Europas hvitvasking-reset: Hva det nye felles regelverket betyr i praksis

Den 10. juli 2027 blir EUs hvitvaskingsforordning – AMLR, forordning (EU) 2024/1624 – direkte anvendelig i hele Den europeiske union. For foretak som har brukt to tiår på å tilpasse seg nasjonale gjennomføringer av successive hvitvaskingsdirektiver, er dette en strukturell endring, ikke bare en oppdatering. Store deler av kjernerammeverket for hvitvasking i privat sektor flyttes ut av nasjonal lovgivning og inn i én enkelt forordning som i all hovedsak gjelder slik den er skrevet, i samtlige medlemsstater. For EØS-land, inkludert Norge, forventes pakken å bli innlemmet gjennom EØS-prosessen, selv om formell innlemmelse og eventuelle EØS-spesifikke tilpasninger fremdeles er under avklaring – en påminnelse om at dette skiftet ikke er begrenset til EUs medlemsstater.

Det er fristende å behandle dette som en ny etterlevelsesdeadline: lese den nye teksten, oppdatere policyhåndboken, bekrefte at leverandøren har en plan, og gå videre. Det ville være en tapt mulighet. Den mer fruktbare måten å tenke på AMLR er som en sjelden anledning til å revurdere etterlevelsesprosesser som, i de fleste foretak, aldri ble utformet som et sammenhengende system – de ble bygget land for land, krav for krav, ofte med mange års mellomrom, på den teknologien som tilfeldigvis var tilgjengelig på det tidspunktet.

Én regelbok betyr ikke ett identisk marked

Historisk sett har EUs hvitvaskingslovgivning fungert gjennom direktiver, som medlemsstatene gjennomfører i sin nasjonale lovgivning. Det har skapt et lappeteppe: i store trekk like målsetninger, men reelle forskjeller i ordlyd, anvendelsesområde og praktisk gjennomføring fra marked til marked. Et foretak som opererer i flere EU-land har i praksis måttet opprettholde flere overlappende rammeverk med felles opphav.

AMLR endrer mekanismen. Som en forordning gjelder den direkte, uten nasjonal gjennomføring, og plasserer kjerneforpliktelsene – kundeidentifikasjon, reelt eierskap, formålet med og den tiltenkte arten av forretningsforholdet, risikovurdering og løpende overvåking – i én direkte anvendelig tekst. Et tilhørende direktiv, AMLD6 (direktiv (EU) 2024/1640), fortsetter å regulere den institusjonelle siden: hvordan nasjonale tilsynsmyndigheter, finansielle etterretningsenheter og registre er organisert, med sin egen gjennomføringsfrist som i stor grad sammenfaller med den samme datoen, med et mindre antall bestemmelser som trer i kraft tidligere eller senere.

Ingenting av dette gjør EU til ett enhetlig etterlevelsesmiljø. Nasjonale tilsynsmyndigheter består og fortsetter å tolke, prioritere og håndheve innenfor sine egne markeder, og institusjonelle ordninger og håndhevingskultur varierer fortsatt. Et mer harmonisert rammeverk betyr ikke at etterlevelsesmiljøet er identisk i alle land – det betyr at den underliggende regelboken alle nasjonale miljøer bygger på, nå i stor grad er den samme.

EUs hvitvaskingsmyndighet, AMLA, er et supplement til dette skiftet snarere enn et startpunkt for det. Rettslig etablert i 2024 og i ferd med å operasjonalisere sitt mandat siden 2025 fra sitt sete i Frankfurt, utvikler den tekniske standarder, metoder og arbeid med tilsynskonvergens som skal underbygge det felles regelverket. Dens egen direkte tilsynsrolle – over et begrenset antall høyrisikoinstitusjoner med virksomhet på tvers av landegrenser – følger en utvelgelsesprosess som starter i 2027, med direkte tilsyn fra 2028. AMLA er viktig, men den umiddelbare endringen for de fleste foretak er selve forordningen, ikke den myndigheten som til slutt vil føre tilsyn med en undergruppe av institusjoner innenfor den.

Reglene blir europeiske. Dataene er fortsatt nasjonale.

Her er det skillet foretak bør holde fast ved gjennom alt dette: reglene blir mer europeiske. Datainfrastrukturen bak dem er det i stor grad ikke.

En mer harmonisert rettslig tekst er genuint nyttig for leverandører av etterlevselsteknologi. I stedet for å vedlikeholde en egen regelmotor for hver nasjonal gjennomføring kan en leverandør i stadig større grad bygge mot én EU-regulatorisk kjerne og tilpasse i randsonen. Det bør gjøre det lettere for etterlevselsteknologi å ekspandere troverdig i europeiske markeder, i stedet for at hver leverandørs dekning stopper ved grensen til sitt hjemland.

Det gjør ikke Europa til ett teknologimarked over natten, fordi dataene som faktisk er nødvendige for å gjennomføre KYC og KYB ikke er sentralisert av AMLR i det hele tatt. Foretaksregistre, kilder til informasjon om reelt eierskap, identitetsinfrastruktur, nasjonale identifikatorer og lokale dokumentformater er fortsatt organisert land for land, hver med sine egne tilgangsregler og pålitelighet. Harmonisering fjerner ett reelt kompleksitetslag – det juridiske. Det fjerner ikke det praktiske arbeidet med å innhente og vedlikeholde gode data på tvers av jurisdiksjoner som fortsatt driver sine egne registre og identitetssystemer.

Hvorfor harmonisering likevel er viktig for foretak med grenseoverskridende virksomhet

Selv med dette forbeholdet er den praktiske fordelen ved en felles regelbok reell, særlig for mindre og mellomstore foretak. Ta for deg et regulert foretak i ett EU-marked som vurderer om det skal etablere virksomhet, eller utvide sine regulerte tjenester, til et naboland. Under den gamle, direktivbaserte modellen innebar den beslutningen å bli komfortabel med et ukjent nasjonalt hvitvaskingsregime, i tillegg til de lisens-, tilsyns- og lokaljuridiske spørsmålene enhver ekspansjon allerede reiser – og konklusjonen var ofte at den ekstra etterlevelsesusikkerheten ikke var den kommersielle oppsiden verdt. Denne usikkerheten har stille og sikkert motvirket grenseoverskridende ekspansjon som ellers ville ha gitt mening.

AMLR innvilger ikke pass for å yte regulerte tjenester hvor som helst i EU, og det fjerner ingenting fra lisenssystemer, tilsynsgodkjenning eller annen nasjonal lovgivning som fortsetter å gjelde for en slik ekspansjon. Det den gjør, er snevrere og likevel meningsfullt: den fjerner én bestemt friksjonskilde – usikkerheten om de underliggende hvitvaskingsforpliktelsene i det nye markedet er gjenkjennelig like dem foretaket allerede oppfyller hjemme. For foretak som vurderer om et tilstøtende marked er verdt å entre, er det én usikkerhet mindre, selv om de øvrige regulatoriske spørsmålene består.

Den samme logikken gjelder for mennesker. Etter hvert som de underliggende reglene konvergerer, bør hvitvaskingskompetanse bli mer overførbar mellom EU-markeder – en compliance-fagperson med opplæring under ett lands gjennomføring bør trenge kortere tid på å lære seg et vesentlig annerledes underliggende hvitvaskingsrammeverk for å være nyttig i et annet. Det bør ikke overdrivers til å bety at «compliance-skjønn blir universalt»: lokale tilsynsforventninger, forretningsmodeller og risikoappetitt skiller seg fortsatt fra hverandre og krever fortsatt skjønn som er spesifikt for det markedet foretaket faktisk opererer i. Harmonisering kan gjøre spesialisert hvitvaskingskompetanse mer overførbar uten at compliance-beslutninger blir utskiftbare.

KYC kan ikke leve av en gjennomgangskalender alene

En av de mest betydningsfulle operasjonelle implikasjonene av AMLR har imidlertid lite å gjøre med grenseoverskridende ekspansjon. Den handler om hvordan foretak forventes å holde kundeinformasjon oppdatert når et forhold allerede er etablert.

Løpende overvåking er ikke en ny forpliktelse – foretak har vært pålagt å overvåke forretningsforbindelser i årevis. Det AMLR gjør, er å gjøre driftsmodellen bak denne forpliktelsen vesentlig mer eksplisitt og harmonisert. Forordningen krever at foretak holder kundeinformasjonen oppdatert, fastsetter maksimale intervaller for gjennomgang og oppdatering – opptil ett år for høyrisikoforbindelser og opptil fem år for andre, i henhold til de eksakte bestemmelsene – og krever dessuten at informasjonen gjennomgås eller oppdateres når det skjer en relevant endring i en kundes omstendigheter, eller når foretaket blir kjent med et relevant faktum, uavhengig av hvor dette faller i gjennomgangssyklusen.

Det er det andre kravet som er verdt å dvele ved, fordi det ikke passer pent inn i hvordan mange foretak fortsatt opererer. Et vanlig arbeidsmønster er: onboarding, screening, tildeling av risikovurdering, fastsettelse av en fremtidig gjennomgangsdato og revisjon av saken når den datoen inntreffer. Det oppfyller den periodiske gjennomgangsdelen av forpliktelsen godt nok. Det er en svakere tilpasning til den endringsdrevne delen, fordi det strukturelt behandler alt som skjer mellom gjennomgangsdatoene som noe som skal fanges opp senere, snarere enn å bli oppdaget nå.

Driftsmodellen forordningen peker mot ser mer slik ut: onboarding, løpende overvåking, identifisering av en relevant endring, vurdering av den, handling der det er nødvendig, dokumentasjon av det som ble gjort, og gjennomføring av den periodiske gjennomgangen i henhold til tidsplanen – en operasjonell illustrasjon, ikke lovtekst. Kort sagt gjør det nye rammeverket det stadig vanskeligere å behandle KYC som onboarding etterfulgt av en kalenderpåminnelse. Det er sannsynligvis et av de mer betydningsfulle skiftene som kommer ut av denne omstillingen – ikke fordi overvåkingsplikten er ny, men fordi en rent kalenderbasert gjennomgangsmodell er et dårlig samsvar med et rammeverk som også forventer at foretak identifiserer og reagerer på relevante endringer mellom planlagte gjennomganger.

En oppdaget endring er begynnelsen på en prosess, ikke et resultat

Det er verdt å være presis om hvorfor dette skillet er operasjonelt viktig.

En planlagt kontroll forteller foretaket noe på et gitt tidspunkt. En relevant endring mellom kontrollene er annerledes: den kan kreve at foretaket revurderer om dets tidligere forståelse, risikovurdering eller handlinger fortsatt holder. En oppdatering i et foretaksregister, et skifte i eierskap, et nytt negativt funn, et utløpende dokument – ingen av disse er i seg selv en konklusjon. Hver av dem er begynnelsen på en rekke spørsmål som noen fortsatt må besvare: hva som endret seg, om det er vesentlig i denne sammenhengen, hvem som skal gjennomgå det, om risikovurderingen fortsatt holder, om mer informasjon er nødvendig, om kunden må kontaktes, om godkjenning er påkrevd, hvilken beslutning som ble tatt, og hvilken dokumentasjon som registrerer responsen.

Den sekvensen – endring oppdaget, rutet inn i en styrt arbeidsflyt, gjennomgått av en person med beslutningsmyndighet, og registrert underveis – er der overvåking og arbeidsflyt møtes. Ingenting av dette innebærer at programvare skal ta den underliggende compliance-beslutningen; å rute en endring inn i en styrt arbeidsflyt eksisterer for å sikre at en person med riktig myndighet tar den beslutningen, med riktig informasjon foran seg, innenfor en rimelig tidsramme. Det som endres, er ikke hvem som beslutter, men hvor pålitelig en endring når den personen som bør beslutte, og hvor fullstendig responsen blir registrert.

Dette er også der leverandørarkitektur begynner å bety mer enn leverandørmarkedsføring antyder. Noen AML-produkter ble primært bygget rundt onboarding, innledende screening, lagring av en KYC-fil, tildeling av en risikoscore og planlegging av periodisk oppdatering – nyttig, men ikke i seg selv endringsorientert. For et produkt som i hovedsak er utformet rundt den modellen, kan det å bli genuint endringsorientert eller hendelsesdrevet være en mer betydelig arkitekturutfordring enn en regeloppdatering. Ingenting av dette betyr at en bestemt leverandør ikke kan etterleve kravene, og AMLR påbyr ikke en bestemt teknisk arkitektur eller «hendelsesmotor» – forpliktelsen påhviler det regulerte foretaket, ikke dets programvare. Men det intelligente kjøperspørsmålet er ikke lenger simpelthen «er vår leverandør AMLR-kompatibel». Det er nærmere: kan vår nåværende teknologi støtte den driftsmodellen dette rammeverket forventer at foretaket vårt kjører.

Hva du bør spørre om før juli 2027

Den praktiske responsen er ikke å vente til 10. juli 2027 og se hva som skjer. Foretak som behandler datoen som sitt startpunkt, vil tilbringe andre halvdel av 2027 med å gjøre under press det som kunne vært gjort rolig i løpet av det foregående året. Ledende rådgivere forteller allerede foretak at de bør se utover policyoppdateringer og undersøke data, operative prosesser og teknologiberedskap. KPMG har for eksempel offentlig rådet foretak som forbereder seg på det nye rammeverket til å gjennomføre en gapanalyse av gjeldende hvitvaskingspraksis opp mot det kommende regelverket, identifisere hvilke ytterligere kunde- og motpartsdata de kan trenge å innhente eller vedlikeholde, vurdere effekten på eksisterende AML- og KYC-prosesser, og begynne planleggingen av teknologiendringer tidlig – fordi oppgraderinger av IT-systemer kan ha lang ledetid.

Den innrammingen peker på to ulike spørsmål, og det har betydning hvilken et foretak faktisk stiller. Det første er snevert: vil vår nåværende leverandør støtte AMLR? For mange regulerte foretak, der AML ikke er kjernevirksomheten, er den naturlige responsen å stille det spørsmålet til den eksisterende leverandøren, motta bekreftelse og fortsette omtrent som før. Det er ikke noe galt med det som et første steg, men å stoppe der forvandler en reell arkitektonisk omstilling til en policy-og-programvareoppdatering, og avskjærer det andre, mer strategisk nyttige spørsmålet: hvis vi skulle designe vår AML-driftsmodell i dag, fra bunnen av, ville vi valgt den vi har nå? Å besvare det innebærer å vurdere om kundetall, geografisk fotavtrykk eller risikoprofiler har endret seg siden de nåværende systemene ble valgt, om ansatte fortsatt utfører manuelt arbeid som teknologien burde ha absorbert, om prising og lisensiering fortsatt passer organisasjonen, om frakoblede verktøy kunne konsolideres, og om teknologien genuint støtter både den periodiske og den endringstriggede siden av forpliktelsen.

Ingenting av dette argumenterer for at alle foretak trenger ny programvare. Mange eksisterende systemer, brukt godt, vil støtte denne driftsmodellen tilstrekkelig. Poenget er at en omstilling av denne størrelsen er et fornuftig tidspunkt til å teste den antagelsen snarere enn simpelthen å anta den.

Noen foretak vil med rette hente inn ekstern ekspertise eller administrerte tjenester for å besvare det spørsmålet og drive deler av det operative arbeidet. Det er legitimt: et regulert foretak kan sette ut arbeid – ekspertise, teknologi, overvåking, administrativ utførelse – men ikke sitt regulatoriske ansvar. AMLR begrenser hva som kan delegeres bort: foretakets egen risikovurdering, dets fastsettelse av en kundes risikoprofil, dets beslutning om å inngå en forretningsforbindelse, og dets vurdering av om mistenkelig aktivitet skal rapporteres til relevant myndighet, forblir hos den forpliktede enheten, i henhold til de eksakte bestemmelsene og unntakene. Eksterne leverandører kan forbedre hvordan arbeidet utføres. De kan ikke bli svaret på hvem som er ansvarlig for det.

Menneskelig skjønn forsvinner ikke

Ingenting av dette bør leses som et argument for at bedre teknologi eller et mer harmonisert regelverk reduserer behovet for faglig skjønn. Om noe gjør det det motsatte: det fjerner noe av den administrative støyen som har fortrengt skjønnet, slik at skjønnet kan anvendes på de sakene som faktisk trenger det.

En felles regelbok produserer ikke identiske beslutninger på tvers av foretak, og det bør den ikke gjøre. Foretak tolker fortsatt regelboken gjennom linsen av sine egne kunder, produkter, forretningsmodell og risikoappetitt. Det et mer harmonisert rammeverk, støttet av bedre teknologi, endrer, er kvaliteten på informasjonen skjønnet anvendes på og hvor konsistent det registreres – ikke hvem som utøver det, eller om det fortsatt er nødvendig.

Hva dette betyr for etterlevselsteknologi

Dette er miljøet IQON er bygget for. I stedet for å tilføye en ny screeningdatabase eller et enkeltformåls KYC-verktøy er IQON bygget rundt koordineringsproblemet AMLR gjør eksplisitt: å koble det regulerte forholdet, arbeidsflyten og systemene et foretak allerede er avhengig av, slik at en relevant endring blir en styrt prosess – endring, arbeidsflyt, gjennomgang, beslutning, dokumentasjon – snarere enn et varsel noen må legge merke til og følge opp manuelt. Ulike foretak kan konfigurere denne prosessen forskjellig, i henhold til sin egen policy og risikoappetitt. Det løser ikke datafragmenteringen som er beskrevet tidligere, og det overtar ikke de underliggende beslutningene – mennesker beholder skjønnet og ansvaret. Målet er ganske enkelt at utførelse og koordinering slutter å være avhengig av at noen husker.

Hvor dette leder

Juli 2027 bør ikke behandles simpelthen som en etterlevelsesdeadline. Det er et fornuftig tidspunkt til å spørre om driftsmodellen som er bygget rundt det gamle rammeverket – akkumulert land for land, system for system, over et tiår eller mer – fortsatt er den et foretak ville valgt i dag, gitt en ren tavle.

Det felles regelverket vil harmonisere store deler av den underliggende lovgivningen. Det vil ikke automatisk modernisere prosessene foretak bruker for å oppfylle den. Den delen er fortsatt opp til foretakene selv – og det er en betydelig bedre bruk av månedene som kommer enn å vente på å finne ut hva fristen faktisk krever.