Riskbaserad kundkännedom enligt AMLR – riktlinjer och förenklade åtgärder

Välkomna till del 12 i vår bloggserie om AMLR. I denna del behandlas artiklarna 32–33 som rör riktlinjer och förenklade krav på kundkännedom. I den föregående delen i bloggserien täckte vi tredjeländer och identifiering och verifiering som utgångspunkt för KYC. För läsare som vill fördjupa sig ytterligare rekommenderas att återvända till det inlägget.

I denna del riktas fokus mot hur identifiering och verifiering används i ett vidare riskbaserat sammanhang enligt AMLR, särskilt i relation till möjligheten att tillämpa förenklade åtgärder. Artiklarna 32 och 33 reglerar dels hur tillsynsmyndigheter ska vägleda ansvariga enheter om aktuella risker, dels när och hur kraven på kundkännedom kan anpassas vid lägre risk. För ledning och styrelse innebär detta ett ökat behov av strategisk styrning, där tillgång till kvalificerat compliance- och AML-stöd för ledning och styrelse är centralt för att säkerställa en korrekt tillämpning av regelverket i praktiken.

Artikel 32 AMLR – Riktlinjer om risker, trender och metoder i samband med penningtvätt och finansiering av terrorism

Artikel 32 placerar EU-myndigheten för bekämpning av penningtvätt (AMLA) i en central roll när det gäller att identifiera och kommunicera risker, trender och metoder för penningtvätt och finansiering av terrorism som involverar geografiska områden utanför EU och som ansvariga enheter är utsatta för. Senast den 10 juli 2027 ska AMLA utfärda riktlinjer som är avsedda att fungera som ett praktiskt stöd för ansvariga enheter i deras löpande riskbedömning och arbete med kundkännedom.

AMLA ska vid utfärdandet av riktlinjerna särskilt beakta de riskfaktorer som anges i bilaga III till AMLR, vilka bland annat rör risker rörande geografiskt område, kunder, produkter, tjänster och transaktioner.

Om riktlinjerna identifierar situationer med högre risk ska de även omfatta skärpta åtgärder för kundkännedom. Ansvariga enheter ska då överväga att tillämpa dessa skärpta åtgärder för kundkännedom för att minska de höga riskerna. Detta innebär att riktlinjerna får en direkt betydelse för hur ansvariga enheter utformar sina KYC-processer.

Artikel 32.2 föreskriver att riktlinjerna ska ses över minst vartannat år. Denna regelbundna översyn är av central betydelse för att säkerställa att regelverket förblir relevant och uppdaterat i förhållande till förändrade riskfaktorer. För ansvariga enheter innebär detta att interna riskbedömningar och rutiner för kundkännedom måste vara tillräckligt flexibla för att snabbt kunna anpassas till AMLAs uppdaterade riktlinjer.

Vid både utfärdande och översyn av riktlinjer ska AMLA, enligt artikel 32.3, ta hänsyn till information, bedömningar, rapporter och utvärderingar från ett brett spektrum av aktörer, däribland EU:s institutioner, internationella organisationer och byråer.

Artikel 33 AMLR – Förenklade åtgärder för kundkännedom

Enligt artikel 33.1 får ansvariga enheter tillämpa förenklade åtgärder för kundkännedom när en låg risk har identifierats i en affärsförbindelse eller en transaktion, med beaktande av riskfaktorerna i bilagorna II och III. De förenklade åtgärderna kan bland annat innebära att kontrollen av kundens och den verkliga huvudmannens identitet sker efter att affärsförbindelsen har inletts, dock senast 60 dagar därefter.

Även frekvensen av uppdateringar av uppgifter för att identifiera kunden och omfattningen av information som samlas in om affärsförbindelsens syfte kan minskas. Fortsättningsvis kan förenklade åtgärder vara att minska graden av granskning av de transaktioner som kunden har utfört.

De förenklade åtgärderna enligt ovan ska vara proportionerliga i förhållande till verksamhetens art, storlek och till de särskilda inslag av lägre risk som identifierats. Ansvariga enheter är skyldiga att övervaka transaktioner och affärsförbindelser tillräckligt noga så att ovanliga eller misstänkta transaktioner kan upptäckas.

Artikel 33.2 ställer krav på att ansvariga enheters interna förfaranden ska omfatta de särskilda åtgärder för en förenklad kontroll som tillämpas vid lägre risk. Beslut om att tillämpa förenklade åtgärder ska dokumenteras, inklusive vilka faktorer som ligger till grund för bedömningen att risken är låg. Detta är av central betydelse ur ett tillsynsperspektiv, eftersom ansvariga enheter måste kunna visa att de gjort en självständig och välgrundad riskbedömning.

Vid uppskjuten identifiering enligt artikel 33.1 a, som handlar om att identiteten av kunden eller den verkliga huvudmannen kontrolleras efter att en affärsförbindelse ingås, ska ansvariga enheter dessutom, enligt artikel 33.3, anta särskilda förfaranden för riskhantering. Dessa kan exempelvis bestå i begränsningar av transaktionsbelopp, antalet tillåtna transaktioner eller i övervakning av transaktioner under den period då identifiering och verifiering ännu inte slutförts.

Enligt artikel 33.4 ska ansvariga enheter regelbundet kontrollera att förutsättningarna för att kunna tillämpa förenklade kundkännedomsåtgärder fortfarande föreligger. Kontrollernas frekvens ska anpassas till verksamhetens art, storlek och riskprofil samt till den specifika affärsförbindelsen.

Artikel 33.5 anger uttryckligen situationer där förenklade åtgärder inte får tillämpas av de ansvariga enheterna. Detta gäller bland annat om de faktorer som visar på en lägre risk inte längre föreligger, vid misstanke om penningtvätt eller finansiering av terrorism, vid tvivel om riktigheten i kundens uppgifter vid identifiering eller vid misstanke om kringgående av ekonomiska sanktioner.

Praktisk och rättslig betydelse för företag

Sammanfattningsvis visar artiklarna 32 och 33 hur AMLR:s riskbaserade ansats ska tillämpas i praktiken. Genom artikel 32 får ansvariga enheter tillgång till gemensamma riktlinjer från AMLA om aktuella risker, trender och metoder, vilket ger ett viktigt stöd för att bedöma när kundkännedom behöver förstärkas.

Artikel 33 skapar samtidigt utrymme för proportionerliga förenklingar vid låg risk, men tydliggör att dessa alltid måste bygga på en dokumenterad riskbedömning och följas upp löpande. Tillsammans klargör bestämmelserna att förenklad kundkännedom aldrig innebär ett avsteg från kravet på identifiering och verifiering av kund, utan är ett kontrollerat undantag inom ramen för ett fungerande KYC-arbete.

Morling Consulting bistår verksamhetsutövare med kvalificerat juridiskt stöd inom hela AMLR:s tillämpningsområde. Vårt arbete syftar till att säkerställa att regelverket implementeras på rätt sätt, proportionerligt och verksamhetsanpassat, i linje med både lagstiftningens krav och tillsynsmyndigheternas förväntningar.