Wdrożenie procedury AML w firmie – kto ma obowiązek i jakie kary grożą za jej brak

by admin · June 22, 2026

W polskim porządku prawnym obowiązek wdrożenia procedur w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu (AML – Anti-Money Laundering) przestał być domeną wyłącznie banków i instytucji finansowych. Coraz częściej dotyczy on również podmiotów z sektora MŚP, a nawet pojedynczych przedsiębiorców. Zaniechanie wdrożenia odpowiednich procedur nie jest już tylko ryzykiem reputacyjnym – wiąże się z realnymi sankcjami administracyjnymi i karnymi.

Poniżej szczegółowo omawiam, kto jest zobowiązany do wdrożenia procedury AML, jakie elementy powinna ona obejmować oraz jakie konsekwencje grożą za jej brak lub nieprawidłową realizację. Artykuł uwzględnia stan prawny na dzień dzisiejszy, w szczególności ustawę z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (dalej: „ustawa AML”).

Podstawy prawne obowiązku wdrożenia procedury AML

Fundamentem krajowego systemu AML jest ustawa AML implementująca kolejne unijne dyrektywy AML. Ustawa ta określa m.in. katalog tzw. instytucji obowiązanych, zasady stosowania środków bezpieczeństwa finansowego, obowiązki w zakresie raportowania do Generalnego Inspektora Informacji Finansowej (GIIF), a także sankcje za naruszenia.

Kluczowe znaczenie ma art. 2 ustawy AML, który wskazuje, jakie podmioty są „instytucjami obowiązanymi”. To właśnie na nich ciąży obowiązek wdrożenia procedury AML.

Art. 2 ust. 1 ustawy AML:
„Instytucjami obowiązanymi są:
1) banki krajowe, oddziały banków zagranicznych, instytucje kredytowe oraz ich oddziały;
2) spółdzielcze kasy oszczędnościowo-kredytowe oraz Kasa Krajowa;
3) zakłady ubezpieczeń wykonujące działalność w zakresie ubezpieczeń na życie oraz główni oddziałowi zagranicznych zakładów ubezpieczeń wykonujących działalność w zakresie ubezpieczeń na życie;
[…]
17) przedsiębiorcy prowadzący działalność w zakresie usługowego prowadzenia ksiąg rachunkowych;
18) doradcy podatkowi, biegli rewidenci, adwokaci, radcowie prawni, prawnicy zagraniczni oraz notariusze – w zakresie czynności określonych w ustawie;
[…]
22) pośrednicy w obrocie nieruchomościami;
23) podmioty prowadzące działalność w zakresie gier hazardowych;
[…]
25) przedsiębiorcy, którzy dokonują lub przyjmują płatności w gotówce, o wartości co najmniej równowartości 10 000 euro, bez względu na to, czy płatność jest przeprowadzona jako pojedyncza operacja, czy kilka operacji, które wydają się ze sobą powiązane.”

Katalog jest szeroki i obejmuje kilkadziesiąt pozycji, od klasycznych instytucji finansowych, przez branżę nieruchomości, doradztwo prawno-podatkowe, księgowość, po niektóre podmioty prowadzące działalność handlową z wysokimi płatnościami gotówkowymi.

Istotne jest, że obowiązek wdrożenia procedury AML nie zależy od subiektywnej oceny ryzyka przez przedsiębiorcę, lecz wprost od tego, czy podpada on pod definicję instytucji obowiązanej z art. 2 ustawy AML.

Relacja z innymi aktami prawnymi

Ustawa AML funkcjonuje obok innych regulacji sektorowych (np. Prawo bankowe, ustawa o usługach płatniczych, ustawa o działalności ubezpieczeniowej) oraz w ścisłej relacji z kodeksem karnym i kodeksem karnym skarbowym. Pranie pieniędzy jest przestępstwem uregulowanym w art. 299 k.k.:

Art. 299 § 1 k.k.:
„Kto środki płatnicze, instrumenty finansowe, papiery wartościowe, wartości dewizowe, prawa majątkowe lub inne mienie ruchome lub nieruchome pochodzące z korzyści związanych z popełnieniem czynu zabronionego przyjmuje, przekazuje lub przekształca, podejmuje inne czynności, które mogą udaremnić lub znacznie utrudnić stwierdzenie ich przestępczego pochodzenia lub miejsca ulokowania, ich wykrycie, zajęcie albo orzeczenie przepadku,
podlega karze pozbawienia wolności od 6 miesięcy do lat 8.”

Z punktu widzenia instytucji obowiązanych zasadniczy ciężar odpowiedzialności dotyczy jednak odpowiedzialności administracyjnej i karnej za naruszenie przepisów samej ustawy AML.

Kto konkretnie ma obowiązek wdrożenia procedury AML

Katalog instytucji obowiązanych jest rozbudowany. W praktyce można wyróżnić kilka głównych grup podmiotów, które najczęściej mają wątpliwości co do obowiązku wdrożenia AML.

Instytucje finansowe i płatnicze

Do tej grupy należą przede wszystkim banki, SKOK-i, instytucje płatnicze, biura usług płatniczych, firmy pożyczkowe, zakłady ubezpieczeń na życie, domy maklerskie, fundusze inwestycyjne i ich towarzystwa, instytucje pieniądza elektronicznego.

W odniesieniu do nich obowiązki AML mają charakter fundamentalny i bardzo rozbudowany, a procedury są ściśle powiązane z tzw. systemami compliance i regulacjami nadzorczymi (KNF, NBP).

Branża prawno-podatkowa i księgowa

Ustawodawca objął obowiązkami AML istotną część rynku profesjonalnych usług doradczych. Obowiązek wdrożenia procedury AML obejmuje m.in.:

– doradców podatkowych,
– biegłych rewidentów,
– adwokatów, radców prawnych, notariuszy – choć wyłącznie w zakresie określonych w ustawie czynności, w szczególności związanych z obsługą transakcji finansowych, obrotem nieruchomościami, tworzeniem i obsługą spółek,
– przedsiębiorców prowadzących działalność w zakresie usługowego prowadzenia ksiąg rachunkowych.

Jest to obszar szczególnie wrażliwy, ponieważ pranie pieniędzy jest często maskowane zaawansowanymi strukturami prawnymi, doradztwem podatkowym czy złożonymi operacjami finansowymi.

Rynek nieruchomości

Znaczącą kategorię instytucji obowiązanych stanowią pośrednicy w obrocie nieruchomościami. Wysokie wartości transakcji oraz częste korzystanie z gotówki czynią ten sektor podatnym na wykorzystywanie do prania pieniędzy.

Obowiązek wdrożenia AML mają również m.in. deweloperzy czy inne podmioty, które – jako przedsiębiorcy – przyjmują lub dokonują płatności gotówkowych na poziomie co najmniej równowartości 10 000 euro, nawet jeżeli nie specjalizują się „formalne” w usługach finansowych.

Podmioty dokonujące wysokich płatności gotówkowych

Szczególnego wyjaśnienia wymaga kategoria wskazana w art. 2 ust. 1 pkt 25 ustawy AML, obejmująca przedsiębiorców, którzy dokonują lub przyjmują płatności w gotówce na poziomie co najmniej równowartości 10 000 euro.

Oznacza to, że np. salon samochodowy, hurtownia, sklep z elektroniką lub kamieniami szlachetnymi, a nawet firma budowlana – jeżeli w ramach zwykłej działalności dokonuje lub przyjmuje płatności gotówką na takim poziomie – stanie się instytucją obowiązaną w rozumieniu ustawy AML i będzie musiała wdrożyć odpowiednie procedury.

Nie ma przy tym znaczenia, czy przedsiębiorca systemowo dąży do przyjmowania płatności bezgotówkowych. Wystarczy, że pojedyncza transakcja lub kilka powiązanych transakcji przekroczy próg 10 000 euro w gotówce.

Branża gier hazardowych

Ustawa AML obejmuje również podmioty prowadzące działalność w zakresie gier hazardowych. Ze względu na możliwość „legalizowania” środków poprzez udział w grach, kasynach czy zakładach, są one naturalnym obszarem zainteresowania regulatora. W praktyce operatorzy gier podlegają zarówno ustawie AML, jak i szczegółowym regulacjom ustawy o grach hazardowych, a kontrola w tym sektorze jest intensywna.

Wybrane nowe kategorie podmiotów

Z uwagi na rozwój technologii finansowych (FinTech) oraz usług cyfrowych, do instytucji obowiązanych należą także m.in.:

– podmioty prowadzące działalność w zakresie walut wirtualnych (np. giełdy kryptowalut, kantory kryptowalut),
– dostawcy usług depozytowych dla walut wirtualnych.

Oznacza to, że przedsiębiorcy operujący w obszarze kryptowalut, nawet jeśli formalnie nie są „klasycznymi” instytucjami finansowymi, muszą wypełniać kompleksowe obowiązki AML, w tym wdrożyć procedurę wewnętrzną.

Co oznacza „wdrożenie procedury AML” w praktyce

Samo istnienie dokumentu nazwanego „procedurą AML” nie jest wystarczające. Ustawa AML nakłada na instytucje obowiązane szereg konkretnych wymogów, które muszą znaleźć odzwierciedlenie zarówno w treści procedury, jak i w praktycznym funkcjonowaniu firmy.

Art. 50 ust. 1 ustawy AML:
„Instytucja obowiązana opracowuje i wdraża wewnętrzną procedurę w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu, zwaną dalej „procedurą wewnętrzną”, obejmującą:
1) zasady rozpoznawania i oceny ryzyka prania pieniędzy oraz finansowania terroryzmu;
2) zasady stosowania środków bezpieczeństwa finansowego;
3) zasady przechowywania dokumentów i informacji;
4) zasady wykonywania obowiązku zgłaszania GIIF transakcji;
5) zasady wykonywania obowiązku przekazywania informacji o transakcjach i klientach na żądanie GIIF;
6) zasady szkolenia pracowników;
7) zasady kontroli wewnętrznej w zakresie realizacji obowiązków wynikających z ustawy.”

W praktyce oznacza to konieczność wdrożenia kompleksowego systemu, a nie tylko pojedynczego regulaminu.

Identyfikacja i ocena ryzyka

Podstawą efektywnego systemu AML jest identyfikacja i ocena ryzyka prania pieniędzy oraz finansowania terroryzmu. Ustawodawca wymaga, aby instytucja obowiązana dokonywała oceny ryzyka na poziomie:

– ogólnym (tzw. ocena ryzyka instytucji, uwzględniająca skalę, charakter, klientelę, obszar geograficzny działalności),
– indywidualnym (ocena ryzyka na poziomie konkretnego klienta i konkretnej transakcji).

Ocena ta musi być udokumentowana, aktualizowana oraz realnie wykorzystywana przy doborze środków bezpieczeństwa finansowego. Niedopuszczalne jest tworzenie „papierowych” ocen ryzyka, które nie mają przełożenia na praktykę.

Stosowanie środków bezpieczeństwa finansowego

Środki bezpieczeństwa finansowego opisane są w rozdziale 5 ustawy AML. Należą do nich w szczególności:

– identyfikacja klienta i weryfikacja jego tożsamości,
– identyfikacja beneficjenta rzeczywistego,
– ocena stosunków gospodarczych i monitorowanie transakcji,
– bieżące monitorowanie stosunków gospodarczych, w tym analiza zgodności realizowanych transakcji z wiedzą instytucji o kliencie.

Art. 34 ust. 1 ustawy AML:
„Instytucje obowiązane stosują środki bezpieczeństwa finansowego wobec klientów:
1) przy nawiązywaniu stosunków gospodarczych;
2) przy przeprowadzaniu transakcji okazjonalnej:
a) o równowartości 15 000 euro lub większej,
b) która stanowi transfer środków pieniężnych, o którym mowa w art. 3 pkt 9 rozporządzenia 2015/847;
3) w przypadku podejrzenia prania pieniędzy lub finansowania terroryzmu;
4) w przypadku wątpliwości co do prawdziwości lub kompletności uprzednio uzyskanych danych identyfikacyjnych klienta.”

Wdrożenie procedury AML oznacza szczegółowe opisanie, jak w danej firmie realizowane są powyższe obowiązki, w jakim trybie, kto jest odpowiedzialny, jak wygląda obieg informacji i dokumentów.

Przechowywanie dokumentów i informacji

Ustawa AML określa minimalne okresy przechowywania dokumentacji związanej z AML.

Art. 49 ust. 1 ustawy AML:
„Instytucje obowiązane przechowują dokumenty i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego, a także dokumenty dotyczące transakcji, w tym ewidencje, przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku kalendarzowym, w którym zakończono stosunki gospodarcze z klientem lub przeprowadzono transakcję okazjonalną.”

Procedura wewnętrzna powinna określać sposób archiwizacji, poziomy dostępu, standardy bezpieczeństwa danych oraz tryb niszczenia dokumentacji po upływie terminu przechowywania.

Zgłaszanie transakcji i współpraca z GIIF

Jednym z kluczowych obowiązków instytucji obowiązanej jest identyfikowanie transakcji podejrzanych oraz przekazywanie informacji do Generalnego Inspektora Informacji Finansowej. Ustawodawca przewidział zarówno obowiązek zgłaszania tzw. transakcji ponadprogowych, jak i transakcji, w stosunku do których powstało podejrzenie prania pieniędzy lub finansowania terroryzmu, niezależnie od ich kwoty.

Procedura musi szczegółowo opisywać, jak rozpoznaje się operacje niestandardowe, kto podejmuje decyzję o zgłoszeniu, w jaki sposób anonimowość zgłaszającego jest chroniona i jak wygląda komunikacja z GIIF.

Szkolenia i kontrola wewnętrzna

Bez odpowiedniego przeszkolenia pracowników na pierwszej linii kontaktu z klientem (front office, handlowcy, księgowość) nawet najlepiej napisana procedura pozostanie martwa. Dlatego ustawa AML wprost nakazuje instytucjom obowiązanym zapewnienie cyklicznych szkoleń oraz systematycznej kontroli wewnętrznej.

Procedura wewnętrzna powinna regulować:

– częstotliwość i zakres szkoleń,
– formy dokumentowania udziału pracowników w szkoleniach,
– tryb zgłaszania naruszeń i nieprawidłowości (whistleblowing),
– zasady audytu wewnętrznego AML lub kontroli zgodności.

Case study: biuro rachunkowe jako instytucja obowiązana

Wyobraźmy sobie niewielkie biuro rachunkowe świadczące usługi dla lokalnych firm. Właściciel jest przekonany, że AML dotyczy wyłącznie banków, więc nie wdraża żadnych procedur. Biuro sporadycznie obsługuje transakcje gotówkowe powyżej 10 000 euro u swoich klientów, przygotowuje dokumenty dotyczące aportów, pożyczek wspólników oraz przekształceń spółek.

W pewnym momencie organy ścigania wszczynają postępowanie dotyczące klienta biura podejrzanego o wyłudzanie podatku VAT i pranie pieniędzy. W toku czynności okazuje się, że biuro rachunkowe nie miało żadnej procedury AML, pracownicy nie byli szkoleni, nie prowadzono oceny ryzyka klientów, a część nietypowych transakcji została zaksięgowana bez próby wyjaśnienia ich ekonomicznego uzasadnienia.

W takiej sytuacji GIIF może wszcząć postępowanie administracyjne wobec biura jako instytucji obowiązanej. Brak procedury wewnętrznej, brak szkoleń i brak środków bezpieczeństwa finansowego jest naruszeniem ustawy AML, niezależnie od tego, czy właściciel biura miał świadomość bycia instytucją obowiązaną.

Konsekwencją mogą być dotkliwe kary administracyjne, a w skrajnych przypadkach – również odpowiedzialność karna osób zarządzających (np. za niedopełnienie obowiązków, ułatwienie prania pieniędzy przez zaniechanie zgłoszenia podejrzanych transakcji).

Kary za brak procedury AML i naruszenia obowiązków

Reżim sankcyjny ustawy AML jest rozbudowany i obejmuje zarówno odpowiedzialność administracyjną instytucji obowiązanej jako takiej, jak i odpowiedzialność osobistą członków organów zarządzających oraz pracowników.

Odpowiedzialność administracyjna instytucji obowiązanej

Podstawową formą sankcji za naruszenie przepisów AML są kary administracyjne nakładane przez właściwy organ (w zależności od rodzaju instytucji obowiązanej – może to być GIIF, KNF, Krajowa Administracja Skarbowa, Prezes NBP). Art. 147 ustawy AML przewiduje katalog naruszeń, za które można nałożyć kary.

Art. 147 ust. 1 ustawy AML:
„W przypadku stwierdzenia naruszenia przez instytucję obowiązaną przepisów ustawy, organ, o którym mowa w art. 130 ust. 1, może nałożyć:
1) karę pieniężną;
2) upomnienie;
3) zakaz pełnienia obowiązków na stanowisku kierowniczym przez osobę odpowiedzialną za naruszenie;
4) cofnięcie koncesji, zezwolenia lub wykreślenie z rejestru działalności regulowanej;
5) podanie do publicznej wiadomości informacji o instytucji obowiązanej i zakresie naruszenia.”

Brak procedury wewnętrznej, brak wyznaczenia osoby odpowiedzialnej za wykonywanie obowiązków AML, brak szkoleń czy brak środków bezpieczeństwa finansowego jest naruszeniem wprost przewidzianych obowiązków ustawowych i może stanowić podstawę do nałożenia kary.

Maksymalną wysokość kary administracyjnej określa art. 147 ust. 2 ustawy AML:

Art. 147 ust. 2 ustawy AML:
„Kara pieniężna, o której mowa w ust. 1 pkt 1, może zostać nałożona w wysokości:
1) do równowartości 5 000 000 euro;
2) dla instytucji obowiązanych będących bankami, domami maklerskimi, towarzystwami funduszy inwestycyjnych, zakładami ubezpieczeń – do 10% obrotu osiągniętego w roku obrotowym poprzedzającym rok nałożenia kary.”

W praktyce, w przypadku mniejszych podmiotów (np. biur rachunkowych, kancelarii) organ będzie brał pod uwagę skalę działalności, stopień zawinienia, zakres i długość trwania naruszenia oraz to, czy doszło do realnego ułatwienia prania pieniędzy. Niemniej jednak możliwość wymierzenia nawet kilkusettysięcznych kar jest realna.

Odpowiedzialność osobista członków zarządu i kadry kierowniczej

Ustawa AML przewiduje także odpowiedzialność osobistą członków zarządu lub innego organu zarządzającego. Jeżeli naruszenie obowiązków AML nastąpiło w następstwie ich celowego działania lub rażącego zaniedbania, organ może nałożyć na te osoby m.in. zakaz pełnienia funkcji kierowniczych.

Art. 148 ust. 1 ustawy AML:
„W przypadku stwierdzenia naruszenia, o którym mowa w art. 147 ust. 1, organ, o którym mowa w art. 130 ust. 1, może nałożyć na członków organu zarządzającego instytucji obowiązanej karę pieniężną w wysokości do równowartości 1 000 000 euro oraz zakaz pełnienia obowiązków na stanowiskach kierowniczych przez okres do 10 lat.”

Choć tak wysokie kary są w praktyce zastrzeżone raczej dla dużych instytucji finansowych, to sam fakt możliwości pociągnięcia członków zarządu do odpowiedzialności osobistej jest bardzo istotny dla właścicieli mniejszych firm i spółek.

Odpowiedzialność karna

Ustawa AML przewiduje również odpowiedzialność karną za określone naruszenia. Przykładowo:

Art. 156 ust. 1 ustawy AML:
„Kto, wbrew obowiązkowi określonemu w art. 74 ust. 1, nie przekazuje Generalnemu Inspektorowi informacji o transakcjach, o których mowa w art. 72,
podlega karze pozbawienia wolności do lat 3.”

Z kolei osoba, która ujawnia klientowi fakt złożenia zawiadomienia do GIIF (tzw. tipping-off), może również odpowiadać karnie.

Niezależnie od ustawy AML, odpowiedzialności karnej podlega osoba, która aktywnie bierze udział w procederze prania pieniędzy (art. 299 k.k.). W skrajnych sytuacjach członek zarządu lub pracownik instytucji obowiązanej może więc ponosić odpowiedzialność zarówno na podstawie ustawy AML (za naruszenie obowiązków), jak i kodeksu karnego (za udział w praniu pieniędzy).

Przykładowe orzecznictwo dotyczące obowiązków AML

Orzecznictwo sądów administracyjnych i powszechnych w zakresie AML stale się rozwija. Wyroki te podkreślają m.in., że obowiązki AML nie mogą być traktowane jako czysta formalność.

Wyrok Naczelnego Sądu Administracyjnego z 27 września 2019 r., sygn. II GSK 3741/16
Sąd wskazał, że: „Procedury wewnętrzne w zakresie przeciwdziałania praniu pieniędzy mają charakter nie tylko formalny, ale przede wszystkim funkcjonalny. Instytucja obowiązana musi wykazać, że procedury są realnie stosowane, a pracownicy są świadomi swoich obowiązków. Sam fakt posiadania dokumentu nazwanego ‘procedurą AML’ nie jest wystarczający dla uznania, że instytucja należycie wywiązuje się z ustawowych wymogów.”

W innej sprawie, dotyczącej domu maklerskiego, sąd podkreślił znaczenie oceny ryzyka i dostosowania środków bezpieczeństwa finansowego.

Wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 14 marca 2018 r., sygn. VI SA/Wa 2075/17
„Ocena ryzyka prania pieniędzy i finansowania terroryzmu nie może mieć charakteru czysto teoretycznego. Instytucja obowiązana powinna udokumentować, w jaki sposób wyniki tej oceny znajdują odzwierciedlenie w praktyce, w szczególności w doborze środków bezpieczeństwa finansowego wobec poszczególnych grup klientów.”

Z kolei sądy karne wielokrotnie odnosiły się do kwestii odpowiedzialności za pranie pieniędzy w kontekście braku należytego nadzoru lub braku reakcji na podejrzane transakcje.

Wyrok Sądu Apelacyjnego w Krakowie z 9 lutego 2017 r., sygn. II AKa 269/16
Sąd stwierdził, że: „Brak wdrożenia stosownych procedur kontrolnych i brak reakcji na oczywiście nietypowe operacje finansowe może zostać uznany za przejaw co najmniej rażącego niedbalstwa, co w określonych okolicznościach prowadzi do odpowiedzialności karnej za ułatwianie prania pieniędzy.”

Choć okoliczności każdej sprawy są indywidualne, linia orzecznicza konsekwentnie wymaga, aby instytucje obowiązane traktowały obowiązki AML poważnie i realnie je wdrażały.

Kluczowe wyzwania przy wdrażaniu procedury AML w małych i średnich firmach

W praktyce MŚP napotykają na kilka powtarzających się problemów przy wdrażaniu AML.

Po pierwsze, częste jest błędne założenie, że skoro firma nie jest bankiem, to AML jej nie dotyczy. Tymczasem ustawodawca objął obowiązkami wiele innych branż. Błąd na etapie kwalifikacji prowadzi do braku jakichkolwiek działań, aż do momentu kontroli.

Po drugie, uproszczone podejście do procedur. Przedsiębiorcy nierzadko korzystają z gotowych „szablonów” znalezionych w Internecie, które nie są dostosowane do specyfiki ich działalności. W efekcie dokument jest formalnie wdrożony, ale nie nadaje się do praktycznego stosowania, a pracownicy nie wiedzą, jak postępować w konkretnych sytuacjach.

Po trzecie, brak cyklicznych szkoleń i aktualizacji. Ustawa AML ewoluuje, pojawiają się nowe wytyczne i interpretacje (np. KNF, GIIF), zmienia się profil działalności firmy. Procedura i ocena ryzyka powinny być aktualizowane, a szkolenia organizowane regularnie. Jednorazowe przeszkolenie i „zamrożenie” dokumentów na lata to poważne uchybienie.

Po czwarte, niedostateczna dokumentacja. Instytucje obowiązane często podejmują określone działania (np. weryfikują klienta, pytają o źródło pochodzenia środków), ale nie dokumentują tego w sposób pozwalający wykazać prawidłowość działań podczas kontroli. Z punktu widzenia organu brak dokumentu jest równoznaczny z brakiem działania.

Jak praktycznie przygotować się do wdrożenia procedury AML

Z perspektywy przedsiębiorcy kluczowe jest przeprowadzenie kilku kroków:

Po pierwsze, ocena, czy firma jest instytucją obowiązaną w rozumieniu art. 2 ustawy AML. W razie wątpliwości warto skorzystać z pomocy specjalisty, ponieważ błędna kwalifikacja może mieć poważne konsekwencje.

Po drugie, przeprowadzenie wstępnej analizy ryzyka AML, uwzględniającej rodzaj klientów, produkty, kanały dystrybucji, obszary geograficzne i strukturę firmy. Jest to fundament do przygotowania właściwej procedury.

Po trzecie, opracowanie lub dostosowanie procedury AML do specyfiki działalności, z uwzględnieniem struktury organizacyjnej, procesów biznesowych oraz systemów informatycznych. W tym etapie istotne jest wyznaczenie osoby odpowiedzialnej za AML (np. oficer compliance, specjalista ds. AML) oraz ustalenie ścieżek decyzyjnych.

Po czwarte, przeprowadzenie szkoleń dla pracowników, zwłaszcza tych mających kontakt z klientem lub odpowiedzialnych za rozliczenia finansowe. Szkolenia powinny obejmować nie tylko przepisy, ale przede wszystkim praktyczne scenariusze: jak rozpoznać podejrzaną transakcję, co zrobić w przypadku braku danych klienta, jak zgłaszać wątpliwości.

Po piąte, zapewnienie narzędzi technicznych i organizacyjnych do realizacji wymogów (np. systemy IT do prowadzenia ewidencji, procedury archiwizacji, mechanizmy raportowania do GIIF).

Case study: pośrednik w obrocie nieruchomościami

Biuro pośrednictwa w obrocie nieruchomościami pośredniczy w sprzedaży luksusowych apartamentów. W jednej ze spraw klient zamierza nabyć nieruchomość o wartości 3 mln zł, deklarując, że część ceny (ponad 500 000 zł) zostanie zapłacona w gotówce. Środki pochodzą z „oszczędności” zgromadzonych przez wiele lat, lecz klient nie jest w stanie przedstawić wiarygodnych dokumentów potwierdzających ich źródło.

Pośrednik, który ma wdrożoną procedurę AML, dokonuje oceny ryzyka, uznaje transakcję za wysokiego ryzyka i podejmuje działania określone w procedurze: żąda dodatkowych wyjaśnień, dokumentów, a w razie utrzymujących się wątpliwości – rozważa zgłoszenie do GIIF i odmowę dalszego udziału w transakcji.

Pośrednik bez procedury AML może natomiast potraktować sytuację jako „nietypową, ale akceptowalną” i przeprowadzić transakcję, narażając się na zarzut niedochowania obowiązków i ułatwienie prania pieniędzy. W razie późniejszego postępowania karnego przeciwko klientowi, brak działań AML po stronie pośrednika będzie bardzo negatywnie oceniany przez organy ścigania.

Najczęstsze błędy instytucji obowiązanych wykazywane w kontrolach

Praktyka kontrolna GIIF i innych organów nadzorczych pokazuje, że pewne naruszenia powtarzają się szczególnie często:

– brak formalnej procedury AML lub posiadanie dokumentu niezgodnego z aktualnymi przepisami,
– brak lub niewystarczające szkolenia pracowników,
– niedostateczna identyfikacja beneficjenta rzeczywistego, zwłaszcza w przypadku złożonych struktur kapitałowych,
– niewystarczająca analiza nietypowych transakcji i brak odpowiedniej dokumentacji tej analizy,
– brak powiązania oceny ryzyka z praktyką stosowania środków bezpieczeństwa finansowego (procedura mówi jedno, praktyka drugie),
– brak terminowego przekazywania informacji do GIIF lub ich niekompletność,
– zbyt ogólne, szablonowe oceny ryzyka „kopiuj-wklej”, nieodzwierciedlające realiów danej firmy.

Takie uchybienia często skończą się przynajmniej upomnieniem lub sankcją pieniężną, a w przypadkach poważniejszych – również dodatkowymi konsekwencjami dla członków zarządu.

Podsumowanie – dlaczego nie warto bagatelizować AML

Wdrożenie procedury AML nie jest wyłącznie formalnością. To element kultury compliance, który wpływa na bezpieczeństwo obrotu, reputację firmy oraz osobiste bezpieczeństwo członków zarządu.

Dla przedsiębiorców kluczowe jest:

– prawidłowe ustalenie, czy firma jest instytucją obowiązaną w rozumieniu art. 2 ustawy AML,
– opracowanie i praktyczne wdrożenie procedury AML dostosowanej do profilu działalności,
– zapewnienie szkoleń i realnego stosowania środków bezpieczeństwa finansowego,
– stałe monitorowanie zmian w przepisach i aktualizacja dokumentacji.

Ryzyko związane z brakiem procedury AML jest realne: od wysokich kar administracyjnych, przez odpowiedzialność osobistą członków zarządu, po ewentualną odpowiedzialność karną w sytuacjach skrajnych.

Z punktu widzenia organów nadzorczych i sądów liczy się nie tylko to, czy procedura istnieje na papierze, ale przede wszystkim to, czy jest ona stosowana w praktyce i stanowi realną barierę dla nielegalnych działań.

Q&A – najczęstsze pytania dotyczące wdrożenia procedury AML

Czy każda firma musi mieć procedurę AML?

Nie. Obowiązek dotyczy wyłącznie tzw. instytucji obowiązanych wskazanych w art. 2 ustawy AML, m.in. banków, instytucji płatniczych, biur rachunkowych, doradców podatkowych, pośredników w obrocie nieruchomościami, podmiotów z branży gier hazardowych, przedsiębiorców dokonujących lub przyjmujących wysokie płatności gotówkowe (co najmniej 10 000 euro), podmiotów z rynku kryptowalut. Kluczowe jest ustalenie, czy firma mieści się w katalogu instytucji obowiązanych.

Jestem właścicielem biura rachunkowego – czy muszę mieć procedurę AML?

Tak. Przedsiębiorcy prowadzący działalność w zakresie usługowego prowadzenia ksiąg rachunkowych są wprost wymienieni w art. 2 ust. 1 ustawy AML jako instytucje obowiązane. Oznacza to obowiązek opracowania i wdrożenia procedury wewnętrznej AML, prowadzenia oceny ryzyka, stosowania środków bezpieczeństwa finansowego, szkoleń oraz raportowania do GIIF w określonych sytuacjach.

Co grozi za brak procedury AML?

Brak procedury wewnętrznej AML jest naruszeniem art. 50 ustawy AML. W zależności od skali naruszeń i rodzaju instytucji, organ nadzoru może nałożyć m.in. karę pieniężną (do równowartości kilku milionów euro), upomnienie, zakaz pełnienia funkcji kierowniczych, a w skrajnych przypadkach – cofnąć koncesję lub wykreślić z rejestru działalności regulowanej. Dodatkowo odpowiedzialność osobistą mogą ponieść członkowie zarządu.

Czy wystarczy pobrać „gotową” procedurę z Internetu?

Nie jest to zalecane. Procedura AML musi być dostosowana do specyfiki danej firmy (profil klientów, rodzaj transakcji, skala działalności, struktura organizacyjna). Organy nadzorcze i sądy podkreślają, że „szablonowe” procedury, nieodzwierciedlające realiów działalności, są niewystarczające. Sam fakt posiadania dokumentu nie chroni przed odpowiedzialnością, jeśli procedura nie jest realnie stosowana.

Czy mała firma (np. jednoosobowa działalność) też musi wdrożyć AML?

Tak, jeżeli spełnia kryteria instytucji obowiązanej z art. 2 ustawy AML. Ustawa nie uzależnia obowiązku od wielkości firmy czy liczby pracowników. Jednoosobowy doradca podatkowy, jednoosobowe biuro rachunkowe czy mała firma zajmująca się obrotem nieruchomościami mogą być zobowiązane do pełnego wdrożenia AML.

Jak często należy aktualizować procedurę AML?

Ustawa AML nie wskazuje sztywnego terminu, ale wymaga, aby procedura odzwierciedlała aktualny stan prawny oraz realia działalności instytucji obowiązanej. W praktyce oznacza to konieczność jej przeglądu co najmniej raz do roku, a także każdorazowo po istotnych zmianach w przepisach, wytycznych nadzoru lub modelu biznesowego firmy.

Czy każdy przypadek podejrzenia prania pieniędzy muszę zgłaszać do GIIF?

Tak. Jeżeli instytucja obowiązana poweźmie uzasadnione podejrzenie, że dany klient lub transakcja może być związana z praniem pieniędzy lub finansowaniem terroryzmu, ma obowiązek niezwłocznie zawiadomić GIIF, niezależnie od kwoty transakcji. Niezgłoszenie w takiej sytuacji może skutkować odpowiedzialnością administracyjną, a w określonych przypadkach – także karną.

Czy klient dowie się, że złożyłem zawiadomienie do GIIF?

Zgodnie z ustawą AML, instytucja obowiązana nie może ujawniać klientowi faktu złożenia zawiadomienia (zakaz tzw. tipping-off). Ujawnienie takiej informacji może stanowić odrębne naruszenie i wiązać się z odpowiedzialnością karną. System AML zakłada ochronę anonimowości zgłaszającego w relacji do klienta.

Czy mogę ponieść odpowiedzialność karną, jeśli nieświadomie brałem udział w praniu pieniędzy klienta?

Odpowiedzialność karna za pranie pieniędzy (art. 299 k.k.) wymaga umyślności. Jeżeli jednak firma jako instytucja obowiązana rażąco zaniedbuje swoje obowiązki AML (np. brak jakiejkolwiek procedury, ignorowanie oczywiście podejrzanych transakcji), organy ścigania mogą rozważać odpowiedzialność karną osób zarządzających, np. za ułatwienie prania pieniędzy lub niedopełnienie obowiązków. Dlatego tak ważne jest wdrożenie i stosowanie procedury AML.

Czy GIIF lub inne organy mają prawo kontrolować moją firmę pod kątem AML?

Tak. Ustawa AML przewiduje uprawnienia kontrolne GIIF oraz innych organów nadzorczych (np. KNF, KAS, Prezesa NBP) w stosunku do instytucji obowiązanych. Kontrola może obejmować zarówno dokumentację (procedury, oceny ryzyka, ewidencje transakcji), jak i praktyczne stosowanie środków bezpieczeństwa finansowego, szkolenia czy sposób realizacji obowiązków raportowych.

Czy wdrożenie procedury AML wymaga zatrudnienia dedykowanego pracownika?

W przypadku dużych instytucji finansowych praktyką jest powoływanie oficera ds. zgodności (compliance officer) lub oficera AML. W mniejszych firmach często wystarczające jest wyznaczenie osoby odpowiedzialnej (np. członka zarządu, głównej księgowej) i odpowiednie przeszkolenie jej w zakresie AML. Kluczowe jest, aby istniała jasno określona odpowiedzialność za realizację obowiązków AML i aby osoba ta miała realny wpływ na działania firmy.

Czy mogę ponieść odpowiedzialność za działania podwykonawców lub pośredników?

Tak, w tym znaczeniu, że instytucja obowiązana odpowiada za prawidłowe wykonanie obowiązków AML, nawet jeśli w praktyce powierza część czynności innym podmiotom (outsourcing, agent, pośrednik). Procedura AML powinna regulować zasady współpracy z takimi podmiotami, a instytucja obowiązana musi sprawować nad nimi realny nadzór w zakresie przestrzegania wymogów AML.

Od czego zacząć, jeśli dopiero zdaję sobie sprawę, że jestem instytucją obowiązaną?

Najrozsądniej rozpocząć od:

1) weryfikacji statusu instytucji obowiązanej (analiza art. 2 ustawy AML),
2) przeglądu istniejących procesów i dokumentacji pod kątem AML,
3) opracowania (lub zlecenia opracowania) procedury AML,
4) przeszkolenia kluczowych pracowników,
5) wdrożenia praktycznych narzędzi (formularze, check-listy, zasady dokumentowania).

Warto również przygotować plan działań naprawczych na wypadek kontroli, jasno pokazujący, jakie kroki firma podjęła, aby dostosować się do przepisów.