1. Jedna płatność, cztery reżimy oceny: kredyt, oszustwo, pranie pieniędzy i sankcje
Klasyfikacja przelewu według kraju nadawcy i odbiorcy nie oddaje rzeczywistego rozkładu ryzyka. Znaczenie mają waluta i schemat płatniczy, pośredniczący dostawcy usług płatniczych, państwo prowadzenia rachunku odbiorcy, czas realizacji i możliwość jej zatrzymania, udział instytucji z państw trzecich oraz profil klienta. Moduł porządkuje cztery reżimy oceny stosowane przy tej samej płatności i pokazuje, że każdy z nich ma odrębną podstawę prawną, odrębny próg reakcji i innego adresata decyzji.
Ryzyko kredytowe nie jest cechą przelewu wykonywanego ze środków własnych klienta; pojawia się wtedy, gdy płatność obciąża ekspozycję banku, na przykład limit w rachunku lub linię kredytową, i ocenia się je w procesie kredytowym. Ryzyko oszustwa ocenia się w mechanizmach monitorowania transakcji nieautoryzowanych i oszukańczych. Ryzyko prania pieniędzy i finansowania terroryzmu ocenia się na gruncie ustawy AML: art. 74 dotyczy zawiadomienia Generalnego Inspektora Informacji Finansowej o okolicznościach, które mogą wskazywać na podejrzenie tych przestępstw, a art. 86 transakcji, którą instytucja zamierza przeprowadzić, wraz z mechanizmem jej wstrzymania. Ryzyko naruszenia sankcji ocenia się na gruncie unijnych rozporządzeń wydanych na podstawie art. 215 TFUE oraz przepisów krajowych, przy czym szczególne środki ograniczające reguluje rozdział 10 ustawy AML.
Osią modułu są zależności między tymi reżimami. Środki uzyskane z oszustwa są korzyścią z przestępstwa, dlatego sygnał fraudowy przy przelewie na rachunek słupa jest zarazem okolicznością wymagającą oceny pod kątem prania pieniędzy. Weryfikacja sankcyjna nie działa obok systemu przeciwdziałania praniu pieniędzy, lecz w nim: AMLR wymaga od instytucji polityk i procedur ograniczających ryzyko prania pieniędzy, finansowania terroryzmu i obchodzenia sankcji finansowych. Uczestnicy przeprowadzają jedną płatność przez cztery oceny i ustalają, która z nich uruchamia obowiązek ustawowy, która uzasadnia jedynie dodatkową weryfikację, kto w banku podejmuje decyzję i jak dokumentuje jej podstawę.
2. 2027 w Polsce: obowiązki z rozporządzenia o przelewach natychmiastowych w euro i ich skutki dla kontroli
Rozporządzenie (UE) 2024/886 zmieniło rozporządzenie (UE) nr 260/2012, które reguluje polecenia przelewu i polecenia zapłaty denominowane w euro. Obowiązki dotyczą więc przelewów w euro, a nie całego polskiego rynku płatności. Art. 5a ust. 1 nakazuje dostawcy, który oferuje wysyłanie i odbieranie poleceń przelewu, oferować wszystkim użytkownikom również przelewy natychmiastowe, dostępne przez całą dobę w każdym dniu kalendarzowym. Zgodnie z art. 5a ust. 8 dostawcy z państw spoza strefy euro muszą odbierać natychmiastowe przelewy w euro od 9 stycznia 2027 r. i wysyłać je od 9 lipca 2027 r., a działające w tych państwach instytucje płatnicze i instytucje pieniądza elektronicznego odpowiednio od 9 kwietnia i 9 lipca 2027 r. Art. 5b ust. 1 stanowi, że opłaty za przelew natychmiastowy nie mogą być wyższe niż za zwykły przelew odpowiedniego rodzaju; dostawców spoza strefy euro zasada ta wiąże od 9 stycznia 2027 r.
Moduł omawia rozwiązania przejściowe istotne dla polskich banków. Do 9 czerwca 2028 r. dostawca z państwa spoza strefy euro nie musi oferować wysyłania natychmiastowych przelewów w euro z rachunków prowadzonych w walucie krajowej w czasie, gdy dla tych rachunków nie wysyła ani nie odbiera zwykłych przelewów w euro. Art. 5a ust. 2 pozwala ponadto takiemu dostawcy, po uzyskaniu zgody organu właściwego opartej na ocenie dostępu do płynności w euro, ograniczyć wysyłanie natychmiastowych przelewów w euro z rachunków w walucie krajowej limitem na transakcję, nie niższym niż 25 000 EUR; zgoda jest udzielana na rok i może być przedłużana. Z punktu widzenia kontroli najważniejsze są dwa parametry: art. 5a ust. 4 lit. c wymaga udostępnienia środków na rachunku odbiorcy w ciągu 10 sekund od otrzymania zlecenia przez dostawcę płatnika, a art. 5a ust. 6 nakazuje umożliwić użytkownikowi ustalenie dziennego albo transakcyjnego limitu przelewów natychmiastowych.
Na tym tle uczestnicy analizują skutki modelu działającego przez całą dobę dla procesów AML i antyfraudowych: które kontrole muszą zadziałać przed obciążeniem rachunku, jak projektować reguły i limity, które decyzje mogą być w pełni automatyczne, a których nie wolno pozostawić wyłącznie algorytmowi, oraz jak dokumentować decyzje zapadające poza godzinami pracy komórek analitycznych. Perspektywa operacyjna, AML i antyfraudowa zostaje połączona w jednym procesie.
3. Weryfikacja odbiorcy (Verification of Payee): ostrzeżenie o braku zgodności może zatrzymać oszustwo, ale nie przenosi całej odpowiedzialności
Art. 5c rozporządzenia (UE) nr 260/2012 zobowiązuje dostawcę płatnika do zapewnienia usługi weryfikacji odbiorcy przed umożliwieniem autoryzacji przelewu, niezależnie od kanału złożenia zlecenia. Gdy numer rachunku i nazwa odbiorcy nie są zgodne, dostawca informuje o tym płatnika i ostrzega, że autoryzacja może skutkować przekazaniem środków na rachunek, którego posiadaczem nie jest wskazany odbiorca; gdy dane są niemal zgodne, podaje nazwę odbiorcy przypisaną do rachunku. Wobec osób prawnych przepis przewiduje weryfikację na podstawie innych identyfikatorów, na przykład numeru podatkowego lub identyfikatora LEI, a przy rachunkach prowadzonych na rzecz wielu odbiorców potwierdzenie, czy wskazany odbiorca jest wśród nich. Dostawców spoza strefy euro obowiązek wiąże od 9 lipca 2027 r., a usługa jest dla użytkownika bezpłatna (art. 5b ust. 2).
Moduł rozdziela warstwę regulacyjną i schematową. Kategorie odpowiedzi stosowane w praktyce, czyli zgodność (match), zgodność bliska (close match), brak zgodności (no match) i odpowiedź inna (other), pochodzą ze schematu weryfikacji odbiorcy opracowanego przez Europejską Radę ds. Płatności, a nie z rozporządzenia. Rozporządzenie określa natomiast skutki prawne: art. 5c ust. 5 zastrzega, że weryfikacja nie może uniemożliwić autoryzacji przelewu, art. 5c ust. 7 wymaga poinformowania użytkownika o konsekwencjach zignorowania ostrzeżenia dla odpowiedzialności dostawcy i prawa do zwrotu, a art. 5c ust. 8 zwalnia dostawcę, który wykonał obowiązki, z odpowiedzialności za przelew na rzecz niezamierzonego odbiorcy dokonany na podstawie nieprawidłowego unikatowego identyfikatora. Uczestnicy analizują problemy z nazwami handlowymi, rachunkami wspólnymi, pośrednikami płatniczymi i przelewami masowymi, w tym prawo użytkowników niebędących konsumentami do rezygnacji z weryfikacji przy zleceniach zbiorczych (art. 5c ust. 6).
Druga część modułu łączy weryfikację odbiorcy z oszustwami polegającymi na nakłonieniu klienta do przelewu, rachunkami słupów i podszywaniem się pod kontrahentów. Perspektywę rozszerza pakiet PSD3 i PSR: według porozumienia politycznego z 27 listopada 2025 r. rozporządzenie PSR ma objąć weryfikacją nazwy i identyfikatora także przelewy nieobjęte reżimem natychmiastowym, a brak ostrzeżenia o rozbieżności ma przenosić na dostawcę płatnika odpowiedzialność za środki przekazane niewłaściwemu odbiorcy.
4. Oszustwa 2026: AI, centra oszustw, BEC i sieci słupów. Dlaczego transakcja „wygląda normalnie”
INTERPOL w Global Financial Fraud Threat Assessment z 16 marca 2026 r. szacuje straty z oszustw finansowych w 2025 r. na ponad 442 mld USD, ocenia globalne ryzyko jako wysokie i opisuje industrializację oszustw wspieraną przez AI, w tym systemy agentowe zdolne samodzielnie zaplanować i przeprowadzić całą kampanię. Wskaźnik, według którego oszustwa wspierane AI są 4,5 razy bardziej dochodowe od tradycyjnych, INTERPOL zaczerpnął z analizy Chainalysis dotyczącej oszustw kryptowalutowych; moduł wykorzystuje go z tym zastrzeżeniem i nie przenosi go wprost na oszustwa przelewowe.
Skalę działań organów ścigania ilustruje operacja First Light 2026, prowadzona od 15 stycznia do 30 kwietnia 2026 r. w 97 państwach i terytoriach. Jej wyniki, ogłoszone 9 lipca 2026 r., objęły 5811 zatrzymań, przechwycenie aktywów o wartości 293 mln USD, zablokowanie 31 014 rachunków bankowych i identyfikację ponad 142 000 pokrzywdzonych; do szybkiego zamrażania środków wykorzystano mechanizm INTERPOL I-GRIP.
Szkolenie przekłada te trendy na transakcje: fałszywy prezes lub kontrahent, deepfake głosu i obrazu, oszustwa na uczucia i inwestycyjne, rachunki słupów, szybkie rozproszenie środków, wypłaty gotówkowe, transfer do kryptoaktywów i wielokrotne przekazy transgraniczne. Uczestnik uczy się rozpoznawać schemat, którego pojedynczy przelew nie ujawnia, i odróżniać sygnał oszustwa od sygnału prania pieniędzy tam, gdzie oba występują równocześnie.
5. Sankcje przy przelewach natychmiastowych: dzienna weryfikacja użytkowników i granice wyłączenia kontroli transakcyjnej
Art. 5d rozporządzenia (UE) nr 260/2012 nakazuje dostawcom oferującym przelewy natychmiastowe sprawdzać, czy ich użytkownicy są osobami lub podmiotami objętymi ukierunkowanymi środkami ograniczającymi. Weryfikację przeprowadza się niezwłocznie po wejściu w życie nowych środków lub ich zmian oraz co najmniej raz dziennie. W trakcie realizacji przelewu natychmiastowego dostawca płatnika i dostawca odbiorcy nie weryfikują dodatkowo płatnika ani odbiorcy pod tym kątem. Obowiązek stosuje się od 9 stycznia 2025 r. (art. 5d ust. 3), bez odrębnego terminu dla państw spoza strefy euro, dlatego wiąże każdego dostawcę, który już oferuje natychmiastowe przelewy w euro.
Moduł rozdziela trzy zakresy, które w praktyce się mieszają. Pierwszy to ukierunkowane środki w rozumieniu art. 2 pkt 1e rozporządzenia, czyli zamrożenie aktywów oraz zakaz bezpośredniego lub pośredniego udostępniania środków lub zasobów gospodarczych na podstawie aktów przyjętych w trybie art. 215 TFUE; tu obowiązuje model weryfikacji bazy klientów. Drugi to pozostałe środki przyjęte na podstawie art. 215 TFUE oraz środki przyjęte poza tym trybem, w tym krajowe. Trzeci to obowiązki wynikające z unijnych przepisów o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu. Art. 5d ust. 2 akapit drugi zastrzega, że zakaz dodatkowej weryfikacji nie narusza działań podejmowanych w wykonaniu drugiego i trzeciego zakresu.
Druga część modułu dotyczy dowodu skuteczności kontroli: aktualizacji list w nocy i w dni wolne, dopasowań rozmytych i wyników fałszywie pozytywnych, blokady po trafieniu oraz corocznego raportowania organowi właściwemu udziału transakcji odrzuconych z powodu ukierunkowanych środków, którego wymaga art. 15 ust. 3. Omawiamy także skalę ryzyka: art. 11 ust. 1b nakazuje, aby za naruszenie art. 5d maksymalna kara administracyjna dla osoby prawnej wynosiła co najmniej 10 proc. całkowitego rocznego obrotu netto.
6. PSD3 i PSR: kto poniesie koszt oszustwa i jakie kontrole staną się standardem
Pakiet PSD3 i PSR znajduje się w końcowej fazie procesu legislacyjnego. Parlament Europejski i Rada osiągnęły porozumienie polityczne 27 listopada 2025 r., ostateczne teksty kompromisowe opublikowano 23 kwietnia 2026 r., a komisja ECON zatwierdziła uzgodniony tekst 5 maja 2026 r. Akty wymagają jeszcze formalnego przyjęcia i publikacji w Dzienniku Urzędowym UE, a nowe przepisy mają co do zasady obowiązywać 21 miesięcy po publikacji. Podział na dwa instrumenty ma znaczenie praktyczne: PSD3 jako dyrektywa reguluje przede wszystkim zezwolenia i nadzór nad instytucjami płatniczymi, a PSR jako bezpośrednio stosowane rozporządzenie obejmuje zasady świadczenia usług, w tym autoryzację i wykonywanie transakcji płatniczych.
Moduł omawia mechanizmy przewidziane w porozumieniu. Oszustwo polegające na podszyciu się pod pracownika dostawcy, które doprowadziło klienta do zatwierdzenia płatności, ma skutkować obowiązkiem zwrotu pełnej kwoty, jeżeli klient zgłosi oszustwo policji i poinformuje dostawcę. Platformy internetowe mają odpowiadać wobec dostawców, którzy zwrócili środki klientom, jeżeli po otrzymaniu informacji o oszukańczych treściach nie usunęły ich. Reklamodawcy usług finansowych mają wykazywać bardzo dużym platformom internetowym i wyszukiwarkom, że są uprawnieni do oferowania tych usług, a użytkownicy usług płatniczych mają mieć dostęp do obsługi przez człowieka, a nie wyłącznie przez chatbota. Katalog dopełnia rozszerzona weryfikacja nazwy odbiorcy, omówiona w module 3.
Moduł kończy się analizą kilku płatności od początku do końca: zwykłego przelewu zagranicznego, przelewu natychmiastowego, oszustwa na podszycie się pod kontrahenta, fałszywie pozytywnego trafienia sankcyjnego i przelewu na rachunek słupa. Dla każdej z nich uczestnicy przypisują zadania komórkom płatności, przeciwdziałania oszustwom, AML, sankcji i reklamacji oraz wskazują, które elementy odpowiedzialności dostawcy wynikają już z obowiązujących przepisów, a które pojawią się dopiero po wejściu w życie PSR.