Odpowiedzialność osobista zarządu za AML. Jak wdrożyć procedury?

Przeciwdziałanie praniu pieniędzy przestało być domeną wyłącznie księgowości, a odpowiedzialność osobista zarządu za AML stała się kluczowym aspektem zarządzania ryzykiem w każdej nowoczesnej firmie. Obecnie przedsiębiorcy muszą dbać nie tylko o wdrożenie odpowiednich procedur, ale także o ich realną egzekucję, co w obliczu nadchodzących wymogów unijnych staje się strategicznym wyzwaniem dla kadry zarządzającej. W tym artykule wyjaśniamy, jak w praktyce wygląda odpowiedzialność osobista zarządu za AML oraz na co zwrócić uwagę przy wdrażaniu procedur compliance.

Zarząd ma odpowiedzialność, której nie może „oddać”

Od razu podkreślamy, że nie wystarczy powołać „compliance oficera” (lub inne analogiczne stanowisko), aby członkowie zarządu mogli uznać, że cała ich odpowiedzialność za AML w firmie została wyłączona. Obowiązująca ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu przewiduje bowiem w art. 6 obowiązek wyznaczenia kadry kierowniczej wyższego szczebla odpowiedzialnej za wykonywanie obowiązków ustawowych, a jeżeli w instytucji obowiązanej działa zarząd lub inny organ zarządzający – to zgodnie z art. 7 – należy wyznaczyć spośród jej członków osobę odpowiedzialną za wdrażanie obowiązków wynikających z ustawy.

Nie oznacza to oczywiście, że każdy członek zarządu w spółkach automatycznie odpowiada osobiście za każde uchybienie w aspekcie AML, jakie miało miejsce w firmie. Znaczenie ma zakres powierzonych obowiązków, rzeczywiste kompetencje danej osoby, możliwość wpływania na funkcjonowanie systemu oraz wiedza o występujących nieprawidłowościach.

Ryzyko osobiste pojawia się wówczas, gdy członek zarządu formalnie odpowiada za AML, ale nie zapewnia warunków pozwalających na wykonywanie tego obowiązku.

Dlaczego odpowiedzialność osobista zarządu za AML jest niezbywalna?

Najważniejszą konsekwencją przypisania obowiązków konkretnym osobom z zarządu jest to, że ustawa daje możliwość zastosowania wobec nich indywidualnej sankcji. Zgodnie z art. 154 ust. 1 ustawy AML w przypadku stwierdzenia naruszenia przez instytucję obowiązaną określonych obowiązków właściwy organ może nałożyć na osobę, o której mowa w art. 6–8 ustawy, odpowiedzialną za wykonanie obowiązków określonych w ustawie w czasie, w którym doszło do naruszenia, karę pieniężną do wysokości 1 mln zł.

Jak widać, naruszenie przepisów ustawy nie musi zakończyć się wyłącznie karą dla spółki. W określonych sytuacjach adresatem decyzji może być także konkretna osoba fizyczna odpowiedzialna za realizację obowiązków AML. Dlatego też członek zarządu wyznaczony na podstawie art. 7 ustawy powinien traktować powierzoną mu funkcję jako rzeczywistą odpowiedzialność, a nie wyłącznie formalność organizacyjną.

Odpowiedzialność karna z ustawy AML

Szczególne znaczenie dla członków zarządu wykonujących zadania AML ma również art. 156 ustawy AML. Przepis ten przewiduje odpowiedzialność karną za niedopełnienie obowiązku przekazania Generalnemu Inspektorowi zawiadomienia dotyczącego okoliczności mogących wskazywać na podejrzenie prania pieniędzy lub finansowania terroryzmu albo zawiadomienia o uzasadnionym podejrzeniu związku transakcji lub wartości majątkowych z takim procederem.

Za określone zachowania ustawa przewiduje karę pozbawienia wolności od 3 miesięcy do 5 lat. Taką samą karę przewidziano za bezprawne ujawnianie osobom nieuprawnionym informacji zgromadzonych zgodnie z ustawą lub wykorzystywanie ich niezgodnie z przepisami.

Odpowiedzialność karna za pranie pieniędzy

Odrębną kwestię stanowi odpowiedzialność karna z Kodeksu karnego. Przepis art. 299 § 1 kk penalizuje zachowania związane z przyjmowaniem, posiadaniem, używaniem, przekazywaniem, transferem, konwersją lub ukrywaniem wartości majątkowych pochodzących z korzyści związanych z popełnieniem czynu zabronionego, jeżeli działania te mogą udaremnić lub znacznie utrudnić ustalenie ich przestępnego pochodzenia. W przypadku osób zarządzających znaczenie może mieć nie tylko aktywne uczestnictwo w procederze, lecz także sposób organizacji działalności przedsiębiorstwa i konkretne zachowania danej osoby. Kara za owe przestępstwa może wynieść nawet 10 lat pozbawienia wolności.

Odpowiedzialność karna wymaga jednak spełnienia wszystkich przesłanek konkretnego typu czynu zabronionego – nie można utożsamiać każdego naruszenia procedury AML z przestępstwem prania pieniędzy czy finansowania terroryzmu.

Finansowanie terroryzmu

Odrębnym przestępstwem jest finansowanie terroryzmu (art. 165a KK). Przepis penalizuje m.in. gromadzenie, przekazywanie lub oferowanie środków albo innych wartości majątkowych w zamiarze sfinansowania przestępstwa o charakterze terrorystycznym lub innych przestępstw wskazanych w tym przepisie. Czyn ten zagrożony jest karą pozbawienia wolności od 2 do 15 lat.

Odpowiedzialność osobista zarządu za AML w praktyce wdrożeniowej

Największym błędem, jaki może popełnić członek zarządu, jest traktowanie odpowiedzialności wynikającej z ustawy AML jako wyłącznie obowiązku podpisania dokumentu zatytułowanego „Procedura wdrożenia i stosowania polityki AML”.

Procedura powinna być przede wszystkim narzędziem zarządzania ryzykiem, a nie kolejną czysto formalną czynnością do odhaczenia. Jeżeli zarząd zatwierdzi procedurę, ale nie zapewni pracownikom możliwości jej wykonania, trudno mówić o realnym i skutecznym systemie compliance. Dotyczy to w szczególności takich sytuacji, w których:

• nie zatrudniono odpowiedniej liczby osób do wdrożenia i stosowania polityki AML,
• pracownicy firmy nie zostali właściwie przeszkoleni,
• system informatyczny nie umożliwia monitorowania transakcji firmy,
• osoba odpowiedzialna za AML (compliance oficer) nie ma „dostępu” do zarządu spółki,
• zarząd ignoruje informacje o nieprawidłowościach przekazane przez pracowników spółki,
• cele sprzedażowe (cele ekonomiczne) firmy pozostają w oczywistym konflikcie z obowiązkami AML.

Odpowiedzialność zarządu powinna być oceniana również przez pryzmat tego, czy stworzono warunki do prawidłowego wykonywania obowiązków przez inne osoby w firmie, którym powierzono zadania dbania o stosowanie polityki AML.

Jak wdrożyć procedury compliance w 2026 roku?

Punktem wyjścia jest ustalenie, czy przedsiębiorstwo jest instytucją obowiązaną i jakie konkretnie przepisy mają do niego zastosowanie. Dopiero wtedy można przejść do audytu rozwiązań istniejących w spółce. Taki audyt powinien obejmować nie tylko procedury, ale także losowo wybrane przypadki klientów i transakcji. Należy w tym zakresie sprawdzić m.in.:

• czy klient został prawidłowo zidentyfikowany,
• czy ustalono beneficjenta rzeczywistego,
• czy dokonano oceny ryzyka,
• czy zastosowano właściwe środki bezpieczeństwa finansowego,
• czy monitoring był faktycznie wykonywany,
• czy czerwone flagi zostały wyjaśnione,
• czy decyzje zostały udokumentowane.

Powyższe pozwala ustalić, czy system AML rzeczywiście działa, czy jedynie został wprowadzony w spółce dla „formalności”. Jeżeli audyt został prawidłowo przeprowadzony, zarząd w następnej kolejności powinien:

1. zaktualizować ocenę ryzyka – ocena ta powinna uwzględniać klientów, produkty, usługi, transakcje i ryzyko geograficzne;
2. uporządkować odpowiedzialność – należy formalnie wskazać osoby odpowiedzialne na podstawie art. 6–8 ustawy AML;
3. zaktualizować procedurę AML – procedura powinna być napisana pod konkretną firmę, a nie stanowić uniwersalny wzór dla każdego rodzaju organizacji;
4. zbudować system monitoringu – należy zdefiniować czerwone flagi, poziomy eskalacji i zasady dokumentowania decyzji;
5. zapewnić niezależność AML oficera – osoba odpowiedzialna za AML w spółce powinna mieć możliwość przekazywania informacji bezpośrednio do osób podejmujących decyzje;
6. przeszkolić pracowników – szkolenie powinno obejmować nie tylko teorię, lecz przede wszystkim praktyczne przykłady i procedury postępowania;
7. wdrożyć testy i audyty – zarząd powinien otrzymywać informacje o skuteczności systemu i reagować na stwierdzone nieprawidłowości.

Największe ryzyko dla członków zarządu

Z punktu widzenia odpowiedzialności osobistej zarządu za AML największym ryzykiem jest wprowadzenie procedury, która nie działa – przedsiębiorstwo ma formalnie poprawną dokumentację, ale pracownicy jej nie stosują lub nie potrafią tego zrobić. Jeżeli w procedurze określono obowiązek identyfikacji klienta, ale pracownicy obchodzą ten obowiązek, problemem nie jest już brak dokumentu, a faktyczne stosowanie polityki AML.

Członek zarządu odpowiedzialny za AML powinien być w stanie wykazać nie tylko, że procedurę zatwierdził, lecz również, że zapewnił jej wdrożenie, zapewnił odpowiednie zasoby, otrzymywał informacje o ryzykach i reagował na sygnały o naruszeniach, organizował lub zlecał kontrole, a w razie potrzeby aktualizował procedury AML. Wszystko to powinno być przy tym dokumentowane. Taka dokumentacja może mieć zasadnicze znaczenie w przypadku późniejszej kontroli lub postępowania dotyczącego odpowiedzialności osoby fizycznej.