AMLR endrer detaljnivået, konsistensen og organiseringen
For en eiendomsmegler endrer AMLR nivået av detaljgrad, konsistens og organisering som forventes i AML-prosessen – ikke bare antallet dokumenter som innhentes fra en kunde. Det flytter sentrale forpliktelser fra nasjonalt implementerte direktiver til et direkte gjeldende EU-regelverk, som generelt trer i kraft fra 10. juli 2027. Hvor mye et meglerfirma må endre seg, vil avhenge av de eksisterende nasjonale kravene og hvor grundig de allerede følger dem. AML-myndighet
Det viktige skillet går mellom virkelig nye eller mer spesifikke regler og eksisterende forpliktelser som AMLR viderefører og gjør mer eksplisitte.
1. AML var allerede mye mer enn å sjekke et identitetsdokument
I henhold til direktiv (EU) 2015/849, med senere endringer, krever rammeverket allerede risikovurdering av virksomheten, interne retningslinjer og kontroller, identifisering av kunder og reelle eiere, forståelse av forretningsforholdet, løpende overvåking, utvidede kontroller ved høyere risiko, rapportering av mistenkelige transaksjoner, opplæring og oppbevaring av dokumentasjon. Spørsmål om midlenes opprinnelse inngår allerede i rammeverket der det er nødvendig. EUR-Lex
Følgelig var «vi samler inn et pass og utfører en PEP-sjekk» heller ikke en fullstendig AML-prosess i henhold til direktivene. Skillet ligger ikke i «dokumenter først, riktig etterlevelse etterpå»; det er innføringen av mer harmoniserte og spesifikke krav til hvordan etterlevelsessystemet skal fungere.
2. De konkrete endringene i et byrås prosedyrer
Det følgende skiller den juridiske endringen fra den praktiske gjennomføringen.
Prosess | Hva AMLR spesifiserer eller endrer | Praktisk gjennomføring for et eiendomsmeglerfirma |
Vurdering av byråets egne risikoer | Artikkel 10 omfatter uttrykkelig risiko for sanksjonsunndragelse og vurdering før nye markeder, tjenester eller teknologier tas i bruk. Data Consilium | Innlem en samsvarsgjennomgang i forretningsendringer. For eksempel, før du lanserer fjernregistrering eller retter deg mot et nytt utenlandsk marked, bør du vurdere risikoene og bestemme hvilke tilleggskontroller byrået trenger. |
Avgjøre hvem sin identitet som skal kontrolleres – og når | Artikkel 19(6)(c) og 23(1) omfatter uttrykkelig begge transaksjonsparter; verifiseringen følger etter aksept av tilbudet og må foregå før overføring av midler eller eiendom. | Utform en arbeidsflyt for både kjøper og selger, ikke bare en fil for den parten som betaler provisjonen. Innfør et verifiseringspunkt før den første relevante pengeoverføringen – ikke bare før den endelige skjøtet. Denne tidsregelen gjelder verifisering; den er ikke en grunn til å utsette risikovurderingen eller ignorere bekymringer på et tidligere tidspunkt. |
Identifisering av selskapseiere og kontrollører | Artikkel 52 bruker 25 % eller mer, i stedet for den tidligere EU-eierandelsindikatoren på mer enn 25 %; eierskap og kontroll vurderes parallelt. | Oppdater spørreskjemaer om eierskap og beregningsregler. Et selskap med fire personer som hver eier nøyaktig 25 %, illustrerer hvorfor ordlyden er viktig. Undersøk også kontrollordninger i stedet for å nøye deg med en aksjonærprosent. |
Oppdatering av kundeinformasjon | Artikkel 26 fastsetter maksimale oppdateringsintervaller: ett år for kunder med høyere risiko, fem år for andre, i tillegg til gjennomganger ved relevante endringer. | Legg til gjennomgangsdatoer og utløsende hendelser for løpende kundeforhold. Et annet innkjøpsselskap, en ny eier eller en endret finansieringsordning bør utløse en ny vurdering. Dette er ikke instruksjoner om å fortsette å overvåke alle tidligere kjøpere på ubestemt tid etter at forholdet er avsluttet. |
Tildeling av ledelsesansvar | Artikkel 11 spesifiserer ansvar for etterlevelse og minst årlig ledelsesrapportering; en forholdsmessig kombinasjon av roller er fortsatt mulig. | Spesifiser hvem som leder prosessen, hvem som håndterer bekymringer, hvem som mottar etterlevelsesrapporten og hvem som følger opp svakheter. Et lite byrå kan benytte en forholdsmessig struktur i stedet for å kopiere en banks etterlevelsesavdeling. |
Testing av om systemet fungerer | Artikkel 9 krever uttrykkelig uavhengig testing, med et alternativ med ekstern ekspert dersom det ikke finnes en uavhengig internrevisjonsfunksjon. | Sørg for uavhengig gjennomgang av faktiske filer og kontroller. Test om nødvendige kontroller ble utført til rett tid, om unntak ble håndtert og om svakheter ble rettet opp – ikke bare om det foreligger en skriftlig policy. |
Bruk av programvare, konsulenter eller eksterne tjenester | Artikkel 18 forbeholder kjernebeslutninger, inkludert klassifisering av kunderisiko og godkjennelse av forretninger, til den forpliktede enheten. | Bruk leverandører til å støtte informasjonsinnhenting, screening og analyse, men behold eierskapet til virksomhetens beslutninger. Konfigurer arbeidsflyten slik at virksomheten kan forklare resultatet selv, i stedet for å stole utelukkende på leverandørens «bestått»-resultat. |
Når det gjelder revisjoner spesielt: det gjeldende direktivet åpner allerede for uavhengig revisjon der det er hensiktsmessig ut fra virksomhetens størrelse og art. AMLR gjør testkravet mer eksplisitt. Artikkel 9 pålegger imidlertid ikke i seg selv en universell årlig plan for ekstern revisjon. Uavhengig testing, den årlige ledelsesrapporten og en tilsynsinspeksjon er forskjellige ting. EUR-Lex
3. Kunderegistrering blir mer standardisert – men forblir risikobasert
AMLRs støtterammeverk spesifiserer kravene til kundeinformasjon og verifisering nærmere. AMLAs materiale om kundekontroll omhandler forhold som navn, fødselsopplysninger, adresser, informasjon om juridiske enheter, pålitelige kilder og alternativer for identitetsverifisering på avstand. Det forklarer også at informasjon fra registeret over reelle eiere alene ikke er tilstrekkelig for verifisering. AML-myndigheten
En praktisk gjennomføring vil være å skille mellom tre ting i hver fil:
Innsamlet informasjon: hva kunden eller en annen kilde oppgir.
Utført verifisering: hvordan byrået fastslo at informasjonen var pålitelig.
Konklusjon: hva informasjonen betyr for kundens risiko og transaksjonen.
For eksempel er et passbilde en opplysning. Dokumentasjonen av hvordan identiteten ble verifisert, er en egen del av prosessen. Avgjørelsen om hvorvidt det foreslåtte kjøpet passer til kundens profil, er en annen.
Dette betyr ikke at hver kunde må levere inn en identisk, omfattende dokumentpakke. AMLA sitt arbeid med kundekontroll (CDD) legger vekt på forholdsmessige, risikobaserte tiltak og å unngå unødvendig duplisering der tilstrekkelig informasjon allerede er tilgjengelig. AML-myndigheten
Det er også et skille i gjennomføringen som må tas hensyn til: AMLAs sluttrapport av 30. september 2026 inneholder utkast til tekniske standarder som skal legges frem for Kommisjonen for vedtak. Et endelig utkast fra AMLA er ikke i seg selv en vedtatt kommisjonsforordning.
4. Transaksjonen krever en forklaring – ikke bare en identifisert kjøper
Dette er særlig viktig for eiendomssektoren, men det er ikke en helt ny forpliktelse. Det gjeldende direktivet krever allerede en grundig gjennomgang av transaksjoner opp mot kundens profil og, der det er nødvendig, kilden til midlene. EUR-Lex
AMLA-analysen av eiendomsmarkedet identifiserer forhold som eiendomsmeglere er i posisjon til å legge merke til: avvik i kjøperens profil, finansiering, stråmenn, eierforhold og prissetting. Den skiller også mellom eiendomsmegleres rolle og rollene som notarer og andre fagpersoner spiller i en transaksjon. AML-myndigheten
Tenk på dette hypotetiske eksemplet:
En person går med på å kjøpe en leilighet. Kort tid før depositumet forfaller, blir et nylig opprettet selskap kjøper, og en uavhengig person tilbyr seg å overføre pengene.
En god arbeidsflyt hos meglerfirmaet ville være å gjenåpne saken i stedet for å anse den tidligere identitetskontrollen som avsluttet. Man ville da fastslå den nye kjøperens eierforhold, avklare betalerens tilknytning til transaksjonen, undersøke forklaringen og dokumentasjonen, revurdere risikoen og registrere den endelige beslutningen eller eskaleringen.
Den operative lærdommen er at kundesaken og transaksjonssaken må forbli knyttet til hverandre. En verifisert identitet forklarer ikke i seg selv en endret kjøpsstruktur eller en uventet betaling.
5. Den virksomhetsomfattende risikovurderingen må styre arbeidsprosedyrene
En virksomhetsomfattende risikovurdering – ofte kalt BWRA – handler om virksomheten selv: dens tjenester, kundebase, lokasjoner, transaksjonsmønstre og måter å drive virksomhet på. Den skiller seg fra vurderingen av én kjøper eller ett salg.
AMLAs utkast til retningslinjer for BWRA foreslår en strukturert fremgangsmåte: forstå virksomheten, identifiser de iboende risikoene, vurder kvaliteten på kontrollene og vurder de gjenværende risikoene. Dette er utkast til retningslinjer, men de viser hvordan myndigheten utvikler det felles rammeverket. AML-myndigheten
For en virksomhet er det nyttig å knytte vurderingen til konkrete driftsmessige valg. For eksempel:
Virksomhetens eksponering: Mange kunder registreres på avstand, og noen kjøp innebærer et lagdelt eierskap i selskapet.
Prosedyre: Definer akseptable metoder for fjernverifisering, en prosess for eierskapsundersøkelse og eskaleringskriterier.
Kontrolltest: Gjennomgå et utvalg av disse sakene for å se om de ansatte fulgte prosessen og utbedret manglende opplysninger.
Denne koblingen er mer nyttig enn å opprettholde et risikovurderingsdokument som ikke har noen innvirkning på hvordan de ansatte håndterer et salg.
6. Hva dette betyr for et byrå som forbereder seg nå
Jeg ville organisere forberedelsene rundt to sammenhengende arbeidsflyter:
På forretningsnivå:
Risikovurdering → retningslinjer og ansvarsområder → opplæring → ledelsesrapportering → uavhengig testing → utbedring av svakheter.
På transaksjonsnivå:
Identifisere de relevante partene → samle inn og verifisere informasjon → vurdere transaksjonen og finansieringen → løse bekymringer og treffe byråets beslutning → gjennomgå relevante endringer → oppbevare dokumentasjonen.
Dette er praktiske driftsmodeller, ikke foreskrevne lovbestemte skjemaer. Forberedelsesoppgaven består i å sammenligne byråets eksisterende prosess med de nye kravene og identifisere nøyaktig hvor skjemaer, ansvarsområder, tidsplaner, systemer og kontroller må justeres.
Nasjonale krav har fortsatt betydning. AMLA fastslår at ikke-finansielle virksomheter, inkludert eiendomsmeglere, fortsatt vil bli underlagt tilsyn på nasjonalt nivå, mens EU-rammeverket tar sikte på mer ensartede regler og tilsynsmetoder. AML-myndighet
Den sentrale forskjellen er derfor ikke «mer KYC». Det handler om å tilpasse virksomhetens hele AML-drift til et felles, mer detaljert rammeverk – særlig hvem som kontrolleres, når verifiseringen skjer, hvordan eierskap fastslås, når informasjonen gjennomgås, hvem som har beslutningsmyndighet og hvordan kontrollene testes.