Nowelizacja ustawy AML w Sejmie: SIGIIF, nowe zasady dostępu do CRBR i co czeka biura rachunkowe

28 września 2026 r. rząd skierował do Sejmu projekt ustawy o zmianie ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu — druk nr 3163. Rada Ministrów przyjęła go 22 września. Projekt wdraża przepisy unijne i zmienia trzy rzeczy, które odczuje każda instytucja obowiązana, także małe biuro rachunkowe: sposób kontaktu z GIIF, dostęp do Centralnego Rejestru Beneficjentów Rzeczywistych i zakres sankcji.

To nadal projekt — jego ostateczny kształt zależy od prac w Sejmie i Senacie. Opisujemy wersję skierowaną do Sejmu.

1. SIGIIF — korespondencja z GIIF tylko elektronicznie

Projekt wprowadza nowy rozdział o systemie teleinformatycznym GIIF (SIGIIF). Najważniejsze zmiany:

• Dostęp do SIGIIF przed pierwszym klientem. Instytucja obowiązana ma uzyskać dostęp do systemu przed nawiązaniem pierwszych stosunków gospodarczych albo przeprowadzeniem pierwszej transakcji okazjonalnej. Wniosek o dostęp ma określoną treść, a złożenie wniosku nieprawidłowego lub niepełnego projekt kwalifikuje jako naruszenie przepisów ustawy.
• Wymiana informacji przez SIGIIF. Zawiadomienia, informacje i inne wskazane w ustawie dokumenty mają być przekazywane GIIF przez system, a nie pocztą czy e-mailem.
• Okres przejściowy. Projekt przewiduje m.in. szczególne zasady przekazywania informacji w okresie od 1 stycznia do 31 marca 2027 r.

Według omówień projektu SIGIIF ma zastąpić dotychczasowy formularz identyfikacyjny instytucji obowiązanej i stać się głównym kanałem komunikacji z GIIF.

Co to oznacza dla biura: trzeba będzie mieć dostęp do systemu, zanim pojawi się pierwszy obowiązek raportowy, i dostosować procedurę wewnętrzną — kto w biurze ma dostęp do SIGIIF i kto składa zawiadomienia.

2. CRBR przestaje być rejestrem dla wszystkich

Dziś dane z CRBR może sprawdzić każdy. Projekt to zmienia:

• Instytucje obowiązane zachowują dostęp — na potrzeby stosowania środków bezpieczeństwa finansowego. Dla biura rachunkowego nic się więc nie zmienia w samej weryfikacji klienta.
• Pozostali muszą wykazać uzasadniony interes. Projekt wymienia grupy, którym przysługuje dostęp na tej podstawie, m.in. dziennikarzy i organizacje pożytku publicznego.
• Terminy rozpatrzenia wniosku: 12 dni (7 dni dla posiadaczy ważnego potwierdzenia), a w okresie od 1 października 2027 r. do 30 września 2028 r. — 30 dni.
• Beneficjent może ograniczyć dostęp do swoich danych w określonych sytuacjach — gdy ujawnienie naraziłoby go na nieproporcjonalne ryzyko niektórych przestępstw albo gdy nie ma pełnej zdolności do czynności prawnych.
• Dane w rejestrze mają być co do zasady przechowywane przez 5 lat.

Co to oznacza dla biura: CRBR pozostaje jednym ze źródeł do ustalenia beneficjenta rzeczywistego. Ale skoro dostęp publiczny się zawęża, a beneficjent może ograniczyć widoczność danych, tym ważniejsze staje się porównanie CRBR z KRS i informacjami od klienta — dokładnie to, czego GIIF wymaga już dziś.

3. Sankcje także za finansowanie broni masowego rażenia

Projekt rozszerza szczególne środki ograniczające (zamrożenie wartości majątkowych, zakaz ich udostępniania) na przeciwdziałanie rozprzestrzenianiu broni masowego rażenia i jego finansowaniu. GIIF będzie publikował listy na podstawie rezolucji Rady Bezpieczeństwa ONZ dotyczących KRLD i Iranu. To wdrożenie standardu FATF (rekomendacja nr 7).

Według omówień projektu instytucje obowiązane mają uwzględnić to ryzyko w ocenie ryzyka i w procedurach wewnętrznych.

Co to oznacza dla biura: w ocenie ryzyka biura i klientów powinien pojawić się nowy czynnik — powiązania z KRLD, Iranem i podmiotami z list dotyczących proliferacji. W praktyce dotyczy to głównie klientów z handlu zagranicznego, elektroniki, chemii i transportu.

4. Biura rachunkowe w katalogu instytucji obowiązanych

Projekt zmienia też brzmienie przepisu o podmiotach prowadzących usługowo księgi rachunkowe (art. 2 ust. 1 pkt 17 ustawy) — m.in. o wyłączenie dla osób prawnych wchodzących w skład grupy. Biura rachunkowe pozostają instytucjami obowiązanymi, a projekt nie przewiduje dla nich osobnych terminów — obowiązują je ogólne zasady, w tym dostęp do SIGIIF przed pierwszym klientem.

Co warto zrobić już teraz

1. Śledź prace w Sejmie nad drukiem nr 3163 — terminy mogą się zmienić.
2. Zaplanuj w procedurze AML obsługę SIGIIF: kto ma dostęp, kto składa zawiadomienia, jak to dokumentujesz.
3. Dodaj do oceny ryzyka czynnik proliferacji — powiązania z KRLD i Iranem.
4. Nie opieraj beneficjenta wyłącznie na CRBR — porównuj z KRS i dokumentami klienta, zapisuj rozbieżności.
5. Sprawdź swoje dane w rejestrach — biuro też będzie identyfikowane w nowym systemie.

Najczęstsze pytania

Kiedy zmiany wejdą w życie? Projekt przewiduje różne terminy dla różnych części, m.in. okres przejściowy od 1 stycznia 2027 r. dla korespondencji z GIIF i nowe zasady dostępu do CRBR z okresem przejściowym od 1 października 2027 r. Ostateczne daty ustali uchwalona ustawa.

Czy to wdrożenie AMLR? Nie. To nowelizacja obecnej ustawy, wdrażająca m.in. przepisy dyrektyw i standardy FATF. Rozporządzenie AMLR (UE) 2024/1624 zacznie obowiązywać 10 lipca 2027 r. i będzie stosowane bezpośrednio — polskie przepisy będą do niego dalej dostosowywane.

Czy biuro straci dostęp do CRBR? Nie. Instytucje obowiązane zachowują dostęp na potrzeby stosowania środków bezpieczeństwa finansowego.

Jak pomaga Verifykator

Raport AMLA zestawia beneficjentów z CRBR ze wspólnikami i zarządem z KRS i pokazuje rozbieżności, sprawdza listy sankcyjne (UE, MSWiA, OFAC) i ostrzeżenia KNF oraz proponuje poziom środków — z datą i źródłami każdej informacji, do dołączenia do akt klienta.