AML w mikrofirmie: czy Ciebie też dotyczy i jak wdrożyć obowiązki bez paraliżu biznesu

Ustawa o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (AML/CFT) zwykle kojarzy się z bankami. Tymczasem katalog tzw. „instytucji obowiązanych” obejmuje również wiele małych firm usługowych. Jeśli prowadzisz biuro rachunkowe, świadczysz doradztwo podatkowe, pośredniczysz w obrocie nieruchomościami, sprzedajesz lub pośredniczysz w obrocie walutami/krypto – AML prawdopodobnie Cię dotyczy. Poniżej znajdziesz esencję: kiedy powstaje obowiązek, co musisz mieć „na papierze” i jak praktycznie zorganizować proces.

Kto jest „instytucją obowiązaną”

Ustawa AML wymienia szeroką listę podmiotów – od banków i ubezpieczycieli, przez biura rachunkowe i doradców podatkowych, notariuszy i adwokatów, po pośredników w obrocie nieruchomościami czy podmioty świadczące usługi na rzecz spółek. Jeżeli Twoja działalność mieści się w tym katalogu, musisz stosować określone środki bezpieczeństwa finansowego, szkolić personel i raportować określone transakcje.

10 kluczowych obowiązków AML w małej firmie

1) Ocena ryzyka – dokument, który opisuje, na co narażona jest Twoja firma, biorąc pod uwagę rodzaje klientów, produktów/usług, kanały dystrybucji i geografie.

2) Procedura wewnętrzna – spisana instrukcja „kto, co i jak” robi: identyfikacja i weryfikacja klienta, progi i eskalacje, sposób dokumentowania czynności, reguły odmowy współpracy.

3) Wyznaczenie osoby odpowiedzialnej – w praktyce „compliance officer” (w mikrofirmie może to być właściciel/partner).

4) KYC/CDD – identyfikacja i weryfikacja klienta, w tym ustalenie beneficjenta rzeczywistego i celu relacji; przy podwyższonym ryzyku – środki wzmożone.

5) Monitorowanie relacji – bieżące obserwowanie transakcji i zachowań klientów oraz aktualizacja dokumentacji.

6) Rejestry i archiwizacja – przechowywanie dowodów weryfikacji i dokumentów przez wymagany okres (co do zasady 5 lat licząc od zakończenia relacji, z możliwością przedłużenia w szczególnych przypadkach).

7) Raportowanie do GIIF – obowiązek przekazywania zawiadomień o podejrzeniach (SAR) i innych danych, gdy spełnione są kryteria ustawowe.

8) Szkolenia – regularne szkolenie pracowników adekwatne do ich zadań (także w małych zespołach).

9) Niezależny przegląd – okresowa weryfikacja, czy procedury działają i są stosowane.

10) Sankcje i rejestr naruszeń – mechanizm wyciągania konsekwencji i rejestr błędów, z których uczysz się na przyszłość.

Praktyczny „minimalny pakiet” dla mikrofirmy

Jeśli działasz w branży objętej AML, przygotuj krótką, ale konkretną dokumentację: ocenę ryzyka, procedurę KYC (z checklistami), wzory notatek z weryfikacji, rejestr szkoleń, schemat raportowania do GIIF i zestaw „red flagów”. Zadbaj o prosty system przechowywania plików (np. repozytorium w chmurze z kontrolą dostępu) i przypomnienia o przeglądach.

Za co grożą kary

Ustawa przewiduje szeroki katalog sankcji administracyjnych: od upomnień i publikacji informacji o naruszeniu, po dotkliwe kary finansowe. W praktyce częste uchybienia to: brak aktualnej oceny ryzyka, brak wdrożonej procedury, brak szkoleń albo brak dokumentów potwierdzających identyfikację klienta.

Podsumowanie

AML to nie tylko obowiązek, ale i element budowania zaufania. Wdrożenie sensownych, lekkich procesów w mikrofirmie jest możliwe – wymaga porządku w dokumentacji, jasnych ról i regularnych przeglądów. Zacznij od prostego „minimum”, a później doszczegóławiaj w miarę wzrostu ryzyka i skali działalności.

Źródła

https://dziennikustaw.gov.pl/DU/2025/644 – Tekst jednolity ustawy AML (2025 r.): definicje, katalog instytucji obowiązanych, obowiązki i sankcje.

https://www.gov.pl/web/finanse/przeciwdzialanie-praniu-pieniedzy-i-finansowaniu-terroryzmu – Strona MF/GIIF: podstawy systemu, materiały i komunikaty.

https://www.knf.gov.pl/?articleId=92572&p_id=18 – KNF o obowiązku szkoleniowym i elementach procedury wewnętrznej.