AML/CFT w Twojej firmie: obowiązki, ryzyka i jak je zaadresować

Obowiązek wdrożenia procedur AML/CFT wynika wprost z ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. 2025 poz. 644). Ustawa definiuje krąg tzw. instytucji obowiązanych w art. 2 ust. 1 – katalog jest szeroki i obejmuje m.in.:

• banki, SKOK-i, instytucje płatnicze i pieniądza elektronicznego, firmy inwestycyjne, fundusze inwestycyjne, zakłady ubezpieczeń i pośredników ubezpieczeniowych,
• kantory i podmioty świadczące usługi w zakresie walut wirtualnych,
• notariuszy, radców prawnych, adwokatów, doradców podatkowych i biegłych rewidentów (w zakresie określonych czynności),
• biura rachunkowe i przedsiębiorców świadczących usługi księgowe,
• pośredników w obrocie nieruchomościami,
• fundacje i stowarzyszenia,
• przedsiębiorców przyjmujących płatności gotówkowe powyżej progu ustawowego, instytucje pożyczkowe, firmy lombardowe i kilka innych kategorii szczegółowo wskazanych w ustawie.

Pytanie „czy to mnie dotyczy?” nie ma jednej odpowiedzi ogólnej – zależy od konkretnej działalności i progów ustawowych. Zamiast zgadywać, sprawdź swoją kategorię bezpośrednio w art. 2 ustawy albo skonsultuj to z ekspertem. Błędne założenie „nas to nie dotyczy” jest jedną z częstszych przyczyn kar regulacyjnych.

Nadzór nad przestrzeganiem ustawy sprawuje Generalny Inspektor Informacji Finansowej (GIIF), a w sektorze bankowym i finansowym dodatkowo Komisja Nadzoru Finansowego (KNF).

Innymi słowy: KYC i KYB to konkretne procesy weryfikacyjne, a AML to prawny obowiązek, który te procesy mają spełnić. Firma może mieć świetny proces KYC i nadal nie spełniać wymogów AML, jeśli np. brakuje monitoringu, dokumentacji czy odpowiedniego raportowania.

Od 2027–2028 r. krajobraz regulacyjny AML w UE się zmienia. Warto zagłębić się w te zmiany już teraz, bo część zmian wymaga przygotowania z wyprzedzeniem.

AMLR to nowe rozporządzenie unijne, które – w odróżnieniu od dotychczasowych dyrektyw – obowiązuje bezpośrednio, bez konieczności implementacji do polskiego prawa. Oznacza to mniej miejsca na lokalną interpretację przepisów.

AMLA (Urząd ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu, z siedzibą we Frankfurcie) zacznie od 2027 r. wskazywać konkretne instytucje do bezpośredniego nadzoru, a od 2028 r. obejmie bezpośrednim nadzorem ok. 40 największych grup finansowych w UE.

Zmienia się m.in. próg identyfikacji beneficjenta rzeczywistego (z „powyżej 25%” na „co najmniej 25%”) oraz definicja osób bliskich PEP (RCA) – poszerzona m.in. o rodzeństwo.

Obowiązkiem AML zostają objęte nowe sektory: kluby piłkarskie, agenci, dostawcy usług w zakresie kryptoaktywów (CASP), holdingi finansowe, handlarze towarami luksusowymi.

Piszemy o tym szerzej – z pełnym harmonogramem i praktycznymi konsekwencjami dla poszczególnych sektorów – w osobnym artykule o AMLA i AMLR 2027.

Kary za naruszenia AML/CFT w Polsce nie są symboliczne, a KNF coraz częściej wskazuje nie tylko czy procedura istnieje, ale też czy działa w praktyce.

Przykład: na początku 2026 r. KNF nałożyła na jeden z banków spółdzielczych karę 379 tys. zł za pięć odrębnych uchybień AML:

• brak identyfikacji beneficjentów rzeczywistych – 36 tys. zł,
• brak wzmożonych środków wobec PEP i ich rodzin – 100 tys. zł,
• braki w dokumentacji analiz – 50 tys. zł,
• niewystarczające szkolenia personelu AML – 118 tys. zł (największa część kary),
• nieterminowe raportowanie transakcji do GIIF – 75 tys. zł.

Ten przypadek dobrze pokazuje wzorzec: regulator karze nie za brak procedury na papierze, tylko za brak dowodu, że procedura jest stosowana konsekwentnie – w dokumentacji, szkoleniach i terminach.

Jeśli jesteś instytucją obowiązaną, masz dwie drogi: budować i utrzymywać te procesy ręcznie, angażując rosnący zespół w miarę wzrostu liczby kontrahentów… albo zautomatyzować powtarzalną część procesu i skierować zespół compliance tam, gdzie jest realnie potrzebny: do analizy ryzyka, nie do klikania w kolejne rejestry.

Własna baza PEP obejmuje ponad 30 000 rekordów i pełne pokrycie 215 stanowisk wskazanych w rozporządzeniu – i to nie tylko szczebel centralny, ale też np. prezesów spółek Skarbu Państwa, których część dostawców pomija.

Jeśli jesteś instytucją obowiązaną, dostajesz dodatkowo dostęp do Compliance Business Partnera – eksperta compliance, który pomaga zinterpretować zmiany w przepisach, zaktualizować politykę ryzyka i przygotować firmę do audytu lub kontroli GIIF/KNF, bez konieczności angażowania zewnętrznej kancelarii od zera.