Overholdelse: AML, KYC og sanktioner

Det er her, de fleste nye banker møder deres første alvorlige tilsynsmæssige konstateringer, og det er også her, korrespondentbankerne undersøger mest nøje, før de åbner konti. En bank med en sund kapitalplan, men svage kontrolforanstaltninger mod hvidvaskning af penge, vil have svært ved at få licens og, når den først har fået licens, at oprette forbindelse til det internationale betalingssystem.

Den globale standard: FATF

Den finansielle aktionsgruppe fastsætter den internationale standard i sine 40 anbefalinger. Den nuværende tekst, der blev vedtaget i 2012, blev sidst opdateret i oktober 2025.Land implementerer anbefalingerne gennem lovgivning, og FATFog dets regionale organer vurderer hvert land gennem gensidige evalueringer.

De anbefalinger, der er mest relevante for bankerne, er angivet nedenfor.

Anbefaling	Emne
R.1	Vurdering af risici og anvendelse af en risikobaseret tilgang
R.6 og R.7	Målrettede finansielle sanktioner mod terrorisme og spredning
R.10	Kunde due diligence
R.11	Registrering
R.12	Politisk udsatte personer
R.13	Korrespondentbank
R.15	Nye teknologier, herunder virtuelle aktiver
R.16	Betalingsgennemsigtighed, tidligere bankoverførsler
R.17 til R.19	Afhængighed af tredjeparter, intern kontrol, højrisikolande
R.20 og R.21	Indberetning af mistænkelige transaktioner
R.24 og R.25	Reelt ejerskab af juridiske personer og arrangementer

Grundlaget er den risikobaserede tilgang i R.1, hvor foranstaltningerne skal stå i et rimeligt forhold til de identificerede risici, hvilket betyder øget kontrol af højrisikokunder og -produkter og forenklede foranstaltninger, når risikoen påviseligt er lavere.

Kend din kunde og kunde due diligence

Henstilling 10 Det kræver CDD, når der etableres en forretningsforbindelse, ved lejlighedsvise transaktioner på over USD/EUR 15.000, når der er mistanke om hvidvaskning af penge eller finansiering af terrorisme, og når institutionen tvivler på tidligere opnåede identifikationsoplysninger.

CDD-foranstaltningerne er:

1. Identifikation af kunden og verificering af identiteten ved hjælp af pålidelige, uafhængige kildedokumenter, data eller oplysninger.
2. Identifikation af den reelle ejer og iværksættelse af rimelige foranstaltninger til at verificere identiteten, herunder forståelse af ejerskabs- og kontrolstrukturen for juridiske personer og arrangementer.
3. Forståelse, og i givet fald indsamling af oplysninger om, formålet med og den tilsigtede karakter af forholdet.
4. Udførelse af løbende due diligence og kontrol af transaktioner for at sikre, at de stemmer overens med instituttets kendskab til kunden, herunder om nødvendigt kilden til midlerne.

Hvis et institut ikke kan gennemføre CDD, bør det ikke åbne kontoen eller bør afslutte forholdet og bør overveje at indsende en mistænkelig transaktionsrapport.I henhold til R.11 skal transaktions- og CDD-registre opbevares i mindst fem år.

Udvidet due diligence

Forbedret due diligence (EDD) gælder, hvor risikoen er højere. Typiske udløsende faktorer er komplekse ejerskabsstrukturer, kontantintensive virksomheder, kunder med tilknytning til højrisikolande, private bankvirksomhed og ikke-ansigt til ansigt relationer uden stærk verifikation.

Reelt ejerskab

En retsmæssig ejer er den fysiske person, der i sidste ende ejer eller kontrollerer en kunde. R.24 kræver, at lande sikrer, at tilstrækkelige, nøjagtige og ajourførte oplysninger om reelt ejerskab er tilgængelige for myndighederne gennem et register eller en alternativ mekanisme. Det forbyder også nye indehaveraktier og kræver foranstaltninger mod misbrug af nominerede aktionærer og bestyrelsesmedlemmer.

EU fastsætter en fælles tærskelværdi. Under Forordning om bekæmpelse af hvidvaskning af penge, betyder en ejerskabsinteresse direkte eller indirekte ejerskab af 25 % eller mere af aktierne, stemmerettighederne eller andre ejerskabsinteresser i et selskab.Kontrollerende indflydelse gennem andre midler kan også gøre en person til reelt ejer, og en tærskel på 25 % fjerner ikke behovet for at forstå den fulde struktur.

Politisk udsatte personer

En PEP er en person, der har fået betroet en fremtrædende offentlig funktion, såsom et statsoverhoved, højtstående politiker, højtstående dommer eller højtstående embedsmand i en statsejet virksomhed.Familiemedlemmer og nære medarbejdere er også dækket.

For udenlandske PEP'er, R.12 kræver, at institutionerne:

1. Har risikostyringssystemer til at afgøre, om en kunde eller reelle ejer er en PEP.
2. Få godkendelse fra den øverste ledelse til at etablere eller fortsætte forholdet.
3. Træffe rimelige foranstaltninger til at fastslå kilden til rigdom og kilde til midler.
4. Udfør forbedret løbende overvågning.

For indenlandske PEP'er og personer med fremtrædende funktioner i internationale organisationer gælder disse foranstaltninger, hvor forholdet er af højere risiko.

Sanktioner screening

Sanktioner er juridiske forbud, ikke risikovurderinger. Under R.6, skal landene "uden forsinkelse" indefryse midler tilhørende personer, der er udpeget af FN's Sikkerhedsråd som terrorister, og R.7 anvender den samme logik på finansiering af spredning.

Bankerne anvender også de autonome sanktioner i de jurisdiktioner, hvor de driver virksomhed, i EU er det Rådets forordninger. Banker, der foretager betalinger i andre valutaer, skal også tage hensyn til de sanktionsordninger, som deres korrespondentbanker anvender, fordi en betaling, der overtræder disse ordninger, vil blive stoppet i kæden.

Et sanktionsprogram omfatter:

1. Screening af kunder, reelle ejere og tilknyttede parter ved onboarding og når lister ændres.
2. Screening af betalinger, herunder navne på parter, banker, fartøjer og placeringer, i realtid før udførelse.
3. Håndtering af alarmer med dokumenterede beslutninger, der undgår både falsk komfort og overdreven blokering.
4. Indefrysning og rapportering af kampe til den kompetente myndighed.
5. Kontroller mod omgåelse, såsom fjernelse eller ændring af betalingsoplysninger.

Transaktionsovervågning og rapporter om mistænkelig aktivitet

Transaktionsovervågning sammenligner kundeaktivitet med den forventede profil og med kendte typologier, som regel automatiseret, med scenarier og tærskler tilpasset bankens egen kundebase og gennemgået af uddannede analytikere.

Under R.20, skal en institution, der "har mistanke eller rimelig grund til at tro", at midler er udbytte fra kriminalitet eller relateret til finansiering af terrorisme, straks indberette disse rapporter til den finansielle efterretningsenhed (Financial Intelligence Unit), som kaldes rapporter om mistænkelige transaktioner eller rapporter om mistænkelig aktivitet afhængigt af jurisdiktionen.

R.21 beskytter medarbejdere, der indberetter i god tro og forbyder tipping-off, dvs. at videregive til kunden eller andre, at en anmeldelse er indgivet, hvorfor en bank skal håndtere kundeforholdet omhyggeligt efter indgivelsen uden at afsløre anmeldelsen.

EU-pakken AML og AMLA

EU vedtog en pakke i 2024, der flytter de fleste regler fra direktiver til en direkte gældende forordning og opretter en EU-myndighed.

Instrument	Hvad det gør	Nøgledato
Forordning (EU) 2024/1624 (AMLR)	Et fælles regelsæt for forpligtede enheder: CDD, reelt ejerskab, PEP'er, indberetning, et EU-dækkende loft over kontantbetalinger fra handlende i varer og tjenesteydelser på EUR 10,000	Anvendes fra den 10. juli 2027, med en senere dato for visse enheder
Direktiv (EU) 2024/1640 (AMLD6)	Nationale tilsynsmyndigheder, FIU'er, registre over reelt ejerskab, bankkontoregistre	Almindelig gennemførelse senest den 10. juli 2027, med tidligere datoer for visse artikler
Forordning (EU) 2024/1620 (AMLA)	Opretter en myndighed til bekæmpelse af hvidvaskning af penge med hjemsted i Frankfurt am Main	Gælder fra 1. juli 2025, med nogle artikler tidligere

AMLA will directly supervise a limited number of high-risk credit and financial institutions operating in at least six Member States. Forordningen kræver, at den første udvælgelsesproces skal starte inden 1 juli 2027, og fastsætter, at det direkte tilsyn med de udvalgte enheder skal begynde i 2028. Hvis mere end 40 enheder kvalificerer sig i første runde, fører AMLA tilsyn med den 40, der opererer i det største antal medlemsstater.

For andre institutters vedkommende er det de nationale tilsynsmyndigheder, der fortsat har ansvaret. AMLA koordinere og fastsætte tekniske standarder.

Rejsereglen

Rejsereglen kræver, at betalingsoplysninger om afsender og modtager ledsager en overførsel gennem betalingskæden, og den stammer fra FATF R.16.

I EU, Forordning (EU) 2023/1113 Forordningen gælder fra den 30. december 2024 for overførsler af pengemidler og kryptoaktiver, hvor der kræves fuldstændige oplysninger om betaler og betalingsmodtager ved overførsler på mere end 1.000 euro, med lempeligere krav til mindre overførsler, som ikke er knyttet sammen. For kryptoaktiver gælder de samme krav "uanset beløbet, og uanset om det drejer sig om indenlandske eller grænseoverskridende overførsler".

I juni 2025 reviderede FATF R.16 og dens fortolkningsnote, som blev omdøbt til betalingstransparens.Ifølge CSSF’s opsummering standardiserer ændringerne de oplysninger, der kræves i betalingsbeskeder, præciserer ansvaret langs betalingskæden, tilføjer foranstaltninger mod svig, fejlplacering og fejl såsom betalingsmodtagerverifikation, og skal træde i kraft ved udgangen af 2030.

Landerisiko og offentlige lister

Det er vigtigt, at patienten får den nødvendige behandling. FATF På plenarmødet i juni 2026 offentliggøres to lister efter hver plenarforsamling. Maltas FIU, Den Demokratiske Folkerepublik Korea, Iran og Myanmar forblev højrisikojurisdiktioner, der var genstand for en opfordring til handling, Bosnien-Hercegovina og Irak blev føjet til listen over jurisdiktioner under øget overvågning, og Algeriet og Namibia blev fjernet.

EU har sin egen liste over tredjelande, der udgør en høj risiko. Europa-Kommissionen - Pressemeddelelse I december 2025 vedtog Kommissionen ændringer, der tilføjede Rusland, Bolivia og De Britiske Jomfruøer med virkning fra den 29. januar 2026, og som indebærer, at forpligtede enheder i EU skal anvende skærpet due diligence på relationer og transaktioner, der involverer lande på listen.

Hvad myndighederne forventer af en ny bank

1. En risikovurdering for hele virksomheden som dækker kunder, produkter, kanaler og lande, godkendt af bestyrelsen.
2. En rapporteringsansvarlig for hvidvaskning af penge med autoritet, ressourcer og direkte adgang til bestyrelsen.
3. Skriftlige politikker og procedurer der matcher de faktiske onboarding- og overvågningssystemer.
4. Afprøvede systemer til identitetsverifikation, screening og overvågning med dokumenteret tuning.
5. Uddannelse for alle medarbejdere, med specialuddannelse til front office og compliance.
6. Uafhængig testning ved intern revision eller en ekstern anmelder.
7. Overensstemmelse med forretningsplanen. Tilsynsmyndighederne sammenligner AML ramme med målkunder og lande i ansøgningen, og udfordre huller.

Den næste artikel ser på korrespondentbankvirksomhed, hvor disse kontroller afprøves af andre banker såvel som af tilsynsmyndighederne.