EU-paketet AML och AMLA: vad som ändras och när

I två decennier har EU bekämpat penningtvätt genom direktiv, men varje medlemsland har införlivat dem på sitt eget sätt, så en bank i Lissabon och ett institut för e-pengar i Vilnius kan läsa samma text och utföra olika kontroller. Det paket som antogs den 31 maj 2024 ersätter mycket av detta med en enda regelbok, ett smidigare direktiv och en ny tillsynsmyndighet.

Denna vägledning täcker vad varje instrument gör, vilka datum som är viktiga och de praktiska förändringarna för kreditinstitut, betalningsföretag och e-penningföretag, värdepappersföretag, fonder, leverantörer av kryptotillgångstjänster och den icke-finansiella sektorn.

Tre instrument, tre jobb

Instrument	Juridisk form	Huvudjobb	Gäller från
Förordning (EU) 2024/1624 (AMLR)	Förordning, direkt tillämplig	Företagens skyldigheter: riskbedömning, tillbörlig aktsamhet, verkligt huvudmannaskap, rapportering, bokföring, kontantgräns	10 juli 2027 (fotbollssektorn 10 juli 2029)
Direktiv (EU) 2024/1640 (AMLD6)	Direktiv, införlivat nationellt	Medlemsstaternas skyldigheter: tillsynsmyndigheter, finansunderrättelseenheter (FIU), register, sanktioner	Införlivande senast den 10 juli 2027, med tidigare och senare datum för specifika artiklar
Förordning (EU) 2024/1620 (AMLA (förordning)	Reglering	Inrättar myndigheten för bekämpning av penningtvätt och finansiering av terrorism (AMLA)	1 juli 2025, med några artiklar från 26 juni 2024

Den praktiska konsekvensen av att överföra regler på företagsnivå till en förordning är att den nationella guldplätering minskar.Medlemsstaterna behåller ett visst utrymme, t.ex. för att fastställa lägre kontantgränser eller undanta spel med låg risk, men de grundläggande skyldigheterna lyder likadant överallt.

Tidslinjen

1. 26 juni 2024. AMLA är rättsligt fastställt.Väljda artiklar i AMLA-förordningen gäller från och med detta datum enligt artikel 108.
2. 1 juli 2025. Den AMLA Förordningen gäller i allmänhet. AMLA Den första ordföranden, Bruna Szego, tillträdde den 16 februari 2025.
3. 10 July 2025. Member States had to apply the AMLD6 amendments to the existing directive on access to beneficial ownership information (AMLD6, Articles 74 and 78).
4. 10 Juli 2026. Sista datum för antipenningtvättdirektivet6 regler om tillgång till register över verkliga huvudmän för myndigheter, ansvariga enheter och personer med ett berättigat intresse (artiklarna 11, 12, 13 och 15).
5. Sedan 1 juli 2027. AMLA påbörjar sitt första urval av enheter för direkt tillsyn och måste slutföra det inom sex månader (AMLA Förordning, artikel 13(4)).
6. 10 juli 2027. AMLR gäller (Artikel 90) och AMLD6 måste införlivas i allmänhet.
7. 2028. AMLA inleder direkt tillsyn, sex månader efter att den offentliggjort listan över utvalda enheter. AMLAs egen tidslinje placerar full drift 2028.
8. 10 juli 2029. Denna AMLR gäller för fotbollsagenter och professionella fotbollsklubbar. Bearer shares must have been converted, immobilised or deposited (AMLR, Article 79), and the AMLD6 single access point for real estate information is due (Article 18).

Vem är en ansvarig enhet

AMLR Artikel 3 I definitionen av finansiella institutioner nämns nu uttryckligen leverantörer av tjänster för kryptotillgångar, vid sidan av betalnings- och e-penningföretag, investeringsföretag, livförsäkringsbolag, fondföretag och deras förvaltningsbolag samt alternativa investeringsfonder och deras förvaltare.

Den icke-finansiella listan innehåller flera tillägg eller förtydliganden som är viktiga för licensierade grupper och deras kunder:

• Leverantörer av trust- eller bolagstjänster, skatterådgivare, revisorer, advokater och notarier i definierade transaktioner.
• Leverantörer av gräsrotsfinansieringstjänster och gräsrotsfinansieringsförmedlare.
• aktörer inom investeringsmigration som företräder sökande av uppehållstillstånd i utbyte mot investeringar,
• Näringsidkare som handlar med varor av högt värde och kulturföremål över EUR 10,000.
• icke-finansiella blandade holdingbolag,
• fotbollsagenter och professionella fotbollsklubbar för transaktioner med investerare, sponsorer, agenter och för spelaröverföringar.

Medlemsstaterna får undanta speltjänster med låg risk enligt artikel 4, men inte kasinon och inte leverantörer vars huvudsakliga verksamhet är hasardspel eller vadhållning på nätet, med undantag för statligt drivna eller statligt reglerade onlinetjänster.

Vad förändras för företagen

Styrning

Artikel 11 kräver två namngivna roller. A Compliance Manager till IKEA är ledamot av ledningsorganet i dess ledningsfunktion och ansvarar för att bolagets AMLR och överföringsförordningen. A Compliance officer, utsedd av det organet med tillräckligt hög ställning, kör dag-till-dag AML och påföljdskontroller samt är kontaktpunkt för myndigheter.

Compliance-ansvarig får endast avsättas efter meddelande till ledningsorganet, och arbetsledaren ska informeras. Mindre företag kan kombinera de två rollerna där storleken och risken motiverar det Styrelser bör förvänta sig att arbetsledare testar om compliance-chefen verkligen har äganderätten i ämnet.

När due diligence utlöses

Artikel 19 ställer samma utlösande faktorer i hela EU:

Situation	Tröskelvärde för kundkännedom
Etablera en affärsrelation	Alltid
Enstaka transaktioner, allmän regel	EUR 10,000 eller mer, enskilda eller sammanlänkade
Enstaka överföringar av medel från banker och finansinstitut (ej CASP)	EUR 1,000 eller mer
Enstaka transaktion av en tjänsteleverantör för kryptotillgångar	EUR 1,000 eller mer, identifieringsåtgärder under det
Enstaka kontanttransaktion	Minst identifiering och verifiering från EUR 3,000
Spelinsatser eller vinster	EUR 2,000 eller mer
Misstanke om penningtvätt eller finansiering av terrorism	Alltid, oavsett tröskelvärde

Hålla filer aktuella

Under Artikel 26Företag som endast förlitar sig på händelsestyrda granskningar kommer att behöva en kalenderbaserad backstop, vilket innebär att kundinformationen måste uppdateras med intervall som återspeglar risken men aldrig längre än ett år för kunder med högre risk och fem år för alla andra.

Kreditinstitut och finansiella institut måste också kontrollera sin kundbas mot riktade ekonomiska sanktioner vid varje ny utnämning, förutom riskbaserade periodiska kontroller.

Verkligt ägande

Testet på 25 procent finns nu i själva förordningen. Under Artikel 5225 % eller mer av aktierna, rösträtterna eller andra ägandeintressen, direkt eller indirekt, gör en person till verklig huvudman och innehav på varje nivå i kedjan räknas.Kommissionen kan fastställa ett lägre tröskelvärde, högst 15 %, för kategorier av enheter som den identifierar som högre risk.

Artikel 53 Kontroll genom ägande innebär 50 % plus en av aktierna eller rösterna, och kontroll på annat sätt innefattar rätt att tillsätta eller avsätta majoriteten i styrelsen, vetorätt samt beslut om vinstfördelning.

Rika kunder

I artikel 34(5) läggs särskilda förstärkta åtgärder till för högriskrelationer som innebär hantering av minst 5 miljoner euro i tillgångar genom personligt anpassade tjänster för en kund med sammanlagda tillgångar på minst 50 miljoner euro, exklusive privatbostad. Det gäller för kreditinstitut, finansiella institutioner och leverantörer av tjänster till truster eller bolag, vilket innebär att privata banker, kapitalförvaltare och förvaltare direkt omfattas. AMLA måste utfärda riktlinjer för att mäta denna rikedom senast 10 juli 2027.

Crypto-tillgångar

Tjänsteleverantörer av kryptotillgångar står inför tre olika regler. Artikel 19 sänker tröskeln för tillfälliga transaktioner till EUR 1,000. Artikel 40 kräver att de bedömer och minskar riskerna med överföringar till eller från adresser som är värdbaserade på egen server. Article 79 prohibits anonymous accounts and accounts that allow anonymisation or increased obfuscation of transactions, “including through anonymity-enhancing coins”.

Poster, kontanter och förfrågningar från FIU

• Lagring av uppgifter: fem år från slutet av förhållandet eller den tillfälliga transaktionen, eller från en vägran att gå ombord, som kan förlängas av myndigheterna med upp till ytterligare fem år (Artikel 77).
• Kontantgräns: personer som handlar med varor eller tillhandahåller tjänster får inte ta emot eller göra kontantbetalningar över EUR 10,000, och medlemsstaterna kan fastställa lägre gränser (artikel 80). Betalningar och insättningar i bankers, e-pengautgivares och betaltjänstleverantörers lokaler är undantagna men ska anmälas till FIU över gränsen.
• FIU begär: Företagen måste svara inom fem arbetsdagar, och FIU kan förkorta denna tid till mindre än 24 timmar i brådskande fall (Artikel 69).

Tredjeländer med hög risk

The Commission continues to identify third countries with significant strategic deficiencies by delegated act, taking FATF calls for action into account (Article 29). Affärsförbindelser och tillfälliga transaktioner med personer från förtecknade länder kräver de utökade åtgärderna i artikel 34(4). För institut utanför EU ökar en förteckning över deras hemjurisdiktion direkt kostnaden för varje korrespondent- och motpartsförbindelse inom EU.

AMLA: vad den nya myndigheten gör

AMLA har sitt säte i Frankfurt am Main (Tyskland).AMLA Förordning, artikel 4Den har tre breda uppgifter: direkt tillsyn av ett litet antal finansiella högriskgrupper, indirekt tillsyn av nationella tillsynsmyndigheter samt stöd och samordning för de nationella finansunderrättelseenheterna.

Vem AMLA kommer att övervaka direkt

Markeringen följer en formel som anges i Artiklarna 12 och 13:

1. AMLA bedömer regelbundet kreditinstitut och finansiella institut samt koncerner som är verksamma i minst sex medlemsstater, inbegripet hemlandet, antingen genom etableringar eller gränsöverskridande tjänster och oavsett om det sker fysiskt eller på distans.
2. Den klassificerar inneboende och kvarstående risker som låga, medelstora, betydande eller höga med hjälp av separata metoder för kategorier som inkluderar kreditinstitut, institut för e-pengar, betalningsinstitut, värdepappersföretag, företag för kollektiva investeringar och leverantörer av tjänster för kryptotillgångar.
3. Enheter med kvarstående risk hög kvalificerar sig.I den första omgången, om fler än 40 kvalificerar sig, tar AMLA de 40 som är verksamma i det högsta antalet medlemsstater.
4. Om ingen enhet i en viss medlemsstat kvalificerar sig väljs den högst riskfyllda enheten där ut genom ett ytterligare förfarande, även om detta inte gäller i första omgången.

Det första urvalet ska påbörjas senast den 1 juli 2027 och listan ses över vart tredje år, vilket innebär att en gränsöverskridande betalnings- eller e-penningkoncern med svaga kontroller och bred passkontroll är lika sannolik som en stor bank.

AMLA:s befogenheter

För enheter som står under direkt tillsyn kan AMLA ålägga ekonomiska sanktioner. Vid allvarliga, upprepade eller systematiska överträdelser av kraven på kundkännedom, intern kontroll eller koncernövergripande kontroller eller rapporteringsskyldigheter är taket 10 % av den totala årliga omsättningen under föregående räkenskapsår. För allvarliga överträdelser av andra krav är taket efter justeringar 10 miljoner euro (artikel 22).

AMLA utarbetar också de tekniska standarder som ska fylla i AMLR. Den samrådde om utkasten till tekniska standarder för tillsyn av kundkännedom från 9 februari till 8 maj 2026 och publicerade resultatet av samrådet den 6 oktober 2026 (AMLA). Företagen bör följa dessa standarder noga, eftersom de kommer att definiera vilka datafält som onboardingsystemen måste samla in.

AMLD6: what Member States must build

Direktivet är mindre synligt för företagen men formar den miljö de verkar i.

• Fit and proper checks: supervisors must verify that senior management and beneficial owners of credit institutions, financial institutions and other listed obliged entities are of good repute and act with honesty and integrity, and may request removal or divestment (AMLD6, Article 6).
• Register över verkligt huvudmannaskap: centrala register med fastställda regler för tillgång för myndigheter, ansvariga enheter och personer med ett berättigat intresse (artiklarna 10–15).
• Kontoregister: centraliserade mekanismer för identifiering av innehavare av betalnings- och bankkonton, inbegripet virtuella IBAN-nummer, värdepapperskonton, konton för kryptotillgångar och kassaskåp, som är direkt tillgängliga för FIU (Artikel 16).
• Sanktioner: för kreditinstitut och finansiella institut, maximala ekonomiska påföljder på minst 10 miljoner euro eller 10 % av årsomsättningen, beroende på vilket som är högst, och för fysiska personer minst 5 miljoner euro (Artikel 55).

Verkningar utanför EU

AMLR är bindande för enheter som är etablerade i EU, men dess räckvidd är bredare i praktiken.

• Koncerner med EU-dotterbolag måste uppfylla AMLR i dessa dotterbolag och tillämpa koncernövergripande policyer, vilket i sin tur formar kontrollerna på moderbolaget.
• Korrespondenter och motparter i EU kommer att tillämpa de harmoniserade testerna för tillbörlig aktsamhet och verkligt huvudmannaskap på sina kunder utanför EU, med skärpta åtgärder för högriskländer som finns upptagna i förteckningen.
• Angränsande regimer rör sig parallellt. Switzerland, for example, brought its revised Anti-Money Laundering Act and a new Act on the Transparency of Legal Persons and the Identification of Beneficial Owners into force on 1 October 2026, starting transition periods for registering entities in a new transparency register (Swiss Federal Council).

Förberedelser inför 10 juli 2027

1. Kartlägg omfattningen. Bekräfta vilka koncernenheter som är ansvariga enheter enligt artikel 3 och vilka eventuella nationella undantag som kommer att upphöra.
2. Utse de två rollerna. Namnge compliance manager och compliance officer, och dokumentera deras rapporteringsvägar till styrelsen.
3. Gap-analys due diligence. Jämför nuvarande tröskelvärden, datafält, uppdateringscykler och verkligt ägande mot artiklarna 19, 26, 52 och 53, sedan mot AMLAs tekniska standarder när de antas.
4. Kontrollera produkter. Granska kontantacceptans, anonyma eller integritetsförbättrande funktioner, innehavarinstrument och flöden i egen plånbok.
5. Bedöm AMLA exponering. Räkna de medlemsstater där koncernen är verksam, inklusive med pass, och testa kvarstående risk ärligt mot den publicerade metoden.
6. Planera data. Räkna med mer strukturerade förfrågningar från FIU och tillsynsmyndigheter, och korta deadlines att svara på dem.

Paketet ändrar inte den grundläggande logiken i AML: vet vem du har att göra med, förstå varför och rapportera vad som inte passar in.Det tar bort mycket av det utrymme som olika nationella regler en gång gav, och placerar en europeisk tillsynsmyndighet direkt över de mest riskfyllda gränsöverskridande grupperna.