Jak AI pilnuje CRBR i procedury AML w biurze rachunkowym albo kancelarii?

Biuro rachunkowe, kancelaria prawna, pośrednik nieruchomości i firma leasingowa to instytucje obowiązane, które muszą samodzielnie identyfikować beneficjentów rzeczywistych swoich klientów, sprawdzać listy sankcyjne i oceniać ryzyko przy każdej nawiązanej relacji. AI może przejąć kompletowanie danych z CRBR, KRS i CEIDG przy każdym nowym kliencie, przygotować projekt karty oceny ryzyka do zatwierdzenia przez wyznaczoną osobę i zaalarmować, gdy w KRS pojawi się zmiana wspólników, a 14-dniowy termin zaczyna biec. Decyzję podejmuje zawsze wyznaczona osoba. AI zbiera, dokumentuje i pilnuje terminów.

Kto jest instytucją obowiązaną i co to oznacza w codziennej pracy?

Ustawa o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu nakłada konkretne obowiązki na kilkadziesiąt kategorii podmiotów. Biura rachunkowe i doradcy podatkowi, kancelarie notarialne, adwokackie i radcowskie, pośrednicy nieruchomości, firmy leasingowe i faktoringowe: wszyscy oni stosują środki bezpieczeństwa finansowego wobec swoich klientów. Obowiązek powstaje z chwilą nawiązania relacji biznesowej, a nie dopiero przy dużej transakcji.

Środki bezpieczeństwa finansowego to nie jeden formularz. To zestaw działań: identyfikacja klienta i jego beneficjenta rzeczywistego, sprawdzenie osób zarządzających na liście PEP i na listach sankcyjnych, ocena ryzyka prania pieniędzy, a potem bieżące monitorowanie i aktualizacja danych. W biurze rachunkowym obsługującym kilkaset spółek robi się z tego spora praca, która codziennie spada na konkretną osobę. Zwykle na AML officera albo na właściciela biura, bo wyznaczył sam siebie.

Typowy problem: spółka z o.o. zmienia wspólnika w sierpniu. W KRS pojawia się nowy wpis we wrześniu. Nikt w biurze nie zauważa, bo nie ma żadnego systemu alertów, a 300 innych klientów czeka z bieżącą robotą. W grudniu przychodzi kontrola z Ministerstwa Finansów albo z urzędu skarbowego. Biuro nie ma aktualnej karty klienta i nie może pokazać, kiedy i czy w ogóle zweryfikowało nowego beneficjenta. Kara administracyjna dla instytucji obowiązanej może wynieść do 1 000 000 zł, a odpowiedzialność spada też na wyznaczoną osobę osobiście. Ustawa daje biuru 14 dni od powzięcia informacji o zmianie na aktualizację dokumentacji.

Pośrednicy nieruchomości i firmy leasingowe wpadają w inną pułapkę: obowiązki AML kojarzą im się z bankami i nie traktują ich priorytetowo. A zakres jest taki sam: identyfikacja beneficjenta przy każdej transakcji powyżej progu, ocena ryzyka, dokumentacja. Kontrole w tych branżach w ostatnich latach stały się wyraźnie częstsze.

Co AI kompletuje przy zakładaniu nowego klienta

Gdy pracownik biura zakłada nowy plik klienta, spółkę z o.o., spółkę komandytową albo spółkę akcyjną, AI dostaje NIP i zaczyna kompletować dane z rejestrów. Bez klikania po stronach, bez ręcznego przepisywania do excela.

Z CRBR wyciąga:

• listę beneficjentów rzeczywistych z datą ostatniego zgłoszenia do rejestru
• imię, nazwisko i PESEL każdego beneficjenta lub datę urodzenia i obywatelstwo przy cudzoziemcach
• rodzaj i charakter tytułu własności albo sprawowanej kontroli: bezpośrednia, pośrednia, mieszana
• datę wpisu i datę ostatniej zmiany w rejestrze, żeby wiadomo było, jak stare są dane

Z KRS pobiera aktualny odpis, listę wspólników z udziałem procentowym, skład zarządu, prokurentów i pełnomocników. Jeśli klient prowadzi jednoosobową działalność albo jest wspólnikiem spółki cywilnej, AI sięga do CEIDG po dane adresowe, kody PKD i status wpisu. Dla podmiotów zagranicznych działających w Polsce: odpis z KRS w części dotyczącej oddziału i dane spółki macierzystej z dostępnych rejestrów europejskich.

Następnie sprawdza beneficjentów i osoby zarządzające na listach sankcyjnych: polskiej liście Ministra Finansów i skonsolidowanej liście sankcyjnej Unii Europejskiej. Sprawdza też, czy któraś z osób to PEP, czyli osoba zajmująca eksponowane stanowisko polityczne: parlamentarzysta, wysoki urzędnik administracji centralnej, sędzia Trybunału Konstytucyjnego, dyrektor banku centralnego. Ustawa obejmuje też członków bliskiej rodziny PEP i ich bliskich współpracowników, co poszerza zakres weryfikacji i jest jednym z miejsc, gdzie ręczna praca najłatwiej odpada.

Na koniec asystent przygotowuje projekt karty oceny ryzyka klienta z wypełnionymi polami: forma prawna, rodzaj i zakres działalności, kraj rejestracji, struktura własności, trafienia albo brak trafień w bazach PEP i na listach sankcyjnych, sugerowana kategoria ryzyka (niskie, podwyższone, wysokie) z uzasadnieniem. Karta trafia do wyznaczonej osoby z prośbą o zatwierdzenie. Dopiero po zatwierdzeniu status klienta w systemie biura zmienia się na „zweryfikowany".

PEP, listy sankcyjne i karta klienta: jak wygląda to w konkretnym przypadku

Karta klienta AML to dokument, który musi istnieć, być aktualny i być dostępny na żądanie przy kontroli. W wersji papierowej albo w excelu często wygląda tak, że trzy czwarte pól jest pustych: nikt nie miał czasu ich wypełnić albo nikt nie wiedział, że trzeba. AI uzupełnia te pola automatycznie z danych z rejestrów.

Pola, które asystent uzupełnia w karcie klienta AML:

• NIP, REGON, KRS spółki
• imiona, nazwiska i numery PESEL beneficjentów rzeczywistych z CRBR
• data ostatniej weryfikacji beneficjenta w CRBR i data kolejnej planowanej weryfikacji
• wynik sprawdzenia PEP: tak/nie, z podaniem źródła bazy i daty sprawdzenia
• wynik sprawdzenia listy sankcyjnej MF i listy UE: trafienie/brak trafienia z datą
• kategoria ryzyka z uzasadnieniem: rodzaj działalności, kraj rejestracji, struktura własności, trafienia
• imię i nazwisko osoby, która zatwierdziła kartę, z dokładną datą zatwierdzenia

Gdy pojawia się trafienie na liście sankcyjnej lub powiązanie z PEP, AI nie podejmuje żadnej decyzji. Oznacza sprawę jako wymagającą pilnej uwagi, wysyła powiadomienie do AML officera i zawiesza dalsze czynności. Wyznaczona osoba decyduje: pogłębiona weryfikacja, zastosowanie wzmożonych środków bezpieczeństwa, odmowa nawiązania relacji albo zgłoszenie do GIIF.

Przykład z wdrożenia: biuro rachunkowe obsługuje fundusz inwestycyjny. Nowy klient: spółka zarejestrowana w Polsce, ale z udziałowcem zagranicznym trzymającym udziały przez holding z Luksemburga. AI wyciąga strukturę z CRBR, identyfikuje osobę fizyczną na końcu łańcucha własności i sprawdza jej dane w bazie PEP. Trafienie: osoba powiązana z eksponowanym stanowiskiem w kraju spoza UE. Karta wraca do AML officera z adnotacją i sugestią zastosowania wzmożonych środków bezpieczeństwa. Bez automatycznego sprawdzenia ten krok prawdopodobnie by się nie wydarzył, bo nikt nie wertowałby ręcznie zagranicznego udziałowca w zewnętrznej bazie dla każdego nowego klienta.

Jak fizycznie wygląda podłączenie: API, eksporty i dostępność danych

To ważna część. Zanim zaplanujecie wdrożenie, warto wiedzieć, co jest dostępne technicznie, a co wymaga dodatkowych decyzji lub umów z zewnętrznymi dostawcami.

CRBR: Ministerstwo Finansów udostępnia publiczne REST API do wyszukiwania beneficjentów rzeczywistych. Zapytanie idzie po numerze NIP lub KRS spółki, odpowiedź wraca w formacie JSON z listą beneficjentów, rodzajem kontroli i datą zgłoszenia. Podstawowe zapytania odczytowe nie wymagają rejestracji ani klucza. Dokumentacja jest przy portalu podatki.gov.pl. Pamiętajcie jednak: CRBR pokazuje to, co firma sama zgłosiła. Jeśli spółka nie zaktualizowała danych po zmianie wspólnika, rejestr będzie nieaktualny. AI zobaczy tę rozbieżność przez porównanie z danymi z KRS i to jest jeden z cenniejszych efektów automatyzacji.

KRS: Ministerstwo Sprawiedliwości prowadzi REST API (api-krs.ms.gov.pl). Bezpłatne, publiczne, bez klucza. Zwraca dane rejestrowe spółek: wspólnicy z udziałami procentowymi, zarząd, prokurenci, pełna historia wpisów z datami. Bardzo przydatne do porównania ze stanem z CRBR i do wykrycia zmian, o których biuro jeszcze nie wie.

CEIDG: Ministerstwo Rozwoju i Technologii udostępnia API do pobierania danych jednoosobowych działalności i spółek cywilnych. REST, z dokumentacją na biznes.gov.pl. Klucz API do pobrania po krótkim wniosku rejestracyjnym, bez opłat.

Polska lista sankcyjna: Ministerstwo Finansów publikuje listę podmiotów objętych sankcjami krajowymi jako plik XML i CSV. Nie ma real-time API: pobiera się plik według harmonogramu, ładuje do systemu i porównuje z listą klientów. Plik jest aktualizowany przez MF po każdej zmianie, więc codzienny harmonogram pobierania wystarczy.

Lista sankcyjna UE: Unia Europejska prowadzi skonsolidowaną listę sankcyjną dostępną przez serwis European Union Financial Sanctions. Dostępne REST API i pliki XML, pokrycie globalne, bez klucza do odczytu.

Bazy PEP: Tu nie ma bezpłatnego publicznego źródła. Korzysta się z komercyjnych dostawców: Refinitiv World-Check, Dow Jones Risk and Compliance, Complyadvantage, LexisNexis. Każdy z nich ma REST API, umowę i miesięczną opłatę abonamentową. Zakres bazy (ile osób, jakie kraje, jak często aktualizowana) i jakość danych różnią się między dostawcami. Wybór dostawcy PEP to jedna z pierwszych decyzji do podjęcia przy wdrożeniu. Warto też sprawdzić, czy obecna procedura AML firmy wskazuje konkretnego dostawcę, bo niektóre organy nadzorujące mają w tym zakresie wytyczne.

GIIF: Zgłoszenia transakcji podejrzanych i transakcji ponadprogowych do Generalnego Inspektora Informacji Finansowej odbywają się przez portal GIIF online. Na dziś nie ma otwartego API do automatycznego przesyłania zgłoszeń. AI przygotowuje dokumentację i formularz zgłoszenia z wypełnionymi polami, ale samo przesłanie przez portal GIIF robi wyznaczona osoba ręcznie po weryfikacji i zatwierdzeniu treści.

Pilnowanie zmian u istniejących klientów i odpowiedzi pracownikom

Instytucja obowiązana ma 14 dni od powzięcia informacji o zmianie beneficjenta na aktualizację dokumentacji. Problem polega na tym, że sama firma klienta ma obowiązek zaktualizować CRBR, ale instytucja obowiązana ma niezależny obowiązek aktualizacji swojej karty i oceny ryzyka, niezależnie od tego, czy klient to już zrobił.

AI może monitorować zmiany w KRS na portfelu klientów biura codziennie. Gdy pojawi się nowy wpis dotyczący spółki z portfela, asystent:

• pobiera aktualny odpis z KRS
• porównuje skład wspólników z poprzednią wersją odpisuhttp
• sprawdza stan w CRBR: czy beneficjent już zaktualizowany, czy jest rozbieżność między stanem KRS a stanem CRBR
• tworzy alert dla AML officera z datą zmiany, danymi starego i nowego beneficjenta oraz informacją o stanie CRBR
• otwiera zadanie: weryfikacja nowego beneficjenta, sprawdzenie PEP i sankcji dla nowej osoby, aktualizacja karty klienta, zatwierdzenie przez wyznaczoną osobę

Jeśli CRBR nie jest jeszcze zaktualizowany przez klienta, asystent odnotowuje rozbieżność w karcie klienta z datą wykrycia. To istotne na wypadek kontroli: można pokazać, że procedura zadziałała, biuro wykryło zmianę i ją monitoruje, nawet jeśli klient jeszcze nie złożył swojego zgłoszenia do CRBR.

Poza monitoringiem zmian asystent może odpowiadać pracownikom na bieżące pytania o procedurę. Czy ta spółka wymaga wzmożonych środków bezpieczeństwa? Kiedy mija termin aktualizacji dla klienta X? Jak kwalifikować fundację jako klienta? Co oznacza PEP pośredni? Konkretne pytania, konkretne odpowiedzi, z odwołaniem do wewnętrznej procedury biura albo do ustawy. Nie „sprawdź procedurę na stronie 12", tylko „dla klientów wysokiego ryzyka stosujecie wzmożone środki: weryfikacja źródła majątku, częstsze przeglądy co 6 miesięcy, zatwierdza prezes. Sprawdź kartę klienta Spółka XY sp. z o.o."

Przy kontroli z MF albo z urzędu skarbowego asystent przygotowuje komplet dokumentacji dla wybranych klientów: karty oceny ryzyka z historią wszystkich aktualizacji, daty każdej weryfikacji PEP i sankcji, listę przeprowadzonych transakcji ponadprogowych z opisami. Zbiera dane z systemu i układa w plik gotowy do przekazania kontrolującemu. Bez szukania po segregatorach i bez rekonstruowania, co kiedy było robione.

Od czego zaczyna się wdrożenie w biurze rachunkowym albo kancelarii

Zanim wejdą rejestry i listy sankcyjne, biuro potrzebuje dwóch rzeczy: aktualnej wewnętrznej procedury AML w formie dokumentu (jeśli stara, AI będzie z niej korzystać) oraz listy aktywnych klientów z podstawowymi danymi: NIP, forma prawna, przypisana dotąd kategoria ryzyka, jeśli była. To jest baza do pierwszego zasilenia.

Pierwsze uruchomienie wygląda typowo tak: AI przechodzi przez listę klientów, dla każdego pobiera dane z CRBR i KRS, sprawdza w listach sankcyjnych i (jeśli jest umowa z dostawcą PEP) w bazie PEP, generuje projekt karty ryzyka. Wyznaczona osoba przegląda karty, zatwierdza albo koryguje. Po kilku dniach biuro ma aktualną dokumentację dla całego portfela. Karty, których wcześniej nie było, albo były puste. Daty weryfikacji, które będzie można pokazać przy kontroli.

Potem system pracuje bieżąco: nowy klient wchodzi z wypełnionym projektem karty do zatwierdzenia, zmiany w KRS generują alerty w ciągu 24 godzin, terminy aktualizacji są pilnowane automatycznie. Jeśli biuro używa już dedykowanego oprogramowania AML, AI pracuje obok niego: czyta dane z rejestrów i odpowiada pracownikom na pytania, zamiast dublować system ewidencji.

Chcecie zobaczyć, jak to działa na Waszych klientach i Waszej procedurze? 15 minut rozmowy wystarczy, żeby ocenić, co da się podłączyć od razu, a co wymaga decyzji (na przykład wybór dostawcy bazy PEP). Mamy też realne wdrożenia z biur rachunkowych i kancelarii, gdzie taki proces pracuje już od miesięcy.