Firma rodzinna z Mazowsza odkrywa podczas audytu AML, że nie zaktualizowała danych w Centralnym Rejestrze Beneficjentów Rzeczywistych od ponad roku. Zmienił się wspólnik, zmieniła się struktura udziałów – a CRBR nadal pokazuje nieaktualne wpisy. Kara finansowa, zablokowanie rachunku bankowego i utrata reputacji u kontrahentów to realne konsekwencje, które materializują się szybciej, niż większość przedsiębiorców zakłada.

Centralny Rejestr Beneficjentów Rzeczywistych (CRBR) nakłada na podmioty zobowiązane obowiązek zgłaszania i aktualizowania danych o osobach sprawujących rzeczywistą kontrolę nad spółką lub inną jednostką. Obowiązek wynika z ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (ustawa AML). Termin na zgłoszenie nowego wpisu lub aktualizację istniejącego wynosi 7 dni od zaistnienia zmiany.

Poniższy przewodnik wyjaśnia, kto podlega obowiązkowi, jak zidentyfikować beneficjenta rzeczywistego, jakie błędy najczęściej prowadzą do kar, oraz jak zbudować wewnętrzny proces weryfikacji zgodny z wymogami AML i ESG. Materiał jest przeznaczony dla zarządów, compliance officerów i właścicieli firm – bez względu na to, czy spółka działa wyłącznie w Polsce, czy w kilku jurysdykcjach.

Kto podlega obowiązkowi rejestracji w CRBR i jakie podmioty są wyłączone?

Ustawa AML objęła CRBR szerokim katalogiem podmiotów. Obowiązek rejestracji dotyczy spółek jawnych, komandytowych, komandytowo-akcyjnych, spółek z ograniczoną odpowiedzialnością, prostych spółek akcyjnych, spółek akcyjnych (z wyjątkiem spółek publicznych notowanych na regulowanych rynkach), a także trustów i innych podmiotów posiadających osobowość prawną. Od 2021 r. katalog rozszerzono o stowarzyszenia rejestrowe i fundacje. Fundacje rodzinne – po wejściu w życie ustawy z 26 stycznia 2023 r. – również podlegają obowiązkowi wpisu do CRBR.

Wyłączenia są wąskie. Spółki publiczne notowane na giełdach regulowanych w Unii Europejskiej są zwolnione, ponieważ transparentność akcjonariatu zapewniają przepisy rynku kapitałowego. Jednoosobowe działalności gospodarcze nie są podmiotem CRBR – bo właściciel jest jednocześnie beneficjentem i jest widoczny w CEIDG. W praktyce jednak wiele firm błędnie zakłada, że wyłączenie dotyczy ich struktury. Przed podjęciem decyzji o braku zgłoszenia zawsze warto skonsultować konkretny przypadek z prawnikiem.

Dla zagranicznych inwestorów wchodzących na rynek polski kwestia CRBR pojawia się natychmiast po rejestracji spółki w KRS. Powiązania z rejestrem screeningiem sankcyjnym są tu szczególnie istotne – dane z CRBR są weryfikowane przez instytucje obowiązane podczas procedur KYC (Know Your Customer) i stanowią podstawę oceny ryzyka AML.

Jak prawidłowo zidentyfikować beneficjenta rzeczywistego?

Beneficjentem rzeczywistym jest osoba fizyczna sprawująca bezpośrednią lub pośrednią kontrolę nad podmiotem zobowiązanym. Ustawa AML wskazuje dwa podstawowe kryteria identyfikacji. Pierwsze – kryterium własnościowe: osoba posiadająca ponad 25% udziałów lub akcji, albo ponad 25% praw głosu, jest beneficjentem rzeczywistym z mocy prawa. Drugie – kryterium kontroli faktycznej: gdy żadna osoba fizyczna nie spełnia progu 25%, beneficjentem jest osoba sprawująca kontrolę przez inne mechanizmy – umowy wspólników, prawo weta, prawo powoływania zarządu.

Gdy identyfikacja na podstawie obu kryteriów okaże się niemożliwa, ustawa przewiduje tzw. mechanizm ostateczny: beneficjentem staje się osoba zajmująca wyższe stanowisko kierownicze – najczęściej prezes zarządu lub członek zarządu. To rozwiązanie awaryjne, a nie docelowe. Organy nadzoru i instytucje obowiązane traktują wpis oparty wyłącznie na mechanizmie ostatecznym jako sygnał ostrzegawczy wymagający dodatkowych wyjaśnień.

Struktury wielopoziomowe – holdingi z kilkoma spółkami córkami, fundusze private equity, struktury z udziałem trustów zagranicznych – wymagają analizy każdego szczebla osobno. Łączenie udziałów pośrednich i bezpośrednich przy obliczaniu progu 25% jest obowiązkowe. Spółka z Krakowa, której jedynym udziałowcem jest spółka holenderska kontrolowana przez osobę fizyczną z 60% głosów, ma obowiązek wpisać tę osobę jako beneficjenta – mimo że formalnie nie figuruje w polskim KRS.

Jakie kary grożą za naruszenie obowiązków CRBR?

Naruszenie obowiązków CRBR niesie bezpośrednie ryzyko finansowe. Ustawa AML przewiduje karę pieniężną do 1 000 000 zł za niezgłoszenie lub nieterminowe zgłoszenie informacji o beneficjencie rzeczywistym. Kara nakładana jest na podmiot zobowiązany – spółkę – ale odpowiedzialność faktyczna spada na zarząd, który jest zobowiązany do złożenia zgłoszenia w imieniu spółki. To odpowiedzialność osobista, analogiczna do tej wynikającej z art. 299 § 1 k.s.h. w zakresie zobowiązań cywilnych.

Konsekwencje wykraczają poza karę finansową. Instytucje obowiązane – banki, firmy inwestycyjne, notariusze – mają prawo odmówić nawiązania stosunku gospodarczego lub wykonania transakcji, jeśli dane w CRBR są nieaktualne lub sprzeczne z informacjami posiadanymi przez instytucję. W praktyce oznacza to blokadę rachunku bankowego lub odmowę udzielenia kredytu w momencie, gdy spółka potrzebuje finansowania najbardziej.

Dodatkowy wymiar ryzyka to ESG raportowanie. Coraz więcej kontrahentów korporacyjnych – szczególnie tych objętych CSRD (Dyrektywa UE 2022/2464) – weryfikuje dane CRBR dostawców jako element due diligence w łańcuchu wartości. Nieaktualny wpis może skutkować utratą kontraktu. Dla spółek działających w sektorach regulowanych przez KNF lub KAS ryzyko jest jeszcze wyższe – organy te rutynowo sprawdzają spójność danych CRBR z dokumentacją korporacyjną.

Uważamy, że bezpieczniejszym rozwiązaniem jest wdrożenie wewnętrznego kalendarza compliance, który automatycznie uruchamia procedurę aktualizacji CRBR przy każdej zmianie struktury własnościowej, niezależnie od tego, czy zmiana wymaga wpisu do KRS.

Jak wygląda procedura zgłoszenia i aktualizacji danych w rejestrze?

Zgłoszenie do CRBR składa się wyłącznie elektronicznie, przez stronę crbr.podatki.gov.pl, z użyciem kwalifikowanego podpisu elektronicznego lub profilu zaufanego osoby uprawnionej do reprezentacji spółki. System nie przyjmuje zgłoszeń papierowych ani pełnomocnictw ogólnych – osoba składająca zgłoszenie musi być wpisana w KRS jako uprawniona do reprezentacji. Czas techniczny złożenia zgłoszenia to około 20–30 minut, jeśli dane są przygotowane wcześniej.

Termin 7 dni liczy się od dnia wpisu do KRS – przy zakładaniu spółki lub zmianie danych rejestrowych. Ale uwaga: zmiana beneficjenta rzeczywistego, która nie wymaga wpisu do KRS (np. przeniesienie udziałów w spółce z o.o. na podstawie umowy przed notariuszem), również uruchamia 7-dniowy termin od dnia zdarzenia, a nie od dnia ewentualnego wpisu do KRS. To jeden z najczęstszych błędów. W praktyce – wiele firm o tym zapomina – zmiana nastąpiła, KRS jeszcze nie zaktualizowany, a termin CRBR już biegnie.

Przy zgłoszeniu należy podać: dane identyfikacyjne beneficjenta (imię, nazwisko, obywatelstwo, PESEL lub data urodzenia), państwo zamieszkania, informację o charakterze i zakresie sprawowanej kontroli oraz podstawę prawną kontroli. Dla struktur wielopoziomowych należy opisać każdy szczebel pośredni. System CRBR nie weryfikuje automatycznie spójności danych – odpowiedzialność za prawdziwość informacji spoczywa na podmiocie zgłaszającym, pod rygorem odpowiedzialności karnej za złożenie fałszywego oświadczenia.

Warto też pamiętać o powiązaniu z systemem sygnalistów. Zgodnie z art. 8 ustawy o sygnalistach, pracodawcy zatrudniający 50 lub więcej pracowników mają obowiązek prowadzenia wewnętrznego kanału zgłoszeń. Nieprawidłowości w zakresie CRBR mogą być zgłaszane właśnie tym kanałem – co oznacza, że brak aktualizacji rejestru może stać się przedmiotem wewnętrznego dochodzenia zainicjowanego przez pracownika.

Jakie są szczególne ryzyka przy strukturach transgranicznych i zagranicznych inwestorach?

Struktury transgraniczne generują największe ryzyko błędów w CRBR. Zagraniczny inwestor posiadający udziały w polskiej spółce za pośrednictwem holdingu z siedzibą poza UE – np. na Cyprze, Malcie lub w Zjednoczonych Emiratach Arabskich – musi być zidentyfikowany jako beneficjent rzeczywisty polskiej spółki, nawet jeśli jego dane nie figurują w żadnym europejskim rejestrze. Obowiązek identyfikacji spoczywa na zarządzie polskiej spółki, który musi podjąć aktywne działania w celu ustalenia tożsamości beneficjenta.

Dla pracowników oddelegowanych do Polski przez zagraniczne grupy kapitałowe – szczególnie tych ubiegających się o EU Blue Card – dane CRBR spółki przyjmującej są weryfikowane przez urzędy pracy i Straż Graniczną w ramach procedury zezwoleniowej. Niespójności między CRBR a dokumentami korporacyjnymi mogą opóźnić lub zablokować całą procedurę. Więcej o progach wynagrodzenia i procedurze EU Blue Card w Polsce opisujemy w osobnym materiale: EU Blue Card w Polsce – nowe progi na 2026 rok.

Spółki z udziałem kapitału ukraińskiego lub z krajów WNP stoją przed dodatkowym wyzwaniem: zmiany właścicielskie wynikające z restrukturyzacji wojennej, przeniesienia aktywów lub zmiany rezydencji beneficjenta muszą być odzwierciedlone w CRBR w terminie 7 dni. Brak aktualizacji w tym kontekście jest szczególnie wrażliwy – organy AML i instytucje finansowe przykładają do tych struktur zwiększoną uwagę w ramach procedur screeningowych. Dla podmiotów działających w środowisku wysokiego ryzyka sankcyjnego zalecamy połączenie aktualizacji CRBR z regularnym screeningiem sankcyjnym – jako zintegrowanym elementem polityki compliance.

Micro-case: spółka technologiczna z Trójmiasta, jesień 2024 r. – podczas przeglądu AML przez bank finansujący ekspansję do Niemiec, wykryto rozbieżność między strukturą własnościową w CRBR a aktualnym rejestrem handlowym. Beneficjent zmienił rezydencję podatkową z Polski na Niemcy sześć miesięcy wcześniej. Bank zawiesił procedurę kredytową na osiem tygodni do czasu wyjaśnienia sprawy i złożenia aktualizacji.

Lista kontrolna – co przygotować przed zgłoszeniem do CRBR?

Prawidłowe zgłoszenie do CRBR wymaga zebrania konkretnych dokumentów i informacji przed przystąpieniem do wypełniania formularza. Brak jakiegokolwiek elementu skutkuje koniecznością uzupełnienia zgłoszenia – co nie wstrzymuje biegu 7-dniowego terminu. Compliance to proces, nie dokument złożony raz i zapomniany.

  • Aktualny odpis z KRS – lista wspólników, zarząd, prokurent, struktura kapitałowa
  • Schemat struktury własnościowej – uwzględniający wszystkie podmioty pośrednie aż do osoby fizycznej
  • Dane identyfikacyjne beneficjenta – PESEL (lub data urodzenia i obywatelstwo dla cudzoziemców), adres zamieszkania, państwo rezydencji podatkowej
  • Podstawa prawna kontroli – umowa spółki, umowa wspólników, pełnomocnictwo, prawo weta lub inne mechanizmy kontroli
  • Kwalifikowany podpis elektroniczny lub profil zaufany osoby uprawnionej do reprezentacji spółki zgodnie z KRS

Micro-case: producent mebli z Podkarpacia, wiosna 2025 r. – podczas przygotowania do audytu ESG przez zachodnioeuropejskiego odbiorcę, okazało się, że spółka nigdy nie zaktualizowała CRBR po zmianie struktury własnościowej w 2022 r. Trzy lata zaległości, dwa nieaktualne wpisy. Aktualizacja zajęła dwa dni, ale audyt ESG ujawnił lukę compliance, która wpłynęła na ocenę dostawcy w systemie scoringowym kontrahenta.

Wdrożenie kalendarza compliance z automatycznymi przypomnieniami przy każdej zmianie właścicielskiej, zmianie zarządu lub zmianie rezydencji beneficjenta to minimum, które powinien zapewnić każdy dział prawny lub zewnętrzny doradca. Weryfikacja CRBR powinna być standardowym elementem każdego badania due diligence – zarówno przy transakcjach M&A, jak i przy onboardingu nowego kontrahenta.

Konkretna sytuacja Państwa spółki – nieaktualne dane w CRBR, skomplikowana struktura własnościowa lub zbliżający się audyt AML – wymaga natychmiastowej reakcji. Opóźnienie zamyka drogę do sprawnego onboardingu bankowego i może nieodwracalnie zaszkodzić relacji z kluczowym kontrahentem.

Jeśli Państwa spółka zmaga się z identyfikacją beneficjenta rzeczywistego w strukturze wielopoziomowej lub z aktualizacją CRBR po transakcji – przeprowadzimy analizę struktury własnościowej, przygotujemy dokumentację i złożymy zgłoszenie w terminie: info@kordeckipartners.com.

Często zadawane pytania

P: Czy spółka z ograniczoną odpowiedzialnością z jednym wspólnikiem będącym osobą fizyczną musi rejestrować się w CRBR?

O: Tak. Jednoosobowa spółka z ograniczoną odpowiedzialnością podlega obowiązkowi CRBR bez wyjątku. Jedyny wspólnik będący osobą fizyczną jest jednocześnie beneficjentem rzeczywistym i musi być wpisany do rejestru. Termin na zgłoszenie wynosi 7 dni od dnia wpisu spółki do KRS lub od dnia zaistnienia zmiany. Brak wpisu grozi karą do 1 000 000 zł.

P: Czy zmiana adresu zamieszkania beneficjenta rzeczywistego wymaga aktualizacji CRBR?

O: Tak. Każda zmiana danych identyfikacyjnych beneficjenta – w tym adresu zamieszkania, obywatelstwa lub państwa rezydencji podatkowej – wymaga aktualizacji wpisu w CRBR w terminie 7 dni od zaistnienia zmiany. Jest to powszechne niedopatrzenie, szczególnie przy beneficjentach często zmieniających miejsce zamieszkania lub posiadających rezydencję w kilku krajach. Nieprawidłowy adres zamieszkania może być podstawą zakwestionowania wpisu przez instytucję obowiązaną.

P: Jak długo trwa procedura zgłoszenia do CRBR i ile kosztuje?

O: Samo zgłoszenie do CRBR jest bezpłatne i realizowane wyłącznie elektronicznie przez stronę crbr.podatki.gov.pl. Techniczne złożenie formularza zajmuje 20–30 minut, pod warunkiem wcześniejszego przygotowania wszystkich danych. Koszt obsługi prawnej zależy od złożoności struktury własnościowej – przy prostych strukturach jednopoziomowych jest to usługa standardowa, przy strukturach wielopoziomowych lub transgranicznych wymaga wcześniejszej analizy prawnej, która może potrwać kilka dni roboczych.

Konkretna sytuacja Państwa firmy – zbliżający się audyt, zmiana wspólnika lub nowa transakcja M&A – wymaga sprawdzenia CRBR przed jakimkolwiek kolejnym krokiem. Zaniedbanie tego etapu nieodwracalnie komplikuje każdą późniejszą procedurę korporacyjną lub finansową.

Aby otrzymać ocenę struktury własnościowej Państwa spółki pod kątem obowiązków CRBR i AML – napisz do info@kordeckipartners.com.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do compliance AML, CRBR i ESG raportowania. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.