedsiębiorców (t.j. Dz.U. 2025 poz. 1480), powyżej których płatność między przedsiębiorcami idzie przez rachunek płatniczy. To przepis rozliczeniowy, nie AML, a mylenie obu progów jest tu najczęstsze.

Sześć rzeczy, które muszą być wdrożone

Ocena ryzyka, na papierze albo elektronicznie, aktualizowana nie rzadziej niż co 2 lata (art. 27 ust. 1 i 3). Wewnętrzna procedura z jedenastoma elementami z art. 50 ust. 2, zaakceptowana przez kadrę kierowniczą wyższego szczebla. Wyznaczenie ludzi: kadry kierowniczej (art. 6), członka zarządu (art. 7) i pracownika odpowiedzialnego za zgodność oraz zawiadomienia (art. 8). Szkolenia (art. 52). Procedura anonimowego zgłaszania naruszeń (art. 53). Przechowywanie dokumentacji przez 5 lat od zakończenia stosunków gospodarczych albo od dnia transakcji okazjonalnej (art. 49 ust. 1).

Procedura z art. 53 to nie to samo co procedura zgłoszeń wewnętrznych z ustawy o sygnalistach, a instytucja obowiązana musi mieć obie. Próg pięćdziesięciu osób jej nie dotyczy: art. 23 ust. 3 ustawy z 14 czerwca 2024 r. o ochronie sygnalistów (Dz.U. 2024 poz. 928) wyłącza go wobec podmiotów działających w zakresie przeciwdziałania praniu pieniędzy. Szerzej na stronie o sygnalistach.

Środki bezpieczeństwa finansowego i beneficjent rzeczywisty

Są to cztery czynności z art. 34 ust. 1: identyfikacja klienta i weryfikacja jego tożsamości, identyfikacja beneficjenta rzeczywistego wraz ze strukturą własności i kontroli, ocena celu stosunków gospodarczych oraz ich bieżące monitorowanie. Beneficjentem rzeczywistym jest przy osobie prawnej w pierwszej kolejności ten, komu przysługuje więcej niż 25 % udziałów, akcji albo głosów (art. 2 ust. 2 pkt 1).

Ustalenia trzeba udokumentować, a na żądanie organu wykazać, że środki odpowiadały rozpoznanemu ryzyku (art. 34 ust. 3). Czynność wykonana bez śladu w aktach klienta jest w kontroli traktowana jak niewykonana: w 2025 r. GIIF stwierdził brak lub wadliwe zastosowanie tych środków 77 razy.

Gdy nie da się zastosować choćby jednego środka, ustawa nakazuje nie nawiązywać stosunków gospodarczych ani nie przeprowadzać transakcji, a już nawiązane rozwiązać (art. 41 ust. 1). To moment, w którym trzeba odmówić klientowi i mieć na to podstawę na piśmie.

Zgłoszenia do CRBR i do GIIF: 14 dni, 7 dni, 2 dni robocze

Do Centralnego Rejestru Beneficjentów Rzeczywistych dane zgłasza się w terminie 14 dni od wpisu do KRS i 14 dni od zmiany (art. 60 ust. 1 i 1a), a do biegu tych terminów nie wlicza się sobót ani dni ustawowo wolnych (art. 60 ust. 2). Obowiązek dotyczy spółek handlowych, w tym partnerskich, z wyjątkiem spółek publicznych, oraz spółdzielni, fundacji i stowarzyszeń w KRS (art. 58). Zgłoszenia dokonuje osoba ustawowo uprawniona do reprezentacji (art. 61 ust. 1), a nie pełnomocnik; prokurenta Ministerstwo Finansów do zgłoszenia dopuszcza.

Informacje o wpłatach, wypłatach i transferach powyżej 15 000 euro, które instytucja sama przeprowadza, idą do Generalnego Inspektora Informacji Finansowej w terminie 7 dni (art. 72 ust. 1 i 5). Biuro rachunkowe nie jest z tego obowiązku wyłączone, ale według Komunikatu GIIF nr 114 raportuje tylko gotówkę, którą samo przyjęło albo wypłaciło, a nie transakcje klientów widoczne w księgach. Kantory raportują kupno i sprzedaż wartości dewizowych, a notariusze akty notarialne powyżej tego progu (art. 72 ust. 3 i 4).

Zawiadomienie o okolicznościach wskazujących na podejrzenie prania pieniędzy idzie niezwłocznie, nie później niż w terminie 2 dni roboczych od potwierdzenia podejrzenia (art. 74 ust. 2). Podejrzaną transakcję, która ma być dopiero przeprowadzona, zgłasza się niezwłocznie w osobnym trybie (art. 86 ust. 1) i nie wykonuje się jej przez 24 godziny od potwierdzenia przyjęcia zawiadomienia, a GIIF może żądać jej wstrzymania do 96 godzin (art. 86 ust. 4 i 5).

Kontrola: kto ją prowadzi i w jakich terminach

Kontrolę sprawuje GIIF (art. 130 ust. 1), ale większość prowadzą organy z art. 130 ust. 2: Prezes NBP wobec kantorów, KNF wobec podmiotów nadzorowanych, prezesi sądów apelacyjnych wobec notariuszy, naczelnicy urzędów celno-skarbowych, a wobec fundacji i stowarzyszeń ministrowie, wojewodowie i starostowie. Ze sprawozdania GIIF za 2025 rok wynika, że sam GIIF przeprowadził 7 kontroli i stwierdził w nich 191 nieprawidłowości, a organy nadzorujące 479 kontroli.

W kontroli prowadzonej przez GIIF czynności wykonuje co najmniej dwóch imiennie upoważnionych kontrolerów (art. 133 ust. 1). Protokół doręcza się w 30 dni od zakończenia kontroli, zastrzeżenia zgłasza się w 14 dni (art. 141 ust. 3 i 7), wystąpienie pokontrolne kontroler sporządza w 30 dni, a informację o wykonaniu zaleceń przesyła się w 30 dni od jego otrzymania (art. 142 ust. 1 i 4). To jedyne momenty realnego wpływu na ustalenia. NBP, KNF, prezesi sądów apelacyjnych i urzędy celno-skarbowe kontrolują według własnych przepisów (art. 130 ust. 2 pkt 1), więc terminy trzeba sprawdzić dla każdej kontroli osobno.

Sankcje za naruszenie obowiązków AML

Wysokość i rodzaj sankcji zależą od kategorii instytucji obowiązanej, rodzaju naruszenia oraz podstawy odpowiedzialności. Co do zasady kara pieniężna sięga dwukrotności osiągniętej korzyści albo unikniętej straty, a gdy nie da się jej ustalić, równowartości 1 000 000 euro (art. 150 ust. 2). Dla instytucji finansowych, w tym kantorów i instytucji pożyczkowych, granicą jest 5 000 000 euro albo 10 % obrotu, a gdy instytucję prowadzi osoba fizyczna — 20 868 500 zł (art. 150 ust. 3). Karą jest też zakaz pełnienia obowiązków kierowniczych do roku (art. 150 ust. 1 pkt 4) i publikacja informacji o naruszeniu w BIP (art. 150 ust. 1 pkt 1). Informację o każdej ostatecznej decyzji o karze GIIF publikuje w BIP i usuwa po 5 latach, a dane osoby fizycznej najpóźniej po roku (art. 152 ust. 1 i 5).

Odpowiedzialność osobista biegnie równolegle: na osobę wyznaczoną na podstawie art. 6-8 można nałożyć karę do 1 000 000 zł (art. 154 ust. 1). Niedopełnienie obowiązku zawiadomienia GIIF jest ponadto przestępstwem zagrożonym karą od 3 miesięcy do 5 lat (art. 156 ust. 1). Odpowiedzialność za samo pranie pieniędzy z art. 299 Kodeksu karnego to osobne postępowanie, którym ta strona się nie zajmuje.

Nic nie zostało wdrożone od lat. Od czego zacząć

Jeżeli obowiązki istnieją od 2018 albo od 2021 roku, a w firmie brakuje dokumentów, przy ich uzupełnianiu trzeba uważać na cztery błędy:

Antydatowanie. Dokumentacja powinna wskazywać rzeczywiste daty przyjęcia i wdrożenia procedury. Antydatowanie nie usuwa wcześniejszych uchybień, a zależnie od sposobu działania może rodzić dodatkową odpowiedzialność.

Procedura przepisana ze wzoru bez dostosowania. Art. 50 ust. 2 wymaga uwzględnienia charakteru, rodzaju i rozmiaru działalności, a GIIF wymienia wśród nieprawidłowości procedurę nieadekwatną i niepełną.

Brak formularza identyfikującego. Przed pierwszym wykonaniem obowiązków informacyjnych trzeba go przekazać do GIIF (art. 77 ust. 1).

Zapomniana aktualizacja CRBR. Poza pierwszym zgłoszeniem trzeba pilnować terminu 14 dni od każdej zmiany, na przykład zmiany wspólnika.

Kolejność naprawy jest stała: ustalić, od kiedy i z której pozycji katalogu podmiot jest instytucją obowiązaną, sporządzić ocenę ryzyka z datą bieżącą, napisać na jej podstawie procedurę, wyznaczyć osoby z art. 6-8, przekazać formularz, sprawdzić CRBR i przeszkolić ludzi. Liczy się to także dla kary, bo organ bierze pod uwagę czas trwania naruszenia (art. 150 ust. 4).

Od 10 lipca 2027 r. zmienia się podstawa prawna

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1624 z 31 maja 2024 r. stosuje się od 10 lipca 2027 r., a wobec agentów piłkarskich i klubów piłkarskich od 10 lipca 2029 r. (art. 90). Obowiązuje bezpośrednio: od tej daty obowiązki wyniką z aktu unijnego, a polska ustawa zostanie do niego dostosowana. Art. 80 wprowadza w całej Unii limit płatności gotówkowych 10 000 euro. Dyrektywa (UE) 2024/1640 ma być wdrożona do 10 lipca 2027 r., a jej przepisy o dostępie do rejestrów beneficjentów rzeczywistych miały zostać wdrożone już do 10 lipca 2026 r. (art. 78 ust. 1).

Urząd unijny działa już teraz. Rozporządzenie (UE) 2024/1620 ustanowiło Urząd do spraw Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu z siedzibą we Frankfurcie nad Menem (art. 4) i stosuje się od 1 lipca 2025 r. (art. 108). Bezpośrednim nadzorem obejmie jednak tylko wybrane instytucje kredytowe i finansowe działające w co najmniej sześciu państwach Unii, w pierwszym wyborze najwyżej czterdzieści (art. 12 ust. 1, art. 13 ust. 1 i art. 106 ust. 2). Wybór rozpocznie do 1 lipca 2027 r., a nadzór sześć miesięcy po opublikowaniu wykazu (art. 13 ust. 4), czyli według preambuły rozporządzenia od 2028 r. Biura rachunkowego, pośrednika czy fundacji ten nadzór nie obejmie. Trwa też nowelizacja polskiej ustawy (projekt UC75 w wykazie prac Rady Ministrów), ale dotyczy głównie środków ograniczających wobec rozprzestrzeniania broni masowego rażenia, CRBR i systemu teleinformatycznego GIIF, a nie pełnego dostosowania do pakietu unijnego. Dokumenty pisane dzisiaj i tak trzeba będzie przejrzeć przed lipcem 2027 r.

Jak wygląda praca z Kancelarią

Na pierwszym spotkaniu ustalamy, którą pozycję z art. 2 ust. 1 ustawy wypełnia działalność Klienta i od kiedy. Prosimy o informacje o rodzaju działalności, sposobach rozliczeń, klientach, transakcjach i istniejących procedurach, a także o umowę spółki albo statut i odpis z KRS. Zakres oraz okres dokumentacji ustalamy na podstawie obowiązków właściwych dla danej instytucji. Na tej podstawie sporządzamy ocenę ryzyka, a dokumentację AML dostosowujemy do rodzaju działalności, skali i wyników oceny ryzyka.

Przygotowujemy procedurę anonimowego zgłaszania naruszeń, wzory kart klienta i oświadczeń o beneficjencie rzeczywistym, dokumenty dotyczące wyznaczenia osób odpowiedzialnych za AML (art. 6-8) oraz zgłoszenia do właściwych systemów, w tym formularz dla GIIF, jeżeli są wymagane. Sprawdzamy wpis w CRBR i szkolimy pracowników. W toku kontroli sporządzamy zastrzeżenia do protokołu i odpowiedź na wystąpienie pokontrolne, a w postępowaniu o karę reprezentujemy Klienta przed organem i sądem administracyjnym.

Ochronę danych osobowych opisujemy na stronie o RODO, przegląd dokumentacji spółki w ramach audytu prawnego, a wymogi wobec systemów informatycznych na stronie o cyberbezpieczeństwie. Spotykamy się w Katowicach przy Placu Oddziałów Młodzieży Powstańczej 5/8 oraz w Zawierciu przy ul. 3 Maja 33. Wynagrodzenie ustalamy przed rozpoczęciem pracy.

Pytania i odpowiedzi

Czy biuro rachunkowe musi mieć procedurę AML?

Tak. Podmioty prowadzące usługowo księgi rachunkowe są instytucjami obowiązanymi na podstawie art. 2 ust. 1 pkt 17, a biura podatkowe na podstawie pkt 15a. Obowiązek z art. 50 dotyczy także biura jednoosobowego.

Od jakiej kwoty obowiązuje AML?

Dla zwykłego przedsiębiorcy 10 000 euro przyjęte lub zapłacone gotówką za towary (art. 2 ust. 1 pkt 23). Dla pozostałych instytucji progiem transakcji okazjonalnej jest 15 000 euro, a przy transferze środków 1 000 euro (art. 35 ust. 1). Przy progach 10 000 i 15 000 euro operacje powiązane sumuje się.

Czy fundacja albo stowarzyszenie jest instytucją obowiązaną?

W zakresie, w jakim obracają gotówką od 10 000 euro (art. 2 ust. 1 pkt 21 i 22). Niezależnie od progu każda fundacja i każde stowarzyszenie w KRS zgłasza beneficjenta rzeczywistego do CRBR (art. 58), a kontrolę prowadzą ministrowie, wojewodowie i starostowie.

Ile mam czasu na zgłoszenie beneficjenta rzeczywistego do CRBR?

Czternaście dni od wpisu do KRS, a przy zmianie danych czternaście dni od zmiany w KRS albo — gdy zmiana wpisu nie wymaga — od jej dokonania (art. 60 ust. 1 i 1a). Do biegu terminu nie wlicza się sobót i dni ustawowo wolnych. Za uchybienie grozi kara do 1 000 000 zł (art. 153 ust. 1).

Czy adwokat jest instytucją obowiązaną?

Tak, ale tylko wtedy, gdy pomoc prawna dotyczy kupna lub sprzedaży nieruchomości albo przedsiębiorstwa, zarządzania pieniędzmi, instrumentami finansowymi lub innymi aktywami klienta, zawierania umów o prowadzenie rachunku bankowego lub rachunku papierów wartościowych, wnoszenia wkładów do spółek kapitałowych albo tworzenia, prowadzenia lub zarządzania spółkami kapitałowymi i trustami (art. 2 ust. 1 pkt 14). Obowiązek zawiadamiania GIIF nie obejmuje informacji uzyskanych przy ustalaniu sytuacji prawnej Klienta w związku z postępowaniem sądowym, przy obronie, reprezentowaniu lub zastępowaniu go w postępowaniu sądowym ani przy poradzie o wszczęciu lub uniknięciu takiego postępowania (art. 75).

Jak wygląda kontrola AML?

W kontroli GIIF czynności wykonuje co najmniej dwóch imiennie upoważnionych kontrolerów (art. 133 ust. 1), w miejscu i w godzinach pracy kontrolowanego (art. 135 ust. 1); inne organy kontrolują według własnych przepisów. Proszą o ocenę ryzyka, procedury, dokumenty wyznaczające osoby odpowiedzialne, dowody szkoleń i akta klientów. Protokół przychodzi w 30 dni, zastrzeżenia składa się w 14 dni (art. 141).

Czy komis samochodowy podlega przepisom AML?

Podlega wtedy, gdy przyjmuje lub płaci gotówką za towary od 10 000 euro, także w kilku powiązanych operacjach (art. 2 ust. 1 pkt 23). Rozliczając się wyłącznie przelewem, do katalogu nie wchodzi, ale jedna transakcja gotówkowa od 10 000 euro wystarczy.

Kontakt

Jeżeli nie mają Państwo pewności, czy działalność mieści się w katalogu instytucji obowiązanych, albo dokumentów brakuje od lat, zapraszamy do Katowic lub Zawiercia. Termin umówią Państwo pod numerem 535 204 359 lub pisząc na sekretariat@oca.com.pl.

Wróć do zgodności i audytów