EU's AML-pakke og AMLA: hvad ændres der, og hvornår

I to årtier har EU bekæmpet hvidvaskning af penge ved hjælp af direktiver, som hver medlemsstat gennemførte på sin egen måde, så en bank i Lissabon og et e-pengeinstitut i Vilnius kunne læse den samme tekst og køre forskellige kontroller. Den pakke, der blev vedtaget den 31. maj 2024, erstatter meget af det med et fælles regelsæt, et slankere direktiv og en ny tilsynsmyndighed.

Denne vejledning beskriver, hvad hvert instrument gør, hvilke datoer der er vigtige, og de praktiske ændringer for kreditinstitutter, betalings- og e-pengeselskaber, investeringsselskaber, fonde, udbydere af kryptoaktivserviceydelser og den ikke-finansielle sektor.

Tre instrumenter, tre opgaver

Instrument	Juridisk formular	Hovedjob	Gælder fra
Forordning (EU) 2024/1624 (AMLR)	Forordning, direkte gældende	Virksomhedernes forpligtelser: risikovurdering, due diligence, reelt ejerskab, rapportering, opbevaring af oplysninger, likviditetsgrænse	10. juli 2027 (fodboldsektoren 10. juli 2029)
Direktiv (EU) 2024/1640 (AMLD6)	Direktiv, gennemført nationalt	Medlemsstaternes forpligtelser: tilsynsmyndigheder, finansielle efterretningsenheder (FIU'er), registre, sanktioner	Gennemførelse senest den 10. juli 2027, med tidligere og senere datoer for specifikke artikler
Forordning (EU) 2024/1620 (AMLA (forordning)	Regulering	Opretter myndigheden for bekæmpelse af hvidvaskning af penge og finansiering af terrorisme (AMLA)	1. juli 2025, med nogle artikler fra 26. juni 2024

Den praktiske konsekvens af at overføre regler på selskabsniveau til en forordning er, at den nationale gold-plating mindskes: Medlemsstaterne har et vist spillerum, f.eks. til at fastsætte lavere kontantgrænser eller undtage lavrisikospil, men de grundlæggende forpligtelser er de samme overalt.

Tidslinjen

1. 26. juni 2024. AMLA er juridisk etableret. Udvalgte artikler i AMLA-forordningen finder anvendelse fra denne dato i henhold til artikel 108.
2. 1. juli 2025. Det er vigtigt, at patienten får den nødvendige behandling. AMLA Forordningen gælder generelt. AMLA Den første formand, Bruna Szego, tiltrådte den 16. februar 2025.
3. 10 July 2025. Member States had to apply the AMLD6 amendments to the existing directive on access to beneficial ownership information (AMLD6, Articles 74 and 78).
4. 10 July 2026. Deadline for the AMLD6 rules on access to beneficial ownership registers by authorities, obliged entities and persons with a legitimate interest (Articles 11, 12, 13 and 15).
5. Senest den 1. juli 2027. AMLA ECB påbegynder sin første udvælgelse af enheder til direkte tilsyn og skal afslutte den inden for seks måneder (AMLA Forordningen, artikel 13, stk. 4).
6. 10. juli 2027. AMLR finder anvendelse (Artikel 90), og AMLD6 skal generelt gennemføres.
7. 2028. AMLA påbegynder direkte tilsyn, seks måneder efter offentliggørelsen af listen over udvalgte enheder. AMLAs egen tidsplan placerer fuld drift i 2028.
8. 10. juli 2029. AMLR gælder for fodboldagenter og professionelle fodboldklubber, indehaveraktier skal være konverteret, immobiliseret eller deponeret (AMLR, artikel 79), og det fælles adgangspunkt til oplysninger om fast ejendom i henhold til AMLD6 er forfaldent (artikel 18).

Hvem er en forpligtet enhed

AMLR Artikel 3 Definitionen af finansielle institutioner nævner nu udtrykkeligt udbydere af kryptoaktivtjenesteydelser sammen med betalings- og e-pengeselskaber, investeringsselskaber, livsforsikringsselskaber, investeringsinstitutter og deres administrationsselskaber samt alternative investeringsfonde og deres forvaltere.

Den ikke-finansielle liste indeholder flere tilføjelser eller præciseringer, der er vigtige for licenserede grupper og deres kunder:

• Trust- eller selskabsserviceudbydere, skatterådgivere, revisorer, advokater og notarer i definerede transaktioner;
• udbydere af crowdfundingtjenester og crowdfundingformidlere
• investeringsmigrationsoperatører, der repræsenterer ansøgere om opholdstilladelse til gengæld for en investering
• erhvervsdrivende med varer af høj værdi og kulturgoder over EUR 10,000
• ikke-finansielle blandede holdingselskaber
• fodboldagenter og professionelle fodboldklubber i forbindelse med transaktioner med investorer, sponsorer, agenter og spilleroverførsler.

Medlemsstaterne kan undtage lavrisikospiltjenester i henhold til artikel 4, men ikke kasinoer og ikke udbydere, hvis hovedaktivitet er onlinespil eller sportsvæddemål, bortset fra statsdrevne eller statsregulerede onlinetjenester.

Hvad ændres der for virksomhederne?

Ledelse

Artikel 11 kræver to navngivne roller. A Ansæt en compliance manager er medlem af ledelsesorganet i dets ledelsesfunktion og er ansvarlig for overholdelse af AMLR og forordningen om overførsel af midler. Den compliance-ansvarlige, udpeget af det organ med tilstrækkelig høj status, kører dag-til-dag AML og sanktionskontroller og er kontaktpunkt for myndighederne.

Compliance-chefen kan kun afsættes efter varsel til ledelsesorganet, og det skal meddeles den tilsynsførende. Mindre virksomheder kan kombinere de to roller, hvor størrelsen og risikoen berettiger det, og bestyrelserne bør forvente, at tilsynsmyndighederne tester, om compliance-chefen virkelig ejer emnet.

Når due diligence udløses

Artikel 19 fastsætter de samme udløsende faktorer i hele EU:

Situation	Tærskelværdi for kundekendskab
Etablering af en forretningsforbindelse	Altid
Lejlighedsvis transaktion, generel regel	EUR 10.000 eller mere, enkeltvis eller sammenkædet
Lejlighedsvise pengeoverførsler foretaget af banker og finansielle institutioner (ikke CASP'er)	EUR 1.000 eller mere
Lejlighedsvis transaktion fra en tjenesteudbyder af kryptoaktiver	EUR 1.000 eller derover; identifikationsforanstaltninger under dette beløb
Lejlighedsvis kontanttransaktion	Mindst identifikation og verifikation fra EUR 3.000
Spilindsatser eller gevinster	EUR 2.000 eller mere
Mistanke om hvidvaskning af penge eller finansiering af terrorisme	Altid, uanset tærskel

Hold filer opdaterede

Under Artikel 26, skal kundeoplysninger opdateres med intervaller, der afspejler risikoen, men aldrig længere end et år for kunder med højere risiko og fem år for alle andre.Virksomheder, der kun er afhængige af begivenhedsdrevne gennemgange, vil have brug for en kalenderdrevet backstop.

Kreditinstitutter og finansielle institutioner skal også screene deres kundebase mod målrettede økonomiske sanktioner ved hver ny udpegelse, ud over risikobaseret periodisk kontrol.

Reelt ejerskab

Testen på 25 % er nu indeholdt i selve forordningen. Under Artikel 52Kommissionen kan fastsætte en lavere tærskel på højst 15 % for kategorier af enheder, som den anser for at indebære en højere risiko, og denne grænse skal være mindst 25 % af aktierne eller stemmerettighederne i enheden.

Artikel 53 Kontrol gennem ejerskab betyder 50 % plus en af aktierne eller stemmerne, og kontrol på anden måde omfatter ret til at udpege eller afsætte et flertal i bestyrelsen, vetoret og beslutninger om udlodning af overskud.

Velhavende kunder

Artikel 34, stk. 5 tilføjer specifikke skærpede foranstaltninger for højrisikoforbindelser, der involverer håndtering af aktiver på mindst 5 mio. EUR gennem personlige ydelser for en kunde med samlede aktiver på mindst 50 mio. EUR, eksklusive den private bolig Det gælder for kreditinstitutter, finansielle institutioner og udbydere af trust- eller selskabstjenester, hvilket placerer private banker, formueforvaltere og trustees direkte i anvendelsesområdet. AMLA skal udstede retningslinjer for måling af denne formue senest den 10. juli 2027.

Crypto-aktiver

Artikel 19 sænker deres grænse for lejlighedsvise transaktioner til EUR 1.000. Artikel 40 kræver, at de vurderer og mindsker risiciene ved overførsler til eller fra selvhostede adresser. Artikel 79 forbyder anonyme konti og konti, der tillader anonymisering eller øget tilsløring af transaktioner, "herunder gennem anonymitetsforbedrende mønter".

Optegnelser, kontanter og anmodninger fra FIU

• Opbevaring af data: fem år fra ophøret af forholdet eller den lejlighedsvise transaktion, eller fra en nægtelse af ombordstigning, som kan forlænges af myndighederne med op til yderligere fem år (Artikel 77).
• Kontantgrænse: personer, der handler med varer eller leverer tjenesteydelser, må ikke modtage eller foretage kontantbetalinger på over EUR 10,000, og medlemsstaterne kan fastsætte lavere grænser (artikel 80). Betalinger og indskud hos banker, udstedere af e-penge og udbydere af betalingstjenester er fritaget, men skal indberettes til FIU'en over grænsen.
• FIU'er anmoder om: Virksomhederne skal svare inden for fem arbejdsdage, og FIU'erne kan afkorte denne frist til mindre end 24 timer i hastende tilfælde (Artikel 69).

Højrisiko tredjelande

Kommissionen fortsætter med at identificere tredjelande med væsentlige strategiske mangler ved hjælp af delegerede retsakter, idet der tages hensyn til: FATF Opfordringer til handling (Artikel 29Forretningsforbindelser og lejlighedsvise transaktioner, der involverer personer fra lande på listen, kræver de skærpede foranstaltninger i artikel 34, stk. 4.For institutter uden for EU medfører en opførelse af deres hjemland på listen direkte øgede omkostninger ved alle korrespondent- og modpartsforbindelser i EU.

AMLA: hvad den nye myndighed gør

AMLA har hjemsted i Frankfurt am Main (Tyskland).AMLA Forordning, artikel 4Den har tre overordnede roller: direkte tilsyn med et lille antal finansielle højrisikokoncerner, indirekte tilsyn med de nationale tilsynsmyndigheder og støtte og koordinering af de nationale FIU'er.

Hvem AMLA vil overvåge direkte

Markeringen følger en formel, der er angivet i Artikel 12 og 13:

1. AMLA vurderer regelmæssigt kredit- og finansieringsinstitutter samt koncerner, der opererer i mindst seks medlemsstater, herunder hjemlandet, uanset om det sker gennem etableringer eller grænseoverskridende tjenesteydelser og uanset om det sker fysisk eller på afstand.
2. Den klassificerer iboende og resterende risiko som lav, medium, betydelig eller høj ved hjælp af separate metoder for kategorier, der omfatter kreditinstitutter, e-pengeinstitutter, betalingsinstitutter, investeringsselskaber, kollektive investeringsinstitutter og udbydere af tjenesteydelser i forbindelse med kryptoaktiver.
3. Enheder, hvis restrisiko er høj I første runde, hvis mere end 40 kvalificerer sig, AMLA tager de 40, der opererer i det største antal medlemsstater.
4. Hvis ingen enhed i en given medlemsstat opfylder betingelserne, udvælges den højesterisikoenhed i denne medlemsstat ved hjælp af en supplerende proces, selv om dette ikke gælder i første runde.

Den første udvælgelse skal starte den 1. juli 2027, og listen revideres hvert tredje år, så en grænseoverskridende betalings- eller e-pengekoncern med svag kontrol og bred pasning er lige så sandsynlig som en stor bank.

AMLA

For enheder under direkte tilsyn AMLA For alvorlige, gentagne eller systematiske overtrædelser af kundekendskabskravene, interne eller koncernomfattende kontroller eller indberetningsforpligtelser er maksimumsbeløbet 10 % af den samlede årlige omsætning i det foregående regnskabsår. For alvorlige overtrædelser af andre krav er loftet efter justeringer 10 mio.Artikel 22).

AMLA udarbejder også de tekniske standarder, der skal udfylde AMLR. Den gennemførte en høring om udkast til reguleringsmæssige tekniske standarder for kundekendskab fra 9. februar til 8. maj 2026 og offentliggjorde resultatet af høringen den 6. oktober 2026 (AMLA). Virksomhederne bør følge disse standarder nøje, da de vil definere de datafelter, som onboardingsystemerne skal indsamle.

AMLD6: what Member States must build

Direktivet er mindre synligt for virksomhederne, men det former det miljø, de opererer i.

• Fit and proper checks: supervisors must verify that senior management and beneficial owners of credit institutions, financial institutions and other listed obliged entities are of good repute and act with honesty and integrity, and may request removal or divestment (AMLD6, Article 6).
• Registre over reelt ejerskab: centrale registre med definerede regler for adgang for myndigheder, forpligtede enheder og personer med en legitim interesse (artikel 10-15).
• Kontoregistre: centraliserede mekanismer til identifikation af indehavere af betalings- og bankkonti, herunder virtuelle IBAN-numre, værdipapirkonti, konti med kryptoaktiver og pengeskabe, som er direkte tilgængelige for FIU'er (Artikel 16).
• Sanktioner: for kreditinstitutter og finansielle institutioner maksimale økonomiske sanktioner på mindst 10 mio. EUR eller 10 % af den årlige omsætning, alt efter hvilket beløb der er højest, og for fysiske personer på mindst 5 mio.Artikel 55).

Virkninger uden for EU

AMLR er bindende for enheder etableret i EU, men dens rækkevidde er bredere i praksis.

• Koncerner med EU-datterselskaber skal opfylde AMLR i disse datterselskaber og anvende koncerndækkende politikker, som igen former kontrollen hos moderselskabet.
• Korrespondenter og modparter i EU vil anvende de harmoniserede due diligence- og reelle ejerskabstest på deres kunder uden for EU med styrkede foranstaltninger for højrisikotredjelande, der er opført på listen.
• Neighbouring regimes are moving in parallel. Switzerland, for example, brought its revised Anti-Money Laundering Act and a new Act on the Transparency of Legal Persons and the Identification of Beneficial Owners into force on 1 October 2026, starting transition periods for registering entities in a new transparency register (Swiss Federal Council).

Begivenheder for 10. juli 2027

1. Kort omfang. Bekræft, hvilke koncernenheder der er forpligtede enheder i henhold til artikel 3, og hvilke eventuelle nationale undtagelser der bortfalder.
2. Udpeg de to roller. Navngiv compliance manageren og compliance officeren, og dokumenter deres rapporteringslinjer til bestyrelsen.
3. Gap-analyse due diligence. Sammenlign nuværende tærskler, datafelter, opdateringscyklusser og reelt ejerskabs logik mod artiklerne 19, 26, 52 og 53, derefter mod AMLAs tekniske standarder som de bliver vedtaget.
4. Tjek produkter. Gennemgå kontant accept, anonyme eller privatlivsforbedrende funktioner, indehaverinstrumenter og selvhostede wallet-strømme.
5. Vurder AMLA eksponering. Tæl de medlemsstater, hvor koncernen opererer, herunder efter pas, og test restrisiko ærligt mod den offentliggjorte metode.
6. Planlægningsdata. Forvent mere strukturerede anmodninger fra FIU'er og tilsynsmyndigheder, og korte frister for at besvare dem.

Pakken ændrer ikke den grundlæggende logik i AML: at vide, hvem man har med at gøre, forstå hvorfor og rapportere, hvad der ikke passer, men den fjerner meget af det spillerum, som forskellige nationale regler engang gav, og placerer en europæisk tilsynsmyndighed direkte over de mest risikofyldte grænseoverskridende koncerner.