Ustawa AML — co musisz wiedzieć, jeśli prowadzisz firmę w Polsce.

Czym jest pranie pieniędzy i finansowanie terroryzmu

Pranie pieniędzy to wprowadzanie do legalnego obrotu wartości majątkowych pochodzących z przestępstwa tak, aby ich źródło przestało być widoczne. W polskim prawie jest to przestępstwo z art. 299 Kodeksu karnego, zagrożone karą pozbawienia wolności od 6 miesięcy do 8 lat. Finansowanie terroryzmu (art. 165a Kodeksu karnego) to gromadzenie lub przekazywanie środków z zamiarem sfinansowania przestępstwa o charakterze terrorystycznym — niezależnie od tego, czy same środki są legalne.

Proces prania pieniędzy opisuje się zwykle w trzech fazach:

1. Umieszczanie (placement) — gotówka z przestępstwa trafia do systemu finansowego: wpłaty na rachunki, zakup walut, kryptowalut, towarów, nieruchomości.
2. Maskowanie (layering) — seria transakcji, które zacierają ślad: przelewy między spółkami, fikcyjne faktury, pożyczki, obrót przez kilka jurysdykcji.
3. Integracja (integration) — środki wracają do sprawcy jako „legalny” przychód: sprzedaż nieruchomości, dywidenda, zysk ze spółki.

Ustawa AML nie ściga tych przestępstw — od tego są prokuratura i sądy. Jej zadaniem jest zbudowanie systemu, w którym firmy obsługujące pieniądze i majątek innych osób (instytucje obowiązane) znają swoich klientów, rozpoznają podejrzane transakcje i zgłaszają je Generalnemu Inspektorowi Informacji Finansowej (GIIF).

Kogo dotyczy ustawa — instytucje obowiązane

Ustawa nie obejmuje wszystkich firm. Art. 2 ust. 1 wymienia w 27 punktach (z podpunktami literowymi — ponad 30 pozycji) kategorie podmiotów, które stają się instytucjami obowiązanymi z mocy prawa, bez żadnej rejestracji ani decyzji. Są wśród nich:

• banki, SKOK-i, instytucje płatnicze, firmy inwestycyjne, fundusze, zakłady ubezpieczeń i pośrednicy ubezpieczeniowi,
• kantory i podmioty świadczące usługi w zakresie walut wirtualnych,
• notariusze, adwokaci, radcowie prawni i doradcy podatkowi — w zakresie określonych czynności, biegli rewidenci,
• biura rachunkowe i przedsiębiorcy świadczący usługi księgowe i podatkowe,
• pośrednicy w obrocie nieruchomościami (przy najmie — od czynszu 10 000 euro miesięcznie),
• operatorzy pocztowi, podmioty prowadzące gry hazardowe, instytucje pożyczkowe, lombardy, podmioty obsługujące kredyty,
• każdy przedsiębiorca, który przyjmuje lub dokonuje płatności za towary w gotówce o wartości co najmniej 10 000 euro,
• handlarze dziełami sztuki i antykami, fundacje i stowarzyszenia przyjmujące gotówkę od 10 000 euro.

Pełną listę z progami i odnośnikami do stron dla poszczególnych branż znajdziesz na stronie Instytucje obowiązane — pełna lista. Jeśli wykonujesz którąś z tych działalności, ustawa dotyczy Cię w całości — także gdy jesteś jednoosobowym biurem rachunkowym.

Siedem obowiązków instytucji obowiązanej

Wymagania ustawy można sprowadzić do siedmiu obszarów. Kontrola sprawdza każdy z nich dokumentami.

1. Ocena ryzyka instytucji (art. 27). Pisemny dokument opisujący, jakie ryzyko prania pieniędzy wiąże się z Twoimi klientami, produktami, kanałami i krajami. Aktualizowany nie rzadziej niż co 2 lata.
2. Procedura wewnętrzna (art. 50). Dokument opisujący, jak w praktyce wykonujesz obowiązki: kto identyfikuje klienta, kiedy stosujesz wzmożone środki, jak zgłaszasz transakcje. Zatwierdzona przez kadrę kierowniczą wyższego szczebla.
3. Środki bezpieczeństwa finansowego (art. 33–37). Identyfikacja i weryfikacja klienta oraz beneficjenta rzeczywistego, ocena stosunków gospodarczych, bieżące monitorowanie. Stosowane przy nawiązaniu relacji, przy transakcji okazjonalnej od 15 000 euro i przy każdym podejrzeniu. Ich zakres zależy od oceny ryzyka klienta — uproszczone (SDD), standardowe (CDD) lub wzmożone (EDD). Szczegóły: identyfikacja klienta (KYC), beneficjent rzeczywisty, sankcje i PEP.
4. Osoby odpowiedzialne (art. 6–8). Członek zarządu odpowiedzialny za wdrożenie obowiązków, pracownik na stanowisku kierowniczym odpowiedzialny za zgłoszenia do GIIF, a w jednoosobowej firmie — sam przedsiębiorca.
5. Szkolenia (art. 52). Udokumentowane programy szkoleniowe dla pracowników wykonujących obowiązki AML.
6. Dokumentacja (art. 49). Kopie dokumentów, wyniki analiz i dowody zastosowania środków bezpieczeństwa przechowywane przez 5 lat od zakończenia relacji lub transakcji. Zobacz: dokumentacja 5 lat.
7. Raportowanie (art. 72–74, 86). Transakcje ponadprogowe (od 15 000 euro) do GIIF, zawiadomienia o podejrzeniu prania pieniędzy lub finansowania terroryzmu, a także zgłaszanie rozbieżności między CRBR a ustaleniami własnymi (art. 61a).

Do tego dochodzi procedura anonimowego zgłaszania naruszeń przez pracowników (art. 53) i obowiązek dokumentowania zastosowanego poziomu środków bezpieczeństwa — organ kontroli oczekuje, że wykażesz, dlaczego uznałeś klienta za niskiego lub wysokiego ryzyka.

GIIF i nadzór

Generalny Inspektor Informacji Finansowej to polska jednostka analityki finansowej: sekretarz lub podsekretarz stanu w Ministerstwie Finansów, obsługiwany przez Departament Informacji Finansowej (gov.pl/giif). GIIF przyjmuje zawiadomienia, analizuje transakcje, może wstrzymać transakcję lub zablokować rachunek, przekazuje sprawy prokuraturze i — co ważne dla każdej instytucji obowiązanej — kontroluje wykonywanie obowiązków.

Kontrole prowadzi nie tylko GIIF. Na podstawie art. 130 ustawy kontrolują także: Komisja Nadzoru Finansowego (podmioty rynku finansowego), Prezes NBP (kantory), naczelnicy urzędów celno-skarbowych, prezesi sądów apelacyjnych (notariusze), wojewodowie i starostowie (stowarzyszenia i fundacje). W 2025 r. GIIF przeprowadził sam 7 kontroli, a pozostałe organy nadzoru — 479 (sprawozdanie GIIF za 2025 r.). Jak wygląda kontrola i o co pyta — na stronie Kontrola GIIF.

Kary

Za niedopełnienie obowiązków ustawa przewiduje kary administracyjne (art. 147–154): publikację informacji o naruszeniu w Biuletynie Informacji Publicznej, nakaz zaprzestania określonych czynności, cofnięcie koncesji lub zezwolenia, zakaz pełnienia funkcji kierowniczych do roku oraz karę pieniężną. Kara pieniężna może sięgnąć dwukrotności korzyści z naruszenia, a gdy nie da się jej ustalić — równowartości 1 000 000 euro. Dla instytucji rynku finansowego (banki, instytucje płatnicze, fundusze i inne z art. 2 ust. 1 pkt 1–5, 7–11, 24 i 25) próg wynosi 5 000 000 euro lub 10% obrotu. Członek zarządu odpowiedzialny za wdrożenie obowiązków może dostać osobną karę do 1 000 000 zł (art. 154). Brak zgłoszenia beneficjenta do CRBR to kara do 1 000 000 zł (art. 153).

W praktyce kary dla małych instytucji — biur rachunkowych, jubilerów, fundacji — w opublikowanych decyzjach wynoszą zwykle kilkanaście do kilkudziesięciu tysięcy złotych, ale decyzja z nazwą firmy trafia do BIP. Więcej: Kary AML — jak są liczone.

Co zmienia pakiet AML UE: AMLA i AMLR od lipca 2027

W czerwcu 2024 r. Unia przyjęła pakiet AML: rozporządzenie AMLR (UE) 2024/1624, dyrektywę AMLD6 (UE) 2024/1640 i rozporządzenie o urzędzie AMLA (UE) 2024/1620. Rozporządzenie AMLR stosuje się bezpośrednio we wszystkich państwach członkowskich od 10 lipca 2027 r. — ujednolica katalog instytucji obowiązanych, środki bezpieczeństwa, definicję beneficjenta rzeczywistego i wprowadza unijny limit płatności gotówką 10 000 euro. AMLA, nowy urząd z siedzibą we Frankfurcie, działa od lipca 2025 r., a od 2028 r. obejmie bezpośrednim nadzorem wybrane największe instytucje finansowe. Polska ustawa pozostanie — dla nadzoru, GIIF, CRBR i kar — ale jej część merytoryczna zostanie zastąpiona rozporządzeniem. Omówienie: AMLA i AMLR 2027.

Sankcje — obowiązek każdej firmy

Ustawa z 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę nałożyła obowiązki niezależne od ustawy AML — i na wszystkich, nie tylko na instytucje obowiązane. Każdy przedsiębiorca ma obowiązek zamrozić środki osób i podmiotów z listy MSWiA oraz z unijnych rozporządzeń sankcyjnych i nie udostępniać im zasobów. Za naruszenie Szef Krajowej Administracji Skarbowej może nałożyć karę pieniężną do 20 000 000 zł; ustawa przewiduje też odpowiedzialność karną. Sprawdzenie kontrahenta i jego właścicieli na listach sankcyjnych jest więc obowiązkiem także sklepu, hurtowni czy producenta. Jak to zrobić: screening sankcyjny i listy sankcyjne.

Tekst ustawy: ISAP — Dz.U. 2025 poz. 644.

Stan prawny: październik 2026. Materiał informacyjny, nie stanowi porady prawnej.