Outsourcing AML: za co nadal odpowiada instytucja obowiązana?

Jeśli Twoja firma jest instytucją obowiązaną w rozumieniu polskiej ustawy AML, zakup raportu od dostawcy nie zwalnia jej z odpowiedzialności za zastosowanie środków bezpieczeństwa finansowego. Odpowiedzialność pozostaje po jej stronie również przy korzystaniu z podmiotu trzeciego na zasadach art. 47 oraz przy powierzeniu czynności zgodnie z art. 48. Raport może dostarczyć informacji i udokumentować część pracy. Sam nie potwierdza wykonania wszystkich obowiązków instytucji.

Punktem wyjścia jest więc ustalenie, czy i w jakim zakresie firma podlega ustawie AML. Opisane niżej zasady dotyczą instytucji obowiązanych. Sam fakt prowadzenia działalności B2B lub zamówienia sprawdzenia kontrahenta nie wystarcza, aby uznać firmę za taką instytucję.

Co faktycznie zlecasz dostawcy?

Nazwa „raport AML” albo „raport KYC” mówi za mało, by określić prawny model współpracy. Trzeba ustalić, jakie czynności dostawca wykonuje, w jakiej roli występuje i co wynika z umowy.

Wyobraź sobie, że otrzymujesz zestawienie danych o kliencie. Twój zespół wykorzystuje je następnie przy stosowaniu środków bezpieczeństwa finansowego. Taki materiał może być przydatny, ale sam zakup zestawienia nie dowodzi, że korzystasz z podmiotu trzeciego w trybie art. 47. Nie przesądza też, że doszło do powierzenia czynności z art. 48.

Podobnie jest z narzędziem: dostęp do systemu i wynik wyszukiwania nie wyjaśniają jeszcze, kto faktycznie wykonuje ustawową czynność. Ustawa nie przypisuje każdego produktu określanego jako raport, baza czy oprogramowanie do jednego modelu. Konkretny zakres usługi i umowę powinien ocenić prawnik lub osoba odpowiedzialna za zgodność z przepisami AML w instytucji.

Art. 47: korzystanie z podmiotu trzeciego w określonym zakresie

Art. 47 pozwala instytucji obowiązanej korzystać z usług podmiotu trzeciego przy stosowaniu środków wymienionych w art. 34 ust. 1 pkt 1–3. Chodzi o:

• ustalenie tożsamości klienta i jej weryfikację;
• ustalenie beneficjenta rzeczywistego oraz podjęcie uzasadnionych czynności w celu weryfikacji jego tożsamości;
• podjęcie uzasadnionych czynności w celu ustalenia struktury własności i kontroli, gdy klientem jest osoba prawna, jednostka organizacyjna nieposiadająca osobowości prawnej lub trust;
• ocenę stosunków gospodarczych i, stosownie do sytuacji, uzyskanie informacji o ich celu i zamierzonym charakterze.

Ten zakres nie obejmuje bieżącego monitorowania stosunków gospodarczych z art. 34 ust. 1 pkt 4. Z samego zastosowania art. 47 nie wynika zatem przekazanie dostawcy całego procesu AML.

Podmiot trzeci musi należeć do kategorii wskazanych w art. 47 ust. 3. Może nim być instytucja obowiązana. W przypadku podmiotów zagranicznych przepis określa warunki dotyczące obowiązków AML, stosowania środków bezpieczeństwa finansowego, przechowywania dokumentacji oraz odpowiedniego nadzoru. Dalsze ustępy przewidują ograniczenia dotyczące państw trzecich wysokiego ryzyka oraz szczególne zasady dla grup. Sama deklaracja sprzedawcy, że przygotowuje raporty AML, nie potwierdza spełnienia tych warunków.

Instytucja musi też mieć zapewnione niezwłoczne przekazanie na żądanie niezbędnych informacji i dokumentów dotyczących zastosowanych środków. Obejmuje to kopie dokumentów uzyskanych przy identyfikacji klienta i beneficjenta rzeczywistego oraz weryfikacji ich tożsamości. Samo podsumowanie w raporcie może więc nie wystarczyć do spełnienia warunku dostępu do dokumentacji.

Art. 47 ust. 2 wprost pozostawia odpowiedzialność za zastosowanie środków bezpieczeństwa finansowego po stronie instytucji obowiązanej. Spełnienie warunków korzystania z podmiotu trzeciego nie uchyla tej zasady.

Art. 48: wykonawca działający w imieniu instytucji

Art. 48 reguluje powierzenie stosowania środków bezpieczeństwa finansowego oraz prowadzenia i dokumentowania wyników bieżącej analizy transakcji, o której mowa w art. 43 ust. 3. To odrębne rozwiązanie, z własnymi warunkami.

Wykonawca działa w imieniu i na rzecz instytucji obowiązanej. Na podstawie pisemnej umowy ma być traktowany jako jej część. Ustawa dopuszcza tu osobę fizyczną, osobę prawną albo jednostkę organizacyjną bez osobowości prawnej.

Przy ocenie takiej współpracy trzeba więc zbadać zarówno umowę, jak i rzeczywistą rolę wykonawcy. Dokument zamówienia jednorazowego raportu nie oznacza automatycznie, że spełniono warunki art. 48. Również samo użycie słowa „outsourcing” w ofercie nie rozstrzyga tej kwestii. Opis czynności powinien pozwalać ustalić, co wykonawca robi w imieniu instytucji i jak jego praca wchodzi w jej proces AML.

Art. 48 ust. 2 zachowuje odpowiedzialność instytucji za zastosowanie środków bezpieczeństwa finansowego. Przy podziale pracy trzeba uwzględnić tę odpowiedzialność: wskazać osoby, które w instytucji nadzorują powierzony zakres i reagują, gdy czynność pozostaje niewykonana lub wymaga uzupełnienia.

Jak ująć współpracę we własnej procedurze

Art. 50 wymaga od instytucji obowiązanej wprowadzenia wewnętrznej procedury przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. Procedura podlega bieżącej weryfikacji oraz aktualizacji w razie potrzeby. Przed rozpoczęciem stosowania zarówno procedura, jak i jej aktualizacja wymagają akceptacji kadry kierowniczej wyższego szczebla.

Zakup usługi nie zastępuje tej procedury. W praktyce warto opisać w niej, gdzie wykorzystywany jest materiał dostawcy, kto wykonuje poszczególne czynności i jak instytucja kontroluje ich wykonanie. Jeśli raport obejmuje tylko część potrzebnych ustaleń, pozostałe zadania muszą mieć wskazanego wykonawcę.

Z kolei art. 34 ust. 3 wymaga dokumentowania zastosowanych środków bezpieczeństwa finansowego oraz wyników bieżącej analizy transakcji. Na żądanie właściwych organów instytucja ma wykazać, że zastosowała środki odpowiednie do rozpoznanego ryzyka. Raport może być częścią tej dokumentacji. Dołączenie go do akt klienta nie wyjaśnia jednak samo w sobie, jakie środki zastosowano i dlaczego odpowiadały ryzyku danej relacji.

Ustal podział zadań przed włączeniem raportu do procesu

Przygotuj dla osoby oceniającej umowę krótki opis współpracy. Powinien odpowiadać na cztery pytania:

1. Co wykonuje dostawca? Wymień konkretne czynności i ich zakres. Oddziel przekazanie danych od zastosowania określonego środka bezpieczeństwa finansowego.
2. Na jakiej podstawie korzystasz z jego pracy? Ustal, czy są spełnione warunki art. 47 albo art. 48, czy też raport służy jako materiał do czynności wykonywanych przez instytucję. Uzasadnij ocenę rzeczywistą rolą dostawcy i treścią umowy.
3. Co pozostaje do wykonania w instytucji? Przypisz zadania konkretnym osobom lub rolom. Uwzględnij uzupełnianie braków oraz czynności wykraczające poza zakres usługi.
4. Jak instytucja wykaże wykonanie obowiązku? Ustal sposób dostępu do potrzebnych dokumentów i powiązania pracy dostawcy z dokumentacją czynności oraz oceną ryzyka.

Jeżeli usługa łączy dane o PEP i sankcjach, osobno ustal zakres tych obowiązków oraz czynności objęte umową. Art. 47 nie stanowi podstawy do uznania, że cały proces PEP i sankcyjny został przekazany dostawcy. Różnicę między samymi sygnałami wyjaśnia artykuł PEP a sankcje: czym różnią się alerty.

Gotowy podział zadań powinien dać się zastosować do konkretnego klienta: wskazać wykonaną czynność, jej wykonawcę, podstawę korzystania z jego pracy i dokumentację dostępną instytucji. Jeśli opis kończy się na „kupujemy raport AML”, rola dostawcy wymaga jeszcze doprecyzowania.

Stan prawny sprawdzony na 20 października 2026 r. Artykuł ma charakter edukacyjny i nie stanowi porady prawnej dotyczącej konkretnej umowy.