AML KYC Policy Poland

Polityka AML/KYC w Polsce to wewnętrzny dokument instytucji obowiązanej określający procedury przeciwdziałania praniu pieniędzy (Anti-Money Laundering — AML) i weryfikacji tożsamości klientów (Know Your Customer — KYC). Obowiązek opracowania i stosowania takiej polityki wynika z ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (t.j. Dz.U. 2023 poz. 1124 ze zm.), implementującej czwartą i piątą dyrektywę AML Unii Europejskiej.

Instytucjami obowiązanymi na mocy art. 2 ust. 1 ustawy o AML są podmioty narażone na ryzyko prania pieniędzy i finansowania terroryzmu: banki i SKOK-i, instytucje płatnicze i biura usług płatniczych, kantory walutowe i VASP (dostawcy usług kryptoaktywów), firmy ubezpieczeniowe, biura maklerskie, firmy zarządzające aktywami, notariusze i adwokaci wykonujący czynności finansowe, biegli rewidenci, doradcy podatkowi, biura rachunkowe, agenci nieruchomości. Każda z tych kategorii zobowiązana jest do posiadania wewnętrznej procedury AML/KYC zatwierdzonej przez najwyższy organ zarządzający.

Kluczoawym elementem polityki AML/KYC są środki bezpieczeństwa finansowego (Customer Due Diligence — CDD). Zgodnie z art. 33-41 ustawy o AML instytucja obowiązana stosuje: identyfikację i weryfikację tożsamości klienta (Standard KYC), identyfikację beneficjenta rzeczywistego z Centralnego Rejestru Beneficjentów Rzeczywistych (CRBR) prowadzonego przez Ministerstwo Finansów, ocenę celu i zamierzonego charakteru stosunków gospodarczych oraz bieżący monitoring tych stosunków. Wobec klientów wysokiego ryzyka — w szczególności osób zajmujących eksponowane stanowisko polityczne (PEP) i ich bliskich — stosowane są wzmocnione środki CDD (Enhanced Due Diligence — EDD) zgodnie z art. 46 ustawy o AML.

Obowiązek raportowania stanowi istotę systemu AML. Instytucja obowiązana przekazuje do Generalnego Inspektora Informacji Finansowej (GIIF) przy Ministerstwie Finansów informacje o transakcjach gotówkowych powyżej 15 000 EUR (art. 72 ustawy o AML) oraz zawiadomienia o podejrzeniu prania pieniędzy lub finansowania terroryzmu (art. 74 ustawy o AML). GIIF jest polską jednostką analityki finansowej (Financial Intelligence Unit — FIU) działającą w sieci Egmont Group. Naruszenie obowiązku raportowania grozi karą do 5 000 000 EUR lub 10% rocznego obrotu instytucji.

Szkolenia pracowników i audyt wewnętrzny to kolejne filary polityki AML/KYC. Art. 52 ustawy o AML nakłada obowiązek regularnych szkoleń pracowników z zakresu obowiązków AML — minimum raz na rok. Polityka powinna precyzować zakres szkoleń, programy testowania wiedzy i sposoby dokumentowania szkoleń. Audyt wewnętrzny skuteczności procedur AML przeprowadzany jest co najmniej raz na dwa lata lub po istotnych zmianach w przepisach prawa. Przechowywanie dokumentacji AML przez 5 lat jest obowiązkowe zgodnie z art. 49 ustawy o AML.

Polityka AML/KYC w Polsce jest potrzebna każdej instytucji obowiązanej, która prowadzi działalność narażoną na ryzyko prania pieniędzy i finansowania terroryzmu.

Banki, SKOK-i i instytucje finansowe. Obowiązek stosowania procedur AML/KYC jest dla nich podstawowym wymogiem licencyjnym — brak polityki lub jej niestosowanie grozi cofnięciem licencji przez Komisję Nadzoru Finansowego (KNF).

Instytucje płatnicze i kantory kryptowalut. Każda krajowa instytucja płatnicza, biuro usług płatniczych i VASP (kantor kryptowalutowy) wpisany do rejestru GIIF musi posiadać pisemną politykę AML/KYC zatwierdzoną przez zarząd.

Biura rachunkowe i doradcy podatkowi. Ustawa o AML objęła swoim zakresem biura rachunkowe, doradców podatkowych i biegłych rewidentów jako instytucje obowiązane — muszą posiadać procedury KYC dla klientów i weryfikować beneficjentów rzeczywistych obsługiwanych podmiotów.

Notariusze i prawnicy. Notariusze sporządzający akty notarialne dotyczące transakcji nieruchomościami, udziałami i znaczącymi aktywami oraz adwokaci i radcowie prawni wykonujący czynności finansowe są instytucjami obowiązanymi i muszą stosować KYC.

Agenci nieruchomości i deweloperzy. Pośrednicy w obrocie nieruchomościami i deweloperzy podlegają ustawie o AML ze względu na wysoką wartość transakcji i potencjalne ryzyko prania pieniędzy przez nieruchomości.

Wprowadzenie nowego produktu finansowego. Przy wprowadzeniu nowego produktu lub usługi finansowej instytucja przeprowadza ocenę ryzyka AML i aktualizuje politykę zgodnie z art. 27-32 ustawy o AML.

Polityka AML/KYC w Polsce musi zawierać poniższe elementy, aby spełniała wymogi art. 50 ustawy o AML i była skuteczna w praktyce.

Dane instytucji obowiązanej i oficer AML. Pełna firma, adres, NIP i rodzaj instytucji obowiązanej. Wyznaczenie oficera AML (AMLCO) na podstawie art. 8 ustawy o AML — osoby z kadry kierowniczej odpowiedzialnej za wdrożenie i nadzór procedur. Oficer AML powinien być nazwany z imienia i nazwiska.

Ocena ryzyka i matryca ryzyka klientów. Szczegółowa ocena ryzyka prania pieniędzy i finansowania terroryzmu dla działalności instytucji zgodnie z art. 27-32 ustawy o AML. Matryca klientów na kategorie: niskie ryzyko (klienci krajowi ze stałą relacją), standardowe i wysokie ryzyko (PEP, kraje FATF, anonimowe transakcje). Czynniki ryzyka z załączników II i III do dyrektywy AML 4.

Środki bezpieczeństwa finansowego (KYC/CDD). Standardowe środki (art. 33-35 ustawy o AML): identyfikacja, weryfikacja tożsamości, beneficjent rzeczywisty z CRBR, cel stosunków gospodarczych, bieżący monitoring. Uproszczone środki (art. 42) dla klientów niskiego ryzyka. Wzmocnione środki (EDD, art. 46) dla PEP, klientów z krajów wysokiego ryzyka FATF i transakcji bez kontaktu osobistego.

Progi KYC i weryfikacja tożsamości. Konkretne progi transakcyjne wymagające pełnej weryfikacji: 1 000 EUR dla VASP (kantorów kryptowalutowych), 1 000 EUR przy transakcjach gotówkowych i 15 000 EUR dla ogólnych transakcji okazjonalnych. Wymagane dokumenty: dowód osobisty/paszport, potwierdzenie adresu, dokumenty korporacyjne i KRS.

Raportowanie do GIIF. Procedura zgłaszania transakcji gotówkowych powyżej 15 000 EUR (art. 72), zawiadomień o podejrzeniu prania pieniędzy (art. 74) i zakaz tipping-off (art. 53). Odpowiedź na żądanie GIIF i zamrożenie środków.

Szkolenia i archiwizacja. Roczne szkolenia pracowników (art. 52) z dokumentacją. Przechowywanie dokumentacji KYC i transakcji przez 5 lat (art. 49). Cykl przeglądu polityki — co najmniej co 2 lata. Na forms-legal.com znajdziesz wzory dokumentów AML dla sektora finansowego.

Ochrona sygnalistów. Procedura zgłaszania naruszeń przez pracowników bez ryzyka retaliacji, zgodna z ustawą z dnia 14 czerwca 2024 r. o ochronie sygnalistów implementującą dyrektywę (UE) 2019/1937.

Politykę AML/KYC w Polsce wypełnia się według kroków zapewniających spełnienie wymogów ustawy z 1 marca 2018 r. o AML i praktyczną użyteczność dokumentu.

Krok 1 — wpisz dane instytucji obowiązanej. Podaj pełną firmę, adres siedziby, NIP, KRS i rodzaj instytucji obowiązanej zgodnie z art. 2 ust. 1 ustawy o AML. Wpisz datę wejścia polityki w życie.

Krok 2 — wyznacz oficera AML. Wpisz imię i nazwisko osoby z kadry kierowniczej wyznaczonej jako AMLCO (Anti-Money Laundering Compliance Officer) zgodnie z art. 8 ustawy o AML. Oficer AML jest odpowiedzialny za wdrożenie procedur i kontakt z GIIF.

Krok 3 — zaznacz stosowane środki bezpieczeństwa. Zaznacz wszystkie środki bezpieczeństwa finansowego stosowane przez instytucję: identyfikacja klienta, weryfikacja tożsamości, identyfikacja beneficjenta rzeczywistego z CRBR, bieżący monitoring stosunków, procedura PEP i EDD, szkolenia pracowników.

Krok 4 — wpisz progi KYC. Podaj konkretne kwoty transakcyjne wymagające pełnej weryfikacji tożsamości — 1 000 EUR dla VASP, 1 000 EUR dla transakcji gotówkowych bez stałej relacji, 15 000 EUR dla transakcji okazjonalnych. Wpisz wymagane dokumenty dla osób fizycznych i prawnych.

Krok 5 — opisz kategorie ryzyka klientów. Opisz matrycę ryzyka: klienci niskiego, standardowego i wysokiego ryzyka z konkretnymi kryteriami kwalifikacyjnymi i stosowanymi środkami. Uwzględnij kraje FATF o wysokim ryzyku.

Krok 6 — opisz procedurę raportowania do GIIF. Wskaż tryb wewnętrznego zgłaszania podejrzanych transakcji do oficera AML i dalej do GIIF. Opisz zakaz tipping-off i konsekwencje jego naruszenia.

Krok 7 — opisz szkolenia. Wskaż częstotliwość szkoleń (minimum roczna), zakres tematyczny i sposób dokumentowania. Opisz sankcje dla pracowników nierespektujących procedur AML.

Krok 8 — wpisz datę i podpisz. Politykę zatwierdza najwyższy organ zarządzający (zarząd, wspólnicy). Datę wejścia w życie wpisz na stronie tytułowej. Archiwizuj kolejne wersje polityki przez 5 lat.

Polityka AML/KYC w Polsce obowiązuje wszystkie instytucje obowiązane i podlega nadzorowi GIIF oraz organu sektorowego (KNF, notariusze — samorząd notarialny, doradcy podatkowi — KIDP).

Ustawa AML z 1 marca 2018 r. — główne obowiązki. Art. 8 — wyznaczenie AMLCO z kadry kierowniczej i pracownika wyższego szczebla odpowiedzialnego za raportowanie do GIIF. Art. 10 — opracowanie i wdrożenie wewnętrznych procedur AML stosownych do charakteru, skali i zakresu działalności. Art. 27-32 — ocena ryzyka prania pieniędzy i finansowania terroryzmu (instytucja zobowiązana prowadzić własną ocenę i aktualizować ją co 2 lata). Art. 33-41 — środki bezpieczeństwa finansowego. Art. 42-44 — uproszczone i wzmocnione środki CDD. Art. 46 — wzmocnione środki wobec PEP. Art. 49 — przechowywanie dokumentacji przez 5 lat. Art. 52 — szkolenia pracowników co najmniej raz w roku. Art. 72 — rejestracja transakcji gotówkowych powyżej 15 000 EUR. Art. 74 — zawiadamianie GIIF o podejrzeniu prania pieniędzy.

Dyrektywy AML 4 i 5. Dyrektywa (UE) 2015/849 (4. AML) i dyrektywa (UE) 2018/843 (5. AML) stanowią unijną podstawę dla polskiej ustawy o AML. Dyrektywa 5. AML objęła zakresem VASP (kantory kryptowalutowe) i wzmocniła wymogi dla PEP i państw trzecich wysokiego ryzyka.

Nadzór nad instytucjami obowiązanymi. KNF nadzoruje banki, instytucje płatnicze, firmy ubezpieczeniowe i inne podmioty rynku finansowego. GIIF nadzoruje VASP, biura rachunkowe, notariuszy i inne niefinansowe instytucje obowiązane. Organy sektorowe (PANA, samorząd notarialny, KIDP) nadzorują odpowiednie grupy zawodowe.

Sankcje za naruszenie obowiązków AML. Kara pieniężna do 5 000 000 EUR lub 10% całkowitych przychodów z poprzedniego roku obrotowego. Cofnięcie zezwolenia lub wykreślenie z rejestru. Publiczne ogłoszenie o naruszeniu. Zakaz pełnienia funkcji zarządczych przez osoby odpowiedzialne. Odpowiedzialność karna zarządu za poważne naruszenia (art. 153-157 ustawy o AML).

Polityka AML/KYC w Polsce bywa wadliwa z powodu typowych błędów, które narażają instytucję na sankcje GIIF i organu nadzorczego.

Błąd 1 — brak wyznaczenia oficera AML. Niepowołanie AMLCO z kadry kierowniczej narusza art. 8 ustawy o AML. Zalecenie: wyznacz konkretną osobę (imię, nazwisko, stanowisko) jako oficera AML i udokumentuj to uchwałą zarządu.

Błąd 2 — nieaktualizowanie oceny ryzyka. Posiadanie oceny ryzyka sprzed 2+ lat, nieodzwierciedlającej aktualnej działalności, narusza art. 27 ustawy o AML. Zalecenie: przeglądaj i aktualizuj ocenę ryzyka co najmniej co 2 lata i po każdej istotnej zmianie w działalności lub przepisach.

Błąd 3 — brak weryfikacji beneficjentów rzeczywistych z CRBR. Niepobieranie danych z Centralnego Rejestru Beneficjentów Rzeczywistych przy nawiązywaniu stosunków z podmiotami prawnymi narusza art. 36 ustawy o AML. Zalecenie: przy każdym nowym kliencie będącym osobą prawną weryfikuj CRBR i dokumentuj wynik.

Błąd 4 — niestosowanie EDD wobec PEP. Traktowanie osób zajmujących eksponowane stanowisko polityczne i ich bliskich jak zwykłych klientów narusza art. 46 ustawy o AML. Zalecenie: prowadź listę PEP na podstawie oficjalnych wykazów i stosuj EDD automatycznie.

Błąd 5 — niezgłaszanie podejrzanych transakcji do GIIF. Pracownicy, którzy nie wiedzą, kiedy i jak zgłaszać podejrzane transakcje, nie realizują obowiązku z art. 74. Zalecenie: szkol pracowników co najmniej raz w roku i opisz w procedurze konkretne wskaźniki podejrzania.

Błąd 6 — brak archiwizacji dokumentacji KYC przez 5 lat. Usuwanie danych klientów wcześniej narusza art. 49 ustawy o AML. Zalecenie: wdróż system retencji danych z automatycznym 5-letnim cyklem archiwizacji po zakończeniu stosunków z klientem.