Hrvatski obveznici i tijekom 2026. primjenjuju Zakon o sprječavanju pranja novca i financiranja terorizma s važećim izmjenama. Novi europski AMLR nije zamjena koja se već općenito primjenjuje: Uredba (EU) 2024/1624 u najvećem se dijelu počinje primjenjivati 10. srpnja 2027., a posebne odredbe za profesionalne nogometne klubove i agente od 10. srpnja 2029.
Ovaj vodič prikazuje stanje na 8. kolovoza 2026. Dobar AML sustav ne svodi se na presliku osobne iskaznice. On povezuje procjenu rizika, identitet, stvarnog vlasnika, svrhu odnosa, praćenje transakcija, prijavu sumnje, ovlasti odgovorne osobe i provjerljiv trag odluke.
Tko je obveznik u Hrvatskoj
Članak 9. Zakona navodi obveznike. Popis uključuje širok raspon djelatnosti, među ostalim:
- kreditne institucije i kreditne unije;
- pružatelje platnih usluga i izdavatelje elektroničkog novca;
- investicijska društva, društva za upravljanje fondovima i određene mirovinske subjekte;
- osiguratelje i posrednike za proizvode životnog osiguranja;
- leasing, factoring i određene kreditne posrednike;
- revizore, računovođe i porezne savjetnike;
- odvjetnike, javne bilježnike i druge pravne profesionalce kada sudjeluju u propisanim poslovima;
- pružatelje usluga povezanih s trustovima i trgovačkim društvima;
- posrednike u prometu nekretnina u propisanim okolnostima;
- priređivače igara na sreću;
- pružatelje usluga povezanih s virtualnim valutama; te
- trgovce određenom robom i umjetninama kada su ispunjeni zakonski uvjeti.
Pripadnost profesiji nije uvijek dovoljna niti je registrirana šifra djelatnosti jedini test. Treba analizirati stvarne usluge, način plaćanja, ulogu u transakciji i zakonske pragove. Zaključak o opsegu dokumentira se po pravnoj osobi.
Procjena rizika je nacrt cijelog programa
Obveznik procjenjuje rizik pranja novca i financiranja terorizma uzimajući u obzir stranke, zemlje i geografska područja, proizvode, usluge, transakcije i kanale isporuke. Procjena treba odgovarati veličini, prirodi i složenosti poslovanja te koristiti nacionalne, nadzorne i vlastite podatke.
Korisna metodologija razdvaja:
- inherentni rizik prije kontrola;
- snagu kontrola i dokaz da rade;
- rezidualni rizik nakon kontrola; i
- odluku o prihvatu, ograničenju, pojačanom nadzoru ili odbijanju odnosa.
Skala “nizak, srednji, visok” bez kriterija i obrazloženja nije dovoljna. Model mora objasniti težine, izvore podataka, iznimke, ručne promjene i učestalost ponovne procjene.
Kada se provodi dubinska analiza stranke
Mjere dubinske analize provode se, među ostalim:
- pri uspostavljanju poslovnog odnosa;
- pri povremenoj transakciji od 10.000 eura ili više, bilo jednokratnoj ili kroz očito povezane transakcije;
- pri prijenosu novčanih sredstava iznad 1.000 eura u zakonom obuhvaćenim slučajevima;
- pri transakciji povezanoj s virtualnom imovinom od 1.000 eura ili više;
- pri uplati, isplati ili drugoj transakciji u igrama na sreću od 2.000 eura ili više;
- kada postoji sumnja na pranje novca ili financiranje terorizma, bez obzira na iznos; i
- kada postoji sumnja u vjerodostojnost ili primjerenost prethodno pribavljenih podataka.
Prag nije dopuštenje da se povezane transakcije razdvoje. Sustav treba prepoznavati vremensku, osobnu i ekonomsku povezanost.
KYC znači identitet, kontrolu i svrhu
Standardna dubinska analiza uključuje:
- utvrđivanje identiteta stranke i provjeru iz pouzdanog, neovisnog izvora;
- utvrđivanje i provjeru stvarnog vlasnika te razumijevanje vlasničke i kontrolne strukture;
- prikupljanje informacija o namjeni i predviđenoj prirodi odnosa; i
- stalno praćenje odnosa, uključujući transakcije i ažurnost dokumentacije.
Za pravnu osobu dosje treba povezati registar, zastupnike, ovlasti, vlasničke slojeve, kontrolna prava, stvarne vlasnike i očekivanu aktivnost. Podatak iz registra stvarnih vlasnika važan je izvor, ali obveznik mora riješiti proturječnosti i ne smije se osloniti na njega bez razumne provjere.
Stvarni vlasnik nije samo postotak
Vlasništvo veće od 25% može biti pokazatelj izravnog ili neizravnog vlasništva, ali nije univerzalna sigurna granica. Kontrola može nastati glasačkim pravima, sporazumom, dominantnim utjecajem ili drugim sredstvima. Ako se nakon iscrpljenih razumnih mjera fizička osoba ne može utvrditi, primjenjuje se zakonski rezervni pristup za člana višeg rukovodstva, uz evidenciju poduzetih koraka i razloga.
Nominalni vlasnik ili direktor ne smije prekinuti analizu lanca.
PEP, visoki rizik i pojednostavnjene mjere
Za politički izloženu osobu (PEP), člana obitelji i bliskog suradnika primjenjuju se pojačane mjere, uključujući odobrenje višeg rukovodstva, razumne mjere za utvrđivanje izvora imovine i sredstava te pojačano stalno praćenje. PEP status nije dokaz nezakonitosti; on aktivira višu razinu upravljanja rizikom.
Pojačane mjere primjenjuju se i u drugim slučajevima višeg rizika, uključujući odnose ili transakcije povezane s visokorizičnim trećim zemljama kada propis to zahtijeva. Mogu obuhvatiti dodatne izvore, neovisnu provjeru, detaljniju svrhu, izvor sredstava, odobrenje i veću učestalost praćenja.
Pojednostavljena dubinska analiza moguća je samo kada je niži rizik stvarno utvrđen i kada zakon dopušta prilagodbu. Ne znači “bez identifikacije” ni “bez praćenja”.
Praćenje transakcija mora imati kontekst
Transakcija se uspoređuje s poznavanjem stranke, poslovnog i rizičnog profila te, prema potrebi, izvora sredstava. Pravila mogu otkriti:
- neočekivanu promjenu iznosa, učestalosti ili zemljopisa;
- brzo prosljeđivanje sredstava bez jasne svrhe;
- strukturiranje ispod pragova;
- aktivnost nepovezanu s prijavljenim poslovanjem;
- neuobičajene gotovinske ili virtualno-imovinske tokove;
- transakcije s povezanim osobama bez gospodarskog razloga; i
- korištenje složenih pravnih osoba koje skrivaju kontrolu.
Alarm nije zaključak o pranju novca. Analitičar treba prikupiti podatke, zabilježiti korake, obrazložiti zatvaranje ili eskalirati sumnju. Kvaliteta i pravodobnost važnije su od visokog broja automatski zatvorenih alarma.
Prijava sumnjive transakcije Uredu
Ured za sprječavanje pranja novca je hrvatska financijsko-obavještajna jedinica. Obveznik mu prijavljuje sumnjivu transakciju, sredstva ili osobu bez obzira na iznos. Kada je moguće, obavijest se dostavlja prije izvršenja kako bi Ured mogao postupiti u okviru svojih ovlasti.
Interna eskalacija treba omogućiti ovlaštenoj osobi neovisan i brz pristup podacima. Zaposlenik ne treba dokazati predikatno kazneno djelo: prijavljuje činjenice i razloge sumnje prema internom postupku, a ovlaštena osoba donosi regulatornu odluku.
Zabranjeno je stranci ili trećoj osobi otkriti da je prijava podnesena ili da se provodi analiza kada bi time nastao “tipping off”. U komunikaciji s klijentom koriste se unaprijed odobreni neutralni odgovori.
Gotovina: tri pravila koja se ne smiju pomiješati
Hrvatski okvir razlikuje:
- dubinsku analizu pri povremenoj transakciji od 10.000 eura ili više;
- obavještavanje Ureda o gotovinskoj transakciji od 10.000 eura ili više prema propisanom postupku; i
- zakonsko ograničenje gotovinskog plaćanja prema kojem osoba koja obavlja registriranu djelatnost ne smije primiti ni obaviti plaćanje u gotovini u vrijednosti od 10.000 eura ili više, uključujući povezane transakcije.
Ova pravila nisu isto. Prag gotovinske obavijesti ne čini svaku osobu AML obveznikom, a izvještavanje ne legalizira plaćanje koje je zabranjeno.
Kod gotovinske uplate ili zamjene u vrijednosti od 30.000 eura ili više obveznik u propisanim okolnostima prikuplja i podatak o izvoru sredstava. Sumnja uvijek ima prednost pred pragom.
Ovlaštena osoba, edukacija i neovisna provjera
Obveznik imenuje ovlaštenu osobu i zamjenika, daje im ovlasti, pristup podacima i zaštitu od neprimjerenog utjecaja. Uprava ostaje odgovorna za učinkovitost sustava i resurse.
Program treba obuhvatiti:
- pisane politike i postupke prilagođene riziku;
- provjeru zaposlenika za osjetljive uloge;
- početno i periodično osposobljavanje prema ulozi;
- siguran kanal interne eskalacije;
- kontrolu kvalitete KYC-a i alarma;
- upravljačko izvještavanje o trendovima i kašnjenjima; te
- neovisnu unutarnju reviziju kada to zahtijevaju veličina i priroda poslovanja.
Edukacija nije potvrda prisutnosti. Testirajte može li zaposlenik prepoznati scenarij, sačuvati povjerljivost i pravilno eskalirati.
Čuvanje podataka i zaštita privatnosti
Dokumentacija dubinske analize i podaci o transakcijama u pravilu se čuvaju deset godina nakon prestanka poslovnog odnosa ili obavljene povremene transakcije. Određene evidencije o ovlaštenoj osobi, procjenama rizika, stručnom osposobljavanju i unutarnjoj reviziji imaju zaseban rok od pet godina.
AML pravna obveza daje osnovu za potrebnu obradu, ali ne uklanja načela sigurnosti, ograničenja pristupa, točnosti i brisanja po isteku roka. Matrica čuvanja treba razlikovati kategoriju dokumenta i pravnu osnovu, umjesto jednog trajnog AML arhiva.
Tko nadzire AML sustav
Ured prima, analizira i prosljeđuje financijsko-obavještajne podatke te obavlja zakonom određene poslove. Prema članku 81. Zakona izravni sektorski nadzor raspoređen je među HNB-om, Financijskim inspektoratom, HANFA-om i Poreznom upravom, ovisno o obvezniku. Druga tijela sudjeluju u kaznenom progonu, registrima i međuinstitucionalnoj suradnji.
Zato “Ured je jedini regulator” nije ispravno. Plan nadzora treba predvidjeti zahtjeve stvarno nadležnog sektorskog tijela i komunikaciju s Uredom za prijave.
Sankcije nisu jedan univerzalni iznos
Hrvatski zakon propisuje različite prekršaje i raspone prema vrsti obveznika, odgovornoj osobi, povredi i njezinoj težini. Za određene teške, ponavljane ili sustavne povrede mogu biti relevantni i promet, ostvarena korist te više gornje granice. Nadzorno tijelo može naložiti i korektivne mjere.
Zbog toga broj “kazna od X do Y za svaki AML propust” nije pouzdan. Procjena posljedice mora navesti konkretnu povredu, počinitelja, primjenjivu verziju zakona i moguće kumuliranje mjera.
Priprema za AMLR 2027.
AMLR će u velikoj mjeri izravno ujednačiti pravila privatnog sektora u EU-u, dok će nova europska AMLA povezati nadzor i izravno nadzirati odabrane visokorizične prekogranične financijske subjekte prema propisanom postupku.
Priprema tijekom 2026. treba uključiti:
- analizu razlika između hrvatskog sustava i AMLR-a;
- čišćenje podataka o vlasništvu i kontroli;
- provjeru modela rizika, pravila grupiranja i dokumentiranja odluka;
- pregled grupnih prijenosa podataka i lokalnih ograničenja;
- ugovorne i tehničke promjene dobavljača KYC/monitoring sustava; i
- plan provedbe s jasnim datumima primjene po obvezi.
Nemojte unaprijed zamijeniti važeći hrvatski zakon pravilom koje još nije primjenjivo. Program mora paralelno održavati sadašnje obveze i kontrolirano pripremati prijelaz.
Česta pitanja
Moramo li provesti KYC ispod 10.000 eura?
Da, u brojnim slučajevima. KYC se provodi pri uspostavljanju odnosa, sumnji, sumnji u stare podatke i prema posebnim pragovima. Iznos povremene transakcije samo je jedan okidač.
Je li osoba s točno 25% udjela uvijek stvarni vlasnik?
Ne može se zaključiti samo iz jednog postotka. Treba primijeniti zakonske pokazatelje vlasništva i kontrole te analizirati druga sredstva kontrole.
Treba li sumnjiva transakcija prijeći novčani prag?
Ne. Prijava sumnje Uredu ne ovisi o iznosu.
Primjenjuje li se AMLR već u cijelosti?
Ne. Njegova opća primjena počinje 10. srpnja 2027.; do tada hrvatski obveznici nastavljaju primjenjivati važeći nacionalni zakon i pripremaju prijelaz.
Sljedeći korak
Za pregled procjene rizika, KYC dosjea, monitoringa i upravljačkih dokaza pogledajte našu uslugu financijske usklađenosti. Najbolji početni uzorak prati jednu stranku od onboardinga do alarma, odluke i čuvanja dokumentacije.
Izvori i pregled
Pregledano 8. kolovoza 2026. prema sljedećim primarnim i službenim izvorima:
- Zakon o sprječavanju pranja novca i financiranja terorizma, NN 108/2017
- Izmjene Zakona o sprječavanju pranja novca i financiranja terorizma, NN 39/2019
- Izmjene Zakona o sprječavanju pranja novca i financiranja terorizma, NN 151/2022
- Ministarstvo financija — važeći AML zakoni i pravilnici
- Ministarstvo financija — Ured za sprječavanje pranja novca
- Uredba (EU) 2024/1624 — AMLR
- Uredba (EU) 2024/1620 — pročišćeni tekst Uredbe o AMLA-i
Ovaj vodič daje opće informacije prema stanju na datum pregleda i nije pravno mišljenje ni odluka o prihvatu, odbijanju ili prijavi konkretne stranke ili transakcije.
Robert Lozo, mag. iur., partner je u Vision Complianceu specijaliziran za usklađenost s EU regulativom. Savjetuje organizacije o GDPR-u, NIS2, AI Actu i financijskoj regulativi te izrađuje dokumentaciju spremnu za reviziju i planove usklađenosti u reguliranim industrijama.