EUs AML-pakke og AMLA: hva endres og når

I to tiår har EU kjempet mot hvitvasking av penger gjennom direktiver, som hver medlemsstat innførte på sin egen måte, slik at en bank i Lisboa og et e-pengeinstitusjon i Vilnius kunne lese den samme teksten og kjøre forskjellige kontroller. Pakken som ble vedtatt 31. mai 2024 erstatter mye av dette med ett enkelt regelverk, et slankere direktiv og en ny tilsynsmyndighet.

Denne veiledningen dekker hva hvert instrument gjør, hvilke datoer som betyr noe og de praktiske endringene for kredittinstitusjoner, betalings- og e-pengeselskaper, investeringsselskaper, fond, leverandører av kryptoaktivatjenester og den ikke-finansielle sektoren.

Tre instrumenter, tre jobber

Instrument	Juridisk skjema	Hovedjobb	Gjelder fra
Forordning (EU) 2024/1624 (AMLR)	Regulering, direkte gjeldende	Forpliktelser for selskaper: risikovurdering, due diligence, reelt eierskap, rapportering, bokføring, kontantgrense	10. juli 2027 (fotballsektoren 10. juli 2029)
Direktiv (EU) 2024/1640 (AMLD6)	Direktiv, omsatt nasjonalt	Forpliktelser for medlemsstatene: tilsynsmyndigheter, finansielle etterretningsenheter (FIU), registre, sanksjoner	Gjennomføring innen 10. juli 2027, med tidligere og senere datoer for spesifikke artikler
Forordning (EU) 2024/1620 (AMLA Forskrift)	Regulering	Oppretter myndighet for bekjempelse av hvitvasking av penger og finansiering av terrorisme (AMLA)	1. juli 2025, med noen artikler fra 26. juni 2024

Den praktiske konsekvensen av å flytte regler på selskapsnivå til en forskrift er at nasjonal gullbelegg krymper.Medlemslandene beholder noe spillerom, for eksempel å sette lavere kontantgrenser eller unnta lavrisikospilling, men kjerneforpliktelsene lyder de samme overalt.

Tidslinjen

1. 26. juni 2024. AMLA er lovfestet. Utvalgte artikler i AMLA-forordningen gjelder fra denne dato under Artikel 108.
2. 1 July 2025. The AMLA Regulation applies in general. AMLA reports that its first Chair, Bruna Szego, took office on 16 February 2025.
3. 10 July 2025. Member States had to apply the AMLD6 amendments to the existing directive on access to beneficial ownership information (AMLD6, Articles 74 and 78).
4. Besøkt 10. juli 2026. Frist for AMLD6-reglene om tilgang til register over reelle eiere for myndigheter, forpliktede enheter og personer med berettiget interesse (artikler 11, 12, 13 og 15).
5. 1. juli 2027. AMLA EBA starter sitt første utvalg av enheter for direkte tilsyn og må fullføre det innen seks måneder (AMLA Forordningen, artikkel 13(4)).
6. 10. juli 2027. AMLR gjelder (Artikkel 90) og AMLD6 må generelt innarbeides.
7. 2028. AMLA begynner direkte tilsyn, seks måneder etter at den publiserer listen over utvalgte enheter. AMLAs egen tidslinje plasserer full drift i 2028.
8. 10. juli 2029. AMLR gjelder for fotballagenter og profesjonelle fotballklubber, innehaveraksjer må være konvertert, immobilisert eller deponert (AMLR, artikkel 79), og AMLD6 felles tilgangspunkt for eiendomsinformasjon er forfalt (artikkel 18).

Hvem er en forpliktet enhet

AMLR Artikkel 3 Definisjonen av finansinstitusjon nevner nå uttrykkelig leverandører av tjenester for kryptoaktiva, sammen med betalings- og e-pengeselskaper, investeringsselskaper, livsforsikringsselskaper, UCITS og deres administrasjonsselskaper, og alternative investeringsfond og deres ledere.

Den ikke-finansielle listen inneholder flere tillegg eller avklaringer som er viktige for lisensierte grupper og deres kunder:

• Trust- eller selskapstjenesteleverandører, skatterådgivere, revisorer, advokater og notarer i definerte transaksjoner;
• Leverandører av crowdfunding-tjenester og mellomledd for crowdfunding;
• investeringsmigrasjonsoperatører som representerer søkere om oppholdsrettigheter i bytte mot investering;
• næringsdrivende i høyverdige varer og kulturgoder over EUR 10.000;
• ikke-finansielle holdingselskaper med blandet virksomhet;
• Fotballagenter og profesjonelle fotballklubber for transaksjoner med investorer, sponsorer, agenter og for spilleroverføringer.

Medlemsstatene kan unnta lavrisikospilltjenester i henhold til artikkel 4, men ikke kasinoer og ikke leverandører hvis hovedaktivitet er nettbasert spill eller sportsbetting, bortsett fra statlig drevne eller statsregulerte nettbaserte tjenester.

Hva endres for bedrifter

Styring

Artikkel 11 Krever to navngitte roller. A compliance manager er medlem av ledelsesorganet i dets ledelsesfunksjon og har ansvar for overholdelse av AMLR og overføringsforskriften. A Compliance-ansvarlig, utnevnt av det organet med tilstrekkelig høy standing, kjører dag-til-dag AML Skatte- og sanksjonskontrollen er kontaktpunkt for myndighetene.

Compliance-ansvarlig kan kun fjernes etter varsel til styret, og det skal foretas en henvendelse til den som har ansvaret. Mindre virksomheter kan kombinere de to rollene der størrelsen og risikoen berettiger det, men styret bør forvente at den som har ansvaret tester om compliance-lederen virkelig eier saken.

Når due diligence utløses

Artikkel 19 Det setter de samme utløserne i hele EU:

Situasjon	Terskel for kunde due diligence
Etablering av et forretningsforhold	Alltid
Tilfeldig transaksjon, generell regel	EUR 10.000 eller mer, enkeltvis eller sammenkoblet
Sporadiske overføringer av midler fra banker og finansinstitusjoner (ikke CASPs)	EUR 1000 eller mer
Tilfeldig transaksjon fra en tjenesteleverandør av kryptoaktiver	EUR 1000 eller mer; identifikasjonstiltak under dette
Occasional cash transaksjon	Minst identifikasjon og verifisering fra EUR 3.000
Gambling innsatser eller gevinster	EUR 2000 eller mer
Mistanke om hvitvasking eller finansiering av terrorisme	Alltid, uavhengig av terskel

Hold filer oppdatert

Under Artikkel 26, må kundeinformasjon oppdateres med intervaller som gjenspeiler risikoen, men aldri lenger enn ett år for kunder med høyere risiko og fem år for alle andre.Bedrifter som er avhengige av hendelsedrevne gjennomganger bare vil trenge en kalender-drevet backstop.

Kreditt- og finansinstitusjoner må også screene sin kundebase mot målrettede økonomiske sanksjoner ved hver ny utpeking, i tillegg til risikobaserte periodiske kontroller.

Reelle eierskap

25 %-testen er nå i selve forskriften. Under Artikkel 5225 % eller mer av aksjene, stemmerettighetene eller andre eierandeler, direkte eller indirekte, gjør en person til reell eier. Eierandeler på alle nivåer i kjeden regnes med. Kommisjonen kan fastsette en lavere terskel på maksimalt 15 % for kategorier av enheter som den identifiserer som høyere risiko.

Artikkel 53 Kontroll gjennom eierskap innebærer 50 % pluss én av aksjene eller stemmene, og kontroll på andre måter omfatter rett til å innsette eller avsette et flertall i styret, vetorett og beslutninger om utdeling av overskudd.

Rike kunder

Artikkel 34 nr. 5 Forskriften legger til spesifikke forsterkede tiltak for høyrisikorelasjoner som innebærer håndtering av minst 5 millioner euro i aktiva gjennom personlige tjenester for en kunde med samlede aktiva på minst 50 millioner euro, ekskludert privatbolig.Det gjelder kredittinstitusjoner, finansinstitusjoner og leverandører av trust- eller selskapstjenester, noe som plasserer private banker, formuesforvaltere og forvaltere direkte innenfor omfanget. AMLA Regjeringen må utstede retningslinjer for måling av denne formuen innen 10. juli 2027.

Crypto-eiendeler

Leverandører av kryptoaktiva-tjenester står overfor tre forskjellige regler: Artikkel 19 senker deres terskel for sporadiske transaksjoner til EUR 1000. Artikkel 40 krever at de vurderer og reduserer risikoen ved overføringer til eller fra selvhostede adresser. Artikkel 79 forbyr anonyme kontoer og kontoer som tillater anonymisering eller økt tilsløring av transaksjoner, "inkludert gjennom anonymitetsfremmende mynter".

Poster, kontanter og forespørsler fra FIU

• Oppbevaring av poster: fem år fra slutten av forholdet eller den sporadiske transaksjonen, eller fra et avslag på ombordstigning, som kan forlenges av myndighetene i opptil fem år til (Artikkel 77).
• Kontantgrense: personer som handler med varer eller leverer tjenester kan ikke motta eller foreta kontantbetalinger over EUR 10,000, og medlemsstatene kan sette lavere grenser (Artikel 80). Betalinger og innskudd i lokaler til banker, e-pengeutstedere og betalingstjenesteleverandører er unntatt, men må rapporteres til FIU over grensen.
• FIU-forespørsler: foretak skal svare innen fem virkedager, og FIU kan forkorte dette til mindre enn 24 timer i hastesaker (Artikel 69).

Høyrisiko tredjeland

Kommisjonen fortsetter å identifisere tredjeland med betydelige strategiske mangler ved delegerte retsakter, FATF Ta hensyn til oppfordringer til handling (Artikkel 29Forretningsforbindelser og sporadiske transaksjoner som involverer personer fra oppførte land, krever de utvidede tiltakene i artikkel 34 nr. 4.For institusjoner utenfor EU øker en oppføring av deres hjemjurisdiksjon direkte kostnadene for hver korrespondent- og motpartsrelasjon i EU.

AMLA: hva den nye myndigheten gjør

AMLA ECB har sitt hovedkontor i Frankfurt am Main (Tyskland).AMLA Forskrift, artikkel 4Det har tre brede roller: direkte tilsyn med et lite antall høyrisikofinansielle grupper, indirekte tilsyn med nasjonale tilsynsmyndigheter og støtte og koordinering av nasjonale FIU-er.

Hvem AMLA vil overvåke direkte

Utvelgelsen følger en formel fastsatt i artikkel 12 og 13:

1. AMLA Finanstilsynet vurderer med jevne mellomrom kreditt- og finansinstitusjoner og konsern som opererer i Norge. Minst seks medlemsland, herunder hjemlandet, enten gjennom virksomheter eller grenseoverskridende tjenester, og enten fysisk eller eksternt.
2. Den klassifiserer iboende og gjenværende risiko som lav, middels, betydelig eller høy ved hjelp av separate metoder for kategorier som inkluderer kredittinstitusjoner, e-pengeinstitusjoner, betalingsinstitusjoner, investeringsselskaper, kollektive investeringsforetak og leverandører av kryptoaktivatjenester.
3. Enheter hvis restrisiko er høy I første runde, hvis mer enn 40 kvalifiserer seg, AMLA Det tar de 40 som opererer i det høyeste antallet medlemsstater.
4. Dersom ingen enhet i et gitt medlemsland kvalifiserer, vil det bli gjennomført en ekstra prosess for å velge ut den høyest risikofylte enheten der, selv om dette ikke gjelder i første runde.

Den første utvelgelsen må starte innen 1. juli 2027, og listen gjennomgås hvert tredje år, slik at en grenseoverskridende betalings- eller e-pengegruppe med svak kontroll og bred passkontroll er like sannsynlig som en stor bank.

AMLAs beføyelser

For enheter under direkte tilsyn kan AMLA pålegge økonomiske sanksjoner. Ved alvorlige, gjentatte eller systematiske brudd på kundekontrollforpliktelser, interne eller konsernomfattende kontroller eller rapporteringsforpliktelser er maksimumsbeløpet 10 % av den totale årsomsetningen i det foregående regnskapsåret.For alvorlige brudd på andre krav er maksimumsbeløpet etter justering 10 millioner euro (artikkel 22).

AMLA utarbeider også de tekniske standardene som skal fylle ut AMLR. Det ble gjennomført høring om utkast til reguleringsmessige tekniske standarder for kundelegitimasjon fra 9. februar til 8. mai 2026, og høringsresultatet ble publisert 6. oktober 2026 (AMLA).

AMLD6: hva medlemsstatene må bygge

Direktivet er mindre synlig for bedrifter, men former miljøet de opererer i.

• Fit and proper checks: supervisors must verify that senior management and beneficial owners of credit institutions, financial institutions and other listed obliged entities are of good repute and act with honesty and integrity, and may request removal or divestment (AMLD6, Article 6).
• Register over reelle eiere: Sentrale registre med definerte tilgangsregler for myndigheter, forpliktede enheter og personer med legitim interesse (artikler 10 til 15).
• Kontoregister: sentraliserte mekanismer som identifiserer innehavere av betalings- og bankkontoer, herunder virtuelle IBAN-nummer, verdipapirkontoer, kontoer for kryptoaktiva og sikkerhetsbokser, direkte tilgjengelige for FIU (Artikel 16).
• Sanksjoner: for kredittinstitusjoner og finansinstitusjoner, maksimale økonomiske sanksjoner på minst 10 millioner EUR eller 10 % av årsomsetningen, avhengig av hva som er høyest, og minst 5 millioner EUR for fysiske personer (Artikkel 55).

Virkninger utenfor EU

AMLR binder enheter etablert i EU, men dens rekkevidde er bredere i praksis.

• Konserner med EU-datterselskaper må oppfylle AMLR i disse datterselskapene og anvende konsernomfattende retningslinjer, som igjen former kontrollen hos morselskapet.
• Korrespondenter og motparter i EU vil anvende de harmoniserte due diligence- og reelle eierskapstester på sine kunder utenfor EU, med forbedrede tiltak for oppførte høyrisiko tredjeland.
• Naboregimer Sveits har for eksempel innført sin reviderte lov om hvitvasking av penger og en ny lov om åpenhet for juridiske personer og identifikasjon av reelle eiere som trer i kraft 1. oktober 2026, noe som starter overgangsperioder for registrering av enheter i et nytt åpenhetsregister (Det sveitsiske forbundsrådet).

Hendelser for 10. juli 2027

1. Kart omfang. Bekreft hvilke konsernenheter som er forpliktede enheter i henhold til artikkel 3, og hvilke eventuelle nasjonale unntak som vil bortfalle.
2. Utnevn de to rollene. Navngi compliance manager og compliance officer, og dokumenter deres rapporteringslinjer til styret.
3. Gap-analyse due diligence. Sammenlign nåværende terskler, datafelt, oppdateringssykluser og fordelslogikk mot artiklene 19, 26, 52 og 53, deretter mot AMLAs tekniske standarder etter hvert som de blir vedtatt.
4. Sjekk produkter. Gjennomgå kontantaksept, anonyme eller personvernforbedrende funksjoner, innehaverinstrumenter og selvhostede lommebokstrømmer.
5. Vurdere AMLA eksponering. Telle medlemsstatene der gruppen opererer, inkludert etter pass, og teste restrisiko ærlig mot den publiserte metoden.
6. Plandata. Forvent mer strukturerte forespørsler fra FIUer og tilsynsmyndigheter, og korte frister for å svare på dem.

Pakken endrer ikke den grunnleggende logikken i AML: vet hvem du har å gjøre med, forstå hvorfor og rapportere hva som ikke passer inn, men den fjerner mye av det spillerommet som ulike nasjonale regler en gang ga, og plasserer et europeisk tilsynsorgan direkte over de mest risikofylte grenseoverskridende gruppene.