CRBR – obowiązki rejestracji beneficjentów rzeczywistych

Firma produkcyjna z Mazowsza, zatrudniająca 80 osób, przez dwa lata nie zgłosiła do Centralnego Rejestru Beneficjentów Rzeczywistych zmiany struktury udziałowej po wejściu nowego inwestora. Gdy bank odmówił otwarcia rachunku powołując się na niezgodność danych w CRBR, właściciele stanęli przed perspektywą kary do 1 000 000 zł i zablokowania finansowania. Procedura zgłoszeniowa zajmuje kilkanaście minut – lecz tylko wtedy, gdy wiadomo, kogo i w jaki sposób zgłosić.

Centralny Rejestr Beneficjentów Rzeczywistych (CRBR) to publiczny rejestr prowadzony przez Ministra Finansów, obowiązujący na mocy ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (ustawa AML). Każda spółka handlowa zarejestrowana w KRS ma obowiązek ujawnienia beneficjenta rzeczywistego – osoby fizycznej sprawującej bezpośrednią lub pośrednią kontrolę nad podmiotem. Pierwotny termin na zgłoszenie wynosi 7 dni roboczych od wpisu do KRS, a na aktualizację danych – 7 dni roboczych od zmiany.

Ten przewodnik prowadzi przez cały proces krok po kroku: od ustalenia, kto jest beneficjentem rzeczywistym, przez procedurę zgłoszenia, typowe błędy, po scenariusze dla trzech różnych typów przedsiębiorstw. Compliance CRBR coraz częściej łączy się z szerszymi wymogami ESG raportowania, AML i CSRD – dlatego warto spojrzeć na rejestrację jako element systemu, nie jednorazowy obowiązek.

Kto jest beneficjentem rzeczywistym i jak go ustalić?

Beneficjent rzeczywisty to osoba fizyczna, która ostatecznie posiada lub kontroluje podmiot – bezpośrednio albo przez łańcuch spółek zależnych. Ustawa AML wskazuje trzy progi: posiadanie ponad 25% udziałów lub akcji, kontrola ponad 25% głosów na zgromadzeniu wspólników albo akcjonariuszy, lub wywieranie decydującego wpływu na działalność spółki w inny sposób. Jeśli żadna osoba fizyczna nie spełnia tych kryteriów, zgłasza się członka zarządu sprawującego faktyczną kontrolę.

W praktyce – wiele firm o tym zapomina – ustalenie beneficjenta w strukturach holdingowych bywa skomplikowane. Gdy spółka A należy do spółki B, która należy do spółki C kontrolowanej przez osobę fizyczną, ta osoba jest beneficjentem rzeczywistym wszystkich trzech podmiotów. Każdy z nich zgłasza ją osobno do CRBR.

Instytucje obowiązane – banki, biura rachunkowe, notariusze – mają obowiązek weryfikacji danych CRBR w ramach procedur AML. Niezgodność między stanem w rejestrze a stanem faktycznym blokuje otwarcie rachunku, udzielenie kredytu, a nawet podpisanie umowy notarialnej. KAS i GIIF (Generalny Inspektor Informacji Finansowej) prowadzą kontrole krzyżowe między KRS a CRBR, wychwytując rozbieżności.

Szczególną uwagę należy zwrócić na fundacje rodzinne i trusty. Fundacja rodzinna zarejestrowana w Sądzie Okręgowym w Piotrkowie Trybunalskim podlega odrębnym zasadom identyfikacji beneficjentów – fundatora, beneficjentów i osoby sprawującej kontrolę zgłasza się każdorazowo. Minimalny kapitał fundacji wynosi 100 000 zł, lecz wartość aktywów nie ma znaczenia dla obowiązku CRBR.

Jakie podmioty muszą rejestrować się w CRBR?

Obowiązek rejestracji obejmuje szeroki krąg podmiotów. Ustawa AML wymienia spółki jawne, komandytowe, komandytowo-akcyjne, spółki z ograniczoną odpowiedzialnością, proste spółki akcyjne, spółki akcyjne (z wyjątkiem publicznych notowanych na rynku regulowanym), a także trusty i fundacje. Od 2021 r. obowiązek rozszerzono na stowarzyszenia rejestrowe i fundacje w rozumieniu prawa cywilnego. Łącznie w rejestrze figuruje ponad 800 000 podmiotów.

Spółki publiczne notowane na GPW są wyłączone z obowiązku, ponieważ ich akcjonariat podlega osobnym wymogom przejrzystości wynikającym z przepisów rynku kapitałowego nadzorowanych przez KNF. Oddział zagranicznego przedsiębiorcy wpisany do KRS podlega jednak obowiązkowi – co często zaskakuje zagranicznych inwestorów wchodzących na rynek polski.

Dla niemieckiego inwestora zakładającego spółkę z o.o. w Polsce sytuacja jest typowa: minimalny kapitał zakładowy wynosi 5 000 zł (art. 154 § 1 k.s.h.), rejestracja w KRS przez system S24 może nastąpić w ciągu 24 godzin (art. 157(1) k.s.h.), a zgłoszenie do CRBR musi nastąpić w ciągu 7 dni roboczych od wpisu. Niedopełnienie tego obowiązku grozi karą do 1 000 000 zł.

Warto tu też wspomnieć o powiązaniu z CSRD. Duże podmioty objęte dyrektywą CSRD (Dyrektywa UE 2022/2464) i obowiązkiem raportowania ESG w Polsce muszą zadbać o spójność danych dotyczących struktury właścicielskiej w CRBR z informacjami ujawnianymi w raportach zrównoważonego rozwoju. Rozbieżność między raportem CSRD a stanem w rejestrze może podważyć wiarygodność całego raportowania ESG.

Jak krok po kroku zgłosić beneficjenta do CRBR?

Procedura zgłoszenia jest w pełni elektroniczna i bezpłatna. Zgłoszenie składa się przez stronę crbr.podatki.gov.pl, podpisując je kwalifikowanym podpisem elektronicznym lub profilem zaufanym. Uprawnienie do zgłoszenia ma wyłącznie osoba uprawniona do reprezentacji podmiotu – najczęściej członek zarządu. Pełnomocnik nie może złożyć zgłoszenia w imieniu spółki, co jest częstym błędem praktycznym.

Kroki procesu wyglądają następująco:

• Ustalenie beneficjenta rzeczywistego na podstawie aktualnej struktury właścicielskiej i umowy spółki.
• Zebranie danych: imię, nazwisko, obywatelstwo, państwo zamieszkania, PESEL (lub data urodzenia dla cudzoziemców), informacja o charakterze i zakresie kontroli.
• Zalogowanie do crbr.podatki.gov.pl i wypełnienie formularza – czas wypełnienia to około 15 minut dla prostej struktury.
• Podpisanie zgłoszenia kwalifikowanym podpisem elektronicznym przez osobę uprawnioną do reprezentacji.
• Pobranie i archiwizacja potwierdzenia zgłoszenia – dokument potrzebny podczas kontroli KAS lub audytu AML.

Dla struktur wielopoziomowych czas rośnie proporcjonalnie. Spółka holdingowa z trzema poziomami własności może wymagać analizy kilkunastu dokumentów korporacyjnych przed wypełnieniem formularza. Uważamy, że bezpieczniejszym rozwiązaniem jest przeprowadzenie wewnętrznego audytu struktury właścicielskiej przed każdym zgłoszeniem aktualizacyjnym – nie tylko przy pierwszej rejestracji.

Po złożeniu zgłoszenia dane są widoczne publicznie w CRBR w czasie rzeczywistym. Każda instytucja obowiązana – a także kontrahent czy potencjalny inwestor – może je bezpłatnie sprawdzić. To oznacza, że błędne dane są natychmiast widoczne dla rynku, a ich korekta wymaga ponownego zgłoszenia w terminie 7 dni roboczych od wykrycia rozbieżności.

Jakie błędy najczęściej prowadzą do sankcji?

Analiza postępowań administracyjnych prowadzonych przez GIIF wskazuje na kilka powtarzających się błędów. Najpoważniejszy to brak aktualizacji po zmianie struktury właścicielskiej – np. po sprzedaży udziałów, wejściu nowego wspólnika lub zmianie umowy spółki. Termin 7 dni roboczych biegnie od daty zdarzenia, nie od daty wpisu do KRS.

Mikro-przypadek z Małopolski, wiosna 2024 r.: spółka IT sprzedała 30% udziałów funduszowi venture capital. Zarząd uznał, że obowiązek aktualizacji CRBR powstaje dopiero po rejestracji zmiany w KRS. Tymczasem termin biegł od daty zawarcia umowy sprzedaży udziałów. Kara: 50 000 zł, a finalizacja rundy finansowania opóźniła się o sześć tygodni.

Drugi częsty błąd to nieprawidłowe ustalenie beneficjenta w strukturach z funduszami inwestycyjnymi lub spółkami zagranicznymi. Gdy udziałowcem jest fundusz, należy przejść przez jego strukturę do osoby fizycznej – zarządzającego lub inwestora posiadającego ponad 25% udziałów w funduszu. Compliance AML wymaga tu szczegółowej analizy dokumentów funduszu, często w kilku jurysdykcjach.

Trzeci błąd – zgłoszenie przez pełnomocnika. System CRBR nie akceptuje pełnomocnictw. Zgłoszenie złożone przez radcę prawnego lub doradcę podatkowego działającego jako pełnomocnik zostanie odrzucone. Jedynym rozwiązaniem jest udzielenie członkowi zarządu dostępu do systemu i przeprowadzenie go przez procedurę. W kontekście szerszego compliance warto zwrócić uwagę, że podobne rygory formalne dotyczą audytu RODO i najczęstszych luk w polskich firmach – procedury wymagają działania przez uprawnione osoby, nie zewnętrznych doradców.

Mikro-przypadek ze Śląska, jesień 2023 r.: spółka produkcyjna zleciła kancelarii podatkowej aktualizację danych CRBR. Kancelaria złożyła zgłoszenie na profil zaufany doradcy – system odrzucił formularz. Spółka przekroczyła termin o 12 dni, co skutkowało wszczęciem postępowania przez GIIF.

Trzy scenariusze biznesowe – manufacturing, IT i inwestor zagraniczny

Compliance CRBR wygląda inaczej w zależności od profilu działalności i struktury właścicielskiej. Poniżej trzy typowe scenariusze z praktyki.

Scenariusz 1 – spółka produkcyjna (manufacturing). Firma z Wielkopolski, sp. z o.o. z dwoma wspólnikami – osobami fizycznymi posiadającymi po 50% udziałów. Obaj są beneficjentami rzeczywistymi. Zarząd zgłasza ich oboje do CRBR przy rejestracji spółki. Przy każdej zmianie umowy spółki (np. zmiana proporcji udziałów, wejście trzeciego wspólnika) termin 7 dni roboczych biegnie od daty podpisania zmienionej umowy przed notariuszem. Ryzyko: przy transakcjach sprzedaży linii produkcyjnych przekraczających 2-krotność kapitału zakładowego wymagana jest uchwała wspólników (art. 228 k.s.h.) – warto zsynchronizować ten wymóg z aktualizacją CRBR.

Scenariusz 2 – spółka IT z funduszem. Startup z Warszawy, prosta spółka akcyjna z funduszem VC posiadającym 35% akcji. Fundusz jest zagraniczną spółką z siedzibą w Luksemburgu. Beneficjentem rzeczywistym nie jest fundusz, lecz osoba fizyczna kontrolująca fundusz powyżej 25%. Ustalenie tej osoby wymaga analizy dokumentów funduszu. Jeśli fundusz jest rozproszony i żadna osoba nie przekracza progu 25%, zgłasza się członka zarządu spółki IT sprawującego faktyczną kontrolę operacyjną. Termin na pierwsze zgłoszenie: 7 dni roboczych od wpisu do KRS.

Scenariusz 3 – inwestor zagraniczny. Holenderska spółka holdingowa zakłada w Polsce spółkę z o.o. jako spółkę córkę. Jedynym udziałowcem jest spółka zagraniczna. Beneficjentem rzeczywistym jest osoba fizyczna kontrolująca holenderską spółkę matkę. Dane tej osoby – w tym obywatelstwo i kraj zamieszkania – należy zgłosić do CRBR w ciągu 7 dni roboczych. Brak numeru PESEL nie blokuje zgłoszenia: dla cudzoziemców podaje się datę urodzenia i obywatelstwo. Instytucje obowiązane w Polsce weryfikują te dane przy każdej transakcji AML.

Compliance CRBR w każdym z tych scenariuszy łączy się z innymi obowiązkami regulacyjnymi. Dla podmiotów zatrudniających ponad 50 pracowników dochodzi obowiązek wdrożenia wewnętrznego kanału zgłoszeń dla sygnalistów (art. 8 ustawy o sygnalistach) – system, który powinien być spójny z polityką compliance obejmującą AML i ESG raportowanie.

Konkretna sytuacja Państwa firmy – zwłaszcza gdy struktura właścicielska obejmuje podmioty zagraniczne lub fundusze – wymaga indywidualnej analizy. Błędne ustalenie beneficjenta rzeczywistego jest nieodwracalne w skutkach: kara do 1 000 000 zł pozostaje w rejestrze postępowań GIIF i może uniemożliwić uzyskanie finansowania bankowego przez wiele miesięcy.

Jeśli Państwa spółka zmienia strukturę właścicielską, wchodzi na rynek polski jako podmiot zagraniczny lub nie jest pewna prawidłowości dotychczasowych zgłoszeń – przeprowadzimy audyt zgodności CRBR, weryfikację beneficjentów i aktualizację danych w terminie: info@kordeckipartners.com.

Co przygotować przed zgłoszeniem – lista kontrolna

Przed przystąpieniem do wypełnienia formularza CRBR warto zebrać wszystkie dokumenty w jednym miejscu. Brak któregokolwiek z nich wydłuża procedurę i zwiększa ryzyko błędu. Poniżej lista kontrolna dla standardowej spółki z o.o.:

• Aktualny odpis z KRS potwierdzający skład zarządu i strukturę udziałową.
• Umowa spółki (lub statut) w aktualnym brzmieniu – ze wszystkimi zmianami.
• Dane osobowe beneficjentów: imię, nazwisko, PESEL lub data urodzenia, obywatelstwo, kraj zamieszkania.
• Dokumenty potwierdzające strukturę właścicielską w przypadku wspólników będących osobami prawnymi (odpisy z rejestrów zagranicznych, przetłumaczone przez tłumacza przysięgłego).
• Kwalifikowany podpis elektroniczny lub profil zaufany osoby uprawnionej do reprezentacji spółki.

Dla spółek z udziałowcami zagranicznymi dochodzą tłumaczenia przysięgłe dokumentów rejestrowych oraz apostille lub legalizacja, jeśli dokument pochodzi spoza UE. Czas przygotowania dokumentacji może wynieść od 3 do 14 dni roboczych – warto uwzględnić to w harmonogramie transakcji.

Konkretna sytuacja Państwa firmy może wymagać głębszej analizy, szczególnie gdy struktura właścicielska była zmieniana wielokrotnie lub obejmuje podmioty z różnych jurysdykcji. Nieodwracalna konsekwencja przeoczenia aktualizacji to nie tylko kara finansowa, lecz także utrata zaufania instytucji finansowych i opóźnienie w realizacji transakcji.

Aby otrzymać ocenę zgodności CRBR Państwa spółki i weryfikację poprawności dotychczasowych zgłoszeń – napisz do info@kordeckipartners.com.

Często zadawane pytania

P: Czy zmiana adresu beneficjenta rzeczywistego wymaga aktualizacji w CRBR?

O: Tak. Każda zmiana danych beneficjenta – w tym adresu zamieszkania, obywatelstwa lub zakresu sprawowanej kontroli – wymaga aktualizacji w CRBR w terminie 7 dni roboczych od daty zmiany. Obowiązek dotyczy zarówno zmiany faktycznej, jak i formalnej. Brak aktualizacji naraża spółkę na karę administracyjną do 1 000 000 zł nakładaną przez Ministra Finansów.

P: Czy spółka z jedynym wspólnikiem – osobą fizyczną – musi zgłaszać beneficjenta rzeczywistego?

O: Tak, i jest to jeden z najczęstszych mitów: „skoro jestem jedynym właścicielem, to wszyscy to wiedzą". Ustawa AML nie przewiduje wyjątku dla jednoosobowych spółek z o.o. Jedyny wspólnik zgłasza sam siebie jako beneficjenta rzeczywistego. Zgłoszenia dokonuje jako osoba uprawniona do reprezentacji – jeśli jednocześnie jest prezesem zarządu. Termin to 7 dni roboczych od wpisu spółki do KRS.

P: Ile kosztuje rejestracja i aktualizacja danych w CRBR?

O: Samo zgłoszenie do CRBR jest bezpłatne – system crbr.podatki.gov.pl nie pobiera żadnych opłat. Koszt pojawia się po stronie przygotowania dokumentacji: tłumaczenia przysięgłe dokumentów zagranicznych mogą kosztować od 200 do 800 zł za stronę, apostille to koszt zależny od kraju wystawienia dokumentu. Koszt obsługi prawnej przy skomplikowanych strukturach holdingowych to zazwyczaj od 2 000 do 8 000 zł za jednorazowy audyt i zgłoszenie.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do compliance AML, ESG raportowania i rejestracji beneficjentów rzeczywistych w CRBR. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.