AML-spiralen: Hvorfor den kun drejer én vej, og hvor den stopper

For ti år siden omfattede skærpede kontroller korrespondentbanker, offshore-strukturer og kunder fra lande på en risikoliste. I dag får en pensionist, der har solgt en garage, et brev med spørgsmål om pengenes oprindelse, og ejeren af en lille butik hører, at det tyveårige forhold til banken er »under vurdering«. Jeg driver en licenseret virksomhedstjenesteudbyder og ser systemet indefra, så jeg får stadig oftere ét spørgsmål: Hvor fører det hen, og findes der en grænse?

Lad mig først sige én ting: Jeg støtter fuldt ud bekæmpelsen af hvidvask. Men ethvert system har en anden side, og den side fortjener også at blive set på.

Tre begreber går igen. AML, anti-money laundering, er regelsættet mod hvidvask af kriminelle penge. KYC, »kundekendskabsprocedurer (KYC)«, er den kontrol, en bank udfører, før den åbner en konto, og så længe den har den; loven kalder det kundekendskab. De-risking er, når en bank fravælger en kunde eller en hel kundekategori, ikke på grund af noget, de har gjort, men fordi det anses som for risikabelt og dyrt at betjene dem; pressen kalder det debanking. Hvad man gør, når en bank lukker ens konto, fortjener sin egen artikel. Denne handler om spiralen, der gør de-risking uundgåelig.

Jeg starter uret omkring 2015: EU’s fjerde hvidvaskdirektiv, derefter Panama Papers og så Danske Bank-skandalen i Estland i 2018. En omgang af spiralen har set ens ud lige siden. En skandale skaber nye regler, og reglerne øger omkostningen ved kontrol. Banker fravælger kunder, der er dyre at kontrollere, efterspørgslen flytter til betalingsvirksomheder og krypto, og der skrives nye regler for det nye lag. Mønstret er ældre og begyndte i toppen: Antallet af banker, der tilbød US dollar-clearing til andre banker, faldt fra cirka 100 i 2006 til cirka 60 i 2022. Hver omgang siden har udvidet kredsen af kontrollerede personer.

Hvad AML-tallene viser

Andelen af kriminelt udbytte, der faktisk konfiskeres, har ligget omkring 1–2 % i femten år. FN’s kontor for narkotika og kriminalitet anslog den til under 1 % i 2011. Europol opgjorde 1,1 % i EU i 2017 og under 2 % i 2023. I Estland konfiskerede staten cirka €4 millioner i 2024 mod anslået €458 millioner årligt i kriminalitetsudbytte, et tal fra Indenrigsministeriet fra 2022. Det er omtrent 1 %, og sammenligningen blev foretaget af chefen for Estlands egen finansielle efterretningsenhed, det statslige kontor, hvortil banker indberetter mistænkelige transaktioner. Det seriøse forsvar for systemet er, at det øger kriminalitetens omkostninger og giver efterforskerne efterretninger, ikke at det konfiskerer; ingen af virkningerne måles mod et mål.

Imens vokser inputtene fortsat. I USA steg indberetninger om mistænkelig aktivitet fra mere end 2,3 millioner i 2019 til mere end 4,1 millioner i 2025. I Storbritannien steg de fra 464.000 i 2017/18 til 896.000 i 2025/26. I Estland understøttede eller indledte den finansielle efterretningsenheds oplysninger 10 straffesager ud af 11.055 indberetninger om mistænkt hvidvask i 2024, altså 0,09 % af de indsendte indberetninger.

Systemets hurtigst voksende produkt er udelukkelser. Ifølge Storbritanniens Financial Conduct Authority (FCA) steg antallet af kundeforhold, som banker afsluttede af hensyn til finansiel kriminalitet, fra 45.091 i 2016/17 til 453.230 i 2024/25, mere end 1.200 om dagen. Tidobling på otte år, mens indberetninger om mistænkelig aktivitet omtrent fordobledes i samme periode: Bedre opdagelse forklarer det ikke. I Estland opgjorde Eesti Pank 64.928 ophørte kontoforhold i 2024, heraf 14.884 med virksomheder, selv om tallet omfatter lukninger anmodet af kunder. Afslagene er entydige: 3.739 kontoansøgninger blev afvist det år, 2.058 af dem fra virksomheder.

Endnu en iagttagelse peger samme vej. Globale bøder for brud på regler om hvidvask, due diligence og sanktioner faldt fra $6,6 milliarder i 2023 til $3,8 milliarder i 2025, mens lukningerne fortsatte med at stige. De to kurver passer sammen, hvis lukning af en kunde er bankens måde at undgå en bøde på: Den frasorterer alt tvivlsomt på forhånd, og jo højere indsatsen er, desto bredere bliver definitionen af tvivlsomt.

Det egentlige spørgsmål er derfor, hvorfor et system, der fanger lidt og udelukker meget, fortsætter med at vokse, uden at nogen rører bremsen. Svaret ligger i, hvem der får gavn af det.

Hvem vinder, og hvem betaler

Spiralen drejer én vej, ikke fordi nogen ønsker det, men fordi dem, der kunne bremse den, ikke har interesse i det, og dem, der ville vinde ved at bremse den, ikke har midlerne.

Banker: Håndhævere, ikke ophavsmænd

Den almindelige opfattelse er, at banker lukker konti, fordi de vil. Jeg mener, at de oftere lukker dem, fordi enhver anden adfærd ville være irrationel. En bank har fået rollen som efterforsker: Den skal finde ud af, hvor kundens penge kommer fra, og hvem kunden handler med. Overser den en kriminel, straffes den med en bøde og et skadet omdømme. Afviser den en ærlig virksomhed, er der intet tilsvarende ansvar. Under den skævhed strammer enhver fornuftig medarbejder reglerne, fordi en fejl i den ene retning kan koste en karriere, og en fejl i den anden næsten intet koster. At afvise en kunde er ikke ondskab i dette system. Det er selvbeskyttelse.

Oven i skævheden kommer omkostningen. Efter min erfaring tager kontrol af en kunde med €10.000 i omsætning næsten lige så mange timer som kontrol af en med €10 millioner, så en lille kunde bliver urentabel, og det gør en lille bank også.

Banker har forsøgt at slippe ud af dette. Seks af de største nordiske banker byggede den fælles kundeverifikationsplatform Invidem og besluttede i april 2023 at lukke den, fordi ansvaret for hver kontrol stadig lå hos hver enkelt bank. Fem nederlandske banker byggede fælles transaktionsovervågning, Transaction Monitoring Netherlands (TMNL), og nedskalerede den fra juli 2024 til næsten ingenting, fordi de nye EU-regler skarpt begrænser datadeling mellem banker. Reglerne giver ingen udvej, så bankerne gør, hvad reglerne kræver.

Teknologi ændrer ikke dette. Digital identitet og sammenkoblede registre gør en enkelt kontrol billigere og dermed hyppigere og mere universel: Hvis det er billigt at kontrollere alle, bliver alle kontrolleret. Estland viser, at barrieren er juridisk, ikke teknisk. Vi har haft elektronisk identitet siden 2002, og alligevel afviser banker virksomheder for at mangle en stærk nok »tilknytning til Estland«: regeringen fjernede kravet fra e-Residency-programmet i 2016, mens retningslinjerne fra Finantsinspektsioon, Estlands finansielle tilsynsmyndighed, siden 2018 har behandlet mangel på en sådan tilknytning som en risikofaktor. Indtil ansvaret deles, overlever ingen fælles database, fordi spørgsmålet altid er, hvem der hæfter, hvis kunden viser sig at være dårlig.

Kontrollørerne: Vækst som overlevelsesvilkår

Over ti år er en hel profession vokset frem i bankerne, blandt softwareleverandører og hos tilsynsorganer. Alene i Danske Bank voksede enheden for finansiel kriminalitet fra 1.500 personer i 2019 til 3.600 i 2023. Og jeg bør sige det klart: Jeg er en del af denne branche. Selskabets licens forpligter det til at kontrollere kunder, kunderne betaler for det, og de tilsynsanmodninger, jeg beskriver nedenfor, er blandt andet rettet mod min sektor. Jeg kritiserer ikke mennesker, men en struktur, jeg arbejder i.

Enhver struktur, der lever af et problem, har en institutionel interesse i, at problemet ikke ophører. Det er ikke en anklage; det er en organisationslov. Ingen afdelingschef rapporterer til bestyrelsen, at risiciene er faldet, og at budgettet bør skæres. For en sådan struktur er en flad kurve en trussel om nedskæringer og erstatning med software, så den finder nye opgaver: sanktioner, omdømmerisiko, krypto, svindel.

Tilsynsbeføjelser gives sjældent tilbage, når de først er erhvervet; hvor deres grænser går, er op til domstolene. I Estland fastslog Højesteret i 2026, at et masse-spørgeskema, som den finansielle efterretningsenhed havde sendt til hundredvis af virksomhedstjenesteudbydere, var ulovligt, og en forvaltningsdomstol fandt intet retsgrundlag for, at enheden kunne kræve kontoudtog fra en bank. Enheden foreslog derefter, at dens beføjelser blev lovfæstet.

Staten: Praktisk og billig

For staten betaler ordningen sig dobbelt. Retshåndhævelsesarbejdet udføres og betales af bankerne, ikke over budgettet; den nederlandske organisation Privacy First kalder dette privatiseringen af kriminalitetsbekæmpelse. Og bøder for mangelfulde kontroller er blevet et universelt greb over for banker, brugt til sanktioner og til alt andet, der på tidspunktet anses som risikabelt.

Samtidig står staten ikke til ansvar for resultaterne. Den offentliggør antallet af indberetninger og bødernes størrelse, men, bortset fra FCA’s opgørelser i Storbritannien, ikke hvor mange konti der blev lukket eller afvist af hvidvaskgrunde. I december 2025 svarede Estlands finansminister på et parlamentarisk spørgsmål, at der ikke føres sådanne statistikker, at lukning af en konto er bankens forretningsbeslutning, og at staten ikke kan forpligte en bank til at åbne en. Den tyske regering gav sit parlament samme svar tre måneder senere. En spiral uden termometer: Ingen måler, hvor mange ærlige mennesker den har kastet ud, så ingen er forpligtet til at reagere.

Almindelige mennesker: De betaler og forstår ikke

Den sidste deltager er den, der betaler for det hele. I dag går brevet, der spørger om »midlernes oprindelse«, til ejeren af en café eller til en, der har solgt en lejlighed. For ham er det ikke en procedure, men en anklage. Han kender ikke ordene AML eller KYC, og hvis han spørger, hvorfor banken pludselig vil vide så meget, er det ærlige svar, at loven nu kræver, at den opdaterer hans sag efter en tidsplan, uanset om noget er ændret. En person, der oplever et spørgsmål som en fornærmelse, svarer for at blive ladt i fred, så jo længere systemet når ind i almindelige liv, desto flere formelt korrekte svar indsamler det og desto mindre reel information. Og disse mennesker har ingen lobby: Iværksættere stemmer ikke som blok, pensionister hyrer ikke advokater, og der findes ingen statistikker om de udelukkede. De eneste deltagere, for hvem spiralen er et tab, har ingen stemme, og derfor trykker ingen på bremsen.

Spiralen gentager sig ét niveau længere nede

Efterspørgslen efter betalinger forsvinder ikke med kontoen. Den flytter sig.

I maj 2026 offentliggjorde de finansielle efterretningsenheder i Estland, Letland og Litauen en fælles undersøgelse af grænseoverskridende betalinger, hovedsagelig foretaget af ikke-residenter. I dette segment voksede strømme med tilknytning til Estland fra €105 milliarder i 2021 til €136 milliarder i 2024, hvoraf €84 milliarder gik gennem betalingsvirksomheder, licenserede betalings- og e-pengeinstitutter, der ikke er banker, såsom Wise, og €33,5 milliarder gennem kryptoudbydere. Ved fradrag udgør traditionelle banker cirka €18,5 milliarder. Forfatterne, som selv er tilsynsmyndighederne, siger det klart: Bankers fravalg af kunder en masse frem for sag for sag har presset risiko ind i mindre regulerede sektorer.

Tilsynsmyndighederne beskriver et system med to niveauer: Banker for store og »kedelige« kunder, betalingsvirksomheder og krypto for alle andre. Men andet niveau er intet fristed. Betalingsvirksomheder opbevarer kundernes penge i banker og afhænger af bankernes risikovillighed, og siden 2025 er de begyndt at lukke konti for hele kundekategorier af de samme grunde. Et tredje niveau findes allerede: Betalinger i stablecoins, kryptovalutaer bundet til dollaren eller euroen, uden for selve kryptohandlen, nåede ifølge forskellige estimater cirka $390–400 milliarder i 2025, omtrent dobbelt så meget som året før. Estland har reduceret sin kryptosektor til et minimum, fra næsten 650 licenser i 2021, hvoraf de fleste aldrig var aktive, til en enkelt selvstændig tilladelse under de nye EU-kryptoregler ved fristen 1. juli 2026; den reelle efterspørgsel flyttede til Litauen og videre.

Tegn på en vending, og hvad de er værd

En vending diskuteres alvorligt, hvilket i sig selv er nyt, men det er værd at se på, hvad der præcis vender. Hård lov, de bindende regler, strammes fortsat i Europa. EU’s fælles hvidvaskforordning gælder fra juli 2027. Den nye EU-myndighed mod hvidvask, AMLA, har været i drift siden juli 2025 og vil fra 2028 føre direkte tilsyn med omkring 40 af de største institutioner. Kontoregistrene i alle EU-lande sammenkobles inden juli 2029 med »øjeblikkelig og ufiltreret« adgang for finansielle efterretningsenheder. AMLA’s udkast til retningslinjer om løbende overvågning ville kræve, at kunder gennemgås både efter en tidsplan og ved enhver væsentlig hændelse i deres liv.

Blød lov, retningslinjer der ikke direkte binder nogen, er begyndt at blive blødere. I februar 2025 erstattede Financial Action Task Force (FATF) »commensurate« med »proportionate« i de globale standarder mod hvidvask og bad tilsynsmyndigheder holde øje med bankers overdrevne forsigtighed. European Banking Authority (EBA) udstedte retningslinjer mod uberettiget de-risking i 2023. Det er et reelt skift i tonen, men ingen af dokumenterne ændrer ansvarsasymmetrien.

En proceduremæssig vending fandt sted i Storbritannien, og det var en politisk beslutning. For aftaler indgået fra april 2026 skal en bank give 90 dages varsel om lukning og angive konkrete grunde, med undtagelser hvor den ikke kan fuldføre sine kontroller eller har mistanke om alvorlig kriminalitet.

USA gik videre end proceduren. En præsidentiel ordre i august 2025 pålagde tilsynsmyndigheder at ophøre med at bruge »omdømmerisiko« som begrundelse, i april 2026 fjernede banktilsynene den fra deres regler, og FinCEN, USA’s finansielle efterretningsenhed, foreslog kun at straffe banker »for de alvorligste mangler«. Det rammer selve asymmetrien: Staten påtager sig en del af ansvaret for bankens afgørelse. Men det er en beslutning fra én administration, og den kan forsvinde med den administration.

I Estland begrænsede Højesteret i 2023 bankernes ret til at lukke forbrugeres grundlæggende betalingskonti uden tvingende grund; virksomheder fik intet tilsvarende og har fortsat kun ret til at spørge om grundene. Enhver europæisk vending følger dette mønster: Grundene, processen og papirarbejdet ved et afslag reguleres, men intet fjerner en banks ret til at lukke en virksomheds konto af hvidvaskgrunde, og intet deler bankens ansvar. Et plateau i retorik og procedure, ikke en vending i substansen. Den næste reelle test for Europa er vejledningen om de-risking, som AMLA skal udstede sammen med EBA inden juli 2027. I skrivende stund findes den ikke.

Hvis intet stopper den: Et plateau, der glider

Antag, at intet bremser den. Det første afsnit nedenfor indeholder kun det, der allerede er vedtaget eller står i udkast; derefter følger min egen ekstrapolering.

Om ti år. Hver kunde i EU har en profil, der opdateres ved hver hændelse: Du har ændret adresse, modtaget en overførsel fra en ny modpart, rejst til et land på en liste. Kontoregistrene i alle 27 stater er sammenkoblede, og ethvert lands finansielle efterretningsenhed kan se alle dine konti inden for et minut. Kontanter er begrænset til €10.000 pr. transaktion, lavere i nogle lande. Den digitale euro er i drift med en beløbsgrænse, så den ikke erstatter banker, og en offlinetilstand »som kontanter« kun for små beløb.

Nu til min udledning. Hver betaling passerer realtidsscore mod den profil og godkendes enten eller tilbageholdes, indtil du forklarer den. Infrastrukturen er færdig, og branchen, der byggede den, leder efter anvendelser, så plateauet står ikke stille; det glider. En bankkonto fungerer som en licens: Den fratages ikke på grund af kriminalitet, den fornyes blot ikke, fordi din profil er blevet for dyr at betjene.

Det mærkeligste ved denne verden er, at den ikke ser skræmmende ud. De fleste mennesker og virksomheder betjenes normalt, og hver udelukket sag ligner en privat ulykke snarere end et systemisk problem. Andelen af konfiskeret kriminalitetsudbytte er stadig 1–2 %. Ingen husker, at en bank engang ikke spurgte, hvor du havde pengene til et køleskab fra. Europa når sandsynligvis ikke helt dertil, fordi systemet på vejen begynder at ramme mennesker med en stemme, og politikere beskærer de mest synlige udskejelser. Retningen ændres ikke, fordi hvert skridt i første afsnit ovenfor allerede er vedtaget eller udarbejdet som udkast.

Hvad der kunne bryde spiralen

Jeg ser fem ting, der realistisk kunne gøre det, fra den der ligger tættest på loven til den fjerneste.

For det første: En domstol, der udvider beskyttelsen af privatpersoner til virksomheder, en afgørelse på niveau med Estlands Højesteret eller EU-Domstolen om, at en ubegrundet lukning af en virksomheds konto krænker friheden til at drive virksomhed. Grundlaget findes; præcedensen gør ikke. Engelske domstole har hidtil sendt spørgsmålet tilbage til tilsynsmyndigheden og fastslog i 2024, at systemisk debanking er et spørgsmål for FCA.

For det andet: En overførsel af ansvar. En regel, hvorefter en bank, der i god tro har kontrolleret en kunde, ikke hæfter for det, kontrollen ikke afslørede, eller en fælles database over verificerede kunder, som staten og ikke hver bank er ansvarlig for. Det er reformen, der rammer spiralens rod. USA er kommet tæt på den; i EU er den ikke i sigte.

For det tredje: Politik, den eneste bremse, der faktisk hidtil har virket for virksomheder i Europa, og den virkede halvt. Spiralen vender ikke, når iværksættere lider, men når en, der kan blive hørt, mister en konto. I 2023 lukkede Coutts, som er en del af NatWest-koncernen, politikeren Nigel Farages konto; sagen gjorde »debanking« til et hverdagssord, og inden for tre år havde Storbritannien en lov om 90 dages varsel og obligatoriske begrundelser. Én højlydt sag gjorde, hvad titusindvis af lukkede småvirksomhedskonti ikke kunne. Ulempen er, at når politik tager emnet op, bliver det partipolitisk: I Storbritannien blev resultatet procedure, i USA substans, som måske ikke overlever administrationen.

For det fjerde: En afslørende fiasko. Alle store skandaler hidtil, inklusive Danske og Swedbank, har handlet om banker, hvis kontroller reelt ikke virkede, og derfor endte hver skandale i stramninger. Storskalahvidvask gennem en bank, der opfyldte alle krav til punkt og prikke, ville være det første argument for revision frem for tilføjelse.

For det femte: Konkurrence mellem jurisdiktioner. USA har fritaget sine egne virksomheder fra indberetning af reelle ejere, pligten til at oplyse et statsregister om, hvem der reelt ejer en virksomhed, mens EU bygger AMLA og sammenkobler registre. Hvis kløften varer i fem år, bliver EU en ø med høj compliance, og fintechs og en del af erhvervslivet vælger deres jurisdiktion derefter. Langsomt, men det er den eneste begrænsning, der ikke kræver en beslutning i EU.

Seks scenarier for AML i Europa

Scenarierne udelukker ikke hinanden: De to første er ét billede set fra to sider, og resten beskriver, hvad der kan skubbe det i den ene eller anden retning.

Jeg skriver forsigtigt om scenariet, hvor infrastrukturen skifter formål, men det kan ikke udelades, og uafhængige økonomer har rejst det før mig. Sammenkoblede kontoregistre, realtidsscore af betalinger og en digital valuta med begrænsninger tjener lige godt til at finde kriminelle og til formål uden noget med hvidvask at gøre. Det, jeg anser for usandsynligt, er brug mod enkeltpersoner efter liste, og selv det har et fortilfælde. I 2022 skiftede Canada, et af verdens roligste demokratier, ved regeringsbeslutning dette maskineri til et offentlighedsordensformål og frøs protestdeltageres bankkonti på grundlag af politilister uden retskendelse og uden sigtelser. Forbundsdomstolen i 2024 og derefter Federal Court of Appeal i januar 2026 fastslog, at der ikke var grundlag for nødforanstaltninger, og at forfatningsmæssige rettigheder var krænket; domstolene afgjorde lovlighed, ikke motiv. Regeringen har anket, og i oktober 2026 indvilligede Canadas Højesteret i at behandle sagen. Kontiene var for længst blevet frigivet, men præcedensen består.

Jeg tror ikke, Europa bevidst går den vej. Men spiralen har aldrig bevæget sig bevidst. For ti år siden ville ingen have forestillet sig, at et besøg i et vekselkontor med mere end €1.000 ville betyde, at man skulle vise pas og få sine oplysninger registreret. I dag er det en lovpligt for ethvert vekselkontor i Estland, og ingen bliver længere overrasket. Infrastruktur bygget til ét formål finder før eller siden et andet, og beskyttelsen mod det er ikke tillid til de nuværende operatører, men juridiske grænser indbygget i selve systemet: Hvem må slå kontakten til, på hvilket grundlag, og hvem står til ansvar for det.

Den nærmeste historiske analogi til hovedscenariet er ikke Forbudstiden, som blev ophævet, men afslutningen på schweizisk bankhemmelighed og den amerikanske FATCA-lov, der forpligtede banker verden over til at indberette om amerikanske kunder. Schweiziske banker betalte mere end $7,5 milliarder i amerikanske bøder over et årti, branchen overlevede på deklarerede aktiver, og udelukkelsen af »tilfældige amerikanere«, personer med amerikansk statsborgerskab ved fødslen, som franske banker afviste på grund af indberetningsomkostningen, blev en accepteret omkostning. Forbudstiden blev ophævet, fordi omkostningerne var tydelige for alle, og ophævelsen havde en politisk modtager. Hvidvaskregimets omkostninger er spredt over millioner af mennesker, og der findes altid en ny kriminel til at retfærdiggøre at bevare det. Derfor bliver der ingen ophævelse. Der bliver et plateau.

Hvad det betyder for en iværksætter

Et plateau er ubehageligt, men forudsigeligt, og det forudsigelige kan man arbejde med.

Planlæg fra starten for to niveauer. En virksomhed med udenlandsk stifter i Estland bliver i de fleste tilfælde betjent af en betalingsvirksomhed frem for en bank, medmindre den har reel drift og ansatte i Estland, og e-Residency-programmets egen blog forklarer hvorfor en estisk bankkonto ikke er nødvendig for de fleste e-residents. Opbyg derefter din sag, før nogen beder om den, og betragt ikke bankens spørgsmål som en anklage: Midlernes oprindelse, strukturens økonomiske logik, tilknytningen til det land, hvor kontoen åbnes, reelle modparter, alt dokumenteret. Jo mere fyldestgørende og roligt svaret er, desto sværere er det for banken at begrunde et afslag, og ikke at svare er den sikreste måde at miste kontoen på.

Brug proceduremæssige rettigheder, hvor de findes. I Storbritannien skal en bank nu angive grunde; i Estland kan en virksomhed i det mindste bede om dem skriftligt, og Credit Institutions Act kræver, at banken svarer, medmindre hvidvaskloven forbyder videregivelse. Proceduren giver ikke kontoen tilbage, men den skaber et spor, og spor bliver med tiden til de statistikker, der ikke findes i dag. Spiralen stopper ikke for nogen af os. At vide, hvor den går hen, er den eneste fordel, der er tilbage.