Projekt przewiduje istotne zmiany w trzech podstawowych obszarach: (i) zasadach dostępu do Centralnego Rejestru Beneficjentów Rzeczywistych („CRBR”), (ii) uruchomieniu nowego systemu teleinformatycznego SIGIIF 2.0 w celu komunikacji z GIIF oraz (iii) stosowaniu szczególnych środków ograniczających w zakresie przeciwdziałania rozprzestrzenianiu broni masowego rażenia i finansowaniu jej rozprzestrzeniania.
Dodatkowe zmiany dotyczą m.in. oceny ryzyka, stosowania środków bezpieczeństwa finansowego, zawiadomień przekazywanych do GIIF, w tym terminu, który dotychczas wynosił dwa dni robocze, a nowelizacja zakłada dwa dni oraz katalogu instytucji obowiązanych. Zasadniczo ustawa ma wejść w życie 1 stycznia 2027 r. Przepisy dotyczące komunikacji instytucji obowiązanych przez SIGIIF 2.0 mają obowiązywać od 1 kwietnia 2027 r., nowe zasady dostępu do CRBR od 1 października 2027 r., natomiast przepisy dotyczące komunikacji za pomocą SIGIIF z podmiotami, o których mowa w art. 105 ust. 1-4 ustawy AML, od 1 stycznia 2028 r.
Koniec jawności CRBR
Jedną z najistotniejszych zmian jest uchylenie art. 67 ustawy AML, zgodnie z którym CRBR jest obecnie jawny. Rejestr przestanie być powszechnie dostępny. Zmiana ta jest konsekwencją wyroku Trybunału Sprawiedliwości UE w sprawach połączonych C-37/20 i C-601/20 oraz wdrożenia dyrektywy 2024/1640. Dostęp do danych zachowają określone organy publiczne oraz instytucje obowiązane na potrzeby stosowania środków bezpieczeństwa finansowego. Pozostałe podmioty będą mogły uzyskać informacje w trybie wnioskowym, po wykazaniu uzasadnionego interesu związanego z przeciwdziałaniem praniu pieniędzy, finansowaniu terroryzmu lub przestępstwom źródłowym.
W przypadku podmiotów niebędących instytucjami obowiązanymi uzyskanie danych nie będzie już następowało natychmiastowo. Przedsiębiorca, który zamierza zawrzeć umowę z podmiotem ujawnionym w CRBR, będzie musiał złożyć wniosek, wskazać konkretny podmiot oraz wykazać związek z planowaną transakcją. Podstawowy termin rozpoznania wniosku wyniesie 12 dni roboczych, a w przypadku posiadania trzyletniego potwierdzenia przyznania dostępu - 7 dni. W okresie od 1 października 2027 r. do 30 września 2028 r. termin ten będzie wynosił 30 dni i będzie mógł zostać przedłużony łącznie o kolejne 24 dni.
Beneficjent rzeczywisty będzie mógł ponadto wystąpić o wyłączenie dostępu do całości albo części swoich danych, jeżeli ich udostępnienie narażałoby go na niewspółmierne ryzyko stania się ofiarą wskazanych w ustawie przestępstw albo jeżeli nie posiada pełnej zdolności do czynności prawnych. Wyłączenie nie będzie miało zastosowania do dostępu właściwych organów publicznych, może natomiast ograniczyć dostęp instytucji obowiązanych i innych wnioskodawców.
SIGIIF 2.0 - obowiązek identyfikacji w systemie
Każda instytucja obowiązana będzie miała obowiązek uzyskania dostępu do SIGIIF 2.0 przed nawiązaniem pierwszych stosunków gospodarczych albo przed przeprowadzeniem pierwszej transakcji okazjonalnej. W praktyce oznacza to obowiązek identyfikacji w systemie jeszcze przed rozpoczęciem wykonywania działalności objętej ustawą AML. Dotychczas formularz identyfikacyjny składały przede wszystkim instytucje, które po raz pierwszy wykonywały jeden z obowiązków raportowych określonych w ustawie. Po zmianach identyfikacja ma objąć wszystkie instytucje obowiązane, niezależnie od tego, czy wcześniej przekazywały do GIIF informacje lub zawiadomienia.
Instytucje obowiązane prowadzące działalność od 31 grudnia 2026 r., które wcześniej przekazały formularz identyfikacyjny, będą składały wnioski o dostęp do SIGIIF 2.0 etapami, w terminach od 1 stycznia do 2 marca 2027 r., zależnie od kategorii instytucji. Podmioty, które wcześniej nie składały formularza identyfikacyjnego, będą musiały uzyskać dostęp od 3 marca do 31 maja 2027 r., nie później jednak niż przed pierwszym wykonaniem wskazanych w ustawie obowiązków wobec GIIF.
Po uzyskaniu dostępu w SIGIIF 2.0 zostanie utworzone konto instytucji obowiązanej. Instytucja będzie mogła wskazać użytkowników konta oraz nadać wybranym osobom uprawnienia do korzystania zarówno z SIGIIF, jak i z CRBR. Przyjęto zatem zasadę jednokrotnej identyfikacji instytucji obowiązanej na potrzeby obu systemów. Brak uzyskania dostępu do SIGIIF albo przekazanie nieaktualnych lub nieprawidłowych danych będzie zagrożone karą administracyjną.
SIGIIF 2.0, wykorzystujący oprogramowanie goAML, ma docelowo stać się podstawowym kanałem komunikacji pomiędzy GIIF a instytucjami obowiązanymi. Za jego pośrednictwem będą przekazywane m.in. informacje o transakcjach ponadprogowych, zawiadomienia o podejrzeniu prania pieniędzy lub finansowania terroryzmu, informacje i dokumenty przekazywane na żądanie GIIF oraz korekty wcześniej przesłanych danych.
Zmiana w katalogu instytucji obowiązanych
Projekt zmienia również katalog instytucji obowiązanych. Zostaną z niego wyłączone osoby prawne należące do grupy, które prowadzą księgi rachunkowe wyłącznie na rzecz spółek należących do tej samej grupy. Zmiana stanowi wykonanie wyroku TSUE w sprawie C-3/24 Mistral Trans, dotyczącego pojęcia zewnętrznego księgowego.
W projektowanej nowelizacji doprecyzowano, że ocena ryzyka instytucji obowiązanej ma obejmować również nowe produkty, usługi i kanały ich oferowania, inne nowe czynności podejmowane w ramach działalności oraz wykorzystywanie nowych i rozwijających się technologii. Ocena powinna zostać przeprowadzona przed udostępnieniem nowego produktu lub usługi. Instytucja będzie również zobowiązana do podjęcia działań ograniczających zidentyfikowane ryzyko oraz do obowiązkowego uwzględnienia aktualnej Krajowej Oceny Ryzyka i odpowiedniego sprawozdania Komisji Europejskiej.
Zmiana art. 41 ust. 1 ustawy umożliwi instytucjom obowiązanym odmowę przeprowadzenia konkretnej transakcji w ramach istniejących stosunków gospodarczych, jeżeli nie będzie możliwe zastosowanie wymaganych środków bezpieczeństwa finansowego. Obecnie instytucje obowiązane nieprowadzące rachunków bankowych są w takiej sytuacji zasadniczo zmuszone do zakończenia całej relacji z klientem.
Środki bezpieczeństwa finansowego
Instytucja obowiązana będzie miała obowiązek dokumentowania zarówno działań podjętych w celu zastosowania środków bezpieczeństwa finansowego, jak i przyczyn, dla których ich zastosowanie nie było możliwe. Zgodnie z uzasadnieniem projektu rozwiązanie ma umożliwić ocenę prawidłowości działań instytucji oraz ograniczyć zjawisko de-riskingu, czyli automatycznego wykluczania całych kategorii klientów ze względu na podwyższone ryzyko, zamiast przeprowadzenia indywidualnej oceny i zastosowania środków odpowiednich do rozpoznanego ryzyka.
Nowelizacja rozszerza zakres informacji przekazywanych do GIIF w zawiadomieniu o okolicznościach mogących wskazywać na podejrzenie prania pieniędzy lub finansowania terroryzmu. Uzasadnienie zawiadomienia będzie musiało zawierać opis okoliczności uzasadniających podejrzenie, opis działań podjętych w związku ze stosowaniem środków bezpieczeństwa finansowego albo brakiem możliwości ich zastosowania oraz wynikające z tego wnioski. Projekt wprowadza również wyraźny obowiązek korygowania informacji i zawiadomień przekazanych na podstawie art. 72, 74 i 76 ustawy. Korekty będą przekazywane niezwłocznie po stwierdzeniu błędu albo w terminie wskazanym w ustawie lub wyznaczonym przez GIIF.
Zakres szczególnych środków ograniczających zostanie rozszerzony o środki stosowane w celu przeciwdziałania rozprzestrzenianiu broni masowego rażenia oraz finansowaniu jej rozprzestrzeniania. Instytucje obowiązane będą stosowały te środki wobec osób i podmiotów wskazanych na listach ogłaszanych przez generalnego inspektora na podstawie rezolucji Rady Bezpieczeństwa ONZ, w szczególności rezolucji 1718 (2006), 2231 (2015) oraz 2356 (2017).
Zmiany mają umożliwić zastosowanie szczególnych środków ograniczających wobec osób i podmiotów wskazanych przez Radę Bezpieczeństwa ONZ jeszcze przed ich ujęciem w załącznikach do właściwych rozporządzeń unijnych. Rozszerzeniu ulegnie również zakres kontroli instytucji obowiązanych oraz katalog naruszeń zagrożonych karami administracyjnymi, w szczególności w związku z obowiązkami wynikającymi z rozporządzeń dotyczących Iranu i Korei Północnej.
Co oznaczają zmiany dla instytucji obowiązanych
Planowana nowelizacja jest znacznie szersza niż wynikało to z pierwotnej wersji projektu. Oprócz ograniczenia jawności CRBR wprowadza nową infrastrukturę komunikacji z GIIF, obowiązek uzyskania dostępu do SIGIIF 2.0 przez wszystkie instytucje obowiązane, nowe zasady korekt informacji i zawiadomień oraz dodatkowe obowiązki w zakresie oceny ryzyka, dokumentowania czynności i stosowania szczególnych środków ograniczających. Instytucje obowiązane powinny zatem odpowiednio wcześniej przeanalizować swoje procedury, zakres gromadzonych danych, sposób komunikacji z GIIF oraz zasady nadawania pracownikom uprawnień do SIGIIF i CRBR.
Autorka: Katarzyna Ulejczyk, adwokat z kancelarii BCLA Bisiorek, Cieśliński i Partnerzy
----------------------------------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
