EU-bankene: Slik møter dere AMLR artikkel 26s krav om kontinuerlig KYC innen 2027

Europeiske banker må fundamentalt bygge om kundemonitoreringen før 10. juli 2027. Anti-hvitvaskingsforordningen Regulation (EU) 2024/1624 (AMLR) artikkel 26 erstatter statiske periodiske gjennomganger med kontinuerlig, risikobasert overvåking. Finansinstitusjoner må nå verifisere høyrisikokunder årlig og lavrisikokunder minst hvert femte år, uten unntak. For en mellomstor bank med 50 000 kunder betyr det 14 000 obligatoriske gjennomganger per år – et volum som gjør manuelle prosesser økonomisk og operasjonelt umulige.

Kostnadene ved å feile er enorme. Store AML-brudd utløser nå bøter på over €200 millioner, og den nye Anti-Money Laundering Authority (AMLA) vil fra 2027 føre direkte tilsyn med de største institusjonene. Løsningen er perpetual KYC (pKYC): automatiserte systemer som kontinuerlig overvåker kundedata og kun trigges til gjennomganger når vesentlige endringer skjer. Finansinstitusjoner som tar i bruk pKYC-plattformer rapporterer 60–70 % lavere kostnader samtidig som compliance-nøyaktigheten øker. Med mindre enn 30 måneder igjen til å rulle ut kompatible løsninger er det ikke lenger rom for å vente.

Hva AMLR artikkel 26 faktisk krever

Artikkel 26 gjør «løpende overvåking» til en målbart og håndhevbar arbeidsbyrde. Problemet for bankene er at dette ikke er langsiktige anbefalinger, men harde tidsbundne forpliktelser som umiddelbart oversettes til volum av saker og ressurser.

For en mellomstor aktør med 50 000 kunder betyr artikkel 26-reglene rundt 14 000 obligatoriske gjennomganger i året, ettersom høyrisikokunder må oppdateres minst årlig og lavrisikokunder minst hvert femte år under AMLR. Det finnes ikke nasjonalt rom for avvik: samme standard gjelder fra Tyskland til Hellas.

Reguleringen tvinger bankene til å løse tre problemer samtidig:

• Stramme gjennomgangsfrister uten nasjonal slingringsmonn
  Den offisielle AMLR-teksten fastsetter maksimalperioder på ett år for høyrisikorelasjoner og fem år for lavrisikorelasjoner. Disse takene gjelder alle rapporteringspliktige, uavhengig av størrelse eller forretningsmodell. Ethvert etterslep betyr at banken umiddelbart overskrider den juridiske maksimalgrensen for de berørte kundene.

• Relasjonsomfattende, kontinuerlig overvåking i stedet for produktsiloer
  Artikkel 26 krever løpende overvåking av hele forretningsrelasjonen, inkludert transaksjoner, for å sikre at atferden forblir i tråd med risikoprofilen. Påstander fra organisasjoner som Accountancy Europe fremhever at fragmenterte, produktsentriske KYC-systemer ikke lenger er akseptable: bankene må samle kontoer, lån, kort, betalinger og investeringer i én helhetlig kundevy.

• Etterprøvbare bevis overfor tilsynsmyndigheter og AMLA
  Tilsynsmyndigheter forventer at bankene kan vise når hver kunde sist ble gjennomgått, hvilke triggere som er utløst etterpå, og hvorfor den nåværende risikovurderingen fortsatt er korrekt. Det krever tidsstemplet aktivitetslogging, datalinje og konsistente beslutningskriterier over tusenvis av filer – ikke spredte regneark eller isolerte notater.

Kort sagt tvinger artikkel 26 bankene til å industrialisere KYC-gjennomganger i stor skala, innenfor faste tidsvinduer, over hele relasjonen og med bevis tilgjengelig på forespørsel. Arvbaserte, periodiske tilnærminger var aldri designet for dette nivået av presisjon og volum.

Hvorfor manuelle prosesser feiler

Når arbeidsmengden under artikkel 26 konverteres til driftsmessige tall blir tradisjonelle manuelle prosesser raskt uholdbare.

En mellomstor bank med 50 000 kunder står overfor cirka 14 000 obligatoriske gjennomganger hvert år. Ved et konservativt estimat på fire timer per sak tilsvarer det 56 000 analytikertimer, om lag 28 heltidsansatte spesialister og langt over €3 millioner i direkte lønnskostnader i mange europeiske markeder. KYC-analyser fra selskaper som McKinsey viser at manuell kapasitet til vurderinger øker nesten lineært med antall ansatte, noe som gjør modellen økonomisk skjør.

Flere strukturelle svakheter dukker opp når volumet øker:

1. Kapasitet og frister stemmer ikke overens
   Gjennomgangskalendere, e-postpåminnelser og regnearkoppfølging klarer sjelden å levere tusenvis av saker før ett- og femårsgrensene. Det kreves bare en ansettelsesstopp eller en kortvarig topp i varsler for at etterslepet skal presse kundene forbi de regulatoriske maksimumsgrensene.

2. Kontinuerlig overvåking er ikke virkelig kontinuerlig
   Manuelle team har vanligvis kontakt med kunden bare ved onboarding og neste planlagte gjennomgang. Hvis en kunde flytter til en høyere risikojurisdiksjon, endrer eierskap betydelig eller blir politisk eksponert kort tid etter, kan endringen forbli uoppdaget i flere år. FATFs veiledning om tilsyn poengterer at slike forsinkelser er uforenlige med en risikobasert tilnærming.

3. Kvaliteten synker ved høyt volum
   Med titusenvis av timer som skal bearbeides hvert år presses analytikerne til å rydde køen i stedet for å utfordre data. Det fører til inkonsekvente risikovurderinger, ufullstendig dokumentasjon og ujennomtenkte eskalasjoner. Tilsynsrevisjoner og tematiske inspeksjoner rapporterer gjentatte mangler i dokumentasjon eller begrunnelse i flertallet av gjennomgåtte saker.

4. Kostnader brukes der risikoen er lavest
   Intern og ekstern vurdering, inkludert KPMG, påpeker at en stor prosentandel av lavrisikogjennomganger ikke avdekker vesentlige endringer. Likevel krever hver «ingen endring»-konklusjon flere timer av høyt kvalifisert arbeidskraft. Budsjettet låses i validering av statiske lavrisikofiler i stedet for å fange reelle høyrisikoutviklinger.

Dette er designbegrensninger, ikke finjustering. Ingen ekstra regneark eller manuelle kontroller får en kalenderstyrt prosess til å oppføre seg som et kontinuerlig, risikobasert overvåkingssystem.

Hvordan automatisert perpetual KYC løser dette

Automatisert perpetual KYC (pKYC) er konstruert for å løse nettopp de problemene artikkel 26 skaper: faste gjennomgangsintervaller, relasjonsomfattende overvåking og behovet for en reviderbar fortelling om hver kunde.

Plattformer som Veridaq henter kontinuerlig inn interne og eksterne data, oppdager vesentlige endringer i løpet av dager i stedet for år og håndhever automatisk 1- og 5-årsgrensene.

Skiftet går fra oppgavedrevne kalendere til hendelsesdrevne arbeidsflyter:

I tillegg til strukturelle forbedringer leverer automatiserte pKYC-plattformer tre direkte operasjonelle fordeler som avlaster artikkel 26-arbeidsmengden:

• Kontinuerlig, datadrevet endringsdeteksjon
  I stedet for å vente år til neste planlagte gjennomgang overvåker pKYC daglig sanksjonslister, PEP-databaser, registre og nøkkelindikatorer for risiko. Vesentlige endringer som ny sanksjon eller en eierandel over 25 % kan oppdages innen 24–48 timer og ikke bare ved neste planlagte gjennomgang.

• Risikobasert tildeling av menneskelig innsats
  Høyinnvirkningshendelser (sanksjonstreff, jurisdiksjonsendringer eller negativ medieeksponering) rutes automatisk til erfarne analytikere med avanserte rutiner for utvidet undersøkelse. Lavinnvirkningshendelser (adressejusteringer, tekniske registeroppdateringer) kan avsluttes med straight-through processing. Det reduserer antallet full manuelle gjennomganger med 40–60 % samtidig som menneskelig oppmerksomhet rettes dit Finanstilsynet forventer det.

• Innebygd compliance og revisjonsspor
  Plattformen loggfører når hver profil sist ble gjennomgått, hvilke triggere som ble vurdert og hvorfor en spesifikk vurdering eller beslutning ble tatt, noe som skaper en uforanderlig historie. Det støtter direkte revisjoner etter artikkel 26 og kutter ned tiden brukt på revisjonsforberedelser.

Resultatet er en KYC-funksjon som takler over 14 000 årlige gjennomganger, lever opp til de stramme tidsgrensene i AMLR og demonstrerer en konsistent risikobasert tilnærming uten ukontrollert vekst i bemanning eller manuelt arbeid.

Manuell vs. automatisert KYC: tallene

Velge riktig plattform

Ikke alle KYC-systemer er rigget for AMLR. Mange eldre plattformer klistrer kontinuerlig overvåking på periodiske workflows, og det skaper manuelle omveier og ufullstendige revisjonsspor. Når dere evaluerer leverandører, prioriter:

AMLR-kompatible funksjoner

• Automatisk håndhevelse av 1- og 5-års maksimumsintervaller
• Hendelsesdrevne arbeidsflyter som ruter endringer etter vesentlighet og risiko
• Omfattende relasjonsdekning på tvers av alle produktlinjer
• Innebygd revisjonsspor som fanger hver datakilde, beslutning og tidsstempel

Europeisk regulatorisk tilpasning

• EU-datatjenester (Frankfurt/Amsterdam) uten avhengighet av ikke-EU-sky
• Forhåndskonfigurert støtte for 6AMLD, MiCA og PSD2-krav
• GDPR-by-design arkitektur (artiklene 25, 32, 35)
• Flerspråklig kundekommunikasjon
• Tilpasning til Finanstilsynets digitale tilsynsramme og krav om etisk, bærekraftig innovasjon

Operasjonell effektivitet

• Straight-through processing for lavrisikoendringer
• Maskinlæringsbasert risikovurdering (~95 % treffrate)
• Automatisert dokumentinnhenting og -verifisering
• Implementeringstid på 2–4 uker (ikke 6–12 måneder)

Veridaqs plattform tilfredsstiller disse kravene med EU-only datasentre, innebygde AMLR-workflows og en fire ukers utrullingsmodell. Europeiske banker som bruker den rapporterer 70 % raskere gjennomganger, 95 % risikoklassifiseringsnøyaktighet og null nylige bøter for kontinuerlig overvåking.

Handle nå eller møt tilsyn

AMLR artikkel 26 stiller opp et binært valg: automatiser eller mislykkes. Manuelle prosesser kan ikke innfri obligatoriske gjennomgangsfrekvenser, kontinuerlige overvåkingsforpliktelser eller AMLAs tilsynsstandarder. Kostnaden ved passivitet – €200 millioner+ i bøter, mislykkede revisjoner og kompetitivt bakteppe – overstiger langt investeringen på €150 000–€500 000 i automatiserte plattformer.

Banker som implementerer pKYC oppnår 60–70 % kostnadsreduksjon, 95 % beslutningskonsistens og full revisjonsberedskap. Med 2027-målet nærmer vinduet for kontrollert utrulling seg raskt. Institusjoner som handler først får både etterlevelse og frigjør ressurser til vekst og innovasjon.