10 lipca 2027 r. może wydawać się odległym terminem. Z perspektywy przedsiębiorcy oznacza jeszcze niemal rok na przygotowanie się do nowych regulacji AML. Problem w tym, że w wielu organizacjach dostosowanie się do nowych przepisów nie będzie polegało na zmianie kilku punktów procedury wewnętrznej.

Nowy unijny system AML zmienia bowiem sposób identyfikowania klientów, oceny ryzyka, ustalania beneficjentów rzeczywistych, monitorowania relacji gospodarczych, organizacji funkcji compliance, stosowania sankcji finansowych oraz nadzoru nad instytucjami obowiązanymi.

Najważniejsza zmiana jest przy tym systemowa: podstawowe obowiązki instytucji obowiązanych zostaną uregulowane bezpośrednio w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2024/1624 – AMLR. Rozporządzenie będzie co do zasady stosowane od 10 lipca 2027 r. i – w przeciwieństwie do dyrektywy – nie wymaga implementacji do prawa krajowego. Ma stworzyć jednolity europejski zbiór zasad AML, tzw. Single Rulebook.

Dlatego przedsiębiorcy, którzy planują rozpocząć przygotowania dopiero po uchwaleniu kolejnej nowelizacji polskiej ustawy AML, mogą zacząć je zdecydowanie za późno.

AMLR – dlaczego tym razem zmiana jest inna?

Dotychczas europejski system AML był w znacznej części oparty na dyrektywach wdrażanych przez poszczególne państwa członkowskie. W efekcie szczegółowe rozwiązania dotyczące KYC, beneficjentów rzeczywistych, oceny ryzyka czy nadzoru mogły różnić się pomiędzy państwami.

AMLR ma ten model zmienić.

Duża część najważniejszych obowiązków instytucji obowiązanych będzie wynikała bezpośrednio z rozporządzenia stosowanego w całej Unii Europejskiej. Towarzyszyć mu będzie dyrektywa (UE) 2024/1640 regulująca przede wszystkim rozwiązania instytucjonalne, nadzorcze oraz funkcjonowanie krajowych systemów AML.

Jednocześnie powstał nowy europejski organ – AMLA, czyli Authority for Anti-Money Laundering and Countering the Financing of Terrorism.

Nie jest to przy tym urząd, który zacznie działać dopiero w 2027 r. AMLA już w 2026 r. opracowuje standardy, wytyczne oraz metodologie, które mają wyznaczać sposób stosowania nowych przepisów. Zgodnie z programem prac na lata 2026–2028 urząd planuje zrealizować w samym 2026 r. 24 spośród 40 powierzonych mu mandatów regulacyjnych.

Nowy system AML powstaje więc już teraz.

KYC przestanie być jednorazowym „sprawdzeniem klienta”

Jedną z najbardziej praktycznych zmian będzie jeszcze większy nacisk na to, aby KYC było procesem trwającym przez cały okres relacji z klientem.

Instytucja obowiązana ma nie tylko ustalić, kim jest klient i jego beneficjent rzeczywisty w momencie rozpoczęcia współpracy. Musi również monitorować relację gospodarczą i aktualizować posiadane informacje, jeżeli zmieniają się okoliczności mające znaczenie dla poziomu ryzyka.

Kierunek, w którym pójdzie praktyka nadzorcza, dobrze pokazuje opublikowany 3 czerwca 2026 r. przez AMLA projekt wytycznych dotyczących bieżącego monitorowania relacji gospodarczych.

AMLA wskazuje w nim dwa równoległe mechanizmy:

• okresowe przeglądy danych klienta,
• aktualizacje uruchamiane przez określone zdarzenia lub zmianę okoliczności.

Monitoring nie ma ograniczać się wyłącznie do przepływów pieniężnych. Powinien obejmować również działalność klienta, jego zachowania oraz zdarzenia, które mogą świadczyć o zmianie jego profilu ryzyka. Projekt przewiduje przy tym możliwość stosowania monitoringu manualnego, automatycznego albo półautomatycznego, pod warunkiem że przyjęte rozwiązanie jest proporcjonalne, właściwie udokumentowane i możliwe do wyjaśnienia organowi nadzoru. Finalne wytyczne w tym zakresie AMLA planuje wydać w IV kwartale 2026 r.

W praktyce oznacza to, że w wielu organizacjach nie wystarczy poprawić formularza KYC.

Trzeba będzie odpowiedzieć na pytanie, czy organizacja posiada mechanizm pozwalający ustalić, że dane zebrane rok wcześniej przestały odpowiadać rzeczywistości.

Beneficjent rzeczywisty – 25% oznacza 25%

Zmiany dotyczą także identyfikacji beneficjenta rzeczywistego.

Obecny polski model posługuje się w określonych sytuacjach progiem przekraczającym 25% udziałów lub praw głosu. AMLR obejmuje natomiast próg co najmniej 25%, a więc również osobę posiadającą dokładnie 25%.

Jeszcze ważniejsze może być jednak wyraźne rozdzielenie własności od kontroli. Samo ustalenie, kto posiada odpowiedni procent udziałów, nie zakończy analizy. Instytucja obowiązana powinna również sprawdzić, czy inna osoba nie sprawuje faktycznej kontroli poprzez inne mechanizmy – np. prawa głosu, możliwość powoływania organów, prawa weta czy inne rozwiązania korporacyjne.

Dla prostych struktur właścicielskich zmiana może być niewielka.

Przy holdingach, funduszach, strukturach międzynarodowych, umowach inwestycyjnych czy wielopoziomowym akcjonariacie różnica może być zasadnicza.

Dlatego przed 2027 r. warto nie tylko zmienić definicję beneficjenta rzeczywistego w procedurze, ale również sprawdzić logikę stosowaną w formularzach KYC i systemach informatycznych służących do ustalania UBO.

Ocena ryzyka AML będzie musiała objąć więcej niż pranie pieniędzy

Ocena ryzyka pozostaje fundamentem systemu AML. Zmienia się jednak zakres tego, co instytucja powinna w niej analizować.

AMLR wymaga uwzględniania nie tylko ryzyka prania pieniędzy i finansowania terroryzmu, ale również ryzyka niewykonania oraz obchodzenia ukierunkowanych sankcji finansowych.

To ważna zmiana praktyczna.

W wielu organizacjach compliance sankcyjne i AML funkcjonują obecnie jako dwa częściowo odrębne obszary. Tymczasem nowy model coraz mocniej je ze sobą łączy.

AMLA rozpoczęła już w kwietniu 2026 r. konsultacje wytycznych dotyczących oceny ryzyka całej organizacji. Mają one określać minimalne wymagania dotyczące sposobu identyfikowania i oceny ekspozycji przedsiębiorstwa na ryzyko, przy zachowaniu proporcjonalności zależnej od wielkości organizacji, jej modelu biznesowego i profilu ryzyka.

W praktyce przedsiębiorca powinien więc zadać sobie pytanie:

czy nasza obecna ocena ryzyka rzeczywiście opisuje działalność przedsiębiorstwa, czy jest dokumentem aktualizowanym raz na dwa lata głównie po to, aby znajdował się w segregatorze na wypadek kontroli?

W nowym modelu taka różnica może być szczególnie istotna.

Zarząd nie będzie mógł powiedzieć: „AML zajmuje się compliance officer”

AMLR mocno akcentuje odpowiedzialność na poziomie zarządzania organizacją.

Rozporządzenie zakłada wskazanie członka organu zarządzającego odpowiedzialnego za wdrażanie wewnętrznych polityk, procedur i kontroli AML/CFT. Jednocześnie ostateczna odpowiedzialność za zgodność organizacji z wymaganiami AML ma pozostawać po stronie organu zarządzającego, podczas gdy bieżąca realizacja obowiązków może zostać powierzona compliance officerowi.

To istotna różnica z perspektywy corporate governance.

Procedura AML nie może być dokumentem znanym wyłącznie pracownikowi compliance albo osobie odpowiedzialnej za KYC.

Zarząd powinien wiedzieć przynajmniej:

1. jakie najważniejsze ryzyka AML występują w organizacji,

1. ilu klientów zakwalifikowano do kategorii wysokiego ryzyka,
2. jakie są najważniejsze problemy wykrywane podczas onboardingu,
3. czy występują zaległości w aktualizacji KYC,
4. jak działa monitoring,
5. jakie zgłoszenia są eskalowane,
6. czy compliance posiada odpowiednie zasoby.

Innymi słowy: AML staje się coraz bardziej elementem zarządzania przedsiębiorstwem, a nie tylko obowiązkiem działu prawnego.

Outsourcing KYC nie oznacza outsourcingu odpowiedzialności

Coraz więcej przedsiębiorstw wykorzystuje zewnętrzne systemy do identyfikacji klienta, sankcyjnego screeningu, weryfikacji PEP, kontroli dokumentów czy monitorowania transakcji.

Technologia może znacząco ułatwić compliance. Nie przenosi jednak odpowiedzialności za zgodność na dostawcę systemu.

AMLR wyraźnie opiera się na zasadzie, zgodnie z którą instytucja obowiązana pozostaje odpowiedzialna za wykonanie swoich obowiązków również wtedy, gdy określone czynności zostały zlecone podmiotowi zewnętrznemu.

Dlatego przed 2027 r. warto przejrzeć nie tylko procedury, ale także umowy z dostawcami AML/KYC.

Kluczowe będzie ustalenie m.in.:

• jakie dane weryfikuje system,
• z jakich źródeł korzysta,
• jak często aktualizowane są listy sankcyjne i PEP,
• czy można odtworzyć wynik historycznej weryfikacji,
• jak dokumentowane są alerty,
• czy organizacja potrafi wyjaśnić regulatorowi sposób działania stosowanego rozwiązania.

Szczególnie ostatni element może nabierać znaczenia. W projekcie wytycznych dotyczących monitoringu AMLA wskazuje bowiem, że jeżeli stosowane są zaawansowane narzędzia analityczne, organizacja powinna posiadać odpowiednie mechanizmy zarządcze i być w stanie wyjaśnić organowi nadzoru rolę oraz wyniki działania tych narzędzi – także wtedy, gdy korzysta z zewnętrznego dostawcy.

Grupy kapitałowe będą musiały patrzeć na ryzyko globalnie

Nowy system ma szczególne znaczenie dla grup działających w kilku państwach.

AMLR przewiduje polityki, procedury i mechanizmy kontroli na poziomie grupy, a AMLA pracuje już nad minimalnymi standardami takich rozwiązań – również w sytuacjach transgranicznych oraz w odniesieniu do jednostek funkcjonujących poza Unią Europejską. Celem jest uzyskanie skonsolidowanego obrazu ryzyk AML/CFT w całej grupie.

Dla grup kapitałowych oznacza to konieczność sprawdzenia, czy poszczególne spółki nie funkcjonują dziś w praktyce jako osobne „wyspy compliance”.

Jeżeli każda spółka posiada inny formularz KYC, inną metodę scoringu, inne zasady akceptacji klienta wysokiego ryzyka i inne mechanizmy eskalacji, przygotowanie do AMLR może wymagać projektu obejmującego całą grupę.

Nadzór też się zmienia – i to wcześniej niż w 2027 r.

AMLA nie ma być wyłącznie organem tworzącym wytyczne.

Od 2028 r. ma rozpocząć bezpośredni nadzór nad 40 najbardziej znaczącymi instytucjami finansowymi działającymi transgranicznie, a pierwszy proces ich wyboru odbędzie się w 2027 r. Równolegle AMLA buduje model nadzoru pośredniego i konwergencji praktyki organów krajowych.

Co istotne, 8 lipca 2026 r. AMLA ogłosiła zakończenie prac nad wspólnym europejskim podejściem do egzekwowania naruszeń AML. Standard ma prowadzić do tego, aby porównywalne naruszenia były oceniane według wspólnej metodologii niezależnie od państwa, w którym działa instytucja obowiązana.

To kolejny sygnał, że europejski AML ma zmierzać nie tylko do ujednolicenia przepisów, lecz także do ujednolicenia sposobu ich egzekwowania.

Co dzieje się w Polsce?

Równolegle trwają prace nad zmianą polskich regulacji.

Projekt UC75 dotyczący zmiany ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu przewiduje m.in. wdrożenie dyrektywy (UE) 2024/1640. Według Rządowego Centrum Legislacji na 12 sierpnia 2026 r. projekt pozostaje otwarty i znajduje się na etapie Komisji Prawniczej; nie został jeszcze skierowany do Sejmu.

Nie oznacza to jednak, że przedsiębiorcy powinni czekać na zakończenie polskiego procesu legislacyjnego.

Znaczna część nowych obowiązków będzie przecież wynikać bezpośrednio z AMLR.

Czy trzeba już teraz przepisywać procedurę AML?

Niekoniecznie.

W wielu przypadkach bardziej racjonalne będzie rozpoczęcie od gap analysis, czyli porównania obecnego systemu AML z modelem wynikającym z AMLR i powstających standardów AMLA.

W pierwszej kolejności warto zweryfikować pięć obszarów:

1. KYC i beneficjent rzeczywisty
Czy formularze, systemy i instrukcje pozwalają prawidłowo identyfikować strukturę własności i kontroli?

2. Ocena ryzyka
Czy rzeczywiście odzwierciedla model biznesowy, klientów, produkty, kanały dystrybucji, ryzyka geograficzne oraz ryzyka związane z sankcjami finansowymi?

3. Ongoing monitoring
Czy organizacja potrafi wykryć zmianę profilu klienta w trakcie współpracy, czy KYC kończy się w momencie onboardingu?

4. Governance
Czy odpowiedzialność zarządu, compliance officera i pracowników operacyjnych została jasno określona?

5. Systemy i dane
Czy narzędzia AML umożliwiają nie tylko przeprowadzenie kontroli, ale również późniejsze wykazanie, co sprawdzono, kiedy, z jakim wynikiem i jak zareagowano na alert?

Dopiero po takim przeglądzie można racjonalnie zdecydować, które procedury, systemy, umowy oraz procesy wymagają zmiany.

Dlaczego 2026 r. jest najlepszym momentem na przygotowanie?

Pozornie najprostsze rozwiązanie brzmi: poczekajmy do 2027 r., kiedy wszystkie wytyczne będą już znane.

W większych organizacjach takie podejście może jednak okazać się ryzykowne.

Zmiana procedury zajmuje kilka tygodni. Zmiana sposobu działania całej organizacji może wymagać wielu miesięcy.

Jeżeli dostosowanie do AMLR będzie oznaczało zmianę formularzy onboardingowych, przebudowę matrycy ryzyka, zmianę systemu KYC, integrację z dostawcami danych, określenie nowych zasad monitoringu, zmianę umów outsourcingowych, przeszkolenie pracowników i wdrożenie nowych ścieżek eskalacyjnych, rozpoczęcie projektu kilka tygodni przed 10 lipca 2027 r. może być zdecydowanie za późne.

Dlatego 2026 r. powinien być rokiem diagnozy i projektowania, a pierwsza połowa 2027 r. – okresem wdrożenia i testowania nowych rozwiązań.

Podsumowanie

10 lipca 2027 r. nie będzie po prostu kolejną datą wejścia w życie nowych obowiązków AML.

Zmienia się sama architektura europejskiego systemu: bezpośrednio stosowany AMLR, jednolity Single Rulebook, nowy europejski organ AMLA, wspólne standardy nadzoru oraz coraz bardziej precyzyjne wymagania dotyczące KYC, monitoringu, oceny ryzyka i zarządzania compliance.

Dla instytucji obowiązanych najważniejszy wniosek jest prosty:

nie należy zaczynać od pytania „jak zmienić naszą procedurę AML?”, lecz od pytania „czy nasz obecny system AML będzie działał zgodnie z nowymi zasadami?”.

W wielu organizacjach odpowiedź na te dwa pytania będzie zupełnie inna.

Niniejszy artykuł ma charakter informacyjny i nie jest to porada prawna

Stan prawny na dzień 12 sierpnia 2026 r.

Autor / Redaktor cyklu: