Hvitvasking – Regelverksguide
Hvitvaskingsregelverket stiller omfattende krav til risikovurdering, kundetiltak, løpende oppfølging, undersøkelser og rapportering. Denne guiden gir en praktisk oversikt over sentrale krav etter norsk rett og viktige utviklingstrekk i Norge og EU.
1. Bakgrunn og regulatorisk rammeverk
Regelverket mot hvitvasking og terrorfinansiering skal forebygge og avdekke at det finansielle og økonomiske systemet brukes til å sikre eller skjule utbytte fra straffbare handlinger eller til å finansiere terror. Gjeldende norsk hvitvaskingslov trådte i kraft 15. oktober 2018. Regelverket bygger blant annet på anbefalingene fra Financial Action Task Force (FATF) og gjennomfører EUs fjerde hvitvaskingsdirektiv, senere endret blant annet gjennom det femte hvitvaskingsdirektivet.
EU vedtok i 2024 en ny omfattende pakke med regler mot hvitvasking og terrorfinansiering. Pakken omfatter blant annet en ny antihvitvaskingsforordning (AMLR), et nytt direktiv og regelverket om den nye europeiske antihvitvaskingsmyndigheten AMLA. AMLR skal som hovedregel gjelde i EU fra 10. juli 2027. For Norge er gjennomføringen fortsatt under arbeid. En arbeidsgruppe nedsatt av Finansdepartementet la frem sin rapport om gjennomføring av EU-regelverket i januar 2026. Rapporten ble sendt på høring samme måned og inneholder blant annet forslag om en ny norsk antihvitvaskingslov. Forslagene er per august 2026 ikke vedtatt og satt i kraft.
AMLA er etablert med hovedsete i Frankfurt og arbeider blant annet med tekniske standarder, felles tilsynsmetoder og forberedelser til direkte tilsyn med utvalgte finansforetak. Direkte tilsyn skal etter planen starte i 2028.
Det norske regelverket er også endret på andre områder. Fra 1. juli 2025 ble EUs regler om opplysninger som skal følge overføringer av penger og visse kryptoeiendeler gjennomført i Norge. Endringene medførte også at relevante tilbydere av kryptoeiendelstjenester ble omfattet av hvitvaskingsregelverket.
Tilsynet med etterlevelsen er fordelt mellom ulike myndigheter avhengig av virksomheten. Finanstilsynet fører tilsyn med en rekke rapporteringspliktige i finanssektoren. Advokattilsynet fører tilsyn med advokater innenfor hvitvaskingslovens virkeområde, mens Lotteritilsynet har tilsynsansvar på spillområdet. Brudd på hvitvaskingsregelverket kan blant annet medføre pålegg, tvangsmulkt og overtredelsesgebyr. Alvorlige overtredelser kan også medføre straffansvar.
2. Pliktsubjektene - hvem omfattes av regelverket?
De som omfattes av hvitvaskingsloven, omtales som rapporteringspliktige. Dette omfatter blant annet banker, kreditt- og finansieringsforetak, betalingsforetak, verdipapirforetak, forvaltningsselskaper for verdipapirfond, forvaltere av alternative investeringsfond, forsikringsforetak og forsikringsformidlere innenfor lovens virkeområde, samt andre nærmere angitte aktører i finansmarkedet.
Etter endringene som trådte i kraft 1. juli 2025, omfattes også relevante tilbydere av kryptoeiendelstjenester av hvitvaskingsregelverket. Filialer av utenlandske foretak kan også være rapporteringspliktige etter det norske regelverket. En utenlandsk virksomhet som drives gjennom filial i Norge, må derfor forholde seg til norske krav selv om sentrale systemer, rutiner og kontrollfunksjoner er organisert fra hovedkontoret i et annet land. Blant andre rapporteringspliktige finner vi revisorer, regnskapsførere, advokater ved nærmere bestemte typer transaksjoner og oppdrag, eiendomsmeglere, tilbydere av virksomhetstjenester og tilbydere av spilltjenester.
Virkeområdet må vurderes konkret ut fra virksomheten og de tjenestene som tilbys.
3. Lovens plikter – hva må foretakene ha kontroll på?
Hvitvaskingsregelverket er omfattende. En grunnleggende forutsetning for etterlevelse er at virksomhetens risikovurdering, rutiner, kundetiltak og løpende oppfølging henger sammen. Noen sentrale elementer er:
3.1. Virksomhetsinnrettet risikovurdering
Rapporteringspliktige skal utarbeide en virksomhetsinnrettet risikovurdering. Denne skal identifisere og vurdere virksomhetens risiko for å bli brukt til hvitvasking og terrorfinansiering og danne utgangspunkt for hvordan regelverket gjennomføres i virksomheten.
Risikovurderingen skal blant annet ta hensyn til virksomhetens kunder og kundegrupper, produkter og tjenester, geografiske forhold, distribusjonskanaler og andre relevante risikofaktorer. Standardiserte maler og konsernmodeller kan være nyttige, men må tilpasses den konkrete virksomheten og dens faktiske risikobilde.
Ved utarbeidelsen av risikovurderingen vil både interne erfaringer og relevante eksterne kilder være av betydning. Dette kan blant annet omfatte risikovurderinger og veiledning fra norske myndigheter, FATF og relevante europeiske myndigheter.
Terrorfinansieringsrisiko må vurderes særskilt. Finanstilsynet publiserte i juni 2025 en temarapport basert på en kartlegging av ti bankers håndtering av risiko for terrorfinansiering. Rapporten synliggjør blant annet at risikobildet for terrorfinansiering på flere områder kan skille seg fra risikoen for hvitvasking.
Risikovurderingen må oppdateres når endringer i virksomheten, regelverket eller risikobildet tilsier det.
3.2. Rutiner
Rapporteringspliktige skal ha skriftlige rutiner som sikrer at virksomheten håndterer identifisert risiko og oppfyller kravene i hvitvaskingsregelverket.
Det skal være sammenheng mellom den virksomhetsinnrettede risikovurderingen og rutinene. Dersom risikovurderingen identifiserer særskilt risiko knyttet til bestemte kundegrupper, produkter, tjenester eller geografiske områder, må rutinene angi hvordan denne risikoen skal håndteres.
Rutinene må være tilpasset virksomheten og gi et praktisk grunnlag for gjennomføringen av regelverket. Generelle sjekklister eller standardiserte konsernrutiner vil ikke nødvendigvis være tilstrekkelige dersom de ikke tar hensyn til den konkrete norske virksomheten og dens risiko.
Rutinene må også vurderes og oppdateres ved behov, blant annet ved regulatoriske endringer, nye produkter eller tjenester og vesentlige endringer i virksomheten eller risikobildet.
3.3. Risikoklassifisering, kundetiltak og løpende oppfølging
Rapporteringspliktige skal vurdere risikoen knyttet til den enkelte kunden og gjennomføre kundetiltak som er tilpasset risikoen.
Risikoklassifiseringen bør bygge på de risikofaktorene som er identifisert i den virksomhetsinnrettede risikovurderingen. Standardiserte modeller kan brukes, men modellen må være egnet til faktisk å skille mellom kunder med ulik risiko.
Kundetiltak omfatter blant annet identifikasjon og bekreftelse av kundens identitet, identifikasjon av reelle rettighetshavere og innhenting av nødvendige opplysninger om kundeforholdets formål og tilsiktede art.
Regelverket skiller mellom ordinære, forenklede og forsterkede kundetiltak. Hvilke tiltak som skal gjennomføres, og hvor omfattende de skal være, vil blant annet avhenge av risikoen knyttet til kunden og kundeforholdet.
Den rapporteringspliktige kan på nærmere vilkår bygge på kundetiltak gjennomført av bestemte tredjeparter. Dette innebærer imidlertid ikke at ansvaret for at de lovpålagte kundetiltakene er gjennomført, overføres til tredjeparten.
Kundekontrollen avsluttes ikke når kunden etableres. Den rapporteringspliktige skal følge kundeforholdet løpende og sørge for at opplysninger om kunden og reelle rettighetshavere holdes oppdatert. Transaksjoner og aktivitet må vurderes opp mot kunnskapen om kunden, kundens virksomhet, risikoprofil og formålet med kundeforholdet.
Banker, kredittforetak og finansieringsforetak skal ha elektroniske overvåkingssystemer som støtte for den løpende oppfølgingen. Systemene må være tilpasset virksomhetens art og omfang. Automatiserte systemer erstatter ikke behovet for konkrete vurderinger når et forhold blir fanget opp.
Avvikling av kundeforhold
Et særlig praktisk spørsmål er hva den rapporteringspliktige skal gjøre dersom nødvendige kundetiltak ikke kan gjennomføres.
I HR-2024-761-A behandlet Høyesterett avviklingsplikten etter hvitvaskingsloven § 24 fjerde ledd. Høyesterett slo fast at vurderingen må knyttes til de konkrete kundetiltakene som ikke kan gjennomføres. Kravet om å identifisere reelle rettighetshavere sto sentralt i saken.
Etter videre behandling kom Borgarting lagmannsrett i LB-2024-184938 i juni 2025 til at det aktuelle forsikringsselskapet hadde plikt til å avvikle kundeforholdene fordi de nødvendige kundetiltakene ikke kunne gjennomføres.
Avgjørelsene illustrerer at spørsmålet om avvikling må knyttes til hvilke kundetiltak som kreves i det konkrete kundeforholdet, og om disse faktisk lar seg gjennomføre.
3.4. Undersøkelses- og rapporteringsplikt
Dersom den rapporteringspliktige avdekker forhold som kan indikere at midler har tilknytning til hvitvasking eller terrorfinansiering, skal forholdet undersøkes nærmere. Undersøkelsene skal søke å avklare om det foreligger forhold som gir grunnlag for mistanke. Dersom mistanken ikke avkreftes, skal opplysninger rapporteres til Økokrim etter reglene i hvitvaskingsloven.
Undersøkelses- og rapporteringsplikten må ses i sammenheng med den løpende kundeoppfølgingen og transaksjonsovervåkingen. Virksomheten må ha rutiner for hvordan varsler og andre indikasjoner skal undersøkes, vurderes og dokumenteres.
3.5. Internkontroll og opplæring
Rapporteringspliktige skal gjennom internkontroll sørge for at hvitvaskingsregelverket overholdes. Etter hvitvaskingsloven § 8 skal det utpekes en person i ledelsen som har særskilt ansvar for å følge opp rutinene. Dersom en vurdering av virksomhetens art og omfang tilsier det, følger det av § 35 ytterligere krav knyttet blant annet til etterlevelsesansvarlig, skikkethetsvurderinger av ansatte og uavhengig kontroll med at interne rutiner overholdes.
Ansvarsfordelingen må være klar og tilpasset virksomheten. Kontrollfunksjoner må organiseres slik at kontrollen har nødvendig uavhengighet. Virksomheten skal også sørge for nødvendig opplæring. Ansatte og andre som utfører oppdrag for foretaket, skal gis opplæring som gjør dem kjent med virksomhetens plikter og i stand til å gjenkjenne forhold som kan indikere hvitvasking eller terrorfinansiering. Opplæringen må vedlikeholdes og oppdateres og bør tilpasses den enkeltes rolle og arbeidsoppgaver.
4. Aktuelle utviklingstrekk i arbeidet mot hvitvasking
Det nye europeiske antihvitvaskingsregelverket skal som hovedregel få anvendelse i EU fra 10. juli 2027. For Norge er gjennomføringen fortsatt under behandling etter at Finansdepartementet sendte arbeidsgrupperapporten om EUs antihvitvaskingspakke på høring i januar 2026.
AMLA forbereder samtidig overgangen til direkte tilsyn med utvalgte grensekryssende finansforetak. Utvelgelsen skal skje i 2027, og direkte tilsyn skal etter planen starte i 2028.
Utviklingen i EU vil dermed få økende betydning for norske rapporteringspliktige når det nye regelverket tas inn i EØS-avtalen og gjennomføres i norsk rett.
***
(Publisert 09.02.2025, revidert 13.08.2026. Artikkel opprinnelig skrevet i samarbeid med Eleonore Foss)
Hvordan kan LexOslo bistå?
LexOslo bistår banker, andre finansforetak og virksomheter i andre bransjer med juridiske spørsmål knyttet til hvitvasking, terrorfinansiering og sanksjoner. Vi arbeider særlig med konkrete problemstillinger som oppstår i kunde- og transaksjonsforhold, herunder spørsmål om kundetiltak, reelle rettighetshavere, avvikling av kundeforhold, mangelfull dokumentasjon og andre forhold som krever en nærmere juridisk vurdering.
Vi bistår også legal- og compliancefunksjoner med vurderinger av enkeltspørsmål, avdekkede svakheter og saker som oppstår i forbindelse med tilsyn eller myndighetsdialog.
Alle artikler er underlagt våre copyright- og ansvarsbestemmelser, som kan leses her.
