Ocena ryzyka klienta w biurze rachunkowym – jak przypisać poziom ryzyka (AML)?

Ocena ryzyka klienta (ang. individual risk assessment) to wymóg rozpoznania i oceny poziomu ryzyka prania pieniędzy oraz finansowania terroryzmu związanego z konkretnym klientem i stosunkami gospodarczymi, a następnie dobrania do tego ryzyka środków bezpieczeństwa finansowego. Dla biura rachunkowego, które jest instytucją obowiązaną na podstawie art. 2 ust. 1 pkt 17 ustawy o AML (podmiot prowadzący działalność w zakresie usługowego prowadzenia ksiąg rachunkowych), obowiązek ten wynika z art. 33 tej ustawy. Ustawa nakazuje rozpoznać, ocenić i udokumentować ryzyko oraz uwzględnić sześć kategorii czynników, ale nie narzuca gotowej skali „niski–średni–wysoki” ani systemu punktacji — to narzędzia organizacyjne, które biuro może, lecz nie musi, przyjąć.

Sposób przeprowadzania tej oceny biuro opisuje we własnej procedurze wewnętrznej AML. Ocenę ryzyka pojedynczego klienta trzeba odróżnić od ogólnej oceny ryzyka instytucji obowiązanej, którą biuro sporządza dla całej swojej działalności.

Ostatnia aktualizacja stanu prawnego: 13.11.2026

Kluczowe wnioski

• Podstawa prawna to art. 33 ustawy o AML. Biuro rachunkowe rozpoznaje i ocenia poziom ryzyka związanego ze stosunkami gospodarczymi z klientem (art. 33 ust. 2) oraz dokumentuje to ryzyko i jego ocenę (art. 33 ust. 3).
• Ustawa wskazuje sześć kategorii czynników, które trzeba uwzględnić przy ocenie (art. 33 ust. 3 pkt 1–6), ale nie definiuje liczby poziomów ryzyka ani punktacji.
• Poziom ryzyka decyduje o intensywności działań. Środki bezpieczeństwa finansowego stosuje się „w zakresie i z intensywnością uwzględniającymi rozpoznane ryzyko” (art. 33 ust. 4): niższe ryzyko może uzasadniać środki uproszczone (art. 42), wyższe – wzmożone (art. 43).
• Formularz i punktacja są dozwolone, lecz nieobowiązkowe. Karta oceny ryzyka klienta to pomocnicze narzędzie porządkujące wymogi ustawy; nie jest urzędowym wzorem do pobrania.

Czym jest ocena ryzyka klienta i czym różni się od oceny ryzyka biura?

Ocena ryzyka klienta opiera się na art. 33 ust. 2 ustawy o AML, zgodnie z którym instytucje obowiązane „rozpoznają ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz oceniają poziom rozpoznanego ryzyka”. Dotyczy ona konkretnej relacji z danym klientem.

To co innego niż ogólna (instytucjonalna) ocena ryzyka z art. 27 ust. 1 ustawy, która odnosi się do całej działalności biura i którą aktualizuje się w razie potrzeby, nie rzadziej niż co 2 lata (art. 27 ust. 3). W praktyce obie oceny się uzupełniają: wnioski z oceny instytucjonalnej (np. jakie usługi i grupy klientów biuro uznaje za bardziej ryzykowne) stanowią punkt wyjścia do oceny pojedynczego klienta. Metodykę tej pierwszej opisaliśmy w artykule o ocenie ryzyka instytucji obowiązanej.

Kiedy biuro rachunkowe przeprowadza ocenę ryzyka klienta?

Moment oceny wyznacza art. 35 ust. 1 ustawy o AML: środki bezpieczeństwa finansowego (a więc i poprzedzające je rozpoznanie ryzyka) stosuje się m.in. przy nawiązywaniu stosunków gospodarczych (art. 35 ust. 1 pkt 1) — dla biura rachunkowego jest to zwykle etap zawierania umowy o obsługę księgową. Obowiązek powstaje także w razie podejrzenia prania pieniędzy lub finansowania terroryzmu (art. 35 ust. 1 pkt 5) oraz wątpliwości co do prawdziwości lub kompletności uzyskanych danych identyfikacyjnych klienta (art. 35 ust. 1 pkt 6).

Ocena nie jest jednorazowa. Zgodnie z art. 35 ust. 2 ustawy biuro stosuje środki bezpieczeństwa finansowego również wobec klientów, z którymi utrzymuje stosunki gospodarcze, w szczególności gdy zmienił się wcześniej ustalony charakter lub okoliczności współpracy (pkt 1) albo zmieniły się wcześniej ustalone dane dotyczące klienta lub beneficjenta rzeczywistego (pkt 2). Oznacza to, że poziom ryzyka klienta trzeba w razie potrzeby weryfikować i aktualizować w trakcie trwania umowy.

Jakie czynniki trzeba uwzględnić przy ocenie ryzyka klienta?

Katalog czynników wynika z art. 33 ust. 3 ustawy o AML, który nakazuje udokumentować rozpoznane ryzyko oraz jego ocenę, uwzględniając w szczególności czynniki dotyczące:

• rodzaju klienta;
• obszaru geograficznego;
• przeznaczenia rachunku;
• rodzaju produktów, usług i sposobów ich dystrybucji;
• poziomu wartości majątkowych deponowanych przez klienta lub wartości przeprowadzonych transakcji;
• celu, regularności lub czasu trwania stosunków gospodarczych.

Sformułowanie „w szczególności” oznacza, że jest to katalog otwarty — biuro może dołożyć własne czynniki, jeśli wynikają z jego oceny instytucjonalnej i specyfiki klientów. Czynnik „obszaru geograficznego” wiąże się z ryzykiem związanym z państwami i jurysdykcjami; omówiliśmy je osobno w tekście o ryzyku geograficznym w AML.

Czy ustawa narzuca skalę „niski–średni–wysoki” i punktację?

Nie. Ani art. 33, ani pozostałe przepisy ustawy o AML nie określają liczby poziomów ryzyka, nazewnictwa kategorii ani metody punktowej. Ustawa wymaga, by biuro: rozpoznało ryzyko i oceniło jego poziom (art. 33 ust. 2), udokumentowało ryzyko i ocenę z uwzględnieniem sześciu kategorii czynników (art. 33 ust. 3) oraz zastosowało środki bezpieczeństwa finansowego „w zakresie i z intensywnością uwzględniającymi rozpoznane ryzyko” (art. 33 ust. 4). Sposób dojścia do wyniku biuro ustala samodzielnie w procedurze wewnętrznej.

Podział na trzy poziomy i arkusz punktowy to więc jedno z możliwych, praktycznych narzędzi, a nie wymóg prawny. Ich zaletą jest powtarzalność i łatwiejsze wykazanie, że ocena była przeprowadzona; ich stosowanie nie zwalnia jednak z obowiązku indywidualnej analizy każdego przypadku.

Przykładowa (pomocnicza) metodyka kategoryzacji

Poniższy schemat jest wyłącznie przykładem ilustracyjnym (hipotetycznym), a nie urzędowym wzorem. Biuro może przypisać każdej z sześciu kategorii czynników z art. 33 ust. 3 ocenę, a następnie zsumować ją w orientacyjny poziom ryzyka:

• Ryzyko podstawowe (niższe) – gdy czynniki wskazują na niższe ryzyko w rozumieniu art. 42 ust. 2 ustawy (np. klient będący jednostką sektora finansów publicznych albo spółką, której papiery wartościowe są dopuszczone do obrotu na rynku regulowanym podlegającym wymogom ujawniania informacji o beneficjencie rzeczywistym). Może to uzasadniać uproszczone środki bezpieczeństwa finansowego (art. 42 ust. 1).
• Ryzyko standardowe – gdy nie występują szczególne przesłanki obniżające ani podwyższające ryzyko; stosuje się pełny, standardowy zakres środków z art. 34 ust. 1.
• Ryzyko podwyższone (wyższe) – gdy występują okoliczności z art. 43 ust. 2 ustawy (np. nawiązywanie stosunków w nietypowych okolicznościach, nietypowa lub nadmiernie złożona struktura własnościowa klienta, znaczna liczba lub wysokie kwoty transakcji gotówkowych, brak fizycznej obecności klienta nieograniczony w inny sposób). Wymaga to wzmożonych środków bezpieczeństwa finansowego (art. 43 ust. 1).

Niezależnie od przyjętej skali, w przypadkach podejrzenia prania pieniędzy lub finansowania terroryzmu oraz wątpliwości co do danych klienta uproszczonych środków nie wolno stosować (art. 42 ust. 3 w związku z art. 35 ust. 1 pkt 5 i 6).

Jak poziom ryzyka przekłada się na środki bezpieczeństwa finansowego?

Zasadę wiążącą ryzyko z działaniami ustanawia art. 33 ust. 4 ustawy o AML: środki bezpieczeństwa finansowego stosuje się „w zakresie i z intensywnością uwzględniającymi rozpoznane ryzyko”. Sam katalog środków wynika z art. 34 ust. 1 i obejmuje m.in. identyfikację klienta oraz weryfikację jego tożsamości (pkt 1), identyfikację beneficjenta rzeczywistego oraz ustalenie struktury własności i kontroli u klientów będących osobami prawnymi (pkt 2), ocenę stosunków gospodarczych i uzyskanie informacji o ich celu i charakterze (pkt 3) oraz bieżące monitorowanie stosunków gospodarczych klienta (pkt 4).

Wynik oceny ryzyka klienta decyduje o natężeniu tych działań. Przy niższym ryzyku, potwierdzonym oceną z art. 33 ust. 2, biuro może stosować uproszczone środki bezpieczeństwa finansowego (art. 42 ust. 1). Przy wyższym ryzyku stosuje środki wzmożone (art. 43 ust. 1), a więc m.in. pogłębia analizę i zwiększa częstotliwość monitorowania. Uproszczenie środków nie jest zwolnieniem z obowiązków — to wciąż stosowanie środków bezpieczeństwa finansowego, tyle że w węższym zakresie.

Co powinna zawierać karta oceny ryzyka klienta i jak ją dokumentować?

Obowiązek dokumentowania wynika wprost z art. 33 ust. 3 ustawy o AML (udokumentowanie rozpoznanego ryzyka oraz jego oceny) oraz art. 34 ust. 3 (dokumentowanie zastosowanych środków bezpieczeństwa finansowego i wyników bieżącej analizy transakcji). Co istotne, zgodnie z art. 34 ust. 3 na żądanie organów sprawujących kontrolę biuro musi wykazać, że przy uwzględnieniu poziomu rozpoznanego ryzyka zastosowało odpowiednie środki. Dokumentacja oceny jest więc jednocześnie dowodem należytego wykonania obowiązków.

W praktyce pomocna bywa jedna karta (formularz) na klienta, porządkująca wymogi ustawy. Jej elementy mogą obejmować:

• dane identyfikujące klienta i — jeżeli dotyczy — beneficjenta rzeczywistego oraz osobę upoważnioną do działania w imieniu klienta (nawiązanie do środków z art. 34 ust. 1 pkt 1 i 2 oraz art. 34 ust. 2);
• ocenę każdej z sześciu kategorii czynników z art. 33 ust. 3;
• wynikowy poziom ryzyka wraz z krótkim uzasadnieniem;
• decyzję o zakresie środków bezpieczeństwa finansowego (uproszczone, standardowe albo wzmożone) z odniesieniem do art. 42 lub art. 43;
• datę oceny oraz datę planowanej lub ostatniej aktualizacji (w związku z art. 35 ust. 2).

To zestawienie jest propozycją porządkującą obowiązki ustawowe, a nie urzędowym wzorem — ustawa nie przewiduje jednego obowiązkowego formularza. Każde biuro dostosowuje kartę do swojej procedury wewnętrznej i skali działalności.

FAQ

Czy każdego klienta trzeba ocenić pod kątem ryzyka?

Tak. Art. 33 ust. 1 ustawy o AML nakazuje stosować środki bezpieczeństwa finansowego wobec klientów, a art. 33 ust. 2 wymaga rozpoznania i oceny poziomu ryzyka związanego ze stosunkami gospodarczymi lub transakcją okazjonalną. Nie ma wyłączenia zwalniającego z samej oceny — różnicuje się jedynie zakres i intensywność dalszych działań.

Czy wynik oceny ryzyka klienta trzeba zapisać?

Tak. Art. 33 ust. 3 ustawy nakazuje udokumentować rozpoznane ryzyko oraz jego ocenę, a art. 34 ust. 3 — udokumentować zastosowane środki bezpieczeństwa finansowego i na żądanie organów wykazać ich adekwatność do poziomu ryzyka. Brak dokumentacji utrudnia wykazanie wykonania obowiązków.

Czy niskie ryzyko zwalnia biuro z obowiązków AML?

Nie. Niższe ryzyko potwierdzone oceną pozwala jedynie stosować uproszczone środki bezpieczeństwa finansowego (art. 42 ust. 1), które nadal są środkami AML. Uproszczeń nie stosuje się przy podejrzeniu prania pieniędzy lub finansowania terroryzmu ani przy wątpliwościach co do danych klienta (art. 42 ust. 3 w związku z art. 35 ust. 1 pkt 5 i 6).

Materiał informacyjny, nie stanowi porady prawnej. Stan prawny na dzień 13.11.2026.

Źródła:

1. Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (tekst jednolity: Dz.U. z 2025 r. poz. 644, z późn. zm.) — art. 2 ust. 1 pkt 17; art. 27 ust. 1 i 3; art. 33 ust. 1–4; art. 34 ust. 1–3; art. 35 ust. 1 i 2; art. 42 ust. 1–3; art. 43 ust. 1 i 2. Tekst: https://api.sejm.gov.pl/eli/acts/DU/2025/644/text.pdf (dostęp: 13.11.2026).