AML – co to jest? Objawy, przyczyny i leczenie

W kontekście ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu „objawami” są specyficzne, niepokojące wzorce transakcji, a „leczeniem” – wdrożenie szczegółowych procedur bezpieczeństwa finansowego. Cały mechanizm AML ma na celu odcięcie przestępczego kapitału od legalnego obiegu gospodarczego. Więcej na ten temat wyjaśniamy w naszym artykule.

Czym jest system AML i jak definiuje się pranie pieniędzy?

Skrót AML pochodzi od angielskiego terminu „Anti-Money Laundering”, który w języku polskim oznacza przeciwdziałanie praniu pieniędzy. Ten złożony system regulacji i procedur ma za zadanie uniemożliwić wprowadzanie do legalnego obiegu środków finansowych pochodzących z nielegalnych lub nieujawnionych źródeł. Zjawisko prania pieniędzy samo w sobie polega na ukrywaniu prawdziwego, przestępczego pochodzenia kapitału i nadawaniu mu pozorów legalności poprzez szereg następujących po sobie operacji finansowych.

Cały proces „oczyszczania” brudnych środków najczęściej analizuje się przez pryzmat trzech podstawowych etapów. Pierwszym z nich jest faza lokowania, polegająca na fizycznym wprowadzeniu gotówki do systemu finansowego, na przykład poprzez liczne wpłaty na różne rachunki bankowe. Następny krok to faza maskowania, w której dokonuje się serii skomplikowanych transakcji, aby odciąć wszelkie powiązania między pieniędzmi a ich nielegalnym źródłem. Ostatnim etapem jest faza integracji, w której „wyprane” środki wracają do przestępcy jako pozornie legalny dochód, na przykład w formie zysku z fikcyjnej inwestycji deweloperskiej.

Istotą polityki AML jest zatem zbudowanie skutecznych barier na każdym z tych etapów. Aby to osiągnąć, instytucje finansowe na całym świecie są zobowiązane do stosowania środków, które mają wykryć przestępstwo, zanim pieniądze zostaną w pełni włączone do gospodarki. Bez aktywnego udziału sektora prywatnego wykrywanie tych mechanizmów przez organy ścigania byłoby znacznie utrudnione.

Jakie są prawne podstawy przeciwdziałania praniu pieniędzy?

Polska ustawa AML i jej główne założenia

W polskim porządku prawnym fundamentalnym dokumentem jest ustawa z 1 marca 2018 roku o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Akt ten określa nie tylko reguły gry dla rynku finansowego, ale również tworzy cały system organów i instytucji odpowiedzialnych za bezpieczeństwo. Na jego czele stoi minister właściwy do spraw finansów publicznych, będący naczelnym organem informacji finansowej, wraz z podległym mu Generalnym Inspektorem Informacji Finansowej.

Generalny Inspektor Informacji Finansowej odgrywa praktyczną rolę w analizowaniu zgłoszeń o transakcjach mogących mieć związek z przestępstwem. Do jego kompetencji należy między innymi przeprowadzanie procedury blokady rachunku oraz wstrzymywania podejrzanych przepływów pieniężnych. GIIF stoi również na straży wymiany informacji między uprawnionymi organami, w tym prokuraturą, a także współpracuje z zagranicznymi jednostkami analityki finansowej, aby przeciwdziałać międzynarodowej przestępczości.

Przy Generalnym Inspektorze działa Komitet Bezpieczeństwa Finansowego, pełniący funkcję opiniodawczo-doradczą. KBF zajmuje się między innymi opiniowaniem krajowej oceny ryzyka oraz wydawaniem rekomendacji dotyczących stosowania szczególnych środków ograniczających. Nowelizacje ustawy wymuszają na rynku ciągłą adaptację, a najnowsze zmiany z 2024 roku rozszerzyły katalog instytucji obowiązanych o zupełnie nowe branże, przybliżając regulacje AML przeciętnemu przedsiębiorcy.

Dyrektywy unijne i Pakiet AML/CFT

Polskie przepisy nie działają w próżni, ponieważ są ściśle powiązane z regulacjami Unii Europejskiej, która dąży do pełnego ujednolicenia standardów na całym jednolitym rynku. W 2024 roku uchwalono tak zwany Pakiet AML/CFT, a jego kluczowe rozporządzenie o numerze 2024/1624 zacznie bezpośrednio obowiązywać od 10 lipca 2027 roku. Rozporządzenie to, w przeciwieństwie do dyrektyw, nie będzie wymagało odrębnej implementacji przez poszczególne kraje członkowskie, co wyeliminuje wiele dotychczasowych rozbieżności.

Elementem Pakietu jest również powołanie do życia zupełnie nowej struktury nadzorczej – Urzędu ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu z siedzibą we Frankfurcie. Docelowo będzie on nadzorował bezpośrednio czterdzieści europejskich instytucji finansowych uznanych za najbardziej zagrożone tym procederem. Choć urząd już rozpoczął gromadzenie danych w 2026 roku, aby testować modele oceny ryzyka, swoją pełną gotowość operacyjną ma osiągnąć dopiero w 2028 roku. Warto pamiętać, że organ ten nigdy nie nawiązuje bezpośredniego kontaktu z obywatelami w sprawie indywidualnych przelewów ani nie nakłada kar umownych.

Dlaczego AML dotyczy również Ciebie? Obowiązki w codziennej bankowości

Dla przeciętnego konsumenta system AML jest często widoczny dopiero w momencie, gdy instytucja finansowa prosi o wypełnienie tak zwanej ankiety AML. Ta procedura, zwana w skrócie KYC, wynika wprost z ustawowego obowiązku identyfikowania i weryfikowania tożsamości każdego klienta oraz celu i charakteru nawiązywanych stosunków gospodarczych. W praktyce oznacza to, że bank lub instytucja pożyczkowa ma nie tylko prawo, ale i obowiązek zapytać o źródło pochodzenia środków wpływających na rachunek.

Banki i inne podmioty mogą wymagać podania bardzo konkretnych danych, takich jak przedział kwotowy i kraj pochodzenia majątku, informacja o prowadzeniu działalności gospodarczej, czy też nazwa głównego pracodawcy i wysokość osiąganych dochodów. Odmowa udzielenia tych informacji nie jest obojętna prawnie, ponieważ ustawodawca przewidział w takiej sytuacji możliwość wstrzymania transakcji, ograniczenia dostępu do bankowości elektronicznej, a nawet wypowiedzenia umowy przez instytucję finansową. Środki pieniężne klienta nie przepadają, ale ich wypłata często wiąże się z ponowną koniecznością osobistej weryfikacji w placówce.

Pomimo pozornego skomplikowania, proces ten ma chronić również uczciwych konsumentów przed konsekwencjami cyberprzestępstw. Zaawansowane systemy monitorujące transakcje, nakazywane przez wewnętrzne procedury AML, analizują nietypowe dla danego użytkownika zachowania, takie jak nagły, wysoki przelew zagraniczny. Tego rodzaju anomalia, będąca „objawem” potencjalnego prania pieniędzy, może być również symptomem ataku phishingowego i przejęcia konta przez oszusta, a szybka reakcja banku ratuje oszczędności klienta.

Nie odpowiadaj na wiadomości SMS lub e-mail z linkami rzekomo prowadzącymi do ankiety AML. Prawdziwe instytucje finansowe proszą o te dane wyłącznie po zalogowaniu do systemu transakcyjnego lub w swojej aplikacji mobilnej i nigdy nie żądają podania pełnego hasła czy numeru PESEL w wiadomości zwrotnej.

Instytucje obowiązane – kto odpowiada za bezpieczeństwo systemu?

Ustawa AML definiuje szeroki i bardzo zróżnicowany katalog podmiotów zwanych instytucjami obowiązanymi. Do tej grupy nie należą już wyłącznie banki krajowe i spółdzielcze kasy oszczędnościowo-kredytowe, ale również krajowe instytucje płatnicze, małe instytucje płatnicze, biura usług płatniczych czy agenci rozliczeniowi. Oznacza to, że regulacje obejmują podmioty z sektora FinTech i wielu pośredników, którzy ułatwiają codzienne operacje finansowe milionom Polaków.

Katalog zobowiązanych stale się poszerza i od 2024 roku wszedł do niego szereg nowych branż, w tym podmioty zajmujące się obrotem kryptowalutami i niektóre przedsiębiorstwa spoza ścisłego sektora bankowego. Wszystkie one muszą stosować dokładnie te same cztery filary środków bezpieczeństwa finansowego. Są to: identyfikacja klienta oraz weryfikacja jego tożsamości, identyfikacja beneficjenta rzeczywistego i struktury kontroli nad firmą, bieżące monitorowanie stosunków gospodarczych, a także analiza transakcji pod kątem ich zgodności z profilem klienta. Na tej podstawie instytucje muszą zgłaszać do GIIF wszystkie okoliczności mogące wskazywać na związek z przestępstwem.

Rola Centralnego Rejestru Beneficjentów Rzeczywistych

CRBR to ogólnokrajowy rejestr publiczny, którego celem jest ujawnienie fizycznych osób sprawujących rzeczywistą kontrolę nad spółkami i innymi strukturami prawnymi. Obowiązek zgłoszenia dotyczy przede wszystkim spółek prawa handlowego, takich jak spółki jawne, komandytowe, z ograniczoną odpowiedzialnością oraz akcyjne, chyba że są spółkami publicznymi w rozumieniu ustawy o ofercie. Przejrzystość struktury właścicielskiej przeciwdziała ukrywaniu majątków za łańcuchem spółek zarejestrowanych w rajach podatkowych.

W wyniku orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej dostęp do niektórych danych w rejestrze został jednak ograniczony w stosunku do pierwotnych założeń ustawy. Instytucje obowiązane mają jednak niezmiennie dostęp do pełnych informacji, co pozwala im na rzetelne ocenianie ryzyka nawiązywania stosunków gospodarczych. Sam wpis w rejestrze dla podmiotów do tego zobowiązanych pozostaje obligatoryjny.

Nowe branże i obowiązek szkoleń

Rozszerzenie regulacji objęło również branże, które wcześniej mogły nie zdawać sobie sprawy z istnienia takich wymogów. Dziś do grona instytucji obowiązanych zalicza się jednoznacznie biura rachunkowe, doradców podatkowych, a nawet podmioty handlujące dziełami sztuki oraz pośredników w obrocie nieruchomościami. Biura rachunkowe szczególnie muszą zrozumieć, że wewnętrzna procedura AML nie może być gotowym szablonem, lecz musi być skrojona na miarę konkretnej działalności.

Od 2025 roku obowiązuje wymóg dokumentowania szkoleń AML dla wszystkich osób zaangażowanych w realizację tych obowiązków, niezależnie od formy ich zatrudnienia – czy to umowa o pracę, zlecenie, czy też kontrakt B2B. Szczegółowe wytyczne opublikowano w komunikacie nr 92 GIIF, UKNF i NBP.

Jak wygląda ocena ryzyka i zgłaszanie transakcji?

Fundamentem skutecznego systemu jest właściwie przeprowadzona krajowa ocena ryzyka, opracowywana nie rzadziej niż co dwa lata przez Generalnego Inspektora Informacji Finansowej przy współudziale Komitetu Bezpieczeństwa Finansowego. Dokument ten, akceptowany przez ministra właściwego do spraw finansów publicznych, opisuje szczegółową metodykę identyfikacji zagrożeń, a także określa poziom ryzyka występowania tych zjawisk w naszym kraju. Według Bazylejskiego Indeksu AML z 2025 roku Polska zajęła 132. miejsce na 177 badanych państw, co plasuje nas w kategorii średniego ryzyka.

Na poziomie pojedynczej instytucji obowiązanej ocena ryzyka odbywa się poprzez analizę profilu klienta, jego transakcji oraz geograficznych czynników ryzyka, które mogą wiązać się z określonymi jurysdykcjami. W momencie, gdy system lub pracownik wykryje nietypowe zachowanie, uruchamiana jest procedura zgłoszenia podejrzanej transakcji. Zawiadomienie GIIF jest obligatoryjne nie tylko w przypadku pewności co do przestępstwa, ale już wtedy, gdy istnieje uzasadnione podejrzenie, że transakcja może mieć związek z praniem pieniędzy.

Objawy finansowe budzące podejrzenia

Istnieją określone schematy i symptomy, które dla analityka systemu bezpieczeństwa stanowią wyraźny sygnał ostrzegawczy. Do takich objawów należą między innymi transakcje gotówkowe o wartości równej lub przekraczającej równowartość 10 000 euro, które z mocy prawa podlegają monitoringowi. Innym symptomem jest tak zwane „strukturyzowanie”, czyli dzielenie wysokich kwot na wiele mniejszych przelewów tuż poniżej progu rejestracji, aby ominąć systemy algorytmiczne. Przestępcy często wykorzystują również w tym celu tak zwane oszustwo na słupa, gdzie nieświadome osoby są werbowane do otwierania rachunków bankowych przez obietnicę łatwego zarobku.

Analiza wykracza daleko poza proste przekroczenie progów kwotowych. Badane jest źródło pochodzenia wartości majątkowych, aby ustalić, czy transakcje są zgodne ze specyfiką działalności klienta oraz jego historycznymi wpływami. Jeśli osoba deklarująca uzyskiwanie dochodów wyłącznie z emerytury nagle zaczyna realizować przelewy inwestycyjne o wysokich nominałach, powinno to wzbudzić automatyczny alert w dziale bezpieczeństwa finansowego. Dokładnie w takich przypadkach instytucja ma obowiązek zbadać, czy nie zachodzą przesłanki do wstrzymania transakcji i złożenia zawiadomienia.

Konsekwencje naruszenia procedur i pytania o dane osobowe

Ustawodawca przewidział surowe sankcje za niedopełnienie obowiązków wynikających z przeciwdziałania praniu pieniędzy, a ich skala może zagrozić istnieniu samej instytucji. Kara pieniężna może sięgnąć nawet pięciu milionów euro lub dziesięciu procent całkowitego rocznego przychodu. Oprócz dotkliwych kar finansowych, Generalny Inspektor Informacji Finansowej może wydać nakaz zaprzestania prowadzenia konkretnych czynności, a w skrajnych przypadkach nawet cofnąć koncesję lub zezwolenie na prowadzenie działalności regulowanej. Dodatkową represją jest możliwość publikacji informacji o naruszeniu w Biuletynie Informacji Publicznej, co bezpośrednio uderza w reputację firmy.

Odpowiedzialność ma również wymiar osobisty, ponieważ zakaz pełnienia obowiązków na stanowisku kierowniczym, który może trwać nawet rok, może dotknąć osoby odpowiedzialne za naruszenie. Wątek ten wiąże się bezpośrednio z kwestią przetwarzania danych osobowych. Instytucje obowiązane muszą bowiem łączyć stosowanie środków bezpieczeństwa z przepisami RODO, a spór o granice tej kontroli wciąż jest żywy. Prezes Urzędu Ochrony Danych Osobowych w decyzji z 2025 roku uznał, że generalne i bezwarunkowe kopiowanie dowodów osobistych przez banki jest nadmiarowe, podczas gdy środowisko bankowe argumentuje, że tylko skan dokumentu skutecznie przeciwdziała coraz nowszym technikom fałszowania tożsamości.

Przestępcy wykorzystujący wyłudzone dane do prania pieniędzy nie koncentrują się wyłącznie na kradzieży gotówki. Twój rachunek może posłużyć jako jedno z wielu ogniw w skomplikowanym łańcuchu przelewów maskujących, co może skutkować poważnymi problemami prawnymi dla jego prawowitego właściciela.