Zawiadomienia instytucji obowiązanej o transakcjach ponadprogowych do GIIF

Podstawa prawna i zakres obowiązków

Zgodnie z art. 72 ust. 1 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (tzw. ustawa AML), instytucja obowiązana ma obowiązek przekazać Generalnemu Inspektorowi Informacji Finansowej informacje o każdej transakcji, której równowartość przekracza 15 000 euro. Definicja obejmuje zarówno pojedyncze operacje, jak i kilka powiązanych ze sobą transakcji, których suma przekroczy próg ustawowy. Obowiązek istnieje niezależnie od tego, czy czynność budzi podejrzenia – ustawodawca wprost nakazuje raportowanie wszystkich transakcji ponadprogowych.

Ustawa przewiduje jednak wyjątki. Zgłoszeniu nie podlegają m.in. operacje między rachunkami tego samego klienta w jednej instytucji, a także transakcje dokonywane w ramach zwykłej działalności instytucji obowiązanej na jej własny rachunek. Celem tych wyłączeń jest odciążenie GIIF od informacji, które nie mają znaczenia dla oceny ryzyka prania pieniędzy.

Krąg instytucji obowiązanych został szeroko zdefiniowany w art. 2 ustawy AML. Poza bankami i dużymi podmiotami rynku finansowego należą do niego m.in. kantory, przedsiębiorcy świadczący usługi w zakresie walut wirtualnych, biura rachunkowe, biegli rewidenci, doradcy podatkowi, notariusze, pośrednicy w obrocie nieruchomościami czy kancelarie prawne przy określonych czynnościach (np. zakładanie spółek, obsługa obrotu nieruchomościami). W praktyce to właśnie te mniejsze podmioty mierzą się najczęściej z wyzwaniami technicznymi związanymi z raportowaniem.

Termin na zgłoszenie transakcji ponadprogowej wynosi 7 dni od jej przeprowadzenia (art. 72 ust. 5 AML). Zgodnie z zasadami kodeksu postępowania administracyjnego, dnia dokonania transakcji nie wlicza się do biegu terminu, co oznacza, że np. operacja wykonana w poniedziałek powinna być zgłoszona najpóźniej we wtorek kolejnego tygodnia.

Dla kontrastu warto wskazać art. 74 AML, który dotyczy tzw. zawiadomień o transakcjach podejrzanych (SAR). W tym przypadku liczy się nie próg kwotowy, lecz ocena ryzyka – zgłoszeniu podlega każda czynność, która może wskazywać na pranie pieniędzy lub finansowanie terroryzmu. Obowiązek jest znacznie bardziej rygorystyczny czasowo: zawiadomienie należy złożyć „niezwłocznie”, w praktyce w ciągu 24 godzin od powzięcia podejrzenia, a nie później niż w terminie 2 dni roboczych.

Techniczne wymogi zgłoszenia CTR

Raportowanie transakcji ponadprogowych to proces wymagający zachowania ścisłych standardów technicznych. Nie jest to proste wypełnienie formularza – każde zgłoszenie musi spełniać określone wymogi formy, bezpieczeństwa i autoryzacji.

• Forma elektroniczna – wszystkie zawiadomienia przesyła się wyłącznie w postaci plików XML zgodnych ze schematami GIIF, opublikowanymi w Centralnym Repozytorium Wzorów Dokumentów Elektronicznych. W praktyce oznacza to konieczność korzystania ze specjalnego oprogramowania albo narzędzi Ministerstwa Finansów.

• System GIIF – dokumenty trafiają do GIIF poprzez dedykowany system teleinformatyczny. Każdy plik jest automatycznie weryfikowany; błędna struktura XML czy brak wymaganych elementów powodują jego odrzucenie i konieczność sporządzenia korekty.

• Podpis kwalifikowany – każde zgłoszenie musi być opatrzone kwalifikowanym podpisem elektronicznym (albo kwalifikowaną pieczęcią instytucji). Brak podpisu skutkuje automatycznym odrzuceniem pliku. W praktyce oznacza to konieczność nabycia i utrzymywania certyfikatu nawet przez najmniejsze podmioty, jak kantor czy biuro rachunkowe.

• Szyfrowanie – przesyłane dane są zabezpieczane kluczem publicznym GIIF, co uniemożliwia przekazywanie zgłoszeń zwykłym e-mailem.

• Formularz identyfikacyjny – zanim instytucja zacznie raportować CTR, musi przesłać do GIIF formularz identyfikacyjny zawierający podstawowe dane podmiotu (nazwa, adres, NIP, osoby uprawnione). Formularz również wymaga kwalifikowanego podpisu i stanowi warunek wstępny do uruchomienia raportowania.

W efekcie zgłoszenie CTR to nie jednorazowa czynność, ale proces wymagający odpowiednich narzędzi, dostępu do podpisu kwalifikowanego oraz znajomości wymogów technicznych GIIF. Nawet drobne błędy formalne – literówka w schemacie XML czy brak podpisu – skutkują odrzuceniem zawiadomienia i ryzykiem przekroczenia terminu ustawowego.

Problemy praktyczne dla mniejszych instytucji

Teoretycznie zgłaszanie transakcji ponadprogowych wydaje się proste – w praktyce to dla wielu mniejszych instytucji obowiązanych poważne wyzwanie organizacyjne i techniczne. Banki czy duże instytucje finansowe posiadają działy compliance i dedykowane systemy informatyczne. Tymczasem kantor, biuro rachunkowe czy pośrednik nieruchomości często musi mierzyć się z obowiązkiem samodzielnie, bez zaplecza technologicznego i kadrowego.

Najczęstsze problemy to:

• brak specjalistów IT i zaplecza compliance – w małej firmie nikt nie zajmuje się na co dzień obsługą systemów GIIF czy walidacją plików XML,

• skomplikowana struktura plików XML – nawet drobny błąd techniczny (np. brak wymaganej rubryki) powoduje odrzucenie raportu, co w praktyce oznacza konieczność przygotowania korekty i ryzyko przekroczenia terminu,

• koszt podpisu kwalifikowanego – instytucja obowiązana musi zainwestować w certyfikat i regularnie go odnawiać, nawet jeśli wykonuje kilka zgłoszeń rocznie,

• problemy interpretacyjne – trudność w ocenie, czy dana transakcja podlega zgłoszeniu; typowym przypadkiem są np. kilka wpłat gotówkowych od jednego klienta w krótkim czasie, które łącznie przekraczają próg 15 000 euro – ustawa (art. 72 AML) wymaga ich traktowania jako jednej transakcji, co wymaga wiedzy i czujności,

• ryzyko spóźnień – brak doświadczenia w obsłudze systemu, konieczność ponownego przesłania pliku albo niepewność co do kwalifikacji transakcji często prowadzą do przekroczenia 7-dniowego terminu, a to wiąże się z możliwością nałożenia sankcji.

W efekcie wielu przedsiębiorców z sektora MSP traktuje obowiązek raportowania CTR jako obciążenie trudne do spełnienia własnymi siłami. To właśnie ta grupa najczęściej rozważa powierzenie analizy i składania zawiadomień zewnętrznym doradcom – aby uniknąć nie tylko błędów technicznych, ale i odpowiedzialności finansowej.

Konsekwencje zaniedbań

Zaniedbanie obowiązku zgłaszania transakcji ponadprogowych nie kończy się na upomnieniu. Praktyka pokazuje, że GIIF i organy nadzorcze stosują sankcje także wobec mniejszych podmiotów. Choć często kwoty wydają się niewielkie, stanowią sygnał, że instytucje obowiązane – niezależnie od skali działalności – pozostają pod realnym nadzorem.

Ustawa AML przewiduje znacznie szerszy katalog sankcji:

• kary administracyjne – do 5 000 000 euro lub do 10% rocznego obrotu przedsiębiorcy (art. 150 AML),

• odpowiedzialność karna – w skrajnych przypadkach, za celowe naruszenie obowiązków, grozi kara pozbawienia wolności,

• środki dodatkowe – np. publikacja informacji o nałożeniu kary, co wiąże się z poważnym ryzykiem reputacyjnym.

Zaniedbania mogą prowadzić także do wszczęcia kontroli przez GIIF lub inne organy nadzoru. Kontrola taka nie tylko generuje dodatkowe koszty i paraliżuje pracę firmy, ale może ujawnić kolejne uchybienia proceduralne. Negatywny wynik kontroli czy wpis o sankcji w historii podmiotu mogą z kolei zaważyć na relacjach biznesowych i utrudnić dostęp do współpracy z partnerami finansowymi.

W konsekwencji nawet pojedyncze niedopatrzenie w raportowaniu CTR może stać się początkiem poważnych problemów – zarówno finansowych, jak i wizerunkowych.

Wsparcie zewnętrzne – analiza i rekomendacja

Raportowanie CTR to nie tylko kwestia techniki. Kluczowe jest ustalenie, czy dana transakcja w ogóle podlega zgłoszeniu oraz czy dany podmiot należy do instytucji zobowiązanych w rozumieniu art. 72 ustawy AML i Komunikatu nr 11 GIIF. To bardzo ważne – część firm objętych ustawą (np. biura rachunkowe) nie składa CTR, bo nie przyjmują ani nie wypłacają gotówki ani nie realizują transferów. Właśnie na tym etapie pomoc profesjonalistów ma największą wartość.

Nasza kancelaria może przejąć cały proces, obejmujący m.in.:

• analizę transakcji – weryfikujemy, czy pojedyncza operacja lub kilka powiązanych czynności przekracza próg 15 000 euro oraz czy spełnia definicję z art. 72 AML,

• kontakt z klientem instytucji obowiązanej – w Twoim imieniu uzyskujemy wyjaśnienia dotyczące źródła środków czy celu transakcji,

• sporządzenie rekomendacji – wskazujemy, czy transakcja powinna zostać zgłoszona jako CTR, czy mieści się w wyjątkach, a może kwalifikuje się jako SAR,

• przygotowanie i wysyłkę dokumentu – kompletujemy dane i przygotowujemy gotowy plik XML, podpisany kwalifikowanym podpisem pełnomocnika kancelarii.

Dzięki temu przedsiębiorca nie musi martwić się o szczegóły techniczne ani o ryzyko błędnej kwalifikacji transakcji. To my bierzemy na siebie ciężar analizy, kontaktu z klientem i przygotowania dokumentacji zgodnie z wymogami GIIF.

W praktyce oznacza to oszczędność czasu, pewność prawną i spokój podczas ewentualnej kontroli. Zamiast zastanawiać się, jak poprawnie wypełnić obowiązek AML, możesz skupić się na prowadzeniu swojego biznesu.

Rekomendacje i podsumowanie

Obowiązek raportowania CTR to nie zadanie, które można odkładać na później – wymaga systematyczności i dobrze zorganizowanych procedur. Każda instytucja obowiązana powinna wdrożyć co najmniej podstawowe mechanizmy bezpieczeństwa:

• regularne monitorowanie transakcji pod kątem przekroczenia progu 15 000 euro,

• korzystanie z dedykowanego oprogramowania ułatwiającego generowanie plików XML,

• szkolenie pracowników w zakresie identyfikacji transakcji powiązanych i obsługi systemu GIIF.

W praktyce jednak mniejsze podmioty często nie mają zasobów, aby samodzielnie udźwignąć ciężar technicznych wymogów i ryzyka błędów. Dlatego coraz częściej sięgają po outsourcing obsługi CTR – przekazanie analizy transakcji i składania zawiadomień profesjonalnej kancelarii lub doradcy. Taka współpraca oznacza nie tylko odciążenie organizacyjne, ale przede wszystkim większe bezpieczeństwo prawne: zgłoszenia są terminowe, prawidłowo przygotowane i opatrzone kwalifikowanym podpisem pełnomocnika.

Warto potraktować ten obowiązek jako inwestycję w spokój i stabilność biznesu. Nie ryzykuj błędów technicznych i sankcji – przekaż obsługę zawiadomień profesjonalistom.

Zaufali nam