Revisorer, bogholdere og ejendomsmæglere skal gennemføre kundekendskabsprocedurer, kontrollere deres kunders identitetsoplysninger og overvåge kundernes transaktioner og aktiviteter. Proceduren kaldes ofte KYC (know your customer) og består af tre hoveddele: identificér kunden og eventuelle reelle ejere, vurdér risikoen ved kundeforholdet og overvåg løbende transaktioner og adfærd. Guiden gennemgår, hvad det indebærer i praksis, og hvordan dokumentationen opbygges.
Hvem er omfattet af hvidvaskloven?
Ifølge hvidvaskloven (lovbekendtgørelse nr. 433 af 17. april 2026, læst 24. september 2026) gælder loven blandt andet for revisorer og revisionsvirksomheder godkendt i henhold til revisorloven, ejendomsmæglere og ejendomsmæglervirksomheder samt virksomheder og personer, der erhvervsmæssigt leverer samme ydelser — herunder skatterådgivere og eksterne bogholdere (§ 1, stk. 1, nr. 14-16). Loven ændres løbende, så tjek altid den gældende udgave på Retsinformation. Det betyder, at også en selvstændig ekstern bogholder kan være omfattet. Er du i tvivl om, hvorvidt din virksomhed er omfattet, kan du tjekke lovens § 1, der opregner de omfattede brancher og aktiviteter.
Risikovurdering af kunden
Ifølge hvidvaskloven kan omfanget af kundekendskabsproceduren gennemføres ud fra en risikovurdering, og virksomheden skal over for tilsynsmyndigheden kunne godtgøre, at kendskabet til kunden er tilstrækkeligt i forhold til risikoen. Risikoanalysen skal inddrage oplysninger om klientforbindelsens formål, tilsigtede beskaffenhed, omfang, regelmæssighed og varighed. Hertil kommer som minimum de faktorer, der fremgår af hvidvasklovens bilag 2 og 3 — fx kunderisikofaktorer og geografiske risikofaktorer.
Mange vælger at inddele kunderne i risikogrupper, så det er tydeligt, hvor grundig kontrollen skal være. Hvordan I gør det, skal fremgå af jeres egen risikovurdering og skriftlige procedure.
Arbejdseksempel: risikovurdering af en ny kunde
Eksemplet er vores eget og fiktivt.
En bogholder får henvendelse fra et nystiftet ApS, der vil have udført løbende bogføring. Selskabet er ejet af et holdingselskab, der igen ejes af en fysisk person bosiddende i Danmark. Bogholderen noterer: formålet er løbende bogføring, omfanget er månedlige posteringer, og varigheden forventes at være vedvarende. Der er én reel ejer med dansk bopæl. Bogholderen fastlægger risikoen efter sin procedure og dokumenterer vurderingen i en kundesag sammen med de indhentede identitetsoplysninger.
Identifikation af kunden og reelle ejere
Efter hvidvasklovens § 11 skal virksomheden indhente kundens identitetsoplysninger: For en fysisk person navn og CPR-nummer (eller fødselsdato, hvis personen ikke har et CPR-nummer el.lign.), og for en juridisk person navn og CVR-nummer el.lign. Oplysningerne skal kontrolleres på grundlag af dokumenter, data eller oplysninger fra en pålidelig og uafhængig kilde — loven nævner fx elektroniske identifikationsmidler.
Herudover skal virksomheden indhente identitetsoplysninger på den eller de reelle ejere og gennemføre rimelige foranstaltninger for at kontrollere deres identitet, så den med sikkerhed ved, hvem de reelle ejere er. Er kunden en juridisk person, skal der også gennemføres rimelige foranstaltninger for at klarlægge ejer- og kontrolstrukturen.
Løbende overvågning
Virksomheder omfattet af hvidvaskloven er forpligtede til at overvåge kundernes transaktioner og aktiviteter. Det betyder, at kundeforholdet ikke slutter, når kontrakten er underskrevet. Revisor, bogholder eller ejendomsmægler skal løbende holde øje med, om transaktioner stemmer med det oplyste formål. Ændrer kundens adfærd sig markant, eller opstår der forhold, der ikke giver mening, skal det undersøges nærmere.
Overvågningens intensitet afhænger af risikovurderingen. En kunde i høj risiko kræver hyppigere kontrol end en kunde i lav risiko.
Underretning ved mistanke
Kan en mistanke om hvidvask eller terrorfinansiering ikke afkræftes, skal Hvidvasksekretariatet hos National enhed for Særlig Kriminalitet (NSK) underrettes. Efter hvidvaskloven skal underretningen ske omgående, og § 38 pålægger virksomheden, ledelse og ansatte at hemmeligholde, at der er givet underretning, eller at det overvejes.
Opbevaring af dokumentation
Efter hvidvasklovens § 30 skal blandt andet identitets- og kontroloplysninger, kopi af foreviste legitimationsdokumenter, dokumentation for transaktioner og undersøgelser af usædvanlige transaktioner opbevares i mindst 5 år efter forretningsforbindelsens ophør. Personoplysninger skal slettes 5 år efter ophøret, medmindre andet er fastsat i anden lovgivning. Opbevar oplysningerne sikkert, så uvedkommende ikke får adgang.
Arbejdet med opbevaring og dokumentation ligner i praksis det, virksomheden allerede gør med persondata efter GDPR: klare retningslinjer for, hvad der opbevares, hvor længe og hvem der har adgang.
Tilsyn og kontrol
Hvem der fører tilsyn, afhænger af branchen. Efter hvidvasklovens § 57 fører Erhvervsstyrelsen tilsyn med blandt andet revisorer, ejendomsmæglere og dem, der erhvervsmæssigt leverer samme ydelser, fx eksterne bogholdere og skatterådgivere. For advokater er det Advokatrådet. Tilsynsmyndigheden kan kræve at se virksomhedens procedurer, risikovurderinger og dokumentation for kundekendskab.
Software til kundekendskab
For virksomheder med mange kunder kan papirbunker og regneark blive uoverskuelige. Der findes specialiseret KYC- og compliancesoftware, som samler identitetsoplysninger, risikovurderinger og dokumentation ét sted. Sådan software gør det lettere at finde frem til en kundesag ved tilsyn, holde styr på gennemgangsdatoer og minde om, hvornår oplysninger skal opdateres.
Når I vælger software, bør I se efter, om løsningen kan håndtere opslag i CVR og Erhvervsstyrelsens register over reelle ejere, om den understøtter dansk lovgivning og om data opbevares sikkert i EU. Spørg leverandøren, hvordan data eksporteres, så I ikke er låst fast.
Grænser for guiden
Guiden dækker kundekendskab i den daglige drift og ikke særlige situationer som virksomhedssalg eller ejerskifte. Den erstatter ikke juridisk rådgivning i konkrete sager, og ved tvivl om, hvordan loven skal fortolkes i jeres situation, bør I kontakte jeres tilsynsmyndighed eller en advokat med speciale i hvidvask. Hvidvaskloven ændres løbende, og I bør følge med på Finanstilsynets og Erhvervsstyrelsens hjemmesider.
Næste skridt
Start med at gennemgå jeres eksisterende kunder og sikre, at I har dokumenteret identifikation og risikovurdering for hver af dem. Tjek, om I har en skriftlig procedure, og om den er opdateret efter lovens krav. Har I brug for et samlet overblik over jeres compliance og sikkerhed, kan I bruge sikkerheds- og compliancetjekket til at se, hvor I skal starte.
Arbejdet med kundekendskab efter hvidvaskloven minder i metode om det, mange virksomheder allerede gør med IT-sikkerhed: risikovurdering, dokumentation og løbende kontrol. Læs mere om, hvordan I håndterer brud på persondatasikkerheden eller ISO 27001-certificering, hvis I vil opbygge et samlet ledelsessystem for sikkerhed og compliance.
