Procedura AML w biurze rachunkowym. Co musi zawierać

Biuro rachunkowe jest instytucją obowiązaną w rozumieniu ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Kontrola może sprawdzić zarówno wewnętrzną procedurę AML, jak i dowody jej stosowania. Ustawa mówi wprost, co ma się w niej znaleźć. Poniżej przechodzę przez te wymagania punkt po punkcie, z numerem przepisu przy każdym, żeby dało się to sprawdzić samodzielnie.

Opieram się na tekście jednolitym ustawy z 1 marca 2018 r. (Dz.U. 2025 poz. 644) ze zmianami. Nowelizacje ogłoszone po tym tekście jednolitym (Dz.U. 2025 poz. 1669 oraz Dz.U. 2026 poz. 875 i 1206) nie zmieniają omawianych obowiązków biur rachunkowych ani art. 2 ust. 1 pkt 15a i 17. Nowelizacja z 2026 r. poz. 1206 zmienia od 11 stycznia 2027 r. pkt 1 tego ustępu, który dotyczy banków.

Czy to dotyczy Twojego biura

Ustawa wymienia biura rachunkowe w dwóch miejscach art. 2 ust. 1:

• pkt 17: podmioty prowadzące działalność w zakresie usługowego prowadzenia ksiąg rachunkowych,
• pkt 15a: przedsiębiorcy, których podstawową działalnością jest sporządzanie deklaracji, prowadzenie ksiąg podatkowych albo udzielanie porad, opinii lub wyjaśnień z zakresu prawa podatkowego lub celnego, jeśli nie są inną instytucją obowiązaną.

W praktyce obejmuje to zarówno biuro prowadzące pełną księgowość, jak i biuro, które prowadzi klientom podatkową księgę przychodów i rozchodów albo ewidencję ryczałtu. Wielkość biura nie ma znaczenia. W biurze jednoosobowym obowiązki kadry kierowniczej i osoby odpowiedzialnej za AML wykonuje właściciel (art. 9).

Co mówi art. 50

Biuro wprowadza wewnętrzną procedurę w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu. Procedura podlega bieżącej weryfikacji, a w razie potrzeby aktualizacji (art. 50 ust. 1). Ma uwzględniać charakter, rodzaj i rozmiar działalności biura (art. 50 ust. 2). Przed wprowadzeniem procedurę akceptuje kadra kierownicza wyższego szczebla (art. 50 ust. 3). Ta sama zasada dotyczy każdej aktualizacji. W biurze jednoosobowym akceptuje ją właściciel.

Jedenaście elementów procedury

Art. 50 ust. 2 wylicza, co procedura obejmuje „w szczególności”. Lista jest więc minimum, a nie zamkniętym katalogiem. Poniżej punkty 1 do 11 w kolejności z ustawy, każdy w prostych słowach razem z tym, co zwykle znaczy w biurze rachunkowym.

1. Działania ograniczające ryzyko i zarządzanie nim. W biurze rachunkowym: kiedy nie przyjmujesz klienta, kiedy kończysz współpracę, kto o tym decyduje.
2. Zasady rozpoznawania i oceny ryzyka klienta oraz jej weryfikacji i aktualizacji. W biurze rachunkowym: karta klienta z oceną ryzyka i terminem kolejnego przeglądu.
3. Środki zarządzania rozpoznanym ryzykiem klienta. W biurze rachunkowym: co robisz przy ryzyku podwyższonym, na przykład dodatkowe pytania i częstszy przegląd.
4. Zasady stosowania środków bezpieczeństwa finansowego. W biurze rachunkowym: identyfikacja i weryfikacja klienta oraz beneficjenta rzeczywistego, cel współpracy, bieżące monitorowanie (art. 34).
5. Zasady przechowywania dokumentów i informacji. W biurze rachunkowym: gdzie leżą karty i kopie dokumentów, kto ma do nich dostęp, okresy przechowywania z art. 49.
6. Przekazywanie Generalnemu Inspektorowi informacji o transakcjach i zawiadomień. W biurze rachunkowym: kto i jak składa zawiadomienie przy podejrzeniu.
7. Upowszechnianie wiedzy o przepisach wśród pracowników. W biurze rachunkowym: szkolenia i ich ewidencja.
8. Zgłaszanie przez pracowników naruszeń przepisów. W biurze rachunkowym: kanał zgłoszeń, także anonimowych (art. 53).
9. Kontrola wewnętrzna lub nadzór zgodności. W biurze rachunkowym: kto i jak często sprawdza, czy procedura jest stosowana.
10. Odnotowywanie rozbieżności z Centralnym Rejestrem Beneficjentów Rzeczywistych. W biurze rachunkowym: dotyczy klientów, którzy są w CRBR, czyli przede wszystkim spółek.
11. Dokumentowanie utrudnień w weryfikacji beneficjenta rzeczywistego. W biurze rachunkowym: notatka o utrudnieniach przy weryfikacji tożsamości beneficjenta, także gdy weryfikacja w końcu się udała. Osobno opisujesz czynności, gdy jako beneficjenta identyfikujesz osobę zajmującą wyższe stanowisko kierownicze.

Sama procedura nie wystarczy

Procedura opisuje zasady. Kontrola sprawdzi też, czy biuro je stosuje i ma na to ślad w dokumentach. Obok procedury potrzebne są:

• Ocena ryzyka biura (art. 27). Ryzyko związane z Twoją działalnością: klienci, obszary geograficzne, usługi, kanały pracy. Sporządzona na papierze lub elektronicznie, aktualizowana w razie potrzeby, nie rzadziej niż co 2 lata (art. 27 ust. 3).
• Ocena ryzyka każdego klienta (art. 33 ust. 2 i 3). Rozpoznane ryzyko i jego ocena muszą być udokumentowane. W praktyce służy do tego karta klienta.
• Osoba odpowiedzialna za AML (art. 8). Pracownik na stanowisku kierowniczym albo właściciel w biurze jednoosobowym (art. 9).
• Szkolenia (art. 52). Osoby wykonujące obowiązki AML mają brać udział w programach szkoleniowych, także z ochrony danych osobowych. Program ma pasować do charakteru i rozmiaru biura. Przy osobie fizycznej prowadzącej działalność przepis stosuje się odpowiednio (art. 52 ust. 3).
• Procedura anonimowego zgłaszania naruszeń (art. 53). Wyodrębniona procedura, która określa między innymi, kto odbiera zgłoszenia, jak chroni się zgłaszającego i co dzieje się po zgłoszeniu.
• Przechowywanie przez 5 lat (art. 49). Dokumentację z art. 49 ust. 1 (kopie dokumentów klienta, dowody transakcji) przechowujesz przez 5 lat od zakończenia współpracy z klientem albo od transakcji okazjonalnej. Wyniki analiz przechowujesz przez 5 lat od dnia ich przeprowadzenia (art. 49 ust. 2).

Kto kontroluje i co grozi

Kontrolę sprawuje Generalny Inspektor Informacji Finansowej (art. 130 ust. 1), a w zakresie swoich uprawnień także naczelnicy urzędów celno-skarbowych (art. 130 ust. 2 pkt 1 lit. e). Kontrole są planowane według ryzyka, ale mogą być też doraźne (art. 131).

Brak procedury to osobne naruszenie (art. 147 pkt 7). Tak samo brak oceny ryzyka biura lub jej aktualizacji (pkt 2), brak szkoleń (pkt 9) oraz brak procedury zgłaszania naruszeń (pkt 10). Katalog kar jest w art. 150: od publikacji informacji o naruszeniu w Biuletynie Informacji Publicznej, przez nakaz zaprzestania określonych czynności, po karę pieniężną. Dla biur rachunkowych kara pieniężna może sięgnąć dwukrotności korzyści osiągniętej albo straty unikniętej dzięki naruszeniu. Gdy tej kwoty nie da się ustalić, limit wynosi równowartość 1 000 000 euro (art. 150 ust. 2). Przy wymiarze organ bierze pod uwagę między innymi wagę naruszenia, możliwości finansowe biura i współpracę z organami (art. 150 ust. 4).

Z praktyki: procedura, której nie da się obejść

Budując panel AML i umów dla biura obsługującego jednoosobowe działalności, przyjęliśmy jedną zasadę: umowy nie da się wysłać klientowi, dopóki w jego karcie AML nie ma pozytywnej decyzji, a termin przeglądu tej karty nie minął. Każda wersja karty zostaje w historii i nie da się jej zmienić. Rano panel przypomina o kartach, którym kończy się termin przeglądu.

Chodzi o to, żeby zapis z procedury (pkt 2 i 4 powyżej) nie żył tylko na papierze. Kontrola sprawdzi, czy masz procedurę, ale też czy ją stosujesz. Karta z datą i decyzją przed umową to prosty dowód stosowania.

Jeśli wolisz, żeby procedurę, ocenę ryzyka biura i karty klientów przygotował ktoś za Ciebie, a umowy z klientami szły przez panel pod adresem Twojego biura, zobacz ofertę dla biur rachunkowych.

Źródła

• Ustawa z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, tekst jednolity Dz.U. 2025 poz. 644 (ISAP): art. 2 ust. 1 pkt 15a i 17, art. 8, 9, 27, 33, 49, 50, 52, 53, 130, 131, 147, 150
• Dz.U. 2025 poz. 1669, Dz.U. 2026 poz. 875 i Dz.U. 2026 poz. 1206: zmiany po tekście jednolitym, sprawdzone 2 listopada 2026 r.