Hvidvaskarbejde stopper ikke ved analyser og vurderinger. Når først egen risikovurderingen efter hvidvasklovens §7 er på plads, så skal det fastlægges hvordan det egentlige arbejde skal udføres. Det er netop her, hvidvasklovens §8 kommer ind i billedet.
Lovgivningen er bevidst opbygget sådan, at virksomheder først skal kende deres egen forretning og risici – og dernæst omsætte denne viden til konkrete politikker, forretningsgange og kontroller. KYC og kundearbejdet kommer altså ikke først, men sidst, som en konsekvens af det risikobillede, virksomheden allerede har identificeret og de procedure som indføres.
Hvidvaskloven §8
Hvidvaskloven §8
Virksomheder og personer omfattet af denne lov skal have tilstrækkelige skriftlige politikker, forretningsgange og kontroller, som skal omfatte risikostyring, kundekendskabsprocedurer, undersøgelses-, noterings- og underretningspligt, opbevaring af oplysninger, screening af medarbejdere og intern kontrol til effektiv forebyggelse, begrænsning og styring af risici for hvidvask og finansiering af terrorisme. Politikker, kontroller og forretningsgange skal udarbejdes med udgangspunkt i risikovurderingen foretaget efter § 7 under hensyntagen til virksomhedens størrelse.
Hvad betyder hvidvasklovens §8 i praksis?
Hvor §7 handler om at forstå og vurdere risiko, handler §8 om at styre den i praksis. Bestemmelsen kræver, at virksomheden kan dokumentere, hvordan risikovurderingen er omsat til konkrete, skriftlige og anvendelige politikker, procedurer og forretningsgange.
Kravet om skriftlighed handler ikke kun om dokumentation, men også om at skabe en ensartet tilgang til AML-arbejdet i virksomheden. Det er særligt vigtigt i virksomheder med ansatte, hvor fælles og klare retningslinjer er afgørende for, at risici håndteres konsekvent – uanset hvem der udfører opgaven.
Centrale krav efter hvidvasklovens §8
🔹 Risikostyring
Virksomheden skal beskrive, hvordan risikostyringen håndteres i virksomheden. Hvordan identificeres og håndteres ændringer i både eksterne og interne risici – hvordan sikres det at der rettidigt sker tilpasninger i AML-arbejdet, ved ændringer i risikobilledet.
🔹 Kundekendskabsprocedurer (KYC)
Kundekendskabsprocedurerne skal fastlægges med direkte udgangspunkt i risikovurderingen efter §7 og de politikker og forretningsgange, der er etableret efter §8. Omfanget af KYC-arbejdet skal stå mål med risikoen og differentieres ved forskellige risikoniveauer – fx begrænset, moderat, betydelig og høj risiko.
En effektiv og korrekt KYC afhænger af at §7 og §8 fungerer som virksomhedens fundament og rettesnor, så kundearbejdet udføres effektivt, risikobaseret og i overensstemmelse med virksomhedens faktiske risikoprofil.
🔹 Overvågning
Overvågning udgør bindeleddet mellem kundekendskab og undersøgelsespligt og består i en løbende vurdering af, om kundens faktiske adfærd og forhold fortsat stemmer overens med det kendskab og den risikoprofil, der er fastlagt gennem KYC. Overvågningen sker som en integreret del af leveringen af virksomhedens ydelser og tilpasses kundens konkrete risikoniveau og identificerede risikofaktorer. Formålet er at opdage afvigelser, usædvanlige forhold eller ændringer, som kan indikere risiko for hvidvask eller terrorfinansiering og dermed udløse undersøgelsespligten.
🔹 Undersøgelses- og noteringspligt
Virksomheden skal have procedurer for, hvordan usædvanlige eller mistænkelige forhold undersøges og vurderes. Samtidig skal relevante observationer noteres og dokumenteres, så det efterfølgende kan påvises, hvilke overvejelser og handlinger der er foretaget.
🔹 Underretningspligt
Hvis en mistanke om hvidvask eller terrorfinansiering ikke kan afkræftes gennem undersøgelse, er virksomheden forpligtet til at foretage underretning til Hvidvasksekretariatet. Underretningspligten er ikke et skøn, men et lovkrav, og det er derfor afgørende, at procedurerne tydeligt beskriver, hvornår og hvordan der skal ske underretning.
🔹 Opbevaring af oplysninger
Virksomheden skal sikre korrekt opbevaring af oplysninger indsamlet i forbindelse med AML-arbejdet, herunder KYC-materiale, risikovurderinger og undersøgelsesdokumentation. Opbevaringen skal ske i overensstemmelse med hvidvasklovens krav samt bogføringslovens opbevaringsregler og GDPR i øvrigt.
🔹 Screening af medarbejdere
Der skal være procedurer for screening af medarbejdere, særligt i funktioner med ansvar for AML. Formålet er at sikre, at medarbejdere er egnede, pålidelige og bevidste om deres ansvar.
🔹 Intern kontrol
Virksomheden skal etablere interne kontroller, der sikrer, at politikker og procedurer efterleves i praksis. Løbende intern kontrol bidrager samtidig til at overholde pligten til løbende at opdatere risikovurderingen og forretningsgangene, da ændringer i kundesammensætning, digitalisering og forretningsmodel løbende påvirker virksomhedens risikobillede.
§8 bygger på §7 – og leder frem mod KYC
Et centralt, men ofte overset forhold er, at §8 udtrykkeligt bygger på risikovurderingen efter §7. AML-arbejdet er tænkt som en sammenhængende proces, hvor forståelsen af egen risiko kommer først, hvorefter politikker og procedurer fastlægges – og først derefter anvendes i det konkrete kundearbejde og KYC.
AML-strukturen starter med egen virksomhed, opbygger procedurerne – og afslutter med kunden i form af KYC, overvågning mv.
Har du styr på dine risikodokumenter?
Mange virksomheder har både risikovurderinger, politikker og procedurer, men mangler den røde tråd mellem dem. Dokumenterne lever ofte hver for sig, bliver sjældent opdateret og er vanskelige at forklare over for tilsynet.
Med VirkDoc fra DocWise kan du samle risikovurdering, politikker og forretningsgange i én struktureret og sammenhængende løsning, der er bygget korrekt fra §7 til §8 – og videre til KYC.
Det giver overblik, ensartethed og et stærkere grundlag for både daglig drift og tilsyn.
👉 Vil du have styr på dine risikodokumenter – ikke bare dem på papiret, men dem der virker i praksis – er VirkDoc et solidt sted at starte.
