AMLR 2027: 12 zmian operacyjnych w KYC, KYB i monitorowaniu klientów

Unijne rozporządzenie AML zacznie być stosowane 10 lipca 2027 r. i wprowadzi bezpośrednio obowiązujący zestaw wymagań AML/CFT w całej Unii Europejskiej. Największym wyzwaniem dla instytucji obowiązanych nie będzie zmiana numerów artykułów w procedurze. Konieczne będzie przełożenie zharmonizowanych wymagań na dane klientów, metodologie ryzyka, standardy decyzyjne, scenariusze monitoringu, częstotliwość przeglądów i dowody działania kontroli.

Wiele wymagań AMLR rozwija zasady obecne już w krajowych przepisach i dotychczasowych wytycznych europejskich. Znaczenie operacyjne wynika jednak z bezpośredniego stosowania rozporządzenia, większego poziomu szczegółowości oraz wspólnych standardów opracowywanych przez Urząd ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu — AMLA.

1. Bezpośrednio obowiązujący standard UE ograniczy różnice krajowe

AMLR będzie stosowany bezpośrednio we wszystkich państwach członkowskich. Instytucje działające w kilku państwach nie będą mogły projektować podstawowego systemu CDD wyłącznie na podstawie odmiennych krajowych implementacji dyrektywy.

Krajowe przepisy, oczekiwania nadzorcze i regulacje sektorowe nadal pozostaną istotne, ale centralny model operacyjny powinien zostać oparty na wspólnej bazie AMLR. Grupy transgraniczne powinny zidentyfikować różnice pomiędzy krajowymi procedurami, modelami ryzyka, polami danych i cyklami przeglądów oraz ocenić, czy nadal pozostają uzasadnione.

2. Relacje gospodarcze i transakcje okazjonalne wymagają jasnej klasyfikacji

Klasyfikacja kontaktu jako relacji gospodarczej albo transakcji okazjonalnej wpływa na obowiązek zastosowania pełnych środków bezpieczeństwa finansowego oraz bieżącego monitorowania. AMLR ustanawia ogólny próg 10 000 EUR dla transakcji okazjonalnych, a także niższe progi dla wybranych sektorów i rodzajów działalności o podwyższonym ryzyku.

Organizacje powinny przeanalizować produkty zapewniające powtarzalny dostęp, rejestrację, cykliczne usługi albo serię transakcji bez tradycyjnej umowy. Systemy muszą również identyfikować transakcje powiązane, aby klient nie mógł uniknąć CDD przez podzielenie aktywności na mniejsze kwoty.

3. Dane identyfikacyjne klientów zostaną ujednolicone w UE

AMLR oraz standardy techniczne opracowywane przez AMLA mają ujednolicić informacje i dowody gromadzone podczas identyfikacji osób fizycznych, osób prawnych, reprezentantów i beneficjentów rzeczywistych.

Analiza luk danych powinna obejmować:

• obowiązkowe dane dla poszczególnych typów klientów,
• oryginalne i transliterowane imiona oraz nazwiska, gdy jest to potrzebne,
• obywatelstwo, miejsce zamieszkania i miejsce urodzenia,
• dane rejestrowe i adresowe osób prawnych,
• reprezentantów i dowody ich umocowania,
• beneficjentów rzeczywistych i powiązania własnościowe lub kontrolne,
• źródło, datę i status dowodu weryfikacji.

4. Cyfrowa weryfikacja nadal musi tworzyć wiarygodny dowód

AMLR pozwala na weryfikację tożsamości z wykorzystaniem odpowiednich środków identyfikacji elektronicznej i kwalifikowanych usług zaufania. Cyfrowy onboarding pozostanie możliwy, ale instytucja musi wykazać, że rozwiązanie zapewnia wymagane atrybuty tożsamości, odpowiedni poziom pewności i wiarygodny dowód.

Wdrożenie powinno obejmować due diligence dostawcy, ryzyko oszustwa i podszywania się, kontrole dokumentów i biometrii, przypadki nieudanej lub niejednoznacznej weryfikacji, eskalację do człowieka, retencję danych oraz cykliczną walidację technologii.

5. KYB musi wyjaśniać istnienie, reprezentację, własność i kontrolę

W przypadku klientów będących osobami prawnymi lub strukturami prawnymi sam odpis z rejestru nie zapewnia kompletnego KYB. Akta powinny potwierdzać istnienie podmiotu, dokumenty ustrojowe, osoby uprawnione do reprezentacji, działalność oraz strukturę własności i kontroli.

Organizacja powinna móc odtworzyć łańcuch własności od klienta do właściwych osób fizycznych oraz wyjaśnić sposób oceny każdej z nich. Złożona struktura powinna być wsparta przejrzystym schematem, wiarygodnymi dowodami i udokumentowanym uzasadnieniem, a nie tylko listą nazw skopiowaną z komercyjnej bazy.

6. Beneficjent rzeczywisty wymaga analizy własności i kontroli

AMLR wskazuje własność wynikającą z bezpośredniego albo pośredniego posiadania co najmniej 25% udziałów, praw głosu lub innego udziału właścicielskiego. Analiza musi również uwzględniać kontrolę sprawowaną w inny sposób, w tym rozwiązania pozwalające osobie fizycznej wpływać na istotne decyzje.

Jeżeli mimo zastosowania rozsądnych środków nie można wskazać osoby fizycznej, konieczne może być zapisanie danych osoby zajmującej wyższe stanowisko kierownicze. Nie powinna być ona przedstawiana jako beneficjent rzeczywisty tylko dlatego, że analiza była trudna. Akta powinny wskazywać wykonane czynności, sprawdzone źródła i przyczynę braku identyfikacji osoby kontrolującej.

7. Cel i zamierzony charakter relacji muszą tworzyć użyteczny profil

Poznanie celu i zamierzonego charakteru relacji powinno dostarczać informacji, które następnie pozwalają ocenić, czy rzeczywista aktywność klienta pozostaje zgodna z jego profilem.

W zależności od ryzyka profil może obejmować:

• planowany sposób korzystania z produktów lub usług,
• oczekiwaną wartość, wolumen i częstotliwość aktywności,
• spodziewanych kontrahentów i jurysdykcje,
• model działalności oraz główne źródła przychodów,
• oczekiwane źródło i przeznaczenie środków,
• przyczynę wyboru danej instytucji lub produktu.

Ogólne sformułowania, takie jak „cele gospodarcze”, „inwestowanie” albo „codzienne transakcje”, zwykle nie tworzą wystarczającej podstawy do oceny ryzyka i monitorowania relacji.

8. Klasyfikacja ryzyka musi wpływać na zakres CDD

Środki bezpieczeństwa finansowego muszą być stosowane w sposób proporcjonalny i oparty na ryzyku. Nie wystarczy przypisać klienta do kategorii niskiego, standardowego lub wysokiego ryzyka. Organizacja powinna wyjaśnić, które czynniki wpłynęły na wynik i jak zmienił on wymagane kontrole.

Metodologia powinna łączyć wynik ryzyka z:

• zakresem gromadzonych informacji i dowodów,
• poziomem weryfikacji i challenge,
• środkami Enhanced Due Diligence,
• wymaganymi zatwierdzeniami i eskalacjami,
• częstotliwością przeglądu,
• intensywnością monitoringu i scenariuszami,
• obsługą wyjątków i ryzyka rezydualnego.

9. Pojawią się maksymalne okresy aktualizacji danych klientów

AMLR ustanawia maksymalne okresy pomiędzy aktualizacjami informacji o klientach. Dane klientów wyższego ryzyka muszą być przeglądane i — w razie potrzeby — aktualizowane co najmniej raz w roku. Dla pozostałych klientów maksymalny okres wynosi pięć lat.

Są to maksymalne limity, a nie automatyczne terminy dla każdej relacji. Klient standardowego ryzyka może wymagać krótszego cyklu, jeżeli uzasadniają to produkty, jurysdykcje, struktura własności, spodziewana aktywność albo jakość posiadanych informacji. Instytucje powinny porównać obecne cykle przeglądów z nowymi limitami i obliczyć przyszłą populację spraw.

10. Zdarzenia inicjujące wymagają przeglądu poza cyklem okresowym

Zaplanowana data przeglądu nie zwalnia z aktualizacji informacji, gdy zmieniają się istotne okoliczności. AMLR wymaga przeglądu wywołanego zdarzeniem, jeżeli nowy fakt wpływa na dane klienta, beneficjenta rzeczywistego, klasyfikację ryzyka albo charakter relacji.

Zdarzenia mogą obejmować:

• zmianę własności, kontroli lub reprezentantów,
• istotną zmianę działalności lub spodziewanych transakcji,
• nowy produkt, usługę, jurysdykcję lub kanał dystrybucji,
• zmiany dotyczące PEP, sankcji albo negatywnych informacji,
• nietypową aktywność niezgodną z profilem klienta,
• wątpliwości dotyczące poprawności danych identyfikacyjnych,
• kontakt z klientem ujawniający nieaktualne informacje.

Model operacyjny powinien określać, które systemy i osoby wykrywają zdarzenia, jak trafiają one do zespołu KYC oraz w jakim terminie należy zakończyć wynikający z nich przegląd.

11. Bieżący monitoring obejmie transakcje, aktywności i zmiany dotyczące klienta

Bieżącego monitorowania nie należy utożsamiać wyłącznie z alertami automatycznego systemu transakcyjnego. Powinno ono łączyć analizę transakcji z aktywnościami klienta, jego zachowaniem, zdarzeniami w relacji i zmianami w posiadanych informacjach.

Monitoring całej relacji powinien oceniać zgodność aktywności z:

• wiedzą instytucji o kliencie,
• zadeklarowaną działalnością gospodarczą lub zawodową,
• profilem ryzyka klienta,
• oczekiwanym wykorzystaniem wszystkich produktów i usług,
• planowaną wartością, wolumenem i geografią aktywności,
• znanym źródłem i przeznaczeniem środków, gdy jest to potrzebne.

Wyniki monitoringu powinny wracać do procesu KYC. Istotna zmiana lub niewyjaśniony wzorzec muszą móc uruchomić dodatkowe CDD, zmianę klasyfikacji ryzyka, EDD, eskalację albo analizę pod kątem raportowania podejrzenia.

12. Screening i monitoring muszą być aktualne, wyjaśnialne i testowalne

AMLR silniej integruje ryzyko związane z ukierunkowanymi sankcjami finansowymi ze środkami bezpieczeństwa finansowego i bieżącymi kontrolami. Sprawdzeniu podlegają klienci i beneficjenci rzeczywiści, a w przypadku osób prawnych również podmioty lub osoby kontrolujące klienta albo spełniające odpowiednie warunki własnościowe.

Projekty standardów AMLA wskazują kierunek operacyjny: screening podczas onboardingu, ponowną kontrolę po zmianie list sankcyjnych albo istotnych danych klienta, udokumentowane rozstrzyganie trafień oraz oparty na ryzyku wybór kontroli ręcznych, automatycznych lub półautomatycznych.

Automatyzacja nie powinna być traktowana jak czarna skrzynka. Organizacja powinna dokumentować wybór rozwiązania, jego kalibrację, wykorzystywane dane, sposób analizy i eskalacji wyników oraz okresowe testowanie skuteczności. Szczegółowe instrumenty AMLA pozostawały 4 sierpnia 2026 r. na etapie projektu lub konsultacji i mogą jeszcze ulec zmianie.

Co powinien obejmować program wdrożenia AMLR?

Jak APOG wspiera gotowość do AMLR 2027?

APOG wspiera podmioty regulowane w przekładaniu AMLR na zdefiniowane programy wdrożeniowe i remediacyjne. Zakres może obejmować:

• analizę luk AMLR i plan wdrożenia,
• mapowanie danych KYC, KYB i beneficjentów rzeczywistych,
• przebudowę metodologii ryzyka klienta i CDD,
• model przeglądów okresowych i zdarzeń inicjujących,
• ocenę backlogu i remediację KYC/KYB,
• przegląd monitoringu i powiązanych kontroli,
• testowanie, quality assurance i walidację zamknięcia,
• raportowanie zarządcze i governance wdrożenia.

Oficjalne źródła

• Rozporządzenie (UE) 2024/1624 — AMLR
• AMLA: projekt standardów technicznych dotyczących CDD
• AMLA: projekt standardów dotyczących relacji gospodarczych i transakcji powiązanych
• AMLA: projekt wytycznych dotyczących bieżącego monitorowania relacji

Artykuł przedstawia praktyczne omówienie rozporządzenia (UE) 2024/1624 oraz wybranych projektów instrumentów AMLA według stanu na 4 sierpnia 2026 r. Projekty standardów technicznych i wytycznych mogą ulec zmianie przed ich przyjęciem. Artykuł nie stanowi porady prawnej, a wymagania dotyczące konkretnej organizacji należy ocenić z uwzględnieniem jej sektora, modelu biznesowego, ryzyka oraz właściwych wymagań krajowych i nadzorczych.