Hvidvaskloven har fået en markant udvidelse - nye krav om proliferationsfinansiering, sanktioner og uafhængig kontrol

Den 3. september 2026 vedtog Folketinget en række ændringer af hvidvaskloven, som træder i kraft allerede den 15. september 2026.

Ændringerne følger af lovforslag L 9, der blev fremsat den 25. juni 2026, og som blandt andet har til formål at styrke Danmarks efterlevelse af FATF’s anbefalinger om bekæmpelse af hvidvask, terrorfinansiering og finansiering af proliferation. For virksomheder og personer omfattet af hvidvaskloven er særligt tre ændringer værd at hæfte sig ved:

• Virksomhedens risikovurdering skal fremover også omfatte risici relateret til finansiering af proliferation.
• Virksomhedens skriftlige politikker, forretningsgange og kontroller skal udvides til også at omfatte overholdelse af regler om finansielle sanktioner.
• En stor gruppe af de virksomheder og personer, som ikke hidtil har været omfattet af kravet om intern revision efter hvidvasklovens § 8, stk. 4, skal fremover sikre, at deres politikker, forretningsgange og kontroller testes af en uafhængig revisionsfunktion. Hvis en sådan funktion ikke findes, kan testen udføres af en ekstern ekspert.

Det sidste punkt er muligvis det mest interessante i praksis. Hvidvaskloven har hidtil i vidt omfang været bygget op omkring virksomhedernes egen risikovurdering, egne forretningsgange og egen interne kontrol. Med lovændringen indføres nu et krav om, at også en lang række virksomheder uden en egentlig intern revisionsfunktion skal have en tilstrækkeligt uafhængig person til at efterprøve, om virksomhedens AML-setup rent faktisk fungerer.

Hvorfor ændres reglerne?

Baggrunden skal navnlig findes hos FATF – Financial Action Task Force. Danmark skal som medlem af FATF arbejde for effektiv implementering og efterlevelse af FATF’s internationale anbefalinger. Anbefalingerne er blevet udvidet, så de ikke alene vedrører hvidvask og terrorfinansiering, men også finansiering af proliferation.

Ændringerne skal samtidig ses i lyset af FATF’s kommende evaluering af Danmark, som ifølge lovbemærkningerne forventes påbegyndt ultimo 2026. Danmark vil blandt andet blive vurderet på, om virksomheder omfattet af hvidvaskloven forstår og er i stand til at styre deres risici i relation til de internationale sanktionsregimer. Lovændringen er derfor ikke alene en teknisk justering af hvidvaskloven. Den er også udtryk for en bredere udvikling, hvor sanktionscompliance i højere grad bliver integreret i den almindelige AML-compliance.

Et nyt begreb i hvidvaskloven: Finansiering af proliferation

Med lovændringen indsættes en ny § 4 a i hvidvaskloven med en egentlig definition af finansiering af proliferation. Begrebet omfatter levering af midler eller finansielle tjenesteydelser til blandt andet fremstilling, erhvervelse, besiddelse, udvikling, eksport, omladning, transport, overførsel eller brug af nukleare, kemiske eller biologiske våben, der anvendes til ikkelegitime formål i strid med national lovgivning eller internationale forpligtelser.

Af de specielle bemærkninger fremgår det desuden, at begrebet også omfatter finansiering vedrørende produkter og teknologi med dobbelt anvendelse – de såkaldte dual-use-produkter. For den almindelige danske virksomhed kan proliferationsfinansiering måske umiddelbart forekomme temmelig fjernt fra den daglige drift eller rådgivning. Det interessante ved lovændringen er imidlertid, at pligten ikke er begrænset til virksomheder, der på forhånd vurderer sig selv som særligt udsatte. De nye risici integreres direkte i den virksomhedsrisikovurdering, som virksomheder omfattet af hvidvaskloven allerede skal udarbejde efter § 7.

Risikovurderingen efter § 7 skal udvides

Efter den hidtidige § 7 skal en virksomhed identificere og vurdere risikoen for, at virksomheden kan blive misbrugt til hvidvask eller finansiering af terrorisme. Denne pligt udvides nu. Virksomheden skal fremover også identificere og vurdere risikoen for potentielle brud på, manglende implementering eller omgåelse af forpligtelser i regler om finansiering af proliferation. Der er altså ikke alene tale om, at ordet ”proliferation” skal føjes til virksomhedens eksisterende risikovurdering på hvidvaskområdet. Virksomheden skal foretage en reel risikobaseret vurdering af, hvor og hvordan virksomheden kan være eksponeret for de nye risici.

Ifølge lovbemærkningerne skal virksomheden ud fra en holistisk betragtning blandt andet vurdere forretningsmodellens betydning for risikoen, hvilke aktiviteter risiciene knytter sig til, omfanget af de enkelte risici og – hvor relevant – hvordan forskellige risikotyper påvirker hinanden. Det betyder i praksis, at virksomhederne må forholde sig til, om og hvordan deres egne ydelser kan indgå i strukturer, transaktioner eller dispositioner, der indebærer risiko for brud på eller omgåelse af proliferationsrelaterede sanktioner.

Afhængigt af den konkrete virksomhed kan relevante risikofaktorer eksempelvis være kundens geografiske tilknytning, ejerstruktur, grænseoverskridende transaktioner, komplekse selskabsstrukturer, handel med bestemte aktiver eller rådgivning om internationale dispositioner. Det afgørende er fortsat proportionalitet. Risikovurderingens indhold og omfang skal afpasses efter virksomhedens konkrete risikofaktorer, størrelse og forretningsomfang.

Sanktioner bliver en udtrykkelig del af § 8

Den næste væsentlige ændring findes i hvidvasklovens § 8. Virksomheder omfattet af hvidvaskloven skal allerede have tilstrækkelige skriftlige politikker, forretningsgange og kontroller vedrørende blandt andet risikostyring, kundekendskab, undersøgelses-, noterings- og underretningspligten, opbevaring af oplysninger, screening af medarbejdere og intern kontrol. Med lovændringen udvides denne forpligtelse.

Virksomhederne skal fremover også have tilstrækkelige skriftlige politikker, forretningsgange og kontroller for overholdelse af regler om finansielle sanktioner mod lande, personer, grupper, juridiske enheder og organer samt pligten til indefrysning af midler efter hvidvasklovens § 34 a, stk. 3. Det er en principielt interessant ændring. Virksomhederne har naturligvis allerede pligt til at overholde gældende sanktionsregler. Det fremhæves også i lovbemærkningerne, at virksomhederne derfor allerede i et vist omfang må forventes at have procedurer på området. Det nye er, at sanktionsområdet nu udtrykkeligt integreres i virksomhedens samlede AML-compliance.

Sanktionscompliance bliver dermed ikke blot et tilgrænsende regelsæt, som virksomheden selvfølgelig skal overholde. Det bliver udtrykkeligt en del af de dokumenterede politikker, forretningsgange og kontroller, som virksomheden skal have på plads og kunne redegøre for i forbindelse med et hvidvasktilsyn.

Og så kommer den virkelig interessante ændring: Den uafhængige test

Med ændringen af hvidvasklovens § 8, stk. 4, udvides kravet om uafhængig test væsentligt. Efter de hidtidige regler har revisionskravet navnlig været relevant for virksomheder, som allerede har en intern revisionsfunktion, eller som efter anden lovgivning skal have en sådan funktion. Med lovændringen skal virksomheder og personer, der ikke allerede er omfattet af § 8, stk. 4, 1. pkt. – dog ikke disses filialer, distributører og agenter her i landet – sikre, at deres politikker, forretningsgange og kontroller testes af en uafhængig revisionsfunktion. Hvis der ikke findes en uafhængig revisionsfunktion, kan testen udføres af en ekstern ekspert. Lovbemærkningerne angiver virksomheder og personer omfattet af hvidvasklovens § 1, stk. 1, nr. 8-22, som ansvarssubjekter for det nye krav. Dermed får bestemmelsen betydning langt uden for den traditionelle finansielle sektor.

Under Folketingets behandling af lovforslaget blev der stillet flere spørgsmål til, hvad dette krav egentlig indebærer. Ministersvarene er interessante, fordi de viser, at en ”uafhængig revisionsfunktion” ikke nødvendigvis skal forstås som en formel intern revisionsafdeling.

Hvad betyder ”uafhængig” egentlig?

Kravet betyder ikke, at alle mindre virksomheder skal etablere en intern revisionsafdeling eller nødvendigvis købe en omfattende ekstern revisionsydelse. I sit svar på spørgsmål 1 til L 9 præciserede skatte- og vækstministeren, at kravet gælder virksomheder omfattet af hvidvaskloven uanset størrelse. Der er således ikke fastsat en undtagelse for eksempelvis små eller mellemstore virksomheder. Til gengæld skal kravet anvendes proportionalt.

Der opstilles ikke et bestemt uddannelseskrav eller erfaringsniveau for den person, der gennemfører testen. Virksomheden skal sikre sig, at personen er tilstrækkeligt uafhængig og har den fornødne faglige evne og indsigt til at gennemføre testen. Hvad der nærmere kræves, skal vurderes i forhold til virksomhedens type, størrelse og kompleksitet. Det betyder samtidig, at testen godt kan udføres internt. I en mindre virksomhed kan det eksempelvis være tilstrækkeligt, at en anden medarbejder end den, der til daglig sidder med området, kontrollerer, om virksomhedens politikker, forretningsgange og kontroller er tilrettelagt og fungerer på betryggende vis.

Ministeren præciserede dette yderligere i sit svar på spørgsmål 3. Det afgørende er ikke, om virksomheden organisatorisk har etableret en egentlig intern revisionsafdeling. En enkelt medarbejder kan efter omstændighederne varetage funktionen, hvis vedkommende besidder de nødvendige kompetencer og erfaring samt den fornødne uafhængighed. Det fremgår samtidig af ministersvar nr. 3, at den person, der har ansvaret for revisionsfunktionen, skal kunne rapportere uafhængigt til ledelsen. Kan virksomheden ikke finde en person internt, der opfylder disse krav, bliver det nødvendigt at anvende ekstern bistand, eksempelvis en revisor. Det vil eksempelvis være relevant i en enkeltmandsvirksomhed, hvor der ikke findes en anden medarbejder, som kan foretage testen.

Det centrale bliver derfor ikke, om virksomheden har en funktion, der formelt betegnes ”intern revision”. Det centrale bliver, om testen er organiseret med en reel og tilstrækkelig uafhængighed, og om den person, der foretager testen, har de nødvendige kompetencer og kan rapportere uafhængigt til ledelsen. For større virksomheder rejser det en række praktiske spørgsmål. Er det eksempelvis tilstrækkeligt, at en anden medarbejder i compliancefunktionen foretager testen? Skal testen placeres helt uden for den almindelige AML-funktion? Og hvornår bliver det nødvendigt eller mest hensigtsmæssigt at anvende en ekstern ekspert? Hverken loven eller forarbejderne giver et udtømmende svar på alle disse organisatoriske spørgsmål. Ministersvarene giver imidlertid nogle væsentlige pejlemærker: reel uafhængighed, de nødvendige faglige kompetencer og mulighed for uafhængig rapportering til ledelsen. Den kommende fælles europæiske hvidvasktilsynsmyndighed, AMLA, forventes desuden at udstede retningslinjer med nærmere vejledning om den uafhængige revisionsfunktion.

Det er ikke alene en skrivebordsøvelse

Det er vigtigt at hæfte sig ved lovens ordvalg: Virksomhedens politikker, forretningsgange og kontroller skal ”testes”. Formålet er således ikke alene, at en anden person skal læse virksomhedens hvidvaskpolitik igennem. Ifølge lovbemærkningerne skal den uafhængige kontrol sikre en objektiv og fagligt kvalificeret gennemgang, der kan afdække svagheder og mangler i virksomhedens system og dermed styrke risikostyringen. Gennemgangen skal samtidig bidrage til, at virksomhedens setup regelmæssigt evalueres og justeres i takt med ændrede risici og regulatoriske krav, og at virksomheden kan dokumentere over for tilsynsmyndighederne, at reglerne faktisk efterleves.

Det peger efter vores vurdering i retning af en mere klassisk tilgang til compliance-test. Det vil således næppe være tilstrækkeligt alene at konstatere, at virksomheden har en hvidvaskpolitik, en risikovurdering og et sæt forretningsgange. Testen må også forholde sig til, om procedurerne faktisk fungerer i praksis. Det stiller ikke alene krav til virksomhedens dokumentation, men også til de medarbejdere, der skal forstå og anvende procedurerne.

Læs mere om vores undervisning i hvidvask, KYC og compliance.

I praksis vil en sådan test efter vores vurdering eksempelvis kunne bestå i stikprøver af konkrete sager, kontrol af gennemført kundekendskab, kontrol af risikoklassifikationer, vurdering af dokumentation for skærpede kundekendskabsprocedurer og efterprøvning af, om virksomhedens egne procedurer faktisk følges.

Hvor ofte skal testen gennemføres?

Loven fastsætter ikke et bestemt interval for den uafhængige test. I beregningen af lovforslagets administrative konsekvenser er der imidlertid taget udgangspunkt i, at revisionen i praksis foretages ca. hvert tredje år, eventuelt ved brug af en ekstern ekspert. Det er vigtigt ikke at forveksle denne forudsætning med en lovbestemt treårsfrist.

Hvor ofte en konkret virksomhed bør gennemføre testen, må derfor efter vores vurdering bero på en konkret og risikobaseret vurdering, indtil der foreligger nærmere vejledning om kravet.

Dokumentationen skal være på plads, når tilsynet kommer

Loven indeholder også en anden ændring, som er værd at hæfte sig ved i praksis. Med en ny § 51, stk. 2, fastslås det, at tilsynsreaktioner som udgangspunkt træffes på grundlag af det materiale og de oplysninger, der foreligger på undersøgelsestidspunktet. Materiale og oplysninger, som først fremlægges efter dette tidspunkt, indgår som udgangspunkt ikke i grundlaget for afgørelsen, medmindre særlige forhold taler for det. Det understreger betydningen af, at virksomhedens AML-setup ikke alene fungerer i praksis, men også er tilstrækkeligt og løbende dokumenteret.

Det nytter med andre ord ikke nødvendigvis at kunne dokumentere efter et tilsyn, at virksomhedens procedurer faktisk var bedre end det materiale, virksomheden havde klar under selve undersøgelsen. Hvis det ikke er dokumenteret, så findes det ikke. Det har tilsynsmyndighederne fastslået et hav af gange.

Reglerne kommer før EU’s nye hvidvaskforordning

Ændringerne skal samtidig ses i sammenhæng med EU’s nye hvidvaskforordning, forordning (EU) 2024/1624. Forordningen finder som helhed anvendelse fra den 10. juli 2027 og indeholder blandt andet regler om interne politikker, procedurer og kontroller samt virksomhedens risikovurdering. Lovændringerne lægger sig på flere punkter tæt op ad de kommende EU-regler. Det fremgår også af ministersvar nr. 3, at hensigten har været at lægge de danske regler tæt op ad hvidvaskforordningen, så virksomhederne ikke skal omstille sig flere gange.

De danske virksomheder bevæger sig dermed allerede nu i retning af den compliancestruktur, som senere kommer til at følge direkte af EU-reguleringen.

Ikrafttræden – virksomhederne har meget kort tid

Loven træder i kraft den 15. september 2026. Da Folketinget vedtog loven den 3. september 2026, er implementeringstiden således meget kort.

For de omfattede virksomheder er der derfor god grund til allerede nu at gennemgå både virksomhedsrisikovurderingen, politikkerne og forretningsgangene og tage stilling til, hvordan kravet om uafhængig test konkret skal organiseres.

Hvad bør virksomhederne gøre nu?

Efter vores opfattelse bør virksomheder omfattet af hvidvaskloven navnlig forholde sig til tre områder:

• For det første bør den eksisterende virksomhedsrisikovurdering gennemgås med henblik på at identificere, hvilke risikofaktorer der er relevante i relation til finansiering af proliferation og omgåelse af de relevante sanktionsregimer.
• For det andet bør virksomhedens politikker, forretningsgange og kontroller gennemgås og om nødvendigt udbygges. Det bør navnlig overvejes, hvordan virksomheden identificerer relevante sanktionsrisici, hvordan kontrollen foretages, hvordan potentielle hits håndteres, hvem der har ansvaret, og hvordan pligten til indefrysning håndteres.
• For det tredje bør virksomheden tage konkret stilling til den nye uafhængige testfunktion. Hvem kan foretage testen? Er vedkommende tilstrækkeligt uafhængig af de funktioner, der skal testes? Har personen den nødvendige faglige evne og indsigt? Kan vedkommende rapportere uafhængigt til ledelsen? Og er virksomhedens organisation sådan indrettet, at testen kan foretages internt, eller er det nødvendigt at anvende en ekstern ekspert?

Det sidste spørgsmål kan meget vel vise sig at blive en af de mere praktisk betydningsfulde ændringer af hvidvaskloven i denne omgang.

Fra ”har vi en politik?” til ”virker den?”

Udviklingen i hvidvaskreguleringen har gennem en årrække bevæget sig fra formelle krav mod et stadig større fokus på den faktiske effektivitet af virksomhedernes AML-systemer. Den nye lov fortsætter denne udvikling. Det er ikke længere tilstrækkeligt, at virksomheden kan fremvise en risikovurdering, en hvidvaskpolitik og et sæt forretningsgange. Risikovurderingen skal udvides til nye risici. Sanktionsområdet skal integreres i virksomhedens AML-setup. Og for de virksomheder, der omfattes af det nye krav, skal en uafhængig funktion fremover efterprøve, om politikker, forretningsgange og kontroller faktisk fungerer.

Samtidig skærper den nye regel om grundlaget for tilsynsreaktioner betydningen af, at virksomheden har sin dokumentation på plads, når tilsynsmyndigheden kommer. Det er en ganske væsentlig ændring.

Og måske er det også meget sundt. For det interessante spørgsmål i et effektivt hvidvasksetup har aldrig været, om virksomheden har skrevet en forretningsgang.

Det interessante spørgsmål er, om den virker, når den skal bruges.

Kontakt advokat og associeret partner Lisa Lykke for en uforpligtende drøftelse. Vi hjælper jer med at vurdere, hvad de nye krav betyder for jeres virksomhed, opdatere jeres risikovurdering og forretningsgange samt tilrettelægge den uafhængige test.

Advokatfirma

Lisa Lykke

Advokat, associeret partner

Afdeling:

Ofte stillede spørgsmål om de nye krav i hvidvaskloven