Nowy unijny pakiet AML (AMLR + AMLA + AMLD6): co spółki i podmioty zobowiązane na Cyprze muszą zrobić przed 10 lipca 2027 r.

Czym jest nowy unijny pakiet AML i dlaczego ma znaczenie dla Cypru?

Nowy unijny pakiet AML to zestaw trzech instrumentów prawnych przyjętych w 2024 r., które harmonizują przepisy dotyczące przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu we wszystkich państwach członkowskich UE, w tym na Cyprze. Ma on znaczenie, ponieważ po raz pierwszy podstawowe obowiązki, których musi przestrzegać cypryjski podmiot zobowiązany, będą wynikać bezpośrednio z rozporządzenia UE, a nie z prawa cypryjskiego, co eliminuje krajowe różnice, na których od lat opierały się firmy działające transgranicznie.

Dla Cypru, jurysdykcji o dużej regulowanej bazie usług finansowych i korporacyjnych, zmiana ta jest znacząca. Zasady stosowane przez cypryjskie firmy inwestycyjne (Cyprus Investment Firms), instytucje pieniądza elektronicznego (Electronic Money Institutions), dostawców usług administracyjnych, powierników, księgowych i prawników zostaną ujednolicone, a swoboda, którą Cypr historycznie stosował przy transpozycji dyrektyw UE, w dużej mierze zniknie.

Trzy instrumenty: AMLR, AMLD6 oraz rozporządzenie AMLA

Pakiet opiera się na trzech instrumentach, z których każdy pełni odrębną funkcję prawną. AMLR jest merytorycznym zbiorem zasad, AMLD6 reguluje ramy instytucjonalne, a rozporządzenie AMLA tworzy nowy organ nadzoru.

Wniosek dla cypryjskiego specjalisty ds. zgodności jest taki, że AMLR jest miejscem, w którym znajdują się teraz codzienne obowiązki, podczas gdy AMLD6 zmienia to, kto i w jaki sposób was nadzoruje.

Rozporządzenie a dyrektywa: dlaczego jednolity zbiór zasad jest bezpośrednio stosowany na Cyprze

Rozporządzenie jest bezpośrednio stosowane, co oznacza, że AMLR staje się wiążącym prawem na Cyprze 10 lipca 2027 r. bez konieczności odtwarzania go przez jakąkolwiek cypryjską ustawę. Dyrektywa natomiast wyznacza cel, który każde państwo członkowskie musi osiągnąć poprzez własne przepisy krajowe, dlatego AMLD6 wymaga cypryjskiej ustawy transponującej.

To rozróżnienie jest kluczową cechą reformy. Ponieważ AMLR wszedł w życie 9 lipca 2024 r. i stosuje się od 10 lipca 2027 r. jako bezpośrednio stosowany, jednolity zbiór zasad, cypryjski podmiot zobowiązany nie może już czekać, aż lokalna ustawa wskaże mu, jaką należytą staranność wobec klienta ma przeprowadzać. Obowiązek wynika wprost z tekstu unijnego, a cypryjskie sądy i organy nadzoru będą go stosować w brzmieniu, w jakim został sformułowany.

Jak pakiet zastępuje cypryjską ustawę 188(I)/2007 oraz ramy AMLD4/5

Pakiet zastępuje merytoryczne obowiązki AML określone obecnie w cypryjskiej ustawie o zapobieganiu i zwalczaniu prania pieniędzy 188(I)/2007, która transponowała Czwartą i Piątą Dyrektywę w sprawie przeciwdziałania praniu pieniędzy. Po transpozycji AMLD6 Czwarta i Piąta Dyrektywa zostaną uchylone, a ustawa 188(I)/2007 będzie wymagała rozległej nowelizacji, tak aby obok bezpośrednio stosowanego AMLR pozostały jedynie jej przepisy instytucjonalne i nadzorcze.

W praktyce cypryjskie firmy powinny od 10 lipca 2027 r. przestać traktować ustawę 188(I)/2007 jako podstawowe źródło swoich obowiązków i traktować AMLR jako tekst nadrzędny, przy czym znowelizowana ustawa cypryjska wypełni luki instytucjonalne, które AMLD6 pozostawia państwom członkowskim. Oczekuje się, że podział nadzoru ustanowiony na mocy ustawy 188(I)/2007 zostanie utrzymany: CySEC nadzoruje cypryjskie firmy inwestycyjne, dostawców usług w zakresie kryptoaktywów oraz fundusze, Bank Centralny Cypru nadzoruje banki oraz instytucje płatnicze i instytucje pieniądza elektronicznego, ICPAC nadzoruje księgowych i biegłych rewidentów, cypryjska izba adwokacka (Cyprus Bar Association) nadzoruje prawników, a MOKAS pozostaje jednostką analityki finansowej. Cypryjska ustawa transponująca AMLD6 i nowelizująca ustawę 188(I)/2007 potwierdzi każdy właściwy organ, a dokładne ostateczne przyporządkowanie zależy od tego aktu prawnego.

Jakie są kluczowe daty i termin 10 lipca 2027 r.?

Najważniejszą datą jest 10 lipca 2027 r., kiedy AMLR staje się bezpośrednio stosowany, a AMLD6 musi zostać transponowana. Wokół tego punktu odniesienia rozłożony jest harmonogram etapowy: AMLA rozpoczął działalność 1 lipca 2025 r., jego bezpośredni nadzór rozpoczyna się 1 stycznia 2028 r., a niewielka liczba przepisów ma wcześniejsze lub późniejsze terminy.

Cypryjskie podmioty zobowiązane powinny planować, cofając się od 10 lipca 2027 r., ponieważ wiarygodny program naprawczy trwa dwanaście miesięcy lub dłużej, a funkcji zgodności nie da się przebudować w ostatnim kwartale.

AMLR: w mocy od 9 lipca 2024 r., stosowany od 10 lipca 2027 r.

AMLR wszedł w życie 9 lipca 2024 r., ale stosuje się go od 10 lipca 2027 r., dając podmiotom zobowiązanym trzyletni okres przejściowy. Różnica między wejściem w życie a rozpoczęciem stosowania to okno zgodności, a nie okres karencji, i ono się zamyka.

Do 10 lipca 2027 r. każdy cypryjski podmiot zobowiązany musi już działać zgodnie z AMLR: próg beneficjenta rzeczywistego, limit gotówkowy, zharmonizowana należyta staranność wobec klienta oraz wymogi w zakresie kontroli wewnętrznych wchodzą w życie w tej jednej dacie, a nie stopniowo.

Termin transpozycji AMLD6 oraz wcześniejsze przepisy o rejestrze beneficjentów rzeczywistych

AMLD6 musi zostać transponowana przez Cypr do prawa krajowego do 10 lipca 2027 r., tej samej daty, w której stosuje się AMLR, kiedy to Czwarta i Piąta Dyrektywa zostaną uchylone. Niektóre przepisy dotyczące dostępu do rejestru beneficjentów rzeczywistych oraz jednostki analityki finansowej mają, według doniesień, wcześniejsze terminy, więc część ram instytucjonalnych może wiązać Cypr przed główną datą.

Dyrektywa (UE) 2024/1640 potwierdza etapowy harmonogram. Przepisy o dostępie do rejestru beneficjentów rzeczywistych zawarte w artykule 74 miały wcześniejszy termin transpozycji, 10 lipca 2025 r., a artykuły 11 do 13 oraz 15, które regulują same rejestry beneficjentów rzeczywistych, muszą zostać transponowane do 10 lipca 2026 r., cały rok przed główną datą. Firmy o złożonych strukturach własnościowych nie powinny zakładać, że zmiany w rejestrze poczekają do 2027 r.

AMLA działa od 1 lipca 2025 r., bezpośredni nadzór od 1 stycznia 2028 r.

AMLA, Europejski Urząd ds. Przeciwdziałania Praniu Pieniędzy, ma siedzibę we Frankfurcie i działa od 1 lipca 2025 r. Jego bezpośredni nadzór nad wybranymi podmiotami zobowiązanymi rozpoczyna się od 1 stycznia 2028 r., po procesie selekcji, który zaczyna się 1 lipca 2027 r. i trwa sześć miesięcy.

Dla większości cypryjskich podmiotów praktyczny skutek działania AMLA przed 2028 r. jest pośredni: opracowuje ona standardy techniczne, wytyczne i wzory, które cypryjskie organy nadzoru i firmy będą stosować, więc zbiór zasad AMLA kształtuje działania naprawcze na długo przed objęciem jakiejkolwiek cypryjskiej firmy bezpośrednim nadzorem.

Opóźniony harmonogram dla zawodowych klubów piłkarskich i agentów (2029)

Zawodowe kluby piłkarskie i agenci piłkarscy mają opóźnioną datę rozpoczęcia stosowania, 10 lipca 2029 r., dwa lata po dacie ogólnej. Sektor piłkarski jest jedyną kategorią, którą AMLR wprowadza z dłuższym okresem przygotowawczym, co odzwierciedla czas potrzebny na zbudowanie zgodności w nowo regulowanej branży.

To wyłączenie jest wąskie. Każda inna nowo objęta kategoria, w tym dostawcy usług w zakresie kryptoaktywów oraz podmioty handlujące towarami o wysokiej wartości, musi zapewnić zgodność od 10 lipca 2027 r.

Co AMLR (rozporządzenie 2024/1624) zmienia dla podmiotów zobowiązanych?

AMLR zmienia istotę tego, co musi robić każdy podmiot zobowiązany, ujednolicając należytą staranność wobec klienta, kontrole wewnętrzne, prowadzenie dokumentacji i sprawozdawczość w jeden bezpośrednio stosowany tekst. Największe zmiany operacyjne to niższy próg wyzwalający dla transakcji okazjonalnych, wynoszący EUR 10,000, zharmonizowany standard beneficjenta rzeczywistego oraz obowiązkowa struktura funkcji zgodności.

Ponieważ zasady te wynikają teraz z rozporządzenia, cypryjska firma nie może polegać na łagodniejszej interpretacji krajowej. AMLR jest jednocześnie podłogą i sufitem.

Zharmonizowana należyta staranność wobec klienta oraz próg EUR 10,000 dla transakcji okazjonalnych

AMLR obniża ogólny próg wyzwalający należytą staranność wobec klienta dla transakcji okazjonalnych z EUR 15,000 do EUR 10,000, więc należyta staranność uruchamia się przy niższej wartości. Sama należyta staranność wobec klienta jest zharmonizowana, co oznacza, że identyfikacja, weryfikacja i sprawdzanie beneficjentów rzeczywistych odbywają się według jednolitego standardu UE, a nie rozbieżnych zasad krajowych.

Dla cypryjskiego podmiotu zobowiązanego oznacza to ponowne skalibrowanie progów monitorowania transakcji oraz logiki onboardingu do kwoty EUR 10,000, a także zapewnienie, że gromadzone dane identyfikacyjne spełniają standard AMLR, a nie starsze podejście z ustawy 188(I)/2007.

Wzmożona należyta staranność, państwa trzecie wysokiego ryzyka i klienci o wysokiej wartości netto

Wzmożona należyta staranność pozostaje obowiązkowa w sytuacjach podwyższonego ryzyka, w tym w przypadku klientów powiązanych z państwami trzecimi wysokiego ryzyka oraz osób o wysokiej wartości netto, wraz z dodatkową analizą źródła majątku i źródła środków. AMLR ujednolica to, kiedy uruchamiane są środki wzmożone i co muszą one obejmować.

AMLR ustanawia szczególny próg dla osób o wysokiej wartości netto: instytucje finansowe i kredytowe muszą stosować wzmożoną należytą staranność, gdy przechowują w depozycie co najmniej EUR 5 million aktywów klienta, którego łączne aktywa wynoszą co najmniej EUR 50 million, przy czym AMLA ma wydać do 10 lipca 2027 r. wytyczne co do sposobu ustalania, czy klient przekracza ten próg EUR 50 million. Firmy obsługujące klientów międzynarodowych, w tym korzystających z rozwiązania w postaci strukturyzacji cypryjskiej spółki holdingowej lub doradzanych w zakresie ustanawiania substancji ekonomicznej w cypryjskiej spółce, powinny spodziewać się głębszych akt dotyczących źródła majątku.

Kontrole wewnętrzne, funkcja zgodności i specjalista ds. zgodności

AMLR wymaga, aby każdy podmiot zobowiązany utrzymywał wewnętrzne polityki, kontrole i procedury proporcjonalne do swojej wielkości i ryzyka oraz wyznaczył funkcję zgodności z wyznaczonym specjalistą ds. zgodności na poziomie kierownictwa. Specjalista ds. zgodności odpowiada za wdrożenie ram AML, a odrębny członek kadry kierowniczej wyższego szczebla ponosi odpowiedzialność na poziomie zarządu.

Cypryjskie firmy już teraz działają w oparciu o model MLRO na mocy obowiązującego prawa, ale AMLR formalizuje strukturę dwupoziomową, dokumentację funkcji zgodności oraz polityki obejmujące całą grupę, więc istniejące nominacje i podręczniki należy zweryfikować pod kątem nowego tekstu, a nie zakładać ich zgodności.

Pięcioletnie przechowywanie dokumentacji i zgłaszanie transakcji podejrzanych

AMLR wymaga, aby podmioty zobowiązane przechowywały dokumentację dotyczącą należytej staranności wobec klienta oraz dane transakcyjne przez pięć lat, a także zgłaszały transakcje podejrzane krajowej jednostce analityki finansowej. Na Cyprze jednostką analityki finansowej oraz obowiązkowym odbiorcą zgłoszeń podejrzanych i progowych jest MOKAS, Jednostka ds. Zwalczania Prania Pieniędzy.

Zgodnie z artykułem 77 AMLR podmioty zobowiązane muszą przechowywać dokumentację dotyczącą należytej staranności wobec klienta oraz dane transakcyjne przez pięć lat po zakończeniu relacji biznesowej lub od daty transakcji okazjonalnej, a prawo krajowe może wymagać lub zezwalać na przechowywanie przez okres do pięciu kolejnych lat, gdy jest to konieczne i proporcjonalne do zapobiegania, wykrywania lub prowadzenia dochodzeń w sprawie prania pieniędzy. Procesy zgłaszania transakcji podejrzanych powinny być kierowane do MOKAS i przetestowane przed datą 2027 r.

Jak zmienia się próg beneficjenta rzeczywistego na 25% lub więcej?

Próg beneficjenta rzeczywistego zmienia się z ponad 25% na 25% lub więcej udziałów, praw głosu lub udziału własnościowego, więc osoba posiadająca dokładnie 25% kwalifikuje się teraz jako beneficjent rzeczywisty. Zamyka to lukę, która wcześniej pozwalała posiadaczowi dokładnie 25% pozostawać poza definicją, a próg ten może zostać obniżony do 15% dla struktur o podwyższonym ryzyku.

Dla Cypru, gdzie struktury korporacyjne i powiernicze często rozdzielają udziały w równych ćwiartkach, zmiana ta nie jest kosmetyczna: duża liczba posiadaczy dokładnie 25% z dnia na dzień wchodzi w zakres i musi zostać zidentyfikowana, zweryfikowana i zarejestrowana.

Z ponad 25% na 25% lub więcej: kto staje się UBO

Zgodnie z AMLR beneficjentem rzeczywistym jest każda osoba fizyczna, która posiada 25% lub więcej udziałów, praw głosu lub udziału własnościowego, bezpośrednio lub pośrednio, w podmiocie. Poprzedni test obejmował jedynie udziały ściśle powyżej 25%, więc równy podział na cztery części po 25% każda nie dawał żadnego beneficjenta rzeczywistego według starej zasady, a według nowej daje czterech.

Cypryjskie firmy powinny ponownie przeanalizować każdą strukturę klienta i wewnętrzną pod kątem testu 25% lub więcej oraz zaktualizować swoje zgłoszenia do cypryjskiego rejestru UBO i zgodności w zakresie beneficjentów rzeczywistych tam, gdzie nowi właściciele kwalifikują się teraz.

Obniżone progi 15% dla struktur o podwyższonym ryzyku

W przypadku kategorii podmiotów o podwyższonym ryzyku próg beneficjenta rzeczywistego może zostać obniżony nawet do 15%, więc mniejszy udział uruchamia identyfikację. Obniżony próg jest skierowany do sektorów i struktur, które AMLR traktuje jako z natury bardziej ryzykowne.

Praktyczną konsekwencją dla Cypru jest analiza dwupoziomowa: domyślny test 25% lub więcej dla zwykłych podmiotów oraz test 15% dla podmiotów o podwyższonym ryzyku, który zespoły ds. zgodności muszą odwzorować na swojej bazie klientów, zamiast stosować jedną liczbę do wszystkich przypadków.

Wpływ na cypryjski rejestr UBO i zgłaszanie rozbieżności

Niższy próg rozszerza krąg osób, które muszą znaleźć się w cypryjskim rejestrze beneficjentów rzeczywistych prowadzonym przez Rejestr Spółek (Registrar of Companies), oraz zaostrza obowiązki zgłaszania rozbieżności, gdy własne ustalenia podmiotu zobowiązanego różnią się od rejestru. Podmioty zobowiązane, które zidentyfikują niezgodność, muszą ją zgłosić, a rejestr musi odzwierciedlać standard 25% lub więcej.

Ponieważ dane rejestrowe i standard AMLR muszą być spójne, cypryjskie firmy powinny traktować uporządkowanie rejestru oraz uporządkowanie wewnętrznych akt UBO jako jeden projekt, a nie dwa.

Scenariusze z nominowaniem, powiernictwem i wielowarstwową własnością

Ustalenia z nominowaniem, trusty i wielowarstwowe łańcuchy holdingowe wymagają od podmiotu zobowiązanego przejrzenia struktury aż do osób fizycznych, które ostatecznie posiadają lub kontrolują 25% lub więcej, oraz odnotowania relacji nominowania. Struktury powiernicze, w tym rozwiązanie w postaci cypryjskich trustów międzynarodowych i ochrony aktywów, muszą identyfikować założyciela, powiernika, protektora, beneficjentów oraz każdą inną osobę sprawującą ostateczną kontrolę.

To właśnie w tych scenariuszach przejrzenia struktury cypryjscy dostawcy usług korporacyjnych ponoszą największy ciężar prac naprawczych, ponieważ warstwowe struktury, które wcześniej nie dawały żadnego UBO przy 25%, mogą teraz ujawnić kilku.

Czym jest nowy ogólnounijny limit płatności gotówkowych EUR 10,000?

AMLR wprowadza zharmonizowany limit EUR 10,000 dla płatności gotówkowych za towary i usługi w całej UE, w tym na Cyprze, od 10 lipca 2027 r. Państwa członkowskie mogą ustalić niższy limit krajowy, a weryfikacja tożsamości jest wymagana dla okazjonalnych transakcji gotówkowych między EUR 3,000 a EUR 10,000.

Dla gospodarki posługującej się gotówką jest to twarda zasada operacyjna: każdy podmiot handlujący towarami lub usługami musi odmówić przyjęcia gotówki powyżej EUR 10,000 za pojedynczy zakup, niezależnie od tego, jak jest on skonstruowany, aby wyglądać jak odrębne płatności.

Zharmonizowany limit gotówkowy i swoboda państw członkowskich do jego obniżenia

Limit gotówkowy EUR 10,000 to ogólnounijny pułap, a państwa członkowskie zachowują swobodę nałożenia niższego progu krajowego. Cypr nie ustalił jeszcze swojej ostatecznej wartości krajowej, więc firmy powinny planować w oparciu o EUR 10,000, obserwując jednocześnie ewentualny niższy limit cypryjski.

Limit stosuje się do pojedynczej operacji lub powiązanych operacji, więc podział dużej płatności na transze poniżej EUR 10,000 nie pozwala go uniknąć.

Weryfikacja tożsamości przy okazjonalnych transakcjach gotówkowych powyżej EUR 3,000

Dla okazjonalnych transakcji gotówkowych między EUR 3,000 a EUR 10,000 AMLR wymaga weryfikacji tożsamości, mimo że płatność jest poniżej limitu. Tworzy to pośredni przedział, w którym transakcja jest zgodna z prawem, ale klient musi zostać zidentyfikowany.

Cypryjscy przedsiębiorcy powinni zbudować proces dwuprzedziałowy: identyfikować i weryfikować między EUR 3,000 a EUR 10,000 oraz odmawiać przyjęcia gotówki powyżej EUR 10,000.

Co muszą zrobić cypryjscy handlarze towarami o wysokiej wartości

Podmioty handlujące towarami o wysokiej wartości, takie jak dealerzy metali szlachetnych, biżuterii, dzieł sztuki lub pojazdów, muszą stosować limit gotówkowy oraz, gdy są podmiotami zobowiązanymi, pełny reżim należytej staranności wobec klienta. AMLR ustanawia stopniowane progi kwotowe: dealerzy stają się podmiotami zobowiązanymi, gdy handlują metalami i kamieniami szlachetnymi lub biżuterią, zegarkami i podobnymi towarami powyżej EUR 10,000, luksusowymi pojazdami silnikowymi powyżej EUR 250,000 albo statkami powietrznymi i łodziami powyżej EUR 750,000.

Handlarze towarami o wysokiej wartości powinni potwierdzić zarówno to, czy są podmiotami zobowiązanymi, jak i który próg kwotowy ma zastosowanie, zanim zaprojektują swoje kontrole.

Kto jest teraz podmiotem zobowiązanym w ramach AMLR na Cyprze?

AMLR utrzymuje istniejącą bazę podmiotów zobowiązanych i dodaje nowe kategorie, więc więcej cypryjskich przedsiębiorstw podlega prawu AML niż wcześniej. Rozszerzenie obejmuje dostawców usług w zakresie kryptoaktywów, platformy finansowania społecznościowego i pośredników, pośredników kredytów konsumenckich i hipotecznych, operatorów migracji inwestycyjnej oraz podmioty handlujące towarami o wysokiej wartości.

Każdy podmiot zobowiązany, stary czy nowy, musi zapewnić zgodność od 10 lipca 2027 r., z wyjątkiem zawodowych klubów piłkarskich i agentów, których przepisy stosuje się od 10 lipca 2029 r.

Nowo objęte zakresem: CASP, platformy finansowania społecznościowego i pośrednicy kredytowi

Dostawcy usług w zakresie kryptoaktywów stają się podmiotami zobowiązanymi w ramach AMLR, dostosowując zasady AML do rozporządzenia w sprawie rynków kryptoaktywów (Markets in Crypto-Assets Regulation), obok platform finansowania społecznościowego oraz pośredników kredytów konsumenckich i hipotecznych. Kategorie te muszą teraz prowadzić pełną należytą staranność wobec klienta, sprawdzanie beneficjentów rzeczywistych oraz zgłaszanie transakcji podejrzanych.

Cypryjskie firmy licencjonowane jako cypryjscy dostawcy usług w zakresie kryptoaktywów (CASP) powinny traktować AMLR jako uzupełnienie swoich obowiązków wynikających z MiCA, a podmioty doradzające w zakresie opodatkowania kryptowalut na Cyprze powinny zasygnalizować klientom nakładającą się warstwę AML.

Operatorzy migracji inwestycyjnej i handlarze towarami o wysokiej wartości

Operatorzy migracji inwestycyjnej oraz podmioty handlujące towarami o wysokiej wartości są objęci zakresem, co odzwierciedla ryzyko AML w usługach rezydencji i obywatelstwa w zamian za inwestycje oraz w handlu towarami o wysokiej wartości intensywnie posługującym się gotówką. Pośrednicy migracji inwestycyjnej muszą stosować należytą staranność wobec wnioskodawców i ich źródła środków.

Dla Cypru, z aktywnym rynkiem migracji inwestycyjnej i doradztwa nieruchomościowego, poszerza to bazę podmiotów zobowiązanych poza tradycyjny sektor finansowy o dostawców usług, którzy wcześniej znajdowali się poza prawem AML.

Istniejąca baza cypryjska: CIF, EMI, instytucje płatnicze, ASP, powiernicy, księgowi i prawnicy

Istniejąca cypryjska baza podmiotów zobowiązanych pozostaje w pełni objęta zakresem: banki, cypryjskie firmy inwestycyjne, instytucje pieniądza elektronicznego, instytucje płatnicze, dostawcy usług administracyjnych, powiernicy, księgowi, biegli rewidenci i prawnicy. Podmioty te nadal ponoszą podstawowy ciężar AML i muszą przenieść swoje ramy na AMLR.

Firmy regulowane, takie jak działające w ramach ram licencjonowania cypryjskich firm inwestycyjnych (CIF), powinny traktować migrację do AMLR jako projekt kluczowy dla licencji, ponieważ uchybienia AML zagrażają zezwoleniu.

Jak AMLA będzie nadzorować cypryjskie podmioty zobowiązane?

AMLA nadzoruje dwoma kanałami: bezpośrednim nadzorem niewielkiej grupy transgranicznych podmiotów o najwyższym ryzyku oraz pośrednim nadzorem nad krajowymi organami nadzoru wobec wszystkich pozostałych. Większość cypryjskich podmiotów zobowiązanych pozostaje pod nadzorem krajowym CySEC, ICPAC, Banku Centralnego Cypru oraz MOKAS, podczas gdy AMLA wyznacza standardy i monitoruje same organy nadzoru.

Cypryjska rzeczywistość jest taka, że bezpośredni nadzór AMLA dotknie bardzo niewiele lokalnych podmiotów, ale pośredni wpływ AMLA na cypryjskie organy nadzoru zmieni sposób badania każdej firmy.

Bezpośredni nadzór nad maksymalnie 40 wybranymi podmiotami zobowiązanymi od 2028 r.

AMLA będzie bezpośrednio nadzorować do 40 wybranych podmiotów zobowiązanych w całej UE, przy czym proces selekcji rozpocznie się 1 lipca 2027 r., potrwa sześć miesięcy, a bezpośredni nadzór przejdzie na AMLA od 1 stycznia 2028 r. Selekcja jest weryfikowana co trzy lata.

Biorąc pod uwagę niewielką liczbę podmiotów objętych bezpośrednim nadzorem w całej UE, realistycznymi kandydatami są jedynie największe transgraniczne cypryjskie instytucje finansowe, a większość cypryjskich firm nie będzie bezpośrednio nadzorowana.

Sześć państw członkowskich i kryteria selekcji według najwyższego ryzyka

Bezpośredni nadzór jest skierowany do podmiotów zobowiązanych, które działają w co najmniej sześciu państwach członkowskich i wykazują najwyższe ryzyko rezydualne, więc o selekcji decyduje zasięg transgraniczny w połączeniu z ryzykiem. Podmiot działający wyłącznie na Cyprze lub w mniej niż sześciu państwach członkowskich jest mało prawdopodobnym kandydatem do wyboru.

Kryterium to ma znaczenie dla cypryjskich grup o rzeczywiście ogólnoeuropejskiej obecności, które powinny ocenić, czy ich zasięg i profil ryzyka mogłyby umieścić je w wybranej puli.

Nadzór pośredni poprzez CySEC, ICPAC, Bank Centralny Cypru oraz MOKAS

W przypadku podmiotów nieobjętych bezpośrednim nadzorem krajowe organy nadzoru pozostają pierwszą linią: CySEC dla firm inwestycyjnych i CASP, ICPAC dla księgowych i biegłych rewidentów, Bank Centralny Cypru dla banków oraz instytucji płatniczych i instytucji pieniądza elektronicznego, a MOKAS jako jednostka analityki finansowej. AMLA nadzoruje te organy w celu zapewnienia spójności.

Ten podział zadań odzwierciedla podział nadzoru już funkcjonujący na mocy ustawy 188(I)/2007, który cypryjskie przepisy transponujące AMLD6 mają zachować, potwierdzając jednocześnie właściwy organ nadzoru dla każdego typu podmiotu. Firmy powinny odwzorować każdą ze swoich regulowanych działalności na odpowiadający organ nadzoru, gdy przepisy te wejdą w życie.

Uprawnienia sankcyjne AMLA i rola cypryjskiej FIU

AMLA posiada uprawnienia sankcyjne wobec podmiotów, które bezpośrednio nadzoruje, a MOKAS pozostaje cypryjskim odbiorcą zgłoszeń podejrzanych i progowych oraz centrum współpracy w zakresie analityki finansowej. Krajowe organy nadzoru zachowują uprawnienia egzekucyjne wobec nadzorowanych przez siebie podmiotów.

Struktura dwutorowa oznacza, że w normalnym trybie cypryjska firma odpowiada przed swoim krajowym organem nadzoru i MOKAS, przy czym AMLA pozostaje w tle jako podmiot wyznaczający standardy oraz, dla nielicznych wybranych, jako bezpośredni organ egzekucyjny.

Czym jest analiza luk w zgodności dla cypryjskich CIF, EMI i powierników?

Analiza luk w zgodności to ustrukturyzowane porównanie obecnych ram AML firmy z jednolitym zbiorem zasad AMLR, którego efektem jest plan naprawczy. Dla cypryjskich CIF, EMI i powierników koncentruje się ona na czterech obszarach roboczych: migracji polityk, uporządkowaniu danych UBO, politykach obejmujących całą grupę oraz modernizacji technologii.

Wczesne rozpoczęcie analizy luk jest decydujące, ponieważ uporządkowanie danych UBO i systemów monitorowania transakcji jest powolne i nie da się go skompresować do tygodni poprzedzających 10 lipca 2027 r.

Odwzorowanie obecnego podręcznika AML na jednolity zbiór zasad AMLR

Pierwszym krokiem jest odwzorowanie każdego postanowienia istniejącego podręcznika AML, opartego na ustawie 188(I)/2007, na odpowiadający artykuł AMLR oraz odnotowanie każdej luki. Tam, gdzie AMLR nakłada nowy lub bardziej rygorystyczny obowiązek, podręcznik musi zostać napisany na nowo, a nie tylko opatrzony adnotacjami.

To odwzorowanie tworzy listę zaległości naprawczych: każda zidentyfikowana luka staje się zadaniem z przypisanym właścicielem i terminem w ramach dwunastomiesięcznego okna.

Uporządkowanie danych UBO do standardu 25% lub więcej

Dane UBO muszą zostać ponownie zebrane i ponownie zweryfikowane pod kątem standardu 25% lub więcej oraz standardu 15% dla struktur o podwyższonym ryzyku, tak aby uchwycić każdego nowo kwalifikującego się właściciela. Jest to największe pojedyncze zadanie naprawcze dla dostawców usług korporacyjnych i powierników.

Firmy powinny nadać priorytet strukturom z dokładnie 25% udziałami oraz warstwową własnością i uzgodnić swoje akta z cypryjskim rejestrem beneficjentów rzeczywistych w celu rozwiązania rozbieżności.

Polityki obejmujące całą grupę i ustalenia dotyczące outsourcingu

Grupy muszą wdrożyć polityki AML obejmujące całą grupę, a firmy polegające na ustaleniach dotyczących outsourcingu lub powierzenia muszą potwierdzić, że ustalenia te spełniają standard AMLR. Funkcja zgodności musi zachować odpowiedzialność nawet wtedy, gdy działania są zlecane na zewnątrz.

Cypryjskie firmy w grupach międzynarodowych powinny dostosować swoje lokalne ramy do polityki grupowej i udokumentować podział odpowiedzialności, ponieważ AMLR pociąga podmiot zobowiązany do odpowiedzialności niezależnie od outsourcingu.

Modernizacja technologii, screeningu i monitorowania transakcji

Technologia screeningu sankcyjnego, screeningu niekorzystnych informacji medialnych oraz monitorowania transakcji musi zostać ponownie skalibrowana do progów AMLR, w tym progu EUR 10,000 dla transakcji okazjonalnych oraz zasad weryfikacji w przedziałach gotówkowych. Systemy kodujące stary próg EUR 15,000 lub test ponad 25% muszą zostać przekonfigurowane.

Etapowa lista kontrolna działań naprawczych utrzymuje program na właściwym torze:

1. Ukończ analizę luk AMLR i ogólnofirmową ocenę ryzyka.
2. Przebuduj polityki i procedury AML oraz strukturę funkcji zgodności.
3. Uporządkuj wszystkie dane UBO do standardu 25% lub więcej (oraz 15%).
4. Przekonfiguruj progi screeningu i monitorowania transakcji.
5. Zaktualizuj procesy prowadzenia dokumentacji i zgłaszania do MOKAS.
6. Przeszkol personel i uzyskaj zatwierdzenie zarządu przed 10 lipca 2027 r.

Jakie są kary i konsekwencje nadzorcze niezgodności?

Niezgodność naraża podmioty zobowiązane na administracyjne sankcje pieniężne, egzekucję krajową oraz ryzyko licencyjne. AMLA może nakładać sankcje na podmioty bezpośrednio nadzorowane, cypryjskie krajowe organy nadzoru egzekwują przepisy wobec nadzorowanych przez siebie podmiotów, a uchybienia AML mogą zagrozić zezwoleniu firmy.

Podmioty świadczące usługi finansowe, które dominują na Cyprze, mają najwięcej do stracenia, ponieważ naruszenie AML to nie tylko grzywna, ale zagrożenie dla licencji, od której zależy działalność.

Administracyjne sankcje pieniężne AMLA

AMLA może nakładać administracyjne sankcje pieniężne na bezpośrednio nadzorowane przez siebie podmioty zobowiązane za poważne, systematyczne lub powtarzające się naruszenia. Zgodnie z artykułem 22 rozporządzenia AMLA (UE) 2024/1620 sankcje te mogą sięgać do EUR 10 million lub 10% całkowitego rocznego obrotu podmiotu, w zależności od tego, która wartość jest wyższa, obliczonego na podstawie ostatniego dostępnego zbadanego skonsolidowanego sprawozdania finansowego jednostki dominującej najwyższego szczebla. Te pułapy funkcjonują obok uprawnień egzekucyjnych, które cypryjskie krajowe organy nadzoru zachowują wobec nadzorowanych przez siebie podmiotów.

Egzekucja krajowa przez cypryjskie organy nadzoru

Cypryjskie organy nadzoru, w tym CySEC, ICPAC oraz Bank Centralny Cypru, zachowują uprawnienia egzekucyjne wobec nadzorowanych przez siebie podmiotów, od grzywien po nakazy i działania licencyjne. Egzekucja krajowa jest kanałem, z którym faktycznie zmierzy się większość cypryjskich firm.

Ponieważ nadzór pozostaje w dużej mierze krajowy, codzienne ryzyko egzekucyjne cypryjskiej firmy spoczywa na jej własnym organie nadzoru, a nie na AMLA.

Ryzyko reputacyjne i licencyjne dla podmiotów regulowanych

Poza grzywnami uchybienia AML niosą konsekwencje reputacyjne i licencyjne, ponieważ podmiot regulowany, który nie potrafi wykazać zgodności z AMLR, ryzykuje nałożenie warunków na swoje zezwolenie lub jego utratę. Dla CIF lub EMI licencja jest firmą.

Szkody reputacyjne pogłębiają ryzyko regulacyjne, ponieważ kontrahenci i banki coraz częściej sprawdzają solidność AML przed nawiązaniem współpracy.

Jak cypryjski podmiot zobowiązany powinien przygotować się przed 10 lipca 2027 r.?

Cypryjski podmiot zobowiązany powinien przeprowadzić etapowy dwunastomiesięczny program naprawczy, przypisać odpowiedzialność na poziomie zarządu oraz skorzystać ze specjalistycznego wsparcia prawnego przy analizie luk i przebudowie polityk. Przygotowania powinny rozpocząć się na długo przed 2027 r., ponieważ uporządkowanie danych UBO i rekonfiguracja systemów są powolne.

Firmy, które zaczynają wcześnie, przekształcają obowiązek zgodności w konkurencyjny sygnał wiarygodności; te, które zwlekają, ryzykują pospieszną, niekompletną migrację.

Etapowa mapa działań naprawczych i realistyczny 12-miesięczny harmonogram

Realistyczny program naprawczy trwa dwanaście miesięcy lub dłużej, przechodząc od analizy luk, przez przebudowę polityk i uporządkowanie danych UBO, aż po modernizację systemów, szkolenia i zatwierdzenie. Każdy etap ma zależności, więc kolejność ma równie duże znaczenie jak termin.

Wniosek jest taki, że firma rozpoczynająca program w 2026 r. ma odpowiedni zapas czasu do 10 lipca 2027 r., a firma zaczynająca w 2027 r. nie ma.

Obowiązki zarządu i kadry kierowniczej wyższego szczebla

Zarząd i kadra kierownicza wyższego szczebla odpowiadają za ramy AML, a AMLR oczekuje, że wyznaczony członek kadry kierowniczej wyższego szczebla będzie odpowiadał za zgodność AML obok specjalisty ds. zgodności. Odpowiedzialności nie można scedować wyłącznie na funkcję zgodności.

Zarządy powinny otrzymać wyniki analizy luk, zatwierdzić budżet naprawczy oraz monitorować postępy w odniesieniu do dwunastomiesięcznego planu, dokumentując swój nadzór na potrzeby organu nadzoru.

Gdzie cypryjska kancelaria prawna dodaje wartość w analizie luk i działaniach naprawczych

Cypryjska kancelaria prawna dodaje wartość, odwzorowując AMLR na konkretny typ cypryjskiego podmiotu zobowiązanego i jego faktyczny organ nadzoru, opracowując zgodne polityki oraz doradzając w zakresie UBO, powiernictwa oraz zasad dotyczących cypryjskich zagranicznych spółek kontrolowanych (CFC) i kwestii strukturyzacji, które przecinają się z AML. Wkład prawny jest decydujący tam, gdzie analiza zależy od wykładni ustawowej oraz oczekiwanej cypryjskiej ustawy transponującej.

Firmy powinny również zharmonizować działania naprawcze AML z szerszymi obowiązkami w zakresie zgodności, w tym z przeglądem podatków na Cyprze oraz wymogami dotyczącymi substancji, tak aby struktury pozostawały zarówno zgodne z AML, jak i efektywne podatkowo.

Jak Philippou Law Firm może pomóc

Philippou Law Firm doradza cypryjskim podmiotom zobowiązanym w całej bazie podmiotów zobowiązanych, od CIF, EMI i instytucji płatniczych po dostawców usług administracyjnych, powierników, księgowych i dostawców usług w zakresie kryptoaktywów, w przygotowaniu do nowego unijnego pakietu AML. Nasz zespół przeprowadza analizy luk AMLR odwzorowane na wasz konkretny organ nadzoru (CySEC, ICPAC, Bank Centralny Cypru lub MOKAS), przebudowuje polityki AML oraz strukturę funkcji zgodności, porządkuje dane UBO do standardu 25% lub więcej i prowadzi wasz zarząd przez realistyczną dwunastomiesięczną mapę drogową do 10 lipca 2027 r. Skontaktujcie się z nami, aby określić zakres waszej analizy luk i programu naprawczego, zanim termin zawęzi wasze możliwości.

Niniejszy artykuł stanowi ogólne informacje, a nie poradę prawną. W celu uzyskania porady dotyczącej waszej konkretnej sytuacji skontaktujcie się z wykwalifikowanym cypryjskim adwokatem.