AML-spiralen: Varför den bara går åt ett håll och var den stannar

För tio år sedan gällde skärpta kontroller korrespondentbanker, offshore-strukturer och kunder från länder på en risklista. I dag får en pensionär som har sålt ett garage ett brev med frågan var pengarna kommer ifrån, och ägaren till en liten butik får veta att den tjugoåriga relationen med banken ”ses över”. Jag driver en licensierad företagsserviceleverantör och ser systemet inifrån, så jag får allt oftare en fråga: vart är detta på väg, och finns det en gräns?

Låt mig först säga en sak: jag stöder fullt ut bekämpningen av penningtvätt. Men varje system har en annan sida, och även den sidan förtjänar att granskas.

Tre termer kommer att återkomma. AML, bekämpning av penningtvätt, är regelverket mot tvätt av brottsliga pengar. KYC, ”kundkännedom (KYC)”, är den kontroll en bank gör innan den öppnar ett konto och så länge den behåller det; lagen kallar det kundkännedom. De-risking innebär att en bank avslutar en kund, eller en hel kundkategori, inte för något de har gjort utan eftersom det anses för riskfyllt och dyrt att betjäna dem; pressen kallar det debanking. Vad man gör när en bank stänger ditt konto förtjänar en egen artikel. Den här handlar om spiralen som gör de-risking oundvikligt.

Jag börjar räkna från omkring 2015: EU:s fjärde direktiv mot penningtvätt, sedan Panama Papers och därefter Danske Bank-skandalen i Estland 2018. Sedan dess har varje varv i spiralen sett likadant ut. En skandal leder till nya regler, och reglerna höjer kostnaden för kontroller. Banker avvisar kunder som är dyra att kontrollera, efterfrågan flyttar till betalningsföretag och krypto, och nya regler skrivs för det nya lagret. Mönstret är äldre och började högst upp: antalet banker som erbjöd amerikansk dollarklarering till andra banker minskade från omkring 100 år 2006 till omkring 60 år 2022. Varje varv sedan dess har utvidgat kretsen av personer som kontrolleras.

Vad AML-siffrorna visar

Andelen brottsvinster som faktiskt förverkas har legat kring 1–2 % i femton år. FN:s kontor för narkotika och brottslighet angav den till mindre än 1 % år 2011. Europol räknade 1.1 % i EU år 2017 och mindre än 2 % år 2023. I Estland förverkade staten omkring €4 miljoner år 2024 mot uppskattade €458 miljoner per år i brottsvinster, en siffra från inrikesministeriet för 2022. Det är ungefär 1 %, och jämförelsen gjordes av chefen för Estlands egen finansunderrättelseenhet, den statliga myndighet till vilken banker rapporterar misstänkta transaktioner. Systemets seriösa försvar är att det höjer kostnaden för brott och ger utredare underrättelser, inte att det förverkar; ingen av effekterna mäts mot något mål.

Samtidigt fortsätter insatserna att öka. I USA steg rapporterna om misstänkt verksamhet från mer än 2.3 miljoner år 2019 till mer än 4.1 miljoner år 2025. I Storbritannien steg de från 464,000 år 2017/18 till 896,000 år 2025/26. I Estland stödde eller inledde finansunderrättelseenhetens information 10 brottsutredningar av 11,055 rapporter om misstänkt penningtvätt som lämnades in 2024, alltså 0.09 % av de inlämnade rapporterna.

Systemets snabbast växande produkt är uteslutningar. Enligt Storbritanniens Financial Conduct Authority (FCA) steg antalet kundrelationer som banker avslutade av skäl kopplade till ekonomisk brottslighet från 45,091 år 2016/17 till 453,230 år 2024/25, mer än 1,200 om dagen. Tiodubbling på åtta år, medan rapporterna om misstänkt verksamhet ungefär fördubblades under samma period: bättre upptäckt förklarar det inte. I Estland räknade Eesti Pank 64,928 avslutade kontorelationer år 2024, 14,884 av dem med företag, även om siffran omfattar avslut som kunder begärt. Avslag är entydiga: 3,739 kontoansökningar avslogs det året, 2,058 av dem från företag.

Ytterligare en iakttagelse pekar åt samma håll. Globala böter för överträdelser av regler om bekämpning av penningtvätt, kundkännedom och sanktioner sjönk från $6.6 miljarder år 2023 till $3.8 miljarder år 2025, medan avsluten fortsatte att öka. De två kurvorna passar ihop om ett kundavslut är hur banken undviker böter: den gör sig av med allt tveksamt i förväg, och ju högre insatserna är, desto bredare blir definitionen av tveksamt.

Den verkliga frågan är alltså varför ett system som fångar lite och utesluter mycket fortsätter att växa, utan att någon rör bromsen. Svaret ligger i vem som gynnas.

Vem gynnas och vem betalar

Spiralen går åt ett håll, inte för att någon vill det, utan för att de som skulle kunna bromsa den saknar intresse av det och de som skulle vinna på en inbromsning saknar medel.

Banker: verkställare, inte upphovsmän

Den vanliga uppfattningen är att banker stänger konton för att de vill. Jag tror att de oftare gör det eftersom varje annat beteende vore irrationellt. Banken har fått utredarrollen: att ta reda på var kundens pengar kommer ifrån och vem kunden gör affärer med. Missar den en brottsling straffas den med böter och skadat anseende. Avvisar den ett hederligt företag finns inget jämförbart ansvar. Med denna asymmetri skärper varje förnuftig medarbetare reglerna, eftersom ett fel i den ena riktningen kostar en karriär och ett fel i den andra nästan ingenting. Att avvisa en kund är inte illvilja i detta system. Det är självskydd.

Utöver asymmetrin kommer kostnaden. Enligt min erfarenhet tar kontrollen av en kund med €10,000 i omsättning nästan lika många timmar som kontrollen av en med €10 miljoner, så en liten kund blir olönsam, liksom en liten bank.

Banker har försökt komma ur detta. Sex av de största nordiska bankerna byggde den gemensamma kundverifieringsplattformen Invidem och beslutade i april 2023 att lägga ned den, eftersom ansvaret för varje kontroll fortfarande låg separat på varje bank. Fem nederländska banker byggde gemensam transaktionsövervakning, Transaction Monitoring Netherlands (TMNL), och skalade från juli 2024 ned den till nästan ingenting, eftersom de nya EU-reglerna kraftigt begränsar datadelning mellan banker. Reglerna erbjuder ingen utväg, så bankerna gör vad reglerna kräver.

Tekniken kommer inte att ändra detta. Digital identitet och sammankopplade register gör en enskild kontroll billigare och därmed vanligare och mer generell: om det är billigt att kontrollera alla kommer alla att kontrolleras. Estland bevisar att hindret är juridiskt, inte tekniskt. Vi har haft elektronisk identitet sedan 2002, och ändå avvisar banker företag för att de saknar en tillräckligt stark ”koppling till Estland”: regeringen tog bort kravet från e-Residency-programmet 2016, medan Finantsinspektsioons riktlinjer, Estlands finansiella tillsynsmyndighet, har behandlat brist på sådan koppling som en riskfaktor sedan 2018. Tills ansvaret delas kommer ingen gemensam databas att överleva, eftersom frågan alltid är vem som ansvarar om kunden visar sig vara olämplig.

Kontrollanterna: tillväxt som villkor för överlevnad

Under tio år har en hel yrkeskår vuxit fram inom banker, bland programvaruleverantörer och tillsynsorgan. Bara på Danske Bank växte enheten för ekonomisk brottslighet från 1,500 personer år 2019 till 3,600 år 2023. Och jag bör säga det tydligt: jag är en del av denna bransch. Företagets licens ålägger det att kontrollera kunder, kunderna betalar för det och de tillsynsbegäranden jag beskriver nedan riktas bland annat till min sektor. Jag kritiserar inte människor utan en struktur där jag arbetar.

Varje struktur som lever av ett problem har ett institutionellt intresse av att problemet inte tar slut. Det är ingen anklagelse; det är en organisationslag. Ingen avdelningschef rapporterar till styrelsen att riskerna har minskat och att budgeten bör skäras ned. En platt kurva är för en sådan struktur ett hot om nedskärningar och ersättning med programvara, så den hittar nya uppgifter: sanktioner, anseenderisk, krypto, bedrägerier.

Tillsynsbefogenheter återlämnas sällan när de väl har förvärvats; domstolarna avgör var gränserna går. I Estland 2026 slog Högsta domstolen fast att ett massfrågeformulär som finansunderrättelseenheten skickat till hundratals företagsserviceleverantörer var olagligt, och en förvaltningsdomstol fann ingen rättslig grund för att enheten skulle kunna kräva kontoutdrag från en bank. Enheten föreslog därefter att dess befogenheter skulle regleras i lag.

Staten: bekvämt och billigt

För staten lönar sig upplägget på två sätt. Brottsbekämpningsarbetet utförs och betalas av bankerna, inte av budgeten; den nederländska organisationen Privacy First kallar detta privatiseringen av brottsbekämpningen. Och böter för bristfälliga kontroller har blivit ett universellt påtryckningsmedel mot banker, använt för sanktioner och för allt annat som för tillfället anses riskfyllt.

Samtidigt ansvarar staten inte för resultaten. Den publicerar antalet rapporter och böternas storlek, men, med FCA:s återrapportering som undantag, inte hur många konton som stängdes eller nekades av skäl kopplade till bekämpning av penningtvätt. I december 2025 svarade Estlands finansminister på en riksdagsfråga att sådan statistik inte förs, att ett kontoavslut är bankens affärsbeslut och att staten inte kan tvinga en bank att öppna ett konto. Tysklands regering gav samma svar till sitt parlament tre månader senare. En spiral utan termometer: ingen mäter hur många hederliga människor den har kastat ut, så ingen är skyldig att reagera.

Vanliga människor: de betalar och förstår inte

Den sista deltagaren är den som betalar för allt. I dag går brevet som frågar efter ”pengarnas ursprung” till en kaféägare eller någon som har sålt en lägenhet. För honom är det inte en rutin utan en anklagelse. Han känner inte till orden AML eller KYC, och om han frågar varför banken plötsligt vill veta så mycket är det ärliga svaret att lagen nu kräver att banken uppdaterar hans akt enligt ett schema, oavsett om något har förändrats. En person som upplever frågan som en förolämpning svarar för att bli lämnad i fred, så ju längre in i vardagslivet systemet når, desto fler formellt korrekta svar samlar det in och desto mindre verklig information. Och dessa människor saknar lobby: företagare röstar inte som ett block, pensionärer anlitar inte advokater och det finns ingen statistik över de uteslutna. De enda deltagare för vilka spiralen är en förlust saknar röst, vilket är varför ingen trycker på bromsen.

Spiralen upprepas ett våningsplan ned

Efterfrågan på betalningar försvinner inte med kontot. Den flyttar.

I maj 2026 publicerade finansunderrättelseenheterna i Estland, Lettland och Litauen en gemensam studie om gränsöverskridande betalningar, främst av icke-bosatta. I det segmentet växte flöden kopplade till Estland från €105 miljarder år 2021 till €136 miljarder år 2024, varav €84 miljarder gick genom betalningsföretag, licensierade betalnings- och e-penninginstitut som inte är banker, såsom Wise, och €33.5 miljarder genom kryptoleverantörer. Efter avdrag står traditionella banker för ungefär €18.5 miljarder. Författarna, som själva är tillsynsmyndigheter, säger det tydligt: bankers generella kundavvisningar i stället för bedömning fall för fall har flyttat risken till mindre reglerade sektorer.

Tillsynsmyndigheterna beskriver ett tvådelat system: banker för stora och ”tråkiga” kunder, betalningsföretag och krypto för alla andra. Men det andra lagret är ingen fristad. Betalningsföretag har sina kunders pengar hos banker och är beroende av bankernas riskaptit, och sedan 2025 har de börjat stänga konton för hela kundkategorier på samma grunder. Ett tredje våningsplan finns redan: betalningar i stablecoins, kryptovalutor knutna till dollarn eller euron, utanför själva kryptohandeln uppgick till ungefär $390–400 miljarder år 2025 enligt olika uppskattningar, omkring dubbelt så mycket som året före. Estland har minskat sin kryptosektor till ett minimum, från nästan 650 licenser år 2021, varav de flesta aldrig var aktiva, till ett enda fristående tillstånd enligt de nya EU-reglerna för krypto före tidsfristen den 1 juli 2026; den verkliga efterfrågan flyttade till Litauen och längre bort.

Tecken på en vändning och vad de är värda

En vändning diskuteras seriöst, vilket i sig är nytt, men det lönar sig att se exakt vad som vänder. Hård rätt, de bindande reglerna, fortsätter att skärpas i Europa. EU:s enda förordning mot penningtvätt gäller från juli 2027. Den nya EU-myndigheten mot penningtvätt, AMLA, har varit verksam sedan juli 2025 och kommer från 2028 att direkt övervaka omkring 40 av de största instituten. Kontoregistren i alla EU-länder ska vara sammankopplade senast i juli 2029, med ”omedelbar och ofiltrerad” tillgång för finansunderrättelseenheter. AMLA:s utkast till riktlinjer för löpande övervakning skulle kräva att kunder granskas både enligt ett schema och vid varje betydande händelse i deras liv.

Mjuk rätt, riktlinjerna som inte binder någon direkt, har börjat mjukna. I februari 2025 ersatte Financial Action Task Force (FATF), som fastställer globala standarder mot penningtvätt, ”commensurate” med ”proportionate” i dessa standarder och uppmanade tillsynsmyndigheter att bevaka bankers överdrivna försiktighet. European Banking Authority (EBA) utfärdade riktlinjer mot obefogad de-risking år 2023. En verklig tonförändring, men inget av dokumenten ändrar ansvarsasymmetrin.

En processuell vändning skedde i Storbritannien, och den var ett politiskt beslut. För avtal som ingås från april 2026 måste en bank lämna 90 dagars uppsägningstid och ange konkreta skäl, med undantag när den inte kan slutföra sina kontroller eller misstänker allvarlig brottslighet.

USA gick längre än processen. Ett presidentbeslut i augusti 2025 uppmanade tillsynsmyndigheter att sluta använda ”anseenderisk” som grund, i april 2026 tog banktillsynsmyndigheterna bort den ur sina regler, och FinCEN, USA:s finansunderrättelseenhet, föreslog att bestraffa banker ”endast för de allvarligaste bristerna”. Detta träffar själva asymmetrin: staten tar på sig en del av ansvaret för bankens beslut. Men det är ett beslut av en administration och kan försvinna med den administrationen.

I Estland begränsade Högsta domstolen år 2023 bankernas rätt att utan vägande skäl stänga konsumenters grundläggande betalkonton; företag fick inget jämförbart och har bara rätten att fråga efter skälen. Varje europeisk vändning följer detta mönster: skälen, processen och dokumentationen för ett avslag regleras, men ingen av dem tar bort bankens rätt att stänga ett företags konto av skäl kopplade till bekämpning av penningtvätt, och ingen delar bankens ansvar. En platå i retorik och procedur, inte en vändning i sak. Nästa verkliga test för Europa är vägledningen om de-risking som AMLA måste utfärda tillsammans med EBA senast i juli 2027. När detta skrivs finns den inte.

Om inget stoppar den: en platå som glider

Anta att inget bromsar den. Första stycket nedan innehåller bara sådant som redan har antagits eller ligger i utkast; därefter följer min egen extrapolering.

Om tio år. Varje kund i EU har en profil som uppdateras vid varje händelse: du ändrade adress, tog emot en överföring från en ny motpart, reste till ett land på en lista. Kontoregistren i alla 27 stater är sammankopplade, och varje lands finansunderrättelseenhet kan se alla dina konton inom en minut. Kontanter är begränsade till €10,000 per transaktion, lägre i vissa länder. Den digitala euron är i drift, med en innehavsgräns så att den inte ersätter banker, och ett offlineläge ”som kontanter” endast för små belopp.

Och nu vad jag drar för slutsats av det. Varje betalning passerar poängsättning i realtid mot den profilen och släpps igenom eller hålls inne tills du förklarar. Infrastrukturen är färdig, och branschen som byggde den letar efter användningar, så platån står inte stilla; den glider. Ett bankkonto fungerar som en licens: det tas inte bort för ett brott, det förnyas bara inte, eftersom din profil har blivit för dyr att betjäna.

Det märkligaste med denna värld är att den inte ser skrämmande ut. De flesta människor och företag i den betjänas normalt, och varje uteslutet fall framstår som en privat olycka snarare än ett systemproblem. Andelen förverkade brottsvinster är fortfarande 1–2 %. Ingen minns att en bank en gång inte frågade var du fått pengarna till ett kylskåp. Europa kommer sannolikt inte hela vägen dit, eftersom systemet på vägen börjar nå människor som har en röst, och politiker kommer att trimma de mest synliga överdrifterna. Riktningen kommer inte att ändras, eftersom varje steg i första stycket ovan redan har antagits eller utarbetats.

Vad som skulle kunna bryta spiralen

Jag ser fem saker som realistiskt skulle kunna göra det, från den som ligger närmast lagen till den som ligger längst ifrån den.

För det första: en domstol som utvidgar skyddet för privatpersoner till företag, ett avgörande i nivå med Estlands Högsta domstol eller EU-domstolen om att ett omotiverat avslut av ett företags konto kränker näringsfriheten. Grunden finns; prejudikatet saknas. Engelska domstolar har hittills skickat tillbaka frågan till tillsynsmyndigheten och fastslog år 2024 att systematisk debanking är en fråga för FCA.

För det andra: en överföring av ansvar. En regel enligt vilken en bank som har kontrollerat en kund i god tro inte ansvarar för vad kontrollen inte avslöjade, eller en gemensam databas över verifierade kunder för vilken staten, inte varje bank, ansvarar. Detta är reformen som angriper spiralens rot. USA har kommit nära den; i EU syns den inte vid horisonten.

För det tredje: politik, den enda broms som hittills faktiskt har fungerat för företag i Europa, och den fungerade halvvägs. Spiralen vänder inte när företagare drabbas utan när någon som kan höras förlorar ett konto. År 2023 stängde Coutts, en del av NatWest-gruppen, politikern Nigel Farages konto; affären gjorde ”debanking” till ett vardagsord, och inom tre år hade Storbritannien en lag om 90 dagars uppsägningstid och obligatoriska skäl. Ett högljutt fall gjorde vad tiotusentals stängda småföretagskonton inte kunde. Nackdelen är att när politiken tar upp frågan blir den partisk: i Storbritannien blev resultatet procedur, i USA sak som kanske inte överlever administrationen.

För det fjärde: ett avslöjande misslyckande. Varje stor skandal hittills, inklusive Danske och Swedbank, har handlat om banker vars kontroller verkligen inte fungerade, vilket är varför varje skandal slutade i skärpningar. Storskalig penningtvätt genom en bank som uppfyllde varje krav till punkt och pricka skulle vara det första argumentet för översyn snarare än tillägg.

För det femte: konkurrens mellan jurisdiktioner. USA har undantagit sina egna företag från rapportering om verkligt huvudmannaskap, skyldigheten att uppge till ett statligt register vem som verkligen äger ett företag, medan EU bygger AMLA och sammankopplar register. Om klyftan består i fem år blir EU en ö av hög regelefterlevnad, och fintechbolag och en del av företagsvärlden väljer sin jurisdiktion därefter. Långsamt, men det är den enda begränsning som inte kräver ett beslut inom EU.

Sex scenarier för AML i Europa

Scenarierna utesluter inte varandra: de första två är samma bild sedd från två håll, och resten beskriver vad som skulle kunna driva den åt det ena eller andra hållet.

Jag skriver försiktigt om scenariot där infrastrukturen byter syfte, men det kan inte utelämnas, och oberoende ekonomer har lyft det före mig. Sammankopplade kontoregister, poängsättning av betalningar i realtid och en digital valuta med begränsningar fungerar lika väl för att hitta brottslingar som för syften som inte har något med penningtvätt att göra. Det jag bedömer som osannolikt är användning mot enskilda enligt listor, och även det har ett prejudikat. År 2022 ändrade Kanada, en av världens lugnaste demokratier, genom ett verkställande beslut denna mekanism till ett syfte för allmän ordning och frös protestdeltagares bankkonton utifrån polislistor, utan domstolsbeslut och utan åtal. Federal Court år 2024, och sedan Federal Court of Appeal i januari 2026, fann att det saknades grund för nödåtgärder och att konstitutionella rättigheter hade kränkts; domstolarna avgjorde lagligheten, inte motivet. Regeringen har överklagat och i oktober 2026 gick Supreme Court of Canada med på att pröva målet. Kontona hade länge varit öppnade igen, men prejudikatet kvarstår.

Jag tror inte att Europa medvetet kommer att välja den vägen. Men spiralen har aldrig rört sig medvetet. För tio år sedan skulle ingen ha föreställt sig att ett besök på ett växlingskontor med mer än €1,000 skulle innebära att visa passet och få dina uppgifter registrerade. I dag är det en laglig skyldighet för varje växlingskontor i Estland, och ingen blir längre förvånad. Infrastruktur byggd för ett syfte hittar förr eller senare ett annat, och skyddet mot det är inte förtroende för nuvarande operatörer utan rättsliga gränser inskrivna i själva systemet: vem får slå om brytaren, på vilka grunder och vem ansvarar för det.

Den närmaste historiska analogin till huvudscenariot är inte förbudstiden, som upphävdes, utan slutet på schweizisk banksekretess och den amerikanska FATCA-lagen, som ålade banker över hela världen att rapportera om amerikanska kunder. Schweiziska banker betalade mer än $7.5 miljarder i amerikanska böter under ett årtionde, branschen överlevde på deklarerade tillgångar, och uteslutningen av ”oavsiktliga amerikaner”, personer med amerikanskt medborgarskap vid födseln som franska banker avvisade på grund av rapporteringskostnaden, blev en accepterad kostnad. Förbudstiden upphävdes eftersom dess kostnader var uppenbara för alla och ett upphävande hade en politisk vinnare. Kostnaderna för systemet mot penningtvätt är spridda över miljontals människor, och det finns alltid en ny brottsling som motiverar att behålla det. Därför blir det inget upphävande. Det blir en platå.

Vad detta innebär för en företagare

En platå är obehaglig men förutsägbar, och det förutsägbara går att arbeta med.

Planera för två nivåer från början. Ett företag med en utländsk grundare i Estland kommer i de flesta fall att betjänas av ett betalningsföretag snarare än en bank, om det inte har verklig verksamhet och personal i Estland, och e-Residency-programmets egen blogg förklarar varför ett estniskt bankkonto inte är nödvändigt för de flesta e-residenter. Bygg sedan ditt underlag innan någon frågar efter det, och se inte bankens frågor som en anklagelse: pengarnas ursprung, strukturens ekonomiska logik, kopplingen till landet där kontot öppnas, verkliga motparter, allt styrkt med dokument. Ju fylligare och lugnare svaret är, desto svårare är det för banken att motivera ett avslag, och att inte svara är det säkraste sättet att förlora kontot.

Använd processuella rättigheter där de finns. I Storbritannien måste en bank nu ange skäl; i Estland kan ett företag åtminstone begära dem skriftligen, och lagen om kreditinstitut kräver att banken svarar om inte lagen mot penningtvätt förbjuder utlämnande. Processen ger inte tillbaka kontot, men den skapar ett register, och register blir till slut den statistik som saknas i dag. Spiralen stannar inte för någon av oss. Att veta vart den är på väg är den enda fördel som återstår.