Metodologia scoringu — regułowa, w pełni wyjaśnialna.

1. Zasady

Deterministycznie. Ocena jest wyłącznie funkcją zebranych danych: te same dane wejściowe zawsze dają ten sam wynik i ten sam tekst raportu. Dane pobieramy przy każdym zamówieniu, więc raporty o tej samej firmie z różnych dni mogą się różnić, jeśli w tym czasie zmieniły się rejestry.

Ze wskazaniem źródła. Każdy czynnik punktacji jest w raporcie wypisany przy swojej domenie razem ze źródłem i liczbą punktów, np. „Spadek przychodów o 52% rok do roku (2024: 408 347 PLN → 2025: 197 897 PLN; BizRaport) (+25)". Odpowiedź na pytanie „skąd 85 punktów?" jest w samym raporcie.

Wielodomenowo. Jedno ustalenie może podnieść kilka domen naraz. Beneficjent rzeczywisty na liście sankcyjnej podnosi zarówno domenę struktury właścicielskiej, jak i domenę sankcyjną, bo ten sam fakt niesie dwa rodzaje ryzyka (sekcja 4).

Brak danych to nie brak ryzyka. Źródło, które nie odpowiedziało, nie dodaje punktów, ale raport oznacza je jako niesprawdzone i zaleca ręczną weryfikację. Przy każdej domenie podajemy, ile źródeł odpowiedziało.

2. Pięć domen oceny

Raport jest zbudowany wokół pięciu domen. Każda ma własny wynik 0–100 (0 — brak czynników ryzyka w sprawdzonych źródłach, 100 — maksymalne ryzyko) i własną wagę w ocenie łącznej.

Największą wagę mają sankcje, najmniejszą — reputacja, bo otwarte źródła niosą więcej szumu niż rejestry państwowe.

3. Jak liczymy ocenę łączną

3.1. Średnia ważona

Wynik domeny to suma punktów jej reguł, najwyżej 100. Ocena łączna to średnia ważona pięciu domen, zaokrąglona do liczby całkowitej:

Ocena = I × 0,15 + II × 0,25 + III × 0,30 + IV × 0,20 + V × 0,10

Przykład — firma bez zastrzeżeń (przykładowy raport GPPL Sp. z o.o.): wszystkie domeny 0 → 0, ryzyko niskie.

Przykład — firma z problemem finansowym: IV = 55 (spadek przychodów +25, ujemny kapitał własny +30), V = 15 (1–3 negatywne publikacje), pozostałe domeny 0 → 11 + 1,5 = 12,5 → 13, ryzyko niskie. Wynik samej domeny IV (55) raport pokazuje osobno.

3.2. Reguły nadrzędne

Niektórych ustaleń nie da się uśrednić. Jeśli wystąpią, ocena łączna nie spada poniżej progu minimalnego, niezależnie od pozostałych domen:

Przykład — przykładowy raport BOERNER SYNTHETICS MEMBRANES Sp. z o.o.: I = 0, II = 100, III = 100, IV = 25, V = 0. Średnia ważona to 25 + 30 + 5 = 60, ale trafienie sankcyjne podnosi ocenę do 85, ryzyko krytyczne.

3.3. Poziomy ryzyka

4. Reguły wielodomenowe

Jedno ustalenie może podnieść kilka domen jednocześnie, bo ryzyko rzadko mieści się w jednym pudełku:

Za właściciela uznajemy beneficjenta rzeczywistego z CRBR, wspólnika z KRS i spółkę dominującą. Punkty sumują się w ramach domeny do limitu 100.

5. Co generuje punkty w każdej domenie

I. Identyfikacja i status rejestrowy (waga 15%)

Źródła: KRS, CEIDG, GUS REGON, Biała Lista VAT, VIES.

• Firma jest na Białej Liście, ale nie ma jej ani w KRS, ani w CEIDG → +60
• Wpis do rejestru młodszy niż 90 dni → +25
• Przeważająca działalność w branży podwyższonego ryzyka wg tabeli PKD (m.in. pośrednictwo pieniężne i kantory 64.19, 66.12, 66.19; gry losowe 92.00; handel metalami i złomem 46.72, 46.77; obrót nieruchomościami 68.10/68.11/68.12, 68.31; biżuteria 47.77; handel samochodami 45.11; pozostałe usługi finansowe i VASP 64.99; organizacje członkowskie 94.99) → +15
• Przeważająca działalność w branży o podwyższonym profilu ryzyka (handel hurtowy niewyspecjalizowany 46.90, transport drogowy towarów 49.41, roboty budowlane 41.20, doradztwo gospodarcze 70.22, agencje reklamowe 73.11, oprogramowanie 62.01/62.10) → +5
• Kod branży podwyższonego ryzyka wśród pozostałych kodów PKD (gdy przeważający nie jest taki) → +5
• Profil spółki-wydmuszki: branża podwyższonego ryzyka, wpis młodszy niż 12 miesięcy i kapitał zakładowy do 5 000 zł → +20, ocena łączna co najmniej 61

Tabela PKD ma wersję i datę (pierwsza: 2026-10-07); jej skrót raport zapisuje jako wersję konfiguracji.

Status VAT-UE (VIES) i dane GUS pokazujemy w raporcie informacyjnie, bez punktów.

II. Struktura właścicielska i UBO (waga 25%)

Źródła: CRBR, KRS (wspólnicy), OpenSanctions (sprawdzenie każdego właściciela).

• Właściciel na liście sankcyjnej → +80 za każdego
• Właściciel jest PEP → +50 za każdego
• Spółka nie zgłosiła beneficjentów do CRBR, choć ma taki obowiązek → +35 (gdy CRBR potwierdził brak wpisu; nie dotyczy spółek notowanych na GPW)
• Obywatelstwo lub kraj zamieszkania beneficjenta rzeczywistego albo zgłaszającego w CRBR na liście FATF „Call for action” (KRLD, Iran, Mjanma; stan na 19.06.2026) → +60 za osobę, ocena łączna co najmniej 85
• …na unijnej liście państw trzecich wysokiego ryzyka (rozporządzenie delegowane (UE) 2016/1675, wersja skonsolidowana z 29.01.2026, w tym Rosja) → +40 za osobę, ocena łączna co najmniej 61
• …w państwie objętym reżimem sankcyjnym (lista własna: Rosja, Białoruś, Iran, KRLD, Syria, Mjanma, Wenezuela) → +40 za osobę, ocena łączna co najmniej 61
• …na liście FATF „Increased monitoring” (stan na 19.06.2026) → +15 za osobę
• …w unijnym wykazie jurysdykcji niechętnych współpracy podatkowej (17.02.2026) → +10 za osobę; w raju podatkowym wg rozporządzenia Ministra Finansów → +10 za osobę

Dla osoby z kilkoma obywatelstwami liczy się najgorsza kategoria; każdą osobę liczymy raz. Raport podaje, kto, jaki kraj i która lista z datą. Nieznane obywatelstwo nie daje punktów — raport odnotowuje je jako do ustalenia. Te same reguły stosujemy do kraju rejestracji spółki-wspólnika i jej podmiotu dominującego najwyższego szczebla, ustalonych w rejestrze GLEIF (LEI).

Sprawdzenie zgodności CRBR z KRS (art. 61a ustawy AML; raport zawiera projekt zgłoszenia rozbieżności, wysyła je instytucja obowiązana):

• Wspólnik-osoba fizyczna z udziałem co najmniej 25% wg KRS nie figuruje wśród beneficjentów w CRBR → +40, ocena łączna co najmniej 61
• W CRBR wskazano wyłącznie osobę zajmującą wyższe stanowisko kierownicze, choć KRS wykazuje wspólnika-osobę fizyczną z udziałem co najmniej 25% → +40, ocena łączna co najmniej 61
• Jedynym wspólnikiem jest spółka zagraniczna, a CRBR nie zawiera osoby z pośrednimi uprawnieniami → +40, ocena łączna co najmniej 61
• Beneficjent z bezpośrednimi uprawnieniami wg CRBR nie odpowiada żadnemu wspólnikowi w KRS → +20
• Udział tej samej osoby w KRS i CRBR różni się o ponad 5 punktów procentowych → +5
• Spółka-wspólnik zagraniczna bez numeru LEI w GLEIF i bez polskiego KRS (łańcuch nieprzejrzysty) → +20
• Trzy lub więcej poziomów spółek dominujących albo własność krzyżowa wg GLEIF → +20

Otwarte API KRS maskuje dane osób fizycznych, więc osobę z KRS i osobę z CRBR dopasowujemy po pierwszej literze i długości imienia i nazwiska; każde takie ustalenie raport oznacza jako wymagające weryfikacji.

III. Sankcje i listy ostrzegawcze (waga 30%)

Źródła: OpenSanctions (zbiór list sankcyjnych, w tym polska lista MSWiA, oraz oznaczenia PEP i RCA), skonsolidowana lista sankcyjna UE, lista OFAC SDN, lista ostrzeżeń publicznych KNF. Sprawdzamy firmę oraz jej właścicieli i beneficjentów.

• Trafienie na liście sankcyjnej → +100, ocena łączna co najmniej 85
• Wpis na liście ostrzeżeń KNF → +80, ocena łączna co najmniej 75
• Powiązanie z podmiotem objętym sankcjami → +60, ocena łączna co najmniej 61
• Wpis w bazach przestępców lub poszukiwanych → +40, ocena łączna co najmniej 61
• Osoba objęta szczególnym zainteresowaniem, POI (gdy nie ma trafienia sankcyjnego) → +40, ocena łączna co najmniej 61
• PEP → +25; ocena łączna co najmniej 61, gdy PEP jest właścicielem, członkiem zarządu, prokurentem lub zgłaszającym w CRBR, a co najmniej 21, gdy jest wspólnikiem mniejszościowym
• RCA → +15, ocena łączna co najmniej 21

Za trafienie uznajemy dopasowanie potwierdzone: zgodny identyfikator (NIP lub KRS) albo wynik OpenSanctions co najmniej 0,85, a dla osoby fizycznej dodatkowo zgodna data urodzenia (co najmniej rok). Dopasowania z wynikiem 0,65–0,85 oraz silne dopasowania nazwiska bez daty urodzenia pokazujemy jako „do weryfikacji” (+20, bez progu minimalnego) z listą kandydatów; zbieżność samego nazwiska poniżej 0,75 pomijamy. Firmę bez identyfikatora i kraju dopasowujemy najwyżej „do weryfikacji”, chyba że nazwa (po pominięciu formy prawnej) jest identyczna. Zgodność nazwy z listą UE lub OFAC liczymy na poziomie co najmniej 80%. Każdą osobę z ujawnionym nazwiskiem sprawdzamy w OpenSanctions także pod kątem PEP i RCA (kolekcja „default”), jedno zapytanie na osobę, nie więcej niż 25 zapytań na raport; osoby ponad limit raport wymienia jako niesprawdzone.

IV. Profil finansowy (waga 20%)

Źródła: KRS dział 6 (upadłość, likwidacja, restrukturyzacja), BizRaport (dane ze sprawozdań finansowych, terminy ich złożenia, ogłoszenia MSiG i KRZ), e-Sprawozdania (fakt złożenia sprawozdania), Biała Lista VAT, decyzje UOKiK, opublikowane decyzje o zarządzie przymusowym, Google News.

• Upadłość → +60, ocena łączna co najmniej 75
• Likwidacja → +40, ocena łączna co najmniej 75
• Restrukturyzacja → +40, ocena łączna co najmniej 75
• Zarząd przymusowy (art. 6a ustawy sankcyjnej) → +60; po upływie opublikowanego okresu → +30
• Ogłoszenie w KRZ, gdy KRS nie wykazuje postępowania → +40 (dotyczy upadłości) lub +30
• Publikacje prasowe o postępowaniu prokuratorskim lub zarzutach → +40
• Przychody ponad 1000 razy wyższe od kapitału zakładowego → +35
• Ujemny kapitał własny → +30
• Kara UOKiK → +30 (z ostatnich dwóch lat) lub +15 (starsza)
• Status VAT inny niż „czynny" lub „zwolniony" → +25
• Spadek przychodów o ponad 40% rok do roku → +25
• Sprawozdanie finansowe złożone ponad 90 dni po ustawowym terminie → +20
• Brak sprawozdania finansowego ponad 90 dni po ustawowym terminie → +20
• Kapitał zakładowy do 5 000 zł → +10

V. Reputacja i OSINT (waga 10%)

Źródła: Google News (przez Serper.dev), RDAP, BDO, PEPPOL.

• Negatywne publikacje prasowe: 1–3 → +15, 4–9 → +30, 10 i więcej → +50
• Domena internetowa zarejestrowana mniej niż 90 dni temu → +20
• Alarm w rejestrze BDO → +25

Wpisy z forów i mediów społecznościowych pokazujemy do ręcznej weryfikacji, bez punktów. Bez punktów są też publikacje, w których firma nie jest podmiotem zarzutów, np. sama zgłasza przestępstwo. Rejestr PEPPOL pokazujemy informacyjnie.

5a. Proponowany poziom środków bezpieczeństwa i zalecane czynności

Od 8 października 2026 r. raport proponuje poziom środków bezpieczeństwa finansowego — uproszczony (SDD), standardowy (CDD) lub wzmożony (EDD) — i listę zalecanych czynności. To rekomendacja wynikająca deterministycznie z ustaleń raportu; decyzję podejmuje instytucja obowiązana, system niczego nie zatwierdza.

• Poziom wyjściowy: CDD.
• EDD obowiązkowe (art. 43–46 ustawy AML) przy: PEP wśród właścicieli, zarządu, prokurentów lub zgłaszającego w CRBR; RCA; obywatelstwie lub rezydencji osoby powiązanej w państwie wysokiego ryzyka (lista UE, FATF „Call for action”, reżim sankcyjny); nietypowo złożonej strukturze własności; profilu spółki-wydmuszki; powiązaniu z podmiotem objętym sankcjami (polityka wewnętrzna).
• Zakaz nawiązania stosunków gospodarczych i obowiązek zamrożenia: potwierdzone trafienie sankcyjne albo reguła 50%. Raport zaleca wtedy zawiadomienie GIIF i ABW.
• EDD z powodu skumulowanego ryzyka: ocena łączna co najmniej 50 albo co najmniej dwa ustalenia o wadze wysokiej.
• SDD tylko przy ocenie do 10, bez żadnego ustalenia o wadze co najmniej umiarkowanej, dla spółki notowanej na rynku regulowanym albo spółki z beneficjentami wyłącznie z PL/EOG, kapitałem co najmniej 100 000 zł i starszej niż 3 lata. Raport częściowy (źródło niedostępne) nigdy nie dostaje SDD.

Zalecane czynności mają polski tekst i podstawę prawną: weryfikacja tożsamości beneficjenta i reprezentanta, zgoda kadry kierowniczej przy PEP, ustalenie źródła majątku i środków (EDD, branże gotówkowe), dokumenty rejestrowe spółki dominującej, zgłoszenie rozbieżności do CRBR (z projektem zgłoszenia w załączniku), prośba o sprawozdanie finansowe, ustalenie obywatelstwa, powtórzenie sprawdzenia w niedostępnych źródłach, częstotliwość ponownego screeningu (30 dni przy EDD, 12 miesięcy przy CDD, 24 miesiące przy SDD).

Nabywca może oświadczyć, że jest instytucją obowiązaną (przy zamówieniu albo w koncie). Raport dla instytucji obowiązanej zawiera obywatelstwo, kraj zamieszkania i daty urodzenia osób powiązanych; raport dla pozostałych nabywców pomija te dane i zawiera imiona, nazwiska, role i statusy ryzyka.

6. Źródła danych — pełna lista

Dla spółek odpytujemy 18 źródeł, dla jednoosobowych działalności gospodarczych — 12, bo część rejestrów dotyczy tylko spółek.

• Rejestry i urzędy (10): KRS · CEIDG · GUS REGON · CRBR · Biała Lista VAT · e-Sprawozdania · MSiG / KRS dział 6 · BDO · lista ostrzeżeń KNF · decyzje UOKiK
• Unia Europejska i listy międzynarodowe (4): VIES · lista sankcyjna UE · OFAC SDN · OpenSanctions
• Dostawcy danych i OSINT (4): BizRaport · Google News (Serper.dev) · RDAP · PEPPOL

Rejestry odpytujemy przy każdym zamówieniu. Wyjątki: listy sankcyjne UE i OFAC pobieramy co 12 godzin, listę ostrzeżeń KNF — raz na dobę. CRBR utrzymujemy jako własną kopię rejestru; datę jej stanu raport podaje przy beneficjentach, a gdy kopia nie zawiera spółki lub jej beneficjentów, pytamy CRBR na żywo.

Opisy źródeł — na stronie Źródła danych.

7. Bez sztucznej inteligencji

W ocenie ani w tworzeniu tekstu raportu nie uczestniczy żaden model językowy ani inne narzędzie AI. Tekst raportu powstaje z ustalonych szablonów wypełnianych danymi ze źródeł, a punkty — z reguł opisanych w sekcji 5. Dane o sprawdzanej firmie nie trafiają do dostawców modeli AI.

Jeśli audytor zapyta „dlaczego ta firma ma 85 punktów?", odpowiedzią jest lista reguł wypisana w raporcie przy każdej domenie, a nie „tak uznał model".

8. Co zapisujemy przy każdym raporcie

• czynniki punktacji: domenę, liczbę punktów i opis ze źródłem,
• wynik każdej domeny i ocenę łączną,
• status każdego źródła: odpowiedziało albo niesprawdzone,
• datę i godzinę wygenerowania raportu.

Raport PDF zawiera te same czynniki przy każdej domenie oraz listę sprawdzonych źródeł.

9. Czym raport jest, a czym nie jest

Jest uporządkowanym narzędziem wspierającym należytą staranność: fakty z rejestrów i list, deterministyczna punktacja i zalecane dalsze czynności.

Nie jest opinią prawną ani decyzją compliance. Decyzję o nawiązaniu, odmowie lub kontynuacji współpracy podejmuje osoba odpowiedzialna za compliance na podstawie całości materiału. Verifykator dostarcza fakty — nie zastępuje osądu.

Nie jest gwarancją kompletności. Dane pochodzą z rejestrów publicznych, otwartych źródeł i od dostawców danych (BizRaport, OpenSanctions). Nie mamy dostępu do baz niepublicznych, np. Krajowego Rejestru Karnego.

10. Status prawny narzędzia

Verifykator jest narzędziem analitycznym do celów informacyjnych. Nie stanowi porady prawnej ani finansowej. Użytkownik odpowiada za weryfikację kluczowych informacji przed podjęciem wiążących decyzji prawnych lub umownych.

Operatorem serwisu jest GPPL Sp. z o.o. (NIP 1133084887, KRS 0001017113, ul. Ostrobramska 101A/301, 04-041 Warszawa).

11. Wersja metodyki

Kryteria, wagi i progi opisane na tej stronie obowiązują od 29 września 2026 r.