KYC i 2026: Hvad ledere skal kræve af et compliance-system

Annonce – sponsoreret indhold.

Et KYC system er i 2026 ikke længere en bekvemmelighed for den virksomhed, der gerne vil have orden i papirerne. Det er et værktøj, der skal kunne dokumentere over for Finanstilsynet, Erhvervsstyrelsen eller et andet tilsyn, at virksomheden har styr på, hvem den gør forretning med. Det skal som minimum kunne hente og kontrollere virksomhedsdata via CVR, screene for politisk eksponerede personer (PEP) og sanktionslister, arkivere dokumentationen på lovpligtig vis og give ledelsen et løbende overblik over alle kunder og deres status. Denne artikel gennemgår, hvad du som leder bør kræve, så du kan vælge og vurdere en løsning uden at være compliance-ekspert.

Når hvidvasklovens krav lander på ledelsesgangen: hvad et KYC system skal løse

I mange virksomheder er kundekendskab historisk blevet delegeret til en medarbejder, en bogholder eller en jurist, som har samlet oplysninger, så godt det nu lod sig gøre. Det fungerer, så længe der er få kunder, og de ikke ændrer sig. Men hvidvaskloven forudsætter, at virksomheden som helhed har en dokumenteret, risikobaseret og løbende proces, og det er ledelsens opgave at sikre, at den findes og virker.

Når du som leder skal vurdere, om jeres setup holder, er det en god tommelfingerregel at spørge, hvad et KYC system bør levere, før du overhovedet ser på pris eller design. Svaret er fire ting: indsamling af de rigtige oplysninger, kontrol mod de rigtige lister, dokumentation der kan fremvises, og et overblik der gør det muligt at handle i tide. Resten er brugerflade og bekvemmelighed.

Det er også en ledelsesopgave, fordi beslutningen rækker ud over teknikken. Hvordan definerer vi høj risiko? Hvem godkender kunder, der kræver skærpede foranstaltninger? Hvad gør vi, når en kunde ikke vil oplyse, hvem der ejer virksomheden? Det er forretningsmæssige valg, og et system kan kun understøtte dem, hvis de er truffet først.

Hvorfor det handler om mere end bøder

Konsekvenserne af mangelfuld compliance er ikke kun økonomiske sanktioner. Tilsynsmyndigheder kan udstede påbud og påtaler og i grove tilfælde politianmelde. Overtrædelser kan også blive offentligt kendt. Dertil kommer, at banker, samarbejdspartnere og større kunder i stigende grad spørger ind til jeres procedurer, før de indgår aftaler. En virksomhed, der kan svare præcist og dokumenteret, står stærkere i forhandlinger og due diligence-forløb.

Hvad loven kræver af virksomheden i 2026

Det danske udgangspunkt er hvidvaskloven, altså lov om forebyggende foranstaltninger mod hvidvask og finansiering af terrorisme. Den gælder for en bred gruppe af virksomheder og professionelle, blandt andet finansielle virksomheder, revisorer, advokater, ejendomsmæglere, regnskabs- og skatterådgivere samt visse andre erhverv. Hvem der konkret er omfattet, og hvilket tilsyn der fører kontrol, bør du afklare med din brancheorganisation, din juridiske rådgiver eller direkte hos det relevante tilsyn. Det kan være Finanstilsynet, Erhvervsstyrelsen, Advokatsamfundet eller Spillemyndigheden.

Kernen i kravene er den samme på tværs af brancher. Virksomheden skal:

• Gennemføre kundekendskabsprocedurer, herunder identificere kunden og kontrollere identiteten på baggrund af pålidelige dokumenter eller kilder.
• Identificere de reelle ejere, altså de fysiske personer, der i sidste ende ejer eller kontrollerer en virksomhedskunde. Typisk er det personer med en ejerandel eller stemmeandel på over 25 procent eller på anden måde kontrol.
• Afdække formålet med og omfanget af forretningsforholdet, så virksomheden kan vurdere, om kundens adfærd senere afviger fra det forventede.
• Foretage en risikovurdering af kunden og anvende skærpede foranstaltninger, hvor risikoen er høj, for eksempel ved PEP’er eller kunder fra højrisikolande.
• Overvåge forretningsforholdet løbende og holde oplysningerne opdaterede.
• Opbevare dokumentation i den periode, loven foreskriver. Udgangspunktet er mindst fem år efter forretningsforholdets ophør, og efter opbevaringsperioden skal oplysningerne som hovedregel slettes.
• Underrette Hvidvasksekretariatet, når der er mistanke om hvidvask eller terrorfinansiering.

Dertil kommer krav til virksomhedens egen organisering: en virksomhedsrettet risikovurdering, skriftlige politikker, kontroller og procedurer, uddannelse af medarbejdere og i relevante tilfælde en udpeget ansvarlig i ledelsen og en compliance-funktion. Netop her ses ledelsesansvaret tydeligst.

EU-reglerne strammer og harmoniserer

På EU-niveau er der vedtaget en samlet AML-pakke, som blandt andet omfatter en direkte gældende forordning om hvidvaskforebyggelse og et nyt europæisk anti-hvidvaskmyndighed, AMLA. Forordningen skal i hovedtræk finde anvendelse fra midten af 2027, så 2026 er i praksis året, hvor mange virksomheder skal forberede sig. Idéen er mere ensartede regler på tværs af medlemslandene og et mere samlet tilsyn, især for de største og mest risikofyldte aktører. For en dansk virksomhed betyder det, at kravene til dokumentation og systematik næppe bliver lempeligere. Vælger du et system nu, bør du derfor spørge leverandøren, hvordan den følger regelændringerne, og hvordan opdateringer håndteres.

Da lovgivningen er kompleks og afhænger af din branche, bør du lade en juridisk rådgiver eller dit tilsyn bekræfte, hvilke konkrete krav der gælder for netop jer. Et system kan understøtte compliance, men ansvaret for at leve op til loven ligger fortsat hos virksomheden.

De fire nøglekrav til et compliance-system

Når kravene skal omsættes til noget, du kan vurdere i en demo, kan de koges ned til fire funktionsområder. Mangler et af dem, ender medarbejderne med at lave en manuel genvej, og det er netop dér, fejlene opstår.

1. CVR-integration: korrekte data fra første minut

Når en ny virksomhedskunde oprettes, skal grunddata som navn, CVR-nummer, adresse, branche, ledelse og ejerforhold ikke tastes ind i hånden. Et system med CVR-opkobling henter oplysningerne automatisk fra det offentlige register og sparer tid. Endnu vigtigere er det, at man undgår tastefejl og forældede oplysninger.

Spørg til følgende i en demo:

• Hvilke data hentes, og hvordan fremgår det, hvornår de sidst er opdateret?
• Giver systemet besked, hvis noget ændrer sig i CVR, for eksempel ny direktion, skift af adresse eller ændret status?
• Kan I se de reelle ejere, og hvordan håndterer systemet, hvis ejerkæden går gennem flere led eller udenlandske selskaber?

Vil du forstå, hvor meget man faktisk kan læse ud af de offentlige data, er det en god idé at se på, hvordan man bruger CVR-data til at vurdere en virksomhed. Det viser også, hvorfor registerdata er et godt udgangspunkt, men ikke hele billedet. Registrerede oplysninger skal stadig vurderes og i relevante tilfælde kontrolleres mod andre kilder.

2. PEP- og sanktionsscreening: en kontrol, der ikke kan glemmes

Politisk eksponerede personer er personer med eller tidligere med fremtrædende offentlige hverv samt deres nære familie og kendte medarbejdere. De er ikke forbudte kunder, men loven kræver skærpet opmærksomhed, blandt andet vurdering af midlernes oprindelse og godkendelse på et højere niveau i virksomheden. Dertil kommer kontrol mod EU’s sanktionslister, hvor en træffer kan have vidtrækkende juridiske konsekvenser.

Et professionelt system bør:

• gennemføre kontrollen som en integreret del af onboarding, så den ikke afhænger af, at en medarbejder husker det
• screene både virksomheden og de relevante personer, fx reelle ejere og direktion
• gemme resultatet, tidspunktet og hvem der har vurderet en eventuel træffer
• gøre det tydeligt, hvad der skal ske ved en positiv træffer, og hvem der træffer beslutningen

Vær opmærksom på, at en træffer ofte er en falsk positiv, for eksempel fordi to personer har samme navn. Systemet skal derfor understøtte en dokumenteret vurdering og ikke blot udstille en advarsel.

3. Arkivering: dokumentation, der kan fremvises

Ved et tilsynsbesøg er spørgsmålet sjældent, om I har lavet kundekendskab, men om I kan vise det. Det kræver, at legitimation, ejerdokumentation, risikovurdering, formålsbeskrivelse og kontrolresultater ligger samlet og er knyttet til den rette kunde. Et fyldigt arkiv kan ikke redde en virksomhed, hvis dokumenterne ligger spredt i mailkonti og lokale mapper.

Krav til arkivet, du bør stille:

• Sikker opbevaring med adgangsstyring, så kun relevante medarbejdere ser følsomme oplysninger som pas og kørekort.
• Sporbarhed, så det fremgår, hvem der har ændret hvad og hvornår.
• Understøttelse af opbevarings- og sletteregler, fordi GDPR og hvidvaskloven sammen kræver, at data hverken opbevares for kort eller for længe. Datatilsynet er den relevante myndighed på persondataområdet.
• Mulighed for udtræk, så du hurtigt kan finde en kundes samlede dokumentation, hvis et tilsyn beder om det.

4. Løbende overblik og monitorering

Kundekendskab er ikke en engangsøvelse. Virksomheder skifter ejere, direktører får nye roller, og pas og kørekort udløber. Loven kræver løbende opdatering, og det er netop her, manuelle processer oftest bryder sammen, fordi ingen har tid til at gennemgå hele kundeporteføljen med jævne mellemrum.

Et system bør derfor tilbyde:

• automatiske notifikationer ved ændringer i CVR og ved udløb af legitimationsdokumenter
• en samlet oversigt over alle sager med status, risikoprofil og næste handling
• mulighed for at filtrere på for eksempel højrisikokunder, manglende dokumentation eller forfaldne opfølgninger
• rapportering, som ledelsen kan bruge uden at skulle bede om særudtræk

Det sidste punkt er ofte undervurderet. Hvis du som leder ikke selv kan se, hvor mange kunder der mangler opdateret dokumentation, har du heller ikke et reelt grundlag for at bekræfte, at virksomheden overholder reglerne.

Professionelt system eller manuelle processer?

Mange små og mellemstore virksomheder starter med regneark, delte mapper og tjeklister i Word. Det er forståeligt, og for en meget lille kundeportefølje med få ændringer kan det være tilstrækkeligt, hvis disciplinen er høj. Problemerne viser sig, når virksomheden vokser, medarbejdere skifter, eller tilsynet banker på.

Typiske svagheder ved manuelle processer

• Uens praksis: To medarbejdere vurderer risiko forskelligt, fordi der ikke er en fast model. Det er svært at forsvare over for et tilsyn.
• Manglende opfølgning: Ingen får besked, når en kundes ledelse ændres, eller når et pas udløber. Opdateringen sker først, når nogen tilfældigvis kigger på sagen.
• Spredt dokumentation: Legitimation ligger i en mailtråd, ejerdiagram i en mappe og risikovurdering i en anden fil. Ingen kan hurtigt samle billedet.
• Personafhængighed: Viden og procedurer sidder hos en enkelt medarbejder. Når vedkommende stopper, forsvinder overblikket.
• Ingen ledelsesrapportering: Hvor mange sager er åbne? Hvor mange kunder er højrisiko? Det kræver manuelt arbejde at svare på.

Hvad et system ændrer i praksis

Et professionelt system gør ikke compliance til en automat, og det fritager ikke ledelsen for dømmekraft. Men det flytter arbejdet fra at jagte oplysninger til at vurdere dem. Opslag og overvågning automatiseres, processen bliver ens for alle kunder, og dokumentationen opstår som en naturlig del af arbejdet i stedet for som en efterrationalisering. Det giver også hurtigere onboarding, fordi der ikke skal ventes på, at nogen finder de rigtige papirer frem.

Til gengæld skal du være ærlig omkring omkostningerne ved overgangen. Data skal overføres, procedurer skal beskrives, og medarbejdere skal oplæres. Det kan være et større arbejde, men det er ofte langt mindre end at rydde op efter et tilsynsbesøg, hvor dokumentationen viser sig mangelfuld.

Spørgsmål ledere bør stille inden implementering

Når du står over for en demo eller et tilbud, er det nemt at lade sig forføre af brugerfladen. Brug i stedet en fast spørgeliste, som du kan sammenligne på tværs af leverandører.

Spørgsmål om funktionalitet

1. Hvordan oprettes en ny kunde, og hvor meget bliver hentet automatisk fra CVR?
2. Hvordan understøtter systemet risikovurdering, og kan modellen tilpasses vores branche og kundetyper?
3. Hvilke lister screenes der mod ved PEP- og sanktionskontrol, og hvornår sker screeningen: ved oprettelse, løbende eller begge dele?
4. Hvordan håndteres monitorering af CVR-ændringer og udløb af legitimation, og hvem får beskeden?
5. Kan vi få et samlet overblik over hele porteføljen og rapportere til ledelsen?

Spørgsmål om data og sikkerhed

6. Hvor opbevares data, og hvem er databehandler? Kan vi få en databehandleraftale?
7. Hvordan styres adgang, og er der en log over, hvem der har set eller ændret hvad?
8. Hvordan understøttes sletning, når opbevaringsperioden udløber?
9. Kan vi få vores data ud i et brugbart format, hvis vi skifter leverandør?

Spørgsmål om drift og ansvar

10. Hvordan holdes systemet opdateret, når reglerne ændrer sig, herunder i forbindelse med EU’s nye AML-regler?
11. Hvilken support og oplæring følger med, og hvad kræves af vores egne medarbejdere?
12. Hvad kan systemet ikke, og hvad skal vi stadig selv håndtere?

Det sidste spørgsmål afslører mere end de andre. En seriøs leverandør kan sige tydeligt, hvor systemets ansvar ophører. Hvis du får et svar i retning af, at systemet klarer al compliance for jer, bør du være skeptisk. Ansvaret for lovoverholdelse kan ikke outsources til software.

Sådan griber du implementeringen an

Et vellykket forløb handler mindre om teknik og mere om forberedelse. De fleste problemer opstår, fordi virksomheden køber et system, før den har afklaret sine egne procedurer.

1. Afklar jeres forpligtelser. Bekræft med rådgiver eller tilsyn, hvilke krav der gælder for netop jeres virksomhed, og at jeres virksomhedsrettede risikovurdering er opdateret.
2. Udpeg ansvar. Beslut, hvem i ledelsen der har det overordnede ansvar, hvem der er daglig ansvarlig, og hvem der godkender kunder med forhøjet risiko.
3. Kortlæg eksisterende kunder. Få overblik over, hvilke kunder der allerede er dokumenteret, og hvor der er huller. Det er sjældent behageligt, men nødvendigt.
4. Prioritér migrering. Start gerne med højrisikokunder og nyoprettede kunder, og tag resten i en planlagt rækkefølge.
5. Beskriv processen skriftligt. Systemet er et redskab, og dokumenterede arbejdsgange sikrer, at alle bruger det på samme måde.
6. Oplær og følg op. Gennemfør uddannelse af de medarbejdere, der arbejder med kundekendskab, og planlæg en kontrol efter en periode for at se, om processen holder i praksis.

Typiske fejl at undgå

• At betragte implementeringen som et it-projekt uden forankring i ledelsen.
• At importere eksisterende data uden at kvalitetssikre dem, så fejl og huller blot flytter med.
• At lade systemet generere en lav risikoscore, uden at nogen forholder sig til, om modellen passer til virksomhedens kunder.
• At ignorere notifikationer, fordi de opleves som støj. Hvis der kommer for mange, er det tegn på, at opsætningen skal justeres, ikke at alarmerne skal ignoreres.
• At glemme at planlægge sletning af data, når opbevaringsperioden er udløbet.

Holder jeres nuværende løsning mål? En kort selvtest

Du behøver ikke en ekstern audit for at få en fornemmelse af, om jeres setup er i orden. Prøv at besvare følgende ærligt:

• Kan vi inden for få minutter finde den fulde KYC-dokumentation for en tilfældig kunde?
• Ved vi, hvilke kunder der er klassificeret som højrisiko, og hvorfor?
• Er alle kunders PEP- og sanktionskontrol dokumenteret med dato og resultat?
• Får vi besked, når en kundes forhold ændrer sig, eller når legitimation udløber, eller er vi afhængige af, at nogen husker det?
• Kan vi vise, hvem der har foretaget vurderinger og truffet beslutninger?
• Ved vi, hvor længe data må og skal opbevares, og sletter vi dem efterfølgende?
• Kan en ny medarbejder følge processen uden at spørge en bestemt kollega?
• Kan jeg som leder få et aktuelt overblik uden at bede om et særudtræk?

Svarer du nej til flere af punkterne, er det et tegn på, at I har et proceduremæssigt eller teknisk hul. Det betyder ikke nødvendigvis, at I skal skifte alt ud, men det er et godt udgangspunkt for en intern gennemgang og en dialog med en rådgiver. Mangler virksomheden overblik over sin økonomiske situation og risici mere bredt, kan det også give mening at overveje, hvornår det er relevant at hente ekstern finansiel rådgivning ind.

Hvad et godt setup giver, ud over compliance

Når kundekendskab er samlet, opdateret og dokumenteret, får virksomheden mere end ro i maven. Onboarding bliver hurtigere, fordi oplysningerne hentes og kontrolleres i ét forløb. Medarbejdere bruger mindre tid på administrativt rod. Ledelsen kan træffe beslutninger om kunder og risiko på et faktuelt grundlag. Og når en bank, en samarbejdspartner eller et tilsyn stiller spørgsmål, kan virksomheden svare med dokumentation i stedet for forklaringer.

Ofte stillede spørgsmål

Hvad er et KYC system, og hvem har brug for et?

Et KYC system er en softwareløsning, der samler indsamling, kontrol, dokumentation og løbende opfølgning på kundekendskab ét sted. Det er relevant for virksomheder, der er omfattet af hvidvaskloven, for eksempel revisorer, advokater, ejendomsmæglere, regnskabs- og rådgivningsvirksomheder og finansielle virksomheder. Om netop din virksomhed er omfattet, afklarer du med din rådgiver eller det relevante tilsyn.

Er det ulovligt at have en PEP som kunde?

Nej. At en kunde er politisk eksponeret, er ikke i sig selv forbudt, men loven kræver skærpede foranstaltninger. Det omfatter blandt andet vurdering af, hvor kundens midler stammer fra, og at forretningsforholdet godkendes af en person på passende ledelsesniveau. Derfor skal virksomheden kunne identificere PEP’er systematisk og dokumentere sin vurdering.

Hvor længe skal KYC-dokumentation opbevares?

Som udgangspunkt skal oplysninger og dokumentation opbevares i mindst fem år efter forretningsforholdets ophør, og derefter skal de som hovedregel slettes. Der kan gælde særlige regler i konkrete situationer, så tjek med din juridiske rådgiver, og få opbevaringsreglerne bekræftet, før du indretter systemet.

Kan et system alene sikre, at vi overholder hvidvaskloven?

Nej. Et system understøtter processen, automatiserer opslag og skaber dokumentation, men virksomheden har fortsat ansvaret for risikovurderinger, politikker, uddannelse og de faglige vurderinger. Systemet er et redskab, ikke en erstatning for ledelsens ansvar.

Hvornår bør vi gå fra regneark til et dedikeret system?

Det er tid, når du ikke længere hurtigt kan finde dokumentationen for en kunde, når opfølgning afhænger af, at nogen husker den, eller når kundeporteføljen og antallet af medarbejdere vokser, så ensartet praksis bliver svær at sikre. Mange virksomheder venter, til et tilsyn eller en bank stiller spørgsmål, men det er billigere og mere roligt at professionalisere processen på forhånd.