Czy biuro rachunkowe musi prowadzić sanction screening?

Jeśli prowadzisz biuro rachunkowe lub świadczysz usługi doradztwa podatkowego, masz obowiązek sprawdzania klientów na listach sankcyjnych UE — i nie jest to obowiązek zarezerwowany wyłącznie dla banków. Przepisy obejmują Twoje biuro bezpośrednio, a większość właścicieli biur rachunkowych dowiaduje się o tym ze zdziwieniem: wdrożona procedura AML (przeciwdziałania praniu pieniędzy) to za mało, bo sanction screening to osobny, niezależny reżim prawny.

Właśnie to nieporozumienie kosztuje firmy najdrożej: zakładają, że skoro mają wypełnione obowiązki wobec GIIF, są bezpieczne. Tymczasem rozporządzenia Unii Europejskiej dotyczące sankcji stosują się bezpośrednio, bez dodatkowej implementacji krajowej — i obowiązują każdy podmiot świadczący usługi na terenie UE. Kary za naruszenie sięgają do 20 mln zł¹, a projektowana odpowiedzialność karna — nawet kilku lat pozbawienia wolności².

TL;DR — najważniejsze informacje w 60 sekund

• Biuro rachunkowe jest instytucją obowiązaną na mocy art. 2 ust. 1 pkt 17 ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu³; doradca podatkowy — na mocy pkt 15 tego samego artykułu⁴.
• Sanction screening to osobny obowiązek — wynika z rozporządzeń UE 269/2014⁵ i 833/2014⁶ oraz ustawy z 13 kwietnia 2022 r.¹, a nie tylko z ustawy AML. Możesz mieć kompletną procedurę AML i nadal naruszyć przepisy sankcyjne.
• Musisz sprawdzać klienta i beneficjenta rzeczywistego na liście UE (Consolidated List), polskiej liście MSWiA i liście ONZ — przy każdym onboardingu i na bieżąco.
• Reguła własności 50%: obowiązek weryfikacji obejmuje też podmioty, w których osoba z listy sankcyjnej posiada co najmniej 50% udziałów lub praw głosu — szczegóły w artykule reguła własności 50 procent.
• Kara administracyjna za naruszenie ustawy z 13.04.2022 wynosi do 20 000 000 zł — nakłada ją Szef Krajowej Administracji Skarbowej¹.
• Dyrektywa (UE) 2024/1226 nakłada na państwa członkowskie obowiązek kryminalizacji naruszeń sankcji² — termin implementacji to 20 maja 2025 r.; krajowy proces legislacyjny — duża ustawa sankcyjna (projekt UC92) — trwa.
• Minimum, które musisz wdrożyć: weryfikacja przy onboardingu, alerty na zmiany list, prowadzenie dokumentacji trafień i wewnętrzna procedura sankcyjna.

Biuro rachunkowe jako instytucja obowiązana — skąd ten obowiązek?

Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (Dz.U. 2018 poz. 723, tekst jedn. Dz.U. 2023 poz. 1124 — dalej: ustawa AML) zawiera katalog podmiotów zobowiązanych do stosowania środków bezpieczeństwa finansowego. W tym katalogu, w art. 2 ust. 1, znajdziesz dwie kategorie bezpośrednio dotyczące branży księgowej: pkt 15 — doradcy podatkowi w zakresie czynności doradztwa podatkowego⁴ — oraz pkt 17 — podmioty prowadzące działalność w zakresie usługowego prowadzenia ksiąg rachunkowych³. Jeśli Twoja firma mieści się w którymś z tych opisów, jesteś instytucją obowiązaną.

W praktyce dotyczy to jednoosobowych biur rachunkowych, spółek świadczących usługi księgowe, doradców podatkowych zrzeszonych w Krajowej Izbie Doradców Podatkowych (KIDP), a także biegłych rewidentów — w zakresie usług, które świadczą. Kluczowe jest to, czym faktycznie się zajmujesz, a nie nazwa firmy ani kod PKD wpisany do KRS. Krajowa Izba Doradców Podatkowych nie wydała (na dzień publikacji tego artykułu) dedykowanych wytycznych dotyczących sanction screeningu dla doradców podatkowych — obowiązki wynikają bezpośrednio z ustawy AML i rozporządzeń UE.

Bycie instytucją obowiązaną oznacza konkretne zadania: identyfikacja klienta i beneficjenta rzeczywistego, ocena ryzyka, monitoring relacji biznesowej i — w razie potrzeby — raportowanie do Generalnego Inspektora Informacji Finansowej (GIIF), który działa w strukturze Ministerstwa Finansów⁷.

Kiedy biuro rachunkowe NIE jest instytucją obowiązaną?

Obowiązek nie dotyczy każdej firmy, która ma „rachunkowość" w nazwie. Jeśli świadczysz wyłącznie usługi IT dla działów księgowych, usługi kadrowo-płacowe bez prowadzenia ksiąg rachunkowych albo czysto konsultingową działalność bez obsługi operacji finansowych klienta, możesz nie być objęty tym reżimem. Decyduje zakres faktycznie świadczonych usług — a w razie wątpliwości warto to skonsultować z doradcą prawnym, bo błędna samokwalifikacja niesie takie samo ryzyko prawne jak brak procedury.

Zasada: jeśli prowadzisz księgi rachunkowe klienta, jesteś instytucją obowiązaną. Niezależnie od tego, jak nazywa się Twoja firma.

AML a sankcje międzynarodowe — dwa różne obowiązki, jeden podmiot

To jest najważniejsza rzecz w tym artykule i jednocześnie luka, którą znajdziesz w niemal każdym polskim tekście na ten temat: AML i sankcje to dwa osobne reżimy prawne. Mylenie ich to błąd, który może Cię kosztować nawet jeśli prowadzisz wzorową dokumentację AML.

Poniższa tabela pokazuje różnicę:

Kluczowy punkt, który odróżnia sankcje od AML: rozporządzenia Rady UE obowiązują bezpośrednio w każdym państwie członkowskim od dnia wejścia w życie. Nie wymagają żadnej implementacji ustawowej — Polska nie musiała uchwalać osobnej ustawy, żeby rozporządzenie 269/2014 zaczęło obowiązywać Twoje biuro. Ono obowiązuje od 17 marca 2014 r. i w tej chwili zakazuje udostępniania środków finansowych lub zasobów gospodarczych osobom i podmiotom wymienionym w załączniku I do tego rozporządzenia⁵.

Rozporządzenie Rady UE nr 833/2014 z dnia 31 lipca 2014 r. wprowadza z kolei sankcje sektorowe wobec Rosji — w tym zakaz udzielania pomocy technicznej i finansowej podmiotom rosyjskim⁶. Rozporządzenie Rady (WE) nr 765/2006 z dnia 18 maja 2006 r. obejmuje sankcje wobec Białorusi⁸. Oba obowiązują bez wyjątków, niezależnie od tego, co masz wdrożone w obszarze AML.

Ważne: jeśli klient Twojego biura jest na liście sankcyjnej UE, świadczenie mu usług jest zakazane — niezależnie od tego, czy wypełniasz obowiązki AML i czy dokumentacja jest kompletna.

Więcej o tym, czym różnią się oba reżimy, znajdziesz w artykule o różnicy między AML a sankcjami.

Jakie listy sankcyjne musi sprawdzać biuro rachunkowe w Polsce?

Obowiązek weryfikacji nie ogranicza się do jednej listy. W zależności od profilu klientów i rodzaju obsługiwanych transakcji możesz być zobowiązany do sprawdzania kilku źródeł równocześnie.

Lista UE (Consolidated List) to punkt wyjścia dla każdego biura rachunkowego w Polsce. Lista jest regularnie aktualizowana — zmiany są publikowane w Dzienniku Urzędowym UE i dostępne w EUR-Lex. Ręczne monitorowanie bez systemu alertów jest po prostu niewykonalne przy takiej dynamice zmian.

Polska lista MSWiA jest prowadzona przez ministra właściwego do spraw wewnętrznych na podstawie art. 2 ust. 1 ustawy z dnia 13 kwietnia 2022 r.¹ i obejmuje osoby oraz podmioty, wobec których Polska stosuje własne środki sankcyjne. Listę znajdziesz na stronie gov.pl pod adresem wskazanym powyżej.

Lista ONZ jest częściowo inkorporowana przez rozporządzenia UE, ale warto ją sprawdzać niezależnie — zwłaszcza przy klientach z krajów nieobjętych bezpośrednio pakietami sankcji europejskich.

Szczegółowy przegląd wszystkich list i ich struktury znajdziesz w artykule o liście sankcyjnej UE i polskiej liście MSWiA. O tym, kto w Polsce musi prowadzić sanction screening — w artykule pillarowym.

Kiedy musisz przeprowadzić weryfikację? Pięć wyzwalaczy obowiązku

Sam fakt, że jesteś instytucją obowiązaną, nie wyjaśnia jeszcze, kiedy konkretnie sięgasz po listy sankcyjne. Przepisy wyróżniają kilka sytuacji, które automatycznie uruchamiają obowiązek weryfikacji.

Trigger 1 — onboarding nowego klienta. Każdy nowy klient wymaga weryfikacji przed podpisaniem umowy i rozpoczęciem świadczenia usług. Dotyczy to zarówno osób fizycznych prowadzących działalność, jak i spółek — w tym przypadku musisz sprawdzić nie tylko sam podmiot, ale też beneficjenta rzeczywistego.

Trigger 2 — transakcja jednorazowa powyżej progu. Ustawa AML wprowadza próg transakcyjny wynoszący równowartość 15 000 euro lub więcej dla transakcji okazjonalnych¹². Dla biur rachunkowych obsługujących operacje finansowe klientów — to wyzwalacz stosowania środków bezpieczeństwa finansowego, w tym weryfikacji na listach sankcyjnych.

Trigger 3 — monitoring ciągły i aktualizacje list. To najtrudniejszy w praktyce element: lista UE jest regularnie aktualizowana — nowe wpisy i zmiany pojawiają się w Dzienniku Urzędowym UE. Klient, który był bezpieczny przy onboardingu, może trafić na listę sześć miesięcy później. Bez automatycznych alertów na zmiany list (np. subskrypcja alertów EUR-Lex, BIP MSWiA) ręczne śledzenie jest nieefektywne.

Trigger 4 — zmiana okoliczności po stronie klienta. Zmiana beneficjenta rzeczywistego, nowy udziałowiec, zmiana właściciela — każda z tych sytuacji wymaga ponownej weryfikacji. Podobnie prośba o transakcję z krajem objętym embargo lub zaangażowanie kontrahenta z listy.

Trigger 5 — każde uzasadnione podejrzenie powiązania z osobą/podmiotem sankcjonowanym. Nie potrzebujesz formalnej przesłanki — wystarczy okoliczność, która powinna wzbudzić Twoją czujność.

Reguła własności 50%: zgodnie z wytycznymi UE, obowiązek weryfikacji obejmuje też podmioty, w których osoba objęta sankcjami posiada łącznie 50% lub więcej udziałów lub praw głosu — reguła ta wynika z Best Practices Rady UE, nie z samego tekstu rozporządzenia. Szczegóły wyjaśnia artykuł o regule własności 50 procent.

Krok po kroku — jak wdrożyć minimalny screening sankcyjny w biurze rachunkowym

Wdrożenie procedury sankcyjnej nie musi oznaczać zatrudnienia compliance officera ani zakupu systemu za kilkanaście tysięcy złotych. Oto minimalny, wykonywalny plan dla jednoosobowego biura lub małej firmy księgowej.

1. Ustal, które listy sankcyjne Cię obowiązują. Punkt wyjścia to zawsze lista UE (Consolidated List) i polska lista MSWiA — obowiązkowe dla każdego podmiotu działającego na terenie Polski. Jeśli obsługujesz klientów z transakcjami w USD lub z kontrahentami z USA, dodaj do zestawu listę OFAC. Sprawdź też, czy Twoi klienci prowadzą działalność w sektorach objętych rozporządzeniami 269/2014⁵ lub 833/2014⁶ — jeśli tak, zakres weryfikacji się rozszerza.

2. Wdrożyć procedurę weryfikacji przy onboardingu klienta. Przed każdym podpisaniem umowy sprawdzaj klienta (KRS / CEIDG) i beneficjenta rzeczywistego na listach sankcyjnych. Nie rozpoczynaj świadczenia usług, dopóki weryfikacja nie jest zakończona i udokumentowana. Jeśli pracujesz z wieloma klientami rocznie, przygotuj formularz lub checklistę, którą wypełniasz przy każdym nowym kliencie.

3. Ustaw alerty na aktualizacje list. EUR-Lex oferuje subskrypcje alertów dla zmian w aktach prawnych — ustaw powiadomienie dla rozporządzeń 269/2014 i 833/2014. Stronę MSWiA sprawdzaj regularnie lub subskrybuj powiadomienia BIP. Alternatywą jest system automatyczny z monitoringiem list w czasie rzeczywistym.

4. Prowadź dokumentację wyników weryfikacji. Każde przeprowadzone sprawdzenie — a w szczególności każde trafienie (MATCH lub POSSIBLE) — powinno być udokumentowane: co sprawdzałeś, kiedy, jaki był wynik i jaką podjąłeś decyzję. To dobra praktyka compliance, wynikająca z obowiązku dokumentowania środków bezpieczeństwa finansowego przewidzianego w ustawie AML³.

5. Przyjmij procedurę dla trafień niejednoznacznych (POSSIBLE MATCH). Wynik „możliwe trafienie" to nie to samo co wynik negatywny — nie możesz go zignorować. Zweryfikuj dodatkowe dane identyfikacyjne: datę urodzenia, obywatelstwo, adres. Udokumentuj swoje wnioski. Jeśli po weryfikacji nie możesz jednoznacznie wykluczyć, że to ta sama osoba co na liście — zatrzymaj relację i skonsultuj się z prawnikiem specjalizującym się w prawie sankcyjnym.

6. Wdroż wewnętrzną procedurę (politykę) sankcyjną jako dokument. Dokument powinien opisywać co najmniej: zakres obowiązku (które listy sprawdzasz), procedurę weryfikacji przy onboardingu, ścieżkę eskalacji w przypadku trafień i osobę odpowiedzialną za compliance sankcyjny. Obowiązek posiadania wewnętrznych procedur wynika pośrednio z art. 50 ustawy AML, nakładającego obowiązek stosowania procedury wewnętrznej. Wzór polityki sankcyjnej do pobrania znajdziesz w artykule wzór polityki sankcyjnej do pobrania.

7. (Rekomendowane) Przeszkól pracowników. Ustawa AML nakłada na instytucje obowiązane obowiązek zapewnienia pracownikom szkoleń z przepisów o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu¹³. Szkolenia dedykowane sankcjom to najlepsza praktyka compliance, wykraczająca poza minimum ustawowe, ale warta wdrożenia — zwłaszcza jeśli z klientami kontaktuje się więcej niż jedna osoba.

Co ryzykujesz, jeśli nic nie zrobisz? Kary za naruszenie sankcji

Kary za naruszenie przepisów sankcyjnych są nakładane przez Szefa Krajowej Administracji Skarbowej⁹ i wynikają z ustawy z dnia 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego (Dz.U. 2022 poz. 835). Ustawa przewiduje karę pieniężną do 20 000 000 zł za niedopełnienie obowiązku zamrożenia środków finansowych, niewykonanie obowiązku przekazywania informacji lub uczestniczenie w działaniach mających na celu obejście sankcji¹.

Odpowiedzialność karna to drugi, niezależny poziom ryzyka. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2024/1226 z dnia 24 kwietnia 2024 r. w sprawie definicji przestępstw kryminalnych i kar za naruszanie środków ograniczających Unii (dalej: dyrektywa 2024/1226) nakłada na państwa członkowskie obowiązek wprowadzenia do prawa karnego sankcji za naruszenia sankcji gospodarczych UE. Dyrektywa przewiduje karę pozbawienia wolności w maksymalnym wymiarze co najmniej 5 lat za najpoważniejsze naruszenia (m.in. udostępnienie środków finansowych lub zasobów gospodarczych wbrew zakazowi), a co najmniej 1 roku za inne naruszenia².

Dyrektywa 2024/1226 nakłada na Polskę obowiązek wdrożenia tych regulacji do prawa krajowego do 20 maja 2025 r. Na dzień publikacji tego artykułu krajowy proces legislacyjny (projekt UC92) trwa.

Ryzyko reputacyjne jest trzecim, często niedocenianym wymiarem: obsługiwanie podmiotu z listy sankcyjnej — nawet bez świadomości tego faktu — może zniszczyć reputację biura rachunkowego i narazić je na solidarną odpowiedzialność z klientem. Pełne zestawienie kar i ich podstaw prawnych znajdziesz w artykule o karach za naruszenie sankcji.

Jak Sanqto może pomóc

Sanqto to oprogramowanie do screeningu sankcyjnego projektowane dla firm spoza sektora finansowego — w tym dla biur rachunkowych i kancelarii. Instalujesz je w swojej infrastrukturze (on-premise): dane Twoich klientów nie opuszczają biura, nie trafiają do zewnętrznych serwerów. Weryfikacja przebiega w czasie poniżej 30 ms i zwraca wynik w trzech stanach: MATCH, POSSIBLE lub CLEAR — co ułatwia dokumentowanie decyzji i obsługę trafień niejednoznacznych.

Do produktu dołączamy pakiet dokumentów wdrożeniowych: wzór polityki sankcyjnej, instrukcję stanowiskową, rejestr trafień oraz możliwość certyfikacji pracownika odpowiedzialnego za compliance. Jeśli chcesz wdrożyć proces sankcyjny raz, porządnie i bez ciągłego powracania do tematu — sprawdź, co sankcje oznaczają dla Twojego biura rachunkowego. Artykuł o kto w Polsce musi prowadzić sanction screening daje szerszy kontekst dla firm spoza sektora finansowego. Jeśli obsługujesz klientów z sektora prawnego lub notarialnego, odwiedź też stronę dla kancelarii prawnych i notarialnych.

Najczęściej zadawane pytania (FAQ)

Czy biuro rachunkowe musi prowadzić sanction screening, jeśli nie obsługuje klientów z Rosji ani Białorusi? Tak. Obowiązek weryfikacji na listach sankcyjnych UE nie jest ograniczony do klientów z konkretnych krajów. Lista UE obejmuje osoby fizyczne i podmioty z wielu jurysdykcji — nie tylko Rosji i Białorusi. Twój klient może mieć siedzibę w Polsce, a jego udziałowiec znajdować się na liście sankcyjnej.

Czym różni się procedura AML od procedury sankcyjnej? To dwa różne dokumenty regulujące dwa różne obowiązki. Procedura AML (wymagana na mocy ustawy z 1.03.2018) opisuje środki zapobiegające praniu pieniędzy: weryfikację tożsamości, ocenę ryzyka, raportowanie do GIIF. Procedura sankcyjna opisuje proces weryfikacji klientów na listach sankcyjnych UE, MSWiA i ONZ — i co robić w przypadku trafienia. Możesz mieć jedną bez drugiej. Obie są potrzebne.

Czy należy sprawdzać beneficjenta rzeczywistego, czy tylko klienta bezpośredniego? Obydwoje. Rozporządzenie 269/2014 zakazuje udostępniania środków osobom „powiązanym" z podmiotami z listy⁵. Zgodnie z wytycznymi UE, weryfikacja obejmuje też podmioty kontrolowane przez osobę z listy sankcyjnej — stąd konieczność sprawdzenia beneficjenta rzeczywistego klienta.

Ile czasu mam na przeprowadzenie weryfikacji po nałożeniu nowych sankcji? Rozporządzenia UE obowiązują od dnia wejścia w życie — czyli od dnia publikacji w Dzienniku Urzędowym UE. Nie ma okresu przejściowego. Jeśli Twój obecny klient trafi na listę, masz obowiązek wstrzymania relacji niezwłocznie po ukazaniu się rozporządzenia.

Co zrobić, gdy wynik weryfikacji jest niejednoznaczny (POSSIBLE MATCH)? Nie ignoruj i nie zakładaj automatycznie, że to fałszywe trafienie. Zweryfikuj dodatkowe dane identyfikacyjne (data urodzenia, narodowość, adres, PESEL/NIP). Udokumentuj przebieg weryfikacji i swoje wnioski. Jeśli nie możesz jednoznacznie wykluczyć tożsamości z osobą z listy — wstrzymaj świadczenie usług i skonsultuj się z prawnikiem.

Czy KIDP wydała wytyczne dotyczące sanction screeningu dla doradców podatkowych? Na dzień publikacji tego artykułu Krajowa Izba Doradców Podatkowych nie wydała dedykowanych wytycznych ws. sanction screeningu dla doradców podatkowych. KIDP uczestniczy w konsultacjach europejskiego organu ds. AML (AMLA), ale obowiązki weryfikacyjne wynikają bezpośrednio z ustawy AML i rozporządzeń UE — niezależnie od wytycznych korporacyjnych.

Podstawa prawna

• Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (Dz.U. 2018 poz. 723, tekst jedn. Dz.U. 2023 poz. 1124) — eli.gov.pl
• Rozporządzenie Rady (UE) nr 269/2014 z dnia 17 marca 2014 r. w sprawie środków ograniczających w odniesieniu do działań podważających integralność terytorialną, suwerenność i niezależność Ukrainy — EUR-Lex CELEX 32014R0269
• Rozporządzenie Rady (UE) nr 833/2014 z dnia 31 lipca 2014 r. dotyczące środków ograniczających w związku z działaniami Rosji destabilizującymi sytuację na Ukrainie — EUR-Lex CELEX 32014R0833
• Rozporządzenie Rady (WE) nr 765/2006 z dnia 18 maja 2006 r. dotyczące środków ograniczających w związku z sytuacją na Białorusi — EUR-Lex CELEX 32006R0765
• Ustawa z dnia 13 kwietnia 2022 r. o szczególnych rozwiązaniach w zakresie przeciwdziałania wspieraniu agresji na Ukrainę oraz służących ochronie bezpieczeństwa narodowego (Dz.U. 2022 poz. 835) — eli.gov.pl
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2024/1226 z dnia 24 kwietnia 2024 r. w sprawie definicji przestępstw kryminalnych i kar za naruszanie środków ograniczających Unii oraz zmieniająca dyrektywę 2018/1673/UE — EUR-Lex CELEX 32024L1226

Informacja, nie porada prawna. Niniejszy artykuł ma charakter informacyjny i edukacyjny. Nie stanowi porady prawnej. Stan prawny na dzień: 2026-05-26. Konkretne obowiązki Twojego biura rachunkowego zależą od profilu działalności i wymagają indywidualnej oceny — w razie wątpliwości skonsultuj się z prawnikiem lub doradcą compliance.