Jak skutecznie realizować proces KYC w obszarze AML?

Choć procedury KYC i sprawdzanie klientów w rejestrach stanowią fundament procesu AML, w niniejszym artykule wykażemy, że same w sobie nie są wystarczające do pełnego spełnienia obowiązków nałożonych przez polską ustawę. Omówimy, dlaczego podmioty obowiązane muszą wdrożyć znacznie szersze i bardziej zaawansowane środki, aby skutecznie przeciwdziałać praniu pieniędzy i spełniać wymogi prawne.

W Polsce kluczowym aktem prawnym regulującym te kwestie jest ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (tekst jednolity: Dz.U. z 2025 r. poz. 644, z późn. zm.). Ustawa ta implementuje dyrektywy Unii Europejskiej i ustanawia kompleksowe ramy dla instytucji obowiązanych do przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu.

Dwa pojęcia często pojawiające się w tej dziedzinie to KYC (Know Your Customer) oraz AML (Anti-Money Laundering). Niestety panuje błędne przekonanie, że KYC wystarczy do spełnienia obowiązków ustawowych. Wyjaśnijmy na początek oba pojęcia.

Czym jest KYC

KYC, czyli “Poznaj Swojego Klienta”, to proces, w którym instytucje finansowe weryfikują tożsamość swoich klientów i oceniają potencjalne ryzyko związane z nawiązaniem z nimi relacji biznesowej. Obejmuje to zbieranie podstawowych informacji o kliencie, weryfikację jego tożsamości oraz wstępną ocenę ryzyka.

AML to szersze zagadnienie niż samo KYC

AML, czyli przeciwdziałanie praniu pieniędzy, to szerszy zestaw procedur i praktyk mających na celu zapobieganie, wykrywanie i raportowanie działań związanych z praniem pieniędzy i finansowaniem terroryzmu. AML wykracza poza początkową weryfikację klienta i obejmuje ciągłe monitorowanie transakcji, analizę wzorców behawioralnych oraz raportowanie podejrzanych działań.

Podstawowe elementy KYC

Procedury Know Your Customer (KYC) oraz sprawdzanie klientów w rejestrach stanowią podstawowe narzędzia w procesie przeciwdziałania praniu pieniędzy. Przyjrzyjmy się bliżej tym elementom w kontekście polskich regulacji.

Standardowe procedury KYC

Proces KYC w Polsce, zgodnie z ustawą o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, obejmuje następujące kluczowe elementy:

Identyfikacja klienta - ustalenie danych z art. 36 ustawy: dla osoby fizycznej m.in. imienia i nazwiska, obywatelstwa, numeru PESEL (a jeżeli go nie nadano – daty urodzenia) oraz państwa urodzenia, serii i numeru dokumentu tożsamości oraz – jeśli instytucja je posiada – adresu zamieszkania; dla osoby prawnej nazwy, formy organizacyjnej, adresu siedziby, NIP oraz danych osoby reprezentującej.
Weryfikacja tożsamości - potwierdzenie zebranych danych na podstawie dokumentów tożsamości, wypisów z rejestrów lub innych wiarygodnych i niezależnych źródeł. Instytucje mogą korzystać z różnych metod weryfikacji tożsamości online w tym ze środków identyfikacji elektronicznej i usług zaufania w rozumieniu rozporządzenia eIDAS (np. e-dowód, Profil Zaufany, podpis kwalifikowany), a także z innych wiarygodnych i niezależnych źródeł, np. weryfikacji dokumentu z badaniem żywotności (liveness), ocenianej w ramach podejścia opartego na ryzyku.
Identyfikacja beneficjenta rzeczywistego - ustalenie osób fizycznych sprawujących kontrolę nad klientem lub osoby fizycznej, w imieniu której nawiązywane są stosunki gospodarcze.
Uzyskanie informacji o celu i charakterze planowanych stosunków gospodarczych.

Jeśli szukasz gotowego narzędzia do realizacji tych obowiązków, sprawdź moduł KYC SystemAML — umożliwia zdalne zbieranie danych z KRS, REGON i CRBR oraz weryfikację tożsamości przez Profil Zaufany, podpis kwalifikowany, dowód z badaniem żywotności, a w przypadku instytucji z wymaganą zgodą Ministerstwa Cyfryzacji – także mObywatel.

Rodzaje rejestrów używanych do weryfikacji klientów w Polsce

W procesie weryfikacji klientów instytucje obowiązane korzystają z różnych rejestrów publicznych i komercyjnych, w tym:

Centralna Ewidencja i Informacja o Działalności Gospodarczej (CEIDG) - dla jednoosobowych działalności gospodarczych.
Krajowy Rejestr Sądowy (KRS) - dla spółek, fundacji, stowarzyszeń i innych podmiotów.
Centralny Rejestr Beneficjentów Rzeczywistych (CRBR) - zawierający informacje o beneficjentach rzeczywistych spółek.
Rejestr PESEL - w zakresie, w jakim dana instytucja ma do niego dostęp na podstawie odrębnych przepisów (np. weryfikacja zastrzeżenia numeru PESEL).
Listy sankcyjne - krajowe i międzynarodowe listy osób i podmiotów objętych sankcjami.
Bazy PEP (Politically Exposed Persons) - zawierające informacje o osobach zajmujących eksponowane stanowiska polityczne.

Same procedury KYC i sprawdzanie w rejestrach mają swoje ograniczenia w kontekście pełnego spełnienia obowiązków AML, co zostanie omówione w kolejnych sekcjach artykułu.

Kluczowe obowiązki wynikające z polskiej ustawy AML

Polska ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu nakłada na instytucje obowiązane szereg wymogów, które wykraczają poza podstawowe procedury KYC i sprawdzanie w rejestrach. Poniżej przedstawiamy kluczowe obowiązki:

Obowiązek	Podstawa	Opis
Ocena ryzyka klienta i transakcji	Art. 33	Przeprowadzanie oceny ryzyka prania pieniędzy oraz finansowania terroryzmu. Dokumentowanie tej oceny i jej aktualizacja
Stosowanie środków bezpieczeństwa finansowego	Art. 34	Identyfikacja klienta i weryfikacja jego tożsamości. Identyfikacja beneficjenta rzeczywistego, a nie tylko pobranie danych z rejestru. Ocena stosunków gospodarczych i uzyskiwanie informacji o ich celu i charakterze. Bieżące monitorowanie stosunków gospodarczych
Wzmożone środki bezpieczeństwa finansowego	Art. 43	Stosowanie dodatkowych środków w przypadku wyższego ryzyka prania pieniędzy lub finansowania terroryzmu.
Bieżąca analiza przeprowadzanych transakcji	Art. 34 ust. 1 pkt 4 lit. a i art. 43 ust. 3	Analiza transakcji w celu zapewnienia, że są one zgodne z wiedzą instytucji obowiązanej o kliencie, rodzaju i zakresie prowadzonej przez niego działalności oraz zgodne z ryzykiem prania pieniędzy oraz finansowania terroryzmu związanym z tym klientem.
Nieprzeprowadzanie transakcji podejrzanej	Art. 86 ust. 4 i art. 89 ust. 3	Po zawiadomieniu GIIF o uzasadnionym podejrzeniu instytucja nie przeprowadza transakcji do czasu otrzymania żądania wstrzymania albo zwolnienia, nie dłużej niż 24 godziny (art. 86 ust. 4). Po zawiadomieniu prokuratora o podejrzeniu innego przestępstwa – do czasu postanowienia prokuratora, nie dłużej niż 96 godzin (art. 89 ust. 3; nie dotyczy banków i SKOK).
Reakcja na brak możliwości zastosowania środków	Art. 41	Nienawiązanie lub rozwiązanie stosunków gospodarczych albo nieprzeprowadzenie transakcji, gdy nie można zastosować środka bezpieczeństwa finansowego.
Raportowanie transakcji podejrzanych	Art. 74 i art. 86	Zawiadamianie Generalnego Inspektora Informacji Finansowej o okolicznościach mogących wskazywać na podejrzenie prania pieniędzy lub finansowania terroryzmu (niezwłocznie, najpóźniej w 2 dni robocze od potwierdzenia podejrzenia) oraz niezwłocznie o uzasadnionym podejrzeniu dotyczącym konkretnej transakcji.
Dokumentowanie i wykazywanie adekwatności środków	Art. 34 ust. 3	Dokumentowanie zastosowanych środków bezpieczeństwa finansowego oraz wykazywanie na żądanie organów kontroli, że były one odpowiednie do rozpoznanego ryzyka prania pieniędzy oraz finansowania terroryzmu.
Szkolenia pracowników	Art. 52	Zapewnienie udziału pracowników w programach szkoleniowych dotyczących realizacji obowiązków AML/CFT.
Wprowadzenie wewnętrznej procedury	Art. 50	Opracowanie i wdrożenie wewnętrznej procedury w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu.
Wyznaczenie kadry kierowniczej odpowiedzialnej za AML	Art. 6-8	Wyznaczenie kadry kierowniczej wyższego szczebla odpowiedzialnej za wykonywanie obowiązków (art. 6), członka zarządu odpowiedzialnego za ich wdrażanie (art. 7) oraz pracownika na stanowisku kierowniczym odpowiedzialnego za zgodność i przekazywanie zawiadomień (art. 8); w jednoosobowej działalności zadania te wykonuje przedsiębiorca (art. 9).

Te obowiązki wyraźnie pokazują, że skuteczne przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu wymaga znacznie szerszego zakresu działań niż tylko przeprowadzenie procedur KYC i sprawdzenie klienta w rejestrach. W kolejnych punktach artykułu omówimy, dlaczego samo KYC i sprawdzanie w rejestrach nie wystarcza do spełnienia tych kompleksowych wymogów ustawowych.

Ograniczenia KYC w kontekście ustawy AML

Mimo że procedury KYC i sprawdzanie klientów w rejestrach stanowią fundament procesu AML, same w sobie nie są wystarczające do pełnego spełnienia obowiązków nałożonych przez polską ustawę o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Poniżej analizujemy, które obowiązki nie są spełnione przy ograniczeniu się tylko do tych dwóch elementów:

Ograniczenie	Podstawa prawna
Brak ciągłego monitorowania stosunków gospodarczych	Art. 34 ust. 1 pkt 4
Niewystarczająca analiza transakcji	Art. 43 ust. 3
Brak stosowania środków bezpieczeństwa finansowego	Art. 34 ust. 1
Niedostateczna ocena ryzyka klienta	Art. 33
Brak raportowania transakcji podejrzanych	Art. 74 i art. 86
Niewystarczające środki w przypadku wyższego ryzyka	Art. 43
Brak bieżącej aktualizacji informacji o kliencie	Art. 34 ust. 1 pkt 4 lit. c i art. 35 ust. 2

Podsumowując, choć KYC i sprawdzanie klientów w rejestrach są ważnymi elementami procesu AML, stanowią jedynie punkt wyjścia do pełnego spełnienia obowiązków nałożonych przez polską ustawę. Instytucje obowiązane muszą wdrożyć znacznie szersze i bardziej zaawansowane środki, aby skutecznie przeciwdziałać praniu pieniędzy i finansowaniu terroryzmu oraz spełniać wszystkie wymogi prawne.

Przełożony wskazuje pracownicy błędy w dokumentach na monitorze - samo KYC nie wystarczy

Kompleksowe podejście do AML zgodne z ustawą

Aby w pełni spełnić wymogi polskiej ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, instytucje obowiązane muszą wdrożyć kompleksowe podejście do AML, wykraczające poza podstawowe procedury KYC i sprawdzanie w rejestrach. Poniżej przedstawiamy kluczowe elementy takiego podejścia:

Wdrożenie systemu monitorowania transakcji

Ciągłe monitorowanie transakcji klientów w celu wykrycia nietypowych wzorców i potencjalnie podejrzanych działań.

Narzędzia monitorowania dostosowane do skali działalności (od przeglądu manualnego po system automatyczny)
Ustanowienie progów alarmowych
Regularne przeglądy i aktualizacje reguł monitorowania

Zgodność z ustawą: Art. 34 ust. 1 pkt 4 (ciągłe monitorowanie stosunków gospodarczych)

Stosowanie zaawansowanej analizy ryzyka

Kompleksowa ocena ryzyka związanego z klientem, uwzględniająca różnorodne czynniki.

Opracowanie szczegółowej metodologii oceny ryzyka
Uwzględnienie czynników takich jak: profil klienta, rodzaj działalności, geolokalizacja, produkty/usługi
Regularna aktualizacja oceny ryzyka

Zgodność z ustawą: Art. 33 (ocena ryzyka prania pieniędzy oraz finansowania terroryzmu)

Prowadzenie bieżącej analizy stosunków gospodarczych

Ciągła weryfikacja zgodności działań klienta z jego profilem i deklarowanym celem relacji biznesowej.

Regularne przeglądy profili klientów
Analiza historii transakcji
Weryfikacja źródeł środków dla znaczących transakcji

Zgodność z ustawą: Art. 34 ust. 1 pkt 4 lit. a i art. 43 ust. 3 (bieżąca analiza przeprowadzanych transakcji)

Implementacja procedur raportowania

Skuteczne identyfikowanie i raportowanie podejrzanych transakcji do GIIF.

Opracowanie jasnych wytycznych dotyczących identyfikacji podejrzanych transakcji
Szkolenia pracowników w zakresie rozpoznawania red flags
Ustanowienie wewnętrznych procedur eskalacji i raportowania

Zgodność z ustawą: Art. 74 i art. 86 (zawiadamianie GIIF o podejrzeniach)

Zastosowanie wzmożonych środków bezpieczeństwa finansowego

Dodatkowa kontrola dla klientów i transakcji wysokiego ryzyka.

Identyfikacja kategorii klientów wymagających wzmożonych środków
Dodatkowe procedury weryfikacji dla transakcji wysokiego ryzyka
Zwiększona częstotliwość przeglądów dla klientów wysokiego ryzyka

Zgodność z ustawą: Art. 43 (zastosowanie wzmożonych środków bezpieczeństwa finansowego)

Regularne aktualizacje danych i wiedzy o kliencie

Utrzymanie aktualnych i dokładnych informacji o klientach.

Ustanowienie harmonogramu regularnych przeglądów danych klientów
Wdrożenie procesów aktualizacji informacji przy istotnych zmianach (np. zmiana struktury własności)
Wykorzystanie automatycznych narzędzi do monitorowania zmian w publicznie dostępnych informacjach o klientach

Zgodność z ustawą: art. 34 ust. 1 pkt 4 lit. c (aktualizacja dokumentów i informacji) i art. 35 ust. 2 (stosowanie środków wobec dotychczasowych klientów, m.in. przy zmianie danych klienta lub beneficjenta rzeczywistego)

Wdrożenie kompleksowego programu szkoleń

Zapewnienie, że wszyscy pracownicy są świadomi obowiązków AML i potrafią je skutecznie realizować.

Regularne szkolenia dla wszystkich pracowników
Specjalistyczne szkolenia dla personelu bezpośrednio zaangażowanego w procesy AML
Bieżące informowanie o nowych trendach i typologiach prania pieniędzy

Zgodność z ustawą: Art. 52 (zapewnienie udziału pracowników w programach szkoleniowych)

Ustanowienie efektywnej struktury zarządzania AML

Zapewnienie odpowiedniego nadzoru i zarządzania procesami AML na poziomie organizacji.

Wyznaczenie osoby odpowiedzialnej za AML na poziomie zarządu
Utworzenie dedykowanego zespołu ds. zgodności AML
Regularne raportowanie do zarządu o stanie programu AML

Zgodność z ustawą: Art. 6-8 (wyznaczenie kadry kierowniczej odpowiedzialnej za AML)

Wdrożenie powyższych elementów pozwala na stworzenie kompleksowego systemu AML, który nie tylko spełnia wymogi ustawowe, ale także skutecznie chroni instytucję przed ryzykiem związanym z praniem pieniędzy i finansowaniem terroryzmu. Takie podejście znacznie wykracza poza podstawowe procedury KYC i sprawdzanie w rejestrach, pomagając spełnić wymogi polskiej ustawy AML i stosować dobre praktyki branżowe.

Narzędzia i metody wspierające spełnienie obowiązków AML

Aby skutecznie realizować obowiązki wynikające z ustawy AML, instytucje obowiązane powinny rozważyć wykorzystanie zaawansowanych narzędzi i metod, które wspierają i uzupełniają podstawowe procesy KYC i sprawdzania w rejestrach. W porządkowaniu tych obowiązków pomaga SystemAML.pl: prowadzi przez kryteria oceny ryzyka, przygotowuje raport z uzasadnieniem do zatwierdzenia przez osobę odpowiedzialną za AML i porządkuje dokumentację czynności. Kompletność dokumentacji zależy od stosowania tego procesu w instytucji.

Konsekwencje nieprzestrzegania regulacji AML

Nieprzestrzeganie wymogów ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu może mieć poważne konsekwencje dla instytucji obowiązanych. Polska ustawa przewiduje szereg sankcji administracyjnych i karnych za naruszenie obowiązków AML:

Kary finansowe:
- Dla instytucji obowiązanych kara pieniężna wynosi zasadniczo do dwukrotności osiągniętej korzyści lub unikniętej straty, a gdy nie można ich ustalić – do równowartości 1 000 000 euro (art. 150 ust. 2).
- Dla instytucji wymienionych w art. 150 ust. 3 (m.in. banków, instytucji płatniczych, kantorów walutowych i instytucji pożyczkowych) limit wynosi równowartość 5 000 000 euro albo 10% obrotu wykazanego w ostatnim zatwierdzonym sprawozdaniu finansowym, a gdy taka instytucja jest osobą fizyczną – 20 868 500 zł.
- Na osobę odpowiedzialną za wykonanie obowiązków AML w instytucji można nałożyć karę do 1 000 000 zł (art. 154).
Zakaz pełnienia funkcji kierowniczych:
- Osoba odpowiedzialna za naruszenie może otrzymać zakaz pełnienia obowiązków na stanowisku kierowniczym na okres nie dłuższy niż rok (art. 150 ust. 1 pkt 4); w zakresie nadzoru bankowego nakłada go KNF.
Cofnięcie zezwolenia lub wykreślenie z rejestru działalności regulowanej:
- W najpoważniejszych przypadkach instytucja obowiązana może stracić prawo do prowadzenia działalności w danym sektorze.
Publikacja informacji o naruszeniu:
- Organ nakładający karę (Generalny Inspektor Informacji Finansowej, Prezes NBP albo KNF) może orzec publikację w BIP informacji o instytucji obowiązanej i zakresie naruszenia (art. 150 ust. 1 pkt 1), co może mieć poważne konsekwencje reputacyjne.
Odpowiedzialność karna:
- Ustawa przewiduje także odpowiedzialność karną: za nieprzekazanie GIIF zawiadomienia, przekazanie nieprawdziwych danych lub nieuprawnione ujawnienie informacji grozi kara pozbawienia wolności od 3 miesięcy do 5 lat (art. 156), a za udaremnianie lub utrudnianie kontroli – grzywna (art. 157).
Konsekwencje dla kadry zarządzającej:
- Członkowie zarządu lub inne osoby odpowiedzialne za naruszenia mogą ponosić osobistą odpowiedzialność finansową i karną.
Dodatkowe konsekwencje biznesowe:
- Utrata reputacji i zaufania klientów
- Potencjalne trudności w relacjach z partnerami biznesowymi i instytucjami finansowymi
- Zwiększone koszty związane z koniecznością naprawy i usprawnienia systemów AML

W ostatnich latach obserwujemy rosnącą aktywność organów nadzoru w zakresie egzekwowania przepisów AML, zarówno w Polsce, jak i na arenie międzynarodowej. Wysokie kary nakładane na instytucje finansowe za naruszenia przepisów AML stają się coraz częstsze, co dodatkowo podkreśla wagę kompleksowego podejścia do tych zagadnień.

Biorąc pod uwagę potencjalne konsekwencje prawne, finansowe i reputacyjne, ograniczenie się wyłącznie do podstawowych procedur KYC i sprawdzania w rejestrach staje się nie tylko niewystarczające z punktu widzenia wymogów ustawowych, ale również ryzykowne dla samej instytucji obowiązanej. Inwestycja w rozbudowany, skuteczny system AML powinna być zatem postrzegana nie jako koszt, ale jako kluczowy element zarządzania ryzykiem i ochrony wartości przedsiębiorstwa.

Podsumowanie

Choć procedury KYC i sprawdzanie klientów w rejestrach stanowią ważny punkt wyjścia, są one jedynie częścią znacznie szerszego i bardziej złożonego systemu AML wymaganego przez polskie prawo. Instytucje obowiązane muszą wdrożyć kompleksowy, udokumentowany proces – ręczny lub wspierany narzędziami – aby skutecznie przeciwdziałać praniu pieniędzy i finansowaniu terroryzmu oraz w pełni spełniać wymogi ustawowe.

Samo KYC nie wystarczy, aby dobrze wykonać obowiązki AML

W skrócie