Instytucja obowiązana to podmiot, na który ustawa AML nakłada obowiązki związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu. Zakres tych obowiązków zależy od rodzaju prowadzonej działalności, poziomu ryzyka oraz charakteru relacji z klientami.
Katalog instytucji obowiązanych został określony w ustawie i obejmuje kilkadziesiąt kategorii podmiotów. Oprócz banków i instytucji finansowych należą do nich m.in.:
- notariusze,
- adwokaci i radcowie prawni (w zakresie czynności wskazanych w ustawie) – w odniesieniu do pierwszej z tych profesji pomocne jest wyjaśnienie adwokat kto to,
- doradcy podatkowi,
- biegli rewidenci,
- biura rachunkowe,
- pośrednicy w obrocie nieruchomościami,
- kantory,
- podmioty prowadzące działalność w zakresie walut wirtualnych,
- firmy inwestycyjne,
- zakłady ubezpieczeń,
- niektóre podmioty świadczące usługi korporacyjne.
Instytucje obowiązane są zobowiązane do stosowania środków bezpieczeństwa finansowego, identyfikowania beneficjentów rzeczywistych, monitorowania relacji gospodarczych, zgłaszania transakcji podejrzanych do GIIF oraz prowadzenia odpowiedniej dokumentacji. Przy realizacji tych obowiązków istotne jest prawidłowe ustalenie, beneficjent kto to i jaka osoba faktycznie sprawuje kontrolę nad klientem.
Jednym z najważniejszych obowiązków jest właściwe udokumentowanie przeprowadzonej analizy ryzyka oraz wykazanie, że zastosowane środki bezpieczeństwa finansowego były adekwatne do poziomu ryzyka konkretnego klienta. Niewykonywanie obowiązków AML może skutkować odpowiedzialnością administracyjną, finansową, a w niektórych przypadkach również odpowiedzialnością karną.