Hvidvaskloven: Komplet guide til AML-krav for finansielle virksomheder

Hvidvaskloven stiller omfattende krav til finansielle virksomheder i Danmark. Med 87% af Finanstilsynets inspektioner der resulterer i påbud relateret til hvidvask, og nye EU-regler på vej i 2027, er det vigtigere end nogensinde at have styr på AML-compliance.

Denne guide giver dig et komplet overblik over hvidvasklovens krav, de mest almindelige fejl ved Finanstilsynets inspektioner, og hvordan du kan automatisere din AML-indsats.

Hvad er hvidvaskloven?

Hvidvaskloven (Lov om forebyggende foranstaltninger mod hvidvask og finansiering af terrorisme) implementerer EU's hvidvaskdirektiver i dansk ret. Loven pålægger finansielle virksomheder at have procedurer der forebygger, at virksomheden bliver misbrugt til hvidvask eller terrorfinansiering.

Ifølge Hvidvasksekretariatets rapport "Den Nationale Vurdering af Hvidvask 2022" hvidvaskes der årligt omkring 68 milliarder danske kroner i Danmark. Det understreger vigtigheden af effektive kontrolsystemer.

Hvem er omfattet?

Hvidvaskloven gælder for en bred vifte af virksomheder, herunder:

• Pengeinstitutter og banker
• Fondsmæglerselskaber og investeringsforvaltningsselskaber
• Forsikringsselskaber (livsforsikring)
• Betalingsinstitutter og e-pengeinstitutter
• Vekselkontorer
• Udbydere af crowdfunding og crowdlending
• Revisorer, advokater og ejendomsmæglere

De 5 grundpiller i hvidvaskloven

1. Risikovurdering

Virksomheden skal udarbejde en skriftlig risikovurdering der identificerer og vurderer risikoen for, at virksomheden kan blive misbrugt til hvidvask eller terrorfinansiering. Risikovurderingen skal tage højde for:

• Kunderisici: Hvilke kundetyper har høj risiko?
• Produkt- og servicerisici: Hvilke produkter er særligt sårbare?
• Geografiske risici: Har I kunder i højrisikolande?
• Transaktionsrisici: Hvilke transaktionsmønstre er mistænkelige?

Risikovurderingen skal opdateres løbende og mindst én gang årligt.

2. Kundekendskabsprocedurer (KYC)

KYC (Know Your Customer) er kernen i hvidvasklovens krav. Du skal indhente og verificere oplysninger om dine kunder før etablering af kundeforholdet.

For fysiske personer:

• Navn og CPR-nummer
• Adresse
• Legitimation (pas, kørekort eller MitID)

For juridiske personer:

• Navn og CVR-nummer
• Adresse og vedtægter
• Oplysninger om reelle ejere (personer der ejer mere end 25%)
• Dokumentation for tegningsberettigede

3. PEP-undersøgelse

Du skal undersøge om kunden eller kundens reelle ejere er PEP'er (Politisk Eksponerede Personer). PEP'er omfatter:

• Statsoverhoveder, regeringsmedlemmer og parlamentsmedlemmer
• Højtstående embedsmænd i ministerier og styrelser
• Højesteretsdommere og medlemmer af revisionsretter
• Ambassadører og militære officerer af høj rang
• Ledelsesmedlemmer i statsejede virksomheder
• Nærtstående familiemedlemmer og tætte forretningsforbindelser til ovenstående

PEP-status medfører krav om skærpet kundekendskab og løbende overvågning.

4. Transaktionsovervågning

Virksomheden skal løbende overvåge kunders transaktioner for at opdage mistænkelig adfærd. Det inkluderer:

• Uventede store transaktioner
• Transaktioner der ikke matcher kundens profil
• Hyppige kontante transaktioner
• Transaktioner til/fra højrisikolande
• Komplekse transaktionsmønstre uden åbenlys økonomisk begrundelse

5. Underretningspligt

Hvis du har mistanke om hvidvask eller terrorfinansiering, har du pligt til at underrette Hvidvasksekretariatet. Underretningen skal ske straks og uden at orientere kunden.

I 2022 modtog Hvidvasksekretariatet over 50.000 underretninger fra danske virksomheder.

Finanstilsynets inspektioner: De mest almindelige fejl

Finanstilsynet gennemfører løbende inspektioner af virksomheders AML-setup. Statistikken er alarmerende: 87% af inspektionerne fra 2016-2020 resulterede i et eller flere påbud relateret til hvidvask.

Typiske mangler

1. Utilstrækkelig risikovurdering, For generel, ikke opdateret eller mangler vigtige risikoområder
2. Mangelfuld KYC-dokumentation, Manglende legitimation, ikke-verificerede oplysninger
3. Ingen eller utilstrækkelig PEP-undersøgelse, Ikke tjekket eller ikke dokumenteret
4. Manglende løbende overvågning, KYC kun ved onboarding, ikke opdateret siden
5. Utilstrækkelig transaktionsovervågning, Manuel og sporadisk fremfor systematisk
6. Manglende uddannelse af medarbejdere, Ingen dokumenteret træning i AML-procedurer

Konsekvenser ved manglende compliance

• Påbud: Krav om at rette op inden for en frist
• Påtaler: Offentlig kritik fra Finanstilsynet
• Bøder: Administrative bøder der kan løbe op i millioner
• Inddragelse af tilladelse: Ved grove eller gentagne overtrædelser
• Strafferetlige sanktioner: Ved forsætlige overtrædelser

AML-pakken 2027: Nye EU-regler på vej

Den 10. juli 2027 træder EU's nye AML-pakke i kraft med væsentlige ændringer:

AMLA, Ny europæisk tilsynsmyndighed

AMLA (Anti-Money Laundering Authority) bliver en fælles europæisk hvidvasktilsynsmyndighed med hovedsæde i Frankfurt. AMLA får direkte tilsynskompetence over de største og mest risikofyldte finansielle institutioner i EU.

Nye krav til virksomheder

• Skriftlige sanktionspolitikker: Virksomheder skal have interne politikker og procedurer til at sikre overholdelse af finansielle sanktioner
• Strammere outsourcing-krav: Mere specifikke krav til outsourcing, herunder til IT-leverandører
• Harmoniserede regler: Mange regler flyttes fra direktiv til forordning, hvilket betyder direkte anvendelse uden national implementering
• Lavere grænser: Skærpede krav ved kontanttransaktioner og højværditransaktioner

Hvad skal du gøre nu?

Selvom reglerne først træder i kraft i 2027, bør du allerede nu:

• Gennemgå dine nuværende AML-procedurer
• Vurdere om dine IT-systemer kan håndtere de nye krav
• Sikre at outsourcing-aftaler er compliant
• Planlægge opdatering af politikker og procedurer

Automatisering af AML-compliance

Manuel AML-compliance er tidskrævende og fejlbehæftet. Moderne AML-software kan automatisere store dele af arbejdet:

Hvad kan automatiseres?

• KYC-indsamling: Digitale formularer med automatisk validering mod CVR, PEP-lister og sanktionslister
• PEP-screening: Automatisk tjek mod internationale PEP-databaser
• Sanktionsscreening: Løbende tjek mod EU, FN og nationale sanktionslister
• Transaktionsovervågning: Regelbaseret overvågning der flager mistænkelige mønstre
• Risikoscoring: Automatisk beregning af kunderisiko baseret på definerede parametre
• Rapportering: Automatisk generering af lovpligtige rapporter

Fordele ved automatisering

• Konsistens: Alle kunder behandles efter samme regler
• Dokumentation: Fuld audit trail på alle handlinger
• Skalerbarhed: Håndtér flere kunder uden at øge compliance-ressourcer
• Realtidsovervågning: Opdager mistænkelig aktivitet med det samme
• Inspektionsparathed: Al dokumentation samlet og let tilgængelig

Tjekliste: Er din AML-compliance i orden?

Risikovurdering

• Skriftlig risikovurdering er udarbejdet
• Risikovurderingen dækker alle relevante risikoområder
• Risikovurderingen er opdateret inden for det seneste år
• Ledelsen har godkendt risikovurderingen

Kundekendskab (KYC)

• Alle kunder er identificeret og verificeret
• Reelle ejere er identificeret for alle juridiske personer
• KYC-dokumentation er arkiveret korrekt
• Kundeprofiler opdateres løbende

PEP og sanktioner

• Alle kunder screenes mod PEP-lister
• Alle kunder screenes mod sanktionslister
• Screening gentages regelmæssigt
• PEP-kunder har skærpet overvågning

Transaktionsovervågning

• Systematisk overvågning af kundetransaktioner
• Definerede regler for mistænkelige transaktioner
• Procedure for undersøgelse af flaggede transaktioner
• Dokumentation af undersøgelser og konklusioner

Organisation og uddannelse

• Hvidvaskansvarlig er udpeget
• Medarbejdere er trænet i AML-procedurer
• Træningen er dokumenteret
• Politikker og procedurer er skriftlige og tilgængelige

FAQ om hvidvaskloven

Hvor længe skal jeg gemme KYC-dokumentation?

KYC-dokumentation skal opbevares i mindst 5 år efter kundeforholdets ophør. For transaktionsdata gælder også 5 år efter transaktionens gennemførelse.

Hvad gør jeg hvis en kunde nægter at udlevere oplysninger?

Hvis kunden ikke vil eller kan udlevere de påkrævede oplysninger, må du ikke etablere kundeforholdet. For eksisterende kunder skal du overveje at afbryde kundeforholdet og eventuelt foretage underretning til Hvidvasksekretariatet.

Hvor ofte skal jeg screene mod sanktionslister?

Du skal screene ved onboarding og løbende derefter. Best practice er daglig eller ugentlig screening, da sanktionslister opdateres hyppigt.

Skal jeg underrette kunden hvis jeg foretager en underretning til Hvidvasksekretariatet?

Nej, tværtimod. Det er forbudt at oplyse kunden om, at der er foretaget underretning ("tipping off"). Overtrædelse kan medføre strafansvar.

Hvad er forskellen på simpel og skærpet kundekendskab?

Simpel kundekendskab gælder lavrisikokunder og kræver grundlæggende identifikation. Skærpet kundekendskab gælder højrisikokunder (fx PEP'er eller kunder fra højrisikolande) og kræver ekstra dokumentation, hyppigere opdatering og godkendelse fra ledelsen.

Kan jeg outsource min AML-funktion?

Du kan outsource dele af AML-arbejdet, men ansvaret forbliver hos dig. Du skal sikre at leverandøren lever op til lovens krav, og du skal have tilstrækkelig kontrol med den outsourcede funktion. De nye EU-regler fra 2027 stiller skærpede krav til outsourcing.

Konklusion

Hvidvaskloven stiller omfattende krav til finansielle virksomheder, og Finanstilsynets statistik viser at de fleste virksomheder har mangler. Med nye EU-regler på vej i 2027 er det nu, du skal sikre at din AML-compliance er i orden.

Ved at automatisere KYC, PEP-screening, transaktionsovervågning og dokumentation kan du reducere risikoen for påbud markant, og frigøre tid til at fokusere på din kerneforretning.