Czym jest AMLA? Nowy unijny urząd AML i bezpośredni nadzór od 2028 roku

AMLA (Authority for Anti-Money Laundering and Countering the Financing of Terrorism) to nowy unijny Urząd ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu. Ma on ujednolicić sposób, w jaki przepisy AML/CFT są stosowane i nadzorowane w całej Unii Europejskiej.

Dla biura rachunkowego, pośrednika nieruchomości i większości mniejszych instytucji obowiązanych oznacza to przede wszystkim wspólne standardy wykonywania obowiązków i krajowych kontroli. Już teraz warto sprawdzić, czy firma potrafi odtworzyć weryfikację klienta, uzasadnienie oceny ryzyka i podjęte decyzje. Z rozpoczęciem tych działań nie należy czekać do 2028 r.

Wokół AMLA często pojawia się jednak uproszczenie, że jest to „nowy urząd, który zacznie działać w 2028 roku”. To nie jest precyzyjne. AMLA została prawnie ustanowiona 26 czerwca 2024 r., rozpoczęła działalność w 2025 r., a od 1 stycznia 2026 r. przejęła od Europejskiego Urzędu Nadzoru Bankowego (EBA) jego dedykowane zadania i mandaty AML/CFT. Rok 2028 jest ważny z innego powodu: wtedy AMLA ma rozpocząć bezpośredni nadzór nad wybranymi transgranicznymi instytucjami finansowymi wysokiego ryzyka.¹²

Dla większości polskich instytucji obowiązanych najważniejsze nie będzie więc pytanie „czy AMLA będzie mnie bezpośrednio kontrolować?”, lecz jak standardy przygotowywane przez AMLA zmienią sposób wykonywania obowiązków AML i sposób ich kontrolowania przez krajowe organy nadzoru.

W skrócie

• AMLA jest unijną agencją z siedzibą we Frankfurcie nad Menem i działa już obecnie.
• Od 1 stycznia 2026 r. przejęła unijne zadania AML/CFT wykonywane wcześniej przez EBA.
• W 2027 r. AMLA wybierze pierwszą grupę instytucji finansowych do bezpośredniego nadzoru.
• Bezpośredni nadzór ma rozpocząć się w 2028 r. i dotyczyć przede wszystkim dużych, transgranicznych instytucji finansowych o wysokim ryzyku rezydualnym.
• AMLA nie likwiduje GIIF ani innych krajowych organów; przejmuje określone zadania nadzorcze wobec wybranych podmiotów finansowych.
• Dla pozostałych instytucji obowiązanych znaczenie AMLA będzie wynikało głównie z tworzenia jednolitych standardów, metod oceny ryzyka i praktyk nadzorczych w całej UE.

Materiał ma charakter edukacyjny i nie zastępuje indywidualnej analizy obowiązków konkretnej instytucji obowiązanej. Stan informacji zweryfikowany na 21 września 2026 r.

W tym artykule:

• Znaczenie AMLA dla polskich firm
• Harmonogram 2024–2028
• AMLA, AMLR i AMLD6 — różnice i status dokumentów
• Kogo obejmie bezpośredni nadzór i jakie są kary
• AMLA a GIIF i inne krajowe organy
• Przygotowanie procesów i trzy poziomy oceny ryzyka
• Przykład z biura rachunkowego
• Wsparcie SystemAML
• Pytania i odpowiedzi
• Źródła

Co AMLA oznacza dla biur rachunkowych, pośredników nieruchomości, audytorów i innych podmiotów niefinansowych?

Podmioty sektora niefinansowego nie są objęte mechanizmem bezpośredniego nadzoru AMLA. Dotyczy to zarówno regularnego wyboru, jak i wyjątkowego przejęcia nadzoru opisanych w rozporządzeniu 2024/1620, które odnoszą się do sektora finansowego.³

Biuro rachunkowe, firma audytorska, pośrednik nieruchomości czy inna typowa instytucja obowiązana sektora niefinansowego nadal będzie podlegała właściwemu systemowi krajowemu.

Nie oznacza to jednak, że AMLA jest dla takich podmiotów nieistotna.

Wręcz przeciwnie: jednym z zadań Urzędu jest doprowadzenie do tego, aby organy nadzoru w różnych państwach stosowały bardziej porównywalne kryteria oceny ryzyka i podobne podejście do kontroli.

W 2026 r. AMLA przygotowała projekt wspólnej metody oceny inherentnego i rezydualnego profilu ryzyka podmiotów sektora niefinansowego. Projekt dotyczy oceny dokonywanej przez nadzorców i ma wspierać nadzór oparty na ryzyku, w tym dobór intensywności działań kontrolnych. Na 21 września 2026 r. konsultacje tego projektu nadal trwają; termin zgłaszania uwag przypada na 27 września 2026 r. Nie jest to jeszcze ostateczny standard.⁴

Dla przedsiębiorcy praktyczna konsekwencja może być więc następująca:

AMLA nie musi kontrolować firmy bezpośrednio, aby wpłynąć na sposób, w jaki firma jest kontrolowana przez organ krajowy.

To zasadnicza różnica pomiędzy bezpośrednim a pośrednim wpływem nowego Urzędu.

W praktyce warto oddzielić sytuację własnej firmy od sytuacji dużej grupy finansowej:

Ocena ryzyka, dokumentowanie środków bezpieczeństwa finansowego i bieżące monitorowanie są obowiązkami już dziś. Wynikają z polskiej ustawy AML; GIIF przypomina o konieczności rzeczywistej analizy informacji o klientach i transakcjach. Nowy pakiet AML ujednolica i doprecyzowuje te wymagania, ale nie tworzy procesu AML od podstaw.⁵

AMLA – harmonogram najważniejszych zmian

Daty ustanowienia i rozwoju Urzędu wynikają z harmonogramu AMLA, daty wyboru i rozpoczęcia nadzoru — z rozporządzenia 2024/1620, a termin stosowania AMLR i transpozycji AMLD6 — z odpowiednich aktów prawnych.¹²³⁶⁷

Skąd wzięła się AMLA?

Przez lata europejski system AML/CFT był oparty przede wszystkim na dyrektywach wdrażanych do prawa krajowego oraz na nadzorze prowadzonym przez organy poszczególnych państw członkowskich. W praktyce oznaczało to, że wspólne unijne zasady mogły być różnie wdrażane, interpretowane i egzekwowane w poszczególnych krajach.

Problem stawał się szczególnie widoczny w przypadku instytucji działających transgranicznie. Grupa finansowa mogła prowadzić działalność w wielu państwach, podczas gdy podstawowy ciężar nadzoru AML pozostawał rozproszony pomiędzy organy krajowe.

Nowy pakiet AML/CFT przyjęty przez Unię Europejską w 2024 r. ma ten model zmienić. Jego konstrukcja opiera się na dwóch równoległych założeniach:

1. większa harmonizacja samych przepisów, przede wszystkim dzięki bezpośrednio stosowanemu rozporządzeniu AMLR;
2. większa harmonizacja nadzoru, której centralnym elementem jest właśnie AMLA.

AMLA nie jest więc pojedynczą zmianą organizacyjną. Jest częścią szerszej przebudowy europejskiego systemu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu.

AMLA, AMLR i AMLD6 – jak łączą się nowe przepisy?

W praktyce warto rozróżnić trzy najważniejsze akty prawne nowego pakietu AML:

AMLR odpowiada więc przede wszystkim na pytanie „jakie obowiązki ma instytucja obowiązana?”, natomiast AMLA Regulation określa „kto i w jaki sposób ma dbać o ich spójne stosowanie na poziomie unijnym?”.³⁶⁷

Istotne jest również to, że wiele szczegółów nie wynika bezpośrednio z samych rozporządzeń i dyrektywy. AMLA otrzymała kilkadziesiąt mandatów do przygotowania bardziej szczegółowych:

• regulacyjnych standardów technicznych (RTS),
• wykonawczych standardów technicznych (ITS),
• wytycznych,
• rekomendacji.

To właśnie te dokumenty będą w wielu obszarach doprecyzowywały, jak ogólne wymagania AMLR mają wyglądać operacyjnie.⁸

Nie mają jednak jednakowego statusu prawnego:

W przypadku wytycznych i zaleceń art. 54 przewiduje ponadto obowiązek właściwych organów informowania o ich stosowaniu albo wyjaśnienia niestosowania. Nie należy więc ani utożsamiać wytycznych z rozporządzeniem, ani traktować ich jako materiału bez znaczenia nadzorczego.³

AMLR weszło w życie 9 lipca 2024 r., a jego zasadnicze stosowanie rozpocznie się 10 lipca 2027 r. Dla objętych nim agentów piłkarskich i zawodowych klubów piłkarskich art. 90 przewiduje stosowanie od 10 lipca 2029 r. Rozróżnienie wejścia w życie i rozpoczęcia stosowania jest istotne przy planowaniu zmian w procedurach.⁶

Co właściwie robi AMLA?

Kompetencje AMLA można podzielić na cztery główne obszary.

1. Bezpośredni nadzór nad wybranymi instytucjami finansowymi

Od 2028 r. AMLA zacznie bezpośrednio nadzorować wybrane instytucje kredytowe i finansowe oraz grupy takich instytucji działające transgranicznie i charakteryzujące się wysokim poziomem ryzyka prania pieniędzy lub finansowania terroryzmu.

To najbardziej widoczna część reformy, ale obejmie stosunkowo niewielką grupę podmiotów.

2. Pośredni nadzór i ujednolicanie praktyk krajowych organów

Znacznie szersze znaczenie będzie miała rola AMLA jako organu zapewniającego konwergencję nadzorczą, czyli zbliżanie metod i praktyk stosowanych przez nadzorców w różnych państwach.

AMLA ma m.in.:

• tworzyć wspólne metodologie nadzoru,
• gromadzić dane od organów krajowych,
• prowadzić przeglądy i oceny praktyk nadzorczych,
• wydawać wytyczne i rekomendacje,
• uczestniczyć w rozwiązywaniu sporów pomiędzy organami,
• prowadzić wzajemne oceny praktyk organów nadzorujących sektor niefinansowy, określane jako peer review,
• reagować na przypadki nieprawidłowego stosowania prawa unijnego przez organy krajowe.

Oznacza to, że nawet podmiot, który nigdy nie zostanie objęty bezpośrednim nadzorem AMLA, może odczuć skutki działalności Urzędu poprzez zmianę sposobu działania krajowego organu kontrolnego.³⁹

3. Tworzenie jednolitego unijnego „single rulebook” AML

AMLA przygotowuje projekty standardów technicznych oraz wydaje wytyczne i zalecenia uzupełniające nowy pakiet AML. W ten sposób uczestniczy w tworzeniu jednolitego zbioru reguł, określanego jako single rulebook.

W 2026 r. Urząd prowadził lub zakończył już prace konsultacyjne m.in. dotyczące:

• należytej staranności wobec klienta (customer due diligence, CDD), odpowiadającej obszarowi środków bezpieczeństwa finansowego,
• identyfikacji stosunków gospodarczych oraz transakcji okazjonalnych i powiązanych,
• oceny ryzyka całej działalności instytucji (business-wide risk assessment),
• bieżącego monitorowania stosunków gospodarczych,
• wymagań grupowych,
• metody oceny ryzyka podmiotów sektora niefinansowego,
• zasad klasyfikowania naruszeń i ustalania sankcji,
• formatów zgłaszania podejrzeń i przekazywania danych o transakcjach do FIU.

Poszczególne dokumenty znajdują się na różnych etapach: od konsultacji po raport końcowy z projektem standardu. Zamknięcie konsultacji ani publikacja raportu końcowego nie oznaczają jeszcze przyjęcia RTS lub ITS przez Komisję. Wytyczne mają odrębną ścieżkę przyjęcia przez AMLA. Projekty pokazują kierunek planowanych rozwiązań, ale przed wdrożeniem należy sprawdzić ostateczny tekst, adresatów i datę stosowania.^810111213

Przykładowo, według stanu na 21 września 2026 r., konsultacje wytycznych dotyczących oceny ryzyka całej instytucji zakończyły się 15 lipca, wytycznych dotyczących bieżącego monitorowania — 3 września, a projektu ITS dotyczącego zgłaszania podejrzeń — 20 września. Daty te oznaczają zakończenie zbierania uwag, nie rozpoczęcie stosowania nowych wymagań.¹¹¹²¹³

4. Wsparcie i koordynacja jednostek analityki finansowej

AMLA ma również wspierać współpracę pomiędzy krajowymi jednostkami analityki finansowej (FIU), zwłaszcza w sprawach transgranicznych. Będzie mogła inicjować i koordynować wspólne analizy oraz wspierać wymianę informacji pomiędzy FIU.

Nie oznacza to jednak utworzenia „europejskiego GIIF”. AMLA sama nie jest FIU i nie zastępuje krajowych jednostek analityki finansowej. W Polsce zawiadomienia o podejrzeniu prania pieniędzy lub finansowania terroryzmu nadal kieruje się do Generalnego Inspektora Informacji Finansowej zgodnie z właściwymi przepisami.⁹

Kogo AMLA będzie bezpośrednio nadzorować od 2028 roku?

Zgodnie z rozporządzeniem ustanawiającym AMLA bezpośredni nadzór będzie dotyczył sektora finansowego.

Do okresowej oceny kwalifikują się instytucje kredytowe i finansowe oraz ich grupy, które działają – w rozumieniu przepisów i metodologii AMLA – w co najmniej sześciu państwach członkowskich, łącznie z państwem pochodzenia. Działalność może być prowadzona przez zakłady lub w ramach swobody świadczenia usług, także zdalnie. Następnie oceniany jest profil ryzyka prania pieniędzy i finansowania terroryzmu; w przypadku grupy ocena obejmuje poziom całej grupy. Sam fakt posiadania zagranicznego klienta nie przesądza jeszcze o spełnieniu kryterium działalności w danym państwie.³⁹

Kluczowe jest pojęcie ryzyka rezydualnego, nazywanego też ryzykiem szczątkowym. Nie chodzi wyłącznie o to, czy działalność instytucji jest z natury ryzykowna. Ocenie podlega również to, na ile ryzyko jest ograniczane przez istniejące mechanizmy kontrolne.

W uproszczeniu:

ryzyko inherentne → stosowane zabezpieczenia i kontrole → ryzyko rezydualne.

Jeżeli kwalifikująca się transgraniczna instytucja zostanie oceniona jako podmiot o wysokim ryzyku rezydualnym, może zostać objęta bezpośrednim nadzorem AMLA.

Pierwszy proces selekcji odbędzie się w 2027 r. W pierwszej regularnej selekcji przewidziano wybór do 40 podmiotów lub grup. Gdy kwalifikujących się podmiotów będzie więcej, zastosowanie znajdą dodatkowe kryteria wyboru wskazane w art. 103. Nie jest to wykaz 40 instytucji z każdego państwa.³

Zgodnie z art. 13 ust. 4 pierwsza procedura ma rozpocząć się do 1 lipca 2027 r. i zakończyć w ciągu sześciu miesięcy od rozpoczęcia. Bezpośredni nadzór zaczyna się sześć miesięcy po publikacji wykazu, co harmonogram AMLA przewiduje na 2028 r. Nie należy utożsamiać tego terminu automatycznie z 1 stycznia 2028 r. AMLA prowadziła już w 2026 r. zbieranie danych i testowanie modeli oceny ryzyka oraz przygotowała pakiet raportowy służący identyfikacji potencjalnie kwalifikujących się podmiotów.³¹⁴¹⁵

Czy chodzi wyłącznie o banki?

Nie.

Przepisy mówią szerzej o instytucjach kredytowych i instytucjach finansowych. Potencjalnie mogą więc zostać objęte nadzorem również inne kategorie podmiotów sektora finansowego, jeżeli spełnią kryteria działalności transgranicznej i wysokiego ryzyka.

Zakres instytucji finansowych określony w nowych przepisach obejmuje także dostawców usług w zakresie kryptoaktywów. Taki dostawca może więc znaleźć się wśród ocenianych podmiotów, jeżeli spełnia właściwe kryteria. Samo świadczenie usług związanych z kryptoaktywami nie przesądza o objęciu nadzorem AMLA.³⁶

Czy lista będzie stała?

Nie. Zasadniczy proces selekcji ma być powtarzany co trzy lata. Profil ryzyka i zakres działalności instytucji mogą się zmieniać, dlatego bezpośredni nadzór AMLA nie powinien być traktowany jako status nadawany raz na zawsze.⁹

Czy AMLA może przejąć nadzór nad innym podmiotem wyjątkowo?

Tak, ale chodzi o inne podmioty sektora finansowego. Rozporządzenie przewiduje m.in. przejęcie na uzasadniony wniosek krajowego nadzorcy finansowego w wyjątkowych okolicznościach — art. 14. Odrębny mechanizm, opisany w art. 32, pozwala AMLA wystąpić do Komisji o decyzję przekazującą jej nadzór, gdy spełnione są przesłanki związane z naruszeniami i niewystarczającą reakcją nadzoru krajowego.

Przeniesienie nadzoru w tych trybach następuje na określony czas i wymaga właściwej procedury. Nie jest swobodną decyzją o skontrolowaniu dowolnej firmy ani sposobem objęcia bezpośrednim nadzorem biura rachunkowego jako podmiotu niefinansowego.³⁹

Jak będzie wyglądał bezpośredni nadzór AMLA?

Nadzór nad wybranym podmiotem nie będzie prowadzony wyłącznie przez urzędników pracujących we Frankfurcie.

Dla każdego bezpośrednio nadzorowanego podmiotu ma zostać utworzony Joint Supervisory Team (JST), czyli wspólny zespół nadzorczy złożony z pracowników AMLA oraz właściwych krajowych organów nadzoru. Zespołem będzie kierował koordynator AMLA.³

AMLA otrzymała przy tym realne uprawnienia nadzorcze i dochodzeniowe. W stosunku do wybranych podmiotów będzie mogła m.in.:

• żądać informacji i dokumentów,
• prowadzić dochodzenia,
• przeprowadzać kontrole na miejscu,
• wydawać wiążące decyzje,
• stosować środki administracyjne,
• nakładać kary pieniężne i okresowe kary przymuszające.

W przypadku poważnych, powtarzających się lub systematycznych naruszeń dotyczących m.in. customer due diligence, kontroli wewnętrznych lub obowiązków sprawozdawczych maksymalna kara AMLA po zastosowaniu przewidzianych współczynników może sięgać 10% całkowitego rocznego obrotu w poprzednim roku obrotowym. W przypadkach wskazanych w art. 22 ust. 8 podstawą jest obrót lub analogiczny rodzaj przychodów według ostatniego dostępnego zatwierdzonego skonsolidowanego sprawozdania jednostki dominującej najwyższego szczebla.³

Nie jest to jednolity limit dla każdego rodzaju naruszenia ani kara, którą AMLA nakłada bezpośrednio na wszystkie polskie instytucje obowiązane. Artykuł 22 różnicuje zasady według kategorii naruszenia. Dla krajowego nadzoru nad podmiotami nieobjętymi nadzorem AMLA właściwy pozostaje odrębny reżim sankcji.

To pokazuje, że AMLA nie będzie wyłącznie organem koordynacyjnym. Wobec podmiotów objętych bezpośrednim nadzorem będzie pełnoprawnym organem nadzorczym z własnymi uprawnieniami egzekucyjnymi.

Czy AMLA zastąpi GIIF, KNF albo inne polskie organy?

Nie.

To jeden z najważniejszych elementów nowego systemu. AMLA tworzy wraz z krajowymi organami zintegrowany system nadzoru. Wobec wybranych podmiotów finansowych przejmie zadania bezpośredniego nadzoru AML/CFT, ale nie likwiduje GIIF, KNF ani ich pozostałych kompetencji. Nadzór ostrożnościowy i rola krajowej jednostki analityki finansowej pozostają odrębnymi funkcjami.

AMLA sama podkreśla, że krajowe organy nadzoru i FIU pozostają kluczowymi elementami europejskiego systemu AML/CFT.⁹ Kompetencje polskiej jednostki analityki finansowej opisujemy szerzej w artykule Czym jest GIIF?.

Co zmienia się już teraz, skoro bezpośredni nadzór zacznie się dopiero w 2028 roku?

Wpływ AMLA nie zacznie się w 2028 r. On już się rozpoczął.

1 stycznia 2026 r. – przejęcie zadań EBA

Od początku 2026 r. AMLA przejęła wszystkie dedykowane zadania i mandaty AML/CFT wykonywane wcześniej przez EBA. Do AMLA przeniesiono również istotne zasoby i narzędzia, w tym bazę EuReCA. Dotychczasowe wytyczne i standardy EBA dotyczące AML/CFT zachowują zastosowanie w swoim zakresie do czasu zastąpienia ich właściwymi nowymi instrumentami. EBA nadal uwzględnia ryzyko prania pieniędzy w ramach swoich zadań dotyczących regulacji ostrożnościowych.²

2026 r. – budowanie szczegółowych standardów

AMLA prowadzi prace nad szczegółowymi standardami technicznymi oraz wytycznymi i zaleceniami, określanymi w unijnej terminologii jako instrumenty poziomu 2 i 3. Szczególnie istotne dla instytucji obowiązanych są projekty dotyczące:

• CDD,
• oceny ryzyka całej działalności,
• bieżącego monitorowania relacji,
• grupowych polityk AML,
• klasyfikacji naruszeń,
• raportowania podejrzeń,
• metodologii oceny ryzyka przez organy nadzoru.

To właśnie na tych dokumentach będzie w dużej mierze opierała się praktyka stosowania AMLR po 10 lipca 2027 r.

2026–2027 r. – przygotowanie wyboru podmiotów do bezpośredniego nadzoru

AMLA testuje model oceny ryzyka na danych pochodzących z sektora finansowego, przygotowuje wspólne formularze raportowe i kalibruje kryteria wyboru. Ostateczna selekcja pierwszych podmiotów nastąpi w 2027 r.¹⁴¹⁵

2028 r. – rozpoczęcie bezpośredniego nadzoru

Wtedy wspólne zespoły nadzorcze AMLA rozpoczną stały nadzór nad wybranymi instytucjami finansowymi.

Dlaczego AMLA ma znaczenie również dla mniejszych instytucji obowiązanych?

Biuro rachunkowe albo pośrednik nieruchomości jako podmiot sektora niefinansowego pozostaje poza zakresem bezpośredniego nadzoru AMLA. Nie zwalnia go to jednak z analizy nowych przepisów odnoszących się do jego działalności. Wpływ reformy wynika tu z AMLR, krajowych przepisów wdrażających AMLD6 oraz właściwych standardów i praktyk nadzorczych.

Dla takich firm ważniejsze będą trzy inne procesy.

1. Ujednolicanie wymagań dokumentacyjnych

AMLA rozwija standardy dotyczące sposobu oceny ryzyka, CDD i monitorowania. Ich celem jest ograniczenie nieuzasadnionych różnic w stosowaniu wspólnych przepisów. Nie oznacza to identycznych czynności w każdej firmie: zakres środków nadal wymaga uwzględnienia ryzyka oraz charakteru i skali działalności. Projekt wytycznych dotyczących oceny ryzyka całej instytucji wyraźnie podkreśla proporcjonalność.¹¹

2. Ujednolicanie podejścia organów kontrolnych

Jeżeli organy nadzoru korzystają z podobnej metody oceny ryzyka, łatwiej porównywać instytucje z różnych państw i sektorów. W praktyce większego znaczenia nabiera możliwość wykazania nie tylko tego, co firma zrobiła, ale również dlaczego podjęła określoną decyzję i na jakich danych ją oparła.

3. Rosnące znaczenie danych w ustrukturyzowanej formie

AMLA rozwija wykorzystanie danych nadzorczych, wspólne modele oceny ryzyka i ujednolicone formaty raportowe. Centralna baza AML/CFT służy zadaniom nadzorczym i wymianie informacji między właściwymi organami; nie jest powszechnym rejestrem klientów, który każde biuro rachunkowe ma bezpośrednio zasilać.³¹⁴

Projekt ITS dotyczący zgłaszania podejrzeń rozróżnia korzystanie z platform raportowych FIU i wewnętrzną automatyzację raportowania przez instytucję. Nie uzasadnia twierdzenia, że każda mała firma musi kupić specjalny system albo integrować się bezpośrednio z AMLA.¹³

Praktyczny wniosek autora: uporządkowane dane i możliwość odtworzenia decyzji ułatwiają kontrolę i dostosowanie procesu do zmian. Jest to rekomendacja organizacyjna, a nie odrębny powszechny obowiązek zakupu oprogramowania.

Jak przygotować się do AMLA i AMLR przed 2027–2028 rokiem?

Dla większości instytucji obowiązanych nie ma obecnie sensu tworzenie osobnego „projektu AMLA”. Znacznie bardziej praktyczne jest uporządkowanie procesów, które i tak będą podstawą zgodności z AMLR.

1. Sprawdź, czy potrafisz odtworzyć proces KYC klienta

KYC, czyli poznanie klienta, obejmuje więcej niż samo pobranie danych z rejestru. Potrzebne jest ich zweryfikowanie i wykorzystanie w ocenie konkretnej relacji.

W zakresie czynności wymaganych dla danej relacji z klientem powinno być możliwe ustalenie:

• jakie dane zebrano,
• z jakiego źródła pochodziły,
• kiedy zostały zweryfikowane,
• kto wykonał czynność,
• jakie były wyniki sprawdzeń,
• jakie dodatkowe działania podjęto.

2. Traktuj ocenę ryzyka jako proces, a nie jednorazowy formularz

Warto rozróżnić trzy poziomy oceny ryzyka AML, które pojawiają się w dyskusji o AMLA:

Są one powiązane, ale nie są zamienne. Ocena pojedynczego klienta ani zestaw ocen z programu nie zastępują automatycznie oceny ryzyka całej działalności. Z kolei metodologia nadzorcy nie jest formularzem KYC, który firma ma bezpośrednio skopiować.³¹¹⁴

Sama wartość „niskie/średnie/wysokie” ma ograniczoną wartość dowodową, jeżeli nie da się odtworzyć czynników i uzasadnienia decyzji. Przy przeglądzie należy uwzględnić nowe informacje i ocenić, czy dotychczasowe środki nadal odpowiadają rozpoznanemu ryzyku.

3. Zachowuj historię zmian

W przypadku kontroli istotne jest nie tylko to, jaki jest stan danych dzisiaj, ale również jak wyglądał w momencie podejmowania decyzji. Dotyczy to np.:

• oceny ryzyka,
• statusu PEP,
• wyników screeningu sankcyjnego,
• danych beneficjenta rzeczywistego,
• alertów i analiz,
• przeglądów klienta.

4. Uporządkuj bieżące monitorowanie

Bieżące monitorowanie już dziś obejmuje analizę relacji oraz zapewnianie aktualności dokumentów, danych i informacji. Nie sprowadza się do ponownego sprawdzenia klienta raz w roku. Projekt wytycznych AMLA dotyczących ongoing monitoring rozwija sposób wykonywania tego obowiązku na gruncie AMLR: monitorowanie powinno uwzględniać zmiany w profilu klienta, jego działalności i przeprowadzanych transakcjach, odpowiednio do rodzaju relacji i dostępnych informacji.¹²⁵

5. Śledź AMLR, przyjmowane standardy techniczne oraz wytyczne AMLA

Przygotowanie procesu na 2027 r. wymaga uwzględnienia rozporządzenia 2024/1624 oraz przyjmowanych na jego podstawie instrumentów. Dla każdego dokumentu sprawdź, czy jest projektem, przyjętym aktem czy wytycznymi, do kogo jest skierowany i od kiedy ma być stosowany. Śledź także właściwe przepisy krajowe wdrażające AMLD6.

Szczególnie istotne będą dokumenty dotyczące:

• CDD,
• business-wide risk assessment,
• ongoing monitoring,
• raportowania podejrzeń,
• oceny profilu ryzyka przez nadzorców.

6. Nie buduj procesu wokół ręcznego odtwarzania dokumentacji

Im bardziej nadzór staje się oparty na danych i wspólnych metodach, tym większym problemem jest model, w którym informacje są rozproszone pomiędzy arkuszami kalkulacyjnymi, katalogami dokumentów, skrzynkami e-mail i wiedzą poszczególnych pracowników.

Najważniejsza staje się możliwość szybkiego odtworzenia pełnego łańcucha:

dane klienta → źródła → weryfikacja → ocena ryzyka → decyzja → monitorowanie → ewentualny alert → analiza i działanie → dowód wykonania.

Nie każda relacja prowadzi do alertu lub zgłoszenia podejrzenia. Sposób prowadzenia dokumentacji należy dopasować do procesu i skali firmy; uporządkowana dokumentacja może mieć różne formy. Narzędzie informatyczne pomaga ograniczyć pracę ręczną, ale o prawidłowości procesu decydują także jakość danych, analiza i faktycznie wykonane czynności.

Przykład: zmiana beneficjenta rzeczywistego klienta biura rachunkowego

Biuro rachunkowe otrzymuje informację o zmianie struktury właścicielskiej obsługiwanej spółki. W kartotece klienta znajduje się wcześniejsza ocena ryzyka i dane beneficjenta rzeczywistego. Sama aktualizacja nazwiska w formularzu nie wyjaśni, dlaczego biuro uznało, że może kontynuować współpracę na dotychczasowych zasadach.

Praktyczny sposób postępowania może wyglądać następująco:

1. Ustal zakres zmiany. Zbierz aktualne informacje o strukturze własności i kontroli oraz źródła, na których się opierasz.
2. Zweryfikuj ustalenia. Dane z CRBR mogą pomóc, lecz nie zastępują własnych czynności wymaganych do identyfikacji i weryfikacji beneficjenta rzeczywistego.
3. Oceń wpływ na ryzyko. Sprawdź, czy zmiana wymaga aktualizacji oceny klienta, dodatkowych informacji albo zastosowania innych środków.
4. Zapisz decyzję i uzasadnienie. Zachowaj wyniki czynności, ich daty i informację o osobie, która je wykonała.
5. Ustal dalszy monitoring. Określ następny przegląd i zdarzenia, które powinny uruchomić wcześniejszą aktualizację.

To przykład porządkowania istniejącego procesu AML, a nie nowy obowiązek wprowadzony samym powstaniem AMLA. Częstym błędem jest zapisanie nowych danych bez zachowania podstaw oceny i decyzji. W razie późniejszej kontroli trudno wtedy wykazać, jakie informacje instytucja rzeczywiście znała i jak na nie zareagowała.⁵

Jak SystemAML może pomóc w przygotowaniu procesów do nowego modelu AML?

SystemAML nie zastępuje oceny dokonywanej przez instytucję obowiązaną ani nie „zapewnia zgodności” samym faktem korzystania z programu. Może natomiast pomóc w uporządkowaniu danych i dokumentowaniu działań, które będą miały coraz większe znaczenie w modelu nadzoru rozwijanym przez AMLA.

W jednym systemie można m.in.:

• prowadzić rejestr klientów i transakcji,
• zapisywać ocenę ryzyka wraz z historią zmian i uzasadnieniem,
• pobierać dane z KRS, CEIDG i CRBR do dalszej weryfikacji,
• wykonywać sprawdzenia na listach sankcyjnych oraz zapisywać ich wyniki,
• gromadzić dane i oświadczenia dotyczące statusu PEP oraz dokumentację jego ustalenia,
• przechowywać dokumenty i oświadczenia związane z KYC,
• obsługiwać alerty i dokumentować analizy oraz wykonane działania,
• gromadzić informacje potrzebne do przygotowania raportów i zgłoszeń.

W opisanym przykładzie można powiązać aktualne dane klienta, pliki źródłowe, ocenę ryzyka i zapis wykonanych czynności w jednej kartotece. Pracownik nadal odpowiada za analizę zmiany i uzasadnienie decyzji.

Największą wartością w kontekście AMLA jest utrzymywanie spójnego i możliwego do odtworzenia śladu dowodowego procesu AML. Zakres dostępnych funkcji zależy od planu i konfiguracji. Przy organizowaniu pracy warto ustalić, jakie czynności wykonuje użytkownik, jakie wspiera system oraz gdzie zapisywane są ich wyniki i uzasadnienia.

Jeżeli kolejne standardy techniczne wprowadzą bardziej ujednolicone wymagania dotyczące zakresu danych lub formatów raportowania, uporządkowana baza danych będzie znacznie łatwiejsza do dostosowania niż proces oparty na wielu niezależnych dokumentach i arkuszach.

Załóż darmowe konto w SystemAML, dodaj pierwszego klienta i sprawdź, jak zapisywać ocenę ryzyka oraz wyniki weryfikacji w jednym miejscu.

Najczęstsze pytania o AMLA

Co oznacza skrót AMLA?

AMLA oznacza Authority for Anti-Money Laundering and Countering the Financing of Terrorism, czyli unijny Urząd ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu.

Czy AMLA zacznie działać dopiero w 2028 roku?

Nie. AMLA została prawnie ustanowiona w 2024 r., rozpoczęła działalność w 2025 r., a od 1 stycznia 2026 r. przejęła zadania AML/CFT od EBA. W 2028 r. rozpocznie się natomiast jej bezpośredni nadzór nad pierwszą grupą wybranych instytucji finansowych.¹²

Czy AMLA będzie kontrolować wszystkie instytucje obowiązane?

Nie. Stały bezpośredni nadzór będzie dotyczył wybranych transgranicznych instytucji kredytowych i finansowych o wysokim profilu ryzyka. Pozostałe podmioty pozostaną zasadniczo pod nadzorem krajowym, choć AMLA będzie wpływała na metody i standardy stosowane przez krajowych nadzorców.⁹

Czy AMLA zastąpi GIIF?

Nie. AMLA nie jest unijną jednostką analityki finansowej zastępującą FIU państw członkowskich. GIIF nadal pozostaje polską jednostką analityki finansowej i odbiorcą właściwych zawiadomień składanych przez polskie instytucje obowiązane.⁹

Czy AMLA ma znaczenie dla biura rachunkowego?

Tak, ale przede wszystkim pośrednie. Typowe biuro rachunkowe nie będzie podmiotem bezpośrednio nadzorowanym przez AMLA. Urząd tworzy jednak wspólne unijne standardy oraz metodologie oceny ryzyka stosowane przez organy nadzoru również wobec sektora niefinansowego.⁴

Gdzie znajduje się siedziba AMLA?

Siedzibą AMLA jest Frankfurt nad Menem w Niemczech.¹

Od kiedy stosuje się AMLR?

Rozporządzenie (UE) 2024/1624 weszło w życie 9 lipca 2024 r., ale będzie co do zasady stosowane od 10 lipca 2027 r. Wobec objętych nim agentów piłkarskich i zawodowych klubów piłkarskich termin stosowania przypada na 10 lipca 2029 r.⁶

Czy warto już teraz przygotowywać firmę do AMLA?

Tak, ale nie poprzez tworzenie osobnego zestawu dokumentów „pod AMLA”. Bardziej praktyczne jest uporządkowanie podstawowych procesów AML: identyfikacji klienta, beneficjenta rzeczywistego, oceny ryzyka, screeningu, monitorowania, obsługi alertów oraz dokumentowania decyzji. To właśnie te obszary są obecnie doprecyzowywane w standardach i wytycznych AMLA.

Podsumowanie

AMLA jest jednym z najważniejszych elementów przebudowy europejskiego systemu AML/CFT. Nie należy jednak sprowadzać jej roli do hasła „nowy unijny nadzorca od 2028 roku”.

Urząd działa już dzisiaj. Przygotowuje standardy techniczne, przejął zadania AML/CFT od EBA, tworzy wspólne metodologie oceny ryzyka, buduje system wymiany danych i przygotowuje się do wyboru pierwszych instytucji objętych bezpośrednim nadzorem.

Dla wybranych transgranicznych instytucji finansowych i grup 2028 r. będzie oznaczał zasadniczą zmianę – rozpoczęcie bezpośredniego nadzoru na poziomie UE.

Dla większości pozostałych instytucji obowiązanych ważniejsza będzie inna zmiana: coraz bardziej jednolite oczekiwania dotyczące oceny ryzyka, KYC, monitorowania i dokumentowania wykonanych czynności, niezależnie od państwa członkowskiego i krajowego organu prowadzącego kontrolę.

Z perspektywy przygotowania organizacji kluczowe nie jest więc pytanie, czy AMLA pojawi się bezpośrednio w firmie. Kluczowe jest to, czy firma potrafi w sposób spójny, aktualny i możliwy do odtworzenia wykazać, jak realizuje swoje obowiązki AML.

Źródła i stan informacji

Ostatnia weryfikacja merytoryczna i stan informacji: 21 września 2026 r. Status konsultacji podano według stron poszczególnych postępowań, które mogą być aktualizowane wcześniej niż zbiorczy wykaz instrumentów AMLA. Projekty mogą zmienić się przed przyjęciem; zamknięcie konsultacji nie oznacza rozpoczęcia stosowania ich treści.

Footnotes

1. AMLA, About AMLA ↩ ↩² ↩³ ↩⁴

2. AMLA, EBA and AMLA complete handover of AML/CFT mandates, 19.01.2026 ↩ ↩² ↩³ ↩⁴

3. Rozporządzenie (UE) 2024/1620 ustanawiające AMLA — w szczególności art. 11–14, 16, 22, 32, 35, 49–54 i 103; wersja skonsolidowana z 10 listopada 2025 r.. ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹² ↩¹³ ↩¹⁴

4. AMLA, konsultacje RTS dotyczące oceny profilu ryzyka podmiotów sektora niefinansowego ↩ ↩² ↩³

5. GIIF, komunikat nr 45 — ocena informacji o klientach i stosowanie środków bezpieczeństwa finansowego; ustawa AML — tekst jednolity, Dz.U. 2025 poz. 644, w szczególności art. 27, 33–34, 37, 43 i 49. ↩ ↩² ↩³

6. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1624 (AMLR) ↩ ↩² ↩³ ↩⁴ ↩⁵

7. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2024/1640 (AMLD6) ↩ ↩²

8. AMLA, Regulatory Instruments ↩ ↩²

9. AMLA, FAQs ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸

10. AMLA, konsultacje RTS dotyczące CDD ↩

11. AMLA, konsultacje wytycznych dotyczących business-wide risk assessment ↩ ↩² ↩³ ↩⁴

12. AMLA, konsultacje wytycznych dotyczących ongoing monitoring ↩ ↩² ↩³

13. AMLA, konsultacje ITS dotyczące formatów raportowania podejrzeń i przekazywania danych transakcyjnych ↩ ↩² ↩³

14. AMLA, AMLA launches data collection exercise to test risk assessment models, 16.03.2026 ↩ ↩² ↩³

15. AMLA, AMLA takes next step toward 2027 selection of entities for direct supervision, 12.05.2026 ↩ ↩²