Penningtvättsrapportering 2027

Finansinspektionen har meddelat att den årliga periodiska rapporteringen om penningtvätt kommer att förändras från och med den 1 januari 2027. Den befintliga rapporteringen ersätts av nya frågor. För finansiella företag innebär förändringen anledning att redan under 2026 se över vilken information som finns tillgänglig, hur den kan tas fram och vem i organisationen som ansvarar för den.

De slutliga frågorna från Finansinspektionen är ännu inte publicerade. Det går därför inte att fastställa exakt vilka uppgifter varje företag kommer att behöva rapportera. Samtidigt ger AMLA:s underlag till den nya europeiska metodologin för riskklassificering en tydlig bild av vilken typ av information som kan bli relevant. Underlaget visar också att den framtida rapporteringen kan komma att efterfråga uppgifter som inte alltid finns samlade eller direkt tillgängliga i företagens nuvarande system och rapporteringsprocesser.

Morling Consulting arbetar med frågor om penningtvättsregelverket, styrning och regulatorisk rapportering. Inför förändringen 2027 ligger det praktiska värdet framför allt i att skapa en struktur för vilka datapunkter som kan bli aktuella, var informationen finns och vilka delar som kan kräva ny eller utvecklad datainsamling.

Vad har Finansinspektionen meddelat?

Finansinspektionen meddelade den 26 juni 2026 att den årliga penningtvättsrapporteringen ska uppdateras med nya frågor utifrån den metodik som AMLA beskriver i sitt utkast till Teknisk standard enligt artikel 40(2) i direktiv (EU) 2024/1640. Den nya rapporteringen ska besvaras av samtliga företag som står under Finansinspektionens tillsyn och omfattas av penningtvättslagen.

Rapporteringsperioden är oförändrad. Rapporteringen ska ske mellan den 1 januari och den 31 mars. Den första rapporteringen enligt det nya upplägget ska alltså lämnas senast den 31 mars 2027 och avse förhållandena per balansdagen den 31 december 2026.

För företag som inte omfattas av AMLA:s direkta tillsyn ska rapporteringe även fortsättningsvis ske i rapporteringsportalen Fidac. Företag som kvalificerar sig för AMLA:s direkta tillsyn kommer att hanteras särskilt och rapportera enligt EBA:s taxonomi.

Den europeiska riskmetoden påverkar vilka uppgifter som efterfrågas

Förändringen är en del av den nya europeiska tillsynsstrukturen på penningtvättsområdet. De frågor som Finansinspektionen avser att använda ligger i linje med de riskindikatorer som utvecklats inom arbetet med en gemensam europeisk metod för riskklassificering.

Finansinspektionen hänvisar bland annat till utkastet till tekniska standarder. Myndigheten hänvisar också till det formulär som AMLA har använt när myndigheten samlat in information för att utveckla riskmetoden.

Det är viktigt att skilja mellan dessa underlag och den rapportering som faktiskt kommer att gälla i Sverige. AMLA:s nuvarande listor är inte det formulär som svenska företag ska lämna till Finansinspektionen. Finansinspektionen har också uttryckligen angett att vissa frågeställningar fortfarande kan ändras och att ytterligare information kommer senare.

AMLA:s underlag är däremot värdefullt som förberedelsematerial. Det visar vilka typer av riskindikatorer den framtida tillsynen kan komma att bygga på och ger därför företag möjlighet att redan nu analysera sin datatillgång.

Nya frågor kan kräva andra data än dagens rapportering

En viktig konsekvens av den nya modellen är att rapporteringen får en tydlig koppling till tillsynsmyndigheternas bedömning av företagets inneboende risk och kontrollmiljö. Det innebär att fokus inte enbart ligger på övergripande volymuppgifter eller enstaka organisatoriska förhållanden.

AMLA:s underlag innehåller indikatorer som kan kräva mer detaljerad och strukturerad information om exempelvis verksamhetens kundbas, produkter, distributionskanaler, geografiska exponering, transaktionsmönster och kontrollfunktioner. Exakt vilka av dessa datapunkter som Finansinspektionen kommer att efterfråga för respektive företag eller tillståndstyp är ännu inte fastställt.

Det centrala inför 2027 är därför inte att försöka förutse varje enskild fråga. En mer robust förberedelse är att bedöma om verksamheten kan ta fram den typ av information som AMLA:s riskmodell bygger på.

Vissa uppgifter kan redan finnas i befintliga kund-, transaktions- eller compliance-system men i ett format som inte enkelt kan aggregeras för regulatorisk rapportering. Andra uppgifter kan finnas fördelade mellan flera funktioner eller system. Det kan också finnas datapunkter där företaget i dag inte samlar in information på den detaljnivå som kan komma att efterfrågas.

Det innebär inte att AMLA:s samtliga indikatorer kommer att bli svenska rapporteringskrav. Däremot skapar en tidig kartläggning bättre förutsättningar att hantera den slutliga rapporteringen när Finansinspektionen publicerar frågorna.

Så kan företag förbereda sig innan de slutliga frågorna är publicerade

Eftersom rapporteringen 2027 ska avse förhållandena per den 31 december 2026 finns det ett praktiskt värde i att börja analysera datatillgången innan Finansinspektionens slutliga rapporteringsformulär är klart.

En strukturerad förberedelse kan exempelvis omfatta följande:

• Gå igenom de kategorier av riskindikatorer som framgår av AMLA:s underlag och identifiera vilka som är relevanta för företagets verksamhet.
• Kartlägg vilka uppgifter som redan finns i organisationens system och vilken funktion som ansvarar för dem.
• Identifiera uppgifter som finns tillgängliga men som i dag inte kan tas fram på ett enkelt eller konsekvent sätt.
• Identifiera potentiella datapunkter som verksamheten i dag inte samlar in eller lagrar.
• Bedöm om information från olika system använder samma definitioner, tidsperioder och kategoriseringar.
• Dokumentera vilka antaganden och avgränsningar som används när uppgifter tas fram.
• Skapa en ansvarsfördelning mellan exempelvis AML-funktionen, verksamheten, IT, datafunktioner och den regulatoriska rapporteringsfunktionen.

Med en sådan struktur blir det enklare att skilja mellan juridiska tolkningsfrågor och praktiska datafrågor. Det ger också verksamheten bättre förutsättningar att agera snabbt när Finansinspektionen preciserar rapporteringskraven.

Datadefinitioner blir en central del av arbetet

När regulatorisk rapportering bygger på riskindikatorer är tillgång till data bara en del av frågan. Det behöver också vara tydligt vad uppgifterna faktiskt representerar.

Begrepp som kund, affärsförbindelse, produkt, transaktion, geografisk exponering eller kundkategori kan exempelvis behöva avgränsas på ett konsekvent sätt. Om samma uppgift hämtas från olika system behöver företaget kunna bedöma om systemen använder jämförbara definitioner.

En väl dokumenterad metod gör det enklare att förstå hur ett rapporterat värde har tagits fram och att återskapa beräkningen vid en senare kontroll. Det stärker både kvaliteten i rapporteringen och företagets interna styrning.

Det praktiska arbetet kan därför med fördel omfatta en datakatalog eller motsvarande dokumentation där varje relevant datapunkt kopplas till källa, definition, ansvarig funktion och eventuell beräkningsmetod.

Kopplingen till företagets egen riskbedömning

Den nya rapporteringen bör också ses i relation till företagets allmänna riskbedömning enligt penningtvättsregelverket. När tillsynsmyndigheten efterfrågar mer detaljerade uppgifter om inneboende risker skapas ett tydligt samband mellan den regulatoriska rapporteringen och företagets egen analys av hur verksamhetens produkter, kunder, distributionskanaler och geografiska exponering påverkar risken för penningtvätt och finansiering av terrorism.

Det skapar en möjlighet att kontrollera att centrala datakällor används konsekvent i olika delar av AML-ramverket. Om samma kund- eller produktdata används i den allmänna riskbedömningen, intern uppföljning och regulatorisk rapportering blir det lättare att förklara hur olika bedömningar hänger samman.

En sådan samordning kan också minska manuellt arbete och göra framtida uppdateringar mer effektiva.

Vad vet vi ännu inte?

Finansinspektionens information ger den övergripande riktningen, men inte det slutliga innehållet i rapporteringen. Det går därför ännu inte att avgöra exakt vilka frågor som kommer att ställas, vilka datapunkter som kommer att vara obligatoriska för respektive tillståndstyp eller hur samtliga definitioner kommer att utformas.

Det är därför viktigt att inte behandla AMLA:s nuvarande frågelistor som slutliga svenska rapporteringskrav. De bör i stället användas som ett underlag för beredskap och gap-analys.

När Finansinspektionen publicerar det slutliga materialet behöver varje företag jämföra de fastställda frågorna med den förberedande kartläggningen och därefter avgöra vilka ytterligare åtgärder som behövs.

Så skapas bättre förutsättningar inför rapporteringen 2027

Den kommande rapporteringen innebär en tydligare koppling mellan datakvalitet, AML-riskbedömning och tillsyn. Eftersom rapporteringen ska avse den 31 december 2026 finns det goda skäl att använda tiden före årsskiftet till att förstå vilka data som kan bli relevanta och hur de kan tas fram.

En genomtänkt process behöver inte bygga på att de slutliga frågorna redan är kända. Genom att kartlägga potentiella datapunkter, datakällor, definitioner och ansvar kan företaget skapa ett förberedande ramverk som sedan justeras när Finansinspektionen publicerar det slutliga rapporteringsunderlaget.

Morling Consulting hjälper finansiella företag med bland annat frågor om penningtvättsregelverket, riskbedömningar, styrning och regulatoriska processer. Mer information om våra tjänster hittar du här.