Ocena ryzyka AML w firmach kryptowalutowych: poradnik

Ocena ryzyka AML to udokumentowana analiza tego, w jaki sposób firma mogłaby zostać wykorzystana do prania pieniędzy, finansowania terroryzmu lub obchodzenia sankcji, jak prawdopodobne i poważne jest każde ryzyko oraz na ile skutecznie ograniczają je mechanizmy kontrolne. Dla giełdy kryptowalut lub innej firmy działającej w obszarze aktywów wirtualnych jest to fundament całego programu zgodności AML: decyduje, gdzie stosować wzmożoną należytą staranność, jakie reguły monitorowania transakcji uruchomić i na co przeznaczyć budżet compliance.

Ten poradnik dotyczy oceny ryzyka na poziomie całej organizacji (business-wide risk assessment) w firmach kryptowalutowych: czynników ryzyka, które należy uwzględnić, przykładowej macierzy ocen, amerykańskich „pięciu filarów” programu BSA/AML oraz wymagań unijnego rozporządzenia w sprawie przeciwdziałania praniu pieniędzy. Na końcu znajduje się krótka uwaga dla użytkowników, dlaczego oceny ryzyka wpływają na ich konta.

Dwa poziomy oceny ryzyka

Podejście oparte na ryzyku działa na dwóch poziomach, które warto od siebie oddzielać:

• Ocena ryzyka na poziomie całej organizacji. Obejmuje firmę jako całość: bazę klientów, produkty, kraje i kanały. Wyznacza politykę, np. którzy klienci wymagają wzmożonych kontroli, a które produkty dodatkowych zabezpieczeń.
• Ocena ryzyka klienta. Ocenia każdego klienta z osobna, korzystając z ram stworzonych przez ocenę na poziomie organizacji. Decyduje, jaki zakres należytej staranności zostanie zastosowany wobec danego klienta. Ten poziom omawia nasz poradnik CDD a EDD.

Jeśli ocena na poziomie organizacji jest słaba, wszystkie kolejne mechanizmy kontrolne są ustawione na niewłaściwym poziomie – dlatego nadzorcy zwykle proszą o nią w pierwszej kolejności.

Czego oczekuje unijne AMLR

Unijne rozporządzenie w sprawie przeciwdziałania praniu pieniędzy, rozporządzenie (UE) 2024/1624 (AMLR), stosuje się od 10 lipca 2027 roku. Dostawcy usług w zakresie kryptoaktywów (CASP) mieszczą się w jego definicji instytucji finansowych, a więc są podmiotami obowiązanymi. Artykuł 10 reguluje ocenę ryzyka na poziomie całej organizacji. Firmy muszą zidentyfikować i ocenić ryzyko prania pieniędzy i finansowania terroryzmu, a także ryzyko niewdrożenia lub obejścia ukierunkowanych sankcji finansowych, uwzględniając co najmniej:

• zmienne ryzyka z załącznika I oraz czynniki niższego i wyższego ryzyka z załączników II i III;
• ocenę ryzyka na poziomie UE sporządzoną przez Komisję Europejską oraz krajowe oceny ryzyka państw członkowskich;
• odpowiednie publikacje międzynarodowych organów ustanawiających standardy, Komisji lub nowego Urzędu ds. Przeciwdziałania Praniu Pieniędzy (AMLA);
• informacje o ryzyku przekazane przez właściwe organy; oraz
• informacje o własnej bazie klientów.

Artykuł 10 wymaga również nowej oceny przed wprowadzeniem nowych produktów, usług, kanałów dystrybucji lub technologii albo przed wejściem w nowy segment klientów lub do nowego kraju. Ocena musi być udokumentowana, aktualizowana i regularnie weryfikowana, sporządzona przez osobę odpowiedzialną za zgodność, zatwierdzona przez organ zarządzający i udostępniana nadzorcom na żądanie. Artykuł 10 ust. 4 zobowiązywał AMLA do wydania do 10 lipca 2026 roku wytycznych dotyczących jej minimalnej treści.

W przypadku firm kryptowalutowych motyw 30 dodaje, że ocena powinna uwzględniać transakcje z adresami samodzielnie hostowanymi, a art. 79 zakazuje CASP prowadzenia anonimowych rachunków kryptoaktywów lub rachunków umożliwiających anonimizację bądź zwiększone zaciemnianie transakcji, w tym za pomocą monet zwiększających anonimowość. Licencjonowanie na podstawie MiCA to odrębny reżim; zob. nasz poradnik o licencji CASP w ramach MiCA.

Czego wymagają przepisy USA: pięć filarów

W USA firmy, które wymieniają lub przesyłają wymienialną walutę wirtualną, są zasadniczo money services businesses (MSB), jak wskazał FinCEN w wytycznych FIN-2019-G001 z 2019 roku. Rejestrację omawia nasz poradnik o licencji money transmitter. MSB muszą prowadzić program AML zgodnie z 31 CFR 1022.210, który musi mieć formę pisemną i być „współmierny do ryzyka” działalności oraz obejmować co najmniej:

1. Polityki, procedury i kontrole wewnętrzne dotyczące identyfikacji klientów, raportowania, przechowywania dokumentacji i wniosków organów ścigania;
2. Wyznaczoną osobę odpowiedzialną za zgodność, która odpowiada za bieżące przestrzeganie przepisów;
3. Szkolenia dla odpowiednich pracowników, w tym z wykrywania podejrzanych transakcji; oraz
4. Niezależny przegląd, dostosowany do ryzyka, przeprowadzany przez osobę inną niż osoba odpowiedzialna za zgodność.

To klasyczne „cztery filary”. Banki i inne objęte przepisami instytucje finansowe mają piąty: należytą staranność wobec klienta opartą na ryzyku, która zgodnie z 31 CFR 1020.210 oznacza zrozumienie charakteru i celu relacji z klientem w celu zbudowania profilu ryzyka klienta oraz bieżące monitorowanie. Firmy kryptowalutowe z licencją bankową lub partnerami bankowymi często muszą spełniać wszystkie pięć.

Obecne przepisy nie wymagają wprost pisemnej oceny ryzyka. Podręcznik egzaminacyjny BSA/AML FFIEC stwierdza, że choć „nie jest to konkretny wymóg prawny”, dobrze opracowana ocena ryzyka pomaga bankowi zidentyfikować ryzyka i zaprojektować kontrole, oraz opisuje metodę dwuetapową: zidentyfikować kategorie ryzyka (produkty, usługi, klienci, geografia), a następnie przeanalizować dane w każdej z nich. To może się zmienić. 10 kwietnia 2026 roku FinCEN zaproponował przepis reformujący wymogi dotyczące programów AML/CFT, zgodnie z którym wewnętrzne polityki, procedury i kontrole obejmowałyby procesy oceny ryzyka. Okres zgłaszania uwag zakończył się 9 czerwca 2026 roku, a gdy sprawdzaliśmy Federal Register 9 października 2026 roku, przepis wciąż był na etapie projektu.

Czynniki ryzyka, które powinna uwzględnić firma kryptowalutowa

Oba reżimy porządkują ryzyko w ten sam sposób. Załącznik I do AMLR grupuje zmienne ryzyka w ryzyko klienta, produktu/usługi/transakcji oraz kanału dystrybucji, a załącznik III dodaje geografię wysokiego ryzyka. W firmie kryptowalutowej przekłada się to na:

• Klienci: klienci detaliczni a instytucjonalni, klienci korporacyjni o złożonej strukturze własności, osoby zajmujące eksponowane stanowiska polityczne, zamożni użytkownicy, klienci wykonujący zawody wysokiego ryzyka oraz odsetek klientów z wcześniejszymi alertami.
• Produkty i usługi: handel spot, desk OTC, bramki wejścia i wyjścia fiat, przechowywanie, staking, karty kryptowalutowe, listingi tokenów oraz każdy produkt sprzyjający anonimowości.
• Transakcje: wolumeny, wielkość pojedynczych transakcji, tempo wpływów i wypływów, transfery do i z portfeli samodzielnie hostowanych, ekspozycja na miksery, mosty i usługi wysokiego ryzyka wykrywana dzięki analizie blockchain.
• Geografia: miejsce zamieszkania klientów, miejsce, z którego się łączą, oraz ekspozycja na kraje z list monitorowanych przez FATF lub objęte sankcjami. Zob. nasz poradnik o liście sankcyjnej OFAC.
• Kanały dystrybucji: w pełni zdalny onboarding, pośrednicy i afilianci, partnerzy API i white-label oraz inne giełdy, z którymi Państwo współpracują.

Przykładowa macierz oceny ryzyka

Nie ma obowiązkowego formatu. Podręcznik FFIEC stwierdza, że egzaminatorzy „nie oczekują konkretnej metody ani formatu”. Popularne podejście polega na ocenie ryzyka inherentnego, ocenie skuteczności kontroli i wyznaczeniu ryzyka rezydualnego. Poniższa tabela to przykład poglądowy, a nie szablon regulacyjny; własne wagi powinny wynikać z Państwa danych.

Ryzyko inherentne często ocenia się jako iloczyn prawdopodobieństwa i wpływu, z użyciem mierzalnych wskaźników, takich jak wolumeny, liczba klientów i odsetek alertów. Siła kontroli powinna być poparta dowodami, np. wynikami testów i ustaleniami audytu, a nie samym istnieniem polityki. Jeśli ryzyko rezydualne przekracza apetyt na ryzyko firmy, ocena powinna kończyć się datowanym planem działań z przypisanymi osobami odpowiedzialnymi.

Przeprowadzenie oceny krok po kroku

1. Zebrać dane: dane klientów i transakcji, raporty ekspozycji on-chain, statystyki alertów i podejrzanej aktywności, ustalenia audytu oraz odpowiednie krajowe i unijne oceny ryzyka.
2. Zidentyfikować ryzyka w każdej z powyższych kategorii, w tym w odniesieniu do przygotowywanych nowych produktów.
3. Ocenić ryzyko inherentne za pomocą spisanej, powtarzalnej metody.
4. Ocenić kontrole: onboarding, screening, monitorowanie transakcji, Travel Rule i raportowanie.
5. Wyznaczyć ryzyko rezydualne i porównać je z apetytem na ryzyko.
6. Działać: dostroić reguły monitorowania, zmienić progi onboardingu, dodać wyzwalacze EDD, a w razie potrzeby wycofać się z produktów lub rynków.
7. Zatwierdzić i weryfikować: zatwierdzenie przez kierownictwo, a następnie przegląd co najmniej raz w roku i przy każdej istotnej zmianie, takiej jak nowy produkt, nowy kraj czy ważna nowa typologia.

Narzędzia monitorujące powinny odzwierciedlać wynik oceny. Wielu dostawców pozwala dostosować reguły i oceny ryzyka do własnej analizy. Oprogramowanie iDenfy do monitorowania transakcji pozwala na przykład zespołom compliance tworzyć własne reguły generujące konfigurowalne oceny ryzyka. Inne opcje przedstawia nasze porównanie oprogramowania do monitorowania transakcji kryptowalutowych, a szerszy program omawia przewodnik po zgodności AML w kryptowalutach.

Częste błędy

• Kopiowane oceny, które opisują ogólne ryzyka kryptowalutowe zamiast własnych danych firmy.
• Brak powiązania z kontrolami: ocena uznaje produkt za wysokiego ryzyka, ale reguły monitorowania nigdy się nie zmieniają.
• Polityki oceniane jako kontrole bez ich przetestowania.
• Nieaktualne dokumenty, starsze niż nowe produkty, blockchainy czy rynki.
• Pomijanie obchodzenia sankcji, które AMLR wymienia teraz wprost obok prania pieniędzy i finansowania terroryzmu.

Dla użytkowników: dlaczego oceny ryzyka wpływają na Państwa konto

Ocena ryzyka giełdy decyduje, którzy klienci podlegają dodatkowym kontrolom. Jeśli korzystają Państwo z produktu o wyższym ryzyku, przesyłają środki z oznaczonego portfela albo mieszkają lub łączą się z kraju o wyższym ryzyku, mogą Państwo zostać poproszeni o dodatkowe dokumenty, nawet jeśli nie zrobili Państwo nic złego. Nasz poradnik o sygnałach ostrzegawczych AML w kryptowalutach wymienia schematy, które zwykle uruchamiają weryfikację. Aplikacje DeFi JewelSwap są niepowiernicze i same nie przeprowadzają tych kontroli; zob. KYC w DeFi – wyjaśnienie.

Najczęściej zadawane pytania

Czym jest ocena ryzyka AML?

Ocena ryzyka AML to udokumentowana analiza tego, w jaki sposób firma mogłaby zostać wykorzystana do prania pieniędzy, finansowania terroryzmu lub obchodzenia sankcji, jak prawdopodobne i poważne jest każde ryzyko oraz na ile skutecznie ograniczają je istniejące kontrole. Na jej podstawie podejmuje się decyzje dotyczące należytej staranności, monitorowania i zasobów.

Czym różni się ocena ryzyka na poziomie organizacji od oceny ryzyka klienta?

Ocena na poziomie organizacji obejmuje całą firmę: klientów, produkty, transakcje, kraje i kanały. Ocena ryzyka klienta ocenia każdego klienta z osobna według tych ram i decyduje, jaki zakres należytej staranności zostanie wobec niego zastosowany.

Jakie jest pięć filarów programu zgodności AML?

W USA są to wewnętrzne polityki, procedury i kontrole; wyznaczona osoba odpowiedzialna za zgodność; ciągłe szkolenia pracowników; niezależne testy; oraz należyta staranność wobec klienta oparta na ryzyku. MSB, do których należy większość amerykańskich giełd kryptowalut, muszą spełniać pierwsze cztery zgodnie z 31 CFR 1022.210.

Czy pisemna ocena ryzyka AML jest obowiązkowa?

W UE tak: art. 10 AMLR, stosowany od 10 lipca 2027 roku, wymaga udokumentowanej oceny ryzyka na poziomie organizacji zatwierdzonej przez organ zarządzający. W USA obecne przepisy nie wymagają jej wprost, ale egzaminatorzy jej oczekują, a propozycja FinCEN z kwietnia 2026 roku uczyniłaby procesy oceny ryzyka częścią wymogów programowych.

Jak często należy aktualizować ocenę ryzyka AML?

Unijne AMLR wymaga, aby była aktualizowana i regularnie weryfikowana oraz ponownie przeprowadzana przed wprowadzeniem nowych produktów, kanałów, technologii lub rynków. Wiele firm przegląda ją co najmniej raz w roku i po każdej istotnej zmianie.

Które czynniki ryzyka są najważniejsze dla firm kryptowalutowych?

Rodzaj klienta, produkty takie jak OTC i bramki fiat, transakcje z portfelami samodzielnie hostowanymi i ekspozycja na miksery lub inne usługi wysokiego ryzyka, geografia, w tym kraje objęte sankcjami i wysokiego ryzyka, oraz zdalne lub prowadzone przez partnerów kanały dystrybucji.

Czytaj dalej

• Przewodnik po zgodności AML dla giełd kryptowalut i VASP
• Należyta staranność a wzmożona należyta staranność
• Screening negatywnych informacji medialnych – wyjaśnienie
• Czym jest VASP?
• Rozwiązania do zarządzania ryzykiem w kryptowalutach w 2026 roku

Ten artykuł ma charakter edukacyjny i nie stanowi porady prawnej. Odniesienia prawne dotyczą rozporządzenia (UE) 2024/1624 (AMLR, stosowanego od 10 lipca 2027 roku), 31 CFR 1022.210 i 1020.210, wytycznych FinCEN FIN-2019-G001, podręcznika egzaminacyjnego BSA/AML FFIEC oraz projektu przepisu FinCEN opublikowanego 10 kwietnia 2026 roku; wszystkie sprawdzono 9 października 2026 roku. Macierz ocen to przykład poglądowy, a nie szablon regulacyjny. Przepisy się zmieniają; przed skorzystaniem z nich należy sprawdzić aktualne wersje.