AML-utbildning för kundnära personal: vad alla behöver veta om penningtvätt

AML-utbildning – utbildning i åtgärder mot penningtvätt – når oftast specialisterna men missar de som faktiskt möter kunden. Compliance-ansvarig kan det riskbaserade förhållningssättet. Fastighetsmäklaren, redovisningskonsulten, försäljningschefen på bilfirman och administratören på företagstjänstbolaget är de som ser transaktionen – och de fick ofta en bildpresentation för tre år sedan.

Det är i det glappet som de flesta brister i arbetet mot penningtvätt uppstår. Den här guiden handlar om att stänga det: vilka som omfattas av penningtvättslagen i Finland och Sverige, vad AML- och kundkännedomsutbildning för medarbetare utanför compliance faktiskt ska innehålla, hur misstankar rapporteras och vad EU:s nya penningtvättsregler förändrar i utbildningen.

Vilka som omfattas av penningtvättslagen – även de som inte vet om det

Det första problemet är tillämpningsområdet. En betydande andel av de verksamheter som omfattas av penningtvättsreglerna ser sig inte alls som en del av finansbranschen.

Utöver banker, betalningsinstitut, försäkringsbolag och värdepappersbolag når den nationella penningtvättslagstiftningen i både Finland och Sverige en lång rad andra verksamhetsutövare:

Konsulttjänster. Redovisningskonsulter och revisorer, skatterådgivare samt advokater och jurister vid vissa typer av uppdrag.

Fastigheter. Fastighetsmäklare, inklusive förmedling av hyresbostäder.

Bolags- och trusttjänster. Tillhandahållare av bolags- och förvaltartjänster.

Handel. Varuhandlare som tar emot kontanter över tröskelbeloppen samt konsthandlare och konstförmedlare.

Spel och kryptotillgångar. Spelbolag och tillhandahållare av tjänster för virtuella tillgångar.

Om något av detta beskriver er verksamhet har ni skyldigheter som omfattar kundkännedom, övervakning, rapportering av misstankar, dokumentation och – uttryckligen – utbildning av personalen. Utbildningskravet är inte underförstått. Den svenska penningtvättslagen (2017:630) och den finska lagen om förhindrande av penningtvätt och av finansiering av terrorism (444/2017) kräver båda att verksamhetsutövaren ser till att anställda får utbildning anpassad efter deras arbetsuppgifter. AML-utbildning är alltså ett lagkrav.

Tillsynen är splittrad i båda länderna. I Sverige har Finansinspektionen tillsyn över finanssektorn, länsstyrelserna över flera icke-finansiella kategorier, och för advokater gäller särskilda ordningar. I Finland har Finanssivalvonta tillsyn över finanssektorn, medan andra myndigheter ansvarar för många icke-finansiella verksamhetsutövare och för spel, och advokatsamfundet för advokater. Kontrollera vilken tillsynsmyndighet som gäller för er innan ni utgår från något – verksamheter rapporterar regelbundet till fel myndighet.

Vad AML-utbildningen ska innehålla för kundnära personal

Inte det riskbaserade förhållningssättet. Inte penningtvättens tre steg, som är intressanta men inte ändrar något i vad en medarbetare gör en vanlig tisdag. Effektiv AML-utbildning för kundnära personal handlar om fem saker.

Vem vår kund är och hur vi fastställer det. Identifiering och kontroll av identitet som ett arbetsflöde man följer, inte som teori. Det här är kärnan i kundkännedom (KYC).

Vad som är avvikande i just vår verksamhet. Detta är det mest värdefulla innehållet och det måste vara specifikt för organisationen. En avvikande transaktion hos en bilhandlare ser inte alls ut som en avvikande transaktion hos en redovisningsbyrå. Generiska listor över varningssignaler misslyckas just för att de är generiska.

Vad man gör när något avviker. Vem man berättar för, hur snabbt och vad som händer sedan. Svaret är aldrig att medarbetaren själv avgör om det rör sig om penningtvätt.

Meddelandeförbudet. Medarbetare får inte berätta för kunden, eller för någon annan utanför rapporteringskedjan, att en rapport har lämnats eller övervägs. Personal utan specialistkunskap bryter mot detta ständigt och i god tro – oftast när de försöker vara hjälpsamma och förklara en försening.

Att rapportera en misstanke är inte en anklagelse. Tröskeln är misstanke, inte bevis och inte ens övervägande sannolikhet. Kundnära personal avstår ofta från att rapportera eftersom de inte kan belägga det de har sett – men det är inte kriteriet.

Tröskeln är misstanke, inte bevis. En medarbetare som väntar tills hen kan belägga sin iakttagelse har redan väntat för länge – och en medarbetare som berättar för kunden att en rapport är på väg har begått den vanligaste överträdelsen i god tro inom AML.

Rapporteringsvägarna

Medarbetare rapporterar inte direkt till myndigheten. De rapporterar internt till den utsedda personen, som bedömer ärendet och vid behov lämnar rapport. Utbildningen ska göra den interna vägen omisskännlig och även beskriva vad som gäller när den utsedda personen inte är tillgänglig.

Den externa mottagaren skiljer sig mellan länderna. I Sverige lämnas rapporter om misstänkta transaktioner till Finanspolisen inom Polismyndigheten. I Finland lämnas de till centralen för utredning av penningtvätt vid centralkriminalpolisen (rahanpesun selvittelykeskus).

Instruktionen till kundnära medarbetare är densamma i båda länderna: upptäck, utred inte själv, berätta inte för kunden, rapportera internt samma dag.

Vad EU:s AML-paket förändrar

Det här är skälet att se över AML-utbildningen nu i stället för om två år.

EU har antagit ett paket som ersätter en stor del av dagens direktivbaserade lapptäcke med en direkt tillämplig förordning, förordning (EU) 2024/1624, tillsammans med ett nytt direktiv och en ny tillsynsmyndighet på EU-nivå, AMLA, med säte i Frankfurt och inrättad genom förordning (EU) 2024/1620. Förordningen harmoniserar kraven på kundkännedom, verklig huvudman och rapportering i medlemsstaterna i stället för att lämna dem åt nationellt genomförande – den mest genomgripande strukturella förändringen av EU:s penningtvättsregler sedan ramverket kom till.

AML-förordningen tillämpas från den 10 juli 2027, tidsfristen för att genomföra det nya direktivet infaller också 2027, och AMLA planerar att inleda direkt tillsyn över utvalda verksamheter under 2028.

För en nordisk verksamhetsutövare får det två praktiska följder. För det första bör skillnaderna mellan Finland och Sverige minska, vilket är till verklig hjälp för koncerner som verkar i båda länderna. För det andra blir krav som tidigare varit en fråga om nationell tolkning direkt tillämplig text – så utbildningsinnehåll som bygger på nationell vägledning måste ses över.

Det nordiska sammanhanget

Två förhållanden är värda att lyfta eftersom de formar riskuppfattningen lokalt.

Nordiska banker stod i centrum för den våg av sanktioner och tillsynsåtgärder som omformade europeisk penningtvättstillsyn efter fallen med koppling till verksamheter i Baltikum under förra decenniet. Varje nordisk compliance-yrkesperson känner till dessa fall, och att hänvisa till dem fungerar bättre i utbildningen än något internationellt exempel.

Kontantanvändningen i Finland, Sverige, Norge och Danmark hör till de lägsta i världen. Det gör kontanter till en starkare avvikelsesignal här än nästan någon annanstans, och det är en verkligt användbar utbildningspunkt: en kund som vill betala kontant på en marknad där praktiskt taget ingen gör det har gjort något som kräver en förklaring – även vid belopp som vore helt vardagliga på andra håll.

Hur ofta utbildningen ska ges och hur den dokumenteras

Den nationella lagstiftningen kräver utbildning anpassad efter rollen och anger oftast inget fast intervall, men tillsynsmyndigheterna förväntar sig att den är regelbunden och aktuell. I praktiken är en årlig cykel med olika djup för olika roller grundförväntan i branschen, med kompletterande utbildning när verksamheten förändras, när en ny produkt eller kundgrupp införs eller när vägledningen uppdateras.

Spara dokumentationen. Tillsynsmyndigheter begär utbildningsregister tidigt i en inspektion, och de frågar efter innehåll, inte bara genomförande. Det som räcker för dem är bevis på att en viss medarbetare fick ett visst innehåll ett visst datum, med den versionen sparad.

Så bygger ni programmet för AML-utbildning

Dela upp det i tre nivåer.

Alla kundnära medarbetare. En kort, obligatorisk och verksamhetsspecifik modul som uppdateras årligen och bygger på era egna transaktioner och era egna varningssignaler.

Den utsedda personen och interna bedömare. En fördjupad modul för den som tar emot interna rapporter och alla som bedömer dem.

Ledningen. En separat genomgång av ledningens ansvar och relationen till tillsynsmyndigheten.

Testa sedan om utbildningen fungerar på det enda sätt som spelar roll: lämnas det över huvud taget några interna rapporter? En verksamhetsutövare med kundnära personal och inga interna rapporter på ett år har inte rena kunder. Den har personal som inte upptäcker eller inte säger till.

Vanliga frågor