Zakończenie przez Urząd ds. Przeciwdziałania Praniu Pieniędzy i Finansowaniu Terroryzmu (AMLA) prac nad projektami trzech regulacyjnych standardów technicznych (związanych z opracowaniem i wdrożeniem ram AML/CFT obejmujących grupę przedsiębiorstw,  dotyczących kryteriów identyfikacji relacji biznesowych, transakcji sporadycznych i transakcji powiązanych, a także wymogów, które należy gromadzić na potrzeby należytej staranności wobec klienta), czyli tzw. RTS, to dobra okazja do uporządkowania niektórych pojęć używanych na gruncie przepisów dotyczących AML.

Zwłaszcza, że ich polskie nazwy mogą wprowadzać w błąd. Na przykład nazwa „standardy techniczne” zawarta w trzonie RTS/ITS brzmi jak rekomendacja, a nie – twardy obowiązek, w dodatku w jakimś specyficznym obszarze („techniczne”).

Poniżej próba uporządkowania tych pojęć.

RTS, czyli co należy zrobić.

Regulacyjne standardy techniczne (Regulatory Technical Standards) to tzw. akty delegowane w rozumieniu art. 290 TFUE. Określają treść obowiązku i, co istotne, mogą uzupełniać a nawet zmieniać elementy aktu ustawodawczego, z tym, że tylko inne niż istotne (w Rozporządzeniu AML, czyli akcie ustawodawczym, wszystkie upoważnienia dotyczą wyłącznie uzupełnienia).

Procedura wygląda następująco: AMLA prowadzi konsultacje publiczne, sporządza analizę kosztów i korzyści, publikuje raport końcowy i przekazuje projekt Komisji Europejskiej. Komisja przyjmuje go w formie rozporządzenia delegowanego, przy czym zmiana projektu wymaga uzgodnienia z AMLA. Parlament i Rada mogą wnieść sprzeciw. Po publikacji w Dzienniku Urzędowym RTS wiąże w całości i jest stosowany bezpośrednio we wszystkich państwach członkowskich.

Przymiotnik „techniczny” oznacza tu tylko tyle, że akt nie może zawierać zmian istotnych („techniczne” jest tu pojęciem kompetencyjnym, coś jak „ścisłe odwzorowanie”). Z kolei „standardy” należy rozumieć jak obowiązki (wymagania). Mówiąc językiem potocznym, regulacyjne standardy techniczne, to rozporządzenie uzupełniające lub w nieistotnym zakresie zmieniające podstawowy akt ustawodawczy (tu: Rozporządzenie AML).

Przykład: RTS o należytej staranności wobec klienta (art. 28 ust. 1 AMLR).

AMLA złożyła właśnie projekt tego RTS do Komisji Europejskiej. Zgodnie z art. 22 ust. 1 AMLR należy ustalić dane identyfikacyjne klienta. RTS „uzupełnia” te obowiązki tak:

1.     podjęcie racjonalnych środków, by ustalić, czy klient ma więcej niż jedno obywatelstwo, i zweryfikować co najmniej jedno;

2.     dla osób zajmujących wyższe stanowiska kierownicze wystarczy ustalenie adresu siedziby podmiotu zamiast adresu zamieszkania tych osób;

3.     zdalna weryfikacja tożsamości poza dokumentem i eID jest dopuszczalna tylko subsydiarnie, po spełnieniu pięciu warunków technicznych i z uzasadnieniem w każdej sprawie;

4.     w sytuacjach niskiego ryzyka klient-osoba fizyczna nie musi podawać adresu zamieszkania.

Granice upoważnienia do wydania RTS wyznacza AMLR. Dlatego np. nie dało się w nim wydłużyć pięcioletniego cyklu aktualizacji danych klienta, co postulowano w trakcie konsultacji.

ITS, czyli jak należy to robić.

Wykonawcze standardy techniczne (Implementing Technical Standards) określają formę i tryb wykonania obowiązku, bez możliwości uzupełnienia lub zmiany aktu ustawodawczego. Podobnie jak RTS, ITS przyjmuje Komisja w formie rozporządzenia, tyle że nie „delegowanego, lecz  „wykonawczego”.

Różnica pomiędzy tymi aktami polega na tym, że akt delegowany (RTS) może zmienić ramy normatywne aktu podstawowego (AMLR), natomiast akt wykonawczy (ITS) może jedynie precyzować jego treść dla zapewnienia jednolitego stosowania na terenie całej EE. Komisja nie może w nim ani zmieniać, ani uzupełniać aktu ustawodawczego, nawet w elementach nieistotnych.

Przykład: format zgłoszenia podejrzanej transakcji (art. 69 ust. 3 AMLR).

Art. 69 ust. 1 AMLR określa obowiązki dotyczące zgłoszeń: kto zgłasza podejrzenia, kiedy, komu i czego dotyczące. ITS określa wyłącznie format zgłoszeń – pola, strukturę, sposób przekazania zgłoszenia i rejestrów transakcji. Bez ITS każda z 27 jednostek analityki finansowej przyjmowałaby zgłoszenia na własnym formularzu.

Drugi ITS z AMLR (art. 81 ust. 1) określa z kolei format, w jakim FIU przekazują informacje Prokuraturze Europejskiej.

Podsumowując, z punktu widzenia rozwiązań krajowych, polskie rozporządzenie (do ustawy) może zarówno regulować szczegółowo normy, jak i ustalać wzory formularzy (w ramach delegacji ustawowej). Może być zatem zarówno aktem „delegowanym”, jak i „wykonawczym”.

Wytyczne, czyli rekomendacje.

Wytyczne (Guidelines) nie są już aktami Komisji. Wydaje je AMLA, na podstawie przepisów Rozporządzenia o AML (AMLAR) o wytycznych i zaleceniach, a w wielu przypadkach także na podstawie delegacji z AMLR. Rozporządzenie AML zawiera kilkanaście upoważnień do wydania przez AMLA wytycznych, m.in. w zakresie oceny ryzyka całej działalności (art. 10 ust. 4), czynników ryzyka (art. 20 ust. 3), bieżącego monitorowania (art. 26 ust. 5) czy osób zajmujących eksponowane stanowiska polityczne (art. 42 ust. 2).

Formalnie wytyczne nie wiążą, jednak w praktyce mają podobną moc, jak RTS/ITS-y. Dzieje się tak za sprawą trzech mechanizmów:

1.     Wytyczne dla organu nadzoru. Gdy wytyczne kierowane są do organu nadzoru, krajowy organ nadzoru musi zadeklarować, czy stosuje wytyczne, a jeżeli nie – podaje przyczyny. Lista organów niestosujących się jest publikowana (nikt nie chce na niej figurować).

2.     Wytyczne dla podmiotu. Art. 34 ust. 3 AMLR nakazuje podmiotom uwzględniać przy ocenie ryzyka wytyczne z art. 32. W tym zakresie zignorowanie wytycznych staje się już naruszeniem rozporządzenia, a nie wytycznych.

3.     Rozliczalność. Zgodnie z art. 20 ust. 4 AMLR podmiot musi w każdej chwili wykazać nadzorcy, że zastosowane przez niego środki należytej staranności wobec klienta są adekwatne. Organ nadzoru, który zadeklarował stosowanie wytycznych AMLA, będzie adekwatność mierzył stopniem zgodności z tymi wytycznymi.

Przykład: wytyczne dotyczące bieżącego monitorowania stosunków gospodarczych oraz monitorowania transakcji przeprowadzanych w kontekście takich stosunków (art. 26 ust. 5 AMLR). Projekt konsultowano od 3 czerwca do 3 września 2026 r. AMLR określa obowiązek monitorowania i maksymalne okresy aktualizacji danych (rok i pięć lat). Wytyczne określają, jak nadzorca rozumie „odpowiednie” monitorowanie stosunków gospodarczych czy transakcji: jakie scenariusze, jaka kalibracja systemu, jakie zdarzenia uruchamiają alerty, czy jak należy oceniać wiarygodność oświadczeń składanych przez klienta (np. w przypadku gdy klient przedkłada pisemne oświadczenie zawierające nowe informacje lub potwierdza wcześniej zebrane informacje, dokumenty lub dane, podmioty zobowiązane powinny – w zależności od poziomu i charakteru ryzyka – rozważyć, czy wiarygodność tego oświadczenia wymaga weryfikacji przy użyciu niezależnych i wiarygodnych źródeł).

Zalecenia i opinie.

Na poziomie 3 są jeszcze trzy instrumenty, które niekiedy działają równie mocno, jak wytyczne.

Zalecenia (recommendations) różnią się od wytycznych przede wszystkim adresatem i przedmiotem: zwykle dotyczą konkretnej sytuacji, a nie całej kategorii obowiązków.

Np. na podstawie art. 38 AMLR AMLA może wydać zalecenie dotyczące konkretnej instytucji-respondenta z państwa trzeciego, jeżeli ta poważnie lub systematycznie narusza wymogi AML/CFT. Samo zalecenie jest instrumentem „miękkim”, ale art. 38 ust. 6 AMLR wiąże z nim „twarde” skutki dla instytucji kredytowych i finansowych:

1.     zakaz nawiązywania nowych relacji korespondenckich z takim respondentem, chyba że środki ograniczające ryzyko okażą się wystarczające;

2.     obowiązek przeglądu i – co do zasady – zakończenia relacji istniejących;

3.     obowiązek poinformowania respondenta i udokumentowania decyzji.

Podobnie jak w przypadku niektórych wytycznych, zalecenie jest więc formalnie niewiążące, ale jego niezastosowanie może skutkować naruszeniem rozporządzenia.

Opinie (opinions) kieruje się przede wszystkim do instytucji UE. Przykład: zgodnie z art. 31 ust. 4 AMLR AMLA może skierować do Komisji opinię, że określone państwo trzecie stwarza szczególne i poważne zagrożenie dla systemu finansowego Unii. Komisja nie musi się z nią zgodzić, ale jeżeli nie wskaże takiego państwa, musi przedstawić AMLA uzasadnienie. Dla podmiotów zobowiązanych skutki pojawiają się dopiero wtedy, gdy Komisja przyjmie akt delegowany wskazujący państwo – wtedy obowiązują wzmocnione środki lub przeciwśrodki.

Dla porządku wspomnijmy także o pytaniach i odpowiedziach (Q&A), czyli interpretacjach publikowanych przez AMLA w odpowiedzi na pytania rynku, oraz ostrzeżeniach o naruszeniach prawa Unii przez nadzorców sektora niefinansowego i organy publiczne nadzorujące organy samorządowe (art. 37 AMLAR).

Warto wiedzieć, że – oprócz Rozporządzenia AML - delegację dla AMLA do wydania RTS i ITS zawierają też pozostałe dwa akty pakietu AML: dyrektywa 2024/1640 (AMLD6) i rozporządzenie 2024/1620 o AMLA (AMLAR).

Jak wygląda na gruncie Rozporządzenia AML wygląda sytuacja na początku października 2026 r.:

1.     RTS – wszystkie cztery delegacje do wydania RTS (art. 16 ust. 4, 17 ust. 3, 19 ust. 9, 28 ust. 1) trafiły już do Komisji, żaden nie został jeszcze przyjęty.

2.     ITS – format informacji dla Prokuratury Europejskiej jest już w Komisji od lipca 2026 r.; format zgłoszenia podejrzeń jest po konsultacjach.

3.     Wytyczne – z 13 delegacji do ich wydania żaden nie został jeszcze zrealizowany. Cztery z terminem 10 lipca 2026 r. są opóźnione, dziewięć ma termin 10 lipca 2027 r.