CRBR przez API — beneficjent rzeczywisty bez ręcznego przeglądania

Czym jest beneficjent rzeczywisty

Beneficjent rzeczywisty to osoba fizyczna, która ostatecznie kontroluje podmiot — bezpośrednio albo przez łańcuch spółek. Nie mylić z zarządem: prezes bywa menedżerem bez udziałów, a realna kontrola siedzi dwa poziomy wyżej, czasem za granicą.

Centralny Rejestr Beneficjentów Rzeczywistych powstał na podstawie przepisów o przeciwdziałaniu praniu pieniędzy. Zgłoszenie jest obowiązkiem spółki, a dane są jawne.

Po co to komuś poza działem AML

• Instytucje obowiązane — ustalenie beneficjenta to element należytej staranności wprost wymagany przepisami.
• Screening sankcyjny — sankcje obejmują osoby, nie tylko spółki. Bez ustalenia beneficjenta sprawdzasz wyłącznie szyld.
• Ocena dostawcy — kto kontroluje dostawcę, jest czynnikiem pozatechnicznym branym pod uwagę przy ocenie ryzyka łańcucha dostaw.
• Zwykła ostrożność handlowa — świeża spółka z minimalnym kapitałem, kontrolowana przez osobę stojącą za trzema innymi, które właśnie upadły, wygląda inaczej niż wynikałoby to z samego KRS.

Co rejestr zwraca, a czego nie

Zwraca: dane osób zgłoszonych jako beneficjenci, charakter uprawnień, wielkość udziału, informacje o zgłaszającym. Nie zwraca: oceny, czy zgłoszenie jest prawdziwe. CRBR to rejestr oświadczeń — spółka zgłasza sama, a rejestr tego nie weryfikuje.

Wpis w CRBR mówi, kogo spółka wskazała jako beneficjenta. Nie mówi, że tak jest naprawdę. Rozbieżność między CRBR a jawnymi wspólnikami w KRS bywa ciekawsza niż sam wpis.

Dane osobowe — mniej znaczy lepiej

Beneficjent rzeczywisty to dana osobowa. Przy integracji warto z góry ograniczyć zakres: PESEL nie jest potrzebny do niczego, co robi typowy system weryfikacji kontrahenta — do identyfikacji wystarczy rok urodzenia. Nasze API nie wypuszcza surowego PESEL-u poza warstwę pobrania, a maskowanie obejmuje także odpowiedź trzymaną jako dowód.

Z tego samego powodu dane CRBR nie wchodzą u nas do zbiorczego zapytania o podmiot — trafiają wyłącznie na wyraźne żądanie, osobnym endpointem. Minimalizacja danych działa tylko wtedy, gdy jest domyślna.

Pułapki formatu, które kosztują wieczór

Z praktyki wdrożeniowej — rzeczy, które wywracają parser przy pierwszej prawdziwej spółce:

• Encje XML w nazwach. Polskie znaki potrafią przyjść jako Ó zamiast litery. Bez rozwijania encji nazwa firmy wygląda jak śmieć.
• Puste pola słownikowe. Obywatelstwo albo jednostka udziału bywają puste — nie jako null, tylko jako pusty element.
• Udziały w notacji naukowej. Wartość potrafi przyjść jako 8.55E+4. Naiwne parsowanie do liczby całkowitej daje 8 zamiast 85 500.

Parametry, przykłady odpowiedzi i zasady maskowania: dokumentacja CRBR API.

Materiał ma charakter informacyjny i nie stanowi porady prawnej ani compliance. Źródłem danych jest Centralny Rejestr Beneficjentów Rzeczywistych prowadzony przez Ministerstwo Finansów. Obowiązki instytucji obowiązanych reguluje ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu.