En ændringslov, der træder i kraft 15. september 2026, udvider centrale forpligtelser i hvidvaskloven. Tidsvinduet er kort, og forpligtede virksomheder skal hurtigt justere risikovurdering, politikker og testregime. Udvidelserne er målrettet implementering af FATF-anbefalinger forud for næste evaluering og ligger tæt op ad kommende EU-regler.
Udvidede krav til risikovurdering og sanktionscompliance
Forpligtede virksomheder skal fremover ikke kun vurdere iboende risiko for hvidvask og terrorfinansiering, men også identificere og vurdere risikoen for potentielle brud på, manglende implementering eller omgåelse af regler om finansiering af proliferation samt hvidvasklovens § 34 a, stk. 3. Proliferationsfinansiering defineres i loven som tilvejebringelse af midler eller finansielle tjenester til ulovlig håndtering af nukleare, kemiske eller biologiske våben.
Kravet adskiller sig fra den bredere pligt i den kommende hvidvaskforordning, der fra 10. juli 2027 omfatter målrettede finansielle sanktioner generelt. Virksomheder kan dog vælge at fremrykke deres tilgang og allerede nu adressere den bredere sanktionsrisiko for at undgå dobbelte omlægninger inden 2027. PET’s forestående nationale risikovurdering om proliferationsfinansiering bliver en relevant ekstern kilde at inddrage.
Nye krav til politikker, forretningsgange og kontroller
Ud over de eksisterende krav til risikostyring, KYC, undersøgelses-, noterings- og underretningspligt, opbevaring, medarbejderscreening og intern kontrol skal politikker og forretningsgange nu også adressere overholdelse af finansielle sanktioner og § 34 a, stk. 3. Bestemmelsen pålægger hurtig indefrysning af midler for navngivne personer og enheder, offentliggjort af Erhvervsstyrelsen, i perioden inden EU-retsakter gennemfører FN-sanktioner.
Nyheden er ikke pligten til at følge sanktionsreglerne i sig selv, men kravet om at have dokumenterede og effektive processer og kontroller, der sikrer efterlevelsen. Omfang og udformning af kontrollerne skal bygge på virksomhedens opdaterede risikovurdering af proliferations- og sanktionsrisici.
Obligatorisk uafhængig test af kontroller
Hvor test hidtil primært har ligget hos intern revision eller intern audit, udvides pligten til også at omfatte øvrige forpligtede virksomheder (dog ikke deres indenlandske filialer, distributører og agenter). Disse skal etablere en uafhængig revisionsfunktion eller, hvis en sådan ikke findes, anvende en ekstern ekspert til at teste, om politikker, forretningsgange og kontroller er betryggende.
Kravene til kvalifikationer er funktionsbaserede frem for formelle; testfunktionen skal have tilstrækkelig faglig indsigt i lyset af virksomhedens type, størrelse og kompleksitet. I mindre enheder kan en medarbejder uden driftsansvar for området, og med uafhængig rapporteringsadgang til ledelsen, gennemføre testene. Lovgiver har søgt at afstemme reglerne med den kommende EU-forordning og forventede AMLA-retningslinjer.
Lær om regulering af teknologi på kurset om digital forvaltning og AI
Læs mere her →Praktiske næste skridt for forpligtede virksomheder
Virksomheder bør inden ikrafttrædelsen: (i) opdatere risikovurderingen til at omfatte proliferationsfinansiering og § 34 a, stk. 3, og overveje at inkludere hele spektret af målrettede sanktioner allerede nu; (ii) ajourføre politikker, processer og kontroller, så sanktionsscreening, eskalation, dokumentation og indefrysning er klart beskrevet og risikobaseret; samt (iii) etablere og dokumentere en uafhængig testfunktion eller indgå aftale med en ekstern ekspert, inkl. plan for metode, hyppighed og rapportering.
En tidlig, proportionel implementering reducerer driftssvigt og tilsynsrisiko og mindsker behovet for yderligere omlægninger, når EU-regimet træder i kraft i 2027.
