AML-pakken og AMLA: Hvad skal virksomheder begynde at forberede nu?

EU’s nye AML-pakke finder som helhed anvendelse fra den 10. juli 2027.

Det kan lyde som langt ude i fremtiden, men for virksomheder, der er omfattet af hvidvaskreglerne, er det allerede nu relevant at begynde forberedelserne.

Finanstilsynet har selv fremhævet, at pakken indeholder både ændringer til eksisterende regler og nye regler, og at virksomheder derfor bør gå i gang med det forberedende arbejde i god tid. AML-pakken skal styrke bekæmpelsen af hvidvask og terrorfinansiering i EU. Samtidig etableres AMLA — EU’s nye anti-hvidvaskmyndighed — som skal bidrage til mere ensartet anvendelse af reglerne på tværs af medlemslandene. AMLA beskriver selv sin rolle som en EU-myndighed, der skal koordinere nationale myndigheder og sikre korrekt og konsekvent anvendelse af EU’s regler om hvidvask og terrorfinansiering.

For virksomheder betyder det, at hvidvask-compliance i endnu højere grad bliver et område, der kræver struktur, dokumentation og praktiske arbejdsgange. Det er ikke nok at kende reglerne. Virksomheden skal også kunne vise, hvordan reglerne bliver omsat i hverdagen.

Hos ØENS Advokatfirma hjælper vi virksomheder med at skabe overblik over deres hvidvask-compliance og omsætte kravene til konkrete procedurer, der kan forstås, anvendes og dokumenteres i praksis.

Kontakt en specialist i hvidvask og compliance

Hvad er AML-pakken?

AML-pakken er EU’s nye samlede regulering på hvidvaskområdet. Pakken skal skabe en mere ensartet ramme for forebyggelse af hvidvask og terrorfinansiering i EU og indeholder både nye regler og ændringer til den eksisterende regulering. Finanstilsynet skriver, at AML-pakken finder anvendelse som helhed fra den 10. juli 2027. Pakken består blandt andet af en ny forordning om forebyggelse af misbrug af det finansielle system til hvidvask og terrorfinansiering, kendt som Regulation (EU) 2024/1624. Forordningen er offentliggjort i EU-Tidende og er en central del af det nye regelsæt.

Det særlige ved en EU-forordning er, at den gælder direkte i medlemslandene. Det betyder, at virksomheder i højere grad kan forvente mere ensartede regler på tværs af EU. Samtidig vil der fortsat være behov for at forstå, hvordan reglerne konkret skal implementeres i virksomhedens egne arbejdsgange. For mange virksomheder bliver den praktiske opgave derfor at oversætte de nye krav til noget, der fungerer i hverdagen: risikovurdering, kundekendskab, dokumentation, løbende overvågning, interne procedurer og kontrol.

Hvad er AMLA?

AMLA står for Anti-Money Laundering Authority. Det er EU’s nye myndighed for bekæmpelse af hvidvask og terrorfinansiering. AMLA skal blandt andet bidrage til, at reglerne bliver anvendt mere ensartet i EU. Myndigheden skal koordinere nationale tilsynsmyndigheder og styrke samarbejdet mellem de finansielle efterretningsenheder, de såkaldte FIU’er. AMLA er især relevant, fordi hvidvasktilsyn historisk har været præget af forskelle mellem medlemslandene. Med AMLA får EU en myndighed, der skal være med til at samle og styrke indsatsen.

For den enkelte virksomhed betyder det ikke nødvendigvis, at AMLA bliver den myndighed, virksomheden møder i hverdagen. Men det betyder, at retningen er tydelig: Hvidvaskområdet bliver mere harmoniseret, mere struktureret og mere dokumentationskrævende.

Hvorfor er AML-pakken relevant allerede nu?

Selvom AML-pakken først finder anvendelse som helhed fra den 10. juli 2027, er den relevant allerede nu. Finanstilsynet peger netop på, at virksomheder bør gå i gang med forberedelserne i god tid, fordi pakken indeholder både ændringer til eksisterende regler og nye krav. Det er særligt vigtigt, fordi compliance ikke kan implementeres fra den ene dag til den anden. En virksomhed kan godt opdatere et dokument hurtigt. Men det tager længere tid at sikre, at:

• medarbejderne kender procedurerne
• kundekendskabsprocessen fungerer i praksis
• risikovurderingen afspejler virksomhedens reelle aktiviteter
• dokumentation kan findes og forklares
• kontroller gennemføres løbende
• ansvar og roller er tydeligt placeret
• nye arbejdsgange bliver en del af hverdagen

Derfor bør AML-pakken ikke kun ses som en juridisk ændring i 2027. Den bør ses som en anledning til at gennemgå virksomhedens nuværende setup og få styr på de dele, der allerede i dag kan skabe usikkerhed.

Hvilke virksomheder bør være opmærksomme?

AML-pakken er relevant for virksomheder og brancher, der er omfattet af hvidvaskreglerne. Det kan blandt andet være finansielle virksomheder, visse rådgivere, advokatvirksomheder, revisorer, ejendomsmæglere, udbydere af visse finansielle ydelser og andre aktører, afhængigt af virksomhedens konkrete aktiviteter. Det afgørende er ikke kun virksomhedens branchebetegnelse. Det afgørende er, om virksomheden udfører aktiviteter, der er omfattet af hvidvaskreglerne.

For mange virksomheder er det derfor relevant at stille helt grundlæggende spørgsmål:

• Er vi omfattet af hvidvaskloven?
• Hvilke af vores ydelser er omfattet?
• Hvilke klienter, kunder eller transaktioner indebærer øget risiko?
• Har vi en opdateret risikovurdering?
• Har vi klare procedurer for kundekendskab?
• Kan vi dokumentere vores vurderinger?
• Ved medarbejderne, hvad de skal gøre i praksis?

Hvis svaret på flere af spørgsmålene er uklart, er det et godt tidspunkt at få overblik.

Risikovurderingen bliver et centralt omdrejningspunkt

En af de vigtigste opgaver i hvidvask-compliance er virksomhedens risikovurdering. Den skal hjælpe virksomheden med at forstå, hvor risikoen for hvidvask og terrorfinansiering kan opstå i netop dens forretning. Finanstilsynet omtaler aktuelle AMLA-høringer om blandt andet risikovurdering på virksomhedsplan. Ifølge Finanstilsynets høringsside har retningslinjerne til formål at fastsætte minimumskrav, der er nødvendige for at kunne gennemføre en tilstrækkelig risikovurdering på virksomhedsplan. Det understreger, at risikovurderingen ikke bør være et standarddokument, der ligger passivt i en mappe. Den bør være et aktivt styringsværktøj.

En god risikovurdering bør blandt andet afspejle:

• virksomhedens ydelser
• kundetyper og klienttyper
• geografiske forhold
• transaktionstyper
• leveringskanaler
• organisering og ansvarsfordeling
• konkrete risikofaktorer
• procedurer for håndtering af højere risiko

Risikovurderingen skal være konkret nok til, at den kan bruges i hverdagen. Den skal samtidig være dokumenteret nok til, at virksomheden kan forklare sine valg, hvis der kommer spørgsmål fra tilsyn, samarbejdspartnere eller interne beslutningstagere.

KYC og kundekendskab skal fungere i praksis

KYC står for “Know Your Customer” og handler om kundekendskab. På hvidvaskområdet betyder det, at virksomheden skal kende sin kunde eller klient, forstå formålet med relationen og vurdere risikoen for hvidvask eller terrorfinansiering. I praksis handler KYC ikke kun om at indhente ID eller registreringsoplysninger. Det handler også om at stille de rigtige spørgsmål, kontrollere relevante oplysninger og dokumentere, hvorfor virksomheden har vurderet kunden eller sagen, som den har.

En praktisk KYC-proces bør gøre det tydeligt:

• hvornår kundekendskab skal gennemføres
• hvilke oplysninger der skal indhentes
• hvem der kontrollerer oplysningerne
• hvordan reelle ejere identificeres
• hvornår der skal foretages skærpet kundekendskab
• hvordan løbende overvågning håndteres
• hvornår en sag skal eskaleres internt
• hvordan dokumentationen gemmes

Hvis KYC-processen afhænger for meget af den enkelte medarbejders hukommelse eller individuelle vurdering, bliver virksomheden sårbar. Derfor bør processen være enkel, tydelig og indarbejdet i de systemer og arbejdsgange, virksomheden allerede bruger.

Løbende overvågning bliver ikke bare et flueben

Et af de områder, der ofte giver udfordringer i praksis, er løbende overvågning af kundeforholdet. Mange virksomheder har fokus på opstarten af et kundeforhold. Det er her, oplysninger indhentes, ID kontrolleres, og sagen oprettes. Men hvidvask-compliance stopper ikke ved oprettelsen. Virksomheden bør også have en proces for, hvornår oplysninger skal opdateres, og hvordan ændringer i risiko håndteres undervejs.

Det kan for eksempel være relevant, hvis:

• kunden ændrer ejerstruktur
• der kommer nye reelle ejere
• transaktionsmønsteret ændrer sig
• sagen udvikler sig anderledes end forventet
• der opstår forbindelse til højrisikolande
• der kommer nye oplysninger om kunden
• der opstår mistanke eller usædvanlige forhold

Løbende overvågning skal ikke nødvendigvis gøre alle processer tunge. Men virksomheden bør kunne vise, at den har taget stilling til, hvordan og hvornår opfølgning sker.

Interne procedurer skal kunne forstås af dem, der skal bruge dem

Et stærkt compliance-setup kræver ikke kun juridisk korrekte dokumenter. Det kræver også procedurer, som medarbejderne faktisk kan bruge. Det er her, mange virksomheder får problemer. De har måske en politik, en risikovurdering og en procedure, men materialet er skrevet så generelt eller kompliceret, at det ikke hjælper den medarbejder, der sidder med opgaven i praksis.

En god intern procedure bør svare klart på:

• Hvad skal jeg gøre?
• Hvornår skal jeg gøre det?
• Hvem har ansvaret?
• Hvilke oplysninger skal jeg indhente?
• Hvor skal dokumentationen gemmes?
• Hvornår skal jeg spørge en kollega eller complianceansvarlig?
• Hvad gør jeg, hvis noget virker usædvanligt?

Hos ØENS Advokatfirma arbejder vi med compliance i øjenhøjde. Det betyder, at vi ikke kun hjælper med at beskrive reglerne. Vi hjælper med at gøre dem anvendelige.

Undervisning og forankring bliver afgørende

Compliance virker først, når den er forankret hos de mennesker, der skal bruge den. Derfor bør virksomheder ikke kun fokusere på dokumenter. De bør også sikre, at relevante medarbejdere forstår reglerne, kender virksomhedens procedurer og ved, hvordan de skal reagere, hvis der opstår tvivl. Undervisningen fra ØENS Advokatfirma kan for eksempel handle om:

• hvornår hvidvaskreglerne gælder
• hvordan KYC gennemføres
• hvordan reelle ejere identificeres
• hvad skærpet kundekendskab betyder
• hvordan usædvanlige forhold håndteres
• hvordan intern rapportering fungerer
• hvordan dokumentation skal gemmes
• hvilke fejl der typisk opstår i praksis

Undervisning bør samtidig dokumenteres. Det bør være muligt at se, hvem der er undervist, hvornår undervisningen er gennemført, og hvad undervisningen har omfattet. Det gør både virksomheden bedre rustet i hverdagen og bedre forberedt, hvis virksomhedens compliance-setup senere skal forklares.

Typiske fejl, virksomheder bør undgå

Mange virksomheder har allerede arbejdet med hvidvask-compliance i flere år. Alligevel opstår der ofte de samme praktiske udfordringer.

1. Risikovurderingen er for generel

En risikovurdering skal ikke kun beskrive hvidvaskreglerne. Den skal beskrive virksomhedens konkrete risiko. Hvis teksten kunne passe på enhver virksomhed, er den ofte ikke præcis nok.

2. Procedurerne er ikke koblet til hverdagen

Procedurer skal ikke kun være juridisk korrekte. De skal kunne bruges af de medarbejdere, der opretter kunder, håndterer sager og indhenter dokumentation.

3. KYC bliver en engangsøvelse

Kundekendskab skal ikke kun gennemføres ved opstart. Der skal også være styr på, hvornår oplysninger opdateres, og hvordan ændringer i risiko håndteres.

4. Dokumentationen er spredt

Hvis oplysninger, vurderinger og kontroller ligger forskellige steder, kan det blive svært at dokumentere processen samlet.

5. Ansvar er uklart

Det bør være tydeligt, hvem der gør hvad. Ellers risikerer virksomheden, at vigtige trin falder mellem to stole.

6. Undervisning bliver glemt

Medarbejdere kan ikke forventes at følge procedurer, de ikke kender eller forstår. Derfor er undervisning og opfølgning en vigtig del af compliancearbejdet.

Hvad bør virksomheden gøre nu?

AML-pakken finder først anvendelse som helhed fra juli 2027, men arbejdet bør begynde tidligere. Det behøver ikke betyde, at alt skal ændres på én gang. Det betyder, at virksomheden bør få overblik over, hvor den står i dag.

Et godt forløb kan bestå af fem trin:

• 1. Afklar omfanget: Start med at afklare, hvilke dele af virksomheden og hvilke ydelser der er omfattet af hvidvaskreglerne. Det giver et bedre grundlag for resten af arbejdet.
• 2. Gennemgå risikovurderingen: Se på, om risikovurderingen er konkret, opdateret og dækkende for virksomhedens faktiske aktiviteter.
• 3. Test KYC-processen: Gennemgå et antal konkrete sager eller kundeforhold og vurder, om processen fungerer i praksis. Kan dokumentationen findes? Er vurderingerne klare? Er der taget stilling til risiko?
• 4. Opdater procedurer og ansvar: Sørg for, at interne procedurer er tydelige, praktiske og placeret hos de rigtige personer.
• 5. Planlæg undervisning og opfølgning: Lav en plan for, hvordan relevante medarbejdere bliver undervist, og hvordan virksomheden løbende følger op på compliancearbejdet.

En kort afklaring kan spare meget senere

For mange virksomheder er den største barriere ikke, at de slet ikke har arbejdet med hvidvask. Det er, at de er i tvivl om, hvorvidt deres setup er godt nok. Det kan en kort afklaring hjælpe med.

Hos ØENS Advokatfirma kan vi gennemgå virksomhedens nuværende compliance-setup og pege på, hvor der er behov for opdatering, præcisering eller bedre dokumentation. Det giver jer et klart billede af:

• hvad der allerede fungerer
• hvor der er huller
• hvad der bør prioriteres først
• hvilke dokumenter der bør opdateres
• hvordan procedurerne kan gøres mere praktiske
• hvordan medarbejdere kan klædes bedre på

Målet er ikke at gøre hvidvask-compliance mere kompliceret end nødvendigt. Målet er at skabe ro, overblik og en klar plan.

ØENS Advokatfirma hjælper med hvidvask-compliance

Hos ØENS Advokatfirma hjælper vi virksomheder og advokatfirmaer med at forstå og efterleve hvidvaskreglerne i praksis. Vi kan blandt andet hjælpe med:

• risikovurdering
• KYC og kundekendskabsprocedurer
• identifikation af reelle ejere
• interne politikker og procedurer
• løbende overvågning
• intern kontrol
• undervisning af medarbejdere
• forberedelse til kommende regelændringer
• dokumentation og praktisk implementering

Vi rådgiver i øjenhøjde og med fokus på, at virksomheden skal kunne forstå sin complianceopgave. Derfor starter vi med at skabe overblik, før vi anbefaler løsningen.

Book en uforpligtende samtale med advokat Lisa Lykke her

Har I brug for hjælp til AML-pakken og hvidvask-compliance?

Hvis I er i tvivl om, hvordan AML-pakken kan få betydning for jeres virksomhed, er det en god idé at begynde med en konkret gennemgang af jeres nuværende setup. Vi hjælper jer med at afklare, hvor I står i dag, og hvilke skridt der er relevante frem mod 2027.

Kontakt advokat og associeret partner Lisa Lykke for en uforpligtende drøftelse.

Lisa hjælper virksomheder med at omsætte reglerne til konkrete arbejdsgange, der kan anvendes og dokumenteres i praksis.

I kan både kontakte Lisa Lykke direkte hos ØENS Advokatfirma for et forløb tilpasset jeres behov, eller tilmelde jer et åbent kursus via Danske Advokater, hvor Lisa også underviser i GDPR, hvidvask og KYC i praksis.

Advokatfirma

Lisa Lykke

Advokat, associeret partner

Afdeling:

FAQ: AML-pakken, AMLA og hvidvask-compliance

Nedenfor har vi samlet svar på de mest stillede spørgsmål om AML-pakken, AMLA og hvidvask-compliance.