Ny AML-rapportering till FI 2027 – det här behöver du veta
Den 1 januari 2027 öppnar FI en helt omgjord penningtvättsrapport. Dagens frågor ersätts av AMLA:s gemensamma EU-indikatorer, och uppgifterna ska avse läget per 31 december 2026. Det lämnar några veckor att säkra datan.
Här går vi igenom vad som ska rapporteras, hur FI använder uppgifterna och vad ni bör göra före årsskiftet. Allt gäller alla företag under FI:s penningtvättstillsyn, oavsett vilka system ni använder. Sist berättar vi kort hur vår tjänst i Metafore kan hjälpa till.
Bakgrund: en gemensam EU-metod
I dag bedömer varje EU-land företagens penningtvättsrisk på sitt eget sätt. Resultaten går inte att jämföra, och företag med verksamhet i flera länder får svara på helt olika frågor.
Med EU:s nya penningtvättspaket ska den nya myndigheten AMLA ta fram en gemensam metod. Metoden finns i en teknisk standard enligt artikel 40(2) i direktiv (EU) 2024/1640. Standarden gäller formellt från 31 december 2027, men FI använder dess frågor redan i 2027 års rapportering.
Enligt AMLA ska de flesta företag behöva lämna ungefär 100–150 datapunkter, färre än många tillsynsmyndigheter begär i dag. Exakt vilka beror på sektor: bank, betalinstitut, e-pengar, försäkring, fondbolag, värdepappersbolag, kryptotjänster och andra.
Fokus flyttas från företagens egna bedömningar till mätbara uppgifter: antal, belopp och datum.
Tidplan och format
| Vad | När |
|---|---|
| Balansdag som uppgifterna avser | 31 december 2026 |
| Flödesuppgifter (transaktioner, nya kunder) | hela 2026 |
| Rapporteringen öppnar | 1 januari 2027 |
| Sista dag att rapportera | 31 mars 2027 |
| AMLR, förordning (EU) 2024/1624 börjar tillämpas | 10 juli 2027 |
| AMLA-standarden gäller formellt | 31 december 2027 |
Rapporteringen sker som vanligt i FI:s portal Fidac, antingen manuellt i formulär eller som JSON-fil enligt FI:s schema. Företag under AMLA:s direkta tillsyn rapporterar i stället enligt EBA:s XBRL-taxonomi, där EBA:s release 4.4 innehåller AMLA-mallarna. FI kontaktar de företagen särskilt.
FI har ännu inte publicerat JSON-schemat för 2027 och säger att mer information kommer under hösten. Tidigare år har underlaget kommit i november–december. FI har också flaggat att vissa frågor fortfarande kan justeras.
Del 1 – Inneboende risk
Här beskriver ni verksamheten som den är, innan kontrollerna räknas in. Uppgifterna delas in i fyra kategorier.
Kunder (gäller alla sektorer)
- Totalt antal kunder, och antal fysiska och juridiska personer per land
- PEP:ar per land, och juridiska personer vars verkliga huvudman är PEP
- Nya kunder under året och kunder med minst en transaktion under året
- Juridiska personer med komplex ägarstruktur
- Kunder med högriskverksamhet
- Juridiska personer med verklig huvudman bosatt utanför EES
- Kunder med gränsöverskridande transaktioner till eller från länder utanför EES
- Kunder som Finanspolisen har begärt uppgifter om
Produkter och tjänster (beror på sektor)
Antal och värde för det ni erbjuder: betalkonton, virtuella IBAN, förbetalda kort, lån, factoring, livförsäkring, valutaväxling, penningöverföring, förmögenhetsförvaltning, korrespondentbank, handelsfinansiering, e-pengar, kryptotjänster, fonder, crowdfunding och kontanthantering. Belopp anges i euro och avser föregående år.
Geografi
- Antal och värde av in- och utgående transaktioner per land
- Filialer och dotterbolag per land, och moderbolagets land
- För fondbolag och korrespondentbanker även investerare och motparter per land
Distributionskanaler
- Nya kunder som onboardats på distans
- Nya kunder som onboardats via tredje part, och hur många av dem som kom via tredje part utan egen AML-tillsyn
- Ombud, distributörer och white label-partners per land
Del 2 – Kontrollmiljö
Här visar ni hur väl riskerna hanteras. Frågorna är indelade i sju områden.
| Område | Exempel på datapunkter |
|---|---|
| 1. Styrning och compliance | Datum då AML-ramverket senast kontrollerades mot gällande regler, antal heltidstjänster i AML-compliance, andel utbildad personal per kategori inklusive styrelsen |
| 2. Intern kontroll och outsourcing | Hur ofta AML-ansvarig rapporterar till ledningen, vilka uppgifter som är outsourcade (KYC, transaktionsövervakning, sanktionsscreening, PEP-kontroll), outsourcing till land utanför EU, datum för senaste revision per område |
| 3. Riskbedömning | Datum då den verksamhetsövergripande riskbedömningen godkändes och om ledningen godkände den, datum för senaste uppdatering av kundriskbedömningen, antal kunder per riskklass (låg, medel-låg, medel-hög, hög) |
| 4. Kundkännedom | Juridiska personer där verklig huvudman inte har identifierats respektive inte har verifierats. Kunder som saknar giltig ID-handling. Kunder som saknar riskprofil. Kunder som inte uppfyller kraven enligt artikel 20 i AMLR. KYC-uppdateringar som har förfallit respektive genomförts. |
| 5. Transaktionsövervakning och rapportering | Om systemet är automatiserat och vad det larmar på, ej hanterade larm vid årsskiftet, genomsnittlig handläggningstid per larm, kvot larm/rapporter, antal rapporter till Finanspolisen, dagar från misstanke till rapport |
| 6. Sanktioner och överföringsförordningen | Max antal timmar från publicerad sanktionslista till uppdaterad screening, andel utgående överföringar som stoppats på grund av bristande betalarinformation |
| 7. Koncern (moderbolag) | Andel koncernbolag som rapporterar till koncernens AML-funktion, andel jurisdiktioner som granskats, brister som tillsynsmyndigheter hittat i koncernbolag |
Så räknar FI fram er riskklass
FI räknar fram tre resultat ur era svar, i tre steg.
1. Inneboende risk. Varje indikator får 1–4 poäng (1 = lägst risk) utifrån tröskelvärden. Poängen viktas ihop per kategori till en total som klassas som låg, medel, betydande eller hög risk.
2. Kontrollkvalitet. Kontrollerna poängsätts på samma sätt och klassas A (mycket god), B (god), C (måttlig) eller D (svag). FI kan justera ett område ett steg med stöd av egna granskningar eller revisorns bedömning.
3. Kvarstående risk. Goda kontroller drar ner risken till genomsnittet av inneboende risk och kontrollkvalitet. Svaga kontroller kan aldrig sänka risken.
| Poäng | Risk | Kontroller |
|---|---|---|
| under 1,75 | Låg | A – mycket god |
| 1,75–2,49 | Medel | B – god |
| 2,50–3,24 | Betydande | C – måttlig |
| 3,25 och högre | Hög | D – svag |
Tröskelvärden och vikter står inte i regelverket. AMLA uppdaterar dem varje år efter hur riskbilden förändras.
Hur ofta? Huvudregeln är att riskklassen ses över varje år. Mycket små företag (högst fem heltidsanställda), vissa lågriskverksamheter och företag som redan klassats som låg risk kan bedömas vart tredje år. Vid större händelser, som ny affärsmodell eller allvarliga brister, gör FI en extra bedömning inom fyra månader.
Vad ni bör göra nu
Det viktigaste är att kunna visa läget per 31 december 2026. Det går inte att återskapa i efterhand om systemen inte sparar historik.
- Inventera. Gå igenom datapunkterna för er sektor och ta reda på var varje uppgift finns: kärnsystem, KYC-verktyg, ärendehantering eller Excel.
- Säkra historik. Ta en ögonblicksbild av kunddatan vid årsskiftet om era system inte sparar historik.
- Städa kunddata. Land, kundtyp, riskklass, verklig huvudman och PEP-status ska finnas på alla kunder. Luckor syns direkt i rapporten och ger sämre poäng.
- Mät processerna. Handläggningstid för larm, tid från misstanke till rapport och tid för att uppdatera sanktionslistor. Börja logga nu om ni inte redan gör det.
- Samla styrningsuppgifterna. Utbildning, outsourcing, revisionsdatum och riskbedömningens godkännande finns sällan i något system.
- Bevaka FI. Prenumerera på FI:s nyheter om penningtvätt och testa i Fidac Testrapportering när schemat släpps.
Om Metafore – så kan vi hjälpa till
Det här avsnittet handlar om vår tjänst. Allt ovan gäller oavsett vilket system ni använder.
Metafore är en tjänst för AML/KYC-screening, riskklassning och ärendehantering från Financial Solutions Metafore AB. Ungefär hälften av datapunkterna i den nya rapporten är kund-, screening- och ärendedata av det slag som finns i Metafore. Resten måste hämtas från kärnsystem eller fyllas i manuellt, även för våra kunder.
Inför 2027 års rapportering utvecklar vi två funktioner för våra kunder:
Beredskapskontroll
Ni ser per datapunkt om ni är redo: grönt, gult eller rött utifrån hur komplett kunddatan är. Luckor länkar direkt till de kunder som saknar uppgifter, så att de kan kompletteras före årsskiftet. Uppgifter från andra system markerar ni själva med ansvarig och deadline. Resultatet kan tas ut som rapport till ledning och styrelse.
Rapportexport
Ni väljer rapportdatum och får en fil med de datapunkter Metafore kan räkna fram, i FI:s JSON-format för Fidac och som Excel för granskning. När FI publicerar 2027 års schema laddas det in utan ombyggnad.
| Från Metafore | Från kärnsystem eller manuellt |
|---|---|
| Kunder per typ och land, PEP:ar, verkliga huvudmän | Transaktionsvolymer och värden per land |
| Nya kunder, onboardingkanal, komplex struktur, högriskverksamhet | Produkter: konton, kort, lån, krypto med mera |
| Kunder per riskklass, KYC-luckor och KYC-uppdateringar | Kontanter, filialer och ombud |
| Larm, handläggningstider, rapporter till Finanspolisen | Utbildning, outsourcing och revisionsdatum |
| Tid för att uppdatera sanktionslistor, förfrågningar från Finanspolisen | Godkännande av verksamhetsövergripande riskbedömning |
Vill ni veta mer om Metafore eller hur redo ni är? Kontakta Mikael Eriksson på mikael.eriksson@metafore.se.
Länkar
- FI – Omfattande ändringar i periodisk rapportering penningtvätt
- FI – Periodisk rapportering penningtvätt (här publiceras schemat)
- FI – Fidac
- AMLA – teknisk standard enligt artikel 40(2)
- AMLA – utvecklingen av riskmetoden
- EBA – Release 4.4 med AMLA-mallar
Frågor om rapporteringen till FI: periodiskrapporteringpenningtvatt@fi.se