Den 10. juli 2027 træder EU's nye regler mod hvidvask i kraft. Og hvis du allerede har læst vores tidligere indlæg om AMLR, ved du også, at du ikke behøver rive hele dit nuværende compliance-setup ned og starte forfra. Men hvad skal du så gøre?
Et godt sted at starte, er din gap-analyse.
For selvom der stadig er detaljer, som skal falde på plads gennem tekniske standarder og vejledninger, ved vi allerede nok til at begynde forberedelserne. Og jo bedre du kender dit nuværende AML-setup, desto lettere bliver det at vurdere, hvor de kommende regler faktisk får betydning for din virksomhed.
Her får du en praktisk skabelon, som kan hjælpe dig med at komme i gang med gap-analysen.
En gap-analyse lyder måske som endnu et af de ord, der hurtigt kan gøre et compliance-møde lidt tungere, men i praksis er det egentlig ret enkelt. Det handler om at sammenligne to faktorer:
👉 Sådan arbejder vi i dag
👉 Sådan skal vi kunne arbejde, når de nye regler træder i kraft.
Formålet er at skabe overblik og ikke at finde fejl for fejlens skyld. Hvor lever jeres nuværende processer allerede op til de kommende krav? Hvor er der områder, som skal justeres? Og hvor mangler I stadig information, før I kan vurdere, hvad der skal ske?
En god gap-analyse giver jer et konkret beslutningsgrundlag for, hvad der bør ændres, styrkes eller implementeres frem mod 2027. Og det er vigtigt at huske, at resultatet ikke nødvendigvis skal være en stor rapport på 80 sider.
For mange virksomheder vil det nemlig være langt mere værdifuldt at stå tilbage med et præcist og klart overblik over:
hvilke områder der allerede er på plads
hvor der er identificeret gaps
hvilke gaps der er mest væsentlige
hvad der skal undersøges nærmere
og hvilke opgaver der bør prioriteres først.
Før du går i gang med selve analysen, er det vigtigt at slå én ting fast: En gap-analyse er ikke det samme som en færdig implementeringsplan.
Vi kender rigtig nok allerede mange af de centrale krav i AMLR. Forordningen fastlægger blandt andet direkte krav på områder som kundekendskab, risikobaserede processer og interne AML/CFT-foranstaltninger. Men samtidig er en række mere detaljerede krav fortsat under udvikling gennem AMLA's tekniske standarder og vejledninger.
Derfor giver det ikke mening at beslutte præcis, hvordan alle jeres processer skal se ud i 2027. Det giver til gengæld rigtig god mening at begynde at stille spørgsmålene.
For eksempel:
Hvordan arbejder vi med området i dag?
Hvad ved vi allerede om de kommende krav?
Hvor kan der være forskel mellem vores nuværende praksis og AMLR?
Hvad skal vi undersøge nærmere?
Hvad kan vi begynde at forbedre allerede nu?
Det er i bund og grund dét, en gap-analyse skal hjælpe jer med.
Det kan være fristende at åbne AMLR, begynde på side 1 og arbejde sig frem til en liste over alle de ting, der potentielt skal ændres. Men før du kan finde dine gaps, skal du vide, hvad du sammenligner med.
Første skridt bør derfor være at skabe et overblik over, hvordan din virksomhed faktisk arbejder med hvidvaskområdet i dag. Og her er ordet faktisk vigtigt. For du skal nemlig ikke se på hvordan processen står beskrevet i en procedure fra 2022, men i stedet se dybt ind i hvordan medarbejderne arbejder i praksis i dag.
Start derfor med at samle jeres nuværende:
virksomhedsrisikovurdering
politikker og procedurer
kundekendskabsprocesser
risikovurderings- og risikoklassifikationsmodeller
dokumentationskrav
kontroller og kvalitetsprocesser
systemer og leverandører
processer for løbende opfølgning
træningsmateriale og medarbejdervejledninger
Når du har det samlede overblik, er det lettere at begynde selve analysen.
Listen ovenfor viser ret godt, hvordan du kan gribe gap-analysen an, bid for bid. En god måde at komme i gang på er nemlig at dele arbejdet op i konkrete områder og gennemgå dem ét for ét. Det virker måske omstændeligt, men det er langt mere overskueligt, når du først kommer i gang.
Din virksomheds overordnede risikovurdering er et naturligt sted at begynde.
Spørg jer selv:
Hvilke risici har vi identificeret i dag?
Hvilke kundetyper, produkter, ydelser, transaktioner og geografiske forhold indgår i vores vurdering?
Kan vi forklare, hvorfor vi har vurderet en risiko som høj, mellem eller lav?
Er risikovurderingen opdateret i forhold til den virksomhed, vi faktisk driver i dag?
Er der sammenhæng mellem vores risikovurdering og de kontroller, vi har etableret?
En vigtig note at huske er, at det ikke nødvendigvis er et spørgsmål om, at hele jeres risikovurderingen skal laves om. Men AMLR gør det relevant at se nærmere på, om jeres risikobaserede tilgang er tilstrækkeligt systematisk, dokumenteret og koblet til den måde, virksomheden arbejder på i praksis.
Et muligt gap kan være:
Vi har en risikovurdering, men det er svært at se, hvordan de identificerede risici konkret har betydning for vores procedurer og kontroller.
Det er et godt eksempel på et område, hvor arbejdet allerede nu kan give værdi – også før alle kommende detaljer er fuldt konkretiseret.
De fleste virksomheder har allerede AML-politikker og procedurer. Spørgsmålet er ikke kun, om de findes, men også om de rent faktisk afspejler virkeligheden.
I kan spørge jer selv:
Stemmer vores skriftlige procedurer overens med den måde, medarbejderne arbejder på?
Er roller og ansvar tydeligt placeret?
Ved medarbejderne, hvor de kan finde procedurerne?
Har vi kontroller, der viser, om procedurerne bliver fulgt?
Kan vi dokumentere, hvordan vi følger op på identificerede mangler?
Et muligt gap kan her være:
Vi har gode skriftlige procedurer, men vi har ikke en fast proces for at kontrollere, om de faktisk bliver fulgt.
Det er netop den type forskel, en gap-analyse kan hjælpe med at synliggøre.
Kundekendskab er et af de områder, hvor de kommende EU-regler bliver særligt centrale og derfor også et oplagt sted, vi vil komme til at se nogle ændringer. Det gør det oplagt at gennemgå hele processen fra onboarding til løbende opfølgning.
Spørg jer selv:
Hvornår indhenter vi kundekendskabsoplysninger?
Hvilke oplysninger indhenter vi?
Hvordan identificerer og verificerer vi kunden?
Hvordan identificerer vi reelle ejere og relevante kontrolpersoner?
Hvordan dokumenterer vi vores vurderinger?
Hvornår og hvordan opdaterer vi kundens oplysninger?
Hvad sker der, hvis vi ikke kan indhente de nødvendige oplysninger?
AMLR fastlægger direkte krav om kundekendskabsforanstaltninger i forbindelse med blandt andet etablering af forretningsforbindelser, mens AMLA arbejder videre med mere detaljerede standarder for, hvordan kundekendskabskravene skal anvendes i praksis.
Det er altså et godt område at være konkret på allerede nu, uden nødvendigvis at låse alle fremtidige processer fast.
Et muligt gap kan være:
Vi indhenter de nødvendige oplysninger, men vores dokumentation gør det ikke altid tydeligt, hvorfor vi vurderede kundekendskabet som tilstrækkeligt.
Hvordan vurderer I egentlig risikoen på den enkelte kunde? Og lige så vigtigt: Kan I forklare hvorfor? Her kan I blandt andet gennemgå:
hvilke risikofaktorer I bruger
hvordan faktorerne vægtes
hvordan den samlede risikovurdering bliver fastlagt
om medarbejdere kan fravige modellen
hvordan eventuelle fravigelser dokumenteres
hvordan risikoklassifikationen påvirker den videre behandling af kunden.
Et muligt gap kan være:
Vi har en risikomodel, men der mangler en tydelig sammenhæng mellem kundens risikoniveau og den måde, vi arbejder med kunden på bagefter.
Dette område er for mange virksomheder allerede en fast del af kundekendskabsprocessen, men en gap-analyse bør ikke kun undersøge, om der bliver foretaget screening. Den bør også se på, hvordan virksomheden arbejder med resultaterne.
Spørg eksempelvis:
Hvordan identificerer vi reelle ejere?
Hvordan håndterer vi komplekse ejerstrukturer?
Hvordan håndterer vi manglende eller modstridende oplysninger?
Hvornår gennemfører vi PEP- og sanktionsscreening?
Hvad gør vi, når en screening giver et muligt match?
Hvordan dokumenterer vi vores vurdering?
Her er det vigtigt at se på hele processen og ikke kun på, om der bliver trykket på en “screen”-knap.
En virksomhed kan have en god onboardingproces, men have et gap i den løbende opfølgning og overvågning af ændringer i deres kundeforhold. Det er selvsagt vigtigt at den proces er på plads, så du altid har et retvisende billede af dine eksisterende kunders risikoprofil.
Spørg derfor:
Hvornår gennemgår vi eksisterende kunder?
Hvad udløser en opdatering?
Hvordan opdager vi ændringer i kundens forhold?
Har vi forskellige intervaller afhængigt af kundens risiko?
Hvordan dokumenterer vi den løbende opfølgning?
AMLA har allerede igangsat arbejdet med mere detaljerede retningslinjer om løbende overvågning af forretningsforbindelser. Det er derfor et godt eksempel på et område, hvor virksomheder kan kortlægge deres nuværende praksis nu og løbende holde den op imod de kommende præciseringer.
En gap-analyse bør også omfatte de processer, der træder i kraft, når noget ikke ser ud, som det skal. Det gælder blandt andet:
identifikation af usædvanlige forhold
interne undersøgelser
eskalering
dokumentation
beslutninger om eventuel underretning.
Spørg jer selv: Hvis en medarbejder opdager noget usædvanligt i morgen, ved personen så præcis, hvad der skal ske? Og hvis svaret er “det kommer an på, hvem du spørger”, har du måske allerede identificeret et område, der er værd at se nærmere på.
Dokumentation kan hurtigt blive den lidt kedelige del af compliance-arbejdet, som man bare vil have overstået, men prøv at stille jer selv dette spørgsmål: Hvis en medarbejder, en revisor eller en tilsynsmyndighed ser på en sag, kan de så forstå, hvad vi har gjort – og hvorfor? Se blandt andet på dokumentation for:
kundekendskabsprocedurer
begrundelser for risikovurderinger
håndtering af afvigelser
undersøgelser af usædvanlige forhold
beslutninger og godkendelser
opfølgning på mangler.
Et muligt gap kan være:
Vi foretager vurderingerne, men begrundelserne ligger ofte i medarbejdernes hoved eller i en e-mail et sted i indbakken.
Og det er en vigtig vurdering at gøre sig. For en proces, der bliver udført, men ikke kan forklares eller dokumenteres, kan være svær at bevise bagefter. Og som vi siger igen og igen i forhold til tilsyn: hvis det ikke er dokumenteret, er det ikke sket!
Selv den bedste procedure har en begrænset værdi, hvis medarbejderne ikke ved, hvordan den skal bruges. Det er her den interne træning og uddannelse er vigtig at have styr på – og ikke kun en gang i deres onboarding, men løbende i deres ansættelsesforhold.
Gennemgå derfor:
hvordan nye medarbejdere bliver introduceret til AML-arbejdet
hvordan eksisterende medarbejdere bliver opdateret
om træningen er relevant for de konkrete opgaver
hvordan virksomheden sikrer, at procedurerne faktisk er forstået.
Et muligt gap her kan være:
Vi informerer relevante medarbejdere om vores AML procedurer under deres onboarding, men vi har ingen etableret proces løbende opdatering eller kontrol af deres viden.
For mange virksomheder ligger AML-arbejdet ikke ét sted. Kundedata er måske ét sted, mens screening håndteres et andet sted. Dokumentation har man måske gemt i nogle fællesmapper og de enkelte kunders risikovurderinger bliver gemt i enkelte medarbejderes private drev.
Det kan hurtigt blive rodet at klarlægge tilstanden af jeres fælles AML-indsats, så derfor er det værd at bruge gap-analysen til at undersøge:
hvor jeres AML-data kommer fra og om data er tilgængelig (for alle relevante medarbejdere), når de skal bruges
om der er dobbeltregistreringer eller manuelle processer
hvordan leverandører understøtter jeres arbejde
om I har de nødvendige kontroller omkring jeres systemer og leverandører.
En gap-analyse bliver hurtigt overvældende, hvis alle identificerede gaps får samme prioritet. Det er sjældent at alt er af samme prioritet og nogle områder vil kræve større ændringer i forhold til AMLR, mens andre måske kan løses med en mindre justering af jeres eksisterende procedure.
Og så er der også nogle ting I endnu ikke vil kunne tage stilling til, fordi der stadig mangler mere konkrete vejledninger.
I kan eksempelvis samle de gaps I finder, i en simpel oversigt:
| Område | Nuværende Status | Identificeret gap | Risiko/væsentlighed | Næste skridt |
| Risikovurdering | Delvist på plads | Manglende sammenhæng mellem risici og kontroller | Høj | Gennemgå og opdater |
| Kundekendskab | På plads | Behov for at følge kommende præciseringer | Mellem | Afvent og følg udviklingen |
| Dokumentation | Delvist på plads | Vurderinger dokumenteres ikke ensartet | Høj | Fastlæg fælles standard |
| Træning | På plads | Materiale skal opdateres | Lav | Planlæg opdatering |
Det behøver ikke være mere kompliceret end det, for det vigtigste er, at analysen hjælper jer med at svare på:
✅ hvad I ved
❌ hvad I mangler
👉 hvad I nu skal gøre.
På den måde ender jeres gap-analyse nemlig med at blive en prioriteret handleplan for det videre arbejde og ikke bare en tjekliste med opgaver. Udover det ovenstående kan en plan kan eksempelvis også indeholde konkrete anbefalinger, en prioriteret implementeringsplan, samt forslag til ansvar og tidsfrister.
Her er måske den vigtigste pointe i hele arbejdet frem mod juli 2027:
En gap-analyse skal ikke give dig en færdig facitliste over, hvordan din virksomhed skal arbejde den 10. juli 2027. Den skal hjælpe dig med at forstå, hvor du står i dag.
AMLA arbejder fortsat med en række tekniske standarder og vejledninger, og nogle af de praktiske detaljer vil derfor fortsat blive præciseret frem mod 2027. AMLA's arbejde omfatter blandt andet standarder og vejledninger, der skal skabe større ensartethed og tydelighed i den praktiske anvendelse af det nye regelsæt.
Derfor er den bedste tilgang at skabe et stærkt udgangspunkt, hvor I kortlægger jeres nuværende processer, identificerer de områder, hvor der allerede nu kan være en forskel, og prioriterer de største risici. Og så kan I selvfølgelig justere løbende, når der kommer ny viden.
Den 10. juli 2027 virker måske stadig som en fjern dato, men en god gap-analyse behøver ikke vente til næste sommer, når du kan sætte den igang med ét enkelt spørgsmål: Ved vi egentlig helt præcist, hvordan vi arbejder med AML i dag?
I vores on-demand webinar “Er din virksomhed klar til AMLR og gap-analyse?” gennemgår vi AMLR, de kommende ændringer og en praktisk tilgang til at identificere gaps i virksomhedens nuværende AML-setup. Du kan se webinaret lige her - og dykke ned i de andre webinarer vi tidligere har afholdt.
Vil du løbende følge med i udviklingen inden for AMLR, AMLA og de kommende ændringer for danske virksomheder, så kan du tilmelde dig vores nyhedsbrev og få månedlige opdateringer lige i din indbakke.