Zawiadomień do GIIF przyszło o 3101 więcej. Tych, po których rachunek staje — o sześć

W 2025 r. do Generalnego Inspektora Informacji Finansowej wpłynęło 10 111 zawiadomień opartych na art. 74 ustawy o przeciwdziałaniu praniu pieniędzy i 495 opartych na art. 86, co pokazuje tabela 4 sprawozdania GIIF za 2025 rok. Rok wcześniej było ich odpowiednio 7010 i 489. Pierwszy kanał spuchł o 3101 zgłoszeń. Drugi — o sześć.

Popularny nagłówek mówi, że monitoring transakcji przejmują systemy i że analityk w dziale przeciwdziałania praniu pieniędzy jest następny w kolejce. Te dwie liczby mówią coś węższego i mniej wygodnego: cały przyrost wylądował w kanale, w którym nikomu nie staje ani złotówka. Kanał, w którym pieniądze stają, nie drgnął. Jeśli zajmujesz się tym zawodowo albo celujesz w tę rolę, to właśnie tam siedzi reszta pracy.

Dwa przepisy wyglądają na ekranie tak samo. Jeden zatrzymuje pieniądze, drugi nie

W systemie oba zgłoszenia zaczynają się identycznie: alert, przegląd historii klienta, decyzja. Różnica jest w skutku, który następuje bez udziału kogokolwiek dalej.

Art. 74 ust. 1 tekstu jednolitego ustawy (Dz.U. 2025 poz. 644) każe zawiadomić GIIF o „okolicznościach, które mogą wskazywać na podejrzenie popełnienia przestępstwa”. Ustęp 2 daje na to termin: niezwłocznie, nie później niż w terminie 2 dni roboczych od dnia potwierdzenia podejrzenia. Rachunek klienta działa dalej. Przelew wychodzi.

Art. 86 ust. 1 dotyczy innego stanu: „powzięcia uzasadnionego podejrzenia”. Tu nie ma dwóch dni, jest „niezwłocznie”. I jest ustęp 4, który rozstrzyga o całej roli: do czasu otrzymania żądania GIIF albo zwolnienia, nie dłużej jednak niż przez 24 godziny, licząc od momentu potwierdzenia przyjęcia zawiadomienia, instytucja obowiązana nie przeprowadza tej transakcji ani innych transakcji obciążających rachunek.

Czyli: samo wysłanie zawiadomienia z art. 86 zamraża rachunek. Nie „może skutkować blokadą”, nie „po decyzji nadzoru”. Z mocy przepisu, od godziny wpisanej w urzędowe poświadczenie odbioru, które GIIF wystawia na podstawie art. 86 ust. 3. Zanim ktokolwiek w GIIF przeczyta uzasadnienie, klient nie zapłaci z tego rachunku za nic.

Te same 96 godzin liczy się raz od poświadczenia, raz od żądania

Ten szczegół wygląda na drobiazg redakcyjny i nie jest nim. Art. 86 ust. 5 mówi, że GIIF żąda wstrzymania transakcji lub blokady rachunku „na okres nie dłuższy niż 96 godzin, licząc od daty i godziny wskazanych w potwierdzeniu” — czyli od poświadczenia odbioru zawiadomienia. Art. 87 ust. 2, który dotyczy blokady z własnej inicjatywy GIIF, liczy te same 96 godzin „od momentu otrzymania żądania”.

Praktyczna konsekwencja jest taka: w trybie z art. 86 doba, którą instytucja obowiązana zużywa na oczekiwanie, wchodzi do tych 96 godzin. Zawiadomienie wysłane w piątek po południu przepala okno w weekend. W trybie z art. 87 zegar startuje dopiero wtedy, gdy żądanie dotrze. Godzina wysłania zawiadomienia jest więc parametrem decyzji, nie formalnością.

Na końcu tego łańcucha stoi prokurator, który na podstawie art. 86 ust. 9 może postanowieniem wstrzymać transakcję lub zablokować rachunek na czas oznaczony, nie dłuższy niż 6 miesięcy, a na podstawie ust. 11a przedłużyć to o kolejne 6 miesięcy. Jeśli w czasie blokady nie padnie postanowienie o zabezpieczeniu majątkowym albo w przedmiocie dowodów rzeczowych, blokada upada z mocy ust. 13. Czyjeś pieniądze stoją nieruchomo nawet rok, a punktem wyjścia była jedna kwalifikacja zrobiona przy biurku.

Przyrost o 3101 zgłoszeń trafił tam, gdzie nikt nie podpisuje decyzji

Sprawozdanie GIIF samo wskazuje przyczynę wzrostu: „dokładniejszą analizą transakcji przez IO, zastosowaniem nowych technologii w procesach analitycznych”, a także szkoleniami. To jest opis automatyzacji wykrywania, napisany przez odbiorcę zgłoszeń. Widać też, w którym kanale ta automatyzacja wyszła.

Bo kanał z art. 86 nie został pusty. Przy praktycznie niezmienionej liczbie zawiadomień liczba blokad dokonanych na tej podstawie poszła z 413 w 2024 r. do 617 w 2025 r., a kwota z 84,0 do 179,98 mln zł, co tabela 9 sprawozdania GIIF opisuje jako wzrost o około 114 proc. rok do roku. Łącznie z trybem z art. 87 wyszło 1170 blokad rachunków na 266,58 mln zł.

Tyle samo decyzji, dwa razy więcej zamrożonych pieniędzy pod każdą z nich. Jedna decyzja analityka waży dziś więcej niż rok wcześniej, a nie mniej. Gdyby kwalifikacja do art. 86 była czynnością, którą da się odczytać z wyniku modelu, ta liczba rosłaby razem z 10 111 zgłoszeń z art. 74. Nie rośnie.

Kontrola nie pyta, czy wyłapałeś. Pyta, czy zapisałeś, dlaczego

Tu jest druga połowa odpowiedzi na pytanie, co w tej roli zostaje. KNF przeprowadziła w 2025 r. 18 kontroli w obszarze AML/CFT i zidentyfikowała 293 nieprawidłowości w siedmiu obszarach naruszeń — sprawozdanie UKNF podaje, że skończyło się to 80 zaleceniami pokontrolnymi, z czego 63 dla sektora bankowego (17 dla banków komercyjnych i 46 dla spółdzielczych) oraz dwoma upomnieniami.

Co nadzór wymienia jako najczęstsze? Nie „nieprzechwycenie podejrzanej transakcji”. Na pierwszym miejscu stoi brak dokumentowania albo nieprawidłowy sposób dokumentowania zastosowanych środków bezpieczeństwa finansowego lub wyników bieżącej analizy przeprowadzonych transakcji. W obszarze analiz transakcji: brak dokumentowania przeprowadzania analiz w badanym okresie oraz brak szczegółowych reguł analitycznych uzależnionych wprost od poziomu ryzyka klienta. Dalej: nieterminowe przekazywanie informacji do GIIF albo brak przekazywania.

Ten sam wzór widać po stronie GIIF. Z 191 nieprawidłowości stwierdzonych w jego własnych kontrolach 77 dotyczyło art. 33 i 34 — niezastosowania lub nieprawidłowego zastosowania środków bezpieczeństwa finansowego oraz nieprzeprowadzenia bądź nieprawidłowego przeprowadzenia analizy i oceny ryzyka. To jedna kategoria i 40 proc. wszystkich zarzutów.

Model scoringowy nie wytwarza takiego zapisu. Zostawia po sobie wynik, próg i wersję reguły. Rekonstrukcję rozumowania — dlaczego ten alert zamknięto bez zgłoszenia, a tamten poszedł jako art. 86 — pisze człowiek, i to ona jest przedmiotem kontroli. Mechanizm jest ten sam, co przy kodzie z generatora, w którym walidacja postawiona wyłącznie po stronie interfejsu wpuszcza do bazy wartości, których sam formularz nie dopuszcza: narzędzie podaje wynik, a odpowiada ten, kto go przepuścił dalej.

Osiem pól zawiadomienia. Siedem wypełnia system, ósme pisze człowiek

Art. 74 ust. 3 wylicza, co podaje się w zawiadomieniu, i to wyliczenie ma osiem punktów. Siedem pierwszych to dane: identyfikacja klienta i osób trzecich, rodzaj i wielkość wartości majątkowych, numer rachunku w formacie IBAN, informacje o transakcjach i próbach ich przeprowadzenia, wskazanie państwa EOG przy działalności transgranicznej, informacje o rozpoznanym ryzyku i o czynie zabronionym. Wszystko to da się wyciągnąć z systemów.

Punkt 8 brzmi: „uzasadnienie przekazania zawiadomienia”. Art. 86 ust. 2 nakazuje stosować ten przepis odpowiednio i dokłada informację o przewidywanym terminie przeprowadzenia transakcji. Nie ma tam formularza ani listy dozwolonych uzasadnień.

Ustawa idzie dalej i wskazuje osobę. Art. 8 każe instytucji obowiązanej wyznaczyć pracownika zajmującego kierownicze stanowisko odpowiedzialnego za zgodność, i ten sam przepis czyni go odpowiedzialnym za przekazywanie zawiadomień z art. 74 ust. 1, art. 86 ust. 1, art. 89 ust. 1 i art. 90. Art. 7 wymaga dodatkowo wyznaczenia członka organu zarządzającego. To są dwa nazwiska, nie dwa systemy.

Co z tego wynika dla warsztatu: uzasadnienie, które przechodzi kontrolę, odpowiada na cztery pytania, a żadnego z nich nie odpowie za ciebie scoring:

• Jaki konkretny czyn zabroniony stoi za pieniędzmi i dlaczego ten, a nie inny — punkt 7 wymaga tego wprost.
• Co w zachowaniu klienta odbiega od jego własnego profilu, a nie od średniej populacji.
• Dlaczego kwalifikacja to art. 86, a nie art. 74 — czyli co podnosi „może wskazywać” do „uzasadnionego”.
• Co sprawdzono i nie potwierdziło podejrzenia. Ten element najczęściej wypada z notatki, a kontrola szuka właśnie śladu analizy, nie jej wyniku.

W małej instytucji obowiązanej tej roli nie ma kto obsadzić na etacie

Obowiązek z art. 7 i 8 nie zależy od wielkości podmiotu. Dotyczy też kantoru, biura nieruchomości i firmy pożyczkowej. Skutki widać w kontrolach NBP: w 2025 r. objęły 325 przedsiębiorców i 488 kantorów, a nieprawidłowości wyszły w 81 kantorach prowadzonych przez 54 przedsiębiorców. Na liście znalazły się niewyznaczenie pracownika odpowiedzialnego, nieudokumentowanie zastosowania środków bezpieczeństwa finansowego i nieprzechowywanie wyników bieżącej analizy transakcji. Ukarano 18 przedsiębiorców, łącznie na 321 tys. zł.

Dla osoby, która tę kwalifikację umie zrobić i opisać, to jest rynek poza bankiem. Podmiot z kilkunastoma pracownikami nie utrzyma pełnego etatu w compliance, ale potrzebuje wyznaczonej osoby, procedury i zapisu analiz — i potrzebuje tego stale, nie raz. Taki układ rozlicza się abonamentem, a nie pojedynczym zleceniem, dlatego sensowne jest wejście w to od strony przejścia z pracy projektowej na stałą obsługę w modelu abonamentowym. Ostrzeżenie jest po tej samej stronie: wyznaczenie z art. 8 to odpowiedzialność osobista, a nie dodatkowa linijka w umowie.

Trzy rzeczy do dopisania do warsztatu przed 2027 rokiem

Unijny pakiet AML — rozporządzenie 2024/1624 i dyrektywa 2024/1640 — zaczyna być stosowany od 2027 r. według Komisji Europejskiej. Rozporządzenie działa bezpośrednio, więc część obecnych procedur wewnętrznych trafi do przepisania niezależnie od tego, co zrobi polski ustawodawca — a procedura, którą ma wykonać kto inny niż jej autor, wymaga innego zapisu niż notatka dla siebie. Trzy pozycje, które mają wartość już teraz i nie stracą jej po zmianie:

• Własna notatka kwalifikacyjna na jedną stronę. Cztery pytania wyżej plus data, godzina i wskazanie, czyja decyzja. To jedyny artefakt, który w kontroli obroni twoją pracę, i jedyny, którego model nie wyprodukuje za ciebie.
• Umiejętność czytania reguły, która wygenerowała alert. Nie trenowanie modelu — odczytanie progu, okna czasowego i wersji reguły, bo to wchodzi do uzasadnienia. Nadzór wprost zarzuca brak reguł uzależnionych od poziomu ryzyka klienta, czyli pyta o to, co w regule siedzi.
• Kalendarz zegarów. Dwa dni robocze z art. 74, 24 godziny z art. 86 ust. 4, 96 godzin liczone od poświadczenia w art. 86 i od żądania w art. 87, sześć miesięcy prokuratora. Pomyłka w punkcie startowym jest pomyłką o weekend.

Decyzja na najbliższy tydzień jest wąska i da się ją podjąć bez niczyjej zgody: weź trzy ostatnie alerty zamknięte bez zgłoszenia i spróbuj do każdego dopisać odpowiedź na pytanie, dlaczego to nie było „uzasadnione podejrzenie” w rozumieniu art. 86 ust. 1. Jeśli przy którymkolwiek nie masz czego napisać poza wynikiem systemu, to jest dokładnie to miejsce, w którym twoja rola się jeszcze nie skończyła — i w którym kontrola zajrzy pierwsza.