Monitorizarea continuă a clienților: cât de des reverifici, ce evenimente te obligă să revizuiești dosarul și cum o faci fără muncă manuală, după Legea 129/2019 și AMLR

Verificarea de la intrarea clientului spune cine era clientul în ziua aceea. Peste un an, firma lui poate avea alt asociat, el poate fi numit într-o funcție publică, poate apărea pe o listă de sancțiuni sau poate începe să plătească altfel decât a spus. Legea 129/2019 cere ca dosarul să urmărească aceste schimbări: monitorizarea continuă e una dintre cele patru măsuri standard de cunoaștere a clientelei, la fel de obligatorie ca identificarea.

Articolul explică ce înseamnă concret monitorizarea pentru o entitate raportoare mică, cât de des trebuie actualizate datele (azi și după 10 iulie 2027, când se aplică Regulamentul (UE) 2024/1624), ce evenimente te obligă să revizuiești dosarul imediat și ce faci dacă, fiind contabil, notar sau agent imobiliar, nu vezi deloc tranzacțiile clientului. Pentru partenerii comerciali (furnizori, clienți care nu țin de obligațiile AML) există un ghid separat.

Răspunsul scurt

Termenele de 2-3 ani și „cel puțin anual” de azi sunt recomandări, nu obligații: legea română de acum lasă frecvența în procedura ta, pe bază de risc. Din iulie 2027, cele două maxime (un an și cinci ani) devin obligatorii.

Ce cere legea azi

Art. 11 alin. (1) lit. d) din Legea 129/2019 definește monitorizarea ca „realizarea monitorizării continue a relației de afaceri, inclusiv prin examinarea tranzacțiilor încheiate pe toată durata relației respective”, pentru ca entitatea să se asigure că tranzacțiile corespund informațiilor despre client, profilului lui de activitate și de risc, inclusiv, după caz, sursei fondurilor, „precum și că documentele, datele sau informațiile deținute sunt actualizate și relevante”.

Alte patru prevederi completează imaginea:

• Clienții existenți (art. 14, rescris prin Legea 86/2025): măsurile KYC se aplică și lor, „în funcție de risc și materialitate”, ținând cont de când au fost aplicate ultima dată și cât mai sunt de relevante, „sau atunci când circumstanțele relevante privind clientul se schimbă”.
• Riscul redus nu scutește (art. 16 alin. (4), tot din 2025): în toate cazurile rămân identificarea, verificarea și „monitorizarea adecvată, documentată și formalizată a tranzacțiilor și relațiilor de afaceri”.
• Riscul sporit cere mai mult: crești „gradul și natura monitorizării” (art. 17 alin. (3)); la PEP, „în mod permanent o monitorizare sporită” (art. 17 alin. (9) lit. c)); la țările terțe cu risc ridicat, „creșterea numărului și frecvenței controalelor” (art. 17^1 alin. (1) lit. f)).
• Tranzacțiile neobișnuite (complexe, neobișnuit de mari, în afara tiparului, fără scop economic evident) se examinează în context (art. 17 alin. (2)).

Normele ONPCSB cer ca procedura KYC să stabilească „frecvența actualizării, pe bază de risc, a informațiilor și a documentației despre clienți” (art. 17 lit. d)) și „monitorizarea permanentă a operațiunilor derulate de clienți, indiferent de categoria de risc” (lit. f)), plus urmărirea continuă a factorilor de risc ca să știi când trebuie actualizată evaluarea (art. 13 lit. g)). Proiectul de modificare a Normelor pus în consultare în octombrie 2026 adaugă explicit că măsurile KYC „se actualizează periodic”, inclusiv pentru clienții existenți. Până la adoptare, nu e în vigoare.

Cele două părți ale monitorizării

Ghidurile Autorității Bancare Europene le separă clar (EBA/GL/2021/02, pct. 4.70):

1. Urmărirea tranzacțiilor și a comportamentului, ca să vezi dacă se potrivesc cu profilul de risc, situația financiară și ce știi despre client, și să depistezi ce e neobișnuit sau suspect.
2. Actualizarea datelor, ca să afli dacă riscul relației s-a schimbat și ca informațiile pe care se bazează urmărirea să fie corecte.

Proiectul de ghiduri al Autorității europene pentru combaterea spălării banilor (AMLA), publicat în consultare în iunie 2026, adaugă o precizare importantă pentru firmele mici: monitorizarea „nu ar trebui să se limiteze la monitorizarea tranzacțiilor”, ci să surprindă și activitățile, comportamentele și evenimentele relevante din toată relația (pct. 4). Pentru cine nu are tranzacții de urmărit, a doua parte devine cea principală.

Din 10 iulie 2027: termene maxime de actualizare

Regulamentul (UE) 2024/1624 (AMLR), aplicabil direct din 10 iulie 2027 (art. 90), pune pentru prima dată termene concrete. Art. 26 alin. (2): perioada dintre actualizările informațiilor despre client „depinde de riscul pe care îl prezintă relația de afaceri și nu poate depăși”:

• un an pentru clienții cu risc mai ridicat, cărora li se aplică măsurile sporite;
• cinci ani pentru toți ceilalți clienți.

Sunt maxime, nu ținte. Proiectul AMLA spune explicit că entitățile trebuie să decidă dacă e nevoie de actualizări mai dese în funcție de profilul de risc, iar o revizuire făcută mai devreme resetează termenul (pct. 2). În plus, art. 26 alin. (3) cere revizuirea și, după caz, actualizarea imediată când se schimbă circumstanțele relevante ale clientului, când ai obligația legală de a-l contacta pentru beneficiarul real sau când afli un fapt relevant despre el. Art. 26 alin. (4) cere verificarea periodică a clienților pe listele de sancțiuni financiare, cu o frecvență proporțională cu expunerea.

Ce trebuie verificat la o revizuire periodică, după proiectul AMLA (pct. 21): datele de identificare ale clientului și ale beneficiarului real; informațiile despre beneficiarul real, forma juridică și reprezentanții firmei; scopul și natura relației, inclusiv sursa fondurilor; dacă clientul, beneficiarul real sau persoana în numele căreia acționează a devenit între timp PEP, membru de familie sau asociat apropiat al unui PEP.

La clienții cu risc redus, fără activitate nouă și fără servicii noi de la ultima actualizare, proiectul permite o revizuire mai ușoară (pct. 20): verificarea registrelor comerciale și a altor surse independente, verificarea PEP și a informațiilor negative din presă și o verificare internă dacă s-a schimbat ceva în natura relației. Ghidurile AMLA sunt încă proiect: citează-le ca orientare, nu ca obligație.

Cât de des, pe categorii de risc

Legea română lasă frecvența în procedura ta. Ca să nu refaci totul în 2027, o procedură scrisă acum poate folosi deja termenele AMLR ca maxime. O variantă pentru o organizație mică:

Ce contează mai mult decât cifra exactă: termenul e scris în procedură, fiecare client are trecută data următoarei revizuiri, iar revizuirile chiar se fac și lasă urme. Cum se stabilește categoria, în ghidul de evaluare a riscului clientului.

Evenimentele care declanșează o revizuire

Revizuirea periodică prinde schimbările lente. Pentru cele bruște, procedura trebuie să spună ce evenimente declanșează o revizuire imediată. Proiectul AMLA (pct. 27) le grupează în patru familii, aici cu exemple din practica românească:

Pentru firmele client, multe dintre aceste evenimente apar în registre publice și pot fi urmărite automat. Ce înseamnă fiecare stare din registrul comerțului, în ghidul despre starea firmei la ONRC.

Sancțiunile și PEP: de ce o dată pe an nu ajunge

Listele de sancțiuni se schimbă de mai multe ori pe lună: UE adaugă persoane la fiecare pachet de sancțiuni împotriva Rusiei, ONU și OFAC actualizează continuu. Pentru entitățile supravegheate de ONPCSB, Ordinul nr. 64/2026 cere „procese și sisteme de monitorizare a persoanelor cu care entitatea reglementată se află în raporturi juridice”, ca să stabilească dacă acestea intră sub sancțiuni „ca urmare a modificării și/sau completării regimurilor sancționatoare internaționale” (art. 5 alin. (1) lit. b)). Când găsești o persoană desemnată, îi îngheți fondurile fără întârziere și raportezi de îndată la Oficiu (art. 6).

Cu alte cuvinte, verificarea pe liste nu se leagă de revizuirea anuală sau la 5 ani a dosarului, ci de schimbarea listelor. Pentru o firmă cu zeci sau sute de clienți, singura cale realistă e reverificarea automată a întregului portofoliu, la intervale scurte, plus o verificare punctuală înaintea tranzacțiilor importante.

La PEP, situația e asemănătoare: un client poate deveni PEP oricând, prin alegeri sau numire. Legea cere „sisteme adecvate de gestionare a riscurilor” pentru a stabili calitatea de PEP (art. 11 alin. (3)), iar ghidurile europene cer ca, la clienții PEP deja identificați, informațiile să fie revizuite regulat, cu o frecvență dată de nivelul de risc (EBA/GL/2021/02, pct. 4.50). Din iulie 2027, lista PEP se lărgește cu primarii orașelor mari și președinții consiliilor județene (vezi articolul despre PEP-ii locali): clienți care azi nu sunt PEP vor deveni peste noapte.

Dacă nu vezi tranzacțiile clientului

Contabilii văd tranzacțiile doar indirect, din documente. Notarii și avocații văd o singură operațiune. Agenții imobiliari văd un contract la câțiva ani. Asta nu scutește de monitorizare, dar o schimbă. Proiectul AMLA tratează explicit situația (pct. 35-36): entitățile care, structural, au acces limitat sau deloc la datele despre tranzacții trebuie să-și adapteze monitorizarea prin măsuri alternative, proporționale, între care:

• o evaluare structurată, pe bază de risc, a comportamentului clientului și a evenimentelor din relație;
• revizuirea documentelor, instrucțiunilor și mandatelor primite de la client, a bunurilor implicate, a sursei fondurilor și a contrapărților;
• revizuiri declanșate de evenimente;
• monitorizarea în momentele relevante ale relației (de exemplu, la fiecare mandat nou, la fiecare bilanț, la fiecare tranzacție intermediată);
• escaladarea comportamentelor neobișnuite observate de angajați, cu documentare.

Limitarea, explicată și documentată în procedură, „nu ar trebui considerată în sine o deficiență”, cu condiția să fie înțeleasă, documentată și atenuată (pct. 36). Pentru un cabinet de contabilitate, asta înseamnă practic: la fiecare închidere de lună sau de an, contabilul se uită dacă apar plăți în numerar neobișnuite, împrumuturi de la asociați fără sursă clară, parteneri noi din țări cu risc ridicat; iar portofoliul de clienți e reverificat automat pe listele de sancțiuni și PEP și în registrele publice. Ce mai cere controlul la contabili, în lista de verificare pentru contabili.

Dacă vezi tranzacțiile: IFN, case de amanet, case de ajutor reciproc

Pentru instituțiile financiare, urmărirea tranzacțiilor e partea principală. Normele cer parametri și tipare care delimitează tranzacțiile obișnuite, de exemplu limite valorice pe tipuri de clienți, produse sau tranzacții (art. 19 alin. (3)), și identificarea tranzacțiilor suspecte „indiferent de riscul aferent clientelei, de pragul tranzacțiilor sau de modalitatea de realizare a acestora” (alin. (2)). Ghidul ONPCSB din 2025 dă indicatorii tipici pentru sector: depuneri frecvente sub limita de raportare într-un interval scurt, rambursări anticipate neobișnuite la scurt timp după acordarea împrumutului, sume nejustificate de venitul lunar, terți care depun pentru membru.

Evaluarea națională a riscurilor publicată de ONPCSB în 2026 notează, după controalele la IFN, recomandări de „consolidarea procedurilor de monitorizare automată a tranzacțiilor” și de intensificare a instruirii. La casele de ajutor reciproc, peste jumătate dintre respondenți declarau că actualizează datele clienților la fiecare tranzacție importantă. Practica bună e combinația: reguli automate pe tranzacții (prag de numerar, operațiuni legate, rambursări anticipate) și revizuirea periodică a dosarului.

Ce faci când apare o alertă

1. Verifici dacă e chiar clientul tău. O potrivire de nume nu e o identificare: compară data nașterii, cetățenia, funcția, fotografia, firmele asociate. Notezi concluzia, cu motiv: fals pozitiv sau confirmat.
2. Dacă e confirmat, reîncadrezi clientul pe risc și aplici măsurile categoriei noi. La un PEP nou: aprobarea conducerii pentru continuarea relației, sursa averii și a fondurilor, monitorizare sporită (art. 17 alin. (9)).
3. Dacă e o persoană sancționată, oprești orice operațiune, îngheți fondurile și raportezi de îndată Oficiului (Ordinul 64/2026, art. 6).
4. Dacă apare o suspiciune, trimiți raport de tranzacție suspectă (art. 6) și nu-i spui clientului (art. 38). Cum și în ce termene, în ghidul raportării la ONPCSB.
5. Dacă nu poți actualiza datele pentru că clientul refuză, nu continui relația și analizezi dacă există motive de suspiciune (art. 11 alin. (9)).
6. Notezi totul la dosar: alerta, verificarea, decizia, cine a decis, când.

Cum dovedești că ai monitorizat

Art. 21 alin. (1) cere păstrarea copiilor documentelor de identificare, „ale monitorizărilor și verificărilor efectuate”, 5 ani după încheierea relației. Proiectul AMLA cere ca deciziile din monitorizare să fie documentate astfel încât să se înțeleagă ce s-a evaluat, ce s-a decis și de ce (pct. 8). La control, dovada monitorizării arată așa:

• procedura scrisă: frecvențele pe categorii, evenimentele care declanșează revizuirea, cine face ce;
• pentru fiecare client, data ultimei revizuiri și data următoarei;
• istoricul reverificărilor pe listele de sancțiuni și PEP, cu dată și rezultat;
• pentru fiecare alertă: ce s-a găsit, decizia, motivul, cine a decis;
• reîncadrările pe risc, cu motivul lor;
• la cine nu vede tranzacțiile: descrierea limitării și a măsurilor alternative.

Manual sau automat

Legea nu cere un sistem informatic. Ghidurile europene spun că firmele cu volum mare de tranzacții „ar trebui să ia în considerare” un sistem automat (EBA/GL/2021/02, pct. 4.74), iar proiectul AMLA acceptă că, acolo unde modelul de afaceri e limitat ca scară, risc și complexitate, procesele manuale sau semi-automate pot fi o opțiune proporționată (pct. 28). Cu o condiție: să prindă și să escaladeze riscurile relevante fără întârziere.

În practică, la o firmă mică, împărțirea e simplă. Revizuirea dosarului, discuția cu clientul și decizia rămân manuale. Reverificarea pe liste a întregului portofoliu și urmărirea registrelor publice nu se pot face manual, lunar, pentru zeci de clienți: acolo automatizarea e singura variantă realistă.

Cum funcționează monitorizarea în PepCheck

Orice persoană sau firmă verificată în PepCheck poate fi pusă în lista de monitorizare. Pe data de 5 a fiecărei luni, platforma o reverifică automat și compară rezultatul cu luna anterioară:

• la persoane, în aceeași bază pe care organizația o folosește la verificări (OpenSanctions, Dilisense sau amândouă): potrivirile noi pe liste PEP și de sancțiuni, potrivirile dispărute, schimbările de scor și de categorie, de exemplu un PEP care apare acum și pe o listă de sancțiuni;
• la firme: starea și inactivitatea fiscală la ANAF, TVA, starea din registrul comerțului, administratorii adăugați sau eliminați, bilanțurile noi și schimbările mari de cifră de afaceri, dosarele noi din instanță.

Alertele apar în aplicație, cu un email rezumat, doar când s-a schimbat ceva. Fiecare potrivire se închide cu o decizie motivată, salvată cu autor și dată, iar istoricul arată ce era luna trecută și ce e acum: exact dovezile de la secțiunea de mai sus. Lista inițială de clienți se poate încărca dintr-un fișier CSV sau Excel, până la 1.000 de rânduri odată. Monitorizarea este inclusă în pachetele Professional și Enterprise (prețuri).

Limitele, ca să știi ce rămâne în sarcina ta: reverificarea automată e lunară, deci înaintea tranzacțiilor importante merită o verificare punctuală; PepCheck urmărește statutul persoanelor și al firmelor, nu tranzacțiile; datele despre beneficiarii reali nu sunt incluse. Pentru monitorizarea tranzacțiilor, raportarea numerarului și reverificarea periodică a membrilor la casele de ajutor reciproc și IFN există AMLTracer, din aceeași familie de produse.

Întrebări frecvente

Legea spune exact cât de des trebuie să actualizez datele clienților?
Azi, nu: cere o frecvență stabilită „pe bază de risc” în procedura ta (Norme art. 17 lit. d)) și revizuire la orice schimbare relevantă (art. 14). Din 10 iulie 2027, AMLR pune maxime: un an pentru riscul ridicat, cinci ani pentru restul (art. 26 alin. (2)).

Trebuie să cer clientului documente noi la fiecare revizuire?
Nu neapărat. Dacă nimic nu s-a schimbat și riscul e redus, poți folosi registrele publice și informațiile pe care le ai deja (EBA/GL/2021/02, pct. 4.78; proiectul AMLA, pct. 20). Ceri documente noi când datele s-au schimbat sau riscul a crescut.

Clientul meu nu mai are activitate de un an, dar contractul e încă valabil. Îl monitorizez?
Da, cât timp relația de afaceri există. Revizuirea poate fi mai ușoară dacă nu a avut activitate nouă, dar reverificarea pe listele de sancțiuni continuă.

Ce fac cu clienții vechi, preluați înainte de a avea procedură?
Le aplici măsurile KYC „în funcție de risc și materialitate” (art. 14): începi cu cei activi și cu riscul cel mai mare, îi încadrezi pe risc, îi reverifici pe listele PEP și de sancțiuni (o verificare în lot rezolvă tot portofoliul într-o zi) și le stabilești data următoarei revizuiri.

Monitorizarea automată înlocuiește revizuirea periodică?
Nu. Reverificarea automată prinde schimbările de statut (PEP, sancțiuni, starea firmei). Revizuirea periodică verifică dacă scopul relației, sursa fondurilor și profilul clientului mai corespund. Le ai nevoie pe amândouă.

Surse: Legea nr. 129/2019, forma consolidată la 19.12.2025, art. 3 alin. (6), 6, 11, 14, 16 alin. (4), 17, 17^1, 21, 38; Normele aprobate prin Ordinul președintelui ONPCSB nr. 37/2021, art. 13, 16, 17, 19; proiectul de ordin de modificare a Normelor (consultare ONPCSB, octombrie 2026, neadoptat); Ordinul președintelui ONPCSB nr. 64/2026, art. 5-6; Regulamentul (UE) 2024/1624, art. 26 și 90; AMLA, proiect de ghiduri privind monitorizarea continuă a relației de afaceri în temeiul art. 26 alin. (5) AMLR (document de consultare din 3 iunie 2026; versiunea finală nu era publicată la data scrierii), pct. 2, 4, 8, 20-21, 27-28, 35-36; Ghidurile EBA privind factorii de risc (EBA/GL/2021/02, consolidate), pct. 4.50, 4.69-4.78; Raportul de actualizare a Evaluării naționale a riscurilor 2021-2024 (ONPCSB, 2026); Ghidul ONPCSB privind indicatorii de suspiciune pentru IFN, case de amanet și case de ajutor reciproc (2025). Frecvențele recomandate sunt orientative; procedura fiecărei entități le stabilește pe baza propriei evaluări de risc. Articolul nu este consultanță juridică.