Dodržování AML a elektronický podpis v oblasti financí: průvodce 2026

Dodržování AML (Anti-Money Laundering) a elektronický podpis jsou nyní dvěma neodlučitelnými pilíři pro finanční instituce, platební platformy a fintech společnosti operující v Evropě. Od nabytí účinnosti 6. směrnice proti praní peněz (6AMLD) a pokroku regulačního balíčku AML 2024–2025 Evropské unie — včetně vytvoření Evropské autority pro boj proti praní peněz (AMLA) — musí subjekty v rozsahu regulace prokázat bezprecedentní úroveň řádné péče. Elektronický podpis, je-li nasazen správně, není jednoduše nástrojem digitalizace: stává se nástrojem souladu jako takovým. Tento článek vás provede povinnostmi AML platnými pro elektronický podpis, požadovanými úrovněmi ujištění, dostupnými technickými řešeními a osvědčenými postupy, které je třeba přijmout v roce 2026.

Proč je elektronický podpis v jádru dodržování AML

Boj proti praní peněz spočívá na třech základních pilířích: znalost klienta (KYC — Know Your Customer), sledování transakcí a uchovávání důkazů. Elektronický podpis přímo zasahuje do prvních dvou a třetího prvku.

Elektronický podpis jako důkaz ověřené totožnosti

V rámci AML je moment navázání obchodního vztahu nejvíce ohrožen. Článek 13 směrnice 2015/849/EU (4AMLD, změněná 5AMLD) ukládá pečlivé ověření totožnosti klienta před jakoukoli uzavření smlouvy. Pokročilý nebo kvalifikovaný elektronický podpis — ve smyslu nařízení eIDAS č. 910/2014 — garantuje, že podepisující je skutečně osoba, za kterou se vydává, prostřednictvím procesu autentizace a dokumentovaného ověření totožnosti. Kvalifikovaný elektronický podpis (SEQ) vydaný poskytovatelem služeb důvěry (QTSP) figurující na seznamu důvěry v Evropě nabízí úroveň ujištění „vysoká" stanovenou nařízením eIDAS 2.0 (nařízení EU 2024/1183 nabytí účinnosti v květnu 2024). Tato úroveň je slučitelná s požadavky na zesílenou péči uložené pro klienty s vysokým rizikem.

Sledovatelnost a audit trail v souladu s požadavky AML

Regulace AML vyžaduje uchovávání dokumentů KYC po dobu nejméně 5 let po ukončení obchodního vztahu (článek 40 směrnice 2015/849). Elektronický podpis přirozeně generuje úplný audit trail: certifikovaný časový kód, hash dokumentu, identita podepisujícího, log přístupu a kryptografické certifikáty. Tato sledovatelnost zajištěná elektronickým časovým kódem přímo odpovídá požadavkům na uchovávání a důkazy stanoveným orgány dohledu — ACPR ve Francii, BaFin v Německu, FCA ve Spojeném království.

Integrace do procesů digitálního onboardingu

Fintech společnosti a neobanky masivně digitalizovaly svůj onboarding. Podle zprávy McKinsey Digital Banking 2025 je více než 78 % nových bankovních účtů v Evropě otevřeno zcela online. V tomto kontextu umožňuje elektronický podpis integrovaný do cesty onboardingu KYC:

• Shromažďovat informované svolení klienta s podmínkami a pravidly zpracování údajů (GDPR)
• Formalizovat autorizaci shromažďování dokladů totožnosti a dokladů pobytu
• Dokončit smlouvy o otevření účtu s maximální dokazovací hodnotou
• Archivovat celý spis v auditovatelném digitálním trezoru

Pro subjekty v rozsahu regulace usilující o posílení svého zařízení reprezentuje komplexní průvodce elektronickým podpisem v podniku strukturující výchozí bod.

Úrovně podpisu vyžadované podle profilu rizika AML

Jednou z nejčastějších otázek týkajících se compliance týmů je, jakou úroveň elektronického podpisu nasadit podle úrovně rizika klienta. Přístup založený na rizicích, jádru zařízení AML, se také uplatňuje na volbu technologie.

Jednoduchý a pokročilý elektronický podpis: případy použití se standardním rizikem

Pro klienty identifikované jako představující standardní riziko — fyzické osoby s bydlištěm v členském státu EU bez zvláštních rizikových faktorů — je obvykle dostatečný pokročilý elektronický podpis (SEA). SEA spočívá na údajích pro vytvoření podpisu spojených s podepisujícím jedinečným způsobem, je vytvořen z údajů, které smí používat pouze podepisující pod jeho výhradní kontrolou, a umožňuje detekovat jakoukoli pozdější změnu podepsaného dokumentu (článek 26 nařízení eIDAS). Kompatibilní řešení jako Certyneo umožňují nasazení této úrovně podpisu s ověřením totožnosti v reálném čase prostřednictvím rozpoznávání dokumentů (OCR + biometrická liveness kontrola), což splňuje požadavky na standard péče.

Kvalifikovaný podpis: povinnost pro zesílenou péči

Jestliže je profil rizika klienta vysoký — politicky exponované osoby (PPE), občané třetích zemí s vysokým rizikem zařazené Evropskou komisí, transakce signifikantní výše — je třeba zesílená péče (Enhanced Due Diligence, EDD). V tomto kontextu je pouze kvalifikovaný elektronický podpis garancí požadované úrovně ujištění. SEQ zahrnuje použití zařízení pro vytvoření kvalifikovaného podpisu (QSCD) a kvalifikovaný certifikát vydaný akreditovaným QTSP. Abyste lépe pochopili rozdíly mezi těmito úrovněmi a vybrali vhodné řešení, porovnání řešení elektronického podpisu dostupné na Certyneo nabízí strukturovanou analýzu tržních nabídek v roce 2026.

Úloha vzdálené ověřování totožnosti (eIDAS 2.0 a peněženka EUDI)

Nařízení eIDAS 2.0 (EU 2024/1183) zavádí evropskou digitální identitní peněženku (EUDI Wallet), jejímž nasazením ve všech členských státech se počítá do konce roku 2026. Tato peněženka umožní občanům předkládat ověřené atributy totožnosti (státní příslušnost, datum narození, adresu) decentralizovaným způsobem bez nutnosti znovu odevzdat své dokumenty každému poskytovateli. Z hlediska dodržování AML je tato evoluce zásadní: umožní certifikované ověření totožnosti na úrovni „vysoká" přímo během procesu podepisování bez dodatečné friction pro uživatele. Finanční instituce, které dnes integrují řešení kompatibilní s eIDAS 2.0, předcházejí této změně a snižují své regulační riziko na střední dobu. Aktualizace nařízení eIDAS 2.0 publikovaná společností Certyneo podrobně uvádí praktické důsledky pro subjekty v rozsahu regulace.

Specifické povinnosti finančních subjektů v oblasti podpisu AML

Subjekty v rozsahu regulace

Směrnice 2015/849/EU, převzatá do francouzského práva články L. 561-1 a následující Kódu peněžního a finančního, určuje široký okruh subjektů v rozsahu regulace AML: kreditní instituce, platební instituce, pojišťovny životního pojištění, poradci v oblasti správy majetku, realitní makléři provádějící transakce v rámci více než 10 000 €, právní profese a od roku 2020 poskytovatelé služeb v oblasti digitálních aktiv (PSAN) nyní podléhající autorizaci CASP v rámci režimu MiCA. Pro každou z těchto kategorií je dokumentace obchodních vztahů prostřednictvím sledovatelného elektronického podpisu implicitní povinností vyplývající z povinností uchovávání a důkazů.

Uchovávání údajů: artikulace GDPR a AML

Pozoruje se zdánlivé napětí mezi délkou uchování stanovenou AML (5 let minimum) a principem minimalizace údajů v GDPR (nařízení EU 2016/679). EDPB (Evropský výbor pro ochranu údajů) objasnil ve svých pokynech 4/2022, že právní základ pro uchovávání za účelem boje proti podvodům a praní peněz představuje oprávněné odchýlení od práva na odstranění za předpokladu, že uchovávané údaje jsou přísně nezbytné. Elektronický podpis archivací pouze kryptografických metadat a důkazů totožnosti přísně nezbytných umožňuje zároveň splnit oba režimy. Použití certifikovaného digitálního trezoru oddělený od běžného systému správy dokumentů je osvědčený postup doporučený FATF (Skupina pro finanční akce) v jeho pokynech k digitální transformaci z roku 2023.

Sankce a rizika v případě neshody

Sankce za porušení AML jsou značné. Ve Francii může ACPR (Autorita pro kontrolu a řešení) uložit pokuty až do 100 milionů eur nebo 10 % ročního obratu. V roce 2025 pronese ACPR sankce v celkové výši více než 47 milionů eur proti subjektům v oblasti financí, z nichž několik případů zahrnovalo selhání v dokumentaci a ověřování vstupů do vztahu. Absence spolehlivého audit trail — který elektronický podpis přesně umožňuje vytvořit — byla mezi výtkami uvedenými v několika veřejných rozhodnutích.

Osvědčené postupy pro nasazení elektronického podpisu v souladu s AML

Integrace podpisu do workflow KYC od počátku návrhu

Přístup „privacy by design" předepsaný GDPR se zde setkává s přístupem „compliance by design" doporučovaným FATF. To znamená, že elektronický podpis by neměl být přidán jako povrchová vrstva do existujícího procesu, ale integrován od počátku návrhu cesty klienta. Toky by měly být navrženy tak, aby každý krok automaticky generoval nezbytné důkazy: certifikát podpisu, audit report, kvalifikovaný časový kód, hash dokumentu. Compliance týmy musí úzce pracovat s IT týmy na definování jasných pravidel orchestrace: jaká úroveň podpisu pro jaký typ dokumentu, jaká doba archivace, která metadata uchovávat.

Výběr akreditovaného poskytovatele QTSP a auditovatelného

Výběr poskytovatele elektronického podpisu je strukturující pro dodržování AML. Je třeba ověřit, že poskytovatel figuruje na národním seznamu důvěry (ve Francii spravovaném ANSSI) a na seznamu důvěry v Evropě (EU Trust List), že je certifikován podle norem ETSI EN 319 411 (pro politiky certifikátů) a ETSI EN 319 132 (pro podpisy XAdES) a že má roční audit report provedeným akreditovanou organizací. Schopnost exportu důkazů ve standardizovaném formátu (PAdES, XAdES, CAdES) je také nezbytná pro jejich použití v rámci soudních postupů nebo vyšetřování AML. Subjekty usilující o optimalizaci svého zařízení mohou použít kalkulátor ROI Certyneo k vyčíslení zisků v dodržování a operační efektivnosti spojenými s elektronickým podpisem.

Školení týmů a dokumentace postupů

Dodržování AML se neomezuje na technologii. Týmy na frontě, compliance officers a risk managers musí být vyškoleni na specifika elektronického podpisu v kontextu AML: pochopit úrovně podpisu, vědět, jak interpretovat audit report, znát postupy, které je třeba dodržovat v případě sporu. Interní dokumentace postupů podpisu — integrovaná do manuálů compliance — je zkoumána při kontrolách ACPR. Jasný, testovaný a pravidelně aktualizovaný postup demonstruje závazek instituce k proaktivnímu přístupu k dodržování.

Právní rámec platný pro dodržování AML a elektronický podpis

Artikulace mezi elektronickým podpisem a bojem proti praní peněz spočívá na hustém souboru právních předpisů, jak evropských, tak národních.

Nařízení eIDAS č. 910/2014 a eIDAS 2.0 (EU 2024/1183): Tyto texty definují tři úrovně elektronického podpisu (jednoduchý, pokročilý, kvalifikovaný) a podmínky vzájemného uznávání mezi členskými státy. Článek 25 nařízení eIDAS stanovuje princip nediskriminace: elektronický podpis nemůže být odmítnut jako důkaz před soudém pouze na základě toho, že je v elektronické podobě. Nařízení eIDAS 2.0, nabytí účinnosti v květnu 2024, posiluje požadavky na digitální identitu zavedením peněženky EUDI Wallet.

Občanský zákoník, články 1366 a 1367: Článek 1366 francouzského Občanského zákoníku uznává elektronický zápis jako ekvivalent zápisu na papírový nosič pokud je řádně identifikovatelná osoba, od níž pochází, a pokud je zřízena za podmínek, které garantují jeho integritu. Článek 1367 konkrétně upravuje elektronický podpis ve francouzském právu, odkazuje na podmínky stanovené dekretem Státní rady (dekret č. 2017-1416 ze 28. září 2017).

Směrnice AML — 4AMLD (2015/849/EU), 5AMLD (2018/843/EU), 6AMLD (2018/1673/EU): Tyto směrnice ukládají subjektům v rozsahu regulace povinnosti ověřovat totožnost, uchovávat dokumenty po dobu 5 let, sledovat transakce a hlásit podezření příslušné jednotce finančního zpravodajství (TRACFIN ve Francii). Transpozice do francouzského práva je v článcích L. 561-1 až L. 565-1 Kódu peněžního a finančního.

Balíček AML 2024 EU: Nařízení EU 2024/1624 (AMLR), applicable přímo ve všech členských státech od roku 2027, a směrnice EU 2024/1640 (AMLD6) harmonizují pravidla péče a vytváří Evropskou autoritu pro boj proti praní peněz (AMLA), jejíž sídlo je ve Frankfurtu. Tyto texty posilují požadavky na ověřování totožnosti elektronickými prostředky, čímž se dodržování eIDAS stává ještě více strategické.

GDPR č. 2016/679: Článek 5 (minimalizace údajů), článek 17 (právo na odmazání se zákonnými výjimkami) a článek 30 (rejstřík aktivit zpracování) se plně uplatňují na zpracování související s elektronickým podpisem v kontextu AML. Právní základ pro uchovávání za účelem právní povinnosti (článek 6.1.c GDPR) justifikuje prodlouženého uchování dat podpisu.

Normy ETSI: Norma ETSI EN 319 132-1 definuje profily elektronického podpisu XAdES. Norma ETSI EN 319 102-1 specifikuje postupy pro vytvoření a ověření podpisu. Tyto technické normy jsou operačním překladem právních požadavků eIDAS pro technické poskytovatele.

Rizika neshody: Nad rámec pokut ACPR (až 100 M€ nebo 10 % celosvětového konsolidovaného obratu) stanoví nařízení AMLR 2024 harmonizované sankce na úrovni EU, které mohou dosáhnout až 10 % celosvětového konsolidovaného obratu za nejzávaznější porušení. Vedoucí pracovníci mohou být také osobně odpovídající za zákazy výkonu předvídané článkem 42 směrnice AMLD6.

Scénáře použití: elektronický podpis a dodržování AML v praxi

Scénář 1 — Digitální onboarding v autorizované platební instituci

Platební instituce autorizovaná Bankou Francie, zpracovávající přibližně 15 000 nových vstupů do vztahu měsíčně prostřednictvím své mobilní aplikace, čelí přísným požadavkům AML pro ověřování totožnosti svých klientů. Před zavedením řešení pokročilého elektronického podpisu integrovaného do jejího onboardingu se instituce opírala o ruční procesy ověřování dokumentů, které generovaly průměrné zpoždění 72 hodin a míru opuštění 34 % během nákupu.

Zavedením řešení pokročilého elektronického podpisu kombinovaného s biometrickým ověřením totožnosti (liveness check + OCR dokladu totožnosti) snížila instituce dobu onboardingu na méně než 8 minut pro 89 % standardních případů. Automaticky generovaný audit trail — včetně certifikátu podpisu, zprávy o biometrickém ověření a kvalifikovaného časového kódu — přímo splňuje požadavky na uchování AML. Míra opuštění klesla z 34 % na 11 %, tedy netto zvýšení finalizovaných nákupů řádově 35 % podle rozmezí pozorovaných v zprávách Juniper Research 2025 o digitálním bankovnictví.

Scénář 2 — Správa zesílené péče v manažerské společnosti portfolia

Manažerská společnost portfolia spravující aktiva pro majetné klienty (UHNWI — Ultra High Net Worth Individuals) se podřizuje povinnostem zesílené péče pro celou svou klientelu, přičemž významná část jejích klientů je klasifikována jako PPE (Politicky exponované osoby). Smluvní dokumentace — mandáty správy, dopisy přijetí rizika, periodická hlášení podepsaná — představuje několik tisíc dokumentů ročně.

Zavedením řešení kvalifikovaného elektronického podpisu pro všechny dokumenty PPE a integrací automatického archivace do digitálního trezoru certifikovaného NF461 vytvořila společnost úplný a auditovatelný audit trail. Během kontroly ACPR v délce 48 hodin bylo možné zpracovat všechny požadované spisy za méně než 2 hodiny, v porovnání se sektorovým průměrem odhadovaným na 2–3 dny podle zpětné vazby zveřejněné ACPR v její zprávě o kontrole z roku 2024. Compliance týmy také snížily o 60 % čas věnovaný přípravě kontrolních spisů.

Scénář 3 — Dodržování AML pro poskytovatele služeb v oblasti digitálních aktiv (CASP)

Poskytovatel služeb v oblasti digitálních aktiv (CASP) podléhající nařízení MiCA a zesíleným povinnostem AML platnými od ledna 2026 musí dokumentovat všechny své obchodní vztahy s povinnostmi ověřování totožnosti ekvivalentními institucím s registrací. Smlouvy o použití platformy, mandáty uchovávání a osvědčení o politice investic musí být podepsány a uchovávány.

Integrací řešení pokročilého elektronického podpisu prostřednictvím API do cesty registrace je CASP schopn automatizovat generování a podepisování smluvních dokumentů hned po ověření KYC. Každý podepsaný dokument je automaticky indexován v systému správy dodržování s jeho kryptografickými metadaty. Tento přístup snížil o 80 % ruční intervence compliance týmů u standardních případů, čímž se osvobodil čas pro zpracování případů s vysokým rizikem vyžadujících lidské posouzení.

Závěr

Dodržování AML a elektronický podpis tvoří nyní nepostradatelný pár pro jakýkoli subjekt v oblasti financí operující v Evropě v roce 2026. Postupné směrnice proti praní peněz, vyvrcholující balíčkem AML 2024 a vytvořením AMLA, výrazně zvýšily úroveň požadavků v otázce ověřování totožnosti, dokumentární sledovatelnosti a uchovávání důkazů. Elektronický podpis — za předpokladu, že je nasazen na správné úrovni (pokročilý nebo kvalifikovaný podle profilu rizika), integrován od počátku návrhu cest klientů a podpořen akreditovaným poskytovatelem QTSP — strukturálně odpovídá těmto požadavkům. Představuje jak nástroj dodržování, tak páku pro operační efektivnost a konkurenční výhodu v digitálním vztahu s klientem.

Certyneo doprovází subjekty v oblasti financí, fintech společnosti a manažerské společnosti v nasazení řešení elektronického podpisu kompatibilních s eIDAS a přizpůsobených požadavkům AML. Objevte naše nabídky a začněte svým dodržováním AML již dnes.