Narzędzia IT wspierające compliance w biurze rachunkowym - co warto zautomatyzować?

Przepisy AML nie wymagają od biura rachunkowego żadnego konkretnego oprogramowania. Wymagają natomiast, żeby obowiązki były wykonywane regularnie, w terminach i w sposób, który da się później wykazać. Przy kilkudziesięciu klientach arkusz kalkulacyjny i segregator jeszcze wystarczą. Przy kilkuset - zaczynają przegrywać z kalendarzem.

Najpierw proces, potem narzędzie

Najczęstszy błąd przy wdrażaniu narzędzi to zakup systemu, zanim biuro ustali, jak ma wyglądać jego proces. Narzędzie utrwala wtedy przypadkowe kategorie ryzyka, formularze skopiowane z innej branży i pola, których nikt nie rozumie.

Kolejność powinna być odwrotna: ocena ryzyka biura, procedura, formularze - a dopiero potem wybór narzędzia, które ten proces obsłuży. W małym biurze dobrze ułożony arkusz może być w pełni wystarczający. Chodzi o to, żeby każdy klient miał przypisany poziom ryzyka, datę ostatniej weryfikacji i termin kolejnej.

Jeśli biuro nie ma jeszcze oceny ryzyka i procedury, od których można zacząć, pomoże kreator procedury AML w SystemAML. Odpowiadasz na pytania o działalność biura, a kreator przygotowuje procedurę AML/CFT, analizę ryzyka i wzory dokumentów - w PDF i w wersji edytowalnej, którą dopasujesz do własnego procesu, zanim wybierzesz narzędzie.

Co dobrze poddaje się automatyzacji?

Weryfikacja klienta w rejestrach

Dane klienta weryfikuje się na podstawie dokumentu tożsamości, aktualnego wyciągu z rejestru albo innych wiarygodnych i niezależnych źródeł - w tym, jeśli są dostępne, środków identyfikacji elektronicznej i usług zaufania. Pobieranie danych z KRS, CEIDG i Centralnego Rejestru Beneficjentów Rzeczywistych oraz porównywanie ich z danymi w kartotece klienta to zadanie, które narzędzie wykona szybciej i bardziej systematycznie niż człowiek. Zwłaszcza wykrywanie rozbieżności: zmiany w zarządzie, nowi wspólnicy, różnice między KRS a CRBR.

To ważne, bo klienci często nie informują biura o zmianach. Nowy wspólnik, zmiana w zarządzie czy przeniesienie udziałów wychodzą na jaw dopiero przy okazji - a ustawa wymaga, żeby biuro w ramach bieżącego monitorowania na bieżąco aktualizowało dokumenty i informacje o kliencie. Przy kilkuset klientach ręczne śledzenie zmian w rejestrach, podobnie jak monitoring sankcyjny, trudno utrzymać w terminach.

Narzędzie nie zwalnia jednak z oceny. Biuro nie może polegać wyłącznie na danych z CRBR, a rozbieżność między rejestrem a własnymi ustaleniami o beneficjencie rzeczywistym musi odnotować i wyjaśnić, a jeśli się potwierdzi - zgłosić do organu prowadzącego rejestr. System może rozbieżność wskazać, ale jej wyjaśnienie należy do biura.

Zdalna weryfikacja tożsamości reprezentantów

Biuro musi zweryfikować tożsamość nie tylko klienta, ale też osób działających w jego imieniu - członków zarządu i pełnomocników - oraz sprawdzić ich umocowanie. To jedno z największych wyzwań w biurach rachunkowych: współpraca coraz częściej zaczyna się zdalnie, a reprezentanci klienta nie przychodzą do biura. Skan dowodu przesłany mailem nie potwierdza, że dokument należy do osoby, z którą biuro się kontaktuje.

Rozwiązaniem jest zdalna weryfikacja z użyciem środków identyfikacji elektronicznej lub usług zaufania. W praktyce biur rachunkowych wchodzą w grę:

• profil zaufany - środek identyfikacji elektronicznej wydawany w publicznym systemie identyfikacji elektronicznej,
• profil mObywatel - również środek identyfikacji elektronicznej; podmiot prywatny, taki jak biuro rachunkowe, może z niego korzystać po uzyskaniu zgody Ministerstwa Cyfryzacji,
• kwalifikowany podpis elektroniczny - usługa zaufania, której skutki prawne określa rozporządzenie eIDAS,
• wideoweryfikacja - rozmowa wideo, podczas której sprawdza się dokument tożsamości i porównuje go z wizerunkiem osoby.

Wideoweryfikacja nie jest środkiem identyfikacji elektronicznej ani usługą zaufania, tylko weryfikacją na podstawie dokumentu i danych z wiarygodnego źródła. GIIF dopuszcza wgląd w dokumenty przez wideorozmowę, ale przy weryfikacji bez fizycznej obecności klienta zaleca oparcie się na co najmniej dwóch różnych dokumentach lub informacjach z wiarygodnych i niezależnych źródeł, w tym dokumencie tożsamości. Narzędzie KYC przeprowadza reprezentanta przez weryfikację i zapisuje jej wynik w dokumentacji klienta.

Listy sankcyjne

Biuro jako instytucja obowiązana stosuje szczególne środki ograniczające - zamrożenie wartości majątkowych i ich nieudostępnianie - wobec osób i podmiotów z list ogłaszanych przez Generalnego Inspektora Informacji Finansowej. Niezależnie od tego, jak każdy przedsiębiorca, musi przestrzegać sankcji unijnych i krajowych, w tym z listy MSWiA prowadzonej na podstawie ustawy z 13 kwietnia 2022 r., na którą GIIF zwraca uwagę w komunikacie dla biur rachunkowych. GIIF zaleca sprawdzanie klientów i ich beneficjentów rzeczywistych przed nawiązaniem współpracy oraz okresowo. Od 10 lipca 2027 r. AMLR wymaga regularnej weryfikacji, z częstotliwością proporcjonalną do ryzyka, obejmującej także spółki kontrolowane przez osoby z listy albo należące do nich w ponad 50%. Szerzej piszemy o tym w artykule Listy sankcyjne - czy mała firma musi sprawdzać kontrahentów.

Listy zmieniają się często, a zakazy obowiązują od chwili wpisu na listę, nie od najbliższego przeglądu klienta. Ręczne przeszukiwanie kilku źródeł dla każdego klienta po każdej aktualizacji jest żmudne. Narzędzie może sprawdzać całą bazę klientów automatycznie przy każdej zmianie list i sygnalizować trafienia do weryfikacji przez człowieka.

Status PEP

Biuro ustala, czy klient lub jego beneficjent rzeczywisty jest osobą zajmującą eksponowane stanowisko polityczne, według procedur opartych na analizie ryzyka. Może przyjąć od klienta oświadczenie złożone pod rygorem odpowiedzialności karnej, ale oświadczenie nie zawsze wystarczy - zwłaszcza gdy klient mógł nie wiedzieć o powiązaniu rodzinnym albo sytuacja zmieniła się w trakcie współpracy. Narzędzie korzystające z bazy PEP pozwala sprawdzać status okresowo i wykrywać zmiany, ale trafienie, tak jak na listach sankcyjnych, trzeba zweryfikować.

Terminy przeglądów i aktualizacji

Każdy klient powinien mieć zaplanowany kolejny przegląd. Dziś ustawa AML wymaga, żeby dokumenty i informacje o kliencie były aktualizowane na bieżąco, ale nie określa terminów. Od 10 lipca 2027 r. AMLR wprowadza maksymalne odstępy między aktualizacjami informacji o kliencie: rok przy klientach o podwyższonym ryzyku, wobec których stosuje się wzmożone środki należytej staranności, i pięć lat przy pozostałych. Niezależnie od tych terminów informacje trzeba przejrzeć, gdy zmienią się istotne okoliczności dotyczące klienta albo biuro dowie się o istotnym fakcie, który go dotyczy. Przypomnienia, lista zaległości i raport „klienci bez aktualnej weryfikacji” pomagają dotrzymać tych terminów i wykazać to w kontroli.

Archiwum i retencja dokumentów

Dokumenty i informacje uzyskane przy stosowaniu środków bezpieczeństwa finansowego przechowuje się przez 5 lat od dnia zakończenia współpracy z klientem, a wyniki analiz transakcji - przez 5 lat od dnia ich przeprowadzenia. Od 10 lipca 2027 r. termin liczy się także od odmowy nawiązania współpracy, a po jego upływie dane osobowe trzeba usunąć. Wyjątkiem jest sytuacja, w której właściwy organ w indywidualnym przypadku zażąda dalszego przechowywania - maksymalnie przez kolejne 5 lat.

Dobre archiwum:

• przypisuje każdemu dokumentowi datę, źródło i osobę, która go dodała,
• nie pozwala na niezauważoną zmianę lub usunięcie dokumentu,
• wylicza termin retencji i przypomina o usunięciu danych,
• pozwala szybko odnaleźć komplet dokumentów klienta na żądanie kontrolera.

Notatki z decyzji

Narzędzie powinno ułatwiać zapisanie nie tylko dokumentów, ale też uzasadnienia: dlaczego klient ma taki poziom ryzyka, dlaczego zastosowano takie środki, dlaczego nie złożono zawiadomienia. Kontroler ocenia, czy tok decyzji da się odtworzyć - a tego nie zapewni sam skan dowodu osobistego. Od 10 lipca 2027 r. AMLR wprost wymaga przechowywania dokumentacji oceny nietypowej transakcji - wraz z uwzględnionymi informacjami i wynikiem - także wtedy, gdy ocena nie kończy się zgłoszeniem (art. 77 ust. 1 lit. b).

Gdzie decyzja musi zostać po stronie człowieka?

Automatyzacja powinna przygotowywać decyzje, a nie je podejmować. Odmowa przyjęcia klienta, rozwiązanie umowy, przypisanie podwyższonego ryzyka czy zawiadomienie GIIF wymagają oceny osoby, która zna klienta i kontekst. System może wskazać sygnał - na przykład płatności od podmiotów niezwiązanych z klientem albo obroty nieproporcjonalne do skali działalności - ale ocena, czy podejrzenie jest uzasadnione, należy do człowieka.

AMLR potwierdza to wprost. Od 10 lipca 2027 r. biuro może zlecić dostawcy część zadań, ale nie może zlecić m.in. decyzji o profilu ryzyka klienta, decyzji o nawiązaniu współpracy, zgłaszania podejrzanych transakcji do jednostki analityki finansowej ani zatwierdzania kryteriów wykrywania nietypowych transakcji (art. 18 ust. 3 AMLR).

Sztuczna inteligencja w biurze

Narzędzia AI mogą pomóc w analizie dokumentów czy przygotowaniu notatek, ale wklejenie danych klienta do publicznie dostępnego czatu to przekazanie ich zewnętrznemu podmiotowi - bez umowy powierzenia przetwarzania danych, bez kontroli nad tym, jak zostaną wykorzystane, i bez śladu w dokumentacji biura. Warto ustalić prostą zasadę: z jakich narzędzi AI można korzystać i jakich danych nie wolno do nich wprowadzać.

Jak wybrać narzędzie?

---

Autor artykułu jest współtwórcą SystemAML.pl - narzędzia wspierającego biura rachunkowe w realizacji obowiązków AML. System ma moduł KYC do zdalnej weryfikacji tożsamości klientów i ich reprezentantów - przez profil zaufany, kwalifikowany podpis elektroniczny lub wideoweryfikację, a w biurach, które uzyskały zgodę Ministerstwa Cyfryzacji, także przez mObywatel.

Stan prawny na 27 września 2026 r.