Table of contents
- Czym jest ocena ryzyka AML i dlaczego jest obowiązkowa?
- Kto musi przygotować ocenę ryzyka na piśmie?
- Cztery wymagane obszary oceny ryzyka zgodnie ze Wytyczną FIU nr 11
- Ryzyko nieodłączne a rezydualne: kluczowe rozróżnienie
- Macierz ryzyka: jak obliczany jest ostateczny wynik ryzyka?
- Jak wynik ryzyka wpływa na obsługę klienta?
- Zastosuj się lub wyjaśnij: dlaczego "klient ma niskie ryzyko" to za mało
- Kiedy i jak należy aktualizować ocenę ryzyka?
- Najczęstsze błędy w ocenach ryzyka według KNF
- Co ocena ryzyka musi udowodnić podczas kontroli KNF — lista kontrolna
- Jak ocena ryzyka wygląda w praktyce: agent nieruchomości vs księgowy
- Co NRA 2020–2024 mówi o ryzykach sektora niefinansowego?
- Często zadawane pytania dotyczące oceny ryzyka
Czym jest ocena ryzyka AML i dlaczego jest obowiązkowa?
Ocena ryzyka prania pieniędzy i finansowania terroryzmu (ML/TF) to obowiązek ustawowy wynikający z przepisów ustawy AML. Jest to wewnętrzny dokument analityczny, w którym podmiot zobowiązany identyfikuje i ocenia ryzyko wynikające z jego klientów, produktów, modelu operacyjnego i ekspozycji geograficznej.
Ocena ryzyka nie jest formalnością. Jest fundamentem, na którym musi opierać się cały system wewnętrznych polityk AML. Bez niej wewnętrzne polityki nie mogą być prawidłowo skonfigurowane, a procedury identyfikacji klientów i due diligence nie mogą być oparte na ryzyku.
Prawo nie określa stałego szablonu. Jednak Wytyczna Metodologiczna FIU nr 11, obowiązująca od 5 września 2025 r. i skierowana głównie do niefinansowalnych podmiotów zobowiązanych, określa minimalną zawartość i metodologię oczekiwaną od oceny ryzyka.
Kto musi przygotować ocenę ryzyka na piśmie?
Obowiązek przygotowania pisemnej oceny ryzyka dotyczy zawartych podmiotów zobowiązanych na mocy art. 21a ust. 2 ustawy AML — tej samej grupy, która musi mieć pisemne wewnętrzne polityki AML:
| Rodzaj podmiotu zobowiązanego | Pisemna ocena ryzyka |
|---|---|
| Instytucje kredytowe — art. 2/1/a | Obowiązkowa |
| Instytucje finansowe — art. 2/1/b | Obowiązkowa* |
| Operatorzy gier hazardowych — art. 2/1/c | Obowiązkowa* |
| Pośrednicy w obrocie nieruchomościami, licytatorzy — art. 2/1/d | Obowiązkowa* |
| Dostawcy usług powierniczych i korporacyjnych — art. 2/1/h | Obowiązkowa* |
| Księgowi, doradcy podatkowi, biegłych rewidentów — art. 2/1/e | Nieobowiązkowa na piśmie — zdecydowanie zalecana |
| Prawnicy, notariusze — art. 2/1/g | Nieobowiązkowa na piśmie — zdecydowanie zalecana |
*Wyjątek obowiązuje, jeśli nie ma pracowników lub działalność AML jest wykonywana wyłącznie dla jednego innego podmiotu zobowiązanego (art. 21 ust. 3 i 4 ustawy AML).
Ocena ryzyka musi być zatwierdzona przez organ statutowy podmiotu zobowiązanego i utrzymywana na bieżąco.
Cztery wymagane obszary oceny ryzyka zgodnie ze Wytyczną FIU nr 11
Wytyczna FIU nr 11 definiuje cztery obszary, w których podmiot zobowiązany musi zidentyfikować czynniki ryzyka ML/TF. Każdy obszar musi być rozpatrywany konkretnie, a nie poprzez stwierdzenia ogólnikowe.
Obszar 1: Klient i stosunki biznesowe
Rodzaj klienta jest najsilniejszym czynnikiem ryzyka. Ocena musi rozróżniać między osobami fizycznymi, przedprinciorstwami, osobami prawnymi, osobistościami politycznymi, obywatelami krajów trzecich, klientami z krajów wysokiego ryzyka i klientami o niezwykłym zachowaniu. Musi również rozpatrywać cel, regularność i czas trwania stosunku biznesowego.
Obszar 2: Produkty i usługi
Każdy produkt lub usługa musi być oceniony poprzez wyjaśnienie, jak mogłyby być konkretnie niewłaściwie wykorzystane do prania pieniędzy. Nie wystarczy stwierdzić, że produkt jest ryzykowny. Ocena musi opisywać scenariusz niewłaściwego wykorzystania i kontrole zmniejszające ryzyko.
Obszar 3: Ryzyko geograficzne
Ocena uwzględnia pochodzenie klienta, lokalizacje płatności i lokalizacje operacyjne. Kraje wysokiego ryzyka to te wymienione przez FATF i UE. Geografia wpływa zarówno na kategoryzację klientów, jak i na sygnały ostrzegawcze w transakcjach.
Obszar 4: Kanały dystrybucji
Sposób komunikacji podmiotu zobowiązanego z klientami i zawierania transakcji jest osobnym czynnikiem ryzyka. Identyfikacja zdalna, kanały internetowe i pośredni kontakt zwiększają ryzyko w porównaniu z bezpośrednią obecnością klienta.
Ryzyko nieodłączne a rezydualne: kluczowe rozróżnienie
Wytyczna FIU nr 11 wyróżnia dwa rodzaje ryzyka, które muszą być ujęte:
- Ryzyko nieodłączne to poziom ryzyka prania pieniędzy/finansowania terroryzmu przed zastosowaniem jakichkolwiek środków łagodzących. Jest to surowe ryzyko wynikające z charakteru klienta, produktu lub modelu operacyjnego.
- Ryzyko rezydualne to ryzyko pozostające po zastosowaniu środków AML. Ryzyko rezydualne równa się ryzyku nieodłącznemu minus efekt kontroli.
Praktyczny przykład: klient będący obywatelem zagranicznym przebywający w wysokorizykownym kraju trzecim ma wysokie ryzyko nieodłączne. Po przeprowadzeniu wzmocnionej analizy due diligence zgodnie z art. 9a, weryfikacji źródła środków i monitoringu bieżącego, ryzyko rezydualne może spaść do poziomu średniego lub akceptowalnego. To rozumowanie musi być wykazalne w ocenie ryzyka.
Are you subject to AML?
Enter your company ID (IČO) and instantly find out whether you're subject to AML regulations
Macierz ryzyka: jak obliczany jest ostateczny wynik ryzyka?
Wytyczna FIU nr 11 rekomenduje ocenę ryzyk na skali trzech lub czterech poziomów. AML PROOF implementuje tę logikę poprzez model WAR (Weighted Average Risk – ważona średnia ryzyka), która jest średnią ważoną czynników ryzyka obliczaną automatycznie dla każdej weryfikacji klienta.
| Niski wpływ | Średni wpływ | Wysoki wpływ | |
|---|---|---|---|
| Niska prawdopodobieństwo | Niskie | Niskie | Średnie |
| Średnie prawdopodobieństwo | Niskie | Średnie | Wysokie |
| Wysokie prawdopodobieństwo | Średnie | Wysokie | Wysokie |
Każdy klient otrzymuje ostateczny wynik WAR łączący cztery obszary: klienta, produkt, geografię i kanał dystrybucji. Wagi czynników są ustalane zgodnie z Krajową Oceną Ryzyka (NRA, zatwierdzoną Uchwałą Rady Ministrów nr 3 z 5 stycznia 2026) i wskazówkami FIU.
Ostateczny wynik ryzyka umieszcza klienta w jednej kategorii:
- Ryzyko niskie — proces standardowy, z możliwością uproszczonej analizy due diligence zgodnie z art. 13.
- Ryzyko średnie — proces standardowy ze wzmożoną uwagą podczas monitoringu bieżącego.
- Ryzyko wysokie — wyzwala wzmocnioną analizę due diligence (EDD) zgodnie z art. 9a.
- Ryzyko niedopuszczalne — odmowa transakcji lub rozwiązanie relacji biznesowej zgodnie z art. 15.
Jak wynik ryzyka wpływa na obsługę klienta?
Wynikowy wynik to nie tylko liczba wewnętrzna. Bezpośrednio określa on zakres obowiązków przy pracy z konkretnym klientem:
Wynik niski i średni (przypadek standardowy)
Identyfikacja została przeprowadzona prawidłowo zgodnie z art. 7–8, due diligence zgodnie z art. 9, klient działa na własny rachunek, nie ma żadnych trafień dotyczących VIP-ów lub sankcji, a źródło środków jest jasne. Przypadek może być sfinalizowany przez przeszkolonego pracownika.
Wynik wysoki (EDD – wzmocniona analiza due diligence)
Proces rozszerzony zgodnie z sekcją 9a jest uruchamiany automatycznie. Każdy pracownik może rozpocząć EDD, ale zatwierdzenie lub odrzucenie musi dokonać wyznaczona osoba (MLRO), zgodnie z wymogami sekcji 9a(3)(d).
Sankcje lub trafienie na listę PEP
Częściowe dopasowanie (NON_CRITICAL_HIT) może zostać rozwiązane przez zwykłego pracownika. Pełne dopasowanie (MAJOR_HIT) wymaga decyzji MLRO i często prowadzi do zgłoszenia podejrzanej transakcji.
Zastosuj się lub wyjaśnij: dlaczego "klient ma niskie ryzyko" to za mało
Wytyczna KNF nr 11 wprowadza zasadę stosuj się lub wyjaśnij w ocenie ryzyka. Dla każdego czynnika ryzyka podmiot zobowiązany musi wykazać, że jego kontrole wystarczająco ograniczają ryzyko, lub wyjaśnić, dlaczego ocenia dany czynnik niżej w swoich konkretnych okolicznościach.
W praktyce KNF odrzuca oceny zawierające tylko ogólnikowe stwierdzenia typu "naszymi klientami są osoby o niskim ryzyku". Prawidłowa ocena ryzyka musi obejmować:
- Konkretny scenariusz niewłaściwego wykorzystania dla każdego typu klienta lub produktu.
- Wyjaśnienie, dlaczego wybrane kontrole wystarczająco pokrywają scenariusz.
- W przypadku kategorii niskiego ryzyka szczegółowe wyjaśnienie, dlaczego klient lub produkt ma rzeczywiście niskie ryzyko.
Jeśli ocena nie zawiera wystarczającego uzasadnienia, KNF może ją odrzucić jako nieadekwatną i nałożyć środki naprawcze lub wszcząć postępowanie w sprawie wykroczenia administracyjnego.
Kiedy i jak należy aktualizować ocenę ryzyka?
Ocena ryzyka nie jest dokumentem jednorazowym. Sekcja 21a wymaga od podmiotów zobowiązanych regularnego jej aktualizowania, a Wytyczna KNF nr 11 określa wyzwalacze:
Aktualizacja jest wymagana, gdy:
- NRA jest wydana lub aktualizowana i dotyczy działalności podmiotu zobowiązanego.
- KNF wydaje nowe wytyczne metodologiczne lub zostaje zaktualizowana krajowa ocena ryzyka UE.
- Uruchamiane są nowe produkty lub usługi.
- Wprowadzane są nowe technologie, które mogą wpłynąć na ryzyko prania pieniędzy/finansowania terroryzmu.
- Zmienia się model biznesu lub portfel klientów.
Jak przeprowadzić aktualizację:
- Przeanalizuj, czy istniejące kategorie ryzyka nadal odzwierciedlają rzeczywistość.
- Zaktualizuj wyniki ryzyka tam, gdzie zmieniły się okoliczności.
- Udokumentuj przyczyny i datę zmiany.
- Uzyskaj zatwierdzenie aktualizacji od organu statutowego.
- Przeszkolij pracowników na temat wszelkich zmian zgodnie z sekcją 23(3).
Najczęstsze błędy w ocenach ryzyka według KNF
Wytyczna KNF nr 11 i praktyka nadzorcza wielokrotnie identyfikują te niedostatki:
- Ocena szablonowa bez indywidualizacji: dokument skopiowany z internetu lub wygenerowany bez zrozumienia modelu biznesu.
- Brak oceny kanału dystrybucji: kanały zdalne i pośrednie są często pomijane.
- Brak powiązania między oceną ryzyka a polityką wewnętrzną: ocena oznacza klienta jako wysokiego ryzyka, ale polityka nie zawiera odpowiedniej procedury.
- Nieaktualna ocena: brak aktualizacji po wydaniu nowej NRA lub Wytycznej KNF nr 11.
- Nieuzasadnione kategorie niskiego ryzyka: szerokie stwierdzenia, że wszyscy klienci mają niskie ryzyko bez analizy stosuj się lub wyjaśnij.
Co ocena ryzyka musi udowodnić podczas kontroli KNF — lista kontrolna
Podczas kontroli KNF ocenia nie tylko to, czy ocena ryzyka istnieje, ale czy jej wnioski są możliwe do wykazania. Sprawdź, czy twój dokument byłby w stanie wytrzymać:
Wymagania formalne
- Ocena ryzyka jest częścią pisemnych wewnętrznych polityk AML lub jest do nich wyraźnie połączona.
- Dokument jest zatwierdzony przez organ statutowy (podpis + data).
- Dostępna jest poprzednia wersja z datą aktualizacji i uzasadnieniem zmiany.
- Ocena odzwierciedla aktualną NRA zatwierdzoną Uchwałą Rady Ministrów nr 3 z dnia 5 stycznia 2026 r.
Treść — cztery obszary
- Klient: czy rozróżniane są kategorie klientów i czy każdy wynik jest uzasadniony?
- Produkt/usługa: czy dla każdego produktu opisany jest konkretny scenariusz niewłaściwego wykorzystania ML/TF?
- Geografia: czy państwa trzecie wysokiego ryzyka są odzwierciedlone zarówno w kategoryzacji klientów, jak i w sygnałach ostrzegawczych dotyczących transakcji?
- Kanał dystrybucji: czy identyfikacja zdalna jest rozróżniana od identyfikacji osobistej?
Kategoryzacja ryzyka
- Czy każdej kategorii klientów przypisana jest ocena ryzyka?
- Czy kategorie niskiego ryzyka zawierają zgodę lub uzasadnienie rozumowania?
- Czy kategorie niskiego ryzyka są wspierane analizą, a nie tylko twierdzeniami?
Powiązanie z polityką i praktyką
- Wewnętrzne polityki zawierają procedurę dopasowania dla każdej kategorii ryzyka.
- Środki łagodzące są konkretne, a nie tylko "zwiększony monitoring".
- Określony jest przedział aktualizacji.
Jak ocena ryzyka wygląda w praktyce: agent nieruchomości vs księgowy
Ocena ryzyka musi odzwierciedlać konkretny sektor. Poniżej znajdują się kluczowe różnice między dwoma powszechnymi typami podmiotów zobowiązanych niefinansowych:
Agent nieruchomości (artykuł 2 ust. 1 lit. d ustawy AML)
Według NRA 2020–2024 sektor nieruchomości to obszar średniego do wysokiego ryzyka. Typowe czynniki obejmują:
| Obszar | Typowe ryzyko | Zalecana ocena |
|---|---|---|
| Klient — jednostka prawna z nieprzejrzystą właściwością | Ukrywanie rzeczywistego właściciela | Wysokie |
| Klient — obcokrajowiec z jurysdykcji wysokiego ryzyka | Pranie pieniędzy transgranicznego | Wysokie |
| Klient — kupujący płacący pełną cenę w gotówce | Pranie pieniędzy oparte na gotówce | Wysokie do niedopuszczalne powyżej EUR 10 000 |
| Produkt — pośrednictwo sprzedaży nieruchomości | Zawyżanie lub zaniżanie ceny | Średnie |
| Geografia — klient z regionu postsowieckiego | Pranie pieniędzy poprzez rynek nieruchomości | Wysokie |
| Kanał dystrybucji — identyfikacja zdalna bez osobistego kontaktu | Ryzyko kradzieży tożsamości | Średnie do wysokie |
Kluczowy obowiązek EDD: określenie źródła środków wykorzystanych do zakupu i podjęcie rozsądnych środków w celu ustalenia pochodzenia aktywów zgodnie z sekcją 9(2)(e) i (f).
Księgowy (sekcja 2(1)(e) ustawy AML)
Księgowi nie są prawnie zobowiązani do posiadania pisemnej oceny ryzyka, ale FIU zwykle jej oczekuje podczas inspekcji i traktuje jej brak jako czynnik zaostrzający. Typowe czynniki obejmują:
| Obszar | Typowe ryzyko | Rekomendowany wynik |
|---|---|---|
| Klient — jednostka prawna specjalnie przeznaczona | Nadużycie w strukturach ML | Wysokie |
| Klient — jednoosobowy działalność gospodarczą z nieprzejrzystą strukturą dochodów | Ukrywanie źródeł dochodów | Średnie |
| Produkt — księgowość dla klienta intensywnie korzystającego z gotówki | Ukrywanie pochodzenia środków | Wysokie |
| Produkt — doradztwo podatkowe w przypadku transakcji zagranicznych | Przestępstwo podatkowe + ML | Średnie |
| Geografia — transakcje transgraniczne do krajów wysokiego ryzyka | Transgraniczne ML | Wysokie |
| Kanał dystrybucji — wyłącznie komunikacja online | Ryzyko kradzieży tożsamości | Średnie |
Kluczowa różnica od agentów nieruchomości: księgowi zwykle utrzymują długoterminową relację biznesową, co oznacza bieżącą weryfikację i monitorowanie działalności biznesowej klienta w czasie.
Co NRA 2020–2024 mówi o ryzykach sektora niefinansowego?
Krajowa Ocena Ryzyka Prania Pieniędzy/Finansowania Terroryzmu na lata 2020–2024 (NRA, zatwierdzona uchwałą Rządu Czechii nr 3 z dnia 5 stycznia 2026 r.) jest obowiązkowym punktem odniesienia, który każdy podmiot zobowiązany musi uwzględnić przy przygotowywaniu oceny ryzyka zgodnie z sekcją 21a(1).
NRA identyfikuje cztery modele ryzyka prania pieniędzy w Czechach. Poniższe są najbardziej istotne dla sektora niefinansowego:
- Model ryzyka 1 — oszustwo: przestępcy nadużywają zaufania ofiar, aby uzyskać środki, które następnie są wstawiane do systemu finansowego.
- Model ryzyka 3 — inne przestępstwa majątkowe i gospodarcze: korupcja, tunelowanie i postępowania upadłościowe. Kluczowy model dla TCSPs, pośredników nieruchomości i doradców podatkowych.
- Model ryzyka 4 — przestępczość z elementem zagranicznym: około 25–30% незаконно uzyskanych środków pochodzi z przestępstwa podstawowego z elementem transgranicznym.
Nowe zjawiska zidentyfikowane w NRA 2020–2024, które muszą być uwzględnione:
- Poważne przesunięcie oszustw w cyberspace — inżynieria społeczna, deepfake'i i treści generowane przez AI.
- Ustanowienie wirtualnych aktywów i rosnące ich nadużywanie do celów ML.
- Ukryte pośrednictwo pracy związane z oszustwami podatkowymi.
- Nowe sankcje unikowe związane z wojną na Ukrainie.
Te zjawiska muszą być wyraźnie uwzględnione w ocenie ryzyka każdego podmiotu zobowiązanego. Ogólne odniesienie do NRA nie wystarczy. FIU sprawdza, czy w odpowiedzi na zidentyfikowane trendy zostały przyjęte konkretne środki.
Niepubliczną wersję NRA z bardziej szczegółowymi typologiami sektorowymi można poprosić bezpośrednio od FIU.
Często zadawane pytania dotyczące oceny ryzyka
Czy FIU opublikowała szablon oceny ryzyka?
Nie. FIU nie opublikowała szablonu oceny ryzyka i nie planuje tego robić. Ocena musi być zawsze dostosowana do konkretnego podmiotu zobowiązanego.
Czy ocena ryzyka musi być zatwierdzona przez dyrektora zarządzającego?
Tak. Ocena ryzyka stanowi część wewnętrznych polityk AML, które muszą być zatwierdzone przez organ statutowy zgodnie z art. 21 ust. 2.
Jak szczegółowa musi być ocena ryzyka poszczególnych klientów?
Ocena ryzyka ma charakter typologiczny. Opisuje kategorie, a nie konkretne osoby. Konkretny klient otrzymuje profil ryzyka podczas identyfikacji i due diligence.
Co to jest klient o niskim ryzyku i jak go zidentyfikować?
Art. 13 zezwala na uproszczone due diligence tylko wtedy, gdy ocena ryzyka wykazuje zaniechanie ryzyka prania pieniędzy/finansowania terroryzmu. Samo oświadczenie nie wystarczy.
Czy muszę uwzględnić NRA w ocenie ryzyka?
Tak. To obowiązek ustawowy wynikający z art. 21a ust. 1. Obecna NRA została zatwierdzona Uchwałą Rządu Republiki Czeskiej nr 3 z 5 stycznia 2026 r.
Jeśli mój biznes znacząco się zmieni, czy muszę przepisać całą ocenę?
Niekoniecznie. Musisz ocenić, czy istniejąca kategoryzacja nadal ma zastosowanie i zaktualizować odpowiednie części. Każdą aktualizację należy udokumentować z podaniem daty i przyczyny.
Ocena ryzyka wbudowana w każde sprawdzenie — nie jako dokument statyczny
AML PROOF automatycznie oblicza wynik ryzyka WAR w każdej sprawie. Wynik jest przechowywany w dzienniku audytu, określa przepływ pracy klienta i stanowi dowód dla organizacyjnej oceny ryzyka.
Zacznij za darmo