Agent wykrywania nadużyć

Polska gospodarka traci rocznie 150-200 mld zł w wyniku nadużyć finansowych - wynika to z raportów KAS i GIIF z lat 2023-2024. Same karuzele VAT odpowiadają za szkody 30-50 mld zł rocznie zgodnie z analizą Ministerstwa Finansów i właśnie dlatego KSeF FA(2) staje się obowiązkowy 1 lipca 2026. Polski Kodeks karny (art. 286 - oszustwo, 296 - wyrządzenie szkody znacznej, 299 - pranie pieniędzy) tworzy szkielet karnoprawny, Kodeks karny skarbowy art. 56-61 sankcjonuje oszustwa VAT do 21,6 mln zł, ustawa AML z 1.03.2018 wymaga zgłoszeń transakcji podejrzanych do GIIF w 2 dni robocze, UOKiK karze kartelowanie do 10% obrotu, a ustawa o sygnalistach 2024 (wdrożenie dyrektywy UE 2019/1937) włącza sygnalistów jako kluczową kontrolę nadużyć. Każda średnia i duża spółka z obowiązkiem badania ustawowego musi udokumentować skuteczność systemu wykrywania nadużyć zgodnie z KSRF 240 (przyjęcie ISA 240 przez PIBR), rekomendacją KNF D dla cyberbezpieczeństwa logów oraz cross-checkiem KSeF FA(2) w czasie rzeczywistym.

KK art. 286, AML GIIF, KKS art. 56, UOKiK i audyt KAS tworzą wielofrontowy nadzór nad nadużyciami wymagający Cert-Ready by Design

GIIF jest centralną jednostką analityki finansowej w Polsce i przyjmuje rocznie ponad 250.000 zgłoszeń transakcji podejrzanych od podmiotów zobowiązanych. Brak zgłoszenia w terminie 2 dni roboczych (art. 50 ustawy AML) skutkuje sankcją do 5 mln zł oraz odpowiedzialnością karną z art. 156 ustawy AML do 5 lat pozbawienia wolności. KAS wskazał w 2024 roku karuzele VAT jako najczęstszy schemat nadużyć, a Ministerstwo Finansów wprowadziło KSeF FA(2) jako obowiązkowy mechanizm cross-checku przeciw missing trader fraud, z UUID generowanym po stronie urzędu. KKS art. 56 sankcjonuje oszustwa VAT kwotą 30 procent wartości (maksymalnie 21,6 mln zł) oraz odpowiedzialnością karną członków zarządu wg art. 60-61 do 240 stawek dziennych.

W latach 2022-2024 UOKiK nałożył kary kartelowe powyżej 600 mln zł na sektory budowlany, transportowy, IT i farmaceutyczny - sankcja maksymalna sięga 10 procent obrotu rocznego firmy, a członkowie zarządu odpowiadają karnie do 2 mln zł lub 3 lat pozbawienia wolności (art. 108 ustawy o ochronie konkurencji 2007). Rekomendacja KNF D z 8.01.2013 wymaga od banków, TFI i zakładów ubezpieczeń cyberbezpieczeństwa, audytu logów IT z retencją 5 lat, zarządzania incydentami nadużyć oraz raportowania do KNF. RODO art. 6 i 32 dokłada kolejną warstwę: podstawa przetwarzania danych do wykrywania nadużyć musi być udokumentowana, a środki bezpieczeństwa adekwatne do ryzyka, pod groźbą sankcji UODO do 4 procent obrotu lub 20 mln EUR. Średnia polska spółka (300-500 pracowników, 100-300 mln zł obrotu) ma potencjalną skumulowaną ekspozycję sankcyjną 50-200 mln zł rocznie bez podejścia Cert-Ready by Design.

15 deterministycznych punktów decyzyjnych z dwiema eskalacjami ludzkimi

Agent przetwarza każdą transakcję przez pipeline 15 strukturalnych punktów decyzyjnych: trzynaście klasyfikacji regułowo-ML oraz dwie eskalacje ludzkie (decyzja o dochodzeniu i klasyfikacja False Positive). Klasyfikację typu transakcji wykonuje LLM, mapując kontekst regulacyjny (AML, KKS, KK, UOKiK, KNF) na podstawie kontrahenta, kwoty, kraju i branży. Pozostałe punkty działają wg reguł: KK art. 286 (duplikaty i Phantom Vendor), KKS art. 56 (karuzele VAT przez KSeF FA(2)), ustawa AML art. 50 (transakcje podejrzane GIIF), ustawa o ochronie konkurencji 2007 art. 6 (kartelowanie i bid rigging), KSH art. 382 §3 (segregacja obowiązków) oraz ustawa o sygnalistach 2024 (sygnalista jako kontrola nadużyć).

Konkretny przykład: średniej wielkości polski producent maszyn notowany na GPW (450 pracowników, 280 mln zł obrotu, sektor IT) wykonuje rocznie 40.000 transakcji zakupowych, 12.000 sprzedażowych i 1.200 zwrotów. Agent w pierwszym kwartale 2026 wykrywa: (1) Phantom Vendor - dostawcę usług IT zarejestrowanego 90 dni temu, bez wpisu w CRBR, z aktywnym REGON, lecz bez sprawozdań finansowych, wystawiającego faktury po 9.900 zł (rozdrabnianie poniżej progu split payment 15.000 zł), 6 faktur w 8 tygodni; (2) karuzelę VAT wykrytą w analizie grafu KSeF FA(2) - łańcuch 4 firm: missing trader (importer elektroniki działający poniżej 90 dni), bufor (pośrednik z marżą 0,5%) i broker (eksporter WDT do Niemiec) o łącznej wartości 8,2 mln zł, z ekspozycją KKS art. 56 na 2,46 mln zł sankcji; (3) fałszywe faktury AI - 3 dokumenty od nowego dostawcy z metadanymi PDF wskazującymi na Producer GPT-4V, bez znaku wodnego C2PA i bez UUID KSeF; (4) round-tripping - cykl płatności między 3 spółkami zależnymi przez Cypr i Luksemburg o wartości 1,8 mln zł, wskazujący na prawdopodobne ukryte dywidendy wg art. 296 KK; (5) zgłoszenie sygnalisty z platformy Sygnanet - kierownik zakupów otrzymuje korzyści majątkowe od dostawcy materiałów opakowaniowych, w korelacji z 18 fakturami w 6 miesięcy. Compliance Officer eskaluje przypadek (2) karuzeli VAT do GIIF (zgłoszenie w 2 dni robocze), KAS i prokuratury, a przypadek (5) sygnalisty do dochodzenia wewnętrznego z poszanowaniem ochrony przed retorsjami z ustawy o sygnalistach 2024.

Ciągłe monitorowanie i pętla uczenia ML redukują False Positive z 25% do poniżej 10%

W fazie początkowej wykrywanie nadużyć generuje wskaźnik False Positive na poziomie 20-25 procent zgodnie z benchmarkami ACFE 2024, co znacząco obciąża czas Compliance Officera. Agent stosuje aktywną pętlę uczenia ML: każda klasyfikacja False Positive przez Compliance Officera (krok 15 w microDecisions) trafia do ponownego uczenia modelu zgodnie z RODO art. 22 (decyzje zautomatyzowane - prawo do interwencji ludzkiej). Po 12-18 miesiącach pętla redukuje False Positive do 5-10 procent, co odpowiada zmniejszeniu czasu Compliance Officera na analizę alarmów o 60-70 procent. Pulpit wskaźnika nadużyć pokazuje na bieżąco KCI: liczbę aktywnych alarmów, średni czas eskalacji, odsetek False Positive, liczbę zgłoszeń GIIF oraz status sprawy w prokuraturze, a kwartalne raporty trafiają do komitetu audytu rady nadzorczej zgodnie z KSH art. 391 i Dobrymi Praktykami Spółek Notowanych GPW 2021.

Przypadki szczególne w Polsce: GPW, instytucje KNF, spółki Skarbu Państwa, grupy międzynarodowe

Polskie spółki notowane na GPW mają obowiązki wynikające z Dobrych Praktyk 2021: coroczny raport komitetu audytu o systemie wykrywania nadużyć, ujawnienie istotnych przypadków w sprawozdaniu rocznym oraz opis trzech linii obrony w prospekcie emisyjnym. Instytucje nadzorowane przez KNF (banki, ubezpieczyciele, TFI, domy maklerskie) muszą dodatkowo uwzględniać ryzyko nadużyć w ICAAP/ILAAP, składać kwartalne raporty do KNF zgodnie z rekomendacją Z, poddawać outsourcing IT audytowi biegłego rewidenta oraz prowadzić cotygodniowe testy DRP/BCP w zakresie nadużyć (rekomendacja D pkt 7). Spółki Skarbu Państwa pod nadzorem NIK (Najwyższa Izba Kontroli) raportują dodatkowo do MAP (Ministerstwo Aktywów Państwowych), a ich system wykrywania nadużyć podlega kontroli NIK z sankcjami z art. 30 ustawy o NIK do 200% szkody. Grupy międzynarodowe z polskim oddziałem dostosowują globalny framework SOX/COSO ERM 2017 do polskich wymogów KSRF 240, rekomendacji KNF D oraz ustawy AML 2018, a takie mapowanie wymaga akceptacji biegłego rewidenta PIBR.

Integracja z polskim ekosystemem: Comarch, SAP, AuditBoard, Symfonia, Sygnanet, KSeF

Agent integruje się z polskim ekosystemem GRC i ERP przez API: Comarch Risk Management Solutions i ERP XL Audit (lider segmentu Enterprise i GPW), Comarch ERP Optima Compliance (MŚP), SAP S/4HANA Polish Localization GRC i SAP Fraud Management (grupy międzynarodowe i spółki GPW), AuditBoard Polska (lokalizacja PIBR z workflow KSRF 240), Symfonia ERP, Audyt i Anti-Fraud (średni biznes), enova365 Moduł Fraud Detection, Asseco Softlab GRC i Risk Management, ACL/Galvanize HighBond (Diligent, ciągłe monitorowanie), SAP Concur Fraud Detection (grupy międzynarodowe) oraz Sygnanet (platforma sygnalistów certyfikowana w 2024 roku). Po stronie baz zewnętrznych agent łączy się z KSeF FA(2) API (certyfikat kwalifikowany CenCert/Szafir/EuroCert/KIR), CRBR API (MF), białą listą podatników VAT (whitelist.gov.pl), REGON GUS, KRS, GIIF API do zgłoszeń AML oraz bazą krajów wysokiego ryzyka FATF. Substantive Testing Big-4 wg KSRF 240 wspiera bezpośredni eksport do Deloitte ASM, PwC Halo, EY Helix i KPMG Clara z metadanymi audit-trail wg PCAOB AS 1215 i AS 2401. Audit-trail jest przechowywany 5 lat zgodnie z Ordynacją podatkową art. 86, dodatkowo 5 lat po zakończeniu relacji w zakresie AML (ustawa AML art. 49) oraz uzupełniany dokumentacją wg KNF art. 70 dla instytucji nadzorowanych.