Artykuł 9

1. Podmioty zobowiązane wprowadzają wewnętrzne strategie, procedury i środki kontroli w celu zapewnienia zgodności z niniejszym rozporządzeniem, rozporządzeniem (UE) 2023/1113 oraz wszelkimi aktami administracyjnymi wydanymi przez dowolny podmiot sprawujący nadzór, w szczególności w celu:

a) skutecznego ograniczania ryzyk prania pieniędzy i finansowania terroryzmu zidentyfikowanych na poziomie Unii, państwa członkowskiego oraz podmiotu zobowiązanego, a także skutecznego zarządzania tymi ryzykami;

b) oprócz obowiązku stosowania ukierunkowanych sankcji finansowych – ograniczania ryzyk niewykonania ukierunkowanych sankcji finansowych i uchylania się od nich oraz zarządzania tymi ryzykami.

Strategie, procedury i środki kontroli, o których mowa w akapicie pierwszym, są proporcjonalne do charakteru działalności, w tym jej ryzyk i złożoności, oraz wielkości podmiotu zobowiązanego, i obejmują wszystkie rodzaje działalności podmiotu zobowiązanego wchodzące w zakres stosowania niniejszego rozporządzenia.

2. Strategie, procedury i środki kontroli, o których mowa w ust. 1, obejmują:

a) wewnętrzne strategie i procedury, w tym w szczególności w zakresie:

(i) przeprowadzenia i aktualizacji oceny ryzyka obejmującej całą działalność;

(ii) ram podmiotu zobowiązanego dotyczących zarządzania ryzykiem;

(iii) należytej staranności wobec klienta w celu wykonania rozdziału III niniejszego rozporządzenia, w tym procedur służących ustaleniu, czy klient, beneficjent rzeczywisty lub osoba, w której imieniu lub na rzecz której dokonywana jest transakcja lub wykonywana jest czynność, jest osobą zajmującą eksponowane stanowisko polityczne, lub członkiem rodziny lub osobą znaną jako bliski współpracownik;

(iv) zgłaszania podejrzanych transakcji;

(v) outsourcingu i korzystania z należytej staranności wobec klienta przeprowadzanej przez inne podmioty zobowiązane;

(vi) przechowywania dokumentacji oraz w zakresie strategii dotyczących przetwarzania danych osobowych zgodnie z art. 76 i 77;

(vii) monitorowania zgodności z takimi wewnętrznymi strategiami i procedurami i zarządzania nimi zgodnie z lit. b) niniejszego ustępu, identyfikacji niedociągnięć i zarządzania nimi oraz wdrażania działań naprawczych;

(viii) weryfikacji – proporcjonalnej do ryzyk związanych z zadaniami i funkcjami, które mają być wykonywane, przy rekrutacji i wyznaczaniu pracowników do określonych zadań i funkcji oraz przy mianowaniu przedstawicieli i dystrybutorów – czy osoby te cieszą się dobrą reputacją;

(ix) komunikacji wewnętrznej na temat wewnętrznych strategii, procedur i środków kontroli podmiotu zobowiązanego, w tym wobec jego przedstawicieli, dystrybutorów i dostawców usług zaangażowanych we wdrażanie jego strategii przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu;

(x) strategii szkolenia pracowników oraz, w stosownych przypadkach, przedstawicieli i dystrybutorów danego podmiotu zobowiązanego w odniesieniu do obowiązujących w nim środków służących spełnieniu wymogów niniejszego rozporządzenia, rozporządzenia (UE) 2023/1113 oraz wszelkich aktów administracyjnych wydanych przez dowolny podmiot sprawujący nadzór;

b) wewnętrzne środki kontroli oraz funkcję niezależnego audytu w celu sprawdzenia wewnętrznych strategii i procedur, o których mowa w lit. a) niniejszego ustępu, oraz środków kontroli obowiązujących w podmiocie zobowiązanym; w przypadku braku funkcji niezależnego audytu podmioty zobowiązane mogą zlecić sprawdzanie swoich strategii i procedur ekspertowi zewnętrznemu.

Wewnętrzne strategie, procedury i środki kontroli określone w akapicie pierwszym dokumentuje się w formie pisemnej. Wewnętrzne strategie są zatwierdzane przez organ zarządzający pełniący funkcję zarządzającą. Wewnętrzne procedury i środki kontroli są zatwierdzane co najmniej na poziomie kierownika ds. zapewniania zgodności z przepisami.

3. Podmioty zobowiązane aktualizują wewnętrzne strategie, procedury i środki kontroli oraz poprawiają je w przypadku stwierdzenia niedociągnięć.

4. Do dnia 10 lipca 2026 r. AMLA wyda wytyczne dotyczące elementów, które podmioty zobowiązane powinny wziąć pod uwagę – w oparciu o charakter ich działalności, w tym jej ryzyka i złożoność, oraz w oparciu o swoją wielkość, przy podejmowaniu decyzji o zakresie swoich wewnętrznych strategii, procedur i środków kontroli, w szczególności w odniesieniu do pracowników wyznaczonych do funkcji zapewniania zgodności z przepisami. W tych wytycznych wskazuje się również sytuacje, w których, ze względu na charakter i wielkość podmiotu zobowiązanego:

(i) wewnętrzne środki kontroli mają być zorganizowane na poziomie funkcji handlowej, funkcji zapewniania zgodności z prawem i funkcji audytu;

(ii) funkcję niezależnego audytu może wykonywać ekspert zewnętrzny.