Instytucja obowiązana to podmiot, na który ustawa AML nakłada obowiązki związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu. Zakres tych obowiązków zależy od rodzaju prowadzonej działalności, poziomu ryzyka oraz charakteru relacji z klientami.
Katalog instytucji obowiązanych został określony w ustawie i obejmuje kilkadziesiąt kategorii podmiotów. Oprócz banków i instytucji finansowych należą do nich m.in.:
- notariusze,
- adwokaci i radcowie prawni (w zakresie czynności wskazanych w ustawie),
- doradcy podatkowi,
- biegli rewidenci,
- biura rachunkowe,
- pośrednicy w obrocie nieruchomościami,
- kantory,
- podmioty prowadzące działalność w zakresie walut wirtualnych,
- firmy inwestycyjne,
- zakłady ubezpieczeń,
- niektóre podmioty świadczące usługi korporacyjne.
Instytucje obowiązane są zobowiązane do stosowania środków bezpieczeństwa finansowego, identyfikowania beneficjentów rzeczywistych, monitorowania relacji gospodarczych, zgłaszania transakcji podejrzanych do GIIF oraz prowadzenia odpowiedniej dokumentacji.
Jednym z najważniejszych obowiązków jest właściwe udokumentowanie przeprowadzonej analizy ryzyka oraz wykazanie, że zastosowane środki bezpieczeństwa finansowego były adekwatne do poziomu ryzyka konkretnego klienta. Niewykonywanie obowiązków AML może skutkować odpowiedzialnością administracyjną, finansową, a w niektórych przypadkach również odpowiedzialnością karną.