Ocena ryzyka klienta - jak to zrobić krok po kroku?

Biuro rachunkowe nie może traktować wszystkich klientów tak samo. Przepisy AML wymagają, by rozpoznać ryzyko związane z każdym klientem, ocenić jego poziom i dobrać do niego zakres środków bezpieczeństwa. Ocena ma być udokumentowana - w razie kontroli biuro musi wykazać nie tylko, że ją przeprowadziło, ale też dlaczego doszło do takiego, a nie innego wniosku.

Poniżej opisujemy proces w ośmiu krokach według obecnej ustawy AML. Tam, gdzie od 10 lipca 2027 r. zmienią się zasady, zaznaczamy to osobno - pełne omówienie zmian znajdziesz w artykule AMLR od 10 lipca 2027 r. - co zmienia się dla biur rachunkowych?.

Dwie oceny, które łatwo pomylić

W biurze funkcjonują dwie różne oceny ryzyka:

• ocena ryzyka biura - dotyczy całej działalności: jakich klientów obsługujemy, jakie usługi świadczymy, w jakich branżach i krajach działamy. Sporządza się ją na piśmie lub elektronicznie i aktualizuje w razie potrzeby, nie rzadziej niż co 2 lata,
• ocena ryzyka klienta - dotyczy konkretnej współpracy i odpowiada na pytanie, czy ten klient mieści się w profilu, który biuro akceptuje, i jakie środki trzeba wobec niego zastosować.

Obie oceny muszą być ze sobą powiązane. Jeżeli ocena ryzyka biura wskazuje na przykład, że podwyższone ryzyko niosą spółki z zagranicznym wspólnikiem, formularz przyjęcia klienta powinien o to pytać, a klient z taką strukturą - automatycznie trafiać do szczegółowej analizy.

Jeżeli biuro nie ma jeszcze oceny ryzyka ani procedury, od której może się odbić ocena klienta, zacznij od nich. Pomoże w tym kreator procedury AML w SystemAML: na podstawie odpowiedzi o działalności biura przygotowuje analizę ryzyka i procedurę AML/CFT, a także wzór karty klienta. Wygenerowane dokumenty trzeba jeszcze przejrzeć i dopasować do praktyki biura, ale nie zaczynasz od pustej kartki.

Krok 1. Ustal, czy trzeba zastosować środki

Środki bezpieczeństwa finansowego stosuje się przede wszystkim przy nawiązywaniu stosunków gospodarczych - a tak jest w przypadku umowy o prowadzenie ksiąg. Ponadto m.in. przy transakcji okazjonalnej od równowartości 15 000 euro, przy podejrzeniu prania pieniędzy lub finansowania terroryzmu oraz przy wątpliwościach co do prawdziwości lub kompletności danych klienta.

Obowiązek nie kończy się na podpisaniu umowy. Wobec obecnych klientów stosuje się środki ponownie, gdy zmienia się charakter lub okoliczności współpracy.

Krok 2. Zidentyfikuj i zweryfikuj klienta

Identyfikacja to zebranie danych klienta, a weryfikacja - potwierdzenie ich na podstawie dokumentu lub wiarygodnego źródła. Dla spółki źródłem będą m.in. odpis z KRS i dokumenty wskazujące osoby uprawnione do reprezentacji. Dla przedsiębiorcy - dane z CEIDG i dokument tożsamości.

Nie zapomnij o osobach, które działają w imieniu klienta. Biuro identyfikuje je, weryfikuje ich tożsamość i sprawdza umocowanie - dotyczy to zarówno członków zarządu reprezentujących spółkę, jak i pełnomocników.

W praktyce to jeden z trudniejszych obowiązków w biurze rachunkowym. Umowę często podpisuje się zdalnie, a reprezentanci klienta nigdy nie pojawiają się w biurze osobiście. Weryfikacja na podstawie przesłanego skanu dowodu nie daje pewności, że dokument należy do osoby, z którą biuro ma kontakt. Ustawa pozwala oprzeć weryfikację na wiarygodnych i niezależnych źródłach, w tym na środkach identyfikacji elektronicznej i usługach zaufania. W praktyce zdalnie można to zrobić przez profil zaufany, mObywatel, kwalifikowany podpis elektroniczny albo weryfikację dokumentu tożsamości online. Takie metody są pewniejsze od skanu i zostawiają ślad w dokumentacji.

Krok 3. Ustal beneficjenta rzeczywistego

Beneficjent rzeczywisty to osoba fizyczna, która sprawuje kontrolę nad klientem - przez udziały, głosy lub w inny sposób, na przykład na podstawie umów. W spółkach punktem wyjścia jest próg własności: według obecnej ustawy więcej niż 25% udziałów lub głosów.

Informacje z Centralnego Rejestru Beneficjentów Rzeczywistych są punktem odniesienia, ale nie jedynym źródłem. Porównaj je z umową spółki, listą wspólników i tym, co wiesz o kliencie. Jeśli dane się różnią, odnotuj rozbieżność, spróbuj ją wyjaśnić, a po jej potwierdzeniu przekaż informację do organu właściwego w sprawach rejestru.

Jeżeli ustalenie beneficjenta rzeczywistego okazało się niemożliwe albo są wątpliwości co do tożsamości osób sprawujących kontrolę - a biuro nie stwierdziło podejrzeń prania pieniędzy - obecna ustawa pozwala wskazać osobę zajmującą wyższe stanowisko kierownicze. Warunkiem jest udokumentowanie, dlaczego beneficjenta nie udało się ustalić i jakie czynności podjęto.

Krok 4. Poznaj cel i charakter współpracy

Biuro powinno rozumieć, czym zajmuje się klient i czego oczekuje od biura. W praktyce wystarczy krótka notatka lub ankieta: przedmiot działalności, skala obrotów, główni kontrahenci i kraje, w których działa, forma rozliczeń (w tym udział gotówki) oraz zakres zleconych usług.

Te informacje są potrzebne nie tylko do oceny ryzyka na starcie. Stanowią punkt odniesienia dla późniejszego monitorowania - bez nich trudno zauważyć, że coś odbiega od normy.

Krok 5. Oceń poziom ryzyka i zapisz uzasadnienie

Ustawa wymienia czynniki, które trzeba uwzględnić przy ocenie ryzyka klienta: rodzaj klienta, obszar geograficzny, rodzaj usług i sposób ich świadczenia, poziom wartości majątkowych lub transakcji oraz cel, regularność i czas trwania współpracy.

Wygodnym narzędziem jest prosta matryca. Poniższy przykład trzeba dopasować do oceny ryzyka własnego biura:

Czynnik	Niższe ryzyko	Podwyższone ryzyko
Klient	przedsiębiorca krajowy, prosta struktura	złożona lub nietypowa struktura własności, spółka bez widocznej działalności
Geografia	działalność w Polsce i UE	powiązania z państwami wysokiego ryzyka
Działalność	typowa dla branży, rozliczenia bezgotówkowe	znaczny udział gotówki, branże szczególnie narażone
Transakcje	zgodne ze skalą działalności	płatności od niepowiązanych osób trzecich, nietypowo wysokie kwoty
Współpraca	stały klient, przejrzyste zlecenie	nietypowe okoliczności nawiązania współpracy, pośpiech, niechęć do przekazania informacji

Wynik to przypisany poziom ryzyka - na przykład niski, standardowy lub podwyższony - wraz z krótkim uzasadnieniem. Samo „ryzyko: niskie” bez wskazania powodów nie wystarczy. Kontroler powinien móc odtworzyć, na jakiej podstawie biuro doszło do wniosku.

Krok 6. Dobierz zakres środków do ryzyka

Poziom ryzyka decyduje o intensywności działań:

• uproszczone środki - można je stosować, gdy ocena ryzyka potwierdziła niższe ryzyko. Ustawa wskazuje przykłady takich klientów, np. jednostki sektora finansów publicznych czy spółki z większościowym udziałem Skarbu Państwa,
• standardowe środki - dla większości klientów biura,
• wzmożone środki - obowiązkowe w przypadkach wyższego ryzyka i w sytuacjach wskazanych w ustawie, m.in. przy osobach zajmujących eksponowane stanowiska polityczne i ich otoczeniu oraz przy powiązaniach z państwami wysokiego ryzyka.

O wyższym ryzyku może świadczyć m.in. nawiązanie współpracy w nietypowych okolicznościach, działalność klienta oparta na znacznej liczbie transakcji gotówkowych, nietypowa lub nadmiernie złożona struktura własności albo korzystanie z rozwiązań sprzyjających anonimowości. Wzmożone środki mogą obejmować m.in. zebranie dodatkowych informacji o kliencie i beneficjencie, ustalenie źródła pochodzenia środków, zgodę osoby na stanowisku kierowniczym na współpracę i częstsze monitorowanie.

Krok 7. Monitoruj i aktualizuj

Ocena ryzyka nie jest jednorazowa. Biuro ma szczególną przewagę - widzi dokumenty księgowe klienta, więc może zauważyć transakcje niezgodne z profilem działalności: nagłe przepływy od podmiotów niezwiązanych z branżą, obrót nieadekwatny do skali czy nietypowe pożyczki od osób trzecich.

Ustawa wprost wymaga reakcji na transakcje skomplikowane, opiewające na nieuzasadnione wysokie kwoty, przeprowadzane w nietypowy sposób lub pozbawione uzasadnienia prawnego albo gospodarczego. Biuro powinno wtedy wyjaśnić okoliczności takiej transakcji i zintensyfikować monitorowanie współpracy z klientem.

Aktualizację uruchamiają zdarzenia, a nie tylko kalendarz: zmiana wspólników lub zarządu, nowy profil działalności, wejście na nowe rynki, informacja o sankcjach czy postępowaniu wobec klienta.

Krok 8. Gdy nie da się zastosować środków

Jeżeli biuro nie może zastosować któregoś z wymaganych środków - na przykład klient odmawia wskazania beneficjenta rzeczywistego - nie nawiązuje współpracy, a jeśli już ją prowadzi, rozwiązuje ją. Dodatkowo trzeba ocenić, czy ta sytuacja nie jest podstawą do zawiadomienia Generalnego Inspektora Informacji Finansowej.

Odmowę i jej powody warto udokumentować. Od 10 lipca 2027 r. AMLR wprost wymaga przechowywania dokumentacji przez 5 lat także od dnia odmowy nawiązania współpracy.

---

Autor artykułu jest współtwórcą SystemAML.pl - narzędzia wspierającego biura rachunkowe w realizacji obowiązków AML, w tym w przygotowaniu oceny ryzyka i procedury AML.

Stan prawny na 23 września 2026 r.