AML a sankcje — czym się różnią i dlaczego to nie to samo

Jeśli ktoś powiedział Ci, że sanction screening to sprawa banków i firm objętych ustawą AML (ustawą z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu), to usłyszałeś nieprawdę. AML i reżim sankcji UE to dwa odrębne systemy prawne — z różnymi podstawami, różnym zakresem podmiotowym i różnymi organami nadzorującymi. Rozporządzenie Rady (UE) nr 269/2014¹ obowiązuje każdą firmę działającą w Unii Europejskiej, niezależnie od tego, czy jest instytucją obowiązaną w rozumieniu ustawy AML. Ten artykuł wyjaśnia tę różnicę raz na zawsze.

Stan prawny na dzień: 2026-05-20.

TL;DR — kluczowe różnice w sześciu punktach

• AML (przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu) to ustawa z 1 marca 2018 r., która nakłada obowiązki na zamknięty katalog podmiotów — tzw. instytucje obowiązane — głównie banki, biura rachunkowe, pośredników nieruchomości, notariuszy i podobne.
• Sankcje UE wynikają z rozporządzeń unijnych (przede wszystkim nr 269/2014¹ i nr 833/2014²), które stosują się bezpośrednio do każdej osoby fizycznej i prawnej na terytorium Unii — bez wyjątku branżowego i bez progu wielkości firmy.³
• Jeśli Twoja firma nie jest instytucją obowiązaną AML, nadal masz obowiązek sanction screeningu wynikający wprost z rozporządzeń UE i ustawy z 13 kwietnia 2022 r.⁴
• Organem od AML jest GIIF (Generalny Inspektor Informacji Finansowej); organem od sankcji dla firm niefinansowych jest Szef Krajowej Administracji Skarbowej⁵ — to dwie różne instytucje, dwa różne tryby kontroli.
• Kara administracyjna za naruszenie obowiązku sankcyjnego wynosi do 20 000 000 zł⁶, niezależnie od tego, czy firma jest instytucją obowiązaną AML.
• Jeśli Twoja firma jest instytucją obowiązaną AML, podlegasz obydwu reżimom jednocześnie — to nie są alternatywy, lecz wymogi nakładające się na siebie.

Najczęstszy błąd — “AML i sankcje to to samo”

To przekonanie jest powszechne i zrozumiałe. Oba tematy pojawiają się razem w kontekście compliance, oba wiążą się z weryfikacją klientów i kontrahentów, a skróty — AML, KYC, PEP, sankcje — brzmią jak jeden zestaw regulacji dla sektora finansowego. W praktyce wyglądają podobnie: sprawdzasz, z kim robisz interesy.

Jednak podobieństwo operacyjne nie oznacza tożsamości prawnej. Mylenie tych dwóch reżimów prowadzi do jednego konkretnego błędu: firma spoza katalogu instytucji obowiązanych AML uznaje, że nie ma żadnych obowiązków weryfikacyjnych. Biuro podróży, które nie jest instytucją obowiązaną AML, mówi: “to nas nie dotyczy”. Agencja reklamowa obsługująca klientów z całej Europy mówi: “my nie jesteśmy bankiem”. To błąd, który może kosztować do 20 milionów złotych kary administracyjnej⁶.

Rozróżnienie jest proste, gdy spojrzysz na podstawy prawne obu systemów — dlatego zacznijmy od tego.

Czym jest AML — ustawa z 1 marca 2018 r. i instytucje obowiązane

AML to skrót od angielskiego Anti-Money Laundering — po polsku: przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu. W Polsce ten obszar reguluje przede wszystkim ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. 2023 poz. 1124 t.j.) — dalej: ustawa AML.

Ustawa AML nakłada obowiązki na instytucje obowiązane — zamknięty katalog podmiotów wymieniony w art. 2 ust. 1 tej ustawy. Katalog jest długi, ale jednorodny: obejmuje głównie podmioty sektora finansowego i podmioty pełniące szczególne funkcje w obrocie gospodarczym. Poza bankami i instytucjami finansowymi znajdziesz tam m.in.: biura rachunkowe i doradców podatkowych, notariuszy i radców prawnych przy określonych czynnościach, pośredników w obrocie nieruchomościami, domy aukcyjne przy transakcjach powyżej określonej wartości.

Co instytucja obowiązana musi robić? Obowiązki AML są rozbudowane. Obejmują stosowanie środków bezpieczeństwa finansowego (weryfikację tożsamości klienta, czyli KYC — ang. Know Your Customer), ocenę ryzyka prania pieniędzy, bieżący monitoring transakcji pod kątem podejrzanych wzorców, rejestrowanie transakcji powyżej określonej wartości oraz — co kluczowe — raportowanie podejrzanych transakcji do GIIF (Generalnego Inspektora Informacji Finansowej)⁷. GIIF to organ administracji państwowej działający przy Ministerstwie Finansów, który koordynuje przeciwdziałanie praniu pieniędzy w Polsce.

Ważne jest słowo “instytucje obowiązane”: jeśli nie jesteś wymieniony w art. 2 ust. 1 ustawy AML, ustawa AML zasadniczo Cię nie dotyczy. To właśnie tu rodzi się błędny wniosek: skoro AML mnie nie dotyczy, to “compliance” mnie nie dotyczy.

Czym jest sanction screening i kogo dotyczy

Sanction screening to weryfikacja kontrahenta, klienta lub transakcji wobec list sankcyjnych — wykazów osób, firm i organizacji objętych środkami ograniczającymi wydanymi przez UE, ONZ lub organy krajowe. Wynik tej weryfikacji to jeden z trzech stanów: MATCH (pewne trafienie — zakaz transakcji), POSSIBLE (możliwe trafienie — wymaga dalszego sprawdzenia) lub CLEAR (brak trafienia).

Obowiązek sanction screeningu wynika z zupełnie innych przepisów niż ustawa AML. Jego podstawą są rozporządzenia Rady Unii Europejskiej — przede wszystkim rozporządzenie nr 269/2014 z dnia 17 marca 2014 r.¹ i rozporządzenie nr 833/2014 z dnia 31 lipca 2014 r.² — oraz polska ustawa z dnia 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego (Dz.U. 2022 poz. 835)⁴.

Kluczowa różnica w zakresie podmiotowym: rozporządzenia UE są bezpośrednio stosowalne w każdym państwie członkowskim bez potrzeby transpozycji³ i obowiązują każdą osobę fizyczną, każdą osobę prawną, każdy podmiot i każdy organ na terytorium Unii Europejskiej. Rozporządzenie nr 269/2014 w art. 2 ust. 1 nakazuje zamrozić środki finansowe podmiotów z listy i zakazuje ich udostępniania — ten zakaz stosuje się do wszystkich, nie tylko do banków.¹

Oznacza to, że Twoje biuro podróży, firma leasingowa, agencja marketingowa czy sklep e-commerce ma bezpośredni obowiązek prawny wynikający z rozporządzeń UE — niezależnie od tego, czy jest instytucją obowiązaną w rozumieniu ustawy AML. Szczegółowy opis tego, kogo konkretnie dotyczy obowiązek sanction screeningu w Polsce, znajdziesz w artykule obowiązek sanction screeningu — kogo dotyczy.

Tabela porównawcza — AML vs sankcje UE

Poniższa tabela zestawia oba reżimy w sześciu wymiarach, które mają znaczenie praktyczne dla firmy MŚP.

Dlaczego firma spoza instytucji obowiązanych AML i tak musi robić sanction screening

To jest sedno całego artykułu. Większość właścicieli MŚP, kiedy słyszy o “compliance” i “weryfikacji klientów”, myśli: “to dla banków”. Tymczasem te dwa pojęcia dotyczą dwóch różnych systemów prawnych z zupełnie różnym zasięgiem.

Ustawa AML tworzy wąski katalog podmiotów z rozbudowanymi obowiązkami. Reżim sankcyjny UE tworzy szeroki, powszechny zakaz — dotyczący każdego — z jednym kluczowym nakazem: nie rób interesów z podmiotem z listy sankcyjnej.

Rozporządzenia UE są szczególnym typem aktów prawnych: wchodzą w życie bez implementacji przez parlamenty krajowe i obowiązują bezpośrednio każdego obywatela i każdą firmę w Unii.³ Nie musisz być bankiem ani biurem rachunkowym, żeby być adresatem rozporządzenia 269/2014. Wystarczy, że prowadzisz działalność w UE i zawierasz transakcje handlowe.

Kilka praktycznych przykładów:

• Twoja agencja nieruchomości pośredniczy w sprzedaży mieszkania. Kupujący jest na liście sankcyjnej. Jeśli dojdzie do transakcji — naruszasz zakaz z art. 2 rozporządzenia 269/2014¹, nawet jeśli nie jesteś instytucją obowiązaną AML (choć pośrednicy nieruchomości są jednocześnie instytucją obowiązaną — to dobry przykład nakładania się obu reżimów).
• Twoje biuro podróży sprzedaje pakiet wycieczkowy. Klient jest na liście sankcyjnej UE. Przyjęcie płatności i realizacja usługi to naruszenie sankcji — niezależnie od tego, że biura podróży nie są instytucjami obowiązanymi AML.
• Twoja firma ubezpieczeniowa wystawia polisę. Ubezpieczający jest wpisany na polską listę MSWiA⁹ prowadzoną przez ministra właściwego do spraw wewnętrznych. Transakcja jest zakazana z mocy ustawy z 13 kwietnia 2022 r.⁴

Organ, który skontroluje Twoją firmę i nałoży ewentualną karę, to nie GIIF (ten kontroluje instytucje obowiązane AML), lecz Szef Krajowej Administracji Skarbowej.⁵ Maksymalna kara administracyjna to 20 000 000 zł.⁶ Dyrektywa Parlamentu Europejskiego i Rady (UE) 2024/1226 z dnia 24 kwietnia 2024 r. w sprawie definicji przestępstw i kar w odniesieniu do naruszenia środków ograniczających Unii¹⁰ zobowiązała państwa członkowskie do kryminalizacji naruszeń — termin implementacji upłynął 20 maja 2025 r.¹¹ W Polsce trwają prace legislacyjne nad krajową ustawą implementującą tę dyrektywę.

Co zrobić, jeśli firma podlega obydwu reżimom

Część firm jest jednocześnie instytucją obowiązaną AML i adresatem reżimu sankcyjnego UE. Dotyczy to m.in. pośredników w obrocie nieruchomościami, brokerów ubezpieczeniowych, biur rachunkowych. Nie chodzi o wybór jednego z dwóch — obydwa obowiązują równolegle i muszą być spełnione.

Krok 1: Zidentyfikuj, pod który reżim (lub oba) podlegasz. Sprawdź, czy Twoja branża lub forma działalności jest wymieniona w art. 2 ust. 1 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Jeśli tak — jesteś instytucją obowiązaną AML. Niezależnie od wyniku tego sprawdzenia, jesteś też adresatem rozporządzeń UE jako podmiot prowadzący działalność na terytorium Unii.³

Krok 2: Rozdziel procedury compliance. Obowiązki AML (ocena ryzyka klienta, monitoring transakcji, raportowanie do GIIF) i obowiązki sankcyjne (weryfikacja wobec list sankcyjnych przed każdą transakcją) to dwa osobne procesy. W praktyce weryfikacja sankcyjna jest elementem procesu KYC — robisz ją przy onboardingu klienta razem z weryfikacją tożsamości. Ale nie powinny być mylone koncepcyjnie.

Krok 3: Ustal, kto w firmie odpowiada za co. W instytucjach obowiązanych AML wymagane jest wyznaczenie osoby odpowiedzialnej (art. 8 ustawy AML). Dla obowiązków sankcyjnych nie ma takiego samego formalnego wymogu ustawowego dla firm niefinansowych — ale wyznaczenie odpowiedzialnej osoby i pisemne udokumentowanie procedur jest dobrą praktyką i dowodem należytej staranności. Jak rozłożyć tę odpowiedzialność bez tworzenia nowego etatu, wyjaśniamy w artykule o compliance officerze ds. sankcji w małej firmie.

Krok 4: Zbuduj dokumentację. Dla reżimu AML wymagane są: ocena ryzyka, procedury wewnętrzne, rejestr transakcji, raporty do GIIF. Dla reżimu sankcyjnego: rejestr weryfikacji (kto, kiedy, jaką listą, wynik), polityka sankcyjna, procedura postępowania przy MATCH i POSSIBLE. Ustawa z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy wskazuje w art. 49 pięcioletni okres przechowywania dokumentacji dla instytucji obowiązanych¹² — jako punkt odniesienia możesz stosować analogiczną zasadę dla dokumentacji sankcyjnej.

Krok 5: Monitoruj listy sankcyjne regularnie. Listy są aktualizowane w trybie bieżącym, bez stałego harmonogramu. Lista polska MSWiA jest aktualizowana po każdej decyzji ministra właściwego do spraw wewnętrznych¹³; lista unijna — po każdym pakiecie sankcyjnym. Nie wystarczy sprawdzić raz przy podpisaniu umowy. Weryfikuj ponownie przy każdej istotnej transakcji z istniejącym kontrahentem — więcej o tym, jak zorganizować bieżący monitoring, opisujemy w artykule o aktualizacjach list sankcyjnych. Więcej o tym, jak wygląda aktualna lista sankcyjna UE, znajdziesz w artykule lista sankcyjna — czym jest i kogo dotyczy.

FAQ — najczęstsze pytania

Czy firma, która nie jest instytucją obowiązaną AML, musi prowadzić sanction screening?

Tak. Obowiązek sanction screeningu nie wynika z ustawy AML — wynika bezpośrednio z rozporządzeń Rady UE nr 269/2014¹ i nr 833/2014², które stosują się do każdej osoby fizycznej i prawnej na terytorium Unii Europejskiej.³ Brak statusu instytucji obowiązanej AML nie zwalnia z tego obowiązku.

Co to jest GIIF i czy kontroluje firmy spoza sektora finansowego?

GIIF (Generalny Inspektor Informacji Finansowej) to organ powołany ustawą z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy⁷, odpowiedzialny za koordynację działań w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. GIIF kontroluje instytucje obowiązane w rozumieniu ustawy AML — banki, biura rachunkowe, pośredników nieruchomości i inne podmioty z art. 2 ust. 1 tejże ustawy. Dla firm niefinansowych spoza tego katalogu organem właściwym w zakresie naruszenia obowiązku sankcyjnego jest Szef Krajowej Administracji Skarbowej⁵.

Czy sanction screening i KYC (Know Your Customer) to to samo?

Nie. KYC — czyli weryfikacja tożsamości klienta — to element procedur AML wymagany od instytucji obowiązanych. Sanction screening to sprawdzenie kontrahenta wobec list sankcyjnych; może być elementem procesu KYC, ale jest odrębną czynnością wymaganą przez odrębne przepisy. Firma niebędąca instytucją obowiązaną AML nie ma formalnego obowiązku prowadzenia pełnego procesu KYC — ma jednak obowiązek weryfikacji wobec list sankcyjnych.

Jakie organy kontrolują przestrzeganie sankcji w Polsce i kto nakłada kary?

W Polsce kary za naruszenie obowiązków wynikających z rozporządzeń UE nakłada Szef Krajowej Administracji Skarbowej⁵ — w drodze decyzji administracyjnej, do 20 000 000 zł.⁶ Instytucje obowiązane AML są dodatkowo kontrolowane przez GIIF⁷. Podmioty nadzorowane przez Komisję Nadzoru Finansowego (KNF) w zakresie sankcji kontroluje KNF.

Czy podlegam tylko polskim przepisom, czy też bezpośrednio unijnym?

Obydwu. Rozporządzenia UE są bezpośrednio obowiązującymi aktami prawnymi³ — nie wymagają transpozycji i stosują się do Ciebie bezpośrednio, tak jak krajowa ustawa. Polska ustawa z 13 kwietnia 2022 r.⁴ uzupełnia je o krajowe narzędzia wykonawcze (listy MSWiA, kompetencje KAS) i kary. Oba poziomy prawa obowiązują jednocześnie.

Co nam grozi za naruszenie sankcji — konkretne liczby?

Kara administracyjna nakładana przez Szefa KAS to do 20 000 000 zł (art. 6 ust. 2 ustawy z 13 kwietnia 2022 r.)⁶. Na poziomie europejskim dyrektywa 2024/1226¹⁰ przewiduje co najmniej 5 lat pozbawienia wolności za naruszenia dotyczące środków finansowych lub zasobów gospodarczych o wartości co najmniej 100 000 EUR⁸. Szczegółowe omówienie wszystkich rodzajów kar znajdziesz w artykule kary za naruszenie sankcji UE w Polsce.

Co konkretnie zrobić — 5 kroków dla firmy, która nie jest instytucją obowiązaną AML

1. Sprawdź, czy jesteś instytucją obowiązaną AML. Przejrzyj art. 2 ust. 1 ustawy z 1 marca 2018 r. Jeśli Twoja branża jest wymieniona — masz dodatkowe obowiązki AML. Niezależnie od wyniku, przejdź do kroku 2.

2. Przyjmij do wiadomości, że obowiązek sankcyjny Cię dotyczy. Rozporządzenie 269/2014¹ stosuje się do Ciebie bezpośrednio i bez wyjątku. Sprawdź, które listy sankcyjne musisz monitorować — minimum to unijna Consolidated List i polska lista MSWiA⁹.

3. Wyznacz osobę odpowiedzialną za compliance sankcyjny. Może to być pracownik administracji, osoba z działu prawnego lub zewnętrzny doradca. Ważne: pisemne upoważnienie i udokumentowana procedura wewnętrzna.

4. Wdróż procedurę weryfikacji. Każdy nowy kontrahent, każda nowa transakcja — weryfikacja wobec list sankcyjnych przed jej realizacją. Wynik dokumentuj w rejestrze trafień: data, dane kontrahenta, lista, wynik (MATCH/POSSIBLE/CLEAR), podpis osoby odpowiedzialnej.

5. Zadbaj o ciągłość monitorowania. Listy są aktualizowane nieregularnie i bez zapowiedzi. Kontrahent, który był CLEAR trzy miesiące temu, może dziś być na liście. Regularne monitorowanie — albo automatyzacja tego procesu — to nie opcja, lecz element należytej staranności.

Jak Sanqto może pomóc

Sanqto to oprogramowanie do sanction screeningu zaprojektowane z myślą o firmach spoza sektora finansowego — biurach podróży, agencjach nieruchomości, brokerach ubezpieczeniowych, firmach leasingowych i innych podmiotach, które mają obowiązek sankcyjny, ale nie mieszczą się w katalogu instytucji obowiązanych AML. Oprogramowanie jest instalowane w sieci klienta (model on-premise), co oznacza, że dane kontrahentów nie opuszczają Twojej infrastruktury. System weryfikuje kontrahentów wobec list sankcyjnych i zwraca wynik w trzech stanach — MATCH, POSSIBLE lub CLEAR — automatycznie dokumentując każde sprawdzenie jako ślad audytowy. W pakiecie otrzymujesz gotową politykę sankcyjną, instrukcję stanowiskową i rejestr trafień — dokumenty, które pokażesz Szefowi KAS przy ewentualnej kontroli.

Podstawa prawna

• Rozporządzenie Rady (UE) nr 269/2014 z dnia 17 marca 2014 r. w sprawie środków ograniczających w odniesieniu do działań podważających integralność terytorialną, suwerenność i niezależność Ukrainy lub im zagrażających — CELEX 32014R0269

• Rozporządzenie Rady (UE) nr 833/2014 z dnia 31 lipca 2014 r. dotyczące środków ograniczających w związku z działaniami Rosji destabilizującymi sytuację na Ukrainie — CELEX 32014R0833

• Ustawa z dnia 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego (Dz.U. 2022 poz. 835) — eli.gov.pl

• Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. 2023 poz. 1124 t.j.) — eli.gov.pl

• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2024/1226 z dnia 24 kwietnia 2024 r. w sprawie definicji przestępstw i kar w odniesieniu do naruszenia środków ograniczających Unii i ułatwiania takich naruszeń oraz zmieniająca dyrektywę (UE) 2018/1673 — CELEX 32024L1226

• Polska lista sankcyjna MSWiA — prowadzona przez ministra właściwego do spraw wewnętrznych, publikowana w BIP MSWiA: gov.pl/web/mswia/lista-osob-i-podmiotow-objetych-sankcjami

Footnotes

Informacja, nie porada prawna. Niniejszy artykuł ma charakter informacyjny i edukacyjny. Nie stanowi porady prawnej. Stan prawny na dzień: 2026-05-20. Konkretne obowiązki Twojej firmy zależą od profilu działalności i wymagają indywidualnej oceny — w razie wątpliwości skonsultuj się z prawnikiem lub doradcą compliance.