Spis treści
KYC (Know Your Customer, poznaj swojego klienta) to procedura identyfikacji i weryfikacji tożsamości klienta, którą firmy pożyczkowe i banki mają obowiązek stosować przed zawarciem umowy. Jest praktyczną realizacją przepisów AML (Anti-Money Laundering), czyli systemu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. W Polsce obowiązek ten wynika wprost z ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, która obejmuje szeroki katalog podmiotów, w tym instytucje pożyczkowe.
Czym różni się KYC od AML?
AML to szeroki system prawny i organizacyjny, którego celem jest niedopuszczenie do wprowadzenia do legalnego obrotu środków pochodzących z przestępstw. KYC jest jednym z konkretnych narzędzi tego systemu: dotyczy wyłącznie identyfikacji i weryfikacji tożsamości klienta. Innymi słowy, AML to cel i ramy prawne, a KYC to praktyczna procedura, którą instytucja finansowa wykonuje wobec każdego klienta.
W ustawie AML procedury weryfikacji klienta określane są jako środki bezpieczeństwa finansowego. Ustawa wyróżnia trzy poziomy tych środków, dobierane w zależności od poziomu ryzyka związanego z danym klientem lub transakcją: uproszczone, standardowe oraz wzmożone środki bezpieczeństwa finansowego.
Kto ma obowiązek stosować KYC?
Katalog podmiotów zobowiązanych do stosowania procedur AML i KYC jest szeroki i obejmuje między innymi:
- Banki i spółdzielcze kasy oszczędnościowo-kredytowe.
- Instytucje pożyczkowe.
- Lombardy.
- Kantory, w tym kantory walut wirtualnych.
- Fundusze inwestycyjne i pośredników ubezpieczeniowych.
- Notariuszy, adwokatów, radców prawnych i doradców podatkowych.
- Biura rachunkowe i pośredników w obrocie nieruchomościami.
- Przedsiębiorców przyjmujących płatności gotówkowe o wartości równej lub wyższej niż 10 000 euro.
Podmioty te są w ustawie AML zbiorczo określane jako instytucje obowiązane.
Jak wygląda procedura KYC krok po kroku?
Procedura KYC składa się z kilku obowiązkowych etapów, niezależnie od tego, czy dotyczy osoby fizycznej, czy podmiotu prawnego.
- Pozyskanie danych identyfikacyjnych klienta – w przypadku osób fizycznych są to imię, nazwisko, obywatelstwo, data i miejsce urodzenia, numer PESEL (lub data urodzenia dla obcokrajowców) oraz seria i numer dokumentu tożsamości. W przypadku podmiotów prawnych: nazwa, forma prawna, adres siedziby, numer KRS lub REGON i NIP oraz dane reprezentantów.
- Weryfikacja prawdziwości tych danych – na podstawie dokumentu tożsamości lub informacji pozyskanych z wiarygodnych, niezależnych źródeł.
- Identyfikacja beneficjenta rzeczywistego – ustalenie osoby, która faktycznie kontroluje dany podmiot, co ma znaczenie przy współpracy z firmami, a nie osobami fizycznymi.
- Ocena celu i charakteru współpracy – instytucja ustala, w jakim celu klient zawiera umowę i jakie jest źródło pochodzenia jego środków.
- Archiwizacja i bieżąca aktualizacja danych – dane muszą być przechowywane i regularnie aktualizowane przez cały okres trwania relacji z klientem.
- Bieżące monitorowanie relacji – instytucja obserwuje aktywność klienta i reaguje na transakcje odbiegające od typowego wzorca.
Kiedy instytucja musi zastosować procedurę KYC?
- Przed nawiązaniem stosunków gospodarczych, na przykład przed podpisaniem umowy pożyczki.
- Przy przeprowadzaniu transakcji okazjonalnej o równowartości 15 000 euro lub wyższej.
- Gdy pojawi się podejrzenie prania pieniędzy lub finansowania terroryzmu, niezależnie od kwoty transakcji.
- Gdy pojawiają się wątpliwości co do prawdziwości lub kompletności wcześniej zebranych danych identyfikacyjnych klienta.
Dlaczego weryfikacja tożsamości jest ważna dla klienta?
Procedury KYC bywają odbierane przez klientów jako uciążliwa formalność, ale mają realne znaczenie dla bezpieczeństwa obu stron. Dzięki nim instytucja finansowa wie, z kim faktycznie zawiera umowę, co utrudnia wyłudzenie pożyczki na skradzione lub podrobione dane. Dla osoby, której tożsamość mogłaby zostać wykorzystana bez jej wiedzy, dokładna weryfikacja jest formą ochrony przed zaciągnięciem zobowiązania w jej imieniu przez oszusta.
Solidna procedura KYC jest też elementem budującym zaufanie do całego rynku finansowego. Instytucje, które rzetelnie identyfikują swoich klientów, ograniczają ryzyko, że ich usługi zostaną wykorzystane do nielegalnych celów, co w dłuższej perspektywie chroni uczciwych klientów przed konsekwencjami działania nieuczciwych podmiotów w tej samej branży.
Kto nadzoruje przestrzeganie przepisów AML w Polsce?
Centralnym organem polskiego systemu przeciwdziałania praniu pieniędzy jest Generalny Inspektor Informacji Finansowej (GIIF), funkcjonujący w strukturze Ministerstwa Finansów. Instytucje obowiązane mają wobec GIIF konkretne obowiązki sprawozdawcze, w tym przekazywanie informacji o transakcjach przekraczających określone progi kwotowe oraz zawiadamianie o podejrzanych transakcjach, niezależnie od ich wartości. W 2025 roku w systemie GIIF zarejestrowano ponad 11 000 zgłoszeń transakcji podejrzanych.
KredytOK, jako instytucja pożyczkowa wpisana do Rejestru Instytucji Pożyczkowych prowadzonego przez Komisję Nadzoru Finansowego, podlega tym samym obowiązkom w zakresie identyfikacji i weryfikacji klientów co inne podmioty z sektora finansowego. Dzięki temu każda osoba zawierająca umowę pożyczki ma pewność, że proces przebiega zgodnie z obowiązującymi standardami bezpieczeństwa.
KYC i AML – najczęściej zadawane pytania
Czy firma pożyczkowa może odmówić udzielenia pożyczki z powodu niepowodzenia weryfikacji KYC?
Tak. Jeśli instytucja nie jest w stanie zastosować wymaganych środków bezpieczeństwa finansowego, na przykład z powodu niekompletnych lub niewiarygodnych danych klienta, ma obowiązek odmówić nawiązania współpracy lub zakończyć już trwającą relację. Wynika to wprost z przepisów ustawy AML.
Czy dane zebrane w procesie KYC są bezpieczne?
Instytucje obowiązane przechowują dane klientów zgodnie z przepisami o ochronie danych osobowych (RODO), przy czym ustawa AML stanowi odrębną podstawę prawną uzasadniającą gromadzenie i przechowywanie tych danych przez określony czas, dłuższy niż wynikałoby to z ogólnej zasady minimalizacji danych w RODO.
Ile trwa proces weryfikacji tożsamości online?
Zależy od wybranej metody i poziomu ryzyka przypisanego klientowi. Weryfikacja przez przelew weryfikacyjny lub profil zaufany zwykle przebiega automatycznie i zajmuje kilka minut. Wideoidentyfikacja lub weryfikacja przy podwyższonym ryzyku może wymagać dłuższego czasu i dodatkowych dokumentów.
Czy KYC dotyczy tylko pierwszej umowy z daną instytucją?
Nie. Ustawa AML wymaga bieżącego monitorowania relacji z klientem przez cały czas jej trwania, a dane identyfikacyjne muszą być regularnie aktualizowane. Instytucja może ponownie poprosić o weryfikację danych, jeśli pojawią się wątpliwości co do ich aktualności lub prawdziwości.
Czym są uproszczone i wzmożone środki bezpieczeństwa finansowego?
Ustawa AML opiera się na podejściu opartym na ryzyku, co oznacza, że zakres czynności weryfikacyjnych jest dopasowany do konkretnej sytuacji. Uproszczone środki bezpieczeństwa finansowego stosuje się przy niskim ryzyku, standardowe przy typowej relacji z klientem, a wzmożone przy podwyższonym ryzyku, na przykład gdy klient pochodzi z kraju uznawanego za jurysdykcję wysokiego ryzyka lub gdy transakcja ma nietypowy charakter.
Źródła
- Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, ISAP
- Generalny Inspektor Informacji Finansowej, Ministerstwo Finansów
- Komisja Nadzoru Finansowego, Rejestr Instytucji Pożyczkowych
