Ocenę ryzyka biura rachunkowego sporządza się samodzielnie: według art. 27 ust. 1 ustawy o AML instytucja obowiązana ma zidentyfikować i ocenić ryzyko prania pieniędzy oraz finansowania terroryzmu związane z własną działalnością, uwzględniając czynniki dotyczące klientów, państw lub obszarów geograficznych, produktów, usług, transakcji i kanałów ich dostaw. Ocenę trzeba sporządzić w postaci papierowej lub elektronicznej i aktualizować w razie potrzeby, nie rzadziej niż co 2 lata. Ocena ryzyka to punkt wyjścia dla procedury wewnętrznej AML dla biura rachunkowego.
Ostatnia aktualizacja stanu prawnego: 06.11.2026
Kluczowe wnioski
- Biuro rachunkowe, które usługowo prowadzi księgi rachunkowe, jest instytucją obowiązaną (art. 2 ust. 1 pkt 17 ustawy o AML), więc podlega obowiązkowi oceny ryzyka z art. 27.
- Ustawa wskazuje czynniki, które trzeba uwzględnić, ale nie narzuca metody ani skali punktowej.
- Ocena ma być proporcjonalna do charakteru i wielkości biura oraz aktualizowana w razie potrzeby, nie rzadziej niż co 2 lata.
- Ocena ryzyka własnej działalności (art. 27) to co innego niż ocena ryzyka związanego z konkretnym klientem (art. 33).
Czy każde biuro rachunkowe musi sporządzić ocenę ryzyka?
Tak, jeśli prowadzi działalność w zakresie usługowego prowadzenia ksiąg rachunkowych. Zgodnie z art. 2 ust. 1 pkt 17 ustawy o AML takie podmioty są instytucjami obowiązanymi, a art. 27 ust. 1 nakłada na instytucje obowiązane obowiązek identyfikacji i oceny ryzyka odnoszącego się do ich działalności. Działania te mają być proporcjonalne do charakteru i wielkości instytucji obowiązanej.
Jakie czynniki ryzyka trzeba uwzględnić?
Art. 27 ust. 1 ustawy o AML wymienia czynniki ryzyka dotyczące:
- klientów,
- państw lub obszarów geograficznych,
- produktów,
- usług,
- transakcji,
- kanałów dostaw produktów i usług.
Ustawa nie podaje wzoru, matrycy ani skali punktowej, więc sposób uporządkowania analizy biuro określa samo, tak aby odpowiadał skali jego działalności.
Jak to może wyglądać w praktyce? (przykład hipotetyczny)
Wyobraźmy sobie hipotetyczne biuro, które obsługuje kilkunastu klientów. Przy każdym z sześciu czynników z art. 27 ust. 1 może ono zapisać, jakie sytuacje występują w jego działalności, a jakie nie: jakiego rodzaju są klienci, czy któryś z nich ma związki z innym państwem, jakie usługi biuro świadczy i w jaki sposób kontaktuje się z klientami. Tak sporządzony zapis, w postaci papierowej lub elektronicznej, jest oceną ryzyka w rozumieniu art. 27 ust. 3. To tylko ilustracja, a nie wzór wymagany przepisami.
Czy można oprzeć się na krajowej ocenie ryzyka?
Tak, ale jako na materiale pomocniczym. Art. 27 ust. 2 ustawy o AML stanowi, że przy ocenianiu ryzyka instytucje obowiązane mogą uwzględniać obowiązującą krajową ocenę ryzyka oraz sprawozdanie Komisji Europejskiej, o którym mowa w art. 6 ust. 1–3 dyrektywy 2015/849. Krajową ocenę ryzyka opracowuje Generalny Inspektor Informacji Finansowej (art. 25 ust. 1), a po akceptacji ministra właściwego do spraw finansów publicznych publikuje ją, po wyłączeniu części zawierającej informacje niejawne, w Biuletynie Informacji Publicznej (art. 30 ust. 1 i 2). Zgodnie z art. 29 ust. 2 w krajowej ocenie ryzyka Generalny Inspektor może określić ryzyka typowe dla poszczególnych rodzajów instytucji obowiązanych, które nie wymagają dokumentowania w ocenach sporządzanych przez te instytucje.
Jak często aktualizować ocenę ryzyka?
Zgodnie z art. 27 ust. 3 ustawy o AML oceny ryzyka instytucje obowiązane sporządzają w postaci papierowej lub elektronicznej i w razie potrzeby, nie rzadziej jednak niż co 2 lata, aktualizują. Przepis wskazuje w szczególności zmiany czynników ryzyka dotyczących klientów, państw lub obszarów geograficznych, produktów, usług, transakcji lub kanałów ich dostaw albo zmiany dokumentów, o których mowa w art. 27 ust. 2 (krajowej oceny ryzyka i sprawozdania Komisji Europejskiej).
Czym ocena ryzyka biura różni się od oceny ryzyka klienta?
To dwa odrębne obowiązki. Art. 27 dotyczy ryzyka związanego z działalnością instytucji obowiązanej jako całością. Art. 33 ust. 2 ustawy o AML wymaga natomiast, aby instytucje obowiązane rozpoznawały ryzyko związane ze stosunkami gospodarczymi lub z transakcją okazjonalną i oceniały jego poziom. Zgodnie z art. 33 ust. 3 dokumentują to ryzyko oraz jego ocenę, uwzględniając w szczególności czynniki dotyczące: rodzaju klienta, obszaru geograficznego, przeznaczenia rachunku, rodzaju produktów, usług i sposobów ich dystrybucji, poziomu wartości majątkowych deponowanych przez klienta lub wartości przeprowadzonych transakcji oraz celu, regularności lub czasu trwania stosunków gospodarczych. Według art. 33 ust. 4 środki bezpieczeństwa finansowego stosuje się w zakresie i z intensywnością uwzględniającymi rozpoznane ryzyko.
Jak ocena ryzyka łączy się z procedurą wewnętrzną?
Zgodnie z art. 50 ust. 2 pkt 1 i 2 ustawy o AML wewnętrzna procedura instytucji obowiązanej obejmuje w szczególności określenie czynności podejmowanych w celu ograniczenia ryzyka oraz zasad rozpoznawania i oceny ryzyka związanego z danymi stosunkami gospodarczymi lub transakcją okazjonalną, w tym zasad weryfikacji i aktualizacji uprzednio dokonanej oceny. Procedura podlega ponadto bieżącej weryfikacji i w razie potrzeby aktualizacji (art. 50 ust. 1). Szczegóły opisujemy we wpisie o tworzeniu procedury wewnętrznej AML.
Komu biuro może udostępnić swoją ocenę ryzyka?
Art. 27 ust. 4 ustawy o AML przewiduje, że instytucje obowiązane mogą udostępniać oceny ryzyka organom samorządów zawodowych lub stowarzyszeń skupiających te instytucje. Ponadto na żądanie Generalnego Inspektora instytucje obowiązane przekazują przygotowane w zakresie swojej właściwości oceny ryzyka oraz inne informacje mogące mieć wpływ na krajową ocenę ryzyka (art. 28 ust. 1); przekazanie może nastąpić za pośrednictwem organów samorządów zawodowych lub stowarzyszeń instytucji obowiązanych (art. 28 ust. 2).
FAQ
Czy ocenę ryzyka biura można sporządzić tylko w formie elektronicznej?
Tak. Art. 27 ust. 3 ustawy o AML dopuszcza sporządzenie oceny ryzyka w postaci papierowej lub elektronicznej.
Czy ustawa wymaga konkretnej metody oceny ryzyka?
Nie wskazuje jej. Art. 27 ust. 1 określa czynniki, które trzeba uwzględnić, oraz wymóg proporcjonalności do charakteru i wielkości instytucji obowiązanej, ale nie przewiduje wzoru ani skali punktowej.
Czy zmiana w katalogu usług biura wymaga aktualizacji oceny?
Może wymagać. Art. 27 ust. 3 nakazuje aktualizować ocenę w razie potrzeby i wskazuje w szczególności zmiany czynników ryzyka dotyczących m.in. usług, klientów czy kanałów dostaw, a w każdym razie nie rzadziej niż co 2 lata.
Materiał informacyjny, nie stanowi porady prawnej. Stan prawny na dzień 06.11.2026.
Źródła:
- Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu: tekst jednolity Dz.U. 2025 poz. 644 (obwieszczenie Marszałka Sejmu z 9 maja 2025 r.), api.sejm.gov.pl/eli/acts/DU/2025/644/text.pdf, pobrano 06.11.2026: art. 2 ust. 1 pkt 17, art. 25 ust. 1, art. 27 ust. 1–4, art. 28 ust. 1–2, art. 29 ust. 2, art. 30 ust. 1–2, art. 33 ust. 2–4, art. 50 ust. 1 i ust. 2 pkt 1–2.
- Akty zmieniające ogłoszone po tekście jednolitym, sprawdzone w ELI (api.sejm.gov.pl/eli/acts/DU/2018/723), pobrano 06.11.2026: Dz.U. 2025 poz. 1669, Dz.U. 2026 poz. 875, Dz.U. 2026 poz. 1206. Nie zmieniają przepisów cytowanych w tym wpisie.