Risikovurdering på hvidvaskområdet: Kan jeres virksomhed forklare sin egen risiko?

Fra 1. april 2026 klassificerer Finanstilsynet virksomheder under hvidvasktilsyn efter en justeret skala for iboende hvidvaskrisiko.

Fremover anvendes fire niveauer: lav risiko, middel risiko, væsentlig risiko og høj risiko.

Ændringen ændrer ikke i sig selv virksomhedernes forpligtelser efter hvidvaskloven. Men den er alligevel vigtig, fordi den peger i samme retning som den kommende EU-regulering på hvidvaskområdet: Virksomheder skal kunne forstå, vurdere, dokumentere og forklare deres egen risiko. Det er ikke længere nok at have en risikovurdering liggende som et statisk compliance-dokument. Risikovurderingen skal hænge sammen med virksomhedens faktiske aktiviteter, kundetyper, ydelser, transaktioner, ejerstrukturer, geografiske eksponering og daglige arbejdsgange.

Samtidig har AMLA, den nye europæiske hvidvaskmyndighed, sendt udkast til nye retningslinjer og retsakter i offentlig konsultation. Et af udkastene handler netop om virksomheders overordnede risikovurdering, også kaldet business-wide risk assessment. Høringen blev åbnet den 16. april 2026, og fristen for bemærkninger er den 15. juli 2026. Der er altså endnu ikke tale om endelige AMLA-retningslinjer. Men retningen er tydelig: Risikovurderingen bliver et endnu mere centralt omdrejningspunkt i hvidvask-compliance.

Hos ØENS Advokatfirma hjælper vi virksomheder og advokatvirksomheder med hvidvask-compliance for virksomheder, KYC, interne procedurer og risikovurderinger, der kan bruges i praksis. Vi rådgiver i øjenhøjde og hjælper med at omsætte reglerne til konkrete arbejdsgange, der kan forklares, anvendes og dokumenteres.

Kontakt advokat Lisa Lykke for en uforpligtende drøftelse

Hvad betyder Finanstilsynets nye skala?

Finanstilsynet har ændret sin skala for klassifikation af iboende hvidvaskrisiko. Hvor skalaen tidligere havde fem niveauer, anvendes der fra 1. april 2026 fire niveauer: lav risiko, middel risiko, væsentlig risiko og høj risiko. Ifølge Finanstilsynets nye skala for klassifikation af hvidvaskrisiko ændrer justeringen ikke indholdet af Finanstilsynets risikovurdering. Men nogle virksomheder kan alligevel opleve, at deres klassifikation fremstår anderledes end tidligere.

For virksomheden er det vigtigste derfor ikke kun, hvilket risikoniveau den placeres på. Det afgørende er, om virksomheden kan forklare, hvorfor risikoen er vurderet, som den er, og hvordan risikoen håndteres i praksis.

Hvad har Finanstilsynet ændret?

Finanstilsynet har oplyst, at virksomheder under hvidvasktilsyn fra 1. april 2026 får klassificeret deres iboende hvidvaskrisiko efter en firetrinsskala: lav risiko, middel risiko, væsentlig risiko og høj risiko. Justeringen skal blandt andet bringe skalaen i overensstemmelse med, hvad Finanstilsynet anvender på andre områder, og hvad der forventes at fremgå af den kommende EU-regulering på hvidvaskområdet. Det betyder ikke, at alle virksomheder automatisk skal udarbejde en helt ny risikovurdering fra bunden. Men ændringen er en oplagt anledning til at gennemgå, om den eksisterende risikovurdering stadig er opdateret, konkret og tilstrækkeligt forankret.

En virksomhed bør kunne forklare, hvilke hvidvaskrisici den har, hvorfor risiciene er vurderet på den måde, og hvordan de håndteres i konkrete arbejdsgange. Hvis risikovurderingen ikke kan kobles til KYC, interne procedurer, medarbejdernes daglige arbejde og virksomhedens faktiske kundetyper, er den sjældent stærk nok.

Hvad betyder iboende hvidvaskrisiko?

Iboende hvidvaskrisiko er den risiko, der følger af virksomhedens aktiviteter, før der tages højde for de kontroller og foranstaltninger, virksomheden har sat i værk. Det handler altså om den risiko, der ligger i selve forretningsmodellen. Hvilke ydelser tilbyder virksomheden? Hvilke kunder arbejder den med? Hvilke transaktioner håndteres? Er der komplekse ejerstrukturer, udenlandske forhold, højrisikolande, tredjemandsbetalinger eller andre forhold, der kan øge risikoen?

En virksomhed kan godt have en højere iboende risiko og samtidig have gode procedurer. Det afgørende er, at virksomheden forstår risikoen og har passende foranstaltninger til at håndtere den. Derfor bør en risikovurdering ikke kun gengive reglerne. Den bør beskrive virksomheden.

Hvorfor er risikovurderingen så vigtig?

Risikovurderingen er fundamentet for virksomhedens hvidvask-compliance. Hvis risikovurderingen er for generel, bliver resten af compliance-arbejdet også usikkert. Så bliver det vanskeligt at vurdere, hvilke kunder der kræver almindeligt kundekendskab, hvornår der er behov for skærpet kundekendskab, hvilke oplysninger der skal indhentes, og hvordan virksomheden skal reagere på usædvanlige forhold.

En god risikovurdering hjælper virksomheden med at forstå, hvor risikoen for hvidvask eller terrorfinansiering kan opstå. Den gør det også lettere at prioritere kontrollerne, dokumentere vurderingerne og forklare, hvorfor virksomheden har valgt sine procedurer.

Risikovurderingen bør derfor ikke kun være juridisk korrekt. Den bør også være konkret, praktisk og tilpasset virksomhedens hverdag.

AMLA: Risikovurderingen bliver et centralt omdrejningspunkt

Det er ikke kun Finanstilsynets nye skala, der viser, at risikovurderingen får større betydning. Også på EU-niveau bevæger hvidvaskreguleringen sig i retning af mere ensartede krav til, hvordan virksomheder identificerer, vurderer, dokumenterer og håndterer deres risici. Finanstilsynet har på sin høringsside oplyst, at AMLA løbende sender nye regelsæt i høring som led i den kommende fælles EU-lovgivning på hvidvaskområdet. For virksomheder er særligt udkastet om risikovurdering på virksomhedsplan relevant. Ifølge Finanstilsynet har retningslinjerne til formål at fastsætte et sæt minimumskrav, der er nødvendige for at kunne gennemføre en tilstrækkelig risikovurdering på virksomhedsplan.

AMLA sendte udkastet i offentlig høring den 16. april 2026, og der er svarfrist den 15. juli 2026. Retningslinjerne er derfor endnu ikke endelige. Men høringen viser tydeligt, at virksomhedens overordnede risikovurdering får en endnu mere central rolle i hvidvask-compliance. Det handler ikke kun om at placere virksomheden i en risikokategori. Det handler om at kunne forklare, hvilke risici der udspringer af virksomhedens forretningsmodel, kunder, produkter, ydelser, transaktioner, leveringskanaler og geografiske eksponering – og hvordan virksomheden håndterer disse risici i praksis.

På samme høringsside fremgår det også, at AMLA har sendt udkast i høring om blandt andet løbende overvågning af forretningsforbindelser, underretning om mistænkelige transaktioner og grænseoverskridende informationsudveksling mellem finansielle efterretningsenheder. Det understreger, at den kommende EU-regulering ikke kun handler om at have en risikovurdering på plads, men også om hvordan virksomheder løbende overvåger, dokumenterer og reagerer på risici.

Virksomheder bør derfor ikke vente passivt på de endelige retningslinjer. Allerede nu giver udviklingen anledning til at gennemgå metode, dokumentation, ansvar og praktisk forankring. En risikovurdering bør ikke kun være juridisk korrekt. Den skal også kunne bruges i hverdagen. Læs også: AML-pakken og AMLA

En standardskabelon er sjældent nok

Mange virksomheder starter med en skabelon. Det kan være et fint udgangspunkt. Men en skabelon er sjældent nok i sig selv. Problemet opstår, hvis risikovurderingen bliver så generel, at den kunne passe på næsten enhver virksomhed. Hvis den ikke afspejler virksomhedens konkrete ydelser, kundetyper, markeder, transaktioner og arbejdsgange, bliver den svær at bruge i praksis. Den bliver også svær at forklare ved tilsyn eller intern kontrol.

En god risikovurdering bør derfor tage udgangspunkt i virksomhedens egen virkelighed. Den bør beskrive, hvilke dele af virksomheden der er omfattet af hvidvaskreglerne, hvor risikoen opstår, og hvordan risikoen håndteres. Det skal være tydeligt, hvorfor virksomheden vurderer nogle områder som lavere risiko og andre som højere risiko.

Det er netop her, hvidvask-compliance for virksomheder bliver praktisk. Reglerne skal omsættes til et setup, medarbejderne kan forstå og følge.

Hvad bør en god hvidvask-risikovurdering indeholde?

Der findes ikke én model, der passer til alle virksomheder. En god risikovurdering bør tage udgangspunkt i den konkrete virksomhed og dens faktiske risikobillede. Virksomheden bør først se på sine aktiviteter. Hvilke ydelser tilbyder den, og hvilke dele af virksomheden er omfattet af hvidvaskreglerne? For advokatvirksomheder kan det for eksempel være relevant at se på sager om fast ejendom, selskabsoverdragelser, virksomhedsstiftelser, kapitalforhold, klientkonto og transaktioner. For andre virksomheder kan det handle om betalingsstrømme, kundetyper, ejerstrukturer eller finansielle produkter.

Dernæst bør virksomheden vurdere sine kundetyper. Der kan være højere risiko ved kunder med komplekse ejerstrukturer, udenlandske selskaber, politisk eksponerede personer, nye kunder uden tidligere relation eller kunder, hvor formålet med relationen ikke er klart. Geografi kan også have betydning. Det gælder både kundens tilknytning, transaktionernes retning og eventuelle forbindelser til lande eller områder med højere risiko. Men geografisk risiko bør ikke vurderes isoleret. Den bør ses sammen med kundetype, ydelse, transaktion, ejerstruktur og formålet med relationen.

Hvis virksomheden håndterer betalinger, transaktioner eller værdioverførsler, bør den også vurdere, om der er mønstre, der kræver særlig opmærksomhed. Det kan være usædvanligt store betalinger, betalinger fra tredjemand, komplekse betalingsstrømme eller transaktioner, der ikke passer med kundens profil. Endelig bør risikovurderingen beskrive, hvordan virksomheden håndterer de risici, den har identificeret. Hvis et område vurderes som højere risiko, bør det være tydeligt, hvilke kontroller der gælder. Det kan være skærpet kundekendskab, ekstra dokumentation, ledelsesgodkendelse, intern eskalation, hyppigere opdatering eller andre konkrete foranstaltninger.

Book en uforpligtende samtale med advokat og associeret partner Lisa Lykke

Risikovurderingen skal hænge sammen med KYC

Risikovurderingen og KYC-processen bør ikke leve hver for sig. Risikovurderingen beskriver virksomhedens overordnede risici og KYC-processen omsætter vurderingen til konkrete handlinger i det enkelte kundeforhold. Hvis virksomheden for eksempel har vurderet, at visse kundetyper, lande, transaktioner eller sagstyper indebærer højere risiko, bør KYC-processen afspejle det. Det bør være klart, hvilke oplysninger der skal indhentes, hvornår der skal ske skærpet kundekendskab, hvordan reelle ejere identificeres, og hvornår en sag skal eskaleres internt.

Hvis KYC-processen ikke hænger sammen med risikovurderingen, bliver compliance-arbejdet hurtigt fragmenteret. Så risikerer virksomheden, at risikovurderingen siger ét, mens hverdagen fungerer på en anden måde.

Risikovurderingen skal kunne forklares

En risikovurdering er først stærk, når virksomheden kan forklare den. Det er ikke nok, at der står “middel risiko” eller “høj risiko” i et dokument. Virksomheden bør kunne forklare, hvorfor vurderingen er landet dér, og hvilke konsekvenser det har i praksis. En god test er at spørge, om virksomheden kan forklare sine vigtigste hvidvaskrisici på få minutter. Kan virksomheden vise, hvordan risikovurderingen påvirker KYC-processen? Kan den dokumentere, hvornår vurderingen sidst er opdateret? Kan medarbejderne finde og forstå procedurerne? Og kan virksomheden vise eksempler på, at vurderingerne bruges i konkrete sager?

Hvis svaret er nej, er risikovurderingen måske ikke tilstrækkeligt forankret.

Typiske fejl i virksomheders risikovurderinger

Der er nogle fejl, som går igen, når virksomheder arbejder med hvidvask-risikovurdering.

• Den første er, at risikovurderingen er for generel. Hvis den kunne passe på næsten enhver virksomhed, er den sjældent god nok.
• Den anden er, at risikovurderingen ikke er opdateret. Virksomheder ændrer sig. Der kan komme nye ydelser, kundetyper, markeder, systemer eller arbejdsgange, og risikovurderingen bør følge med.
• Den tredje er, at risikovurderingen ikke bruges i hverdagen. En risikovurdering, som ingen bruger, har begrænset værdi. Den bør påvirke KYC, procedurer, kontroller og undervisning.
• Den fjerde er, at der mangler dokumentation for valg og fravalg. Det er vigtigt ikke kun at beskrive, hvad virksomheden gør, men også hvorfor virksomheden har valgt sin tilgang.
• Og den femte er, at ansvar og opfølgning er uklart. Det bør være tydeligt, hvem der ejer risikovurderingen, hvem der opdaterer den, og hvornår den skal genbesøges.

Læs også om hvidvaskpåbud til advokater, hvis I vil forstå, hvordan mangler i hvidvask-compliance kan få praktiske konsekvenser.

Hvad bør virksomheder gøre nu?

Finanstilsynets nye skala og AMLA’s høring er en god anledning til at gennemgå virksomhedens risikovurdering. Det behøver ikke være et stort og uoverskueligt projekt. Men det bør være grundigt nok til, at virksomheden får et reelt billede af sin risiko.

Start med at afklare, hvilke dele af virksomheden der er omfattet af hvidvaskreglerne. Kortlæg derefter virksomhedens aktiviteter, kundetyper, transaktioner, geografiske forhold, ejerstrukturer og arbejdsgange. Når risikofaktorerne er identificeret, bør virksomheden vurdere dem konkret og begrunde, hvorfor risikoen vurderes som lav, middel, væsentlig eller høj.

Det vigtigste er, at vurderingen ikke stopper dér. Den skal kobles til konkrete foranstaltninger. Hvis et område har højere risiko, skal det fremgå, hvordan risikoen håndteres i praksis. Det kan være gennem skærpet kundekendskab, ekstra kontrol, intern godkendelse, hyppigere opfølgning eller bedre dokumentation.

Til sidst bør virksomheden sikre, at procedurer og KYC-processer faktisk afspejler risikovurderingen. Det er her, risikovurderingen går fra at være et dokument til at blive en del af virksomhedens compliance-arbejde.

Særligt for advokatvirksomheder

For advokatvirksomheder er risikovurderingen særlig vigtig, fordi hvidvaskreglerne ikke nødvendigvis rammer alle sager ens. Nogle sager falder uden for hvidvasklovens anvendelsesområde. Andre kræver almindeligt kundekendskab. Andre igen kan give anledning til skærpet opmærksomhed. Det betyder, at advokatvirksomheden bør have en praktisk proces for at afklare, om sagen er omfattet, hvilken risiko sagen indebærer, hvilke oplysninger der skal indhentes, hvordan reelle ejere identificeres, og hvornår der skal ske skærpet kundekendskab.

Det er især relevant ved sager, der involverer fast ejendom, selskaber, transaktioner, klientkonto, virksomhedsoverdragelser eller komplekse ejerstrukturer.

Hos ØENS Advokatfirma hjælper vi advokatvirksomheder med compliance for advokater, så processerne bliver klare, anvendelige og dokumenterbare.

Særligt for virksomheder omfattet af hvidvaskreglerne

For virksomheder omfattet af hvidvaskreglerne bør risikovurderingen være tæt koblet til den daglige kundehåndtering. Det betyder, at risikovurderingen ikke kun skal ligge hos ledelsen eller den complianceansvarlige. Den skal kunne omsættes til arbejdsgange for de medarbejdere, der sidder med kunder, dokumentation, betalinger eller sagsoprettelse.

Medarbejderne skal vide, hvornår de skal gennemføre kundekendskab, hvad de skal indhente, hvor dokumentationen skal gemmes, hvad der tæller som usædvanlige forhold, og hvornår de skal eskalere internt. Det er her, en god risikovurdering gør forskellen. Den skaber ikke kun overblik for ledelsen. Den gør det lettere for medarbejderne at handle rigtigt.

ØENS Advokatfirma hjælper med risikovurdering og hvidvask-compliance

Hos ØENS Advokatfirma hjælper vi virksomheder og advokatvirksomheder med at få styr på hvidvask-compliance i praksis. Vi kan blandt andet hjælpe med gennemgang af eksisterende risikovurdering, udarbejdelse af ny risikovurdering, tilpasning til virksomhedens konkrete aktiviteter, KYC og kundekendskabsprocedurer, interne politikker, identifikation af reelle ejere, løbende overvågning, intern kontrol, medarbejderundervisning og forberedelse til tilsyn eller kommende regelændringer.

Vores tilgang er praktisk og jordnær. Vi forklarer reglerne, før vi anbefaler løsningen, og vi hjælper jer med at få et setup, der kan forstås og bruges i hverdagen.

Få et tjek af jeres risikovurdering

Er I i tvivl om, hvorvidt jeres risikovurdering er opdateret, konkret og tilstrækkeligt dokumenteret? Så kan en kort gennemgang være et godt sted at starte.

Hos ØENS Advokatfirma hjælper vi jer med at afklare, om risikovurderingen passer til jeres virksomhed, om den hænger sammen med jeres KYC-processer, og om der mangler dokumentation, forankring eller klare arbejdsgange. Målet er at give jer ro, overblik og en klar plan for næste skridt.

Kontakt advokat og associeret partner Lisa Lykke for en uforpligtende drøftelse

Advokatfirma

Lisa Lykke

Advokat, associeret partner

Afdeling:

FAQ: Risikovurdering på hvidvaskområdet

Nedenfor har vi samlet svar på de mest stillede spørgsmål om risikovurderinger på hvidvaskområdet.