Are you subject to AML?
Enter your company ID (IČO) and instantly find out whether you're subject to AML regulations
Innehållsförteckning
Vad är AML-systemet för interna policyer?
Systemet för interna policyer (SVZ) är ett internt dokument — i praktiken en AML-manual — som definierar hur ditt företag uppfyller sina skyldigheter enligt AML-lagen.
SVZ är inte bara en formalitet som ligger i en låda. Det är ett levande operativt dokument som beskriver specifika procedurer för kundidentifiering, riskbedömning, screening, rapportering av misstänkta transaktioner och utbildning av anställda och personer i jämförbar ställning. Det måste återspegla verkligheten i din verksamhet — inte generiska mallar som hämtats från internet.
Skyldigheten att ha en SVZ gäller alla ansvariga enheter oavsett företagsstorlek. Den gäller lika mycket för en fastighetsmäklare med två anställda som för en stor finansinstitution.
Rättslig grund: AML-lagen
Skyldigheten att skapa ett system för interna policyer är direkt påtvingad av tillämpliga AML-bestämmelser. Lagen säger att en ansvarig enhet måste implementera och tillämpa interna policyer, procedurer och kontrollåtgärder för att förhindra penningtvätt och finansiering av terrorism.
Dessa interna policyer måste i synnerhet omfatta:
- Procedurer för kundidentifiering och vederlägghållande av behörighet (kundidentifiering och kontroll)
- Riskbedömning på företagsnivå och för individuella affärsrelationer
- Procedurer för rapportering av misstänkta transaktioner till FIU
- Regler för dokumentbehållning
- Ett utbildningsprogram för anställda och personer i jämförbar ställning
- Utnämning av den person som är ansvarig för AML-efterlevnad
SVZ måste anpassas till den specifika arten, omfattningen och karaktären av den ansvariga enhetens verksamhet. Generiska mallar som ignorerar specifikationerna för din sektor uppfyller inte den juridiska standarden — och detta kommer att framgå under en FIU-inspektion.
Vad måste SVZ innehålla?
Varken lagen eller tillämpningsförordningarna föreskriver en fast struktur för SVZ, men praxis och FIU-riktlinjer definierar vad ett funktionellt SVZ bör innehålla. Här är en översikt över de viktigaste områdena:
1. Identifiering och riskbedömning
SVZ måste beskriva hur företaget bedömer risker för penningtvätt och finansiering av terrorism. Detta inkluderar riskbedömningen på företagsnivå och riskbedömningen på kundnivå för enskilda kunder och transaktioner.
2. KYC- och CDD-procedurer
SVZ måste tydligt definiera hur kundidentifiering genomförs — från identitetshandlingar för privatpersoner och från handelsregistret för juridiska personer. Det täcker också procedurer för att identifiera den Ultimate Beneficial Owner (UBO) för företagskunder.
3. Förstärkt identifiering och kundbedömning (avsnitt 9a)
För högriskskunder, politiskt exponerade personer (PEPs) eller kunder från högriskländer utanför EU måste SVZ definiera procedurer för förstärkt vederlägghållande av behörighet.
4. Screening och löpande övervakning
Dokumentet måste beskriva hur företaget kontrollerar kunder mot EU- och FN-sanktionslistor enligt tillämplig sanktionslagstiftning, PEP-register och negativ media — och hur denna övervakning sker löpande, inte bara vid kundonboarding.
5. Rapportering av misstänkta transaktioner (OPO)
SVZ måste innehålla en tydlig procedur: vem utvärderar misstänkta indikatorer, vem beslutar att lämna in en rapport och hur den misstänkta transaktionen rapporteras till FIU. Denna procedur måste vara praktiskt använd, inte bara beskriven i allmänna termer.
6. Dokumentbehållning
SVZ specificerar vilka dokument som behålls, hur länge (lagen kräver 10 år) och i vilket format. Dokumentationen måste vara tillgänglig för FIU-inspektion.
7. Utbildning av personer
SVZ måste definiera ett program för löpande AML-utbildning för anställda och personer i jämförbar ställning — innehål, frekvens och verifieringsmetod. Lagen kräver regelbunden utbildning minst en gång per år.
8. Utnämning av ansvarig person
SVZ måste tydligt identifiera vem i företaget som bär ansvar för AML-efterlevnad — den så kallade utsedd person (compliance officer). I mindre företag fylls denna roll vanligtvis av en medlem av den juridiska органen.
AML-riskbedömning som grund
AML-riskbedömning är ryggraden i hela systemet för interna policyer. Utan en funktionell riskbedömning är det omöjligt att sätta proportionella åtgärder — och detta är exakt vad lagen kräver (den riskbaserade metoden).
Riskbedömning fungerar på två nivåer:
- Bedömning av affärsrisk: En övergripande bedömning av ditt företags risker med avseende på klienttyp, geografi, produkter och distributionskanaler.
- Bedömning av klientrisk: Individuell bedömning av varje klient och transaktion — tilldelning av en riskpoäng (låg / medel / hög risk).
Nyckelfaktorer du måste bedöma inkluderar:
- Geografi — var klienten kommer från och är verksam (högriskländer enligt FATF, EU:s grå/svarta listor)
- Klienttyp — fysisk person, juridisk person, PEP, verklig ägare
- Produkter och tjänster — vilken typ av transaktion eller relation som ingås
- Distributionskanaler — direkt kontakt vs. medierad registrering
- Källan till medel — var klientens pengar kommer från
- Komplexitet i ägarstrukturen — kedjor av företag, offshorestrukturer
Resultatet av riskbedömningen är en dokumenterad motivering för varför en specifik klient tilldelades en specifik riskklassificering — och varför utökad due diligence tillämpades eller inte tillämpades.
Vem är ansvarig för SVZ?
AML-lagen föreskriver att det övergripande ansvaret för att uppfylla AML-skyldigheter vilar på den ansvariga enheten — den juridiska enheten eller enskild näringsidkare. Inom företaget bär specifika personer ansvar för systemet för interna riktlinjer:
- Medlem i den lagstiftande organen — måste formellt utses med fullt ansvar för AML-programmet. Detta ansvar måste dokumenteras.
- Utsedd person (efterlevnadschef) — personen som hanterar daglig AML-verksamhet: screening av klienter, utvärdering av misstänkta transaktioner, koordinering av utbildning. Måste registreras hos FIU (inom 30 dagar från tillträde; ändringar inom 15 dagar).
- Anställda och samarbetande personer — varje anställd och person i en jämförbar position som har kontakt med klienter eller transaktioner måste utbildas och veta hur man reagerar vid identifiering av misstänkta situationer.
- Anställda och samarbetande personer — varje anställd och person i en liknande position (t.ex. verkställande direktörer, partners, egenföretagare, samarbetande individer) som kommer i kontakt med klienter eller transaktioner måste utbildas och veta hur man agerar vid identifiering av misstänkta situationer.
I små företag är det vanligt att medlemmen i den lagstiftande organen också fungerar som utsedd person. Detta betyder inte att ansvaret slås samman — båda rollerna måste tydligt beskrivas i SVZ.
Hur man håller SVZ uppdaterad
SVZ är inte ett engångsdokument. Det är ett levande system som måste återspegla det aktuella tillståndet för ditt företag och ändringar i lagstiftningen. FIU följer noga vid inspektioner om SVZ är aktuell — eller om det är ett dokument som skapades en gång och lämnades orört sedan dess.
Du bör granska och uppdatera SVZ närhelst:
- Det sker en ändring i AML-lagen eller FIU-vägledningen
- Du utökar eller ändrar dina affärsverksamheter eller produktportfölj
- Du går in på nya geografiska marknader eller skaffar nya klientkategorier
- Ansvariga personer ändras (utsedd person, medlem av lagstiftande organ)
- FIU eller en annan myndighet utför en inspektion och utfärdar rekommendationer
- Du utför en intern AML-revision och identifierar brister
Som minimistandard rekommenderas en grundlig granskning av SVZ minst en gång om året, med varje granskning dokumenterad — inklusive datum och personen som utförde den.
Vanligaste misstagen när man skapar en SVZ
Samma typer av brister återkommer upprepade gånger under FIU-inspektioner. Att känna till de vanligaste misstagen hjälper dig att undvika dem:
- Allmän mall utan anpassning: En nedladdad mall som inte har anpassats för den specifika typen av verksamhet uppfyller inte det juridiska proportionalitetskravet. FIU identifierar detta omedelbar.
- Saknad eller rent formell riskbedömning: En riskbedömning som bara säger att risken är låg, utan någon motivering eller metod, är otillräcklig.
- Föråldrat dokument: En SVZ som är giltig från 2021 och inte har uppdaterats efter ändringar av lagen eller förändringar i verksamheten bedöms som icke-kompatibel vid en inspektion.
- Orealistiska procedurer: SVZ beskriver procedurer som företaget faktiskt inte följer i praktiken. En avvikelse mellan dokumentet och verkligheten är en röd flagga för FIU.
- Ingen dokumentation på utbildning: SVZ beskriver utbildning av anställda och personer i en jämförbar position, men företaget kan inte visa att utbildning faktiskt äger rum — inga register, närvårolistor eller tester.
- Oklar utformning av ansvarig person: SVZ specificerar inte personen ansvarig för AML, eller att personen inte är registrerad hos FIU.
Straff för saknad eller otillräcklig SVZ
Frånvaron av ett internt riktlinjsystem eller allvarliga brister däri utgör en administrativ överträdelse enligt AML-lagen. FIU kan utdöma en böter på upp till 1 miljon CZK (ca 40 000 EUR) för detta. I allvarligare fall eller upprepade överträdelser kan straffen vara högre — eller ett förbud mot att bedriva relevant verksamhet kan införas.
Översikt över relevanta straff:
- Frånvaro av SVZ eller riskbedömning: böter upp till 1 miljon CZK (ca 40 000 EUR)
- Underlåtenhet att utse den ansvariga personen: böter på upp till 1 000 000 CZK
- Otillräcklig klientidentifiering: böter upp till 10 miljoner CZK (ca 400 000 EUR)
- Oförmåga att bevisa utbildning: böter upp till 5 miljoner CZK (ca 200 000 EUR)
- Underlåtenhet att rapportera en misstänkt transaktion: böter upp till 5 miljoner CZK (ca 200 000 EUR), upp till 30 miljoner CZK (ca 1,2 miljoner EUR) för upprepade överträdelser
Viktigt: straff kräver inte bevis för att företaget underlättade penningtvätt. Det räcker att konstatera att skyldigheter inte uppfylldes formellt — även om inget misstänkt fall uppstod.
Slutsats och praktiska rekommendationer
AML-systemet för interna riktlinjer är en juridisk skyldighet för varje ansvarig enhet — och ditt bästa försvar under en FIU-inspektion. En väl förberedd SVZ som verkligen återspeglar din verksamhet och uppdateras regelbundet ger dig förtroende: du vet vad du ska göra och du kan bevisa det.
Praktiska rekommendationer i sammanfattning:
- Skapa din SVZ anpassad till din verksamhet — inte från en allmän mall.
- Se till att SVZ täcker alla juridiskt erforderliga områden — från riskbedömning till utbildning.
- Utse och registrera den utsedda personen hos FIU.
- Genomför och dokumentera regelbunden utbildning av anställda och personer i jämförbar ställning.
- Granska SVZ minst en gång per år och vid varje relevant förändring.
- Se till att alla AML-steg är påvisbara — från kundidentifiering till riskbedömning.
<software>AML PROOF</software> hjälper dig att hantera hela SVZ — från riskbedömning genom kundidentifiering till förberedelse för FIU-inspektion — i ett omfattande verktyg.