Kort svar
Reglerne om bekæmpelse af hvidvask forpligter enhver virksomhed, der betjener dig, fra selskabsudbyderen og notaren til banken, til at opbygge og opbevare sin egen fil om dig. Loven lader dem støtte sig til hinandens arbejde, men ansvaret ligger fortsat hos den, der støtter sig til det, så i praksis begynder hver enkelt fra nul, og én klient ender i tre eller fire separate sagsmapper. Hver mappe koster medarbejdere og software, og klienten betaler for dem alle. En lille del af papirarbejdet reducerer risikoen. Det meste findes, så organisationen, der har det, kan vise en tilsynsførende, at den spurgte.
Jeg arbejder med compliance til daglig. Eesti Firma er en licenseret trust- og selskabstjenesteudbyder, hvilket gør os til en forpligtet enhed: en af de virksomheder, som lovgivningen om bekæmpelse af hvidvask (AML), anvendt nogenlunde ens i hele EU, kræver skal kontrollere sine kunder og indberette det, der virker mistænkeligt. Hver klient, der registrerer et selskab gennem os, identificeres, screenes og bliver spurgt, hvor pengene kommer fra, og jeg tror på at gøre det ordentligt. At identificere en ukompliceret stifter og screene ham mod sanktions- og lister over politisk eksponerede personer tager en uddannet medarbejder cirka 15 til 20 minutter. Resten af onboardingen er papirarbejde bygget omkring det kvarter, og det samme papirarbejde opbygges derefter fra begyndelsen af hver anden forpligtet enhed, klienten møder.
Dette er ikke et argument imod know-your-customer-kontroller (KYC). Det er et argument om, hvad de er blevet til. Alle i kæden udfører arbejdet omhyggeligt, fordi alle frygter følgerne af ikke at gøre det, og på et tidspunkt blev frygten selve formålet. Jeg er kommet til at tænke, at filen i mindre grad findes for at stoppe hvidvask end for at bevise, når tilsynsførende kommer, at organisationen, der har den, stillede de rigtige spørgsmål.
Én klient, tre eller fire kontrolrunder
Her er, hvordan de første måneder ser ud for en typisk af vores klienter: en stifter fra Tyskland, Spanien eller Tyrkiet, der ønsker et estisk anpartsselskab (OÜ) og en fungerende konto. Forløbet ville ligne det samme i Dublin eller Lissabon, fordi reglerne kommer fra de samme EU-direktiver; Estland tilføjer sit eget trin for e-residenter.
- Staten, for e-residenter. En stifter, der ønsker Estlands digitale ID, ansøger om e-Residency, og Police and Border Guard Board foretager et baggrundstjek, før kortet udstedes. Det er ikke en AML-kontrol i juridisk forstand, men en vurdering efter en anden lov, og den kræver samme pas og samme forklaring af formålet, mens ansøgeren betaler et statsgebyr for den.
- Tjenesteudbyderen. Vi bekræfter stifterens identitet, fastslår den reelle ejer, screener ham mod sanktions- og PEP-lister (en PEP er en politisk eksponeret person, hvis offentlige hverv gør bestikkelse til en risiko), spørger hvad virksomheden skal gøre, og hvor startkapitalen kommer fra, og tildeler et risikoniveau. Det er et spørgeskema, et sæt dokumenter og normalt et videoopkald.
- Notaren. En stifter uden estisk digitalt ID opretter i stedet selskabet gennem en notar, og notaren er en separat forpligtet enhed med de samme pligter. Vores fil har ingen vægt på notarens kontor; de identificerer selv klienten og kontrollerer ejeren.
- Banken eller betalingsinstituttet. Den, der åbner kontoen, en bank eller en fintech, anvender sin egen formular, sin egen dokumentliste og sit eget interview: forretningsplanen, de forventede mængder, de vigtigste modparter og midlernes oprindelse, igen. En anden konto, som mange af vores klienter har brug for, betyder samme runde igen.
Afhængigt af vejen gennemgår en stifter tre eller fire af disse, og kontrollen stopper ikke der. Når klienten betaler vores faktura, kan vores egen bank spørge os, hvem betaleren er, og hvad pengene er til. En revisor, som senere tager selskabet som klient, er også en forpligtet enhed. Og hver af disse organisationer skal opbevare sin fil i mindst fem år efter kundeforholdets ophør, holde den opdateret, beskytte den som persondata og overvåge ud fra den, fordi hver enkelt er selvstændigt ansvarlig for det, den opbevarer.
Hver runde betales separat. En udbyder som os ansætter medarbejdere til at læse spørgeskemaer, indhente dokumenter, screene navne, udarbejde en risikovurdering og derefter vedligeholde filen i årevis, og arbejdet dækkes af gebyret. Notaren fakturerer tid. Bankerne bruger klart mest; en brancheundersøgelse anslog udgifterne til compliance mod finansiel kriminalitet i den globale finanssektor til over $270 milliarder i 2022. Ingen lægger tallene sammen, fordi de ligger på forskellige budgetter, men klienten betaler dem alle i gebyrer og statsgebyrer, og compliance-medarbejderne ved hvert stop ser aldrig, hvad det forrige stop fandt. Og som resten af EU-regelsættet er det en fast omkostning: en bank absorberer den, mens en udbyder med et dusin medarbejdere mærker den fuldt ud.
Hvordan en formular blev til en sagsmappe
For ti år siden fandtes kontrollerne, men de var en formular, ikke en sagsmappe. At åbne en konto krævede et pas, en underskrift og nogle få spørgsmål, og en udbyder som os beholdt en tynd fil. Så kom skandalerne. EU omskrev sit direktiv om bekæmpelse af hvidvask i 2015 og igen i 2018 og tilføjede hver gang forpligtede enheder og forpligtelser. Estland fik en ny national lov i 2017, og i 2018 satte Danske Bank-rapporten et tal på omkring €200 milliarder for de ikke-residente midler, der havde passeret gennem en Tallinn-filial, hvoraf meget senere blev vurderet mistænkeligt. Et lille land blev et synonym for hvidvask.
Danske handlede ikke om mangel på formularer. Banken havde filer om sine ikke-residente klienter og ignorerede, hvad dens egen overvågning viste, og tilsynsmyndighederne så ikke grundigt nok på én institution. Svaret var alligevel flere formularer til alle. Hver bank og hver tilsynsmyndighed gjorde, hvad enhver organisation gør efter offentlig ydmygelse: spurgte mere, opbevarede mere og stolede på ingen. Efter min erfaring går cyklussen kun én vej. En tilsynsmyndighed får skylden for den skandale, den ikke forhindrede, ikke for spørgeskemaet den lod ti tusind ærlige klienter udfylde. En forpligtet enhed får bøde for feltet, den lod stå tomt, ikke for feltet, den tilføjede. Forenklingsprogrammer findes i Bruxelles og Tallinn, men ingens tilsyn afhænger af dem, så spørgsmål samler sig hurtigere, end de fjernes.
Loven tillader deling. I praksis deler ingen
Identiteten deles allerede, hvis man skal være fair. Når en e-resident eller en estisk bosiddende logger ind med et digitalt ID, baserer alle banker og udbydere sig på en identitet, der er verificeret af staten. Det, der ikke deles, er alt andet i sagen: hvem ejeren er, hvad virksomheden laver, og hvor pengene kommer fra. Loven tillader også dette. Både det gældende EU-direktiv og den nye EU-forordning om bekæmpelse af hvidvask, der gælder fra juli 2027, tillader, at en forpligtet enhed baserer sig på kundekontroller, som allerede er udført af en anden forpligtet enhed, og den nye EU-myndighed AMLA skal udstede retningslinjer for hvordan. Så hvorfor beder banken vores kunde om at starte helt forfra?
Fordi ansvaret bliver hos den, der støtter sig til den anden. Hvis vores fil viser sig at være forkert, går bøden til banken, og bankens tilsynsmyndighed vil spørge banken, ikke os, hvorfor den stolede på en virksomhed, den ikke kontrollerer. At vurdere en anden virksomheds procedurer koster mere end at sende klienten en ny formular, så enhver institution træffer det samme rationelle valg. Loven tillader tillid på papiret og straffer den i praksis, og summen af alle de fornuftige individuelle valg er teateret i titlen. Filen er holdt op med at være et værktøj og er blevet et produkt: dens opgave er at eksistere, være komplet og kunne fremlægges på anmodning, så den, der har den, er dækket.
Selskabsstiftelse er mit eksempel, fordi det er mit arbejde, men mønsteret går gennem økonomien. En lejlighed, der sælges i en EU-by, skaber en fil hos ejendomsmægleren, en anden hos notaren, en tredje hos den långivende bank og undertiden en fjerde hos banken, der overfører køberens opsparing: fire filer om de samme to personer for én transaktion, uden at nogen af dem bygger på den foregående. Veksler du mere end €1.000 kontant hos en estisk vekselvirksomhed, bliver du identificeret og registreret, og virksomheden opbevarer registreringen i årevis ved siden af tusinder lignende. Revisorer, revisorer, advokater og forhandlere af værdigenstande har filer af samme slags.
Hvad i filen reducerer risikoen
Den standardfil, som banker og udbydere på hele markedet indsamler fra et nyt selskab, falder efter min vurdering i tre grupper: den del, der gør det sværere at misbruge et selskab, den del, der primært findes, så indehaveren kan tilfredsstille en tilsynsførende, og den del, der er rent ritual. Tabellen er min egen klassifikation, ikke en juridisk, og testen i hver række er enkel: handler nogen nogensinde på baggrund af denne oplysning?
| Element i standardfilen | Hvad det gør |
|---|---|
| Identitet bekræftet mod et dokument med live- eller videokontrol | Reducerer risikoen. En virkelig person knyttes til selskabet. |
| Reel ejer fastslået og kontrolleret mod registret | Reducerer risikoen. Skjult ejerskab er det, en hvidvasker har mest brug for. |
| Dokumenter om midlernes oprindelse: kontrakter, kontoudtog, salgsskøder | Reducerer risikoen, hvis nogen læser dem. En underskrevet erklæring om, at midlerne er lovlige, føjer intet til dokumenterne. |
| En enkel beskrivelse af virksomheden: hvem betaler hvem, for hvad | Reducerer risikoen, når indehaveren overvåger transaktioner mod den. Det gør en bank. En notar eller stiftelsesagent ser aldrig en transaktion, men indsamler samme beskrivelse. |
| Sanktions- og PEP-screening | Reducerer risikoen og er billig, fordi software udfører den. |
| Forventet årlig omsætning, afrundet til nærmeste tusind, for et selskab der endnu ikke findes | Nyttig for en bank som grundlag for overvågning. For enhver anden indehaver af filen er det et tal, ingen vil se på igen. |
| Egenerklæring om, at klienten ikke er en PEP og handler på egne vegne | Primært for tilsynsførende. Den flytter skylden til klienten, hvis han løj; den opdager intet. |
| Det samme sæt indsamlet igen af hver institution | For den tilsynsførende, som forklaret ovenfor. Hver kopi beskytter sin indehaver; den anden kopi beskytter ikke systemet. |
| Periodisk gen-KYC, den fulde gennemgang hvert eller hvert andet år, når intet har ændret sig | For den tilsynsførende. Den beviser, at en kalender blev fulgt. |
To ting følger af tabellen. For det første fortjener filen kun sine omkostninger, hvor nogen efterfølgende overvåger ud fra den, hvilket i kæden ovenfor betyder banken og kun banken. For det andet kommer længden fra mellemgruppen. En tilsynsførende kan ikke se, om vi forstod klienten, men kan se, om felt 14 var udfyldt, så felter tilføjes og fjernes sjældent.
Hvad regnestykket siger
Jeg bruger estiske tal, fordi det er dem, jeg kender bedst, og fordi Financial Intelligence Unit udgiver en årsberetning. I 2024 modtog enheden 14.185 indberetninger fra forpligtede enheder. Den foretog 133 analyserede videregivelser til efterforskere og omkring 1.700 yderligere overførsler af oplysninger, og efterforskere beslaglagde aktiver for 5,7 mio. €, som enheden havde indefrosset. Ifølge den nationale risikovurdering førte enhedens analyserede videregivelser til ti nye straffesager i 2024, og i de fem år frem til 2024 afsagde estiske domstole 32 domme i hvidvasksager.
Nu den anden side. Mere end 25.000 nye estiske anpartsselskaber registreres i Estland hvert år, registret rummer omkring 370.000 juridiske enheder af alle slags, og e-Residency-programmet tæller over 134.000 e-residenter. Hvert nyt selskab, hver konto og hvert digitalt ID betyder mindst én komplet KYC-fil, som regel flere. Mit grove skøn, og jeg understreger at det er mit, er, at forpligtede enheder i Estland producerer langt over hundrede tusind KYC-filer om året, og at hele systemet omsætter dem til ti straffesager og nogle få millioner euro i beslaglæggelser. Antag, at én klient ud af ti tusind har kriminel hensigt. De øvrige 9.999 gennemgår tre eller fire kontrolrunder, så han kan findes, og tallene ovenfor siger, at han normalt ikke bliver det.
Der er to rimelige indvendinger, og jeg vil fremlægge dem. Den ene er afskrækkelse: Kriminelle, som aldrig ansøger, fordi de ved, at de vil blive spurgt, fremgår ikke af nogen statistik. Det er sandt, og det er også derfor, ingen nogensinde har været nødt til at bevise det. Den anden er omfanget: Én hvidvaskordning kan flytte flere penge, end tusind ærlige virksomheder tjener, og hvis sagerne havde stoppet Danske, ville de have tjent sig selv hjem mange gange. Men sagerne stoppede ikke Danske, og domfældelserne, som FIU beskriver i sin årsberetning, begyndte med indberetninger om mistænkelige transaktioner, ikke med spørgeskemaer. Onboarding-sagen er der, pengene bruges; overvågning er der, resultaterne kommer fra. Den internationale dokumentation peger i samme retning. Europol vurderede i 2016, at kun omkring 1 % af udbyttet fra kriminalitet i EU nogensinde konfiskeres, og forskeren Ronald Pol, som forsøgte at sammenholde omkostninger og inddrivelser, konkluderede, at complianceomkostninger overstiger de inddrevne midler mere end hundrede gange. Ingen tilsynsmyndighed i Estland har offentliggjort en sammenligning af den slags for det system, den driver.
Jeg forventer ikke, at balancen forbedres. Det nye EU-regelsæt tilføjer en europæisk tilsynsmyndighed, et EU-dækkende loft på €10.000 for kontantbetalinger og flere nye kategorier af forpligtede enheder, fra crowdfundingplatforme til fodboldklubber. Hver ny kategori betyder endnu en skuffe. Hver fremtidig skandale vil tilføje felter, fordi tilføjelse af felter er en institutions måde at vise, at den har lært. Og ét europæisk regelsæt gør enhver tilbagerulning sværere, fordi et spørgsmål, der er skrevet ind i en forordning, ikke kan fjernes af et nationalt parlament, der opdager, at det er nytteløst.
Hvorfor ingen siger det højt
Det er ikke moderne at veje dette. Offentligt er den eneste sikre holdning til hvidvask mere: flere kontroller, mere indberetning, mere nidkærhed. Enhver, der spørger, om den seneste runde regler opnåede noget, risikerer at blive opfattet som én, der ønsker færre regler for kriminelle, så compliance-medarbejdere og advokater, som efter min erfaring deler mange af disse tvivl privat, beholder dem dér. Bekæmpelse af hvidvask er blevet en sag snarere end en politik, og sager bliver sjældent bedt om deres tal for omkostninger og gevinster.
Det er værd at sige klart på grund af, hvor vejen fører hen, hvis ingen vejer det. Et Europa, der har skrevet verdens strengeste privatlivslov, har med den anden hånd forpligtet millioner af private virksomheder til at opbevare sagsmapper om deres kunder i årevis, indberette dem til staten ved mistanke og stå til ansvar, hvis mappen er tynd. Hver eneste af disse filer blev åbnet i god tro for at stoppe en forbrydelse. Tilsammen udgør de en løbende registrering af, hvem der ejer hvad, og hvem der betalte hvem, opbevaret i skuffer, der først svarer en tilsynsførende. Jeg tror ikke, nogen planlagde det. Jeg tror heller ikke, det bør fortsætte med at vokse, uden at nogen spørger, hvad det er til for.
Hvad jeg ville ændre
Det meste af dette kræver ikke en ny lov, kun andre beslutninger om, hvordan den eksisterende anvendes. Det første punkt gør.
- Én verificeret fil, som klienten medbringer. Nogen verificerer personen én gang og påtager sig ansvaret for verificeringen, understøttet af licens, forsikring og revision, så institutionen, der støtter sig til den, ikke straffes, hvis den er forkert. Den verificerende part kunne være en bank, en notar, en licenseret udbyder eller en statslig tjeneste baseret på digitalt ID; det afgørende er, hvor ansvaret ligger. Dagens regler, både nationale og EU-regler, lægger det på den, der støtter sig til det, og derfor gør ingen det. At ændre det kræver lovgivere, og AMLA’s kommende retningslinjer om tillid er det naturlige sted at begynde diskussionen.
- Før tilsyn med resultater, ikke formularer. Et tilsyn bør spørge, hvad en virksomheds overvågning førte til, og hvor dens indberetninger endte, ikke om hvert felt på hver formular var udfyldt.
- Formularer, der passer til selskabet. Et nyt selskab med én stifter og ingen omsætning behøver to sider, ikke tyve. De skærpede spørgsmål, de dybere kontroller som loven forbeholder klienter med højere risiko, hører hjemme på det tidspunkt, hvor aktiviteten begynder, og der er noget at undersøge.
- Gen-KYC ved ændring, ikke efter kalenderen. En ny ejer, et nyt land eller en ny forretningslinje er en grund til at se igen. At to år går, er det ikke.
- Brug de data, staten allerede har. For et eksisterende selskab indeholder det estiske erhvervsregister (Äriregister) ejerne, ledelsen og årsrapporterne. En forpligtet enhed bør hente dem fra registret i stedet for at bede klienten indtaste dem igen. Estlands højesteret anvendte samme logik på tilsynsmyndigheden selv i januar 2026, da den kendte ulovlig en formular med 44 spørgsmål, som Financial Intelligence Unit havde sendt til alle licenserede tjenesteudbydere, delvis fordi staten først bør bruge de data, den allerede har.
Kom gennem kontrollerne uden teateret
Hos Eesti Firma beder vi om det, som loven og vores egen risikovurdering kræver, og vi forklarer, hvorfor hvert dokument er vigtigt. Vi hjælper også klienter med fra starten at opbygge ét sæt dokumenter og svar, som kan gives til banken og betalingsinstituttet uden omskrivning, fordi det efter min erfaring ikke er et kortere spørgeskema, men en virksomhed beskrevet på samme måde over for alle, der spørger, som holder en onboarding kort. For selskaber, der selv bliver forpligtede enheder, udarbejder vi de politikker og procedurer, som loven kræver, hvilket jeg indrømmer er en del af samme teater; den forskel vi kan gøre, er at skrive dem, så de kan bruges frem for blot at være komplette. Hvis du opretter et selskab og ønsker, at compliance-delen håndteres af mennesker, der læser det, du sender, kan vi hjælpe med selskabsstiftelse og med alt, der følger efter.
