Kontrola GIIF — co sprawdzają i czym się wykazać.

Kto kontroluje

Kontrolę wykonywania obowiązków z ustawy AML prowadzi Generalny Inspektor Informacji Finansowej (art. 130 ust. 1), a w ramach własnego nadzoru także inne organy (art. 130 ust. 2):

W liczbach ze sprawozdania GIIF za 2025 r.: 7 kontroli GIIF (w tym w bankach i u operatorów kryptoaktywów, 191 stwierdzonych nieprawidłowości) oraz 479 kontroli pozostałych organów, z czego sam NBP skontrolował 325 przedsiębiorców prowadzących 488 kantorów i wydał 18 decyzji o karach na łączną kwotę 321 tys. zł. Dla małego biura czy pośrednika najbardziej prawdopodobny jest kontroler z urzędu celno-skarbowego działający w zakresie nadzoru KAS — z tymi samymi uprawnieniami i tym samym katalogiem kar. Sprawozdania roczne: gov.pl.

Przebieg kontroli

1. Zawiadomienie. Kontrola przedsiębiorcy podlega zasadom ustawy Prawo przedsiębiorców: organ zawiadamia o zamiarze wszczęcia kontroli, a kontrola zaczyna się nie wcześniej niż po 7 i nie później niż przed upływem 30 dni od doręczenia zawiadomienia. Zawiadomienia nie ma, gdy kontrola jest uzasadniona podejrzeniem przestępstwa lub wynika bezpośrednio z przepisów prawa UE — w praktyce kontrola AML bywa więc niezapowiedziana.
2. Upoważnienie i legitymacja. Kontrolę prowadzą co najmniej dwie osoby na podstawie pisemnego upoważnienia, które wskazuje podstawę prawną, zakres, przedmiot, miejsce, datę rozpoczęcia i przewidywany czas trwania. Kontroler okazuje legitymację służbową. Masz prawo sprawdzić oba dokumenty i poprosić o kopię upoważnienia.
3. Zakres. Zwykle obejmuje okres kilku lat wstecz (dokumentację przechowujesz 5 lat) i wszystkie obowiązki: od oceny ryzyka instytucji po zawiadomienia do GIIF. Kontrola może dotyczyć także jednego wątku — np. konkretnego klienta wskazanego przez prokuraturę.
4. Czas trwania. Czynności odbywają się w siedzibie instytucji w godzinach jej pracy. Prawo przedsiębiorców limituje łączny czas kontroli u mikroprzedsiębiorcy do 12 dni roboczych w roku, u małego — 18, średniego — 24, pozostałych — 48; przedłużenie wymaga pisemnego uzasadnienia. Kontrolerzy mogą żądać dokumentów, wyjaśnień ustnych i pisemnych, kopii, dostępu do systemów informatycznych oraz tłumaczeń dokumentów obcojęzycznych.
5. Protokół. Z kontroli sporządza się protokół zawierający ustalenia, stwierdzone nieprawidłowości i załączniki. Podpisują go kontrolerzy i kierownik instytucji; każdy ma egzemplarz.
6. Zastrzeżenia. W terminie 14 dni od otrzymania protokołu możesz wnieść pisemne zastrzeżenia do ustaleń. Organ je rozpatruje i odpowiada; jeśli nie wnosisz zastrzeżeń, w tym samym terminie odsyłasz podpisany protokół.
7. Zalecenia pokontrolne. Po protokole (lub po odpowiedzi na zastrzeżenia) organ przekazuje zalecenia z terminem ich realizacji; instytucja informuje o sposobie wykonania. Niewykonanie zaleceń jest osobnym naruszeniem.

Utrudnianie lub udaremnianie kontroli jest przestępstwem z art. 157 ustawy — zagrożonym grzywną, ograniczeniem wolności albo pozbawieniem wolności do lat 2.

O co pytają: 12 dokumentów

Kontrola zaczyna się od listy pytań i żądania dokumentów. Typowa lista wygląda tak:

1. Ocena ryzyka instytucji (art. 27) — pisemna, z datą, aktualizowana nie rzadziej niż co 2 lata; kontroler porówna ją z faktyczną listą klientów.
2. Procedura wewnętrzna (art. 50) — zatwierdzona przez kadrę kierowniczą wyższego szczebla, z datą wdrożenia i aktualizacji.
3. Wyznaczenie osób odpowiedzialnych (art. 6–8) — uchwała zarządu lub inny dokument.
4. Oceny ryzyka klientów (art. 33 ust. 2–3) — dla każdego klienta: poziom ryzyka, czynniki, data, osoba.
5. Dowody identyfikacji i weryfikacji klientów i ich reprezentantów (art. 36–37): kopie dokumentów, wydruki z rejestrów z datą.
6. Ustalenie beneficjenta rzeczywistego (art. 34 ust. 1 pkt 2, art. 37) — kto, na jakiej podstawie, zgodność z CRBR, ewentualne zgłoszenie rozbieżności (art. 61a).
7. Sprawdzenie PEP — oświadczenia klientów (art. 46) i dowody weryfikacji.
8. Screening sankcyjny — dowód sprawdzenia klienta i beneficjentów na listach (ustawa z 13 kwietnia 2022 r., rozporządzenia UE).
9. Dokumentacja wzmożonych środków (art. 43–44) — dla klientów wysokiego ryzyka: źródło majątku i środków, zgoda kierownictwa.
10. Rejestr transakcji i zawiadomienia — transakcje ponadprogowe od 15 000 euro (art. 72), zawiadomienia o podejrzeniach (art. 74, 86), potwierdzenia nadania.
11. Szkolenia (art. 52) — programy, listy obecności, certyfikaty, daty.
12. Procedura anonimowego zgłaszania naruszeń (art. 53) i dowód jej udostępnienia pracownikom.

Zasada jest prosta: czynność, której nie ma w dokumentach, dla kontrolera nie miała miejsca. Jak zorganizować teczkę klienta: dokumentacja 5 lat i należyta staranność.

Najczęstsze ustalenia

GIIF w sprawozdaniu za 2025 r. wskazuje jako najczęstsze nieprawidłowości brak odpowiednich procedur oraz niewłaściwe stosowanie środków bezpieczeństwa finansowego. W opublikowanych decyzjach o karach powtarzają się:

• brak lub nieaktualna ocena ryzyka instytucji — albo ocena skopiowana z wzoru, bez związku z faktycznymi klientami,
• procedura wewnętrzna z szablonu, niezatwierdzona i niestosowana — pracownicy nie znają jej treści,
• brak oceny ryzyka klienta albo jeden poziom „niski” dla wszystkich, bez uzasadnienia,
• brak ustalenia beneficjenta rzeczywistego lub przepisanie CRBR bez weryfikacji,
• brak oświadczeń PEP i brak dowodu sprawdzenia list sankcyjnych,
• brak zawiadomień o transakcjach ponadprogowych,
• brak udokumentowanych szkoleń i brak wyznaczonej osoby odpowiedzialnej,
• dokumentacja wytworzona „na potrzeby kontroli”, bez dat albo z datami po dacie zawiadomienia.

Co po kontroli: zalecenia, kary, publikacja

Jeśli naruszenia nie są poważne, a instytucja wdroży zalecenia pokontrolne, organ może nie wszczynać postępowania w sprawie kary (art. 151). W pozostałych przypadkach zapada decyzja administracyjna: publikacja informacji o naruszeniu w BIP Ministerstwa Finansów, nakaz zaprzestania czynności, zakaz pełnienia funkcji kierowniczych do roku, kara pieniężna — do dwukrotności korzyści z naruszenia lub równowartości 1 000 000 euro, a dla instytucji rynku finansowego do 5 000 000 euro albo 10% obrotu (art. 150). Osoba odpowiedzialna za wdrożenie obowiązków może dostać osobną karę do 1 000 000 zł (art. 154). Od decyzji przysługuje odwołanie, a następnie skarga do sądu administracyjnego. Jak organ wylicza karę i ile wynoszą w praktyce: Kary AML.

Jak się przygotować w 30 dni

1. Dni 1–5: inwentaryzacja. Spisz, które z 12 dokumentów masz, z jaką datą i w jakiej wersji. Braki — na listę.
2. Dni 6–10: ocena ryzyka i procedura. Zaktualizuj ocenę ryzyka instytucji pod faktyczny portfel klientów; dopasuj procedurę do tego, co naprawdę robisz, i zatwierdź ją podpisem kierownictwa z datą.
3. Dni 11–20: teczki klientów. Dla każdego aktywnego klienta: ocena ryzyka, dowód identyfikacji, beneficjent rzeczywisty, PEP, sankcje — z datą i źródłem. Raport z narzędzia online z identyfikatorem i stemplem czasu zamyka większość braków w jednym dokumencie.
4. Dni 21–25: szkolenie i osoby. Przeprowadź i udokumentuj szkolenie; sprawdź uchwałę o wyznaczeniu osoby odpowiedzialnej.
5. Dni 26–30: raportowanie i porządek. Sprawdź, czy transakcje ponadprogowe zostały zgłoszone; uporządkuj archiwum 5 lat; wyznacz osobę do kontaktu z kontrolerem i przygotuj kopię upoważnienia do akt.

Dokumentu nie da się uzupełnić „wstecz” — kontroler porównuje daty. Lepiej mieć ocenę ryzyka z datą dzisiejszą i uczciwą adnotacją o aktualizacji niż dokument antydatowany.

Stan prawny: październik 2026. Materiał informacyjny, nie stanowi porady prawnej.