Table of contents
- Czym jest system wewnętrznych polityk i dlaczego prawo go wymaga?
- Kto musi mieć SVZ — i kto musi go mieć na piśmie?
- Kto musi przedłożyć SVZ FIU lub Czeskiej Narodowej Banku?
- Co musi zawierać SVZ na podstawie artykułu 21 ust. 5 ustawy o PZIF?
- Ocena ryzyka jako podstawa SVZ: co musi zawierać?
- Sygnalizacja naruszeń — obowiązkowy element SVZ, którego nie można zlecać na zewnątrz
- Jak i kiedy powinien być aktualizowany SVZ?
- Najczęstsze błędy w SVZ według FIU
- Jakie sankcje mają zastosowanie w przypadku braku lub słabej jakości SVZ?
- Często zadawane pytania na temat SVZ
Czym jest system wewnętrznych polityk i dlaczego prawo go wymaga?
System wewnętrznych polityk, procedur i kontroli (SVZ) jest dokumentem wewnętrznym podmiotu zobowiązanego. W jasnej i wiążącej formie określa, jak podmiot zobowiązany wypełnia obowiązki wynikające z ustawy AML. Podstawą prawną jest przepis dotyczący wymogów systemu wewnętrznych polityk.
SVZ to nie tylko formalny dokument dla sporządzającego. To instrukcja obsługi dla pracowników — opisuje, jak zidentyfikować klienta, przeprowadzić należytą staranność, rozpoznać podejrzaną transakcję, zgłosić ją i postępować, gdy klient odmawia współpracy. SVZ zawsze obejmuje ocenę ryzyka prania pieniędzy/finansowania terroryzmu zgodnie z przepisami ustawy AML.
Powód wymogu prawnego jest praktyczny: podczas inspekcji FIU nie ocenia tylko, czy procedury istnieją. Ocenia, czy są prawidłowo ustalone, czy pracownicy je rzeczywiście przestrzegają i czy są aktualne. SVZ jest zatem głównym dowodem, zarówno dla FIU, jak i dla podmiotu zobowiązanego, że obowiązki AML są wypełniane.
Kto musi mieć SVZ — i kto musi go mieć na piśmie?
Przepisy ustawy AML wymagają od wszystkich podmiotów zobowiązanych wprowadzenia i stosowania SVZ, z wyjątkiem syndyków masy upadłościowej, handlowców sztuką i metalami szlachetnymi w przypadku transakcji powyżej 10 000 EUR i dostawców usług transgranicznych.
Tylko wybrane podmioty zobowiązane zgodnie z przepisami ustawy AML muszą mieć SVZ na piśmie:
| Rodzaj podmiotu zobowiązanego | SVZ na piśmie wymagane |
|---|---|
| Instytucje kredytowe | Tak, zawsze |
| Instytucje finansowe | Tak, zawsze |
| Operatorzy gier hazardowych | Tak, zawsze* |
| Pośrednicy w obrocie nieruchomościami, licytatorzy i osoby handlujące nieruchomościami | Tak, zawsze* |
| Dostawcy usług powierniczych i korporacyjnych | Tak, zawsze* |
| Księgowi, doradcy podatkowi, biegli rewidenci | Nie obowiązkowe na piśmie — zdecydowanie zalecane |
| Prawnicy i notariusze | Nie obowiązkowe na piśmie — zdecydowanie zalecane |
| Komorniki sądowi — w stosownych postanowieniach ustawy | Nie obowiązkowe na piśmie — zdecydowanie zalecane |
*SVZ musi być zatwierdzony przez organ statutowy podmiotu zobowiązanego (w stosownych postanowieniach ustawy AML).
Dwa ustawowe wyjątki od wymogu pisemności (artykuł 21 ust. 3 i 4 ustawy o PZIF):
- Podmiot zobowiązany na podstawie artykułu 2 ust. 1 lit. b), c), d) lub h) nie musi sporządzać SVZ na piśmie, jeśli w obszarach związanych z PZIF nie zatrudnia żadnych innych osób i żadne inne osoby nie wykonują dla niego działalności.
- Pisemny SVZ nie jest również wymagany, gdy osoba zawodowo wykonuje działalność związaną z PZIF wyłącznie dla jednego innego podmiotu zobowiązanego i stosuje SVZ tego podmiotu, pod warunkiem że jej działalność jest tam wystarczająco opisana.
Te wyjątki są wąskie. W przypadku wątpliwości FIU oceni, czy warunki były faktycznie spełnione.
Kto musi przedłożyć SVZ FIU lub Czeskiej Narodowej Banku?
Obowiązek powiadomienia organu nadzoru o SVZ nie dotyczy każdego. Dotyczy tylko wybranych podmiotów zobowiązanych na podstawie artykułu 21 ust. 8 ustawy o PZIF. Pośrednicy w obrocie nieruchomościami, TCSPs i zawody takie jak księgowych lub doradców podatkowych nie muszą powiadamiać o swoim SVZ.
| Typ podmiotu zobowiązanego | Odbiorca | Termin |
|---|---|---|
| Operator gier hazardowych (artykuł 2 ust. 1 lit. c)) | FIU | 60 dni od powstania obowiązku |
| Dostawca usług płatniczych, instytucja pieniężna, usługi pocztowe, kantor wymiany walut, pośrednik ubezpieczeniowy (wybrane podmioty artykułu 2 ust. 1 lit. b)) | FIU | 60 dni |
| VASP — dostawca usług dotyczących aktywów wirtualnych (artykuł 2 ust. 1 lit. b), punkt 15) | FIU | 60 dni |
| Instytucje kredytowe, zarządzający funduszami, firmy inwestycyjne, operatorzy rynku, towarzystwa emerytalne (artykuł 2 ust. 1 lit. b), punkty 1–4) | Czeska Narodowa Banka | 60 dni |
| Pośrednicy w obrocie nieruchomościami i TCSPs (artykuł 2 ust. 1 lit. d), h)) | Brak powiadomienia | — |
| Księgowi, doradcy podatkowi, prawnicy i notariusze (artykuł 2 ust. 1 lit. e), g)) | Brak powiadomienia | — |
Zmiany w SVZ muszą być powiadomione w ciągu 30 dni od ich przyjęcia.
Co musi zawierać SVZ na podstawie artykułu 21 ust. 5 ustawy o PZIF?
Artykuł 21 ust. 5 ustawy o PZIF określa obowiązkową zawartość SVZ. Lista nie jest zamknięta — podmiot zobowiązany może zawrzeć dodatkowe środki i obowiązki. Minimum ustawowe obejmuje te dziesięć obszarów:
- a) Oznaki podejrzanych transakcji — orientacyjna lista fakultatywnych i obowiązkowych oznak, w tym artykuł 6 ust. 2 ustawy o PZIF.
- b) Sposób identyfikacji klienta — w tym procedury identyfikacji PEP i osób objętych sankcjami.
- c) Procedura należytej staranności wobec klienta — zakres i sposób należytej staranności, w tym wzmożonej i uproszczonej.
- d) Procedura odmowy wykonania transakcji — kiedy i jak odmówić transakcji lub rozwiązać stosunki biznesowe na podstawie artykułu 15 ustawy o PZIF.
- e) Procedura udostępniania przechowywanych danych — FIU, organom ścigania i organowi nadzoru.
- f) Procedura od wykrycia podejrzanej transakcji do złożenia zgłoszenia — kto ją ocenia, w jakich terminach i przez jaki kanał zostaje zgłoszona.
- g) Zasady dotyczące stron trzecich — agentów lub pośredników oferujących produkty podmiotu zobowiązanego w jego imieniu.
- h) Środki zapobiegające udaremnieniu zabezpieczenia przychodów — jak natychmiastowe wykonanie zlecenia klienta nie zagraża zabezpieczeniu przychodów.
- i) Techniczne i kadrowe środki opóźniające wykonanie zlecenia klienta — procedura na podstawie artykułu 20 ustawy o PZIF, w tym wyznaczenie osoby kontaktowej.
- j) Dodatkowe środki dla krajów trzecich — tylko gdy artykuł 24a ust. 2 ma zastosowanie do podmiotu zobowiązanego.
Are you subject to AML?
Enter your company ID (IČO) and instantly find out whether you're subject to AML regulations
Ocena ryzyka jako podstawa SVZ: co musi zawierać?
Ocena ryzyka ML/TF zgodnie z art. 21a ustawy o AML nie jest opcjonalnym załącznikiem do SVZ. Jest to obowiązkowa część SVZ, na której SVZ musi być zbudowany. Podmiot zobowiązany musi zidentyfikować i ocenić ryzyko prania pieniędzy i finansowania terroryzmu, któremu podlega w swojej działalności.
Art. 21a(2) ustawy o AML określa pięć obowiązkowych czynników ryzyka:
- Typ klienta — osoba fizyczna niebędąca przedsiębiorcą, osoba prowadząca działalność na własny rachunek, osoba prawna, PEP, obywatel państwa trzeciego.
- Cel, regularność i czas trwania stosunku biznesowego lub transakcji.
- Typ produktu lub usługi.
- Wartość i sposób przeprowadzenia transakcji — płatność gotówkowa lub bezgotówkowa.
- Poziom ryzyka krajów lub obszarów geograficznych — wysokorizykowne kraje trzecie zgodnie z FATF i Narodową Oceną Ryzyka.
Ocena ryzyka musi być regularnie aktualizowana, zwłaszcza po nowej Narodowej Ocenie Ryzyka (NOR), zmianach w ustawie o AML lub nowych wytycznych metodologicznych FIU. Najnowsza NOR została zatwierdzona przez Uchwałę Rządu czeskiego nr 3 z 5 stycznia 2026 r.
Sygnalizacja naruszeń — obowiązkowy element SVZ, którego nie można zlecać na zewnątrz
Dla wybranych podmiotów zobowiązanych (art. 2(1)(a), (b), (c), (d), (h)) art. 21(6)(b) ustawy o AML wymaga składnika SVZ, który jest często zapominany w praktyce: system anonimowego zgłaszania naruszeń obowiązków AML.
Prawo określa dwa kluczowe warunki:
- System musi umożliwiać anonimowe zgłoszenia.
- System nie może być obsługiwany przez stronę trzecią. Outsourcing jest zabroniony przez prawo; podmiot zobowiązany musi obsługiwać go samodzielnie lub przez powiązanego agenta zgodnie z art. 2(4) ustawy o AML.
To obszar, w którym komercyjne rozwiązania SaaS nie mogą obsługiwać systemu sygnalizacji w imieniu podmiotu zobowiązanego. SVZ musi zatem zawierać wewnętrzną procedurę podmiotu do otrzymywania i obsługi anonimowych zgłoszeń.
Jak i kiedy powinien być aktualizowany SVZ?
Art. 21(2) ustawy o AML wyraźnie wymaga, aby podmiot zobowiązany utrzymywał SVZ stale zaktualizowany. Aktualizacja nie jest opcjonalna — jest to obowiązek prawny.
Podmiot zobowiązany powinien aktualizować SVZ zawsze, gdy:
- zmiana ustawy o AML lub nowe wytyczne metodologiczne FIU,
- nowa lub zaktualizowana Narodowa Ocena Ryzyka (NOR),
- wprowadzenie nowego produktu, usługi lub technologii,
- zmiana modelu biznesowego — nowe typy klientów, nowe rynki lub nowa filia,
- niedostateczność zidentyfikowana podczas kontroli wewnętrznej lub po inspekcji FIU.
Po każdej aktualizacji podmiot zobowiązany musi zapewnić szkolenie pracowników w zakresie zmian (ustawa AML). Dla podmiotów zobowiązanych podlegających powiadomieniu, zmiany muszą być zawiadomione do FIU lub Czeskiego Banku Narodowego w ciągu 30 dni od ich przyjęcia.
Najczęstsze błędy w SVZ według FIU
Wytyczna Metodologiczna FIU nr 11, obowiązująca od 5 września 2025 r., wyraźnie podkreśla powtarzające się niedostateczności wykryte podczas nadzoru:
- Podmiot zobowiązany sam jest odpowiedzialny za jakość SVZ. Nawet jeśli SVZ przygotowuje specjalista zewnętrzny lub kancelaria prawna, podmiot zobowiązany pozostaje w pełni odpowiedzialny za jego zawartość i aktualność.
- SVZ nie odpowiada rzeczywistemu modelowi biznesowemu. Generyczny szablon internetowy lub dokument nie dostosowany do konkretnego podmiotu zobowiązanego jest niewystarczający dla FIU.
- SVZ jest szablonem, a nie zindywidualizowanym dokumentem. FIU wielokrotnie ukarała podmioty, których SVZ był identyczny dla dziesiątek innych, ze zmienioną tylko nazwą firmy.
- Ocena ryzyka jest niewystarczająca lub całkowicie brakuje. SVZ bez oceny ryzyka nie spełnia wymogów ustawowych.
- SVZ nie jest aktualizowany. Dokument z 2022 r., który nikt nie aktualizował od tamtej pory, to problem podczas inspekcji FIU w 2026 r.
Jakie sankcje mają zastosowanie w przypadku braku lub słabej jakości SVZ?
| Przewinienie | Podstawa prawna | Grzywna |
|---|---|---|
| Nieprowadzenie lub niestosowanie SVZ | Artykuł 48(1) ustawy o AML | do 10 000 000 CZK |
| Nieprzygotowanie pisemnego SVZ w ciągu 60 dni | Artykuł 48(2) ustawy o AML | do 1 000 000 CZK |
| Niezpowiadomienie o SVZ lub zmianach FIU/CNB | Artykuł 48(3) ustawy o AML | do 1 000 000 CZK |
| Nieprzygotowanie lub aktualizacja oceny ryzyka | Artykuł 48(4) ustawy o AML | do 1 000 000 CZK |
W przypadku poważnych, powtarzających się lub ciągłych naruszeń limity się zwiększają — dla instytucji pozafinansowych do 30 000 000 CZK.
Kluczowa różnica: kara za niestosowanie SVZ (artykuł 48(1)) jest dziesięć razy wyższa niż kara za nieprzygotowanie pisemnego SVZ (artykuł 48(2)). Posiadanie SVZ na papierze, ale niezastosowanie go w praktyce, jest zatem poważniejsze z perspektywy sankcji niż jego brak.
SVZ jako system żywy — a nie dokument statyczny w szufladzie
AML PROOF łączy SVZ z codzienną pracą: identyfikacją klientów, oceną ryzyka, screeningiem PEP i szkoleniami, dzięki czemu SVZ to nie tylko dokument, ale funkcjonujący system zgodności.
Zacznij za darmoCzęsto zadawane pytania na temat SVZ
Czy zarządca musi zatwierdźić SVZ, czy wystarczy zatwierdzenie przez pracownika odpowiedzialnego?
SVZ musi być zatwierdzony przez organ statutowy podmiotu zobowiązanego (artykuł 21(2) ustawy o AML), taki jak zarządca s.r.o., rada dyrektorów a.s. lub inny przedstawiciel statutowy.
Czy firma może mieć dwa dokumenty SVZ dla dwóch różnych działalności?
Nie. Wytyczna metodologiczna FIU nr 11 wyraźnie stanowi, że podmiot zobowiązany zawsze przygotowuje jeden SVZ obejmujący wszystkie jego obowiązki AML.
Czy mogę użyć przykładowego SVZ ze strony FIU?
FIU udostępnia strukturę modelową jako pomoc orientacyjną, a nie jako gotowy dokument. Musi on zawsze być dostosowany do konkretnego podmiotu zobowiązanego.
Jak długo muszę przechowywać SVZ i ocenę ryzyka?
Ustawa AML nie określa specjalnego okresu przechowywania samego SVZ. Jednak starsze wersje powinny być przechowywane na wypadek kontroli FIU, która może dokonywać przeglądu poprzednich okresów.
Czy SVZ musi zawierać procedury międzynarodowych sankcji?
Tak. SVZ powinien zawierać procedury dotyczące międzynarodowych sankcji, w tym screening i proces, jaki należy podjąć w przypadku wykrycia osoby objętej sankcjami.