AMLR

AMLR (rozporządzenie AML) to rozporządzenie (UE) 2024/1624, które od 10 lipca 2027 r. wyznacza firmom w całej UE zasady przeciwdziałania praniu pieniędzy. To jeden z trzech aktów unijnego pakietu AML przyjętego 31 maja 2024 r. Dyrektywa (UE) 2024/1640 określa, co muszą zapewnić państwa członkowskie, na przykład organy nadzoru, jednostki analityki finansowej i rejestry beneficjentów rzeczywistych. Rozporządzenie (UE) 2024/1620 ustanawia Urząd ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu (AMLA). AMLR jest rozporządzeniem, więc jego zasady należytej staranności wobec klienta obowiązują w każdym państwie członkowskim w tym samym brzmieniu, bez krajowej ustawy wdrażającej.

Rozporządzenie nazywa objęte nim firmy podmiotami zobowiązanymi (art. 3). Są wśród nich instytucje kredytowe i instytucje finansowe, a definicja instytucji finansowej obejmuje kredytodawcę w rozumieniu dyrektywy o kredycie konsumenckim 2008/48/WE i dyrektywy o kredycie hipotecznym 2014/17/UE (art. 2 ust. 1 pkt 6 lit. g). Kredytodawca konsumencki jest więc podmiotem zobowiązanym, niezależnie od tego, czy jest bankiem, czy firmą pożyczkową. Pośrednik kredytowy jest objęty przepisami, gdy w związku z umową kredytu przechowuje środki pieniężne klienta, chyba że działa na odpowiedzialność kredytodawcy (pkt 6 lit. h).

Należytą staranność stosuje się w sytuacjach wymienionych w art. 19 ust. 1, na przykład przy nawiązywaniu stosunków gospodarczych, przy podejrzeniu prania pieniędzy lub finansowania terroryzmu i przy wątpliwościach co do wcześniej uzyskanych danych identyfikacyjnych. Umowa pożyczki rozpoczyna stosunki gospodarcze, więc kontrole odbywają się na początku relacji z klientem.

Art. 20 ust. 1 wymienia środki, które stosuje podmiot zobowiązany. Są wśród nich: identyfikacja i weryfikacja tożsamości klienta, identyfikacja beneficjenta rzeczywistego, ocena celu stosunków gospodarczych, sprawdzenie ukierunkowanych sankcji finansowych, ustalenie, czy klient zajmuje eksponowane stanowisko polityczne, oraz bieżące monitorowanie. Zakres każdego środka zależy od ryzyka związanego z klientem i relacją (art. 20 ust. 2).

W przypadku osoby fizycznej art. 22 ust. 1 wymienia minimum danych: wszystkie imiona i nazwiska, miejsce i pełną datę urodzenia, obywatelstwa i krajowy numer identyfikacyjny, w stosownych przypadkach, oraz miejsce zwykłego pobytu. Art. 22 ust. 6 dopuszcza dwie drogi weryfikacji tożsamości. Pierwsza to dokument tożsamości, paszport lub jego odpowiednik, w stosownych przypadkach z informacjami z wiarygodnych i niezależnych źródeł. Druga to identyfikacja elektroniczna o średnim lub wysokim poziomie bezpieczeństwa według rozporządzenia eIDAS (UE) nr 910/2014, razem z odpowiednimi kwalifikowanymi usługami zaufania. Więcej o tej kontroli piszemy w haśle KYC.

Weryfikacja odbywa się przed nawiązaniem stosunków gospodarczych (art. 23 ust. 1), z nielicznymi wyjątkami przy niższym ryzyku. Jeśli kontroli nie da się przeprowadzić, podmiot zobowiązany nie nawiązuje relacji i to też dokumentuje (art. 21 ust. 1 i 3). Dane klienta trzeba aktualizować co najmniej raz w roku przy klientach podwyższonego ryzyka i co najmniej co pięć lat przy pozostałych (art. 26 ust. 2). Dokumenty i informacje z należytej staranności, także te uzyskane przez identyfikację elektroniczną, przechowuje się przez pięć lat od zakończenia relacji albo od odmowy jej nawiązania (art. 77 ust. 3).

W aplikacji pożyczkowej albo portalu pożyczkobiorcy należyta staranność wobec klienta jest częścią procesu wniosku. Wymagania dla systemu:

• Formularz zbiera dane z art. 22 ust. 1. Sprawdź, czy wniosek pyta o każde pole, którego pożyczkodawca potrzebuje do identyfikacji, także o miejsce urodzenia i obywatelstwo, i czy backend zapisuje je w uporządkowanej formie.
• Weryfikacja tożsamości obsługuje obie drogi z art. 22 ust. 6. Sprawdzenie dokumentu i identyfikacja elektroniczna to dwie metody z różnymi integracjami, więc listę i kolejność metod trzymaj w konfiguracji backendu.
• Umowa czeka na weryfikację. Wniosek nie przechodzi do umowy, dopóki weryfikacja trwa albo się nie udała, a system zapisuje odmowę razem z powodem.
• Sprawdzenie sankcji i eksponowanych stanowisk politycznych to osobne kroki, niezależne od weryfikacji tożsamości. Zapisuj, kiedy każdy z nich się odbył, na jakich danych i z jakim wynikiem.
• Dokumentację przechowuje się przez pięć lat. Termin liczy się od zakończenia relacji albo od odmowy, więc system potrzebuje obu dat.
• Dane mają datę przeglądu. Bieżące monitorowanie wymaga pola z datą ostatniego potwierdzenia danych klienta i sposobu, by poprosić klienta o aktualizację w aplikacji.
• Sprawdzenie rachunku bankowego to osobny krok. Przelew weryfikacyjny albo logowanie do banku przez open banking potwierdza rachunek i pomaga w walce z oszustwami, ale żadnego z nich nie ma wśród środków wymienionych w art. 22 ust. 6.

AMLA ma siedzibę we Frankfurcie nad Menem. Opracowuje regulacyjne standardy techniczne, które uzupełniają AMLR. Według art. 28 ust. 1 standardy dotyczące należytej staranności określają, jakie informacje zbierać na każdym poziomie należytej staranności (standardowym, uproszczonym, wzmożonym). Wskazują też wiarygodne i niezależne źródła weryfikacji oraz atrybuty, które muszą mieć środki identyfikacji elektronicznej. 1 października 2026 r. AMLA ogłosiła, że przekazała Komisji Europejskiej ostateczny projekt tych standardów. Wiążące staną się dopiero po przyjęciu przez Komisję i publikacji w Dzienniku Urzędowym, a AMLA proponuje, by stosowano je sześć miesięcy po wejściu w życie.

AMLA będzie też bezpośrednio nadzorować niektóre instytucje. Według art. 13 rozporządzenia (UE) 2024/1620 wybiera instytucje kredytowe i finansowe o wysokim profilu ryzyka rezydualnego, które działają w co najmniej sześciu państwach członkowskich. Pierwszą selekcję rozpoczyna najpóźniej 1 lipca 2027 r., a bezpośredni nadzór zaczyna sześć miesięcy po opublikowaniu listy. Pozostałe podmioty zobowiązane zostają pod nadzorem krajowym. Samo AMLR stosuje się od 10 lipca 2027 r. (art. 90); późniejszą datę, 10 lipca 2029 r., mają tylko agenci piłkarscy i profesjonalne kluby piłkarskie.

To hasło nie jest poradą prawną; to, które obowiązki mają zastosowanie, zależy od statusu firmy.

Budujemy część kliencką aplikacji pożyczkowych dla kredytodawców konsumenckich nadzorowanych przez Komisję Nadzoru Finansowego (KNF): proces wniosku, KYC i integracje z systemem centralnym pożyczkodawcy. W tych aplikacjach KYC ma we wniosku osobny status, a skan dokumentu wykonuje zewnętrzna usługa weryfikacji tożsamości. Po negatywnym wyniku klient może spróbować ponownie. Kontrole, które nie udały się z przyczyn technicznych, uruchamiają się same jeszcze raz, a aplikacja znów pyta o wynik, gdy klient wraca do oczekującego wniosku. Weryfikacja rachunku bankowego, przez logowanie do banku albo przelew weryfikacyjny, to osobny krok. Nie budowaliśmy usługi weryfikacji tożsamości ani systemu AML, a o tym, które środki należytej staranności stosować, decyduje pożyczkodawca.