Vores overvejelser til uafhængig test AML setup – hvad skal jeres virksomhed være opmærksom på?

Folketinget vedtog den 3. september 2026 lovforslag nr. L 9, som ændrer en række regler på hvidvaskområdet. Det omfatter et udvidet krav, som betyder, at virksomheder og personer omfattet af hvidvaskloven som udgangspunkt skal sikre, at deres politikker, forretningsgange og kontroller testes uafhængigt. Kravet træder i kraft den 15. september 2026.

Fra vores perspektiv er det vigtigt ikke kun at se ændringen som et nyt krav om at få gennemført og dokumenteret en uafhængig test.

 Ændringen bør i stedet ses som en anledning til at vurdere hele virksomhedens AML-setup:

• Er risikovurderingen opdateret?
• Hænger politikker og forretningsgange sammen med de identificerede risici?
• Fungerer kontrollerne faktisk i praksis?
• Og hvordan skal resultaterne af den uafhængige test bruges efterfølgende?

Hvem er omfattet?

Kravet om uafhængig test kommer bredt til at gælde virksomheder og personer omfattet af hvidvaskloven. For en række navnlig finansielle virksomheder findes der allerede krav om, at intern revision eller intern audit vurderer virksomhedens AML-politikker, forretningsgange og kontroller. Det nye i L 9 er, at virksomheder og personer, der ikke allerede er omfattet af dette krav, som udgangspunkt også skal sikre, at deres politikker, forretningsgange og kontroller testes af en uafhængig revisionsfunktion. Bestemmelsen indeholder dog en særskilt undtagelse for de pågældendes filialer, distributører og agenter her i landet. Hvis der ikke findes en uafhængig revisionsfunktion, kan testen udføres af en ekstern ekspert.

Det er ikke nok, at dokumenterne findes

En af de vigtigste pointer i L 9 er efter vores vurdering, at fokus flyttes fra “har virksomheden de rigtige dokumenter?” til også at omfatte “virker virksomhedens AML-setup i praksis?”

Forarbejderne beskriver formålet med den uafhængige test som en objektiv og fagligt kvalificeret gennemgang, der skal kunne afdække svagheder og mangler og dermed styrke virksomhedens risikostyring. Testen skal også understøtte løbende evaluering og tilpasning, når risici eller regler ændrer sig.

Testen bør derfor ikke alene omfatte en dokumentgennemgang, men også i relevant omfang teste, om de fastlagte processer og kontroller er implementeret og fungerer i praksis.

Risikovurderingen bliver endnu vigtigere!

Virksomhedens risikovurdering er grundlaget for politikker, forretningsgange og kontroller på hvidvaskområdet. Derfor bør resultaterne fra den uafhængige test efter vores vurdering fødes tilbage i risikovurderingen.

Hvis testen f.eks. viser, at en bestemt kundetype indebærer større risiko end tidligere antaget, eller at en kontrol ikke reducerer risikoen som forventet, bør virksomheden vurdere, om risikovurderingen skal ændres.

Det samme gælder, hvis testen afdækker nye risici eller væsentlige svagheder i virksomhedens kontrolmiljø.

Vi anbefaler derfor, at processen tilrettelægges som et samlet styringskredsløb: Risikovurdering → Politikker og forretningsgange → Kontroller → Uafhængig test → Observationer → Opdatering af risikovurdering og styringsdokumenter

Det passer med lovens grundlæggende struktur, hvor virksomhedens politikker, forretningsgange og kontroller skal tage udgangspunkt i risikovurderingen.

Overvej om jeres AML-dokumenter er klar til at blive testet?

Inden virksomheden bestiller en uafhængig test, bør den efter vores vurdering stille sig selv nogle helt enkle spørgsmål:

• Er vores risikovurdering opdateret?
• Beskriver politikker og forretningsgange det, vi faktisk gør?
• Kan vi dokumentere, at vores kontroller bliver gennemført?
• Er roller og ansvar tydeligt placeret?
• Kan vi dokumentere vores KYC, løbende kundekendskab, PEP- og sanktionskontroller, undersøgelser og eventuelle underretninger?
• Er tidligere fejl og observationer blevet fulgt op?

Hvis svaret er nej til disse spørgsmål, kan det være relevant først at gøre AML-setup’et klar til testen.

Uafhængighed skal tænkes ind fra starten

Virksomheden bør tidligt tage stilling til, hvem der skal udføre testen, og hvordan uafhængigheden sikres.

Har virksomheden en uafhængig revisionsfunktion, kan den udføre testen. Virksomheden behøver dog ikke nødvendigvis have en formel intern revisionsafdeling for at udføre testen internt. Under Folketingets behandling af lovforslaget har ministeren præciseret, at virksomheder uanset størrelse kan lade testen udføre af en anden medarbejder, hvis medarbejderen er tilstrækkeligt uafhængig og har den nødvendige faglige evne og indsigt set i forhold til virksomhedens type, størrelse og kompleksitet.

I praksis kan det dog være svært for mindre virksomheder at etablere tilstrækkelig uafhængighed. Det afgørende er, at den person, der udfører testen, er tilstrækkeligt uafhængig af det arbejde, der vurderes, og har den nødvendige faglige viden til at gennemføre testen.

Hvis virksomheden kun består af én person og ikke har ansatte, vil det derimod som udgangspunkt være nødvendigt at bruge en ekstern ekspert, fordi personen ikke kan teste sit eget arbejde uafhængigt.

Testen bør føre til handling

En uafhængig test har begrænset værdi, hvis observationerne fra testen ikke bliver håndteret.

Virksomheden bør derfor allerede inden testen have besluttet, hvordan observationer skal:

• vurderes efter risiko og væsentlighed,
• tildeles en ansvarlig,
• få en frist,
• følges op,
• og eventuelt føre til ændringer i risikovurdering, politikker, forretningsgange eller kontroller.

Forarbejderne fremhæver netop, at kravet skal bidrage til, at virksomheder løbende evaluerer og tilpasser deres interne procedurer.

Der er ikke fastsat et fast interval

Lovteksten fastsætter ikke et bestemt kalenderinterval for den uafhængige test, eksempelvis én gang årligt eller hvert tredje år. Forarbejderne lægger desuden vægt på en regelmæssig evaluering og tilpasning af virksomhedens interne procedurer.

Virksomheden bør derfor fastlægge og dokumentere en passende frekvens og et passende omfang under hensyntagen til blandt andet virksomhedens risici, størrelse, kompleksitet og væsentlige ændringer i forretningen eller regelgrundlaget.

Vores vigtigste anbefaling

Fra ComplianceServices perspektiv bør virksomheder ikke starte med spørgsmålet:

“Hvornår skal vi have gennemført den uafhængige test?”

Start i stedet med:

“Er vores AML-setup klar til at blive testet?”

For mange virksomheder vil den bedste proces ofte være først at gennemgå og opdatere risikovurdering, politikker, forretningsgange og kontroller. Derefter kan den uafhængige test gennemføres på et retvisende grundlag, og resultaterne kan bruges aktivt til at forbedre virksomhedens AML-setup.

OBS! I bør samtidig være opmærksomme på, at lovforslaget ikke kun indfører det nye testkrav.

Lovændringen indfører samtidig nye udtrykkelige krav vedrørende proliferationsfinansiering og finansielle sanktioner. Det betyder, at mange virksomheder under alle omstændigheder bør gennemgå deres risikovurdering, politikker, forretningsgange og kontroller i forbindelse med ikrafttrædelsen.

Det gør det oplagt at håndtere ændringerne samlet frem for at behandle den uafhængige test som en isoleret øvelse.

Sådan kan ComplianceService hjælpe

Vi kan hjælpe jer på to måder – enten med at gøre jeres AML-setup klar til en efterfølgende uafhængig test eller, hvor kravet til uafhængighed kan opfyldes, ved selv at udføre den uafhængige test.

Hvis vi tidligere har bistået med at udforme eller væsentligt ændre de forhold, der skal testes, vurderer vi særskilt, om kravet til uafhængighed kan opfyldes, og hvordan opgaven i givet fald skal tilrettelægges.

Vores tilgang er, at testen ikke bare skal dokumentere compliance. Den skal give ledelsen et brugbart billede af, hvad der fungerer, hvad der bør forbedres, og om virksomhedens risikovurdering fortsat er retvisende.

Kontakt Morten Fibiger eller Mathias Færregaard, hvis I vil drøfte, hvad L 9 konkret betyder for jeres virksomhed.