Usługowe prowadzenie ksiąg rachunkowych to jedna z czynności, które ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu wprost nazywa działalnością instytucji obowiązanej. To oznacza dodatkowe obowiązki wobec klienta, niezależne od tego, co reguluje RODO — samo podpisanie umowy o prowadzenie ksiąg nie wystarcza.
Ta strona pokazuje, skąd bierze się ten obowiązek, gdzie kończy się AML a zaczyna RODO, co warto ustalić przy przyjęciu nowego klienta i jak wygląda pilnowanie tego, gdy robi to system, a nie pamięć jednej osoby w biurze.
Sytuacja: nowy klient podpisuje umowę, a temat, który nikt nie porusza
Nowy klient przychodzi do biura, podpisuje umowę o prowadzenie ksiąg, przekazuje dokumenty rejestrowe firmy i dane do kontaktu. Rozmowa skupia się na zakresie usługi, cenniku i terminach — nikt nie pyta, kto faktycznie stoi za firmą, skąd pochodzą środki, którymi ona operuje, ani jaki jest cel współpracy z biurem.
To nie jest błąd konkretnej osoby prowadzącej rozmowę — to luka w procesie onboardingu, który został zaprojektowany wokół umowy cywilnoprawnej i danych potrzebnych do RODO, a nie wokół tego, że biuro rachunkowe prowadzące księgi usługowo jest z mocy ustawy instytucją obowiązaną w rozumieniu przepisów o przeciwdziałaniu praniu pieniędzy. Dopóki nikt tego nie nazwie wprost, luka zostaje niewidoczna aż do kontroli albo do sytuacji, w której trzeba wyjaśnić, dlaczego identyfikacji nigdy nie przeprowadzono.
Biuro rachunkowe jako instytucja obowiązana z ustawy AML
Ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu w art. 2 ust. 1 wymienia zamknięty katalog podmiotów uznawanych za instytucje obowiązane. Punkt 17 tego katalogu obejmuje wprost podmioty prowadzące działalność w zakresie usługowego prowadzenia ksiąg rachunkowych — z wyłączeniami opisanymi w samej ustawie (tekst ustawy AML, ELI).
Warto zobaczyć to w kontekście: w tym samym punkcie katalogu, obok biur rachunkowych, ustawa wymienia między innymi adwokatów, radców prawnych i doradców podatkowych w zakresie wskazanych tam czynności oraz pośredników w obrocie nieruchomościami. Biuro rachunkowe nie jest tu wyjątkiem ani szczególnym przypadkiem — jest jednym z wielu zawodów zaufania publicznego i usług finansowych, które ustawodawca uznał za na tyle newralgiczne dla przepływu pieniądza, że nałożył na nie dodatkowe obowiązki niezależnie od charakteru konkretnej umowy z klientem.
Beneficjent rzeczywisty i cel współpracy — co ustalić na starcie
W praktyce instytucji obowiązanych pojawiają się pojęcia takie jak beneficjent rzeczywisty czy cel i charakter planowanych stosunków gospodarczych — to elementy, które w tego typu przepisach zwykle towarzyszą obowiązkowi identyfikacji klienta. To, jak dokładnie te pojęcia zastosować i udokumentować w konkretnym biurze, przy konkretnym typie klienta, warto ustalić z doradcą podatkowym lub prawnikiem, który zna pełny zakres ustawy — ta strona nie zastępuje takiej konsultacji, tylko pokazuje, że temat w ogóle istnieje i skąd wynika.
Co to znaczy w praktyce: procedury, a nie tylko umowa
Status instytucji obowiązanej oznacza, że sama umowa o prowadzenie ksiąg rachunkowych i klauzula RODO w niej zawarta nie wyczerpują tego, czego można oczekiwać od biura. Ustawa nakłada dodatkowe obowiązki wobec klienta, wykraczające poza samo świadczenie usługi księgowej — a to z kolei oznacza, że warto mieć w biurze jakąś powtarzalną procedurę, a nie polegać na tym, że ktoś przy okazji o tym pomyśli.
Dobrą praktyką jest oddzielenie dwóch momentów: podpisania umowy o prowadzenie ksiąg (czynność cywilnoprawna) od przeprowadzenia i zapisania identyfikacji klienta jako instytucji obowiązanej (czynność wynikająca z ustawy AML). Jeśli te dwa momenty są w głowach zespołu jednym i tym samym krokiem, identyfikacja AML znika w cieniu podpisu na umowie. Sama identyfikacja klienta jako czynność decyzyjna zawsze zostaje po stronie człowieka — to, co realnie da się oddać systemowi, to pilnowanie terminu i przypominanie, a nie ocena, czy dany klient budzi wątpliwości; ten podział opisujemy szerzej w artykule Automatyzacja procesów w firmie: co realnie da się oddać systemowi, a czego nie.
AML to nie RODO: dwa różne obowiązki wobec tego samego klienta
Łatwo pomylić te dwa reżimy, bo dotyczą tego samego klienta i tych samych danych — ale odpowiadają na różne pytania. RODO reguluje, jak przetwarzać dane osobowe: zgodnie z art. 5 RODO dane powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane, prawidłowe i uaktualniane, a przechowywane nie dłużej, niż jest to niezbędne (UODO, poradnik o zasadach RODO). To zasada minimalizacji — biuro nie powinno zbierać więcej danych klienta, niż faktycznie potrzebuje.
AML pyta o coś innego: kim naprawdę jest klient, skąd pochodzą środki, którymi operuje, i czy nie ma sygnałów, że firma jest wykorzystywana do prania pieniędzy. Więcej danych o pochodzeniu środków i strukturze właścicielskiej klienta nie jest tu naruszeniem minimalizacji z RODO — jest realizacją odrębnego obowiązku ustawowego. Dokładnie do tego przepisu automatyzacja obiegu danych klientów, o której piszemy w osobnym artykule, ma zastosowanie tylko częściowo: Automatyzacja a RODO: gdzie fizycznie lądują dane Twoich klientów opisuje stronę RODO tego zagadnienia, nie stronę AML.
Praktyczny wniosek: jeżeli ktoś w biurze twierdzi „nie możemy pytać klienta o więcej, bo RODO", to miesza dwa reżimy. RODO ogranicza zbieranie danych bez podstawy prawnej — a obowiązek instytucji obowiązanej jest właśnie taką podstawą prawną dla zakresu danych, którego wymaga identyfikacja AML.
Kto w małym biurze odpowiada za identyfikację
W biurze obsługującym kilkanaście firm rzadko istnieje osobne stanowisko compliance. To normalne przy tej skali — pytanie nie brzmi „kto ma etat od AML", tylko kto konkretnie w istniejącym zespole ma być punktem, do którego trafia informacja o nowym kliencie, zanim zacznie się prowadzenie jego ksiąg. Zwykle jest to właściciel biura albo osoba prowadząca onboarding nowych klientów — ważne, żeby to była jedna, nazwana osoba, a nie założenie „ktoś to na pewno zrobi".
Dokumentacja klienta przy onboardingu: co warto zapisać
Zakres tego, co konkretnie trzeba udokumentować, ustala się z doradcą podatkowym lub prawnikiem, bo zależy od typu klienta i jego struktury właścicielskiej — ta strona tego nie rozstrzyga. Niezależnie od szczegółów, dobrą praktyką jest, żeby fakt przeprowadzenia identyfikacji był w ogóle gdzieś zapisany: data, kto ją wykonał i jaki był wynik, a nie tylko ustne przekonanie „sprawdziliśmy to przy podpisywaniu umowy".
Minimalizacja danych: nie zbieraj więcej, niż potrzebujesz
Zasada minimalizacji z art. 5 RODO działa w obie strony: nie zbieraj mniej, niż wymaga tego identyfikacja AML, ale też nie zbieraj więcej danych osobowych „na wszelki wypadek", niż faktycznie potrzebujesz do celu, w którym je przetwarzasz (UODO, poradnik o zasadach RODO). Dokumentacja identyfikacji klienta powinna mieć jasno określony cel — nie stawać się przy okazji zbiorem dodatkowych danych, których nikt potem nie będzie umiał uzasadnić.
Dostęp do kartoteki klienta w CRM: kto widzi co
Kiedy dane z identyfikacji klienta trafiają do wspólnego systemu — CRM i automatyzacje łączą telefon, formularz, komunikatory i wizytówkę Google w jednym miejscu — pojawia się pytanie, kto w zespole ma do nich dostęp. Zgodnie z art. 29 RODO podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora, mająca dostęp do danych osobowych, przetwarza je wyłącznie na polecenie administratora (UODO, upoważnienia do przetwarzania danych). Administrator — czyli w praktyce właściciel biura — ma mieć kontrolę nad tym, kto i w jakim zakresie ma dostęp do danych klientów.
Upoważnienia jako środek organizacyjny, nie formalność
Wydawanie pisemnych upoważnień do przetwarzania danych bywa traktowane jako formalność do podpisania raz i schowania do segregatora. W praktyce to jeden ze środków organizacyjnych, na podstawie których da się w ogóle egzekwować, kto powinien mieć dostęp do której kartoteki klienta w systemie (UODO, upoważnienia do przetwarzania danych) — a to bezpośrednio dotyczy danych zebranych przy identyfikacji AML, bo to one bywają najbardziej wrażliwe w całej kartotece klienta.
Typowy błąd: identyfikacja „przy okazji", już po podpisaniu umowy
Częsty schemat wygląda tak: umowa zostaje podpisana, klient zaczyna korzystać z usługi, a pytania o beneficjenta rzeczywistego i pochodzenie środków pojawiają się dopiero przy okazji kontroli albo prośby banku o dodatkowe dokumenty. Wtedy identyfikacja odbywa się pod presją czasu, z klientem, który już jest przyzwyczajony do tego, że współpraca trwa bez takich pytań — i który może odebrać je jako nieufność, a nie standardową procedurę.
Odwrócenie kolejności — najpierw identyfikacja jako element onboardingu, dopiero potem pełne uruchomienie usługi — kosztuje jedną rozmowę więcej na starcie, ale eliminuje sytuację, w której trzeba dopytywać klienta „na już" o rzeczy, które powinny być ustalone miesiące wcześniej.
Zrób to sam: lista klientów i status identyfikacji
Zanim zajmiesz się kolejnym nowym klientem, warto zobaczyć, jak wygląda sytuacja w portfelu obecnych:
- Wypisz wszystkich obecnych klientów, którym prowadzisz księgi usługowo.
- Przy każdym zaznacz, czy identyfikacja klienta jako instytucji obowiązanej została w ogóle przeprowadzona i zapisana — nie tylko „czy podpisano umowę".
- Dla klientów bez takiego zapisu ustal, kto i kiedy przeprowadzi rozmowę uzupełniającą.
- Zapisz wynik w jednym miejscu, a nie w pamięci osoby, która akurat obsługiwała danego klienta.
- Dla nowych klientów włącz ten krok do onboardingu na stałe, zanim zacznie się prowadzenie ksiąg.
- Zapytaj doradcę podatkowego lub prawnika, czy zakres tego, co zbierasz, jest adekwatny do typu Twoich klientów.
Zanim zdecydujesz się na wdrożenie takiego mechanizmu w większej skali, warto zobaczyć realne widełki kosztów automatyzacji: Ile kosztuje automatyzacja procesów w firmie? Widełki 2026 i to, co je zmienia.
Więcej o tym, co w ogóle warto zautomatyzować w małej firmie usługowej, zanim zabierzesz się za kolejne procesy, opisujemy w artykule Od czego zacząć automatyzację w małej firmie: cztery progi zamiast ogólnej analizy.
Jak to wygląda, gdy pilnuje tego system
Zamiast polegać na pamięci jednej osoby, cały proces można oprzeć na prostym mechanizmie:
- 01nowy klient
- →02karta w CRM
- →03checklista identyfikacji
- →04zadanie dla osoby odpowiedzialnej
- →05przypomnienie po tygodniu
CRM i automatyzacje trzymają kartę każdego klienta w jednym miejscu, zamiast rozrzuconych notatek z rozmów onboardingowych. Zadania zamieniają ustalenie „trzeba dopytać klienta o beneficjenta" w konkretny wpis z terminem i osobą odpowiedzialną, więc nie znika w wątku komunikatora. Tam, gdzie biuro korzysta już z osobnego arkusza albo starego systemu do śledzenia klientów, Integracje spinają te dane z CRM, zamiast prowadzić dwie równoległe listy. Dane klientów trzymają historię onboardingu przy jednej karcie klienta, żeby nie trzeba było szukać, kto i kiedy przeprowadził identyfikację.
To, czy konkretny klient wymaga dodatkowej weryfikacji i w jakim zakresie, zawsze ustala człowiek — doradca podatkowy albo prawnik obsługujący biuro. Rola systemu jest węższa: nie dopuścić, żeby to pytanie zniknęło w natłoku bieżącej obsługi kolejnych klientów.
Najczęściej zadawane pytania
Czy każde biuro rachunkowe jest instytucją obowiązaną z ustawy AML?
Ustawa wymienia w art. 2 ust. 1 pkt 17 podmioty prowadzące działalność w zakresie usługowego prowadzenia ksiąg rachunkowych jako instytucje obowiązane, z wyłączeniami opisanymi w samej ustawie. Czy konkretne wyłączenie dotyczy Twojego biura, ustali doradca podatkowy lub prawnik znający pełny zakres przepisu.
Czym różni się obowiązek AML od obowiązków wynikających z RODO?
RODO reguluje, jak przetwarzać dane osobowe klienta — zgodnie z zasadą minimalizacji z art. 5 RODO, adekwatnie i nie dłużej, niż to niezbędne. AML pyta o coś innego: kim naprawdę jest klient i skąd pochodzą środki, którymi operuje. To dwa odrębne obowiązki wobec tego samego klienta, nie jeden i ten sam temat pod inną nazwą.
Czy status instytucji obowiązanej trzeba zgłaszać osobno przy podpisaniu umowy?
Ta strona nie rozstrzyga formalności zgłoszeniowych — o to, jakie kroki formalne wynikają ze statusu instytucji obowiązanej w konkretnej sytuacji biura, warto zapytać doradcę podatkowego lub prawnika. Artykuł pokazuje, skąd w ogóle bierze się ten status i dlaczego warto go zauważyć przy przyjęciu klienta.
Kto w małym biurze rachunkowym powinien odpowiadać za identyfikację klienta?
Zwykle jest to właściciel biura albo osoba prowadząca onboarding nowych klientów. Ważniejsze od tytułu stanowiska jest to, żeby była to jedna, nazwana osoba, do której trafia informacja o każdym nowym kliencie, zanim zacznie się prowadzenie jego ksiąg.
Czy dane zebrane na potrzeby identyfikacji AML można trzymać razem z resztą danych klienta w CRM?
Tak, o ile dostęp do nich mają wyłącznie osoby z odpowiednim upoważnieniem, zgodnie z art. 29 RODO, a administrator — czyli właściciel biura — ma kontrolę nad tym, kto i w jakim zakresie z tych danych korzysta.
Co zrobić z klientami, których biuro obsługuje od dawna, a identyfikacji nigdy formalnie nie przeprowadzono?
Warto zacząć od przeglądu portfela klientów i zaznaczenia, u których identyfikacja nie została zapisana, a następnie ustalić z doradcą podatkowym lub prawnikiem, jak uzupełnić to wstecz w sposób adekwatny do ryzyka konkretnego klienta.