AMLR og digital identitet
Det var den nemme del at indhente dokumentet.
I årevis har identitetsverifikation inden for ejendomsbranchen ofte startet – og nogle gange næsten sluttet – med en velkendt anmodning:
»Send os venligst en kopi af dit pas eller dit ID-kort.«
Dokumentet uploades. Navnet stemmer overens. Udløbsdatoen kontrolleres. En kopi lægges i AML-mappen.
Men der er et åbenlyst problem:
Et ægte identitetsdokument betyder ikke nødvendigvis, at den person, der fremviser det, er den person, som det tilhører.
Et pas kan være fuldstændig ægte og alligevel blive brugt til svindel.
I takt med at EU bevæger sig mod den nye forordning om bekæmpelse af hvidvaskning af penge (AMLR), der træder i kraft den 10. juli 2027, bør ejendomsmæglere tænke ud over blot at indsamle identitetsdokumenter og i stedet fokusere på påviselig identitetsverifikation.
Og der er ingen god grund til at vente til 2027 med at komme i gang.
AMLR skelner mellem identifikation og verifikation
Denne skelnen er afgørende.
I henhold til artikel 20 i AMLR kræver kundekendskabsproceduren, at de forpligtede enheder identificerer kunden og verificerer kundens identitet. AMLR kræver også, at de kan påvise over for tilsynsmyndighederne, at de foranstaltninger, de har anvendt, var passende i forhold til de identificerede risici. EUR-Lex
Dette er ikke det samme.
Identifikation stiller spørgsmålet:
Hvem hævder denne person at være?
Ved verifikation spørger man:
Hvilke pålidelige beviser giver os tilstrækkelig sikkerhed for, at denne person virkelig er den, vedkommende hævder at være?
At uploade et pas hjælper med at besvare det første spørgsmål.
En ordentlig verifikationsproces skal besvare det andet spørgsmål.
AMLR anerkender udtrykkeligt digital identitet
Artikel 22 i AMLR angiver to hovedmetoder til verifikation.
Identiteten kan verificeres ved hjælp af et identitetsdokument, pas eller tilsvarende, eventuelt suppleret med oplysninger fra pålidelige og uafhængige kilder.
Men AMLR anerkender også udtrykkeligt elektroniske identifikationsmidler, der opfylder kravene i EU's eIDAS-ramme på sikkerhedsniveauet »substantiel« eller »høj«, sammen med relevante kvalificerede tillidstjenester. EUR-Lex
Det har enorm betydning for ejendomsbranchen.
Kunderne befinder sig i stigende grad på afstand.
En køber i Stockholm køber en ejendom i Spanien.
En sælger, der bor i Belgien, sælger en ejendom i Frankrig.
En virksomhedskøbers reelle ejer kan bo i en anden medlemsstat – eller helt uden for EU.
Fjernregistrering er ikke længere en undtagelse.
Det er en normal del af ejendomsbranchen.
Et scannet pas er ikke en digital identitetsverifikation
Denne skelnen er vigtig.
At modtage en PDF-fil eller et fotografi af et pas elektronisk gør i sig selv ikke verifikationen digital.
Det egentlige spørgsmål er pålideligheden af verifikationsprocessen.
Overvej følgende:
Kunde A
uploader et foto af et pas.
Agenturet gemmer det.
Færdig.
Sammenlign nu det med:
Kunde B
leverer identitetsoplysninger gennem en passende verifikationsproces.
Processen fastlægger det anvendte identitetsbevis, verificerer relevante oplysninger, registrerer, hvornår verifikationen fandt sted, og opbevarer det nødvendige bevis for at dokumentere resultatet.
Begge myndigheder kan være i besiddelse af et pasbillede.
Men deres evne til at påvise, hvorfor de anså identiteten for tilstrækkeligt verificeret, kan være meget forskellig.
Det er her, AMLR ændrer perspektivet
AMLR-artikel 20, stk. 4, indeholder et krav, der er vigtigere, end man umiddelbart skulle tro:
De forpligtede enheder skal til enhver tid kunne påvise over for deres tilsynsmyndigheder, at de trufne foranstaltninger er passende i lyset af de identificerede risici for hvidvaskning af penge og finansiering af terrorisme. EUR-Lex
Det ændrer compliance-spørgsmålet fra:
»Har vi en identifikation?«
til:
»Hvordan har vi verificeret denne identitet, hvilke beviser har vi baseret os på, og var den pågældende metode passende i forhold til risikoen?«
Det er en langt stærkere overholdelsessituation.
Fjernregistrering kræver et bevisforløb
For en ejendomsvirksomhed bør en digital identitetsproces derfor efterlade et struktureret spor.
Ikke blot:
Passport.pdf ✓
Men snarere noget i retning af:
Identitet angivet
↓
Indsamlede identifikationsoplysninger
↓
Verifikationsmetode registreret
↓
Bevis/kilde anvendt
↓
Verifikationsresultat
↓
Dato og ansvarlig proces/person
↓
Risikovurdering
↓
Beslutning om kundekendskabsproceduren
↓
Løbende overvågning
Det sidste element er også vigtigt.
Identitet er ikke nødvendigvis en engangsbegivenhed.
Fordi kunderne ikke forbliver uændrede
Forestil dig, at en kunde bliver korrekt verificeret i dag.
Seks måneder senere:
giver kunden andre identifikationsoplysninger;
der sker et skifte af bemyndiget repræsentant;
ejerskabet i virksomheden ændres;
der dukker en ny reelt ansvarlig person op;
dokumenter udløber;
oplysningerne bliver inkonsekvente;
omstændigheder, der påvirker kundens risikoprofil, ændres.
AML-overholdelse kan ikke blot lyde:
»KYC gennemført for seks måneder siden ✓.«
AMLR kræver løbende overvågning af forretningsforhold og kræver, at CDD-oplysningerne holdes ajour. Forordningen gør CDD til en del af en løbende risikobaseret proces snarere end en engangsindsamling af dokumenter. EUR-Lex
Så det bedre spørgsmål bliver:
Har vi stadig rimelig tillid til de kundeoplysninger, som vores compliance-beslutning er baseret på?
Ejendomsbranchen har en anden vigtig AMLR-regel
AMLR stiller et specifikt tidsmæssigt krav til ejendomsmæglere.
For ejendomsmæglere skal identitetsverifikationen finde sted, efter at et tilbud er blevet accepteret af sælgeren eller udlejeren, og under alle omstændigheder inden midler eller ejendom overføres. EUR-Lex
Det betyder, at identitetsverifikationen ikke blot kan være en administrativ opgave, der udføres, når det passer, efter transaktionen.
Den skal finde sted på det rette tidspunkt i transaktionsforløbet.
AMLR behandler desuden begge parter i en ejendomstransaktion som kunder i forbindelse med kundekendskabsprocedurer (CDD).
Konsekvenserne for ejendomsteknologien er betydelige.
Identitetsverifikationen bør være knyttet til transaktionsdossieret og ikke ligge isoleret et eller andet sted i en generisk CRM-kontaktpost.
Digital identitet er stadig kun en del af CDD
Der er en anden faldgrube her.
At erstatte manuel upload af pas med sofistikeret digital identitetsverifikation gør ikke en virksomhed AML-kompatibel.
Identitetsverifikation er én komponent.
En AML-proces inden for ejendomsbranchen kan også omfatte:
Risikovurdering på tværs af virksomheden
KYC
Identifikation og verifikation af den reelle ejer (UBO)
Vurdering af politisk eksponerede personer (PEP)
Målrettede kontroller af finansielle sanktioner
Risikovurdering af kunder
Formål og forventet karakter af forholdet eller transaktionen
CDD / EDD
Kend din transaktion
Midlernes oprindelse, hvor det kræves
Formuekilde, hvor det kræves
Løbende overvågning
Indberetning af mistænkelige transaktioner
Uddannelse
Regnskabsføring
Dokumenterbare beslutninger og revisionsspor
Derfor er en avanceret udbyder af identitetsverifikation stadig ikke et system til overholdelse af AML-reglerne.
Den løser en vigtig brik i puslespillet.
Men ikke hele puslespillet.
AMLA gør detaljerne mere konkrete
Denne udvikling fortsætter stadig.
AMLA har udarbejdet reguleringsmæssige tekniske standarder i henhold til artikel 28 i AMLR, der specificerer, hvordan kundekendskabsprocedurer (CDD) skal gennemføres i praksis, herunder de oplysninger og dokumenter, som de forpligtede enheder skal indsamle.
AMLA's høring fra 2026 omhandler udtrykkeligt, hvordan forpligtede enheder skal verificere kundens identitet og foretage løbende overvågning på en risikofølsom og proportional måde, idet standarderne er beregnet til at fungere på tværs af både den finansielle og den ikke-finansielle sektor. AML/CTF-myndighed
Det er endnu en grund til, at ejendomsvirksomheder ikke bør udforme deres fremtidige AML-proces omkring en mappe fuld af dokumentopladninger.
Retningen er klar: struktureret, risikobaseret og dokumenterbar CDD.
Hvorfor (ikke) vente til 2027?
Dette er måske det vigtigste punkt.
Kundeidentifikation og -verifikation er ikke nye forpligtelser, der indføres af AMLR.
Ejendomsmæglere er allerede underlagt AML-krav i henhold til de nuværende lovgivningsmæssige rammer.
AMLR ændrer og harmoniserer rammerne, men det grundlæggende krav om at kende og verifere din kunde eksisterer allerede.
Så hvorfor fortsætte med en mangelfuld proces i yderligere ni måneder, blot fordi AMLR træder i kraft fra juli 2027?
En bedre tilgang er at begynde at skifte nu fra:
indsamling af dokumenter til identitetsverifikation
og i sidste ende til: påviselig kundekendskabsprocedure.
Hvor Immosurance passer ind
Det er netop denne forskel, som Immosurance er bygget op omkring.
Målet er ikke blot:
"Upload ID."
Det er at integrere identiteten i en bredere AML-compliance-proces:
Identificer → Bekræft → Screen → Vurder risiko → CDD/EDD → Vurder transaktion → Overvåg → Dokumenter → Påvis
Identitetsbeviset bliver derfor en del af kundens og transaktionens AML-dossier sammen med begrundelsen, kontrollerne, beslutningerne og bevismaterialet omkring det.
For når en tilsynsmyndighed til sidst spørger:
»Hvordan fastslog I, at denne kunde var korrekt identificeret og verificeret?«
bør svaret ikke være:
»Der ligger et pas et eller andet sted i sagen.«
Det bør være:
»Her er præcis, hvordan vi fastslog det.«
AMLR tager os videre end blot indsamling af dokumenter.
Og ejendomsvirksomheder behøver ikke at vente til den 10. juli 2027 for at nå dertil.
Immosurance — Compliance skræddersyet til ejendomsbranchen.