Den nye EU-hvidvaskpakke (AMLR + AMLA + AMLD6): Hvad cypriotiske selskaber og forpligtede enheder skal gøre inden 10. juli 2027

Hvad er den nye EU-hvidvaskpakke, og hvorfor har den betydning for Cypern?

Den nye EU-hvidvaskpakke er et sæt af tre retlige instrumenter, der blev vedtaget i 2024, og som harmoniserer reglerne om bekæmpelse af hvidvask og finansiering af terrorisme på tværs af alle EU-medlemsstater, herunder Cypern. Den har betydning, fordi de centrale forpligtelser, som en cypriotisk forpligtet enhed skal overholde, for første gang kommer direkte fra en EU-forordning frem for fra cypriotisk lovgivning, hvilket fjerner de nationale variationer, som virksomheder, der opererer på tværs af grænserne, har baseret sig på i årevis.

For Cypern, en jurisdiktion med et stort reguleret grundlag inden for finansielle tjenesteydelser og selskabstjenester, er skiftet betydeligt. De regler, som cypriotiske investeringsselskaber, e-pengeinstitutter, administrative serviceudbydere, trustees, revisorer og advokater anvender, bliver standardiseret, og det skøn, som Cypern historisk har udøvet ved gennemførelsen af EU-direktiver, forsvinder stort set.

De tre instrumenter: AMLR, AMLD6 og AMLA-forordningen

Pakken hviler på tre instrumenter, der hver har en særskilt retlig funktion. AMLR er det materielle regelsæt, AMLD6 regulerer de institutionelle rammer, og AMLA-forordningen opretter den nye tilsynsmyndighed.

Det væsentlige for en cypriotisk compliance officer er, at AMLR nu er der, hvor de daglige forpligtelser findes, mens AMLD6 omformer, hvem der fører tilsyn med jer, og hvordan.

Forordning kontra direktiv: hvorfor det fælles regelsæt er direkte anvendeligt i Cypern

En forordning er direkte anvendelig, hvilket betyder, at AMLR bliver bindende ret i Cypern den 10. juli 2027, uden at nogen cypriotisk lov behøver at gengive den. Et direktiv fastsætter derimod et resultat, som hver medlemsstat skal nå gennem sin egen nationale lovgivning, hvilket er grunden til, at AMLD6 kræver en cypriotisk gennemførelseslov.

Denne sondring er reformens definerende træk. Fordi AMLR trådte i kraft den 9. juli 2024 og gælder fra 10. juli 2027 som et direkte anvendeligt fælles regelsæt, kan en cypriotisk forpligtet enhed ikke længere vente på, at en lokal lov fortæller den, hvilket kundekendskab den skal udføre. Forpligtelsen udspringer direkte af EU-teksten, og cypriotiske domstole og tilsynsmyndigheder vil anvende den, som den er skrevet.

Hvordan pakken erstatter cypriotisk lov 188(I)/2007 og AMLD4/5-rammen

Pakken afløser de materielle hvidvaskforpligtelser, der i øjeblikket er fastsat i den cypriotiske lov om forebyggelse og bekæmpelse af hvidvask 188(I)/2007, som gennemførte det fjerde og femte hvidvaskdirektiv. Når AMLD6 gennemføres, ophæves det fjerde og femte direktiv, og lov 188(I)/2007 vil skulle ændres omfattende, så kun dens institutionelle og tilsynsmæssige bestemmelser overlever sammen med den direkte anvendelige AMLR.

I praksis bør cypriotiske virksomheder holde op med at betragte lov 188(I)/2007 som den primære kilde til deres forpligtelser fra 10. juli 2027 og betragte AMLR som den styrende tekst, mens den ændrede cypriotiske lov udfylder de institutionelle huller, som AMLD6 overlader til medlemsstaterne. Den tilsynsopdeling, der er fastlagt i lov 188(I)/2007, forventes at fortsætte: CySEC fører tilsyn med cypriotiske investeringsselskaber, udbydere af kryptoaktivtjenester og fonde, Cyperns Centralbank fører tilsyn med banker samt betalings- og e-pengeinstitutter, ICPAC fører tilsyn med revisorer og autoriserede revisorer, det cypriotiske advokatsamfund fører tilsyn med advokater, og MOKAS forbliver den finansielle efterretningsenhed. Den cypriotiske lov, der gennemfører AMLD6 og ændrer lov 188(I)/2007, vil bekræfte hver kompetent myndighed, og den endelige, præcise fordeling afhænger af denne lovgivning.

Hvad er de vigtige datoer og fristen den 10. juli 2027?

Den enkeltvis vigtigste dato er 10. juli 2027, hvor AMLR bliver direkte anvendelig, og AMLD6 skal være gennemført. Omkring dette omdrejningspunkt ligger en trinvis tidsplan: AMLA blev operationel den 1. juli 2025, dens direkte tilsyn begynder den 1. januar 2028, og et lille antal bestemmelser har tidligere eller senere datoer.

Cypriotiske forpligtede enheder bør planlægge baglæns fra 10. juli 2027, fordi et troværdigt afhjælpningsprogram tager tolv måneder eller mere, og compliancefunktionen kan ikke genopbygges i det sidste kvartal.

AMLR: i kraft den 9. juli 2024, gælder fra 10. juli 2027

AMLR trådte i kraft den 9. juli 2024, men gælder fra 10. juli 2027, hvilket giver de forpligtede enheder en overgangsperiode på tre år. Perioden mellem ikrafttræden og anvendelse er compliancevinduet, ikke en henstandsperiode, og det er ved at lukke.

Senest den 10. juli 2027 skal enhver cypriotisk forpligtet enhed allerede operere under AMLR: tærsklen for reelt ejerskab, kontantgrænsen, det harmoniserede kundekendskab og kravene til interne kontroller træder alle i kraft på denne ene dato frem for at blive indfaset.

AMLD6-gennemførelsesfristen og de tidligere bestemmelser om registret over reelle ejere

AMLD6 skal være gennemført i national ret af Cypern senest den 10. juli 2027, samme dato som AMLR gælder, hvorved det fjerde og femte direktiv ophæves. Visse bestemmelser om registret over reelle ejere og adgang for den finansielle efterretningsenhed rapporteres at have tidligere frister, så dele af de institutionelle rammer kan binde Cypern før hoveddatoen.

Direktiv (EU) 2024/1640 bekræfter en trinvis tidsplan. Bestemmelserne om adgang til registret over reelle ejere i artikel 74 havde en tidligere gennemførelsesfrist den 10. juli 2025, og artikel 11 til 13 og 15, der regulerer selve registrene over reelle ejere, skal være gennemført senest den 10. juli 2026, et helt år før hoveddatoen. Virksomheder med komplekse ejerstrukturer bør ikke antage, at registerændringerne venter til 2027.

AMLA i drift siden 1. juli 2025 og direkte tilsyn fra 1. januar 2028

AMLA, den europæiske myndighed til bekæmpelse af hvidvask, har hovedsæde i Frankfurt og har været i drift siden 1. juli 2025. Dens direkte tilsyn med udvalgte forpligtede enheder begynder fra 1. januar 2028 efter en udvælgelsesproces, der starter den 1. juli 2027 og løber i seks måneder.

For de fleste cypriotiske enheder er AMLA's praktiske virkning før 2028 indirekte: den udarbejder de tekniske standarder, retningslinjer og skabeloner, som cypriotiske tilsynsmyndigheder og virksomheder skal anvende, så AMLA-regelsættet former afhjælpningen længe før nogen cypriotisk virksomhed er under direkte tilsyn.

Den udskudte tidsplan for professionelle fodboldklubber og agenter (2029)

Professionelle fodboldklubber og fodboldagenter har en udskudt anvendelsesdato den 10. juli 2029, to år efter den generelle dato. Fodboldsektoren er den ene kategori, som AMLR indfører med en længere tidshorisont, hvilket afspejler den tid, der er nødvendig for at opbygge compliance i en nyligt reguleret branche.

Denne undtagelse er snæver. Enhver anden nyligt omfattet kategori, herunder udbydere af kryptoaktivtjenester og forhandlere af varer af høj værdi, skal overholde reglerne fra 10. juli 2027.

Hvad ændrer AMLR (forordning 2024/1624) for forpligtede enheder?

AMLR ændrer indholdet af, hvad enhver forpligtet enhed skal gøre, ved at standardisere kundekendskab, interne kontroller, opbevaring af registreringer og indberetning i én direkte anvendelig tekst. De største operationelle ændringer er en lavere udløsende tærskel for lejlighedsvise transaktioner på EUR 10.000, en harmoniseret standard for reelt ejerskab og en obligatorisk struktur for compliancefunktionen.

Fordi disse regler nu kommer fra en forordning, kan en cypriotisk virksomhed ikke basere sig på en lempeligere national fortolkning. AMLR er både gulvet og loftet.

Harmoniseret kundekendskab og den udløsende tærskel på EUR 10.000 for lejlighedsvise transaktioner

AMLR sænker den generelle udløsende tærskel for kundekendskab ved lejlighedsvise transaktioner fra EUR 15.000 til EUR 10.000, så kundekendskabet indtræder ved en lavere værdi. Selve kundekendskabet er harmoniseret, hvilket betyder, at identifikation, verifikation og kontrol af reelt ejerskab følger én EU-standard frem for divergerende nationale regler.

For en cypriotisk forpligtet enhed betyder dette, at man skal justere tærsklerne for transaktionsovervågning og onboardinglogikken til beløbet EUR 10.000 og sikre, at de indsamlede identifikationsdata opfylder AMLR-standarden frem for den ældre tilgang i lov 188(I)/2007.

Skærpet kundekendskab, højrisikotredjelande og klienter med stor formue

Skærpet kundekendskab forbliver obligatorisk i situationer med højere risiko, herunder klienter med tilknytning til højrisikotredjelande og personer med stor formue, med yderligere granskning af formuens oprindelse og midlernes oprindelse. AMLR standardiserer, hvornår skærpede foranstaltninger udløses, og hvad de skal omfatte.

AMLR fastsætter en specifik udløsende tærskel for stor formue: finansierings- og kreditinstitutter skal anvende skærpet kundekendskab, hvor de opbevarer aktiver for mindst EUR 5 millioner for en kunde, hvis samlede aktiver udgør mindst EUR 50 millioner, idet AMLA senest den 10. juli 2027 skal udstede retningslinjer for, hvordan man afgør, om en kunde overskrider denne tærskel på EUR 50 millioner. Virksomheder, der betjener internationale klienter, herunder dem, der anvender en strukturering med et cypriotisk holdingselskab, eller som rådgives om etablering af økonomisk substans i et cypriotisk selskab, bør forvente dybere sagsmapper om formuens oprindelse.

Interne kontroller, compliancefunktionen og compliance officeren

AMLR kræver, at enhver forpligtet enhed opretholder interne politikker, kontroller og procedurer, der står i rimeligt forhold til dens størrelse og risiko, og at den udpeger en compliancefunktion med en designeret compliance officer på ledelsesniveau. Compliance officeren er ansvarlig for at implementere hvidvaskrammen, og en særskilt overordnet leder er ansvarlig på bestyrelsesniveau.

Cypriotiske virksomheder anvender allerede en MLRO-model under gældende lovgivning, men AMLR formaliserer den todelte struktur, dokumentationen for compliancefunktionen og de koncerndækkende politikker, så eksisterende udpegelser og håndbøger bør gennemgås i forhold til den nye tekst frem for at antages compliant.

Femårig opbevaring af registreringer og indberetning af mistænkelige transaktioner

AMLR kræver, at forpligtede enheder opbevarer registreringer om kundekendskab og transaktionsdata i fem år og indberetter mistænkelige transaktioner til den nationale finansielle efterretningsenhed. I Cypern er MOKAS, enheden til bekæmpelse af hvidvask, den finansielle efterretningsenhed og obligatoriske modtager af mistænkelige og tærskelbaserede indberetninger.

I henhold til artikel 77 i AMLR skal forpligtede enheder opbevare registreringer om kundekendskab og transaktionsdata i fem år efter forretningsforbindelsens ophør eller datoen for en lejlighedsvis transaktion, og national ret kan kræve eller tillade opbevaring i op til yderligere fem år, hvor dette er nødvendigt og forholdsmæssigt for at forebygge, opdage eller efterforske hvidvask. Arbejdsgange for indberetning af mistænkelige transaktioner bør ledes til MOKAS og testes før datoen i 2027.

Hvordan ændres tærsklen for reelt ejerskab til 25% eller mere?

Tærsklen for reelt ejerskab ændres fra mere end 25% til 25% eller mere af aktier, stemmerettigheder eller ejerandele, så en person, der besidder præcis 25%, nu kvalificerer sig som reel ejer. Dette lukker det hul, der tidligere lod en ejer med præcis 25% falde uden for definitionen, og den kan sænkes til 15% for strukturer med højere risiko.

For Cypern, hvor selskabs- og truststrukturer ofte fordeler ejerandele i lige fjerdedele, er ændringen ikke kosmetisk: et stort antal ejere med præcis 25% kommer inden for anvendelsesområdet fra den ene dag til den anden og skal identificeres, verificeres og registreres.

Fra mere end 25% til 25% eller mere: hvem bliver en UBO

Under AMLR er en reel ejer enhver fysisk person, der direkte eller indirekte ejer 25% eller mere af aktier, stemmerettigheder eller ejerandele i enheden. Den tidligere test omfattede kun ejerandele strengt over 25%, så en ligelig firedeling med 25% hver gav ingen reel ejer efter den gamle regel og giver fire efter den nye.

Cypriotiske virksomheder bør gennemgå enhver klient- og intern struktur på ny i forhold til testen om 25% eller mere og opdatere deres indberetninger til det cypriotiske UBO-register og compliance vedrørende reelt ejerskab, hvor nye ejere nu kvalificerer sig.

Sænkede tærskler på 15% for strukturer med højere risiko

For kategorier af enheder med højere risiko kan tærsklen for reelt ejerskab sænkes helt ned til 15%, så en mindre ejerandel udløser identifikation. Den sænkede tærskel er rettet mod sektorer og strukturer, som AMLR behandler som iboende højere risiko.

Den praktiske konsekvens for Cypern er en todelt analyse: standardtesten om 25% eller mere for almindelige enheder og en test på 15% for dem med højere risiko, som complianceteams skal kortlægge i forhold til deres klientgrundlag frem for at anvende ét enkelt tal på tværs af hele porteføljen.

Indvirkning på det cypriotiske UBO-register og indberetning af uoverensstemmelser

Den lavere tærskel udvider kredsen af dem, der skal fremgå af det cypriotiske register over reelle ejere, som føres via Selskabsregistret, og den skærper pligten til at indberette uoverensstemmelser, når en forpligtet enheds egne konstateringer afviger fra registret. Forpligtede enheder, der identificerer en uoverensstemmelse, skal indberette den, og registret skal afspejle standarden om 25% eller mere.

Fordi registerdataene og AMLR-standarden skal stemme overens, bør cypriotiske virksomheder behandle registerafhjælpning og intern UBO-sagsafhjælpning som ét projekt, ikke to.

Scenarier med nominees, trusts og flerlagsejerskab

Nominee-arrangementer, trusts og flerlagede ejerkæder kræver, at den forpligtede enhed ser igennem til de fysiske personer, der i sidste ende ejer eller kontrollerer 25% eller mere, og registrerer nominee-forhold. Truststrukturer, herunder et cypriotisk international trust og formuebeskyttelse, skal identificere stifter, trustee, protector, begunstigede og enhver anden person, der udøver den ultimative kontrol.

Disse gennemsyns-scenarier er der, hvor cypriotiske selskabstjenesteudbydere bærer det største afhjælpningsarbejde, fordi lagdelte strukturer, der tidligere ikke gav nogen UBO ved 25%, nu kan bringe flere frem.

Hvad er den nye EU-dækkende kontantgrænse på EUR 10.000?

AMLR indfører en harmoniseret grænse på EUR 10.000 for kontantbetalinger for varer og tjenesteydelser i hele EU, herunder Cypern, fra 10. juli 2027. Medlemsstaterne kan fastsætte en lavere national grænse, og identitetskontrol er påkrævet for lejlighedsvise kontanttransaktioner mellem EUR 3.000 og EUR 10.000.

For en kontantbaseret økonomi er dette en hård operationel regel: enhver forhandler af varer eller tjenesteydelser skal afvise kontanter over EUR 10.000 for et enkelt køb, uanset hvordan det struktureres, så det ligner separate betalinger.

Den harmoniserede kontantgrænse og medlemsstaternes skøn til at gå lavere

Kontantgrænsen på EUR 10.000 er et EU-dækkende loft, og medlemsstaterne bevarer skønnet til at indføre en lavere national tærskel. Cypern har endnu ikke fastsat sit endelige nationale tal, så virksomheder bør planlægge efter EUR 10.000, mens de holder øje med en lavere cypriotisk grænse.

Grænsen gælder for en enkelt operation eller forbundne operationer, så en opdeling af en stor betaling i trancher under EUR 10.000 undslipper den ikke.

Identitetskontrol for lejlighedsvise kontanttransaktioner over EUR 3.000

For lejlighedsvise kontanttransaktioner mellem EUR 3.000 og EUR 10.000 kræver AMLR identitetskontrol, selv om betalingen er under grænsen. Dette skaber et mellemliggende bånd, hvor transaktionen er lovlig, men kunden skal identificeres.

Cypriotiske forhandlere bør opbygge en proces med to bånd: identificer og verificer mellem EUR 3.000 og EUR 10.000, og afvis kontanter over EUR 10.000.

Hvad cypriotiske forhandlere af varer af høj værdi skal gøre

Forhandlere af varer af høj værdi, såsom forhandlere af ædelmetaller, smykker, kunst eller motorkøretøjer, skal anvende kontantgrænsen og, hvor de er forpligtede enheder, hele kundekendskabsregimet. AMLR fastsætter trinvise beløbsmæssige udløsere: forhandlere bliver forpligtede enheder, hvor de handler med ædelmetaller og -sten eller med smykker, ure og lignende varer over EUR 10.000, med luksusmotorkøretøjer over EUR 250.000 eller med luftfartøjer og både over EUR 750.000.

Forhandlere af varer af høj værdi bør bekræfte både, om de er forpligtede enheder, og hvilken beløbsmæssig udløser der gælder, før de udformer deres kontroller.

Hvem er nu en forpligtet enhed under AMLR i Cypern?

AMLR bevarer det eksisterende grundlag af forpligtede enheder og tilføjer nye kategorier, så flere cypriotiske virksomheder falder inden for hvidvasklovgivningen end før. Udvidelsen omfatter udbydere af kryptoaktivtjenester, crowdfundingplatforme og formidlere, forbruger- og realkreditformidlere, aktører inden for investeringsmigration og forhandlere af varer af høj værdi.

Enhver forpligtet enhed, ny eller gammel, skal overholde reglerne fra 10. juli 2027, undtagen professionelle fodboldklubber og agenter, hvis regler gælder fra 10. juli 2029.

Nyligt omfattet: CASP'er, crowdfundingplatforme og kreditformidlere

Udbydere af kryptoaktivtjenester bliver forpligtede enheder under AMLR, hvilket tilpasser hvidvaskreglerne til forordningen om markeder for kryptoaktiver, sammen med crowdfundingplatforme og forbruger- og realkreditformidlere. Disse kategorier skal nu udføre fuldt kundekendskab, kontrol af reelt ejerskab og indberetning af mistænkelige transaktioner.

Cypriotiske virksomheder med licens som cypriotiske udbydere af kryptoaktivtjenester (CASP'er) bør behandle AMLR som en tilføjelse til deres MiCA-forpligtelser, og de, der rådgiver om beskatning af kryptovaluta i Cypern, bør gøre klienterne opmærksomme på det hvidvaskmæssige lag.

Aktører inden for investeringsmigration og forhandlere af varer af høj værdi

Aktører inden for investeringsmigration og forhandlere af varer af høj værdi bringes inden for anvendelsesområdet, hvilket afspejler hvidvaskrisikoen i tjenester vedrørende ophold og statsborgerskab ved investering samt i kontantintensiv handel med varer af høj værdi. Formidlere af investeringsmigration skal anvende kundekendskab på ansøgere og deres midlers oprindelse.

For Cypern, med et aktivt marked for investeringsmigration og ejendomsrådgivning, udvider dette grundlaget af forpligtede enheder ud over den traditionelle finanssektor til serviceudbydere, der tidligere lå uden for hvidvasklovgivningen.

Det eksisterende cypriotiske grundlag: CIF'er, EMI'er, betalingsinstitutter, ASP'er, trustees, revisorer og advokater

Det eksisterende cypriotiske grundlag af forpligtede enheder forbliver fuldt ud omfattet: banker, cypriotiske investeringsselskaber, e-pengeinstitutter, betalingsinstitutter, administrative serviceudbydere, trustees, revisorer, autoriserede revisorer og advokater. Disse enheder bærer fortsat den centrale hvidvaskbyrde og skal migrere deres rammer til AMLR.

Regulerede virksomheder såsom dem, der opererer under licensrammen for cypriotiske investeringsselskaber (CIF'er), bør behandle AMLR-migrationen som et licenskritisk projekt, fordi hvidvaskmangler truer tilladelsen.

Hvordan vil AMLA føre tilsyn med cypriotiske forpligtede enheder?

AMLA fører tilsyn gennem to kanaler: direkte tilsyn med en lille gruppe af de grænseoverskridende enheder med den højeste risiko og indirekte tilsyn med de nationale tilsynsmyndigheder for alle andre. De fleste cypriotiske forpligtede enheder forbliver under nationalt tilsyn af CySEC, ICPAC, Cyperns Centralbank og MOKAS, mens AMLA fastsætter standarder og overvåger selve tilsynsmyndighederne.

Den cypriotiske virkelighed er, at direkte AMLA-tilsyn vil berøre meget få lokale enheder, men AMLA's indirekte indflydelse på cypriotiske tilsynsmyndigheder vil omforme, hvordan enhver virksomhed undersøges.

Direkte tilsyn med op til 40 udvalgte forpligtede enheder fra 2028

AMLA vil føre direkte tilsyn med op til 40 udvalgte forpligtede enheder i hele EU, idet udvælgelsesprocessen starter den 1. juli 2027, løber i seks måneder, og det direkte tilsyn overgår til AMLA fra 1. januar 2028. Udvælgelsen revideres hvert tredje år.

I betragtning af det lille antal direkte tilsynsbelagte enheder i hele EU er kun de største grænseoverskridende cypriotiske finansieringsinstitutter realistiske kandidater, og de fleste cypriotiske virksomheder vil ikke være under direkte tilsyn.

De seks medlemsstater og udvælgelseskriterierne for højeste risiko

Direkte tilsyn er rettet mod forpligtede enheder, der opererer i mindst seks medlemsstater og udgør den højeste restrisiko, så grænseoverskridende tilstedeværelse plus risiko driver udvælgelsen. En enhed, der kun er aktiv i Cypern eller i færre end seks medlemsstater, vil sandsynligvis ikke blive udvalgt.

Dette kriterium er væsentligt for cypriotiske koncerner med en reelt paneuropæisk tilstedeværelse, som bør vurdere, om deres tilstedeværelse og risikoprofil kan placere dem i den udvalgte pulje.

Indirekte tilsyn gennem CySEC, ICPAC, Cyperns Centralbank og MOKAS

For enheder, der ikke er under direkte tilsyn, forbliver de nationale tilsynsmyndigheder frontlinjen: CySEC for investeringsselskaber og CASP'er, ICPAC for revisorer og autoriserede revisorer, Cyperns Centralbank for banker samt betalings- og e-pengeinstitutter, og MOKAS som den finansielle efterretningsenhed. AMLA fører tilsyn med disse tilsynsmyndigheder for at fremme ensartethed.

Denne arbejdsdeling afspejler den tilsynsopdeling, der allerede fungerer under lov 188(I)/2007, og som den cypriotiske lovgivning, der gennemfører AMLD6, forventes at bevare, samtidig med at den bekræfter den kompetente tilsynsmyndighed for hver enhedstype. Virksomheder bør kortlægge hver af deres regulerede aktiviteter i forhold til den tilsvarende tilsynsmyndighed, når denne lovgivning er på plads.

AMLA's sanktionsbeføjelser og den cypriotiske FIU's rolle

AMLA har sanktionsbeføjelser over for de enheder, den fører direkte tilsyn med, og MOKAS forbliver den cypriotiske modtager af mistænkelige og tærskelbaserede indberetninger og knudepunktet for samarbejde om finansielle efterretninger. De nationale tilsynsmyndigheder bevarer håndhævelsesbeføjelser over for de enheder, de fører tilsyn med.

Den dobbelte struktur betyder, at en cypriotisk virksomhed i den normale drift svarer over for sin nationale tilsynsmyndighed og MOKAS, med AMLA i baggrunden som standardsætter og, for en udvalgt kreds, som direkte håndhæver.

Hvad er compliance-gap-analysen for cypriotiske CIF'er, EMI'er og trustees?

Compliance-gap-analysen er en struktureret sammenligning af en virksomheds nuværende hvidvaskramme med AMLR's fælles regelsæt, der resulterer i en afhjælpningsplan. For cypriotiske CIF'er, EMI'er og trustees centrerer den sig om fire arbejdsstrømme: politikmigration, UBO-dataafhjælpning, koncerndækkende politikker og teknologiopgraderinger.

At starte gap-analysen tidligt er afgørende, fordi afhjælpning af UBO-data og transaktionsovervågningssystemer er langsom og ikke kan presses ind i ugerne før 10. juli 2027.

Kortlægning af din nuværende hvidvaskhåndbog i forhold til AMLR's fælles regelsæt

Det første skridt er at kortlægge hver bestemmelse i din eksisterende hvidvaskhåndbog, der er bygget på lov 188(I)/2007, i forhold til den tilsvarende AMLR-artikel og registrere hvert hul. Hvor AMLR pålægger en ny eller strengere forpligtelse, skal håndbogen omskrives frem for at blive kommenteret.

Denne kortlægning frembringer afhjælpningsbackloggen: hvert identificeret hul bliver til en opgave med en ansvarlig og en frist inden for vinduet på tolv måneder.

UBO-dataafhjælpning til standarden 25% eller mere

UBO-data skal indsamles og verificeres på ny i forhold til standarden 25% eller mere og i forhold til standarden på 15% for strukturer med højere risiko, så enhver nyligt kvalificerende ejer bliver registreret. Dette er den største enkeltstående afhjælpningsopgave for selskabstjenesteudbydere og trustees.

Virksomheder bør prioritere strukturer med præcis 25% ejerandele og lagdelt ejerskab og afstemme deres sagsmapper med det cypriotiske register over reelle ejere for at løse uoverensstemmelser.

Koncerndækkende politikker og outsourcingaftaler

Koncerner skal implementere koncerndækkende hvidvaskpolitikker, og virksomheder, der er afhængige af outsourcing- eller tredjepartsaftaler, skal bekræfte, at disse aftaler opfylder AMLR-standarden. Compliancefunktionen skal bevare ansvaret, selv hvor aktiviteter outsources.

Cypriotiske virksomheder i internationale koncerner bør tilpasse deres lokale ramme til koncernpolitikken og dokumentere ansvarsfordelingen, fordi AMLR holder den forpligtede enhed ansvarlig uanset outsourcing.

Opgraderinger af teknologi, screening og transaktionsovervågning

Teknologi til sanktionsscreening, screening af negativ medieomtale og transaktionsovervågning skal rekalibreres til AMLR-tærsklerne, herunder den udløsende tærskel på EUR 10.000 for lejlighedsvise transaktioner og reglerne om verifikation i kontantbåndet. Systemer, der indeholder den gamle tærskel på EUR 15.000 eller testen om mere end 25%, skal omkonfigureres.

En faseopdelt afhjælpningstjekliste holder programmet på sporet:

1. Gennemfør AMLR-gap-analysen og den virksomhedsdækkende risikovurdering.
2. Genopbyg hvidvaskpolitikker, procedurer og strukturen for compliancefunktionen.
3. Afhjælp alle UBO-data til standarden 25% eller mere (og 15%).
4. Omkonfigurer tærskler for screening og transaktionsovervågning.
5. Opdater arbejdsgange for opbevaring af registreringer og indberetning til MOKAS.
6. Uddan personalet og indhent bestyrelsens godkendelse inden 10. juli 2027.

Hvad er sanktionerne og de tilsynsmæssige konsekvenser af manglende overholdelse?

Manglende overholdelse udsætter forpligtede enheder for administrative bøder, national håndhævelse og licensrisiko. AMLA kan pålægge sanktioner over for enheder under direkte tilsyn, cypriotiske nationale tilsynsmyndigheder håndhæver over for de enheder, de fører tilsyn med, og hvidvaskmangler kan bringe en virksomheds tilladelse i fare.

De finansielle enheder, der dominerer Cypern, har mest at miste, fordi en hvidvaskovertrædelse ikke kun er en bøde, men en trussel mod den licens, virksomheden afhænger af.

AMLA's administrative bøder

AMLA kan pålægge administrative bøder over for de forpligtede enheder, den fører direkte tilsyn med, for alvorlige, systematiske eller gentagne overtrædelser. I henhold til artikel 22 i AMLA-forordningen (EU) 2024/1620 kan disse sanktioner nå op til EUR 10 millioner eller 10% af enhedens samlede årlige omsætning, alt efter hvad der er højst, beregnet på grundlag af det ultimative moderselskabs seneste tilgængelige reviderede konsoliderede regnskaber. Disse lofter findes side om side med de håndhævelsesbeføjelser, som de cypriotiske nationale tilsynsmyndigheder bevarer over for de enheder, de fører tilsyn med.

National håndhævelse ved cypriotiske tilsynsmyndigheder

Cypriotiske tilsynsmyndigheder, herunder CySEC, ICPAC og Cyperns Centralbank, bevarer håndhævelsesbeføjelser over for de enheder, de fører tilsyn med, lige fra bøder til påbud og licensindgreb. National håndhævelse er den kanal, som de fleste cypriotiske virksomheder faktisk vil møde.

Fordi tilsynet stort set forbliver nationalt, ligger en cypriotisk virksomheds daglige håndhævelsesrisiko hos dens egen tilsynsmyndighed frem for hos AMLA.

Omdømme- og licensrisiko for regulerede enheder

Ud over bøder medfører hvidvaskmangler omdømme- og licenskonsekvenser, fordi en reguleret enhed, der ikke kan påvise AMLR-overholdelse, risikerer betingelser for eller tab af sin tilladelse. For en CIF eller EMI er licensen selve virksomheden.

Omdømmeskade forstærker den regulatoriske risiko, eftersom modparter og banker i stigende grad screener for hvidvaskrobusthed, før de indgår forretning.

Hvordan bør en cypriotisk forpligtet enhed forberede sig inden 10. juli 2027?

En cypriotisk forpligtet enhed bør gennemføre et faseopdelt afhjælpningsprogram på tolv måneder, tildele ansvar på bestyrelsesniveau og anvende specialiseret juridisk støtte til gap-analysen og genopbygningen af politikker. Forberedelsen bør begynde et godt stykke tid før 2027, fordi UBO-afhjælpning og systemomkonfigurering er langsom.

De virksomheder, der starter tidligt, omdanner en complianceforpligtelse til et konkurrencemæssigt signal om pålidelighed; de, der venter, risikerer en forhastet, ufuldstændig migration.

En faseopdelt afhjælpningskøreplan og en realistisk tidsplan på 12 måneder

Et realistisk afhjælpningsprogram løber tolv måneder eller mere og bevæger sig fra gap-analyse, gennem genopbygning af politikker og UBO-afhjælpning, til systemopgraderinger, uddannelse og godkendelse. Hver fase har afhængigheder, så rækkefølgen betyder lige så meget som fristen.

Det væsentlige er, at en virksomhed, der starter programmet i 2026, har tilstrækkelig tidshorisont frem til 10. juli 2027, mens en, der starter i 2027, ikke har.

Bestyrelsens og den øverste ledelses ansvar

Bestyrelsen og den øverste ledelse er ansvarlige for hvidvaskrammen, og AMLR forventer, at en navngiven overordnet leder ejer hvidvaskcompliance sammen med compliance officeren. Ansvaret kan ikke delegeres til compliancefunktionen alene.

Bestyrelser bør modtage resultaterne af gap-analysen, godkende afhjælpningsbudgettet og overvåge fremskridt i forhold til tolvmånedersplanen, idet de dokumenterer deres tilsyn over for tilsynsmyndigheden.

Hvor et cypriotisk advokatfirma tilfører værdi i gap-analysen og afhjælpningen

Et cypriotisk advokatfirma tilfører værdi ved at kortlægge AMLR i forhold til den specifikke cypriotiske type forpligtet enhed og dens faktiske tilsynsmyndighed, udarbejde compliante politikker og rådgive om UBO, trust og cypriotiske regler om kontrollerede udenlandske selskaber (CFC) samt struktureringsspørgsmål, der krydser hvidvask. Juridisk input er afgørende, hvor analysen afhænger af fortolkning af loven og den kommende cypriotiske gennemførelseslov.

Virksomheder bør også afstemme hvidvaskafhjælpning med bredere complianceforpligtelser, herunder et overblik over skatter i Cypern og substanskrav, så strukturer forbliver både hvidvaskcompliante og skatteeffektive.

Hvordan Philippou Law Firm kan hjælpe

Philippou Law Firm rådgiver cypriotiske forpligtede enheder på tværs af hele grundlaget af forpligtede enheder, fra CIF'er, EMI'er og betalingsinstitutter til administrative serviceudbydere, trustees, revisorer og udbydere af kryptoaktivtjenester, om forberedelsen til den nye EU-hvidvaskpakke. Vores team gennemfører AMLR-gap-analyser kortlagt i forhold til din specifikke tilsynsmyndighed (CySEC, ICPAC, Cyperns Centralbank eller MOKAS), genopbygger hvidvaskpolitikker og strukturen for compliancefunktionen, afhjælper UBO-data til standarden 25% eller mere og guider din bestyrelse gennem en realistisk køreplan på tolv måneder frem til 10. juli 2027. Kontakt os for at afgrænse din gap-analyse og dit afhjælpningsprogram, før fristen indsnævrer dine muligheder.

Denne artikel er generel information, ikke juridisk rådgivning. For rådgivning om dine specifikke omstændigheder bedes du kontakte en kvalificeret cypriotisk advokat.