AML i KYC 2026 – ocena ryzyka, znajomość klienta, PEP i goAML

Krótka odpowiedź: Przedsiębiorstwa i osoby prowadzące działalność gospodarczą podlegające ustawie o przeciwdziałaniu praniu pieniędzy muszą działać w oparciu o analizę ryzyka, obejmującą m.in. ogólną ocenę ryzyka, znajomość klienta (KYC), klasyfikację ryzyka klienta, bieżące monitorowanie oraz zgłaszanie podejrzanych działań. Przepisy nie dotyczą wszystkich firm – najpierw dana działalność musi podlegać zakresowi stosowania ustawy.

Które firmy podlegają przepisom?

Ustawa (2017:630) o środkach przeciwko praniu pieniędzy i finansowaniu terroryzmu wymienia podmioty gospodarcze, które podlegają tym przepisom. Dotyczy to m.in. wielu instytucji finansowych oraz innych regulowanych branż i zawodów. Zawsze sprawdzaj kategorię swojej działalności oraz właściwy organ nadzorczy.

Pięć filarów systemu AML/KYC

Ogólna ocena ryzyka

Zgodnie z 2 rozdziałem ustawy o przeciwdziałaniu praniu pieniędzy, podmiot gospodarczy musi ocenić, w jaki sposób jego produkty i usługi mogą zostać wykorzystane do prania pieniędzy lub finansowania terroryzmu. Ocena musi być udokumentowana, proporcjonalna i aktualizowana.

Znajomość klienta, beneficjent rzeczywisty i PEP

Znajomość klienta (KYC) należy dostosować do poziomu ryzyka. W przypadku wyższego ryzyka wymagane są bardziej szczegółowe kontrole. Status PEP (osoby zajmującej eksponowane stanowisko polityczne), struktura własności, beneficjent rzeczywisty, lokalizacja geograficzna oraz nietypowe schematy transakcji mogą wpływać na profil ryzyka. Dlatego KYC to nie tylko weryfikacja tożsamości podczas onboardingu, ale ciągły proces.

Zgłaszanie do jednostki analityki finansowej (Finanspolisen)

Jeśli po przeprowadzeniu oceny istnieją uzasadnione podstawy do podejrzeń o pranie pieniędzy lub finansowanie terroryzmu, należy niezwłocznie zgłosić odpowiednie okoliczności Policji/Finanspolisen. Policja wykorzystuje system goAML do zgłoszeń. Firmy muszą również przestrzegać zasad dotyczących tajemnicy zawodowej oraz wewnętrznego postępowania z podejrzeniami.

Częste błędy

• Kopiowanie ogólnej oceny ryzyka bez powiązania z własnym modelem biznesowym.
• Ustalenie ryzyka klienta raz i brak jego aktualizacji.
• Traktowanie kontroli PEP jako jedynego wskaźnika wysokiego ryzyka.
• Brak udokumentowanej ścieżki decyzyjnej w przypadku wystąpienia nietypowej transakcji.
• Pomijanie kwestii ochrony danych, uprawnień i zasad przechowywania informacji KYC.

Często zadawane pytania

Czy wszystkie firmy muszą posiadać procedury KYC?

Nie. Ustawowe wymagania AML/KYC dotyczą podmiotów gospodarczych podlegających ustawie o przeciwdziałaniu praniu pieniędzy lub innym właściwym regulacjom.

Jaka jest różnica między ogólną oceną ryzyka a ryzykiem klienta?

Ogólna ocena ryzyka dotyczy ogólnej ekspozycji działalności. Ryzyko klienta dotyczy konkretnej relacji z danym klientem.

Kiedy należy dokonać zgłoszenia?

Gdy po przeprowadzonej ocenie spełnione zostaną ustawowe kryteria podejrzenia. Należy dokumentować wewnętrznie, w jaki sposób sygnały są badane i eskalowane.

Powiązane poradniki

• Administrator danych czy podmiot przetwarzający?
• Rejestr czynności przetwarzania zgodnie z art. 30 RODO

Więcej materiałów roboczych: Zobacz więcej szablonów AML, KYC i przeciwdziałania praniu pieniędzy.

Źródła

• Szwedzki parlament – ustawa (2017:630)
• Policja – poradnik dla podmiotów gospodarczych

Poradnik ma charakter ogólny i nie zastępuje porady prawnej udzielonej przez prawnika, organ nadzorczy lub specjalistę ds. AML.