Środki należytej staranności wobec klienta, określane dotychczas na gruncie polskiej ustawy mianem środków bezpieczeństwa finansowego, stanowią rdzeń codziennej praktyki AML/CFT. W ramach cyklu poświęconego pakietowi AML 2026 przyjrzymy się najważniejszym zmianom w tym obszarze, wynikającym z rozporządzenia 2024/1624.
To właśnie w procesie stosowania tych środków podmioty zobowiązane identyfikują klientów i weryfikują ich tożsamość oraz decydują o nawiązaniu lub rozwiązaniu stosunków gospodarczych. Rozporządzenie 2024/1624 reguluje tę materię w rozbudowanym rozdziale III (art. 19–50), zastępując tym samym odpowiednie przepisy ustawy z 2018 r. Poniżej wskazujemy kilka zmian, które – naszym zdaniem – zasługują na szczególną uwagę już na etapie planowania wdrożenia.
Jeden katalog obowiązków zamiast krajowej regulacji
Rozdział III wprowadza zamknięty, jednolity dla całej Unii katalog środków należytej staranności – od identyfikacji klienta i beneficjenta rzeczywistego, przez ustalenie celu i charakteru relacji, po bieżące monitorowanie transakcji i weryfikację statusu PEP. Sama konstrukcja katalogu przypomina rozwiązania znane z ustawy, jednak istotna zmiana dotyczy jego umiejscowienia: weryfikacja, czy klient lub beneficjent rzeczywisty podlega sankcjom finansowym, została włączona wprost do tego katalogu, a nie – jak dotychczas – traktowana jako odrębny, równoległy obowiązek mający podstawę w innych aktach prawnych. To zmiana o znaczeniu praktycznym: w nowym modelu screening sankcyjny staje się formalnie integralnym elementem procesu CDD, co powinno znaleźć odzwierciedlenie w dokumentacji wewnętrznej i konfiguracji systemów.
Nowe progi kwotowe – konieczna rekalibracja systemów
Rozporządzenie zmienia również kilka progów kwotowych, od których zależy obowiązek zastosowania środków należytej staranności wobec transakcji okazjonalnych (według terminologii przyjętej w rozporządzeniu: transakcji sporadycznych). Podstawowy próg zostaje obniżony z równowartości 15 000 EUR do 10 000 EUR. Niezależnie od tego progu, przy transakcjach gotówkowych o wartości co najmniej 3 000 EUR podmiot zobowiązany musi przeprowadzić co najmniej identyfikację klienta, nawet jeśli sama transakcja nie osiąga progu podstawowego. Instytucje kredytowe i instytucje finansowe, z wyłączeniem dostawców usług w zakresie kryptoaktywów, zostały zobowiązane do stosowania środków należytej staranności wobec klienta przy transferach środków o wartości co najmniej 1 000 EUR. Taki sam próg przewidziano dla dostawców usług w zakresie kryptoaktywów, przy czym w przypadku transakcji o wartości niższej niż 1 000 EUR są oni zobowiązani do zastosowania co najmniej środka określonego w art. 20 ust. 1 lit. a), obejmującego identyfikację i weryfikację tożsamości klienta. Natomiast wobec podmiotów świadczących usługi hazardowe obowiązek stosowania środków należytej staranności powstaje przy transakcjach o wartości co najmniej 2 000 EUR – przy czym w stosunku do wszystkich tych podmiotów obowiązują również ogólne zasady wskazujące na okoliczności, w których ww. środki należy stosować (niezależne od kwot transakcji).
Z perspektywy banków oznacza to konieczność przeglądu nie tylko procedur, ale i samej konfiguracji systemów transakcyjnych oraz reguł alertowych – progi kwotowe wpisane dziś w logikę tych systemów będą wymagały aktualizacji zgodnie z nowymi wartościami wynikającymi wprost z rozporządzenia.
Bardziej szczegółowy katalog informacji o celu i charakterze relacji
Rozporządzenie precyzuje również, jakie informacje – w zakresie, w jakim jest to niezbędne – powinny zostać uzyskane dla właściwego zrozumienia celu i zamierzonego charakteru stosunku gospodarczego lub transakcji sporadycznej. Katalog obejmuje pięć elementów: cel i ekonomiczne uzasadnienie relacji lub transakcji, szacowaną skalę planowanej aktywności, źródło środków, przeznaczenie środków oraz rodzaj działalności gospodarczej lub zawód klienta. O ile obowiązek ustalenia celu i charakteru relacji funkcjonuje już dziś, o tyle tak skonkretyzowany, pięcioelementowy katalog jest rozwiązaniem nowym – i powinien ułatwić ujednolicenie formularzy oraz kwestionariuszy KYC stosowanych w praktyce, aczkolwiek niewykluczone, że niektóre podmioty już teraz stosują analogiczne rozwiązania.
Nowy obowiązek dla banków: identyfikacja użytkowników wirtualnych numerów IBAN
Wśród przepisów rozdziału III znalazł się obowiązek adresowany wprost do instytucji kredytowych i instytucji finansowych, a więc w praktyce przede wszystkim do banków komercyjnych: instytucja wydająca wirtualny numer IBAN musi uzyskać informacje pozwalające zidentyfikować i zweryfikować tożsamość osoby, która się nim posługuje, w powiązaniu z rachunkiem, na który kierowane są płatności. Jeżeli płatność skierowana na wirtualny numer IBAN trafia ostatecznie na rachunek prowadzony przez inną instytucję, ta druga instytucja musi mieć zapewnioną możliwość uzyskania od instytucji wydającej danych identyfikujących użytkownika – i to w sztywnym, ustawowym terminie: nie później niż w ciągu pięciu dni roboczych od zgłoszenia takiego żądania.
Dla banków korzystających z wirtualnych numerów IBAN oznacza to konieczność ustalenia jeszcze przed wejściem rozporządzenia w życie, w jaki sposób i w jakim kanale będą wymieniać takie dane z innymi instytucjami wydającymi wirtualne numery IBAN, tak aby dotrzymać pięciodniowego terminu w praktyce, a nie tylko na papierze.
Wytyczne i standardy techniczne AMLA jako element wciąż otwarty
Warto pamiętać, że treść regulacji dotyczącej środków należytej staranności nie jest dziś w pełni domknięta. Rozporządzenie przewiduje, że AMLA wyda wytyczne dotyczące zmiennych i czynników ryzyka, które podmioty zobowiązane powinny uwzględniać przy nawiązywaniu relacji lub przeprowadzaniu transakcji sporadycznych, a także opracuje regulacyjne standardy techniczne doprecyzowujące zakres informacji niezbędnych do przeprowadzenia należytej staranności. Część z tych dokumentów została już opublikowana, natomiast prace nad kolejnymi nadal trwają.
Oznacza to, że lipiec 2027 r. – data rozpoczęcia stosowania rozporządzenia – nie powinien być traktowany jako sztywny punkt odniesienia dla zakończenia prac wdrożeniowych. Praktyczny sposób stosowania obowiązków w zakresie środków należytej staranności będzie nadal doprecyzowywany wraz z publikacją kolejnych regulacyjnych standardów technicznych, wytycznych oraz innych aktów wykonawczych.
Wnioski i rekomendacje
Zmiany w zakresie środków należytej staranności nie sprowadzają się do formalnego zastąpienia ustawy rozporządzeniem – obejmują także m.in. konkretne progi kwotowe, zakres gromadzonych danych oraz sposób, w jaki poszczególne obowiązki (w tym screening sankcyjny) są ze sobą powiązane w ramach jednego katalogu. Z tego względu audyt dotychczasowych rozwiązań powinien objąć nie tylko warstwę proceduralną, lecz także konfigurację systemów informatycznych wspierających procesy KYC oraz monitoring transakcji.
Autor: Michalina Tomicka-Hesse, aplikantka adwokacka, Junior Associate w Lawspective.