Undantag för finansiella verksamheter, förhandsanmälan och interna kontroller enligt AMLR

AMLR ställer långtgående krav på hur verksamheter ska organisera sitt arbete för att motverka penningtvätt, finansiering av terrorism och överträdelser av riktade ekonomiska sanktioner, varav en central del av förordningen är kraven på hantering av AML-risker inom EU.

I denna tredje del av vår bloggserie fördjupar vi oss i förordningens regler om undantag för vissa finansiella verksamheter, gränsöverskridande verksamhet samt interna riktlinjer och kontroller enligt artiklarna 6–9. För verksamheter som berörs innebär detta inte bara ökade formella krav, utan även ett behov av strukturerad regelefterlevnad i praktiken. På Morling Consulting bistår våra AML-jurister med fokus på praktisk implementering organisationer i att omsätta förordningens krav till fungerande processer, riskbedömningar och interna kontrollsystem som är anpassade till verksamhetens faktiska riskexponering. I seriens första del om definition, syfte och ansvariga enheter i penningtvättsregelverket behandlas artikel 1-3, som handlar om AMLR:s övergripande syfte och ramar. Om du vill fördjupa dig i förordningens grundläggande struktur rekommenderar vi att börja där.

Artikel 6 AMLR – Undantag för vissa finansiella verksamheter

Artikel 6 utgör en central del av AMLR. I artikeln fastställs i vilken utsträckning medlemsstater får undanta juridiska och fysiska personer som endast i begränsad omfattning bedriver finansiella verksamheter från förordningens krav. Undantag är endast tillåtna när ett antal kumulativa kriterier uppfylls. För att undantag ska vara förenligt med AMLR måste alltså samtliga sex kriterier i artikel 6.1 vara uppfyllda. Kraven som ställs är bland annat att den finansiella verksamheten ska vara begränsad i absoluta termer samt att verksamheten ska vara begränsad gällande transaktioner. Tillsammans innebär dessa kriterier att undantag endast kan ges i avgränsade situationer.

För att säkerställa att undantagen tillämpas restriktivt måste medlemsstaterna också fastställa flera nationella tröskelvärden. Tröskelvärdena ska vara anpassade efter typen av finansiell verksamhet. Det gäller bland annat den totala omsättningen från den finansiella verksamheten, som måste ligga under ett bestämt, men tillräckligt lågt värde. Vidare gäller det en övre gräns för enskilda transaktioner och kunder. Det spelar ingen roll om det är en enstaka transaktion eller vid flera sammanlänkade transaktioner. Tröskelvärdet ska i detta hänseende vara tillräckligt lågt för att motverka penningtvätt och terrorismfinansiering, men får inte vara högre än 1000 euro. Dessutom får omsättningen från den finansiella verksamheten aldrig utgöra mer än fem procent av den totala omsättningen för personens eller företagets verksamhet. Begränsningarna enligt artikel 6 skapar en ram för hur undantag ska bedömas och övervakas.

Medlemsstater måste tillämpa artikel 6 med noggrannhet och försiktighet. Vid en riskbedömning ska den finansiella verksamhetens natur särskilt beaktas. Hänsyn ska tas till om verksamheten har sådan natur att den är särskilt utsatt för att utnyttjas för penningtvätt eller finansiering av terrorism. Slutligen slår artikel 6 fast att medlemsstaterna måste vidta lämpliga åtgärder alternativt ha en riskbaserad övervakning för att säkerställa att de undantag som ges inte missbrukas.

Artikel 7 AMLR – Förhandsanmälan av undantag

Enligt artikel 7 är medlemsstaterna skyldiga att genast anmäla samtliga undantag till kommissionen. Det gäller undantag som medlemsstaterna planerar att medge enligt artiklarna 4, 5 och 6. Anmälan till kommissionen ska innehålla det planerade undantaget samt en motivering till varför det ska beviljas. Motiveringen ska vara baserad på en relevant riskbedömning som medlemsstaten utfört.

Därefter ges kommissionen en tidsfrist på två månader för att vidta en åtgärd och ta ett beslut till följd av medlemsstatens anmälan. Kommissionen kan antingen godkänna undantaget eller avslå det genom ett motiverat beslut. Kommissionen får även begära kompletterande information av medlemsstaten. Har kommissionen bekräftat ett undantag får medlemsstaterna därefter besluta om att bevilja undantaget och ska i samband med beviljandet redovisa anledningarna bakom beslutet. Medlemsstaterna måste även ompröva besluten regelbundet.

Kommissionen ska varje år publicera en lista över alla beviljade undantag enligt denna artikel i EU:s officiella tidning och på sin webbplats. Detta resulterar i en hög nivå av transparens som stärker förtroendet för EU:s riskhantering.

Artikel 8 AMLR – Gränsöverskridande verksamheter och tillämpning av nationell rätt

Artikel 8 reglerar situationen när ansvariga enheter vill bedriva verksamhet i en annan medlemsstat. Detta är ett centralt område i AMLR, eftersom gränsöverskridande verksamhet kan öka komplexiteten och exponera enheter för ytterligare risker inom EU. Bestämmelsen syftar till att säkerställa tillsyn, transparens och en enhetlig tillämpning av regelverket i gränsöverskridande sammanhang.

När en ansvarig enhet för första gången planerar att bedriva verksamhet på en annan medlemsstats territorium ska den anmäla detta till tillsynsorganet i enhetens hemmedlemsstat. Anmälan ska göras så snart enheten vidtar åtgärder för att inleda verksamheten, och vid etablering ska den ske senast tre månader innan verksamheten påbörjas. När verksamheten väl inleds ska detta omedelbart meddelas till hemstatens tillsynsorgan. Dessa anmälningsskyldigheter gäller dock inte i de fall där särskilda anmälningsförfaranden redan är tillämpliga, eller när verksamheten omfattas av särskilda tillståndskrav.

Artikel 8 ställer också krav på fortlöpande uppdatering till tillsynsmyndigheten vid ändringar av informationen som medgetts. Varje planerad ändring ska meddelas till tillsynsorganet i hemmedlemsstaten minst en månad innan ändringen genomförs. Detta gäller exempelvis ändringar i verksamhetens omfattning, struktur eller sättet på vilket tjänster tillhandahålls.

Fortsättningsvis klargör bestämmelsen hur nationell rätt ska tillämpas i gränsöverskridande situationer. Om AMLR ger medlemsstaterna möjlighet att anta kompletterande nationella regler, ska ansvariga enheter följa de regler som gäller i den medlemsstat där de är etablerade. För ansvariga enheter som har etableringar i flera medlemsstater gäller dessutom att varje etablering ska tillämpa de regler som gäller i den stat där etableringen är belägen. Detta innebär att en koncern eller verksamhet med närvaro i flera länder måste hantera parallella nationella regelverk och säkerställa efterlevnad i varje jurisdiktion.

Artikel 8 behandlar även kravet på central kontaktpunkt. Om en ansvarig enhet enligt direktiv (EU) 2024/1640 är skyldig att utse en central kontaktpunkt i en annan medlemsstat, ska denna funktion ha förmåga att säkerställa efterlevnad av tillämplig rätt för den ansvariga enhetens räkning. En central kontaktpunkt, enligt direktiv 2024/1640, kan begäras av en medlemsstat och syftar till att företräda den ansvariga enheten och ska säkerställa att penningtvättsregelverket i medlemsstaten efterlevs. Kontaktpunkten ska även tjäna till att underlätta för tillsynsorganen genom att tillhandahålla begärd information.

Artikel 9 AMLR – Interna riktlinjer, förfaranden och kontroller

Artikel 9 i AMLR reglerar de grundläggande krav som ställs på ansvariga enheters interna riktlinjer, förfaranden och kontroller. Bestämmelsen utgör en central del i förordningen, eftersom den konkretiserar hur skyldigheterna enligt AMLR ska omsättas i praktiken inom respektive verksamhet. Syftet är att säkerställa att ansvariga enheter på ett systematiskt, proportionerligt och dokumenterat sätt kan identifiera, hantera och minska risker för penningtvätt, finansiering av terrorism samt risker kopplade till kringgående eller uteblivet genomförande av riktade ekonomiska sanktioner.

Utgångspunkten i artikel 9 är att varje ansvarig enhet ska ha interna riktlinjer, förfaranden och kontroller på plats som ska vara i proportion till verksamhetens art, omfattning, komplexitet och riskprofil. Artikeln syftar till att ansvariga enheter ska efterleva förordningen, samt förordning (EU) 2023/1113, och alla förvaltningsakter som utfärdats av något tillsynsorgan. Riktlinjerna ska täcka samtliga delar av den verksamhet som omfattas av förordningen och ska särskilt syfta till att minska och hantera de risker som identifierats på unionsnivå, nationell nivå och på enhetsnivå. Därutöver ska riktlinjerna säkerställa efterlevnad av skyldigheter kopplade till riktade ekonomiska sanktioner. Ansvariga enheter har även en skyldighet att minska och hantera riskerna för att riktade ekonomiska sanktioner undviks eller inte genomförs.

De interna riktlinjerna och förfarandena ska bland annat omfatta hur den verksamhetsövergripande riskbedömningen utförs och hålls uppdaterad, hur enhetens riskhanteringsramverk är utformat samt vilka åtgärder för kundkännedom som tillämpas. Detta inkluderar rutiner för att identifiera och hantera kunder, verkliga huvudmän och andra relevanta parter som är personer i politiskt utsatt ställning, eller som har koppling till sådana personer. Vidare ska riktlinjerna reglera hur misstänkta transaktioner rapporteras samt hur utkontraktering hanteras och i vilken utsträckning andra ansvariga enheters kundkännedomsåtgärder får utnyttjas.

Artikel 9 ställer också krav på tydliga regler för lagring och behandling av uppgifter, särskilt med hänsyn till de kraven på behandling av personuppgifter enligt artiklarna 76 och 77 i AMLR. En annan viktig del är kraven på intern spridning av riktlinjerna inom organisationen. Riktlinjerna ska inte bara vara kända av ledning och regelefterlevnadsfunktioner, utan ska även kommuniceras till ombud, distributörer och externa tjänsteleverantörer som berörs i genomförandet av AML-åtgärderna. Utbildning av personal är ytterligare en central komponent, eftersom att artikeln kräver att ansvariga enheter har riktlinjer för utbildning av anställda och, i förekommande fall, ombud och distributörer.

För att säkerställa att riktlinjer och förfaranden efterlevs i praktiken ställer artikel 9 även krav på interna kontroller och en oberoende granskningsfunktion. Denna funktion ska regelbundet granska såväl riktlinjerna som de kontroller som införts. Om verksamheten saknar en intern revisionsfunktion får granskningen istället utföras av en extern expert.

Artikel 9 innehåller dessutom ett uttryckligt krav på att interna riktlinjer, förfaranden och kontroller ska dokumenteras skriftligen. Riktlinjerna ska godkännas av ledningsorganet i dess ledningsfunktion, medan interna förfaranden och kontroller minst ska godkännas av regelefterlevnadschefen. Detta understryker ledningens ansvar för regelefterlevnaden och tydliggör att arbetet med AML är en styrningsfråga, inte enbart en operativ funktion.

Slutligen föreskriver artikel 9 att ansvariga enheter kontinuerligt ska hålla sina riktlinjer och kontroller uppdaterade. När brister identifieras ska riktlinjerna förbättras och anpassas. Bestämmelsen tar även sikte på framtida harmonisering genom att ange att den europeiska tillsynsmyndigheten AMLA senast den 10 juli 2026 ska utfärda riktlinjer om vilka faktorer ansvariga enheter bör beakta när de fastställer omfattningen av sina interna riktlinjer och kontroller.

Omfattningen av artiklar 6-9 AMLR

Artiklarna 6–9 i AMLR utgör en struktur som kombinerar undantagsregler, transparenskrav och omfattande interna kontroller. De är centrala för förståelsen av hur EU behandlar risker och hur unionen säkerställer att undantag inte försvagar regelverkets effektivitet.

För verksamheter innebär detta att hantering av interna riktlinjer och gränsöverskridande tjänster måste ske med stor noggrannhet. Morling Consulting stödjer verksamheter i att implementera rätt strukturer, genomföra riskbedömningar och säkerställa efterlevnad av EU:s AMLR.

Praktiska nästa steg för ansvariga enheter

För ansvariga enheter innebär AMLR att arbetet mot penningtvätt och finansiering av terrorism behöver vara både strukturerat och väl dokumenterat. Det räcker inte att ha policyer på plats – de måste vara förankrade i verksamheten och löpande följas upp. Särskilt viktigt är att koppla de interna riktlinjerna till den faktiska riskprofilen, så att resurserna används där riskerna är som störst. Genom att redan nu se över styrning, rapporteringsvägar och intern kontroll kan framtida tillsyn undvikas.

Många verksamheter har redan idag delar av dessa strukturer, men behöver stöd i att anpassa dem till AMLR:s mer detaljerade krav. Då kan ett externt perspektiv bidra till att identifiera luckor, prioritera åtgärder och omsätta regelverket i praktiskt genomförbara processer. På Morling Consulting arbetar våra AML-jurister tillsammans med verksamheten för att bygga hållbara ramverk för regelefterlevnad som fungerar i vardagen.

Nästa del i serien hittar du här: Centraliserade mekanismer och informationsdelning enligt AMLR – riskbedömning, regelefterlevnad och organisation.