Pakiet reform AML/CFT przyjęty przez Unię Europejską zacznie obowiązywać od lipca 2027. Według najnowszych badań zaledwie co trzecia instytucja spodziewa się osiągnąć gotowość w terminie. Gdzie leży problem — i dlaczego odpowiedzią nie jest więcej dokumentacji?
Jeśli Twoja organizacja jest wśród pozostałych 2/3 — oto trzy pytania, od których warto zacząć:
Wstęp
W maju 2024 roku Unia Europejska przyjęła kompleksowy pakiet reform w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu (AML/CFT). Jak wskazuje Richard Summerfield na łamach Financier Worldwide, nowe regulacje obejmują rozporządzenie AMLR stosowane bezpośrednio we wszystkich państwach członkowskich, szóstą dyrektywę AMLD6 oraz nowy organ nadzoru — Anti-Money Laundering Authority (AMLA), przejmujący kompetencje od EBA. Razem tworzą tzw. Single Rulebook — jednolity zbiór zasad, który fundamentalnie zmienia architekturę compliance na kontynencie.
Publikacja podkreśla, że zakres reform wykracza poza sektor bankowy. Nowe obowiązki obejmą wszystkie „obliged entities” — w tym biura rachunkowe, audytorów i doradców podatkowych. Dla wielu z nich lipiec 2027 oznacza nie korektę procedur, lecz budowę systemu compliance niemal od podstaw.
Sektor pod presją — diagnoza stanu przygotowań
Gotowość na papierze, nie w praktyce
Artykuł przywołuje wyniki badania PwC „EMEA AML Survey 2026″: tylko około jednej trzeciej instytucji spodziewa się osiągnąć gotowość na termin wejścia w życie pakietu AML. Miroslav Ðuric, Senior Associate w Taylor Wessing, identyfikuje fundamentalny problem — założenie, że istniejące struktury compliance wystarczą po drobnej korekcie. Nowy rulebook jest znacznie bardziej granularny: beneficial ownership, ocena ryzyka, enhanced due diligence, odpowiedzialność senior managementu. Każda instytucja powinna przeprowadzić pełny gap assessment.
Anna Kostus z FTI Consulting pogłębia diagnozę: pakiet AML to zmiana jakościowa z reżimu dyrektywowego na zharmonizowany Single Rulebook. Wymaga transformacji enterprise-wide, nie aktualizacji polityk. Kluczowe ryzyko to nie brak czasu, lecz misalokacja wysiłku: „Firms are focusing on documented frameworks instead of operationalisation.” Organizacje dokumentują procedury zamiast je wdrażać operacyjnie.
AMLA i koniec arbitrażu nadzorczego
Publikacja szczegółowo omawia przełomową rolę AMLA. Przeniesienie kompetencji z EBA oznacza przejście od koordynacji do bezpośredniego nadzoru nad podmiotami transgranicznymi. Kyriaki Stinga z Elias Neocleous & Co. wyjaśnia: „The Single Rulebook is not simply introducing stricter requirements” — zmienia sposób, w jaki instytucje mają zarządzać kontrolami przestępczości finansowej we wszystkich jurysdykcjach.
Ðuric dodaje, że kluczowa zmiana polega na eliminacji arbitrażu nadzorczego — praktyki lokowania operacji w jurysdykcjach o najłagodniejszym podejściu. Kostus wskazuje, że nadzór AMLA będzie oparty na ciągłym, data-driven monitoringu, w którym jakość i terminowość danych staną się ważniejsze niż okresowe przeglądy dokumentowe.
KYC jako zdolność strategiczna
Artykuł identyfikuje weryfikację klienta (KYC/CDD) jako najtrudniejszy operacyjnie aspekt compliance AML. Dorina Mastora z Elias Neocleous & Co. argumentuje, że pod rządami Single Rulebook due diligence staje się kluczową zdolnością instytucjonalną — strategiczną funkcją governance osadzoną w całym cyklu życia klienta, nie kontrolą reaktywną.
Publikacja zwraca też uwagę na wymiar technologiczny: przejście na identyfikację elektroniczną zgodną z eIDAS jako domyślną metodę weryfikacji może zepchnąć wideoidentyfikację do roli zapasowej. Kostus rekomenduje dynamiczny scoring ryzyka, przeglądy trigger-based oraz integrację danych w czasie rzeczywistym.
Perspektywa norm ISO
ISO 37301:2021 — systemowa odpowiedź na wyzwanie compliance
Artykuł wielokrotnie podkreśla, że nowy reżim wymaga zdolności do zarządzania zgodnością jako procesem ciągłym, osadzonym w governance. To domena normy ISO 37301:2021, definiującej wymagania dla systemu zarządzania zgodnością.
Postulat Ðurica dotyczący gap assessment znajduje odzwierciedlenie w klauzulach 4.5 i 4.6 — systematyczna identyfikacja obowiązków compliance i ocena ryzyka braku zgodności, powtarzana przy każdej istotnej zmianie. Klauzula 5.1 wymaga od zarządu aktywnego zaangażowania w system compliance, włącznie z niezależnością funkcji compliance (kl. 5.3.2) — to operacjonalizacja „senior management accountability” z AMLR. Klauzula 9 — monitorowanie i wskaźniki KPI — dostarcza architekturę ciągłego nadzoru, który ma zastąpić okresowe przeglądy dokumentowe postulowane przez Kostus.
ISO 37001:2025 — infrastruktura due diligence
Wątek enhanced due diligence i beneficial ownership łączy się z normą ISO 37001:2025. Choć dotyczy reżimu antykorupcyjnego, jej infrastruktura due diligence (kl. 8.2) — ocena ryzyka wobec partnerów, identyfikacja beneficial ownership, kontrole finansowe (kl. 8.3) — dzieli wspólny szkielet z wymogami AMLR. Instytucje budujące systemy EDD mogą wykorzystać architekturę ISO 37001 jako sprawdzony wzorzec procesu due diligence opartego na ryzyku.
Praktyczne implikacje
Synteza tez artykułu z perspektywą normatywną prowadzi do konkretnych wniosków. Gap assessment powinien być punktem wyjścia — ISO 37301 (kl. 4.5–4.6) dostarcza metodologię: identyfikacja obowiązków, mapowanie na działalność, ocena ryzyka rezydualnego. Operacjonalizacja ma pierwszeństwo przed dokumentacją — klauzula 8.1–8.2 wymaga, aby kontrole compliance były nie tylko wdrożone, ale testowane pod kątem skuteczności. KYC/CDD wymaga przebudowy z funkcji reaktywnej w zdolność strategiczną, a ISO 37001 (kl. 8.2) oferuje model due diligence skalowalnego proporcjonalnie do ryzyka.
Wreszcie, architektura compliance musi być projektowana na zmienność regulacyjną. Konfigurowalne silniki reguł, wersjonowanie polityk, podejście API-first — to wymóg operacyjny w środowisku, gdzie Single Rulebook będzie ewoluował ze standardami technicznymi AMLA i wymogami eIDAS.
Podsumowanie
Artykuł Summerfielda rysuje obraz sektora w wyścigu z czasem — ale największym zagrożeniem nie jest termin, lecz błędna alokacja wysiłku. Dwie trzecie instytucji nieprzygotowanych na lipiec 2027 nie potrzebują więcej czasu na dokumentowanie procedur. Potrzebują zmiany podejścia: od compliance formalnego do operacyjnego, od kontroli okresowych do ciągłego monitoringu, od reaktywnego KYC do strategicznego zarządzania ryzykiem klienta. Certyfikacja ISO 37301 może być w tym procesie nie kolejnym dokumentem na półce, lecz dowodem faktycznej operacjonalizacji systemu zarządzania zgodnością.
FAQ: Gotowość na AMLR AMLD6
Pakiet AML UE to kompleksowa reforma przyjęta przez Unię Europejską w maju 2024 roku, obejmująca rozporządzenie AMLR (stosowane bezpośrednio), szóstą dyrektywę AMLD6 oraz utworzenie nowego organu nadzoru — AMLA. Kluczowe obowiązki zaczną obowiązywać od lipca 2027 roku. Pakiet tworzy tzw. Single Rulebook — pierwszy w historii UE w pełni zharmonizowany reżim przeciwdziałania praniu pieniędzy.
Nowe obowiązki dotyczą wszystkich 0bliged entities — nie tylko banków, ale także biur rachunkowych, audytorów i doradców podatkowych. Według badania PwC - EMEA AML Survey 2026, jedynie około jednej trzeciej instytucji spodziewa się osiągnąć gotowość w terminie. Głównym problemem nie jest brak czasu, lecz misalokacja wysiłku — firmy dokumentują frameworki compliance zamiast je operacjonalizować.
AMLA (Anti-Money Laundering Authority) to nowy europejski organ nadzoru, który przejmuje kompetencje od EBA. Jego utworzenie oznacza przejście od modelu koordynacyjnego do bezpośredniego, data-driven nadzoru nad wybranymi podmiotami obligowanymi. AMLA eliminuje arbitraż nadzorczy — dotychczasową praktykę lokowania operacji w jurysdykcjach o najłagodniejszym podejściu.
Gap assessment powinien obejmować systematyczną identyfikację obowiązków compliance i ich mapowanie na działalność operacyjną, ocenę ryzyka braku zgodności (w tym ryzyka rezydualnego), weryfikację gotowości procesów KYC/CDD do pracy w trybie ciągłym, oraz analizę odpowiedzialności senior managementu. ISO 37301:2021 (klauzule 4.5–4.6) dostarcza metodologię takiej oceny.
ISO 37301:2021 definiuje wymagania dla systemu zarządzania zgodnością — od identyfikacji obowiązków compliance (kl. 4.5) i oceny ryzyka (kl. 4.6), przez odpowiedzialność zarządu (kl. 5.1) i niezależność funkcji compliance (kl. 5.3.2), po monitorowanie wskaźnikami KPI (kl. 9) i ciągłe doskonalenie (kl. 10). Certyfikacja ISO 37301 stanowi dowód operacjonalizacji systemu compliance — a nie tylko jego udokumentowania.
Bibliografia:
Ekspert w zakresie systemów zarządzania ISO, MSUES, RODO, Compliance. Audytor, konsultant, trener.