CRBR – obowiązki rejestracji beneficjentów rzeczywistych

Firma rodzinna z Mazowsza od lat prowadzi działalność przez kilka spółek z o.o. Właściciel – ojciec – przekazał udziały dzieciom, zachowując prawo głosu przez umowę wspólników. Pewnego dnia bank odmawia otwarcia rachunku, powołując się na niespójność danych w CRBR. Okazuje się, że żaden ze wspólników nie zaktualizował wpisu od dwóch lat. Kara za brak aktualizacji może sięgnąć 1 000 000 zł.

Centralny Rejestr Beneficjentów Rzeczywistych (CRBR) nakłada na podmioty zobowiązane obowiązek identyfikacji i zgłoszenia beneficjenta rzeczywistego – osoby fizycznej sprawującej bezpośrednią lub pośrednią kontrolę nad podmiotem. Obowiązek wynika z ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (ustawa AML). Termin na zgłoszenie nowego wpisu wynosi 7 dni od wpisu podmiotu do KRS lub innego właściwego rejestru, a na aktualizację – 7 dni od zmiany danych.

Poniższa analiza omawia zakres podmiotowy CRBR, zasady ustalania beneficjenta rzeczywistego, pułapki strukturalne w grupach kapitałowych i kwestie transgraniczne. Przedstawiamy też konsekwencje naruszeń oraz praktyczne rekomendacje dla zarządów i działów compliance.

Kto podlega CRBR i na czym polega obowiązek rejestracji?

Obowiązek wpisu do CRBR obejmuje szeroki krąg podmiotów. Spółki jawne, komandytowe, komandytowo-akcyjne, z ograniczoną odpowiedzialnością, akcyjne oraz proste spółki akcyjne – wszystkie muszą identyfikować i ujawniać beneficjenta rzeczywistego. Obowiązek dotyczy też trustów i spółek partnerskich. W praktyce compliance oznacza to, że każda zmiana w strukturze właścicielskiej uruchamia 7-dniowy zegar.

Beneficjentem rzeczywistym jest osoba fizyczna, która sprawuje bezpośrednią lub pośrednią kontrolę nad podmiotem – przez posiadanie ponad 25% udziałów, praw głosu lub innych uprawnień. Jeśli żadna osoba fizyczna nie spełnia kryterium 25%, za beneficjenta uważa się osobę zajmującą wyższe stanowisko kierownicze. To rozwiązanie awaryjne – nie zastępuje obowiązku rzetelnego poszukiwania rzeczywistego właściciela.

Rejestr prowadzi Minister Finansów. Wpisy są jawne i bezpłatnie dostępne online. Instytucje obowiązane w rozumieniu przepisów AML – banki, notariusze, doradcy podatkowi, biegli rewidenci – muszą weryfikować dane CRBR przed nawiązaniem stosunku gospodarczego. Rozbieżność między wpisem a stanem faktycznym blokuje otwarcie rachunku bankowego lub zawarcie umowy.

Zgłoszenie składa osoba uprawniona do reprezentacji podmiotu – zazwyczaj członek zarządu. Podmiot ponosi odpowiedzialność za prawdziwość danych. Podanie nieprawdziwych informacji jest zagrożone karą pozbawienia wolności. To nie jest obowiązek formalny – to element systemu AML i compliance obowiązującego w całej Unii Europejskiej.

Jak prawidłowo ustalić beneficjenta rzeczywistego w złożonej strukturze?

Ustalenie beneficjenta rzeczywistego w prostej spółce dwuosobowej jest nieskomplikowane. Problem zaczyna się w grupach kapitałowych, gdzie własność jest wielopoziomowa. Ustawa AML nakazuje „przebijać się" przez kolejne warstwy struktury aż do osoby fizycznej. Każdy pośredni szczebel – holding, fundusz, spółka zagraniczna – wymaga analizy procentowej kontroli.

Przykład z praktyki: spółka operacyjna z Małopolski jest własnością holenderskiej spółki holdingowej (100% udziałów). Holenderski holding należy w 60% do funduszu private equity, a w 40% do osoby fizycznej. Beneficjentem rzeczywistym polskiej spółki jest ta osoba fizyczna – o ile faktycznie sprawuje kontrolę nad funduszem lub nad holdingiem. Samo posiadanie 40% udziałów nie przesądza sprawy; liczy się rzeczywista kontrola.

Złożoność rośnie, gdy struktura obejmuje trusty lub fundacje zagraniczne. W przypadku trustu beneficjentem rzeczywistym może być założyciel, powiernik lub beneficjent – zależnie od zakresu uprawnień. Polskie przepisy wymagają ujawnienia wszystkich tych kategorii, jeśli spełniają kryterium kontroli. ESG raportowanie w ramach CSRD dodatkowo wzmacnia presję na przejrzystość – inwestorzy i banki weryfikują spójność danych CRBR z informacjami ujawnianymi w raportach niefinansowych.

Praktyczna wskazówka: dokumentuj każdy etap analizy. Jeśli Generalny Inspektor Informacji Finansowej (GIIF) lub organ nadzorczy zakwestionuje wpis, notatka z procesu weryfikacji potwierdza dobrą wiarę. Brak dokumentacji to brak obrony.

• Zidentyfikuj wszystkich wspólników powyżej 25% na każdym poziomie struktury.
• Prześledź łańcuch własności do osoby fizycznej – bez wyjątków.
• Uwzględnij prawa głosu wynikające z umów wspólników i porozumień akcjonariuszy.
• Zweryfikuj, czy trust lub fundacja zagraniczna nie maskuje rzeczywistego właściciela.
• Udokumentuj proces i datuj notatki weryfikacyjne.

Wiosną 2024 r. spółka technologiczna z Trójmiasta doświadczyła audytu bankowego. Bank zakwestionował wpis, bo umowa wspólników przyznawała mniejszościowemu udziałowcowi prawo weta w kluczowych decyzjach. Veto skutkowało „innymi środkami kontroli" w rozumieniu ustawy AML. Aktualizacja wpisu zajęła trzy tygodnie i opóźniła zamknięcie rundy finansowania.

Konkretna sytuacja Państwa spółki wymaga indywidualnej analizy struktury właścicielskiej. Błędny wpis lub jego brak niesie nieodwracalne konsekwencje – od blokady rachunku po karę do 1 000 000 zł. Jeśli Państwa grupa kapitałowa obejmuje podmioty zagraniczne lub struktury holdingowe, przeprowadzimy pełny audyt CRBR i zaktualizujemy wpisy: info@kordeckipartners.com.

Jakie kary grożą za naruszenie obowiązków CRBR?

Ustawa AML przewiduje administracyjną karę pieniężną do 1 000 000 zł za niezgłoszenie lub niezaktualizowanie danych w terminie. Kara ma charakter obiektywny – organ nie musi wykazywać winy umyślnej. Wystarczy przekroczenie 7-dniowego terminu. Dodatkową sankcją jest kara pozbawienia wolności do 3 lat za podanie nieprawdziwych danych – to odpowiedzialność karna osoby składającej zgłoszenie, czyli zazwyczaj członka zarządu.

W praktyce compliance organem nakładającym kary jest Minister Finansów, a postępowania wszczynane są często z inicjatywy instytucji obowiązanych, które wykrywają rozbieżności. Bank, notariusz lub doradca podatkowy ma obowiązek poinformowania o niezgodności danych CRBR z informacjami uzyskanymi od klienta. To sprawia, że każda transakcja staje się potencjalnym punktem kontrolnym.

Kara finansowa to nie jedyne ryzyko. Figurowanie w rejestrze podmiotów z niespójnymi danymi utrudnia pozyskanie finansowania, przystąpienie do przetargów publicznych i nawiązanie relacji z partnerami zagranicznymi. W kontekście ESG raportowania i CSRD przejrzystość struktury właścicielskiej staje się elementem oceny ryzyka przez inwestorów instytucjonalnych. Brak aktualnego wpisu CRBR może wykluczyć spółkę z kręgu akceptowalnych partnerów biznesowych.

Odpowiedzialność za naruszenia CRBR jest zbliżona do reżimu odpowiedzialności podatkowej z art. 116 § 1 Ordynacji podatkowej – organ może sięgnąć bezpośrednio do osoby fizycznej zarządzającej podmiotem. Uważamy, że bezpieczniejszym rozwiązaniem jest wdrożenie procesu monitorowania zmian właścicielskich niż reagowanie po fakcie. Koszt prewencji jest wielokrotnie niższy niż koszt kary i utraconej reputacji.

Wymiar transgraniczny – jak CRBR działa w strukturach z elementem zagranicznym?

Dla zagranicznego inwestora wchodzącego na rynek polski CRBR bywa zaskoczeniem. Spółka z siedzibą w Polsce, której jedynym udziałowcem jest holding z Luksemburga, musi zgłosić jako beneficjenta rzeczywistego osobę fizyczną stojącą za luksemburskim holdingiem. Zagraniczny holding nie jest „tarczą" chroniącą przed obowiązkiem ujawnienia. Polska ustawa AML stosuje się do polskiej spółki – niezależnie od struktury właścicielskiej powyżej.

Dyrektywa AML IV i V (IV AMLD, V AMLD) zobowiązały wszystkie państwa UE do prowadzenia rejestrów beneficjentów rzeczywistych. Polska implementowała te wymogi właśnie przez CRBR. Rejestry unijne są jednak powiązane – GIIF współpracuje z odpowiednikami w innych krajach UE w ramach systemu wymiany informacji. Rozbieżność między polskim CRBR a rejestrem beneficjentów w Luksemburgu lub Holandii jest widoczna dla organów obu państw.

Szczególne wyzwanie stanowią struktury z fundacją rodzinną. Polska fundacja rodzinna – zarejestrowana w Sądzie Okręgowym w Piotrkowie Trybunalskim – nie jest co prawda spółką, ale fundator i beneficjenci mogą być uznani za beneficjentów rzeczywistych podmiotów zależnych. Jeśli fundacja rodzinna kontroluje spółkę operacyjną, ta spółka musi ujawnić fundatora lub beneficjentów fundacji jako swoich beneficjentów rzeczywistych – o ile spełniają kryterium kontroli.

Warto też pamiętać o procedurach notyfikacyjnych w prawie pracy – reorganizacje grup kapitałowych, które zmieniają strukturę właścicielską, często łączą się równolegle z obowiązkami pracowniczymi. Kompleksowe podejście do transakcji wymaga analizy obu warstw jednocześnie. Zmiany właścicielskie uruchamiają zarówno 7-dniowy termin CRBR, jak i obowiązki informacyjne wobec pracowników.

Jesienią 2023 r. fundusz private equity z siedzibą w Niemczech nabył 51% udziałów w polskiej spółce produkcyjnej z Wielkopolski. Transakcja zamknęła się sprawnie, ale aktualizacja CRBR nastąpiła po 14 dniach od wpisu zmiany w KRS – z przekroczeniem 7-dniowego terminu. Organ wszczął postępowanie wyjaśniające. Sprawa zakończyła się pouczeniem, ale opóźniła integrację spółki z grupą o dwa miesiące.

CRBR a system sygnalistów, CSRD i ESG compliance – jak połączyć obowiązki?

Obowiązki CRBR nie funkcjonują w próżni. Trzy regulacje tworzą dziś spójny system przejrzystości korporacyjnej: CRBR (własność), CSRD (raportowanie niefinansowe) i ustawa o sygnalistach (kanały zgłoszeń). Każda z nich nakłada odrębne wymagania, ale ich wspólnym mianownikiem jest odpowiedzialność osób zarządzających i przejrzystość struktury podmiotu.

Zgodnie z art. 8 ustawy o sygnalistach pracodawca zatrudniający co najmniej 50 pracowników musi wdrożyć wewnętrzny kanał zgłoszeniowy. Sygnalista może zgłosić naruszenie obowiązków CRBR jako nieprawidłowość w zakresie AML. Oznacza to, że pracownik działu compliance lub księgowości, który zauważy nieaktualny wpis, ma ustawowe narzędzie do jego zgłoszenia – zarówno wewnętrznie, jak i do GIIF. Więcej o budowaniu polityki ochrony sygnalistów piszemy w naszym przewodniku po ustawie o sygnalistach.

CSRD – Dyrektywa UE 2022/2464 – wymaga od dużych podmiotów raportowania w zakresie ESG, w tym kwestii zarządzania (governance). Struktura właścicielska i jej przejrzystość są elementem oceny governance. Spółki raportujące w ramach CSRD powinny zweryfikować spójność danych CRBR z informacjami ujawnianymi w raporcie zrównoważonego rozwoju. Rozbieżność może być zakwestionowana przez biegłego rewidenta przeprowadzającego atestację raportu.

Compliance to proces, nie dokument. Wdrożenie systemu monitorowania zmian właścicielskich – zintegrowanego z procedurą AML i kanałem sygnalistów – pozwala spółce reagować w ciągu 7 dni, a nie po fakcie. Minimalna architektura takiego systemu obejmuje: osobę odpowiedzialną za CRBR, procedurę weryfikacji przy każdej zmianie struktury, rejestr przeprowadzonych weryfikacji i harmonogram przeglądów cyklicznych (co najmniej raz w roku).

Strategia wdrożenia i perspektywy regulacyjne

Pakiet AML VI (VI AMLD) i projektowane rozporządzenie UE o AML (AMLR) zakładają dalsze zaostrzenie wymogów dotyczących rejestrów beneficjentów. Rozporządzenie AMLR – które ma zastąpić dotychczasowe dyrektywy – wprowadzi bezpośrednie stosowanie przepisów AML we wszystkich państwach UE, eliminując rozbieżności implementacyjne. Dla polskich podmiotów oznacza to, że standard CRBR może zostać zaostrzony bez konieczności nowelizacji polskiej ustawy AML.

W perspektywie 2026–2027 należy spodziewać się: rozszerzenia kręgu podmiotów zobowiązanych (m.in. o podmioty zarządzające aktywami), skrócenia terminu na zgłoszenie zmian z 7 do 5 dni roboczych oraz wprowadzenia obowiązkowej weryfikacji danych CRBR przez organy podatkowe w ramach kontroli. KAS już dziś korzysta z danych CRBR przy analizie ryzyka podatkowego – rozbieżność między strukturą właścicielską ujawnioną w CRBR a strukturą stosowaną dla celów cen transferowych jest sygnałem ostrzegawczym dla kontrolerów.

Strategia wdrożenia powinna uwzględniać trzy horyzonty czasowe. Krótkoterminowo – audyt aktualności wpisów wszystkich podmiotów w grupie (do 30 dni). Średnioterminowo – wdrożenie procedury aktualizacji CRBR jako elementu procesu zarządzania zmianami właścicielskimi (do 3 miesięcy). Długoterminowo – integracja obowiązków CRBR z systemem ESG i AML compliance, w tym z kanałem sygnalistów (do 6 miesięcy).

• Zidentyfikuj wszystkie podmioty grupy zobowiązane do wpisu w CRBR.
• Zweryfikuj aktualność każdego wpisu względem stanu w KRS i umów wspólników.
• Wyznacz osobę odpowiedzialną za monitorowanie zmian i terminowe aktualizacje.
• Zintegruj procedurę CRBR z procedurą AML i kanałem sygnalistów.

Konkretna sytuacja Państwa grupy kapitałowej wymaga indywidualnej oceny. Błąd w CRBR odkryty przez bank lub organ nadzorczy może zamknąć drogę do finansowania i uruchomić nieodwracalne postępowanie administracyjne. Jeśli Państwa spółka nie przeprowadzała audytu CRBR od ponad 12 miesięcy lub w tym czasie zaszły zmiany właścicielskie – przeprowadzimy audyt wpisów, zidentyfikujemy beneficjentów rzeczywistych na każdym poziomie struktury i złożymy aktualizacje: info@kordeckipartners.com.

Często zadawane pytania

P: Czy spółka akcyjna notowana na GPW musi zgłaszać beneficjenta rzeczywistego do CRBR?

O: Tak, spółki akcyjne są podmiotami zobowiązanymi. Jednak spółki, których udziały są notowane na regulowanym rynku papierów wartościowych w Unii Europejskiej, mogą skorzystać z uproszczonego trybu – zamiast ujawniać beneficjenta rzeczywistego, wskazują, że podmiot podlega obowiązkom informacyjnym wynikającym z prawa rynku kapitałowego. Zwolnienie nie jest automatyczne i wymaga weryfikacji, czy konkretna spółka spełnia ustawowe przesłanki. Termin na zgłoszenie lub aktualizację pozostaje 7 dni.

P: Co zrobić, jeśli nie można ustalić osoby fizycznej sprawującej kontrolę powyżej 25%?

O: Ustawa AML przewiduje tryb awaryjny – jeśli po wyczerpaniu dostępnych środków nie można zidentyfikować beneficjenta rzeczywistego spełniającego kryterium kontroli, jako beneficjenta zgłasza się osobę zajmującą wyższe stanowisko kierownicze (np. prezesa zarządu). To rozwiązanie ostateczne, a nie wyjście z obowiązku. Podmiot musi udokumentować, że przeprowadził rzetelną analizę struktury właścicielskiej. Brak dokumentacji tego procesu jest traktowany jako naruszenie obowiązków AML i może skutkować karą do 1 000 000 zł.

P: Czy fundacja rodzinna musi być zgłoszona do CRBR?

O: Polska fundacja rodzinna nie jest wpisywana do CRBR jako podmiot zobowiązany na tych samych zasadach co spółka. Jednak spółki zależne od fundacji rodzinnej muszą ujawnić beneficjentów rzeczywistych – którymi mogą być fundator lub beneficjenci fundacji, jeśli sprawują kontrolę nad spółką. Ustawa o fundacji rodzinnej z 26 stycznia 2023 roku wymaga rejestracji w Sądzie Okręgowym w Piotrkowie Trybunalskim, ale odrębne obowiązki CRBR dotyczą podmiotów kontrolowanych przez fundację. Każda struktura z fundacją rodzinną wymaga indywidualnej analizy.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do compliance, ESG i AML. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Autorem artykułu jest Anna Witkowska, która specjalizuje się w compliance, ESG i dochodzeniach wewnętrznych.

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.