Jak przygotować biuro rachunkowe do kontroli GIIF?

Kontrola AML nie sprawdza, czy biuro ma segregator z procedurą. Sprawdza, czy biuro rzeczywiście stosuje przepisy - i czy potrafi to wykazać dokumentami, które powstały w toku normalnej pracy. Dobre przygotowanie nie polega więc na porządkowaniu papierów tydzień przed wizytą kontrolerów, tylko na tym, żeby w każdej chwili dało się odtworzyć, co biuro wiedziało o kliencie, co zrobiło i dlaczego.

Kto może skontrolować biuro rachunkowe?

Kontrolę wykonywania obowiązków AML sprawuje Generalny Inspektor Informacji Finansowej. Ustawa przyznaje uprawnienia kontrolne także innym organom - w przypadku biur rachunkowych w praktyce są to przede wszystkim naczelnicy urzędów celno-skarbowych, którzy kontrolują instytucje obowiązane w ramach swoich kompetencji. GIIF koordynuje kontrole prowadzone przez inne organy.

Kontrola GIIF odbywa się na podstawie rocznych planów kontroli, zawierających m.in. wykaz kontrolowanych podmiotów, zakres kontroli i jej uzasadnienie. Możliwa jest też kontrola doraźna.

Jak przebiega kontrola?

1. Upoważnienie. Kontrolę przeprowadza co najmniej dwóch imiennie upoważnionych kontrolerów. Upoważnienie określa m.in. przedmiot i zakres kontroli, datę rozpoczęcia i przewidywany czas trwania. Czynności zaczynają się po okazaniu legitymacji służbowej i upoważnienia.
2. Czynności kontrolne. Kontrolerzy działają w siedzibie biura lub innym miejscu związanym z jego działalnością, w obecności osoby upoważnionej przez biuro. Biuro ma obowiązek zapewnić warunki do przeprowadzenia kontroli: przedstawić w wyznaczonym terminie żądane dokumenty, udzielać informacji, umożliwić sporządzanie kopii.
3. Wyjaśnienia. Z ustnych wyjaśnień sporządza się protokół, który podpisuje kontroler i osoba składająca wyjaśnienia.
4. Protokół kontroli. Po zakończeniu kontroli biuro otrzymuje protokół. Może zgłosić do niego umotywowane zastrzeżenia na piśmie lub elektronicznie - w terminie 14 dni od otrzymania protokołu.
5. Wystąpienie pokontrolne. Zawiera ocenę działalności biura, opis ustaleń, wskazanie naruszonych przepisów i zalecenia pokontrolne z terminem ich wykonania. W ciągu 30 dni od jego otrzymania biuro przesyła GIIF informację o sposobie realizacji zaleceń lub stanie ich realizacji.

W sprawach nieuregulowanych w ustawie AML stosuje się przepisy o kontroli z ustawy Prawo przedsiębiorców.

Czego szuka kontroler

Z doświadczeń autorów wynika, że w pierwszej kolejności kontrolerzy pytają o certyfikaty ze szkoleń AML wraz z programem szkolenia. Warto mieć je pod ręką od pierwszego dnia kontroli - razem z listą przeszkolonych osób.

Ministerstwo Finansów publikuje informacje o nałożonych karach administracyjnych. W opublikowanych decyzjach najczęściej powtarzają się te same braki: brak lub nieaktualna ocena ryzyka (niemal w połowie decyzji), brak lub wadliwa procedura wewnętrzna, brak szkoleń oraz niestosowanie środków bezpieczeństwa finansowego - każde w ponad jednej trzeciej decyzji. To obowiązki podstawowe, które najłatwiej uporządkować przed kontrolą.

Ustawa wymienia naruszenia, za które grozi kara administracyjna. Dla biura rachunkowego najważniejsze to niedopełnienie obowiązku:

• wyznaczenia osoby odpowiedzialnej za wykonywanie obowiązków AML,
• sporządzenia i aktualizacji oceny ryzyka biura,
• stosowania środków bezpieczeństwa finansowego, także wzmożonych w przypadkach wyższego ryzyka,
• dokumentowania zastosowanych środków i wykazania na żądanie, że były adekwatne do ryzyka,
• przechowywania dokumentacji,
• wprowadzenia procedury wewnętrznej i procedury anonimowego zgłaszania naruszeń,
• zapewnienia szkoleń,
• przekazywania zawiadomień do GIIF i zachowania w tajemnicy faktu ich przekazania.

Teczka gotowa na kontrolę

Samokontrola metodą jednej sprawy

Najlepszym testem gotowości jest przejście całej ścieżki jednego klienta tak, jak zrobi to kontroler. Wybierz losowo klienta - najlepiej takiego, który ma podwyższone ryzyko albo zmieniał strukturę - i sprawdź po kolei:

1. Czy da się pokazać, kiedy i na jakiej podstawie go zidentyfikowano?
2. Czy beneficjent rzeczywisty jest ustalony, a dane porównane z CRBR?
3. Czy poziom ryzyka ma uzasadnienie, które zrozumie osoba z zewnątrz?
4. Czy zastosowane środki odpowiadają temu poziomowi ryzyka?
5. Czy od ostatniej weryfikacji coś się zmieniło - i czy biuro na to zareagowało?
6. Czy każda decyzja ma właściciela i datę?

Na każdym etapie żądaj dowodu, a nie opisu. Jeśli czegoś nie da się pokazać, to znalazłeś lukę - lepiej teraz niż w trakcie kontroli.

Zawiadomienia do GIIF

Kontroler sprawdzi także, jak biuro postępuje z podejrzeniami. Ustawa przewiduje kilka trybów:

• okoliczności wskazujące na podejrzenie prania pieniędzy lub finansowania terroryzmu - zawiadomienie przekazuje się niezwłocznie, nie później niż w ciągu 2 dni roboczych od potwierdzenia podejrzenia,
• podejrzana transakcja przed jej przeprowadzeniem - zawiadomienie niezwłocznie, drogą elektroniczną; do czasu reakcji GIIF, nie dłużej niż 24 godziny od potwierdzenia przyjęcia, transakcji się nie przeprowadza,
• podejrzenie, że wartości majątkowe pochodzą z innego przestępstwa - zawiadomienie właściwego prokuratora.

Zawiadomienia przekazuje się przez system teleinformatyczny GIIF lub pocztą. Za ich przekazywanie odpowiada osoba wyznaczona do spraw AML.

Sygnały, które biuro widzi w księgach

GIIF wskazuje przykłady okoliczności, które mogą uzasadniać podejrzenie: transakcje niespójne z dotychczasowym sposobem działania klienta, nietypowe źródła przychodów, obroty nieproporcjonalne do zaplecza finansowego, nagły wzrost częstotliwości operacji, przelewy do i od podmiotów bez uzasadnienia ekonomicznego. Szczególną uwagę warto zwrócić na nieprawidłowości przy rachunku VAT - płacenie z niego kwot netto faktur lub pożyczek oraz celowe dzielenie płatności za jedną fakturę.

Kary

Katalog kar administracyjnych obejmuje m.in. publikację informacji o naruszeniu w Biuletynie Informacji Publicznej, nakaz zaprzestania określonych czynności, zakaz pełnienia funkcji kierowniczej przez osobę odpowiedzialną za naruszenie (do roku) oraz karę pieniężną. Wobec biura rachunkowego kara pieniężna może wynieść do dwukrotności korzyści uzyskanej w wyniku naruszenia, a jeśli nie da się jej ustalić - do równowartości 1 000 000 euro.

Co zmieni AMLR od 10 lipca 2027 r.?

Obowiązek zgłaszania podejrzeń będzie wynikał bezpośrednio z AMLR. Zgłasza się niezwłocznie, niezależnie od kwoty - także próby transakcji i sytuacje, w których nie da się zastosować środków należytej staranności wobec klienta. Na zapytanie jednostki analityki finansowej odpowiada się w ciągu 5 dni roboczych, a w pilnych przypadkach termin może zostać skrócony do mniej niż 24 godzin. Zakaz ujawniania klientowi faktu zgłoszenia i analizy pozostaje.

Tryb kontroli i wysokość kar określą polskie przepisy wdrażające dyrektywę 2024/1640. Więcej o zmianach: AMLR od 10 lipca 2027 r. - co zmienia się dla biur rachunkowych?

Stan prawny na 23 września 2026 r.