Kary AML — ile naprawdę płacą małe firmy.

Rodzaje kar administracyjnych

Art. 150 ust. 1 ustawy AML wymienia pięć kar administracyjnych. Organ może nałożyć jedną lub kilka naraz:

Kto nakłada karę, zależy od tego, kto prowadził kontrolę (art. 151): GIIF — wobec instytucji skontrolowanych przez siebie i przez naczelników urzędów celno-skarbowych, prezesów sądów apelacyjnych, wojewodów i starostów; Prezes NBP — wobec kantorów; KNF — wobec podmiotów rynku finansowego. Dla biura rachunkowego, pośrednika czy jubilera decyzję wydaje więc GIIF.

Za co grożą kary

Katalog naruszeń zawierają art. 147–149. Najczęstsze w decyzjach wobec małych instytucji:

• brak procedury wewnętrznej albo procedura, której nikt nie stosuje (art. 50),
• brak oceny ryzyka instytucji albo nieaktualizowana ocena (art. 27),
• brak oceny ryzyka klienta i niestosowanie środków bezpieczeństwa finansowego — brak identyfikacji, weryfikacji, ustalenia beneficjenta rzeczywistego, sprawdzenia PEP (art. 33–46),
• brak wzmożonych środków wobec klientów wysokiego ryzyka (art. 43–44),
• brak dokumentacji lub przechowywanie krócej niż 5 lat (art. 49),
• brak szkoleń (art. 52) i brak wyznaczonej osoby odpowiedzialnej (art. 6–8),
• brak zawiadomień o transakcjach ponadprogowych i podejrzanych (art. 72, 74, 86),
• niewykonanie zaleceń pokontrolnych,
• brak zgłoszenia beneficjenta do CRBR lub zgłoszenie nieprawdziwych danych — osobna kara do 1 000 000 zł dla spółki (art. 153), a dla beneficjenta, który nie przekazał spółce danych — do 50 000 zł.

Osobny rozdział to odpowiedzialność karna: niezawiadomienie GIIF o podejrzeniu prania pieniędzy albo przekazanie nieprawdziwych danych — kara pozbawienia wolności od 3 miesięcy do 5 lat (art. 156); utrudnianie kontroli — do 2 lat (art. 157). To przepisy wobec osób, nie instytucji.

Jak organ liczy karę

Art. 150 ust. 4 wymienia przesłanki, które organ musi rozważyć — i opisać w uzasadnieniu decyzji:

1. waga naruszenia i czas jego trwania — brak procedury przez 5 lat waży więcej niż 3-miesięczne opóźnienie aktualizacji,
2. zakres odpowiedzialności instytucji — czy naruszenie dotyczyło całej działalności, czy jednego klienta,
3. możliwości finansowe instytucji — kara dla jednoosobowego biura i dla banku różni się o rzędy wielkości,
4. skala korzyści osiągniętych lub strat unikniętych dzięki naruszeniu, jeśli da się je ustalić,
5. straty poniesione przez osoby trzecie,
6. stopień współpracy z organami — udostępnianie dokumentów, uzupełnianie braków w trakcie kontroli, realizacja zaleceń,
7. uprzednie naruszenia — recydywa podnosi karę.

Ustawa nie przewiduje dolnej granicy kary pieniężnej. W szczególnie uzasadnionych przypadkach organ może odstąpić od jej nałożenia (art. 150 ust. 5): gdy naruszenie jest znikomej wagi i ustało, albo gdy za ten sam czyn instytucja została już ukarana przez inny organ lub skazana prawomocnym wyrokiem. Organ może też w ogóle nie wszczynać postępowania, gdy naruszenie nie było poważne, a instytucja wdrożyła zalecenia pokontrolne (art. 151).

Ile to jest w praktyce. Najwyższa opublikowana kara w Polsce to 21,66 mln zł dla banku (decyzja GIIF z 2022 r.). Na drugim biegunie — decyzje wobec małych instytucji: 15 000 zł dla jubilera za brak osoby odpowiedzialnej, oceny ryzyka, procedury, szkoleń i procedury zgłaszania naruszeń; 15 000 zł dla fundacji za brak oceny ryzyka, środków bezpieczeństwa i zawiadomień; 30 000 zł dla kantoru za braki w raportowaniu transakcji. W zestawieniach opublikowanych decyzji mediana kary jest rzędu kilku tysięcy złotych, a średnią zawyża kilka kar dla dużych instytucji. Dla małej firmy typowy przedział to kilkanaście do kilkudziesięciu tysięcy złotych — plus publikacja.

Odpowiedzialność osobista członków zarządu

Ustawa adresuje kary nie tylko do instytucji. Art. 154 pozwala nałożyć karę pieniężną do 1 000 000 zł na osobę odpowiedzialną za wdrożenie obowiązków — członka zarządu wyznaczonego na podstawie art. 6, a w jednoosobowej działalności na samego przedsiębiorcę — za naruszenia popełnione w czasie, gdy odpowiadała za wykonanie obowiązków. Art. 150 ust. 1 pkt 4 pozwala ponadto orzec zakaz pełnienia obowiązków na stanowisku kierowniczym do roku. Przy instytucjach rynku finansowego kara dla osoby fizycznej może sięgnąć 20 868 500 zł (art. 150 ust. 3).

W praktyce oznacza to, że uchwała zarządu wyznaczająca osobę odpowiedzialną nie jest formalnością: wskazuje, kto zapłaci.

Kary za naruszenie sankcji

Niezależnie od ustawy AML działa ustawa z 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę. Za niedopełnienie obowiązku zamrożenia środków osób z listy MSWiA lub z rozporządzeń UE, za udostępnienie im zasobów, za niezgłoszenie zamrożenia albo za obchodzenie sankcji Szef Krajowej Administracji Skarbowej nakłada karę pieniężną do 20 000 000 zł; w zamówieniach publicznych decyzję wydaje Prezes Urzędu Zamówień Publicznych. Ustawa przewiduje też odpowiedzialność karną. Obowiązek dotyczy każdego przedsiębiorcy — także tego, który nie jest instytucją obowiązaną. Jak sprawdzić kontrahenta i jego właścicieli: screening sankcyjny.

Publikacja i odwołanie

Publikacja. Informację o ostatecznej decyzji — dane instytucji, rodzaj naruszenia i rodzaj lub wysokość kary — GIIF publikuje w BIP Ministerstwa Finansów (art. 152); publikuje też informację o wniesieniu skargi i o wyroku sądu. Dane usuwa się po 5 latach od publikacji. Organ może odroczyć publikację lub ograniczyć jej zakres (np. dane osobowe), gdy byłaby nieproporcjonalna do naruszenia albo zagrażałaby toczącemu się postępowaniu. Publikacja jest karą z art. 150 ust. 1 pkt 1 — organ decyduje o niej w decyzji, więc nie każda kara pieniężna oznacza publikację, ale w praktyce decyzje wobec małych instytucji są publikowane.

Odwołanie. Postępowanie w sprawie kary toczy się według Kodeksu postępowania administracyjnego: instytucja ma prawo do czynnego udziału, wglądu w akta i wypowiedzenia się przed wydaniem decyzji. Od decyzji GIIF przysługuje odwołanie do organu wyższego stopnia — ministra właściwego do spraw finansów publicznych — w terminie 14 dni od doręczenia, a od decyzji ostatecznej skarga do wojewódzkiego sądu administracyjnego w terminie 30 dni. Wniesienie odwołania wstrzymuje wykonanie decyzji; w odwołaniu warto odnieść się do każdej z przesłanek z art. 150 ust. 4 i wykazać współpracę oraz usunięcie naruszeń.

Jak przebiega kontrola, po której zapada decyzja: Kontrola GIIF. Pełny katalog obowiązków: Ustawa AML. Tekst ustawy: ISAP.

Stan prawny: październik 2026. Materiał informacyjny, nie stanowi porady prawnej.