AMLR 2027 – KYC-utkontraktering: leverantörskontroll, stickprov och bevis | Word/PDF/Excel

Kontrollera vad en extern KYC-leverantör faktiskt gör – och vad verksamheten själv måste besluta. Detta specialistpaket hjälper svenska verksamhetsutövare som omfattas av penningtvättsreglerna att dokumentera utkontrakterade kundkännedomsuppgifter, granska utförarens kompetens, provkontrollera KYC-ärenden, påtala brister och fatta spårbara interna uppföljningsbeslut. AMLR:s särskilda artikel 18-regler börjar som huvudregel tillämpas först den 10 juli 2027. Dokumenten skiljer därför gällande svensk rätt från framtida AMLR-förberedelser.

Snabbfakta: Sverige/EU · fem svenska arbetsmallar, svensk guide och separat English User Guide · sju redigerbara Wordfiler (DOCX), sju sökbara utskrifts-PDF och en Excelarbetsbok (XLSX) med nio flikar · 15 kundfiler i ZIP efter senare manuell aktivering. PDF är inte interaktiva ifyllnadsformulär. Ingen automatisk KYC-verifiering eller myndighetsanmälan.

Vem behöver dokumenten – och vem behöver något annat?

Passar: AML-ansvariga, compliancefunktioner, verksamhetsansvariga och leverantörsägare hos svenska verksamhetsutövare som överväger att låta en extern aktör utföra verkliga kundkännedomsåtgärder, eller redan behöver kontrollera sådant arbete. Exempel 1: en extern utförare verifierar kundunderlag och företagets interna AML-funktion gör regelbundna stickprov. Exempel 2: leverantören ändrar sin utförarmodell och företaget måste pröva ansvar, bevisåtkomst och omtest.

Passar inte: den som bara behöver ett generellt kundkännedomsformulär eller en allmän penningtvättspolicy. Ren tekniklicens, registeråtkomst och screening-API är inte automatiskt samma sak som utkontraktering. Paketet ersätter inte individuellt juridiskt utformat outsourcingavtal, särskild tillsynsbedömning, tillämpligt personuppgiftsbiträdesavtal eller faktisk myndighetsnotifikation.

Fil för fil – exakt leveransinnehåll

Excelregistret i praktiken

Arbetsbokens nio flikar är Översikt, Leverantörer, Uppgifter, Stickprov, Bevis, Avvikelser, Åtgärder, Beslut och Läs mig. Ange unika egna ID, registrera vilket uppdrag som granskats och koppla en avvikelse till ett stickprov, ett bevis och en åtgärd. Formlerna COUNTA och COUNTIF summerar exempelvis registrerade stickprov, bristfynd, öppna avvikelser och beslutade omtester. Test med fiktiva poster bekräftade rätt summering; kundarbetsboken innehåller inte testpersonuppgifter.

Viktigt: ett arbete markerat ”Utförd” är inte automatiskt ”Verifierad”. Ett leverantörsbeslut i registret utgör inte ett tillstånd, en tillsynsnotifiering eller ett rättsligt godkännande. För lagring av kunduppgifter används ett behörighetsstyrt system; Excel är avsett för kodade referenser, inte kopior på identitetshandlingar.

Så använder ni paketet

1. Fastställ omfattning: identifiera rätt svensk verksamhetsutövare, tillsyn och avtalsmodell. Skilj utkontraktering enligt 3 kap. 24 § penningtvättslagen från förlitande enligt 21–23 §§.
2. Granska utföraren: dokumentera faktiska uppgifter, kompetens, underleverantörer, instruktioner, bevisåtkomst, sekretess och dataskydd.
3. Utför ett riktigt stickprov: välj riskbaserat urval, granska bevis och markera vad som faktiskt styrkts.
4. Hantera avvikelser: begär kompletteringar och planera omtest utan att hitta på avtalsfrister.
5. Besluta och följ upp: låt rätt intern funktion fatta beslut och skilj på framtida AMLR-förberedelser och regler som redan gäller.
6. Arkivera: förvara underlagen med relevant åtkomst och gallringsstyrning. Uppdatera dokumenten när rättsliga eller avtalsmässiga förutsättningar ändras.

Rättsliga regler 2026 och AMLR från 2027

Gällande svensk rätt: lag (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism, särskilt 3 kap. 1, 13–16 samt 21–24 §§. 24 § behandlar utkontraktering, agentur eller liknande arrangemang där den externa parten enligt avtal anses ingå i verksamhetsutövaren. Företag under FI:s aktuella föreskrifter behöver dessutom kontrollera FFFS 2017:11 och eventuellt annan relevant sektorsreglering.

Framtida EU-krav: förordning (EU) 2024/1624 (AMLR), artikel 18, tillämpas som huvudregel från 10 juli 2027 enligt artikel 90. Artikeln tar bland annat upp notifiering till tillsynsmyndighet före relevant outsourcing, skriftlig avtalsreglering, kvalifikationer och återkommande kontroller. Verksamhetsutövaren behåller ansvaret. Enligt artikel 18.3 får vissa centrala uppgifter normalt inte läggas ut: bland annat godkännande av interna AML-rutiner, beslut om en kunds riskprofil och beslut om att inleda affärsförbindelse. Artikel 18 innehåller även särskilda undantag som kan kräva specialistbedömning.

Inte automatiskt en outsourcing: att köpa ett screeningsystem eller en databas där det egna företaget utför kontrollen innebär inte i sig att själva AML-skyldigheten lagts ut. Oavsett modell krävs en konkret bedömning av personuppgifter, lagring, behörighet, tillsyn och faktiska kontrakt. GDPR ska följas separat när personuppgifter behandlas.

Skillnad mot närliggande produkter

AML/KYC & Penningtvätt Compliance är ett bredare paket för kundkännedom och AML-arbetets helhet. FI AML 2027 – årsrapportering fokuserar i stället på periodiskt rapporteringsunderlag. Den här produkten dokumenterar det särskilda arbetet med extern utförare och kontrollbevis – inte faktisk inlämning eller generell compliance.

Vanliga frågor

Måste all outsourcing notifieras till FI redan nu?

Nej, inte enligt framtida AMLR artikel 18 som ännu inte börjat tillämpas. Eventuella befintliga sektors- eller avtalskrav måste dock kontrolleras separat. Från AMLR:s tillämplighetsdatum behöver rätt tillämpning och mottagande tillsynsmyndighet bedömas.

Får leverantören själv besluta om en kunds AML-riskprofil?

AMLR artikel 18.3 förbjuder som huvudregel att lägga ut själva beslutet om kundens riskprofil när reglerna blir tillämpliga. Eventuella uttryckliga undantag kräver särskild rättslig prövning.

Är en KYC-programvaruleverantör alltid utkontrakterad?

Nej. Skillnaden beror på vem som faktiskt utför reglerade arbetsmoment och vilken avtalsrelation som finns, inte på att tekniken kallas KYC.

Hur kan vi använda Excel utan att sprida kunduppgifter?

Använd pseudonymiserade ärende-ID och referenser till en skyddad bevisplats. Lägg inte personnummer, PEP-uppgifter eller kopior på ID-handlingar i arbetsboken.

Har PDF-filerna formulärfält?

Nej. PDF-filerna är sökbara och skrivbara på papper; DOCX är avsett för redigering. Excel (XLSX) är ett separat kalkylverktyg.

Är de juridiska dokumenten på engelska?

Nej. Huvudhandlingarna och Excel är på svenska. Den engelska guiden förklarar hur de svenska mallarna används och innebär ingen anpassning till utländsk rätt.

Källor, granskning och produktversion

Exakta rättskällor: SFS 2017:630, EU 2024/1624 artikel 18 och 90, FFFS 2017:11 och GDPR. Version 1.0, AI-assisterad juridisk källgenomgång av slutlig version 13 november 2026. Ingen extern oberoende juristgranskning, myndighetscertifiering eller garanti om regelefterlevnad. Digital ZIP-leverans sker först efter manuell filkoppling och produktaktivering.

Fördjupande vägledning: AML och KYC 2026 – kundkännedom och riskbedömning. Läs om reglerna och kontrollpunkterna innan du använder dokumentpaketet.