Weryfikacja AML kontrahenta: obowiązki, KYC i lista sankcyjna

Weryfikacja AML kontrahenta to sprawdzenie, czy firma lub osoba, z którą zamierzasz współpracować, nie jest powiązana z praniem pieniędzy, finansowaniem terroryzmu, sankcjami albo polityką (PEP). Dla części przedsiębiorców to rozsądna ostrożność. Dla instytucji obowiązanych to ustawowy obowiązek, którego zaniedbanie realnie kosztuje. Poniżej znajdziesz, kogo dotyczy obowiązek AML, jak przeprowadzić procedurę KYC krok po kroku i jak zrobić to bez ręcznego przekopywania kilkunastu rejestrów.

Czym jest weryfikacja AML i KYC

AML (anti-money laundering) to przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu. KYC (know your customer, czyli „poznaj swojego klienta") to konkretna procedura, dzięki której ten obowiązek wypełniasz. Ustalasz, kim naprawdę jest kontrahent, kto za nim stoi i jakie wiąże się z nim ryzyko.

Podstawą prawną w Polsce jest ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, w skrócie ustawa AML. Wdraża ona unijne dyrektywy AMLD i to ona definiuje, kto, kogo i w jakim zakresie musi sprawdzać.

Kto ma obowiązek weryfikacji AML w Polsce

Obowiązek nie dotyczy każdej firmy. Ustawa wymienia tak zwane instytucje obowiązane (art. 2 ust. 1). Należą do nich między innymi:

• banki, SKOK-i oraz inne instytucje finansowe,
• biura rachunkowe i podmioty prowadzące księgi podatkowe,
• doradcy podatkowi oraz biegli rewidenci,
• notariusze, adwokaci i radcowie prawni w określonym zakresie czynności,
• pośrednicy w obrocie nieruchomościami,
• firmy leasingowe i faktoringowe,
• kantory oraz podmioty świadczące usługi w zakresie walut wirtualnych,
• podmioty świadczące usługi na rzecz spółek, na przykład zakładanie spółek lub udostępnianie adresu siedziby,
• przedsiębiorcy przyjmujący płatności gotówkowe o wartości od 10 000 EUR.

Jeśli prowadzisz biuro rachunkowe albo doradzasz podatkowo, jesteś instytucją obowiązaną niezależnie od wielkości działalności. Dla małych biur to częste zaskoczenie, bo obowiązki AML są takie same jak dla dużych podmiotów.

Procedura KYC krok po kroku

Ustawa nazywa te działania środkami bezpieczeństwa finansowego (art. 34). W praktyce procedura KYC składa się z sześciu etapów.

1. Identyfikacja klienta i weryfikacja tożsamości. Ustal nazwę, formę prawną, NIP, REGON, adres oraz osoby reprezentujące. Dane potwierdź w rejestrach publicznych (KRS, CEIDG, Biała Lista VAT), a nie wyłącznie na podstawie tego, co podał kontrahent.
2. Ustalenie beneficjenta rzeczywistego. Sprawdź, kto faktycznie kontroluje firmę. Źródłem jest CRBR.
3. Sprawdzenie osób PEP. Zweryfikuj, czy reprezentanci i beneficjenci nie zajmują eksponowanych stanowisk politycznych.
4. Kontrola list sankcyjnych. Porównaj firmę oraz powiązane z nią osoby z listami sankcyjnymi (ONZ, UE, OFAC, lista krajowa).
5. Ocena ryzyka. Na podstawie zebranych danych przypisz kontrahentowi poziom ryzyka i zdecyduj o zakresie dalszych działań.
6. Bieżący monitoring. Relacja nie kończy się na pierwszym sprawdzeniu. Status VAT, skład zarządu czy wpis na listę sankcyjną mogą zmienić się w trakcie współpracy.

Beneficjent rzeczywisty i rejestr CRBR

Beneficjent rzeczywisty to osoba fizyczna, która ostatecznie kontroluje firmę, bezpośrednio albo przez łańcuch spółek. Formalny wspólnik wpisany do KRS nie zawsze jest tą osobą, a właśnie realna kontrola interesuje ustawodawcę.

Dane sprawdzisz w Centralnym Rejestrze Beneficjentów Rzeczywistych (CRBR), który prowadzi Ministerstwo Finansów. Dostęp jest bezpłatny przez portal crbr.podatki.gov.pl. Spółki prawa handlowego mają obowiązek zgłosić swoich beneficjentów, a brak zgłoszenia jest zagrożony karą do 1 mln zł.

Czerwona flaga: beneficjent powiązany z firmą, która ogłosiła upadłość w ostatnich latach, lub figurujący w rejestrach dłużników. To sygnał do zachowania ostrożności, nawet gdy sama spółka wygląda dziś dobrze.

Osoby PEP, czyli politycznie eksponowane

PEP (politically exposed person) to osoba zajmująca eksponowane stanowisko polityczne. Mowa na przykład o ministrze, pośle, sędzim Sądu Najwyższego, członku zarządu banku centralnego, ambasadorze czy członku organu spółki z udziałem Skarbu Państwa (art. 2 ust. 2 pkt 11 ustawy AML).

Status PEP nie oznacza, że ktoś jest przestępcą. Oznacza wyższe ryzyko korupcyjne, dlatego ustawa wymaga wobec takich osób wzmożonych środków bezpieczeństwa. Weryfikacja obejmuje też członków rodziny PEP oraz osoby znane jako bliscy współpracownicy (pkt 12 i 13). Tę różnicę warto zaznaczać w dokumentacji, bo bliski współpracownik PEP to nie to samo co sam PEP.

Listy sankcyjne, kogo i jak sprawdzać

Sankcje to zakaz lub ograniczenie prowadzenia interesów z konkretnymi podmiotami i osobami. Współpraca z firmą lub osobą z listy sankcyjnej jest zakazana i grozi odpowiedzialnością karną, niezależnie od obowiązków AML.

W praktyce sprawdza się kilka źródeł: listę ONZ, skonsolidowaną listę Unii Europejskiej, amerykańską listę OFAC (SDN), brytyjską listę HM Treasury oraz krajową listę prowadzoną przez ministra właściwego do spraw wewnętrznych. Ta ostatnia zyskała na znaczeniu po 2022 roku, w związku z sankcjami wobec Rosji i Białorusi. Sprawdzić trzeba zarówno firmę, jak i osoby, które ją kontrolują.

Kary za brak weryfikacji AML

Za niedopełnienie obowiązków AML grożą kary pieniężne nakładane przez Generalnego Inspektora Informacji Finansowej (GIIF). W skrajnych przypadkach sięgają one równowartości 5 mln EUR lub 10% rocznego obrotu (art. 150 ustawy AML). Do tego dochodzi obowiązek zgłaszania transakcji podejrzanych oraz ryzyko odpowiedzialności karnej osób zarządzających.

Co istotne, problemem podczas kontroli bywa nie samo zdarzenie, ale brak udokumentowanej procedury. Nawet jeśli nic złego się nie wydarzyło, kontrolujący sprawdza, czy weryfikacja została przeprowadzona i zapisana. Dlatego liczy się jedno i drugie: sprawdzenie oraz dowód, że je wykonano.

Jak Supplio automatyzuje weryfikację AML

Ręczne przejście pełnej procedury KYC dla jednego kontrahenta oznacza wizytę w kilku rejestrach: KRS, CEIDG, Biała Lista VAT, CRBR, a do tego porównanie osób z listami sankcyjnymi i bazami PEP. Przy kilkunastu klientach miesięcznie to godziny pracy, które łatwo odłożyć „na potem".

Supplio wykonuje te kroki po wpisaniu jednego numeru NIP:

• pobiera dane firmy i ustala osoby do sprawdzenia: zarząd z KRS, beneficjentów z CRBR, właściciela z CEIDG,
• porównuje je z bazą OpenSanctions, która agreguje ponad 100 list sankcyjnych (ONZ, UE, OFAC, UK) oraz bazy PEP,
• rozróżnia bezpośredniego PEP od osoby powiązanej z PEP, zgodnie z rozróżnieniem z ustawy,
• przypisuje firmie Risk Score od 1 do 5 z wyjaśnieniem każdego czynnika.

Raport za 49 zł zawiera sprawdzenie zarządu i beneficjentów pod kątem sankcji i PEP. Plan Pro dodaje cykliczny skrining sankcyjny, certyfikat PDF gotowy do okazania podczas kontroli oraz monitoring kontrahentów, który wysyła powiadomienie, gdy status się zmieni. Dla instytucji obowiązanej oznacza to udokumentowaną procedurę KYC w kilkadziesiąt sekund zamiast godzin.

Najczęstsze pytania

Czy moja firma musi przeprowadzać weryfikację AML?

Obowiązek dotyczy instytucji obowiązanych wymienionych w art. 2 ustawy AML, między innymi biur rachunkowych, doradców podatkowych, notariuszy, pośredników w obrocie nieruchomościami i firm leasingowych. Jeśli nie jesteś instytucją obowiązaną, weryfikacja AML pozostaje dobrą praktyką, która ogranicza ryzyko współpracy.

Czym różni się PEP od osoby powiązanej z PEP?

PEP to osoba zajmująca eksponowane stanowisko polityczne. Osoba powiązana to członek rodziny PEP lub jego bliski współpracownik (art. 2 ust. 2 pkt 12 i 13 ustawy AML). Obie kategorie wymagają wzmożonej uwagi, ale to nie to samo, dlatego należy je rozróżniać w dokumentacji.

Gdzie sprawdzić beneficjenta rzeczywistego firmy?

W Centralnym Rejestrze Beneficjentów Rzeczywistych (CRBR), prowadzonym przez Ministerstwo Finansów. Dostęp jest bezpłatny. Spółki mają obowiązek zgłoszenia beneficjenta, a brak zgłoszenia jest zagrożony karą do 1 mln zł.

Jakie kary grożą za brak weryfikacji AML?

Kary pieniężne nakłada GIIF. W skrajnych przypadkach sięgają równowartości 5 mln EUR lub 10% rocznego obrotu (art. 150 ustawy AML). Niezależnie od wysokości kary, brak udokumentowanej procedury jest problemem podczas kontroli.

Sprawdź kontrahenta w Supplio, od 49 zł →