Innehållsförteckning
- Vad är ett internt policysystem och varför kräver lagen det?
- Vem måste ha en SVZ — och vem måste ha den skriftligt?
- Vem måste lämna in SVZ till FIU eller Tjeckiens nationalbank?
- Vad måste SVZ innehålla enligt Section 21(5) i AML Act?
- Riskbedömning som grund för SVZ: vad måste den innehålla?
- Visselblåsning — en obligatorisk SVZ-komponent som inte kan outsourcas
- Hur och när bör SVZ uppdateras?
- De vanligaste SVZ-misstagen enligt FIU
- Vilka sanktioner gäller för en saknad eller dålig SVZ?
- Vanliga frågor om SVZ
Vad är ett internt policysystem och varför kräver lagen det?
Det interna policy-, procedur- och kontrollsystemet (SVZ) är ett internt dokument från en ansvarig enhet. I en tydlig och bindande form fastställer det hur den ansvariga enheten uppfyller de skyldigheter som härrör från AML-lagen. Den rättsliga grunden är AML-lagen.
SVZ är inte bara ett formellt papper för ritningen. Det är en drifthandbok för anställda — den beskriver hur man identifierar en klient, utför due diligence, känner igen en misstänkt transaktion, rapporterar den och hur man går till väga när en klient vägrar att samarbeta. SVZ inkluderar alltid en ML/TF-riskbedömning enligt tillämplig AML-lagen.
Anledningen till det juridiska kravet är praktisk: under en inspektion bedömer FIU inte bara om procedurer finns. Den bedömer om de är rätt inställda, om anställda verkligen följer dem och om de är uppdaterade. SVZ är därför det primära beviset, både för FIU och för den ansvariga enheten, att AML-skyldigheterna uppfylls.
Vem måste ha en SVZ — och vem måste ha den skriftligt?
AML-lagen kräver att alla ansvariga enheter inför och tillämpar en SVZ, förutom insolvensförvaltare, handelsmän i konst och ädelmetaller för transaktioner över 10 000 EUR och gränsöverskridande leverantörer.
Endast utvalda ansvariga enheter enligt AML-lagen måste ha SVZ skriftligt:
| Typ av ansvarig enhet | Skriftlig SVZ krävs |
|---|---|
| Kreditinstitut | Ja, alltid |
| Finansiella institutioner | Ja, alltid |
| Spel- och speloperatörer | Ja, alltid* |
| Fastighetsmäklare, auktionarier och personer som handlar med fastigheter | Ja, alltid* |
| Förvaltnings- och företagstjänstleverantörer | Ja, alltid* |
| Revisorer, skatterådgivare, revisorer | Inte obligatorisk skriftligt — starkt rekommenderat |
| Advokater och notarier | Inte obligatorisk skriftligt — starkt rekommenderat |
| Domstolsexekutörer | Inte obligatorisk skriftligt — starkt rekommenderat |
*SVZ måste godkännas av den ansvariga enhetens styrelseelement (enligt AML-lagen).
Två lagstadgade undantag från skriftkravet (Section 21(3) och (4) i AML Act):
- En ansvarig enhet enligt Section 2(1)(b), (c), (d) eller (h) behöver inte upprätta SVZ skriftligt om den, inom AML-relaterade områden, inte sysselsätter någon annan person och ingen annan person är på annat sätt verksam för den.
- En skriftlig SVZ krävs inte heller när personen avtalsmässigt utför AML-aktiviteter enbart för en annan ansvarig enhet och följer denna enhets SVZ, förutsatt att dess verksamhet är tillräckligt beskriven där.
Dessa undantag är snäva. Om det finns några tvivel kommer FIU att bedöma om villkoren faktiskt var uppfyllda.
Vem måste lämna in SVZ till FIU eller Tjeckiens nationalbank?
Skyldigheten att anmäla SVZ till tillsynsmyndigheten gäller inte alla. Den gäller endast utvalda ansvariga enheter enligt Section 21(8) i AML Act. Fastighetsmäklare, TCSPs och yrken såsom revisorer eller skattebevakare behöver inte anmäla sin SVZ.
| Typ av ansvarig enhet | Mottagare | Deadline |
|---|---|---|
| Spelsällskap (Section 2(1)(c)) | FIU | 60 dagar från det att skyldigheten uppstår |
| Betaltjänstleverantör, EMI, posttjänster, växelkontor, försäkringsförmedlare (utvalda Section 2(1)(b) enheter) | FIU | 60 dagar |
| VASP — virtuell tillgångstjänsteleverantör (Section 2(1)(b), punkt 15) | FIU | 60 dagar |
| Kreditinstitut, fondförvaltare, investeringsföretag, marknadsoperatörer, pensionsbolag (Section 2(1)(b), punkter 1–4) | Tjeckiens nationalbank | 60 dagar |
| Fastighetsmäklare och TCSPs (Section 2(1)(d), (h)) | Ingen anmälan | — |
| Revisorer, skattebevakare, advokater och notarier (Section 2(1)(e), (g)) | Ingen anmälan | — |
Ändringar av SVZ måste anmälas inom 30 dagar efter deras antagande.
Vad måste SVZ innehålla enligt Section 21(5) i AML Act?
Section 21(5) i AML Act fastställer det obligatoriska innehållet i SVZ. Listan är inte sluten — en ansvarig enhet kan inkludera ytterligare åtgärder och skyldigheter. Det lagstadgade minimumet består av dessa tio områden:
- a) Tecken på misstänkta transaktioner — en illustrativ lista över skönsmässiga och obligatoriska tecken, inklusive Section 6(2) i AML Act.
- b) Metod för kundidentifikation — inklusive procedurer för identifiering av PEPs och sanktionerade personer.
- c) Procedur för kundkännedom — omfattning och metod för due diligence, inklusive utökad och förenklad due diligence.
- d) Procedur för att inte genomföra en transaktion — när och hur man vägrar en transaktion eller avslutar en affärsrelation enligt Section 15 i AML Act.
- e) Procedur för att göra sparad data tillgänglig — för FIU, brottsbekämpningsmyndigheter och tillsynsmyndigheten.
- f) Procedur från upptäckt av misstänkt transaktion till inlämnande av rapport — vem som utvärderar den, inom vilka tidsfrister och genom vilken kanal den rapporteras.
- g) Regler för tredje part — agenter eller förmedlare som erbjuder den ansvariga enhetens produkter på dess vägnar.
- h) Åtgärder för att förhindra frustrering av säkring av tillgångar — hur omedelbar genomförande av en klients order inte äventyrar säkring av tillgångar.
- i) Tekniska och personalmässiga åtgärder för att fördröja genomförandet av en klients order — procedur enligt Section 20 i AML Act, inklusive utnämning av en kontaktperson.
- j) Ytterligare åtgärder för tredje länder — endast där Section 24a(2) gäller för den ansvariga enheten.
Are you subject to AML?
Enter your company ID (IČO) and instantly find out whether you're subject to AML regulations
Riskbedömning som grund för SVZ: vad måste den innehålla?
Riskbedömningen för ML/TF enligt AML-lagen är inte en valfri bilaga till SVZ. Det är en obligatorisk del av den, och SVZ måste bygga på den. Den förpliktad aktören måste identifiera och bedöma de risker för penningtvätt och finansiering av terrorism som den är exponerad för i sin verksamhet.
Lagen om penningtvätt anger fem obligatoriska riskfaktorer:
- Klienttyp — icke-näringsverkande privatperson, egenföretagare, juridisk person, PEP, utländsk medborgare från tredje land.
- Syfte, regelbundenhet och varaktighet för affärsförhållandet eller transaktionen.
- Typ av produkt eller tjänst.
- Värde och metod för genomförande av transaktionen — kontant kontra icke-kontant betalning.
- Risknivå för länder eller geografiska områden — högriskländer enligt FATF och den nationella riskbedömningen.
Riskbedömningen måste uppdateras regelbundet, särskilt efter en ny nationell riskbedömning (NRA), ändringar i lagen om penningtvätt eller ny vägledning från FIU. Den senaste NRA godkändes genom regeringens resolution nr 3 av den 5 januari 2026.
Visselblåsning — en obligatorisk SVZ-komponent som inte kan outsourcas
För vissa förpliktade aktörer kräver lagen om penningtvätt en komponent i SVZ som ofta glöms bort i praktiken: ett system för anonym rapportering av överträdelser av skyldigheter enligt lagen om penningtvätt.
Lagen fastställer två nyckelvillkor:
- Systemet måste möjliggöra anonyma rapporter.
- Systemet får inte drivas av en tredje part. Outsourcing är förbjudet enligt lag; den förpliktade aktören måste driva det själv eller genom en bundna agent enligt lagen om penningtvätt.
Detta är ett område där kommersiella SaaS-lösningar inte kan driva visselblåsningssystemet för den förpliktade aktörens räkning. SVZ måste därför innehålla aktörens egen interna procedur för mottagande och hantering av anonyma rapporter.
Hur och när bör SVZ uppdateras?
Lagen om penningtvätt kräver uttryckligen att den förpliktade aktören håller SVZ kontinuerligt uppdaterad. Uppdatering är inte valfritt — det är en juridisk skyldighet.
En förpliktad aktör bör uppdatera SVZ när som helst:
- det sker en ändring av lagen om penningtvätt eller ny vägledning från FIU,
- en ny eller uppdaterad nationell riskbedömning (NRA) antas,
- introduktion av en ny produkt, tjänst eller teknik,
- en förändring i affärsmodellen — nya klienttyper, nya marknader eller en ny filial,
- en brist som identifieras under intern kontroll eller efter en FIU-inspektion.
Efter varje uppdatering måste den förpliktade aktören säkerställa utbildning av anställda om ändringarna enligt lagen om penningtvätt. För förpliktade aktörer som omfattas av anmälningskravet måste ändringar anmälas till FIU eller Tjeckiens centralbank inom 30 dagar från antagandet.
De vanligaste SVZ-misstagen enligt FIU
FIU:s metodvägledning nr 11, som träder i kraft den 5 september 2025, framhäver uttryckligen återkommande brister som upptäcktes under tillsyn:
- Den förpliktade aktören är ensamt ansvarig för SVZ-kvaliteten. Även om en extern specialist eller advokatbyrå förbereder SVZ, är den förpliktade aktören helt ansvarig för dess innehål och aktualitet.
- SVZ motsvarar inte den verkliga affärsmodellen. En generisk internetmall eller ett dokument som inte är anpassat till den specifika förpliktade aktören är otillräckligt för FIU.
- SVZ är en mall, inte ett individualiserat dokument. FIU sanktionerar återupprepat enheter vars SVZ var identisk med dussintals andra, med endast företagsnamnet ändrat.
- Riskbedömningen är otillräcklig eller helt saknas. En SVZ utan riskbedömning uppfyller inte lagstadgade krav.
- SVZ är inte uppdaterad. Ett dokument från 2022 som ingen har uppdaterat sedan är ett problem under en FIU-inspektion 2026.
Vilka sanktioner gäller för en saknad eller dålig SVZ?
| Överträdelse | Juridisk grund | Böter |
|---|---|---|
| Underlåtelse att införa eller tillämpa en SVZ | Avsnitt 48(1) i AML-lagen | upp till CZK 10 000 000 |
| Underlåtelse att förbereda en skriftlig SVZ inom 60 dagar | Avsnitt 48(2) i AML-lagen | upp till CZK 1 000 000 |
| Underlåtelse att meddela SVZ eller ändringar till FIU/CNB | Avsnitt 48(3) i AML-lagen | upp till CZK 1 000 000 |
| Underlåtelse att förbereda eller uppdatera riskbedömningen | Avsnitt 48(4) i AML-lagen | upp till CZK 1 000 000 |
Vid allvarliga, upprepade eller fortlöpande överträdelser ökar gränserna — för icke-finansiella institutioner upp till CZK 30 000 000.
Nyckeldistinktionen: bötern för att inte tillämpa en SVZ (avsnitt 48(1)) är tio gånger högre än bötern för att inte förbereda en skriftlig SVZ (avsnitt 48(2)). Att ha en SVZ på papper men inte använda den i praktiken är därför allvarligare ur sanktionsperspektiv än att inte ha den alls.
SVZ som ett levande system — inte ett statiskt dokument i en låda
AML PROOF kopplar SVZ med dagligt arbete: klientidentifiering, riskbedömning, PEP-granskning och utbildning, så SVZ är inte bara ett dokument utan ett fungerande efterlevnadssystem.
Börja gratisVanliga frågor om SVZ
Måste verkställande direktören godkänna SVZ, eller räcker godkännande från en ansvarig anställd?
SVZ måste godkännas av den ansvariga enhetens lagliga styrelse (avsnitt 21(2) i AML-lagen), såsom verkställande direktören för ett s.r.o., styrelsen för ett a.s. eller annan laglig företrädare.
Kan ett företag ha två SVZ-dokument för två olika aktiviteter?
Nej. FIU:s metodologiska riktlinje nr 11 säger uttryckligen att en ansvarig enhet alltid förbereder en SVZ som omfattar alla dess AML-skyldigheter.
Kan jag använda en modell-SVZ från FIU:s webbplats?
FIU tillhandahåller en modellstruktur som orienteringshälp, inte som ett färdigt dokument. Den måste alltid anpassas till den specifika ansvariga enheten.
Hur länge måste jag behålla SVZ och riskbedömningen?
AML-lagen fastställer ingen särskild bevarandeperiod för själva SVZ. Äldre versioner bör dock bevaras för en eventuell FIU-inspektion, som kan granska tidigare perioder.
Måste SVZ innehålla internationella sanktionsförfaranden?
Ja. SVZ bör innehålla förfaranden för internationella sanktioner, inklusive granskning och processen att följa när en sanktionerad person upptäcks.