AML – co to jest? Objawy, przyczyny i leczenie

AML to system przeciwdziałania praniu pieniędzy, który opiera się na identyfikacji klientów, monitorowaniu transakcji oraz raportowaniu podejrzanych działań do Generalnego Inspektora Informacji Finansowej. Podstawę prawną stanowi Ustawa z 1 marca 2018 roku. Poniższy artykuł wyjaśni najważniejsze mechanizmy i obowiązki wynikające z tych przepisów.

Czym dokładnie jest AML?

Skrót AML pochodzi od angielskiego terminu Anti-Money Laundering i oznacza całokształt regulacji nakierowanych na walkę z procederem wprowadzania do legalnego obrotu środków pochodzących z przestępstw. Celem nadrzędnym jest ochrona stabilności sektora finansowego oraz ograniczenie ryzyka związanego z finansowaniem terroryzmu. W praktyce chodzi o uniemożliwienie przestępcom nadania pozorów legalności dochodom z handlu narkotykami, oszustw czy korupcji. Mechanizmy te są stale udoskonalane poprzez kolejne akty prawne, w tym unijne dyrektywy.

Proces prania pieniędzy dzieli się na kilka etapów, a jednym z kluczowych jest faza maskowania, polegająca na oddzieleniu wartości majątkowych od ich nielegalnego źródła. Przestępcy często posługują się przy tym fałszywymi fakturami, fikcyjnymi spółkami lub siecią rachunków bankowych. Z tego powodu instytucje finansowe muszą stosować rozbudowane procedury weryfikacyjne, by wykryć transakcje odbiegające od standardowego profilu działalności klienta. Wykorzystanie tzw. oszustwa na słupa, gdzie nieświadome osoby udostępniają swoje konta, jest jednym z częstych schematów przestępczych.

Podstawowe filary systemu AML

• identyfikacja i weryfikacja tożsamości każdego klienta,
• ocena profilu ryzyka oraz stały monitoring relacji gospodarczych,
• bieżąca analiza transakcji pod kątem anomalii i poziomu ryzyka,
• obowiązkowe zgłaszanie podejrzanych operacji do właściwych organów nadzoru,
• prowadzenie szczegółowej dokumentacji wszystkich działań weryfikacyjnych,
• regularne szkolenia pracowników i audyty wewnętrzne.

Jakie instytucje są objęte obowiązkiem AML?

Według polskiego ustawodawstwa katalog instytucji obowiązanych jest niezwykle szeroki i nie ogranicza się wyłącznie do banków krajowych czy oddziałów banków zagranicznych. Należą do niego między innymi spółdzielcze kasy oszczędnościowo-kredytowe, krajowe instytucje płatnicze, firmy inwestycyjne, zakłady ubezpieczeń, kantory oraz lombardy. Również podmioty prowadzące gry hazardowe czy dealerzy samochodowi przyjmujący płatności gotówkowe o równowartości co najmniej 10 000 euro są objęci tymi przepisami. Obowiązki AML dotyczą także doradców podatkowych, pośredników nieruchomości i handlarzy dziełami sztuki.

W ostatnich latach szczególny nacisk położono na biura rachunkowe oraz podmioty operujące w obszarze walut wirtualnych. Z racji charakteru swojej działalności mają one bezpośrednią styczność z przepływami finansowymi, które wymagają starannej kontroli. Wewnętrzne procedury muszą być przy tym dostosowane do indywidualnej specyfiki danego podmiotu, ponieważ gotowe wzorce często nie odpowiadają rzeczywistym zagrożeniom. Z tego względu każda instytucja ma obowiązek opracowania własnej, szczegółowej oceny ryzyka.

Każda instytucja obowiązana musi wdrożyć wewnętrzną procedurę AML, a jej brak może skutkować cofnięciem koncesji lub zezwolenia na prowadzenie działalności.

Beneficjent rzeczywisty i jego znaczenie

Ustawa wymaga identyfikowania beneficjenta rzeczywistego, czyli osoby fizycznej sprawującej faktyczną kontrolę nad danym podmiotem. Chodzi o ustalenie, kto realnie czerpie korzyści z działalności spółki, niezależnie od formalnej struktury właścicielskiej. Dane te muszą być zgłaszane do Centralnego Rejestru Beneficjentów Rzeczywistych, który – mimo częściowego ograniczenia dostępu publicznego po wyroku TSUE – nadal pozostaje kluczowym narzędziem w walce z ukrywaniem struktur przestępczych.

Do rejestru obowiązkowo wpisują się między innymi spółki jawne, spółki komandytowe, spółki z ograniczoną odpowiedzialnością, proste spółki akcyjne, a także spółki akcyjne niebędące spółkami publicznymi. Obowiązek ten rozciąga się również na spółki partnerskie, europejskie zgrupowania interesów gospodarczych, spółdzielnie oraz fundacje. Wpis jest obowiązkowy i podlega aktualizacji przy każdej zmianie w strukturze właścicielskiej. Niedopełnienie tego obowiązku traktowane jest jako naruszenie ustawy AML.

Środki bezpieczeństwa finansowego i weryfikacja klienta

Trzonem procedury AML są środki bezpieczeństwa finansowego, obejmujące przede wszystkim dokładną identyfikację klienta oraz potwierdzenie jego tożsamości na podstawie ważnego dokumentu tożsamości. W dalszej kolejności instytucja ocenia charakter i zamierzony cel nawiązywanych stosunków gospodarczych. Konieczne jest również bieżące monitorowanie wszystkich transakcji, tak aby można było szybko wychwycić operacje odbiegające od ustalonego profilu ryzyka.

Gdy zachodzi uzasadnione podejrzenie, weryfikacji podlega także źródło pochodzenia pieniędzy znajdujących się w dyspozycji klienta. Dla instytucji obowiązanej oznacza to konieczność zebrania szczegółowych informacji dotyczących podstawowych przychodów czy charakteru prowadzonej działalności. Stąd w praktyce pojawia się ankieta AML, za pomocą której podmioty zbierają dane o wysokości wpływów, głównych kontrahentach czy pochodzeniu kapitału. Odmowa jej wypełnienia może skutkować zablokowaniem dostępu do bankowości elektronicznej lub wypowiedzeniem umowy.

Zgodnie z art. 34 ustawy AML instytucje obowiązane mają prawo przetwarzać informacje z dokumentów tożsamości, a nawet wykonywać ich kopie, przy czym decyzja Prezesa Urzędu Ochrony Danych Osobowych z 23 lipca 2025 roku uznała skanowanie dowodów za praktykę nadmiarową, co wywołało ożywioną dyskusję w sektorze.

Transakcje podlegające szczególnemu nadzorowi

Szczególną kategorią są transakcje ponadprogowe, czyli operacje gotówkowe o wartości równej lub przekraczającej równowartość 10 000 euro. Ich realizacja wymaga od instytucji obowiązanej podjęcia nadzwyczajnych środków ostrożności i każdorazowego raportowania do Generalnego Inspektora Informacji Finansowej. Dotyczy to nie tylko dużych wpłat, lecz także podejrzanych przelewów zagranicznych czy nagłych zmian w strukturze obrotów na rachunku.

GIIF pełni funkcję centralnego organu analizującego napływające informacje i, w razie podejrzenia przestępstwa, ma kompetencje do wstrzymywania transakcji oraz blokowania rachunków. Przy inspektorze działa Komitet Bezpieczeństwa Finansowego, który opiniuje krajową ocenę ryzyka i rekomenduje wprowadzenie szczególnych środków ograniczających. Nadzór nad całością systemu sprawuje minister właściwy do spraw finansów publicznych jako naczelny organ informacji finansowej.

Jakie sankcje grożą za nieprzestrzeganie przepisów?

Konsekwencje naruszenia obowiązków AML są surowe i wielopłaszczyznowe. Ustawodawca przewidział kary pieniężne sięgające nawet 5 milionów euro lub 10% przychodu firmy. Równolegle stosuje się sankcje administracyjne – cofnięcie koncesji, wykreślenie z rejestru działalności regulowanej czy też zakaz pełnienia funkcji kierowniczych przez osobę odpowiedzialną za uchybienia. Dodatkowo informacja o instytucji i zakresie naruszenia może zostać opublikowana w Biuletynie Informacji Publicznej.

Odpowiedzialność nie spoczywa wyłącznie na spółce jako całości, ale również bezpośrednio na członkach zarządu, dyrektorach działów compliance oraz wszystkich pracownikach biorących udział w realizacji działań AML. Wymiar kary zależy od skali zaniedbań, stopnia świadomego działania oraz dotychczasowej historii współpracy z organami nadzoru. Oprócz wymiernych strat finansowych, instytucja ryzykuje utratę zaufania kontrahentów i klientów, co bywa najboleśniejszą konsekwencją.

Dlaczego szkolenia są obowiązkowe?

Od lutego 2025 roku wszedł w życie szczegółowy wymóg dokumentowania szkoleń dla wszystkich osób zaangażowanych w realizację zadań AML – bez względu na formę ich zatrudnienia. Powtarzanie cyklicznych instruktaży ma gwarantować, że personel potrafi szybko rozpoznać niestandardowe zachowania, takie jak próby phishingu, które bywają pierwszym etapem wyłudzenia danych i kradzieży tożsamości. Przestępcy wykorzystują socjotechniczne ataki, by przejąć dostęp do rachunków i włączyć je w łańcuch prania pieniędzy.

Programy szkoleniowe realizowane są zarówno wewnętrznie, jak i za pośrednictwem zewnętrznych podmiotów. Przykładem jest kurs AML i CFT z certyfikatem, umożliwiający zdobycie aktualnej wiedzy o procedurach i ustawie w formie zdalnej. Otrzymany dokument potwierdza ukończenie bloków tematycznych, co stanowi dowód należytej staranności w razie kontroli GIIF. Sama świadomość zagrożeń wśród zatrudnionych znacząco podnosi skuteczność systemu przeciwdziałania praniu pieniędzy.

Zmiany w prawie AML – co przyniesie najbliższa przyszłość?

Polska ustawa AML jest stale nowelizowana, a najbliższe lata przyniosą najbardziej znaczącą rewolucję za sprawą unijnego Pakietu AML/CFT. Jego kluczowym elementem jest rozporządzenie 2024/1624, które zacznie obowiązywać od 10 lipca 2027 roku i zastąpi część dotychczasowych regulacji krajowych bezpośrednio stosowanymi przepisami. Równocześnie na mocy rozporządzenia 2024/1620 powstał nowy urząd – AMLA z siedzibą we Frankfurcie, który od 2028 roku ma osiągnąć pełną zdolność operacyjną do nadzorowania 40 europejskich instytucji finansowych o najwyższym profilu ryzyka.

W 2026 roku AMLA rozpoczęła już zbieranie danych testowych, by dopracować modele oceny ryzyka przed objęciem bezpośredniego nadzoru. Oznacza to, że polskie instytucje obowiązane muszą przygotować się na równoległe stosowanie wytycznych krajowych i europejskich. Kolejne nowelizacje mogą też rozszerzyć katalog podmiotów o firmy z branży e-commerce czy usługodawców zajmujących się aktywami cyfrowymi. Według Bazylejskiego Indeksu AML w edycji 2025 Polska znalazła się na 132. miejscu na 177 krajów, co plasuje nas w kategorii średniego ryzyka i sygnalizuje potrzebę dalszego wzmacniania procedur.

Rozporządzenie 2024/1624 nie wymaga implementacji w krajowym porządku prawnym, co pozwoli wyeliminować dotychczasowe rozbieżności między regulacjami poszczególnych państw członkowskich.

Wpływ nowych regulacji na codzienne bezpieczeństwo

Ujednolicenie standardów unijnych ułatwi wymianę informacji pomiędzy bankami z różnych krajów, co bezpośrednio przekłada się na szybsze wykrywanie fazy maskowania. Z perspektywy konsumenta oznacza to nieco więcej formalności przy zakładaniu konta czy ubieganiu się o kredyt, ale też znacznie wyższy poziom ochrony przed wyłudzeniami. Procedura KYC nie jest wyłącznie administracyjną uciążliwością – to bariera utrudniająca przestępcom posługiwanie się skradzionymi danymi osobowymi.

System AML łączy się przy tym ściśle z cyberbezpieczeństwem, ponieważ rachunki wykorzystywane do prania pieniędzy bardzo często pochodzą od ofiar ataków socjotechnicznych. Współpraca między GIIF, Komisją Nadzoru Finansowego a nowo tworzonym AMLA ma doprowadzić do sytuacji, w której transakcja nosząca znamiona oszustwa zostanie wstrzymana na wczesnym etapie, zanim środki trafią do odbiorcy. Dla zwykłego użytkownika bankowości elektronicznej jest to więc dodatkowa warstwa zabezpieczeń, która działa w tle każdej realizowanej operacji.