Zavedení AML compliance ve firmě: plán, dokumenty, role a termíny

Zakladatel EMI, PSP, krypto byznysu nebo fintech společnosti v EU se k tématu AML compliance obvykle nedostává z čiré zvědavosti, ale protože se ho regulátor, partnerská banka nebo investor přímo zeptali: „Kde máte svůj AML systém?“ Dotazy jako „zavedení AML“, „vypracování AML dokumentace“ nebo „AML politika“ ve vyhledávání jsou zpravidla jedna a tatáž otázka: kde začít a jak postavit systém, který skutečně funguje, a ne jen složku dokumentů „pro kontrolu“.

Ve společnosti COREDO od roku 2016 budujeme a provázíme AML compliance pro EMI, PSP, poskytovatele kryptoaktiv, fintech a korporátní společnosti v EU — od první hodnoticí zprávy o rizicích až po roli externího MLRO. Pokud ve firmě chybí kapacita dovést zavedení do konce samostatně, má smysl probrat zavedení a podporu AML v outsourcingu samostatně od tohoto článku — zde rozebíráme celý plán krok za krokem.

Proč jednat už v roce 2026, a nečekat na rok 2027

K listopadu 2026 platí v EU současně dvě vrstvy požadavků. První je národní legislativa, která se uplatňuje už nyní: pro společnost registrovanou v Česku je to zákon č. 253/2008 Sb., o některých opatřeních proti legalizaci výnosů z trestné činnosti a financování terorismu, a dohled Finančního analytického úřadu (FAÚ). Druhou vrstvou je nový celoevropský balíček: Nařízení (EU) 2024/1624 (AMLR), Směrnice (EU) 2024/1640 (AMLD6) a Nařízení (EU) 2024/1620 o Orgánu pro boj proti praní peněz a financování terorismu (AMLA). AMLR se přímo uplatňuje ve všech členských státech EU od 10. července 2027 (pro povinné osoby spojené s fotbalovými agenty a profesionálními kluby — od 10. července 2029) a ke stejnému datu musí členské státy dokončit transpozici AMLD6 do národního práva.

To neznamená, že do července 2027 není kam spěchat. AMLA už funguje: Orgán zahájil provozní činnost 1. července 2025 se sídlem ve Frankfurtu, a od 1. ledna 2026 převzal od EBA mandáty a pravomoci v oblasti AML/CFT. Národní regulátoři dál kontrolují společnosti podle platných pravidel — psali jsme o tom, co obvykle vyvolává mimořádné kontroly v EU, a proč se odkládání zavedení AML postupů firmě nevyplatí, což jsme rozebrali v článku o důvodech, proč neodkládat zavedení AML.

Co se mění: AMLR, AMLD6, AMLA a český zákon č. 253/2008 Sb.

AMLR je nařízení: platí stejně ve všech členských státech EU bez transpozice do národních zákonů. AMLD6 je směrnice, jejíž normy státy přejímají prostřednictvím vlastních předpisů, a tempo transpozice se liší stát od státu. Evropská komise vede samostatný přehled transpozice AMLD6 po jednotlivých zemích, ze kterého je vidět, že i uvnitř EU se „datum ve směrnici“ a „datum v místním zákoně“ nemusí vždy shodovat — proto je pro konkrétní jurisdikci třeba termíny ověřit samostatně, a neřídit se jen datem z nařízení.

Pro společnost v Česku je dnešním praktickým základem zákon č. 253/2008 Sb. a prováděcí předpisy FAÚ. Od roku 2024 zákon požaduje, aby povinná osoba oznámila FAÚ určenou kontaktní osobu prostřednictvím datové schránky do 30 dnů ode dne, kdy se společnost stala povinnou osobou (dříve 60 dnů), a oznamovala změny údajů do 15 dnů. FAÚ sám uvádí, že stávající národní model bude k 10. červenci 2027 nahrazen přímou aplikací AMLR — to znamená, že české společnosti čeká nikoli jednorázová úprava dokumentu, ale přechod na novou architekturu rolí a postupů.

Postupný plán zavedení AML compliance

V praxi je pořadí zavedení téměř vždy stejné — liší se hloubka zpracování jednotlivých kroků podle velikosti firmy a jejího rizikového profilu.

1. Celkové hodnocení rizik firmy (business-wide risk assessment). Jde o výchozí bod rizikově orientovaného přístupu, který zakotvuje Doporučení č. 1 FATF: společnost si musí sama určit, jakým rizikům praní peněz a financování terorismu jsou vystaveny její produkty, klienti, kanály a geografie, a přizpůsobit opatření těmto rizikům, a ne kopírovat cizí šablonu. Logiku sestavení takové matice jsme rozebrali v článku o rizikově orientovaném přístupu.
2. Politiky a postupy. Na základě hodnocení rizik se vypracuje AML/KYC politika, postupy CDD/EDD, monitoringu a reakce na upozornění, reporting a školení. Je důležité, aby politika byla dokumentem, podle kterého se skutečně pracuje, a ne překladem regulatorního textu — krátkou funkční strukturu takové politiky jsme ukázali v článku „AML politika: jak sestavit krátkou verzi, kterou čte byznys“.
3. Role a odpovědnost: MLRO, compliance officer, představenstvo. Obecné pokyny EBA o politikách a postupech compliance managementu a o roli AML/CFT compliance officera (EBA/GL/2022/05) požadují, aby jeden z členů vedoucího orgánu společnosti byl v konečné instanci jmenován odpovědným za AML/CFT a aby compliance officer měl přímý přístup k tomuto orgánu při závažných incidentech. Důležitá nuance: i když jsou provozní úkoly předány do outsourcingu, konečná odpovědnost za compliance zůstává na samotné organizaci — na dodavatele ji přenést nelze.
4. KYC/KYB onboarding a due diligence (CDD/EDD). Identifikace klienta a skutečných majitelů, prověření proti sankcím a PEP, přiřazení rizikového ratingu a u rizikových případů zesílená kontrola — tento blok se nejčastěji vyčleňuje na samostatný KYC/KYB screening, protože vyžaduje jak nástroje, tak neustálou aktualizaci databází.
5. Běžný monitoring a screening. Transakční monitoring, periodické přehodnocování rizikového ratingu klientů a sankční screening protistran musí fungovat nikoli jednorázově při onboardingu, ale nepřetržitě; o výběru poskytovatele a nastavení prahů pro screening jsme psali samostatně — viz „Sankční screening protistran“. Proud upozornění je třeba někam směrovat a uzavírat podle jasných pravidel — tomu je věnován článek o řízení případů pro AML upozornění.
6. Reporting: STR/SAR na FAÚ. Při podezření na praní peněz nebo financování terorismu musí povinná osoba podat oznámení o podezřelém obchodu národní FIU — pro Česko je to FAÚ, postup podání popisuje jeho metodický pokyn. Jde o samostatný postup s vlastními lhůtami a vlastní vnitřní logikou rozhodování „podat, nebo nepodat“, ne o součást běžné korespondence s regulátorem.
7. Školení personálu. Regulátor očekává nikoli jednorázové zaškolení při nástupu, ale pravidelný vzdělávací program s ověřením znalostí a dokumentací — co se v praxi konkrétně kontroluje, jsme rozebrali v článku o školení AML pro zaměstnance; jako službu tuto funkci zajišťuje AML školení.
8. Uchovávání dokumentů a záznamů. Článek 77 Nařízení (EU) 2024/1624 stanovuje jednotnou lhůtu uchovávání pro celou EU — pět let od ukončení obchodního vztahu, jednorázové operace nebo odmítnutí jejich navázání, s možností prodloužení o další až pět let na základě rozhodnutí členského státu; osobní údaje je po uplynutí lhůty třeba vymazat s ohledem na požadavky GDPR.
9. Interní audit a nezávislá kontrola. Systém nelze „zapnout a zapomenout“ — je třeba periodické nezávislé hodnocení, zda politiky fungují tak, jak byly zamýšleny. Rozdíl mezi interním a externím auditem a kdy se který volí rozebíráme v rámci naší služby AML audit.

Minimální balíček dokumentů

Sada dokumentů, bez které firma neprojde ani interní, ani externí kontrolou:

• Celkové hodnocení rizik firmy — zaznamenává, jakým rizikům praní peněz a financování terorismu je společnost vystavena a proč.
• AML/KYC politika — dokument nejvyšší úrovně o zásadách a odpovědnosti.
• Postup CDD/EDD a onboardingu — co konkrétně se u klienta prověřuje a kdy se spouští zesílená kontrola.
• Postup transakčního monitoringu a práce s upozorněními — pravidla odhalování, eskalace a uzavírání podezřelé činnosti.
• Postup podání oznámení o podezřelém obchodu — kdo rozhoduje, v jakých lhůtách a na kterou FIU se oznámení podává.
• Program školení personálu — obsah, periodicita, způsob ověření znalostí.
• Politika uchovávání záznamů — lhůty a postup uchovávání dokumentů o klientech a operacích.
• Dokumenty o jmenování MLRO/compliance officera — včetně zaznamenání odpovědnosti na úrovni vedoucího orgánu.
• Politika sankčního screeningu — poskytovatel, prahy spouštění, postup řešení shod.
• Zpráva z interního nebo externího auditu — potvrzení, že systém nebyl pouze napsán, ale i prověřen v provozu.

Termíny: jak dlouho zavedení trvá v praxi

Univerzální normativ lhůt v regulatorních textech neexistuje — ani AMLR, ani AMLD6, ani zákon č. 253/2008 Sb. neuvádí, za kolik týdnů musí firma vybudovat systém „od nuly“: jde o otázku jednání s regulátorem a partnerskou bankou, ne o pevně stanovenou lhůtu. Dále uvádíme orientační hodnoty z naší praxe v COREDO, nikoli normativní lhůty. Pro firmu bez fungujících postupů trvá základní balíček dokumentů — hodnocení rizik, politika, klíčové postupy — zpravidla několik týdnů aktivní společné práce; nastavení onboardingu, screeningu a monitoringu jako skutečně fungujícího procesu, a ne jen dokumentu na papíru, je již další a podstatně delší etapa; školení personálu a první cyklus reportingu před regulátorem přidávají čas navíc. Pokud firma již má částečný systém a je potřeba jej doladit podle AMLR/AMLD6, bývá lhůta kratší než při budování „od nuly“, ale konkrétní číslo závisí na tom, co z výše uvedeného již existuje a v jakém stavu.

Typické chyby při zavádění

• Dokumenty se píšou „pro kontrolu“, a ne pro reálné procesy — politika existuje, ale zaměstnanci pracují jinak, a při první mimořádné kontrole je to hned vidět.
• Odpovědnost na úrovni představenstva existuje na papíru, ne v praxi — formálně jmenovaný odpovědný člen vedoucího orgánu nedostává zprávy a nerozhoduje o AML rizicích, což přímo odporuje logice EBA/GL/2022/05.
• Outsourcing je chápán jako přenesení odpovědnosti — jednotlivé úkoly lze předat dodavateli, ale konečná odpovědnost vždy zůstává na samotné organizaci.
• AMLR 2027 je chápán jako „problém příštího roku“ — přitom národní zákon a současný dohled už platí, a přebudovat systém na novou architekturu rolí je rychlejší, pokud je základ vybudovaný už nyní.
• Prahy screeningu a rizikový rating klientů jsou nastaveny jednou při spuštění a dál se nepřehodnocují, ačkoli se rizikový profil firmy a klientské báze v čase mění.
• Školení probíhá jen jednou při nástupu, bez opakovaného cyklu a bez dokumentace toho, co a kdy bylo prověřeno.

Co dělat dál

Pokud firma ještě nemá žádný z výše uvedených dokumentů, má smysl začít celkovým hodnocením rizik a základním balíčkem politik, a ne náborem celého interního týmu pro ještě nevybudovaný proces: v této fázi je často rychlejší probrat zavedení a podporu AML v outsourcingu. Pokud dokumenty existují, ale není jasné, jak funkční jsou, prvním krokem je nezávislá kontrola: to zajišťuje AML audit. Pokud firma nemá kapacitu udržovat trvalého interního MLRO s potřebnou kvalifikací a přístupem k vedoucímu orgánu, lze tuto roli zajistit prostřednictvím externího MLRO. Detaily jednoho reálného projektu budování AML systému „od nuly“ pro vydavatele elektronických peněz jsme popsali v případové studii „Proces vývoje AML systému od nuly“.

Často kladené otázky

Od jakého data je AMLR povinný pro všechny firmy v EU?

Nařízení (EU) 2024/1624 se přímo uplatňuje ve všech členských státech EU od 10. července 2027; pro povinné osoby spojené s fotbalovými agenty a profesionálními fotbalovými kluby od 10. července 2029. Do tohoto data dál platí národní legislativa, která už dnes vyžaduje plnohodnotný AML systém.

Potřebuje malá firma samostatného MLRO?

Ano, ale rozsah role je úměrný velikosti a rizikovému profilu firmy. Obecné pokyny EBA o roli AML/CFT compliance officera (EBA/GL/2022/05) požadují jmenovat odpovědnou osobu na úrovni vedoucího orgánu i na operativní úrovni; u malé firmy to může být jedna a tatáž osoba, jmenování a přístup k vedoucímu orgánu však musí být doloženy dokumentací.

Lze AML compliance plně předat do outsourcingu?

Provozní úkoly — ano, konečnou odpovědnost — ne. Podle logiky EBA/GL/2022/05 zůstává právní a regulatorní odpovědnost na povinné osobě bez ohledu na to, zda jednotlivé funkce vykonává vlastní tým, nebo dodavatel.

Co se stane, když FAÚ nebude oznámena kontaktní osoba?

Pro české povinné osoby zákon č. 253/2008 Sb. od roku 2024 přímo požaduje oznámit FAÚ kontaktní osobu prostřednictvím datové schránky do 30 dnů ode dne, kdy se společnost stala povinnou osobou, a oznamovat změny do 15 dnů; jde o samostatnou, na existenci interní AML politiky nezávislou povinnost.

Jak často je třeba aktualizovat hodnocení rizik?

Regulatorní texty neuvádějí jednotný kalendářní interval — hodnocení rizik musí zůstat aktuální vzhledem ke skutečnému profilu firmy, tedy být přehodnocováno při podstatných změnách (nové produkty, trhy, objemy operací) a periodicky v rámci interního nebo externího auditu, a ne zůstávat statickým dokumentem z data spuštění.