AML forordningen
Den nye AML-forordning: Væsentligt mere detaljerede krav fra 2027
Den 10. juli 2027 træder EU’s nye AML-forordning i kraft. Forordningen og de yderligere detaljerede regler, som bliver udarbejdet, skærper kravene til ledelse, risikostyring, arbejdsgange og dokumentation.
AML-forordningen erstatter den nuværende hvidvasklov. Formålet er at ensrette hvidvaskområdet på tværs af lande og på tværs af de omfattede virksomheder og brancher og dermed at styrke bekæmpelsen af hvidvask og terrorfinansiering i hele EU.
Mange af begreberne kendes allerede. Det nye detaljeringsniveau og den tættere sammenhæng mellem reglerne kan meget vel kræve væsentlige ændringer i virksomhedernes organisering, kundearbejde, digitale løsninger og ledelsesmæssige opfølgning.
Et væsentligt mere detaljeret fælles regelsæt
AML-forordningen gælder direkte i alle EU-lande og vil afløse en væsentlig del af de regler for virksomhederne, som i dag findes i den danske hvidvasklov.
Den risikobaserede tilgang, virksomhedens risikovurdering, kundekendskabsprocedurer, undersøgelser og indberetninger videreføres. De væsentligste ændringer vedrører omfanget og detaljeringsniveauet. Forordningen regulerer områderne mere detaljeret og forankrer dem tydeligere i virksomhedens ledelse, organisation og samlede risikostyring.
Forberedelsen kræver derfor mere end en opdatering af de eksisterende dokumenter. Virksomhederne skal vurdere, hvordan de nye krav påvirker arbejdsgange, ansvarsfordeling, data, systemer og dokumentationen for de beslutninger, der træffes.
En del af detailreguleringen er fortsat under udvikling. Det betyder, at virksomhederne både skal forberede sig på de krav, der allerede er kendt, og følge de kommende standarder og retningslinjer fra den nye EU-tilsynsmyndighed, som samtidig er blevet etableret: Anti-Money Laundering Authority (AMLA).
AMLA udfylder væsentlige dele af regelsættet
Anti-Money Laundering Authority - AMLA
AMLA er den nye tilsynsmyndighed på hvidvaskområdet. Den vil have ansvar for direkte tilsyn med de 40 største banker i EU. Alle andre forpligtede enheder vil være underlagt nationalt tilsyn som i dag.
For alle forpligtede enheder, og dermed også danske revisorer og bogholdere, vil AMLA udstede regler og vejledninger, som vil gælde for de nationale tilsynsmyndigheder og virksomheder. De nationale regler i Hvidvaskloven (som også stammer fra EU direktiver), er i store træk flyttet ind i den nye AML-forordning, og vil dermed blive fjernet fra Hvidvaskloven.
AMLA er beliggende i Frankfurt, og vil samlet inden for et par år have over 400 medarbejdere.
AMLAs opgaver
AMLA har fået til opgave at udvikle regler på 40 forskellige områder. Disse kaldes “mandater” og formålet er at udarbejde detaljerede regler henviser til en række af artiklerne i forordningen og det tilhørende nye EU-direktiv: det 6. hvidvaskdirektiv. AMLA planlægger at levere 24 af disse i 2026.
Mandaterne udmøntes i tekniske standarder (Regulatory Technical Standards – RTS). Retningslinjerne skal udfolde en række af forordningens krav og får direkte betydning for, hvordan alle forpligtede enheder – også danske revisorer og bogholdere skal tilrettelægge arbejdet.
Blandt de centrale områder er:
- Virksomhedens risikovurdering: Indhold og krav til koncerner og netværk.
- Definition og afgrænsning mellem forretningsforbindelser, lejlighedsvise transaktioner og indbyrdes forbundne transaktioner.
- Omfanget af kundekendskabsprocedurer (de bliver mere omfattende) samt overvågning heraf.
- Generelle risici for den ikke-finansielle sektor, som skal indrapporteres til tilsynsmyndigheder.
De indtil videre udarbejdede høringsudkast fra AMLA viser et højt detaljeringsniveau og kan få væsentlig betydning for de oplysninger og dokumenter, der skal indhentes, og for virksomhedernes arbejdsgange og digitale løsninger.
Høringsprocessen er en central del af EU’s lovforberedende arbejde, hvor AMLA udarbejder udkast til disse RTS, som sendes i offentlig høring. I denne proces har alle interessenter, herunder nationale myndigheder, brancheorganisationer, forpligtede enheder og andre, der ønsker at bidrage, mulighed for at komme med bemærkninger til de foreløbige udkast. De endelige tekster udarbejdes og sendes videre til Europa-Kommissionen til endelig godkendelse.
AMLA har i sit arbejde et særligt fokus på data som et grundlæggende element i en effektiv indsats mod hvidvask og terrorfinansiering. Adgang til, kvaliteten af og deling af relevante data på tværs af jurisdiktioner og myndigheder anses som afgørende for at kunne identificere risici, opdage mønstre og sikre en mere målrettet og effektiv tilsyns- og håndhævelsesindsats.
Det samlede omfang af de ændringer, virksomhederne skal gennemføre, vil derfor først kunne fastlægges, efterhånden som reglerne færdiggøres.
Relevante links
AML forordningen (forordning 2024/1624) kan ses her:
AMLAs arbejde for de regulatoriske tekniske standarder (RTS) kan følges her:
Public Consultations – Authority for Anti-Money Laundering and Countering the Financing of Terrorism
Faktaboks
40
Regulatoriske mandater
24
Planlagte leverancer i 2026
Fire områder med betydning for de omfattede virksomheder
Der er overordnet set fire hovedområder for de omfattede virksomheder, og de hænger tæt sammen. Ændringer i virksomhedens risikovurdering skal kunne genfindes i politikker, procedurer, kontroller, kundekendskabsprocedurer, overvågning og konkrete faglige beslutninger igennem hele processen.
1
Ledelse og compliance
Tydeligere ansvar for beslutninger, ressourcer, rapportering og opfølgning.
2
Risikostyring og dokumentation
Større krav til sammenhæng, metode, data og dokumenterede overvejelser.
3
Organisering og arbejdet med kunder
Mere detaljerede krav til kundekendskabsprocedurer, outsourcing og digitaliserede arbejdsgange.
4
Undersøgelser og indberetninger
Dokumentation af hele vurderingsforløbet og grundlaget for de trufne beslutninger.
Ledelse og compliance
Ledelsesansvaret bliver tydeligere forankret
Ledelsen skal kunne dokumentere, hvordan virksomhedens risici får betydning for prioriteringer, ressourcer og konkrete beslutninger på hvidvaskområdet.
AML-forordningen placerer ansvaret for compliance tydeligt i virksomhedens ledelse. Et medlem af ledelsen skal have ansvaret for, at politikker, procedurer og kontroller hænger sammen med virksomhedens risici og bliver gennemført i praksis.
Ledelsen skal sikre tilstrækkelige personalemæssige, teknologiske og øvrige ressourcer. Den skal samtidig modtage rapportering om væsentlige mangler, følge op på resultaterne af kontroller og sikre, at konstaterede svagheder bliver håndteret.
Ledelsesansvaret bliver synligt gennem dokumentationen. Den skal vise sammenhængen mellem virksomhedens risikobillede, de ledelsesmæssige prioriteringer og de beslutninger, der træffes i den daglige risikostyring og i forhold til risici knyttet til de enkelte kunder.
Sammenlignet med de nuværende regler
Forordningen regulerer ledelsesansvaret og compliancefunktionernes opgaver væsentligt mere detaljeret. Kravene rækker videre end en formel placering af ansvaret og omfatter ledelsens løbende involvering, prioritering og opfølgning.
Faktaboks: Centrale Artikler
Artikel 11
Compliancefunktioner, ledelsesansvar, ressourcer og rapportering.
Risikostyring og dokumentation
Risikostyringen skal kunne følges gennem hele organisationen
Sammenhængen mellem risikovurderinger, beslutninger og handlinger skal være tydelig i dokumentationen.
Virksomhedens risikovurdering skal danne grundlag for politikker, procedurer, kontroller og det daglige arbejde med kunder. Den skal bygge på aktuelle og relevante oplysninger om virksomhedens forretningsmodel, kunder, ydelser, leveringskanaler og geografiske forhold.
Når risikobilledet ændrer sig, skal virksomheden kunne dokumentere vurderingen af ændringen og de konsekvenser, den får. Det gælder blandt andet ved nye ydelser, nye kundegrupper, nye leveringskanaler og anvendelse af ny teknologi.
Data får derfor større betydning. Data skal både understøtte den faglige vurdering og gøre det muligt for ledelsen at følge udviklingen, prioritere ressourcer og dokumentere grundlaget for sine beslutninger.
Sammenlignet med de nuværende regler
Forordningen skaber en tættere og mere dokumentationskrævende sammenhæng mellem risikovurderingen og virksomhedens øvrige styring. Det øger kravene til metode, datagrundlag, datakvalitet, datastyring, opdatering og ledelsesmæssig anvendelse.
Faktaboks: Centrale Artikler
Artikel 9
Politikker, procedurer og kontroller.
Artikel 10
Virksomhedens samlede risikovurdering.
Organisering og arbejde med kunder
Kendte pligter bliver reguleret væsentligt mere detaljeret
Detailreguleringen kan ændre både arbejdsmængden og den praktiske gennemførelse af kundekendskabsprocedurerne.
Arbejdet med kundekendskabsprocedurerne bygger fortsat på en risikobaseret tilgang. Virksomheden skal identificere og verificere kunden og de reelle ejere, forstå forretningsforbindelsens formål og tilsigtede karakter og gennemføre løbende opfølgning.
De kommende tekniske standarder skal præcisere, hvilke oplysninger og dokumenter virksomhederne skal indhente, og hvordan omfanget, intensiteten og hyppigheden skal tilpasses risikoen. Det kan få væsentlig betydning for eksisterende arbejdsgange, datakrav og digitale løsninger.
AMLA udarbejder samtidig kriterier for, hvornår der foreligger en forretningsforbindelse, en lejlighedsvis transaktion eller indbyrdes forbundne transaktioner. Denne afgrænsning har betydning for, hvornår kundekendskabsprocedurer og løbende opfølgning skal gennemføres. AMLA anfører selv, at nogle virksomheder kan få yderligere implementeringsomkostninger som følge af standarden.
Reglerne om outsourcing skærpes også. Virksomheden bevarer det fulde ansvar og skal kunne forklare leverandørens fremgangsmåde og dokumentere, hvordan den håndterer virksomhedens konkrete risici, uanset om opgaven løses i en intern eller ekstern IT-løsning eller manuelt af ledelsen og medarbejderne. Centrale vurderinger og beslutninger vil aldrig kunne outsources.
Sammenlignet med de nuværende regler
De grundlæggende kundekendskabsprocedurer videreføres, mens detailreguleringen kan medføre større ændringer i den praktiske gennemførelse og arbejdet med hvidvaskområdet i hverdagen. Det omfatter en tydeligere placering af ansvaret for, hvem der træffer disse centrale beslutninger, og hvordan det sker i praksis. Det præcise omfang afhænger af de endelige AMLA-standarder.
Faktaboks: Centrale Artikler
Artikel 18
Outsourcing og virksomhedens fortsatte ansvar.
Artikel 19 & 33
Kundekendskab og løbende opfølgning.
AMLA-mandater
Artikel 19, stk. 9, og artikel 28, stk. 1.
Undersøgelser og indberetninger
Den faglige vurdering skal kunne rekonstrueres
Dokumentationen skal vise hele forløbet fra det usædvanlige forhold til beslutningen om at indberette eller afslutte undersøgelsen.
Virksomheden skal identificere og undersøge usædvanlige aktiviteter, transaktioner og mønstre. Vurderingen skal bygge på relevante fakta og oplysninger om kunden, kundens risikoprofil, transaktionerne og de øvrige omstændigheder, som virksomheden kender.
Dokumentationen skal vise, hvilke oplysninger og omstændigheder der er indgået i vurderingen, hvilke overvejelser virksomheden har foretaget, og hvilket resultat undersøgelsen har ført til. Kravet gælder, uanset om undersøgelsen fører til en indberetning.
Det er her, sammenhængen mellem virksomhedens risikostyring og den konkrete beslutning bliver synlig. Dokumentationen skal gøre det muligt at forstå, hvorfor en undersøgelse blev iværksat, hvordan den blev gennemført, og hvorfor virksomheden traf sin endelige beslutning.
Sammenlignet med de nuværende regler
Pligten til at undersøge og reagere på mistænkelige forhold videreføres. Forordningen beskriver vurderingsgrundlaget og dokumentationen mere præcist. De kommende fælles indberetningsformater og indikatorer får yderligere betydning for virksomhedernes processer.
Faktaboks: Centrale Artikler
Artikel 69
Vurdering og indberetning af mistanke.
Artikel 70
Særlige regler for visse professioner.
Artikel 77
Dokumentation og opbevaring af den gennemførte vurdering.
Betydningen for virksomhederne
Forberedelsen kræver mere end nye dokumenter
AML-forordningen kan medføre væsentlige ændringer i virksomhedernes arbejdsgange, ansvarsfordeling, data, systemunderstøttelse og dokumentation.
En del af arbejdet kan begynde nu. Andre ændringer afhænger af de endelige tekniske standarder og retningslinjer fra AMLA. Ledelsen skal derfor både skabe overblik over de kendte krav og følge, hvor detailreguleringen ændrer grundlaget for virksomhedens nuværende praksis.
For revisionsvirksomheder og bogholdere bliver opgaven at omsætte et omfattende regelsæt til en sammenhængende og dokumenterbar risikostyring. Det kræver ledelsesmæssig prioritering og en plan for arbejdet frem mod den 10. juli 2027.
Auxia Consultings rådgivning
Rådgivning om forberedelsen til AML-forordningen
Auxia rådgiver revisionsvirksomheder og bogholdere om betydningen af AML-forordningen og de kommende regler fra AMLA.
Rådgivningen tager udgangspunkt i virksomhedens organisation, risici, arbejdsgange og eksisterende dokumentation. Vi hjælper ledelsen med at skabe overblik over, hvor ændringerne får størst betydning, og hvilke områder der kan forberedes allerede nu.