KYC / AML – povinnosti firem 2026 (zákon 253/2008 Sb.)

Zákon č. 253/2008 Sb. o některých opatřeních proti legalizaci výnosů z trestné činnosti a financování terorismu (známý zkráceně jako „AML zákon“) je páteří celého systému boje proti praní špinavých peněz v Česku. Nevztahuje se na všechny firmy — zaměřuje se na tzv. povinné osoby, tedy ty profese a podnikatele, přes které nejčastěji protékají velké částky a které tak nejlépe vidí podezřelé transakce.

Pro rok 2026 je situace ostřejší než kdy dřív. Evropská unie přijala 6. AML směrnici (AMLD6) a nově také nařízení o AML autoritě (AMLA, anglicky Anti-Money Laundering Authority), která má sídlo ve Frankfurtu a od roku 2025 začala koordinovat dohled v celé EU. Česko v roce 2024 přijalo rozsáhlou novelu AML zákona, která zavedla nové povinnosti pro poskytovatele služeb v oblasti kryptoaktiv (CASP), zpřísnila identifikaci skutečných majitelů a zvýšila pokuty.

Zákon č. 253/2008 Sb. — základ AML v Česku

AML zákon vznikl v roce 2008 jako transpozice 3. AML směrnice EU a od té doby prošel mnoha novelami. Aktuálně reflektuje 5. směrnici (2018/843) a část 6. směrnice (2024/1640) — finální transpozice AMLD6 měla deadline 10. 7. 2027, Česko ji ale řeší po etapách. Hlavní pojmy, které musíte znát:

• Legalizace výnosů z trestné činnosti — jakékoliv jednání, jehož cílem je zakrýt nezákonný původ peněz.
• Financování terorismu — poskytování peněz nebo majetku osobám či organizacím za účelem teroristických činů.
• Povinná osoba — subjekt, který má ze zákona povinnost provádět KYC a hlásit podezřelé transakce.
• Klient — osoba, se kterou povinná osoba navazuje obchodní vztah nebo pro niž provádí jednotlivý obchod.
• Skutečný majitel (UBO) — fyzická osoba, která v posledním důsledku vlastní nebo ovládá klienta-právnickou osobu.
• Politicky exponovaná osoba (PEP) — osoba ve významné veřejné funkci, u které je zvýšené riziko korupce.

Dohled vykonává Finanční analytický úřad (FAÚ) spadající pod Ministerstvo financí. FAÚ přijímá hlášení podezřelých transakcí, provádí kontroly povinných osob, ukládá sankce a spolupracuje s policií, finanční správou a zahraničními FIU (Financial Intelligence Units). Web FAÚ: financnianalytickyurad.gov.cz.

Kdo je povinná osoba — kompletní výčet

AML zákon v § 2 definuje povinné osoby poměrně široce. Setkáte se s nimi všude, kde tečou velké peníze nebo kde se vede formální evidence vlastnictví. Tady je nejdůležitější přehled:

Finanční instituce

• Banky a spořitelní družstva — Česká spořitelna, ČSOB, Komerční banka, Raiffeisenbank, Air Bank a další.
• Pojišťovny nabízející životní pojištění s investiční složkou.
• Investiční společnosti, obchodníci s cennými papíry, investiční fondy, penzijní společnosti.
• Platební instituce a poskytovatelé platebních služeb malého rozsahu (např. PayPal CZ, Revolut, Wise).
• Směnárny a osoby provádějící obchody s devizami.
• Poskytovatelé služeb v oblasti kryptoaktiv (CASP) — burzy, custodial wallety, OTC dealeři. Novinka od roku 2024 v souladu s nařízením MiCA.

Profesní povinné osoby (DNFBP)

Tzv. DNFBP (Designated Non-Financial Businesses and Professions) jsou neformální zkratka pro nefinanční profese, které mají AML povinnosti:

• Advokáti, notáři, exekutoři, daňoví poradci — pokud poskytují právní nebo poradenské služby týkající se dispozice s majetkem klienta (převody nemovitostí, založení společností, správa peněz a aktiv klienta).
• Auditoři, účetní, daňoví poradci — vždy.
• Realitní zprostředkovatelé — všechny realitky, a to nejen u prodeje, ale i u pronájmu nad určitou částku.
• Hazardní hry a kasina — provozovatelé loterií, online casino, kamenných casin, sázkových kanceláří (Sazka, Tipsport, Fortuna).
• Obchodníci s uměním, starožitnostmi a šperky— při transakci nad 10 000 EUR (cca 250 tis. Kč).
• Obchodníci s drahými kovy a kameny — zlatnictví, stříbrnictví.
• Dealeři luxusního zboží — auta, jachty, letadla, hodinky — při hotovostní transakci nad 10 000 EUR.
• Poskytovatelé služeb pro svěřenské fondy a společnosti (TCSP) — zakládání společností pro klienty, fungování jako „nominee director", správa svěřenských fondů.

Tři stupně KYC — zjednodušená, standardní, zesílená

AML zákon (§ 9–9b) zavádí risk-based approach — povinná osoba musí identifikovat riziko každého klienta a podle toho zvolit intenzitu prověřování. Existují tři úrovně:

Zjednodušená identifikace

Pro klienty s nízkým rizikem. Lze ji aplikovat např. u:

• Veřejnoprávních institucí (stát, kraje, města, příspěvkové organizace).
• Společností kotovaných na regulovaném trhu (např. Burza cenných papírů Praha).
• Klientů, jejichž identita je již ověřena jinou důvěryhodnou povinnou osobou v EU.
• Malých životních pojistek s ročním pojistným pod 1 000 EUR.

Zjednodušená identifikace neznamená „žádná“. Pořád musíte ověřit existenci klienta, ale stačí např. výpis z obchodního rejstříku bez fyzické kontroly dokladů.

Standardní identifikace

Výchozí úroveň pro většinu klientů. Zahrnuje:

• Identifikaci totožnosti — u fyzické osoby jméno, příjmení, rodné číslo (nebo datum narození), trvalý pobyt, státní občanství, druh a číslo dokladu totožnosti.
• Ověření identifikace z platného dokladu totožnosti — občanský průkaz, cestovní pas. Fyzicky nebo přes ověřenou bankovní identitu, BankID, e-občanku.
• U právnické osoby — IČO, sídlo, předmět činnosti, výpis z obchodního rejstříku, identifikace statutárního orgánu, identifikace skutečného majitele (UBO).
• Účel obchodního vztahu — proč klient otvírá účet, jakou transakci plánuje, jaké jsou jeho zdroje příjmu.
• Průběžné sledování obchodního vztahu — kontrola, zda transakce odpovídají profilu klienta.

Zesílená identifikace (Enhanced Due Diligence — EDD)

Pro klienty s vysokým rizikem. Aplikuje se povinně u:

• Politicky exponovaných osob (PEP) a jejich rodinných příslušníků a blízkých spolupracovníků.
• Klientů z rizikových třetích zemí dle aktuálního seznamu EU (Írán, KLDR, Sýrie a další).
• Korespondenčních bankovních vztahů s mimoevropskými bankami.
• Komplexních a neobvyklých transakcí bez zjevného ekonomického účelu.
• Klientů, u kterých nelze identifikaci dokončit standardně (např. zákazník na dálku bez možnosti BankID).

EDD znamená: detailnější dotazník, doložení původu majetku (důchod, dědictví, prodej firmy, mzda), schválení obchodního vztahu vyšším managementem, intenzivnější monitoring transakcí a kratší cyklus přezkumů (typicky 1× ročně místo 3 let).

Skutečný majitel (UBO) — kdo to je a jak ho zjistit

Ultimate Beneficial Owner (UBO), česky skutečný majitel, je fyzická osoba, která v posledním důsledkuvlastní nebo ovládá právnickou osobu. Definuje ji zákon č. 37/2021 Sb. o evidenci skutečných majitelů. Typicky platí:

• Více než 25 % podílu na základním kapitálu nebo na hlasovacích právech.
• Přímá nebo nepřímá kontrola přes řetězec společností.
• Faktická kontrola — i bez formálního vlastnictví, pokud osoba „de facto“ řídí společnost (např. tichý společník s rozhodovacími pravomocemi).

Pokud nelze identifikovat osobu s 25 % podílem, považuje se za UBO statutární orgán (např. jednatel s.r.o., členové představenstva a.s.). Toto je tzv. fallback UBO a používá se hlavně u rozptýleného akcionářství.

Evidence skutečných majitelů (ESM)

V Česku existuje veřejný registr skutečných majitelů na adrese esm.justice.cz. Každá právnická osoba má povinnost mít svého UBO zapsaného. Sankce za nezápis: pokuta až 500 000 Kč, pozastavení hlasovacích práv vlastníka, zákaz výplaty dividend.

Pro povinnou osobu (banku, advokáta, realitku) je ESM první zdroj informací o UBO klienta. Pokud ale narazíte na rozpor mezi ESM a tím, co tvrdí klient sám, máte ohlašovací povinnost vůči správci ESM.

PEPs — politicky exponované osoby

Politicky exponovaná osoba (PEP)je v AML zákoně (§ 4 odst. 5) definována jako fyzická osoba, která je nebo byla v posledních 12 měsících ve významné veřejné funkci. Patří sem zejména:

• Hlavy států a vlád, prezident, ministři, náměstci ministrů.
• Poslanci a senátoři, zastupitelé krajů a velkých měst.
• Soudci nejvyšších soudů, Ústavního soudu, Nejvyššího kontrolního úřadu, generální prokurátor.
• Vysocí důstojníci armády a policie nad určitou hodnost.
• Členové statutárních orgánů státem ovládaných podniků (ČEZ, Česká pošta, ČT, ČRo, Letiště Praha).
• Velvyslanci, konzulové, vedení mezinárodních organizací.

Mimo „úzký“ okruh PEPs jsou regulovaní také jejich rodinní příslušníci (manžel/ka, partner/ka, děti, rodiče) a blízcí spolupracovníci (společníci v podnikání, faktičtí majitelé společností v jejich prospěch).

U PEP je vždy nutná zesílená identifikace, schválení obchodního vztahu vyšším managementem (typicky compliance officer + člen statutárního orgánu) a důkladnější monitoring. V praxi banky používají PEP databáze (např. Dow Jones, World-Check, LexisNexis) s milióny záznamů.

Monitorování transakcí

Identifikace klienta při založení vztahu je jen začátek. Povinná osoba musí průběžně sledovattransakce klienta a porovnávat je s jeho profilem. Banka, která vám otevře běžný účet jako OSVČ s plánovaným ročním obratem 1 mil. Kč, bude velmi pozorná, pokud na účet najednou přijde 5 mil. Kč ze zahraničí.

Konkrétní indikátory podezřelosti („red flags“) podle FAÚ:

• Velké hotovostní transakce— vklady a výběry nad 100 000 Kč, zejména opakované.
• Smurfing / structuring— rozdělení větší transakce na menší pod 10 000 EUR, aby se vyhnula ohlašovací povinnosti.
• Rychlý průchod peněz— peníze přijdou a do 24 h odejdou jinam, bez ekonomické logiky.
• Transakce s rizikovými jurisdikcemi — daňové ráje, země pod sankcemi EU/OFAC.
• Klient odmítá poskytnout informace o původu peněz nebo účelu transakce.
• Náhlá změna chování — klient s historií malých plateb najednou provádí mezinárodní transfery do offshore.

Hlášení podezřelé transakce FAÚ

Jakmile povinná osoba identifikuje podezřelý obchod (suspicious transaction), má povinnost ho ohlásit FAÚ. Lhůta:

• Neprodleně, pokud hrozí, že prostředky z obchodu uniknou.
• Nejpozději do 5 kalendářních dnů od zjištění podezřelého obchodu v ostatních případech.

Hlášení (tzv. STR — Suspicious Transaction Report) se podává elektronicky přes systém FAÚ (Moneyval / SPIRIT). Obsahuje:

• Identifikační údaje povinné osoby.
• Identifikační údaje klienta a všech osob v transakci.
• Popis podezřelé transakce — částka, měna, datum, účel.
• Důvody podezření.
• Případně zajištěné dokumenty.

Odložení transakce

Pokud FAÚ na základě STR rozhodne, že je transakce skutečně podezřelá, může vydat příkaz k odložení transakce až na 72 hodin (s prodloužením soudem až na 30 dní). Během této doby peníze leží na účtu „zmrazené“ a klient s nimi nemůže disponovat. FAÚ pak rozhoduje, zda věc předá policii.

Archivace dokumentace — 10 let

AML zákon (§ 16) ukládá povinné osobě archivovat veškerou dokumentaci spojenou s KYC a transakcemi po dobu 10 let od ukončení obchodního vztahu nebo od provedení jednorázového obchodu. Archivuje se:

• Kopie dokladů totožnosti, výpisy z obchodního rejstříku, identifikace UBO.
• KYC dotazník, dokumentace zdroje příjmů a majetku.
• Záznamy o všech transakcích včetně podkladů (faktury, smlouvy, převodní příkazy).
• Hlášení podaná FAÚ a interní záznamy o jejich přípravě.
• Záznamy o průběžném monitoringu a školení zaměstnanců.

Po uplynutí 10 let musí být údaje smazány v souladu s GDPR. Pozor: pokud v té době probíhá řízení s FAÚ, policií nebo soudem, lhůta se prodlužuje.

Sankce a pokuty

Sankční režim AML zákona je drakonický a od roku 2024 se opět zpřísnil. FAÚ (a v případě bank ČNB) může uložit:

Pro finanční instituce a velké firmy

Pro DNFBP (advokáti, účetní, realitky)

U nefinančních povinných osob jsou pokuty nižší, ale stále bolestivé: od 10 000 Kč do 5 mil. Kč za jednotlivé porušení, případně až 10 mil. Kč při opakovaném porušení. U advokátů navíc kárná žaloba u ČAK a možnost vyškrtnutí ze seznamu advokátů.

Realitky, které neprovedou KYC u prodeje nemovitosti, mohou kromě pokuty čelit i občanskoprávní odpovědnosti, pokud se ukáže, že koupě byla z výnosů trestné činnosti.

Travel Rule pro kryptoaktiva

V říjnu 2023 vstoupilo v platnost evropské nařízení Transfer of Funds Regulation (TFR), které od prosince 2024 plně dopadá i na kryptoaktiva. Jde o tzv. Travel Rule — pravidlo, že údaje o odesilateli a příjemci musí „cestovat“ spolu s transakcí napříč povinnými osobami.

Konkrétně to znamená: kryptoburza (např. Coinbase, Kraken, Coinmate.io) musí u převodu kryptoaktiv nad 1 000 EUR (v některých jurisdikcích nad 0 EUR) předat protistraně identifikační údaje odesilatele i příjemce: jméno, adresu, číslo účtu / wallet adresu, rodné číslo nebo IČO.

Pro převody na self-hosted wallety(Ledger, Trezor, Metamask bez KYC) platí dodatečné povinnosti — povinná osoba musí ověřit, že wallet patří klientovi (Satoshi test, proof of ownership) a u převodů nad 1 000 EUR provést risk assessment.

Vzor KYC dotazníku pro klienta

Konkrétní podoba KYC formuláře záleží na typu povinné osoby a typu klienta (FO vs. PO). Toto je standardní šablona pro advokátní kancelář nebo účetní firmu při založení obchodního vztahu s právnickou osobou:

"KYC DOTAZNÍK PRO KLIENTA – PRÁVNICKÁ OSOBA podle zákona č. 253/2008 Sb. Datum vyplnění: ____________________ Povinná osoba (poskytovatel služby): ____________________ Compliance officer odpovědný za KYC: ____________________ ČÁST A – IDENTIFIKACE KLIENTA 1. Obchodní firma: ____________________ 2. IČO: __________ DIČ: __________ 3. Sídlo: ____________________ 4. Datum vzniku: __________ 5. Předmět činnosti dle obchodního rejstříku: ____________________ ČÁST B – STATUTÁRNÍ ORGÁN 1. Statutární orgán (jednatelé, představenstvo): Jméno: ____________________ Rodné číslo / datum narození: __________ Trvalý pobyt: ____________________ Doklad totožnosti: druh, číslo, platnost 2. Způsob jednání (samostatně / společně): ____________________ ČÁST C – SKUTEČNÝ MAJITEL (UBO) 1. Jméno UBO: ____________________ 2. Datum narození: __________ 3. Trvalý pobyt: ____________________ 4. Druh ovládání: [ ] vlastnický podíl > 25 % [ ] hlasovací práva > 25 % [ ] faktická kontrola [ ] fallback (statutární orgán) 5. Doklad totožnosti UBO (přiložit kopii): druh: __________ číslo: __________ 6. Soulad s evidencí ESM: [ ] ano [ ] ne (Pokud ne, vysvětlit a ohlásit): ČÁST D – PEP STATUS 1. Je klient, UBO nebo člen statutárního orgánu PEP? [ ] ne [ ] ano – upřesnit funkci a období: ____________________ 2. Je rodinný příslušník nebo blízký spolupracovník PEP? [ ] ne [ ] ano – upřesnit: ____________________ ČÁST E – ÚČEL OBCHODNÍHO VZTAHU 1. Plánovaný typ služby: ____________________ 2. Předpokládaná hodnota / objem: ____________________ 3. Zdroj prostředků klienta: [ ] tržby z podnikání [ ] úvěr/leasing [ ] vklady společníků [ ] jiný (popsat): ____________________ 4. Geografie obchodu (země): ____________________ ČÁST F – RIZIKOVÉ HODNOCENÍ 1. Riziková kategorie klienta: [ ] nízké [ ] střední [ ] vysoké 2. Důvody zařazení: ____________________ 3. Frekvence přezkumu: [ ] 3 roky [ ] 1 rok [ ] 6 měsíců ČÁST G – PODPISY Datum identifikace: __________ Identifikoval (jméno, funkce): ____________________ Podpis odpovědné osoby: ____________________ Klient prohlašuje, že uvedené údaje jsou pravdivé a zavazuje se neprodleně oznámit jejich změnu. Podpis statutárního orgánu klienta: ____________________"

Tato šablona se v každé firmě zákonitě liší — advokátní kancelář potřebuje sekci o střetu zájmů, banka rozsáhlou sekci o produktovém využití, realitka detail k nemovitosti. Pokud spravujete větší databázi klientů a chcete eliminovat opisování a chyby, nahrajte si vlastní KYC šablonu do Dokumentomatu a generujte ji s předvyplněnými údaji z obchodního rejstříku (ARES) a evidence skutečných majitelů.

Časté chyby v praxi

Po desítkách kontrol FAÚ a auditech ČNB se objevují vzorce — chyby, na kterých povinné osoby padají opakovaně:

• 1. „Známého klienta nemusím prověřovat“. Špatně. AML zákon neuznává osobní vztah jako důvod pro zjednodušení. I dlouholetý klient musí mít aktuální KYC dokumentaci (cca jednou za 3 roky pro standardní riziko).
• 2. Identifikace bez ověření. Jen sebrat občanku a opsat údaje nestačí. Musíte ověřit, že doklad je pravý a že osoba na fotce je ta, která sedí proti vám (fyzicky) nebo že použila BankID s odpovídajícím ověřením.
• 3. Ignorování UBO.Nestačí, že máte jednatele s.r.o. Musíte zjistit, kdo skutečně vlastní více než 25 % — i kdyby to byla osoba v dalším řetězci společností v Lucembursku nebo na Britských Panenských ostrovech.
• 4. PEP screening jen v ČR. Mnoho firem kontroluje jen české PEP. Skutečné PEP databáze pokrývají celý svět — slovenský poslanec je také PEP, ukrajinský ministr také.
• 5. „Hlavně neudělat hlášení FAÚ“. Mýtus, že hlášení = problém pro klienta a pro vás. Pravda je opačná: hlášení vás chrání (povinnost splněna), nehlášení vás vystavuje pokutě i trestnímu stíhání pro účast na legalizaci.
• 6. Skartace po pár letech. 10 let archivace je nepodkročitelné minimum. Pokud jste skartovali po 7 letech a FAÚ se v 9. roce zeptá, nemáte žádnou obhajobu.
• 7. Žádné školení zaměstnanců.AML zákon (§ 23) ukládá pravidelné školení všech zaměstnanců, kteří přicházejí do styku s klienty. Minimálně 1× ročně, dokumentovaně.
• 8. Šablonové „risk assessment“. FAÚ při kontrole vidí, když máte všechny klienty zařazené jako „nízké riziko“ bez reálné analýzy. Klasifikace musí vycházet z konkrétních faktorů (sektor, geografie, struktura, transakční historie).

Interní AML systém — co musí firma mít

AML zákon (§ 21) vyžaduje, aby každá povinná osoba měla vypracovaný a aktualizovaný systém vnitřních zásad (SVZ). Konkrétně:

• Risk assessment — písemné hodnocení rizik firmy jako celku (produktová, geografická, klientská rizika).
• Pravidla identifikace a kontroly klienta — postupy pro tři stupně KYC.
• Pravidla pro hlášení podezřelých transakcí — kdo rozhoduje, jak se eskaluje, jak se archivuje.
• Pravidla pro PEP screening — jaký nástroj se používá, frekvence updatů.
• Plán školení zaměstnanců — frekvence, obsah, evidence účasti.
• Jmenování AML compliance officer — u větších firem (banky, pojišťovny) povinné, u menších alespoň jmenování odpovědné osoby (často kombinace GDPR + AML).
• Pravidla pro archivaci — kde, jak dlouho, v jaké podobě, jak se zajišťuje neměnitelnost.
• Whistleblowing kanál — interní možnost anonymně nahlásit porušení AML pravidel.

Co očekávat při kontrole FAÚ

FAÚ provádí v ČR ročně stovky kontrol povinných osob. Kontrola se obvykle ohlásí 14 dní předem (u podezření na vážné porušení může být neohlášená). Inspektor přijde k vám nebo si vyžádá dokumenty elektronicky a žádá:

• Předložení systému vnitřních zásad (SVZ).
• Vzorek klientských složek (typicky 10–30 klientů).
• Důkaz o školení zaměstnanců (prezenční listina, e-learning certifikáty).
• Záznamy o STR podaných FAÚ za poslední 3 roky.
• Risk assessment a jeho dokumentaci.
• Důkaz o spolupráci s PEP databází, sankčními seznamy (OFAC, EU).

Délka kontroly: typicky 2–6 týdnů. Výstupem je protokol s nálezy. Pokud jsou nálezy závažné, FAÚ zahájí správní řízení o pokutě a uloží nápravná opatření. Pokud jsou nálezy mírné, vystaví se výzva k odstranění nedostatků v určité lhůtě.

Shrnutí: AML compliance v roce 2026

AML compliance přestala být formalitou. V roce 2026 se setkávají tři tlaky: AMLD6 v EU, nová evropská autorita AMLA ve Frankfurtu a aktivní kontrolní praxe FAÚ v Česku. Pro povinné osoby to znamená:

• KYC není volitelné — banka, advokát, realitka, účetní, CASP nesmí navázat obchodní vztah bez identifikace.
• Risk-based approach vyžaduje reálné hodnocení rizik každého klienta — ne plošné „nízké riziko“.
• UBO a PEP screening jsou nepodkročitelné — podívat se do ESM nestačí, musíte zjistit i kontrolu přes řetězce.
• Hlášení FAÚ je vaše ochrana, ne útok na klienta. Nehlášení = trestný čin.
• Pokuty rostou. Pro velké firmy 130 mil. Kč, pro DNFBP miliony Kč, osobní odpovědnost statutárů.
• Dokumentace a standardizace KYC procesů ušetří hodiny — a u kontrol FAÚ ukáže, že firma má funkční systém.

Pro malou advokátní kancelář nebo realitku s 50 klienty ročně je manuální KYC zvládnutelné, ale neefektivní. Pro účetní firmu se 200 klienty, realitku se 30 transakcemi měsíčně nebo banku s tisíci klienty je standardizace povinných formulářů (identifikace, UBO prohlášení, PEP screening, souhlas se zpracováním) klíčová. Vyzkoušej Dokumentomat zdarma — nahraj si vlastní KYC šablony, propojíme je s ARES a vy generujete kompletní dokumentaci na klika.