Hvidvaskloven uden hovedpine: Hvad I faktisk skal tjekke, og hvad I kan automatisere

Hvidvaskloven er en af de regler, der fylder mest i hverdagen hos danske virksomheder i regulerede brancher. Ikke fordi kravene er uforståelige, men fordi de er mange, løbende og dyre at håndtere manuelt.

Her er den korte version: Er I omfattet af loven, skal I kende jeres kunder, vide hvem der reelt ejer dem, holde øje med usædvanlig adfærd og sige til, hvis noget ser forkert ud. Resten er detaljer. Men det er detaljerne, der koster timerne.

I denne guide får I overblikket: hvem der er omfattet, hvad loven konkret kræver, og, nok så vigtigt, hvilke dele af arbejdet der i dag kan automatiseres, så jeres folk kan bruge tiden på de vurderinger, der faktisk kræver et menneske.

Hvem er omfattet af hvidvaskloven?

Hvidvaskloven gælder langt bredere end banker. Loven omfatter blandt andet penge- og realkreditinstitutter, betalings- og e-pengevirksomheder (udstedere af elektroniske penge, fx forudbetalte kort og digitale wallets), forsikringsselskaber, fondsmæglere, revisorer og revisionsvirksomheder, skatterådgivere, eksterne bogholdere, advokater (ved visse typer ydelser), ejendomsmæglere, udbydere af tjenesteydelser til virksomheder, spiludbydere og kryptovirksomheder.

Er I i tvivl, om I er omfattet, står listen i lovens § 1. Og selv hvis I ikke er omfattet, gælder kontantforbuddet for jer: Erhvervsdrivende må ikke modtage kontantbetalinger på 15.000 kr. eller derover, hverken som ét beløb eller som flere betalinger, der ser ud til at hænge sammen. Grænsen blev sænket fra 20.000 kr. den 1. marts 2024, og mange husker stadig den gamle grænse.

Tilsynet er delt: Finanstilsynet fører tilsyn med den finansielle sektor, mens Erhvervsstyrelsen fører tilsyn med blandt andre revisorer, bogholdere, ejendomsmæglere og udbydere af virksomhedstjenester (selskabsstiftelse, kontoradresser, direktører til leje). Advokater hører under Advokatsamfundet og spiludbydere under Spillemyndigheden.

Hvad kræver hvidvaskloven konkret?

Kravene kan koges ned til syv pligter. De første to handler om jer selv, resten om jeres kunder:

1. Risikovurdering af jeres egen virksomhed. I skal skriftligt vurdere, hvor jeres forretning kan misbruges til hvidvask eller terrorfinansiering: kundetyper, produkter, leveringskanaler og geografi.
2. Politikker, forretningsgange og kontroller. Risikovurderingen skal omsættes til skriftlige procedurer, en udpeget hvidvaskansvarlig, uddannelse af medarbejdere og, for de fleste, en whistleblowerordning.
3. Kundekendskabsprocedurer (KYC). I skal kende jeres kunder, før I handler med dem: identitet, ejerforhold og formålet med forretningsforbindelsen. Mere om det nedenfor.
4. Løbende overvågning. Kundekendskab er ikke et engangstjek ved onboarding. Oplysningerne skal holdes ajour, og transaktioner og adfærd skal overvåges under hele kundeforholdet.
5. Undersøgelses- og noteringspligt. Ser I noget usædvanligt, skal I undersøge det og skrive resultatet ned.
6. Underretningspligt. Kan mistanken ikke afkræftes, skal I straks underrette Hvidvasksekretariatet. Det er ikke en "kan-regel", det er en "skal-regel". I 2024 modtog sekretariatet over 90.000 underretninger, det højeste antal nogensinde.
7. Opbevaring. Oplysninger og dokumentation skal opbevares i fem år efter kundeforholdets ophør og derefter slettes.

Hvad er forskellen på AML og KYC?

De to forkortelser bruges ofte i flæng, men de er ikke det samme. AML (Anti-Money Laundering) er hele indsatsen mod hvidvask: lovgivningen, risikovurderingen, overvågningen, underretningerne og kontrollerne. KYC (Know Your Customer) er den delmængde, der handler om at kende sin kunde: identifikation, kontrol af identiteten, ejerforhold og formålet med kundeforholdet.

Sagt enkelt: KYC er noget, I gør ved onboarding og løbende. AML er hele systemet omkring det. God KYC er fundamentet, men uden løbende overvågning og en klar eskalationsvej er AML-programmet ikke komplet.

KYC i praksis: Hvad skal I tjekke, når I får en ny kunde?

For en erhvervskunde med almindelig risiko skal I som minimum omkring disse fem tjek:

1. Virksomhedens identitet. Navn, CVR-nummer, virksomhedsform, adresse og tegningsregler. Registerdata, som kan slås op automatisk.
2. Reelle ejere (UBO, Ultimate Beneficial Owner). I skal identificere de fysiske personer, der i sidste ende ejer eller kontrollerer kunden, typisk ved mere end 25 % ejerskab eller kontrol, og kontrollere oplysningerne mod en pålidelig kilde. Bemærk: Siden 1. september 2025 er oplysninger om reelle ejere ikke længere offentligt tilgængelige i CVR. Som forpligtet enhed har I fortsat ret til adgang, men den kræver login eller en særskilt aftale om systemadgang. Har I bygget interne processer oven på de gratis, offentlige opslag, bør I derfor tjekke, om de stadig virker.
3. PEP-status (Politisk Eksponeret Person). Er kunden, den reelle ejer eller dennes nærtstående en politisk eksponeret person, skal I gennemføre skærpede procedurer, blandt andet godkendelse fra jeres internt udpegede hvidvaskansvarlige og skærpet overvågning. Bemærk to klassiske faldgruber: PEP-screening, der kun dækker danske politikere, selvom jeres kunder har nordiske ejerkæder, og screening, der kun matcher på navn uden fødselsdato eller rolle. Begge dele giver falsk tryghed. Og pligten omfatter ikke kun personen selv, men også nærtstående og nære samarbejdspartnere, så I skal kunne koble personerne sammen.
4. Sanktionslister. Kunder og reelle ejere skal screenes mod sanktionslisterne. Det følger af sanktionsreglerne snarere end hvidvaskloven, men i praksis hører det til samme arbejdsgang. Mere om listerne nedenfor.
5. Formål og forventet omfang. Hvad skal kundeforholdet bruges til, og hvad er det forventede transaktionsmønster? Det er målestokken, jeres løbende overvågning skal måle imod.

Risikoen afgør dybden: Lav risiko kan berettige lempede procedurer, høj risiko kræver skærpede. Men ingen kunder er fritaget.

Vil I have de fem tjek som et konkret arbejdsdokument? Tjeklisten er en tosidet oversigt over, hvad I kan slå op automatisk i hvert nordisk land, og hvad I skal spørge kunden om.

Download KYC-tjeklisten for Norden

Hvilke sanktionslister skal I screene imod?

De centrale lister er EU's konsoliderede sanktionsliste, FN's sanktionsliste og de amerikanske OFAC-lister. Handler I med Storbritannien, kommer den britiske OFSI-liste oveni. Tilsammen rummer de over 30.000 sanktionerede personer, virksomheder, organisationer og fartøjer, og listerne ændrer sig løbende. Alene siden 2022 er EU's liste vokset markant i takt med sanktionspakkerne mod Rusland.

Det stiller to praktiske krav, som mange undervurderer. For det første er screening ved onboarding ikke nok: En kunde, der var ren i januar, kan stå på en liste i marts, så hele porteføljen skal genscreenes løbende, i praksis dagligt. For det andet er matching sværere, end det lyder. Sanktionerede personer staves forskelligt på tværs af lister og translitterationer, optræder under aliaser og deler navne med tusindvis af lovlydige mennesker. God screening matcher derfor på mere end navnet og giver jer et håndterbart antal reelle træf i stedet for støj.

Endelig er der et blindt punkt, de færreste tænker over: Sanktionsreglerne rammer også virksomheder, der er ejet eller kontrolleret af sanktionerede personer, selvom virksomheden ikke selv står på listen. Uden ejerkædedata opdager I det aldrig. Det er her, sanktionsscreening og reelle ejere hænger uløseligt sammen.

Hvad kan I automatisere i AML-arbejdet, og hvad kræver et menneske?

Det ærlige svar: Størstedelen af tidsforbruget i et typisk AML-setup ligger på opgaver, der kan automatiseres. Men de vigtigste beslutninger kan ikke. Se oversigten nederst på siden for en opgave-for-opgave gennemgang.

Pointen er ikke, at software fjerner ansvaret. Det gør den ikke, og det må den ikke. Pointen er, at jeres medarbejdere ikke bør bruge timer på at slå ejerkæder op manuelt, kopiere registerudskrifter og genindhente dokumentation, som en maskine kan hente, strukturere og overvåge automatisk. Automatisér indsamlingen, så mennesker kan koncentrere sig om vurderingen.

Reglerne flytter sig i øvrigt løbende, som både kontantgrænsen og UBO-lukningen viser. Vil I have den slags ændringer serveret på dansk, når de sker, så tilmeld jer vores nyhedsbrev nederst på siden.

Hvad sker der, hvis I ikke overholder hvidvaskloven?

Overtrædelser kan straffes med bøde, og i grove eller gentagne tilfælde med fængsel. Tilsynsmyndighederne offentliggør desuden påbud og påtaler, så manglende overholdelse også bliver et omdømmeproblem. Og håndhævelsen er ikke teoretisk: Antallet af domme for hvidvask er vokset markant, 2.730 domme alene i 2024, og myndighederne har skærpet fokus på, at kundekendskab og overvågning reelt fungerer, ikke bare findes i en mappe.

Den billigste compliance er den, der er bygget ind i arbejdsgangen fra start.

Hvad ændrer EU's nye hvidvaskpakke?

Fra den 10. juli 2027 afløses store dele af den danske hvidvasklov af en fælles EU-forordning (AMLR), suppleret af et nyt direktiv (AMLD6) og en fælleseuropæisk tilsynsmyndighed, AMLA. Det betyder ensartede regler på tværs af EU i stedet for 27 nationale fortolkninger.

De vigtigste ændringer for jer, der allerede er omfattet: Kravene til kundekendskab harmoniseres og udvides med flere datapunkter på både fysiske personer og reelle ejere, kredsen af omfattede virksomheder vokser (blandt andet crowdfunding-platforme, handlende med højværdivarer og fra 2029 professionelle fodboldklubber og -agenter), der indføres et fælles EU-kontantloft på 10.000 euro, og alle omfattede virksomheder skal udpege en complianceansvarlig på ledelsesniveau.

For danske virksomheder er ændringen til at overskue, fordi dansk ret allerede er stram. Men én ting er værd at forberede allerede nu: Jo mere af jeres KYC- og overvågningssetup der kører på strukturerede data frem for manuelle rutiner, jo billigere bliver omstillingen, når kravene justeres. Regler ændrer sig. Datadrevne processer omstiller sig.

Hvordan hjælper Risika med hvidvaskloven?

Det meste af denne guide handler om, hvad I skal. Her er, hvor vi kan tage fra i dag. Risika samler de data, hvidvaskarbejdet kræver, i én platform og ét API. Vi fører vores egne, dagligt opdaterede lister over politisk eksponerede personer i Norden, indsamlet direkte fra officielle kilder som parlamenter og regeringer, med fødselsdato og rolle, så I kan matche på mere end navnet. Og som forpligtet enhed kan I få reelle ejere og fulde ejerkæder gennem os, også efter at den offentlige adgang lukkede i september 2025. Det gælder også i Norge, hvor det officielle UBO-register er lukket for almindelig adgang: Her beregner vi reelle ejere ud fra de officielle ejerdata fra Skatteetaten, så I ikke står med et hul i jeres nordiske dækning.

Skal jeres setup også dække sanktionsscreening? Vi indsamler data fra de centrale sanktionslister (EU, FN, OFAC og britiske OFSI). Tag fat i os, så kigger vi på, hvordan det bedst spiller sammen med resten af jeres kundekendskab.

Det hele ligger oven på vores virksomheds-, ejerskabs- og kreditdata. I ser derfor kundekendskab, ejerstruktur og kreditrisiko i ét samlet billede, ikke i tre forskellige systemer. Det er forskellen på compliance som flaskehals og compliance som en del af arbejdsgangen.