Ustawa AML: obowiązki instytucji obowiązanych w pigułce

Ustawa AML to potoczna nazwa ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. 2018 poz. 723; tekst jednolity: Dz.U. 2025 poz. 644). Wdraża unijne dyrektywy AML i nakłada obowiązki na tzw. instytucje obowiązane — od banków po biura rachunkowe. Od 10 lipca 2027 r. uzupełni ją bezpośrednio stosowane rozporządzenie (UE) 2024/1624 (AMLR).

Kto jest instytucją obowiązaną

Katalog zawiera art. 2 ust. 1. Oprócz instytucji finansowych (banki, instytucje płatnicze, firmy inwestycyjne, ubezpieczyciele, kantory, dostawcy usług w zakresie walut wirtualnych) obejmuje m.in.:

Kto	Przepis
Notariusze (w zakresie określonych czynności)	art. 2 ust. 1 pkt 13
Adwokaci, radcowie prawni, prawnicy zagraniczni, doradcy podatkowi — przy określonych transakcjach klientów	art. 2 ust. 1 pkt 14
Doradcy podatkowi (pozostała działalność) i biegli rewidenci	art. 2 ust. 1 pkt 15
Dostawcy usług dla spółek i trustów (np. adres siedziby, zakładanie spółek)	art. 2 ust. 1 pkt 16
Biura rachunkowe — usługowe prowadzenie ksiąg rachunkowych	art. 2 ust. 1 pkt 17
Pośrednicy w obrocie nieruchomościami (przy najmie — od czynszu 10 000 euro miesięcznie)	art. 2 ust. 1 pkt 18
Przedsiębiorcy przyjmujący lub dokonujący płatności gotówką za towary od 10 000 euro	art. 2 ust. 1 pkt 23

Obowiązki w pigułce

1. Ocena ryzyka instytucji (art. 27)

Każda instytucja obowiązana identyfikuje i ocenia ryzyko prania pieniędzy i finansowania terroryzmu związane z jej działalnością. Ocenę aktualizuje w razie potrzeby, nie rzadziej niż co 2 lata. Pomaga w tym nasz poradnik Ocena ryzyka AML — wzór.

2. Środki bezpieczeństwa finansowego (art. 33–35)

Serce ustawy. Według art. 34 ust. 1 obejmują:

1. identyfikację klienta i weryfikację jego tożsamości,
2. identyfikację beneficjenta rzeczywistego i weryfikację jego tożsamości, w tym zrozumienie struktury własności — zob. Beneficjent rzeczywisty i CRBR,
3. ocenę stosunków gospodarczych i uzyskanie informacji o ich celu,
4. bieżące monitorowanie stosunków gospodarczych.

Stosuje się je m.in. przy nawiązaniu stosunków gospodarczych, przy transakcji okazjonalnej od 15 000 euro, przy podejrzeniu prania pieniędzy i przy wątpliwościach co do danych (art. 35). Ich zakres dobiera się do poziomu ryzyka klienta (art. 33) — od uproszczonych po wzmożone.

3. PEP i wzmożone środki (art. 43, 46)

Jeśli klient lub beneficjent jest osobą zajmującą eksponowane stanowisko polityczne, potrzebna jest zgoda kadry kierowniczej wyższego szczebla, ustalenie źródła majątku i środków oraz wzmożone monitorowanie.

4. Listy sankcyjne (art. 117–118 i ustawa z 13.04.2022)

Instytucja obowiązana stosuje szczególne środki ograniczające — zamrożenie wartości majątkowych i zakaz ich udostępniania — wobec osób z list GIIF. Do tego dochodzą sankcje UE i ONZ oraz krajowa lista MSWiA.

5. Przechowywanie dokumentacji (art. 49)

Kopie dokumentów i informacje uzyskane w ramach środków bezpieczeństwa finansowego przechowuje się 5 lat od zakończenia stosunków gospodarczych lub od transakcji okazjonalnej.

6. Procedura, szkolenia, sygnaliści (art. 50, 52, 53)

Instytucja przyjmuje wewnętrzną procedurę AML zatwierdzoną przez kadrę kierowniczą — zob. Procedura AML — wzór. Pracownicy przechodzą szkolenia, a w firmie działa procedura anonimowego zgłaszania naruszeń.

7. Zawiadomienia do GIIF (art. 74, 86)

O podejrzeniu prania pieniędzy lub finansowania terroryzmu instytucja zawiadamia GIIF niezwłocznie, nie później niż w ciągu 2 dni roboczych od potwierdzenia podejrzenia (art. 74). Jeśli podejrzenie dotyczy konkretnej transakcji, zawiadamia przed jej przeprowadzeniem (art. 86). Nie wolno informować klienta o zawiadomieniu.

8. Rozbieżności w CRBR (art. 61a)

Gdy dane w CRBR różnią się od Twoich ustaleń, odnotowujesz rozbieżność i po potwierdzeniu zgłaszasz ją do rejestru.

Kto kontroluje i jakie są kary

Przestrzeganie ustawy kontroluje przede wszystkim Generalny Inspektor Informacji Finansowej, a w zależności od rodzaju instytucji także inne organy (m.in. KNF, NBP, Krajowa Administracja Skarbowa).

Kary administracyjne wymienia art. 150:

• publikacja informacji o naruszeniu w BIP,
• nakaz zaprzestania określonych czynności,
• cofnięcie koncesji lub zezwolenia albo wykreślenie z rejestru,
• zakaz pełnienia funkcji kierowniczych,
• kara pieniężna do dwukrotności osiągniętej korzyści albo — gdy nie da się jej ustalić — do równowartości 1 000 000 euro. Dla instytucji finansowych limity są wyższe (do 5 000 000 euro lub 10% obrotu).

Osobno grozi kara do 1 000 000 zł za niezgłoszenie beneficjentów do CRBR (art. 153) i do 20 000 000 zł za naruszenie środków wobec osób z listy MSWiA.

Co zrobi za Ciebie narzędzie, a co musisz sam

Obowiązek	WeryfikacjaKlienta.pl	Ty
Sprawdzenie list sankcyjnych (MSWiA, UE, ONZ i inne)	✅
Ustalenie statusu PEP (baza danych)	✅	oświadczenie klienta
Negatywne informacje w mediach	✅ (opcjonalnie)
Raport PDF i archiwum na 5 lat	✅
Identyfikacja i weryfikacja tożsamości klienta		✅
Ustalenie beneficjenta rzeczywistego, CRBR	sprawdzenie beneficjenta na listach ✅	ustalenie struktury ✅
Ocena ryzyka instytucji i klienta		✅
Wewnętrzna procedura, szkolenia, zgłaszanie naruszeń		✅
Zawiadomienia do GIIF		✅

Część screeningową — listy sankcyjne, PEP i raport — załatwisz u nas w 30 sekund na klienta. Wypróbuj za darmo.

Źródła: ustawa z 1 marca 2018 r. (ISAP), Generalny Inspektor Informacji Finansowej.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Wiążący jest aktualny tekst ustawy.