SIGIIF 2.0 (goAML): rejestracja instytucji obowiązanej

Nowy system GIIF oparty na goAML: kto musi uzyskać dostęp, terminy od 1 stycznia do 31 maja 2027 r., co zawiera wniosek i co grozi za jego brak.

Stan prawny: 29 października 2026 r. Opisujemy rządowy projekt nowelizacji ustawy AML (druk sejmowy nr 3163), który jest obecnie w Sejmie. Terminy i szczegóły mogą się jeszcze zmienić. Artykuł zaktualizujemy po uchwaleniu ustawy.

GIIF przechodzi na nowy system komunikacji z instytucjami obowiązanymi: SIGIIF 2.0, zbudowany na oprogramowaniu goAML. Według projektu nowelizacji ustawy AML dostęp do systemu będzie musiała uzyskać każda instytucja obowiązana, także biuro rachunkowe czy pośrednik nieruchomości, który nigdy nie wysłał do GIIF żadnej informacji.

W skrócie

Co: wniosek o uzyskanie dostępu do SIGIIF 2.0, nowego systemu teleinformatycznego GIIF.
Kto: każda instytucja obowiązana z art. 2 ust. 1 ustawy AML, niezależnie od tego, czy kiedykolwiek raportowała do GIIF.
Do kiedy: etapami od 1 stycznia do 31 maja 2027 r. Termin zależy od tego, czy firma składała już formularz identyfikujący.
Nowa firma: wniosek trzeba złożyć przed nawiązaniem pierwszych stosunków gospodarczych lub przeprowadzeniem pierwszej transakcji okazjonalnej.
Kara: brak wniosku albo nieaktualne lub nieprawidłowe dane mają być naruszeniem zagrożonym karą administracyjną.

Czym jest SIGIIF 2.0 i co ma wspólnego z goAML

goAML to oprogramowanie opracowane przez Biuro Narodów Zjednoczonych ds. Narkotyków i Przestępczości (UNODC). Korzystają z niego jednostki analityki finansowej w wielu krajach, m.in. w Niemczech i na Słowacji. SIGIIF 2.0 to polski system GIIF zbudowany na goAML. Ministerstwo Finansów prowadziło jego wdrożenie w ramach projektu „System Informacyjny GIIF 2.0”.

Według projektu SIGIIF ma stać się głównym kanałem komunikacji między GIIF a instytucjami obowiązanymi. Przez system będą przekazywane:

informacje o transakcjach ponadprogowych,
zawiadomienia o transakcjach podejrzanych,
informacje i dokumenty, których żąda GIIF,
korekty wcześniej przekazanych danych (projekt wprowadza obowiązek ich przekazywania).

Raporty w goAML mają ściśle określoną strukturę (format XML) z wieloma polami obowiązkowymi. Dla większych instytucji oznacza to dostosowanie systemów IT. W innych krajach małe firmy wypełniają zgłoszenia w goAML przez formularze w przeglądarce, bez własnego systemu IT. Szczegóły polskiego wdrożenia poda GIIF.

Kto musi uzyskać dostęp do SIGIIF 2.0

Obowiązek obejmuje wszystkie instytucje obowiązane z art. 2 ust. 1 ustawy AML (projektowany art. 71b), m.in.:

banki, instytucje płatnicze, firmy inwestycyjne, zakłady ubezpieczeń,
biura rachunkowe i inne podmioty prowadzące księgi rachunkowe,
doradców podatkowych, biegłych rewidentów,
adwokatów, radców prawnych i notariuszy (w zakresie, w jakim są instytucjami obowiązanymi),
pośredników w obrocie nieruchomościami,
przedsiębiorców przyjmujących lub dokonujących płatności w gotówce o wartości co najmniej 10 000 euro,
kantory i podmioty świadczące usługi w zakresie walut wirtualnych.

Nie masz pewności, czy Twoja firma jest instytucją obowiązaną? Sprawdź w poradniku Instytucje obowiązane AML: kto musi stosować ustawę?.

Najważniejsza zmiana: dotychczas formularz identyfikujący składały głównie instytucje, które po raz pierwszy przekazywały informacje do GIIF. Po zmianie dostęp do SIGIIF ma uzyskać każda instytucja obowiązana, także taka, która nigdy niczego do GIIF nie zgłaszała.

Terminy: kiedy złożyć wniosek

Twoja sytuacja	Kiedy złożyć wniosek (według projektu)
Działasz na 31 grudnia 2026 r. i składałeś już formularz identyfikujący do GIIF	etapami od 1 stycznia do 2 marca 2027 r., według kategorii instytucji
Działasz na 31 grudnia 2026 r. i nigdy nie składałeś formularza identyfikującego	od 3 marca do 31 maja 2027 r., ale zawsze przed pierwszym wykonaniem obowiązku wobec GIIF
Zaczynasz działalność jako instytucja obowiązana	przed nawiązaniem pierwszych stosunków gospodarczych lub przeprowadzeniem pierwszej transakcji okazjonalnej

Instytucje, które składały już formularz identyfikujący, mają w projekcie osobne okna według punktu art. 2 ust. 1 ustawy AML (projektowany art. 7 ust. 1 ustawy nowelizującej):

Kategoria instytucji obowiązanej	Termin złożenia wniosku
banki, oddziały banków i instytucji kredytowych, SKOK-i (pkt 1–2)	do 14 stycznia 2027 r.
instytucje płatnicze i pieniądza elektronicznego, firmy inwestycyjne, fundusze i TFI, zakłady ubezpieczeń, pośrednicy ubezpieczeniowi, KDPW (pkt 3–10)	15–31 stycznia 2027 r.
kantory i podmioty świadczące usługi w zakresie walut wirtualnych (pkt 10a–12)	1–15 lutego 2027 r.
notariusze, adwokaci, radcowie prawni, doradcy podatkowi, biegli rewidenci, biura rachunkowe (pkt 17), pośrednicy w obrocie nieruchomościami i pozostałe instytucje (pkt 13–27)	16 lutego – 2 marca 2027 r.

Dodatkowo:

Od 1 kwietnia 2027 r. komunikacja instytucji obowiązanych z GIIF ma odbywać się przez SIGIIF. Według uzasadnienia projektu dotychczasowy sposób komunikacji ma działać do końca lutego 2027 r.
Od 1 stycznia do 31 marca 2027 r. informacje o transakcjach ponadprogowych (art. 72) mają być przekazywane środkami komunikacji elektronicznej według nowego wzoru (przepis przejściowy).
Projekt uchyla art. 77–79 ustawy, czyli przepisy o formularzu identyfikującym (potocznie „formularz identyfikacyjny”). Jego rolę przejmie wniosek o uzyskanie dostępu do SIGIIF.

Jak sprawdzić, czy składałeś formularz identyfikujący? Jeśli Twoja firma nigdy nie przekazywała do GIIF informacji o transakcjach ponadprogowych ani zawiadomień, najpewniej go nie składała. Wtedy obowiązuje Cię drugi termin: 3 marca – 31 maja 2027 r.

Co zawiera wniosek o dostęp do SIGIIF

Według projektowanego art. 71c wniosek zawiera m.in.:

Dane identyfikujące instytucję: nazwę (firmę), formę organizacyjną, NIP, rodzaj prowadzonej działalności, numer wpisu do rejestru lub ewidencji (jeśli działalność go wymaga), adres siedziby, adres do doręczeń elektronicznych, adres e-mail i telefon.
Dane osoby składającej wniosek: imię i nazwisko, stanowisko, dane kontaktowe.
Informację o pracowniku odpowiedzialnym za AML wyznaczonym na podstawie art. 8 ustawy. W jednoosobowej działalności jest to zwykle sam przedsiębiorca, zob. Osoba odpowiedzialna za AML.
Oświadczenie o prawdziwości danych złożone pod rygorem odpowiedzialności karnej za złożenie fałszywego oświadczenia.

Jeżeli wniosek ma braki, GIIF wezwie do ich uzupełnienia w terminie nie krótszym niż 3 dni. Jeżeli wniosek składa osoba, której umocowanie nie wynika z rejestru dostępnego dla GIIF drogą elektroniczną (np. KRS lub CEIDG), do wniosku dołącza się dokument potwierdzający jej wyznaczenie, podpisany elektronicznie przez osoby upoważnione do reprezentacji (projektowany art. 71c ust. 2).

Po uzyskaniu dostępu powstaje konto instytucji obowiązanej. Na nim wskazujesz użytkowników i nadajesz im uprawnienia do SIGIIF i CRBR: jedna identyfikacja instytucji obsłuży oba systemy.

Jak przygotować się już teraz: lista kontrolna

Ustal, czy jesteś instytucją obowiązaną i według którego punktu art. 2 ust. 1.
Sprawdź, czy składałeś formularz identyfikujący. Od tego zależy Twój termin.
Wyznacz osobę odpowiedzialną za AML (art. 8) i zapisz to w dokumentacji. Jej dane będą częścią wniosku.
Zbierz dane do wniosku: NIP, pełną nazwę, formę prawną, adres siedziby, adres do doręczeń elektronicznych, adres e-mail i telefon do kontaktu z GIIF.
Wskaż co najmniej dwóch użytkowników konta, żeby zawiadomienie można było wysłać także podczas urlopu lub choroby.
Zaktualizuj wewnętrzną procedurę AML o sposób komunikacji z GIIF przez SIGIIF, zob. Procedura AML: wzór dla biura rachunkowego.
Śledź komunikaty GIIF na gov.pl. To tam pojawi się instrukcja składania wniosku i harmonogram dla poszczególnych kategorii instytucji.

Co grozi za brak dostępu do SIGIIF

Projekt dodaje do katalogu naruszeń w art. 147 ustawy nowy punkt 12a: nieprzekazanie wniosku o uzyskanie dostępu do SIGIIF zawierającego aktualne i prawidłowe dane (albo niedołączenie dokumentu potwierdzającego wyznaczenie osoby składającej wniosek). Karą administracyjną zagrożone jest też przekroczenie terminów przejściowych z tabeli powyżej (projektowany art. 7 ust. 2 ustawy nowelizującej). Za takie naruszenie GIIF będzie mógł nałożyć karę administracyjną na ogólnych zasadach z art. 150 (więcej w artykule Kary AML).

Jest też ryzyko praktyczne. Bez dostępu do SIGIIF nie przekażesz w terminie zawiadomienia o transakcji podejrzanej ani informacji o transakcji ponadprogowej. Spóźnione zawiadomienie samo w sobie jest naruszeniem ustawy. Nie warto więc czekać, aż system będzie potrzebny w konkretnej sprawie.

Co jeszcze zmienia nowelizacja

CRBR przestaje być jawny. Od 1 października 2027 r. dostęp do danych beneficjentów rzeczywistych będą miały określone organy i instytucje obowiązane. Pozostali muszą wykazać uzasadniony interes, zob. Beneficjent rzeczywisty i CRBR.
Ocena ryzyka ma obejmować także nowe produkty, usługi, kanały dystrybucji i technologie, i to przed ich wprowadzeniem.
Dokumentowanie środków bezpieczeństwa finansowego: trzeba będzie zapisywać nie tylko zastosowane środki, ale też powody, dla których nie udało się ich zastosować.
Odmowa pojedynczej transakcji w ramach istniejących stosunków gospodarczych, gdy nie da się zastosować wymaganych środków (art. 41).
Zawiadomienia do GIIF mają zawierać okoliczności podejrzenia, podjęte działania i wnioski. Korekty wcześniejszych informacji staną się obowiązkowe.

Najczęstsze pytania

Czy muszę uzyskać dostęp do SIGIIF, jeśli nigdy nic nie zgłaszałem do GIIF? Tak. Według projektu obowiązek dotyczy każdej instytucji obowiązanej, niezależnie od tego, czy kiedykolwiek przekazywała informacje lub zawiadomienia.

Czy jednoosobowe biuro rachunkowe też musi złożyć wniosek? Tak. Biuro rachunkowe jest instytucją obowiązaną bez względu na wielkość. W jednoosobowej działalności osobą odpowiedzialną za AML jest zwykle sam przedsiębiorca.

Czym różni się SIGIIF 2.0 od goAML? goAML to oprogramowanie ONZ (UNODC). SIGIIF 2.0 to polski system GIIF, który z niego korzysta. Wniosek składasz do GIIF, nie do ONZ.

Do kiedy muszę złożyć wniosek? Jeśli składałeś formularz identyfikujący, etapami między 1 stycznia a 2 marca 2027 r. Jeśli nie, między 3 marca a 31 maja 2027 r., ale zawsze przed pierwszym obowiązkiem wobec GIIF. Nowe firmy składają wniosek przed nawiązaniem pierwszych stosunków gospodarczych.

Czy formularz identyfikujący nadal obowiązuje? Do końca 2026 r. tak. Projekt uchyla przepisy o formularzu identyfikującym (art. 77–79), a jego funkcję przejmuje wniosek o dostęp do SIGIIF.

Czy ustawa została już uchwalona? Nie (stan na 29 października 2026 r.). Rada Ministrów przyjęła projekt 22 września 2026 r. Projekt (druk nr 3163) jest w Sejmie. Większość przepisów ma wejść w życie 1 stycznia 2027 r.

Rejestracja to połowa obowiązku

Dostęp do SIGIIF pozwoli Ci zgłaszać transakcje do GIIF. Żeby wiedzieć, co zgłaszać, musisz najpierw zweryfikować klienta: sprawdzić go na listach sankcyjnych MSWiA, UE i ONZ oraz ustalić, czy jest osobą zajmującą eksponowane stanowisko polityczne (PEP).

Sprawdź klienta za darmo →

Źródła:

Artykuł ma charakter informacyjny i nie stanowi porady prawnej.

SIGIIF 2.0 i goAML: rejestracja instytucji obowiązanej krok po kroku (terminy 2027)