CRBR – obowiązki rejestracji beneficjentów

Firma rodzinna z Krakowa, właśnie przekształcona w spółkę z o.o., otrzymuje pismo od banku: bez aktualnego wpisu w Centralnym Rejestrze Beneficjentów Rzeczywistych konto firmowe zostaje zablokowane. Właściciele są zaskoczeni. Nikt im wcześniej nie powiedział, że rejestracja w CRBR to nie formalność, ale obowiązek ustawowy z konkretnymi terminami i karami.

Centralny Rejestr Beneficjentów Rzeczywistych (CRBR) nakłada na podmioty zobowiązane – w tym spółki prawa handlowego, fundacje i stowarzyszenia – obowiązek zgłoszenia i aktualizacji danych beneficjentów rzeczywistych. Obowiązek wynika z ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (ustawa AML). Kara za brak wpisu lub podanie nieprawdziwych danych wynosi do 1 000 000 zł.

W tym przewodniku znajdą Państwo: krok po kroku procedurę zgłoszenia, terminy, najczęstsze błędy oraz trzy scenariusze biznesowe – dla spółki produkcyjnej, firmy technologicznej i inwestora zagranicznego. Całość napisana z perspektywy compliance, nie teorii.

Kto i kiedy musi zgłosić beneficjenta do CRBR?

Obowiązek rejestracji w CRBR dotyczy szerokiego kręgu podmiotów. Spółki jawne, komandytowe, komandytowo-akcyjne, spółki z o.o. i akcyjne – wszystkie muszą posiadać aktualny wpis. Obowiązek obejmuje też proste spółki akcyjne, europejskie zgrupowania interesów gospodarczych, fundacje i stowarzyszenia prowadzące działalność gospodarczą. Rejestr prowadzi Minister Finansów, a nadzór nad prawidłowością danych sprawuje Generalny Inspektor Informacji Finansowej (GIIF).

Terminy są sztywne i nie podlegają przedłużeniu. Nowe podmioty mają 7 dni roboczych od dnia wpisu do KRS na zgłoszenie beneficjenta rzeczywistego do CRBR. Zmiana danych – np. nowy udziałowiec lub zmiana struktury własnościowej – wymaga aktualizacji w tym samym terminie: 7 dni roboczych od zaistnienia zmiany. Warto to zapamiętać: liczymy dni robocze, nie kalendarzowe.

Kto jest beneficjentem rzeczywistym? To osoba fizyczna, która sprawuje bezpośrednią lub pośrednią kontrolę nad podmiotem. Próg ustawowy to ponad 25% udziałów lub głosów. Jeśli żadna osoba nie przekracza tego progu, beneficjentem rzeczywistym jest każdy członek zarządu. To rozwiązanie awaryjne – ale często stosowane w praktyce przy rozproszonych strukturach własnościowych.

Zgłoszenia dokonuje się przez stronę crbr.podatki.gov.pl. System wymaga podpisu kwalifikowanego lub profilu zaufanego osoby uprawnionej do reprezentacji. Zgłoszenia nie może złożyć pełnomocnik – to istotne ograniczenie, które wiele firm pomija.

Jak krok po kroku przeprowadzić rejestrację w CRBR?

Procedura rejestracji składa się z czterech etapów. Każdy z nich ma swoje pułapki. Dobrze je znać przed, a nie po terminie.

Etap 1 – Identyfikacja beneficjenta rzeczywistego. Zacznij od analizy struktury własnościowej. Sporządź schemat – kto posiada udziały bezpośrednio, a kto pośrednio przez inne spółki lub holdingi. Jeśli udział pośredni przekracza 25%, dana osoba jest beneficjentem rzeczywistym niezależnie od liczby pośrednich szczebli. W praktyce – wiele firm o tym zapomina – struktury z funduszami lub spółkami zagranicznymi wymagają analizy każdego poziomu.

Etap 2 – Zebranie danych identyfikacyjnych. Dla każdego beneficjenta potrzebne są: imię i nazwisko, obywatelstwo, kraj zamieszkania, PESEL (lub data urodzenia dla cudzoziemców bez PESEL), informacja o wielkości i charakterze udziału lub uprawnień. Brak choćby jednej danej blokuje złożenie formularza.

Etap 3 – Złożenie zgłoszenia przez system CRBR. Formularz wypełnia i podpisuje osoba uprawniona do reprezentacji – zgodnie z zasadami reprezentacji w KRS. Przy reprezentacji łącznej wymagane są podpisy wszystkich uprawnionych. System generuje numer referencyjny potwierdzający przyjęcie zgłoszenia. Zachowaj go – może być potrzebny przy kontroli AML lub podczas badania due diligence.

Etap 4 – Weryfikacja i monitoring zmian. Wpis w CRBR nie jest jednorazowy. Każda zmiana w strukturze własnościowej, zarządzie (jeśli zarząd pełni funkcję beneficjenta awaryjnego) lub danych osobowych beneficjenta wymaga aktualizacji w ciągu 7 dni roboczych. Warto wdrożyć wewnętrzny kalendarz compliance – przynajmniej raz na kwartał sprawdzać, czy dane są aktualne.

Schemat struktury własnościowej (bezpośredniej i pośredniej)
Dane identyfikacyjne każdego beneficjenta (PESEL lub data urodzenia)
Kwalifikowany podpis elektroniczny lub profil zaufany reprezentanta
Numer referencyjny po złożeniu zgłoszenia
Procedura wewnętrzna monitorowania zmian (min. kwartalny przegląd)

Koszt samej rejestracji w CRBR wynosi 0 zł – system jest bezpłatny. Koszt pojawia się wtedy, gdy trzeba przeprowadzić analizę prawną struktury własnościowej lub wdrożyć procedury compliance. To inwestycja, nie wydatek.

Jakie błędy najczęściej popełniają firmy przy rejestracji?

Błędy w CRBR rzadko wynikają ze złej woli. Częściej to skutek nieznajomości przepisów lub pochopnego podejścia do formalności. Trzy błędy pojawiają się najczęściej.

Błąd pierwszy: zgłoszenie tylko beneficjenta bezpośredniego. Spółka z o.o. należy do dwóch osób fizycznych po 30% i jednej spółki holdingowej posiadającej 40%. Firma zgłasza dwie osoby fizyczne i zatrzymuje się. Tymczasem za spółką holdingową stoi osoba fizyczna z 80% udziałów – to ona jest beneficjentem pośrednim i powinna figurować w CRBR. Pominięcie jej grozi karą do 1 000 000 zł.

Firma IT z Wrocławia dowiedziała się o tym błędzie podczas audytu AML przeprowadzonego przez bank w jesieni 2024 r. Korekta wpisu zajęła tydzień. Kara administracyjna nie została nałożona, bo bank zgłosił nieprawidłowość przed wszczęciem postępowania przez GIIF – ale sytuacja była stresująca i kosztowna.

Błąd drugi: brak aktualizacji po zmianie udziałowców. Transakcja nabycia udziałów zostaje sfinalizowana. Umowa podpisana, KRS zaktualizowany. A CRBR? Często zapomniany. Termin 7 dni roboczych biegnie od daty zaistnienia zmiany – nie od wpisu w KRS. W praktyce oznacza to, że aktualizacja CRBR powinna być elementem każdej transakcji M&A, nie dodatkiem na końcu listy.

Błąd trzeci: mylenie beneficjenta rzeczywistego z pełnomocnikiem. Pełnomocnik generalny spółki, działający na podstawie szerokiego pełnomocnictwa, nie jest beneficjentem rzeczywistym. Beneficjentem jest ten, kto kontroluje spółkę przez własność lub prawa głosu – nie ten, kto działa w jej imieniu. To rozróżnienie ma znaczenie w kontekście zarówno CRBR, jak i procedur screeningu sankcyjnego w polskich przedsiębiorstwach.

Compliance to proces, nie dokument. Jednorazowe zgłoszenie bez późniejszego monitoringu to połowa roboty – i potencjalne źródło problemów przy każdej kontroli lub transakcji.

Konkretna sytuacja Państwa firmy może wymagać analizy wielopoziomowej struktury własnościowej. Brak prawidłowego wpisu w CRBR blokuje nie tylko konto bankowe – zamyka też drogę do udziału w przetargach publicznych i może uniemożliwić finalizację transakcji M&A.

Jeśli Państwa spółka nie ma pewności co do prawidłowości wpisu w CRBR lub właśnie przechodzi zmianę struktury własnościowej – przeprowadzimy analizę beneficjentów rzeczywistych i zaktualizujemy zgłoszenie: info@kordeckipartners.com.

Trzy scenariusze biznesowe: jak wygląda CRBR w praktyce?

Przepisy brzmią podobnie dla każdego podmiotu. Ale praktyka wdrożenia różni się w zależności od struktury i branży. Poniżej trzy scenariusze, które regularnie pojawiają się w naszej praktyce compliance.

Scenariusz 1: Spółka produkcyjna z Małopolski. Rodzinna firma produkcyjna, dwóch wspólników – ojciec (60% udziałów) i syn (40%). Struktura prosta, rejestracja w CRBR bez problemów. Komplikacja pojawia się, gdy ojciec przenosi część udziałów na fundację rodzinną założoną w 2024 r. Fundacja staje się udziałowcem z 35% udziałów. Kto jest teraz beneficjentem rzeczywistym? Zgodnie z ustawą AML – fundator fundacji rodzinnej, jeśli sprawuje nad nią kontrolę. Wymaga to aktualizacji wpisu i analizy dokumentów fundacyjnych. Termin: 7 dni roboczych od przeniesienia udziałów.

Scenariusz 2: Startup technologiczny z Warszawy. Spółka z o.o. z pięcioma wspólnikami, każdy z 20% udziałów. Żaden nie przekracza progu 25%. Beneficjentem rzeczywistym jest zatem każdy członek zarządu – trzech wspólników pełniących funkcje zarządcze. Przy kolejnej rundzie finansowania jeden z inwestorów obejmuje 30% udziałów. Teraz pojawia się nowy beneficjent rzeczywisty. Aktualizacja CRBR musi nastąpić przed zamknięciem rundy lub niezwłocznie po – w każdym razie w ciągu 7 dni roboczych. Wiele startupów odkrywa ten obowiązek dopiero przy badaniu due diligence w zakresie RODO i compliance.

Scenariusz 3: Inwestor zagraniczny wchodzący na rynek polski. Niemiecka spółka holdingowa zakłada polską spółkę z o.o. Jedynym udziałowcem jest spółka z siedzibą w Hamburgu, której właścicielem jest osoba fizyczna z Berlina. Beneficjentem rzeczywistym polskiej spółki jest ta osoba fizyczna – mimo że formalnie nie figuruje w polskim KRS. Brak PESEL nie zwalnia z obowiązku rejestracji: podaje się datę urodzenia, obywatelstwo i kraj zamieszkania. Termin rejestracji: 7 dni roboczych od wpisu polskiej spółki do KRS.

W każdym z tych scenariuszy kluczowym elementem jest właściwa identyfikacja beneficjenta na każdym poziomie struktury. Błędna identyfikacja to nie tylko ryzyko kary administracyjnej – to też ryzyko reputacyjne w kontekście ESG raportowania i procedur AML wobec instytucji finansowych.

Jak CRBR łączy się z AML, ESG i ochroną sygnalistów?

CRBR to nie wyizolowana regulacja. Funkcjonuje jako element szerszego systemu compliance, obejmującego AML, ESG raportowanie i ochronę sygnalistów. Zrozumienie tych powiązań pozwala budować spójną politykę zgodności – zamiast reagować punktowo na kolejne obowiązki.

W kontekście AML – dane z CRBR są podstawowym źródłem informacji dla instytucji obowiązanych (banki, notariusze, doradcy podatkowi) przy weryfikacji klientów. Procedury KYC (know your customer) bezpośrednio odwołują się do rejestru. Instytucja finansowa, która nie zweryfikuje beneficjenta rzeczywistego, sama naraża się na sankcje ze strony GIIF i KNF. Dlatego banki blokują konta – nie z kaprysu, ale z obowiązku ustawowego.

W kontekście ESG i CSRD (Dyrektywa UE 2022/2464) – przejrzystość struktury własnościowej staje się elementem oceny ładu korporacyjnego (governance). Podmioty objęte obowiązkiem raportowania ESG muszą ujawniać informacje o strukturze kontroli. Brak aktualnego wpisu w CRBR może być sygnałem ostrzegawczym dla audytorów ESG i inwestorów oceniających ryzyko.

Ochrona sygnalistów to kolejny element tej układanki. Ustawa z 14 czerwca 2024 r. o ochronie sygnalistów, obowiązująca od 25 września 2024 r., wymaga od pracodawców zatrudniających co najmniej 50 pracowników wdrożenia kanału zgłoszeń wewnętrznych. Zgodnie z art. 8 ustawy o sygnalistach – każdy pracodawca tej kategorii musi posiadać formalną procedurę przyjmowania zgłoszeń naruszeń prawa, w tym naruszeń przepisów AML i obowiązków CRBR. Brak kanału to kara do 1 080 000 zł.

Firma produkcyjna z Podkarpacia wdrożyła w lecie 2024 r. jednocześnie procedurę CRBR, kanał sygnalistów i politykę AML. Całość zajęła sześć tygodni. Efekt: bank przyznał finansowanie bez dodatkowych pytań, a audytor ESG ocenił strukturę governance pozytywnie. To przykład compliance jako narzędzia biznesowego – nie tylko ochrony przed karą.

Konkretna sytuacja Państwa firmy w obszarze AML i CRBR wymaga oceny wszystkich powiązanych obowiązków. Brak spójności między CRBR, polityką AML i kanałem sygnalistów może prowadzić do nieodwracalnych konsekwencji reputacyjnych i finansowych.

Jeśli Państwa spółka zatrudnia ponad 50 osób lub przetwarza dane klientów w ramach procedur AML – wdrożymy kompletny pakiet compliance: CRBR, sygnaliści, AML: info@kordeckipartners.com.

Często zadawane pytania

P: Czy fundacja rodzinna musi być zgłoszona do CRBR?

O: Tak. Fundacje – w tym fundacje rodzinne – są podmiotami zobowiązanymi do rejestracji w CRBR. Beneficjentem rzeczywistym fundacji jest co do zasady fundator, o ile sprawuje nad nią kontrolę. Jeśli fundator powołał radę fundacji lub inne organy z uprawnieniami kontrolnymi, konieczna jest analiza, kto faktycznie sprawuje kontrolę. Termin na zgłoszenie wynosi 7 dni roboczych od wpisu fundacji do rejestru prowadzonego przez Sąd Okręgowy w Piotrkowie Trybunalskim.

P: Co grozi za brak aktualizacji danych w CRBR po zmianie udziałowców?

O: Kara administracyjna wynosi do 1 000 000 zł. Nakłada ją Minister Finansów na wniosek GIIF. Odpowiedzialność ponosi podmiot zobowiązany – spółka – a nie indywidualny pracownik. W praktyce kara jest stosowana przy rażących lub powtarzających się naruszeniach, ale samo wszczęcie postępowania wyjaśniającego jest już dolegliwe – blokuje relacje bankowe i może opóźnić transakcje.

P: Czy spółka zagraniczna prowadząca działalność w Polsce przez oddział musi rejestrować beneficjenta w CRBR?

O: Oddział zagranicznego przedsiębiorcy nie jest odrębnym podmiotem prawa polskiego i co do zasady nie podlega obowiązkowi rejestracji w CRBR jako samodzielny byt. Obowiązek dotyczy jednak polskich spółek zależnych – nawet jeśli jedynym udziałowcem jest podmiot zagraniczny. W takim przypadku beneficjentem rzeczywistym jest osoba fizyczna kontrolująca spółkę zagraniczną-udziałowca. Warto to sprawdzić przy każdej strukturze holdingowej z elementem zagranicznym.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do compliance, ESG i procedur AML. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.