Det viktigaste blir därför att den ansvariga enheter. Riktlinjerna preciserar inte hur långtgående den underliggande analysen av sanktionsrisk behöver vara för att ligga till grund för beslutet. Det viktigaste blir därför att den ansvariga enheten har en god förståelse för sin egen sanktionsrisk och kan motivera det val som görs utifrån verksamhetens art och exponering.
TFS-kravet formaliseras
Artikel 10 i EU:s nya penningtvättsförordning (AMLR), som blir fullt tillämplig den 10 juli 2027, innebär att kravet på att bedöma risken för bristande efterlevnad av och kringgående av riktade finansiella sanktioner (Targeted FinancialSanctions, ”TFS”) formaliseras som en del av riskbedömningsskyldigheten. Sedan den 30 december 2025 har verksamheter som följer EBA:s riktlinjer varit skyldiga att göra en sanktionsriskbedömning. Det AMLR tillför är i första hand en skarpare rättslig status, från EBA:s "följ eller förklara"-riktlinjer till en direkt gällande EU-förordning, samt en tydligare koppling till den allmänna riskbedömnings (Business-Wide Risk Assessment, ”BWRA”) processen.
AMLR öppnar för valfrihet i TFS-bedömningen
AMLA:s utkast till riktlinjer under artikel 10(4) ger ansvariga enheter viss frihet i hur sanktionsriskbedömningen ska hanteras. Riktlinjen slår fast att varje ansvarig enhet ska ha en tydlig förståelse för sin exponering mot risken för bristande efterlevnad och kringgående av TFS, givet verksamhetens art och komplexitet. Baserat på verksamhetens exponering mot TFS-risker ska enheten därefter ta ställning till hur TFS-risken ska bedömas, antingen genom att utvidga den befintliga penningtvätts- och terroristfinansierings(”ML”/”TF”)riskbedömningen till att även omfatta TFS-risk eller genom att göra en separat TFS-riskbedömning som kompletterar BWRAn.
Oklart hur långtgående ansvariga enheters analys av TFS-exponeringen ska vara
Riktlinjen preciserar inte hur långt ansvariga enheter förväntas gå i sin förståelse och analys av TFS-exponeringen för att avgöra om sanktionsriskbedömningen ska vara integrerad eller separerad, eller vilka faktorer som ska ligga till grund för beslutet. Avsnitt 5 i riktlinjen anger att valet lämnades öppet eftersom TFS-exponeringen varierar utifrån enhetens art och komplexitet, kundbas och geografisk exponering. Riktlinjen ska vidare ge tillsynsmyndigheter ett tydligt ramverk för att bedöma om en ansvarig enhets valda ansats, integrerad eller separat, är motiverad utifrån dess riskprofil. Beslutet om en integrerad eller separerad sanktionsriskbedömning behöver därför utgå från faktorer som ger en helhetsbild av sanktionsrisken.
Det är viktigt att skilja på att skaffa sig en förståelse för sin TFS-exponering och att genomföra den faktiska riskanalysen. Initialt behöver den ansvariga enheten bara en tillräcklig förståelse för sin TFS-exponering för att motivera valet mellan integrerad och separerad sanktionsriskbedömning. Den faktiska riskbedömningen genomförs först därefter, inom ramen för det valda upplägget, och behöver alltså inte vara klar när beslutet motiveras.
Fördelar och nackdelar – integrerad kontra separerad sanktionsriskbedömning
Oavsett om sanktionsriskbedömningen är integrerad eller separerad bör riskerna för ML/TF och TFS inte sammanfogas till en gemensam riskbedömning. Principen gäller för samtliga tre riskslag, ML, TF och TFS, eftersom var och en bygger på sin egen logik, men vi fokuserar här på skillnaden mellan ML/TF som grupp och TFS.
Sanktionsansvaret är absolut, en transaktion med en listad part (som underlåtes att frysas) är i regel en överträdelse oavsett avsikt, omfattning eller hur väl man annars skött sin verksamhet. ML/TF-ansvar är däremot riskbaserat och syftar till att vara förebyggande i sin karaktär. Skillnaden kan hanteras metodologiskt genom att ge sanktionsdelen sin egen bedömningslogik inom ett gemensamt dokument, utan att det kräver en helt fristående process eller styrkedja. En integrerad metodik som saknar en sådan mekanism riskerar att ge en falskt nedtonad bild av en risk som i praktiken kräver absolut efterlevnad.
Geografisk exponering är mer framträdande vid bedömning av sanktionsrisk. En transaktion eller motpart kopplad till fel land eller part utgör i sig en risk, oavsett kundens beteende eller produktens karaktär. ML/TF-risk påverkas delvis av samma geografiska faktorer, men vägs samtidigt samman med annat, som kundtyp, produktval och transaktionsmönster, vilket gör att geografisk exponering bara är en av flera faktorer i ML/TF bedömningen. Ju bredare och mer internationell verksamheten är, desto mer skiljer sig riskbilderna åt, eftersom framförallt sanktionsrisken ökar med den geografiska exponeringen.
Ansvariga enheter med hög TFS-exponering har ofta en dedikerad sanktionsfunktion, delvis separerat från AML/CFT, vilket talar för en separat sanktionsriskbedömning som speglar gällande struktur. Enheter med begränsad exponering saknar oftast en egen sanktionsfunktion; där hanteras arbetet vanligtvis av samma resurser som AML/CFT, vilket talar för en integrerad bedömning. En integrerad bedömning innebär en gemensam process, en godkännandekedja och ett dokument att underhålla, snarare än dubbla styrprocesser för en risk som visat sig vara marginell. Det är särskilt värdefullt för enheter med begränsade resurser.
Valet mellan en integrerad och en separat sanktionsriskbedömning styrs i grunden av ansvarig enhets TFS-exponering. Om exponeringen initialt bedöms vara begränsad, och det inte förekommer andra sanktionsriskdrivande faktorer i verksamheten, är en integrerad BWRA det regulatoriskt förväntade valet, inte en genväg som kräver extra motivering. Är exponeringen i stället hög pekar samma resonemang åt motsatt håll.
Underlag för att utvärdera sanktionsrisk
För att skapa sig en förståelse för enhetens sanktionsrisk finns två krav som ansvariga enheter kan utgå från:
- Minimikrav 1 – AMLA:s riktlinje till artikel 10(4) AMLR, punkt 2.3
BWRA ska inledas med en kort, beskrivande översikt av ansvarig enhets verksamhet. Enheten ska sedan använda översikten för att avgöra hur komplex och omfattande BWRA behöver vara, så att bedömningsansatsen blir effektiv och proportionerlig. Den här översikten kan även ge en indikation om hur TFS-risken ska hanteras. Geografisk exponering, produktutbud, distributionskanaler och koncernstruktur är faktorer som avgör hur stor enhetens sanktionsrisk är, och om den sticker ut som förhöjd.
- RTS under artikel 40(2) – utökade krav på data
RTS:en ska ge EU:s tillsynsmyndigheter en gemensam, harmoniserad metod för att klassificera ansvariga enheters riskprofil. Det innebär bland annat att samtliga ansvariga enheter kommer att behöva leverera ett definierat dataset till sin tillsynsmyndighet. Vidare innebär det att data om kunder, produkter, kanaler, geografier och kontrollkvalitet måste kunna tas fram strukturerat och tillförlitligt, data som samtidigt kan användas för att bedöma enhetens TFS-exponering.
Eftersom datapunkterna redan är obligatoriska att ta fram och rapportera in uppstår i stort sett inget merarbete av att också använda dem som underlag för TFS-beslutet. Tillsammans med den verksamhetsöversikt som krävs enligt minimikrav 1 bildar de ett underlag som ansvarig enhet kan använda för att avgöra om TFS-risken bör integreras i eller hållas separat från BWRA.
Landriskbedömning med fokus på sanktionsrisker
För att bedöma enhetens TFS-exponering krävs en förståelse för vilka jurisdiktioner som bidrar till ökad sanktionsrisk. Det förutsätter en bedömning av risker associerad med länder som särskiljer risknivåerna för sanktioner, penningtvätt och terrorfinansiering. Ett land med hög risk för penningtvätt innebär inte per automatik hög sanktionsrisk, och detsamma gäller för terrorfinansiering, eftersom dessa tre riskdimensioner till viss del drivs av olika riskfaktorer. Utifrån landriskbedömningen kan enheten därefter kartlägga sin exponering mot TFS-högriskländer och här är det särskilt viktigt att ta länder kända för kringgående av sanktioner i hänsyn. Data som rapporteras in under artikel 40(2) behöver därför tolkas sanktionsspecifikt för att kunna användas för att få en förståelse för TFS-exponeringen.
Vägledning – så utvärderar ni er TFS-exponering
Nedan går vi igenom de fyra huvudkategorierna för inneboende riskindikatorer i RTS 40(2) – kunder, produkter och tjänster, geografier samt distributionskanaler - och ett urval av de datapunkter inom varje kategori som vi bedömer kananvändas som underlag för att skaffa sig en förståelse för ansvarig enhets exponering mot TFS-risker. Vilka datapunkter som är relevanta varierar dock mellan enheter beroende på verksamhetens art, komplexitet och riskprofil. Datapunkterna nedan ska därför inte läsas som en färdig checklista, utan som exempel.
Kunder
Bolagets kundbas påverkar sanktionsriskexponeringen. Är kundbasen begränsad till länder med låg sanktionsrisk minskar exponeringen, men riktar bolaget sig även internationellt ökar den. Nedan är exempel på datapunkter som kan ge grund för exponeringsanalysen:
- Number of customers which are Natural Persons per country
- Number of customers which are Legal Entities per country
- Number of legal entities with at least 1 UBOs located in non-EEA countries (residence)
- Number of customers with cross border transactions involving non-EEA countries
För de två första punkterna talar det för en separering om det finns många kunder i länder med en förhöjd sanktionsrisk. För de andra två punkterna så talar ett högt värde för separering, eftersom det signalerar ett behov av landspecifik, sanktionsanpassad granskning av verkligt huvudmannaskap. Gränsöverskridande transaktionsflöden bär vidare en högre sanktionsrisk än inhemska. Notera dock att "non-EEA" i sig är brett och inkluderar både lågrisk- och högriskländer.
Produkter och tjänster
Datapunkterna inom den här kategorin är produktspecifika, vilka som är relevanta beror på vilka produkter bolaget erbjuder. En generell observation är att datapunkterna kopplade till de olika produkterna och tjänsterna inte fokuserar särskilt på exponering mot utlandet, vilket gör att de inte bidrar till bedömningen av ansvarig enhets TFS-exponering. Ansvariga enheter behöver därför skapa sig en bild av de sanktionsrisker som är kopplade till produktutbudet, utan att utgå från den geografiska exponeringen.
Det finns vissa produkter som naturligt innebär en ökad sanktionsrisk, eftersom deras grundkonstruktion gör det svårare att se eller kontrollera vem den yttersta motparten är. Factoring är ett tydligt exempel, eftersom upplägget ofta involverar flera parter i olika länder och dokumentation som är svår att verifiera i sin helhet. Vilket också gör produkten känslig för över- och underfakturering som medel att kringgå sanktioner. Valutaväxling, särskilt kontantbaserad, innebär en ökad risk eftersom transaktionen ofta sker utan en löpande kundrelation och därmed utan samma möjlighet till kundkännedom över tid. Detsamma gäller tjänster kopplade till virtuella tillgångar, där pseudonymitet och snabba gränsöverskridande överföringar gör det svårare att fastställa vem som faktiskt står bakom en transaktion.
Produkter kan förses med begränsningar som sänker den faktiska exponeringen. Exempelvis geografiska restriktioner som utesluter vissa länder, valutabegränsningar, eller motpartsrelaterade spärrar som blockerar affärer med vissa kategorier av motparter. En factoringverksamhet som enbart godtar gäldenärer inom EES, eller en valutaväxlingstjänst som exkluderar vissa valutor och länder, har en lägre faktisk sanktionsrisk än vad produktens grundkonstruktion antyder.
Geografier
Enhetens geografiska etablering och transaktionsflöden påverkar tillsammans hur stor sanktionsrisk verksamheten är exponerad för. Risken ökar om bolaget är etablerat i eller huvudsakligen riktar sig mot högriskmarknader, och minskar om etableringen är begränsad till lågriskländer. Gränsöverskridande transaktioner bär av samma skäl en högre sanktionsrisk än inhemska betalningar. Nedan är exempel på datapunkter som ger en landspecifik bild av var bolaget har egen operativ närvaro, var koncernens yttersta kontroll finns, och var de faktiska transaktionsflödena går:
- Number of branches / subsidiaries by country
- Country where the entities undertaking is located (parent company)
- Number of incoming / outgoing transactions and total value (EUR) of incoming / outgoing transactions in the previous year by country
Distributionskanaler
Vilka kanaler bolaget använder påverkar hur väl man kan se och kontrollera vem den faktiska slutkunden är och var denne är geografiskt etablerad. Agenter och distributörer i andra länder innebär fler mellanled mellan enheten och slutkunden vilket ger en bredare geografisk räckvidd, och samtidigt mindre insyn i hur väl mellanhanden faktiskt granskar sina kunder mot sanktionslistor. Onboarding som sker på distans eller via tredje part innebär en annan typ av risk.Bolagets egen möjlighet att verifiera kundens identitet och faktiska geografiska ursprung begränsas, vilket ökar risken att adress-, medborgarskaps- eller etableringsuppgifter är felaktiga eller medvetet vilseledande. Eller att man förlitar sig på en extern parts screening- och verifieringsstandard utan att kunna kontrollera den fullt ut. Nedan är exempel på datapunkter som ger grund för exponeringsanalysen:
- Number of new customers onboarded remotely in the previous year
- Number of new customers onboarded in the previous year by third parties
- Number of distributors by country
Att integrera sanktionsriskbedömningen tillsammans med ML/TF är inte principiellt orimligt, AMLA har redan avgjort den frågan. Regelverket hanterar redan penningtvätt och finansiering av terrorism inom en och samma riskbedömning, trots att de bygger på olika logik, vilket visar att en gemensam bedömning kan rymma riskslag med skilda drivare. Det som återstår är inte om det är möjligt, utan om det är lämpligt för den enskilda enheten - och det är sanktionsrisken, inte principen, som i slutänden avgör.