Zgodność: AML, KYC i sankcje

Zgodność z przepisami dotyczącymi przeciwdziałania przestępczości finansowej jest obszarem, w którym większość nowych banków napotyka pierwsze poważne uwagi ze strony organów nadzorczych, a także obszarem, który banki korespondenckie badają najdokładniej przed otwarciem rachunków. Bank o solidnym planie kapitałowym, ale słabych środkach kontroli przeciwko praniu brudnych pieniędzy będzie miał trudności z uzyskaniem licencji, a po jej uzyskaniu – z podłączeniem do międzynarodowego systemu płatności.

Globalny standard: FATF

Grupa Specjalna ds. Przeciwdziałania Praniu Pieniędzy (FATF) wyznacza międzynarodowy standard w swoich 40 zaleceniach. obecny tekst, przyjęty w 2012 r., został ostatnio zaktualizowany w październiku 2025 r. Kraje wdrażają zalecenia poprzez prawo, a FATF i jej organy regionalne oceniają każdy kraj poprzez wzajemną ocenę.

Poniżej przedstawiono zalecenia najbardziej istotne dla banków.

Rekomendacja	Temat
R.1	Ocena ryzyka i stosowanie podejścia opartego na analizie ryzyka
R.6 i R.7	Ukierunkowane sankcje finansowe przeciwko terroryzmowi i proliferacji
R.10	Należyta staranność klienta
R.11	Prowadzenie ewidencji
R.12	Osoby eksponowane politycznie
R.13	Bankowość korespondencyjna
R.15	Nowe technologie, w tym wirtualne aktywa
R.16	Przejrzystość płatności, wcześniej przelewy bankowe
R.17 do R.19	Poleganie na osobach trzecich, kontrole wewnętrzne, kraje o wyższym ryzyku
R.20 i R.21	Zgłaszanie i informowanie o podejrzanych transakcjach
R.24 i R.25	Właściciel rzeczywisty osób prawnych i porozumień

Podstawą jest podejście oparte na ryzyku w R.1. Środki powinny być proporcjonalne do zidentyfikowanego ryzyka, co oznacza większą kontrolę klientów i produktów o wyższym ryzyku oraz uproszczone środki w przypadku wyraźnie niższego ryzyka.

Poznaj swojego klienta i należytą staranność

Zalecenie 10 Wymaga on CDD przy nawiązywaniu relacji biznesowych, dla okazjonalnych transakcji powyżej 15.000 USD/EUR, gdy istnieje podejrzenie prania brudnych pieniędzy lub finansowania terroryzmu oraz gdy instytucja ma wątpliwości co do wcześniej uzyskanych danych identyfikacyjnych.

Środki CDD to:

1. Identyfikacja klienta i weryfikacja tożsamości przy użyciu wiarygodnych, niezależnych dokumentów źródłowych, danych lub informacji.
2. Identyfikacja beneficjenta rzeczywistego i podjęcie uzasadnionych środków w celu weryfikacji tożsamości, w tym zrozumienie struktury własnościowej i kontrolnej osób prawnych i porozumień.
3. Zrozumienie i, w stosownych przypadkach, uzyskanie informacji na temat celu i zamierzonego charakteru relacji.
4. Prowadzenie bieżącej analizy due diligence i kontroli transakcji w celu zapewnienia, że są one zgodne z wiedzą instytucji na temat klienta, w tym, w razie potrzeby, źródła środków.

Jeżeli instytucja nie jest w stanie przeprowadzić CDD, nie powinna otwierać rachunku lub powinna zakończyć relację i rozważyć zgłoszenie podejrzanej transakcji. R.11, zapisy transakcji i CDD muszą być przechowywane przez co najmniej pięć lat.

Wzmocniona należyta staranność

Wzmożone działania due diligence (EDD) stosuje się tam, gdzie ryzyko jest wyższe. Typowymi czynnikami wyzwalającymi są złożone struktury własnościowe, przedsiębiorstwa wymagające dużych nakładów pieniężnych, klienci powiązani z krajami o podwyższonym ryzyku, bankowość prywatna i relacje bezpośrednie bez silnej weryfikacji.Środki EDD obejmują więcej dowodów dotyczących źródła środków i źródła bogactwa, zatwierdzenie przez kierownictwo wyższego szczebla oraz częstsze przeglądy.

Właściciel rzeczywisty

Właścicielem rzeczywistym jest osoba fizyczna, która ostatecznie posiada lub kontroluje klienta. R.24 Dyrektywa zobowiązuje państwa członkowskie do zapewnienia, aby odpowiednie, dokładne i aktualne informacje na temat beneficjentów rzeczywistych były udostępniane władzom za pośrednictwem rejestru lub alternatywnego mechanizmu, a także zabrania nowych akcji na okaziciela i wymaga podjęcia środków przeciwko nadużyciom akcjonariuszy nominalnych i dyrektorów.

UE ustala wspólny próg. Zgodnie z Rozporządzenie w sprawie przeciwdziałania praniu pieniędzy, udział własnościowy oznacza bezpośrednie lub pośrednie posiadanie co najmniej 25% akcji, praw głosu lub innych udziałów w podmiocie gospodarczym. Kontrola za pomocą innych środków może również sprawić, że dana osoba stanie się beneficjentem rzeczywistym. Próg 25% nie eliminuje potrzeby zrozumienia pełnej struktury.

Osoby eksponowane politycznie

PEP to osoba, której powierzono pełnienie znaczącej funkcji publicznej, np. głowa państwa, wysokiej rangi polityk, sędzia lub urzędnik przedsiębiorstwa państwowego, a także członkowie rodziny i bliscy współpracownicy.

W odniesieniu do zagranicznych PEP, R.12 wymaga od instytucji:

1. Posiadanie systemów zarządzania ryzykiem w celu ustalenia, czy klient lub beneficjent rzeczywisty jest PEP.
2. Uzyskaj zgodę kierownictwa wyższego szczebla na nawiązanie lub kontynuację relacji.
3. Podejmij uzasadnione środki w celu ustalenia źródła bogactwa i źródła funduszy.
4. Prowadzenie zaawansowanego bieżącego monitorowania.

W przypadku krajowych PEP i osób pełniących znaczące funkcje w organizacjach międzynarodowych środki te stosuje się tam, gdzie związek jest bardziej ryzykowny.

Przegląd sankcji

Sankcje są zakazami prawnymi, a nie osądami ryzyka. R.6, kraje muszą „bezzwłocznie” zamrozić fundusze osób określonych przez Radę Bezpieczeństwa ONZ jako terroryści, a R.7 stosuje tę samą logikę do finansowania proliferacji.

Banki stosują również autonomiczne sankcje jurysdykcji, w których prowadzą działalność – w UE są to rozporządzenia Rady. Banki dokonujące płatności w innych walutach muszą także uwzględniać reżimy sankcyjne stosowane przez ich banki korespondenckie, ponieważ płatność naruszająca te reżimy zostanie zatrzymana w łańcuchu.

Program sankcji obejmuje:

1. Kontrola klientów, beneficjentów rzeczywistych i podmiotów powiązanych podczas wdrażania i za każdym razem, gdy listy się zmieniają.
2. Przeglądanie płatności, w tym nazw stron, banków, statków i lokalizacji, w czasie rzeczywistym przed wykonaniem.
3. Zarządzanie alertami z udokumentowanymi decyzjami, unikając zarówno fałszywego komfortu, jak i nadmiernego blokowania.
4. Zamrażanie i zgłaszanie meczów do właściwego organu.
5. Kontrole przeciwko uchylaniu się od płatności, takie jak usuwanie lub modyfikowanie informacji o płatności.

Monitorowanie transakcji i raporty o podejrzanej aktywności

Monitoring transakcji porównuje aktywność klienta z oczekiwanym profilem i znanymi typologiami. Monitoring jest zazwyczaj zautomatyzowany, ze scenariuszami i progami dopasowanymi do własnej bazy klientów banku. Przeglądany przez przeszkolonych analityków.

Under R.20, instytucja, która „podejrzewa lub ma uzasadnione podstawy do podejrzeń”, że środki finansowe są wpływami z przestępstwa lub związane z finansowaniem terroryzmu, musi niezwłocznie zgłosić to jednostce analityki finansowej.Zgłoszenia te nazywane są raportami o podejrzanych transakcjach lub raportami o podejrzanej działalności w zależności od jurysdykcji.

R.21 chroni pracowników, którzy zgłaszają nieprawidłowości w dobrej wierze i zabrania ujawniania informacji klientowi lub innym osobom o złożeniu zgłoszenia. Dlatego bank musi ostrożnie zarządzać relacją z klientem po złożeniu raportu, nie ujawniając go.

Pakiet UE AML i AMLA

UE przyjęła pakiet w 2024 r., który przenosi większość zasad z dyrektyw do bezpośrednio stosowanego rozporządzenia i tworzy unijny organ.

Instrument	Co to robi	Data klucza
Rozporządzenie (UE) 2024/1624 (AMLR)	Jednolity zbiór przepisów dla podmiotów zobowiązanych: CDD, beneficjent rzeczywisty, PEP, sprawozdawczość, ogólnounijny limit płatności gotówkowych w EUR przez przedsiębiorstwa handlowe świadczące towary i usługi 10,000	Stosuje się od dnia 10 lipca 2027 r., z późniejszym terminem dla niektórych podmiotów
Directive (EU) 2024/1640 (AMLD6)	Organy nadzoru krajowego, jednostki analityki finansowej, rejestry beneficjentów rzeczywistych, rejestry rachunków bankowych	Ogólna transpozycja do dnia 10 lipca 2027 r., z wcześniejszymi terminami dla niektórych artykułów
Rozporządzenie (UE) 2024/1620 (AMLA)	Ustanawia Urząd ds. Przeciwdziałania Praniu Pieniędzy z siedzibą we Frankfurcie nad Menem	Obowiązuje od 1 lipca 2025 r., z niektórymi artykułami wcześniej

AMLA Rozporządzenie wymaga, aby pierwszy proces selekcji rozpoczął się do 1 lipca 2027 r., a bezpośredni nadzór nad wybranymi podmiotami powinien rozpocząć się w 2028 r. Jeśli w pierwszej turze zakwalifikuje się więcej niż 40 podmiotów, to w drugiej rundzie nadzoru bezpośredniego będą one podlegały bezpośredniemu nadzorowi ze strony Europejskiego Urzędu Nadzoru Bankowego (EBA). AMLA Nadzoruje 40 banków działających w największej liczbie państw członkowskich.

W przypadku pozostałych instytucji odpowiedzialność ponoszą krajowe organy nadzoru, przy czym: AMLA Koordynacja i ustalanie norm technicznych.

Reguła podróży

Reguła podróży wymaga, aby informacje o płatności dotyczące zleceniodawcy i odbiorcy towarzyszyły transferowi w łańcuchu płatności.Wywodzi się ona z FATF R.16.

W UE, Rozporządzenie (UE) 2023/1113 Rozporządzenie ma zastosowanie od 30 grudnia 2024 r. do transferów środków pieniężnych i aktywów kryptograficznych. W przypadku transferów środków pieniężnych wymagane są pełne informacje o płatniku i odbiorcy powyżej 1000 EUR, z łagodniejszymi wymogami dla mniejszych transferów, które nie są powiązane.

W czerwcu 2025 r. FATF zmieniło R.16 i jego notę wyjaśniającą, zmieniając nazwę na przejrzystość płatności. Zgodnie z podsumowaniem CSSF zmiany standaryzują informacje wymagane w komunikatach płatniczych, wyjaśniają obowiązki w łańcuchu płatności, dodają środki przeciwko oszustwom, błędom i błędom, takim jak weryfikacja odbiorcy. Mają one wejść w życie do końca 2030 r.

Ryzyko krajowe i listy publiczne

The FATF Na posiedzeniu plenarnym w czerwcu 2026 r., jak podsumowano przez: Maltańska jednostka analityki finansowejNa liście krajów wysokiego ryzyka pozostały Koreańska Republika Ludowo-Demokratyczna, Iran i Mjanma (Birma), które wezwano do podjęcia działań. Bośnia i Hercegowina oraz Irak zostały dodane do listy państw podlegających wzmocnionemu monitorowaniu. Algieria i Namibia zostały z niej usunięte.

UE prowadzi własny wykaz państw trzecich wysokiego ryzyka. Komisja Europejska W grudniu 2025 r. przyjęto zmiany, które ze skutkiem od dnia 29 stycznia 2026 r. wprowadziły do wykazu Rosję, Boliwię i Brytyjskie Wyspy Dziewicze.

Czego regulatorzy oczekują od nowego banku

1. Ocena ryzyka w całej firmie obejmujące klientów, produkty, kanały i kraje, zatwierdzone przez zarząd.
2. Urzędnik ds. zgłaszania przypadków prania pieniędzy Z uprawnieniami, zasobami i bezpośrednim dostępem do rady.
3. Pisemne polityki i procedury które pasują do rzeczywistych systemów wdrażania i monitorowania.
4. Przetestowane systemy do weryfikacji tożsamości, przesiewania i monitorowania, z udokumentowanym strojeniem.
5. Szkolenie dla wszystkich pracowników, ze specjalistycznymi szkoleniami z zakresu front office i compliance.
6. Niezależne testy przez audyt wewnętrzny lub zewnętrznego recenzenta.
7. Spójność z planem biznesowym. Organy regulacyjne porównują ramy AML z docelowymi klientami i krajami we wniosku oraz kwestionują luki.

Kolejny artykuł poświęcony jest bankowości korespondenckiej, w której te kontrole są testowane zarówno przez inne banki, jak i organy nadzoru.