Pranie pieniędzy i finansowanie terroryzmu to systemowe zagrożenia dla globalnej gospodarki. Aby zminimalizować luki bezpieczeństwa, Urząd Komisji Nadzoru Finansowego opublikował stanowisko UKNF z 19 marca 2026 r. dotyczące procesów realizowanych przez instytucje obowiązane. W dobie ujednolicania unijnego prawa, w tym wdrażania rozporządzenia AMLR oraz powołania urzędu AMLA, najnowsze wytyczne KNF pełnią rolę „instrukcji obsługi”, krok po kroku wyjaśniającej, jak zbudować i udokumentować odporny system przeciwdziałania nadużyciom finansowym.
Artykuł ten w prosty sposób wyjaśnia stanowisko UKNF dotyczące procesów realizowanych przez instytucje obowiązane w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu, które powinny zostać uregulowane w procedurach wewnętrznych.
Dowiesz się z niego, jak powinna wyglądać idealna procedura, aby nie tylko spełniała wymogi prawa, ale faktycznie chroniła rynek.
SPIS TREŚCI
Obejrzyj na YouTube / Posłuchaj podcastu
- Dlaczego instytucje obowiązane nie mogą opierać się na uniwersalnych szablonach procedur AML/CFT?
Posiadanie tzw. „procedury fasadowej”, która jedynie naśladuje wymogi ustawowe, ale nie odzwierciedla rzeczywistego charakteru, rozmiaru i specyficznych ryzyk działalności danej instytucji, stanowi naruszenie prawa i podlega karom administracyjnym ze strony UKNF.
- Kiedy należy dokonywać aktualizacji Oceny Ryzyka Instytucji?
Instytucje obowiązane muszą aktualizować ocenę ryzyka nie rzadziej niż co 2 lata, a także niezwłocznie po każdym zdarzeniu wpływającym na profil instytucji, takim jak zmiana oferty produktowej, wdrożenie nowej aplikacji czy modyfikacja kanałów dystrybucji.
- Czemu służy wdrożenie procedury grupowej w instytucjach finansowych?
Głównym celem procedury grupowej jest stworzenie spójnego i bezpiecznego kanału wymiany wrażliwych informacji o klientach między podmiotami z jednej grupy kapitałowej, z jednoczesnym zapewnieniem ochrony tajemnicy ustawowej i danych osobowych.
Dlaczego Stanowisko UKNF jest takie ważne? Rosnący trend naruszeń
Zarządzanie ryzykiem to fundament w finansach. Niestety, Urząd Komisji Nadzoru Finansowego (UKNF) zauważa, że firmy finansowe wciąż mają ogromne problemy z prawidłowym pisaniem i przestrzeganiem własnych zasad.
Oto twarde dane z raportów nadzorcy, które pokazują odsetek zidentyfikowanych nieprawidłowości w procedurach AML:
| Rok kontroli | Odsetek zidentyfikowanych naruszeń w procedurach |
|---|---|
| 2019 r. | 13,66% |
| 2022 r. | 10,13% |
| 2024 r. | 19,39% |
Powyższy skok statystyk w 2024 roku jasno pokazuje, dlaczego KNF zdecydował się na wydanie nowego, restrykcyjnego stanowiska w marcu 2026 roku.
Konsekwencje braku lub wadliwej procedury AML/CFT
Jak wprost wskazuje UKNF, zignorowanie tego obszaru to ogromne ryzyko. Instytucja obowiązana, która nie dopełnia obowiązku wprowadzenia procedury AML/CFT lub zrobi to w sposób niezgodny z wymogami, podlega surowej karze administracyjnej. Co więcej, uchybienia takie stanowią podstawę do odnotowania poważnych nieprawidłowości w protokole kontroli nadzorczej, wydania bezwzględnych zaleceń naprawczych, a docelowo – wszczęcia oficjalnego postępowania przez Komisję Nadzoru Finansowego.
Najczęstsze błędy w procedurach AML i jak ich unikać?
Na podstawie setek przeprowadzonych kontroli KNF wskazuje konkretne, powtarzające się grzechy główne instytucji finansowych. Należą do nich:
- Całkowity brak procedury – co automatycznie łamie ustawę.
- Procedury niepełne – pomijające ważne elementy wymagane przez przepisy lub specyfikę danego podmiotu.
- Procedury „fasadowe” (wydmuszki) – sytuacja, w której firma posiada dokument, który tylko udaje spełnianie wymogów prawa, ale w rzeczywistości nie ma nic wspólnego ze specyfiką, modelem biznesowym ani skalą działalności firmy.
- Brak powiązania teorii z praktyką – np. instytucja ocenia ryzyko, ale z tej oceny nie wynika zmiana stosowanych środków bezpieczeństwa (dokumentacja w jednym miejscu „mówi”, a w innym „robi” co innego).
Jak ich unikać?
Tworząc procedurę, należy oprzeć się na twardych danych i wewnętrznej specyfice, stosując tzw. podejście oparte na ryzyku (Risk-Based Approach). Musi precyzyjnie opisywać faktyczne systemy, wielkość firmy, rodzaj oferowanych usług oraz realne kanały dystrybucji. Wszystkie elementy wewnątrz procedury muszą do siebie logicznie pasować. Konieczne jest też czerpanie wiedzy z wytycznych EBA (Europejskiego Urzędu Nadzoru Bankowego), urzędu AMLA oraz komunikatów GIIF (Generalnego Inspektora Informacji Finansowej).
Jakie są wymagania UKNF dotyczące szkoleń z zakresu AML/CFT oraz roli kadry kierowniczej i AMLRO?
Instytucja obowiązana to podmiot na rynku finansowym (np. bank, towarzystwo funduszy inwestycyjnych czy firma pożyczkowa), na który ustawa nakłada obowiązek walki z praniem pieniędzy.
Aby system działał, potrzebni są w niej konkretni ludzie o precyzyjnie określonych zadaniach. Prawo dzieli te role na dwa ważne filary:
- Zarząd (Kadra C-level): Członek zarządu wskazany na mocy art. 7 ustawy jest osobą odpowiadającą za wdrażanie obowiązków i formalne akceptowanie procedur. To także kadra wyższego szczebla zatwierdza ostatecznie każdą ocenę ryzyka oraz podejmuje decyzje o relacjach z klientami o najwyższym stopniu ryzyka.
- AMLRO (Anti-Money Laundering Reporting Officer): To niezależny pracownik na kierowniczym stanowisku (wyznaczony na podstawie art. 8 ustawy), którego głównym zadaniem jest codzienne dbanie o to, by firma postępowała zgodnie z przepisami. Bardzo ważne: AMLRO musi być niezależny i nie może być jednocześnie osobą z zarządu!. Ułatwia to obiektywną ocenę i zapobiega konfliktom interesów.
Szkolenia – Fundament wiedzy
System będzie tak silny, jak jego najsłabsze ogniwo. Zgodnie z wytycznymi KNF, firmy muszą zadbać o edukację. Szkolenia to bezwzględny obowiązek dla każdej osoby zaangażowanej w procesy finansowe, od nowo zatrudnionych pracowników, przez agentów i firmy outsourcingowe, aż po samego AMLRO i kadrę kierowniczą.
Nowy pracownik nie może podjąć samodzielnych zadań z zakresu AML bez uprzedniego przeszkolenia. Ponadto, szkolenia uzupełniające muszą odbywać się przy każdej zmianie prawa, modyfikacji profilu firmy, a nawet bez takich zmian – jako ugruntowanie wiedzy – nie rzadziej niż co 2 lata. Wszystkie szkolenia muszą być bardzo dokładnie dokumentowane (kto, kogo, kiedy i z czego szkolił).
Kluczowe elementy – Co powinna zawierać procedura wewnętrzna AML/CFT?
Zgodnie z wymogami KNF procedura wewnętrzna AML/CFT musi obejmować ściśle określonych obszarów (wynikających z art. 50 ust. 2 ustawy o przeciwdziałaniu praniu pieniędzy). Poniżej przyjrzymy się najważniejszym z nich w przystępny sposób.
1. Ocena Ryzyka Instytucji AML
Na samym początku firma musi ocenić, jak bardzo jest narażona na to, że przestępcy wykorzystają jej produkty (np. szybkie przelewy, pożyczki internetowe) do swoich celów.
Firma musi rzetelnie ocenić ryzyko wbudowane w jej model biznesowy (ryzyko inherentne). Instytucja w Ocenie musi uwzględnić twarde czynniki zewnętrzne, w tym wytyczne KOR (Krajowej Oceny Ryzyka) oraz SNRA (Sprawozdania Komisji Europejskiej – Supranational Risk Assessment). Należy także przeprowadzić ocenę ryzyka naruszenia międzynarodowych sankcji w celu wdrożenia dodatkowych mechanizmów kontrolnych. Ponadto KNF jasno wskazuje na konieczność ujęcia dodatkowych, wewnętrznych czynników generujących ryzyko, takich jak narzędzia IT oraz outsourcing procesów do podmiotów trzecich.
Ważne / Okiem Eksperta: Ocena ryzyka instytucji nie jest dokumentem statycznym. Wymaga aktualizacji co 2 lata, ale również niezwłocznie po każdej większej zmianie, np. gdy instytucja wdraża nowe oprogramowanie, aplikację mobilną lub redefiniuje kanały dystrybucji.
2. Jakie podmioty są objęte obowiązkiem posiadania grupowej procedury AML/CFT i co powinna ona zawierać?
Procedura grupowa AML/CFT to mechanizm określający bezpieczną wymianę informacji w celu minimalizacji ryzyka naruszenia tajemnicy ustawowej (art. 54 Ustawy AML) podczas przekazywania danych.
Obowiązkiem wdrożenia tej procedury objęte są instytucje obowiązane wchodzące w skład grupy kapitałowej, a także ich oddziały i spółki zależne (z ich większościowym udziałem) mające siedzibę w tzw. państwach trzecich.
Jeśli bank ma swoje „spółki-córki”, musi posiadać wspólną procedurę, która określa m.in.:
- Wskazanie konkretnych podmiotów, które wymieniają się informacjami.
- Zakres wymienianych informacji i tajemnicę zawodową.
- Sposoby ochrony danych (w tym wymogi RODO), bezpieczne kanały wymiany informacji, a także zasady awaryjne – czyli jak reagować na ewentualne wycieki informacji.
- Tryb postępowania, gdy Generalny Inspektor Informacji Finansowej (GIIF) zakaże danej firmie ujawniania w grupie, że interesuje się daną transakcją i wstrzyma do niej dostęp.
KNF kładzie nacisk na bardzo ważny niuans: jeśli jednostka dominująca (spółka-matka) nie wystąpi z inicjatywą przygotowania i wdrożenia wspólnej procedury, obowiązek ten automatycznie przechodzi na jednostkę zależną (spółkę-córkę) działającą w Polsce. Instytucje nie mogą tłumaczyć się brakiem inicjatywy „z góry”.
3. Jakie inne wymagania wprowadza stanowisko UKNF dotyczące procesów AML/CFT, w tym kontroli wewnętrznej i monitoringu transakcji?
Instytucja musi na bieżąco patrzeć, co robią jej klienci. Tu kluczowe są dwa nierozerwalne elementy narzucone przez KNF:
Monitorowanie transakcji (KYC):
Rozpoznanie ryzyka klienta jest kluczem do określenia intensywności środków bezpieczeństwa. Według nowych wytycznych europejskich – ujętych w AMLR (Rozporządzenie UE 2024/1624) – cykliczna aktualizacja danych klientów musi odbywać się nie rzadziej niż co rok dla ryzyka wysokiego i nie rzadziej niż co pięć lat dla ryzyka normalnego i niskiego.
Należy zauważyć kluczową, unikalną zależność: zaszeregowanie klienta w Ocenie Ryzyka Klienta definiuje konieczność stosowania środków nieobligatoryjnych z art. 42 i 43 ustawy. KNF podkreśla, że ustawowe listy czynników „potencjalnie niższego/wyższego ryzyka” mają charakter otwarty. Wystąpienie tych okoliczności nie automatyzuje stosowania odpowiednich środków – wymaga to podjęcia świadomej analityki opartej na matrycy ryzyka danej instytucji.
Firma musi badać każdy przelew czy wpłatę i sprawdzać, czy są one zgodne z wiedzą o kliencie (tzw. profilu). Instytucja bada, czy wartość, kierunek i cel przelewu mają w ogóle sens gospodarczy dla danej branży. W organizacjach generujących duży ruch jest to wykonywane przez programy informatyczne i algorytmy. Systemy te generują „alerty” (alarmy), które pracownik musi ręcznie rozwikłać. KNF wymaga bezwzględnego analizowania i opisywania tzw. transakcji nietypowych (skomplikowanych, bardzo wysokich lub bez uzasadnienia ekonomicznego). Szczególną uwagę należy również zwracać na to, czy klient nie jest osobą o statusie PEP (Politically Exposed Person), np. wpływowym politykiem czy jego współpracownikiem, co wiąże się z większym ryzykiem korupcji.
Kontrola wewnętrzna (Audyt):
KNF jasno wymaga, aby w instytucji istniał rzetelny i skuteczny system kontroli wewnętrznej. Jego kluczową regułą jest żelazne oddzielenie od siebie pracy bieżącej od audytu – pracownik nie może kontrolować prawidłowości własnych działań operacyjnych. Ważnym elementem ujętym w procedurach powinno być natychmiastowe raportowanie wszelkich krytycznych i znaczących błędów bezpośrednio do zarządu i rady nadzorczej, aby zapewnić pełną przejrzystość.
Co istotne dla banków, SKOK-ów i TFI – w architekturze audytu dokumenty wewnętrzne muszą odwoływać się bezpośrednio do wytycznych zapisanych w Zasadach Ładu Korporacyjnego dla instytucji nadzorowanych (szczególnie par. 45–52), które określają, jak identyfikować obszary zwiększonego ryzyka, oraz jak eskalować nieprawidłowości krytyczne do zarządu,
4. Ochrona Sygnalistów (Whistleblowing)
W procedurze muszą znaleźć się zasady anonimowego i bezpiecznego zgłaszania nieprawidłowości przez pracowników. Ludzie muszą mieć pewność, że jeśli zgłoszą, że w firmie dzieje się coś podejrzanego, nie spotkają ich za to żadne represje w pracy.
Checklista: Rozbieżności w CRBR – co robić krok po kroku?
CRBR (Centralny Rejestr Beneficjentów Rzeczywistych) to państwowa baza, w której zapisane jest, kto tak naprawdę stoi za daną firmą i czerpie z niej zyski (kto pociąga za sznurki). Czasem dane z bazy różnią się od tego, co instytucja ustaliła sama. Co w takiej sytuacji nakazuje procedura?
- Odnotowanie rozbieżności – wpisanie do systemu, że coś się nie zgadza.
- Podjęcie czynności wyjaśniających – np. kontakt telefoniczny lub mailowy z klientem w celu wyjaśnienia pomyłki.
- Sporządzenie uzasadnienia rozbieżności – dokładne opisanie i udokumentowanie, dlaczego obie wersje się różnią.
- Zgłoszenie zweryfikowanej rozbieżności – ostateczne przekazanie poprawnych informacji do organu właściwego dla CRBR.
Słowniczek kluczowych pojęć
- AML/CFT: Przeciwdziałanie praniu pieniędzy (Anti-Money Laundering) oraz finansowaniu terroryzmu (Counter-Financing of Terrorism).
- AMLA: Nowo powołany unijny urząd ds. przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu.
- AMLR: Rozporządzenie Unii Europejskiej 2024/1624 wprowadzające jednolite zasady w zakresie AML w całej Wspólnocie.
- AMLRO: Anti-Money Laundering Reporting Officer – niezależny pracownik na stanowisku kierowniczym odpowiedzialny za zapewnienie zgodności z przepisami AML/CFT.
- CRBR: Centralny Rejestr Beneficjentów Rzeczywistych – państwowa baza danych zawierająca informacje o osobach sprawujących faktyczną kontrolę nad podmiotami prawnymi.
- GIIF: Generalny Inspektor Informacji Finansowej – organ, do którego raportowane są transakcje podejrzane.
- Instytucja Obowiązana: Podmiot rynku finansowego (np. bank, TFI, firma pożyczkowa) ustawowo zobligowany do stosowania środków bezpieczeństwa finansowego.
- Ocena Ryzyka Instytucji: Dokument analizujący podatność modelu biznesowego danej firmy na wykorzystanie do celów przestępczych.
- PEP: Politically Exposed Person – osoba zajmująca eksponowane stanowisko polityczne, objęta wyższym ryzykiem korupcji i prania pieniędzy.
- Procedura Fasadowa: Dokument nieadekwatny do skali i profilu ryzyka firmy, stworzony jedynie w celu formalnego spełnienia wymogów prawnych bez realnego zastosowania.
- Sygnalista (Whistleblower): Pracownik zgłaszający naruszenia lub nieprawidłowości wewnątrz organizacji w sposób bezpieczny i anonimowy.
Najczęściej zadawane pytania – Stanowisko UKNF z 19 marca 2026 r.
Co musi zawierać procedura AML/CFT według KNF w 2026 roku?
Procedura musi być rzetelnym przewodnikiem dla pracowników i obejmować m.in.: ocenę ryzyka instytucji, precyzyjne zasady oceniania klientów, sposoby identyfikacji beneficjentów rzeczywistych, reguły bezpiecznej wymiany informacji (w tym procedury grupowe), zasady zgłaszania incydentów do urzędów, a także mechanizmy ochrony sygnalistów.
Kim jest AMLRO i jakie ma obowiązki?
AMLRO (Anti-Money Laundering Reporting Officer) to wyznaczony pracownik na kierowniczym stanowisku, który zajmuje się zapewnieniem zgodności działania całej firmy z przepisami o praniu brudnych pieniędzy. Jego obowiązkiem jest m.in. codzienne nadzorowanie procesów i zachowanie całkowitej niezależności, co oznacza, że nie może on pełnić swojej funkcji, będąc jednocześnie w zarządzie danej instytucji.
Jak długo instytucje obowiązane muszą przechowywać dokumentację AML?
Zgodnie z przepisami, instytucje obowiązane (w tym banki czy domy maklerskie) muszą przechowywać dokumenty, informacje o klientach oraz wyniki bieżących analiz transakcji przez okres 5 lat od momentu zakończenia relacji z klientem lub od dnia przeprowadzenia transakcji.
Kiedy instytucja obowiązana musi zgłosić transakcję podejrzaną do GIIF?
Zawiadomienie o podejrzeniu prania pieniędzy do GIIF musi zostać przekazane niezwłocznie, nie później niż w terminie 2 dni roboczych od momentu, gdy firma upewni się co do swoich podejrzeń (według art. 74 Ustawy). Jeśli mowa o wstrzymaniu samej transakcji przed jej wykonaniem, to raport wysyła się niezwłocznie (zgodnie z art. 86).
Co to jest procedura fasadowa AML/CFT?
To procedura, która formalnie istnieje w segregatorach firmy, dając złudzenie przestrzegania prawa, jednak nie jest dopasowana do faktycznych rozmiarów, charakteru i rzeczywistych ryzyk instytucji. Jest to forma „wydmuszki”, która nie stanowi realnej ochrony rynku, a jej posiadanie jest surowo karane przez KNF w postaci kar administracyjnych.
Niniejszy artykuł ma charakter informacyjny i edukacyjny i nie stanowi porady prawnej. Autor nie jest licencjonowanym prawnikiem ani specjalistą ds. prawa. Informacje zawarte w artykule są oparte na ogólnej wiedzy i doświadczeniach autora i nie powinny być traktowane jako rekomendacje prawne.
Decyzje prawne podejmowane na podstawie informacji zawartych w artykule są podejmowane na własne ryzyko czytelnika. Autor nie ponosi odpowiedzialności za jakiekolwiek konsekwencje wynikające z zastosowania się do tych porad. Przed podjęciem jakichkolwiek decyzji prawnych zaleca się skonsultowanie się z licencjonowanym prawnikiem lub innym odpowiednio wykwalifikowanym specjalistą.
Prawo jest skomplikowane i często się zmienia, dlatego ważne jest, aby uzyskać aktualne i profesjonalne porady dostosowane do indywidualnej sytuacji prawnej. Wszelkie informacje zawarte w artykule mogą nie być odpowiednie dla wszystkich czytelników i nie zastępują profesjonalnej konsultacji prawnej.
Niniejszy artykuł ma charakter informacyjny i edukacyjny i nie stanowi porady podatkowej. Autor nie jest licencjonowanym doradcą podatkowym ani specjalistą ds. podatkowych. Informacje zawarte w artykule są oparte na ogólnej wiedzy i doświadczeniach autora i nie powinny być traktowane jako rekomendacje podatkowe.
Decyzje podatkowe podejmowane na podstawie informacji zawartych w artykule są podejmowane na własne ryzyko czytelnika. Autor oraz wydawca nie ponoszą odpowiedzialności za jakiekolwiek konsekwencje finansowe wynikające z zastosowania się do tych porad. Przed podjęciem jakichkolwiek decyzji podatkowych zaleca się skonsultowanie się z licencjonowanym doradcą podatkowym lub innym odpowiednio wykwalifikowanym specjalistą.
Prawo podatkowe jest skomplikowane i często się zmienia, dlatego ważne jest, aby uzyskać aktualne i profesjonalne porady dostosowane do indywidualnej sytuacji podatkowej.
Wszelkie informacje zawarte w artykule mogą nie być odpowiednie dla wszystkich czytelników i nie zastępują profesjonalnej konsultacji podatkowej.
Niniejszy artykuł został stworzony na podstawie dostępnych źródeł, według stanu na dzień publikacji. Podane informacje nie mogą być traktowane jako doradztwo podatkowe w rozumieniu art. 2.1. ustawy o doradztwie podatkowym. Jeśli chcesz uzyskać wiążącą opinię musisz wystąpić o indywidualną interpretację podatkową lub skontaktować się z doradcą podatkowym.
Niniejszy artykuł ma charakter informacyjny i edukacyjny i nie stanowi porady inwestycyjnej. Autor nie jest licencjonowanym doradcą inwestycyjnym. Informacje zawarte w artykule są oparte na osobistych opiniach i doświadczeniach autora i nie powinny być traktowane jako rekomendacje inwestycyjne.
Decyzje inwestycyjne podejmowane na podstawie informacji zawartych w artykule są podejmowane na własne ryzyko czytelnika. Autor nie ponosi odpowiedzialności za jakiekolwiek straty finansowe wynikające z zastosowania się do tych porad. Przed podjęciem jakichkolwiek decyzji inwestycyjnych zaleca się skonsultowanie się z licencjonowanym doradcą inwestycyjnym lub innym odpowiednio wykwalifikowanym specjalistą.
Czytelnicy powinni również pamiętać, że inwestowanie wiąże się z ryzykiem, w tym ryzykiem utraty kapitału. Każdy inwestor powinien dokładnie przeanalizować swoje cele inwestycyjne, poziom doświadczenia oraz tolerancję na ryzyko przed podjęciem jakichkolwiek działań inwestycyjnych.
Wysokość ryzyka jest uzależniona między innymi od strategii inwestycyjnej danego funduszu oraz od tego, jakie aktywa wchodzą w skład jego portfela inwestycyjnego.
Pełna lista czynników ryzyka związanych z inwestycją jest dostępna w dokumentach określających zasady emisji danego funduszu. Te dokumenty można znaleźć na stronach internetowych odpowiednich emitentów lub funduszy.
Informacje zawarte w artykule nie stanowią rekomendacji inwestycyjnych w rozumieniu Rozporządzenia Ministra Finansów z dnia 19 października 2005 r. w sprawie informacji stanowiących rekomendacje dotyczące instrumentów finansowych, ich emitentów lub wystawców (Dz.U. 2005 nr 206 poz. 1715)
