Analiza stanowiska GIIF dotyczącego obowiązków AML/CFT zaprezentowanego w komunikacie nr 114

Generalny Inspektor Informacji Finansowej (GIIF) opublikował 22 czerwca 2026 roku komunikat nr 114 – wydany dla instytucji obowiązanych wymienionych w art. 2 ust. 1 pkt 15, 15a i 17 ustawy z dnia 1 marca 2018 roku o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (dalej zwanej ustawą AML), czyli doradców podatkowych, biegłych rewidentów i podmiotów prowadzących działalność usługowego prowadzenia ksiąg rachunkowych oraz przedsiębiorców, których podstawową działalnością gospodarczą jest świadczenie usług polegających na sporządzaniu deklaracji, prowadzeniu ksiąg podatkowych, udzielaniu porad, opinii lub wyjaśnień z zakresu przepisów prawa podatkowego lub celnego, niebędących innymi instytucjami obowiązanymi.

Choć ten dokument został przygotowany dla konkretnej grupy podmiotów, to zawarte w nim wytyczne mogą być w pewnym zakresie zastosowane również do innych instytucji obowiązanych będących pod bezpośrednim nadzorem GIIF, ponieważ porusza zagadnienia kluczowe z perspektywy zgodności z ustawą AML.

Kluczowe zagadnienia z komunikatu GIIF nr 114 analizowane w tym artykule:

• Do kogo jest skierowany i czego dotyczy komunikat GIIF nr 114? Komunikat omawia obowiązki w zakresie AML/CFT, które muszą realizować instytucje obowiązane wymienione w art. 2 ust. 1 pkt 15, 15a i 17 ustawy AML, ale także może stanowić wsparcie dla innych podmiotów chcących poznać obowiązujące wytyczne nadzorcy.
• Jak wyznaczyć AMLRO w instytucji obowiązanej? AMLRO należy wyznaczyć w sposób formalny, wskazując pracownika odpowiedzialnego za wykonywanie obowiązków wynikających z ustawy AML. Osoba ta powinna mieć odpowiednie kompetencje, uprawnienia i dostęp do informacji. Wyznaczenie AMLRO powinno być udokumentowane, a zakres jego odpowiedzialności jasno określony.
• W odniesieniu do których obszarów AML należy stosować podejście oparte na ryzyku? Podejście oparte na ryzyku należy stosować m.in. podczas dokonywania oceny ryzyka instytucji, oceny ryzyka klienta, identyfikacji i weryfikacji klienta i beneficjenta rzeczywistego, stosowania środków bezpieczeństwa finansowego oraz wyznaczania czynników ryzyka.

Czego dotyczy komunikat GIIF nr 114?

Komunikat GIIF nr 114 odnosi się do niemal wszystkich istotnych aspektów związanych zarówno z wymaganiami formalnymi, które ustawa AML nakłada na instytucje obowiązane, czyli do procedury AML i oceny ryzyka AML, jak i z wymaganiami materialnymi, takimi jak ocena ryzyka klienta czy stosowanie środków bezpieczeństwa finansowego.

Czytając ten komunikat, należy zwrócić szczególną uwagę na te elementy, w których GIIF na podstawie przeprowadzonych kontroli oraz informacji zebranych od pozostałych nadzorców wskazuje główne problemy, nieprawidłowe działania i niedociągnięcia instytucji obowiązanych.

Jak realizować obowiązek wyznaczenia osoby odpowiedzialnej za AML?

W komunikacie nr 114 GIIF wskazuje, że instytucje obowiązane od wprowadzenia ustawy AML do dziś wciąż mają problem z właściwym wykazaniem realizacji obowiązku wyznaczenia pracownika odpowiedzialnego za wykonanie obowiązków ustawowych związanych z AML/CFT.

GIIF pokazując praktyczne aspekty, wskazuje m.in., jak ten obowiązek realizuje się w mniejszych instytucjach, takich jak jednoosobowe działalności gospodarcze prowadzące biura rachunkowe, w których przedsiębiorca wykonuje zarówno zadania wyższej kadry kierowniczej, jak i pracownika „zajmującego kierownicze stanowisko, odpowiedzialnego za zapewnienie zgodności działalności instytucji obowiązanej”, który jest również odpowiedzialny za przekazywanie zawiadomień w imieniu instytucji obowiązanej, o których mowa w art. 74 ust. 1, art. 86 ust. 1, art. 89 ust. 1 i art. 90 ustawy AML.

Określając wymagania, które powinien spełniać pracownik, o którym mowa w art. 8 ustawy AML (tj. AMLRO), GIIF odwołuje się nie tylko do wymagań ze stanowiska UKNF z dnia 1 grudnia 2022 roku dotyczącego AMLRO, ale również wskazuje, że do celów dowodowych wyznaczenie takiej osoby powinno mieć formę pisemną. GIIF nie pokazuje jedynej słusznej metody, więc oprócz wskazania odpowiednich obowiązków w umowie zawartej z AMLRO, w większych organizacjach można dodatkowo przyjąć odpowiednią uchwałę organu zarządzającego.

Jak realizować obowiązki AML/CFT zgodnie z podejściem opartym na ryzyku?

Kolejnym istotnym aspektem poruszonym przez GIIF w komunikacie nr 114 jest podejście oparte na ryzyku, które obejmuje m.in. zagadnienia takie jak ocena ryzyka instytucji, ocena ryzyka klienta, stosowanie środków bezpieczeństwa finansowego oraz czynniki podnoszące ryzyko.

Jak dokonywać oceny ryzyka AML dla instytucji?

GIIF zauważa, że instytucje obowiązane wciąż mają problem z właściwym przeprowadzeniem oceny ryzyka AML dla instytucji. Chcąc wspomóc instytucje, wskazuje nie tylko komunikat GIIF nr 36, który podkreśla istotne aspekty tego zadania, ale również stanowisko UKNF z dnia 15 kwietnia 2020 roku dotyczące oceny ryzyka instytucji obowiązanej, które jest pewnym standardem mogącym być zastosowanym także przez instytucje obowiązane o profilu niefinansowym.

Ocena ryzyka instytucji jest dokumentem szerszym, który stanowi podstawę do opisania procesów zachodzących w organizacji w zakresie AML w ramach postanowień procedury AML. Dlatego sposób jej przygotowania powinien obejmować analizę istotnych czynników ryzyka (zarówno tych wskazanych w art. 27 ustawy AML, jak i tych, które instytucja obowiązana identyfikuje w ramach przeprowadzonej analizy ryzyka). Wnioski z analizy powinny przekładać się na konkretne rozwiązania wskazane w dokumencie oceny ryzyka, powinny być też przeniesione do wewnętrznej procedury AML oraz monitorowane przez instytucję.

Czytając komunikat GIIF nr 114, przedsiębiorcy mogą dojść do wniosku, że GIIF zakazuje stosowania wzorów procedur i oceny ryzyka, jednak GIIF wskazuje jedynie, że opieranie się wyłącznie na wzorze procedury i oceny ryzyka instytucji nie wypełnia wymagań przepisów ustawy AML. Obydwa te dokumenty powinny być dostosowane do charakteru i zakresu działalności prowadzonej przez instytucję obowiązaną. Dlatego jeśli instytucja decyduje się na zakupienie takiego dokumentu, powinna dokonać w nim właściwych zmian w celu dostosowania dokumentu do wymagań GIIF.

Jak dokonywać oceny ryzyka AML w odniesieniu do klienta?

W oparciu o przyjęte sposoby mitygacji ryzyka AML związanego z klientem przyjęte w postanowieniach procedury wewnętrznej AML, instytucja obowiązana może określić poziomy ryzyka, które monitoruje w odniesieniu do konkretnego klienta.

GIIF przypomina o tym, jakie wymagania wobec oceny ryzyka klienta są stawiane przez ustawę AML, cytując art. 33 ustawy AML. Jest to artykuł, na który instytucje powinny zwrócić szczególną uwagę. Ocena ryzyka klienta stanowi podstawę do zastosowania jednego z podstawowych środków bezpieczeństwa finansowego, a mianowicie „ocenę stosunków gospodarczych i, stosownie do sytuacji, uzyskanie informacji na temat ich celu i zamierzonego charakteru”.

Instytucja, opracowując ocenę ryzyka klienta, powinna wziąć pod uwagę nie tylko informacje, które odnoszą się do samego klienta, ale w przypadku m.in. adresatów komunikatu GIIF nr 114 również „wziąć pod uwagę np. typy oferowanych przez klienta produktów czy usług oraz to, czy są one oferowane zdalnie czy stacjonarnie, przy założeniu, że zdalny sposób dystrybucji stwarza wyższe ryzyko, niż dystrybucja stacjonarna”, aby odpowiednio określić zakres zbieranych informacji i danych na temat klienta.

Dane zebrane w ramach oceny ryzyka klienta stanowią podstawę do bieżącego monitorowania zarówno stosunków gospodarczych, jak i – o ile instytucja przetwarza takie dane – transakcji (w tym transakcji okazjonalnych). GIIF w komunikacie nr 114 wielokrotnie podkreśla znaczenie monitoringu, który wpływa na określenie poziomu ryzyka klienta w trakcie trwania stosunku gospodarczego, stosowanie środków bezpieczeństwa finansowego, identyfikacji czynników obniżających i podwyższających ryzyko, a w konsekwencji umożliwiających wychwycenie czynników wskazujących na podstawę do dokonania zgłoszenia do GIIF w przypadku wystąpienia okoliczności, o których mowa w art. 74, 86, 89 lub 90 ustawy AML.

Jak dokonywać identyfikacji i weryfikacji statusu PEP i RCA?

Jak wskazuje GIIF w komunikacie nr 114, podejście oparte na ryzyku powinno być również zastosowane w identyfikacji i weryfikacji osób na eksponowanym stanowisku politycznym (tzw. PEP). Jak podkreśla GIIF, oświadczenia PEP stosowane przez instytucje obowiązane mogą być wciąż stosowane w zakresie identyfikacji, jednak instytucje powinny dokonać weryfikacji zebranych informacji w niezależnych źródłach „takich jak informacje dostępne publicznie, w tym krajowy wykaz stanowisk PEP oraz wiarygodne komercyjne bazy danych”. Podobne wymagania dotyczą również bliskich współpracowników PEP, czyli tzw. RCA, a także ich bliskich członków rodzin.

Obok wymagalności weryfikacji statusu PEP i RCA, GIIF podkreśla również konieczność monitorowania, czy dana osoba posiada aktywny status PEP lub RCA. Jeśli ustały powody, dla których dana osoba jest uznawane za osobę eksponowaną politycznie i minęło 12 miesięcy od chwili wygaśnięcia jej statusu PEP, instytucja powinna dokonać ponownej oceny ryzyka klienta, w celu określenia, czy występują inne dodatkowe przesłanki do kategoryzowania klienta jako klienta wyższego ryzyka.

Z pomocą przy tej weryfikacji klientów i kontrahentów przychodzą narzędzia iAML, które są w pełni zgodne z wytycznymi organów nadzorczych, w tym GIIF – m.in. lista polskich i międzynarodowych PEP i RCA zawierająca codziennie aktualizowane dane z oficjalnych stron źródłowych.

Jak weryfikować klientów na listach sankcyjnych?

Zgodnie z wytycznymi GIIF, instytucje obowiązane powinny monitorować klientów nie tylko w zakresie już omówionym, ale również w zakresie występowania na listach sankcyjnych GIIF oraz na liście osób i podmiotów objętych sankcjami w związku z wojną w Ukrainie opublikowanej na stronie internetowej Ministerstwa Spraw Wewnętrznych i Administracji.

GIIF podkreśla, że instytucje obowiązane powinny weryfikować swoich klientów na listach sankcyjnych przed nawiązaniem stosunków gospodarczych oraz okresowo, z częstotliwością uwzględniającą rodzaj prowadzonej działalności, strukturę klientów, przypisany im poziom ryzyka, a także zgodnie z zasadami określonymi w wewnętrznej procedurze AML danej instytucji obowiązanej.

W ten sposób obowiązek w zakresie należytej staranności niejako rozciąga się również na obszar regulacji sankcyjnych. Należy pamiętać, że lista MSWiA – prowadzona na podstawie przepisów ustawy z dnia 13 kwietnia 2022 roku o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego (nazywana polską ustawą sankcyjną) – jest uzupełnieniem rozporządzeń Unii Europejskiej nakładających sankcje:

• w związku z sytuacją na Białorusi i udziałem Białorusi w agresji Rosji wobec Ukrainy (rozporządzenie 765/2006),
• w sprawie środków ograniczających w odniesieniu do działań podważających integralność terytorialną, suwerenność i niezależność Ukrainy lub im zagrażających (rozporządzeniem 269/2014),
• w formie środków ograniczających w związku z działaniami Rosji destabilizującymi sytuację na Ukrainie (rozporządzeniem 833/2014).

Oznacza to, że instytucje obowiązane powinny odpowiednio monitorować listy sankcyjne związane z tymi rozporządzeniami w celu przestrzegania prawa w zakresie sankcji i ustawy AML.

Wsparciem dla instytucji obowiązanych mogą być narzędzia iAML tworzone i rozwijane w pełnej zgodności z regulacjami prawnymi i wytycznymi organów nadzorczych – w tym listy sankcyjne obowiązujące w Polsce i Unii Europejskiej, zawierające dane z kilkudziesięciu oficjalnych źródeł z kraju, Europy i innych państw świata.

Jakie inne ważne zagadnienia porusza komunikat GIIF nr 114?

Wśród pozostałych obowiązków omówionych przez GIIF w komunikacie nr 114 warto wskazać m.in. konieczność dokumentowania działań w zakresie AML, składania właściwego zgłoszenia transakcji podejrzanej (GIIF opisuje przykład w oparciu o art. 74 i 86 ustawy AML) czy realizacji obowiązku szkoleniowego w obszarze AML.

Analizowany komunikat GIIF warto też zestawić ze stanowiskiem UKNF z 19 marca 2026 roku dotyczącym procesów AML, które powinny zostać uregulowane w procedurach wewnętrznych. Porównując obydwa komunikaty, można zauważyć, że obaj nadzorcy podkreślają, że instytucja powinna posiadać komplementarną procedurę w zakresie AML wynikającą z oceny ryzyka instytucji. Procedura ta powinna mieć postanowienia, które spełniają wymagania formalne i są zrozumiałe dla pracowników, co przekłada się na faktycznie stosowanie dokumentów AML w codziennych zadaniach.

Komunikat GIIF nr 114 jest obszerny i nie sposób podsumować go całego w jednym opracowaniu. Jest on jednak bardzo ważny, a poruszane zagadnienia wpisują się w szerszy zakres działań organów regulacyjnych, których celem jest identyfikacja potencjalnych miejsc wymagających sprawdzenia i weryfikacji w celu dostosowania polskich regulacji prawnych do rozporządzenia AMLR, którego przepisy wchodzą w życie 10 lipca 2027 roku.

FAQ, czyli komunikat GIIF nr 114 w pigułce:

1. Do kogo jest skierowany komunikat GIIF nr 114?

Do instytucji obowiązanych wymienionych w art. 2 ust. 1 pkt 15, 15a i 17 ustawy AML, czyli doradców podatkowych, biegłych rewidentów i podmiotów prowadzących działalność usługowego prowadzenia ksiąg rachunkowych oraz przedsiębiorców, których podstawową działalnością gospodarczą jest świadczenie usług polegających na sporządzaniu deklaracji, prowadzeniu ksiąg podatkowych, udzielaniu porad, opinii lub wyjaśnień z zakresu przepisów prawa podatkowego lub celnego, niebędących innymi instytucjami obowiązanymi.

2. Jakie zagadnienia i obowiązki omawia komunikat GIIF nr 114?

Komunikat GIIF nr 114 omawia obowiązki instytucji obowiązanych w zakresie AML/CFT. Wskazuje m.in. na konieczność oceny ryzyka, stosowania środków bezpieczeństwa finansowego, identyfikacji klienta i beneficjenta rzeczywistego oraz weryfikacji danych w CRBR. Obejmuje również obowiązki dotyczące PEP, sankcji, szkoleń pracowników, dokumentowania czynności oraz zgłaszania podejrzanych transakcji do GIIF.

3. Jakie znaczenie dla innych instytucji obowiązanych ma komunikat GIIF nr 114?

Choć dokument został przygotowany dla konkretnej grupy instytucji obowiązanych, to zawarte w nim informacje i przykłady mogą być potraktowane jako punkt odniesienia także dla innych podmiotów, ponieważ GIIF wyjaśnia sposób realizacji obowiązków AML/CFT. Wskazania z tego komunikatu nie odnoszą się jednak do każdej instytucji obowiązanej, a zatem zakres i sposób realizacji obowiązków trzeba zawsze oceniać indywidualnie.

4. Jakie jest główne przesłanie komunikatu GIIF nr 114?

W uproszczeniu można powiedzieć, że w swoim komunikacie GIIF prezentuje pewien standard realizacji obowiązków AML/CFT dla instytucji niefinansowych – wskazuje konieczność odejścia od traktowania AML/CFT jako zbioru obowiązków i skupienia się na budowaniu skutecznego systemu zarządzania ryzykiem AML/CFT. GIIF oczekuje, że instytucje obowiązane nie tylko będą posiadać odpowiednie procedury, ale również będą mogły udowodnić ich skuteczne stosowanie w codziennej działalności oraz uzasadnić podejmowane decyzje w oparciu o ocenę ryzyka.

5. Jakie znaczenie w procesach AML/CFT ma ocena ryzyka instytucji?

Ocena ryzyka instytucji powinna być dostosowana do specyfiki działalności, klientów i świadczonych usług. Nie powinna być jedynie formalnym dokumentem, ale podstawą do odpowiedniego doboru środków zmniejszających ryzyko prania pieniędzy, m.in. środków w zakresie identyfikacji i weryfikacji klienta, monitoringu transakcji i stosunków gospodarczych oraz innych.

6. Czy posiadanie procedury AML oznacza prawidłową realizację obowiązków AML?

Sama procedura AML nie jest wystarczająca do udowodnienia zgodności z przepisami ustawy AML. Procedury powinny odpowiadać rzeczywistej działalności instytucji obowiązanej i być faktycznie stosowane. Powinny również podlegać okresowej weryfikacji i aktualizacji.

7. Jakie znaczenie ma dokumentowanie działań w obszarze AML/CFT?

Odpowiednie udokumentowanie działań podejmowanych w zakresie AML/CFT pozwala wykazać w razie kontroli, że instytucja obowiązana prawidłowo realizuje swoje obowiązki i podejmuje decyzje w oparciu o rzetelnie przeprowadzone analizy.