Sprawozdanie GIIF za 2025 r.: 191 nieprawidłowości w 7 kontrolach i ponad 11 tys. zgłoszeń

Generalny Inspektor Informacji Finansowej opublikował sprawozdanie ze swojej działalności w 2025 r. To coroczny dokument, z którego najlepiej widać, jak naprawdę wygląda nadzór nad instytucjami obowiązanymi w Polsce — i czego można się spodziewać przy kontroli.

Najważniejsze liczby

Według omówień sprawozdania większość postępowań po kontrolach zakończyła się nałożeniem kary pieniężnej.

Siedem kontroli to nie wszystko

Liczba 7 może uspokajać — w Polsce działa kilkadziesiąt tysięcy instytucji obowiązanych. Ale GIIF to tylko jeden z organów, które kontrolują przestrzeganie ustawy AML. Kontrole prowadzą też m.in.:

• naczelnicy urzędów celno-skarbowych (KAS) — dla małych instytucji niefinansowych, w tym biur rachunkowych, to najbardziej realny kontroler,
• Komisja Nadzoru Finansowego — wobec instytucji finansowych,
• Polska Agencja Nadzoru Audytowego — wobec firm audytorskich (w 2026 r. zapowiedziała kontrolę tematyczną AML),
• Prezes NBP — wobec kantorów.

Organy te przekazują GIIF informacje o wynikach swoich kontroli, a GIIF może na tej podstawie wszcząć postępowanie w sprawie kary.

27 nieprawidłowości na kontrolę — co to znaczy

Średnio ponad 27 nieprawidłowości w jednej kontroli pokazuje, że problemem rzadko jest jeden brak. Najczęściej zawodzi cały obszar. Z praktyki kontroli i komunikatów GIIF wynika, że powtarzają się te same błędy:

1. Ocena ryzyka skopiowana z szablonu — nie odnosi się do klientów i usług danej instytucji.
2. Brak oceny ryzyka poszczególnych klientów — jest tylko ocena całego biura.
3. Beneficjent rzeczywisty ustalony wyłącznie na podstawie CRBR — bez porównania z KRS i dokumentami.
4. Brak śladu sprawdzenia list sankcyjnych i PEP — „sprawdzaliśmy”, ale nie ma czego pokazać.
5. Dokumentacja bez dat i źródeł — nie da się ustalić, kiedy i skąd pozyskano dane klienta.
6. Brak bieżącego monitorowania — klient sprawdzony raz, lata temu.
7. Brak lub nieaktualna procedura wewnętrzna i brak szkoleń pracowników.
8. Dokumentacja przechowywana krócej niż 5 lat lub niekompletna.

Każdy z tych punktów to osobna nieprawidłowość. Przy kilkudziesięciu klientach łatwo o kilkadziesiąt pozycji w protokole.

Jakie kary grożą

Ustawa AML przewiduje kary administracyjne za naruszenie obowiązków, m.in. za brak oceny ryzyka, niestosowanie środków bezpieczeństwa finansowego, brak dokumentacji czy niestosowanie sankcji. Katalog obejmuje:

• publikację informacji o instytucji i naruszeniu,
• nakaz zaprzestania określonych działań,
• karę pieniężną — do dwukrotności korzyści uzyskanej z naruszenia, a gdy nie da się jej ustalić, w przypadku większości instytucji niefinansowych do 1 mln zł,
• w niektórych przypadkach czasowy zakaz pełnienia funkcji kierowniczych.

Przy wymiarze kary organ bierze pod uwagę m.in. wagę i czas trwania naruszenia, skalę działalności i współpracę z nadzorem. Udokumentowane, porządne procedury to najlepszy argument łagodzący.

Zgłoszenia: rośnie liczba zawiadomień od instytucji obowiązanych

W 2025 r. zarejestrowano ponad 11 tys. zawiadomień o działalności i transakcjach podejrzanych. Liczba zawiadomień od instytucji obowiązanych wzrosła o 32%, a informacji od jednostek współpracujących (m.in. organów administracji) spadła o 51%.

Wniosek dla sektora niefinansowego: coraz więcej instytucji stosuje procedury w praktyce, a nadzór ma coraz więcej materiału do porównań. Biuro, które nigdy nic nie zgłosiło i nie ma śladu żadnej analizy, będzie coraz bardziej odstawać.

Jak przygotować się do kontroli — lista kontrolna

• Ocena ryzyka biura opisuje Twoich klientów i usługi, ma datę ostatniej aktualizacji.
• Przy każdym kliencie jest ocena ryzyka z uzasadnieniem.
• Przy każdym kliencie są dane z rejestrów (KRS / CEIDG, Biała Lista VAT, GUS) z datą pobrania.
• Beneficjent rzeczywisty ustalony i porównany z CRBR; rozbieżności zgłoszone.
• Wynik sprawdzenia list sankcyjnych i PEP z datą i nazwami list.
• Ponowne sprawdzenie po zmianach u klienta i po dużych pakietach sankcji.
• Aktualna procedura wewnętrzna i lista szkoleń.
• Wyznaczona osoba odpowiedzialna za AML.
• Dokumentacja przechowywana przez 5 lat od zakończenia współpracy.

Jak pomaga Verifykator

Verifykator przygotowuje dokument do akt klienta po jego NIP w kilkadziesiąt sekund: dane z KRS, CEIDG, GUS, Białej Listy VAT, VIES i CRBR, wynik sprawdzenia list sankcyjnych i PEP oraz — w pełnym Raporcie AMLA — ocenę ryzyka 0–100 z proponowanym poziomem środków. Każda informacja ma źródło i datę, a historia sprawdzeń jest przechowywana na koncie przez 5 lat.