CRBR – obowiązki rejestracji beneficjentów

Spółka z Mazowsza z udziałowcem będącym funduszem private equity odkrywa podczas audytu AML, że struktura własnościowa liczy pięć warstw podmiotów zagranicznych – a w CRBR widnieje wpis sprzed trzech lat, nieaktualny po dwóch restrukturyzacjach. Kara? Do 1 000 000 zł. Termin na korektę? Minął siedem miesięcy temu.

Centralny Rejestr Beneficjentów Rzeczywistych (CRBR) nakłada na podmioty zobowiązane obowiązek identyfikacji i ujawnienia osoby fizycznej sprawującej kontrolę nad spółką lub trustem. Podstawę prawną stanowi ustawa o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (ustawa AML). Termin na dokonanie pierwszego wpisu wynosi 7 dni od rejestracji podmiotu w KRS, a na aktualizację – 7 dni od zaistnienia zmiany.

Ten przewodnik opisuje procedurę krok po kroku: kto podlega obowiązkowi, jak zidentyfikować beneficjenta rzeczywistego w złożonej strukturze, jakie sankcje grożą za zaniechanie i jak uniknąć najczęstszych błędów. Omówimy trzy scenariusze biznesowe – spółkę produkcyjną, firmę technologiczną i inwestora zagranicznego wchodzącego na rynek polski.

Kto podlega obowiązkowi zgłoszenia do CRBR i jakie są terminy?

Obowiązek rejestracji w CRBR obejmuje szeroki katalog podmiotów. Spółki prawa handlowego zarejestrowane w KRS – sp. z o.o., S.A., spółki komandytowe, komandytowo-akcyjne i jawne – muszą ujawnić swoich beneficjentów rzeczywistych. Obowiązek dotyczy również stowarzyszeń podlegających wpisowi do KRS, fundacji oraz trustów z siedzibą lub zarządem w Polsce. Od 2021 roku katalog rozszerzono o spółki partnerskie i europejskie zgrupowania interesów gospodarczych.

Terminy są rygorystyczne. Nowo zarejestrowany podmiot ma 7 dni roboczych od wpisu do KRS na dokonanie zgłoszenia w CRBR. Każda zmiana danych – zmiana udziałowca, przekroczenie progu 25% głosów przez nowy podmiot, zmiana adresu beneficjenta – musi zostać odzwierciedlona w rejestrze w ciągu kolejnych 7 dni roboczych. W praktyce wiele spółek o tym zapomina przy kolejnych podwyższeniach kapitału lub zbyciach udziałów.

Trzy grupy podmiotów najczęściej pomijają aktualizacje. Pierwsza to spółki z inwestorem venture capital lub private equity – restrukturyzacje funduszu za granicą nie zawsze trafiają na biurko polskiego zarządu. Druga to grupy kapitałowe z wielopoziomową strukturą holdingową – zmiana udziałowca na poziomie trzecim lub czwartym zmienia beneficjenta rzeczywistego w Polsce. Trzecia to spółki z jedynym wspólnikiem-osobą fizyczną, który zapomina zgłosić zmianę adresu lub obywatelstwa.

Instytucja nadzorująca poprawność wpisów to Generalny Inspektor Informacji Finansowej (GIIF), działający przy Ministerstwie Finansów. KAS i prokuratura mają dostęp do danych CRBR przy prowadzeniu postępowań AML i podatkowych. Rozbieżność między wpisem a stanem faktycznym może uruchomić postępowanie wyjaśniające z obu tych stron jednocześnie.

Jak zidentyfikować beneficjenta rzeczywistego w złożonej strukturze?

Identyfikacja beneficjenta rzeczywistego to serce procedury CRBR. Beneficjentem jest osoba fizyczna, która bezpośrednio lub pośrednio posiada ponad 25% udziałów, głosów lub prawa do zysku – albo sprawuje kontrolę w inny sposób (np. przez umowę wspólników, pełnomocnictwa lub prawo weta). Jeśli żadna osoba fizyczna nie spełnia kryteriów ilościowych, beneficjentem staje się osoba zajmująca wyższe stanowisko kierownicze – w praktyce członek zarządu.

W strukturze wielowarstwowej obliczenie progu 25% wymaga przemnożenia udziałów na każdym poziomie. Przykład: fundusz holenderski posiada 60% polskiej spółki holdingowej, a ta – 50% spółki operacyjnej. Osoba fizyczna posiadająca 45% funduszu kontroluje pośrednio 0,60 × 0,50 × 0,45 = 13,5% spółki operacyjnej. To poniżej progu 25%, ale jeśli ta sama osoba sprawuje kontrolę przez umowę wspólników – jest beneficjentem rzeczywistym niezależnie od arytmetyki udziałowej.

Firma technologiczna z Trójmiasta (wiosna 2025) przeszła przez ten problem podczas rundy Series A. Inwestor z Luksemburga wniósł 40% udziałów, jednak za funduszem stały trzy osoby fizyczne z Niemiec i Francji, każda z udziałem 35–40% w funduszu. Każda z nich przekraczała próg 25% w przeliczeniu na polską spółkę. Do CRBR należało wpisać wszystkie trzy osoby – a nie samą spółkę funduszową.

Checklist identyfikacji beneficjenta rzeczywistego:

Zebranie pełnej struktury własnościowej do poziomu osób fizycznych (schemat z datami nabycia udziałów)
Obliczenie pośrednich udziałów na każdym poziomie (mnożenie procentowe)
Analiza umów wspólników, porozumień akcjonariuszy i pełnomocnictw pod kątem prawa kontroli
Weryfikacja, czy żadna z osób fizycznych nie przekracza progu 25% łącznie z podmiotami powiązanymi
Dokumentacja procesu identyfikacji na potrzeby audytu AML i ewentualnej kontroli GIIF

Wynik tego procesu musi być aktualny w dniu zgłoszenia. Dokumentacja identyfikacji powinna być przechowywana przez co najmniej 5 lat – to standardowy okres retencji w ramach procedur AML. Instytucje obowiązane, takie jak banki i notariusze, weryfikują wpisy CRBR przy nawiązywaniu relacji biznesowych. Rozbieżność między wpisem a stanem rzeczywistym blokuje otwarcie rachunku bankowego lub zawarcie transakcji notarialnej.

Jakie sankcje grożą za nieprawidłowości w CRBR?

Sankcje za naruszenie obowiązków CRBR są dotkliwe i mają charakter administracyjny. Podmiot, który nie dokonał zgłoszenia lub nie zaktualizował danych w terminie, może zostać ukarany karą pieniężną do 1 000 000 zł. Kara ta jest nakładana przez GIIF w drodze decyzji administracyjnej. Odwołanie przysługuje do Ministra Finansów, a następnie do Wojewódzkiego Sądu Administracyjnego.

Warto odróżnić dwa rodzaje naruszeń. Pierwsze to brak wpisu – podmiot w ogóle nie zarejestrował beneficjenta. Drugie to wpis nieprawdziwy – dane są niezgodne ze stanem faktycznym. Oba rodzaje zagrożone są tą samą maksymalną karą, jednak w praktyce GIIF uwzględnia czas opóźnienia, stopień winy i działania naprawcze podjęte przez spółkę. Dobrowolna korekta przed wszczęciem postępowania zmniejsza ryzyko najwyższej stawki.

Spółka produkcyjna z Podkarpacia (jesień 2024) otrzymała decyzję GIIF z karą 200 000 zł za brak aktualizacji wpisu po przejęciu przez fundusz zagraniczny. Zarząd argumentował brak wiedzy o zmianie struktury funduszu. GIIF uznał ten argument za niewystarczający – obowiązek spoczywa na podmiocie, a nie na beneficjencie, który ma obowiązek poinformować spółkę o zmianie swoich danych.

Sankcje nie kończą się na karze pieniężnej. Nieprawidłowy wpis w CRBR może uniemożliwić spółce udział w przetargach publicznych – instytucje zamawiające weryfikują rejestr przed podpisaniem umowy. W kontekście programów compliance dla spółek zależnych brak aktualnego wpisu CRBR jest traktowany jako luka systemowa, nie jako jednorazowe uchybienie. Odpowiedzialność osobista członków zarządu za szkodę wyrządzoną spółce przez zaniedbanie obowiązków rejestracyjnych wynika z art. 293 § 1 k.s.h.

Trzy scenariusze biznesowe – jak przeprowadzić rejestrację krok po kroku?

Procedura zgłoszenia do CRBR przebiega przez system teleinformatyczny Ministerstwa Finansów. Zgłoszenia dokonuje osoba uprawniona do reprezentacji podmiotu – w sp. z o.o. jest to członek zarządu. Zgłoszenie wymaga podpisu elektronicznego: kwalifikowanego podpisu elektronicznego lub podpisu zaufanego (ePUAP). Nie ma opłaty rejestracyjnej – CRBR jest bezpłatny.

Scenariusz 1 – spółka produkcyjna z jednym właścicielem. Przedsiębiorca z Małopolski prowadzi sp. z o.o. z kapitałem 500 000 zł. Posiada 100% udziałów. Rejestracja zajmuje 15 minut: logowanie przez ePUAP, wypełnienie formularza (imię, nazwisko, PESEL, obywatelstwo, kraj zamieszkania, charakter i zakres sprawowanej kontroli), podpisanie i wysłanie. Potwierdzenie wpisu pojawia się w rejestrze w ciągu kilku godzin. Koszt: zero złotych, poza czasem zarządu.

Scenariusz 2 – firma technologiczna z inwestorem zagranicznym. Spółka z Warszawy po rundzie finansowania ma dwóch udziałowców: polskiego założyciela (51%) i fundusz z Luksemburga (49%). Za funduszem stoją dwie osoby fizyczne z Belgii i Holandii, każda z 50% udziałem w funduszu. Obie przekraczają próg 25% pośrednio. Do CRBR wpisuje się trzy osoby: polskiego założyciela (bezpośrednia kontrola) oraz dwie osoby z Belgii i Holandii (pośrednia kontrola przez fundusz). Brak numeru PESEL u cudzoziemców zastępuje się serią i numerem paszportu oraz datą urodzenia.

Scenariusz 3 – inwestor zagraniczny wchodzący na rynek polski. Dla niemieckiego inwestora zakładającego spółkę operacyjną w Polsce kluczowe jest zsynchronizowanie wpisu CRBR z rejestracją w KRS. Termin 7 dni liczony jest od daty wpisu w KRS, nie od daty zawarcia umowy spółki. Inwestor powinien przygotować dokumenty tożsamości beneficjentów (paszporty, adresy zamieszkania) jeszcze przed złożeniem wniosku rejestracyjnego. Przy strukturach holdingowych zalecamy sporządzenie schematu własnościowego zatwierdzonego przez zarząd – to dokument, który przyspiesza każdą kolejną aktualizację. Więcej o obowiązkach compliance dla spółek zależnych opisujemy w kontekście programów compliance dla spółek z Czech działających w Polsce.

Każda zmiana w strukturze własnościowej – zbycie udziałów, zmiana adresu beneficjenta, zmiana obywatelstwa, śmierć beneficjenta – uruchamia bieg nowego 7-dniowego terminu. Zarząd powinien wdrożyć procedurę wewnętrzną: każdy wspólnik ma obowiązek poinformowania spółki o zmianie swoich danych w ciągu 3 dni. To nie jest wymóg ustawowy, ale dobra praktyka chroniąca zarząd przed zarzutem zaniedbania.

Jak CRBR łączy się z CSRD, sygnalistami i szerszym systemem compliance?

CRBR nie funkcjonuje w izolacji. Jest elementem szerszego systemu przejrzystości korporacyjnej, który obejmuje raportowanie ESG na podstawie dyrektywy CSRD (Dyrektywa UE 2022/2464), obowiązki sygnalistów wynikające z ustawy z 14 czerwca 2024 r. oraz procedury due diligence w ramach AML. Spółki objęte CSRD muszą ujawniać informacje o strukturze ładu korporacyjnego – aktualny wpis CRBR jest bazą dla tych ujawnień.

Ustawa o sygnalistach, w życie od 25 września 2024 r., nakłada na pracodawców zatrudniających ponad 50 pracowników obowiązek wdrożenia wewnętrznego kanału zgłoszeń (art. 8 ustawy o sygnalistach). Nieprawidłowości w rejestracji CRBR mogą być przedmiotem zgłoszenia przez sygnalistę – zarówno wewnętrznie, jak i do GIIF bezpośrednio. Kara za działania odwetowe wobec sygnalisty sięga 1 080 000 zł i do 3 lat pozbawienia wolności (art. 54 ustawy o sygnalistach).

W kontekście compliance dla spółek zagranicznych działających w Polsce schemat CRBR jest często pierwszym elementem weryfikowanym przez instytucje obowiązane. Bank otwierający rachunek dla nowej spółki sprawdza CRBR automatycznie. Niezgodność blokuje onboarding – a w przypadku transakcji M&A może opóźnić zamknięcie deal'u o tygodnie. Zagadnienia egzekwowania zobowiązań wynikających z transakcji opisujemy szczegółowo w artykule o egzekwowaniu orzeczeń sądowych w Polsce.

ESG reporting i AML to dwa systemy, które coraz bardziej zbiegają się w punkcie przejrzystości własnościowej. Dla spółek raportujących według standardów ESRS (European Sustainability Reporting Standards) ujawnienie struktury własnościowej i mechanizmów kontroli jest elementem governance disclosure. Aktualny i poprawny wpis CRBR to nie tylko obowiązek prawny – to fundament wiarygodności korporacyjnej wobec banków, kontrahentów i inwestorów instytucjonalnych.

Compliance lawyer Warsaw coraz częściej otrzymuje zapytania o audyt CRBR jako element przygotowania do transakcji lub kontroli regulatorskiej. Uważamy, że bezpieczniejszym rozwiązaniem jest przeprowadzenie takiego audytu z wyprzedzeniem 60 dni przed planowanym zdarzeniem korporacyjnym – a nie reaktywnie, gdy postępowanie już się toczy.

Często zadawane pytania

P: Czy spółka z jedynym wspólnikiem-osobą fizyczną naprawdę musi aktualizować wpis CRBR przy zmianie adresu zamieszkania?

O: Tak. Dane beneficjenta rzeczywistego obejmują kraj zamieszkania i państwo obywatelstwa. Zmiana adresu zamieszkania na terytorium innego kraju zmienia wpis w CRBR i uruchamia bieg 7-dniowego terminu na aktualizację. Zmiana adresu w obrębie tego samego kraju nie jest objęta obowiązkiem aktualizacji – rejestr nie gromadzi pełnego adresu, tylko kraj zamieszkania. Warto jednak upewnić się, że dokumentacja wewnętrzna spółki jest aktualna na potrzeby ewentualnej kontroli AML.

P: Ile kosztuje rejestracja w CRBR i czy potrzebny jest notariusz?

O: Rejestracja w CRBR jest bezpłatna. Nie wymaga wizyty u notariusza ani pełnomocnictwa notarialnego. Zgłoszenia dokonuje osoba uprawniona do reprezentacji podmiotu samodzielnie przez system teleinformatyczny Ministerstwa Finansów, używając kwalifikowanego podpisu elektronicznego lub profilu zaufanego. Jedynym kosztem jest czas osoby dokonującej zgłoszenia oraz – przy złożonych strukturach – koszt obsługi prawnej przy identyfikacji beneficjentów rzeczywistych.

P: Czy fundacja rodzinna podlega obowiązkowi wpisu do CRBR?

O: Tak. Fundacja rodzinna, jako podmiot wpisany do rejestru fundacji rodzinnych prowadzonego przez Sąd Okręgowy w Piotrkowie Trybunalskim, podlega obowiązkowi ujawnienia beneficjentów rzeczywistych w CRBR. Beneficjentem jest fundator oraz osoby uprawnione do świadczeń z fundacji wskazane w statucie. Termin na dokonanie wpisu wynosi 7 dni od rejestracji fundacji. Przy fundacjach z rozbudowanym katalogiem beneficjentów (dzieci, wnuki) identyfikacja i aktualizacja wpisów wymaga systematycznej procedury wewnętrznej.

Konkretna sytuacja Państwa spółki – wielowarstwowa struktura własnościowa, zmiana inwestora lub zbliżająca się kontrola regulatora – wymaga oceny, zanim 7-dniowy termin upłynie bezpowrotnie. Brak aktualnego wpisu CRBR zamyka drogę do przetargów publicznych i blokuje onboarding bankowy w sposób nieodwracalny do czasu korekty, a kara administracyjna może sięgnąć 1 000 000 zł.

Jeśli Państwa spółka stoi przed aktualizacją struktury własnościowej, przejęciem przez inwestora zagranicznego lub audytem AML – przeprowadzimy identyfikację beneficjentów rzeczywistych, przygotujemy dokumentację i dokonamy zgłoszenia w CRBR: info@kordeckipartners.com.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do compliance, ESG i procedur AML. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.