Overholdelse: AML, KYC og sanksjoner

Det er her de fleste nye banker møter sine første alvorlige tilsynsfunn, og det er også der korrespondentbankene undersøker nærmest før de åpner kontoer. En bank med en god kapitalplan, men svak kontroll mot hvitvasking av penger, vil ha vanskeligheter med å få lisens og, når den har fått lisensen, koble seg til det internasjonale betalingssystemet.

Den globale standarden: FATF

Financial Action Task Force setter den internasjonale standarden i sine 40 anbefalinger. gjeldende tekst, som ble vedtatt i 2012, ble sist oppdatert i oktober 2025.Landene implementerer anbefalingene gjennom lovgivning, og FATF FN og dets regionale organer vurderer hvert land gjennom gjensidige evalueringer.

Anbefalingene som er mest relevante for banker, er listet opp nedenfor.

Anbefaling	Emne
R.1	Vurdering av risiko og bruk av en risikobasert tilnærming
R.6 og R.7	Målrettede økonomiske sanksjoner mot terrorisme og spredning
R.10	Kunde due diligence
R.11	Registrering
R.12	Politisk eksponerte personer
R.13	Korrespondentbank
R.15	Ny teknologi, inkludert virtuelle eiendeler
R.16	Betalingsgjennomsiktighet, tidligere bankoverføringer
R.17 til R.19	Avhengighet av tredjeparter, interne kontroller, høyrisikoland
R.20 og R.21	Rapportering av mistenkelige transaksjoner og tipsing
R.24 og R.25	Reelle eiere av juridiske personer og ordninger

Grunnlaget er den risikobaserte tilnærmingen i R.1, der tiltakene skal stå i forhold til de identifiserte risikoene, noe som innebærer mer gransking av høyrisikokunder og -produkter og forenklede tiltak der risikoen påviselig er lavere.

Kjenn kunden din og utfør kundekontroll

Anbefaling 10 Det krever CDD ved etablering av et forretningsforhold, for sporadiske transaksjoner over USD / EUR 15.000, når det er mistanke om hvitvasking av penger eller finansiering av terrorisme, og når institusjonen tviler på tidligere innhentede identifikasjonsdata.

CDD-tiltakene er:

1. Identifisering av kunden og verifisering av identitet ved hjelp av pålitelige, uavhengige kildedokumenter, data eller informasjon.
2. Identifisere den reelle eieren og iverksette rimelige tiltak for å bekrefte identiteten, inkludert forståelse av eier- og kontrollstrukturen til juridiske personer og ordninger.
3. Forståelse, og som hensiktsmessig innhenting av informasjon om, formålet og tiltenkte natur av forholdet.
4. Gjennomføre løpende due diligence og gransking av transaksjoner for å sikre at de er i samsvar med institusjonens kunnskap om kunden, inkludert, der det er nødvendig, kilden til midlene.

Hvis en institusjon ikke kan fullføre CDD, bør den ikke åpne kontoen eller avslutte forholdet og vurdere å sende inn en mistenkelig transaksjonsrapport.R.11 Transaksjons- og CDD-registre må oppbevares i minst fem år.

Forbedret due diligence

Forbedret due diligence (EDD) gjelder der risikoen er høyere, og typiske utløsende faktorer er komplekse eierstrukturer, kontantintensive virksomheter, kunder knyttet til høyrisikoland, private banktjenester og ikke-ansikt-til-ansikt-relasjoner uten sterk verifisering. EDD-tiltak inkluderer mer bevis på kilden til midler og kilden til formue, godkjenning fra toppledelsen og hyppigere gjennomgang.

Reelle eierskap

En reell eier er den fysiske personen som i siste instans eier eller kontrollerer en kunde. R.24 krever at land skal sikre at tilstrekkelig, nøyaktig og oppdatert informasjon om reell eierskap er tilgjengelig for myndigheter, gjennom et register eller en alternativ mekanisme. Det forbyr også nye innehaveraksjer og krever tiltak mot misbruk av nominelle aksjonærer og styremedlemmer.

EU setter en felles grense for hvor mye du kan låne. Forskrift om hvitvasking av penger, innebærer en eierandel direkte eller indirekte eierskap av 25 % eller mer av aksjene, stemmerettene eller andre eierandeler i et foretak. Kontroll gjennom andre virkemidler kan også gjøre en person til reell eier. En terskel på 25 % fjerner ikke behovet for å forstå hele strukturen.

Politisk eksponerte personer

En PEP er en person som har blitt betrodd en fremtredende offentlig funksjon, for eksempel et statsoverhode, høytstående politiker, høytstående dommer eller høytstående tjenestemann i et statlig foretak.Familiemedlemmer og nære medarbeidere dekkes også.

For utenlandske PEP krever R.12 at institusjoner:

1. Ha risikostyringssystemer for å avgjøre om en kunde eller reell eier er en PEP.
2. Få godkjenning fra toppledelsen for å etablere eller fortsette forholdet.
3. Ta rimelige tiltak for å etablere kilden til rikdom og kilde til midler.
4. Gjennomføre forbedret løpende overvåking.

For innenlandske PEP-er og personer med fremtredende funksjoner i internasjonale organisasjoner gjelder disse tiltakene der forholdet er av høyere risiko.

Sanksjoner screening

Sanksjoner er juridiske forbud, ikke risikovurderinger. Under R.6, må land fryse «uten forsinkelse» midlene til personer som er utpekt av FNs sikkerhetsråd for terrorisme, og R.7 bruker samme logikk på spredningsfinansiering.

Bankene følger også de autonome sanksjonene i jurisdiksjonene der de driver virksomhet, i EU er det rådsforordninger. Banker som betaler i andre valutaer må også ta hensyn til sanksjonsregimene som korrespondentbankene bruker, fordi en betaling som bryter disse regimene vil bli stoppet i kjeden.

Et sanksjonsprogram omfatter:

1. Screening av kunder, reelle eiere og tilknyttede parter ved onboarding og når lister endres.
2. Screening av betalinger, inkludert navn på parter, banker, fartøy og lokasjoner, i sanntid før utførelse.
3. Administrere varsler med dokumenterte beslutninger, unngå både falsk komfort og overdreven blokkering.
4. Frysing og rapportering av kamper til kompetent myndighet.
5. Kontroller mot unndragelse, for eksempel fjerning eller endring av betalingsinformasjon.

Transaksjonsovervåking og rapporter om mistenkelig aktivitet

Transaksjonsovervåking sammenligner kundeaktivitet med forventet profil og kjente typologier, vanligvis automatisert, med scenarier og terskler tilpasset bankens egen kundebase og gjennomgått av opplærte analytikere.

Under R.20, en institusjon som “mistenker eller har rimelig grunn til å mistenke” at midler er utbytte av kriminalitet eller relatert til finansiering av terrorisme må rapportere umiddelbart til den finansielle etterretningsenheten.Disse rapportene kalles rapporter om mistenkelige transaksjoner eller rapporter om mistenkelig aktivitet, avhengig av jurisdiksjonen.

R.21 beskytter ansatte som rapporterer i god tro og forbyr tipping-off, det vil si å avsløre overfor kunden eller andre at en rapport er levert, og banken må derfor håndtere kundeforholdet omhyggelig etter levering, uten å avsløre rapporten.

EUs AML-pakke og AMLA

EU vedtok en pakke i 2024 som flytter de fleste reglene fra direktiver til en direkte gjeldende forskrift og oppretter en EU-myndighet.

Instrument	Hva det gjør	Nøkkeldato
Forordning (EU) 2024/1624 (AMLR)	Enkelt regelverk for forpliktede enheter: CDD, reelt eierskap, PEP, rapportering, EU-grense på 10.000 euro for kontantbetalinger fra næringsdrivende i varer og tjenester	Gjelder fra 10. juli 2027, med senere dato for enkelte enheter
Direktiv (EU) 2024/1640 (AMLD6)	Nasjonale tilsynsmyndigheter, FIU-er, register over reelle eiere, bankkontoregister	Generell gjennomføring innen 10. juli 2027, med tidligere datoer for enkelte artikler
Forordning (EU) 2024/1620 (AMLA)	Oppretter myndigheten for bekjempelse av hvitvasking av penger, med sete i Frankfurt am Main	Gjelder fra 1. juli 2025, med enkelte artikler tidligere

AMLA Forordningen krever at den første utvelgelsesprosessen skal starte innen 1. juli 2027, og sier at direkte tilsyn med utvalgte enheter bør begynne i 2028. Hvis mer enn 40 enheter kvalifiserer seg i første runde, vil det bli opprettet et felles europeisk tilsynsorgan som skal føre direkte tilsyn med kreditt- og finansinstitusjoner i minst seks medlemsland. AMLA Det fører tilsyn med de 40 som opererer i flest medlemsstater.

For andre institusjoner er det fortsatt de nasjonale tilsynsmyndighetene som har ansvaret, med AMLA som koordinerer og setter tekniske standarder.

Reiseregelen

Reiseregelen krever at betalingsinformasjon om opphavsperson og mottaker følger med en overføring gjennom betalingskjeden, og er avledet fra FATF R.16.

I EU, Forordning (EU) 2023/1113 Forordningen gjelder fra 30. desember 2024 for overføringer av midler og kryptoaktiva. For overføringer av midler kreves fullstendige opplysninger om betaler og mottaker over EUR 1000, med lettere krav for mindre overføringer som ikke er knyttet sammen.For kryptoaktiva gjelder de samme kravene “uavhengig av beløpet og om det er innenlandske eller internasjonale overføringer”.

I juni 2025 reviderte FATF R.16 og dens tolkningsnotater, og omdøpte det til betalingstransparens.Ifølge CSSFs oppsummering standardiserer endringene informasjonen som kreves i betalingsmeldinger, tydeliggjør ansvar langs betalingskjeden, legger til tiltak mot svindel, feilruting og feil som betalingsmottakerverifisering, og skal tre i kraft innen utgangen av 2030.

Landrisiko og offentlige lister

The FATF På plenarmøtet i juni 2026, som oppsummert av komiteen, vil det bli offentliggjort to lister etter hvert plenum. Maltas FIAU, ble Den demokratiske folkerepublikken Korea, Iran og Myanmar fortsatt høyrisikojurisdiksjoner som var gjenstand for en oppfordring til handling, Bosnia-Hercegovina og Irak ble lagt til listen over jurisdiksjoner under økt overvåking, og Algerie og Namibia ble fjernet.

EU har sin egen liste over tredjeland med høy risiko. Den europeiske kommisjon EU vedtok endringer i desember 2025 som la til Russland, Bolivia og De britiske Jomfruøyer med virkning fra 29. januar 2026.EU-forpliktede enheter må anvende utvidet due diligence på relasjoner og transaksjoner som involverer oppførte land.

Hva tilsynsmyndighetene forventer av en ny bank

1. En risikovurdering for hele virksomheten som dekker kunder, produkter, kanaler og land, godkjent av styret.
2. En rapporteringsansvarlig for hvitvasking av penger Med autoritet, ressurser og direkte tilgang til styret.
3. Skriftlige retningslinjer og prosedyrer som samsvarer med de faktiske onboarding- og overvåkingssystemene.
4. Testede systemer for identitetsverifisering, screening og overvåking, med dokumentert tuning.
5. Opplæring For alle ansatte, med spesialisert opplæring for front office og compliance.
6. Uavhengig testing av internrevisjon eller en ekstern anmelder.
7. Samsvar med forretningsplanen. Tilsynsmyndigheter sammenligner AML Rammeverket med målkunder og land i søknaden, og utfordre hull.

Neste artikkel ser på korrespondentbankvirksomhet, der disse kontrollene testes av andre banker og tilsynsmyndigheter.