AMLA i ocena ryzyka całej działalności. Kluczowy termin dla instytucji obowiązanych to 10 lipca 2026 r.

Europejski Urząd ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu ma wydać do 10 lipca 2026 r. wytyczne dotyczące minimalnych wymagań dla business-wide risk assessment, czyli oceny ryzyka dla całokształtu działalności instytucji obowiązanych. To jeden z pierwszych praktycznych sygnałów, że AMLA przechodzi z fazy projektowania architektury nadzoru do realnego kształtowania standardów, według których rynek będzie oceniany.

Co się wydarzyło

AMLA rozpoczęła publiczne konsultacje projektu wytycznych dotyczących business-wide risk assessment, czyli oceny ryzyka dla całej działalności instytucji obowiązanej. Konsultacja została otwarta 16 kwietnia 2026 r., a termin na zgłoszenie uwag wyznaczono do 15 lipca 2026 r. Sam projekt jest opracowywany na podstawie art. 10 ust. 4 rozporządzenia AMLR.

To nie jest poboczny dokument techniczny. AMLA sama podkreśla, że business-wide risk assessment jest centralnym elementem podejścia opartego na ryzyku z perspektywy instytucji obowiązanej. Projekt ma wyznaczyć minimalne wymagania potrzebne do przeprowadzenia adekwatnej oceny ryzyka w odniesieniu do modelu biznesowego, klientów, produktów, usług, transakcji, kanałów dostępu i ekspozycji geograficznej.

Dlaczego termin 10 lipca 2026 r. jest tak ważny

Termin 10 lipca 2026 r. nie wynika z uznaniowej decyzji AMLA, ale z mandatu zapisanego w rozporządzeniu AMLR. Z kolei w swoim programie prac na lata 2026-2028 AMLA wprost wskazuje, że zamierza opublikować w 2026 r. właśnie wytyczne dotyczące business-wide risk assessment, obok innych kluczowych instrumentów wykonawczych.

To ważne również dlatego, że samo rozporządzenie AMLR ma być stosowane od 10 lipca 2027 r. Oznacza to, że rynek dostaje mniej więcej rok na przejście od projektu wytycznych i konsultacji do realnego dostosowania metodologii, dokumentacji i praktyki działania.

Czy wytyczne będą „obowiązywać bezpośrednio”

Tutaj potrzebne jest precyzyjne rozróżnienie. Bezpośrednio w całej UE będzie obowiązywać samo rozporządzenie AMLR jako unijny akt prawa stosowany bez krajowej implementacji. Wytyczne AMLA nie są odrębnym rozporządzeniem, ale będą bardzo istotnym standardem interpretacyjnym i praktycznym punktem odniesienia dla nadzoru oraz dla oceny, czy instytucja prawidłowo realizuje obowiązki wynikające z AMLR.

W praktyce oznacza to, że instytucje nie powinny traktować tych wytycznych jako materiału „do wiadomości”. To będą dokumenty, które w realnym nadzorze mogą przesądzać o tym, czy ocena ryzyka została zaprojektowana i udokumentowana zgodnie z oczekiwanym unijnym standardem. To jest wniosek analityczny oparty na roli wytycznych w systemie jednolitego stosowania AMLR.

Co AMLA proponuje już dziś

Z opisu konsultacji wynika, że projekt wytycznych przewiduje cztery minimalne wymagania, które mają być stosowane przez wszystkie typy instytucji obowiązanych przy przygotowywaniu business-wide risk assessment. AMLA zaznacza jednocześnie, że instytucje mają zachować odpowiedzialność za własną ocenę ryzyka i dostosować ją do swojej specyfiki, skali działalności, poziomu ryzyka i złożoności organizacji.

Projekt ma też wskazywać dodatkowe źródła informacji, które należy brać pod uwagę poza tymi już wymienionymi w AMLR. To sygnał, że samo formalne wypełnienie wzoru lub ogólnego opisu ryzyk może przestać być wystarczające, jeśli organizacja nie pokaże, z jakich konkretnych danych i przesłanek korzystała przy budowie swojej oceny.

Kogo to dotyczy w praktyce

Konsultacja AMLA jest skierowana szeroko: do instytucji finansowych, DNFBP, organizacji branżowych, środowisk eksperckich i innych interesariuszy rynku AML/CFT. To oznacza, że temat nie dotyczy wyłącznie banków czy dużych grup kapitałowych. Dotyczy całego segmentu instytucji obowiązanych, które będą musiały umieć wykazać, że ich business-wide risk assessment nie jest dokumentem czysto formalnym, ale realnym narzędziem zarządzania ryzykiem.

Dla polskich podmiotów to szczególnie ważne tam, gdzie ocena ryzyka była dotąd przygotowywana bardzo ogólnie, aktualizowana rzadko albo traktowana jako załącznik do procedury, a nie jako fundament późniejszych decyzji w zakresie CDD, monitoringu i eskalacji. To jest ostrożny wniosek analityczny wynikający z kierunku proponowanych wytycznych AMLA.

Co instytucje powinny zrobić już teraz

Pierwszy krok to sprawdzenie, czy obecna metodologia business-wide risk assessment rzeczywiście obejmuje wszystkie kluczowe obszary ryzyka: model biznesowy, klientów, produkty, usługi, transakcje, kanały dostępu i ekspozycję geograficzną. Drugi krok to przegląd źródeł danych, na których opiera się ocena, oraz sposobu dokumentowania wniosków. Trzeci to obserwowanie konsultacji AMLA i analiza finalnego tekstu wytycznych natychmiast po publikacji. Te zalecenia są wnioskami praktycznymi opartymi na zakresie konsultacji i opisie projektu.

Warto też pamiętać, że AMLA zaplanowała public hearing w tej sprawie na 28 maja 2026 r. To pokazuje, że urząd nie tylko publikuje projekt, ale aktywnie buduje wspólny standard interpretacyjny jeszcze przed wejściem AMLR w fazę stosowania.

Podsumowanie

AMLA przyspiesza. Business-wide risk assessment staje się jednym z pierwszych obszarów, w których unijny nadzór zaczyna przekładać ogólne zasady AMLR na konkretne oczekiwania wobec rynku. Do 10 lipca 2026 r. mają pojawić się wytyczne, które mogą stać się jednym z najważniejszych praktycznych punktów odniesienia dla instytucji obowiązanych w całej UE.

Najważniejsze pytanie dla instytucji nie brzmi już dziś, czy AMLA wyda nowe standardy, ale czy wewnętrzna ocena ryzyka jest już przygotowana na moment, w którym te standardy zaczną być realnie stosowane przez nadzór i rynek. To jest wniosek analityczny oparty na harmonogramie AMLA i stosowaniu AMLR od 10 lipca 2027 r.