Procedura AML dla FinTech – obowiązki, KYC, GIIF i compliance

Procedura AML dla FinTech — najważniejsze informacje

Procedura AML dla FinTech to nie dokument „do szuflady”, lecz warunek legalnego działania instytucji obowiązanej. Poniżej najważniejsze fakty w pigułce:

• Podstawa prawna: ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu.
• Obowiązek posiadania wewnętrznej procedury związanej z praniem brudnych pieniędzy.
• Podstawą jest ocena ryzyka instytucji obowiązanej, bez niej cała polityka AML fintech jest bezpodstawna.
• Weryfikacja klienta KYC AML FinTech (środki bezpieczeństwa finansowego) obejmuje identyfikację tożsamości, ustalenie beneficjenta rzeczywistego i bieżące monitorowanie transakcji.
• Zgłoszenia do GIIF: transakcje ponadprogowe powyżej 15 000 euro oraz zawiadomienia o podejrzeniu niezwłocznie przed transakcją.
• Kary za brak procedury AML w firmie FinTech sięgają 5 000 000 euro lub 10% obrotu dla osób prawnych.
• Od 10 lipca 2027 r. zaczyna być stosowany unijny pakiet AML (rozporządzenie AMLR 2024/1624), który ujednolici zasady w całej UE.

Twój startup właśnie dostał zgodę KNF na działalność jako mała instytucja płatnicza. Zespół świętuje, a otwierasz e-mail od banku, który pyta o „procedurę AML i wyznaczonego pracownika odpowiedzialnego”. Okazuje się, że bez tego dokumentu nie ruszysz z rachunkiem rozliczeniowym, a więc i z produktem.

To typowy moment, w którym przeciwdziałanie praniu pieniędzy przestaje być abstrakcją, a staje się warunkiem uruchomienia biznesu. Ten artykuł pokazuje, jak zbudować procedurę AML dla FinTech, która przejdzie kontrolę i nie sparaliżuje klientów.

Sprawdź: Obsługa prawna FinTech — audyt i przygotowanie procedury dla instytucji obowiązanej.

Dlaczego AML jest warunkiem utrzymania licencji FinTech

AML (Anti-Money Laundering, przeciwdziałanie praniu pieniędzy) to zestaw obowiązków prawnych, które chronią system finansowy przed wprowadzaniem do obrotu środków z nielegalnych źródeł. Dla firmy FinTech to nie kwestia wizerunku, lecz przesłanka legalnego działania. Bez sprawnego compliance AML FinTech tracisz dostęp do rachunków bankowych, integracji płatniczych i zaufania inwestorów.

Ustawa o przeciwdziałaniu praniu pieniędzy nakłada obowiązki związane z wykrywaniem prania brudnych pieniędzy, dlatego dobrze ułożony AML compliance w FinTech chroni przed naruszeniem prawnych zobowiązań. Solidny compliance prawny FinTech zaczyna się od oceny ryzyka, a nie od zakupu gotowego narzędzia.

Standardy AML wyznacza na poziomie globalnym FATF (Financial Action Task Force — międzyrządowy organ ustalający rekomendacje w zakresie przeciwdziałania praniu pieniędzy). W Polsce przekładają się one na ustawę o przeciwdziałaniu praniu pieniędzy, a nadzór nad jej stosowaniem dzieli się między dwa organy:

• GIIF (Generalny Inspektor Informacji Finansowej) — jednostka analityki finansowej, do której trafiają zgłoszenia o transakcjach i podejrzeniach.
• KNF (Komisja Nadzoru Finansowego) — nadzoruje fintech jako podmiot licencjonowany (instytucję płatniczą, KIP, MIP), w tym jakość wdrożonego systemu AML.

To rozróżnienie ma znaczenie praktyczne: zgłoszenia podejrzanych transakcji kierujesz do GIIF, a nie do KNF. Pomylenie adresata to jeden z częstszych błędów formalnych w młodych firmach płatniczych.

Kiedy fintech staje się instytucją obowiązaną

Twój fintech staje się instytucją obowiązaną z chwilą, gdy zaczyna świadczyć usługi wymienione w ustawie o przeciwdziałaniu praniu pieniędzy, a nie dopiero po przekroczeniu jakiegokolwiek progu obrotu. Status ten przesądza o wszystkich dalszych obowiązkach AML dla startupów finansowych.

Do instytucji obowiązanych typowych dla sektora FinTech należą w szczególności:

• krajowe instytucje płatnicze (KIP) i małe instytucje płatnicze (MIP);
• instytucje pieniądza elektronicznego oraz dostawcy usług płatniczych;
• podmioty prowadzące działalność w zakresie walut wirtualnych (giełdy i kantory krypto, dostawcy portfeli);
• podmioty pośredniczące w udzielaniu pożyczek i kredytów w modelu cyfrowym.

Najwyższe wymogi AML instytucje płatnicze i pieniądza elektronicznego mają spełniać dlatego, że KNF traktuje sektor płatniczy jako obszar podwyższonego ryzyka. Obowiązki AML dla startupów finansowych są przy tym co do zasady takie same jak dla dużych graczy — ustawa nie przewiduje taryfy ulgowej ze względu na wielkość. Jeśli działasz jednoosobowo, zgodnie z przepisami zadania kadry kierowniczej i wyznaczonego pracownika wykonujesz osobiście. W konsekwencji obowiązki nie znikają, tylko kumulują się na jednej osobie.

Ocena ryzyka AML jako fundament procedury

Ocena ryzyka AML jest pierwszym dokumentem, który musisz wykonać — na tej podstawie budujesz treść procedury. Obowiązek wynika z art. 27 ustawy: instytucja obowiązana identyfikuje i ocenia ryzyko prania pieniędzy oraz finansowania terroryzmu związane z jej działalnością, a ocenę sporządza w postaci papierowej lub elektronicznej i aktualizuje nie rzadziej niż co dwa lata.

W praktyce dla fintechu ocena ryzyka polega na badaniu czterech grup czynników:

• Klienci — czy obsługujesz osoby zajmujące eksponowane stanowiska polityczne, klientów zdalnych, spoza EOG, o nieprzejrzystej strukturze właścicielskiej.
• Produkty i usługi — płatności transgraniczne, portfele anonimowe, waluty wirtualne podnoszą ryzyko.
• Kanały dostawy — w pełni zdalny onboarding klienta bez kontaktu osobistego to również czynnik podwyższający ryzyko.
• Geografia — powiązania z państwami trzecimi wysokiego ryzyka wskazanymi przez FATF i Komisję Europejską.

Efektem oceny jest przypisanie klientom i produktom poziomów ryzyka (np. niskie / standardowe / wysokie), które następnie sterują intensywnością środków bezpieczeństwa finansowego. To jest sens podejścia opartego na ryzyku. W konsekwencji nie stosujesz tych samych środków wobec każdego klienta.

Co musi zawierać procedura AML dla FinTech

Procedura AML dla FinTech musi obejmować obszary wyliczone w ustawie, a to:

• czynności podejmowane w celu ograniczenia i zarządzania ryzykiem prania pieniędzy;
• zasady rozpoznawania i oceny ryzyka oraz stosowania środków bezpieczeństwa finansowego;
• zasady weryfikacji tożsamości klienta i beneficjenta rzeczywistego oraz ich aktualizacji;
• zasady przechowywania dokumentów i informacji (retencja co do zasady 5 lat);
• zasady wykonywania obowiązków zgłoszeniowych wobec GIIF;
• zasady szkoleń, kontroli wewnętrznej oraz zgłaszania naruszeń przez pracowników (whistleblowing).

Kompletna procedura AML FinTech łączy wszystkie te elementy w jednym dokumencie. Podlega ona akceptacji przez kadrę kierowniczą w firmie. Brak udokumentowanego zatwierdzenia oznacza naruszenie obowiązku, nawet jeśli treść procedury jest merytorycznie poprawna.

KYC i środki bezpieczeństwa finansowego — jak weryfikować klienta

KYC (Know Your Customer, „poznaj swojego klienta”) to praktyczny rdzeń środków bezpieczeństwa finansowego, które fintech wykonuje, zanim nawiąże współpracę, a także w trakcie trwania relacji z klientem. Weryfikacja klienta FinTech obejmuje cztery elementy:

• Identyfikacja i weryfikacja tożsamości klienta — ustalenie danych i potwierdzenie ich na podstawie wiarygodnego źródła (dokument, wideoweryfikacja, e-dowód).
• Ustalenie beneficjenta rzeczywistego — beneficjent rzeczywisty to osoba fizyczna faktycznie kontrolująca klienta; próg kontroli to co do zasady ponad 25% udziałów lub głosów.
• Ocena celu i charakteru relacji — zrozumienie, po co klient korzysta z usługi (due diligence).
• Bieżące monitorowanie — stała analiza transakcji (transaction monitoring) pod kątem zgodności z profilem klienta.

Wobec klientów niskiego ryzyka możesz stosować uproszczone środki, wobec wysokiego — wzmożone, określone w art. 43–44 ustawy. Do KYC dochodzi też sanctions screening, czyli weryfikacja klienta i transakcji wobec list sankcyjnych. Dziś jest to obowiązkowy element compliance wobec skali sankcji nałożonych po 2022 r. Uwaga: pełna weryfikacja tożsamości klienta nie może całkowicie blokować onboardingu klienta — środki dobierasz proporcjonalnie do ryzyka, nie „na maksa” wobec każdego.

Kto odpowiada za AML w firmie FinTech

Za wdrożenie AML fintech odpowiadają trzy wskazane ustawowo role — a odpowiedzialność za naruszenia obejmuje je wszystkie, nie tylko spółkę. Ustawa rozdziela funkcje następująco:

• Kadra kierownicza wyższego szczebla: odpowiada za wykonywanie obowiązków ustawowych w firmie jako całości.
• Członek zarządu: wyznaczony spośród organu, odpowiada za wdrażanie obowiązków.
• Wyznaczony pracownik / AML oficer: odpowiada za bieżącą zgodność i przekazuje zawiadomienia do GIIF.

W małym fintechu te role często są skumulowane w jednej lub dwóch osobach. Takie podejście jest dopuszczalne, ale wymaga formalnego umocowania w procedurach. Wyznaczenie „kogokolwiek na papierze” bez realnej wiedzy i zasobów to pozorne compliance, które nie chroni ani firmy, ani tej osoby przed odpowiedzialnością.

Monitorowanie transakcji i zgłoszenia do GIIF — jakie są terminy

Zgłoszenia do GIIF dzielą się na dwa reżimy: progowy i o podejrzeniu. Każdy z nich ma własny termin, którego przekroczenie jest naruszeniem. To najczęściej kontrolowany obszar operacyjny procedury.

• Transakcje ponadprogowe: o wpłatach i wypłatach gotówkowych oraz transferach powyżej równowartości 15 000 euro zawiadamiasz GIIF w terminie do 7 dni.
• Zawiadomienie o podejrzeniu: gdy wartości mogą pochodzić z przestępstwa, zawiadamiasz niezwłocznie, nie później niż w 2 dni robocze od potwierdzenia podejrzenia.
• Wstrzymanie transakcji: przy uzasadnionym podejrzeniu przed wykonaniem transakcji zawiadamiasz niezwłocznie, a GIIF może żądać wstrzymania nawet na 96 godzin.

W praktyce działania fintechu monitorowanie transakcji jest zautomatyzowane, ale to człowiek — wyznaczony pracownik — podejmuje decyzję o zgłoszeniu. Rejestr transakcji podejrzanych oraz rejestr zawiadomień to dokumenty, które kontrolujący sprawdza w pierwszej kolejności. Brak śladu decyzji „zgłosić / nie zgłosić” jest traktowany jak brak analizy.

Szkolenia i narzędzia wspierające compliance AML FinTech

Szkolenie pracowników z AML FinTech jest obowiązkiem ustawowym, a nie tylko dobrą praktyką. Brak szkoleń stanowi naruszenie. Program szkoleniowy musi obejmować osoby wykonujące obowiązki związane z przeciwdziałaniem praniu pieniędzy i być udokumentowany (lista obecności, zakres, data).

Po stronie technologicznej wymogi AML są realizowane zwykle za pomocą kilku kategorii narzędzi:

• systemy monitorowania transakcji (transaction monitoring) generujące alerty o nietypowych operacjach;
• narzędzia elektronicznej weryfikacji tożsamości i wideoweryfikacji (eKYC);
• bazy do screeningu PEP oraz sanctions screening wobec list sankcyjnych;
• rejestry i systemy archiwizacji zapewniające retencję danych przez wymagany okres.

Narzędzie nie zastępuje jednak procedury, gdyż to procedura definiuje progi alertów i ścieżkę decyzyjną, a system je egzekwuje. Kupienie „gotowego AML w chmurze” bez własnej oceny ryzyka i procedury nie spełnia wymogów ustawy.

Case study: wdrożenie procedury AML w małej instytucji płatniczej

Poniższy przykład ilustruje typową ścieżkę wdrożenia (scenariusz modelowy, nie konkretny klient):

• Podmiot: spółka z o.o. z wpisem jako mała instytucja płatnicza (MIP), zespół 8 osób, w pełni zdalny onboarding klienta.
• Punkt wyjścia: brak oceny ryzyka i procedury; bank wstrzymuje otwarcie rachunku rozliczeniowego do czasu ich przedstawienia.
• Krok 1 (tydzień 1–2): ocena ryzyka, identyfikacja wysokiego ryzyka kanału zdalnego i klientów zagranicznych.
• Krok 2 (tydzień 2–4): wewnętrzna procedura pokrywająca wszystkie obszary, wyznaczenie ról uchwałą zarządu.
• Krok 3 (tydzień 4): akceptacja procedury przez zarząd i pierwsze udokumentowane szkolenie.
• Efekt: komplet dokumentów AML.

Wniosek: procedurę AML warto zbudować równolegle z wnioskiem licencyjnym, a nie po nim, inaczej gotowy produkt czeka na dokument compliance.

Co zmienia unijny pakiet AML od 10 lipca 2027 r.

Od 10 lipca 2027 r. zaczyna być stosowany unijny pakiet AML, który zastąpi część krajowych przepisów jednolitym prawem obowiązującym bezpośrednio w całej UE. Dla fintechu oznacza to konieczność przeglądu procedury jeszcze przed tą datą. Pakiet tworzą trzy akty z 31 maja 2024 r.:

• AMLR — rozporządzenie (UE) 2024/1624 — jednolity zbiór obowiązków AML/CFT, stosowany bezpośrednio od 10 lipca 2027 r. (bez transpozycji do prawa krajowego).
• AMLD6 — dyrektywa (UE) 2024/1640 — zasady nadzoru i rejestrów beneficjentów rzeczywistych, do wdrożenia przez państwa członkowskie.
• AMLA — rozporządzenie (UE) 2024/1620 — nowy unijny Urząd ds. Przeciwdziałania Praniu Pieniędzy z siedzibą we Frankfurcie, który wyda wiążące wytyczne.

Rozporządzenie AMLR (UE) 2024/1624 dostępne jest w EUR-Lex. Weszło w życie 9 lipca 2024 r., ale stosowane będzie dopiero od 10 lipca 2027 r.

Sprawdź również: NIS2/DORA.

FAQ — procedura AML dla FinTech

Jakie są wymogi prawne dotyczące AML dla firm FinTech w Polsce?

Wymogi wynikają z ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Firma FinTech będąca instytucją obowiązaną musi sporządzić ocenę ryzyka, wprowadzić wewnętrzną procedurę, stosować środki bezpieczeństwa finansowego, szkolić pracowników oraz zgłaszać transakcje do GIIF.

Kto jest odpowiedzialny za wdrożenie procedury AML w firmie FinTech?

Odpowiadają trzy role wskazane w ustawie: kadra kierownicza wyższego szczebla, członek zarządu wyznaczony do wdrażania obowiązków oraz wyznaczony pracownik odpowiedzialny za zgodność i zgłoszenia do GIIF. W działalności jednoosobowej wszystkie zadania wykonuje osoba prowadząca firmę. Kara może dosięgnąć bezpośrednio osoby odpowiedzialne, nie tylko spółkę.

Jakie są kary za brak procedury AML w firmie FinTech?

Kary administracyjne za brak procedury AML sięgają — dla najpoważniejszych naruszeń — 5 000 000 euro lub 10% obrotu w przypadku osób prawnych oraz do 20 868 500 zł w przypadku osób fizycznych. Zasadą ogólną jest kara do dwukrotności osiągniętej korzyści albo, gdy nie da się jej ustalić, do równowartości 1 000 000 euro. Możliwe są też publikacja informacji o naruszeniu i zakaz pełnienia funkcji kierowniczych.

Jak często należy aktualizować procedurę AML w firmie FinTech?

Procedura podlega bieżącej weryfikacji i aktualizacji w razie potrzeby, a ocena ryzyka — nie rzadziej niż co dwa lata. W praktyce procedurę warto przeglądać co najmniej raz w roku oraz każdorazowo po istotnej zmianie przepisów lub profilu działalności. Przegląd przed 10 lipca 2027 r. jest niezbędny ze względu na unijny pakiet AML.

Jakie transakcje powinny być monitorowane w ramach procedury AML?

Monitorowaniu podlegają wszystkie transakcje klienta pod kątem zgodności z jego profilem ryzyka. Szczególnej uwagi wymagają transakcje ponadprogowe powyżej 15 000 euro, operacje nietypowe, złożone lub bez uzasadnienia ekonomicznego oraz transakcje powiązane z państwami wysokiego ryzyka. Nietypowa transakcja musi zostać przeanalizowana i udokumentowana.

Czym jest KYC i jak wpisuje się w procedurę AML?

KYC (Know Your Customer) to proces poznania klienta, stanowiący praktyczną realizację środków bezpieczeństwa finansowego. Obejmuje identyfikację i weryfikację tożsamości klienta, ustalenie beneficjenta rzeczywistego, ocenę celu relacji oraz bieżące monitorowanie. KYC jest częścią procedury AML, a nie odrębnym obowiązkiem — to procedura określa, jak głęboko weryfikujesz klienta zależnie od przypisanego mu poziomu ryzyka.

Procedura AML jako stały element compliance FinTech

Procedura AML dla FinTech to nie jednorazowy dokument, lecz żywy system: ocena ryzyka, procedura pokrywająca obszary z art. 50, jasny podział ról, KYC proporcjonalne do ryzyka, monitoring i terminowe zgłoszenia do GIIF. Zbudowana „na papierze”, naraża firmę i zarząd na kary do 5 mln euro. Nadchodzący pakiet AML UE to dodatkowy argument, by zrobić to porządnie już teraz.

Sprawdź naszą usługę: Prawnik IT Kraków – pomożemy przygotować ocenę ryzyka, procedurę zgodną z art. 50 ustawy i wyznaczyć role AML w Twojej firmie.