Procedura AML dla firmy krypto lub fintech nie powinna być gotowym dokumentem pobranym z internetu i podpisanym przez zarząd bez głębszej analizy. W branży finansowej, płatniczej i krypto procedura AML jest jednym z najważniejszych dokumentów compliance. Ma pokazywać, jak firma w praktyce identyfikuje klienta, ocenia ryzyko, monitoruje transakcje, reaguje na podejrzane zachowania i wykonuje obowiązki wobec Generalnego Inspektora Informacji Finansowej.
W firmach technologicznych problem polega na tym, że ryzyko AML często nie wygląda klasycznie. Nie zawsze chodzi o klienta, który przychodzi do placówki z gotówką. Częściej chodzi o użytkownika aplikacji, portfel kryptowalutowy, szybkie przepływy środków, nietypowe transakcje, transakcje transgraniczne, zautomatyzowany onboarding, klienta z innej jurysdykcji albo środki pochodzące z adresu blockchain powiązanego z ryzykiem.
Dlatego procedura AML powinna odpowiadać na bardzo praktyczne pytania: kto w firmie odpowiada za AML, jak wygląda KYC, jakie dane zbieramy od klienta, kiedy klient staje się high risk, jak monitorujemy transakcje, co robimy z alertem, kiedy prosimy o source of funds, kiedy blokujemy transakcję, kiedy zgłaszamy sprawę do GIIF i jak dokumentujemy decyzję.
Podstawą jest ustawa z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. To ona wskazuje, kto jest instytucją obowiązaną, jakie środki bezpieczeństwa finansowego trzeba stosować, kiedy sporządzać ocenę ryzyka i co powinna zawierać wewnętrzna procedura AML. W przypadku podmiotów krypto znaczenie mają również regulacje unijne, w szczególności MiCA oraz rozporządzenie 2023/1113 dotyczące informacji towarzyszących transferom środków i niektórych kryptoaktywów, czyli tzw. Travel Rule.
W skrócie: dobra procedura AML powinna być instrukcją działania, a nie dokumentem „na kontrolę”
Dobra procedura AML powinna pokazywać, jak firma realnie wykonuje obowiązki. Nie wystarczy napisać, że „spółka identyfikuje klienta i monitoruje transakcje”. Trzeba opisać, kto to robi, w jakim systemie, na podstawie jakich danych, według jakich kryteriów, z jaką częstotliwością i co dzieje się w przypadku alertu.
Przykład: jeżeli firma prowadzi kantor krypto online, procedura powinna wyjaśniać, czy klient może zrealizować transakcję przed pełnym KYC, od jakiego progu wymagane są dodatkowe dokumenty, jak firma bada adres portfela, co robi przy ekspozycji na mikser, giełdę wysokiego ryzyka albo adres sankcyjny, kto może zatwierdzić transakcję high risk i jak dokumentuje się decyzję.
Taki dokument powinien być możliwy do użycia przez compliance officerów, zarząd, customer support, zespół operacyjny i osoby odpowiedzialne za produkt. Jeżeli procedura jest tak ogólna, że nikt nie wie, co zrobić z realnym alertem, to w praktyce nie spełnia swojej roli.
Przykład z fintechu: jeżeli firma oferuje usługę płatniczą dla merchantów, procedura powinna opisywać, jak badana jest branża sprzedawcy, kto jest beneficjentem rzeczywistym spółki, czy merchant działa w branży podwyższonego ryzyka, jak monitorowane są nietypowe chargebacki, szybkie przepływy przez rachunek i transakcje niepasujące do deklarowanego profilu działalności.
Kiedy firma krypto lub fintech musi mieć procedurę AML?
Procedura AML jest obowiązkowa dla instytucji obowiązanych. W branży fintech szczególne znaczenie ma art. 2 ust. 1 pkt 3 ustawy AML, który obejmuje m.in. krajowe instytucje płatnicze, krajowe instytucje pieniądza elektronicznego, małe instytucje płatnicze, biura usług płatniczych i agentów rozliczeniowych. W branży krypto kluczowy jest art. 2 ust. 1 pkt 12 ustawy AML, który obejmuje podmioty świadczące usługi wymiany pomiędzy walutami wirtualnymi i środkami płatniczymi, wymiany pomiędzy walutami wirtualnymi, pośrednictwa w takiej wymianie oraz prowadzenia określonych rachunków dla walut wirtualnych.
To oznacza, że nie sama nazwa projektu decyduje o obowiązkach AML, tylko rzeczywisty model działania.
Firma, która tworzy wyłącznie oprogramowanie dla podmiotu regulowanego, nie zawsze będzie instytucją obowiązaną. Ale firma, która samodzielnie obsługuje wymianę krypto, pośredniczy w wymianie, prowadzi rachunki lub świadczy usługi płatnicze, może wejść w pełny reżim AML.
Przykład: software house buduje moduł KYC dla giełdy krypto. Jeżeli tylko dostarcza technologię i nie obsługuje klientów końcowych, jego sytuacja może być inna niż sytuacja giełdy. Ale jeżeli ten sam podmiot uruchamia własną aplikację umożliwiającą użytkownikom kupno i sprzedaż krypto za walutę fiat, analiza AML jest już konieczna.
Przykład: startup fintech oferuje aplikację do zarządzania wydatkami i analitykę finansową, ale nie realizuje płatności i nie przechowuje środków. Sam fakt działania w branży fintech nie musi jeszcze oznaczać statusu instytucji obowiązanej. Jeżeli jednak model obejmuje usługę płatniczą, rachunki, pieniądz elektroniczny albo transfer środków, sytuacja może się zmienić.
Procedura AML zaczyna się od oceny ryzyka
Najpierw trzeba zrozumieć, gdzie w danym biznesie powstaje ryzyko prania pieniędzy lub finansowania terroryzmu. Art. 27 ustawy AML wymaga, aby instytucje obowiązane identyfikowały i oceniały ryzyko związane ze swoją działalnością, uwzględniając m.in. klientów, państwa lub obszary geograficzne, produkty, usługi, transakcje i kanały dostaw. Ocena ryzyka powinna być sporządzona w postaci papierowej lub elektronicznej i aktualizowana w razie potrzeby, nie rzadziej niż co 2 lata.
W praktyce procedura AML powinna wynikać z tej oceny ryzyka. Jeżeli ocena ryzyka mówi, że firma obsługuje klientów z wielu jurysdykcji, szybkie transfery, aktywa cyfrowe i transakcje online, procedura nie może wyglądać jak dokument dla lokalnego biura rachunkowego.
Przykład: firma krypto obsługuje transakcje BTC, ETH i stablecoinów. W ocenie ryzyka wskazuje, że stablecoiny mogą być używane do szybkiego transferu wartości między giełdami, portfelami prywatnymi i różnymi jurysdykcjami. W procedurze AML powinno więc znaleźć się nie tylko „monitorujemy transakcje”, ale konkret: jakie alerty dotyczą stablecoinów, kiedy wymagamy dodatkowego wyjaśnienia, jak weryfikujemy źródło środków i kto podejmuje decyzję o kontynuacji relacji.
Przykład: fintech obsługuje merchantów z branży e-commerce. W ocenie ryzyka wskazuje, że wyższe ryzyko dotyczy merchantów sprzedających towary cyfrowe, usługi subskrypcyjne, produkty o wysokim poziomie reklamacji albo działających w wielu krajach. W procedurze AML powinny znaleźć się zasady onboardingu takich merchantów, weryfikacji beneficjenta rzeczywistego, monitoringu chargebacków i reakcji na nagły wzrost wolumenu.
Co wpisać do procedury AML? Praktyczna mapa elementów
Poniżej znajduje się praktyczny układ procedury AML, który można dopasować do modelu firmy krypto lub fintech. Nie chodzi o mechaniczne rozbudowywanie dokumentu. Chodzi o to, żeby każdy element miał znaczenie operacyjne.
| Element procedury AML | Co powinno być opisane | Przykład dla krypto/fintech |
|---|---|---|
| Model działalności | jakie usługi świadczy firma, dla kogo, w jakich krajach i przez jakie kanały | kantor krypto online, aplikacja płatnicza, platforma wymiany, operator portfela, merchant acquiring |
| Odpowiedzialność AML | kto odpowiada za AML, kto zatwierdza klientów high risk, kto kontaktuje się z GIIF | compliance officer analizuje alert, zarząd zatwierdza PEP/high risk |
| Ocena ryzyka klienta | kryteria low/medium/high risk | klient z kraju wysokiego ryzyka, skomplikowana struktura udziałowa, nietypowy wolumen |
| KYC | dane i dokumenty wymagane od klienta | dokument tożsamości, dane spółki, reprezentacja, beneficjent rzeczywisty |
| Beneficjent rzeczywisty | jak firma ustala właściciela lub osobę kontrolującą klienta | spółka z kilkoma poziomami właścicielskimi, fundacja, trust, holding zagraniczny |
| PEP i sankcje | screening klienta, beneficjenta i osób powiązanych | klient jest członkiem rodziny PEP albo pojawia się na liście sankcyjnej |
| Monitoring transakcji | jakie transakcje są analizowane i jakie alerty powstają | szybkie wejście i wyjście środków, transakcje nieadekwatne do profilu |
| KYT/on-chain analytics | analiza portfeli i historii blockchain | ekspozycja na mikser, scam, darknet, ransomware, adres sankcyjny |
| Travel Rule | jakie dane towarzyszą transferom kryptoaktywów | brak danych nadawcy lub odbiorcy, transfer z portfela niehostowanego |
| Zgłoszenia do GIIF | kto potwierdza podejrzenie i jak przygotowuje zawiadomienie | alert + wyjaśnienia klienta nie usuwają podejrzenia |
| Retencja dokumentów | co i jak długo przechowujemy | dokumenty KYC, wyniki analiz, alerty, decyzje compliance |
| Szkolenia | kto, jak często i z czego jest szkolony | osobne szkolenie dla supportu, compliance i zespołu produktowego |
| Naruszenia i whistleblowing | jak zgłaszać naruszenia AML wewnątrz organizacji | anonimowe zgłoszenie pracownika, że klient próbuje obejść procedurę |
| Kontrola wewnętrzna | kto sprawdza, czy procedura działa | okresowy audyt alertów, test próbek KYC, przegląd decyzji high risk |
Art. 50 ust. 2 ustawy AML wskazuje, że wewnętrzna procedura powinna określać m.in. działania ograniczające ryzyko, zasady rozpoznawania i oceny ryzyka, środki zarządzania ryzykiem, zasady stosowania środków bezpieczeństwa finansowego, przechowywania dokumentów, przekazywania informacji do GIIF, szkolenia, zgłaszanie naruszeń oraz kontrolę wewnętrzną. Procedura przed wprowadzeniem powinna zostać zaakceptowana przez kadrę kierowniczą wyższego szczebla.
KYC: procedura musi mówić, jak firma naprawdę poznaje klienta
KYC, czyli Know Your Customer, to nie tylko zebranie skanu dowodu. Ustawa AML w art. 34 wskazuje, że środki bezpieczeństwa finansowego obejmują m.in. identyfikację klienta i weryfikację jego tożsamości, identyfikację beneficjenta rzeczywistego, ustalenie struktury własności i kontroli przy klientach korporacyjnych, ocenę celu i charakteru relacji oraz bieżące monitorowanie stosunków gospodarczych. Instytucja obowiązana musi też dokumentować zastosowane środki bezpieczeństwa i wyniki bieżącej analizy transakcji.
W procedurze AML trzeba więc opisać różne ścieżki KYC.
Dla osoby fizycznej procedura powinna wskazywać, jakie dane są zbierane, jak następuje weryfikacja dokumentu, czy wykorzystywana jest wideoweryfikacja, przelew weryfikacyjny, kwalifikowany podpis elektroniczny, narzędzie zewnętrznego dostawcy KYC lub inna metoda. Warto też opisać, kiedy firma wymaga dodatkowego dokumentu, np. potwierdzenia adresu, źródła środków albo wyjaśnienia celu transakcji.
Dla spółki procedura powinna opisywać nie tylko pobranie danych z rejestru. Trzeba ustalić reprezentację, strukturę właścicielską, beneficjenta rzeczywistego, osoby kontrolujące klienta, branżę, kraj działalności, przewidywany wolumen transakcji i cel korzystania z usługi.
Przykład: do fintechu zgłasza się spółka zarejestrowana w kraju UE, ale jej udziałowcem jest spółka z jurysdykcji offshore, a beneficjent rzeczywisty deklaruje rezydencję w państwie trzecim. Procedura powinna wskazywać, czy taki klient automatycznie trafia do enhanced due diligence, jakie dokumenty trzeba zebrać i kto może zaakceptować relację.
Przykład: użytkownik kantoru krypto chce kupić stablecoiny za dużą kwotę, ale jego wcześniejsza aktywność była niewielka. Sam fakt wysokiej transakcji nie musi oznaczać naruszenia, ale procedura powinna wskazywać, kiedy trzeba poprosić o źródło środków, dokumenty potwierdzające dochód, historię transakcji albo wyjaśnienie ekonomicznego celu transakcji.
KYT i monitoring transakcji: w krypto sama weryfikacja klienta nie wystarczy
W branży krypto bardzo ważny jest KYT, czyli Know Your Transaction. Klient może przejść KYC poprawnie, a mimo to wykonywać transakcje, które nie pasują do jego profilu lub mają ekspozycję na wysokie ryzyko on-chain.
Procedura AML powinna opisywać, czy firma korzysta z narzędzi do analizy blockchain, jakie ryzyka są traktowane jako alert, jak klasyfikowane są adresy portfeli, jakie ekspozycje wymagają ręcznej analizy i kiedy transakcja jest odrzucana albo wstrzymywana.
Przykładowe alerty w firmie krypto:
| Alert | Co może oznaczać | Co powinna przewidywać procedura |
|---|---|---|
| środki pochodzą z adresu powiązanego z mikserem | próba utrudnienia identyfikacji źródła środków | ręczna analiza, source of funds, możliwe odrzucenie transakcji |
| ekspozycja na scam/ransomware | ryzyko pochodzenia środków z przestępstwa | eskalacja do AML officer, analiza zgłoszenia do GIIF |
| nagły wzrost wolumenu | zmiana profilu klienta | ponowna ocena ryzyka i aktualizacja KYC |
| częste transfery do wielu portfeli | możliwe rozproszenie środków | analiza celu transakcji i wzorca zachowania |
| transfer z portfela niehostowanego | konieczność dodatkowej weryfikacji w zależności od modelu i ryzyka | procedura Travel Rule i potwierdzenie kontroli portfela |
W fintechu monitoring będzie wyglądał inaczej. Tam alertem może być np. nagły wzrost liczby transakcji u merchanta, nietypowo wysoki poziom chargebacków, płatności niepasujące do deklarowanej branży, przepływy przez rachunek bez widocznego uzasadnienia gospodarczego albo korzystanie z usługi w sposób inny niż opisany podczas onboardingu.
Art. 33 ustawy AML wymaga rozpoznawania i dokumentowania ryzyka związanego z relacją lub transakcją, a art. 34 ust. 1 pkt 4 wskazuje na bieżące monitorowanie stosunków gospodarczych, w tym analizę transakcji pod kątem zgodności z wiedzą instytucji o kliencie i jego działalności.
Klienci high risk: procedura musi mówić, co dzieje się dalej
W procedurach AML często pojawia się podział klientów na low, medium i high risk. Problem w tym, że w wielu dokumentach to tylko tabela. Brakuje odpowiedzi, co praktycznie dzieje się po przypisaniu klientowi wyższego ryzyka.
Art. 43 ustawy AML przewiduje stosowanie wzmożonych środków bezpieczeństwa finansowego w przypadkach wyższego ryzyka prania pieniędzy lub finansowania terroryzmu. Ustawa podaje przykładowe okoliczności, które mogą świadczyć o wyższym ryzyku, m.in. nietypowe okoliczności nawiązania relacji lub określone cechy klienta.
W procedurze warto więc jasno opisać, że klient high risk oznacza konkretne działania, np.:
| Sytuacja | Przykład | Możliwe działanie |
|---|---|---|
| kraj wysokiego ryzyka | klient lub beneficjent rzeczywisty ma powiązanie z taką jurysdykcją | dodatkowe dokumenty, akceptacja zarządu, częstszy monitoring |
| skomplikowana struktura | kilka poziomów spółek, fundacja, trust | ustalenie realnej kontroli i źródła majątku |
| PEP | klient lub beneficjent jest osobą zajmującą eksponowane stanowisko polityczne | zgoda kadry kierowniczej, ustalenie źródła majątku, wzmożony monitoring |
| nietypowy wolumen | klient deklaruje małe obroty, ale generuje duże transfery | aktualizacja profilu klienta i source of funds |
| ryzyko on-chain | środki mają ekspozycję na mixer lub scam | eskalacja, blokada, odmowa, analiza zawiadomienia |
W przypadku PEP warto odwołać się wprost do art. 46 ustawy AML. Przepis wymaga procedur opartych na analizie ryzyka w celu ustalenia, czy klient lub beneficjent rzeczywisty jest PEP. Przy relacji z PEP instytucja obowiązana musi m.in. uzyskać akceptację kadry kierowniczej wyższego szczebla, ustalić źródło majątku i źródło pochodzenia wartości majątkowych oraz intensyfikować bieżący monitoring.
Co zrobić, gdy nie da się zweryfikować klienta?
To powinno być w procedurze napisane bardzo konkretnie. Art. 41 ustawy AML wskazuje, że jeżeli instytucja obowiązana nie może zastosować jednego ze środków bezpieczeństwa finansowego, nie nawiązuje stosunków gospodarczych, nie przeprowadza transakcji okazjonalnej, nie przeprowadza transakcji za pośrednictwem rachunku bankowego albo rozwiązuje stosunki gospodarcze. Instytucja ocenia też, czy brak możliwości zastosowania środków bezpieczeństwa stanowi podstawę do zawiadomienia GIIF.
Przykład: klient zakłada konto w aplikacji, ale dokument tożsamości nie przechodzi weryfikacji, dane z dokumentu są niespójne z danymi podanymi w formularzu, a klient odmawia dosłania wyjaśnień. Procedura powinna wskazywać, że konto nie zostaje aktywowane, transakcja nie jest realizowana, a sprawa może trafić do oceny compliance.
Przykład: spółka chce korzystać z usługi płatniczej, ale nie jest w stanie wskazać beneficjenta rzeczywistego, struktura właścicielska jest niejasna, a dostarczone dokumenty nie potwierdzają realnej kontroli. Procedura powinna wskazywać, czy relacja jest odrzucana, czy kierowana do dodatkowej analizy i kto podejmuje decyzję.
Travel Rule: obowiązek, którego firmy krypto nie powinny traktować jako dodatku
Dla podmiotów krypto szczególne znaczenie ma Travel Rule. Rozporządzenie 2023/1113 dotyczy informacji towarzyszących transferom środków pieniężnych i niektórych kryptoaktywów. W praktyce chodzi o zasadę, zgodnie z którą określone informacje o nadawcy i odbiorcy powinny towarzyszyć transferowi.
Europejski Urząd Nadzoru Bankowego opublikował wytyczne dotyczące Travel Rule. EBA wskazuje, że wytyczne mają pomagać dostawcom usług płatniczych oraz dostawcom usług w zakresie kryptoaktywów wykrywać transfery z brakującymi lub niekompletnymi informacjami i określać, jak postępować z takimi transferami. Wytyczne stosuje się od 30 grudnia 2024 r.
GIIF w komunikacie nr 113 odniósł się do stosowania wytycznych EBA dotyczących Travel Rule oraz zasad raportowania do GIIF. W komunikacie wskazano m.in., że obowiązek dotyczy podmiotów wpisanych do rejestru działalności w zakresie walut wirtualnych prowadzonego przez Dyrektora Izby Administracji Skarbowej w Katowicach.
Procedura AML dla firmy krypto powinna więc zawierać osobny fragment dotyczący Travel Rule. Warto opisać:
| Obszar | Co powinno być w procedurze |
|---|---|
| dane nadawcy i odbiorcy | jakie dane są wymagane przy transferze i kiedy |
| transfer przychodzący | co robimy, gdy brakuje danych albo są niepełne |
| transfer wychodzący | kiedy transfer może zostać wysłany i jakie dane mu towarzyszą |
| portfel niehostowany | jak potwierdzamy kontrolę klienta nad portfelem |
| powtarzalne braki danych | kiedy relacja z kontrahentem lub innym CASP wymaga ograniczenia |
| raportowanie | kiedy sprawa może wymagać analizy pod kątem zgłoszenia do GIIF |
| dowody | jak dokumentujemy decyzję, alert i korespondencję |
Przykład: klient chce wypłacić krypto na portfel niehostowany. Procedura powinna wskazywać, czy firma wymaga potwierdzenia kontroli nad portfelem, w jaki sposób jest ono wykonywane i co dzieje się, gdy klient nie przejdzie takiej weryfikacji.
Przykład: firma otrzymuje transfer od innego podmiotu, ale informacje o nadawcy są niepełne. Procedura powinna wskazywać, kto analizuje sprawę, czy transfer jest wstrzymany, czy firma prosi o uzupełnienie danych i kiedy incydent może wpływać na ocenę ryzyka kontrahenta.
Zgłoszenia do GIIF: procedura powinna opisywać ścieżkę decyzji
W procedurze AML trzeba opisać, jak firma postępuje w przypadku podejrzenia prania pieniędzy lub finansowania terroryzmu. Art. 74 ustawy AML przewiduje obowiązek zawiadomienia GIIF o okolicznościach, które mogą wskazywać na podejrzenie popełnienia przestępstwa prania pieniędzy lub finansowania terroryzmu. Zawiadomienie przekazuje się niezwłocznie, nie później niż w terminie 2 dni roboczych od dnia potwierdzenia podejrzenia przez instytucję obowiązaną.
To ważne, bo termin nie powinien być liczony od pierwszego automatycznego alertu systemowego, tylko od potwierdzenia podejrzenia przez instytucję obowiązaną. Procedura musi więc wyjaśniać, co oznacza „potwierdzenie podejrzenia” w konkretnej organizacji.
Przykład ścieżki:
- System generuje alert.
- Analityk AML dokonuje wstępnej oceny.
- Klient może zostać poproszony o dodatkowe informacje, jeżeli nie narusza to zakazu ujawniania analizy.
- Compliance officer ocenia, czy podejrzenie zostało potwierdzone.
- Jeżeli tak, przygotowywane jest zawiadomienie do GIIF.
- Decyzja i materiały są dokumentowane.
- Dostęp do informacji jest ograniczony.
W procedurze warto opisać, kto dokładnie podejmuje decyzję, kto przygotowuje zawiadomienie, kto je wysyła, kto ma dostęp do dokumentacji i jak firma zabezpiecza poufność procesu.
Zakaz informowania klienta, czyli czego nie może powiedzieć support
W firmach krypto i fintech dużym ryzykiem jest komunikacja z klientem. Klient pyta: „Dlaczego moja transakcja została zatrzymana?”, „Czy zgłosiliście mnie do GIIF?”, „Co mam zmienić, żeby przejść weryfikację?”. Support chce pomóc, ale nie może ujawniać informacji, których ujawniać nie wolno.
Art. 54 ustawy AML przewiduje obowiązek zachowania w tajemnicy faktu przekazania informacji do GIIF lub innych właściwych organów oraz informacji o prowadzonych analizach dotyczących prania pieniędzy lub finansowania terroryzmu.
Procedura AML powinna zawierać gotowe zasady komunikacji. Warto przygotować przykładowe odpowiedzi dla supportu.
Przykład bezpieczniejszej komunikacji:
„Transakcja wymaga dodatkowej weryfikacji zgodnie z naszymi obowiązkami regulacyjnymi. Prosimy o przekazanie wskazanych dokumentów.”
Przykład komunikacji ryzykownej:
„System oznaczył Pana transakcję jako podejrzaną i analizujemy, czy zgłosić ją do GIIF.”
Różnica jest istotna. W branży cyfrowej komunikacja często odbywa się przez chat, e-mail, ticketing albo automatyczne powiadomienia. Procedura powinna obejmować również te kanały.
Przechowywanie dokumentów: AML musi zostawiać ślad
W AML często decyduje nie tylko to, czy firma coś zrobiła, ale czy potrafi to wykazać. Art. 49 ustawy AML przewiduje obowiązek przechowywania przez 5 lat m.in. kopii dokumentów i informacji uzyskanych w wyniku stosowania środków bezpieczeństwa finansowego oraz dowodów potwierdzających transakcje. Wyniki analiz transakcji również powinny być przechowywane przez 5 lat, licząc od pierwszego dnia roku następującego po roku ich przeprowadzenia. GIIF może w określonych sytuacjach zażądać dłuższego przechowywania dokumentacji, przez kolejny okres nie dłuższy niż 5 lat.
Procedura AML powinna więc opisywać:
| Dokument | Przykład |
|---|---|
| dokumenty KYC | dokument tożsamości, dane rejestrowe spółki, dane reprezentanta |
| beneficjent rzeczywisty | struktura właścicielska, dokumenty spółek dominujących, oświadczenia |
| screening | wynik sprawdzenia PEP, sankcji, list ostrzeżeń |
| analiza transakcji | alert, notatka, wynik KYT, decyzja compliance |
| source of funds | wyciągi, faktury, umowy, dokumenty potwierdzające pochodzenie środków |
| komunikacja | e-maile, tickety, odpowiedzi klienta |
| decyzje | akceptacja high risk, odmowa, zakończenie relacji |
| szkolenia | lista uczestników, program, data, materiały |
Przykład: jeżeli firma odrzuca transakcję z powodu ekspozycji portfela na adres powiązany z ransomware, powinna mieć ślad: wynik narzędzia on-chain, opis analizy, decyzję, datę, osobę odpowiedzialną i ewentualną korespondencję.
Szkolenia AML: nie wystarczy wysłać procedury e-mailem
Art. 52 ustawy AML nakłada na instytucje obowiązane obowiązek zapewnienia udziału osób wykonujących obowiązki AML w programach szkoleniowych. Szkolenia powinny uwzględniać charakter, rodzaj i rozmiar działalności oraz zapewniać aktualną wiedzę dotyczącą obowiązków instytucji obowiązanej.
W firmie krypto lub fintech szkolenie powinno być dopasowane do roli.
Customer support powinien wiedzieć, jak reagować na pytania klienta, czego nie ujawniać, kiedy eskalować sprawę i jak nie pomagać klientowi w obchodzeniu procedury.
Compliance powinien znać przepisy, narzędzia KYC/KYT, Travel Rule, schematy alertów, zasady dokumentowania i zgłaszania spraw.
Zespół produktowy powinien rozumieć, że niektóre funkcje aplikacji mogą zwiększać ryzyko AML, np. szybkie wypłaty bez limitów, brak progów weryfikacji, niedostateczne dane przy transferach, brak blokad dla krajów wysokiego ryzyka.
Zarząd powinien wiedzieć, za co odpowiada organizacja, jakie decyzje wymagają akceptacji kadry kierowniczej i jakie są skutki braku procedury.
Wewnętrzne zgłaszanie naruszeń: AML powinien mieć własną ścieżkę alarmową
Ustawa AML wymaga również procedury anonimowego zgłaszania rzeczywistych lub potencjalnych naruszeń przepisów AML przez pracowników lub inne osoby wykonujące czynności na rzecz instytucji obowiązanej. Art. 53 określa elementy takiej procedury, w tym zasady odbierania zgłoszeń, ochrony zgłaszającego, poufności, działań następczych i usuwania danych osobowych zawartych w zgłoszeniach.
Przykład: pracownik supportu zauważa, że użytkownik pyta, jak zmienić opis transakcji, aby nie została zatrzymana przez system. Jeżeli pracownik nie ma jasnej ścieżki zgłoszenia, może zignorować sytuację albo potraktować ją jak zwykłe pytanie techniczne. Procedura powinna mówić, gdzie zgłosić taką sprawę i kto ją analizuje.
Przykład: osoba z zespołu produktowego zauważa, że nowa funkcja pozwala użytkownikom omijać limity transakcyjne przez zakładanie wielu kont. To nie jest tylko problem produktowy. To może być problem AML, który powinien trafić do compliance.
Najczęstsze błędy w procedurach AML dla krypto i fintechu
Pierwszy błąd to procedura oderwana od produktu. Dokument mówi o identyfikacji klienta, ale nie opisuje, jak wygląda realny onboarding w aplikacji. Nie ma informacji o narzędziu KYC, progach transakcyjnych, alertach, transferach na portfele prywatne ani decyzjach compliance.
Drugi błąd to brak rozróżnienia między KYC i KYT. Firma dobrze identyfikuje klienta, ale nie ma sensownego monitoringu transakcji. W krypto to szczególnie ryzykowne, bo źródło aktywów i historia adresów mogą być ważniejsze niż sama deklaracja klienta.
Trzeci błąd to zbyt prosta klasyfikacja ryzyka. Procedura zakłada trzy poziomy: niski, średni, wysoki, ale nie wyjaśnia, co je uruchamia. Nie wiadomo, czy klient z offshore jest zawsze high risk, czy transakcja powyżej określonego progu wymaga source of funds, ani kto zatwierdza PEP.
Czwarty błąd to brak powiązania AML z sankcjami. W firmach krypto screening sankcyjny powinien obejmować nie tylko imię i nazwisko klienta, ale również adresy portfeli, kontrahentów i ekspozycję transakcyjną, jeżeli firma korzysta z analizy on-chain.
Piąty błąd to brak dokumentowania decyzji. Jeżeli compliance officer analizuje alert i uznaje, że nie ma podstaw do zgłoszenia, powinien zostawić notatkę. Brak zgłoszenia też jest decyzją, którą trzeba umieć wyjaśnić.
Szósty błąd to procedura bez właściciela. Nikt nie wie, kto ją aktualizuje, kto odpowiada za szkolenia, kto testuje alerty i kto raportuje zarządowi.
Siódmy błąd to brak aktualizacji po zmianie modelu biznesowego. Firma zaczynała jako prosty kantor krypto, potem dodała stablecoiny, portfele niehostowane, klientów zagranicznych i integrację z zewnętrznym dostawcą płatności, ale procedura nadal opisuje pierwotny model.
Jak wygląda dobra procedura AML w praktyce? Krótki przykład
Załóżmy, że firma prowadzi platformę wymiany krypto na walutę fiat i obsługuje klientów indywidualnych oraz spółki.
Dobra procedura AML powinna wskazywać, że przed rozpoczęciem relacji klient przechodzi KYC. Osoba fizyczna podaje dane identyfikacyjne, przechodzi weryfikację dokumentu i screening PEP/sankcyjny. Spółka przedstawia dane rejestrowe, reprezentację, strukturę właścicielską i informacje o beneficjencie rzeczywistym. Klient deklaruje cel korzystania z platformy i przewidywany wolumen.
System nadaje klientowi poziom ryzyka. Jeżeli klient działa z kraju podwyższonego ryzyka, ma nietypową strukturę właścicielską albo deklaruje wysokie wolumeny, trafia do dodatkowej analizy. Jeżeli jest PEP, wymagana jest akceptacja kadry kierowniczej wyższego szczebla.
Transakcje są monitorowane. Jeżeli klient kupuje krypto za kwoty zgodne z profilem, system zapisuje transakcję. Jeżeli nagle realizuje transakcję wielokrotnie wyższą niż dotychczas albo wysyła środki na adres z ekspozycją na ryzyko, powstaje alert. Analityk sprawdza sprawę, może poprosić o dokumenty potwierdzające źródło środków i przygotowuje notatkę.
Jeżeli wyjaśnienia są wiarygodne, transakcja może zostać zaakceptowana, a profil klienta zaktualizowany. Jeżeli wyjaśnienia są niespójne lub ryzyko pozostaje wysokie, sprawa trafia do compliance officera. Jeżeli podejrzenie zostaje potwierdzone, firma analizuje obowiązek zawiadomienia GIIF w terminie wynikającym z art. 74 ustawy AML.
Tak powinna działać procedura. Nie jako dokument leżący w folderze, ale jako instrukcja dla codziennych decyzji.
Czy gotowy wzór procedury AML wystarczy?
Gotowy wzór może pomóc w zrozumieniu struktury dokumentu, ale rzadko wystarczy dla firmy krypto lub fintech. W tych branżach najważniejsze są szczegóły modelu działania.
Inaczej wygląda procedura dla kantoru krypto, inaczej dla giełdy, inaczej dla dostawcy portfela, inaczej dla operatora płatności, inaczej dla małej instytucji płatniczej, a jeszcze inaczej dla fintechu działającego jako dostawca technologii dla licencjonowanego partnera.
Procedura AML powinna być dopasowana do:
- modelu usługi,
- rodzaju klienta,
- typów transakcji,
- państw działalności,
- kanału onboardingu,
- narzędzi KYC/KYT,
- wykorzystywanych kryptoaktywów,
- partnerów płatniczych,
- transferów do i z portfeli niehostowanych,
- sposobu przechowywania dokumentacji,
- struktury decyzyjnej w firmie.
Jeżeli procedura nie odpowiada na pytanie, co robi firma w konkretnej sytuacji, to jest zbyt ogólna.
FAQ – procedura AML dla firmy krypto lub fintech
Czy każda firma krypto musi mieć procedurę AML?
Nie każda firma związana z krypto automatycznie musi mieć procedurę AML. Trzeba sprawdzić rzeczywisty model działalności. Jeżeli firma świadczy usługi wymiany walut wirtualnych, pośrednictwa w wymianie albo prowadzenia określonych rachunków, może być instytucją obowiązaną na podstawie art. 2 ust. 1 pkt 12 ustawy AML.
Czy fintech zawsze jest instytucją obowiązaną?
Nie zawsze. Jeżeli fintech świadczy usługi płatnicze, działa jako instytucja płatnicza, instytucja pieniądza elektronicznego, biuro usług płatniczych albo agent rozliczeniowy, obowiązki AML mogą mieć zastosowanie. Jeżeli dostarcza wyłącznie technologię i nie uczestniczy w przepływie środków ani obsłudze klienta regulowanego, analiza może prowadzić do innych wniosków.
Co jest ważniejsze: KYC czy monitoring transakcji?
Oba elementy są ważne. KYC pozwala poznać klienta na początku relacji, a monitoring transakcji pokazuje, czy późniejsze działania klienta są zgodne z jego profilem. W krypto szczególne znaczenie ma także KYT, czyli analiza transakcji i portfeli.
Czy procedura AML musi zawierać Travel Rule?
W przypadku podmiotów krypto objętych obowiązkami dotyczącymi transferów kryptoaktywów procedura powinna uwzględniać Travel Rule albo być spójna z osobną procedurą dotyczącą transferów. Nie wystarczy ogólne stwierdzenie, że firma stosuje przepisy. Trzeba opisać proces.
Kto zatwierdza procedurę AML?
Zgodnie z art. 50 ust. 3 ustawy AML wewnętrzna procedura instytucji obowiązanej przed wprowadzeniem do stosowania podlega akceptacji przez kadrę kierowniczą wyższego szczebla.
Jak często aktualizować procedurę AML?
Procedurę należy aktualizować w razie potrzeby, zwłaszcza po zmianie modelu działalności, produktu, rynku, typu klientów, narzędzi KYC/KYT albo przepisów. Ocena ryzyka instytucji obowiązanej powinna być aktualizowana nie rzadziej niż co 2 lata.
Czy trzeba szkolić cały zespół?
Szkolenia powinny obejmować osoby wykonujące obowiązki związane z AML. W praktyce w firmach krypto i fintech warto szkolić nie tylko compliance, ale też support, operacje, produkt i zarząd — w zakresie dopasowanym do ich roli.
Czy brak procedury AML może skutkować karą?
Tak. Art. 147 ustawy AML przewiduje kary administracyjne m.in. za brak oceny ryzyka, brak stosowania środków bezpieczeństwa finansowego, brak dokumentowania, brak przechowywania dokumentacji, brak procedury wewnętrznej, brak szkoleń, brak procedury anonimowego zgłaszania naruszeń lub brak przekazania zawiadomień.
Wykaz podstawowych aktów prawnych, wytycznych i dokumentów
Poniższy wykaz obejmuje najważniejsze akty prawne, wytyczne i dokumenty, które warto uwzględnić przy analizie obowiązków AML firmy krypto lub fintech. Nie jest to katalog zamknięty. W zależności od modelu biznesowego, rodzaju usług, typu klientów, jurysdykcji, przepływu środków, wykorzystywanych kryptoaktywów i skali działalności konieczna może być również analiza przepisów sektorowych, np. dotyczących usług płatniczych, pieniądza elektronicznego, MiCA, ochrony konsumentów, sankcji, cyberbezpieczeństwa, RODO, outsourcingu, tajemnicy przedsiębiorstwa lub ochrony środków klientów.
Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. To podstawowy polski akt prawny regulujący obowiązki instytucji obowiązanych, w tym ocenę ryzyka, środki bezpieczeństwa finansowego, wewnętrzną procedurę AML, szkolenia, przechowywanie dokumentacji, zgłaszanie podejrzeń do GIIF oraz odpowiedzialność administracyjną.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/1113 z dnia 31 maja 2023 r. w sprawie informacji towarzyszących transferom środków pieniężnych i niektórych kryptoaktywów. Ma szczególne znaczenie dla dostawców usług w zakresie kryptoaktywów oraz podmiotów obsługujących transfery, ponieważ dotyczy tzw. Travel Rule.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/1114 z dnia 31 maja 2023 r., czyli MiCA. Reguluje rynek kryptoaktywów w Unii Europejskiej oraz działalność dostawców usług w zakresie kryptoaktywów. MiCA nie zastępuje obowiązków AML, ale w praktyce stanowi ważny element regulacyjnego otoczenia firm krypto.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1624 z dnia 31 maja 2024 r. w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu. Jest częścią nowego unijnego pakietu AML i ma być stosowane od 10 lipca 2027 r., z wyjątkami przewidzianymi w samym rozporządzeniu.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1620 z dnia 31 maja 2024 r. ustanawiające Urząd ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu, czyli AMLA. Nowy urząd ma znaczenie dla dalszej harmonizacji nadzoru AML w Unii Europejskiej, zwłaszcza wobec podmiotów wysokiego ryzyka w sektorze finansowym.
Wytyczne Europejskiego Urzędu Nadzoru Bankowego dotyczące Travel Rule. EBA wskazuje w nich działania, jakie dostawcy usług płatniczych i dostawcy usług w zakresie kryptoaktywów powinni podejmować przy transferach, którym brakuje wymaganych informacji albo które zawierają informacje niekompletne. Wytyczne stosuje się od 30 grudnia 2024 r.
Publikacje, komunikaty i wytyczne Generalnego Inspektora Informacji Finansowej. GIIF publikuje materiały dla instytucji obowiązanych, w tym komunikaty dotyczące Travel Rule, walut wirtualnych, raportowania i stosowania środków bezpieczeństwa finansowego.
Krajowa ocena ryzyka prania pieniędzy oraz finansowania terroryzmu. To dokument, który warto uwzględnić przy sporządzaniu własnej oceny ryzyka instytucji obowiązanej. W firmach krypto i fintech krajowa ocena ryzyka powinna być zestawiona z rzeczywistym modelem działania, typem klienta, krajami działalności, rodzajem transakcji i kanałami świadczenia usług.
Dokumentacja wewnętrzna firmy, w szczególności regulamin usługi, polityka prywatności, umowy z klientami, umowy z dostawcami KYC/KYT, umowy z partnerami płatniczymi, opis architektury systemu, proces onboardingu, zasady monitoringu transakcji, polityki bezpieczeństwa informacji i dokumentacja produktowa. W praktyce bez tych dokumentów trudno przygotować procedurę AML, która odpowiada rzeczywistemu sposobowi działania firmy.
Stan prawny i regulacyjny: artykuł został przygotowany według stanu dostępnych informacji na dzień 8 lipca 2026 r. Ze względu na zmiany w przepisach AML, etapowe stosowanie unijnych regulacji, praktykę GIIF, stanowiska EBA oraz rozwój regulacji dotyczących kryptoaktywów i fintechu, przed wdrożeniem konkretnych rozwiązań w firmie warto zweryfikować aktualny stan prawny i przeanalizować dokumenty, umowy oraz rzeczywisty sposób świadczenia usług.
***
W Pasternak Business Law wspieramy przedsiębiorców z branży fintech, krypto, blockchain i nowych technologii w przygotowaniu procedur AML, ocenie ryzyka, dokumentacji compliance oraz analizie modeli biznesowych pod kątem obowiązków regulacyjnych. Możesz skontaktować się z nami TUTAJ.
Artykuł został przygotowany przez prawnika Pasternak Business Law zajmującego się obsługą przedsiębiorców, fintech, kryptoaktywami, compliance i dokumentacją AML. Materiał łączy analizę przepisów z praktyką wdrażania procedur w firmach technologicznych.
Materiał ma charakter informacyjny i edukacyjny. Nie stanowi porady prawnej ani opinii prawnej w konkretnej sprawie. Każda sytuacja wymaga indywidualnej analizy, w szczególności pod kątem modelu działalności, statusu regulacyjnego, rodzaju klientów, przepływu środków, wykorzystywanych kryptoaktywów, obowiązków wobec GIIF, zasad Travel Rule, dokumentacji wewnętrznej oraz ryzyk związanych z praniem pieniędzy i finansowaniem terroryzmu.