CRBR – obowiązki rejestracji beneficjentów

Spółka z ograniczoną odpowiedzialnością z Mazowsza dowiaduje się podczas audytu AML, że jej beneficjent rzeczywisty nie został zgłoszony do Centralnego Rejestru Beneficjentów Rzeczywistych od ponad roku. Kara administracyjna może sięgnąć 1 000 000 zł. Rejestracja, którą można było zrealizować w ciągu jednego dnia, staje się kosztownym zaniedbaniem.

Centralny Rejestr Beneficjentów Rzeczywistych (CRBR) to publiczny rejestr prowadzony przez Ministra Finansów, w którym podmioty zobowiązane ujawniają informacje o osobach fizycznych sprawujących rzeczywistą kontrolę nad spółką lub inną jednostką. Obowiązek zgłoszenia wynika z ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (ustawa AML). Termin na pierwotne zgłoszenie wynosi 7 dni od wpisu do KRS, a na aktualizację danych – również 7 dni od zmiany.

Niniejszy przewodnik omawia krok po kroku procedurę rejestracji, terminy, koszty, typowe błędy oraz trzy scenariusze biznesowe – dla polskiej spółki produkcyjnej, firmy technologicznej i zagranicznego inwestora wchodzącego na rynek polski. Znajdą tu Państwo również listę kontrolną oraz odpowiedzi na najczęstsze pytania klientów.

Kto podlega obowiązkowi rejestracji w CRBR i jakie są terminy?

Obowiązek rejestracji w CRBR obejmuje szeroki krąg podmiotów. Podstawę prawną stanowią przepisy ustawy AML, a nadzór nad przestrzeganiem obowiązków sprawuje Generalny Inspektor Informacji Finansowej (GIIF) oraz – pośrednio – organy KRS. Każda spółka z o.o., spółka akcyjna, prosta spółka akcyjna, spółka jawna, komandytowa i komandytowo-akcyjna ma obowiązek ujawnić swojego beneficjenta rzeczywistego. Obowiązek dotyczy również trustów, spółdzielni, stowarzyszeń i fundacji – w tym fundacji rodzinnych zarejestrowanych w Sądzie Okręgowym w Piotrkowie Trybunalskim.

Terminy są krótkie i bezwzględne. Nowe podmioty mają 7 dni roboczych od wpisu do KRS na dokonanie pierwszego zgłoszenia. Każda zmiana danych – zmiana wspólnika, zmiana struktury udziałów, zmiana osoby pełniącej funkcję beneficjenta rzeczywistego – musi być odnotowana w CRBR w ciągu 7 dni roboczych od dnia zmiany. W praktyce wiele firm o tym zapomina, szczególnie przy transakcjach M&A, gdzie zmiana właściciela jest natychmiastowa, a aktualizacja rejestru wymaga osobnego kroku.

Przepisy definiują beneficjenta rzeczywistego jako osobę fizyczną sprawującą bezpośrednio lub pośrednio kontrolę nad podmiotem. Próg udziałowy wynosi powyżej 25% udziałów lub głosów. Jeśli struktura właścicielska jest wielopoziomowa – np. polska spółka jest własnością holdingu z siedzibą za granicą – obowiązek identyfikacji beneficjenta przechodzi przez każdy poziom. Gdy nie można zidentyfikować osoby fizycznej spełniającej kryteria, zgłasza się członka zarządu najwyższego szczebla.

Trzy instytucje mają bezpośredni dostęp do danych CRBR: GIIF, organy ścigania i instytucje obowiązane (banki, notariusze, adwokaci, doradcy podatkowi). Każda instytucja obowiązana – zgodnie z przepisami AML – weryfikuje dane CRBR przy nawiązywaniu relacji biznesowej. Rozbieżność między stanem faktycznym a wpisem w rejestrze może skutkować odmową otwarcia rachunku bankowego lub zerwaniem współpracy.

Jak krok po kroku przeprowadzić rejestrację w CRBR?

Rejestracja w CRBR odbywa się wyłącznie drogą elektroniczną, za pośrednictwem systemu teleinformatycznego dostępnego na stronie crbr.podatki.gov.pl. Zgłoszenia dokonuje osoba uprawniona do reprezentacji podmiotu – w spółce z o.o. jest to członek zarządu. Nie ma możliwości działania przez pełnomocnika przy samym zgłoszeniu; podpis musi złożyć osoba wpisana do KRS jako uprawniona do reprezentacji. To jeden z najczęstszych błędów proceduralnych – zlecenie zgłoszenia osobie bez formalnego umocowania.

Procedura krok po kroku wygląda następująco:

Zebranie danych identyfikacyjnych beneficjenta rzeczywistego: imię, nazwisko, PESEL (lub data urodzenia i obywatelstwo dla cudzoziemców), państwo zamieszkania oraz charakter i zakres sprawowanej kontroli.
Zalogowanie do systemu CRBR przez Profil Zaufany lub kwalifikowany podpis elektroniczny osoby uprawnionej do reprezentacji.
Wypełnienie formularza zgłoszeniowego – wskazanie NIP lub KRS podmiotu, a następnie wprowadzenie danych beneficjenta.
Złożenie oświadczenia o prawdziwości danych pod rygorem odpowiedzialności karnej (art. 233 k.k.).
Pobranie urzędowego poświadczenia odbioru (UPO) – dokument ten stanowi dowód terminowego zgłoszenia.

Cała procedura nie wiąże się z żadnymi opłatami urzędowymi. Rejestracja jest bezpłatna. Czas techniczny wypełnienia formularza to zazwyczaj 20–30 minut, pod warunkiem wcześniejszego przygotowania danych. Problemy pojawiają się, gdy struktura właścicielska obejmuje zagraniczne osoby prawne – wówczas konieczna jest identyfikacja beneficjenta na każdym poziomie, co może wymagać zebrania dokumentacji z kilku jurysdykcji.

Po dokonaniu zgłoszenia dane są publicznie dostępne. Każda osoba może bezpłatnie sprawdzić beneficjenta rzeczywistego dowolnego podmiotu wpisanego do CRBR. Oznacza to, że kontraktorzy, banki i organy nadzoru weryfikują te dane rutynowo – a każda niezgodność jest natychmiast widoczna.

Uważamy, że bezpieczniejszym rozwiązaniem jest wdrożenie wewnętrznej procedury monitorowania zmian właścicielskich, która automatycznie uruchamia proces aktualizacji CRBR. W praktyce wiele firm o tym zapomina – szczególnie przy sukcesji, restrukturyzacji grupy lub wejściu nowego inwestora.

Jeśli Państwa spółka uczestniczy w strukturach holdingowych lub planuje transakcję M&A, warto zapoznać się z naszymi wskazówkami dotyczącymi projektowania programu compliance dla spółek zależnych w Polsce, gdzie omawiamy integrację obowiązków rejestracyjnych z szerszym systemem zarządzania zgodnością.

Jakie kary grożą za naruszenie obowiązków CRBR?

Naruszenie obowiązków rejestracyjnych w CRBR wiąże się z poważnymi konsekwencjami finansowymi. Ustawa AML przewiduje karę administracyjną do 1 000 000 zł za niezgłoszenie lub nieterminową aktualizację danych. Kara ma charakter administracyjny – nakłada ją Minister Finansów w drodze decyzji. Nie jest wymagane wykazanie winy umyślnej; wystarczy sam fakt naruszenia terminu.

W praktyce kary były już nakładane na polskie spółki. Postępowania wszczyna GIIF lub Minister Finansów po powzięciu informacji o naruszeniu – często na skutek sygnałów od instytucji obowiązanych lub w ramach rutynowych kontroli. Spółka z Pomorza, która w wyniku restrukturyzacji grupy w jesieni 2023 r. nie zaktualizowała danych beneficjenta przez ponad 3 miesiące, zapłaciła karę przekraczającą 200 000 zł. Skala kary uwzględniała czas trwania naruszenia i obroty spółki.

Poza sankcją finansową naruszenie obowiązków CRBR niesie nieodwracalne konsekwencje reputacyjne. Instytucje obowiązane – banki, kancelarie notarialne, firmy audytorskie – mają obowiązek weryfikować dane CRBR i zgłaszać rozbieżności do GIIF. Rozbieżność między wpisem w CRBR a stanem faktycznym może skutkować zakwalifikowaniem klienta jako podwyższonego ryzyka AML. To z kolei zamyka drogę do normalnej współpracy bankowej lub wydłuża procesy due diligence przy transakcjach.

Odpowiedzialność osobista członków zarządu jest tu realna. Choć kara administracyjna nakładana jest na podmiot, to zarząd odpowiada za terminowe wykonanie obowiązku. W przypadku spółek z o.o. zastosowanie może znaleźć art. 293 § 1 k.s.h. – jeśli zaniechanie spowodowało szkodę dla spółki, np. utratę kontraktu wskutek odmowy otwarcia rachunku bankowego.

Obowiązki CRBR wpisują się w szerszy system compliance obejmujący ESG reporting, CSRD Poland i wymogi dotyczące sygnalistów. Wdrożenie kanału zgłoszeń wymaganego przez art. 8 ustawy o sygnalistach oraz procedur CRBR w ramach jednego programu compliance jest rozwiązaniem efektywnym kosztowo. Więcej o wymaganiach compliance dla podmiotów działających w strukturach międzynarodowych znajdą Państwo w naszym opracowaniu dotyczącym programów compliance dla spółek zależnych podmiotów francuskich w Polsce.

Trzy scenariusze biznesowe – jak CRBR działa w praktyce?

Przepisy CRBR działają inaczej w zależności od struktury właścicielskiej i sektora. Poniżej trzy scenariusze ilustrujące typowe wyzwania.

Scenariusz 1 – polska spółka produkcyjna. Firma produkcyjna z Wielkopolski, zatrudniająca 180 osób, ma trzech wspólników – dwóch polskich i jednego holenderskiego, każdy z udziałem poniżej 25%. Żaden z nich nie przekracza progu udziałowego. W takim przypadku beneficjentem rzeczywistym jest członek zarządu najwyższego szczebla – prezes zarządu. Spółka musi to wyraźnie zaznaczyć w zgłoszeniu CRBR, wskazując podstawę prawną (brak możliwości identyfikacji beneficjenta spełniającego kryterium udziałowe). Błędem byłoby pominięcie wpisu lub wskazanie wspólnika z największym udziałem bez weryfikacji progu 25%.

Scenariusz 2 – spółka technologiczna z inwestorem VC. Startup z Krakowa pozyskał w lecie 2024 r. inwestycję od funduszu venture capital zarejestrowanego na Cyprze. Po rundzie inwestycyjnej fundusz objął 35% udziałów. Beneficjentem rzeczywistym stał się ostateczny właściciel funduszu – osoba fizyczna z siedzibą poza UE. Spółka miała 7 dni roboczych od zmiany struktury na aktualizację CRBR. Zebranie danych identyfikacyjnych od inwestora zagranicznego zajęło w tym przypadku 5 dni – co oznaczało, że aktualizacja była możliwa terminowo, ale tylko przy natychmiastowym działaniu.

Scenariusz 3 – zagraniczny inwestor wchodzący na rynek polski. Dla niemieckiego inwestora zakładającego spółkę zależną w Polsce obowiązek CRBR pojawia się już w momencie rejestracji w KRS. Termin 7 dni biegnie od daty wpisu, nie od daty faktycznego rozpoczęcia działalności. W praktyce wiele zagranicznych podmiotów zakłada spółkę przez pełnomocnika i nie jest świadoma, że obowiązek rejestracji w CRBR powstaje automatycznie. Brak wpisu przez pierwsze tygodnie działalności to najczęstszy błąd w tej grupie klientów.

We wszystkich trzech scenariuszach wspólnym mianownikiem jest potrzeba wewnętrznej procedury monitorowania zmian właścicielskich. Compliance to proces, nie dokument – a CRBR wymaga ciągłej uwagi, nie jednorazowego działania. Podmioty objęte regulacjami DORA lub ESG reporting mogą integrować obowiązki CRBR z szerszym programem zarządzania zgodnością – więcej na ten temat w naszym materiale o obowiązkach wynikających z DORA.

Checklist i najczęstsze błędy przy rejestracji w CRBR

Doświadczenie w obsłudze podmiotów zobowiązanych pokazuje, że naruszenia obowiązków CRBR mają zazwyczaj kilka powtarzających się przyczyn. Poniżej lista kontrolna, którą warto weryfikować przy każdej zmianie struktury właścicielskiej lub zarządczej.

Co przygotować przed zgłoszeniem:

Aktualny odpis z KRS lub innego rejestru właściwego dla podmiotu – potwierdzający osoby uprawnione do reprezentacji.
Dane identyfikacyjne beneficjenta rzeczywistego: PESEL (dla obywateli polskich) lub data urodzenia i numer dokumentu tożsamości (dla cudzoziemców).
Schemat struktury właścicielskiej z zaznaczeniem procentowych udziałów na każdym poziomie – szczególnie przy strukturach holdingowych.
Profil Zaufany lub kwalifikowany podpis elektroniczny osoby uprawnionej do reprezentacji.
Urzędowe poświadczenie odbioru (UPO) poprzedniego zgłoszenia – jako punkt odniesienia przy aktualizacji.

Najczęstsze błędy proceduralne to: zgłoszenie przez osobę nieuprawnioną (np. prokurenta zamiast członka zarządu), wskazanie beneficjenta bez weryfikacji progu 25%, pominięcie aktualizacji po wejściu nowego inwestora oraz brak monitorowania zmian w strukturach zagranicznych podmiotów dominujących.

Osobną kategorią błędów są nieprawidłowości merytoryczne. Wskazanie beneficjenta na podstawie formalnej struktury udziałów bez analizy rzeczywistej kontroli (np. umów wspólników, praw veto, uprawnień do powoływania zarządu) prowadzi do niezgodności z wymogami AML. Instytucje obowiązane coraz częściej weryfikują nie tylko sam fakt wpisu, ale jego merytoryczną poprawność.

Wdrożenie systemu monitorowania zmian właścicielskich z automatycznym alertem 7-dniowym to inwestycja rzędu kilku godzin pracy prawnika. Koszt zaniechania – kara do 1 000 000 zł i ryzyko utraty relacji bankowych – jest nieporównywalnie wyższy. Compliance to proces, który musi być wbudowany w kalendarz operacyjny spółki, nie traktowany jako jednorazowe zadanie przy zakładaniu firmy.

Konkretna sytuacja Państwa spółki – szczególnie przy złożonej strukturze właścicielskiej lub planowanej transakcji – wymaga indywidualnej oceny. Błędna identyfikacja beneficjenta rzeczywistego może nieodwracalnie zamknąć drogę do współpracy z instytucjami finansowymi i narazić spółkę na wielomiesięczne postępowanie administracyjne.

Jeśli Państwa spółka ma strukturę holdingową, zagranicznych wspólników lub planuje transakcję M&A – przeprowadzimy weryfikację poprawności wpisu w CRBR, identyfikację beneficjenta rzeczywistego na każdym poziomie struktury oraz wdrożenie procedury monitorowania zmian: info@kordeckipartners.com.

Często zadawane pytania

P: Czy fundacja rodzinna ma obowiązek rejestracji w CRBR?

O: Tak. Fundacje rodzinne podlegają obowiązkowi rejestracji w CRBR na podstawie przepisów ustawy AML. Beneficjentem rzeczywistym fundacji rodzinnej jest co do zasady fundator lub – w przypadku jego braku – beneficjenci, którzy uzyskali lub mogą uzyskać co najmniej 25% wartości mienia. Termin na zgłoszenie wynosi 7 dni roboczych od wpisu fundacji do rejestru prowadzonego przez Sąd Okręgowy w Piotrkowie Trybunalskim. Zaniedbanie tego obowiązku grozi karą administracyjną do 1 000 000 zł, analogicznie jak w przypadku spółek handlowych.

P: Czy aktualizacja CRBR jest wymagana przy zmianie członka zarządu, jeśli beneficjentem rzeczywistym jest właściciel udziałów?

O: To częste nieporozumienie. Jeśli beneficjentem rzeczywistym jest wspólnik posiadający ponad 25% udziałów, zmiana składu zarządu sama w sobie nie wymaga aktualizacji CRBR – o ile nie zmienia się osoba beneficjenta ani charakter sprawowanej przez nią kontroli. Obowiązek aktualizacji powstaje wyłącznie wtedy, gdy zmieniają się dane beneficjenta lub podstawa jego identyfikacji. Wyjątkiem jest sytuacja, w której beneficjentem był dotychczas członek zarządu (brak identyfikowalnego właściciela) – wówczas zmiana zarządu wymaga aktualizacji w ciągu 7 dni.

P: Ile kosztuje rejestracja w CRBR i jak długo trwa?

O: Samo zgłoszenie do CRBR jest bezpłatne – nie pobiera się żadnych opłat urzędowych. Czas techniczny wypełnienia formularza wynosi zazwyczaj 20–30 minut przy wcześniej przygotowanych danych. Koszt pojawia się, gdy konieczna jest wcześniejsza identyfikacja beneficjenta rzeczywistego w złożonej strukturze właścicielskiej – wówczas należy uwzględnić czas prawnika na analizę dokumentów korporacyjnych, umów wspólników i struktury holdingowej. W sprawach nieskomplikowanych koszt obsługi prawnej wynosi zwykle kilkaset złotych. Przy strukturach wielopoziomowych z zagranicznymi podmiotami dominującymi koszt analizy może być wyższy, ale pozostaje nieporównywalnie mniejszy niż potencjalna kara administracyjna.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do compliance, ESG i rejestracji beneficjentów rzeczywistych. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.