Firma produkcyjna z Mazowsza dowiaduje się od swojego banku, że nie może otworzyć rachunku firmowego – bo jej wpis w Centralnym Rejestrze Beneficjentów Rzeczywistych jest niekompletny. Kara administracyjna sięga PLN 1 000 000. Procedura wydaje się prosta. W praktyce – wiele firm o tym zapomina – identyfikacja beneficjenta rzeczywistego w strukturach holdingowych potrafi zająć tygodnie i wymagać analizy kilku jurysdykcji jednocześnie.

Centralny Rejestr Beneficjentów Rzeczywistych (CRBR) nakłada na podmioty zobowiązane obowiązek zgłoszenia i aktualizacji danych beneficjentów rzeczywistych. Podstawę prawną stanowi ustawa o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (ustawa AML). Termin na pierwotne zgłoszenie wynosi 7 dni roboczych od wpisu do KRS, a termin na aktualizację – 7 dni roboczych od zaistnienia zmiany.

Niniejszy przewodnik przeprowadza krok po kroku przez cały proces: od ustalenia, kto jest beneficjentem rzeczywistym, przez zgłoszenie do CRBR, aż po typowe błędy i scenariusze z życia firm produkcyjnych, spółek technologicznych i zagranicznych inwestorów wchodzących na rynek polski. Dowiesz się też, jak obowiązki CRBR wpisują się w szerszy system AML i ESG raportowania.

Kto musi się zarejestrować i kto jest beneficjentem rzeczywistym?

Obowiązek wpisu do CRBR spoczywa na szerokiej grupie podmiotów. Spółki z o.o., spółki akcyjne, spółki komandytowe, spółki komandytowo-akcyjne, fundacje i stowarzyszenia prowadzące działalność gospodarczą – wszystkie te podmioty podlegają rejestracji. Rejestr prowadzi Minister Finansów, a weryfikację danych koordynuje KAS we współpracy z KNF i GIIF (Generalny Inspektor Informacji Finansowej).

Beneficjentem rzeczywistym jest osoba fizyczna sprawująca bezpośrednią lub pośrednią kontrolę nad podmiotem. Ustawa AML wskazuje trzy ścieżki identyfikacji. Po pierwsze – własność: osoba posiadająca ponad 25% udziałów lub akcji. Po drugie – prawa głosu: osoba dysponująca ponad 25% głosów na walnym zgromadzeniu lub zgromadzeniu wspólników, w tym na podstawie porozumień z innymi akcjonariuszami. Po trzecie – kontrola faktyczna: osoba sprawująca kontrolę poprzez inne mechanizmy, w tym umowy wspólników lub uprawnienia do powoływania i odwoływania członków zarządu.

Jeśli żadna osoba fizyczna nie spełnia powyższych kryteriów – a zdarza się to w rozproszonych strukturach holdingowych – za beneficjenta rzeczywistego uznaje się każdego członka zarządu. To rozwiązanie awaryjne, ale powszechne w praktyce. W strukturach wielopoziomowych (spółka matka w Luksemburgu, spółka babcia na Cyprze) identyfikacja może wymagać przejścia przez każdy szczebel struktury właścicielskiej.

Trzy kategorie podmiotów szczególnie narażonych na błędy:

  • spółki z rozproszonym akcjonariatem lub strukturą holdingową
  • spółki z udziałem funduszy private equity lub venture capital
  • podmioty, w których zmiana kontroli następuje na podstawie umów wspólników (shareholders' agreement)

Jak przebiega procedura zgłoszenia do CRBR krok po kroku?

Zgłoszenie do CRBR odbywa się wyłącznie drogą elektroniczną, za pośrednictwem strony crbr.podatki.gov.pl. Formularz składa osoba uprawniona do reprezentacji podmiotu – co do zasady członek zarządu lub prokurent. Podpis kwalifikowany albo Profil Zaufany są niezbędne. Opłata za wpis wynosi 0 zł – rejestracja jest bezpłatna.

Procedura krok po kroku obejmuje pięć etapów. Etap pierwszy – identyfikacja: ustal, kto spełnia definicję beneficjenta rzeczywistego zgodnie z ustawą AML. Etap drugi – dokumentacja: zgromadź dokumenty potwierdzające strukturę właścicielską (umowy spółek, wyciągi z zagranicznych rejestrów, umowy wspólników). Etap trzeci – wypełnienie formularza: wprowadź dane beneficjenta (imię, nazwisko, PESEL lub data urodzenia, obywatelstwo, państwo zamieszkania, charakter i zakres kontroli). Etap czwarty – złożenie wniosku: podpisz elektronicznie i wyślij. Etap piąty – monitorowanie: ustaw wewnętrzny alert na 7 dni roboczych od każdej zmiany w strukturze właścicielskiej.

Termin 7 dni roboczych biegnie od dnia wpisu spółki do KRS (dla nowych podmiotów) albo od dnia zaistnienia zmiany (dla aktualizacji). Warto pamiętać, że dni robocze to nie dni kalendarzowe – weekendy i święta nie są wliczane. Mimo to firmy regularnie przekraczają ten termin, szczególnie gdy zmiana kontroli wynika z transakcji M&A zamykanej w piątek po południu.

Mikroprzedsiębiorstwo z branży IT z Trójmiasta, wiosną 2024 r., zamknęło rundę inwestycyjną z funduszem VC. Zmiana beneficjenta rzeczywistego nastąpiła w dniu podpisania umowy inwestycyjnej. Aktualizacja CRBR – złożona po 11 dniach roboczych – skutkowała wszczęciem postępowania wyjaśniającego przez GIIF. Postępowanie zakończono bez kary, ale pochłonęło dwa tygodnie pracy zarządu.

Aby uniknąć podobnych sytuacji, przygotuj przed każdą transakcją następującą listę kontrolną:

  • data zamknięcia transakcji i moment przejścia kontroli
  • dane osobowe nowego beneficjenta (PESEL lub data urodzenia dla cudzoziemców)
  • dokumenty potwierdzające tytuł prawny do kontroli
  • osoba uprawniona do złożenia wniosku do CRBR z aktywnym Profilem Zaufanym lub podpisem kwalifikowanym
  • termin 7 dni roboczych wpisany do kalendarza projektowego transakcji

Jeśli beneficjentem jest cudzoziemiec nieposiadający numeru PESEL, formularz wymaga podania daty urodzenia, obywatelstwa i państwa zamieszkania. To częste źródło błędów przy spółkach z udziałem inwestorów z Ukrainy, Niemiec czy państw WNP. Nasz przewodnik po klauzulach umów SaaS na polskim rynku pokazuje, jak podobne kwestie identyfikacji stron pojawiają się w kontraktach technologicznych – analogie są nieprzypadkowe.

Compliance to proces, nie dokument. Sama rejestracja to dopiero początek – kluczowe jest utrzymanie aktualności wpisu przez cały cykl życia spółki.

Jakie kary grożą za naruszenie obowiązków CRBR?

Kara administracyjna za niezgłoszenie lub nieterminową aktualizację danych w CRBR może sięgnąć PLN 1 000 000. Nakłada ją Minister Finansów w drodze decyzji administracyjnej. Odpowiedzialność ponosi podmiot zobowiązany – spółka – a nie indywidualny pracownik. Jednak w praktyce konsekwencje odczuwa zarząd, bo to on odpowiada za terminowe wykonanie obowiązku rejestracyjnego.

Sankcje mają charakter wielowymiarowy. Poza karą pieniężną podmiot może napotkać:

  • odmowę otwarcia rachunku bankowego przez instytucję obowiązaną (bank weryfikuje CRBR przed nawiązaniem relacji)
  • blokadę udziału w postępowaniach przetargowych (CRBR jest weryfikowany w ramach procedur zamówień publicznych)
  • ryzyko reputacyjne w kontekście ESG raportowania i audytów due diligence
  • wszczęcie kontroli przez KAS lub GIIF w zakresie zgodności z ustawą AML

Odpowiedzialność osobista członka zarządu za naruszenia CRBR nie wynika wprost z ustawy AML – ale pośrednio pojawia się przez art. 293 § 1 k.s.h. Jeśli zarząd zaniedba obowiązek rejestracji i spółka poniesie szkodę (np. utratę kontraktu z powodu braku wpisu), roszczenie odszkodowawcze wobec zarządu staje się realne. To nieodwracalna konsekwencja, której nie niweluje późniejsze uzupełnienie wpisu.

Spółka holdingowa z siedzibą w Krakowie, jesienią 2023 r., przeszła restrukturyzację właścicielską. Nowy beneficjent rzeczywisty – obywatel Niemiec – nie posiadał numeru PESEL. Formularz CRBR wypełniono nieprawidłowo (wpisano datę urodzenia zamiast numeru dokumentu tożsamości). Błąd wykryto podczas audytu AML przeprowadzonego przez bank. Korekta wymagała ponownego złożenia wniosku i wyjaśnień wobec GIIF. Kary nie nałożono, ale bank zawiesił transakcje na rachunku na 14 dni.

Uważamy, że bezpieczniejszym rozwiązaniem jest wdrożenie wewnętrznej procedury CRBR jako elementu polityki compliance spółki – nie jako jednorazowego działania, lecz jako stałego procesu monitorowania struktury właścicielskiej. Obowiązek ten wpisuje się bezpośrednio w wymogi dyrektywy CSRD (Dyrektywa UE 2022/2464) dotyczące ładu korporacyjnego i transparentności struktury własnościowej w raportach ESG.

Warto też pamiętać o obowiązku wynikającym z art. 8 ustawy o sygnalistach – podmioty z co najmniej 50 pracownikami muszą posiadać wewnętrzny kanał zgłoszeń. Naruszenia CRBR mogą być przedmiotem takich zgłoszeń, co dodatkowo zwiększa ryzyko reputacyjne i prawne.

Trzy scenariusze biznesowe – jak CRBR działa w praktyce?

Obowiązki CRBR wyglądają inaczej w spółce produkcyjnej z jednym właścicielem, inaczej w startupie technologicznym z wieloma inwestorami, a jeszcze inaczej w spółce córce zagranicznego holdingu. Poniżej trzy konkretne scenariusze z matrycą decyzyjną.

Scenariusz 1 – Firma produkcyjna (Śląsk, jednoosobowy właściciel). Jan Kowalski posiada 100% udziałów w spółce z o.o. produkującej komponenty metalowe. Identyfikacja beneficjenta jest prosta – Jan Kowalski spełnia kryterium 25% udziałów. Zgłoszenie do CRBR następuje w ciągu 7 dni roboczych od wpisu do KRS. Aktualizacja jest potrzebna tylko wtedy, gdy Jan Kowalski zmieni adres zamieszkania, obywatelstwo lub zbędzie udziały. Ryzyko compliance: niskie. Koszt obsługi: minimalny.

Scenariusz 2 – Startup technologiczny (Warszawa, fundusz VC jako udziałowiec). Startup ma trzech założycieli (po 20% udziałów każdy) i fundusz VC posiadający 40% udziałów. Fundusz jest spółką z o.o. z siedzibą w Luksemburgu. Konieczna jest analiza struktury funduszu – kto sprawuje nad nim kontrolę? Jeśli żadna osoba fizyczna nie przekracza progu 25% w funduszu, za beneficjenta rzeczywistego startupu uznaje się członków zarządu funduszu. Termin na zgłoszenie biegnie od dnia zamknięcia rundy inwestycyjnej. Ryzyko compliance: wysokie przy każdej kolejnej rundzie. Zalecane: procedura CRBR jako element term sheet.

Scenariusz 3 – Inwestor zagraniczny (Niemcy, spółka córka w Polsce). Niemiecka spółka akcyjna otwiera spółkę z o.o. w Polsce jako spółkę córkę. 100% udziałów należy do spółki matki. Beneficjentem rzeczywistym jest osoba fizyczna kontrolująca spółkę matkę – ustalona na podstawie wyciągu z niemieckiego rejestru handlowego (Handelsregister). Jeśli spółka matka jest spółką giełdową bez akcjonariusza przekraczającego 25%, za beneficjenta uznaje się zarząd spółki matki. Termin: 7 dni roboczych od wpisu polskiej spółki córki do KRS. Ryzyko compliance: średnie, zależne od przejrzystości struktury właścicielskiej spółki matki.

Matryca decyzyjna w skrócie: prosta struktura właścicielska (jeden właściciel fizyczny) – zgłoszenie standardowe, niskie ryzyko. Struktura wielopoziomowa (holding, fundusz) – wymagana analiza prawna każdego szczebla, termin biegnie od dnia zamknięcia transakcji. Struktura z udziałem podmiotów zagranicznych – konieczne dokumenty z zagranicznych rejestrów przetłumaczone przez tłumacza przysięgłego lub z apostille.

Nasza praktyka ESG i compliance w Polsce obejmuje pełne wsparcie w zakresie identyfikacji beneficjentów rzeczywistych, przygotowania dokumentacji i wdrożenia procedur aktualizacyjnych – niezależnie od złożoności struktury właścicielskiej.

Często zadawane pytania

P: Czy spółka komandytowa z komplementariuszem będącym spółką z o.o. musi ujawnić beneficjenta rzeczywistego spółki z o.o.?

O: Tak. W przypadku gdy komplementariusz spółki komandytowej jest osobą prawną, należy przejść przez całą strukturę właścicielską i zidentyfikować osobę fizyczną sprawującą kontrolę nad komplementariuszem. Obowiązek dotyczy ostatecznego beneficjenta rzeczywistego – osoby fizycznej. Termin na zgłoszenie wynosi 7 dni roboczych od dnia wpisu spółki komandytowej do KRS lub od dnia zmiany. Jeśli identyfikacja jest niemożliwa, za beneficjenta uznaje się każdego członka zarządu komplementariusza.

P: Ile kosztuje rejestracja w CRBR i jak długo trwa?

O: Rejestracja w CRBR jest bezpłatna – ustawa nie przewiduje żadnych opłat za wpis ani aktualizację. Wniosek złożony elektronicznie jest przetwarzany niezwłocznie – wpis pojawia się w rejestrze zazwyczaj w ciągu kilku godzin. Czas trwania całego procesu zależy od stopnia złożoności struktury właścicielskiej: prosta struktura – kilka godzin pracy, struktura holdingowa z elementem zagranicznym – od kilku dni do kilku tygodni na zebranie dokumentacji.

P: Czy fundacja rodzinna musi być wpisana do CRBR?

O: Tak, fundacje rodzinne podlegają obowiązkowi rejestracji w CRBR. Beneficjentem rzeczywistym fundacji rodzinnej jest fundator oraz – w określonych przypadkach – beneficjenci fundacji posiadający prawa do jej majątku. Fundacje rodzinne rejestrowane są przez Sąd Okręgowy w Piotrkowie Trybunalskim jako jedyny sąd rejestrowy dla tego typu podmiotów w Polsce. Termin na zgłoszenie do CRBR wynosi 7 dni roboczych od wpisu fundacji do rejestru fundacji rodzinnych.

Konkretna sytuacja Państwa spółki może różnić się od opisanych scenariuszy. Błędna identyfikacja beneficjenta rzeczywistego lub przeoczenie terminu aktualizacji to nieodwracalne ryzyko kary do PLN 1 000 000 i blokady relacji bankowych – konsekwencji, których nie eliminuje późniejsza korekta wpisu.

Jeśli Państwa spółka posiada strukturę holdingową, udziałowców zagranicznych lub przechodzi zmianę właścicielską – przeprowadzimy identyfikację beneficjentów rzeczywistych, przygotujemy dokumentację i złożymy wniosek w terminie: info@kordeckipartners.com.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do compliance, ESG raportowania i przeciwdziałania praniu pieniędzy. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.