Det korte svar er: Nej.
Det lidt længere svar er: Du skal helt klart have kigget dit setup efter i sømmene!
Fra den 15. september 2026 gælder en række ændringer til hvidvaskloven, som blandt andet betyder, at finansielle sanktioner og proliferationsfinansiering skal tænkes ind i dit eksisterende arbejde. Samtidig kommer der nye krav til, at dine politikker, forretningsgange og kontroller bliver testet uafhængigt.
Så hvad betyder det egentlig for din nuværende indsats? Og hvad skal du gøre nu? Det tager vi et kig på her.
L9 er en ændring af hvidvaskloven, som blandt andet skal styrke Danmarks efterlevelse af FATF's anbefalinger om bekæmpelse af hvidvask, terrorfinansiering og proliferationsfinansiering.
For virksomheder og personer omfattet af hvidvaskloven er der især tre ændringer, du skal være opmærksom på:
Risikoen for proliferationsfinansiering skal indgå i risikovurderingen.
Finansielle sanktioner skal indarbejdes i virksomhedens politikker, forretningsgange og kontroller.
Politikker, forretningsgange og kontroller skal fremover testes uafhængigt.
Lad os tage dem én ad gangen.
Hvidvaskarbejdet handler ikke længere kun om risikoen for hvidvask og terrorfinansiering.
Med L9 skal virksomheder omfattet af hvidvaskloven nemlig også forholde sig til risikoen for proliferationsfinansiering. Altså: finansiering eller anden økonomisk understøttelse af udvikling, fremstilling, erhvervelse, transport eller anvendelse af masseødelæggelsesvåben.
Det lyder måske som noget, der hører hjemme langt fra en almindelig revisions-, bogholder- eller advokatforretning. Men i bund og grund betyder det måske endnu et opmærksomhedspunkt, men ikke den store ændring i din arbejdsgang. For du skal stadig forholde dig til at kunne identificere de risici, der kan være relevante for netop din virksomhed og dine kunder - og det er du heldigvis vant til at arbejde med i dine eksisterende processer.
Udover det, du plejer at være opmærksom på, kan du nu tilføje forhold som eksempelvis:
handel med eller produktion af dual-use-teknologi, elektronik eller kemikalier
forretninger eller betalinger til/fra sanktionerede eller højrisikolande.
usædvanlige mellemhandlere
betalinger fra uvedkommende tredjeparter
kunder med forbindelser til højrisikolande eller områder, hvor risikoen er relevant.
Mange af de risikotegn, du allerede kender fra arbejdet med hvidvask, terrorfinansiering og sanktioner, kan altså også være relevante her.
Det betyder i praksis at din § 7 risikovurdering skal opdateres, så den nu også forholder sig til risikoen for proliferationsfinansiering. Og det er ikke nok "bare" at tilføje et nyt punkt i risikovurderingen og sætte flueben ved det, for hvis risikoen er relevant, skal den også kunne genfindes i virksomhedens politikker, forretningsgange og kontroller.
Den næste ændring handler om finansielle sanktioner og her er det vigtigt at skelne mellem det, der allerede gjaldt, og det, der er det nye med lovændringen.
Virksomheder har allerede pligt til at overholde de relevante danske og europæiske sanktionsregler. Det nye med L9 er blandt andet, at håndteringen af finansielle sanktioner skal være en tydelig del af virksomhedens skriftlige politikker, forretningsgange og kontroller.
Det betyder, at det ikke er nok bare at kunne sige: "Vi screener vores kunder mod sanktionslister." I skal også kunne forklare, hvordan I arbejder med sanktioner.
Det gør I ved for eksempel at stille følgende spørgsmål:
Hvem har ansvaret?
Hvem og hvad bliver kontrolleret?
Hvordan foregår kontrollen?
Hvad gør I, hvis der er et muligt match?
Hvordan dokumenterer I jeres vurdering?
Hvordan sikrer I, at procedurerne bliver opdateret, når reglerne ændrer sig?
Og igen skal du huske, at det skal være risikobaseret.
Der indføres ikke en generel pligt til systematisk at kontrollere alle kunders kunder og leverandører. Men hvis du gennem dit arbejde bliver bekendt med en konkret handel, betaling eller anden aktivitet, som kan være omfattet af sanktioner eller være et forsøg på at omgå dem, skal du forholde dig til det.
Den tredje ændring er måske den, der får flest til at spidse ører. For med L9 kommer der krav om, at virksomhedens politikker, forretningsgange og kontroller skal testes uafhængigt.
Det betyder grundlæggende, at det ikke længere er nok at have et fint setup på papiret. Nogen skal også efterprøve, om det faktisk fungerer.
Har I de rigtige kontroller?
Bliver de udført?
Er de tilstrækkelige?
Og kan I dokumentere det?
Hvis virksomheden har en uafhængig revisionsfunktion, kan den udføre testen. Hvis ikke, kan testen blandt andet udføres af en ekstern ekspert. I mindre virksomheder kan en anden medarbejder under visse omstændigheder også udføre testen, hvis den nødvendige uafhængighed kan sikres. Det er med andre ord ikke mejslet i sten, hvordan man lige definerer den uafhængige test.
Der er endnu ikke fastsat et bindende interval for, hvor ofte testen skal gennemføres. I lovforarbejderne er cirka hvert tredje år nævnt som udgangspunkt i beregningen af de administrative byrder. Det vigtigste er derfor at få forholdt sig til, hvordan I vil sikre en uafhængig test af jeres setup, og ikke så meget at få kalenderen fyldt med en treårig auditplan.
Hvis du sidder med følelsen af "okay, men hvad skal jeg konkret gøre?", så er her den korte version.
Stil jer selv spørgsmål som: Har vi forholdt os til risikoen for proliferationsfinansiering?
Hvis ikke, er det et oplagt sted at starte.
Er finansielle sanktioner beskrevet? Hvis ikke, så sørg for at tydeliggøre hvordan I specifikt arbejder med sanktioner.
Kan I se, hvem der har ansvaret, hvordan kontrollerne gennemføres, og hvad der sker ved et muligt match? Det er alt sammen spørgsmål I kan kigge på, når I gennemgår jeres politikker og forretningsgange.
Her går vi ned i det mere praktiske plan og ser på om de kontroller, I har beskrevet, faktisk er dem, der udføres? Og er de stadig tilstrækkelige til at håndtere de risici, der er identificeret?
Og husk at I her måske arbejder med en opdateret risikovurdering, som tager højde for proliferationsfinansiering.
Hvem skal teste jeres politikker, forretningsgange og kontroller? Kan det gøres internt på en måde, der sikrer den nødvendige uafhængighed? Eller skal I have hjælp udefra?
Som med resten af hvidvaskarbejdet handler det ikke kun om, hvad I gør.
Det handler også om, at I kan vise, at I har forholdt jer til risikoen, truffet nogle valg og fulgt op på dem.
L9 er trådt i kraft i dag, den 15. september 2026. Så de opdateringer der skal foretages i dit nuværende setup er ikke noget du kan udskyde i en evighed - eller lade vente til alle opdateringer relateret til AMLA er på plads, for den sags skyld.
Men det betyder heldigvis heller ikke, at du skal rive hele dit hvidvask setup ned og bygge det op igen fra bunden. Du akn starte med det, du allerede har.
Som vi før har skrevet i forhold til gap-analyse og AMLR forberedelsen, så er din bedste måde at gribe denne opdatering an på, også ved at: Gennemgå, opdater, tilpas og dokumenter.
Netop AMLR giver dig en ekstra god grund til at gøre en grundigt stykke arbejde med L9 nu. Det er nemlig en god anledning til at få styr på fundamentet: risikovurdering, politikker, forretningsgange, kontroller og dokumentation, inden AMLR finder anvendelse og der med garanti er yderligere ændringer af de regler og krav, I er omfattet af.
Det er trods alt nemmere at bygge videre på et setup, der hænger sammen, end at skulle starte forfra, når næste omgang regler lander.
Kort fortalt, så ændrer L9 ikke på, at hvidvaskarbejdet skal være risikobaseret.
L9 udvider det, du skal have med i vurderingen og stiller større krav til, at dine politikker, forretningsgange og kontroller ikke bare findes på papiret, men faktisk også fungerer i praksis.
Så hvis du ikke allerede har gjort det, skal du finde din risikovurdering frem. L9 er landet.