Bieżące monitorowanie stosunków gospodarczych AML - kompletny przewodnik

Jak skutecznie przeprowadzać weryfikację klienta i monitorowanie transakcji zgodnie z ustawą AML

Jakie konkretnie działania należy tak naprawdę podjąć w ramach bieżącego monitorowania stosunków gospodarczych zgodnie z przepisami ustawy o przeciwdziałaniu praniu pieniędzy?

Bieżące monitorowanie stosunków gospodarczych to ciągły proces weryfikacji klienta, monitorowania transakcji i aktualizacji danych zgodnie z ustawą AML. Obejmuje 8 kluczowych elementów: weryfikację profilu klienta, monitoring transakcji, screening PEP i list sankcyjnych oraz regularne raportowanie.

Pranie pieniędzy i finansowanie terroryzmu to zagrożenia, które stanowią poważne wyzwania dla światowej gospodarki oraz stabilności finansowej. W odpowiedzi na te wyzwania, wiele krajów, w tym Polska, wprowadziło odpowiednie regulacje. W Polsce jest to ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (ustawa AML).

Ta ustawa nakłada na podmioty obowiązane obowiązek monitorowania stosunków gospodarczych w celu wykrycia i zapobiegania działaniom przestępczym (art. 34 ust. 1 pkt 4 ustawy AML). Kroki, jakie należy podjąć na początku relacji gospodarczych z klientem, są dokładnie opisane, jednak warto się zastanowić, co tak naprawdę oraz kiedy należy zrobić w bieżącym monitorowaniu stosunków gospodarczych zgodnie z wymaganiem regulatora?

Co oznacza cel i zamierzony charakter stosunków gospodarczych?

Ocena stosunków gospodarczych i, stosownie do sytuacji, uzyskanie informacji na temat ich celu i zamierzonego charakteru to jeden z czterech środków bezpieczeństwa finansowego z art. 34 ust. 1 ustawy AML (pkt 3). Chodzi o to, aby instytucja obowiązana wiedziała, po co klient nawiązuje współpracę i jak będzie z niej korzystał: jakich usług potrzebuje, jakie transakcje i w jakiej skali są spodziewane, z jakimi krajami lub kontrahentami będzie związany.

Ta wiedza jest punktem odniesienia dla bieżącego monitorowania. Bez niej nie da się ocenić, czy późniejsze transakcje są zgodne z profilem klienta. Dwa przykłady:

• Biuro rachunkowe przyjmuje spółkę handlową. Cel: pełna księgowość i kadry. Zamierzony charakter: kilkaset faktur miesięcznie, kontrahenci z Polski i Niemiec. Jeśli po kilku miesiącach pojawiają się duże płatności do spółek z państw spoza tego profilu, jest to sygnał do wyjaśnienia.
• Pośrednik w obrocie nieruchomościami obsługuje klienta, który kupuje mieszkanie na własne potrzeby, finansowane kredytem. Jeżeli klient nagle zmienia sposób finansowania na gotówkę od osoby trzeciej, zmienia się charakter transakcji i trzeba to ocenić na nowo.

Kiedy przeprowadzać aktualizację danych klienta - określenie “kiedy” bywa często najtrudniejszym elementem

Zgodnie z art. 27 ust. 3 ustawy AML, instytucje obowiązane dokonują aktualizacji oceny ryzyka własnego nie rzadziej niż co 2 lata. Dodatkowo, art. 34 ust. 1 pkt 4 nakłada obowiązek bieżącego monitorowania stosunków gospodarczych z klientem. W praktyce aktualizacja danych klienta i informacji o stosunkach gospodarczych powinna być przeprowadzana na bieżąco, w reakcji na określone czynniki inicjujące lub gdy zachodzi taka potrzeba, zgodnie z art. 34 ust. 1 pkt 4 ustawy AML. Okres 2 lat dotyczy wyłącznie aktualizacji oceny ryzyka własnego (art. 27 ust. 3), a nie danych klienta.

Czynnikiem inicjującym może być dowolne zdarzenie, które potencjalnie wpływa na ocenę ryzyka klienta, stanowi istotną zmianę lub znacząco odbiega od oczekiwań i profilu klienta. Przykładowe takie zdarzenia to m.in. zmiana miejsca zamieszkania lub prowadzenia działalności, zmiana beneficjenta rzeczywistego lub skorzystanie z nowego produktu. Warto jednak podkreślić, że ustawa nie definiuje szczegółowo wszystkich czynników inicjujących - pozostawia to do określenia przez wewnętrzne procedury instytucji obowiązanych.

Zgodnie z art. 34 ust. 1 pkt 2 i pkt 4 lit. c ustawy AML instytucje obowiązane ustalają beneficjentów rzeczywistych i dbają o bieżącą aktualizację tych informacji. Terminy zgłoszeń i aktualizacji w Centralnym Rejestrze Beneficjentów Rzeczywistych (CRBR) reguluje rozdział 6 ustawy, w tym obowiązek zgłoszenia przez spółkę w terminie 14 dni od wpisu do KRS oraz aktualizacji w terminie 14 dni od zmiany (art. 60 ust. 1 i 1a). Obowiązek ten ciąży na spółce, a instytucja obowiązana nie może polegać wyłącznie na danych z CRBR (art. 37 ust. 3).

Dodatkową analizę należy również przeprowadzić w przypadku pojawienia się zdarzenia w procesie monitorowania transakcji. Analiza ta może doprowadzić do konieczności skontaktowania się z klientem, weryfikacji jego profilu lub oceny zmiany poziomu ryzyka. Zgodnie z art. 35 ust. 2 ustawy AML (zdarzenia inicjujące ponowne zastosowanie środków bezpieczeństwa finansowego) oraz art. 43 ust. 4 ustawy AML instytucje muszą wyjaśniać okoliczności transakcji skomplikowanych, nietypowych lub bez uzasadnienia gospodarczego i intensyfikować monitorowanie. Niemniej jednak decyzja ta nie jest jednoznaczna. Przykładowo, transakcja na znaczną kwotę może wynikać z nawiązania normalnych nowych relacji gospodarczych, otrzymania premii od pracodawcy lub innych zdarzeń, które można uzasadnić. W takich sytuacjach nie jest wymagane aktualizowanie profilu klienta ani przeprowadzenie ponownej oceny ryzyka.

Pojawiają się również sytuacje specjalne, gdzie czynnikiem inicjującym są zewnętrzne zmiany np. zmiany w regulacjach (w tym wewnętrznych) lub zmiana oceny ryzyka dla danego kraju. W przypadku zmian dotyczących krajów wysokiego ryzyka zmiana poziomu ryzyka może dotknąć wielu klientów. Kluczowa jest możliwość identyfikacji klientów, którzy są dotknięci takimi zmianami.

Jak często aktualizować dane klienta?

Obecna ustawa AML nie określa jednego okresu aktualizacji danych klienta. Częstotliwość przeglądów ustala instytucja obowiązana w wewnętrznej procedurze, na podstawie oceny ryzyka. Przykładowy podział, który można dostosować do własnej działalności:

Okresy w tabeli są przykładem, a nie wymogiem ustawowym. Po 10 lipca 2027 r. trzeba będzie zmieścić się w maksymalnych odstępach z AMLR (opisanych niżej): 1 rok dla klientów wyższego ryzyka i 5 lat dla pozostałych.

Co zmieni się w monitorowaniu od 2027 r. (AMLR)?

Rozporządzenie (UE) 2024/1624 (AMLR) weszło w życie 9 lipca 2024 r., ale jego zasadnicze przepisy będą stosowane od 10 lipca 2027 r. Dla bieżącego monitorowania najważniejsze są trzy zmiany:

• Maksymalne odstępy między aktualizacjami danych klienta. Zgodnie z art. 26 ust. 2 AMLR odstęp nie może przekroczyć 1 roku dla klientów wyższego ryzyka i 5 lat dla pozostałych. To granice maksymalne, a istotna zmiana okoliczności nadal wymaga wcześniejszej aktualizacji.
• Sankcje w procesie należytej staranności. Sprawdzanie, czy klient lub jego beneficjent rzeczywisty podlega ukierunkowanym sankcjom finansowym, staje się wprost elementem środków wobec klienta, a w trakcie relacji trzeba regularnie weryfikować, czy ten stan się nie zmienił.
• Udokumentowany cykl przeglądu. Każda relacja powinna mieć możliwy do wykazania harmonogram przeglądów i obsługę zdarzeń, które wymagają wcześniejszej aktualizacji.

Szczegółowo opisujemy to w artykule AMLR od 2027 r.: co zmienia dla instytucji obowiązanych.

Jak zautomatyzować monitoring i ocenę ryzyka klienta?

Przy kilkudziesięciu lub kilkuset klientach ręczne pilnowanie terminów przeglądów, list sankcyjnych i zmian w rejestrach szybko staje się zawodne. Narzędzie AML pomaga utrzymać ten proces w jednym miejscu: przechowuje ocenę ryzyka klienta z uzasadnieniem i historią zmian, pobiera dane z rejestrów publicznych i sprawdza listy sankcyjne. Decyzja o ocenie ryzyka i dalszych krokach nadal należy do instytucji obowiązanej, ale łatwiej ją podjąć i udokumentować.

8 kluczowych elementów bieżącego monitorowania stosunków gospodarczych AML

Stosowanie środków bezpieczeństwa finansowego nie jest jednorazowym zadaniem, lecz stanowi ciągły proces obejmujący wiele elementów (art. 34 ust. 1 pkt 4 ustawy AML):

1. Weryfikacja profilu klienta i aktualizacja danych

W momencie nawiązania relacji gospodarczych gromadzone są dane identyfikacyjne określone w art. 36 ustawy AML. W bieżącym monitorowaniu kluczowe jest uważne sprawdzanie, czy te informacje uległy zmianie. Modyfikacje mogą dotyczyć istotnych aspektów związanych z klientem, takich jak zmiana pracy, prowadząca do zwiększenia zarobków, zmiana adresu zamieszkania, kraju zamieszkania lub relacji (jak na przykład zawarcie małżeństwa czy zaangażowanie nowego partnera biznesowego).

Przy podmiotach prawnych, poza modyfikacją profilu działalności, może zachodzić konieczność aktualizacji informacji o beneficjentach rzeczywistych lub o nowych lokalizacjach związanych z danym podmiotem (np. adres prowadzenia działalności).

Ważne: W przypadku istotnych zmian danych osobowych klienta (takich jak nazwisko czy obywatelstwo), zgodnie z art. 35 ust. 2 pkt 2 (a przy wątpliwościach co do danych – art. 35 ust. 1 pkt 6) ustawy AML trzeba ponownie zastosować środki bezpieczeństwa finansowego, w tym identyfikację i weryfikację. Szczegółowe zasady dotyczące aktualizacji dokumentów identyfikacyjnych powinny być określone w wewnętrznych procedurach instytucji obowiązanych.

2. Weryfikacja stosunków gospodarczych

Klienci mogą korzystać z produktów i usług w sposób niezgodny z ustaleniami, nietypowo je wykorzystywać lub przedwcześnie rozwiązać umowę, np. mimo wystąpienia znacznych kosztów związanych z tym procesem. Podmioty podlegające przepisom prawnym w zakresie przeciwdziałania praniu pieniędzy powinny zachować czujność wobec wszelkich odstępstw. Ponowna weryfikacja informacji o kliencie jest również konieczna w przypadku, gdy klient występuje o nowe produkty lub usługi.

3. Ponowna ocena ryzyka

Wymagana jest regularna weryfikacja i aktualizacja uprzednio dokonanej oceny ryzyka. Taką weryfikację oceny ryzyka dokonuje w momencie wystąpienia czynnika inicjującego lub według ustalonego harmonogramu.

4. Monitorowanie transakcji i raportowanie

Monitorowanie bieżących transakcji stanowi kluczowy element w przeciwdziałaniu praniu pieniędzy (art. 34 ust. 1 pkt 4 i art. 43 ust. 3 ustawy AML). Instytucje obowiązane prowadzą bieżącą analizę przeprowadzanych transakcji (art. 43 ust. 3) – ustawa nie narzuca metody ani częstotliwości; zakres zależy od rodzaju działalności i ryzyka (np. biura rachunkowe analizują transakcje i informacje poznawane podczas obsługi klienta – Komunikat GIIF nr 114). To pozwala na identyfikację nietypowych wzorców transakcyjnych i zdarzeń, które mogą sugerować potencjalne przestępcze działania.

Ważne obowiązki raportowe:

• Raporty transakcji podejrzanych (SAR) - zgodnie z art. 74 ustawy AML, instytucje mają obowiązek zawiadamiania GIIF o podejrzeniu popełnienia przestępstwa prania pieniędzy lub finansowania terroryzmu
• Raporty transakcji progowych - art. 72 ustawy AML nakłada obowiązek przekazywania GIIF informacji o określonych transakcjach powyżej równowartości 15 000 euro (wpłaty/wypłaty gotówkowe, transfery; dla kantorów i notariuszy – odrębne zakresy z ust. 3–4) w terminie 7 dni
• Monitorowanie transakcji obejmuje skupienie się na operacjach odbiegających od normy, przekraczających oczekiwane przepływy finansowe, szybkim przepływie środków oraz transakcjach z krajami o wysokim ryzyku

Technologie monitoringu: Nowoczesne instytucje coraz częściej wykorzystują sztuczną inteligencję (AI) i uczenie maszynowe (ML) do real-time monitoringu transakcji, co pozwala na automatyczną identyfikację podejrzanych wzorców i redukcję fałszywych alarmów. Szczegółowe wytyczne dotyczące praktycznych aspektów stosowania środków bezpieczeństwa finansowego zawiera komunikat GIIF nr 22.

5. Bieżący screening PEP i weryfikacja list sankcyjnych

Zgodnie z art. 46 ust. 1 ustawy AML instytucje obowiązane stosują procedury oparte na analizie ryzyka służące ustaleniu, czy klient lub beneficjent rzeczywisty jest osobą zajmującą eksponowane stanowisko polityczne, oraz sprawdzają listy osób objętych szczególnymi środkami ograniczającymi (art. 117–118) i sankcjami. W praktyce weryfikacja obejmuje sprawdzenie:

• statusu PEP klienta i beneficjenta rzeczywistego,
• list sankcyjnych krajowych i międzynarodowych,
• list osób i podmiotów związanych z finansowaniem terroryzmu.

Uwaga: Lista sankcyjna MSWiA działa na podstawie ustawy sankcyjnej z dnia 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego (Dz.U. 2022 poz. 835), co stanowi odrębny reżim sankcyjny od art. 117-122 ustawy AML.

Weryfikacja ta stanowi integralny element bieżącego monitorowania i powinna być przeprowadzana nie tylko przy nawiązaniu relacji, ale także okresowo w trakcie jej trwania. Szczególnie ważne jest regularne sprawdzanie aktualnej listy sankcyjnej MSWIA oraz innych list międzynarodowych.

6. Stosowanie dodatkowych działań

W przypadku wystąpienia wątpliwości, nieprawidłowości lub tzw. “czerwonych flag”, istotne jest podjęcie dodatkowych kroków zgodnie z art. 35 ust. 2 i art. 43 ust. 4 ustawy AML.

Przykładowe “czerwone flagi” wymagające zwiększonej uwagi:

• Podział transakcji na mniejsze kwoty (split payments)
• Transfery do krajów uznawanych za raje podatkowe
• Nietypowe przepływy gotówki niewspółmierne do profilu klienta
• Transakcje z podmiotami z krajów wysokiego ryzyka
• Częste zmiany beneficjentów rzeczywistych
• Transakcje odbywające się tuż przed lub po wprowadzeniu nowych sankcji
• Wykorzystanie kont “śpiących” do nagłych, wysokich transferów

W przypadku klienta indywidualnego może to obejmować analizę historii zatrudnienia, inwestycji czy majątku rodzinnego. Dla klienta biznesowego istotne jest zrozumienie źródła środków wykorzystanych do rozpoczęcia działalności oraz sposobu, w jaki firma się rozwija i generuje zyski.

Weryfikacja źródła majątku przy podwyższonym ryzyku: Zgodnie z art. 43-44 ustawy AML, przy stosowaniu wzmożonych środków bezpieczeństwa finansowego (w tym wobec osób PEP), instytucje obowiązane muszą badać pochodzenie środków (source of funds) i majątku (source of wealth) klienta. Obowiązek ustalenia źródła majątku i źródła pochodzenia wartości majątkowych wynika wprost z art. 44 ust. 1 pkt 2 (relacje z państwami trzecimi wysokiego ryzyka) i art. 46 ust. 2 pkt 2 (PEP) ustawy AML; w innych przypadkach wyższego ryzyka (art. 43) zakres środków dobiera instytucja.

7. Obowiązek szkoleniowy personelu

Art. 52 ustawy AML nakłada obowiązek zapewnienia udziału osób wykonujących obowiązki AML w programach szkoleniowych z zakresu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, które zapewniają aktualną wiedzę (art. 52 ust. 1–2). Brak realizacji tego obowiązku może skutkować sankcją określoną w art. 147 pkt 9 ustawy AML.

8. Retencja dokumentacji

Zgodnie z art. 49 ust. 1–2 ustawy AML instytucje obowiązane przechowują dokumentację przez okres 5 lat, licząc od dnia zakończenia stosunków gospodarczych z klientem lub od dnia przeprowadzenia transakcji okazjonalnej (art. 49 ust. 1); wyniki analiz – 5 lat od ich przeprowadzenia (ust. 2). Przed upływem tego okresu GIIF może zażądać przechowywania przez kolejne maksymalnie 5 lat (ust. 3) – nie dotyczy to m.in. notariuszy, adwokatów, radców prawnych, doradców podatkowych, biur rachunkowych i pośredników w obrocie nieruchomościami (ust. 4).

Kluczowe terminy prawne w bieżącym monitorowaniu

Konsekwencje nieprzestrzegania obowiązków

Nieprzestrzeganie obowiązków wynikających z ustawy AML może skutkować poważnymi konsekwencjami:

Sankcje administracyjne (art. 147-150 ustawy AML):

• Kary pieniężne zasadniczo do dwukrotności osiągniętej korzyści lub unikniętej straty, a gdy nie można ich ustalić – do równowartości 1 000 000 EUR (art. 150 ust. 2 ustawy AML). Wyższe limity – do równowartości 5 000 000 EUR albo 10% obrotu, a dla osób fizycznych do 20 868 500 zł – dotyczą tylko instytucji wymienionych w art. 150 ust. 3, m.in. banków, instytucji płatniczych, kantorów walutowych i instytucji pożyczkowych
• Kara do 1 000 000 zł dla osoby odpowiedzialnej za wykonanie obowiązków AML (art. 154)
• Uprawnienia kontrolne GIIF obejmujące możliwość przeprowadzania kontroli w siedzibie instytucji obowiązanej

Kary w praktyce: rzeczywiste kary są zwykle znacznie niższe od limitów ustawowych i zależą m.in. od wagi i czasu trwania naruszenia, możliwości finansowych instytucji oraz współpracy z organem. Przykłady decyzji i średnie wysokości kar opisujemy w analizie kar AML. Odrębne sankcje grożą za naruszenie obowiązków wobec CRBR (do 1 000 000 zł) i list sankcyjnych.

Ryzyko reputacyjne i biznesowe:

• Utrata licencji lub pozwolenia na prowadzenie działalności
• Szkody wizerunkowe
• Zwiększone koszty compliance

Podsumowanie

Efektywne bieżące monitorowanie stosunków gospodarczych zgodnie z ustawą o przeciwdziałaniu praniu pieniędzy (w szczególności art. 27 ust. 3, art. 34 ust. 1 pkt 4, art. 72-77 ustawy AML) to kluczowy element w ochronie systemu finansowego przed działaniami przestępczymi. Aktualizacja danych klienta i informacji o stosunkach gospodarczych powinna być przeprowadzana na bieżąco, w reakcji na określone czynniki inicjujące lub gdy zachodzi taka potrzeba, zgodnie z przepisami. Identyfikacja klienta, analiza ryzyka, monitorowanie transakcji, raportowanie oraz wykrywanie niezgodności to główne kroki, które instytucje finansowe i inne podmioty zobowiązane powinny podejmować, aby skutecznie przeciwdziałać praniu pieniędzy i finansowaniu terroryzmu.

Zalecenie: Instytucje obowiązane powinny regularnie konsultować swoje procedury z aktualnymi wytycznymi GIIF oraz dostosowywać je do zmieniających się wymogów regulacyjnych, pamiętając o poważnych konsekwencjach finansowych i prawnych wynikających z nieprzestrzegania przepisów.

Najczęściej zadawane pytania o bieżące monitorowanie AML

Jak często należy przeprowadzać weryfikację klienta AML?

Weryfikacja klienta w ramach bieżącego monitorowania stosunków gospodarczych powinna być przeprowadzana na bieżąco, w reakcji na czynniki inicjujące lub według ustalonego harmonogramu. Aktualizacja oceny ryzyka własnego musi następować nie rzadziej niż co 2 lata.

Kiedy instytucje obowiązane muszą stosować środki bezpieczeństwa finansowego?

Środki bezpieczeństwa finansowego muszą być stosowane przy każdej relacji z klientem, ale ich zakres zależy od poziomu ryzyka. Wzmożone środki są wymagane m.in. wobec osób PEP oraz klientów z krajów wysokiego ryzyka.

Jak sprawdzać listy sankcyjne w ramach monitorowania?

Regularne sprawdzanie list sankcyjnych powinno odbywać się zarówno przy nawiązaniu relacji, jak i okresowo w trakcie jej trwania. Można korzystać z wyszukiwarki list sankcyjnych lub zautomatyzowanych systemów screeningu.

Co to jest monitorowanie transakcji AML?

Monitorowanie transakcji to ciągły proces analizy przepływów finansowych klienta w celu identyfikacji nietypowych wzorców, które mogą wskazywać na pranie pieniędzy lub finansowanie terroryzmu.

Jak często aktualizować dane beneficjenta rzeczywistego?

Informacje o beneficjentach rzeczywistych spółka aktualizuje w CRBR w terminie 14 dni od zmiany w KRS, a gdy zmiana nie wymaga wpisu do KRS – w terminie 14 dni od jej dokonania (art. 60 ust. 1a). Instytucja obowiązana powinna aktualizować te informacje na bieżąco w ramach bieżącego monitorowania stosunków gospodarczych (art. 34 ust. 1 pkt 4 lit. c).