Efterlevnad: AML, KYC och sanktioner

De flesta nya banker möter sina första allvarliga tillsynsresultat i fråga om efterlevnad av reglerna för ekonomisk brottslighet, och det är också det område som korrespondentbanker granskar närmast innan de öppnar konton. En bank med en sund kapitalplan men svag kontroll mot penningtvätt kommer att ha svårt att få licens och, när den väl har fått licens, ansluta sig till det internationella betalningssystemet.

Global standard: FATF

Finansiella åtgärdsgruppen (FATF) sätter den internationella standarden i sina 40 rekommendationer. nuvarande textRekommendationerna antogs 2012 och uppdaterades senast i oktober 2025.Länderna implementerar rekommendationerna genom lagstiftning, och FATF EU och dess regionala organ bedömer varje land genom ömsesidiga utvärderingar.

De rekommendationer som är mest relevanta för banker listas nedan.

Rekommendation	Ämne
R.1	Bedömning av risker och tillämpning av en riskbaserad strategi
R.6 och R.7	Riktade finansiella sanktioner mot terrorism och spridning
R.10	Kund due diligence
R.11	Registrering
R.12	Personer i politiskt utsatt ställning
R.13	Korrespondentbank
R.15	Ny teknik, inklusive virtuella tillgångar
R.16	Betalningstransparens, tidigare banköverföringar
R.17 till R.19	Förlitande på tredje part, interna kontroller, högre riskländer
R.20 och R.21	Rapportering av misstänkta transaktioner
R.24 och R.25	Verkligt huvudmannaskap för juridiska personer och arrangemang

Grunden är det riskbaserade tillvägagångssättet i R.1, där åtgärderna ska stå i proportion till de identifierade riskerna, vilket innebär ökad granskning av högriskkunder och produkter samt förenklade åtgärder där risken påvisbart är lägre.

Känn din kund och kundkännedom

Rekommendation 10 förbjuder anonyma konton och konton i uppenbart fiktiva namn. Det kräver CDD vid upprättandet av en affärsrelation, för tillfälliga transaktioner över USD/EUR 15,000, när det finns misstanke om penningtvätt eller finansiering av terrorism och när institutet tvivlar på tidigare erhållna identifieringsuppgifter.

CDD-åtgärderna är:

1. Identifiering av kunden och verifiering av identitet med hjälp av tillförlitliga, oberoende källdokument, data eller information.
2. Identifiering av den verkliga huvudmannen och vidtagande av rimliga åtgärder för att kontrollera identiteten, inbegripet förståelse av ägar- och kontrollstrukturen hos juridiska personer och arrangemang.
3. Förstå, och i förekommande fall inhämta information om, syftet med och den avsedda karaktären hos förhållandet.
4. Genomföra kontinuerlig due diligence och granskning av transaktioner för att säkerställa att de överensstämmer med institutets kunskap om kunden, inklusive vid behov källan till medlen.

Om ett institut inte kan slutföra CDD, bör det inte öppna kontot eller avsluta relationen och överväga att lämna in en misstänkt transaktionsrapport.Enligt R.11 måste transaktions- och CDD-register bevaras i minst fem år.

Förbättrad due diligence

Förbättrad due diligence (EDD) tillämpas där risken är högre.Typiska utlösande faktorer är komplexa ägarstrukturer, kassaintensiva verksamheter, kunder med kopplingar till högre riskländer, privatbankstjänster och icke-ansikte mot ansikte relationer utan stark verifiering. EDD åtgärder inkluderar mer bevis på källan till medel och förmögenhet, godkännande av ledande befattningshavare och tätare granskning.

Verkligt ägande

Med verklig huvudman avses den fysiska person som ytterst äger eller kontrollerar en kund. R.24 Genom direktivet åläggs medlemsstaterna att se till att lämpliga, korrekta och aktuella uppgifter om verkligt huvudmannaskap finns tillgängliga för myndigheterna genom ett register eller en alternativ mekanism.Det förbjuder också nya innehavaraktier och kräver åtgärder mot missbruk av nominerade aktieägare och styrelseledamöter.

EU har fastställt en gemensam tröskel. Enligt Förordningen om penningtvätt, innebär ett ägarintresse direkt eller indirekt ägande av 25 % eller mer av aktierna, rösträtterna eller annan ägarandel i en juridisk person. Kontroll genom andra medel kan också göra en person till verklig huvudman. Ett tröskelvärde på 25 % tar inte bort behovet av att förstå hela strukturen.

Personer i politiskt utsatt ställning

En PEP är en person som har anförtrotts en framträdande offentlig funktion, till exempel statschef, högre politiker, högre domare eller högre tjänsteman i ett statsägt företag.Familjemedlemmar och nära medarbetare omfattas också.

För utländska PEP kräver R.12 att instituten

1. Ha riskhanteringssystem för att avgöra om en kund eller verklig huvudman är en PEP.
2. Inhämta godkännande från ledande befattningshavare för att etablera eller fortsätta relationen.
3. Vidta rimliga åtgärder för att fastställa källan till rikedom och källa till medel.
4. Genomför förbättrad löpande övervakning.

För inhemska PEP och personer med framträdande funktioner i internationella organisationer gäller dessa åtgärder där förhållandet är av högre risk.

Sanktioner screening

Sanktioner är rättsliga förbud, inte riskbedömningar. Under R.6, måste länderna ”utan dröjsmål” frysa tillgångarna hos personer som av FN:s säkerhetsråd utsetts för terrorism, och R.7 tillämpar samma logik på spridningsfinansiering.

Bankerna tillämpar också de autonoma sanktionerna i den jurisdiktion där de bedriver verksamhet, i EU är det rådsförordningar. Banker som gör betalningar i andra valutor måste även ta hänsyn till de sanktionsregler som deras korrespondentbanker tillämpar, eftersom en betalning som bryter mot dessa regler stoppas i kedjan.

Ett sanktionsprogram omfattar:

1. Screening av kunder, verkliga ägare och anknutna parter vid onboarding och när listor ändras.
2. Kontrollera betalningar, inklusive namn på parter, banker, fartyg och platser, i realtid före genomförandet.
3. Hantera varningar med dokumenterade beslut, undvika både falsk komfort och överdriven blockering.
4. Frysa och rapportera matcher till behörig myndighet.
5. Kontroller mot undandragande, såsom att ta bort eller ändra betalningsinformation.

Transaktionsövervakning och rapporter om misstänkt aktivitet

Transaktionsövervakningen jämför kundaktiviteten med den förväntade profilen och med kända typologier.Övervakningen är oftast automatiserad, med scenarier och tröskelvärden anpassade till bankens egen kundbas och granskas av utbildade analytiker.

Enligt R.20 ska ett institut som ”misstänker eller har skälig anledning att misstänka” att medel är vinning av brott eller relaterade till finansiering av terrorism omedelbart rapportera dessa rapporter kallas misstänkta transaktionsrapporter eller rapporter om misstänkt aktivitet beroende på jurisdiktion.

R.21 skyddar personal som anmäler i god tro och förbjuder tipping-off, det vill säga att avslöja för kunden eller andra att en anmälan har gjorts, vilket innebär att banken ska sköta kundrelationen omsorgsfullt efter inlämnandet utan att avslöja anmälan.

EU-paketet AML och AMLA

EU antog 2024 ett paket som flyttar de flesta regler från direktiv till en direkt tillämplig förordning och skapar en EU-myndighet.

Instrument	Vad den gör	Nyckeldatum
Förordning (EU) 2024/1624 (AMLR)	Gemensamma regler för ansvariga enheter: CDD, verkligt huvudmannaskap, PEPs, rapportering, ett EU-omfattande tak för kontantbetalningar av näringsidkare i varor och tjänster på EUR 10,000	Gäller från den 10 juli 2027, med ett senare datum för vissa enheter
Direktiv (EU) 2024/1640 (AMLD6)	Nationella tillsynsmyndigheter, FIU, register över verkliga huvudmän, bankkontoregister	Allmänt införlivande senast den 10 juli 2027, med tidigare datum för vissa artiklar
Förordning (EU) 2024/1620 (AMLA)	Inrättar myndigheten för bekämpning av penningtvätt med säte i Frankfurt am Main	Gäller från 1 juli 2025, med vissa artiklar tidigare

AMLA will directly supervise a limited number of high-risk credit and financial institutions operating in at least six Member States. Förordningen kräver att den första urvalsprocessen ska påbörjas senast 1 juli 2027 och anger att direkt tillsyn av utvalda enheter ska inledas i 2028. Om fler än 40 enheter kvalificerar sig i den första omgången, ska AMLA utöva tillsyn över den 40 som är verksam i det största antalet medlemsstater.

För övriga institut är det fortfarande de nationella tillsynsmyndigheterna som ansvarar. AMLA samordna och fastställa tekniska standarder.

Reseregeln

Reseregeln kräver att betalningsinformation om avsändaren och mottagaren ska åtfölja en överföring genom betalningskedjan och härrör från FATF R.16.

I EU gäller förordning (EU) 2023/1113 från och med 30 december 2024 för överföringar av medel och kryptotillgångar. För överföringar av medel krävs fullständiga uppgifter om betalare och betalningsmottagare över EUR 1,000, med lättare krav för mindre överföringar som inte är kopplade. För kryptotillgångar tillämpar förordningen samma krav “oavsett deras belopp och om de är inhemska eller gränsöverskridande överföringar”.

Den FATF reviderade R.16 och dess tolkningsanmärkning i juni 2025, och döpte om den till betalningstransparens. CSSFSammanfattning avÄndringarna standardiserar den information som krävs i betalningsmeddelanden, förtydligar ansvarsområden längs betalningskedjan och lägger till åtgärder mot bedrägerier, feldirigering och fel såsom verifiering av betalningsmottagare. De ska träda i kraft senast i slutet av 2030.

Landrisk och offentliga listor

Den FATF Vid plenarsammanträdet i juni 2026, som sammanfattas nedan, publiceras två listor efter varje plenarsammanträde. Maltas FIU, Demokratiska folkrepubliken Korea, Iran och Myanmar förblev högriskjurisdiktioner som var föremål för en uppmaning att vidta åtgärder, Bosnien-Hercegovina och Irak lades till i listan över jurisdiktioner under skärpt övervakning och Algeriet och Namibia togs bort.

EU har en egen förteckning över högriskländer utanför EU. Europeiska kommissionen I december 2025 antog kommissionen ändringar som innebär att Ryssland, Bolivia och Brittiska Jungfruöarna kommer att ingå i förteckningen från och med den 29 januari 2026.

Vad tillsynsmyndigheterna förväntar sig av en ny bank

1. En riskbedömning för hela verksamheten som omfattar kunder, produkter, kanaler och länder, godkända av styrelsen.
2. En rapportör för penningtvätt med befogenheter, resurser och direkt tillgång till styrelsen.
3. Skriftliga policyer och rutiner som matchar de faktiska onboarding och övervakningssystem.
4. Testade system för identitetsverifiering, screening och övervakning med dokumenterad inställning.
5. Utbildning för all personal, med specialistutbildning för front office och compliance.
6. Oberoende testning av internrevisor eller en extern granskare.
7. Förenlighet med affärsplanen. Tillsynsmyndigheterna jämför AML ramverk med målkunder och länder i ansökan, och utmana luckor.

Nästa artikel tittar på korrespondentbankverksamhet, där dessa kontroller testas av andra banker och tillsynsmyndigheter.