UE AML 2027: nowe obowiązki dla firm w Polsce – co należy zrobić już teraz?

Unijny pakiet AML/CFT zmienia sposób, w jaki przedsiębiorstwa identyfikują klientów, oceniają ryzyko i dokumentują działania związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu. Większość przepisów rozporządzenia (UE) 2024/1624 zacznie być stosowana 10 lipca 2027 r. Choć termin może wydawać się odległy, dostosowanie procedur, danych i systemów warto rozpocząć już dziś.

„UE AML 27” – o jakie regulacje chodzi?

Określenie „UE AML 27” jest używane nieformalnie w odniesieniu do nowych unijnych ram AML/CFT, których kluczowe wymogi zaczną obowiązywać w 2027 r. Pakiet obejmuje przede wszystkim bezpośrednio stosowane rozporządzenie (UE) 2024/1624, dyrektywę (UE) 2024/1640 dotyczącą krajowych mechanizmów AML oraz rozporządzenie (UE) 2024/1620 ustanawiające nowy unijny organ nadzoru – AMLA. Celem zmian jest ograniczenie różnic między państwami członkowskimi i ujednolicenie standardów w całej UE.

Kogo obejmą nowe przepisy?

Zmiany dotyczą instytucji obowiązanych już objętych reżimem AML oraz części nowych kategorii podmiotów. Są to m.in. banki i instytucje finansowe, firmy ubezpieczeniowe, dostawcy usług płatniczych i kryptoaktywów, biura rachunkowe, doradcy podatkowi, audytorzy, wybrane kancelarie prawne, pośrednicy nieruchomości, podmioty prowadzące działalność hazardową oraz przedsiębiorcy handlujący określonymi towarami o wysokiej wartości. Zakres obejmie także zawodowe kluby i agentów piłkarskich, przy czym część przepisów w tym sektorze ma być stosowana później, a państwa mogą przewidzieć ograniczone wyłączenia oparte na ryzyku.

Najważniejsze nowe obowiązki

1. Udokumentowana ocena ryzyka całej działalności

Firma będzie musiała rozpoznawać ryzyko prania pieniędzy, finansowania terroryzmu oraz niewykonania ukierunkowanych sankcji finansowych w odniesieniu do klientów, państw, produktów, usług, transakcji i kanałów dystrybucji. Ocena ma być proporcjonalna do skali działalności, zatwierdzana przez organ zarządzający, aktualizowana oraz uwzględniana przed wdrożeniem nowych produktów, technologii lub praktyk biznesowych.

2. Silniejsze zarządzanie i odpowiedzialność kadry kierowniczej

Organ zarządzający powinien zatwierdzać polityki i procedury AML. Należy wyznaczyć osobę na poziomie kierowniczym odpowiedzialną za zgodność oraz – gdy jest to uzasadnione wielkością podmiotu – funkcję compliance AML obsługującą bieżące działania. Odpowiedzialność za system nie może pozostać wyłącznie po stronie operacyjnej.

3. Jednolite i bardziej szczegółowe KYC oraz CDD

Przed nawiązaniem lub w trakcie relacji firma musi identyfikować i weryfikować klienta oraz beneficjenta rzeczywistego, rozumieć cel i charakter relacji, a następnie prowadzić monitoring oparty na ryzyku. Dane powinny być aktualne, spójne i możliwe do odtworzenia podczas kontroli. W praktyce oznacza to przegląd formularzy onboardingowych, źródeł danych, scenariuszy eskalacji oraz częstotliwości ponownej weryfikacji.

4. Beneficjent rzeczywisty – większy nacisk na kontrolę i rozbieżności

Samo odczytanie wpisu w CRBR nie zastąpi analizy struktury własności i kontroli. Podmiot powinien potrafić wykazać, w jaki sposób ustalił beneficjenta rzeczywistego, jakie dokumenty sprawdził oraz jak rozwiązał rozbieżności. Obowiązki raportowania rozbieżności i przechowywania dowodów staną się kluczowym elementem ścieżki audytowej.

5. Monitoring transakcji, sankcji i podejrzanych aktywności

Procesy powinny umożliwiać bieżące wykrywanie nietypowych zachowań, analizę alertów, dokumentowanie decyzji oraz terminowe zgłaszanie podejrzeń do właściwej jednostki analityki finansowej. Firmy powinny również zintegrować kontrole AML z obsługą sankcji finansowych, w tym zapewnić regularne aktualizowanie list i jasną procedurę reakcji na trafienie.

6. Limit płatności gotówkowych

Rozporządzenie wprowadza unijny limit płatności gotówkowych za towary lub usługi w wysokości 10 000 euro. Państwa członkowskie mogą stosować niższy próg. Firmy przyjmujące gotówkę powinny więc sprawdzić zasady łączenia płatności, zmienić regulaminy i skonfigurować mechanizmy blokujące transakcje przekraczające właściwy limit krajowy.

Co firma w Polsce powinna zrobić teraz?

1. Potwierdzić zakres regulacyjny. Ustalić, czy firma jest lub stanie się instytucją obowiązaną, a także które spółki, oddziały, produkty i kanały sprzedaży obejmie pakiet.
2. Przeprowadzić analizę luk. Porównać obecny system AML z rozporządzeniem, polską ustawą oraz projektowanymi standardami technicznymi AMLA.
3. Zaktualizować ocenę ryzyka. Uwzględnić ryzyko klienta, geograficzne, produktowe, transakcyjne, technologiczne i sankcyjne oraz powiązać wynik z poziomem środków bezpieczeństwa.
4. Przebudować procedury i odpowiedzialności. Zaktualizować KYC/CDD, PEP, beneficjentów rzeczywistych, monitoring, zgłoszenia, outsourcing, archiwizację oraz role zarządu i compliance.
5. Sprawdzić jakość danych i systemów. Zidentyfikować brakujące pola, nieaktualne rekordy, ręczne obejścia i ograniczenia w raportowaniu; zaplanować testy i migrację danych.
6. Przejrzeć umowy z dostawcami. Zapewnić dostęp do danych, standardy audytu, bezpieczeństwo, ciągłość działania i jasny podział odpowiedzialności.
7. Przeszkolić właściwe osoby. Program powinien objąć nie tylko zespół AML, lecz także zarząd, sprzedaż, obsługę klienta, finanse, IT oraz współpracowników wykonujących zadania AML.
8. Utworzyć plan wdrożenia do lipca 2027 r. Wskazać właścicieli, budżet, kamienie milowe, zależności oraz cykl raportowania postępów do zarządu.

Praktyczna mapa wdrożenia

Najczęstszy błąd: odkładanie projektu do czasu polskiej nowelizacji

Rozporządzenie AML będzie stosowane bezpośrednio, dlatego nie warto uzależniać całego programu od zakończenia krajowych prac legislacyjnych. Polska ustawa pozostanie ważna dla kompetencji organów, kontroli, rejestrów i rozwiązań krajowych, ale zasadnicze wymogi operacyjne są już znane. Nadal rozwijane są standardy i wytyczne AMLA, więc projekt powinien obejmować regularny monitoring regulacyjny i możliwość aktualizacji przyjętych rozwiązań.

Pakiet AML 2027 to nie tylko aktualizacja instrukcji compliance. To zmiana obejmująca ład korporacyjny, dane, technologię, relacje z klientami i odpowiedzialność zarządu. Organizacje, które rozpoczną od analizy luk i uporządkowania danych, zyskają czas na spokojne testy oraz unikną kosztownego wdrożenia w ostatniej chwili. Najważniejszy krok na dziś jest prosty: wyznaczyć właściciela programu i przedstawić zarządowi plan gotowości do 10 lipca 2027 r.

Jak CRIF wspiera firmy w Polsce?

CRIF wspiera instytucje już objęte reżimem AML oraz części nowych podmiotów biznesowych, które będą musiały rozpoznawać ryzyko prania pieniędzy i przeciwdziałania finansowania terroryzmu w zakresie kompetencji doradczych i narzędzi wspierających proces AML.

Jeśli Twoja firma jest zainteresowana poznaniem rozwiązań AML CRIF, to wejdź na stronę Nowoczesne podejście do AML i dowiedz się więcej.