Należyta staranność wobec klienta: CDD a EDD

Należyta staranność wobec klienta (CDD, customer due diligence) to standardowy zestaw kontroli, które regulowana firma przeprowadza wobec każdego klienta: weryfikuje, kim jest, ustala, kto ostatecznie jest jego właścicielem lub go kontroluje, rozumie cel relacji i stale ją monitoruje. Wzmożona należyta staranność (EDD, enhanced due diligence) to cięższa wersja stosowana przy wyższym ryzyku, np. wobec osób zajmujących eksponowane stanowiska polityczne, klientów powiązanych z krajami wysokiego ryzyka lub przy nietypowo dużych transakcjach. Dodaje ona weryfikację źródła środków i źródła majątku, zatwierdzenie przez kadrę kierowniczą wyższego szczebla oraz ściślejsze monitorowanie.

Pomiędzy nimi znajduje się uproszczona należyta staranność (SDD) dla przypadków niskiego ryzyka. Ten przewodnik wyjaśnia wszystkie trzy poziomy, co uruchamia EDD i jak przepisy stosuje się do giełd kryptowalut – zarówno dla zespołów compliance, jak i dla użytkowników, którzy zastanawiają się, dlaczego giełda poprosiła o dodatkowe dokumenty.

Czym jest należyta staranność wobec klienta?

CDD to prawny rdzeń zasady „poznaj swojego klienta”. Unijne rozporządzenie w sprawie przeciwdziałania praniu pieniędzy, rozporządzenie (UE) 2024/1624 (AMLR), stosowane od 10 lipca 2027 r. (art. 90), zawiera najbardziej przejrzystą współczesną listę. Zgodnie z art. 20 ust. 1 CDD oznacza:

• identyfikację klienta i weryfikację jego tożsamości;
• identyfikację beneficjentów rzeczywistych i podjęcie rozsądnych środków w celu ich weryfikacji, tak aby firma rozumiała strukturę własności i kontroli;
• zrozumienie celu i zamierzonego charakteru relacji;
• sprawdzenie, czy klient lub jego beneficjenci rzeczywiści podlegają ukierunkowanym sankcjom finansowym;
• zrozumienie działalności lub zawodu klienta;
• bieżące monitorowanie, w tym analizę transakcji oraz, w razie potrzeby, źródła środków;
• ustalenie, czy klient lub beneficjent rzeczywisty jest osobą zajmującą eksponowane stanowisko polityczne (PEP), członkiem rodziny takiej osoby lub jej bliskim współpracownikiem;
• weryfikację każdej osoby działającej w imieniu klienta.

Artykuł 19 określa, kiedy stosuje się CDD: przy nawiązaniu stosunków gospodarczych, przy transakcjach okazjonalnych o wartości 10 000 EUR lub większej, zawsze w razie podejrzenia prania pieniędzy lub finansowania terroryzmu oraz gdy firma ma wątpliwości co do posiadanych już danych. Dostawcy usług w zakresie kryptoaktywów (CASP) podlegają surowszym progom, omówionym poniżej.

W przypadku osób fizycznych identyfikacja to znany proces KYC. W przypadku firm większość pracy wykonuje etap ustalania beneficjenta rzeczywistego, a nasz przewodnik po beneficjencie rzeczywistym (UBO) wyjaśnia, jak działa ta weryfikacja.

SDD, CDD i EDD w skrócie

Zgodnie z art. 20 ust. 2 AMLR firmy ustalają zakres kontroli na podstawie indywidualnej analizy ryzyka: podwyższone ryzyko oznacza obowiązek zastosowania EDD, niższe ryzyko oznacza możliwość zastosowania SDD.

Uproszczona należyta staranność: lżejsza, ale nigdy zerowa

SDD nie jest zwolnieniem. Zgodnie z art. 33 AMLR firma, która ma do czynienia z rzeczywiście niskim ryzykiem, może:

• zweryfikować klienta i beneficjenta rzeczywistego po nawiązaniu relacji, jednak nie później niż w ciągu 60 dni;
• rzadziej aktualizować informacje o kliencie;
• zbierać mniej informacji o celu relacji lub go wywnioskować;
• analizować transakcje rzadziej lub mniej szczegółowo.

Firma nadal musi monitorować na tyle, aby wykryć podejrzaną aktywność, i musi zaprzestać stosowania SDD, jeśli ma wątpliwości co do informacji, czynniki niskiego ryzyka znikną lub podejrzewa pranie pieniędzy albo obchodzenie sankcji.

Kiedy uruchamiana jest wzmożona należyta staranność

Art. 34 ust. 1 AMLR wymaga EDD w konkretnych przypadkach wskazanych w rozporządzeniu oraz w każdym innym przypadku wyższego ryzyka zidentyfikowanym przez samą firmę. Główne czynniki uruchamiające to:

Państwa trzecie wysokiego ryzyka

Grupa Specjalna ds. Przeciwdziałania Praniu Pieniędzy (FATF) publikuje dwie listy po każdym posiedzeniu plenarnym w lutym, czerwcu i październiku: „jurysdykcje wysokiego ryzyka objęte wezwaniem do działania”, wobec których FATF wzywa do stosowania wzmożonej należytej staranności, a w najpoważniejszych przypadkach środków zaradczych, oraz „jurysdykcje objęte wzmożonym monitorowaniem”. Najnowsze komunikaty na stronie FATF o jurysdykcjach wysokiego ryzyka pochodzą z 19 czerwca 2026 r., a czerwcowa aktualizacja dodała Bośnię i Hercegowinę oraz Irak do listy wzmożonego monitorowania. UE prowadzi własną listę w rozporządzeniu delegowanym (UE) 2016/1675, ostatnio zmienionym w styczniu 2026 r. według Komisji Europejskiej. Zgodnie z art. 29 ust. 4 AMLR stosunki gospodarcze lub transakcje okazjonalne z udziałem osób z kraju z listy wymagają EDD.

Osoby zajmujące eksponowane stanowiska polityczne

PEP to osoby, które pełnią lub pełniły ważne funkcje publiczne, np. głowy państw, ministrowie, posłowie, sędziowie sądów najwyższych, członkowie zarządów banków centralnych i członkowie zarządów spółek kontrolowanych przez państwo (art. 2 ust. 1 pkt 34 AMLR). FATF omawia je w Rekomendacjach 12 i 22. Zgodnie z art. 42 AMLR firma obsługująca PEP musi uzyskać zgodę kadry kierowniczej wyższego szczebla, podjąć odpowiednie środki w celu ustalenia źródła majątku i źródła środków oraz stosować wzmożone bieżące monitorowanie. To samo dotyczy członków rodziny i znanych bliskich współpracowników (art. 46). Status PEP to kategoria ryzyka, a nie oskarżenie, a dodatkowe kontrole trwają co najmniej 12 miesięcy po odejściu ze stanowiska (art. 45). Nasz przewodnik po weryfikacji list ostrzegawczych i PEP opisuje, jak firmy wykrywają PEP.

Nietypowe transakcje

Art. 34 ust. 2 wymaga od firm zbadania pochodzenia, miejsca przeznaczenia i celu każdej transakcji, która jest złożona, nietypowo duża, przebiega według nietypowego schematu lub nie ma widocznego celu gospodarczego ani zgodnego z prawem. To czynnik, z którym najczęściej spotykają się detaliczni użytkownicy kryptowalut: wpłata znacznie większa niż wszystko, co wcześniej pojawiło się na koncie.

Inne przypadki wyższego ryzyka

Transgraniczne stosunki korespondenckie mają własne zasady EDD, w tym dla CASP współpracujących z firmami kryptowalutowymi spoza UE (art. 37). Lista nie jest też zamknięta: załącznik III do AMLR wymienia kolejne czynniki wyższego ryzyka, takie jak złożone struktury własności, akcjonariusze nominalni, działalność o dużym udziale gotówki oraz produkty sprzyjające anonimowości.

Co obejmuje wzmożona należyta staranność

Art. 34 ust. 4 wymienia środki, które firma może stosować proporcjonalnie do ryzyka, w tym:

1. Więcej informacji o kliencie i beneficjentach rzeczywistych oraz o zamierzonym charakterze relacji.
2. Źródło środków i źródło majątku klienta i beneficjentów rzeczywistych. Źródło środków to miejsce, z którego pochodzą pieniądze na daną transakcję. Źródło majątku to sposób, w jaki dana osoba zbudowała swój majątek ogółem. Nasz przewodnik źródło środków a źródło majątku wymienia dowody, które są zwykle akceptowane.
3. Przyczyny konkretnych transakcji i to, czy pasują do relacji.
4. Zatwierdzenie przez kadrę kierowniczą wyższego szczebla rozpoczęcia lub kontynuowania relacji.
5. Wzmożone monitorowanie: częstsze kontrole i dokładniejsza analiza schematów transakcji.

W praktyce dokumentacja EDD zwykle obejmuje też weryfikację negatywnych informacji w mediach (adverse media) oraz pisemne uzasadnienie decyzji. Firmy często korzystają ze specjalistycznych narzędzi do weryfikacji i monitorowania. Na przykład AML screening iDenfy sprawdza klientów pod kątem danych sankcyjnych, PEP i list ostrzegawczych oraz ponownie weryfikuje ich na bieżąco.

Bieżące monitorowanie: należyta staranność nie kończy się na onboardingu

Art. 26 AMLR wymaga od firm monitorowania transakcji w odniesieniu do tego, co wiedzą o kliencie, oraz aktualizowania informacji o kliencie – co najmniej co roku w przypadku klientów objętych EDD i co pięć lat w przypadku pozostałych, a wcześniej, jeśli okoliczności się zmienią.

Dlatego giełda może poprosić o dokumenty wiele lat po rejestracji: nowe dopasowanie PEP, nowo dodany do listy kraj lub zmiana sposobu korzystania z konta mogą przenieść klienta z CDD do EDD. Nasz przewodnik po monitorowaniu transakcji AML w krypto wyjaśnia, jak to działa, a artykuł sygnały ostrzegawcze AML w kryptowalutach wymienia wzorce, które zwykle uruchamiają weryfikacje.

Jeśli firma nie może dopełnić należytej staranności, art. 21 stanowi, że nie może przeprowadzić transakcji ani nawiązać relacji, musi zakończyć istniejącą relację i rozważyć złożenie zgłoszenia podejrzanej transakcji. Dlatego konta są ograniczane, gdy żądane dokumenty nigdy nie docierają.

Jak CDD i EDD stosuje się do firm kryptowalutowych

CASP są podmiotami zobowiązanymi w rozumieniu AMLR, a kilka przepisów napisano specjalnie dla nich:

• Niższe progi. Zgodnie z art. 19 ust. 3 CASP muszą stosować pełne CDD przy transakcjach okazjonalnych o wartości 1000 EUR lub większej, a poniżej tej kwoty muszą co najmniej zidentyfikować i zweryfikować klienta. Inne firmy stosują próg 10 000 EUR.
• Portfele samodzielnie przechowywane. Art. 40 wymaga od CASP oceny ryzyka transferów do i z adresów samodzielnie przechowywanych oraz stosowania środków ograniczających ryzyko. Mogą one obejmować identyfikację osoby stojącej za transferem, pytania o pochodzenie i miejsce przeznaczenia kryptoaktywów lub wzmożone monitorowanie.
• Travel Rule. Unijne rozporządzenie w sprawie przekazów środków stosuje się od 30 grudnia 2024 r. Wymaga ono, aby informacje o nadawcy i beneficjencie towarzyszyły transferom kryptoaktywów między dostawcami. Zob. Travel Rule dla kryptowalut – wyjaśnienie.
• Ryzyko on-chain. Giełdy weryfikują portfele, z których klienci wpłacają i na które wypłacają środki, a wpłata powiązana z mikserem lub adresem objętym sankcjami może przenieść zwykłego klienta do EDD. Nasz przewodnik po analizie blockchain wyjaśnia, jak działa takie śledzenie.

Jeśli chodzi o terminy: AMLR stosuje się od 10 lipca 2027 r. Do tego czasu firmy w UE stosują krajowe przepisy wdrażające obecne dyrektywy AML, które opierają się na tej samej trzypoziomowej strukturze. AMLR zobowiązało też nowy unijny Urząd ds. Przeciwdziałania Praniu Pieniędzy (AMLA) do przygotowania do 10 lipca 2026 r. projektów standardów technicznych określających, jakie informacje należy zbierać na każdym poziomie (art. 28), do przyjęcia przez Komisję. Według jego własnej strony internetowej AMLA rozpoczął działalność we Frankfurcie latem 2025 r. i spodziewa się rozpocząć bezpośredni nadzór nad wybranymi firmami w 2028 r. Informacje o licencjonowaniu w ramach unijnych przepisów dotyczących kryptowalut znajdą Państwo w artykule czym jest MiCA.

W Stanach Zjednoczonych banki, brokerzy-dealerzy, fundusze inwestycyjne i firmy z rynku kontraktów terminowych stosują przepis FinCEN dotyczący należytej staranności wobec klienta (31 CFR 1010.230), oparty na tej samej logice ryzyka.

Dla użytkowników: dlaczego giełda poprosiła o więcej

Jeśli giełda prosi o odcinki wypłaty, umowę sprzedaży lub zeznania podatkowe, zwykle jeden z powyższych czynników przeniósł Państwa do EDD – najczęściej duża lub nietypowa wpłata. Pełne i spójne odpowiedzi to najszybsza droga do zakończenia weryfikacji. Nasze wskazówki dotyczące weryfikacji tożsamości omawiają najczęstsze błędy.

Aplikacje JewelSwap to niepowiernicze oprogramowanie DeFi i same nie stosują środków należytej staranności wobec klienta. Nasz artykuł o KYC w DeFi wyjaśnia dlaczego.

Najczęściej zadawane pytania

Jaka jest różnica między CDD a EDD?

CDD to standardowy zestaw kontroli stosowany wobec każdego klienta: tożsamość, beneficjenci rzeczywiści, cel relacji, status sankcyjny i PEP oraz bieżące monitorowanie. EDD dodaje środki dla przypadków wyższego ryzyka, takie jak dowody źródła środków i źródła majątku, zatwierdzenie przez kadrę kierowniczą wyższego szczebla i częstsze monitorowanie.

Co uruchamia wzmożoną należytą staranność?

Główne czynniki to osoba zajmująca eksponowane stanowisko polityczne, członek jej rodziny lub bliski współpracownik, powiązanie z państwem trzecim wysokiego ryzyka, złożona lub nietypowo duża transakcja bez jasnego celu, niektóre stosunki korespondenckie oraz każde inne wyższe ryzyko zidentyfikowane przez firmę we własnej ocenie.

Czym jest uproszczona należyta staranność?

SDD to lżejsza wersja CDD dla udokumentowanych przypadków niskiego ryzyka. Zgodnie z unijnym AMLR firma może odroczyć weryfikację o maksymalnie 60 dni, rzadziej aktualizować informacje i mniej intensywnie monitorować, ale nigdy nie może całkowicie pominąć należytej staranności.

Czy PEP to automatycznie wysokie ryzyko?

PEP zawsze uruchamia środki wzmożone zgodnie z przepisami UE: zatwierdzenie przez kadrę kierowniczą wyższego szczebla, weryfikację źródła majątku i źródła środków oraz wzmożone monitorowanie. To kategoria ryzyka, a nie oskarżenie, a środki te obowiązują co najmniej 12 miesięcy po odejściu danej osoby ze stanowiska.

Jak często należy aktualizować informacje o kliencie?

Zgodnie z unijnym AMLR, stosowanym od 10 lipca 2027 r., aktualizacje muszą następować co najmniej raz w roku w przypadku klientów objętych wzmożoną należytą starannością i co najmniej co pięć lat w przypadku wszystkich pozostałych klientów, a wcześniej, gdy zmienią się okoliczności.

Kiedy giełdy kryptowalut muszą stosować CDD?

Zgodnie z unijnym AMLR dostawcy usług w zakresie kryptoaktywów stosują CDD przy nawiązaniu stosunków gospodarczych oraz przy transakcjach okazjonalnych o wartości 1000 EUR lub większej. Poniżej 1000 EUR nadal muszą zidentyfikować i zweryfikować klienta.

Czytaj dalej

• Beneficjent rzeczywisty (UBO): definicja i weryfikacja
• Źródło środków a źródło majątku
• Przewodnik po zgodności AML dla giełd i VASP
• Weryfikacja list ostrzegawczych i PEP w krypto
• Czym jest KYC w kryptowalutach?

Ten artykuł ma charakter edukacyjny i nie stanowi porady prawnej ani finansowej. Odesłania prawne dotyczą rozporządzenia (UE) 2024/1624, rozporządzenia (UE) 2023/1113 oraz 31 CFR 1010.230 w opublikowanym brzmieniu, sprawdzonym 8 października 2026 r. Daty list FATF pochodzą ze strony FATF, a szczegóły listy UE ze strony Komisji Europejskiej – obie sprawdzono 8 października 2026 r. Przepisy i listy się zmieniają; przed skorzystaniem z nich należy sprawdzić aktualne wersje.