AMLR / AMLA / TFR
dla podmiotów zobowiązanych

Skrót **AML/CFT** (ang. *Anti-Money Laundering / Countering the Financing of Terrorism*) oznacza „przeciwdziałanie praniu pieniędzy oraz finansowaniu terroryzmu". W polskiej nomenklaturze stosuje się również skrót **PPP/PFT**. Jest to zintegrowany, międzynarodowy system regulacji prawnych, procedur instytucjonalnych i środków operacyjnych, którego celem jest ochrona integralności systemu finansowego poprzez zapobieganie, wykrywanie i zwalczanie: 1. **Prania pieniędzy (AML)** – wprowadzania do legalnego obrotu wartości majątkowych pochodzących z działalności przestępczej w celu ukrycia ich nielegalnego źródła. 2. **Finansowania terroryzmu (CFT)** – gromadzenia lub udostępniania środków (legalnych lub nielegalnych) z zamiarem ich wykorzystania do działalności terrorystycznej. 3. W praktyce coraz częściej również **finansowania proliferacji broni masowego rażenia (CPF)** – element globalnych standardów walki z nielegalnymi finansami. System opiera się na trzech filarach: - **Ramy prawno-instytucjonalne** – akty prawa krajowego, unijnego i międzynarodowego oraz wyspecjalizowane organy. W Polsce podstawą jest ustawa AML, a centralnym organem – Generalny Inspektor Informacji Finansowej (GIIF). - **Obowiązki sektora prywatnego (instytucji obowiązanych)** – prewencyjny trzon systemu: stosowanie środków bezpieczeństwa finansowego (identyfikacja i weryfikacja klienta oraz beneficjenta rzeczywistego – KYC/CDD), bieżące monitorowanie transakcji oraz raportowanie do GIIF transakcji podejrzanych i ponadprogowych. - **Działania organów ścigania i wymiaru sprawiedliwości** – ściganie i karanie za pranie pieniędzy (art. 299 KK) oraz finansowanie terroryzmu (art. 165a KK), a także sankcje administracyjne nakładane za naruszenie obowiązków ustawowych. **Kontekst międzynarodowy i unijny.** Standardy globalne wyznacza FATF. Na poziomie UE polskie przepisy są transpozycją kolejnych dyrektyw AML (obecnie obowiązujący stan prawny opiera się m.in. na dyrektywie 2015/849 ze zmianami). Trwa wdrażanie nowego pakietu AML UE: rozporządzenia AMLR (2024/1624), dyrektywy AMLD6 (2024/1640) oraz rozporządzenia powołującego nowy unijny organ nadzoru AMLA. Pakiet wchodzi etapami – główne stosowanie rozporządzenia AMLR przewidziano od 10 lipca 2027 r. Do tego czasu polski stan prawny określa obowiązująca ustawa AML z 2018 r.

Pranie pieniędzy to podejmowanie czynności mających ukryć przestępcze pochodzenie wartości majątkowych (pieniędzy, papierów wartościowych, walut wirtualnych itp.) i wprowadzić je do legalnego obrotu, tak by wyglądały na uczciwie zarobione. Ustawa AML definiuje pranie pieniędzy przez odesłanie do art. 299 Kodeksu karnego. Przestępstwo to nazywa się **następczym (wtórnym)**, ponieważ jego popełnienie jest możliwe dopiero po wcześniejszym czynie zabronionym (tzw. przestępstwie bazowym), z którego pochodzą nielegalne środki. Bez „brudnych" pieniędzy nie ma czego „prać". Co istotne, dla skazania za pranie pieniędzy nie jest konieczne wcześniejsze prawomocne skazanie sprawcy przestępstwa bazowego – wystarczy wykazać przestępcze pochodzenie środków.

„Podejrzane działania" to wszelkie transakcje, zachowania klientów lub okoliczności, które budzą uzasadnione podejrzenie związku z praniem pieniędzy lub finansowaniem terroryzmu. Nie muszą wprost wskazywać na przestępstwo – wystarczy, że odbiegają od typowego profilu klienta, nie mają jasnego uzasadnienia ekonomicznego lub są nietypowe w danych okolicznościach. Przykłady: nietypowe operacje gotówkowe, skomplikowane struktury transakcji bez celu gospodarczego, powiązania z krajami wysokiego ryzyka, nagła zmiana zachowania klienta czy próby uniknięcia identyfikacji. Instytucja obowiązana, która poweźmie uzasadnione podejrzenie, ma obowiązek niezwłocznie zawiadomić GIIF.

**Instytucja obowiązana** to podmiot – osoba fizyczna, osoba prawna lub jednostka organizacyjna nieposiadająca osobowości prawnej – na który ustawa nakłada obowiązek stosowania środków bezpieczeństwa finansowego oraz szeregu powinności sprawozdawczych i organizacyjnych. Podmioty te, ze względu na charakter działalności, zostały zidentyfikowane przez ustawodawcę unijnego i krajowego (w ślad za standardami FATF) jako tzw. *gatekeepers* – strażnicy chroniący legalny obrót przed środkami z nielegalnych źródeł. Katalog instytucji obowiązanych zawiera **art. 2 ust. 1 ustawy AML**. Jest to katalog **zamknięty** – status instytucji obowiązanej wynika z przynależności do jednej z kategorii ustawowych, a nie z subiektywnej oceny. Obejmuje on m.in.: | Sektor | Przykładowe podmioty | |---|---| | Bankowy i finansowy | banki krajowe, oddziały banków zagranicznych i instytucji kredytowych, instytucje finansowe; SKOK-i i Krajowa SKOK | | Usługi płatnicze i pieniądz elektroniczny | krajowe i małe instytucje płatnicze, biura usług płatniczych oraz ich agenci; instytucje pieniądza elektronicznego | | Rynek kapitałowy | firmy inwestycyjne, banki powiernicze, towarowe domy maklerskie; fundusze inwestycyjne, ASI, TFI i zarządzający ASI | | Ubezpieczenia | zakłady ubezpieczeń i pośrednicy ubezpieczeniowi – wyłącznie w zakresie ubezpieczeń na życie (dział I) | | Wymiana walut | przedsiębiorcy prowadzący działalność kantorową oraz inni świadczący usługę wymiany walut lub pośrednictwa w niej | | Waluty wirtualne | podmioty świadczące usługi wymiany walut wirtualnych, pośrednictwa w niej oraz prowadzenia portfeli (zob. pytanie 16) | | Profesje | notariusze (w zakresie określonych czynności), adwokaci, radcowie prawni, prawnicy zagraniczni i doradcy podatkowi (w określonym zakresie), biura rachunkowe | | Usługi na rzecz spółek/trustów | podmioty tworzące osoby prawne, zapewniające siedzibę/adres, sprawujące zarząd, działające jako powiernik | | Nieruchomości i obrót | pośrednicy w obrocie nieruchomościami; podmioty prowadzące gry hazardowe; obrót dziełami sztuki, antykami i ich przechowywanie | | Pożyczki i lombardy | instytucje pożyczkowe, przedsiębiorcy wykonujący działalność lombardową | | Gotówka i pozostałe | przedsiębiorcy przyjmujący lub dokonujący płatności w gotówce ≥ 10 000 euro; operatorzy pocztowi; udostępniający skrytki sejfowe; fundacje i stowarzyszenia (w zakresie płatności gotówkowych) | Pełen, precyzyjny katalog (z wszystkimi punktami i podpunktami) znajduje się w art. 2 ust. 1 ustawy AML; powyżej przedstawiono go w ujęciu funkcjonalnym. Kluczowa zasada interpretacyjna: o statusie instytucji obowiązanej decyduje **rodzaj faktycznie wykonywanej działalności**, a nie forma prawna, nazwa ani branżowa autoidentyfikacja. **Stanowiska GIIF dla wybranych kategorii.** GIIF doprecyzował status niektórych instytucji obowiązanych. **Komunikat GIIF nr 19** potwierdza, że każdy podmiot prowadzący działalność w zakresie gier losowych, zakładów wzajemnych, gier w karty i gier na automatach (art. 2 ust. 1 pkt 20) staje się instytucją obowiązaną **z mocy samej ustawy AML** – bez odrębnego zgłoszenia i niezależnie od formy prawnej. **Komunikat GIIF nr 102** zbiera natomiast obowiązki przedsiębiorców prowadzących działalność kantorową oraz innych przedsiębiorców świadczących usługę wymiany walut lub pośrednictwa w niej (art. 2 ust. 1 pkt 11), w tym zasady stosowania środków bezpieczeństwa finansowego oraz raportowania do GIIF. **Perspektywa zmian (pakiet AML UE).** Katalog ulegnie istotnemu rozszerzeniu wraz z wejściem w życie unijnego pakietu AML – rozporządzenia AMLR (główne stosowanie od 10 lipca 2027 r.), VI dyrektywy AML oraz utworzeniem urzędu AMLA. AMLR obejmie reżimem AML m.in. wszystkich dostawców usług w zakresie kryptoaktywów (CASP) zgodnie z rozporządzeniem MiCA, platformy crowdfundingu czy pośredników w programach pobytowo-obywatelskich. Do czasu pełnego stosowania AMLR podstawą pozostaje obowiązująca ustawa AML z 2018 r.

Tak. Zgodnie z **art. 2 ust. 1 pkt 12 ustawy AML** instytucjami obowiązanymi są podmioty prowadzące działalność gospodarczą polegającą na świadczeniu usług w zakresie: a) wymiany pomiędzy walutami wirtualnymi i środkami płatniczymi, b) wymiany pomiędzy walutami wirtualnymi, c) pośrednictwa w wymianie, o której mowa w lit. a lub b, d) prowadzenia rachunków, o których mowa w art. 2 ust. 2 pkt 17 lit. e ustawy AML. Kantor kryptowalut dokonujący wymiany walut wirtualnych na środki płatnicze (i odwrotnie) lub pośredniczący w takiej wymianie odpowiada kategorii z lit. a oraz c. „Rachunek" z lit. d (art. 2 ust. 2 pkt 17 lit. e ustawy AML) to prowadzony w formie elektronicznej zbiór danych identyfikacyjnych zapewniających możliwość korzystania z jednostek walut wirtualnych, w tym przeprowadzania transakcji ich wymiany – czyli **portfel** (wallet). Z kolei **waluta wirtualna** została zdefiniowana w **art. 2 ust. 2 pkt 26 ustawy AML** jako cyfrowe odwzorowanie wartości, które nie jest prawnym środkiem płatniczym, pieniądzem elektronicznym, instrumentem finansowym, wekslem ani czekiem, a jest wymienialne w obrocie na środki płatnicze i akceptowane jako środek wymiany. **Obowiązki.** Jako instytucja obowiązana podmiot kryptowalutowy musi w szczególności: stosować środki bezpieczeństwa finansowego wobec klientów; sporządzać i aktualizować ocenę ryzyka; wdrożyć wewnętrzną procedurę AML; przekazywać GIIF zawiadomienia o transakcjach i okolicznościach podejrzanych; przechowywać dokumentację; wyznaczyć osoby odpowiedzialne za realizację obowiązków (zob. pytania 17–18). **Rejestr działalności w zakresie walut wirtualnych.** Działalność ta jest **działalnością regulowaną** i wymaga wpisu do rejestru działalności w zakresie walut wirtualnych (**art. 129m ustawy AML**). Jak wyjaśnia **komunikat GIIF nr 77 (status podmiotów krypto)**, rejestr ma charakter **ewidencyjny** – do wpisu wystarcza wniosek wraz z oświadczeniem przedsiębiorcy; wpisu nie należy utożsamiać z licencją ani z udzieleniem jakiejkolwiek rękojmi. **Działalność w zakresie walut wirtualnych nie jest licencjonowana ani nadzorowana przez GIIF** – natomiast GIIF może wszcząć wobec takiego podmiotu kontrolę wykonywania obowiązków AML/CFT. **Stanowiska GIIF dla sektora.** Praktyczne wskazówki zawierają: **komunikat GIIF nr 84** (stosowanie środków bezpieczeństwa finansowego przy transakcjach z wykorzystaniem walut wirtualnych), **komunikat GIIF nr 87** (dla przedsiębiorców prowadzących działalność w zakresie walut wirtualnych, m.in. w kontekście wytycznych EBA), **komunikat GIIF nr 112** (komunikat dla klientów podmiotów z rejestru walut wirtualnych) oraz **komunikat GIIF nr 113** (Travel Rule – wymogi informacyjne towarzyszące transferom środków pieniężnych i niektórych kryptoaktywów na podstawie rozporządzenia 2023/1113). Z kolei **komunikat GIIF nr 30** ostrzega, że podmioty oferujące obrót walutami wirtualnymi (kryptowalutami) z siedzibą **poza terytorium Polski i innych państw członkowskich UE nie są instytucjami obowiązanymi** w rozumieniu ustawy AML i nie podlegają jej reżimowi ani nadzorowi w Polsce – co zwiększa ryzyko po stronie korzystających z nich klientów. **Perspektywa MiCA/CASP.** Wraz z pełnym stosowaniem rozporządzenia MiCA dotychczasowy reżim rejestrowy dla walut wirtualnych jest zastępowany jednolitym, licencyjnym reżimem dla **dostawców usług w zakresie kryptoaktywów (CASP)**, a obowiązki AML tych podmiotów zostaną zsynchronizowane z definicjami MiCA i nadchodzącym pakietem AML UE. Podmioty z sektora powinny śledzić przepisy przejściowe dotyczące przejścia z rejestru walut wirtualnych na zezwolenie CASP.

„Analityk AML" i „AMLRO" (Anti-Money Laundering Reporting Officer) to określenia z praktyki rynkowej – polska ustawa AML ich nie definiuje. Ustawa mówi natomiast o konkretnych funkcjach: o kadrze kierowniczej odpowiedzialnej za obowiązki AML, o wyznaczonym członku zarządu oraz – co najbliższe roli „AMLRO" – o pracowniku na kierowniczym stanowisku, który odpowiada za zgodność i przekazuje zawiadomienia do GIIF. Analityk AML to z kolei stanowisko operacyjne: monitoruje transakcje, analizuje alerty, prowadzi pogłębione analizy podejrzanych przypadków, weryfikuje klientów (KYC) i przygotowuje rekomendacje zgłoszeń do GIIF. Pracuje pod nadzorem osoby wyznaczonej ustawowo. W mniejszych podmiotach wszystkie te role może łączyć jedna osoba.

Progi kwotowe wynikają z **art. 35 ust. 1 pkt 2-4 ustawy AML** i są zróżnicowane według rodzaju transakcji oraz kategorii instytucji obowiązanej. | Rodzaj transakcji okazjonalnej | Próg | Kogo dotyczy | Podstawa | |---|---|---|---| | Ogólna transakcja okazjonalna | **≥ 15 000 euro** | Wszystkie instytucje obowiązane | art. 35 ust. 1 pkt 2 lit. a | | Transfer środków pieniężnych | **> 1 000 euro** | Wszystkie instytucje obowiązane | art. 35 ust. 1 pkt 2 lit. b | | Transakcja walutą wirtualną | **≥ 1 000 euro** | VASP (art. 2 ust. 1 pkt 12) | art. 35 ust. 1 pkt 2 lit. c | | Gotówkowa transakcja okazjonalna | **≥ 10 000 euro** | Fundacje, stowarzyszenia, przedsiębiorcy przyjmujący gotówkę (art. 2 ust. 1 pkt 21-23) | art. 35 ust. 1 pkt 3 | | Obstawianie stawek / odbiór wygranych | **≥ 2 000 euro** | Podmioty hazardowe (art. 2 ust. 1 pkt 20) | art. 35 ust. 1 pkt 4 | Warto rozróżnić sformułowania ustawowe: dla transferu środków pieniężnych ustawa mówi o kwocie **przekraczającej** równowartość 1 000 euro (lit. b), natomiast dla progu ogólnego, waluty wirtualnej, gotówki i hazardu – o równowartości danej kwoty **„lub większej"** (czyli próg jest osiągnięty również przy kwocie równej). **Sektor wymiany walut (kantory).** Dla przedsiębiorców prowadzących działalność kantorową oraz innych przedsiębiorców świadczących usługę wymiany walut lub pośrednictwa w niej (art. 2 ust. 1 pkt 11) zasady stosowania środków bezpieczeństwa finansowego i raportowania – w tym próg 15 000 euro dla transakcji okazjonalnej oraz dla transakcji kupna lub sprzedaży wartości dewizowych – przypomina i porządkuje **komunikat GIIF nr 102**. **Próg 10 000 euro poza katalogiem transakcji okazjonalnych.** Należy odnotować, że niezależnie od art. 35 ust. 1 pkt 3, sama kwalifikacja jako instytucja obowiązana w niektórych przypadkach jest powiązana z progiem 10 000 euro – dotyczy to m.in. przedsiębiorców prowadzących obrót lub pośrednictwo w obrocie dziełami sztuki, przedmiotami kolekcjonerskimi i antykami (art. 2 ust. 1 pkt 24a), którzy stają się instytucją obowiązaną w zakresie transakcji o wartości równej lub przekraczającej równowartość 10 000 euro. Mechanizm jest tu inny niż w art. 35 ust. 1 – próg wyznacza zakres podmiotowy, a nie wyłącznie moment uruchomienia SBF. **Transakcje powiązane.** Próg ogólny (jak i pozostałe progi z pkt 2-4) stosuje się bez względu na to, czy transakcja jest przeprowadzana jako pojedyncza operacja, czy **kilka operacji, które wydają się ze sobą powiązane**. Oznacza to, że instytucja nie może pomijać obowiązków poprzez sztuczny podział jednej operacji na mniejsze (tzw. structuring/smurfing). Ocena powiązania powinna uwzględniać nie tylko wartość, ale i czas, podmiot oraz wzorzec transakcji. **Przeliczanie wartości w euro.** Zgodnie z art. 5 ustawy AML przeliczenia kwot wyrażonych w euro dokonuje się według średniego kursu waluty ogłoszonego przez Narodowy Bank Polski, obowiązującego w dniu przeprowadzania transakcji, w dniu zlecenia jej przeprowadzenia lub w dniu wydania decyzji o nałożeniu kary pieniężnej. **Bezwzględne stosowanie niezależnie od progu.** Niezależnie od wszystkich powyższych progów, środki bezpieczeństwa finansowego stosuje się zawsze przy podejrzeniu prania pieniędzy lub finansowania terroryzmu (art. 35 ust. 1 pkt 5) oraz przy wątpliwościach co do prawdziwości lub kompletności posiadanych danych klienta (art. 35 ust. 1 pkt 6).

Dla transakcji okazjonalnej z wykorzystaniem waluty wirtualnej próg wynosi równowartość 1 000 euro lub więcej. Dotyczy to podmiotów świadczących usługi w zakresie walut wirtualnych – m.in. wymiany kryptowalut na środki płatnicze, wymiany między kryptowalutami, pośrednictwa w takiej wymianie oraz prowadzenia portfeli kryptowalutowych. Próg odnosi się jednak wyłącznie do transakcji okazjonalnych. Jeśli klient nawiązuje stałą relację (np. zakłada konto na giełdzie lub portfel kryptowalut), środki bezpieczeństwa stosuje się od początku, bez względu na kwotę. Środki obowiązują też zawsze przy podejrzeniu prania pieniędzy lub wątpliwościach co do danych klienta – wówczas próg 1 000 euro nie ma znaczenia.

Instytucja obowiązana musi zastosować środki bezpieczeństwa finansowego przede wszystkim wtedy, gdy nawiązuje z klientem stałą relację (stosunek gospodarczy) oraz gdy przeprowadza jednorazową transakcję okazjonalną przekraczającą ustawowy próg (co do zasady 15 000 euro). Obowiązek powstaje także – niezależnie od jakiejkolwiek kwoty – w dwóch sytuacjach: gdy pojawia się podejrzenie prania pieniędzy lub finansowania terroryzmu oraz gdy instytucja ma wątpliwości co do prawdziwości lub kompletności posiadanych danych klienta. Środki stosuje się również wobec dotychczasowych klientów, gdy zmienia się charakter relacji albo dane klienta lub beneficjenta rzeczywistego. Niezastosowanie wymaganych środków oznacza, że instytucja nie może nawiązać relacji, a istniejącą powinna rozwiązać.

Definicję beneficjenta rzeczywistego zawiera art. 2 ust. 2 pkt 1 ustawy AML. Beneficjentem rzeczywistym jest każda osoba fizyczna sprawująca bezpośrednio lub pośrednio kontrolę nad klientem poprzez posiadane uprawnienia wynikające z okoliczności prawnych lub faktycznych, umożliwiające wywieranie decydującego wpływu na czynności lub działania klienta, lub każda osoba fizyczna, w imieniu której nawiązywane są stosunki gospodarcze albo przeprowadzana jest transakcja okazjonalna. Cechy konstrukcyjne pojęcia: - **Zawsze osoba fizyczna.** Beneficjentem rzeczywistym nie może być osoba prawna ani jednostka organizacyjna nieposiadająca osobowości prawnej – łańcuch własności należy „rozwinąć" aż do konkretnej osoby fizycznej. - **Kontrola prawna lub faktyczna.** Liczy się nie tylko formalny tytuł (udziały, akcje, głosy), lecz także realny, decydujący wpływ wynikający z okoliczności faktycznych. - **Kontrola bezpośrednia lub pośrednia.** Może być sprawowana wprost lub przez inne podmioty w strukturze. Ustawa precyzuje sposób ustalania beneficjenta rzeczywistego w trzech grupach przypadków (art. 2 ust. 2 pkt 1 lit. a–c): **Lit. a – osoby prawne (inne niż spółki giełdowe).** Dotyczy osoby prawnej innej niż spółka, której papiery wartościowe są dopuszczone do obrotu na rynku regulowanym podlegającym wymogom ujawniania informacji wynikającym z prawa UE lub odpowiadającym im przepisom państwa trzeciego. Ustawa wymienia pięć kryteriów (tiret): | Tiret | Kryterium | |---|---| | 1 | osoba fizyczna będąca udziałowcem/akcjonariuszem z prawem własności **ponad 25%** ogólnej liczby udziałów lub akcji | | 2 | osoba fizyczna dysponująca **ponad 25%** ogólnej liczby głosów w organie stanowiącym (także jako zastawnik/użytkownik lub na podstawie porozumień z innymi uprawnionymi do głosu) | | 3 | osoba fizyczna sprawująca kontrolę nad osobą prawną/osobami prawnymi, którym łącznie przysługuje ponad 25% udziałów/akcji lub ponad 25% głosów | | 4 | osoba fizyczna sprawująca kontrolę poprzez uprawnienia, o których mowa w art. 3 ust. 1 pkt 37 ustawy o rachunkowości | | 5 | osoba fizyczna zajmująca **wyższe stanowisko kierownicze** – wyłącznie przy udokumentowanym braku możliwości ustalenia lub wątpliwości co do osób z tiret 1–4 oraz przy niestwierdzeniu podejrzeń prania pieniędzy lub finansowania terroryzmu | **Lit. b – trusty (oraz fundacja rodzinna, którą ustawa traktuje jak trust).** Beneficjentami rzeczywistymi są: założyciel (w tym fundator fundacji rodzinnej), powiernik (w tym członek zarządu fundacji rodzinnej), nadzorca – jeśli ustanowiony (w tym członek rady nadzorczej), beneficjent (a gdy osoby czerpiące korzyści nie zostały jeszcze określone – grupa osób, w których głównym interesie powstał lub działa trust), inna osoba sprawująca kontrolę nad trustem oraz inna osoba o uprawnieniach lub obowiązkach równoważnych. **Lit. c – osoba fizyczna prowadząca działalność gospodarczą.** Jeżeli nie stwierdzono przesłanek wskazujących na sprawowanie kontroli nad nią przez inną osobę fizyczną, przyjmuje się, że taka osoba jest jednocześnie beneficjentem rzeczywistym. Spółki giełdowe spełniające wymogi ujawniania informacji nie wymagają ustalania beneficjenta rzeczywistego według kryteriów lit. a – kryterium to wprost ich nie obejmuje.

Identyfikacja beneficjenta rzeczywistego jest jednym ze środków bezpieczeństwa finansowego (art. 34 ust. 1 pkt 2 ustawy AML). Obejmuje ona dwa powiązane elementy: ustalenie struktury własności i kontroli klienta (art. 34 ust. 1 pkt 2 lit. b) oraz ustalenie tożsamości beneficjenta rzeczywistego i podjęcie uzasadnionych czynności w celu jej weryfikacji. **Zakres danych identyfikacyjnych.** Identyfikacja beneficjenta rzeczywistego obejmuje ustalenie imienia i nazwiska (art. 36 ust. 1 pkt 1 lit. a w zw. z art. 36 ust. 2), a w przypadku posiadania informacji przez instytucję obowiązaną – także obywatelstwa, numeru PESEL lub daty i państwa urodzenia, serii i numeru dokumentu tożsamości oraz adresu zamieszkania (art. 36 ust. 1 pkt 1 lit. b–e w zw. z art. 36 ust. 2). Inaczej niż przy kliencie, część tych danych jest pozyskiwana „w miarę posiadania" – co odzwierciedla praktyczne trudności w dostępie do beneficjenta. **Etapy postępowania:** 1. **Analiza struktury własności i kontroli** – powiązania kapitałowe, osobowe i organizacyjne klienta. 2. **Zastosowanie kryteriów ustawowych** właściwych dla formy prawnej (art. 2 ust. 2 pkt 1 lit. a–c): osoby prawne, trusty i fundacje rodzinne, osoby fizyczne prowadzące działalność gospodarczą. 3. **Pozyskanie oświadczenia klienta** o beneficjencie rzeczywistym – pomocne, ale niewystarczające jako jedyne źródło. 4. **Weryfikacja tożsamości** (art. 37 ust. 1) na podstawie dokumentów lub informacji z wiarygodnego i niezależnego źródła: CRBR, KRS, CEIDG, dokumentów korporacyjnych (umowa spółki, statut, uchwały), rejestrów zagranicznych, baz komercyjnych. Instytucja obowiązana nie może przy tym polegać wyłącznie na danych z CRBR (art. 37 ust. 3). 5. **Dokumentowanie** podjętych czynności i ich wyników oraz **bieżąca aktualizacja** w ramach monitorowania stosunków gospodarczych. **Sytuacja ostateczna.** Jeżeli mimo udokumentowanych, uzasadnionych czynności nie da się ustalić osób z tiret 1–4 lit. a (lub istnieją wątpliwości co do ich tożsamości), a nie stwierdzono podejrzeń prania pieniędzy lub finansowania terroryzmu, za beneficjenta rzeczywistego uznaje się osobę zajmującą wyższe stanowisko kierownicze (art. 2 ust. 2 pkt 1 lit. a tiret piąte). Wówczas instytucja dokumentuje wszystkie utrudnienia w ustaleniu osób z tiret 1–4 oraz utrudnienia związane z czynnościami weryfikacyjnymi (art. 37 ust. 2). Zasady postępowania w takiej sytuacji wyjaśnia komunikat GIIF nr 38 (brak możliwości ustalenia / wątpliwości co do tożsamości osób z tiret pierwszego–czwartego). **Konsekwencje braku możliwości identyfikacji.** Jeżeli nie można zastosować środka bezpieczeństwa finansowego polegającego na identyfikacji beneficjenta rzeczywistego, instytucja obowiązana nie nawiązuje stosunków gospodarczych, nie przeprowadza transakcji okazjonalnej, a istniejące stosunki rozwiązuje, oraz rozważa zawiadomienie GIIF (art. 41).

Centralny Rejestr Beneficjentów Rzeczywistych uregulowano w rozdziale 6 ustawy AML (art. 55–71a). Jest to system teleinformatyczny służący gromadzeniu i przetwarzaniu informacji o beneficjentach rzeczywistych (art. 55), prowadzony przez organ właściwy w sprawach Rejestru, którym jest minister właściwy do spraw finansów publicznych (art. 56). **Podmioty obowiązane do zgłoszenia (art. 58):** spółki jawne, komandytowe, komandytowo-akcyjne, z ograniczoną odpowiedzialnością, proste spółki akcyjne, spółki akcyjne (z wyjątkiem spółek publicznych), spółki partnerskie, europejskie zgrupowania interesów gospodarczych, spółki europejskie, spółdzielnie, spółdzielnie europejskie, stowarzyszenia podlegające wpisowi do KRS, fundacje oraz trusty, których powiernicy lub osoby zajmujące stanowiska równoważne mają miejsce zamieszkania albo siedzibę na terytorium RP lub nawiązują stosunki gospodarcze albo nabywają nieruchomość w Polsce w imieniu lub na rzecz trustu. **Zakres danych (art. 59):** dane identyfikacyjne podmiotu zgłaszającego oraz beneficjenta rzeczywistego (imię i nazwisko, obywatelstwo, państwo zamieszkania, PESEL lub data urodzenia, informacja o wielkości i charakterze udziału lub uprawnieniach beneficjenta). **Terminy (art. 60).** Zgłoszenia dokonuje się: - dla podmiotów z art. 58 pkt 1–5 i 7–13 – w terminie **14 dni** od dnia wpisu do KRS; - dla trustów (art. 58 pkt 6) – w terminie **14 dni** od utworzenia trustu, przeniesienia siedziby/miejsca zamieszkania powiernika do Polski albo nawiązania stosunków gospodarczych lub nabycia nieruchomości w Polsce. Aktualizacja danych następuje w terminie **14 dni** od ich zmiany. Co istotne, do biegu tych terminów nie wlicza się sobót ani dni ustawowo wolnych od pracy (art. 60 ust. 2). **Sposób zgłoszenia (art. 61).** Zgłoszenia dokonuje osoba uprawniona do reprezentacji podmiotu (albo powiernik / osoba zajmująca stanowisko równoważne w przypadku trustu), elektronicznie, z opatrzeniem kwalifikowanym podpisem elektronicznym lub podpisem zaufanym, wraz z oświadczeniem o prawdziwości zgłaszanych informacji. **Jawność i domniemanie (art. 67–69).** Rejestr jest jawny i nieodpłatny; dane wprowadzone do CRBR korzystają z domniemania prawdziwości. **Sankcje.** Niedopełnienie obowiązku zgłoszenia lub aktualizacji w terminie albo podanie informacji niezgodnych ze stanem faktycznym jest zagrożone karą pieniężną do 1 000 000 zł. Dla instytucji obowiązanej CRBR jest pomocnym, ale niewystarczającym źródłem weryfikacji – szerzej w pytaniu 93.

PEP (od ang. *Politically Exposed Person*) to osoba zajmująca eksponowane stanowisko polityczne – czyli osoba, która zajmuje znaczące stanowisko publiczne lub pełni znaczącą funkcję publiczną, z wyłączeniem stanowisk średniego i niższego szczebla. Należą do nich m.in. szefowie państw i rządów, ministrowie, parlamentarzyści, członkowie zarządów partii politycznych, sędziowie najwyższych sądów i trybunałów, członkowie zarządów banków centralnych, ambasadorzy i wyżsi oficerowie, a także członkowie organów spółek z większościowym udziałem Skarbu Państwa. PEP-em jest zarówno osoba pełniąca taką funkcję w Polsce, jak i za granicą oraz w organizacjach międzynarodowych. Ze względu na podwyższone ryzyko prania pieniędzy instytucje obowiązane stosują wobec PEP wzmożone środki bezpieczeństwa finansowego.

Wobec klienta będącego PEP instytucja obowiązana stosuje wzmożone środki bezpieczeństwa finansowego. W praktyce oznacza to trzy główne obowiązki: uzyskanie akceptacji kadry kierowniczej wyższego szczebla na nawiązanie lub kontynuację relacji, podjęcie działań w celu ustalenia źródła majątku i pochodzenia środków klienta oraz zintensyfikowanie bieżącego monitorowania transakcji i całej relacji. Wcześniej instytucja musi ustalić sam status PEP – może przyjąć w tym celu oświadczenie klienta. Te same obowiązki dotyczą członków rodziny PEP i jego bliskich współpracowników. Reżim PEP stosuje się przez cały okres pełnienia funkcji oraz przez co najmniej 12 miesięcy po jej zaprzestaniu.

Ustawa nie narzuca jednej metody – wymaga, by instytucja obowiązana wdrożyła procedury oparte na analizie ryzyka. Najczęściej stosuje się oświadczenie klienta, że jest albo nie jest PEP, składane pod rygorem odpowiedzialności karnej. Oświadczenie to jednak nie wystarcza samo w sobie: trzeba je weryfikować, korzystając z innych źródeł – wykazu krajowych stanowisk PEP (rozporządzenie Ministra Finansów), publicznych rejestrów, wiarygodnych informacji z Internetu czy komercyjnych baz danych PEP. Status PEP należy ustalać zarówno wobec klienta, jak i jego beneficjenta rzeczywistego, a także sprawdzać, czy nie jest on członkiem rodziny lub bliskim współpracownikiem PEP. Status weryfikuje się przy nawiązaniu relacji i aktualizuje w jej toku.

Zgodnie z art. 52 ust. 1 ustawy AML instytucje obowiązane zapewniają udział osób wykonujących obowiązki AML/CFT w programach szkoleniowych dotyczących realizacji tych obowiązków, uwzględniających zagadnienia ochrony danych osobowych. Programy szkoleniowe uwzględniają charakter, rodzaj i rozmiar działalności oraz zapewniają aktualną wiedzę, w szczególności w zakresie obowiązków, o których mowa w art. 74 ust. 1 (zawiadomienie GIIF o okolicznościach mogących wskazywać na pranie pieniędzy), art. 86 ust. 1 (zawiadomienie o podejrzeniu) i art. 89 ust. 1 (wstrzymanie transakcji / blokada rachunku) – art. 52 ust. 2. Do instytucji obowiązanych będących osobami fizycznymi prowadzącymi działalność gospodarczą przepis stosuje się odpowiednio (art. 52 ust. 3). Cechy obowiązku: - **Adresaci** – osoby wykonujące obowiązki AML/CFT: kadra kierownicza wyższego szczebla, osoby odpowiedzialne (art. 7, 8), analitycy AML, pracownicy pierwszej linii kontaktu z klientem. - **Częstotliwość** – ustawa nie precyzuje; obowiązek dotyczy zapewnienia aktualnej wiedzy. W praktyce stosuje się szkolenia cykliczne (zwykle roczne), wstępne dla nowych pracowników oraz doraźne po zmianach przepisów lub procedur. Częstotliwość „co rok / co dwa lata" nie wynika wprost z przepisu – to dobra praktyka. - **Forma** – dowolna zapewniająca skuteczność (stacjonarna, online, warsztaty, e-learning). - **Dokumentowanie** – ustawa nie nakłada wprost obowiązku dokumentowania, ale w praktyce jest ono niezbędne do wykazania realizacji obowiązku podczas kontroli (zob. pyt. 127). GIIF wspiera realizację obowiązku, udostępniając programy szkoleniowe (m.in. komunikaty GIIF w sprawie programów szkoleniowych). Wspólny komunikat GIIF, UKNF i NBP nr 92 wyjaśnia zakres obowiązku szkoleniowego z art. 52. Brak szkoleń lub szkolenia nieaktualne stanowią naruszenie obowiązków AML/CFT zagrożone karą administracyjną.

Przepisy ustawy AML nie określają wprost zasad dokumentowania szkoleń. Obowiązek dokumentowania wynika pośrednio z art. 52: instytucja zapewniająca udział w szkoleniach musi być w stanie wykazać realizację tego obowiązku wobec GIIF lub organu nadzoru. Programy szkoleniowe mają uwzględniać charakter, rodzaj i rozmiar działalności oraz aktualną wiedzę o obowiązkach z art. 74, 86 i 89 (art. 52 ust. 2), co powinno znaleźć odzwierciedlenie w dokumentacji. Przykładowe formy dokumentacji (dobra praktyka): - listy obecności uczestników; - szczegółowy program i zakres tematyczny dostosowany do specyfiki instytucji; - materiały szkoleniowe z datą opracowania i aktualizacji; - potwierdzenia ukończenia (certyfikaty, zaświadczenia); - rejestr szkoleń (data, temat, uczestnicy, prowadzący); - oświadczenia o zapoznaniu się z materiałami; - wyniki testów lub innych form weryfikacji wiedzy; - dokumentacja szkoleń wstępnych nowych pracowników i szkoleń cyklicznych. Ustawa nie wskazuje okresu przechowywania dokumentacji szkoleniowej; w praktyce zaleca się co najmniej 5 lat, analogicznie do dokumentacji z art. 49. Posiadanie udokumentowanych dowodów szkoleń jest kluczowe podczas kontroli i stanowi potwierdzenie realizacji obowiązku z art. 52.

Instytucja obowiązana powinna posiadać komplet dokumentów pozwalających wykazać organom kontroli, że realizuje obowiązki ustawy AML. Należą do nich przede wszystkim: wewnętrzna procedura AML/CFT, ocena ryzyka instytucji, dokumentacja klientów (dane identyfikacyjne, kopie dokumentów, oświadczenia o beneficjencie rzeczywistym i statusie PEP, oceny ryzyka klienta), dokumentacja transakcji, dowody przeprowadzonych szkoleń, procedura anonimowego zgłaszania naruszeń, dokumentacja z kontroli wewnętrznej oraz korespondencja z GIIF (zawiadomienia, odpowiedzi na żądania). Wszystkie te dokumenty trzeba przechowywać co do zasady przez 5 lat. W praktyce obowiązuje prosta reguła: jeśli czegoś nie ma na papierze lub w systemie, w trakcie kontroli przyjmuje się, że tego nie zrobiono.

Ocena ryzyka klienta polega na rozpoznaniu i przypisaniu każdemu klientowi poziomu ryzyka prania pieniędzy i finansowania terroryzmu (najczęściej: niskie, standardowe, wysokie), a następnie dostosowaniu do tego poziomu środków bezpieczeństwa finansowego. Rządzi tu kilka zasad. Ocena musi być indywidualna – nie wolno przypisywać kategorii ryzyka „hurtowo" całym grupom bez analizy konkretnego przypadku. Musi opierać się na zdefiniowanych czynnikach ryzyka (m.in. rodzaj klienta, obszar geograficzny, rodzaj produktów i usług, wartość transakcji, cel i charakter relacji). Musi być udokumentowana, tak aby instytucja mogła wykazać organom nadzoru, że zastosowane środki były adekwatne. Wreszcie – musi być proporcjonalna i na bieżąco aktualizowana, gdy zmieniają się okoliczności dotyczące klienta.

Klient o wysokim ryzyku wymaga wzmożonych środków bezpieczeństwa finansowego – działań bardziej rygorystycznych niż standardowe. Typowo oznacza to: pozyskanie dodatkowych informacji o kliencie i jego beneficjencie rzeczywistym, ustalenie źródła majątku i pochodzenia środków, intensywniejsze i częstsze monitorowanie transakcji, a często także uzyskanie zgody kadry kierowniczej wyższego szczebla na nawiązanie lub kontynuację relacji. W szczególnych sytuacjach – takich jak współpraca z PEP, klientem z państwa trzeciego wysokiego ryzyka czy w ramach relacji korespondenckich – ustawa AML nakłada dodatkowe, konkretne obowiązki. Jeżeli ryzyka nie da się odpowiednio ograniczyć, instytucja powinna odmówić współpracy lub ją zakończyć i rozważyć zawiadomienie GIIF.

Ustawa AML wskazuje sześć grup czynników, które instytucja musi uwzględnić, oceniając ryzyko związane z relacją lub transakcją: rodzaj klienta, obszar geograficzny, przeznaczenie rachunku, rodzaj produktów i usług oraz sposób ich dystrybucji, poziom deponowanych wartości majątkowych lub wartość transakcji, a także cel, regularność i czas trwania relacji. To katalog otwarty – instytucja może dodać czynniki własne (np. nietypowe zachowanie klienta, status PEP, skomplikowana struktura właścicielska). Czynniki te działają w obie strony: jedne podnoszą ryzyko, inne je obniżają. Ocenę trzeba przeprowadzić indywidualnie dla każdego klienta i aktualizować, gdy zmieniają się okoliczności relacji.

Procedurę reguluje art. 86 ustawy AML i przebiega ona etapowo: 1. **Zawiadomienie GIIF (art. 86 ust. 1).** Instytucja niezwłocznie, za pomocą środków komunikacji elektronicznej, zawiadamia GIIF o uzasadnionym podejrzeniu, że transakcja lub wartości majątkowe mogą mieć związek z praniem pieniędzy lub finansowaniem terroryzmu, podając m.in. przewidywany termin przeprowadzenia transakcji (art. 86 ust. 2; odpowiednio stosuje się art. 74 ust. 3). 2. **Potwierdzenie przyjęcia (art. 86 ust. 3).** GIIF niezwłocznie wydaje urzędowe poświadczenie odbioru ze wskazaniem daty i godziny przyjęcia zawiadomienia. 3. **Wstrzymanie transakcji przez instytucję (art. 86 ust. 4).** Do czasu otrzymania żądania GIIF lub zwolnienia z obowiązku, nie dłużej jednak niż przez **24 godziny** licząc od momentu potwierdzenia przyjęcia zawiadomienia, instytucja nie przeprowadza transakcji ani innych transakcji obciążających rachunek. Ustawa nie przewiduje przedłużenia tego 24-godzinnego okresu przez GIIF. 4. **Zwolnienie z wstrzymania (art. 86 ust. 6).** GIIF może zwolnić instytucję z obowiązku wstrzymania, gdy posiadane informacje nie dają podstaw do zawiadomienia prokuratora albo gdy wstrzymanie utrudniłoby zadania organów ścigania. 5. **Żądanie GIIF (art. 86 ust. 5).** Uznawszy, że transakcja może mieć związek z praniem pieniędzy lub finansowaniem terroryzmu, GIIF przekazuje żądanie wstrzymania transakcji lub blokady rachunku na okres **nie dłuższy niż 96 godzin**, licząc od daty i godziny z potwierdzenia przyjęcia zawiadomienia. Niezwłocznie po otrzymaniu żądania instytucja wstrzymuje transakcję lub blokuje rachunek. 6. **Zawiadomienie prokuratora (art. 86 ust. 8).** Niezwłocznie po przekazaniu żądania GIIF zawiadamia właściwego prokuratora o podejrzeniu popełnienia przestępstwa. 7. **Postanowienie prokuratora (art. 86 ust. 9 i 11a).** Prokurator może postanowieniem wstrzymać transakcję lub dokonać blokady rachunku na czas oznaczony, **nie dłuższy niż 6 miesięcy** od dnia otrzymania zawiadomienia, a w postępowaniu przygotowawczym przedłużyć je o dalsze, nie dłuższe niż kolejne **6 miesięcy**. Na postanowienie przysługuje zażalenie do sądu (art. 86 ust. 11). 8. **Upadek blokady (art. 86 ust. 13).** Wstrzymanie transakcji lub blokada upada, jeżeli przed upływem czasu ich stosowania nie zostanie wydane postanowienie o zabezpieczeniu majątkowym lub postanowienie w przedmiocie dowodów rzeczowych. Co do zasady klienta nie informuje się o tych działaniach (zakaz ujawniania – pytania 165–166). Wyjątkowo, na wniosek klienta, instytucja może go poinformować o przekazaniu przez GIIF żądania z art. 86 ust. 5 – wtedy art. 54 nie stosuje się (art. 86 ust. 12). Praktyczne aspekty objaśniają komunikaty GIIF nr 21, 22 i 91.

Informacje do GIIF przekazuje się w dwóch zasadniczych sytuacjach. Po pierwsze, transakcje ponadprogowe (przekraczające równowartość 15 000 euro, np. wpłaty, wypłaty, transfery, transakcje walutowe) raportuje się rutynowo w terminie 7 dni. Po drugie, gdy pojawia się podejrzenie prania pieniędzy lub finansowania terroryzmu – instytucja zawiadamia GIIF niezwłocznie. Jeżeli podejrzenie dotyczy konkretnej transakcji, którą zamierza się dopiero przeprowadzić, zawiadomienie składa się przed jej wykonaniem, a transakcję się wstrzymuje. Wszystkie informacje przekazuje się elektronicznie, przez system teleinformatyczny GIIF, na urzędowych wzorach formularzy.

Obowiązki informacyjne wobec GIIF nie kończą się na transakcjach. Instytucja obowiązana musi m.in.: przekazać formularz identyfikujący ją jako podmiot objęty ustawą (przed pierwszym wykonaniem obowiązków AML i aktualizować go przy zmianach danych), przekazywać informacje i dokumenty na każde żądanie GIIF, zawiadamiać o podejrzanych transakcjach przeprowadzonych mimo braku wcześniejszego zgłoszenia, a w razie potwierdzonych rozbieżności – przekazywać informacje o niezgodnościach danych w Centralnym Rejestrze Beneficjentów Rzeczywistych. Niektóre instytucje przekazują też GIIF informacje powiązane z zawiadomieniem prokuratora o środkach z innego przestępstwa. To rozbudowany strumień danych, nie tylko raporty o płatnościach.

Pranie pieniędzy to przestępstwo z art. 299 Kodeksu karnego. Karze podlega ten, kto przyjmuje, przekazuje, ukrywa, transferuje lub w inny sposób „legalizuje" mienie pochodzące z korzyści związanych z czynem zabronionym, utrudniając ustalenie jego przestępnego pochodzenia. Typ podstawowy zagrożony jest karą pozbawienia wolności, surowszą w przypadkach kwalifikowanych (działanie w porozumieniu z innymi, znaczna korzyść majątkowa). Odrębnie ustawa AML penalizuje uchybienia po stronie osób działających w imieniu instytucji obowiązanej (art. 156 – m.in. niezłożenie zawiadomienia do GIIF). Finansowanie terroryzmu jest osobnym przestępstwem z art. 165a KK.

Za nieprzestrzeganie przepisów AML/CFT grożą dwie odrębne ścieżki odpowiedzialności. Pierwsza to kary administracyjne nakładane przez organy nadzoru na instytucję obowiązaną: od publikacji informacji o naruszeniu, przez nakaz zaprzestania określonych czynności, cofnięcie zezwolenia czy zakaz pełnienia funkcji kierowniczych, aż po kary pieniężne. Druga to odpowiedzialność karna za przestępstwa opisane w ustawie AML (np. niezłożenie zawiadomienia do GIIF, ujawnienie chronionych informacji) oraz w Kodeksie karnym (pranie pieniędzy, finansowanie terroryzmu). Odrębnie ustawa przewiduje kary pieniężne za uchybienia wobec Centralnego Rejestru Beneficjentów Rzeczywistych. Wysokość sankcji zależy od rodzaju naruszenia i statusu podmiotu.

Tak. Członek organu zarządzającego instytucji obowiązanej, odpowiedzialny za wykonanie obowiązków AML, może zostać ukarany administracyjną karą pieniężną do 1 000 000 zł. Wobec osoby odpowiedzialnej za naruszenie organ może też orzec zakaz pełnienia funkcji kierowniczych (do roku). Niezależnie członek zarządu odpowiada karnie za przestępstwa z ustawy AML i Kodeksu karnego oraz może ponosić odpowiedzialność cywilną wobec spółki i osób trzecich za szkody wyrządzone naruszeniem przepisów. Odpowiedzialność członka zarządu wynika z jego ustawowej roli w organizacji systemu AML w instytucji.

TFR wymaga wewnętrznych polityk, procedur i mechanizmów kontroli służących zapewnieniu zgodności z jego wymogami (art. 23 TFR – wspólne środki dla PSP i CASP). Stanowią one uzupełnienie procedury wewnętrznej z art. 50 ustawy AML. Rekomendacja: zasady stosowania TFR warto ująć jako rozszerzenie lub załącznik do procedury AML/CFT, a nie jako całkowicie odrębny dokument – pozwala to uniknąć duplikacji procesów. Zalecana treść części TFR procedury: 1. Informacje towarzyszące transferom – jakie dane muszą towarzyszyć transferom FIAT i kryptoaktywów (art. 4, 5, 6, 14, 15 TFR) i kto za nie odpowiada. 2. Weryfikacja poprawności danych – na podstawie wiarygodnych i niezależnych źródeł, w powiązaniu z KYC/CDD. 3. Wykrywanie braków – procedury detekcji danych niekompletnych lub pozbawionych sensu, na bieżąco i ex post. 4. Postępowanie przy brakach – oparte na ocenie ryzyka: wykonanie, odrzucenie, wstrzymanie lub zwrot, z zasadą nadrzędną przy wysokim ryzyku. 5. Żądanie uzupełnienia braków – od innego dostawcy w łańcuchu transferu, z określeniem terminów (co do zasady 3 dni robocze). 6. Powtarzające się naruszenia – kryteria powtarzalności, konsekwencje (ostrzeżenie, odrzucanie, zakończenie relacji) oraz obowiązek informowania GIIF (z wykorzystaniem formularza w systemie SIGIIF). 7. Portfele niehostowane – pozyskiwanie informacji od własnego klienta oraz, przy transferach powyżej 1000 EUR, ocena własności/kontroli portfela wraz z metodami weryfikacji. 8. Wzmożone środki bezpieczeństwa finansowego – przy podwyższonym ryzyku (np. transfery z udziałem NCW). 9. Zgodność z sankcjami – monitorowanie transferów pod kątem list sankcyjnych. 10. Ochrona danych osobowych – przetwarzanie wyłącznie w celach AML/CFT, zgodnie z RODO (rozporządzenie 2016/679). 11. Przechowywanie dokumentacji – przechowywanie informacji o stronach transferu przez okres wynikający z przepisów (co do zasady 5 lat), a następnie ich usunięcie lub anonimizacja, o ile dłuższy okres nie jest wymagany.

TFR nie zastępuje ustawy AML – obowiązuje obok niej i ją uzupełnia. Prawidłowe wykonanie obowiązków oznacza więc łączne stosowanie obu aktów: ustawy AML oraz TFR. Większość obowiązków typu „poznaj swojego klienta" (identyfikacja i weryfikacja klienta, ocena ryzyka, zawiadomienia do GIIF) wynika z ustawy AML. Natomiast TFR określa, jakie informacje muszą towarzyszyć transferom środków pieniężnych i kryptoaktywów oraz jak postępować, gdy tych informacji brakuje. W praktyce dane zebrane w ramach środków bezpieczeństwa finansowego (KYC/CDD) zasilają jednocześnie informacje wymagane przez TFR – zbiera się je raz i wykorzystuje do obu celów.

Przy wykryciu braków CASP lub PSP podejmuje działania oparte na ocenie ryzyka: może odrzucić transfer, zwrócić środki, wstrzymać go i wezwać do uzupełnienia danych (co do zasady w 3 dni robocze) albo – przy niskim ryzyku – wykonać. Każdą decyzję należy udokumentować. Samo naruszenie wymogów informacyjnych TFR nie przesądza jeszcze o obowiązku zawiadomienia GIIF – wymaga to całościowej oceny okoliczności i zastosowania środków bezpieczeństwa finansowego wobec klienta. Jeśli jednak analiza prowadzi do podejrzenia prania pieniędzy lub finansowania terroryzmu, instytucja zawiadamia GIIF na podstawie ustawy AML.