CELEX ID: 32024R1624

--- ENGLISH ---

Document:
Official Journal 
of the European Union
EN
L series
2024/1624
19.6.2024
REGULATION (EU) 2024/1624 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 31 May 2024
on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing
(Text with EEA relevance)
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 114 thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Having regard to the opinion of the European Central Bank 
(
1
)
,
Having regard to the opinion of the European Economic and Social Committee 
(
2
)
,
Acting in accordance with the ordinary legislative procedure 
(
3
)
,
Whereas:
(1)
Directive (EU) 2015/849 of the European Parliament and of the Council 
(
4
)
 constitutes the main legal instrument for the prevention of the use of the Union’s financial system for the purposes of money laundering and terrorist financing. That Directive sets out a comprehensive legal framework, which Directive (EU) 2018/843 of the European Parliament and the Council 
(
5
)
 further strengthened by addressing emerging money laundering and terrorist financing risks and increasing transparency of beneficial ownership. Notwithstanding the achievements under that legal framework, experience has shown that further improvements should be introduced to adequately mitigate money laundering and terrorist financing risks and to effectively detect criminal attempts to misuse the Union’s financial system for criminal purposes.
(2)
The main challenge identified in respect of the application of the provisions of Directive (EU) 2015/849 that lay down obligations for obliged entities, is the lack of direct applicability of the rules set out in those provisions and a fragmented approach along national lines. Although those rules have existed and evolved over three decades, they are still implemented in a manner not fully consistent with the requirements of an integrated internal market. Therefore, it is necessary that rules on matters currently covered in Directive (EU) 2015/849 which could be directly applicable by the obliged entities concerned are addressed in a Regulation in order to achieve the desired uniformity of application.
(3)
This new instrument is part of a comprehensive package that aims to strengthen the Union’s framework for anti-money laundering and countering the financing of terrorism (‘AML/CFT’). Together, this Regulation, Directive (EU) 2024/1640 of the European Parliament and of the Council 
(
6
)
 and Regulations (EU) 2023/1113 
(
7
)
 and (EU) 2024/1620 
(
8
)
 of the European Parliament and of the Council will form the legal framework governing the AML/CFT requirements to be met by obliged entities and underpinning the Union’s AML/CFT institutional framework, including the establishment of an Authority for anti-money laundering and countering the financing of terrorism (AMLA).
(4)
Money laundering and terrorist financing are frequently carried out in an international context. Measures adopted at Union level, without taking into account international coordination and cooperation, would have very limited effect. The measures adopted by the Union in that field should therefore be compatible with, and at least as stringent as, actions undertaken at international level. Union action should continue to take particular account of the Financial Action Task Force (FATF) Recommendations and instruments of other international bodies active in the fight against money laundering and terrorist financing. With a view to reinforcing the efficacy of the fight against money laundering and terrorist financing, the relevant Union legal acts should, where appropriate, be aligned with the International Standards on Combating Money Laundering and the Financing of Terrorism and Proliferation adopted by the FATF in February 2012 (the ‘revised FATF Recommendations’) and the subsequent amendments to such standards.
(5)
Since the adoption of Directive (EU) 2015/849, recent developments in the Union’s criminal law framework have contributed to strengthening the prevention of and fight against money laundering, its predicate offences and terrorist financing. Directive (EU) 2018/1673 of the European Parliament and of the Council 
(
9
)
 has led to a common understanding of the money laundering crime and its predicate offences. Directive (EU) 2017/1371 of the European Parliament and of the Council 
(
10
)
 defined financial crimes affecting the Union’s financial interest, which should also be considered predicate offences to money laundering. Directive (EU) 2017/541 of the European Parliament and of the Council 
(
11
)
 has achieved a common understanding of the crime of terrorist financing. As those concepts are now clarified in Union criminal law, it is no longer necessary for the Union’s AML/CFT rules to define money laundering, its predicate offences or terrorist financing. Instead, the Union’s AML/CFT framework should be fully coherent with the Union’s criminal law framework.
(6)
Harmonisation in the relevant area of criminal law enables a strong and coherent approach at Union level to the prevention of and fight against money laundering and its predicate offences, including corruption. At the same time, such an approach ensures that Member States that have adopted a broader approach to the definition of criminal activities which constitute predicate offences for money laundering can continue to apply such an approach. For that reason, in line with Directive (EU) 2018/1673, any kind of punishable involvement in the commission of a predicate offence for money laundering as criminalised in accordance with national law should also be considered as a criminal activity for the purposes of that Directive and of this Regulation.
(7)
Technology keeps evolving, offering opportunities to the private sector to develop new products and systems to exchange funds or value. While this is a positive phenomenon, it can generate new money laundering and terrorist financing risks, as criminals continuously manage to find ways to exploit vulnerabilities in order to hide and move illicit funds around the world. Crypto-asset service providers and crowdfunding platforms are exposed to the misuse of new channels for the movement of illicit money and are well placed to detect such movement and mitigate risks. The scope of Union legislation should therefore be expanded to cover such entities, in line with FATF standards in relation to crypto-assets. At the same time, advances in innovation, such as the development of the metaverse, provide new avenues for the perpetration of crimes and for the laundering of their proceeds. It is therefore important to exercise vigilance as regards the risks associated with the provision of innovative products or services, whether at Union or national level or at the level of obliged entities.
(8)
The institutions and persons covered by this Regulation play a crucial role as gatekeepers of the Union’s financial system and should therefore take all necessary measures to implement the requirements of this Regulation with a view to preventing criminals from laundering the proceeds of their illegal activities or from financing terrorism. Measures should also be put in place to mitigate any risk of non-implementation or evasion of targeted financial sanctions.
(9)
The definition of an insurance intermediary under Directive (EU) 2016/97 of the European Parliament and of the Council 
(
12
)
 covers a broad range of natural or legal persons that take up or pursue the activity of insurance distribution. Some insurance intermediaries take up insurance distribution activities under the full responsibility of insurance undertakings or intermediaries and carry out activities subject to their policies and procedures. Where those intermediaries do not collect premia or amounts intended for the customer, the policy holder or the beneficiary of the insurance policy, they are not in a position to conduct meaningful due diligence or to detect and report suspicious transactions. In view of that limited role and of the fact that full application of AML/CFT requirements is ensured by the insurance undertakings or intermediaries under whose responsibility they provide services, intermediaries that do not handle funds as defined in Article 4, point (25), of Directive (EU) 2015/2366 of the European Parliament and of the Council 
(
13
)
 should not be considered obliged entities for the purposes of this Regulation.
(10)
Holding companies that carry out mixed activities and have at least one subsidiary that is an obliged entity should themselves be included as obliged entities in the scope of this Regulation. To ensure consistent supervision by financial supervisors, in cases where the subsidiaries of a mixed activity holding company include at least one credit institution or financial institution, the holding company itself should also qualify as a financial institution.
(11)
Financial transactions can also take place within the same group as a way of managing group finances. However, such transactions are not undertaken vis-à-vis customers and do not require the application of AML/CFT measures. In order to ensure legal certainty, it is necessary to recognise that this Regulation does not apply to financial activities or other financial services which are provided by members of a group to other members of that group.
(12)
Independent legal professionals should be subject to this Regulation when participating in financial or corporate transactions, including when providing tax advice, because there is risk of the services provided by those legal professionals being misused for the purpose of laundering the proceeds of criminal activity or for the purpose of terrorist financing. There should, however, be exemptions from any obligation to report information obtained before, during or after judicial proceedings, or in the course of ascertaining the legal position of a client, as such information is covered by legal privilege. Therefore, legal advice should remain subject to the obligation of professional secrecy, except where the legal professional is taking part in money laundering or terrorist financing, the legal advice is provided for the purposes of money laundering or terrorist financing, or where the legal professional knows that the client is seeking legal advice for the purposes of money laundering or terrorist financing. Such knowledge and purpose can be inferred from objective factual circumstances. As legal advice might already be sought at the stage of perpetrating the proceeds-generating criminal activity, it is important that cases excluded from legal privilege extend to situations where legal advice is provided in the context of the predicate offences. Legal advice sought in relation to ongoing judicial proceedings should not be deemed to constitute legal advice for the purposes of money laundering or terrorist financing.
(13)
In order to ensure respect for the rights guaranteed by the Charter of Fundamental Rights of the European Union (the ‘Charter’), in the case of auditors, external accountants and tax advisors who, in some Member States, are entitled to defend or represent a client in the context of judicial proceedings or to ascertain a client’s legal position, the information they obtain in the performance of those tasks should not be subject to reporting obligations. However, the same exceptions that apply to notaries and lawyers should also apply to those professionals where they act in the exercise of the right of defence or when they ascertain the legal position of a client.
(14)
Directive (EU) 2018/843 was the first legal instrument to address the risks of money laundering and terrorist financing posed by crypto-assets in the Union. It extended the scope of the AML/CFT framework to two types of crypto-asset service providers: providers engaged in exchange services between virtual currencies and fiat currencies, and custodian wallet providers. Due to rapid technological developments and the advancement in FATF standards, it is necessary to review that approach. A first step to complete and update the Union legal framework has been achieved with Regulation (EU) 2023/1114 of the European Parliament and of the Council 
(
14
)
, which set requirements for crypto-asset service providers wishing to apply for an authorisation to provide their services in the internal market. It also introduced a definition of crypto-assets and crypto-asset service providers encompassing a broader range of activities. In addition, Regulation (EU) 2023/1113 has extended traceability requirements to transfers of crypto-assets carried out by crypto-asset service providers covered by Regulation (EU) 2023/1114, and amended Directive (EU) 2015/849 to require Member States to make those crypto-asset service providers obliged entities. Those crypto-asset service providers should also be covered by this Regulation, to mitigate any risk of misuse of crypto-assets for money laundering or terrorist financing purposes.
(15)
The creation of markets in unique and non-fungible crypto-assets is still recent and has not resulted in legislation regulating their functioning. The evolution of those markets is being monitored and it is important that it does not result in new money laundering and terrorist financing risks that would not be properly mitigated. By 30 December 2024, the Commission is to submit a report to the European Parliament and to the Council on the latest developments with respect to crypto-assets, including an assessment of the development of markets in unique and non-fungible crypto-assets, the appropriate regulatory treatment of such crypto-assets, including an assessment of necessity and feasibility of regulating providers of services related to unique and non-fungible crypto-assets. If appropriate, the Commission is to accompany that report with a legislative proposal.
(16)
Crowdfunding platforms’ vulnerabilities to money laundering and terrorist financing risks are horizontal and affect the internal market as a whole. To date, diverging approaches have emerged across Member States as to the management of those risks. While Regulation (EU) 2020/1503 of the European Parliament and of the Council 
(
15
)
 harmonises the regulatory approach for business investment and lending-based crowdfunding platforms across the Union and introduces several safeguards to deal with potential money laundering and terrorist financing risks, such as due diligence of crowdfunding platforms in respect of project owners and within authorisation procedures, the lack of a harmonised legal framework with robust AML/CFT obligations for crowdfunding platforms creates gaps and weakens the Union’s AML/CFT safeguards. It is therefore necessary to ensure that all crowdfunding platforms, including those already licensed under Regulation (EU) 2020/1503, are subject to Union AML/CFT legislation.
(17)
Crowdfunding intermediaries, which operate a digital platform in order to match or facilitate the matching of funders with projects owners such as associations or individuals that seek funding, are exposed to money laundering and terrorist financing risks. Undertakings that are not licensed under Regulation (EU) 2020/1503 are currently left either unregulated or are subject to diverging regulatory approaches across Member States, including in relation to rules and procedures to tackle money laundering and terrorist financing risks. Such intermediaries should therefore be subject to the obligations of this Regulation, in particular to avoid the diversion of funds as defined in Article 4, point (25), of Directive (EU) 2015/2366 or crypto-assets raised for illicit purposes by criminals. In order to mitigate such risks, those obligations apply to a wide range of projects, including, inter alia, educational or cultural projects and the collection of those funds or crypto-assets to support more general causes, for example in the humanitarian field, or to organise or celebrate a family or social event.
(18)
Directive (EU) 2015/849 set out to mitigate the money laundering and terrorist financing risks posed by large cash payments by including persons trading in goods among obliged entities where they make or receive payments in cash above EUR 10 000, whilst allowing Member States to introduce stricter measures. Such an approach has shown to be ineffective in light of the poor understanding and application of AML/CFT requirements, lack of supervision and limited number of suspicious transactions reported to the Financial Intelligence Unit (FIU). In order to adequately mitigate risks deriving from the misuse of large cash sums, a Union-wide limit to large cash payments above EUR 10 000 should be laid down. As a consequence, persons trading in goods no longer need to be subject to AML/CFT obligations, with the exception of persons trading in precious metals, precious stones, other high value goods and cultural goods.
(19)
Some categories of persons trading in goods are particularly exposed to money laundering and terrorist financing risks due to the high value of the often small, transportable goods they deal with. For that reason, persons dealing in precious metals and precious stones and other high value goods should be subject to AML/CFT requirements where such trading is either a regular or a principal professional activity.
(20)
Motor vehicles, watercraft and aircraft in the higher market segments are vulnerable to risks of misuse for money laundering and terrorist financing given their high value and transportability. Therefore, persons trading in such goods should be subject to AML/CFT requirements. The transportable nature of those goods is particularly attractive for the purposes of money laundering and terrorist financing given the ease with which such goods can be moved across or outside Union borders, and the fact that access to information on such goods where registered in third countries might not be easily accessible to competent authorities. To mitigate risks that Union high-value goods may be misused for criminal purposes and to ensure visibility on the ownership of such goods, it is necessary to require persons trading in high-value goods to report transactions concerning the sale of motor vehicles, watercraft and aircraft. Credit institutions and financial institutions provide services that are essential for the conclusion of the sale or transfer of ownership of such goods, and should also be required to report those transactions to the FIU. While goods intended solely for the pursuit of commercial activities should not be subject to such disclosure, sales for private, non-commercial use should not be limited to instances where the customer is a natural person, but should also relate to sales to legal entities and arrangements, in particular where they are set up to administer the wealth of their beneficial owner.
(21)
Investment migration operators are private companies, bodies or persons acting or interacting directly with the national authorities competent for granting rights of residence on behalf of third-country nationals or providing intermediary services to third-country nationals seeking to obtain residence rights in a Member State in exchange for any kind of investment, including capital transfers, purchase or renting of property, investment in government bonds, investment in corporate entities, donation or endowment of an activity contributing to the public good and contributions to the state budget. Investor residence schemes present risks and vulnerabilities in relation to money laundering, corruption and tax evasion. Such risks are exacerbated by the cross-border rights associated with residence in a Member State. Therefore, it is necessary that investment migration operators are subject to AML/CFT obligations. This Regulation should not apply to investor citizenship schemes, which result in the acquisition of nationality in exchange for such investment, as such schemes must be considered as undermining the fundamental status of Union citizenship and sincere cooperation among Member States.
(22)
While creditors for mortgage and consumer credits are typically credit institutions or financial institutions, there are consumer and mortgage credit intermediaries that do not qualify as credit institutions or financial institutions and have not been subject to AML/CFT requirements at Union level, but have been subject to such obligations in certain Member States due to their exposure to money laundering and terrorist financing risks. Depending on their business model, such consumer and mortgage credit intermediaries can be exposed to significant money laundering and terrorist financing risks. It is important to ensure that entities carrying out similar activities that are exposed to such risks are covered by AML/CFT requirements, regardless of whether they qualify as credit institutions or financial institutions. Therefore, it is appropriate to include consumer and mortgage credit intermediaries that are not credit institutions or financial institutions but that are, as a result of their activities, exposed to money laundering and terrorist financing risks. In many cases, however, the credit intermediary is acting on behalf of the credit institution or financial institution that grants and processes the loan. In those cases, AML/CFT requirements should not apply to consumer and mortgage credit intermediaries, but only to the credit institutions or financial institutions.
(23)
To ensure a consistent approach, it is necessary to clarify which entities in the investment sector are subject to AML/CFT requirements. Although collective investment undertakings already fall within the scope of Directive (EU) 2015/849, it is necessary to align the relevant terminology with the current Union investment fund legislation, namely Directives 2009/65/EC 
(
16
)
 and 2011/61/EU 
(
17
)
 of the European Parliament and of the Council. Because funds might be constituted without legal personality, the inclusion of their managers in the scope of this Regulation is also necessary. AML/CFT requirements should apply regardless of the form in which units or shares in a fund are made available for purchase in the Union, including where units or shares are directly or indirectly offered to investors established in the Union or placed with such investors at the initiative of the manager or on behalf of the manager. As both funds and fund managers fall within the scope of AML/CFT requirements, it is appropriate to clarify that a duplication of efforts should be avoided. To that end, the AML/CFT measures taken at the level of the fund and at the level of its manager should not be the same, but should reflect the allocation of tasks between the fund and its manager.
(24)
The activities of professional football clubs and football agents are exposed to risks of money laundering and its predicate offences due to several factors inherent to the football sector, such as the global popularity of football, the considerable sums, cash flows and financial interests involved, the prevalence of cross-border transactions, and the sometimes opaque ownership structures. All those factors expose football to possible abuse by criminals to legitimise illicit funds and thus make the sport vulnerable to money laundering and its predicate offences. Key areas of risk include, for example, transactions with investors and sponsors, including advertisers, and the transfer of players. Professional football clubs and football agents should therefore put in place robust anti-money laundering measures, including carrying out customer due diligence on investors, sponsors, including advertisers, and other partners and counterparties with whom they transact. In order to avoid any disproportionate burden on smaller clubs that are less exposed to risks of criminal misuse, Member States should be able to, on the basis of a proven lower risk of money laundering, its predicate crimes and terrorist financing, exempt certain professional football clubs from the requirements of this Regulation, whether in full or in part.
(25)
The activities of professional football clubs competing in the highest divisions of their national football leagues make them more exposed to higher risks of money laundering and its predicate offences compared to football clubs participating in lower divisions. For example, top-tier football clubs engage in more substantial financial transactions, such as high-value transfers of players and sponsorship deals, might have more complex corporate structures with multiple layers of ownership, and are more likely to engage in cross-border transactions. Those factors make such top-tier clubs more attractive for criminals and provide more opportunities to conceal illicit funds. Therefore, Member States should only be able to exempt professional football clubs participating in the highest division in cases of proven low risk and provided that such clubs have a turnover for each of the previous 2 years of less than EUR 5 000 000 or the equivalent in national currency. Nonetheless, the risk of money laundering is not determined solely by the division in which a football club competes. Lower-division clubs can also be exposed to significant risks of money laundering and its predicate offences. Member States should therefore only be able to exempt from the requirements of this Regulation football clubs in lower divisions that are associated with a proven low risk of money laundering, its predicate offences or terrorist financing.
(26)
This Regulation harmonises the measures to be put in place to prevent money laundering, its predicate offences and terrorist financing at Union level. At the same time, in line with the risk-based approach, Member States should be able to impose additional requirements in limited cases where they are confronted with specific risks. To ensure that such risks are adequately mitigated, obliged entities that have their head office located in another Member State should apply such additional requirements, whether they operate in that other Member State through freedom of establishment or under the freedom to provide services, provided they have an infrastructure in that other Member State. Furthermore, in order to clarify the relationship between those internal market freedoms, it is important to clarify what activities amount to an establishment.
(27)
Consistent with the case law of the Court of Justice of the European Union, unless specifically set out in sectorial legislation an establishment does not need to take the form of a subsidiary, branch or agency, but can consist of an office managed by an obliged entity’s own staff or by a person who is independent but authorised to act on a permanent basis for the obliged entity. According to that definition, which requires the actual pursuit of an economic activity at the place of establishment of the provider, a mere letter-box does not constitute an establishment. Equally, offices or other infrastructure used for supporting activities, such as mere back-office operations, IT-hubs or data centres operated by obliged entities, do not constitute an establishment. Conversely, activities such as the provision of crypto-asset services through ATMs constitute an establishment having regard to the limited physical equipment needed for operators that mainly service their customers through the internet, as is the case for crypto-asset service providers.
(28)
It is important that AML/CFT requirements apply in a proportionate manner and that the imposition of any requirement is proportionate to the role that obliged entities are able to play in the prevention of money laundering and terrorist financing. To that end, it should be possible for Member States, in line with the risk-based approach of this Regulation, to exempt certain operators from AML/CFT requirements where the activities they perform present low money laundering and terrorist financing risks and where the activities are limited in nature. To ensure transparent and consistent application of such exemptions across the Union, a mechanism should be put in place allowing the Commission to verify the necessity of the exemptions to be granted. The Commission should also publish such exemptions on a yearly basis in the Official Journal of the European Union.
(29)
A consistent set of rules on internal systems and controls that applies to all obliged entities operating in the internal market will strengthen AML/CFT compliance and make supervision more effective. In order to ensure adequate mitigation of money laundering and terrorist financing risks, as well as of risks of non-implementation or evasion of targeted financial sanctions, obliged entities should have in place an internal control framework consisting of risk–based policies, procedures and controls and a clear division of responsibilities throughout the organisation. In line with the risk-based approach of this Regulation, those policies, procedures and controls should be proportionate to the nature of the business, including its risks and complexity, and the size of the obliged entity and respond to the risks of money laundering and terrorist financing that the entity faces, including, for crypto-asset service providers, transactions with self-hosted wallets.
(30)
An appropriate risk-based approach requires obliged entities to identify the inherent risks of money laundering and terrorist financing as well as the risks of non-implementation or evasion of targeted financial sanctions that they face by virtue of their business in order to mitigate them effectively and to ensure that their policies, procedures and internal controls are appropriate to address those inherent risks. In doing so, obliged entities should take into account the characteristics of their customers, the products, services or transactions offered, including, for crypto-asset service providers, transactions with self-hosted addresses, the countries or geographical areas concerned and the distribution channels used. In light of the evolving nature of risks, such risk assessment should be regularly updated.
(31)
With a view to supporting a consistent and effective approach to the identification of risks affecting their businesses by obliged entities, AMLA should issue guidelines on minimum requirements for the content of the business-wide risk assessment and additional sources of information to be taken into account. Those sources could include information from international standard setters in the field of AML/CFT, such as FATF mutual evaluation reports, and other credible and reliable sources providing information on typologies, emerging risks and criminal activity, including corruption, such as reports from civil society organisations, media and academia.
(32)
It is appropriate to take account of the characteristics and needs of smaller obliged entities, and to ensure treatment which is appropriate to their specific needs, and the nature of the business. That might include exempting certain obliged entities from performing a risk assessment where the risks involved in the sector in which the entity operates are well understood.
(33)
The FATF has developed standards for jurisdictions to identify and assess the risks of potential non-implementation or evasion of the targeted financial sanctions related to proliferation financing, and to take action to mitigate those risks. Those new standards introduced by the FATF do not substitute nor undermine the existing strict requirements for countries to implement targeted financial sanctions to comply with the relevant United Nations Security Council (‘UNSC’) resolutions relating to the prevention, suppression and disruption of proliferation of weapons of mass destruction and its financing. Those existing obligations, as implemented at Union level by Council Decisions 2010/413/CFSP 
(
18
)
 and (CFSP) 2016/849 
(
19
)
 as well as by Council Regulations (EU) No 267/2012 
(
20
)
 and (EU) 2017/1509 
(
21
)
, remain binding on all natural and legal persons within the Union. Given the specific risks of non-implementation and evasion of targeted financial sanctions to which the Union is exposed, it is appropriate to expand the assessment of risks to encompass all targeted financial sanctions adopted at Union level. The risk-sensitive nature of AML/CFT measures related to targeted financial sanctions does not remove the rule-based obligation incumbent upon all natural or legal persons in the Union to freeze and not make funds or other assets available, directly or indirectly, to designated persons or entities.
(34)
In order to ensure that risks of non-implementation or evasion of targeted financial sanctions are appropriately mitigated, it is important to set out measures that obliged entities are required to implement, including measures to check their customer base against the lists of persons or entities designated under targeted financial sanctions. The requirements incumbent upon obliged entities under this Regulation do not remove the rule-based obligation to freeze and not make funds and other assets available, directly or indirectly, to individuals or entities subject to targeted financial sanctions that apply to all natural or legal persons in the Union. In addition, the requirements of this Regulation are not intended to replace obligations regarding the screening of customers for the implementation of targeted financial sanctions under other Union legal acts or under national law.
(35)
In order to reflect the latest developments at international level, a requirement is to be introduced by this Regulation to identify, understand, manage and mitigate risks of potential non-implementation or evasion of targeted financial sanctions at obliged entity level.
(36)
Listing or designations of individuals or entities by the UNSC or the UN Sanctions Committee are integrated into Union law by means of decisions and regulations adopted under Article 29 of the Treaty on European Union (TEU) and Article 215 of the Treaty on the Functioning of the European Union (TFEU) respectively that impose targeted financial sanctions on such individuals and entities. The process for adoption of such acts at Union level requires verification of compliance of any designation or listing with fundamental rights granted under the Charter. Between the moment of publication by the UN and the moment of entry into application of the Union acts transposing the UN listings or designations, in order to enable the effective application of targeted financial sanctions, obliged entities should keep records of the funds or other assets they hold for customers listed or designated under UN financial sanctions, or customers owned or controlled by listed or designated individuals or entities, of any attempted transaction and of transactions carried out for the customer, such as for the fulfilment of basic needs of the customer.
(37)
In assessing whether a customer who is a legal entity is owned or controlled by individuals designated under targeted financial sanctions, obliged entities should take into account the Council Guidelines on implementation and evaluation of restrictive measures (sanctions) in the framework of the Union common foreign and security policy and the Best Practices for the effective implementation of restrictive measures.
(38)
It is important that obliged entities take all measures at the level of their management to implement internal policies, procedures and controls and to implement AML/CFT requirements. While a member of the management body should be identified as being responsible for implementing the obliged entity’s internal policies, procedures and controls, the responsibility for compliance with AML/CFT requirements should rest ultimately with the management body of the entity. That attribution of responsibility should be without prejudice to national provisions on joint civil or criminal liability of management bodies. Tasks pertaining to the day-to-day implementation of the obliged entity’s AML/CFT internal policies, procedures and controls should be entrusted to the compliance officer.
(39)
It should be possible for each Member State to lay down in its national law that an obliged entity subject to prudential rules requiring the appointment of a compliance officer or of a head of the internal audit function can entrust those persons with the functions and responsibilities of AML/CFT compliance officer and internal audit function for AML/CFT purposes. In cases of higher risks, or where justified by the size of the obliged entity, it should be possible for the responsibilities of compliance controls and of the day-to-day operation of the obliged entity’s AML/CFT policies and procedures to be entrusted to two different persons.
(40)
For effective implementation of AML/CFT measures, it is also vital that the employees of obliged entities, as well as their agents and distributors, who have a role in that implementation understand the requirements and the internal policies, procedures and controls in place in the entity. Obliged entities should put in place measures, including training programmes, to this effect. Where necessary, obliged entities should provide basic training on AML/CFT measures to all those who have a role in implementing such measures. That includes not only the employees of obliged entities but also their agents and distributors.
(41)
Individuals entrusted with tasks related to an obliged entity’s compliance with AML/CFT requirements should undergo assessment of their skills, knowledge, expertise, integrity and conduct. Performance by employees of tasks related to the obliged entity’s compliance with the AML/CFT framework in relation to customers with whom they have a close private or professional relationship can lead to conflicts of interests and undermine the integrity of the system. Such relations might exist at the time of the establishment of the business relationship but can also arise thereafter. Therefore, obliged entities should have in place processes to manage and address conflicts of interests. Those processes should ensure that employees are prevented from performing any tasks related to the obliged entity’s compliance with the AML/CFT framework in relation to such customers.
(42)
Situations might occur where individuals who would qualify as obliged entities provide their services in-house to businesses whose activities do not fall within the scope of this Regulation. As those businesses do not act as gatekeepers of the Union’s financial system, it is important to clarify that such employees, for example in-house lawyers, are not covered by the requirements of this Regulation. Similarly, individuals carrying out activities that fall within the scope of this Regulation should not be considered obliged entities in their own right where those activities are carried out in the context of their employment with an obliged entity, for example in the case of lawyers or accountants employed with a legal or accounting firm.
(43)
The consistent implementation of group-wide AML/CFT policies and procedures is key to the robust and effective management of money laundering and terrorist financing risks within a group. To that end, group-wide policies, procedures and controls should be adopted and implemented by the parent undertaking. Entities within a group should be required to exchange information where such sharing is relevant for preventing money laundering and terrorist financing. Information sharing should be subject to sufficient guarantees in terms of confidentiality, data protection and use of information. AMLA should have the task of drawing up draft regulatory standards specifying the minimum requirements of group-wide procedures and policies, including minimum standards for information sharing within a group and the criteria for identifying parent undertakings for groups whose head office is located outside of the Union.
(44)
In order to ensure effective application of AML/CFT requirements where several obliged entities are directly or indirectly linked with each other and constitute, or are a part of, a group of entities, it is necessary to consider the broadest possible definition of a group. For that purpose, obliged entities should follow applicable accounting rules which allow structures with various types of economic links to be considered as groups. While a traditional group includes a parent undertaking and its subsidiaries, other types of group structures are equally relevant, for example group structures of several parent entities owning a single subsidiary, which have been referred to as entities permanently affiliated to a central body in Article 10 of Regulation (EU) No 575/2013 of the European Parliament and of the Council 
(
22
)
, or financial institutions which are members of the same institutional protection scheme referred to in Article 113(7) of that Regulation. Those structures are all groups according to accounting rules and should therefore be considered as groups for the purposes of this Regulation.
(45)
In addition to groups, other structures exist, such as networks or partnerships, in which obliged entities might share common ownership, management and compliance controls. To ensure a level playing field across the sectors whilst avoiding overburdening those sectors, AMLA should identify those situations where similar group-wide policies are to apply to those structures, taking into account the principle of proportionality.
(46)
There are circumstances where branches and subsidiaries of obliged entities are located in third countries where the minimum AML/CFT requirements, including data protection obligations, are less strict than the Union AML/CFT framework. In such situations, and in order to fully prevent the use of the Union’s financial system for the purposes of money laundering and terrorist financing and to ensure the highest standard of protection for personal data of Union citizens, those branches and subsidiaries should comply with AML/CFT requirements laid down at Union level. Where the law of a third country does not permit compliance with those requirements, for example because of limitations to the group’s ability to access, process or exchange information due to an insufficient level of data protection or banking secrecy law in that third country, obliged entities should take additional measures to ensure that branches and subsidiaries located in that country effectively handle the risks. AMLA should be tasked with developing draft regulatory technical standards specifying the type of such additional measures, taking into account the principle of proportionality.
(47)
Obliged entities might outsource tasks relating to the performance of certain AML/CFT requirements to a service provider. In the case of outsourcing relationships on a contractual basis between obliged entities and service providers not covered by AML/CFT requirements, any AML/CFT obligations upon those service providers arise only from the contract between the parties and not from this Regulation. Therefore, the responsibility for complying with AML/CFT requirements should remain entirely with the obliged entity. The obliged entity should in particular ensure that, where a service provider is involved for the purposes of remote customer identification, the risk-based approach is respected. Processes or arrangements that contribute to the performance of a requirement under this Regulation, but where the performance of the requirement itself is not carried out by a service provider, such as the use or acquisition of third-party software or the access to databases or screening services by the obliged entity, are not considered to be outsourcing.
(48)
The possibility to outsource tasks to a service provider allows obliged entities to decide on how to allocate their resources to comply with this Regulation, but does not relieve them of their obligation to understand whether the measures they undertake, including those outsourced to service providers, mitigate the money laundering and terrorist financing risks identified, and whether such measures are appropriate. In order to ensure that such understanding is in place, the final decisions on measures that have a bearing on the implementation of policies, procedures and controls should always rest with the obliged entity.
(49)
The notification of outsourcing arrangements to the supervisor does not imply an acceptance of the outsourcing arrangement. The information contained in that notification, in particular where critical functions are outsourced or where the obliged entity systematically outsources its functions, might however be taken into consideration by supervisors when assessing the obliged entity’s systems and controls, and when determining the residual risk profile or in preparation for inspections.
(50)
In order for outsourcing relationships to function efficiently, further clarity is needed around the conditions according to which outsourcing takes place. AMLA should have the task of developing guidelines on the conditions under which outsourcing can take place, as well as the roles and responsibilities of the respective parties. To ensure that consistent oversight of outsourcing practices is ensured throughout the Union, the guidelines should also provide clarity on how supervisors are to take into account such practices and verify compliance with AML/CFT requirements when obliged entities resort to those practices.
(51)
Customer due diligence requirements are essential to ensure that obliged entities identify, verify and monitor their business relationships with their clients, in relation to the money laundering and terrorist financing risks that they pose. Accurate identification and verification of data of prospective and existing customers are essential for understanding the risks of money laundering and terrorist financing associated with clients, whether they are natural or legal persons. Obliged entities should also understand on whose behalf or for the benefit of whom a transaction is carried out, for example in situations where credit institutions or financial institutions provide accounts to legal professionals for the purposes of receiving or holding their client’s funds as defined in Article 4, point (25), of Directive (EU) 2015/2366. In the context of customer due diligence, the person for the benefit of whom a transaction or activity is carried out does not refer to the recipient or beneficiary of a transaction carried out by the obliged entity for their customer.
(52)
It is necessary to achieve a uniform and high standard of customer due diligence in the Union, relying on harmonised requirements for the identification of customers and verification of their identity, and reducing national divergences to allow for a level playing field across the internal market and for a consistent application of provisions throughout the Union. At the same time, it is essential that obliged entities apply customer due diligence measures in a risk-based manner. The risk-based approach is not an unduly permissive option for obliged entities. It involves the use of evidence-based decision-making in order to target more effectively the risks of money laundering and terrorist financing facing the Union and those operating within it.
(53)
Civil society organisations that conduct charitable or humanitarian work in third countries contribute to the Union’s goals of achieving peace, stability, democracy and prosperity. Credit institutions and financial institutions play an important role in ensuring that such organisations can continue to conduct their work, by providing access to the financial system and important financial services that allow development and humanitarian funding to be channelled to developing or conflict areas. While obliged entities should be aware that activities conducted in certain jurisdictions expose them to a higher risk of money laundering or terrorist financing, the operation of civil society organisations in those jurisdictions should not, alone, result in the refusal to provide financial services or termination of such services, as the risk-based approach requires a holistic assessment of risks posed by individual business relationships, and the application of adequate measures to mitigate the specific risks. While credit institutions and financial institutions remain free to decide with whom they engage in contractual relationships, they should also be mindful of their central role in the functioning of the international financial system, and in enabling the movement of funds as defined in Article 4, point (25), of Directive (EU) 2015/2366 or of crypto-assets, for the important development and humanitarian goals that civil society organisations pursue. Such institutions should therefore make use of the flexibility allowed by the risk-based approach to mitigate the risks associated with business relationships in a proportionate manner. Under no circumstances should AML/CFT reasons be invoked to justify commercial decisions as regards prospective or existing clients.
(54)
Obliged entities should identify and take reasonable measures to verify the identity of the beneficial owner using reliable documents and sources of information. The consultation of central registers of beneficial ownership information (‘central registers’) allows obliged entities to ensure consistency with information obtained through the verification process and should not be the obliged entity’s primary source for verification. Where obliged entities identify discrepancies between information held in the central registers and the information they obtain from the customer or other reliable sources in the course of customer due diligence, they should report those discrepancies to the entity in charge of the relevant central register so that measures can be taken to resolve inconsistencies. That process contributes to the quality and reliability of information held in those registers, as part of a multi-pronged approach towards ensuring that information contained in central registers is accurate, adequate and up-to-date. In low-risk situations and where the beneficial owners are known to the obliged entity, it should be possible for obliged entities to allow the customer to report discrepancies where minor differences are identified that consist of errors of a typographical or similar technical nature.
(55)
The risks posed by foreign legal entities and foreign legal arrangements need to be adequately mitigated. Where a legal entity created outside the Union or an express trust or similar legal arrangement administered outside the Union, or whose trustee or person in an equivalent position resides or is established outside the Union, is about to enter into a business relationship with an obliged entity, the registration of the beneficial ownership information in the central register of a Member State should be a precondition for entering into the business relationship. However, for legal entities created outside the Union, the requirement should only apply in the case of medium-high or high risks of money laundering, its predicate offences or terrorist financing associated with the category of foreign legal entity, the sector in which the foreign legal entity operates, or in the case of medium-high or high risks of money laundering, its predicate offences or terrorist financing associated with the sector in which the obliged entity operates. The registration of the beneficial ownership information should also be a precondition for the continuation of a business relationship with a legal entity created outside the Union in a situation where that relationship becomes associated with such medium-high or high risks after its establishment.
(56)
The process of establishing a business relationship or carrying out the steps necessary to conduct an occasional transaction is triggered when the customer expresses an interest in acquiring a product or receiving a service from an obliged entity. The services offered by real estate agents include helping customers to find a property to purchase, sell, rent or lease. Such services start to be relevant for AML/CFT purposes where there is a clear indication that the parties are willing to proceed with the purchase, sale, rental or lease or with taking the necessary preparatory steps. That could be, for instance, the moment when an offer for the purchase or rental of the property is made and accepted by the parties. Prior to that moment, it would not be necessary to conduct due diligence on any prospective customer. Similarly, it would not be proportionate to conduct customer due diligence on persons that have not yet expressed an interest in going forward with the purchase or rental of a specific property.
(57)
Real estate transactions are exposed to money laundering and terrorist financing risks. In order to mitigate those risks, real estate operators intermediating the buying, selling and letting of immovable property should be subject to the requirements of this Regulation, regardless of their designation or principal business or profession, including property developers when and to the extent that they intermediate in the buying, selling and letting of immovable property.
(58)
The anonymity associated with certain electronic money products exposes them to money laundering and terrorist financing risks. There are however significant differences across the sector, and not all electronic money products bear the same level of risk. For example, certain low value electronic money products, such as prepaid gift cards or prepaid vouchers, might present low risks of money laundering or terrorist financing. In order to ensure that the requirements imposed on the sector are commensurate with its risk and do not effectively hamper its operation, it should be possible, in certain proven low-risk circumstances and under strict risk-mitigating conditions, to exempt those products from certain customer due diligence measures, such as the identification and verification of the customer and of the beneficial owner, but not from the monitoring of transactions or of business relationships. It should only be possible for supervisors to grant such an exemption upon verification of the proven low risk having regard to relevant risk factors to be defined by AMLA and in a way that effectively mitigates any risk of money laundering or terrorist financing and that precludes circumvention of AML/CFT rules. In any case, any exemption should be conditional on strict limits regarding the maximum value of the product, its exclusive use to purchase goods or services, and provided that the amount stored cannot be exchanged for other value.
(59)
Obliged entities should not be required to apply due diligence measures on customers carrying out occasional or linked transactions below a certain value, unless there is suspicion of money laundering or terrorist financing. Whereas the EUR 10 000, or the equivalent in national currency, threshold applies to most occasional transactions, obliged entities which operate in sectors or carry out transactions that present a higher risk of money laundering and terrorist financing should be required to apply customer due diligence measures for transactions with lower thresholds. To identify the sectors or transactions as well as the adequate thresholds for those sectors or transactions, AMLA should develop dedicated draft regulatory technical standards.
(60)
There are specific situations where, for the purposes of customer due diligence, the customer is not limited to the person transacting with the obliged entity. That is the case, for example, where only one notary is involved in a real estate transaction. In such cases, in order to ensure that adequate checks are carried out on the transaction to detect possible cases of money laundering, its predicate offences or terrorist financing, obliged entities should consider both the buyer and the seller as customers and apply customer due diligence measures on both parties. This Regulation should provide a list of such situations where the customer is not, or is not limited to, the direct customer of the obliged entity. Such a list should complement the understanding of who the customer is in typical situations and should not be understood as encompassing an exhaustive interpretation of the term. Similarly, a business relationship should not always require a contractual relationship or other formal engagement as long as the services are provided repeatedly or over a period of time so as to entail an element of duration. Where national law precludes obliged entities that are public officials from entering into contractual relationships with customers, such national law should not be construed as prohibiting obliged entities from treating a series of transactions as a business relationship for the purposes of AML/CFT.
(61)
The introduction of a Union-wide limit to large cash payments mitigates the risks associated with the use of such payments. However, obliged entities that carry out transactions in cash below that limit remain vulnerable to risks of money laundering and terrorist financing as they provide a point of entry into the Union’s financial system. Therefore, it is necessary to require the application of customer due diligence measures to mitigate the risks of misuse of cash. To ensure that the measures are proportionate with the risks posed by transactions of a value lower than EUR 10 000, such measures should be limited to the identification and verification of the customer and the beneficial owner when carrying out occasional transactions in cash of at least EUR 3 000. That limitation does not relieve the obliged entity from applying all customer due diligence measures whenever there is a suspicion of money laundering or terrorist financing, or from reporting suspicious transactions to the FIU.
(62)
Some business models are based on the obliged entity having a business relationship with a merchant for offering payment initiation services through which the merchant gets paid for the provision of goods or services, and not with the merchant’s customer, who authorises the payment initiation service to initiate a single or one-off transaction to the merchant. In such a business model, the obliged entity’s customer for the purpose of AML/CFT rules is the merchant, and not the merchant’s customer. Therefore, with respect to payment initiation services, customer due diligence measures should be applied by the obliged entity vis-a-vis the merchant. In relation to other financial services that fall within the scope of this Regulation, including where provided by the same operator, the determination of the customer should be done having regard to the services provided.
(63)
Gambling activities vary in nature, geographical scope and associated risks. In order to ensure a proportionate and risk-based application of this Regulation, it should be possible for Member States to identify gambling services associated with low money laundering and terrorist financing risks, such as State or private lotteries or State-administered gambling activities, and to decide not to apply all or some of the requirements of this Regulation to them. Given the potential cross-border effects of national exceptions, it is necessary to ensure a consistent application of a strict risk-based approach across the Union. To that end, the Commission should be enabled to approve Member States’ decisions, or to reject them where the exception is not justified by a proven low risk. In any case, no exception should be granted in relation to activities associated with higher risks. This is the case for activities such as casinos, online gambling and sport betting, but is not the case where online gambling activities are administered by the State, whether through direct provision of those services or through regulation of the way in which those gambling services are organised, operated and administered. In light of the risks for public health or of criminal activities that can be associated with gambling, national measures regulating the organisation, operation and administration of gambling, where genuinely pursuing goals of public policy, public security or public health, can contribute to reducing the risks associated with that activity.
(64)
The EUR 2 000, or the equivalent in national currency, threshold applicable to providers of gambling services is met regardless of whether the customer carries out a single transaction of at least that amount or several smaller transactions which add up to that amount. To that effect, providers of gambling services should be able to attribute transactions to a given customer even if they have not yet verified the customer’s identity, to be in a position to determine whether and when that threshold has been met. Thus, providers of gambling services should have systems in place that allow attribution and monitoring of transactions prior to the application of the requirement to conduct customer due diligence. In the case of casinos or other physical gambling premises, it can be impractical to check the customer’s identity upon each transaction. In such cases, it should be possible to identify the customer and verify the customer’s identity upon entry into the gambling premises, provided that systems are in place to attribute transactions carried out at the gambling premises, including the purchase or exchange of gambling chips, to that customer.
(65)
Directive (EU) 2015/849, despite having harmonised the rules of Member States in the area of customer identification obligations to a certain degree, did not lay down detailed rules in relation to the procedures to be followed by obliged entities. In view of the crucial importance of that aspect in the prevention of money laundering and terrorist financing, it is appropriate, in accordance with the risk-based approach, to introduce more specific and detailed provisions on the identification of the customer and on the verification of the customer’s identity, whether in relation to natural or legal persons, legal arrangements such as trusts, or entities having legal capacity under national law.
(66)
Technological developments and progress in digitalisation enable a secure remote or electronic identification and verification of prospective and existing customers and can facilitate the remote performance of customer due diligence. The identification solutions as set out in Regulation (EU) No 910/2014 of the European Parliament and of the Council 
(
23
)
 enable secure and trusted means of customer identification and verification for both prospective and existing customers and can facilitate the remote performance of customer due diligence. The electronic identification as set out in that Regulation should be taken into account and accepted by obliged entities for the customer identification process. The use of such means of identification can reduce, where appropriate risk mitigation measures are in place, the risk level to standard or even low. Where such electronic identification is not available to a customer, for example due to the nature of their residence status in a given Member State or their residence in a third country, verification should take place through relevant qualified trust services.
(67)
To ensure that the AML/CFT framework prevents illicit funds from entering the financial system, obliged entities should carry out customer due diligence before entering into business relationships with prospective clients, in line with the risk-based approach. Nevertheless, in order not to unnecessarily delay the normal conduct of business, obliged entities should be able to collect the information from the prospective customer during the establishment of a business relationship. Credit institutions and financial institutions should be able to obtain the necessary information from the prospective customers once the relationship is established, provided that transactions are not initiated until the customer due diligence process is successfully completed.
(68)
The customer due diligence process is not limited to the identification and verification of the customer’s identity. Before entering into business relationships or carrying out occasional transactions, obliged entities should also assess the purpose and nature of a business relationship or occasional transaction. Pre-contractual or other information about the proposed product or service that is communicated to the prospective customer can contribute to the understanding of that purpose. Obliged entities should always be able to assess the purpose and nature of a prospective business relationship or occasional transaction in an unambiguous manner. Where the offered service or product enables customers to carry out various types of transactions or activities, obliged entities should obtain sufficient information on the intention of the customer regarding the use to be made of that relationship.
(69)
To ensure the effectiveness of the AML/CFT framework, obliged entities should regularly review the information obtained from their customers, in accordance with the risk-based approach. Business relationships are likely to evolve as the customer’s circumstances and the activities they conduct through the business relationship change over time. In order to maintain a comprehensive understanding of the customer risk profile and conduct meaningful scrutiny of transactions, obliged entities should regularly review the information obtained from their customers, in accordance with the risk-based approach. Such reviews should be done on a periodic basis but should also be triggered by changes in relevant circumstances of the customer, when facts and information point towards a potential change in the risk profile or identification details of the customer. To that end, the obliged entity should consider the need to review the customer file in response to material changes, such as a change in the jurisdictions transacted with, in the value or volume of transactions, upon requests for new products or services that are significantly different in terms of risk, or following changes in beneficial ownership.
(70)
In the context of repeated clients for whom customer due diligence measures have recently been conducted, it should be possible for customer due diligence measures to be fulfilled by obtaining a confirmation from the customer that the information and documents held in the records have not changed. Such a method facilitates the application of AML/CFT obligations in situations where the obliged entity is confident that the information pertaining to the customer has not changed, as it is incumbent on obliged entities to ensure that they take adequate customer due diligence measures. In all cases, the confirmation received from the customer, and any changes to the information held on the customer, should be recorded.
(71)
Obliged entities might provide more than one product or service in the context of a business relationship. In those circumstances, the requirement to update information, data and documents at regular intervals is not intended to target the individual product or service, but the business relationship in its entirety. It is for the obliged entities to assess, across the range of products or services provided, when the relevant circumstances of the customer change, or when other conditions triggering the updating of the customer due diligence are met, and to proceed to review the customer file in relation to the entirety of the business relationship.
(72)
Obliged entities should also set up a monitoring system to detect transactions that might raise money laundering or terrorist financing suspicions. To ensure the effectiveness of the transaction monitoring, obliged entities’ monitoring activity should in principle cover all services and products offered to customers and all transactions which are carried out on behalf of the customer or offered to the customer by the obliged entity. However, not all transactions need to be scrutinised individually. The intensity of the monitoring should respect the risk-based approach and be designed around precise and relevant criteria, taking account, in particular, of the characteristics of the customer and the risk level associated with them, the products and services offered, and the countries or geographical areas concerned. AMLA should develop guidelines to ensure that the intensity of the monitoring of business relationships and of transactions is adequate and proportionate to the level of risk.
(73)
Terminating the business relationship where customer due diligence measures cannot be complied with reduces the obliged entity’s exposure to risks posed by possible changes in the customer’s profile. However, there might be situations where the termination should not be pursued due to public interest goals. This is the case, for example, in relation to life insurance contracts, where obliged entities should, where necessary, as an alternative to termination take measures to freeze the business relationship including by prohibiting any further services to that customer and withholding the payout to beneficiaries, until customer due diligence measures can be complied with. Additionally, certain products and services require the obliged entity to continue holding or receiving the customer’s funds as defined in Article 4, point (25), of Directive (EU) 2015/2366, for example in the context of lending, payment accounts or the taking of deposits. That should however not be treated as an impediment to the requirement to terminate the business relationship, which can be achieved by ensuring that no transactions or activities are carried out for the customer.
(74)
In order to ensure consistent application of this Regulation, AMLA should have the task of drawing up draft regulatory technical standards on customer due diligence. Those regulatory technical standards should set out the minimum set of information to be obtained by obliged entities in order to enter into new business relationships with customers or assess ongoing ones, according to the level of risk associated with each customer. Furthermore, the draft regulatory technical standards should provide sufficient clarity to allow market players to develop secure, accessible and innovative means of verifying customers’ identity and performing customer due diligence, including remotely, while respecting the principle of technology neutrality. Those specific tasks are in line with the role and responsibilities of AMLA as provided in Regulation (EU) 2024/1620.
(75)
The harmonisation of customer due diligence measures will contribute to achieving consistent, and consistently effective, understanding of the risks associated with an existing or prospective customer regardless of where the business relationship is opened in the Union. That harmonisation should also ensure that the information obtained in the performance of customer due diligence is not used by obliged entities to pursue de-risking practices which might result in circumventing other legal obligations, in particular those laid down in Directive 2014/92/EU of the European Parliament and of the Council 
(
24
)
 or Directive (EU) 2015/2366, without achieving the Union’s objectives in the prevention of money laundering and terrorist financing. To enable the proper supervision of compliance with the customer due diligence obligations, it is important that obliged entities keep record of the actions undertaken and the information obtained during the customer due diligence process, irrespective of whether a new business relationship is established with them and of whether they have submitted a suspicious transaction report upon refusing to establish a business relationship. Where the obliged entity takes a decision to not enter into a business relationship with a prospective customer, or to terminate an existing business relationship, to refuse to carry out an occasional transaction, or to apply alternative measures to terminating a business relationship, the customer due diligence records should include the grounds for such a decision. That will enable supervisory authorities to assess whether obliged entities have appropriately calibrated their customer due diligence practices and how the entity’s risk exposure evolves, as well as help to build statistical evidence on the application of customer due diligence rules by obliged entities throughout the Union.
(76)
The approach for the review of existing customers in the current AML/CFT framework is already risk-based. However, given the higher risk of money laundering, its predicate offences and terrorist financing associated with certain intermediary structures, that approach might not allow for the timely detection and assessment of risks. It is therefore important to ensure that clearly specified categories of existing customers are also monitored on a regular basis.
(77)
Risk itself is variable in nature, and the variables, on their own or in combination, can increase or decrease the potential risk posed, thus having an impact on the appropriate level of preventive measures, such as customer due diligence measures.
(78)
In low risk situations, obliged entities should be able to apply simplified due diligence measures. That does not equate to an exemption or absence of customer due diligence measures. It rather consists of a simplified or reduced set of scrutiny measures, which should however address all components of the standard due diligence procedure. In line with the risk-based approach, obliged entities should nevertheless be able to reduce the frequency or intensity of their customer or transaction scrutiny, or rely on adequate assumptions with regard to the purpose of the business relationship or use of simple products. The regulatory technical standards on customer due diligence should set out the specific simplified measures that obliged entities are able to implement in the case of lower risk situations identified in the risk assessment at Union level conducted by the Commission. When developing draft regulatory technical standards, AMLA should have due regard to preserving social and financial inclusion.
(79)
It should be recognised that certain situations present a greater risk of money laundering or terrorist financing. Although the identity and business profile of all customers should be established with the regular application of customer due diligence measures, there are cases in which particularly rigorous customer identification and verification procedures are required. Therefore, it is necessary to lay down detailed rules on such enhanced due diligence measures, including specific enhanced due diligence measures for cross-border correspondent relationships.
(80)
Cross-border correspondent relationships with a third country’s respondent institution are characterised by their on-going, repetitive nature. Moreover, not all cross-border correspondent banking services present the same level of money laundering and terrorist financing risks. Therefore, the intensity of the enhanced due diligence measures should be determined by application of the principles of the risk-based approach. However, the risk-based approach should not be applied when interacting with a third country’s respondent institutions that have no physical presence where they are created, or with unregistered and unlicensed entities providing crypto-asset services. Given the high risk of money laundering and terrorist financing inherent in shell institutions, credit institutions and financial institutions should refrain from entertaining any correspondent relationship with such shell institutions, as well as with counterparts in third countries that allow their accounts to be used by shell institutions. To avoid misuse of the Union’s financial system to provide unregulated services, crypto-assets service providers should also ensure that their accounts are not used by nested exchanges and should have in place policies and procedures to detect any such attempt.
(81)
In the context of the performance of their oversight function, supervisors might identify situations where breaches of AML/CFT requirements by third-country respondent institutions, or weaknesses in their implementation of the AML/CFT requirements, cause risks to the Union’s financial system. In order to mitigate those risks, it should be possible for AMLA to address recommendations to credit institutions and financial institutions in the Union in order to inform them of its views regarding the deficiencies of those third-country respondent institutions. Those recommendations should be issued where AMLA and financial supervisors in the Union agree that the breaches and weaknesses in place in the third-country respondent institutions are likely to affect the risk exposure of correspondent relationships by credit institutions and financial institutions in the Union, and provided that the third-country respondent institution and its supervisor have had the opportunity to provide their views. In order to preserve the good functioning of the Union’s financial system, credit institutions and financial institutions should take adequate measures in response to recommendations by AMLA, including by abstaining from entering into or continuing a correspondent relationship unless they can put in place sufficient mitigating measures to address the risks posed by the correspondent relationship.
(82)
In the context of enhanced due diligence measures, obtaining approval from senior management for establishing business relationships does not need to imply, in all cases, obtaining approval from the board of directors. It should be possible for such approval to be granted by someone with sufficient knowledge of the entity’s money laundering and terrorist financing risk exposure and of sufficient seniority to take decisions affecting its risk exposure.
(83)
In order to protect the proper functioning of the Union’s financial system from money laundering and terrorist financing, the Commission should be empowered to adopt delegated acts to identify third countries whose shortcomings in their national AML/CFT regimes represent a threat to the integrity of the Union’s internal market. The changing nature of money laundering and terrorist financing threats from outside the Union, facilitated by a constant evolution of technology and of the means at the disposal of criminals, requires that quick and continuous adaptations of the legal framework as regards third countries be made in order to address efficiently existing risks and prevent new ones from arising. The Commission should take into account, as a baseline for its assessment, information from international organisations and standard setters in the field of AML/CFT, such as FATF public statements, mutual evaluation or detailed assessment reports or published follow-up reports, and adapt its assessments to the changes therein, where appropriate. The Commission should act within 20 days of ascertaining shortcomings in a third country’s AML/CFT regime that pose a threat to the integrity of the Union’s internal market.
(84)
Third countries which are ‘subject to a call for action’ by the relevant international standard-setter, namely the FATF, present significant strategic deficiencies of a persistent nature in their legal and institutional AML/CFT frameworks and their implementation which are likely to pose a high risk to the Union’s financial system. The persistent nature of those significant strategic deficiencies, reflective of the lack of commitment or continued failure by the third country to tackle them, signal a heightened level of threat emanating from those third countries, which requires an effective, consistent and harmonised mitigating response at Union level. Therefore, obliged entities should be required to apply the whole set of available enhanced due diligence measures to occasional transactions and business relationships involving those high-risk third countries to manage and mitigate the underlying risks. Furthermore, the high level of risk justifies the application of additional specific countermeasures, whether at the level of obliged entities or by the Member States. Such an approach would avoid divergence in the determination of the relevant countermeasures, which would expose the entirety of Union’s financial system to risks. Where Member States identify specific risks that are not mitigated, they should be able to apply additional countermeasures, in which case they should notify the Commission thereof. Where the Commission considers that those risks are of relevance for the internal market, it should be able to update the relevant delegated act to include the necessary additional countermeasures to mitigate those risks. Where the Commission considers that those countermeasures are not necessary and undermine the proper functioning of the Union’s internal market, it should be empowered to decide that the Member State put an end to the specific countermeasure. Prior to triggering the procedure for that decision, the Commission should provide an opportunity to the Member State concerned to submit its views on the consideration of the Commission. Given its technical expertise, AMLA can provide useful input to the Commission in identifying the appropriate countermeasures.
(85)
Compliance weaknesses in both the legal and institutional AML/CFT framework and its implementation in third countries which are subject to ‘increased monitoring’ by the FATF are susceptible to be exploited by criminals. This is likely to represent a risk for the Union’s financial system, and that risk needs to be managed and mitigated. The commitment of those third countries to address identified weaknesses, while not eliminating the risk, justifies a mitigating response less severe than that applicable to high-risk third countries. Where such third countries commit to address identified weaknesses, obliged entities should apply enhanced due diligence measures to occasional transactions and business relationships when dealing with natural persons or legal entities established in those third countries that are tailored to the specific weaknesses identified in each third country. Such granular identification of the enhanced due diligence measures to be applied would, in line with the risk-based approach, also ensure that the measures are proportionate to the level of risk. To ensure such consistent and proportionate approach, the Commission should be able to identify which specific enhanced due diligence measures are required in order to mitigate country-specific risks. Given AMLA’s technical expertise, it can provide useful input to the Commission to identify the appropriate enhanced due diligence measures.
(86)
Countries that are not publicly identified as subject to calls for actions or increased monitoring by the FATF might still pose a specific and serious threat to the integrity of the Union’s financial system, which could be due either to compliance weaknesses or to significant strategic deficiencies of a persistent nature in their AML/CFT regime. To mitigate those specific risks, that cannot be mitigated through measures applicable to countries with strategic deficiencies or countries with compliance weaknesses, it should be possible for the Commission to take action in exceptional circumstances by identifying such third countries, based on a clear set of criteria and with the support of AMLA. According to the level of risk posed to the Union’s financial system, the Commission should require the application either of all enhanced due diligence measures and country-specific countermeasures, in relation to high-risk third countries, or of country-specific enhanced due diligence measures, in relation to third countries with compliance weaknesses.
(87)
In order to ensure a consistent identification of third countries that pose a specific and serious threat to the Union’s financial system, while not being publicly identified as subject to calls for actions or increased monitoring by the FATF, the Commission should be able to set out, by means of an implementing act, the methodology for the identification in exceptional circumstances of such third countries. That methodology should include in particular how the criteria are to be assessed and the process for the interaction with such third countries and for the involvement of Member States and AMLA in the preparatory stages of such identification.
(88)
Considering that there could be changes to the AML/CFT frameworks of third countries identified under this Regulation, or in their implementation, for example as result of the country’s commitment to address the identified weaknesses or of the adoption of relevant AML/CFT measures to tackle them, which could change the nature and level of the risks emanating from them, the Commission should regularly review the identification of those specific enhanced due diligence measures in order to ensure that they remain proportionate and adequate.
(89)
Potential external threats to the Union’s financial system do not only emanate from third countries, but can also emerge in relation to specific customer risk factors or products, services, transactions or delivery channels which are observed in relation to a specific geographical area outside the Union. There is therefore a need to identify money laundering and terrorist financing trends, risks and methods to which Union’s obliged entities might be exposed. AMLA is best placed to detect any emerging money laundering and terrorist financing typologies from outside the Union, in order to monitor their evolution with a view to providing guidance to the Union’s obliged entities on the need to apply enhanced due diligence measures aimed at mitigating such risks.
(90)
Relationships with individuals who hold or who have held important public functions, within the Union or internationally, and in particular individuals from countries where corruption is widespread, could expose the financial sector to significant reputational and legal risks. The international effort to combat corruption also justifies the need to pay particular attention to such persons and to apply appropriate enhanced due diligence measures with respect to persons who are or who have been entrusted with prominent public functions and with respect to senior figures in international organisations. Therefore, it is necessary to specify measures which obliged entities should apply with respect to transactions or business relationships with politically exposed persons. To facilitate the risk-based approach, AMLA should be tasked with issuing guidelines on assessing the level of risks associated with a particular category of politically exposed persons, their family members or persons known to be close associates.
(91)
Risks associated with persons who are or who have been entrusted with prominent public functions are not limited to the national level but can also exist at regional or municipal levels. This is particularly true at the local level for densely populated areas, such as cities, which alongside the regional level often manage significant public funds and access to critical services or permits, with a resulting risk of corruption and associated money laundering. Therefore, it is necessary to include in the category of persons who are or who have been entrusted with prominent public functions the heads of regional and local authorities, including groupings of municipalities and metropolitan regions, with at least 50 000 inhabitants. At the same time, it should be acknowledged that the geography and administrative organisation of Member States vary significantly, and Member States should be able, where appropriate, to set a lower threshold to cover the relevant local authorities on the basis of risk. Where Member States decide to set lower thresholds, they should communicate those lower thresholds to the Commission.
(92)
Members of the administrative, management or supervisory bodies of enterprises controlled by the state or by regional or local authorities can also be exposed to risks of corruption and associated money laundering. Given the size of the budget of such enterprises and the funds under management, such risks are particularly acute in relation to senior executive members in enterprises controlled by the state. Risks can also arise in relation to enterprises of a significant size controlled by regional and local authorities. As a result, the senior executives in enterprises controlled by regional or local authorities should be considered as politically exposed persons where those enterprises qualify as medium-sized or large undertakings or groups as defined in Article 3 of Directive 2013/34/EU of the European Parliament and of the Council 
(
25
)
. However, recognising the geographical and administrative organisational differences, and the powers and responsibilities associated with those enterprises and their senior executives, Member States should be able to choose to set a lower annual turnover threshold on the basis of risk. In such a case, Member States should notify the Commission of that decision.
(93)
In order to identify politically exposed persons in the Union, lists should be issued by Member States indicating the specific functions which, in accordance with national laws, regulations and administrative provisions, qualify as prominent public functions. Member States should request each international organisation accredited on their territories to issue and keep up-to-date a list of prominent public functions at that international organisation. The Commission should be tasked with compiling and issuing a list, which should be valid across the Union, as regards persons entrusted with prominent public functions in Union institutions or bodies. In order to ensure a harmonised approach to the identification and notification of prominent public functions, the Commission should be able to set out, by means of an implementing act, the format to be used for Member States’ notifications, and should be empowered to adopt delegated acts supplementing the categories of prominent public functions identified by this Regulation, where they are common across Member States.
(94)
Where customers are no longer entrusted with a prominent public function, they can still pose a higher risk, for example because of the informal influence they could still exercise, or because their previous and current functions are linked. It is essential that obliged entities take into consideration those continuing risks and apply one or more enhanced due diligence measures until such time that the individuals are deemed to pose no further risk, and in any case for not less than 12 months following the time when they cease to be entrusted with a prominent public function.
(95)
Insurance companies often do not have client relationships with beneficiaries of the insurance policies. However, they should be able to identify cases of higher risk, such as when the proceeds of the policy benefit a politically exposed person. To determine whether this is the case, the insurance policy should include reasonable measures to identify the beneficiary, as if that person were a new client. It should be possible for such measures to be taken at the time of the payout or at the time of the assignment of the policy, but not later.
(96)
Close private and professional relationships might be abused for money laundering and terrorist financing purposes. For that reason, measures concerning politically exposed persons should also apply to their family members and persons known to be close associates. Properly identifying family members and persons known to be close associates might depend on the socio-economic and cultural structure of the country of the politically exposed person. Against that background, AMLA should have the task of issuing guidelines on the criteria to use to identify persons who should be considered as close associates.
(97)
Relationships with family members which might be abused by politically exposed persons do not only cover those with parents and descendants but can also include those with siblings. This is particularly the case for categories of politically exposed persons who hold senior central government posts. In recognition, however, of differing socio-economic and cultural structures in existence at national level, which might influence the potential for abuse of sibling relationships, Member States should be able to apply a broader scope for the designation of siblings as family members of politically exposed persons to adequately mitigate the risks of abuse of those relationships. Where Member States decide to apply a broader scope, they should communicate the details of that broader scope to the Commission.
(98)
The requirements relating to politically exposed persons, their family members and persons known to be close associates are of a preventive and not criminal nature, and should not be interpreted as implying that politically exposed persons, their family members or close associates are involved in criminal activity. Refusing a business relationship with a person simply on the basis of a determination that they are a politically exposed person or a family member or a person known to be a close associate of a politically exposed person is contrary to the letter and spirit of this Regulation.
(99)
Given the vulnerability of residency-by-investment schemes to money laundering, tax crimes, corruption and the evasion of targeted financial sanctions, as well as the potential associated significant security threats for the Union as a whole, it is appropriate that obliged entities carry out, as a minimum, specific enhanced due diligence with respect to customers who are third-country nationals who are in the process of applying for residence rights in a Member State within the framework of those schemes.
(100)
The provision of personalised asset management services to individuals with a high level of wealth might expose credit institutions, financial institutions and trust or company service providers to specific risks including those arising from the complex and often personalised nature of such services. It is therefore necessary to specify a set of enhanced due diligence measures that should be applied, as a minimum, where such business relationships are deemed to pose a high risk of money laundering, its predicate offences or terrorist financing. The determination that a customer holds assets with a value of at least EUR 50 000 000, or the equivalent in national or foreign currency, takes into account financial and investable assets including cash and cash equivalents, whether held as deposits or in savings products, as well as investments such as stocks, bonds and mutual funds, even when they are held under long-term agreements with that obliged entity. Furthermore, the value of the customer’s real estate assets, excluding his or her private residence, should be taken into account. For the purposes of making that determination, credit institutions, financial institutions and trust or company service providers need not carry out or request a precise calculation of the customer’s total wealth. Rather, such entities should take measures to establish whether a customer holds assets with a value of at least EUR 50 000 000, or the equivalent in national or foreign currency, in financial, investable or real estate assets.
(101)
In order to avoid repeated customer identification procedures, it is appropriate, subject to suitable safeguards, to allow obliged entities to rely on the customer information collected by other obliged entities. Where an obliged entity relies on another obliged entity, the ultimate responsibility for customer due diligence should remain with the obliged entity which chooses to rely on the customer due diligence performed by another obliged entity. The obliged entity relied upon should also retain its own responsibility for compliance with AML/CFT requirements, including the requirement to report suspicious transactions and retain records.
(102)
The introduction of harmonised AML/CFT requirements across the Union, including with regard to group-wide policies and procedures, information exchange and reliance allows obliged entities operating within a group to leverage to the maximum the systems in place within that group in situations concerning the same customers. Those rules permit not only consistent and efficient implementation of AML/CFT rules across the group but also benefit from economies of scale at group level, for example by making it possible for obliged entities within the group to rely on the outcomes of processes adopted by other obliged entities within the group to comply with their customer identification and verification requirements.
(103)
In order for reliance on measures carried out by a third-party to function efficiently, further clarity is needed around the conditions according to which such reliance takes place. AMLA should have the task of developing guidelines on the conditions under which third-party reliance can take place, as well as the roles and responsibilities of the respective parties. To ensure that consistent oversight of reliance is ensured throughout the Union, those guidelines should also provide clarity on how supervisors should take into account such practices and verify compliance with AML/CFT requirements where obliged entities resort to those practices.
(104)
The concept of beneficial ownership was introduced to increase transparency of complex corporate structures. The need to access accurate, up-to-date and adequate information on the beneficial owner is a key factor in tracing criminals who might otherwise be able to hide their identity behind such opaque structures. Member States are currently required to ensure that corporate and other legal entities, as well as express trusts and other similar legal arrangements, obtain and hold adequate, accurate and up-to-date information on their beneficial ownership. However, the degree of transparency imposed by Member States varies. The rules are subject to divergent interpretations, and that results in different methods to identify beneficial owners of a given legal entity or legal arrangement. This is due, inter alia, to inconsistent methods of calculating indirect ownership of a legal entity or legal arrangement, and differences between the legal systems of the Member States. This hampers the transparency that was intended to be achieved. It is therefore necessary to clarify the rules to achieve a consistent definition of beneficial owner and its application across the internal market.
(105)
The application of the rules for identifying the beneficial ownership of legal entities, as well as of legal arrangements, can give rise to implementation questions when relevant stakeholders are confronted with concrete cases, especially in instances of complex corporate structures, where the criteria of ownership interest and control coexist, or for the purposes of determining indirect ownership or control. In order to support the application of those rules by legal entities, trustees or persons holding an equivalent position in similar legal arrangements and obliged entities, and consistent with the harmonisation goal of this Regulation, it should be possible for the Commission to adopt guidelines setting out how rules to identify the beneficial owners in different scenarios are to be applied, including through the use of case examples.
(106)
A meaningful identification of the beneficial owners requires a determination of whether control is exercised via other means. The determination of the existence of an ownership interest or of control through an ownership interest is necessary but not sufficient and it does not exclude the need for checks to determine the beneficial owners. The test as to whether any natural person exercises control via other means is not a subsequent test to be performed only where it is not possible to determine an ownership interest. The two tests, namely that of existence of an ownership interest or control through an ownership interest and that of control via other means, should be performed in parallel.
(107)
An ownership of 25 % or more of the shares or voting rights or other ownership interest in general establishes the beneficial ownership of a corporate entity. Ownership interest should encompass both control rights and rights that are significant in terms of receiving a benefit, such as a right to a share of profits or other internal resources or liquidation balance. There might, however, be situations where the risk of certain categories of corporate entities being misused for money laundering or terrorist financing purposes is higher, for example due to the specific higher risk sectors in which those corporate entities operate. In such situations, enhanced transparency measures are necessary to dissuade criminals from setting up or infiltrating those entities, either through direct or indirect ownership or control. In order to ensure that the Union is able to adequately mitigate such varying levels of risk, it is necessary to empower the Commission to identify those categories of corporate entities that should be subject to lower beneficial transparency thresholds. To that end, Member States should inform the Commission where they identify categories of corporate entities that are exposed to higher money laundering and terrorist financing risks. In those notifications, it should be possible for Member States to indicate a lower ownership threshold that they consider would mitigate those risks. Such identification should be ongoing and should rely on the results of the risk assessment at Union level and of the national risk assessment as well as on relevant analyses and reports produced by AMLA, Europol or other Union bodies that have a role in the prevention, investigation and prosecution of money laundering and terrorist financing. That lower threshold should be of a sufficiently low level to mitigate the higher risks that corporate entities be misused for criminal purposes. To that end, that lower threshold should in general not be set at more than 15 % of the shares or voting rights or other ownership interest. However, there might be cases in which, on the basis of a risk-sensitive assessment, a higher threshold would be more proportionate to address the identified risks. In those cases, it should be possible for the Commission to set the threshold between 15 % and 25 % of the ownership interest.
(108)
By their complex nature, multi-layered ownership and control structures make the identification of beneficial owners more difficult. The concept of ‘ownership or control structure’ is intended to describe the way in which a legal entity is indirectly owned or controlled, or in which a legal arrangement is indirectly controlled, as a result of the relationships that exist between legal entities or arrangements across multiple layers. In order to ensure a consistent approach throughout the internal market, it is necessary to clarify the rules that apply to those situations. For that purpose, it is necessary to assess simultaneously whether any natural person has a direct or indirect shareholding with 25 % or more of the shares or voting rights or other ownership interest, and whether any natural person controls the direct shareholder with 25 % or more of the shares or voting rights or other ownership interest in the corporate entity. In the case of indirect shareholding, the beneficial owners should be identified by multiplying the shares in the ownership chain. To that end, all shares directly or indirectly owned by the same natural person should be added together. That requires the shareholding on every level of ownership to be taken into account. Where 25 % of the shares or voting rights or other ownership interest in the corporate entity are owned by a shareholder that is a legal entity other than a corporate entity, the beneficial ownership should be determined having regard to the specific structure of the shareholder, including whether any natural person exercises control through other means over a shareholder.
(109)
The determination of the beneficial owner of a corporate entity in situations where the shares of the corporate entity are held in a legal arrangement, or where they are held by a foundation or similar legal entity, might be more difficult in view of the different nature and identification criteria of beneficial ownership between legal entities and legal arrangements. It is therefore necessary to set out clear rules to deal with those situations of multi-layered structure. In such cases, all beneficial owners of the legal arrangement, or of a similar legal entity such as a foundation, should be the beneficial owners of the corporate entity whose shares are held in the legal arrangement or held by the foundation.
(110)
A common understanding of the concept of control and a more precise definition of the means of control are necessary to ensure consistent application of the rules across the internal market. Control should be understood as the effective ability to impose one’s will on the corporate entity’s decision-making on substantive issues. The usual means of control is a majority share of voting rights. The position of beneficial owner can also be established by control via other means without having significant, or any, ownership interest. For that reason, in order to ascertain all individuals that are beneficial owners of a legal entity, control should be identified independently of ownership interest. Control can generally be exercised by any means, including legal and non-legal means. Those means might be taken into account for assessing whether control via other means is exercised, depending on the specific situation of each legal entity.
(111)
Indirect ownership or control might be determined by multiple links in a chain or by multiple individual or interlinked chains. A link in a chain could be any natural or legal person or a legal arrangement. The relationships between the links might consist of ownership interest or voting rights or other means of control. In such cases, where ownership interest and control coexist in the ownership structure, specific and detailed rules on the identification of the beneficial ownership are needed to support a harmonised approach to the identification of beneficial owners.
(112)
In order to ensure effective transparency, the widest possible range of legal entities and legal arrangements created or set up in the territory of Member States should be covered by beneficial ownership rules. That includes corporate entities, which are characterised by the possibility to hold ownership interest in them, as well as other legal entities and legal arrangements similar to express trusts. Due to differences in the legal systems of Member States, those broad categories encompass a variety of different organisational structures. Member States should notify to the Commission a list of the types of legal entities where the beneficial owners are identified in line with the rules for the identification of beneficial owners for both corporate and other legal entities.
(113)
The specific nature of certain legal entities, such as associations, trade unions, political parties or churches, does not result in a meaningful identification of beneficial owners based on ownership interests or membership. In those cases, however, it can be the case that the senior managing officials exercise control over the legal entity by other means. In those cases, such officials should be reported as the beneficial owners.
(114)
To ensure the consistent identification of beneficial owners of express trusts and similar legal entities, such as foundations, or similar legal arrangements, it is necessary to lay down harmonised beneficial ownership rules. Member States should be required to notify to the Commission a list of the types of legal entities and legal arrangements similar to express trusts where the beneficial owners are identified according to the identification of beneficial owners for express trusts and similar legal entities or arrangements. The Commission should be able to adopt, by means of an implementing act, a list of legal arrangements and legal entities governed by the law of Member States, which have a structure or function similar to express trusts.
(115)
Discretionary trusts allow their trustees discretion on the allocation of the trust assets or benefits derived from them. As such, no beneficiaries or class of beneficiaries is determined from the outset, but rather a pool of persons from among which the trustees can choose the beneficiaries, or persons who will become beneficiaries should the trustees not exercise their discretion. As recognised by the recent revision of FATF standards regarding legal arrangements, such discretion can be misused and allow for the obfuscation of beneficial owners if a minimum level of transparency is not imposed for discretionary trusts, as transparency on beneficiaries would only be achieved upon the exercise of the trustees’ discretion. Therefore, in order to ensure an adequate and consistent transparency for all types of legal arrangements, it is important that, in the case of discretionary trusts, information is also collected on the objects of a trustee’s power and on the default takers who would receive the assets or benefits if the trustees fail to exercise their discretion. There are situations where objects of a power or default takers might not be identified individually, but as a class. In those cases, information on the class should be collected, as well as information on the individual persons who are selected from the class.
(116)
The characteristics of express trusts and similar legal arrangements in Member States vary. In order to ensure a harmonised approach, it is appropriate to set out common principles for the identification of such arrangements. Express trusts are trusts set up at the initiative of the settlor. Trusts set up by law or that do not result from the explicit intent of the settlor to set them up should be excluded from the scope of this Regulation. Express trusts are usually set up in the form of a document such as a written deed or written instrument of trust, and usually fulfil a business or personal need. Legal arrangements similar to express trusts are arrangements without legal personality which are similar in structure or functions. The determining factor is not the designation of the type of legal arrangement, but the fulfilment of the basic features of the definition of an express trust, namely the settlor’s intention to place the assets under the administration and control of a certain person for specified purpose, usually of a business or personal nature, such as the benefit of the beneficiaries. To ensure the consistent identification of the beneficial owners of legal arrangements similar to express trusts, Member States should notify to the Commission a list of the types of legal arrangements similar to express trusts. Such notification should be accompanied by an assessment justifying the identification of certain legal arrangements as similar to express trusts as well as explaining why other legal arrangements have been considered to be dissimilar in structure or function from express trusts. In performing such assessment, Member States should take into consideration all legal arrangements that are governed under their law.
(117)
In relation to some types of legal entities, such as foundations, express trusts and similar legal arrangements, it is not possible to identify individual beneficiaries because they have yet to be determined. In such cases, beneficial ownership information should include instead a description of the class of beneficiaries and its characteristics. As soon as beneficiaries within the class are designated, they will be beneficial owners. Furthermore, there are specific types of legal persons and legal arrangements where beneficiaries exist, but where their identification is not proportionate in respect of the money laundering and terrorist financing risks associated with those legal persons or legal arrangements. That is the case in relation to regulated products such as pension schemes within the scope of Directive (EU) 2016/2341 of the European Parliament and of the Council 
(
26
)
, and it could be the case, for example, in relation to employee financial ownership or participation schemes, or legal entities or legal arrangements with a non-profit or charitable purpose, provided the risks associated with such legal persons and legal arrangements are low. In those cases, an identification of the class of beneficiaries should be sufficient.
(118)
Pension schemes regulated by Directive (EU) 2016/2341 are regulated products which are subject to stringent supervisory standards and present low risks of money laundering and terrorist financing. Where such pension schemes are set up in the form of a legal arrangement, its beneficiaries are employees and workers who rely on those products, linked to their employment contracts, for the management of their retirement benefits. Due the specific nature of the retirement benefit, which carries a low risk of money laundering and terrorist financing, it would not be proportionate to require the identification of each of those beneficiaries, and the identification of the class and its characteristic should be sufficient to fulfil transparency obligations.
(119)
To ensure the consistent identification of beneficial owners of collective investment undertakings, it is necessary to lay down harmonised beneficial ownership rules. Regardless of whether the collective investment undertakings exist in the Member State in the form of a legal entity with legal personality, as a legal arrangement without legal personality, or in any other form, the approach to the identification of the beneficial owner should be consistent with their purpose and function.
(120)
A consistent approach to the beneficial ownership transparency regime also requires ensuring that the same information is collected on beneficial owners across the internal market. It is appropriate to introduce precise requirements concerning the information that should be collected in each case. That information includes a minimum set of personal data regarding the beneficial owner, information on the nature and extent of the beneficial interest held in the legal entity or legal arrangement, and information on the legal entity or legal arrangement, necessary to ensure the appropriate identification of the natural person who is the beneficial owner and the reasons why that natural person has been identified as the beneficial owner.
(121)
An effective framework of beneficial ownership transparency requires information to be collected through various channels. Such a multi-pronged approach includes the information held by the legal entity or trustee of an express trust or persons holding an equivalent position in a similar legal arrangement themselves, the information obtained by obliged entities in the context of customer due diligence, and the information held in central registers. Cross-checking of information among those pillars contributes to ensuring that each pillar holds adequate, accurate and up-to-date information. To that end, and in order to avoid discrepancies caused by different approaches, it is important to identify those categories of data that should always be collected in order to ensure the beneficial ownership information is adequate. That includes basic information on the legal entity and legal arrangement, which is the precondition allowing the entity or arrangement itself to understand its structure, whether through ownership or through control.
(122)
Where legal entities and legal arrangements are part of a complex structure, clarity on their ownership or control structure is critical in order to ascertain who their beneficial owners are. To that end, it is important that legal entities and legal arrangements clearly understand the relationships by which they are indirectly owned or controlled, including all intermediary steps between the beneficial owners and the legal entity or legal arrangement itself, whether those relationships are in the form of other legal entities and legal arrangements or of nominee relationships. Identification of the ownership and control structure allows identification of the ways by which ownership is established or control can be exercised over a legal entity and is therefore essential for a comprehensive understanding of the position of the beneficial owner. The beneficial owner information should therefore always include a description of the relationship structure.
(123)
Underpinning an effective framework on beneficial ownership transparency is the knowledge by legal entities of the natural persons who are their beneficial owners. Thus, all legal entities in the Union should obtain and hold adequate, accurate and up-to-date beneficial ownership information. That information should be retained for 5 years and the identity of the person responsible for retaining the information should be reported to the central registers. That retention period is equivalent to the period for retention of information obtained through the application of AML/CFT requirements, such as customer due diligence measures. In order to ensure the possibility to cross-check and verify information, for instance through the mechanism of discrepancy reporting, it is justified to ensure that the relevant data retention periods are aligned.
(124)
To ensure that beneficial ownership information is up-to-date, the legal entity should update such information immediately after any change and should periodically verify it, for example at the time of submission of the financial statements, or on the occasion of other repetitive interactions with public authorities. The deadline for updating the information should be reasonable in view of possible complex situations.
(125)
Legal entities should take all necessary measures to identify their beneficial owners. There might however be cases where no natural person is identifiable who ultimately owns or exerts control over an entity. In such exceptional cases, provided that all means of identification are exhausted, it should be possible for senior managing officials to be reported instead of the beneficial owners when providing beneficial ownership information to obliged entities in the course of the customer due diligence process or when submitting the information to the central register. Although they are identified in those situations, the senior managing officials are not the beneficial owners. Legal entities should keep records of the actions taken in order to identify their beneficial owners, especially when they rely on this last resort measure, which should be duly justified and documented.
(126)
Difficulties in obtaining the information should not be a valid reason to avoid the identification effort and resort to reporting the senior management instead. Therefore, legal entities should always be able to substantiate their doubts as to the veracity of the information collected. Such justification should be proportionate to the risk of the legal entity and the complexity of its ownership structure. In particular, the record of the actions taken should be promptly provided to competent authorities where required and, on a risk-sensitive basis, it should be possible for that record to include resolutions of the board of directors and minutes of their meetings, partnership agreements, trust deeds, informal arrangements determining powers equivalent to powers of attorney or other contractual agreements and documentation. In cases where the absence of beneficial owners is evident with respect to the specific form and structure of legal entity, the justification should be understood as a reference to that fact, namely that the legal entity does not have a beneficial owner due to its specific form and structure. Such absence of beneficial owners could arise, where, for example, there are no ownership interests in the legal entity or where the legal entity cannot be ultimately controlled by other means.
(127)
In view of the purpose of determining beneficial ownership, which is to ensure effective transparency of legal entities, it is proportionate to exempt certain entities from the obligation to identify their beneficial owner. Such a regime can only be applied to entities for which the identification and registration of their beneficial owners is not useful and where the similar level of transparency is achieved by means other than beneficial ownership. In that respect, bodies governed by public law of the Member States should not be obliged to determine their beneficial owner. Directive 2004/109/EC of the European Parliament and of the Council 
(
27
)
 introduced strict transparency requirements for companies whose securities are admitted to trading on a regulated market. In certain circumstances, those transparency requirements can achieve an equivalent transparency regime to the beneficial ownership transparency rules set out in this Regulation. That is the case where control over the company is exercised through voting rights, and the ownership or control structure of the company only includes natural persons. In those circumstances, there is no need to apply beneficial ownership requirements to those listed companies. The exemption for legal entities from the obligation to determine their own beneficial owner and to register it should not affect the obligation of obliged entities to identify the beneficial owner of a customer when performing customer due diligence.
(128)
There is a need to ensure a level playing field among the different types of legal forms and to avoid the misuse of express trusts and legal arrangements, which are often layered in complex structures to further obscure beneficial ownership. Trustees of any express trust administered in a Member State, or established or residing in a Member State should thus be responsible for obtaining and holding adequate, accurate and up-to-date beneficial ownership information regarding the express trust, and for disclosing their status and providing that information to obliged entities carrying out customer due diligence. Any other beneficial owner of the express trust should assist the trustee in obtaining such information.
(129)
The nature of legal arrangements and the lack of publicity about their structures and purpose places a particular onus on the trustees, or persons in equivalent positions in similar legal arrangements, to obtain and hold all relevant information on the legal arrangement. Such information should enable an identification of the legal arrangement, the assets placed therein or administered through it, and any agent or service provider to the trust. In order to facilitate the activities of competent authorities in the prevention, detection and investigation of money laundering, its predicate offences and terrorist financing, it is important that trustees keep that information up-to-date and that they hold it for a sufficient amount of time after they cease their role as trustees or equivalent. The provision of a basic amount of information on the legal arrangement to obliged entities is also necessary to enable them to fully ascertain the purpose of the business relationship or occasional transaction involving the legal arrangement, adequately assess the associated risks, and implement commensurate measures to mitigate those risks.
(130)
In view of the specific structure of certain legal arrangements, and the need to ensure sufficient transparency about their beneficial ownership, such legal arrangements similar to express trusts should be subject to equivalent beneficial ownership requirements as those that apply to express trusts.
(131)
Nominee arrangements can allow the concealment of the identity of the beneficial owners, because a nominee might act as the director or shareholder of a legal entity while the nominator is not always disclosed. Those arrangements might obscure the beneficial ownership and control structure if beneficial owners do not wish to disclose their identity or role within them. There is thus a need to introduce transparency requirements in order to avoid such arrangements being misused and to prevent criminals from hiding behind persons acting on their behalf. The relationship between nominee and nominator is not determined by whether it has an effect on the public or third parties. Although nominee shareholders whose names appear in public or official records would formally have independent control over the company, it should be required to disclose whether they are acting on the instructions of someone else on the basis of a private agreement. Nominee shareholders and nominee directors of legal entities should maintain sufficient information on the identity of their nominator as well as of any beneficial owner of the nominator and disclose them as well as their status to the legal entities. The same information should also be reported by legal entities to obliged entities when customer due diligence measures are applied and to the central registers.
(132)
The risks posed by foreign legal entities and foreign legal arrangements which are misused to channel proceeds of funds into the Union’s financial system need to be mitigated. Since beneficial ownership standards in place in third countries might not be sufficient to allow for the same level of transparency and timely availability of beneficial ownership information as in the Union, there is a need to ensure adequate means to identify the beneficial owners of foreign legal entities or foreign legal arrangements in specific circumstances. Therefore, legal entities created outside the Union and express trusts or similar legal arrangements administered outside the Union or whose trustees or persons holding an equivalent position reside or are established outside the Union should be required to disclose their beneficial owners where they operate in the Union by entering into a business relationship with a Union’s obliged entity, by acquiring real estate in the Union or certain high value goods from obliged entities located in the Union, or by being awarded a contract following a public procurement procedure for goods or services, or concessions. There might be variations in the risk exposure across Member States, including depending on the category or type of activities carried out by obliged entities and on the attractiveness for criminals of real estate properties in their territory. Therefore, where Member States identify cases of higher risk, they should be able to take additional mitigating measures to address those risks.
(133)
The registration requirements for foreign legal entities and foreign legal arrangements should be proportionate to the risks associated with their operations in the Union. Given the open nature of the Union internal market, and the use made by foreign legal entities of the services offered by obliged entities established in the Union, many of which are associated with lower risks of money laundering, its predicate offences or terrorist financing, it is appropriate to limit the registration requirement to legal entities that belong to high-risk sectors or that operate in higher risk categories or that obtain services from obliged entities operating in sectors associated with higher risks. The private nature of legal arrangements, and the obstacles in accessing beneficial ownership information in the case of foreign legal arrangements, justify the application of a registration requirement irrespective of the level of risk associated with the obliged entity providing services to the legal arrangement, or, where relevant, with the sector in which the legal arrangement operates. Reference to the risk assessment at Union level under Article 7 of Directive (EU) 2024/1640 should be understood to refer to the risk assessment issued by the Commission pursuant to Article 6 of Directive (EU) 2015/849 until the first issuance of the report under Article 7 of Directive (EU) 2024/1640.
(134)
In order to encourage compliance and ensure an effective beneficial ownership transparency, beneficial ownership requirements need to be enforced. To that end, Member States should apply penalties for breaches of those requirements. Those penalties should be effective, proportionate and dissuasive, and should not go beyond what is required to encourage compliance. Penalties introduced by Member States should have an equivalent deterrent effect across the Union on the breaches of beneficial ownership requirements. It should be possible for penalties to include, for example, fines for legal entities and on trustees or persons holding an equivalent position in a similar legal arrangement imposed for failure to hold accurate, adequate or up-to-date beneficial ownership information, the striking-off of legal entities that fail to comply with the obligation to hold beneficial ownership information or to submit beneficial ownership information within a given deadline, fines for beneficial owners and other persons who fail to cooperate with a legal entity or trustee of an express trust or person holding an equivalent position in a similar legal arrangement, fines for nominee shareholders and nominee directors who fail to comply with the obligation of disclosure, or private law consequences for undisclosed beneficial owners as prohibition of the payment of profits or prohibition of the exercise of voting rights.
(135)
With a view to ensuring a consistent approach to the enforcement of beneficial ownership requirements across the internal market, the Commission should be empowered to adopt delegated acts to define the categories of breaches subject to penalties and the persons liable for such breaches, as well as indicators on the level of gravity and criteria to determine the level of penalties. Furthermore, in order to support the determination of that level, and consistent with the harmonisation goal of this Regulation, it should be possible for the Commission to adopt guidelines setting out the base amounts to apply to each category of breach.
(136)
Suspicious transactions, including attempted transactions, and other information relevant to money laundering, its predicate offences and terrorist financing, should be reported to the FIU, which should serve as a single central national unit for receiving and analysing reported suspicions and for disseminating to the competent authorities the results of its analyses. All suspicious transactions, including attempted transactions, should be reported, regardless of the amount of the transaction, and the reference to suspicions should be interpreted as including suspicious transactions, activities, behaviour and patterns of transactions. Reported information could also include threshold-based information. In order to support obliged entities’ detection of suspicions, AMLA should issue guidance on indicators of suspicious activity or behaviour. Given the evolving risk environment, that guidance should be reviewed regularly, and should not prejudge the issuance by FIUs of guidance or indicators on money laundering and terrorist financing risks and methods identified at national level. The disclosure of information to the FIU in good faith by an obliged entity or by an employee or director of such an entity should not constitute a breach of any restriction on disclosure of information and should not involve the obliged entity or its directors or employees in liability of any kind.
(137)
Obliged entities should establish comprehensive reporting regimes encompassing all suspicions, regardless of the value or perceived severity of the associated criminal activity. They should be aware of the expectations of FIUs and should, as far as possible, tailor their detection systems and analytical processes to the key risks affecting the Member State in which they are established and, where necessary, prioritise their analysis towards addressing those key risks.
(138)
Transactions should be assessed on the basis of information known or which should be known to the obliged entity. That includes relevant information from agents, distributors and service providers. Where the underlying predicate offence is not known or apparent to the obliged entity, the role of identifying and reporting suspicious transactions is fulfilled more efficiently by focusing on detecting suspicions and submitting reports promptly. In those cases, the predicate offence need not be specified by the obliged entity when reporting a suspicious transaction to the FIU, if it is not known to them. Where that information is available, it should be included in the report. As gatekeepers of the Union’s financial system, obliged entities should also be able to submit a report where they know or suspect that funds have been or will be used to carry out criminal activities, such as the purchase of illicit goods, even if the information available to them does not indicate that the funds used originate from illicit sources.
(139)
Differences in suspicious transaction reporting obligations between Member States could exacerbate the difficulties in AML/CFT compliance experienced by obliged entities that have a cross-border presence or operations. Moreover, the structure and content of the suspicious transaction reports have an impact on the FIU’s capacity to carry out analysis and on the nature of that analysis, and also affect the FIU’s abilities to cooperate and to exchange information. In order to facilitate obliged entities’ compliance with their reporting obligations and allow for a more effective functioning of the FIU’s analytical activities and cooperation, AMLA should develop draft implementing technical standards specifying a common template for the reporting of suspicious transactions to be used as a uniform basis throughout the Union.
(140)
FIUs should be able to obtain swiftly from any obliged entity all the necessary information relating to their functions. Their unfettered and swift access to information is essential to ensure that flows of money can be properly traced and illicit networks and flows detected at an early stage. The need for FIUs to obtain additional information from obliged entities based on a suspicion of money laundering or financing of terrorism might be triggered by a prior suspicious transaction report reported to the FIU, but might also be triggered through other means such as the FIU’s own analysis, intelligence provided by competent authorities or information held by another FIU. FIUs should therefore be able, in the context of their functions, to obtain information from any obliged entity, even without a prior report being made. In particular, records of financial transactions and transfers carried out through a bank, payment or crypto-asset account are critical for the analytical work of FIUs. However, due to the lack of harmonisation, at present credit institutions and financial institutions provide FIUs with transaction records in different formats, which are not readily useable for analysis. Considering the cross-border nature of FIUs’ analytical activities, the disparity of formats and difficulties of processing transaction records hamper the exchange of information among FIUs and the development of cross-border financial analyses. AMLA should therefore develop draft implementing technical standards specifying a common template for the provision of transaction records by credit institutions and financial institutions to FIUs to be used as a uniform basis throughout the Union.
(141)
Obliged entities should reply to a request for information by the FIU as soon as possible and, in any case, within 5 working days of receipt of the request or any other shorter or longer deadline imposed by the FIU. In justified and urgent cases, the obliged entity should reply to the FIU’s request within 24 hours. Those deadlines should apply to information requests that are based on sufficiently defined conditions. An FIU should also be able to obtain information from obliged entities upon request made by another FIU and to exchange the information with the requesting FIU. Requests to obliged entities vary in nature. For example, complex requests might necessitate more time and warrant an extended deadline for response. To that end, FIUs should be able to grant extended deadlines to obliged entities, provided that does not have a negative impact on the FIU’s analysis.
(142)
For certain obliged entities, Member States should have the possibility to designate an appropriate self-regulatory body to be informed in the first instance instead of the FIU. In accordance with the case-law of the European Court of Human Rights, a system of first instance reporting to a self-regulatory body constitutes an important safeguard for upholding the protection of fundamental rights as concerns the reporting obligations applicable to lawyers. Member States should provide for the means and manner by which to achieve the protection of professional secrecy, confidentiality and privacy.
(143)
Notaries, lawyers, other independent legal professionals, auditors, external accountants and tax advisors should not be obliged to transmit to the FIU or to a self-regulatory body any information received from, or obtained in relation to, one of their clients in the course of ascertaining the legal position of that client, or in performing the task of defending or representing that client in, or concerning, judicial proceedings, including providing advice on instituting or avoiding such proceedings, whether such information is received or obtained before, during or after such proceedings. However, such an exception should not apply where the legal professional, auditor, external accountant or tax advisor is taking part in money laundering or terrorist financing, the legal advice is provided for the purposes of money laundering or terrorist financing, or where the legal professional, auditor, external accountant or tax advisor knows that the client is seeking legal advice for the purposes of money laundering or terrorist financing. Such knowledge and purpose can be inferred from objective, factual circumstances. Legal advice sought in relation to ongoing judicial proceedings should not be deemed to constitute legal advice for the purposes of money laundering of terrorist financing. In line with the risk-based approach, Member States should be able to identify additional situations where, having regard to the high risk of money laundering, its predicate offences or terrorist financing associated with certain types of transactions, the exemption from the reporting requirement does not apply. When identifying such additional situations, Member States are to ensure compliance in particular with Articles 7 and 47 of the Charter.
(144)
Obliged entities should exceptionally be able to carry out suspicious transactions before informing the FIU where refraining from doing so is impossible or likely to frustrate efforts to pursue the beneficiaries of a suspected money laundering or terrorist financing operation. However, that exception should not be invoked in relation to transactions concerned by any international obligations accepted by the Member State of the FIU to freeze without delay funds or other assets of terrorists, terrorist organisations or those who finance terrorism, in accordance with the relevant UNSC resolutions.
(145)
Confidentiality in relation to the reporting of suspicious transactions and to the provision of other relevant information to FIUs is essential in order to enable the competent authorities to freeze and seize assets potentially linked to money laundering, its predicate offences or terrorist financing. A suspicious transaction is not an indication of criminal activity. Disclosing that a suspicion has been reported might tarnish the reputation of the persons involved in the transaction and jeopardise the performance of analyses and investigations. Therefore, obliged entities and their directors and employees, or persons in comparable positions, including agents and distributors, should not inform the customer concerned or a third party that information is being, will be or has been submitted to the FIU, whether directly or through the self-regulatory body, or that a money laundering or terrorist financing analysis is being, or might be, carried out. The prohibition of disclosure should not apply in specific circumstances concerning, for example, disclosures to competent authorities and self-regulatory bodies when performing supervisory functions, or disclosures for law enforcement purposes or where the disclosures take place between obliged entities that belong to the same group.
(146)
Criminals move illicit proceeds through numerous intermediaries to avoid detection. Therefore it is important to allow obliged entities to exchange information not only between group members, but also in certain cases between credit institutions and financial institutions and other entities that operate within networks, with due regard to data protection rules. Outside of a partnership for information sharing, the disclosure permitted among certain categories of obliged entities in cases involving the same transaction should only take place with regard to the specific transaction that is carried out between or facilitated by those obliged entities, and not with regard to connected previous or subsequent transactions.
(147)
The exchange of information among obliged entities and, where applicable, competent authorities, might increase the possibilities for detecting illicit financial flows concerning money laundering, the financing of terrorism and proceeds of crime. For that reason, obliged entities and competent authorities should be able to exchange information in the framework of an information sharing partnership where they deem such sharing to be necessary for compliance with their AML/CFT obligations and tasks. Information sharing should be subject to robust safeguards relating to confidentiality, data protection, use of information and criminal procedure. Obliged entities should not rely solely on information received through the exchange of information to draw conclusions on the money laundering and terrorist financing risk of the customer or transaction or to take decisions regarding the establishment or termination of a business relationship or the carrying out of a transaction. As recognised in Directive 2014/92/EU, the smooth functioning of the internal market and the development of a modern, socially inclusive economy increasingly depends on the universal provision of payment services. Therefore, access to basic financial services should not be denied on the basis of information exchanged among obliged entities or between obliged entities and competent authorities or AMLA.
(148)
Compliance with the requirements of this Regulation is subject to checks by supervisors. Where obliged entities exchange information in the framework of a partnership for information sharing, those checks should also include compliance with the conditions laid down in this Regulation for those exchanges of information. While supervisory checks should be risk-based, they should be performed in any event prior to the commencement of the activities of the partnership for information sharing. Partnerships for information sharing that involve the processing of personal data might result in a high risk to the rights and freedoms of natural persons. Therefore, a data protection impact assessment pursuant to Regulation (EU) 2016/679 of the European Parliament and of the Council 
(
28
)
 should be carried out prior to the start of the activities of the partnership. In the context of supervisory checks, supervisors should consult, where relevant, data protection authorities, which alone are competent for assessing the data protection impact assessment. The data protection provisions and all requirements concerning the confidentiality of information on suspicious transactions contained in this Regulation apply to information shared in the framework of a partnership. Consistent with Regulation (EU) 2016/679, Member States should be able to maintain or introduce more specific provisions to adapt the application of that Regulation to provide more specific requirements in relation to the processing of personal data exchanged in the framework of a partnership for information sharing.
(149)
While partnerships for information sharing enable the exchange of operational information and personal data under strict safeguards, those exchanges should not replace the requirements under this Regulation to report any suspicion to the competent FIU. Therefore, when obliged entities identify suspicious activities on the basis of information obtained in the context of a partnership for information sharing, they should report that suspicion to the FIU in the Member State where they are established. Information that indicates suspicious activity is subject to stricter rules that prohibit its disclosure and should only be shared where necessary for the purposes of preventing and combating money laundering, its predicate offences and terrorist financing and subject to safeguards protecting fundamental rights, the confidentiality of FIU work and the integrity of law enforcement investigations.
(150)
Regulation (EU) 2016/679 applies to the processing of personal data for the purposes of this Regulation. The fight against money laundering and terrorist financing is recognised as an important public interest ground by all Member States. Obliged entities should pay particular attention to the principles requiring that the personal data processed in the course of compliance with their AML/CFT obligations be accurate, reliable and up-to-date. For the purposes of complying with this Regulation, obliged entities should be able to adopt processes that enable automated individual decision-making, including profiling, as set out under Article 22 of Regulation (EU) 2016/679. When doing so, the requirements set out in this Regulation to safeguard the rights of persons subject to such processes should apply in addition to any other relevant requirements set out in Union law concerning the protection of personal data.
(151)
It is essential that the alignment of the AML/CFT framework with the revised FATF Recommendations is carried out in full compliance with Union law, in particular as regards Union data protection law and the protection of fundamental rights as enshrined in the Charter. Certain aspects of the implementation of the AML/CFT framework involve the collection, analysis, storage and sharing of data. Such processing of personal data should be permitted, while fully respecting fundamental rights, only for the purposes laid down in this Regulation, and for carrying out customer due diligence, ongoing monitoring, analysis and reporting of suspicious transactions, identification of the beneficial owner of a legal person or legal arrangement, identification of a politically exposed person and sharing of information by credit institutions and financial institutions and other obliged entities. The collection and subsequent processing of personal data by obliged entities should be limited to what is necessary for the purpose of complying with AML/CFT requirements and personal data should not be further processed in a way that is incompatible with that purpose. In particular, further processing of personal data for commercial purposes should be strictly prohibited.
(152)
The processing of certain categories of sensitive data as defined under Article 9 of Regulation (EU) 2016/679 could give rise to risks to the fundamental rights and freedoms of the subjects of those data. To minimise the risks that the processing of such data by obliged entities results in discriminatory or biased outcomes that adversely impact the customer, such as the termination or refusal to enter into a business relationship, obliged entities should not take decisions solely on the basis of information in their possession concerning special categories of personal data within the meaning of Regulation (EU) 2016/679 where that information bears no relevance to the money laundering and terrorist financing risks posed by a transaction or relationship. Similarly, in order to ensure that the intensity of customer due diligence is based on a holistic understanding of the risks associated with the customer, obliged entities should not base the application of a higher or lower level of customer due diligence measures solely on the basis of sensitive data that they possess on the customer.
(153)
The revised FATF Recommendations demonstrate that, in order to be able to cooperate fully and comply swiftly with information requests from competent authorities for the purposes of the prevention, detection or investigation of money laundering and terrorist financing, obliged entities should maintain, for at least 5 years, the necessary information obtained through customer due diligence measures and the records on transactions. In order to avoid different approaches and in order to fulfil the requirements relating to the protection of personal data and legal certainty, that retention period should be fixed at 5 years after the end of a business relationship or an occasional transaction. There might be situations where the functions of competent authorities cannot be effectively carried out if the relevant information held by obliged entities is deleted pursuant to the lapse of the retention period. In such cases, competent authorities should be able to request obliged entities to retain information on a case-by-case basis for a longer period, which should not exceed 5 years.
(154)
Where the notion of competent authorities refers to investigating and prosecuting authorities, it should be interpreted as including the European Public Prosecutor’s Office (EPPO) with regard to the Member States that participate in the enhanced cooperation on the establishment of the EPPO.
(155)
Disseminations by FIUs play a crucial role in detecting possible criminal activities under the competence of the EPPO or the European Anti-Fraud Office (OLAF), or in relation to which Europol and Eurojust are able to provide operational support at an early stage in accordance with their respective mandates, and to support prompt and effective investigations and prosecutions. Information shared with the EPPO and OLAF by FIUs should include grounds for the suspicion that a crime under the EPPO’s and OLAF’s respective competencies might be or has been perpetrated, and be accompanied by all relevant information that the FIU holds and which can support action, including relevant financial and administrative information. Where the EPPO and OLAF request information from FIUs, it is equally important that FIUs are able to share all the information they hold in relation to the case. In accordance with the applicable provisions in their founding legal instruments, the EPPO and OLAF should inform FIUs about the steps taken in relation to the information that was disseminated and any relevant outcomes.
(156)
For the purpose of ensuring the appropriate and efficient administration of justice during the period between the entry into force and application of this Regulation, and in order to allow for its smooth interaction with national procedural law, information and documents pertinent to ongoing legal proceedings for the purpose of the prevention, detection or investigation of possible money laundering or terrorist financing, where those proceedings are pending in the Member States on the date of entry into force of this Regulation, should be retained for a period of 5 years after that date, and it should be possible to extend that period for a further 5 years.
(157)
The rights of access to data by the data subject are applicable to the personal data processed for the purpose of this Regulation. However, access by the data subject to any information related to a suspicious transaction report would seriously undermine the effectiveness of the fight against money laundering and terrorist financing. Exceptions to and restrictions of that right in accordance with Article 23 of Regulation (EU) 2016/679 might therefore be justified. The data subject has the right to request that an authority referred to in Article 51 of Regulation (EU) 2016/679 check the lawfulness of the processing and has the right to seek a judicial remedy referred to in Article 79 of that Regulation. That authority is also able to act on an ex officio basis where provided for under Regulation (EU) 2016/679. Without prejudice to the restrictions to the right to access, the supervisory authority should be able to inform the data subject that all necessary verifications by the supervisory authority have taken place, and of the result as regards the lawfulness of the processing in question.
(158)
Obliged entities might resort to the services of other private operators. However, the AML/CFT framework should apply to obliged entities only, and obliged entities should retain full responsibility for compliance with AML/CFT requirements. In order to ensure legal certainty and to avoid that some services are inadvertently brought into the scope of this Regulation, it is necessary to clarify that persons that merely convert paper documents into electronic data and are acting under a contract with an obliged entity, and persons that provide credit institutions or financial institutions solely with messaging or other support systems for transmitting funds as defined in Article 4, point (25), of Directive (EU) 2015/2366 or with clearing and settlement systems, do not fall within the scope of this Regulation.
(159)
Obliged entities should obtain and hold adequate and accurate information on the beneficial ownership and control of legal persons. As bearer shares accord ownership to the person who possesses the bearer share certificate, they allow the beneficial owner to remain anonymous. To ensure that such shares are not misused for money laundering or terrorist financing purposes, companies — other than those with listed securities on a regulated market or whose shares are issued as intermediated securities — should convert all existing bearer shares into registered shares, immobilise them, or deposit them with a financial institution. In addition, bearer share warrants should only be permitted in intermediated form.
(160)
The anonymity of crypto-assets exposes them to risks of misuse for criminal purposes. Anonymous crypto-asset accounts, as well as other anonymising instruments, do not allow the traceability of crypto-asset transfers, and make it difficult to identify linked transactions that might raise suspicion or to apply an adequate level of customer due diligence. In order to ensure effective application of AML/CFT requirements to crypto-assets, it is necessary to prohibit the provision and the custody of anonymous crypto-asset accounts or accounts allowing for the anonymisation or the increased obfuscation of transactions by crypto-asset service providers, including through anonymity-enhancing coins. That prohibition does not apply to providers of hardware and software or providers of self-hosted wallets insofar as they do not possess access to or control over those crypto-asset wallets.
(161)
The use of large cash payments is highly vulnerable to money laundering and terrorist financing, and that vulnerability has not been sufficiently mitigated by the requirement for persons trading in goods to be subject to anti-money laundering rules when making or receiving cash payments of EUR 10 000 or more. At the same time, differences in approaches among Member States have undermined the level playing field within the internal market to the detriment of businesses located in Member States with stricter controls. It is therefore necessary to introduce a Union-wide limit to large cash payments of EUR 10 000. Member States should be able to adopt lower thresholds and further stricter provisions to the extent that they pursue legitimate objectives in the public interest. Given that the AML/CFT framework is based on the regulation of the business economy, the limit should not apply to payments between natural persons who are not acting in a professional capacity. In addition, in order to ensure that the Union-wide limit does not unintentionally create barriers for persons who do not use or do not have access to banking services to make payments, or for business to deposit the income from their activities in their accounts, payments or deposits made at the premises of credit institutions, payment institutions or electronic money institutions should also be exempted from the application of the limit.
(162)
Cash payments or deposits made at the premises of credit institutions, payment service providers and electronic money providers that exceed the threshold for large cash payments should not, by default, be considered an indicator for suspicion of money laundering, its predicate offences or terrorist financing. The reporting of such transactions enables the FIU to assess and identify patterns concerning the movement of cash and, while such information contributes to the FIU’s operational or strategic analyses, the nature of threshold-based disclosures makes them distinct from suspicious transaction reports. To that effect, threshold-based disclosures do not replace the requirement to report suspicious transactions or to apply enhanced due diligence measures in cases of higher risk. It should be possible for FIUs to require the reports to be made within a specific deadline, which could include the periodic submission on an aggregated basis.
(163)
There might be cases where reasons of force majeure, such as those caused by natural catastrophes, result in a widespread loss of access to payment mechanisms other than cash. In such cases, Member States should be able to suspend the application of the limit on large cash payments. Such a suspension is an extraordinary measure and should only be applied where necessary as a response to exceptional, duly justified, situations. An impossibility to access financial services does not constitute a valid ground for the suspension of the limit where it is attributable to a Member State’s failure to guarantee that consumers have access to financial infrastructure across the entirety of its territory.
(164)
The Commission should assess the costs, benefits and impacts of adjusting the limit for large cash payments at Union level with a view to levelling further the playing field for businesses and reducing opportunities for criminals to use cash for money laundering. That assessment should consider in particular the most appropriate level for a harmonised limit to cash payments at Union level considering the current existing limits to cash payments in place in a large number of Member States, the enforceability of such a limit at Union level and the effects of such a limit on the legal tender status of the euro.
(165)
The Commission should also assess the costs, benefits and impacts of lowering the 25 % threshold for the identification of beneficial owners where control is exercised through ownership interest. That assessment should consider in particular the lessons learned from Member States or third countries having introduced lower thresholds.
(166)
Risks associated with high-value goods might also extend to other goods that are highly portable, such as garments and clothing accessories. The Commission should therefore assess the need to extend the scope of obliged entities to include persons trading in such high-value goods. In addition, given that this Regulation introduces for the first time at Union level mandatory threshold-based disclosures in relation to certain high-value goods, the Commission should assess, based on the experience gathered in relation to implementation of this Regulation, the need to extend the scope of goods subject to threshold-based disclosures and to harmonise the format for such disclosures in light of the use of threshold-based disclosures made by FIUs. Finally, given the risks associated with high-value goods in free trade zones, the Commission should assess the need to expand the scope of information to be reported by operators trading and storing high-value goods in such free trade zones.
(167)
In order to ensure consistent application of AML/CFT requirements, the power to adopt acts in accordance with Article 290 TFEU should be delegated to the Commission in respect of identifying high-risk third countries, third countries with compliance weaknesses and third countries posing a specific and serious threat to the Union’s financial system as well as countermeasures or specific enhanced due diligence measures mitigating risks stemming from such third countries; identifying additional cases of higher risk affecting Union and associated enhanced due diligence measures; identifying common additional categories of prominent public functions; identifying the categories of corporate entities associated with higher risks and the associated lower thresholds for the purpose of identifying beneficial ownership through ownership interest; defining the categories of breaches of beneficial ownership transparency requirements that are subject to penalties and the persons liable for them, the indicators to classify the level of gravity of those breaches and the criteria to be taken into account when setting the level of penalties. It is of particular importance that the Commission carry out appropriate consultations during its preparatory work, including at expert level, and that those consultations be conducted in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making 
(
29
)
. In particular, to ensure equal participation in the preparation of delegated acts, the European Parliament and the Council receive all documents at the same time as Member States’ experts, and their experts systematically have access to meetings of Commission expert groups dealing with the preparation of delegated acts.
(168)
The Commission should be empowered to adopt the regulatory technical standards developed by AMLA specifying the minimum requirements of group-wide policies, procedures and controls, including minimum standards for information sharing, the criteria for identifying the parent undertaking and the conditions under which structures which share common ownership, management or compliance controls are required to apply group-wide policies, procedures and controls; specifying the type of additional measures, including the minimum action to be taken by groups where the law of third countries do not permit the implementation of group-wide policies, procedures and controls and additional supervisory actions; specifying the obliged entities, sectors and transactions associated with higher risk and carrying out low value occasional transactions, the related values, the criteria for identifying occasional transactions and business relationship and the criteria to identify linked transaction for the purpose of performance of customer due diligence; and specifying the information necessary for the performance of customer due diligence. The Commission should adopt those regulatory technical standards by means of delegated acts pursuant to Article 290 TFEU and in accordance with Article 49 of Regulation (EU) 2024/1620.
(169)
In order to ensure uniform conditions for the implementation of this Regulation, implementing powers should be conferred on the Commission in order to set out the methodology for the identification of third countries posing a specific and serious threat to the Union’s financial system; set out the format for the establishment and communication of the Member States’ lists of prominent public functions; and identify types of legal entities and types of legal arrangements similar to express trusts governed by the law of Member States. Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and of the Council 
(
30
)
. Implementing powers should also be conferred on the Commission in order to decide on putting an end to specific additional national countermeasures.
(170)
The Commission should be empowered to adopt implementing technical standards developed by AMLA specifying the format to be used for the reporting of suspicions and for the provision of transaction records, and the format to be used by FIUs for reporting information to the EPPO. The Commission should adopt those implementing technical standards by means of implementing acts pursuant to Article 291 TFEU and in accordance with Article 53 of Regulation (EU) 2024/1620.
(171)
This Regulation respects the fundamental rights and observes the principles recognised by the Charter, in particular the right to respect for private and family life, the right to the protection of personal data and the freedom to conduct a business.
(172)
In accordance with Article 21 of the Charter, which prohibits discrimination based on any grounds, obliged entities should perform risk assessments in the context of customer due diligence without discrimination.
(173)
When drawing up a report evaluating the implementation of this Regulation, the Commission should give due consideration to the respect of the fundamental rights and principles recognised by the Charter.
(174)
Since the objective of this Regulation, namely to prevent the use of the Union’s financial system for the purposes of money laundering and terrorist financing, cannot be sufficiently achieved by the Member States and can rather, by reason of the scale or effects of the action, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 TEU. In accordance with the principle of proportionality as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve that objective.
(175)
The European Data Protection Supervisor has been consulted in accordance with Article 42(1) of Regulation (EU) 2018/1725 and delivered an opinion on 22 September 2021 
(
31
)
,
HAVE ADOPTED THIS REGULATION:
CHAPTER I
GENERAL PROVISIONS
SECTION 1
Subject matter and definitions
Article 1
Subject matter
This Regulation lays down rules concerning:
(a)
the measures to be applied by obliged entities to prevent money laundering and terrorist financing;
(b)
beneficial ownership transparency requirements for legal entities, express trusts and similar legal arrangements;
(c)
measures to limit the misuse of anonymous instruments.
Article 2
Definitions
1.   For the purposes of this Regulation, the following definitions apply:
(1)
‘money laundering’ means the conduct set out in Article 3, paragraphs 1 and 5, of Directive (EU) 2018/1673 including aiding and abetting, inciting and attempting to commit that conduct, whether the activities which generated the property to be laundered were carried out on the territory of a Member State or on that of a third country; knowledge, intent or purpose required as an element of that conduct may be inferred from objective factual circumstances;
(2)
‘terrorist financing’ means the conduct set out in Article 11 of Directive (EU) 2017/541 including aiding and abetting, inciting and attempting to commit that conduct, whether carried out on the territory of a Member State or on that of a third country; knowledge, intent or purpose required as an element of that conduct may be inferred from objective factual circumstances;
(3)
‘criminal activity’ means criminal activity as defined in Article 2, point (1), of Directive (EU) 2018/1673, as well as fraud affecting the Union’s financial interests as defined in Article 3(2) of Directive (EU) 2017/1371, passive and active corruption as defined in Article 4 (2) and misappropriation as defined in Article 4(3), second subparagraph, of that Directive;
(4)
‘funds’ or ‘property’ means property as defined in Article 2, point (2), of Directive (EU) 2018/1673;
(5)
‘credit institution’ means:
(a)
a credit institution as defined in Article 4(1), point (1), of Regulation (EU) No 575/2013;
(b)
a branch of a credit institution, as defined in Article 4(1), point (17), of Regulation (EU) No 575/2013, when located in the Union, whether its head office is located in a Member State or in a third country;
(6)
‘financial institution’ means:
(a)
an undertaking other than a credit institution or an investment firm, which carries out one or more of the activities listed in points (2) to (12), (14) and (15) of Annex I to Directive 2013/36/EU of the European Parliament and of the Council 
(
32
)
, including the activities of currency exchange offices (bureaux de change), but excluding the activities referred to in point (8) of Annex I to Directive (EU) 2015/2366, or an undertaking the principal activity of which is to acquire holdings, including a financial holding company, a mixed financial holding company and a financial mixed activity holding company;
(b)
an insurance undertaking as defined in Article 13, point (1), of Directive 2009/138/EC of the European Parliament and of the Council 
(
33
)
, insofar as it carries out life or other investment-related assurance activities covered by that Directive, including insurance holding companies and mixed-activity insurance holding companies as defined, respectively, in Article 212(1), points (f) and (g), of Directive 2009/138/EC;
(c)
an insurance intermediary as defined in Article 2(1), point (3), of Directive (EU) 2016/97 where it acts with respect to life insurance and other investment-related insurance services, with the exception of an insurance intermediary that does not collect premiums or amounts intended for the customer and which acts under the responsibility of one or more insurance undertakings or intermediaries for the products which concern them respectively;
(d)
an investment firm as defined in Article 4(1), point (1), of Directive 2014/65/EU of the European Parliament and of the Council 
(
34
)
;
(e)
a collective investment undertaking, in particular:
(i)
an undertaking for collective investment in transferable securities (UCITS) as defined in Article 1(2) of Directive 2009/65/EC and its management company as defined in Article 2(1), point (b), of that Directive or an investment company authorised in accordance with that Directive and which has not designated a management company, that makes available for purchase units of UCITS in the Union;
(ii)
an alternative investment fund as defined in Article 4(1), point (a), of Directive 2011/61/EU and its alternative investment fund manager as defined in Article 4(1), point (b), of that Directive that fall within the scope set out in Article 2 of that Directive;
(f)
a central securities depository as defined in Article 2(1), point (1), of Regulation (EU) No 909/2014 of the European Parliament and of the Council 
(
35
)
;
(g)
a creditor as defined in Article 4, point (2), of Directive 2014/17/EU of the European Parliament and of the Council 
(
36
)
 and in Article 3, point (b), of Directive 2008/48/EC of the European Parliament and of the Council 
(
37
)
;
(h)
a credit intermediary as defined in Article 4, point (5), of Directive 2014/17/EU and in Article 3, point (f), of Directive 2008/48/EC, when holding the funds as defined in Article 4, point (25), of Directive (EU) 2015/2366 in connection with the credit agreement, with the exception of the credit intermediary carrying out activities under the responsibility of one or more creditors or credit intermediaries;
(i)
a crypto-asset service provider;
(j)
a branch of a financial institution referred to in points (a) to (i), when located in the Union, whether its head office is located in a Member State or in a third country;
(7)
‘crypto-asset’ means a crypto-asset as defined in Article 3(1), point (5), of Regulation (EU) 2023/1114 except when falling under the categories listed in Article 2(4) of that Regulation;
(8)
‘crypto-asset services’ means crypto-asset services as defined in Article 3(1), point (16), of Regulation (EU) 2023/1114, with the exception of providing advice on crypto-assets as referred to in Article 3(1), point (16)(h), of that Regulation;
(9)
‘crypto-asset service provider’ means a crypto-asset service provider as defined in Article 3(1), point (15), of Regulation (EU) 2023/1114 where performing one or more crypto-asset services;
(10)
‘financial mixed activity holding company’ means an undertaking, other than a financial holding company or a mixed financial holding company, which is not the subsidiary of another undertaking, the subsidiaries of which include at least one credit institution or financial institution;
(11)
‘trust or company service provider’ means any natural or legal person that, by way of its business, provides any of the following services to third parties:
(a)
the formation of companies or other legal persons;
(b)
acting as, or arranging for another person to act as, a director or secretary of a company, a partner of a partnership, or a similar position in relation to other legal persons;
(c)
providing a registered office, business address, correspondence address or administrative address, as well as other related services for a company, a partnership or any other legal person or legal arrangement;
(d)
acting as, or arranging for another person to act as, a trustee of an express trust or performing an equivalent function for a similar legal arrangement;
(e)
acting as, or arranging for another person to act as, a nominee shareholder for another person;
(12)
‘gambling service’ means a service which involves wagering a stake with monetary value in games of chance, including those with an element of skill, such as lotteries, casino games, poker games and betting transactions that are provided at a physical location, or by any means at a distance, by electronic means or any other technology for facilitating communication, and at the individual request of a recipient of services;
(13)
‘non-financial mixed activity holding company’ means an undertaking, other than a financial holding company or a mixed financial holding company, which is not the subsidiary of another undertaking, the subsidiaries of which include at least one obliged entity as referred to in Article 3, point (3);
(14)
‘self-hosted address’ means a self-hosted address as defined in Article 3, point (20), of Regulation (EU) 2023/1113;
(15)
‘crowdfunding service provider’ means a crowdfunding service provider as defined in Article 2(1), point (e), of Regulation (EU) 2020/1503;
(16)
‘crowdfunding intermediary’ means an undertaking other than a crowdfunding service provider the business of which is to match or facilitate the matching, through an internet-based information system open to the public or to a limited number of funders, of:
(a)
project owners, which are any natural or legal person seeking funding for projects, consisting of one or a set of predefined operations aiming at a particular objective, including fundraising for a particular cause or event irrespective of whether those projects are proposed to the public or to a limited number of funders; and
(b)
funders, which are any natural or legal person contributing to the funding of projects, through loans, with or without interest, or donations, including where such donations entitle the donor to a non-material benefit;
(17)
‘electronic money’ means electronic money as defined in Article 2, point (2), of Directive 2009/110/EC of the European Parliament and of the Council 
(
38
)
, but excluding monetary value as referred to in Article 1(4) and (5) of that Directive;
(18)
‘establishment’ means the actual pursuit by an obliged entity of an economic activity covered by Article 3 in a Member State or third country other than the country where its head office is located for an indefinite period and through a stable infrastructure, including:
(a)
a branch or subsidiary;
(b)
in the case of credit institutions and financial institutions, an infrastructure qualifying as an establishment under prudential regulation;
(19)
‘business relationship’ means a business, professional or commercial relationship connected with the professional activities of an obliged entity, which is set up between an obliged entity and a customer, including in the absence of a written contract and which is expected to have, at the time when the contact is established, or which subsequently acquires, an element of repetition or duration;
(20)
‘linked transactions’ means two or more transactions with either identical or similar origin, destination and purpose, or other relevant characteristics, over a specific period;
(21)
‘third country’ means any jurisdiction, independent state or autonomous territory that is not part of the Union and that has its own AML/CFT legislation or enforcement regime;
(22)
‘correspondent relationship’ means:
(a)
the provision of banking services by one credit institution as the correspondent to another credit institution as the respondent, including providing a current or other liability account and related services, such as cash management, international transfers of funds as defined in Article 4, point (25), of Directive (EU) 2015/2366, cheque clearing, payable-through accounts and foreign exchange services;
(b)
the relationships between and among credit institutions and financial institutions including where similar services are provided by a correspondent institution to a respondent institution, and including relationships established for securities transactions or transfers of funds as defined in Article 4, point (25), of Directive (EU) 2015/2366, transactions in crypto-assets or transfers of crypto-assets;
(23)
‘shell institution’ means:
(a)
for credit institutions and financial institutions other than crypto-asset service providers: a credit institution or financial institution, or an institution that carries out activities equivalent to those carried out by credit institutions and financial institutions, created in a jurisdiction in which it has no physical presence, involving meaningful mind and management, and which is unaffiliated with a regulated financial group;
(b)
for crypto-asset service providers: an entity whose name appears in the register established by the European Securities and Markets Authority pursuant to Article 110 of Regulation (EU) 2023/1114 or third country entity providing crypto-asset services without being licensed or registered nor subject to AML/CFT supervision there;
(24)
‘crypto-asset account’ means a crypto-asset account as defined in Article 3, point (19), of Regulation (EU) 2023/1113;
(25)
‘anonymity-enhancing coins’ means crypto-assets that have built-in features designed to make crypto-asset transfer information anonymous, either systematically or optionally;
(26)
‘virtual IBAN’ means an identifier causing payments to be redirected to a payment account identified by an IBAN different from that identifier;
(27)
‘Legal Entity Identifier’ means a unique alphanumeric reference code based on the ISO 17442 standard assigned to a legal entity;
(28)
‘beneficial owner’ means any natural person who ultimately owns or controls a legal entity or an express trust or similar legal arrangement;
(29)
‘express trust’ means a trust intentionally set up by the settlor, inter vivos or on death, usually in a form of written document, to place assets under the control of a trustee for the benefit of a beneficiary or for a specified purpose;
(30)
‘objects of a power’ means the natural or legal persons or class of natural or legal persons among whom trustees may select the beneficiaries in a discretionary trust;
(31)
‘default taker’ means the natural or legal persons or class of natural or legal persons who are the beneficiaries of a discretionary trust should the trustees fail to exercise their discretion;
(32)
‘legal arrangement’ means an express trust or an arrangement which has a similar structure or function to an express trust, including fiducie and certain types of Treuhand and fideicomiso;
(33)
‘basic information’ means:
(a)
in relation to a legal entity:
(i)
legal form and name of the legal entity;
(ii)
instrument of constitution, and the statutes if they are contained in a separate instrument;
(iii)
address of the registered or official office and, if different, the principal place of business, and the country of creation;
(iv)
a list of legal representatives;
(v)
where applicable, a list of shareholders or members, including information on the number of shares held by each shareholder and the categories of those shares and the nature of the associated voting rights;
(vi)
where available, the registration number, the European Unique identifier, the tax identification number and the Legal Entity Identifier;
(vii)
in the case of foundations, the assets held by the foundation to pursue its purposes;
(b)
in relation to a legal arrangement:
(i)
the name or unique identifier of the legal arrangement;
(ii)
the trust deed or equivalent;
(iii)
the purposes of the legal arrangement, if any;
(iv)
the assets held in the legal arrangement or managed through it;
(v)
the place of residence of the trustees of the express trust or persons holding equivalent positions in the similar legal arrangement, and, if different, the place from where the express trust or similar legal arrangement is administered;
(34)
‘politically exposed person’ means a natural person who is or has been entrusted with prominent public functions including:
(a)
in a Member State:
(i)
heads of State, heads of government, ministers and deputy or assistant ministers;
(ii)
members of parliament or of similar legislative bodies;
(iii)
members of the governing bodies of political parties that hold seats in national executive or legislative bodies, or in regional or local executive or legislative bodies representing constituencies of at least 50 000 inhabitants;
(iv)
members of supreme courts, of constitutional courts or of other high-level judicial bodies, the decisions of which are not subject to further appeal, except in exceptional circumstances;
(v)
members of courts of auditors or of the boards of central banks;
(vi)
ambassadors, chargés d’affaires and high-ranking officers in the armed forces;
(vii)
members of the administrative, management or supervisory bodies of enterprises controlled under any of the relationships listed in Article 22 of Directive 2013/34/EU either by the state, or, where those enterprises qualify as medium sized or large undertakings or medium sized or large groups, as defined in Article 3(3), (4), (6) and (7) of that Directive, by regional or local authorities;
(viii)
heads of regional and local authorities, including groupings of municipalities and metropolitan regions, with at least 50 000 inhabitants;
(ix)
other prominent public functions provided for by Member States;
(b)
in an international organisation:
(i)
the highest ranking officials, their deputies and members of the board or equivalent functions of an international organisation;
(ii)
representatives to a Member State or to the Union;
(c)
at Union level:
functions at the level of Union institutions and bodies that are equivalent to those listed in points (a) (i), (ii), (iv), (v) and (vi);
(d)
in a third country:
functions that are equivalent to those listed in point (a);
(35)
‘family member’ means:
(a)
a spouse, or a person in a registered partnership or civil union or in a similar arrangement;
(b)
a child and a spouse of, or a person in a registered partnership or civil union or in a similar arrangement with, that child;
(c)
a parent;
(d)
for the functions referred to in point (34)(a)(i) and equivalent functions at Union level or in a third country, a sibling;
(36)
‘person known to be a close associate’ means:
(a)
a natural person who is known to have joint beneficial ownership of legal entities or legal arrangements, or any other close business relations, with a politically exposed person;
(b)
a natural person who has sole beneficial ownership of a legal entity or legal arrangement which is known to have been set up for the de facto benefit of a politically exposed person;
(37)
‘management body’ means an obliged entity’s body or bodies, which are appointed in accordance with national law, which are empowered to set the obliged entity’s strategy, objectives and overall direction, and which oversee and monitor management decision-making, and include the persons who effectively direct the business of the obliged entity; where no such body exists, the person who effectively directs the business of the obliged entity;
(38)
‘management body in its management function’ means the management body responsible for the day-to-day management of the obliged entity;
(39)
‘management body in its supervisory function’ means the management body acting in its role of overseeing and monitoring management decision-making;
(40)
‘senior management’ means the members of the management body in its management function, as well as officers and employees with sufficient knowledge of the obliged entity’s money laundering and terrorist financing risk exposure and sufficient seniority to take decisions affecting its risk exposure;
(41)
‘group’ means a group of undertakings which consists of a parent undertaking, its subsidiaries, as well as undertakings linked to each other by a relationship within the meaning of Article 22 of Directive 2013/34/EU;
(42)
‘parent undertaking’ means:
(a)
for groups whose head office is located in the Union, an obliged entity that is a parent undertaking as defined in Article 2, point (9), of Directive 2013/34/EU that is not itself a subsidiary of another undertaking in the Union, provided that at least one subsidiary undertaking is an obliged entity;
(b)
for groups whose head office is located outside of the Union, where at least two subsidiary undertakings are obliged entities established in the Union, an undertaking within that group established in the Union that:
(i)
is an obliged entity;
(ii)
is an undertaking that is not a subsidiary of another undertaking that is an obliged entity established in the Union;
(iii)
has a sufficient prominence within the group and a sufficient understanding of the operations of the group that are subject to the requirements of this Regulation; and
(iv)
is given the responsibility of implementing group-wide requirements under Chapter II, Section 2 of this Regulation;
(43)
‘cash’ means cash as defined in Article 2(1), point (a), of Regulation (EU) 2018/1672 of the European Parliament and of the Council 
(
39
)
;
(44)
‘competent authority’ means:
(a)
a Financial Intelligence Unit (FIU);
(b)
a supervisory authority;
(c)
a public authority that has the function of investigating or prosecuting money laundering, its predicate offences or terrorist financing, or that has the function of tracing, seizing or freezing and confiscating criminal assets;
(d)
a public authority with designated responsibilities for combating money laundering or terrorist financing;
(45)
‘supervisor’ means the body entrusted with responsibilities aimed at ensuring compliance by obliged entities with the requirements of this Regulation, including AMLA when performing the tasks entrusted to it in Article 5(2) of Regulation (EU) 2024/1620;
(46)
‘supervisory authority’ means a supervisor who is a public body, or the public authority overseeing self-regulatory bodies in their performance of supervisory functions pursuant to Article 37 of Directive (EU) 2024/1640, or AMLA when acting as a supervisor;
(47)
‘self-regulatory body’ means a body that represents members of a profession and has a role in regulating them, in performing certain supervisory or monitoring functions and in ensuring the enforcement of the rules relating to them;
(48)
‘funds or other assets’ means any assets, including, but not limited to, financial assets, economic resources, including oil and other natural resources, property of every kind, whether tangible or intangible, movable or immovable, however acquired, and legal documents or instruments in any form, including electronic or digital, evidencing title to, or interest in, such funds or other assets, including, but not limited to, bank credits, travellers cheques, bank cheques, money orders, shares, securities, bonds, drafts, or letters of credit, and any interest, dividends or other income on or value accruing from or generated by such funds or other assets, and any other assets which potentially may be used to obtain funds, goods or services;
(49)
‘targeted financial sanctions’ means both asset freezing and prohibitions to make funds or other assets available, directly or indirectly, for the benefit of designated persons and entities pursuant to Council Decisions adopted on the basis of Article 29 TEU and Council Regulations adopted on the basis of Article 215 TFEU;
(50)
‘UN financial sanctions’ means both asset freezing and prohibitions to make funds or other assets available, directly or indirectly, for the benefit of designated or listed persons and entities pursuant to:
(a)
UNSC Resolution 1267 (1999) and its successor resolutions;
(b)
UNSC Resolution 1373 (2001), including the determination that the relevant sanctions will be applied to the person or entity and the public communication of that determination;
(c)
UN financial sanctions relating to proliferation financing;
(51)
‘UN financial sanctions relating to proliferation financing’ means both asset freezing and prohibitions to make funds or other assets available, directly or indirectly, for the benefit of designated or listed persons and entities pursuant to:
(a)
UNSC Resolution 1718 (2006) and any successor resolutions;
(b)
UNSC Resolution 2231 (2015) and any successor resolutions;
(c)
any other UNSC resolutions imposing asset freezing and prohibitions to make funds or other assets available in relation to the financing of proliferation of weapons of mass destruction;
(52)
‘professional football club’ means any legal person that is, owns or manages a football club that has been granted a licence and participates in the national football leagues in a Member State and whose players and staff are contractually engaged and are remunerated in exchange for their services;
(53)
‘football agent’ means a natural or legal person who, for a fee, provides intermediary services and represents football players or professional football clubs in negotiations with a view to concluding a contract for a football player or represents professional football clubs in negotiations with a view to concluding an agreement for the transfer of a football player;
(54)
‘high-value goods’ means goods listed in Annex IV;
(55)
‘precious metals and stones’ means metals and stones listed in Annex V;
(56)
‘cultural goods’ means goods listed in Annex I to Council Regulation (EC) No 116/2009 
(
40
)
;
(57)
‘partnership for information sharing’ means a mechanism that enables the sharing and processing of information between obliged entities and, where applicable, competent authorities referred to in point 44(a), (b) and (c), for the purposes of preventing and combating money laundering, its predicate offences and terrorist financing, whether at national level or on a cross-border basis, and regardless of the form of that partnership.
2.   Prominent public functions as referred to in paragraph 1, point (34), shall not be understood as covering middle-ranking or more junior officials.
3.   Where justified by their administrative organisation and by risk, Member States may set lower thresholds for the designation of the following prominent public functions:
(a)
members of governing bodies of political parties represented at regional or local level, as referred to in paragraph 1, point (34)(a)(iii);
(b)
heads of regional and local authorities, as referred to in paragraph 1, point (34)(a)(viii).
Member States shall notify those lower thresholds to the Commission.
4.   In relation to paragraph 1, point (34)(a)(vii) of this Article, where justified by their administrative organisation and by risk, Member States may set lower thresholds for the identification of enterprises controlled by regional or local authorities than those defined in Article 3(3), (4), (6) and (7) of Directive 2013/34/EU.
Member States shall notify those lower thresholds to the Commission.
5.   Where justified by their social and cultural structures and by risk, Member States may apply a broader scope for the designation of siblings as family members of politically exposed persons, as referred to in paragraph 1, point (35)(d).
Member States shall notify that broader scope to the Commission.
SECTION 2
Scope
Article 3
Obliged entities
The following entities are to be considered obliged entities for the purposes of this Regulation:
(1)
credit institutions;
(2)
financial institutions;
(3)
the following natural or legal persons acting in the exercise of their professional activities:
(a)
auditors, external accountants and tax advisors, and any other natural or legal person including independent legal professionals such as lawyers, that undertakes to provide, directly or by means of other persons to which that other person is related, material aid, assistance or advice on tax matters as principal business or professional activity;
(b)
notaries, lawyers and other independent legal professionals, where they participate, whether by acting on behalf of and for their client in any financial or real estate transaction, or by assisting in the planning or carrying out of transactions for their client concerning any of the following:
(i)
buying and selling of real property or business entities;
(ii)
managing of client money, securities or other assets, including crypto-assets;
(iii)
opening or management of bank, savings, securities or crypto-assets accounts;
(iv)
organisation of contributions necessary for the creation, operation or management of companies;
(v)
creation, setting up, operation or management of trusts, companies, foundations, or similar structures;
(c)
trust or company service providers;
(d)
estate agents and other real estate professionals to the extent they act as intermediaries in real estate transactions, including in relation to the letting of immovable property for transactions for which the monthly rent amounts to at least EUR 10 000 or the equivalent in national currency, irrespective of the means of payment;
(e)
persons trading, as a regular or principal professional activity, in precious metals and stones;
(f)
persons trading, as a regular or principal professional activity, in high-value goods;
(g)
providers of gambling services;
(h)
crowdfunding service providers and crowdfunding intermediaries;
(i)
persons trading or acting as intermediaries in the trade of cultural goods, including when this is carried out by art galleries and auction houses, where the value of the transaction or linked transactions amounts to at least EUR 10 000 or the equivalent in national currency;
(j)
persons storing, trading or acting as intermediaries in the trade of cultural goods and high-value goods, when this is carried out within free zones and customs warehouses, where the value of the transaction or linked transactions amounts to at least EUR 10 000 or the equivalent in national currency;
(k)
credit intermediaries for mortgage and consumer credits, other than credit institutions and financial institutions, with the exception of the credit intermediaries carrying out activities under the responsibility of one or more creditors or credit intermediaries;
(l)
investment migration operators permitted to represent or offer intermediation services to third-country nationals seeking to obtain residence rights in a Member State in exchange for any kind of investment, including capital transfers, purchase or renting of property, investment in government bonds, investment in corporate entities, donation or endowment of an activity to the public good and contributions to the state budget;
(m)
non-financial mixed activity holding companies;
(n)
football agents;
(o)
professional football clubs in respect of the following transactions:
(i)
transactions with an investor;
(ii)
transactions with a sponsor;
(iii)
transactions with football agents or other intermediaries;
(iv)
transactions for the purpose of a football player’s transfer.
Article 4
Exemptions for certain providers of gambling services
1.   Member States may decide to exempt, in full or in part, providers of gambling services from the requirements set out in this Regulation on the basis of the proven low risk posed by the nature and, where appropriate, the scale of operations of such services.
The exemption referred to in the first subparagraph shall not apply to:
(a)
casinos;
(b)
providers of gambling services the principal activity of which is to provide online gambling services or sport betting services, other than:
(i)
online gambling services operated by the State, whether through a public authority or an enterprise or body controlled by the State;
(ii)
online gambling services the organisation, operation and administration of which is regulated by the State.
2.   For the purposes of paragraph 1, Member States shall carry out a risk assessment of gambling services assessing:
(a)
money laundering and terrorist financing threats and vulnerabilities, and mitigating factors of the gambling services;
(b)
the risks linked to the size of the transactions and payment methods used;
(c)
the geographical area in which the gambling services are administered, including their cross border dimension and accessibility from other Member States or third countries.
When carrying out the risk assessments referred to in the first subparagraph of this paragraph, Member States shall take into account the findings of the risk assessment at Union level conducted by the Commission pursuant to Article 7 of Directive(EU) 2024/1640.
3.   Member States shall establish risk-based monitoring activities or take other adequate measures to ensure that the exemptions granted pursuant to this Article are not abused.
Article 5
Exemptions for certain professional football clubs
1.   Member States may decide to exempt, in full or in part, professional football clubs that participate in the highest division of the national football league and that have a total annual turnover of less than EUR 5 000 000, or the equivalent in national currency, for each of the previous 2 calendar years from the requirements set out in this Regulation on the basis of the proven low risk posed by the nature and the scale of operation of such professional football clubs.
Member States may decide to exempt, in full or in part, professional football clubs that participate in a division lower than the highest division of the national football league from the requirements set out in this Regulation on the basis of proven low risk posed by the nature and the scale of operation of such professional football clubs.
2.   For the purposes of paragraph 1, Member States shall carry out a risk assessment of the professional football clubs assessing:
(a)
money laundering and terrorist financing threats and vulnerabilities, and mitigating factors of the professional football clubs;
(b)
the risks linked to the size and cross-border nature of the transactions.
When carrying out the risk assessments referred to in the first subparagraph of this paragraph, Member States shall take into account the findings of the risk assessments at Union level conducted by the Commission pursuant to Article 7 of Directive (EU) 2024/1640.
3.   Member States shall establish risk-based monitoring activities or take other adequate measures to ensure that the exemptions granted pursuant to this Article are not abused.
Article 6
Exemptions for certain financial activities
1.   With the exception of persons engaged in the activity of money remittance as defined in Article 4, point (22), of Directive (EU) 2015/2366, Member States may decide to exempt legal or natural persons that engage in a financial activity as listed in Annex I, points (2) to (12), (14) and (15), to Directive 2013/36/EU on an occasional or very limited basis where there is little risk of money laundering or terrorist financing from the requirements set out in this Regulation, provided that all of the following criteria are met:
(a)
the financial activity is limited in absolute terms;
(b)
the financial activity is limited on a transaction basis;
(c)
the financial activity is not the main activity of such persons;
(d)
the financial activity is ancillary and directly related to the main activity of such persons;
(e)
the main activity of such persons is not an activity referred to in Article 3, point (3)(a) to (d) or (g) of this Regulation;
(f)
the financial activity is provided only to the customers of the main activity of such persons and is not generally offered to the public.
2.   For the purposes of paragraph 1, point (a), Member States shall require that the total turnover of the financial activity does not exceed a threshold which shall be sufficiently low. That threshold shall be established at national level, depending on the type of financial activity.
3.   For the purposes of paragraph 1, point (b), Member States shall apply a maximum threshold per customer and per single transaction, whether the transaction is carried out in a single operation or through linked transactions. That maximum threshold shall be established at national level, depending on the type of financial activity. It shall be sufficiently low in order to ensure that the types of transactions in question are an impractical and inefficient method for money laundering or terrorist financing, and shall not exceed EUR 1 000 or the equivalent in national currency, irrespective of the means of payment.
4.   For the purposes of paragraph 1, point (c), Member States shall require that the turnover of the financial activity does not exceed 5 % of the total turnover of the natural or legal person concerned.
5.   In assessing the risk of money laundering or terrorist financing for the purposes of this Article, Member States shall pay particular attention to any financial activity which is considered to be particularly likely, by its nature, to be used or abused for the purposes of money laundering or terrorist financing.
6.   Member States shall establish risk-based monitoring activities or take other adequate measures to ensure that the exemptions granted pursuant to this Article are not abused.
Article 7
Prior notification of exemptions
1.   Member States shall notify the Commission of any exemption that they intend to grant in accordance with Articles 4, 5 and 6 without delay. The notification shall include a justification based on the relevant risk assessment carried out by the Member State to sustain the exemption.
2.   The Commission shall within 2 months of the notification referred to in paragraph 1 take one of the following actions:
(a)
confirm that the exemption may be granted on the basis of the justification given by the Member State;
(b)
by reasoned decision, declare that the exemption may not be granted.
For the purposes of the first subparagraph, the Commission may request additional information from the notifying Member State.
3.   Upon receipt of a confirmation by the Commission pursuant to paragraph 2, point (a), of this Article, Member States may adopt a decision granting the exemption. The decision shall state the reasons on which it is based. Member States shall review such decisions regularly, and in any case when they update their national risk assessment pursuant to Article 8 of Directive (EU) 2024/1640.
4.   By 10 October 2027, Member States shall notify to the Commission the exemptions granted pursuant to Article 2(2) and (3) of Directive (EU) 2015/849 in place on 10 July 2027.
5.   The Commission shall publish every year in the Official Journal of the European Union the list of exemptions granted pursuant to this Article and make that list publicly available on its website.
SECTION 3
Cross-border operations
Article 8
Notification of cross-border operations and application of national law
1.   Obliged entities wishing to carry out activities within the territory of another Member State for the first time shall notify the supervisors of their home Member State of the activities which they intend to carry out in that other Member State. That notification shall be submitted as soon as the obliged entity takes steps to carry out the activities, and, in the case of establishments at least 3 months prior to the commencement of those activities. Obliged entities shall immediately notify the supervisors of their home Member State upon commencement of those activities in that other Member State.
The first subparagraph shall not apply to obliged entities subject to specific notification procedures for the exercise of the freedom of establishment and of the freedom to provide services under other Union legal acts or to cases where the obliged entity is subject to specific authorisation requirements in order to operate in the territory of that other Member State.
2.   Any planned change to the information communicated under paragraph 1 shall be communicated by the obliged entity to the supervisor of the home Member State at least 1 month before making the change.
3.   Where this Regulation allows Member States to adopt additional rules applicable to obliged entities, obliged entities shall comply with the national rules of the Member State in which they are established.
4.   Where obliged entities operate establishments in several Member States, they shall ensure that each establishment applies the rules of the Member State in which it is located.
5.   Where obliged entities as referred to in Article 38(1) of Directive (EU) 2024/1640 operate, in other Member States than the one where they are established through agents, distributors, or through other types of infrastructure located in those other Member States under the freedom to provide services, they shall apply the rules of the Member States in which they provide services in relation to those activities, unless Article 38(2) of that Directive applies, in which case they shall apply the rules of the Member State where their head office is located.
6.   Where obliged entities are required to appoint a central contact point pursuant to Article 41 of Directive (EU) 2024/1640, they shall ensure that the central contact point is able to ensure compliance with applicable law on behalf of the obliged entity.
CHAPTER II
INTERNAL POLICIES, PROCEDURES AND CONTROLS OF OBLIGED ENTITIES
SECTION 1
Internal policies, procedures and controls, risk assessment and staff
Article 9
Scope of internal policies, procedures and controls
1.   Obliged entities shall have in place internal policies, procedures and controls in order to ensure compliance with this Regulation, Regulation (EU) 2023/1113 and any administrative act issued by any supervisor and in particular to:
(a)
mitigate and manage effectively the risks of money laundering and terrorist financing identified at the level of the Union, the Member State and the obliged entity;
(b)
in addition to the obligation to apply targeted financial sanctions, mitigate and manage the risks of non-implementation and evasion of targeted financial sanctions.
The policies, procedures and controls referred to in the first subparagraph shall be proportionate to the nature of the business, including its risks and complexity, and the size of the obliged entity and shall cover all the activities of the obliged entity that fall under the scope of this Regulation.
2.   The policies, procedures and controls referred to in paragraph 1 shall include:
(a)
internal policies and procedures, including in particular:
(i)
the carrying out and updating of the business-wide risk assessment;
(ii)
the obliged entity’s risk management framework;
(iii)
customer due diligence to implement Chapter III of this Regulation, including procedures to determine whether the customer, the beneficial owner, or the person on whose behalf or for the benefit of whom a transaction or activity is being conducted, is a politically exposed person or a family member or person known to be a close associate;
(iv)
reporting of suspicious transactions;
(v)
outsourcing and reliance on customer due diligence performed by other obliged entities;
(vi)
record retention and policies in relation to the processing of personal data pursuant to Articles 76 and 77;
(vii)
the monitoring and management of compliance with such internal policies and procedures in accordance with point (b) of this paragraph, the identification and management of deficiencies and the implementation of remedial actions;
(viii)
the verification, proportionate to the risks associated with the tasks and functions to be performed, when recruiting and assigning staff to certain tasks and functions and when appointing agents and distributors, that those persons are of good repute;
(ix)
the internal communication of the obliged entity’s internal policies, procedures and controls, including to its agents, distributors and service providers involved in the implementation of its AML/CFT policies;
(x)
a policy on the training of employees and, where relevant, agents and distributors with regard to measures in place in the obliged entity to comply with the requirements of this Regulation, Regulation (EU) 2023/1113 and any administrative act issued by any supervisor;
(b)
internal controls and an independent audit function to test the internal policies and procedures referred to in point (a) of this paragraph and the controls in place in the obliged entity; in the absence of an independent audit function, obliged entities may have this test carried out by an external expert.
The internal policies, procedures and controls set out in the first subparagraph shall be recorded in writing. Internal policies shall be approved by the management body in its management function. Internal procedures and controls shall be approved at least at the level of the compliance manager.
3.   The obliged entities shall keep the internal policies, procedures and controls up-to-date, and enhance them where weaknesses are identified.
4.   By 10 July 2026, AMLA shall issue guidelines on the elements that obliged entities should take into account, based on the nature of their business, including its risks and complexity, and their size, when deciding on the extent of their internal policies, procedures and controls, in particular as regards the staff allocated to the compliance functions. Those guidelines shall also identify situations where, due to the nature and size of the obliged entity:
(i)
internal controls are to be organised at the level of the commercial function, of the compliance function and of the audit function;
(ii)
the independent audit function can be carried out by an external expert.
Article 10
Business-wide risk assessment
1.   Obliged entities shall take appropriate measures, proportionate to the nature of their business, including its risks and complexity, and their size, to identify and assess the risks of money laundering and terrorist financing to which they are exposed, as well as the risks of non-implementation and evasion of targeted financial sanctions, taking into account at least:
(a)
the risk variables set out in Annex I and the risk factors set out in Annexes II and III;
(b)
the findings of the risk assessment at Union level conducted by the Commission pursuant to Article 7 of Directive (EU) 2024/1640;
(c)
the findings of the national risk assessments carried out by the Member States pursuant to Article 8 of Directive (EU) 2024/1640, as well as of any relevant sector-specific risk assessment carried out by the Member States;
(d)
relevant information published by international standard setters in the AML/CFT area or, at the level of the Union, relevant publications by the Commission or by AMLA;
(e)
information on money laundering and terrorist financing risks provided by competent authorities;
(f)
information on the customer base.
Prior to the launch of new products, services or business practices, including the use of new delivery channels and new or developing technologies, in conjunction with new or pre-existing products and services or before starting to provide an existing service or product to a new customer segment or in a new geographical area, obliged entities shall identify and assess, in particular, the related money laundering and terrorist financing risks and take appropriate measures to manage and mitigate those risks.
2.   The business-wide risk assessment drawn up by the obliged entity pursuant to paragraph 1 shall be documented, kept up-to-date and regularly reviewed, including where any internal or external events significantly affect the money laundering and terrorist financing risks associated with the activities, products, transactions, delivery channels, customers or geographical zones of activities of the obliged entity. It shall be made available to supervisors upon request.
The business-wide risk assessment shall be drawn up by the compliance officer and approved by the management body in its management function and, where such body exists, communicated to the management body in its supervisory function.
3.   With the exception of credit institutions, financial institutions, crowdfunding service providers and crowdfunding intermediaries, supervisors may decide that individual documented business-wide risk assessments are not required where the specific risks inherent in the sector are clear and understood.
4.   By 10 July 2026, AMLA shall issue guidelines on the minimum requirements for the content of the business-wide risk assessment drawn up by the obliged entity pursuant to paragraph 1, and on the additional sources of information to be taken into account when carrying out the business-wide risk assessment.
Article 11
Compliance functions
1.   Obliged entities shall appoint one member of the management body in its management function who shall be responsible for ensuring compliance with this Regulation, Regulation (EU) 2023/1113 and any administrative act issued by any supervisor (‘compliance manager’).
The compliance manager shall ensure that the obliged entity’s internal policies, procedures and controls are consistent with the obliged entity’s risk exposure and that they are implemented. The compliance manager shall also ensure that sufficient human and material resources are allocated to that end. The compliance manager shall be responsible for receiving information on significant or material weaknesses in such policies, procedures and controls.
Where the management body in its management function is a body collectively responsible for its decisions, the compliance manager shall be responsible for assisting and advising it and for preparing the decisions referred to in this Article.
2.   Obliged entities shall have a compliance officer, to be appointed by the management body in its management function and with sufficiently high hierarchical standing, who shall be responsible for the policies, procedures and controls in the day-to-day operation of the obliged entity’s AML/CFT requirements, including in relation to the implementation of targeted financial sanctions, and shall be a contact point for competent authorities. The compliance officer shall also be responsible for reporting suspicious transactions to the FIU in accordance with Article 69(6).
In the case of obliged entities subject to checks on their senior management or beneficial owners pursuant to Article 6 of Directive (EU) 2024/1640 or under other Union legal acts, compliance officers shall be subject to verification that they comply with those requirements.
Where justified by the size of the obliged entity and the low risk of its activities, an obliged entity that is part of a group may appoint as its compliance officer an individual who performs that function in another entity within that group.
The compliance officer may only be removed following prior notification to the management body in its management function. The obliged entity shall notify the supervisor of the removal of the compliance officer, specifying whether the decision relates to the carrying out of the tasks assigned under this Regulation. The compliance officer may, on his or her own initiative or upon request, provide information to the supervisor concerning the removal. The supervisor may use that information to perform its tasks under the second subparagraph of this paragraph and under Article 37(4) of Directive (EU) 2024/1640.
3.   Obliged entities shall provide the compliance functions with adequate resources, including staff and technology, in proportion to the size, nature and risks of the obliged entity for effective performance of their tasks, and shall ensure that the persons responsible for those functions are granted the powers to propose any measures necessary to ensure the effectiveness of the obliged entity’s internal policies, procedures and controls.
4.   Obliged entities shall take measures to ensure that the compliance officer is protected against retaliation, discrimination and any other unfair treatment, and that decisions of the compliance officer are not undermined or unduly influenced by commercial interests of the obliged entity.
5.   Obliged entities shall ensure that the compliance officer and the person responsible for the audit function referred to in Article 9(2), point (b), can report directly to the management body in its management function and, where such a body exists, to the management body in its supervisory function independently, and can raise concerns and warn the management body, where specific risk developments affect or may affect the obliged entity.
Obliged entities shall ensure that the persons directly or indirectly participating in implementation of this Regulation, Regulation (EU) 2023/1113 and any administrative act issued by any supervisor, have access to all information and data necessary to perform their tasks.
6.   The compliance manager shall regularly report on the implementation of the obliged entity’s internal policies, procedures and controls to the management body. In particular, the compliance manager shall submit once a year, or, where appropriate, more frequently, to the management body a report on the implementation of the obliged entity’s internal policies, procedures and controls drawn up by the compliance officer, and shall keep that body informed of the outcome of any reviews. The compliance manager shall take the necessary actions to remedy in a timely manner any deficiencies identified.
7.   Where the nature of the business of the obliged entity, including its risks and complexity, and its size justify it, the functions of the compliance manager and the compliance officer may be performed by the same natural person. Those functions may be cumulated with other functions.
Where the obliged entity is a natural person or a legal person whose activities are performed by one natural person only, that person shall be responsible for performing the tasks under this Article.
Article 12
Awareness of requirements
Obliged entities shall take measures to ensure that their employees or persons in comparable positions whose function so requires, including their agents and distributors are aware of the requirements arising from this Regulation, Regulation (EU) 2023/1113 and any administrative act issued by any supervisor, and of the business-wide risk assessment, internal policies, procedures and controls in place in the obliged entity, including in relation to the processing of personal data for the purposes of this Regulation.
The measures referred to in the first paragraph shall include the participation of employees or persons in comparable positions, including agents and distributors, in specific, ongoing training programmes to help them recognise operations which may be related to money laundering or terrorist financing and to instruct them as to how to proceed in such cases. Such training programmes shall be appropriate to their functions or activities and to the risks of money laundering and terrorist financing to which the obliged entity is exposed, and shall be duly documented.
Article 13
Integrity of employees
1.   Any employee, or person in a comparable position, including agents and distributors, directly participating in the obliged entity’s compliance with this Regulation, Regulation (EU) 2023/1113 and any administrative act issued by any supervisor, shall undergo an assessment commensurate with the risks associated with the tasks performed and whose content is approved by the compliance officer of:
(a)
individual skills, knowledge and expertise to carry out their functions effectively;
(b)
good repute, honesty and integrity.
The assessment referred to in the first subparagraph shall be performed prior to taking up of activities by the employee or person in a comparable position, including agents and distributors, and shall be regularly repeated. The intensity of the subsequent assessments shall be determined on the basis of the tasks entrusted to the person and risks associated with the function they perform.
2.   Employees, or persons in comparable positions, including agents and distributors, entrusted with tasks related to the obliged entity’s compliance with this Regulation, Regulation (EU) 2023/1113 and any administrative act issued by any supervisor, shall inform the compliance officer of any close private or professional relationship established with the obliged entity’s customers or prospective customers and shall be prevented from undertaking any tasks related to the obliged entity’s compliance in relation to those customers.
3.   Obliged entities shall have in place procedures to prevent and manage conflicts of interest that may affect the carrying out of tasks related to the obliged entity’s compliance with this Regulation, Regulation (EU) 2023/1113 and any administrative act issued by any supervisor.
4.   This Article shall not apply where the obliged entity is a natural person or a legal person whose activities are performed by one natural person only.
Article 14
Reporting of breaches and protection of reporting persons
1.   Directive (EU) 2019/1937 of the European Parliament and of the Council 
(
41
)
 shall apply to the reporting of breaches of this Regulation, Regulation (EU) 2023/1113 and any administrative act issued by any supervisor, and to the protection of persons reporting such breaches.
2.   Obliged entities shall establish internal reporting channels that meet the requirements set out in Directive (EU) 2019/1937.
3.   Paragraph 2 shall not apply where the obliged entity is a natural person or a legal person whose activities are performed by one natural person only.
Article 15
Situation of specific employees
Where a natural person falling within any of the categories listed in Article 3, point (3) performs professional activities as an employee of a legal person, the requirements laid down in this Regulation shall apply to that legal person rather than to the natural person.
SECTION 2
Provisions applying to groups
Article 16
Group-wide requirements
1.   A parent undertaking shall ensure that the requirements on internal procedures, risk assessment and staff referred to in Section 1 of this Chapter apply in all branches and subsidiaries of the group in the Member States and, for groups whose head office is located in the Union, in third countries. To this end, a parent undertaking shall perform a group-wide risk assessment, taking into account the business-wide risk assessment performed by all branches and subsidiaries of the group, and establish and implement group-wide policies, procedures and controls, including on data protection and on information sharing within the group for AML/CFT purposes and to ensure that employees within the group are aware of the requirements arising from this Regulation. Obliged entities within the group shall implement those group-wide policies, procedures and controls, taking into account their specificities and the risks to which they are exposed.
The group-wide policies, procedures and controls and the group-wide risk assessments referred to in the first subparagraph shall include all the elements listed in Articles 9 and 10, respectively.
For the purposes of the first subparagraph, where a group has establishments in more than one Member State and, for groups whose head office is located in the Union, in third countries, parent undertakings shall take into account the information published by the authorities of all the Member States or third countries where the group’s establishments are located.
2.   Compliance functions shall be established at the level of the group. Those functions shall include a compliance manager at the level of the group and, where justified by the activities carried out at group level, a compliance officer. The decision on the extent of the compliance functions shall be documented.
The compliance manager referred to in the first subparagraph shall regularly report to the management body in its management function of the parent undertaking on the implementation of the group-wide policies, procedures and controls. At a minimum, the compliance manager shall submit once a year a report on the implementation of the obliged entity’s internal policies, procedures and controls and shall take the necessary actions to remedy in a timely manner any deficiencies identified. Where the management body in its management function is a body collectively responsible for its decisions, the compliance manager shall assist and advise it, and shall prepare the decisions necessary for the implementation of this Article.
3.   The policies, procedures and controls pertaining to the sharing of information referred to in paragraph 1 shall require obliged entities within the group to exchange information when such sharing is relevant for the purposes of customer due diligence and money laundering and terrorist financing risk management. The sharing of information within the group shall cover in particular the identity and characteristics of the customer, its beneficial owners or the person on behalf of whom the customer acts, the nature and purpose of the business relationship and of the occasional transactions and the suspicions, accompanied by the underlying analyses, that funds are the proceeds of criminal activity or are related to terrorist financing reported to FIU pursuant to Article 69, unless otherwise instructed by the FIU.
The group-wide policies, procedures and controls shall not prevent entities within a group which are not obliged entities to provide information to obliged entities within the same group where such sharing is relevant for those obliged entities to comply with requirements set out in this Regulation.
Parent undertakings shall put in place group-wide policies, procedures and controls to ensure that the information exchanged pursuant to the first and second subparagraphs is subject to sufficient guarantees in terms of confidentiality, data protection and use of the information, including to prevent its disclosure.
4.   By 10 July 2026, AMLA shall develop draft regulatory technical standards and submit them to the Commission for adoption. Those draft regulatory technical standards shall specify the minimum requirements of group-wide policies, procedures and controls, including minimum standards for information sharing within the group, the criteria for identifying the parent undertaking in the cases covered by Article 2(1), point (42)(b), and the conditions under which the provisions of this Article apply to entities that are part of structures which share common ownership, management or compliance control, including networks or partnerships, as well as the criteria for identifying the parent undertaking in the Union in those cases.
5.   Power is delegated to the Commission to supplement this Regulation by adopting the regulatory technical standards referred to in paragraph 4 of this Article in accordance with Articles 49 to 52 of Regulation (EU) 2024/1620.
Article 17
Branches and subsidiaries in third countries
1.   Where branches or subsidiaries of obliged entities are located in third countries where the minimum AML/CFT requirements are less strict than those set out in this Regulation, the parent undertaking shall ensure that those branches or subsidiaries comply with the requirements laid down in this Regulation, including requirements concerning data protection, or equivalent.
2.   Where the law of a third country does not permit compliance with this Regulation, the parent undertaking shall take additional measures to ensure that branches and subsidiaries in that third country effectively handle the risk of money laundering or terrorist financing, and shall inform the supervisors of its home Member State of those additional measures. Where the supervisors of the home Member State consider that the additional measures are not sufficient, they shall exercise additional supervisory actions, including requiring the group not to enter into any business relationship, to terminate existing ones or not to undertake transactions, or to close down its operations in the third country.
3.   By 10 July 2026, AMLA shall develop draft regulatory technical standards and submit them to the Commission for adoption. Those draft regulatory technical standards shall specify the type of additional measures referred to in paragraph 2 of this Article, including the minimum action to be taken by obliged entities where the law of a third country does not permit the implementation of the measures required under Article 16 and the additional supervisory actions required in such cases.
4.   Power is delegated to the Commission to supplement this Regulation by adopting the regulatory technical standards referred to in paragraph 3 of this Article in accordance with Articles 49 to 52 of Regulation (EU) 2024/1620.
SECTION 3
Outsourcing
Article 18
Outsourcing
1.   Obliged entities may outsource tasks resulting from this Regulation to service providers. The obliged entity shall notify the supervisor of the outsourcing before the service provider starts to carry out the outsourced task.
2.   When performing tasks under this Article, service providers shall be regarded as part of the obliged entity, including where they are required to consult the central registers referred to in Article 10 of Directive (EU) 2024/1640 (‘central registers’) for the purposes of carrying out customer due diligence on behalf of the obliged entity.
The obliged entity shall remain fully liable for any action, whether an act of commission or omission, connected to the outsourced tasks that are carried out by service providers.
For each outsourced task, the obliged entity shall be able to demonstrate to the supervisor that it understands the rationale behind the activities carried out by the service provider and the approach followed in their implementation, and that such activities mitigate the specific risks to which the obliged entity is exposed.
3.   The tasks outsourced pursuant to paragraph 1 of this Article shall not be undertaken in such a way as to impair materially the quality of the obliged entity’s policies and procedures to comply with the requirements of this Regulation and of Regulation (EU) 2023/1113, and of the controls in place to test those policies and procedures. The following tasks shall not be outsourced under any circumstances:
(a)
the proposal and approval of the obliged entity’s business-wide risk assessment pursuant to Article 10(2);
(b)
the approval of the obliged entity’s internal policies, procedures and controls pursuant to Article 9;
(c)
decision on the risk profile to be attributed to the customer;
(d)
the decision to enter into a business relationship or carry out an occasional transaction with a client;
(e)
the reporting to FIU of suspicious activities pursuant to Article 69 or threshold-based reports pursuant to Article 74 and 80, except where such activities are outsourced to another obliged entity belonging to the same group and established in the same Member State;
(f)
the approval of the criteria for the detection of suspicious or unusual transactions and activities.
4.   Before an obliged entity outsources a task pursuant to paragraph 1, it shall assure itself that the service provider is sufficiently qualified to carry out the tasks to be outsourced.
Where an obliged entity outsources a task pursuant to paragraph 1, it shall ensure that the service provider, as well as any subsequent sub-outsourcing service provider, applies the policies and procedures adopted by the obliged entity. The conditions for the performance of such tasks shall be laid down in a written agreement between the obliged entity and the service provider. The obliged entity shall perform regular controls to ascertain the effective implementation of such policies and procedures by the service provider. The frequency of such controls shall be determined on the basis of the critical nature of the tasks outsourced.
5.   Obliged entities shall ensure that outsourcing is not undertaken in such way as to impair materially the ability of the supervisory authorities to monitor and retrace the obliged entity’s compliance with this Regulation and Regulation (EU) 2023/1113.
6.   By way of derogation from paragraph 1, obliged entities shall not outsource tasks deriving from the requirements under this Regulation to service providers residing or established in third countries identified pursuant to Section 2 of Chapter III, unless all of the following conditions are met:
(a)
the obliged entity outsources tasks solely to a service provider that is part of the same group;
(b)
the group applies AML/CFT policies and procedures, customer due diligence measures and rules on record-keeping that are fully in compliance with this Regulation, or with equivalent rules in third countries;
(c)
the effective implementation of the requirements referred to in point (b) of this paragraph is supervised at group level by the supervisory authority of the home Member State in accordance with Chapter IV of Directive (EU) 2024/1640.
7.   By way of derogation from paragraph 3, where a collective investment undertaking has no legal personality, or has only a board of directors and has delegated the processing of subscriptions and the collection of funds as defined in Article 4, point (25), of Directive (EU) 2015/2366 from investors to another entity, it may outsource the task referred to in paragraph 3, points (c), (d) and (e) to one of its service providers.
The outsourcing referred to in the first subparagraph of this paragraph may only take place after the collective investment undertaking has notified its intention to outsource the task to the supervisor pursuant to paragraph 1, and the supervisor has approved such outsourcing taking into consideration:
(a)
the resources, experience and knowledge of the service provider in relation to the prevention of money laundering and terrorist financing;
(b)
the knowledge of the service provider of the type of activities or transactions carried out by the collective investment undertaking.
8.   By 10 July 2027, AMLA shall issue guidelines addressed to obliged entities on:
(a)
the establishment of outsourcing relationships, including any subsequent outsourcing relationship, in accordance with this Article, their governance and procedures for monitoring the implementation of functions by the service provider and in particular those functions that are to be regarded as critical;
(b)
the roles and responsibility of the obliged entity and the service provider within an outsourcing agreement;
(c)
supervisory approaches to outsourcing as well as supervisory expectations regarding the outsourcing of critical functions.
CHAPTER III
CUSTOMER DUE DILIGENCE
SECTION 1
General provisions
Article 19
Application of customer due diligence measures
1.   Obliged entities shall apply customer due diligence measures in any of the following circumstances:
(a)
when establishing a business relationship;
(b)
when carrying out an occasional transaction of a value of at least EUR 10 000, or the equivalent in national currency, whether that transaction is carried out in a single operation or through linked transactions, or a lower value laid down pursuant to paragraph 9;
(c)
when participating in the creation of a legal entity, the setting up of a legal arrangement or, for the obliged entities referred to in Article 3, points (3) (a), (b) or (c), in the transfer of ownership of a legal entity, irrespective of the value of the transaction;
(d)
when there is a suspicion of money laundering or terrorist financing, regardless of any derogation, exemption or threshold;
(e)
when there are doubts about the veracity or adequacy of previously obtained customer identification data;
(f)
when there are doubts as to whether the person they interact with is the customer or person authorised to act on behalf of the customer.
2.   In addition to the circumstances referred to in paragraph 1, credit institutions and financial institutions, with the exception of crypto-asset service providers, shall apply customer due diligence measures when initiating or executing an occasional transaction that constitutes a transfer of funds as defined in Article 3, point (9), of Regulation (EU) 2023/1113, that amounts to a value of at least EUR 1 000, or the equivalent in national currency, whether that transaction is carried out in a single operation or through linked transactions.
3.   By way of derogation from paragraph 1, point (b), crypto-asset service providers shall:
(a)
apply customer due diligence measures when carrying out an occasional transaction that amounts to a value of at least EUR 1 000, or the equivalent in national currency, whether the transaction is carried out in a single operation or through linked transactions;
(b)
apply at least customer due diligence measures referred to in Article 20(1), point (a), when carrying out an occasional transaction where the value is below EUR 1 000, or the equivalent in national currency, whether the transaction is carried out in a single operation or through linked transactions.
4.   By way of derogation from paragraph 1, point (b), obliged entities shall apply at least customer due diligence measures referred to in Article 20(1), point (a), when carrying out an occasional transaction in cash amounting to a value of at least EUR 3 000, or the equivalent in national currency, whether the transaction is carried out in a single operation or through linked transactions.
The first subparagraph of this paragraph shall not apply where Member States have in place, pursuant to Article 80(2) and (3), a limit to large cash payments of EUR 3 000 or less, or the equivalent in national currency, except in the cases covered by paragraph 4, point (b) of that Article.
5.   In addition to the circumstances referred to in paragraph 1, providers of gambling services shall apply customer due diligence measures upon the collection of winnings, the wagering of a stake, or both, when carrying out transactions amounting to at least EUR 2 000 or the equivalent in national currency, whether the transaction is carried out in a single operation or through linked transactions.
6.   For the purposes of this Chapter, obliged entities shall consider as their customers the following persons:
(a)
in the case of obliged entities as referred to in Article 3, points (3) (e), (f) and (i) and persons trading in high value goods as referred to in Article 3, point (3) (j), in addition to their direct customer, the supplier of goods;
(b)
in the case of notaries, lawyers and other independent legal professionals intermediating a transaction and to the extent that they are the only notary or lawyer or other independent legal professional intermediating that transaction, both parties to the transaction;
(c)
in the case of real estate agents, both parties to the transaction;
(d)
in relation to payment initiation services carried out by payment initiation service providers, the merchant;
(e)
in relation to crowdfunding service providers and crowdfunding intermediaries, the natural or legal person both seeking funding and providing funding through the crowdfunding platform.
7.   Supervisors may, directly or in cooperation with other authorities in that Member State, exempt obliged entities from applying, in full or in part, the customer due diligence measures referred to in Article 20(1), points (a), (b) and (c), with respect to electronic money on the basis of the proven low risk posed by the nature of the product, where all of the following risk-mitigating conditions are met:
(a)
the payment instrument is not reloadable, and the amount stored electronically does not exceed EUR 150 or the equivalent in national currency;
(b)
the payment instrument is used exclusively to purchase goods or services provided by the issuer, or within a network of service providers;
(c)
the payment instrument is not linked to a payment account and it does not permit any stored amount to be exchanged for cash or for crypto-assets;
(d)
the issuer carries out sufficient monitoring of the transactions or business relationship to enable the detection of unusual or suspicious transactions.
8.   Providers of gambling services may fulfil their obligation to apply customer due diligence measures referred to in Article 20(1), point (a), by identifying the customer and verifying the customer’s identity upon entry to the casino or other physical gambling premises, provided that they have systems in place that enable them to attribute transactions to specific customers.
9.   By 10 July 2026, AMLA shall develop draft regulatory technical standards and submit them to the Commission for adoption. Those draft regulatory technical standards shall specify:
(a)
the obliged entities, sectors or transactions that are associated with higher money laundering and terrorist financing risk and to which a value lower than the value set out in paragraph 1, point (b), applies;
(b)
the related occasional transaction values;
(c)
the criteria to be taken into account for identifying occasional transactions and business relationships;
(d)
the criteria to identify linked transactions.
When developing the draft regulatory technical standards referred to in the first subparagraph, AMLA shall take due account of the inherent levels of risks of the business models of the different types of obliged entities and of the risk assessment at Union level conducted by the Commission pursuant to Article 7 of Directive (EU) 2024/1640.
10.   Power is delegated to the Commission to supplement this Regulation by adopting the regulatory technical standards referred to in paragraph 9 of this Article in accordance with Articles 49 to 52 of Regulation (EU) 2024/1620.
Article 20
Customer due diligence measures
1.   For the purpose of conducting customer due diligence, obliged entities shall apply all of the following measures:
(a)
identifying the customer and verifying the customer’s identity;
(b)
identifying the beneficial owners and taking reasonable measures to verify their identity so that the obliged entity is satisfied that it knows who the beneficial owner is and that it understands the ownership and control structure of the customer;
(c)
assessing and, as appropriate, obtaining information on and understanding the purpose and intended nature of the business relationship or the occasional transactions;
(d)
verifying whether the customer or the beneficial owners are subject to targeted financial sanctions, and, in the case of a customer or party to a legal arrangement who is a legal entity, whether natural or legal persons subject to targeted financial sanctions control the legal entity or have more than 50 % of the proprietary rights of that legal entity or majority interest in it, whether individually or collectively;
(e)
assessing and, as appropriate, obtaining information on the nature of the customers’ business, including, in the case of undertakings, whether they carry out activities, or of their employment or occupation;
(f)
conducting ongoing monitoring of the business relationship including scrutiny of transactions undertaken throughout the course of the business relationship to ensure that the transactions being conducted are consistent with the obliged entity’s knowledge of the customer, the business and risk profile, including where necessary the source of funds;
(g)
determining whether the customer, the beneficial owner of the customer and, where relevant, the person on whose behalf or for the benefit of whom a transaction or activity is being carried out is a politically exposed person, a family member or person known to be a close associate;
(h)
where a transaction or activity is being conducted on behalf of or for the benefit of natural persons other than the customer, identifying and verifying the identity of those natural persons;
(i)
verifying that any person purporting to act on behalf of the customer is so authorised and identify and verify their identity.
2.   Obliged entities shall determine the extent of the measures referred to in paragraph 1 on the basis of an individual analysis of the risks of money laundering and terrorist financing having regard to the specific characteristics of the client and of the business relationship or occasional transaction, and taking into account the business-wide risk assessment by the obliged entity pursuant to Article 10 and the money laundering and terrorist financing variables set out in Annex I as well as the risk factors set out in Annexes II and III.
Where obliged entities identify an increased risk of money laundering or terrorist financing they shall apply enhanced due diligence measures pursuant to Section 4 of this Chapter. Where situations of lower risk are identified, obliged entities may apply simplified due diligence measures pursuant to Section 3 of this Chapter.
3.   By 10 July 2026, AMLA shall issue guidelines on the risk variables and risk factors to be taken into account by obliged entities when entering into business relationships or carrying out occasional transactions.
4.   Obliged entities shall at all times be able to demonstrate to their supervisors that the measures taken are appropriate in view of the risks of money laundering and terrorist financing that have been identified.
Article 21
Inability to comply with the requirement to apply customer due diligence measures
1.   Where an obliged entity is unable to comply with the requirement to apply customer due diligence measures laid down in Article 20(1), it shall refrain from carrying out a transaction or establishing a business relationship, and shall terminate the business relationship and consider reporting a suspicious transaction to the FIU in relation to the customer in accordance with Article 69.
The termination of a business relationship pursuant to the first subparagraph of this paragraph shall not prohibit the receipt of funds as defined in Article 4, point (25), of Directive (EU) 2015/2366 due to the obliged entity.
Where an obliged entity has a duty to protect its customer’s assets, the termination of the business relationship shall not be understood as requiring the disposal of the assets of the customer.
In the case of life insurance contracts, obliged entities shall, where necessary as an alternative measure to terminating the business relationship, refrain from performing transactions for the customer, including payouts to beneficiaries, until the customer due diligence measures laid down in Article 20(1) are complied with.
2.   Paragraph 1 shall not apply to notaries, lawyers, other independent legal professionals, auditors, external accountants and tax advisors, to the extent that those persons ascertain the legal position of their client, or perform the task of defending or representing that client in, or concerning, judicial proceedings, including providing advice on instituting or avoiding such proceedings.
The first subparagraph shall not apply when the obliged entities referred to therein:
(a)
take part in money laundering, its predicate offences or terrorist financing;
(b)
provide legal advice for the purposes of money laundering, its predicate offences or terrorist financing; or
(c)
know that the client is seeking legal advice for the purposes of money laundering, its predicate offences or terrorist financing; knowledge or purpose may be inferred from objective factual circumstances.
3.   Obliged entities shall keep record of the actions taken in order to comply with the requirement to apply customer due diligence measures, including records of the decisions taken and the relevant supporting documents and justifications. Documents, data or information held by the obliged entity shall be updated whenever the customer due diligence is reviewed pursuant to Article 26.
The obligation to keep records provided for in the first subparagraph of this paragraph shall also apply to situations where obliged entities refuse to enter into a business relationship, terminate a business relationship or apply alternative measures pursuant to paragraph 1.
4.   By 10 July 2027, AMLA shall issue joint guidelines with the European Banking Authority on the measures that may be taken by credit institutions and financial institutions to ensure compliance with AML/CFT rules when implementing the requirements of Directive 2014/92/EU, including in relation to business relationships that are most affected by de-risking practices.
Article 22
Identification and verification of the identity of customers and beneficial owners
1.   With the exception of cases of lower risk to which measures under Section 3 apply and irrespective of the application of additional measures in cases of higher risk under Section 4 obliged entities shall obtain at least the following information in order to identify the customer, any person purporting to act on behalf of the customer, and the natural persons on whose behalf or for the benefit of whom a transaction or activity is being conducted:
(a)
for a natural person:
(i)
all names and surnames;
(ii)
place and full date of birth;
(iii)
nationalities, or statelessness and refugee or subsidiary protection status where applicable, and the national identification number, where applicable;
(iv)
the usual place of residence or, if there is no fixed residential address with legitimate residence in the Union, the postal address at which the natural person can be reached and, where available the tax identification number;
(b)
for a legal entity:
(i)
legal form and name of the legal entity;
(ii)
address of the registered or official office and, if different, the principal place of business, and the country of creation;
(iii)
the names of the legal representatives of the legal entity as well as, where available, the registration number, the tax identification number and the Legal Entity Identifier;
(iv)
the names of persons holding shares or a directorship position in nominee form, including reference to their status as nominee shareholders or directors.
(c)
for a trustee of an express trust or a person holding an equivalent position in a similar legal arrangement:
(i)
basic information on the legal arrangement; however, with regard to the assets held in the legal arrangement or managed through it, only the assets that are to be managed in the context of the business relationship or occasional transaction shall be identified;
(ii)
the address of residence of the trustees or persons holding an equivalent position in a similar legal arrangement and, if different, the place from where the express trust or similar legal arrangement is administered, the powers that regulate and bind the legal arrangement, as well as, where available, the tax identification number and the Legal Entity Identifier;
(d)
for other organisations that have legal capacity under national law:
(i)
name, address of the registered office or equivalent;
(ii)
names of the persons empowered to represent the organisation as well as, where applicable, legal form, tax identification number, registration number, Legal Entity Identifier and deeds of association or equivalent.
2.   For the purposes of identifying the beneficial owner of a legal entity or of a legal arrangement, obliged entities shall collect the information referred to in Article 62(1), second subparagraph, point (a).
Where, after having exhausted all possible means of identification, no natural persons are identified as beneficial owners, or where there are doubts that the persons identified are the beneficial owners, obliged entities shall record that no beneficial owner was identified and identify all the natural persons holding the positions of senior managing officials in the legal entity and shall verify their identity.
Where the performance of identity verification referred to in the second subparagraph may tip off the customer that the obliged entity has doubts regarding the beneficial ownership of the legal entity, the obliged entity shall abstain from verifying the senior managing officials’ identity, and shall instead record the steps taken to ascertain the identity of the beneficial owners and senior managing officials. Obliged entities shall keep records of the actions taken as well as of the difficulties encountered during the identification process, which led to resorting to the identification of a senior managing official.
3.   Credit institutions and financial institutions shall obtain information to identify and verify the identity of the natural or legal persons using any virtual IBAN they issue, and the associated bank or payment account.
The credit institution or financial institution servicing the bank or payment account to which a virtual IBAN issued by another credit institution or financial institution redirects payments, shall ensure that it can obtain from the institution issuing the virtual IBAN the information identifying and verifying the identity of the natural person using that virtual IBAN without delay and in any case within 5 working days of it requesting that information.
4.   In the case of beneficiaries of trusts or similar legal entities or arrangements that are designated by particular characteristics or class, an obliged entity shall obtain sufficient information concerning the beneficiary so that it will be able to establish the identity of the beneficiary at the time of the payout or at the time of the exercise by the beneficiary of its vested rights.
5.   In the case of discretionary trusts, an obliged entity shall obtain sufficient information concerning the objects of a power and default takers to enable it to establish the identity of the beneficiary at the time of the exercise by the trustees of their power of discretion, or at the time that the default takers become the beneficiaries due to the trustees’ failure to exercise their power of discretion.
6.   Obliged entities shall obtain the information, documents and data necessary for the verification of the identity of the customer and of any person purporting to act on their behalf through either of the following means:
(a)
the submission of an identity document, passport or equivalent and, where relevant, the acquisition of information from reliable and independent sources, whether accessed directly or provided by the customer;
(b)
the use of electronic identification means which meet the requirements of Regulation (EU) No 910/2014 with regard to the assurance levels ‘substantial’ or ‘high’ and relevant qualified trust services as set out in that Regulation.
7.   Obliged entities shall verify the identity of the beneficial owner and, where relevant, the persons on whose behalf or for the benefit of whom a transaction or activity is being carried out in either of the following ways:
(a)
in accordance with paragraph 6;
(b)
by taking reasonable measures to obtain the necessary information, documents and data from the customer or other reliable sources, including public registers other than the central registers.
Obliged entities shall determine the extent of the information to be consulted, having regard to the risks posed by the occasional transaction or the business relationship and the beneficial owner, including risks relating to the ownership structure.
In addition to the means of verification set out in the first subparagraph of this paragraph, obliged entities shall verify the information on the beneficial owners by consulting the central registers.
Article 23
Timing of the verification of the customer and beneficial owner identity
1.   Verification of the identity of the customer, the beneficial owner, and of any persons pursuant to Article 20(1), points (h) and (i), shall take place before the establishment of a business relationship or the carrying out of an occasional transaction. Such obligation shall not apply to situations of lower risk under Section 3 of this Chapter, provided that the lower risk justifies postponement of such verification.
For real estate agents, the verification referred to in the first subparagraph shall be carried out after an offer is accepted by the seller or lessor, and in all cases before any funds or property are transferred.
2.   By way of derogation from paragraph 1, verification of the identity of the customer and of the beneficial owner may be completed during the establishment of a business relationship if necessary so as not to interrupt the normal conduct of business and where there is little risk of money laundering or terrorist financing. In such situations, those procedures shall be completed as soon as practicable after initial contact.
3.   By way of derogation from paragraph 1 of this Article, a credit institution or financial institution may open an account, including accounts that permit transactions in transferable securities, as may be required by a customer provided that there are adequate safeguards in place to ensure that transactions are not carried out by the customer or on its behalf until full compliance with the customer due diligence measures laid down in Article 20(1), points (a) and (b), is obtained.
4.   Whenever entering into a new business relationship with a legal entity or the trustee of an express trust or the person holding an equivalent position in a similar legal arrangement referred to in Articles 51, 57, 58, 61 and 67 and subject to the registration of beneficial ownership information pursuant to Article 10 of Directive (EU) 2024/1640, obliged entities shall collect valid proof of registration or a recently issued excerpt of the register confirming validity of registration.
Article 24
Reporting of discrepancies with information contained in beneficial ownership registers
1.   Obliged entities shall report to the central registers any discrepancies they find between the information available in the central registers and the information they collect pursuant to Article 20(1), point (b), and Article 22(7).
The discrepancies referred to in the first subparagraph shall be reported without undue delay and, in any case, within 14 calendar days of their detection. When reporting such discrepancies, obliged entities shall accompany their reports with information they have obtained indicating the discrepancy and whom they consider to be the beneficial owners and, where applicable, the nominee shareholders and nominee directors to be and why.
2.   By way of derogation from paragraph 1, obliged entities may refrain from reporting discrepancies to the central register and may instead request additional information from the customers where the discrepancies identified:
(a)
are limited to typographical errors, different ways of transliteration, or minor inaccuracies that do not affect the identification of the beneficial owners or their position; or
(b)
are a result of outdated data, but the beneficial owners are known to the obliged entity from another reliable source and there are no grounds for suspicion that there is an intention to conceal any information.
Where an obliged entity concludes that the beneficial ownership information in the central register is incorrect, it shall invite the customer to submit the correct information to the central register pursuant to Articles 63, 64 and 67 without undue delay, and, in any case, within 14 calendar days.
This paragraph shall not apply to cases of higher risk to which measures under Section 4 of this Chapter apply.
3.   Where a customer has not submitted the correct information within the deadline referred to in paragraph 2, second subparagraph, the obliged entity shall report the discrepancy to the central register in accordance with paragraph 1, second subparagraph.
4.   This Article shall not apply to notaries, lawyers, other independent legal professionals, auditors, external accountants and tax advisors in relation to information they receive from, or obtain on, a client, in the course of ascertaining the legal position of that client, or performing their task of defending or representing that client in, or concerning, judicial proceedings, including providing advice on instituting or avoiding such proceedings, regardless of whether such information is received or obtained before, during or after such proceedings.
However, the requirements of this Article shall apply when the obliged entities referred to in the first subparagraph of this paragraph provide legal advice in any of the situations covered by Article 21(2), second subparagraph.
Article 25
Identification of the purpose and intended nature of a business relationship or occasional transaction
Before entering into a business relationship or performing an occasional transaction, an obliged entity shall assure itself that it understands its purpose and intended nature. To that end, the obliged entity shall obtain, where necessary, information on:
(a)
the purpose and economic rationale of the occasional transaction or business relationship;
(b)
the estimated amount of the envisaged activities;
(c)
the source of funds;
(d)
the destination of funds;
(e)
the business activity or the occupation of the customer.
For the purposes of the first paragraph, point (a), of this Article, obliged entities covered by Article 74 shall collect information in order to determine whether the intended use of high value goods referred to in that Article is for commercial or non-commercial purposes.
Article 26
Ongoing monitoring of the business relationship and monitoring of transactions performed by customers
1.   Obliged entities shall conduct ongoing monitoring of business relationships, including transactions undertaken by the customer throughout the course of a business relationship, to ensure that those transactions are consistent with the obliged entity’s knowledge of the customer, the customer’s business activity and risk profile, and where necessary, with the information about the origin and destination of the funds and to detect those transactions that shall be made subject to a more thorough assessment pursuant to Article 69(2).
Where business relationships cover more than one product or service, obliged entities shall ensure that the customer due diligence measures cover all those products and services.
Where obliged entities belonging to a group have business relationships with customers that are also the customers of other entities within that group, whether obliged entities or undertakings not subject to AML/CFT requirements, they shall take into account information relating to those other business relationships for the purposes of monitoring the business relationship with their customers.
2.   In the context of the ongoing monitoring referred to in paragraph 1, obliged entities shall ensure that the relevant documents, data or information of the customer are kept up to date.
The period between updates of customer information pursuant to the first subparagraph shall be dependent on the risk posed by the business relationship and shall not in any case exceed:
(a)
for higher risk customers to which measures under Section 4 of this Chapter apply, 1 year;
(b)
for all other customers, 5 years.
3.   In addition to the requirements set out in paragraph 2, obliged entities shall review and, where relevant, update the customer information where:
(a)
there is a change in the relevant circumstances of a customer;
(b)
the obliged entity has a legal obligation in the course of the relevant calendar year to contact the customer for the purpose of reviewing any relevant information relating to the beneficial owners or to comply with Council Directive 2011/16/EU 
(
42
)
;
(c)
they become aware of a relevant fact which pertains to the customer.
4.   In addition to the ongoing monitoring referred to in paragraph 1 of this Article, obliged entities shall regularly verify whether the conditions laid down in Article 20(1), point (d), are met. The frequency of that verification shall be commensurate with the exposure of the obliged entity and the business relationship to risks of non-implementation and evasion of targeted financial sanctions.
For credit institutions and financial institutions, the verification referred to in the first subparagraph shall also be carried out upon any new designation in relation to targeted financial sanctions.
The requirements of this paragraph shall not replace the obligation to apply targeted financial sanctions or stricter requirements under other Union legal acts or under national law on the verification of the client base against lists of targeted financial sanctions.
5.   By 10 July 2026, AMLA shall issue guidelines on ongoing monitoring of a business relationship and on the monitoring of the transactions carried out in the context of such relationship.
Article 27
Temporary measures for customers subject to UN financial sanctions
1.   In respect of customers that are subject to UN financial sanctions or that are controlled by natural or legal persons or entities subject to UN financial sanctions, or in which natural or legal persons or entities that are subject to UN financial sanctions have more than 50 % of the proprietary rights or majority interest, whether individually or collectively, obliged entities shall keep records of:
(a)
the funds or other assets that they manage for the customer at the time when UN financial sanctions are made public;
(b)
the transactions attempted by the customer;
(c)
the transactions carried out for the customer.
2.   Obliged entities shall apply this Article between the time that UN financial sanctions are made public and the time of application of the relevant targeted financial sanctions in the Union.
Article 28
Regulatory technical standards on the information necessary for the performance of customer due diligence
1.   By 10 July 2026, AMLA shall develop draft regulatory technical standards and submit them to the Commission for adoption. Those draft regulatory technical standards shall specify:
(a)
the requirements that apply to obliged entities pursuant to Article 20 and the information to be collected for the purpose of performing standard, simplified and enhanced due diligence pursuant to Articles 22 and 25 and Articles 33(1) and 34(4), including minimum requirements in situations of lower risk;
(b)
the type of simplified due diligence measures which obliged entities may apply in situations of lower risk pursuant to Article 33(1) of this Regulation, including measures applicable to specific categories of obliged entities and products or services, having regard to the results of the risk assessment at Union level conducted by the Commission pursuant to Article 7 of Directive (EU) 2024/1640;
(c)
the risk factors associated with features of electronic money instruments that should be taken into account by supervisors when determining the extent of the exemption under Article 19(7);
(d)
the reliable and independent sources of information that may be used to verify the identification data of natural or legal persons for the purposes of Article 22(6) and (7);
(e)
the list of attributes which electronic identification means and relevant qualified trust services referred to in Article 22(6), point (b), must feature in order to fulfil the requirements of Article 20(1), points (a) and (b), in the case of standard, simplified and enhanced due diligence.
2.   The requirements and measures referred to in paragraph 1, points (a) and (b), shall be based on the following criteria:
(a)
the inherent risk involved in the service provided;
(b)
the risks associated with categories of customers;
(c)
the nature, amount and recurrence of the transaction;
(d)
the channels used for conducting the business relationship or the occasional transaction.
3.   AMLA shall review regularly the regulatory technical standards and, if necessary, prepare and submit to the Commission the draft for updating those standards in order, inter alia, to take account of innovation and technological developments.
4.   Power is delegated to the Commission to supplement this Regulation by adopting the regulatory technical standards referred to in paragraphs 1 and 3 of this Article in accordance with Articles 49 to 52 of Regulation (EU) 2024/1620.
SECTION 2
Third-country policy and money laundering and terrorist financing threats from outside the Union
Article 29
Identification of third countries with significant strategic deficiencies in their national AML/CFT regimes
1.   Third countries with significant strategic deficiencies in their national AML/CFT regimes shall be identified by the Commission and designated as ‘high-risk third countries’.
2.   In order to identify third countries as referred to in paragraph 1 of this Article, the Commission is empowered to adopt delegated acts in accordance with Article 85 to supplement this Regulation, where:
(a)
significant strategic deficiencies in the legal and institutional AML/CFT framework of the third country have been identified;
(b)
significant strategic deficiencies in the effectiveness of the third country’s AML/CFT system in addressing money laundering and terrorist financing risks or in its system to assess and mitigate risks of non-implementation or evasion of UN financial sanctions relating to proliferation financing have been identified;
(c)
the significant strategic deficiencies identified under points (a) and (b) are of a persistent nature and no measures to mitigate them have been taken or are being taken.
Those delegated acts shall be adopted within 20 calendar days of the Commission ascertaining that the criteria in point (a), (b) or (c) of the first subparagraph are met.
3.   For the purposes of paragraph 2, the Commission shall take into account calls for the application of enhanced due diligence measures and additional mitigating measures (‘countermeasures’) by international organisations and standard setters with competence in the field of preventing money laundering and combating terrorist financing, as well as relevant evaluations, assessments, reports or public statements drawn up by them.
4.   Where a third country is identified in accordance with the criteria referred to in paragraph 2, obliged entities shall apply enhanced due diligence measures listed in Article 34(4) with respect to the business relationships or occasional transactions involving natural or legal persons from that third country.
5.   The delegated act referred to in paragraph 2 shall identify among the countermeasures listed in Article 35 the specific countermeasures mitigating specific risks stemming from each high-risk third country.
6.   Where a Member State identifies a specific money laundering or terrorist financing risk posed by a third country that the Commission has identified in accordance with the criteria referred to in paragraph 2 which is not addressed by the countermeasures referred to in paragraph 5, it may require obliged entities established in its territory to apply specific additional countermeasures to mitigate the specific risks stemming from that third country. The risk identified and the corresponding countermeasures shall be notified to the Commission within 5 days of the countermeasures being applied.
7.   The Commission shall review the delegated acts referred to in paragraph 2 on a regular basis to ensure that the specific countermeasures identified pursuant to paragraph 5 take account of the changes in the AML/CFT framework of the third country and are proportionate and adequate to the risks.
Upon receiving a notification pursuant to paragraph 6, the Commission shall assess the information received to determine whether country-specific risks affect the integrity of the Union’s internal market. Where appropriate, the Commission shall review the delegated acts referred to in paragraph 2, by adding the necessary countermeasures to mitigate those additional risks. Where the Commission considers that the specific additional measures applied by a Member State under paragraph 6 are not necessary to mitigate specific risks stemming from that third country, it may decide, by means of an implementing act, that the Member State shall put an end to the specific additional countermeasure.
Article 30
Identification of third countries with compliance weaknesses in their national AML/CFT regimes
1.   Third countries with compliance weaknesses in their national AML/CFT regimes shall be identified by the Commission.
2.   In order to identify the third countries referred to in paragraph 1, the Commission is empowered to adopt delegated acts in accordance with Article 85 to supplement this Regulation, where:
(a)
compliance weaknesses in the legal and institutional AML/CFT framework of the third country have been identified;
(b)
compliance weaknesses in the effectiveness of the third country’s AML/CFT system in addressing money laundering and terrorist financing risks or in its system to assess and mitigate risks of non-implementation or evasion of UN financial sanctions relating to proliferation financing have been identified.
Those delegated acts shall be adopted within 20 calendar days of the Commission ascertaining that the criteria in point (a) or (b) of the first subparagraph are met.
3.   The Commission, when drawing up the delegated acts referred to in paragraph 2 shall take into account, as a baseline for its assessment, information on jurisdictions under increased monitoring by international organisations and standard setters with competence in the field of preventing money laundering and combating terrorist financing, as well as relevant evaluations, assessments, reports or public statements drawn up by them.
4.   The delegated act referred to in paragraph 2 shall identify the specific enhanced due diligence measures among those listed in Article 34(4), that obliged entities shall apply to mitigate risks related to business relationships or occasional transactions involving natural or legal persons from that third country.
5.   The Commission shall review the delegated acts referred to in paragraph 2 on a regular basis to ensure that the specific enhanced due diligence measures identified pursuant to paragraph 4 take account of the changes in the AML/CFT framework of the third country and are proportionate and adequate to the risks.
Article 31
Identification of third countries posing a specific and serious threat to the Union’s financial system
1.   The Commission is empowered to adopt delegated acts in accordance with Article 85 to supplement this Regulation by identifying third countries where in exceptional cases it considers it indispensable to mitigate a specific and serious threat to the Union’s financial system and the proper functioning of the internal market posed by those third countries, and which cannot be mitigated pursuant to Articles 29 and 30.
2.   The Commission, when drawing up the delegated acts referred to in paragraph 1, shall take into account in particular the following criteria:
(a)
the legal and institutional AML/CFT framework of the third country, in particular:
(i)
the criminalisation of money laundering and terrorist financing;
(ii)
measures relating to customer due diligence;
(iii)
requirements relating to record-keeping;
(iv)
requirements to report suspicious transactions;
(v)
the availability of accurate and timely information of the beneficial ownership of legal persons and arrangements to competent authorities;
(b)
the powers and procedures of the third country’s competent authorities for the purposes of combating money laundering and terrorist financing including appropriately effective, proportionate and dissuasive sanctions, as well as the third country’s practice in cooperation and exchange of information with Member States’ competent authorities;
(c)
the effectiveness of the third country’s AML/CFT system in addressing money laundering and terrorist financing risks.
3.   For the purposes of determining the level of threat referred to in paragraph 1, the Commission may request AMLA to adopt an opinion aimed at assessing the specific impact on the integrity of the Union’s financial system due to the level of threat posed by a third country.
4.   Where AMLA identifies that a third country other than those identified pursuant to Articles 29 and 30 poses a specific and serious threat to the Union’s financial system, it may address an opinion to the Commission setting out the threat it has identified and why it believes that the Commission should identify the third country pursuant to paragraph 1.
Where the Commission decides not to identify the third country referred to in the first subparagraph, it shall provide a justification thereof to AMLA.
5.   The Commission, when drawing up the delegated acts referred to in paragraph 1, shall take into account in particular relevant evaluations, assessments or reports drawn up by international organisations and standard setters with competence in the field of preventing money laundering and combating terrorist financing.
6.   Where the identified specific and serious threat from the third country concerned amounts to a significant strategic deficiency, Article 29(4) shall apply and the delegated act referred to in paragraph 1 of this Article shall identify specific countermeasures as referred to in Article 29(5).
7.   Where the identified specific and serious threat from the third country concerned amounts to a compliance weakness, the delegated act referred to in paragraph 1 shall identify specific enhanced due diligence measures among those listed in Article 34(4), that obliged entities shall apply to mitigate risks related to business relationships or occasional transactions involving natural or legal persons from that third country.
8.   The Commission shall review the delegated acts referred to in paragraph 1 on a regular basis to ensure that the countermeasures referred to in paragraph 6 and enhanced due diligence measures referred to in paragraph 7 take account of the changes in the AML/CFT framework of the third country and are proportionate and adequate to the risks.
9.   The Commission may adopt, by means of an implementing act, the methodology for the identification of third countries pursuant to this Article. That implementing act shall set out, in particular:
(a)
how the criteria referred to in paragraph 2 are assessed;
(b)
the process for interaction with the third country under assessment;
(c)
the process for involvement of Member States and AMLA in the identification of third countries posing a specific and serious threat to the Union’s financial system.
The implementing act referred to in the first subparagraph of this paragraph shall be adopted in accordance with the examination procedure referred to in Article 86(2).
Article 32
Guidelines on money laundering and terrorist financing risks, trends and methods
1.   By 10 July 2027, AMLA shall issue guidelines defining the money laundering and terrorist financing risks, trends and methods involving any geographical area outside the Union to which obliged entities are exposed. AMLA shall take into account, in particular, the risk factors listed in Annex III. Where situations of higher risk are identified, the guidelines shall include enhanced due diligence measures that obliged entities shall consider applying to mitigate such risks.
2.   AMLA shall review the guidelines referred to in paragraph 1 at least every 2 years.
3.   When issuing and reviewing the guidelines referred to in paragraph 1, AMLA shall take into account evaluations, assessments or reports of Union institutions, bodies, offices and agencies, international organisations and standard setters with competence in the field of preventing money laundering and combating terrorist financing.
SECTION 3
Simplified due diligence
Article 33
Simplified due diligence measures
1.   Where, taking into account the risk factors set out in Annexes II and III, the business relationship or transaction present a low degree of risk, obliged entities may apply the following simplified due diligence measures:
(a)
verifying the identity of the customer and the beneficial owner after the establishment of the business relationship, provided that the specific lower risk identified justified such postponement, but in any case no later than 60 days of the relationship being established;
(b)
reducing the frequency of customer identification updates;
(c)
reducing the amount of information collected to identify the purpose and intended nature of the business relationship or occasional transaction or inferring it from the type of transactions or business relationship established;
(d)
reducing the frequency or degree of scrutiny of transactions carried out by the customer;
(e)
applying any other relevant simplified due diligence measure identified by AMLA pursuant to Article 28.
The measures referred to in the first subparagraph shall be proportionate to the nature and size of the business and to the specific elements of lower risk identified. However, obliged entities shall carry out sufficient monitoring of the transactions and business relationship to enable the detection of unusual or suspicious transactions.
2.   Obliged entities shall ensure that the internal procedures established pursuant to Article 9 contain the specific measures of simplified verification that shall be taken in relation to the different types of customers that present a lower risk. Obliged entities shall document decisions to take into account additional factors of lower risk.
3.   For the purpose of applying simplified due diligence measures referred to in paragraph 1, point (a), obliged entities shall adopt risk management procedures with respect to the conditions under which they can provide services or perform transactions for a customer prior to the verification taking place, including by limiting the amount, number or types of transactions that can be performed or by monitoring transactions to ensure that they are in line with the expected norms for the business relationship at hand.
4.   Obliged entities shall verify on a regular basis that the conditions for the application of simplified due diligence measures continue to exist. The frequency of such verifications shall be commensurate with the nature and size of the business and the risks posed by the specific relationship.
5.   Obliged entities shall refrain from applying simplified due diligence measures in any of the following situations:
(a)
the obliged entities have doubts as to the veracity of the information provided by the customer or the beneficial owner at the stage of identification, or they detect inconsistencies regarding that information;
(b)
the factors indicating a lower risk are no longer present;
(c)
the monitoring of the customer’s transactions and the information collected in the context of the business relationship exclude a lower risk scenario;
(d)
there is a suspicion of money laundering or terrorist financing;
(e)
there is a suspicion that the customer, or the person acting on behalf of the customer, is attempting to circumvent or evade targeted financial sanctions.
SECTION 4
Enhanced due diligence
Article 34
Scope of application of enhanced due diligence measures
1.   In the cases referred to in Articles 29, 30, 31 and 36 to 46, as well as in other cases of higher risk that are identified by obliged entities pursuant to Article 20(2), second subparagraph, obliged entities shall apply enhanced due diligence measures to manage and mitigate such risks appropriately.
2.   Obliged entities shall examine the origin and destination of funds involved in, and the purpose of, all transactions that fulfil at least one of the following conditions:
(a)
the transaction is of a complex nature;
(b)
the transaction is unusually large;
(c)
the transaction is conducted in an unusual pattern;
(d)
the transaction does not have an apparent economic or lawful purpose.
3.   With the exception of the cases covered by Section 2 of this Chapter, when assessing the risks of money laundering and terrorist financing posed by a business relationship or occasional transaction, obliged entities shall take into account at least the factors of potential higher risk set out in Annex III and the guidelines adopted by AMLA pursuant to Article 32, as well as any other indicators of higher risk such as notifications issued by the FIU and findings of the business-wide risk assessment under Article 10.
4.   With the exception of the cases covered by Section 2 of this Chapter, in cases of higher risk as referred to in paragraph 1 of this Article, obliged entities shall apply enhanced due diligence measures, proportionate to the higher risks identified, which may include the following measures:
(a)
obtaining additional information on the customer and the beneficial owners;
(b)
obtaining additional information on the intended nature of the business relationship;
(c)
obtaining additional information on the source of funds, and source of wealth of the customer and of the beneficial owners;
(d)
obtaining information on the reasons for the intended or performed transactions and their consistency with the business relationship;
(e)
obtaining the approval of senior management for establishing or continuing the business relationship;
(f)
conducting enhanced monitoring of the business relationship by increasing the number and timing of controls applied, and selecting patterns of transactions that need further examination;
(g)
requiring the first payment to be carried out through an account in the customer’s name with a credit institution subject to customer due diligence standards that are not less robust than those laid down in this Regulation.
5.   Where a business relationship that is identified as having a higher risk involves the handling of assets with a value of at least EUR 5 000 000, or the equivalent in national or foreign currency, through personalised services for a customer holding total assets with a value of at least EUR 50 000 000, or the equivalent in national or foreign currency, whether in financial, investable or real estate assets, or a combination thereof, excluding that customer’s private residence, credit institutions, financial institutions and trust or company service providers shall apply the following enhanced due diligence measures, in addition to any enhanced due diligence measure applied pursuant to paragraph 4:
(a)
specific measures including procedures to mitigate risks associated with personalised services and products offered to that customer;
(b)
obtaining additional information on that customer’s source of funds;
(c)
preventing and managing conflicts of interest between the customer and senior management or employees of the obliged entity that undertake tasks related to that obliged entity’s compliance in relation to that customer.
By 10 July 2027, AMLA shall issue guidelines on the measures to be taken by credit institutions, financial institutions and trust or company service providers to establish whether a customer holds total assets with a value of at least EUR 50 000 000, or the equivalent in national or foreign currency, in financial, investable or real estate assets and how to determine that value.
6.   With the exception of the cases covered by Section 2 of this Chapter, where Member States identify cases of higher risks pursuant to Article 8 of Directive (EU) 2024/1640, including as a result of sectoral risk assessments carried out by the Member States, they may require obliged entities to apply enhanced due diligence measures and, where appropriate, specify those measures. Member States shall notify to the Commission and AMLA their decisions imposing enhanced due diligence requirements upon obliged entities established in their territory within 1 month of their adoption, accompanied by a justification of the money laundering and terrorist financing risks underpinning such decision.
Where the risks identified by Member States pursuant to the first subparagraph are likely to stem from outside the Union and may affect the Union’s financial system, AMLA shall, upon a request from the Commission or on its own initiative, consider updating the guidelines adopted pursuant to Article 32.
7.   The Commission is empowered to adopt delegated acts in accordance with Article 85 to supplement this Regulation where it identifies additional cases of higher risk as referred to in paragraph 1 of this Article that affect the Union as a whole and enhanced due diligence measures that obliged entities are to apply in those cases, taking into account the notifications by Member States pursuant to paragraph 6, first subparagraph, of this Article.
8.   Enhanced due diligence measures shall not be invoked automatically with respect to branches or subsidiaries of obliged entities established in the Union which are located in third countries referred to in Articles 29, 30 and 31 where those branches or subsidiaries fully comply with the group-wide policies, procedures and controls in accordance with Article 17.
Article 35
Countermeasures to mitigate money laundering and terrorist financing threats from outside the Union
For the purposes of Articles 29 and 31, the Commission may choose from among the following countermeasures:
(a)
countermeasures that obliged entities are to apply to persons and legal entities involving high-risk third countries and, where relevant, other countries posing a threat to the Union’s financial system consisting in:
(i)
the application of additional elements of enhanced due diligence;
(ii)
the introduction of enhanced relevant reporting mechanisms or systematic reporting of financial transactions;
(iii)
the limitation of business relationships or transactions with natural persons or legal entities from those third countries;
(b)
countermeasures that Member States are to apply with regard to high-risk third countries and, where relevant, other countries posing a threat to the Union’s financial system consisting in:
(i)
refusing the establishment of subsidiaries or branches or representative offices of obliged entities from the country concerned, or otherwise taking into account the fact that the relevant obliged entity is from a third country that does not have adequate AML/CFT regimes;
(ii)
prohibiting obliged entities from establishing branches or representative offices in the third country concerned, or otherwise taking into account the fact that the relevant branch or representative office would be in a third country that does not have adequate AML/CFT regimes;
(iii)
requiring increased supervisory examination or increased external audit requirements for branches and subsidiaries of obliged entities located in the third country concerned;
(iv)
requiring increased external audit requirements for financial groups with respect to any of their branches and subsidiaries located in the third country concerned;
(v)
requiring credit institutions and financial institutions to review and amend, or if necessary terminate, correspondent relationships with respondent institutions in the third country concerned.
Article 36
Specific enhanced due diligence measures for cross-border correspondent relationships
With respect to cross-border correspondent relationships, including relationships established for securities transactions or fund transfers, involving the execution of payments with a third-country respondent institution, in addition to the customer due diligence measures laid down in Article 20, credit institutions and financial institutions shall, when entering into a business relationship, be required to:
(a)
gather sufficient information about the respondent institution to understand fully the nature of the respondent’s business and to determine from publicly available information the reputation of the institution and the quality of supervision;
(b)
assess the respondent institution’s AML/CFT controls;
(c)
obtain approval from senior management before establishing new correspondent relationships;
(d)
document the respective responsibilities of each institution;
(e)
with respect to payable-through accounts, be satisfied that the respondent institution has verified the identity of, and performed ongoing due diligence on, the customers having direct access to accounts of the correspondent institution, and that it is able to provide relevant customer due diligence data to the correspondent institution, upon request.
Where credit institutions and financial institutions decide to terminate cross-border correspondent relationships for reasons relating to AML/CFT policy, they shall document their decision.
Article 37
Specific enhanced due diligence measures for cross-border correspondent relationships for crypto-asset service providers
1.   By way of derogation from Article 36, with respect to cross-border correspondent relationships involving the execution of crypto-asset services, with a respondent entity not established in the Union and providing similar services, including transfers of crypto-assets, crypto-asset service providers shall, in addition to the customer due diligence measures laid down in Article 20, when entering into a business relationship, be required to:
(a)
determine if the respondent entity is licensed or registered;
(b)
gather sufficient information about the respondent entity to understand fully the nature of the respondent’s business and to determine from publicly available information the reputation of the entity and the quality of supervision;
(c)
assess the respondent entity’s AML/CFT controls;
(d)
obtain approval from senior management before establishing the new correspondent relationship;
(e)
document the respective responsibilities of each party to the correspondent relationship;
(f)
with respect to payable-through crypto-asset accounts, be satisfied that the respondent entity has verified the identity of, and performed ongoing due diligence on, the customers having direct access to accounts of the correspondent entity, and that it is able to provide relevant customer due diligence data to the correspondent entity, upon request.
Where crypto-asset service providers decide to terminate correspondent relationships for reasons relating to AML/CFT policy, they shall document their decision.
Crypto-asset service providers shall update the due diligence information for the correspondent relationship on a regular basis or when new risks emerge in relation to the respondent entity.
2.   Crypto-asset service providers shall take into account the information collected pursuant to paragraph 1 in order to determine, on a risk sensitive basis, the appropriate measures to be taken to mitigate the risks associated with the respondent entity.
3.   By 10 July 2027, AMLA shall issue guidelines to specify the criteria and elements that crypto-asset service providers shall take into account for conducting the assessment referred to in paragraph 1 and the risk mitigating measures referred to in paragraph 2, including the minimum action to be taken by crypto-asset service providers upon identification that the respondent entity is not registered or licensed.
Article 38
Specific measures for individual third-country respondent institutions
1.   Credit institutions and financial institutions shall apply the measures laid down in paragraph 6 of this Article in relation to third-country respondent institutions with which they have a correspondent relationship pursuant to Articles 36 or 37 and in respect of which AMLA issues a recommendation pursuant to paragraph 2 of this Article.
2.   AMLA shall issue a recommendation addressed to credit institutions and financial institutions where there are concerns that respondent institutions in third countries fall into any of the following situations:
(a)
they are in serious, repeated or systematic breach of AML/CFT requirements;
(b)
they have weaknesses in their internal policies, procedures and controls that are likely to result in serious, repeated or systematic breaches of AML/CFT requirements;
(c)
they have in place internal policies, procedures and controls that are not commensurate with the risks of money laundering, its predicate offences and terrorist financing to which the third-country respondent institution is exposed.
3.   The recommendation referred to in paragraph 2 shall be issued where all of the following conditions are met:
(a)
on the basis of the information available in the context of its supervisory activities, a financial supervisor, including AMLA when performing its supervisory activities, deems that a third-country respondent institution falls into any of the situations listed in paragraph 2 and may affect the risk exposure of the correspondent relationship;
(b)
following an assessment of the information available to the financial supervisor referred to in point (a) of this paragraph, there is an agreement among financial supervisors in the Union that the third-country respondent institution falls into any of the situations listed in paragraph 2 and may affect the risk exposure of the correspondent relationship.
4.   Prior to issuing the recommendation referred to in paragraph 2, AMLA shall consult the third-country supervisor in charge of the respondent institution and request that it provides its own as well as the respondent institution’s views on the adequacy of AML/CFT policies, procedures and controls as well as of the customer due diligence measures the respondent institution has in place to mitigate risks of money laundering, its predicate offences and terrorist financing and remedial measures to be put in place. Where no reply is provided within 2 months or where the reply provided does not indicate that the third-country respondent institution can implement satisfactory AML/CFT policies, procedures and controls as well as apply adequate customer due diligence measures to mitigate the risks to which it is exposed that may affect the correspondent relationship, AMLA shall proceed with the recommendation.
5.   AMLA shall withdraw the recommendation referred to in paragraph 2 as soon as it considers that a third-country respondent institution on which it adopted that recommendation no longer fulfils the conditions laid down in paragraph 3.
6.   In relation to third-country respondent institutions referred to in paragraph 1, credit institutions and financial institutions shall:
(a)
abstain from entering into new business relationships with the third-country respondent institution unless they conclude, on the basis of the information collected under Article 36 or 37, that the mitigating measures applied to the business relationship with the third-country respondent institution and the measures in place in the third-country respondent institution can adequately mitigate the money laundering and terrorist financing risks associated with that business relationship;
(b)
for ongoing business relationships with the third-country respondent institution:
(i)
review and update the information on the respondent institution pursuant to Articles 36 or 37;
(ii)
terminate the business relationship unless they conclude, on the basis of the information collected under point (i), that the mitigating measures applied to the business relationship with the third-country respondent institution and the measures in place in the third-country respondent institution can adequately mitigate the money laundering and terrorist financing risks associated with that business relationship;
(c)
inform the respondent institution of the conclusions they have drawn in relation to the risks posed by the correspondent relationship following the recommendation by AMLA and the measures taken pursuant to points (a) or (b).
Where AMLA has withdrawn a recommendation pursuant to paragraph 5, credit institutions and financial institutions shall review their assessment as to whether the third-country respondent institutions fulfil any of the conditions laid down in paragraph 3.
7.   Credit institutions and financial institutions shall document any decision taken pursuant to this Article.
Article 39
Prohibition of correspondent relationships with shell institutions
1.   Credit institutions and financial institutions shall not enter into, or continue, a correspondent relationship with a shell institution. Credit institutions and financial institutions shall take appropriate measures to ensure that they do not engage in or continue correspondent relationships with a credit institution or financial institution that is known to allow its accounts to be used by a shell institution.
2.   In addition to the requirement laid down in paragraph 1, crypto-asset service providers shall ensure that their accounts are not used by shell institutions to provide crypto-asset services. To that end, crypto-asset service providers shall have in place internal policies, procedures and controls to detect any attempt to use their accounts for the provision of unregulated crypto-asset services.
Article 40
Measures to mitigate risks in relation to transactions with a self-hosted address
1.   Crypto-asset service providers shall identify and assess the risk of money laundering and financing of terrorism associated with transfers of crypto-assets directed to or originating from a self-hosted address. To that end, crypto-asset service providers shall have in place internal policies, procedures and controls.
Crypto-asset service providers shall apply mitigating measures commensurate with the risks identified. Those mitigating measures shall include one or more of the following:
(a)
taking risk-based measures to identify, and verify the identity of, the originator or beneficiary of a transfer made from or to a self-hosted address or beneficial owner of such originator or beneficiary, including through reliance on third parties;
(b)
requiring additional information on the origin and destination of the crypto-assets;
(c)
conducting enhanced ongoing monitoring of transactions with a self-hosted address;
(d)
any other measure to mitigate and manage the risks of money laundering and financing of terrorism as well as the risk of non-implementation and evasion of targeted financial sanctions.
2.   By 10 July 2027, AMLA shall issue guidelines to specify the mitigating measures referred to in paragraph 1, including:
(a)
the criteria and means for identification and verification of the identity of the originator or beneficiary of a transfer made from or to a self-hosted address, including through reliance on third parties, taking into account the latest technological developments;
(b)
criteria and means for the verification of whether or not the self-hosted address is owned or controlled by a customer.
Article 41
Specific provisions regarding applicants for residence by investment schemes
In addition to the customer due diligence measures laid down in Article 20, with respect to customers who are third-country nationals who are in the process of applying for residence rights in a Member State in exchange for any kind of investment, including transfers, purchase or renting of property, investment in government bonds, investment in corporate entities, donation or endowment of an activity contributing to the public good and contributions to the state budget, obliged entities shall, as a minimum, apply enhanced due diligence measures set out in Article 34(4), points (a), (c), (e) and (f).
Article 42
Specific provisions regarding politically exposed persons
1.   In addition to the customer due diligence measures laid down in Article 20, obliged entities shall apply the following measures with respect to occasional transactions or business relationships with politically exposed persons:
(a)
obtain senior management approval for carrying out occasional transactions or for establishing or continuing business relationships with politically exposed persons;
(b)
take adequate measures to establish the source of wealth and source of funds that are involved in business relationships or occasional transactions with politically exposed persons;
(c)
conduct enhanced, ongoing monitoring of those business relationships.
2.   By 10 July 2027, AMLA shall issue guidelines on the following matters:
(a)
the criteria for the identification of persons known to be close associates;
(b)
the level of risk associated with a particular category of politically exposed person, family member or person known to be a close associate, including guidance on how such risks are to be assessed where the person is no longer entrusted with a prominent public function for the purposes of Article 45.
Article 43
List of prominent public functions
1.   Each Member State shall issue and keep up-to-date a list indicating the exact functions which, in accordance with its national laws, regulations and administrative provisions, qualify as prominent public functions for the purposes of Article 2(1), point (34). Member States shall request each international organisation accredited on their territories to issue and keep up-to-date a list of prominent public functions at that international organisation for the purposes of Article 2(1), point (34). Those lists shall also include any function which may be entrusted to representatives of third countries and of international bodies accredited at Member State level. Member States shall notify those lists, as well as any change made to them, to the Commission and to AMLA.
2.   The Commission may set out, by means of an implementing act, the format for the establishment and communication of the Member States’ lists of prominent public functions pursuant to paragraph 1. That implementing act shall be adopted in accordance with the examination procedure referred to in Article 86(2).
3.   The Commission is empowered to adopt delegated acts in accordance with Article 85 to supplement Article 2(1), point (34), where the lists notified by Member States pursuant to paragraph 1 identify common additional categories of prominent public functions and those categories of prominent public functions are of relevance for the Union as a whole.
When drawing up delegated acts pursuant to the first subparagraph, the Commission shall consult AMLA.
4.   The Commission shall draw up and keep up-to-date the list of the exact functions which qualify as prominent public functions at the level of the Union. That list shall also include any function which may be entrusted to representatives of third countries and of international bodies accredited at Union level.
5.   The Commission shall assemble, based on the lists provided for in paragraphs 1 and 4 of this Article, a single list of all prominent public functions for the purposes of Article 2(1), point (34). The Commission shall publish that single list in the Official Journal of the European Union. AMLA shall make that list publicly available on its website.
Article 44
Politically exposed persons who are beneficiaries of insurance policies
Obliged entities shall take reasonable measures to determine whether the beneficiaries of a life or other investment-related insurance policy or, where relevant, the beneficial owner of the beneficiary are politically exposed persons. Those measures shall be taken no later than at the time of the payout or at the time of the assignment, in whole or in part, of the policy. Where there are higher risks identified, in addition to applying the customer due diligence measures laid down in Article 20, obliged entities shall:
(a)
inform senior management before payout of policy proceeds;
(b)
conduct enhanced scrutiny of the entire business relationship with the policyholder.
Article 45
Measures for persons who cease to be politically exposed persons
1.   Where a politically exposed person is no longer entrusted with a prominent public function by the Union, a Member State, third country or an international organisation, obliged entities shall take into account the continuing risk posed by that person, as a result of his or her former function, in their assessment of money laundering and terrorist financing risks in accordance with Article 20.
2.   Obliged entities shall apply one or more of the measures referred to in Article 34(4) to mitigate the risks posed by the politically exposed person until such time as the risks referred to in paragraph 1 of this Article no longer exist, but in any case for not less than 12 months following the time when the individual ceased to be entrusted with a prominent public function.
3.   The obligation referred to in paragraph 2 shall apply accordingly where an obliged entity carries out an occasional transaction or enters into a business relationship with a person who in the past was entrusted with a prominent public function by the Union, a Member State, third country or an international organisation.
Article 46
Family members and persons known to be close associates of politically exposed persons
The measures referred to in Articles 42, 44 and 45 shall also apply to family members or persons known to be close associates of politically exposed persons.
SECTION 5
Specific customer due diligence provisions
Article 47
Specifications for the life and other investment-related insurance sector
For life or other investment-related insurance business, in addition to the customer due diligence measures required for the customer and the beneficial owner, obliged entities shall apply the following customer due diligence measures on the beneficiaries of life insurance and other investment-related insurance policies, as soon as the beneficiaries are identified or designated:
(a)
in the case of beneficiaries that are identified as specifically named persons or legal arrangements, recording the name of the person or arrangement;
(b)
in the case of beneficiaries that are designated by characteristics or by class or by other means, obtaining sufficient information concerning those beneficiaries so that it will be able to establish the identity of the beneficiary at the time of the payout.
For the purposes of the first subparagraph, the verification of the identity of the beneficiaries and, where relevant, their beneficial owners shall take place at the time of the payout. In the case of assignment, in whole or in part, of the life or other investment-related insurance to a third party, obliged entities aware of the assignment shall identify the beneficial owner at the time of the assignment to the natural or legal person or legal arrangement receiving for its own benefit the value of the policy assigned.
SECTION 6
Reliance on customer due diligence performed by other obliged entities
Article 48
General provisions relating to reliance on other obliged entities
1.   Obliged entities may rely on other obliged entities, whether located in a Member State or in a third country, to meet the customer due diligence requirements laid down in Article 20(1), points (a), (b) and (c), provided that:
(a)
the other obliged entities apply customer due diligence requirements and record-keeping requirements laid down in this Regulation, or equivalent when the other obliged entities reside or are established in a third country;
(b)
compliance with AML/CFT requirements by the other obliged entities is supervised in a manner consistent with Chapter IV of Directive (EU) 2024/1640.
The ultimate responsibility for meeting the customer due diligence requirements shall remain with the obliged entity which relies on another obliged entity.
2.   When deciding to rely on other obliged entities located in third countries, obliged entities shall take into consideration the geographical risk factors listed in Annexes II and III and any relevant information or guidance provided by the Commission, or by AMLA or other competent authorities.
3.   In the case of obliged entities that are part of a group, compliance with the requirements of this Article and of Article 49 may be ensured through group-wide policies, procedures and controls provided that all the following conditions are met:
(a)
the obliged entity relies on information provided solely by an obliged entity that is part of the same group;
(b)
the group applies AML/CFT policies and procedures, customer due diligence measures and rules on record-keeping that are fully in compliance with this Regulation, or with equivalent rules in third countries;
(c)
the effective implementation of the requirements referred to in point (b) of this paragraph is supervised at group level by the supervisory authority of the home Member State in accordance with Chapter IV of Directive (EU) 2024/1640 or of the third country in accordance with the rules of that third country.
4.   Obliged entities shall not rely on obliged entities established in third countries identified pursuant to Section 2 of this Chapter. However, obliged entities established in the Union whose branches and subsidiaries are established in those third countries may rely on those branches and subsidiaries, where all the conditions laid down in paragraph 3, are met.
Article 49
Process of reliance on another obliged entity
1.   Obliged entities shall obtain from the obliged entity relied upon all the necessary information concerning the customer due diligence measures laid down in Article 20(1), points (a), (b) and (c), or the business being introduced.
2.   Obliged entities which rely on other obliged entities shall take all necessary steps to ensure that the obliged entity relied upon provides, upon request:
(a)
copies of the information collected to identify the customer;
(b)
all supporting documents or trustworthy sources of information that were used to verify the identity of the client, and, where relevant, of the customer’s beneficial owners or persons on whose behalf the customer acts, including data obtained through electronic identification means and relevant trust services as set out in Regulation (EU) No 910/2014; and
(c)
any information collected on the purpose and intended nature of the business relationship.
3.   The information referred to in paragraphs 1 and 2 shall be provided by the obliged entity relied upon without delay and in any case within 5 working days.
4.   The conditions for the transmission of the information and documents mentioned in paragraphs 1 and 2 shall be specified in a written agreement between the obliged entities.
5.   Where the obliged entity relies on an obliged entity that is part of its group, the written agreement may be replaced by an internal procedure established at group level, provided that the conditions laid down in Article 48(3) are met.
Article 50
Guidelines on reliance on other obliged entities
By 10 July 2027, AMLA shall issue guidelines addressed to obliged entities on:
(a)
the conditions which are acceptable for obliged entities to rely on information collected by another obliged entity, including in the case of remote customer due diligence;
(b)
the roles and responsibility of the obliged entities involved in a situation of a reliance on another obliged entity;
(c)
supervisory approaches to reliance on other obliged entities.
CHAPTER IV
BENEFICIAL OWNERSHIP TRANSPARENCY
Article 51
Identification of beneficial owners for legal entities
Beneficial owners of legal entities shall be the natural persons who:
(a)
have, directly or indirectly, an ownership interest in the corporate entity; or
(b)
control, directly or indirectly, the corporate or other legal entity, through ownership interest or via other means.
Control via other means as referred to in the first paragraph, point (b), shall be identified independently of and in parallel to the existence of an ownership interest or control through ownership interest.
Article 52
Beneficial ownership through ownership interest
1.   For the purpose of Article 51, first paragraph, point (a), ‘an ownership interest in the corporate entity’ shall mean direct or indirect ownership of 25 % or more of the shares or voting rights or other ownership interest in the corporate entity, including rights to a share of profits, other internal resources or liquidation balance. The indirect ownership shall be calculated by multiplying the shares or voting rights or other ownership interests held by the intermediate entities in the chain of entities in which the beneficial owner holds shares or voting rights and by adding together the results from those various chains, unless Article 54 applies.
For the purposes of assessing whether an ownership interest exists in the corporate entity, all shareholdings on every level of ownership shall be taken into account.
2.   Where Member States identify pursuant to Article 8(4), point (c), of Directive (EU) 2024/1640 categories of corporate entities that are exposed to higher money laundering and terrorist financing risks, including based on the sectors in which they operate, they shall inform the Commission thereof. By 10 July 2029, the Commission shall assess whether the risks associated with those categories of legal entities are relevant for the internal market and, where it concludes that a lower threshold is appropriate to mitigate those risks, adopt delegated acts in accordance with Article 85 to amend this Regulation by identifying:
(a)
the categories of corporate entities that are associated with higher money laundering and terrorist financing risks and for which a lower threshold shall apply;
(b)
the related thresholds.
The lower threshold referred to in the first subparagraph shall be set at a maximum of 15 % of ownership interest in the corporate entity, unless the Commission concludes, on the basis of risk, that a higher threshold would be more proportionate, which shall in any case be set at less than 25 %.
3.   The Commission shall review the delegated act referred to in paragraph 2 on a regular basis to ensure that it identifies the relevant categories of corporate entities that are associated with higher risks, and that the related thresholds are commensurate with those risks.
4.   In the case of legal entities other than corporate entities, for which, having regard to their form and structure, it is not appropriate or possible to calculate ownership, the beneficial owners shall be the natural persons who control via other means, directly or indirectly, the legal entity, pursuant to Article 53(3) and (4), except where Article 57 applies.
Article 53
Beneficial ownership through control
1.   Control over a corporate or other legal entity shall be exercised through ownership interest or via other means.
2.   For the purposes of this Chapter, the following definitions apply:
(a)
‘control of the legal entity’ means the possibility to exercise, directly or indirectly, significant influence and impose relevant decisions within the legal entity;
(b)
‘indirect control of a legal entity’ means control of intermediate legal entities in the ownership structure or in various chains of the ownership structure, where the direct control is identified on each level of the structure;
(c)
‘control through ownership interest of the corporate entity’ means direct or indirect ownership of 50 % plus one of the shares or voting rights or other ownership interest in the corporate entity.
3.   Control of the legal entity via other means shall in any case include the possibility to exercise:
(a)
in the case of a corporate entity, the majority of the voting rights in the corporate entity, whether or not shared by persons acting in concert;
(b)
the right to appoint or remove a majority of the members of the board or the administrative, management or supervisory body or similar officers of the legal entity;
(c)
relevant veto rights or decision rights attached to the share of the corporate entity;
(d)
decisions regarding distribution of profit of the legal entity or leading to a shift in assets in the legal entity.
4.   In addition to paragraph 3, control of the legal entity may be exercised via other means. Depending on the particular situation of the legal entity and its structure, other means of control may include:
(a)
formal or informal agreements with owners, members or the legal entities, provisions in the articles of association, partnership agreements, syndication agreements, or equivalent documents or agreements depending on the specific characteristics of the legal entity, as well as voting arrangements;
(b)
relationships between family members;
(c)
use of formal or informal nominee arrangements.
For the purpose of this paragraph, ‘formal nominee arrangement’ means a contract or an equivalent arrangement, between a nominator and a nominee, where the nominator is a legal entity or natural person that issues instructions to a nominee to act on their behalf in a certain capacity, including as a director or shareholder or settlor, and the nominee is a legal entity or natural person instructed by the nominator to act on their behalf.
Article 54
Coexistence of ownership interest and control in the ownership structure
Where corporate entities are owned through a multi-layered ownership structure, and in one or more chains of that structure the ownership interest and the control coexist in relation to different layers of the chain, the beneficial owners shall be:
(a)
the natural persons who control, directly or indirectly, through ownership interest or via other means, legal entities that have a direct ownership interest in the corporate entity, whether individually or cumulatively;
(b)
the natural persons who, whether individually or cumulatively, directly or indirectly, have an ownership interest in the corporate entity that controls, through ownership interest or via other means, the corporate entity, directly or indirectly.
Article 55
Ownership structures involving legal arrangements or similar legal entities
Where legal entities referred to in Article 57 or legal arrangements have an ownership interest in the corporate entity, whether individually or cumulatively, or control, directly or indirectly, the corporate entity, through ownership interest or via other means, the beneficial owners shall be the natural persons who are the beneficial owners of the legal entities referred to in Article 57 or of the legal arrangements.
Article 56
Notifications
Each Member State shall notify to the Commission by 10 October 2027 a list of the types of legal entities existing under its national law with beneficial owners identified in accordance with Article 51 and Article 52(4). That notification shall include the specific categories of entities, description of characteristics and, where applicable, legal basis under the national law of the Member State concerned. It shall also include an indication of whether, due to the specific form and structures of legal entities other than corporate entities, the mechanism under Article 63(4) applies, accompanied by a detailed justification of the reasons for that.
The Commission shall communicate the notification referred to in the first paragraph to other Member States.
Article 57
Identification of beneficial owners for legal entities similar to express trust
1.   In the case of legal entities other than those referred to in Article 51, similar to express trust, such as foundations, the beneficial owners shall be all the following natural persons:
(a)
the founders;
(b)
the members of the management body in its management function;
(c)
the members of the management body in its supervisory function;
(d)
the beneficiaries, unless Article 59 applies;
(e)
any other natural person, who controls directly or indirectly the legal entity.
2.   In cases where legal entities referred to in paragraph 1 belong to multi-layered control structures, where any of the positions listed in paragraph 1 is held by a legal entity, beneficial owners of the legal entity referred to in paragraph 1 shall be:
(a)
the natural persons listed in paragraph 1; and
(b)
the beneficial owners of the legal entities that occupy any of the positions listed in paragraph 1.
3.   Member States shall notify to the Commission by 10 October 2027 a list of types of legal entities, of which the beneficial owners are identified in accordance with paragraph 1.
The notification referred to in the first subparagraph shall be accompanied by a description of:
(a)
the form and basic features of those legal entities;
(b)
the process through which they can be set up;
(c)
the process for accessing basic information and beneficial ownership information on those legal entities;
(d)
the websites at which the central registers containing information on beneficial owners of those legal entities can be consulted and contact details of the entities in charge of those registers.
4.   The Commission may adopt, by means of an implementing act, a list of types of legal entities governed by the law of Member States which should be subject to the requirements of this Article. That implementing act shall be adopted in accordance with the examination procedure referred to in Article 86(2).
Article 58
Identification of beneficial owners for express trusts and similar legal arrangements
1.   The beneficial owners of express trusts shall be all the following natural persons:
(a)
the settlors;
(b)
the trustees;
(c)
the protectors, if any;
(d)
the beneficiaries, unless Article 59 or 60 applies;
(e)
any other natural persons exercising ultimate control over the express trust by means of direct or indirect ownership or by other means, including through a chain of control or ownership.
2.   The beneficial owners of other legal arrangements similar to express trusts shall be the natural persons holding equivalent or similar positions to those referred to in paragraph 1.
3.   Where legal arrangements belong to multi-layered control structures and where any of the positions listed in paragraph 1 is held by a legal entity, the beneficial owners of the legal arrangement shall be:
(a)
the natural persons listed in paragraph 1; and
(b)
the beneficial owners of the legal entities that occupy any of the positions listed in paragraph 1.
4.   Member States shall notify to the Commission by 10 October 2027 a list of types of legal arrangements similar to express trusts which are governed under their law.
The notification shall be accompanied by a description of:
(a)
the form and basic features of those legal arrangements;
(b)
the process through which those legal arrangements can be set up;
(c)
the process for accessing basic information and beneficial ownership information on those legal arrangements;
(d)
the websites at which the central registers containing information on beneficial owners of those legal arrangements can be consulted and the contact details of the entities in charge of those registers.
The notification shall also be accompanied by a justification detailing the reasons why the Member State considers the notified legal arrangements to be similar to express trusts and why it concluded that other legal arrangements governed under its law are not similar to express trusts.
5.   The Commission may adopt, by means of an implementing act, a list of types of legal arrangements governed under the law of Member States which should be subject to the same beneficial ownership transparency requirements as express trusts, accompanied by the information referred to in paragraph 4, second subparagraph of this Article. That implementing act shall be adopted in accordance with the examination procedure referred to in Article 86(2).
Article 59
Identification of a class of beneficiaries
1.   In the case of legal entities similar to express trusts under Article 57 or, with the exception of discretionary trusts, express trusts and similar legal arrangements under Article 58, where beneficiaries have yet to be determined, the class of beneficiaries and its general characteristics shall be identified. Beneficiaries within the class shall be beneficial owners as soon as they are identified or designated.
2.   In the following cases, only the class of beneficiaries and its characteristics shall be identified:
(a)
pension schemes within the scope of Directive (EU) 2016/2341;
(b)
employee financial ownership or participation schemes, provided that Member States, following an appropriate risk assessment, have concluded a low risk of misuse for money laundering or terrorist financing;
(c)
legal entities similar to express trusts under Article 57, express trusts and similar legal arrangements under Article 58, provided that:
(i)
the legal entity, the express trust or similar legal arrangement is set up for a non-profit or charitable purpose; and
(ii)
following an appropriate risk assessment, Member States have concluded that the category of legal entity, express trust or similar legal arrangement is at a low risk of misuse for money laundering or terrorist financing.
3.   Member State shall notify to the Commission the categories of legal entities, express trusts or similar legal arrangements under paragraph 2, together with a justification based on the specific risk assessment. The Commission shall communicate that notification to the other Member States.
Article 60
Identification of objects of a power and default takers in discretionary trusts
In the case of discretionary trusts, where beneficiaries have yet to be selected, the objects of a power and default takers shall be identified. Beneficiaries among the objects of a power shall be beneficial owners as soon as they are selected. Default takers shall be beneficial owners when the trustees fail to exercise their discretion.
Where discretionary trusts meet the conditions laid down in Article 59(2), only the class of objects of a power and default takers shall be identified. Those categories of discretionary trusts shall be notified to the Commission in accordance with paragraph 3 of that Article.
Article 61
Identification of beneficial owners of collective investment undertakings
By way of derogation from Article 51, first paragraph and Article 58(1), the beneficial owners of collective investment undertakings shall be the natural persons who fulfil one or more of the following conditions:
(a)
they hold directly or indirectly 25 % or more of the units held in the collective investment undertaking;
(b)
they have the ability to define or influence the investment policy of the collective investment undertaking;
(c)
they control the activities of the collective investment undertaking through other means.
Article 62
Beneficial ownership information
1.   Legal entities and trustees of express trusts or persons holding equivalent positions in similar legal arrangements shall ensure that the beneficial ownership information which they hold, provide to obliged entities in the context of customer due diligence procedures in accordance with Chapter III or submit to central registers is adequate, accurate, and up-to-date.
The beneficial ownership information referred to in the first subparagraph shall include the following:
(a)
all names and surnames, place and full date of birth, residential address, country of residence and nationality or nationalities of the beneficial owner, number of identity document, such as passport or national identity document, and, where it exists, unique personal identification number assigned to the person by his or her country of usual residence, and general description of the source of such number;
(b)
the nature and extent of the beneficial interest held in the legal entity or legal arrangement, whether through ownership interest or control via other means, as well as the date as of which the beneficial interest is held;
(c)
information on the legal entity of which the natural person is the beneficial owner in accordance with Article 22(1), point (b), or, in the case of legal arrangements of which the natural person is the beneficial owner, basic information on the legal arrangement;
(d)
where the ownership and control structure contains more than one legal entity or legal arrangement, a description of such structure, including names and, where it exists, identification numbers of the individual legal entities or legal arrangements that are part of that structure, and a description of the relationships between them, including the share of the interest held;
(e)
where a class of beneficiaries is identified under Article 59, general description of the characteristic of the class of beneficiaries;
(f)
where objects of a power and default takers are identified under Article 60:
(i)
for natural persons, their names and surnames;
(ii)
for legal entities and legal arrangements, their names;
(iii)
for a class of objects of a power or default takers, its description.
2.   Legal entities and trustees of express trusts or persons holding an equivalent position in a similar legal arrangement shall obtain adequate, accurate, and up-to-date beneficial ownership information within 28 calendar days of the creation of the legal entity or the setting up of the legal arrangement. That information shall be updated promptly, and, in any case, within 28 calendar days of any change thereto, as well as on an annual basis.
Article 63
Obligations of legal entities
1.   All legal entities created in the Union shall obtain and hold adequate, accurate and up-to-date beneficial ownership information.
Legal entities shall provide, in addition to information about their legal owners, information on the beneficial owners to obliged entities where the obliged entities are applying customer due diligence measures in accordance with Chapter III.
2.   A legal entity shall report beneficial ownership information to the central register without undue delay after its creation. Any change to that information shall be reported to the central register without undue delay and, in any case, within 28 calendar days thereof. The legal entity shall regularly verify that it holds up-to-date information on its beneficial ownership. As a minimum, such verification shall be performed annually whether as a self-standing process or as part of other periodical processes, such as the submission of financial statement.
The beneficial owners of a legal entity as well as the legal entities and, in the case of legal arrangements, their trustees or persons holding an equivalent position, which are part of the ownership or control structure of a legal entity, shall provide that legal entity with all the information necessary for the legal entity to comply with the requirements of this Chapter or to respond to any request for additional information received pursuant to Article 10(4) of Directive (EU) 2024/1640.
3.   Where, having exhausted all possible means of identification pursuant to Articles 51 to 57, no person is identified as beneficial owner, or where there is substantial and justified uncertainty on the part of the legal entity that the persons identified are the beneficial owners, legal entities shall keep records of the actions taken in order to identify their beneficial owners.
4.   In the cases referred to in paragraph 3 of this Article, when providing beneficial ownership information in accordance with Article 20 of this Regulation and Article 10 of Directive (EU) 2024/1640, legal entities shall provide the following:
(a)
a statement that there is no beneficial owner or that the beneficial owners could not be determined, accompanied by a justification as to why it was not possible to determine the beneficial owner in accordance with Articles 51 to 57 of this Regulation and what constitutes uncertainty about the ascertained information;
(b)
the details of all natural persons who hold the position of senior managing officials in the legal entity equivalent to the information required under Article 62(1), second subparagraph, point (a) of this Regulation.
For the purpose of this paragraph, ‘senior managing officials’ means the natural persons who are the executive members of the management body, as well as the natural persons who exercise executive functions within a legal entity and are responsible, and accountable to the management body, for the day-to-day management of the entity.
5.   Legal entities shall make the information collected pursuant to this Article available, upon request and without delay, to competent authorities.
6.   The information referred to in paragraph 4 shall be maintained for 5 years after the date on which the legal entities are dissolved or otherwise cease to exist, whether by persons designated by the entity to retain the documents, or by administrators or liquidators or other persons involved in the dissolution of the entity. The identity and contact details of the person responsible for retaining the information shall be reported to the central registers.
Article 64
Trustee obligations
1.   In the case of any legal arrangement administered in a Member State or whose trustee or the person holding an equivalent position in a similar legal arrangement resides or is established in a Member State, trustees and persons holding an equivalent position in a similar legal arrangement shall obtain and hold the following information regarding the legal arrangement:
(a)
basic information on the legal arrangement;
(b)
adequate, accurate and up-to-date beneficial ownership information as provided under Article 62;
(c)
where legal entities or legal arrangements are parties to the legal arrangement, basic information and beneficial ownership information on those legal entities and legal arrangements;
(d)
information on any agent authorised to act on behalf of the legal arrangement or to take any action in relation to it, and on the obliged entities with which the trustee or person holding an equivalent position in a similar legal arrangement enter into a business relationship on behalf of the legal arrangement.
The information referred to in the first subparagraph shall be maintained for 5 years after the involvement of the trustee or the person holding an equivalent position with the express trust or similar legal arrangement ceases to exist.
2.   The trustee or the person holding an equivalent position in a similar legal arrangement shall obtain and report to the central register beneficial ownership information and basic information on the legal arrangement without undue delay after the setting up of the express trust or similar legal arrangement and, in any case, within 28 calendar days thereof. The trustee or the person holding an equivalent position in a similar legal arrangement shall ensure that any change of beneficial ownership or of the basic information on the legal arrangement is reported to the central register without undue delay, and in any case, within 28 calendar days thereof.
The trustee or the person holding an equivalent position in a similar legal arrangement shall regularly verify that the information they hold over the legal arrangement pursuant to paragraph 1, first subparagraph, is updated. Such verification shall be performed at least annually, whether as a self-standing process or as part of other periodical processes.
3.   The trustees or the persons holding an equivalent position in a similar legal arrangement referred to in paragraph 1 shall disclose their status and provide the information on the beneficial owners and on the assets of the legal arrangements that are to be managed in the context of a business relationship or occasional transaction to obliged entities when the obliged entities are applying customer due diligence measures in accordance with Chapter III.
4.   The beneficial owners of a legal arrangement other than the trustees or persons holding an equivalent position, its agents and the obliged entities servicing the legal arrangement, as well as any person and, in the case of legal arrangements, their trustees, who are part of the multi-layered control structure of the legal arrangement, shall provide the trustees or persons holding an equivalent position in a similar legal arrangement with all the information and documentation necessary for the trustees or persons holding an equivalent position to comply with the requirements of this Chapter.
5.   Trustees of an express trust and persons holding an equivalent position in a similar legal arrangement shall make the information collected pursuant to this Article available, upon request and without delay, to competent authorities.
6.   In the case of legal arrangements whose parties are legal entities, where, after having exhausted all possible means of identification pursuant to Articles 51 to 57, no person is identified as beneficial owner of those legal entities, or where there is substantial and justified uncertainty that the persons identified are the beneficial owners, trustees of express trusts or persons in an equivalent position in similar legal arrangements shall keep records of the actions taken in order to identify their beneficial owners.
7.   In the cases referred to in paragraph 6 of this Article, when providing beneficial ownership information in accordance with Article 20 of this Regulation and Article 10 of Directive (EU) 2024/1640, trustees of express trusts or persons in an equivalent position in similar legal arrangements shall provide the following:
(a)
a statement that there is no beneficial owner or that the beneficial owners could not be determined, accompanied by a justification as to why it was not possible to determine the beneficial owner in accordance with Article 51 to 57 of this Regulation and what constitutes uncertainty about the ascertained information;
(b)
the details of all natural persons who hold the position of senior managing officials in the legal entity that is party to the legal arrangement equivalent to the information required under Article 62(1), second subparagraph, point (a), of this Regulation.
Article 65
Exceptions to obligations of legal entities and legal arrangements
Articles 63 and 64 shall not apply to:
(a)
companies whose securities are admitted to trading on a regulated market, provided that:
(i)
control over the company is exercised exclusively by the natural person with the voting rights;
(ii)
no other legal entities or legal arrangements are part of the company’s ownership or control structure; and
(iii)
for foreign legal entities under Article 67, equivalent requirements to those referred to in subpoints (i) and (ii) of this point exist under international standards;
(b)
bodies governed by public law as defined in Article 2(1), point (4), of Directive 2014/24/EU of the European Parliament and of the Council 
(
43
)
.
Article 66
Nominee obligations
Nominee shareholders and nominee directors of a legal entity shall maintain adequate, accurate and up-to-date information on the identity of their nominator and the nominator’s beneficial owners and disclose them, as well as their status, to the legal entity. Legal entities shall report that information to the central register.
Legal entities shall also report the information referred to in the first paragraph to obliged entities when the obliged entities are applying customer due diligence measures in accordance with Chapter III.
Article 67
Foreign legal entities and foreign legal arrangements
1.   Legal entities created outside the Union and trustees of express trusts or persons holding an equivalent position in a similar legal arrangement that are administered outside the Union or that reside or are established outside the Union shall submit beneficial ownership information pursuant to Article 62 to the central register of the Member State where they:
(a)
enter into a business relationship with an obliged entity;
(b)
acquire real estate in the Union, whether directly or through intermediaries;
(c)
acquire, whether directly or through intermediaries, any of the following goods from persons trading as referred to in Article 3, points (3) (f) and (j), in the context of an occasional transaction:
(i)
motor vehicles for non-commercial purposes for a price of at least EUR 250 000 or the equivalent in national currency;
(ii)
watercraft for non-commercial purposes for a price of at least EUR 7 500 000 or the equivalent in national currency;
(iii)
aircraft for non-commercial purposes for a price of at least EUR 7 500 000 or the equivalent in national currency;
(d)
are awarded a public contract for goods or services, or concessions by a contracting authority in the Union.
2.   By way of derogation from paragraph 1, point (a), where legal entities created outside the Union enter into a business relationship with an obliged entity, they shall only submit their beneficial ownership information to the central register where:
(a)
they enter into a business relationship with an obliged entity that is associated with medium-high or high money laundering and terrorist financing risks pursuant to the risk assessment at Union level or the national risk assessment of the Member State concerned referred to in Articles 7 and 8 of Directive (EU) 2024/1640; or
(b)
the risk assessment at Union level or the national risk assessment of the Member State concerned identifies that the category of legal entity or the sector in which the legal entity created outside the Union operates is associated, where relevant, with medium-high or high money laundering and terrorist financing risks.
3.   The beneficial ownership information shall be accompanied by a statement setting out in relation to which of those activities the information is submitted, as well as any relevant document, and shall be submitted:
(a)
for the cases referred to in paragraph 1, point (a), prior to start of the business relationship;
(b)
for the cases referred to in paragraph 1, points (b) and (c), before completion of the purchase;
(c)
for the cases referred to in paragraph 1, point (d), before signature of the contract.
4.   For the purposes of paragraph 1, point (a), obliged entities shall inform the legal entities where the conditions laid down in paragraph 2 are met and require a certificate of proof of registration or an excerpt of the beneficial ownership information held in the central register to proceed with the business relationship or occasional transaction.
5.   In the cases covered by paragraph 1, legal entities created outside the Union and trustees of express trusts or persons holding an equivalent position in a similar legal arrangement that are administered outside the Union or that reside or are established outside the Union shall report any change to the beneficial ownership information submitted to the central register pursuant to paragraph 1 without undue delay, and in any case, within 28 calendar days thereof.
The first subparagraph shall apply:
(a)
for the cases referred to in paragraph 1, point (a), for the entire duration of the business relationship with the obliged entity;
(b)
for the cases referred to in paragraph 1, point (b), for as long as the legal entity or legal arrangement owns the real estate;
(c)
for the cases referred to in paragraph 1, point (c), for the period between the initial submission of the information to the central register and the completion of the purchase;
(d)
for the cases referred to in paragraph 1, point (d), for the entire duration of the contract.
6.   Where the legal entity, the trustee of the express trust or the person holding an equivalent position in a similar legal arrangement meets the conditions laid down in paragraph 1 in different Member States, a certificate of proof of registration of the beneficial ownership information in a central register held by one Member State shall be considered as sufficient proof of registration.
7.   Where, on 10 July 2027, legal entities created outside the Union or legal arrangements administered outside the Union or whose trustee or person holding an equivalent position in a similar legal arrangement resides or is established outside the Union own, whether directly or through intermediaries, real estate, the beneficial ownership information of those legal entities and legal arrangements shall be submitted to the central register and accompanied by a justification for that submission by 10 January 2028.
However, the first subparagraph shall not apply to legal entities or legal arrangements that have acquired real estate in the Union prior to 1 January 2014.
Member States may decide, on the basis of risk, that an earlier date applies and notify the Commission thereof. The Commission shall communicate such decisions to the other Member States.
8.   Member States may, on the basis of risk, extend the obligation set out in paragraph 1, point (a), to business relationships with foreign legal entities that are ongoing on 10 July 2027 and notify the Commission thereof. The Commission shall communicate such decisions to the other Member States.
Article 68
Penalties
1.   Member States shall lay down rules on the penalties applicable to breaches of the provisions of this Chapter and shall take all measures necessary to ensure that they are implemented. The penalties provided for shall be effective, proportionate and dissuasive.
Member States shall by 10 January 2025 notify the Commission of those rules on penalties together with their legal basis and shall notify it, without delay, of any subsequent amendment affecting them.
2.   By 10 July 2026, the Commission shall adopt delegated acts in accordance with Article 85 to supplement this Regulation by defining:
(a)
the categories of breaches that are subject to penalties and the persons liable for such breaches;
(b)
indicators to classify the level of gravity of breaches that are subject to penalties;
(c)
the criteria to be taken into account when setting the level of penalties.
The Commission shall regularly review the delegated act referred to in the first subparagraph to ensure that it identifies the relevant categories of breaches and that the related penalties are effective, dissuasive and proportionate.
CHAPTER V
REPORTING OBLIGATIONS
Article 69
Reporting of suspicions
1.   Obliged entities, and, where applicable, their directors and employees, shall cooperate fully with the FIU by promptly:
(a)
reporting to the FIU, on their own initiative, where the obliged entity knows, suspects or has reasonable grounds to suspect that funds or activities, regardless of the amount involved, are the proceeds of criminal activity or are related to terrorist financing or criminal activity and by responding to requests by the FIU for additional information in such cases;
(b)
providing the FIU, at its request, with all necessary information, including information on transaction records, within the deadlines imposed.
All suspicious transactions, including attempted transactions and suspicions arising from the inability to conduct customer due diligence shall be reported in accordance with the first subparagraph.
For the purposes of the first subparagraph, obliged entities shall reply to requests for information by the FIU within 5 working days. In justified and urgent cases, FIUs may shorten that deadline, including to less than 24 hours.
By way of derogation from the third subparagraph, the FIU may extend the deadline for a response beyond the 5 working days where it considers it justified and provided that the extension does not undermine the FIU’s analysis.
2.   For the purposes of paragraph 1, obliged entities shall assess transactions or activities carried out by their customers on the basis of and against any relevant fact and information known to them or which they are in possession of. Where necessary, obliged entities shall prioritise their assessment taking into consideration the urgency of the transaction or activity and the risks affecting the Member State in which they are established.
A suspicion pursuant to paragraph 1, point (a), shall be based on the characteristics of the customer and their counterparts, the size and nature of the transaction or activity or the methods and patterns thereof, the link between several transactions or activities, the origin, destination or use of funds, or any other circumstance known to the obliged entity, including the consistency of the transaction or activity with the information obtained pursuant to Chapter III including the risk profile of the client.
3.   By 10 July 2026, AMLA shall develop draft implementing technical standards and submit them to the Commission for adoption. Those draft implementing technical standards shall specify the format to be used for the reporting of suspicions pursuant to paragraph 1, point (a), and for the provision of transaction records pursuant to paragraph 1, point (b).
4.   Power is conferred on the Commission to adopt the implementing technical standards referred to in paragraph 3 of this Article in accordance with Article 53 of Regulation (EU) 2024/1620.
5.   By 10 July 2027, AMLA shall issue guidelines on indicators of suspicious activity or behaviours. Those guidelines shall be periodically updated.
6.   The compliance officer appointed in accordance with Article 11(2) shall transmit the information referred to in paragraph 1 of this Article to the FIU of the Member State in whose territory the obliged entity transmitting the information is established.
7.   Obliged entities shall ensure that the compliance officer appointed in accordance with Article 11(2), as well as any employee or person in a comparable position, including agents and distributors, involved in the performance of the tasks covered by this Article are protected against retaliation, discrimination and any other unfair treatment for carrying out those tasks.
This paragraph shall not affect the protection that the persons referred to in the first subparagraph may be entitled to under Directive (EU) 2019/1937.
8.   Where the activities of a partnership for information sharing result in the knowledge, suspicion or reasonable grounds to suspect that funds, regardless of the amount involved, are the proceeds of criminal activity or are related to terrorist financing, obliged entities which identified suspicions in relation to the activities of their customers may designate one among them which shall be tasked with the submission of a report to the FIU pursuant to paragraph 1, point (a). Such submission shall include at least the name and contact details of all the obliged entities that participated in the activities giving rise to the report.
Where the obliged entities referred to in the first subparagraph are established in several Member States, the information shall be reported to each relevant FIU. To that end, obliged entities shall ensure that the report is submitted by an obliged entity within the territory of the Member States where the FIU is located.
Where the obliged entities decide not to avail themselves of the possibility to submit a single report with the FIU pursuant to the first subparagraph, they shall include a reference in their reports to the fact that the suspicion is the result of the activities of a partnership for information sharing.
9.   The obliged entities referred to in paragraph 8 of this Article shall retain a copy of any reports submitted pursuant to that paragraph in accordance with Article 77.
Article 70
Specific provisions for reporting of suspicions by certain categories of obliged entities
1.   By way of derogation from Article 69(1), Member States may allow obliged entities referred to in Article 3, point (3)(a) and (b), to transmit the information referred to in Article 69(1) to a self-regulatory body designated by the Member State.
The designated self-regulatory body shall forward the information referred to in the first subparagraph to the FIU promptly and unfiltered.
2.   Notaries, lawyers, other independent legal professionals, auditors, external accountants and tax advisors shall be exempted from the requirements laid down in Article 69(1) to the extent that such exemption relates to information that they receive from, or obtain on a client, in the course of ascertaining the legal position of that client, or performing their task of defending or representing that client in, or concerning, judicial proceedings, including providing advice on instituting or avoiding such proceedings, regardless of whether such information is received or obtained before, during or after such proceedings.
The exemption set out in the first subparagraph shall not apply when the obliged entities referred to therein:
(a)
take part in money laundering, its predicate offences or terrorist financing;
(b)
provide legal advice for the purposes of money laundering, its predicate offences or terrorist financing; or
(c)
know that the client is seeking legal advice for the purposes of money laundering, its predicate offences or terrorist financing; knowledge or purpose may be inferred from objective factual circumstances.
3.   In addition to the situations referred to in paragraph 2, second subparagraph, where justified on the basis of the higher risks of money laundering, its predicate offences or terrorist financing associated with certain types of transactions, Member States may decide that the exemption referred to in paragraph 2, first subparagraph, does not apply to those types of transactions and, as appropriate, impose additional reporting obligations on the obliged entities referred to in that paragraph. Member States shall notify the Commission of any decision taken pursuant to this paragraph. The Commission shall communicate such decisions to the other Member States.
Article 71
Refraining from carrying out transactions
1.   Obliged entities shall refrain from carrying out transactions which they know or suspect to be related to proceeds of criminal activity or to terrorist financing until they have submitted a report in accordance with Article 69(1), first subparagraph, point (a), and have complied with any further specific instructions from the FIU or other competent authority in accordance with the applicable law. Obliged entities may carry out the transaction concerned after having assessed the risks of proceeding with the transaction if they have not received instructions to the contrary from the FIU within 3 working days of submitting the report.
2.   Where it is not possible for an obliged entity to refrain from carrying out a transaction as referred to in paragraph 1or where refraining would be likely to frustrate efforts to pursue the beneficiaries of a suspected transaction, the obliged entity shall inform the FIU immediately after carrying out the transaction.
Article 72
Disclosure to FIU
Disclosure of information to the FIU in good faith by an obliged entity or by an employee or director of such an obliged entity in accordance with Articles 69 and 70 shall not constitute a breach of any restriction on disclosure of information imposed by contract or by any legislative, regulatory or administrative provision, and shall not involve the obliged entity or its directors or employees in liability of any kind even in circumstances where they were not precisely aware of the underlying criminal activity and regardless of whether illegal activity actually occurred.
Article 73
Prohibition of disclosure
1.   Obliged entities and their directors, employees, or persons in comparable positions, including agents and distributors, shall not disclose to the customer concerned or to other third persons the fact that transactions or activities are being or have been assessed in accordance with Article 69, that information is being, will be or has been transmitted in accordance with Article 69 or 70 or that a money laundering or terrorist financing analysis is being, or may be, carried out.
2.   Paragraph 1 shall not apply to disclosures to competent authorities and to self-regulatory bodies where they perform supervisory functions, or to disclosure for the purposes of investigating and prosecuting money laundering, terrorist financing and other criminal activity.
3.   By way of derogation from paragraph 1 of this Article, disclosure may take place between obliged entities that belong to the same group, or between such entities and their branches and subsidiaries established in third countries, provided that those branches and subsidiaries fully comply with the group-wide policies and procedures, including procedures for sharing information within the group, in accordance with Article 16, and that the group-wide policies and procedures comply with the requirements set out in this Regulation.
4.   By way of derogation from paragraph 1 of this Article, disclosure may take place between obliged entities as referred to in Article 3, point (3)(a) and (b), or entities from third countries which impose requirements equivalent to those laid down in this Regulation, who perform their professional activities, whether as employees or not, within the same legal person or a larger structure to which the person belongs and which shares common ownership, management or compliance control, including networks or partnerships.
5.   For obliged entities referred to in Article 3, points (1), (2), (3)(a) and (b), in cases relating to the same transaction involving two or more obliged entities, and by way of derogation from paragraph 1 of this Article, disclosure may take place between the relevant obliged entities provided that they are located in the Union, or with entities in a third country which imposes requirements equivalent to those laid down in this Regulation, and that they are subject to professional secrecy and personal data protection requirements.
6.   Where the obliged entities referred to in Article 3, point (3)(a) and (b), seek to dissuade a client from engaging in illegal activity, that shall not constitute disclosure within the meaning of paragraph 1 of this Article.
Article 74
Threshold-based reports of transactions in certain high-value goods
1.   Persons trading in high-value goods shall report to the FIU all transactions involving the sale of the following high-value goods when those goods are acquired for non-commercial purposes:
(a)
motor vehicles for a price of at least EUR 250 000 or the equivalent in national currency;
(b)
watercraft for a price of at least EUR 7 500 000 or the equivalent in national currency;
(c)
aircraft for a price of at least EUR 7 500 000 or the equivalent in national currency.
2.   Credit institutions and financial institutions that provide services in relation to the purchase or transfer of ownership of the goods referred to in paragraph 1 shall also report to the FIU all transactions they carry out for their customers in relation to those goods.
3.   Reporting pursuant to paragraphs 1 and 2 shall be carried out within the deadlines imposed by the FIU.
CHAPTER VI
INFORMATION SHARING
Article 75
Exchange of information in the framework of partnerships for information sharing
1.   Members of partnerships for information sharing may share information among each other where strictly necessary for the purposes of complying with the obligations under Chapter III and Article 69 and in accordance with fundamental rights and judicial procedural safeguards.
2.   Obliged entities intending to participate in a partnership for information sharing shall notify their respective supervisory authorities which shall, where relevant in consultation with each other and with the authorities in charge of verifying compliance with Regulation (EU) 2016/679, verify that the partnership for information sharing has mechanisms in place to ensure compliance with this Article and that the data protection impact assessment referred to in paragraph 4, point (h), has been carried out. The verification shall take place prior to the beginning of the activities of the partnership for information sharing. Where relevant, the supervisory authorities shall also consult the FIUs.
Responsibility for compliance with requirements under Union or national law shall remain with the participants in the partnership for information sharing.
3.   Information exchanged in the framework of a partnership for information sharing shall be limited to:
(a)
information on the customer, including any information obtained in the course of identifying and verifying the identity of the customer and, where relevant, the beneficial owner of the customer;
(b)
information on the purpose and intended nature of the business relationship or occasional transaction between the customer and the obliged entity, as well as, where applicable, the source of wealth and source of funds of the customer;
(c)
information on customer transactions;
(d)
information on higher and lower risk factors associated with the customer;
(e)
the obliged entity’s analysis of the risks associated with the customer pursuant to Article 20(2);
(f)
information held by the obliged entity pursuant to Article 77(1);
(g)
information on suspicions pursuant to Article 69.
The information referred to in the first subparagraph shall only be exchanged to the extent that it is necessary for the purposes of carrying out the activities of the partnership for information sharing.
4.   The following conditions shall apply to the sharing of information within the context of a partnership for information sharing:
(a)
obliged entities shall record all instances of information sharing within the partnership;
(b)
obliged entities shall not rely solely on the information received in the context of the partnership to comply with the requirements of this Regulation;
(c)
obliged entities shall not draw conclusions or take decisions that have an impact on the business relationship with the customer or on the performance of occasional transactions for the customer on the basis of information received from other participants in the partnership for information sharing without having assessed that information; any information received in the context of the partnership that is used in an assessment resulting in a decision to refuse or terminate a business relationship or to carry out an occasional transaction shall be included in the records kept pursuant to Article 21(3), and that record shall contain reference to the fact that the information originated from a partnership for information sharing;
(d)
obliged entities shall carry out their own assessment of transactions involving customers in order to assess which ones may be related to money laundering or terrorist financing or involve proceeds of criminal activity;
(e)
obliged entities shall implement appropriate technical and organisational measures, including measures to allows pseudonymisation, to ensure a level of security and confidentiality proportionate to the nature and extent of the information exchanged;
(f)
the sharing of information shall be carried out only in relation to customers:
(i)
whose behaviour or transaction activities are associated with a higher risk of money laundering, its predicate offences or terrorist financing, as identified pursuant to the risk assessment at Union level and the national risk assessment carried out in accordance with Articles 7 and 8 of Directive (EU) 2024/1640;
(ii)
who fall under any of the situations referred to in Articles 29, 30, 31 and 36 to 46 of this Regulation; or
(iii)
for whom the obliged entities need to collect additional information in order to determine whether they are associated with a higher level of risk of money laundering, its predicate offences or terrorist financing;
(g)
information generated through the use of artificial intelligence, machine learning technologies or algorithms may only be shared where those processes were subject to adequate human oversight;
(h)
a data protection impact assessment referred to in Article 35 of Regulation (EU) 2016/679 shall be carried out prior to the processing of any personal data;
(i)
the competent authorities that are members of a partnership for information sharing shall only obtain, provide and exchange information to the extent that this is necessary for the performance of their tasks under relevant Union or national law;
(j)
where competent authorities referred to in Article 2(1), point (44)(c), of this Regulation participate in a partnership for information sharing, they shall only obtain, provide or exchange personal data and operational information in accordance with national law transposing Directive (EU) 2016/680 of the European Parliament and of the Council 
(
44
)
 and with the applicable provisions of national criminal procedural law, including prior judicial authorisation or any other national procedural safeguard as required;
(k)
the exchange of information on suspicious transactions pursuant to paragraph 3, point (g), of this Article shall only take place where the FIU to which the suspicious transaction report was submitted pursuant to Articles 69 or 70 has agreed with such disclosure.
5.   Information received in the context of a partnership for information sharing shall not be further transmitted, except where:
(a)
the information is provided to another obliged entity pursuant to Article 49(1);
(b)
the information is to be included in a report submitted to the FIU or provided in response to a FIU request pursuant to Article 69(1);
(c)
the information is provided to AMLA pursuant to Article 93 of Regulation (EU) 2024/1620;
(d)
the information is requested by law enforcement or judicial authorities, subject to any prior authorisations or other procedural guarantees as required under the national law.
6.   Obliged entities that participate in partnerships for information sharing shall define policies and procedures for the sharing of information in their internal policies and procedures established pursuant to Article 9. Such policies and procedures shall:
(a)
specify the assessment to be carried out to determine the extent of information to be shared, and where relevant for the nature of the information or the applicable judicial safeguards, provide for differentiated or limited access to information for members of the partnership;
(b)
describe the roles and responsibilities of the parties to the partnership for information-sharing;
(c)
identify the risk assessments that the obliged entity will take into account to determine situations of higher risk in which information can be shared.
The internal policies and procedures referred to in the first subparagraph shall be drawn up prior to the participation in a partnership for information sharing.
7.   Where supervisory authorities deem it necessary, obliged entities participating in a partnership for information sharing shall commission an independent audit of the functioning of that partnership and shall share the results with the supervisory authorities.
CHAPTER VII
DATA PROTECTION AND RECORD RETENTION
Article 76
Processing of personal data
1.   To the extent that it is strictly necessary for the purposes of preventing money laundering and terrorist financing, obliged entities may process special categories of personal data referred to in Article 9(1) of Regulation (EU) 2016/679 and personal data relating to criminal convictions and offences referred to in Article 10 of that Regulation subject to the safeguards provided for in paragraphs 2 and 3 of this Article.
2.   Obliged entities shall be able to process personal data covered by Article 9 of Regulation (EU) 2016/679 provided that:
(a)
they inform their customers or prospective customers that such categories of data may be processed for the purpose of complying with the requirements of this Regulation;
(b)
the data originate from reliable sources, are accurate and up-to-date;
(c)
they do not take decisions that would lead to biased and discriminatory outcomes on the basis of those data;
(d)
they adopt measures of a high level of security in accordance with Article 32 of Regulation (EU) 2016/679, in particular in terms of confidentiality.
3.   Obliged entities shall be able to process personal data covered by Article 10 of Regulation (EU) 2016/679 provided that they comply with the conditions laid down in paragraph 2 of this Article and that:
(a)
such personal data relate to money laundering, its predicate offences or terrorist financing;
(b)
the obliged entities have procedures in place that allow the distinction, in the processing of such data, between allegations, investigations, proceedings and convictions, taking into account the fundamental right to a fair trial, the right of defence and the presumption of innocence.
4.   Personal data shall be processed by obliged entities on the basis of this Regulation only for the purposes of the prevention of money laundering and terrorist financing and shall not be further processed in a way that is incompatible with those purposes. The processing of personal data on the basis of this Regulation for commercial purposes shall be prohibited.
5.   Obliged entities may adopt decisions resulting from automated processes, including profiling as defined in Article 4, point (4), of Regulation (EU) 2016/679, or from processes involving AI systems as defined in Article 3, point (1), of Regulation (EU) 2024/xxx of the European Parliament and of the Council 
(
45
)
, provided that:
(a)
the data processed by such systems is limited to data obtained pursuant to Chapter III of this Regulation;
(b)
any decision to enter or refuse to enter into or maintain a business relationship with a customer or to carry out or refuse to carry out an occasional transaction for a customer, or to increase or decrease the extent of the customer due diligence measures applied pursuant to Article 20 of this Regulation, is subject to meaningful human intervention to ensure the accuracy and appropriateness of such a decision; and
(c)
the customer may obtain an explanation of the decision reached by the obliged entity, and may challenge that decision, except in relation to a report as referred to in Article 69 of this Regulation.
Article 77
Record retention
1.   Obliged entities shall retain the following documents and information:
(a)
a copy of the documents and information obtained in the performance of customer due diligence pursuant to Chapter III, including information obtained through electronic identification means;
(b)
a record of the assessment undertaken pursuant to Article 69(2), including the information and circumstances considered and the results of such assessment, whether or not such assessment results in a suspicious transaction report being made to the FIU, and a copy of the suspicion transaction report, if any;
(c)
the supporting evidence and records of transactions, consisting of the original documents or copies admissible in judicial proceedings under the applicable national law, which are necessary to identify transactions;
(d)
when they participate in partnerships for information sharing pursuant to Chapter VI, copies of the documents and information obtained in the framework of those partnerships, and records of all instances of information sharing.
Obliged entities shall ensure that documents, information and records kept pursuant to this Article are not redacted.
2.   By way of derogation from paragraph 1, obliged entities may decide to replace the retention of copies of the information by a retention of the references to such information, provided that the nature and method of retention of such information ensure that the obliged entities can provide immediately to competent authorities the information and that the information cannot be modified or altered.
Obliged entities making use of the derogation referred to in the first subparagraph shall define in their internal procedures drawn up pursuant to Article 9, the categories of information for which they will retain a reference instead of a copy or original, as well as the procedures for retrieving the information so that it can be provided to competent authorities upon request.
3.   The information referred to in paragraphs 1 and 2 shall be retained for a period of 5 years commencing on the date of the termination of the business relationship or on the date of the carrying out of the occasional transaction, or on the date of refusal to enter into a business relationship or carry out an occasional transaction. Without prejudice to retention periods for data collected for the purposes of other Union legal acts or national law complying with Regulation (EU) 2016/679, obliged entities shall delete personal data upon expiry of the five-year period.
Competent authorities may require further retention of the information referred to in the first subparagraph on a case-by-case basis, provided that such retention is necessary for the prevention, detection, investigation or prosecution of money laundering or terrorist financing. That further retention period shall not exceed 5 years.
4.   Where, on 10 July 2027, legal proceedings concerned with the prevention, detection, investigation or prosecution of suspected money laundering or terrorist financing are pending in a Member State, and an obliged entity holds information or documents relating to those pending proceedings, the obliged entity may retain that information or those documents for a period of 5 years from 10 July 2027.
Member States may, without prejudice to national criminal law on evidence applicable to ongoing criminal investigations and legal proceedings, allow or require the retention of such information or documents for a further period of 5 years where the necessity and proportionality of such further retention have been established for the prevention, detection, investigation or prosecution of suspected money laundering or terrorist financing.
Article 78
Provision of records to competent authorities
Obliged entities shall have systems in place that enable them to respond fully and speedily to enquiries from their FIU or from other competent authorities, in accordance with national law, as to whether they are maintaining or have maintained, during a five-year period prior to that enquiry a business relationship with specified persons, and on the nature of that relationship, through secure channels and in a manner that ensures full confidentiality of the enquiries.
CHAPTER VIII
MEASURES TO MITIGATE RISKS DERIVING FROM ANONYMOUS INSTRUMENTS
Article 79
Anonymous accounts and bearer shares and bearer share warrants
1.   Credit institutions, financial institutions and crypto-asset service providers shall be prohibited from keeping anonymous bank and payment accounts, anonymous passbooks, anonymous safe-deposit boxes or anonymous crypto-asset accounts as well as any account otherwise allowing for the anonymisation of the customer account holder or the anonymisation or increased obfuscation of transactions, including through anonymity-enhancing coins.
Owners and beneficiaries of existing anonymous bank or payment accounts, anonymous passbooks, anonymous safe-deposit boxes held by credit institutions or financial institutions, or crypto-asset accounts shall be subject to customer due diligence measures before those accounts, passbooks, or deposit boxes are used in any way.
2.   Credit institutions and financial institutions acting as acquirers within the meaning of Article 2, point (1), of Regulation (EU) 2015/751 of the European Parliament and of the Council 
(
46
)
 shall not accept payments carried out with anonymous prepaid cards issued in third countries, unless otherwise provided for in the regulatory technical standards adopted by the Commission in accordance with Article 28 of this Regulation on the basis of a proven low risk.
3.   Companies shall be prohibited from issuing bearer shares, and shall convert all existing bearer shares into registered shares, shall immobilise them within the meaning of Article 2(1), point (3), of Regulation (EU) No 909/2014, or deposit them with a financial institution by 10 July 2029. However, companies with securities listed on a regulated market or whose shares are issued as intermediated securities either through immobilisation within the meaning of Article 2(1), point (3), of that Regulation or through a direct issuance in dematerialised form within the meaning of Article 2(1), point (4), of that Regulation shall be permitted to issue new and maintain existing bearer shares. For existing bearer shares that are not converted, immobilised or deposited by 10 July 2029, all voting rights and rights to distribution attached to those shares shall be automatically suspended until their conversion, immobilisation or deposit. All such shares not converted, immobilised or deposited by 10 July 2030 shall be cancelled, leading to a share capital decrease of the corresponding amount.
Companies shall be prohibited from issuing bearer share warrants that are not in intermediated form.
Article 80
Limits to large cash payments in exchange for goods or services
1.   Persons trading in goods or providing services may accept or make a payment in cash only up to an amount of EUR 10 000 or the equivalent in national or foreign currency, whether the transaction is carried out in a single operation or in several operations which appear to be linked.
2.   Member States may adopt lower limits following consultation of the European Central Bank in accordance with Article 2(1) of Council Decision 98/415/EC 
(
47
)
. Those lower limits shall be notified to the Commission within 3 months of the measure being introduced at national level.
3.   When limits already exist at national level which are below the limit set out in paragraph 1, they shall continue to apply. Member States shall notify those limits to the Commission by 10 October 2024.
4.   The limit referred to in paragraph 1 shall not apply to:
(a)
payments between natural persons who are not acting in a professional capacity;
(b)
payments or deposits made at the premises of credit institutions, electronic money issuers as defined in Article 2, point (3), of Directive 2009/110/EC and payment service providers as defined in Article 4, point (11), of Directive (EU) 2015/2366.
Payments or deposits referred to in the first subparagraph, point (b) above the limit shall be reported to the FIU within the deadlines imposed by the FIU.
5.   Member States shall ensure that appropriate measures, including the imposition of penalties, are taken against natural or legal persons acting in their professional capacity which are suspected of a breach of the limit set out in paragraph 1, or of a lower limit adopted by the Member States.
6.   The overall level of the penalties shall be calculated, in accordance with the relevant provisions of national law, in such way as to produce results proportionate to the seriousness of the infringement, thereby effectively discouraging further offences of the same kind.
7.   Where, by reason of force majeure, means of payment by funds as defined in Article 4, point (25), of Directive (EU) 2015/2366 other than banknotes and coins become unavailable at national level, Member States may temporarily suspend the application of paragraph 1 or, where applicable, of paragraph 2 of this Article and shall inform the Commission thereof without delay. Member States shall also inform the Commission of the expected duration of the unavailability of means of payment by funds as defined in Article 4, point (25), of Directive (EU) 2015/2366 other than banknotes and coins and of the measures taken by Member States to reinstate their availability.
Where, on the basis of the information communicated by the Member State, the Commission considers that the suspension of the application of paragraph 1 or, where applicable, of paragraph 2 is not justified by a case of force majeure, it shall adopt a decision addressed to that Member State requesting the immediate lifting of such suspension.
CHAPTER IX
FINAL PROVISIONS
SECTION 1
Cooperation between FIUs and the EPPO
Article 81
Cooperation between FIUs and the EPPO
1.   Pursuant to Article 24 of Regulation (EU) 2017/1939, each FIU shall without undue delay report to the EPPO the results of its analyses and any additional relevant information where there are reasonable grounds to suspect that money laundering and other criminal activity are being or have been committed in respect of which the EPPO could exercise its competence in accordance with Article 22 and Article 25(2) and (3) of that Regulation.
By 10 July 2026, AMLA shall, in consultation with the EPPO, develop draft implementing technical standards and submit them to the Commission for adoption. Those draft implementing technical standards shall specify the format to be used by FIUs for reporting information to the EPPO.
Power is conferred on the Commission to adopt the implementing technical standards referred to in the second subparagraph of this paragraph in accordance with Article 53 of Regulation (EU) 2024/1620.
2.   FIUs shall respond in a timely manner to requests for information by the EPPO in relation to money laundering and other criminal activity as referred to in paragraph 1.
3.   FIUs and the EPPO may exchange the results of strategic analyses, including typologies and risk indicators, where such analyses relate to money laundering and other criminal activity as referred to in paragraph 1.
Article 82
Requests for information to the EPPO
1.   The EPPO shall respond without undue delay to reasoned requests for information by an FIU where that information is necessary for the performance of the FIU’s functions under Chapter III of Directive (EU) 2024/1640.
2.   The EPPO may postpone or refuse the provision of the information referred to in paragraph 1 where providing it would be likely to prejudice the proper conduct and confidentiality of an ongoing investigation. The EPPO shall communicate in a timely manner the postponement of or refusal to provide the requested information, including the reasons therefor, to the requesting FIU.
SECTION 2
Cooperation between FIUs and OLAF
Article 83
Cooperation between FIUs and OLAF
1.   Pursuant to Article 8(3) of Regulation (EU, Euratom) No 883/2013 of the European Parliament and of the Council 
(
48
)
, each FIU shall transmit without delay the results of its analyses and any additional relevant information to OLAF where there are reasonable grounds to suspect that fraud, corruption or any other illegal activity affecting the Union’s financial interests are being or have been committed in respect of which OLAF could exercise its competence in accordance with Article 8 of that Regulation.
2.   FIUs shall respond in a timely manner to requests for information by OLAF in relation to fraud, corruption or any other illegal activity as referred to in paragraph 1.
3.   FIUs and OLAF may exchange the results of strategic analyses, including typologies and risk indicators, where such analyses relate to fraud, corruption or any other illegal activity as referred to in paragraph 1.
Article 84
Requests for information to OLAF
1.   OLAF shall respond in a timely manner to reasoned requests for information by an FIU where that information is necessary for the performance of the FIU’s functions under Chapter III of Directive (EU) 2024/1640.
2.   OLAF may postpone or refuse the provision of the information referred to in paragraph 1 where providing it would be likely to have a negative impact on an ongoing investigation. OLAF shall communicate such postponement or refusal to the requesting FIU in a timely manner, including the reasons therefor.
SECTION 3
Other provisions
Article 85
Exercise of the delegation
1.   The power to adopt delegated acts is conferred on the Commission subject to the conditions laid down in this Article.
2.   The power to adopt delegated acts referred to in Articles 29, 30, 31, 34, 43, 52 and 68 shall be conferred on the Commission for an indeterminate period of time from 9 July 2024.
3.   The delegation of power referred to in Articles 29, 30, 31, 34, 43, 52 and 68 may be revoked at any time by the European Parliament or by the Council. A decision to revoke shall put an end to the delegation of the power specified in that decision. It shall take effect the day following the publication of the decision in the Official Journal of the European Union or at a later date specified therein. It shall not affect the validity of any delegated acts already in force.
4.   Before adopting a delegated act, the Commission shall consult experts designated by each Member State in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making.
5.   As soon as it adopts a delegated act, the Commission shall notify it simultaneously to the European Parliament and to the Council.
6.   A delegated act adopted pursuant to Article 29, 30, 31 or 34 shall enter into force only if no objection has been expressed either by the European Parliament or by the Council within a period of 1 month of notification of that act to the European Parliament and to the Council or if, before the expiry of that period, the European Parliament and the Council have both informed the Commission that they will not object. That period shall be extended by 1 month at the initiative of the European Parliament or of the Council.
7.   A delegated act adopted pursuant to Article 43, 52 or 68 shall enter into force only if no objection has been expressed either by the European Parliament or by the Council within a period of 3 months of notification of that act to the European Parliament and to the Council or if, before the expiry of that period, the European Parliament and the Council have both informed the Commission that they will not object. That period shall be extended by 3 months at the initiative of the European Parliament or of the Council.
Article 86
Committee procedure
1.   The Commission shall be assisted by the Committee on the Prevention of Money Laundering and Terrorist Financing established by Article 34 of Regulation (EU) 2023/1113. That committee shall be a committee within the meaning of Regulation (EU) No 182/2011.
2.   Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.
Article 87
Review
By 10 July 2032, and every 3 years thereafter, the Commission shall review the application of this Regulation and submit a report to the European Parliament and to the Council.
The first review shall include an assessment of:
(a)
the national systems for reporting of suspicions pursuant to Article 69 and obstacles and opportunities to establish a single reporting system at Union level;
(b)
the adequacy of the beneficial ownership transparency framework to mitigate risks associated with legal entities and legal arrangements.
Article 88
Reports
By 10 July 2030, the Commission shall submit reports to the European Parliament and to the Council assessing the necessity and proportionality of:
(a)
lowering the 25 % threshold for the identification of beneficial ownership of legal entities through ownership interest;
(b)
extending the scope of high-value goods to include high-value garments and accessories;
(c)
extending the scope of the threshold-based disclosures under Article 74 to cover the sale of other goods, of introducing harmonised formats for the reporting of those transactions based on the usefulness of those reports for FIUs, and of extending the scope of information collected from persons trading in free-trade zones;
(d)
adjusting the limit for large cash payments.
Article 89
Relation to Directive (EU) 2015/849
References to Directive (EU) 2015/849 shall be construed as references to this Regulation and to Directive (EU) 2024/1640 and read in accordance with the correlation table set out in Annex VI to this Regulation.
Article 90
Entry into force and application
This Regulation shall enter into force on the twentieth day following that of its publication in the Official Journal of the European Union.
It shall apply from 10 July 2027, except in relation to obliged entities referred to in Article 3, points (3)(n) and (o), to which it shall apply from 10 July 2029.
This Regulation shall be binding in its entirety and directly applicable in all Member States.
Done at Brussels, 31 May 2024.
For the European Parliament
The President
R. METSOLA
For the Council
The President
H. LAHBIB
(
1
)
  
            
OJ C 210, 25.5.2022, p. 5
.
(
2
)
  
            
OJ C 152, 6.4.2022, p. 89
.
(
3
)
  Position of the European Parliament of 24 April 2024 (not yet published in the Official Journal) and decision of the Council of 30 May 2024.
(
4
)
  Directive (EU) 2015/849 of the European Parliament and of the Council of 20 May 2015 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing, amending Regulation (EU) No 648/2012 of the European Parliament and of the Council, and repealing Directive 2005/60/EC of the European Parliament and of the Council and Commission Directive 2006/70/EC (
OJ L 141, 5.6.2015, p. 73
).
(
5
)
  Directive (EU) 2018/843 of the European Parliament and of the Council of 30 May 2018 amending Directive (EU) 2015/849 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing, and amending Directives 2009/138/EC and 2013/36/EU (
OJ L 156, 19.6.2018, p. 43
).
(
6
)
  Directive (EU) 2024/1640 of the European Parliament and of the Council of 31 May 2024 on the mechanisms to be put in place by the Member States for the prevention of the use of the financial system for the purposes of money laundering or terrorist financing, amending Directive (EU) 2019/1937, and amending and repealing Directive (EU) 2015/849 (
OJ L, 2024/1640, 19.6.2024, ELI: http://data.europa.eu/eli/dir/2024/1640/oj
).
(
7
)
  Regulation (EU) 2023/1113 of the European Parliament and of the Council of 31 May 2023 on information accompanying transfers of funds and certain crypto-assets and amending Directive (EU) 2015/849 (
OJ L 150, 9.6.2023, p. 1
).
(
8
)
  Regulation (EU) 2024/1620 of the European Parliament and of the Council of 31 May 2024 establishing the Authority for Anti-Money Laundering and Countering the Financing of Terrorism and amending Regulations (EU) No 1093/2010, (EU) No 1094/2010 and (EU) No 1095/2010 (
OJ L, 2024/1620, 19.6.2024, http://data.europa.eu/eli/reg/2024/1620/oj
).
(
9
)
  Directive (EU) 2018/1673 of the European Parliament and of the Council of 23 October 2018 on combating money laundering by criminal law (
OJ L 284, 12.11.2018, p. 22
).
(
10
)
  Directive (EU) 2017/1371 of the European Parliament and of the Council of 5 July 2017 on the fight against fraud to the Union’s financial interests by means of criminal law (
OJ L 198, 28.7.2017, p. 29
).
(
11
)
  Directive (EU) 2017/541 of the European Parliament and of the Council of 15 March 2017 on combating terrorism and replacing Council Framework Decision 2002/475/JHA and amending Council Decision 2005/671/JHA (
OJ L 88, 31.3.2017, p. 6
).
(
12
)
  Directive (EU) 2016/97 of the European Parliament and of the Council of 20 January 2016 on insurance distribution (
OJ L 26, 2.2.2016, p. 19
).
(
13
)
  Directive (EU) 2015/2366 of the European Parliament and of the Council of 25 November 2015 on payment services in the internal market, amending Directives 2002/65/EC, 2009/110/EC and 2013/36/EU and Regulation (EU) No 1093/2010, and repealing Directive 2007/64/EC (
OJ L 337, 23.12.2015, p. 35
).
(
14
)
  Regulation (EU) 2023/1114 of the European Parliament and of the Council of 31 May 2023 on markets in crypto-assets, and amending Regulations (EU) No 1093/2010 and (EU) No 1095/2010 and Directives 2013/36/EU and (EU) 2019/1937 (
OJ L 150, 9.6.2023, p. 40
).
(
15
)
  Regulation (EU) 2020/1503 of the European Parliament and of the Council of 7 October 2020 on European crowdfunding service providers for business, and amending Regulation (EU) 2017/1129 and Directive (EU) 2019/1937 (
OJ L 347, 20.10.2020, p. 1
).
(
16
)
  Directive 2009/65/EC of the European Parliament and of the Council of 13 July 2009 on the coordination of laws, regulations and administrative provisions relating to undertakings for collective investment in transferable securities (UCITS) (
OJ L 302, 17.11.2009, p. 32
).
(
17
)
  Directive 2011/61/EU of the European Parliament and of the Council of 8 June 2011 on Alternative Investment Fund Managers and amending Directives 2003/41/EC and 2009/65/EC and Regulations (EC) No 1060/2009 and (EU) No 1095/2010 (
OJ L 174, 1.7.2011, p. 1
).
(
18
)
  Council Decision 2010/413/CFSP of 26 July 2010 concerning restrictive measures against Iran and repealing Common Position 2007/140/CFSP (
OJ L 195, 27.7.2010, p. 39
).
(
19
)
  Council Decision (CFSP) 2016/849 of 27 May 2016 concerning restrictive measures against the Democratic People’s Republic of Korea and repealing Decision 2013/183/CFSP (
OJ L 141, 28.5.2016, p. 79
).
(
20
)
  Council Regulation (EU) No 267/2012 of 23 March 2012 concerning restrictive measures against Iran and repealing Regulation (EU) No 961/2010 (
OJ L 88, 24.3.2012, p. 1
).
(
21
)
  Council Regulation (EU) 2017/1509 of 30 August 2017 concerning restrictive measures against the Democratic People’s Republic of Korea and repealing Regulation (EC) No 329/2007 (
OJ L 224, 31.8.2017, p. 1
).
(
22
)
  Regulation (EU) No 575/2013 of the European Parliament and of the Council of 26 June 2013 on prudential requirements for credit institutions and investment firms and amending Regulation (EU) No 648/2012 (
OJ L 176, 27.6.2013, p. 1
).
(
23
)
  Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC (
OJ L 257, 28.8.2014, p. 73
).
(
24
)
  Directive 2014/92/EU of the European Parliament and of the Council of 23 July 2014 on the comparability of fees related to payment accounts, payment account switching and access to payment accounts with basic features (
OJ L 257, 28.8.2014, p. 214
).
(
25
)
  Directive 2013/34/EU of the European Parliament and of the Council of 26 June 2013 on the annual financial statements, consolidated financial statements and related reports of certain types of undertakings, amending Directive 2006/43/EC of the European Parliament and of the Council and repealing Council Directives 78/660/EEC and 83/349/EEC (
OJ L 182, 29.6.2013, p. 19
).
(
26
)
  Directive (EU) 2016/2341 of the European Parliament and of the Council of 14 December 2016 on the activities and supervision of institutions for occupational retirement provision (IORPs) (
OJ L 354, 23.12.2016, p. 37
).
(
27
)
  Directive 2004/109/EC of the European Parliament and of the Council of 15 December 2004 on the harmonisation of transparency requirements in relation to information about issuers whose securities are admitted to trading on a regulated market and amending Directive 2001/34/EC (
OJ L 390, 31.12.2004, p. 38
).
(
28
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).
(
29
)
  
            
OJ L 123, 12.5.2016, p. 1
.
(
30
)
  Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by the Member States of the Commission’s exercise of implementing powers (
OJ L 55, 28.2.2011, p. 13
).
(
31
)
  
            
OJ C 524, 29.12.2021, p. 10
.
(
32
)
  Directive 2013/36/EU of the European Parliament and of the Council of 26 June 2013 on access to the activity of credit institutions and the prudential supervision of credit institutions and investment firms, amending Directive 2002/87/EC and repealing Directives 2006/48/EC and 2006/49/EC (
OJ L 176, 27.6.2013, p. 338
).
(
33
)
  Directive 2009/138/EC of the European Parliament and of the Council of 25 November 2009 on the taking-up and pursuit of the business of Insurance and Reinsurance (Solvency II) (
OJ L 335, 17.12.2009, p. 1
).
(
34
)
  Directive 2014/65/EU of the European Parliament and of the Council of 15 May 2014 on markets in financial instruments and amending Directive 2002/92/EC and Directive 2011/61/EU (
OJ L 173, 12.6.2014, p. 349
).
(
35
)
  Regulation (EU) No 909/2014 of the European Parliament and of the Council of 23 July 2014 on improving securities settlement in the European Union and on central securities depositories and amending Directives 98/26/EC and 2014/65/EU and Regulation (EU) No 236/2012 (
OJ L 257, 28.8.2014, p. 1
).
(
36
)
  Directive 2014/17/EU of the European Parliament and of the Council of 4 February 2014 on credit agreements for consumers relating to residential immovable property and amending Directives 2008/48/EC and 2013/36/EU and Regulation (EU) No 1093/2010 (
OJ L 60, 28.2.2014, p. 34
).
(
37
)
  Directive 2008/48/EC of the European Parliament and of the Council of 23 April 2008 on credit agreements for consumers and repealing Council Directive 87/102/EEC (
OJ L 133, 22.5.2008, p. 66
).
(
38
)
  Directive 2009/110/EC of the European Parliament and of the Council of 16 September 2009 on the taking up, pursuit and prudential supervision of the business of electronic money institutions amending Directives 2005/60/EC and 2006/48/EC and repealing Directive 2000/46/EC (
OJ L 267, 10.10.2009, p. 7
).
(
39
)
  Regulation (EU) 2018/1672 of the European Parliament and of the Council of 23 October 2018 on controls on cash entering or leaving the Union and repealing Regulation (EC) No 1889/2005 (
OJ L 284, 12.11.2018, p. 6
).
(
40
)
  Council Regulation (EC) No 116/2009 of 18 December 2008 on the export of cultural goods (
OJ L 39, 10.2.2009, p. 1
).
(
41
)
  Directive (EU) 2019/1937 of the European Parliament and of the Council of 23 October 2019 on the protection of persons who report breaches of Union law (
OJ L 305, 26.11.2019, p. 17
).
(
42
)
  Council Directive 2011/16/EU of 15 February 2011 on administrative cooperation in the field of taxation and repealing Directive 77/799/EEC (
OJ L 64, 11.3.2011, p. 1
).
(
43
)
  Directive 2014/24/EU of the European Parliament and of the Council of 26 February 2014 on public procurement and repealing Directive 2004/18/EC (
OJ L 94, 28.3.2014, p. 65
).
(
44
)
  Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (
OJ L 119, 4.5.2016, p. 89
).
(
45
)
  Regulation (EU) 2024/xxx of the European Parliament and of the Council of xxx laying down harmonised rules on artificial intelligence and amending Regulations (EC) No 300/2008, (EU) No 167/2013, (EU) No 168/2013, (EU) 2018/858, (EU) 2018/1139 and (EU) 2019/2144 and Directives 2014/90/EU, (EU) 2016/797 and (EU) 2020/1828 (Artificial Intelligence Act) (Not yet published in the Official Journal).
(
46
)
  Regulation (EU) 2015/751 of the European Parliament and of the Council of 29 April 2015 on interchange fees for card-based payment transactions (
OJ L 123, 19.5.2015, p. 1
).
(
47
)
  Council Decision 98/415/EC of 29 June 1998 on the consultation of the European Central Bank by national authorities regarding draft legislative provisions (
OJ L 189, 3.7.1998, p. 42
).
(
48
)
  Regulation (EU, Euratom) No 883/2013 of the European Parliament and of the Council of 11 September 2013 concerning investigations conducted by the European Anti-Fraud Office (OLAF) and repealing Regulation (EC) No 1073/1999 of the European Parliament and of the Council and Council Regulation (Euratom) No 1074/1999 (
OJ L 248, 18.9.2013, p. 1
).
ANNEX I
Indicative list of risk variables
The following is a non-exhaustive list of risk variables that obliged entities shall take into account when drawing up their risk assessment in accordance with Article 10 and when determining to what extent to apply customer due diligence measures in accordance with Article 20:
(a)
Customer risk variables:
(i)
the customer’s and the customer’s beneficial owner’s business or professional activity;
(ii)
the customer’s and the customer’s beneficial owner’s reputation;
(iii)
the customer’s and the customer’s beneficial owner’s nature and behaviour;
(iv)
the jurisdictions in which the customer and the customer’s beneficial owner are based;
(v)
the jurisdictions that are the customer’s and the customer’s beneficial owner’s main places of business;
(vi)
the jurisdictions to which the customer and the customer’s beneficial owner have relevant personal links;
(b)
Product, service or transaction risk variables:
(i)
the purpose of an account or relationship;
(ii)
the regularity or duration of the business relationship;
(iii)
the level of assets to be deposited by a customer or the size of transactions undertaken;
(iv)
the level of transparency, or opaqueness, the product, service or transaction affords;
(v)
the complexity of the product, service or transaction;
(vi)
the value or size of the product, service or transaction;
(c)
Delivery channel risk variables:
(i)
the extent to which the business relationship is conducted on a non-face-to-face basis;
(ii)
the presence of any introducers or intermediaries that the customer might use and the nature of their relationship with the customer;
(d)
Risk variable for life and other investment-related insurance:
(i)
the risk level presented by the beneficiary of the insurance policy.
ANNEX II
Lower risk factors
The following is a non-exhaustive list of factors and types of evidence of potentially lower risk referred to in Article 20:
(1)
Customer risk factors:
(a)
public companies listed on a stock exchange and subject to disclosure requirements (either by stock exchange rules or through law or enforceable means), which impose requirements to ensure adequate transparency of beneficial ownership;
(b)
public administrations or enterprises;
(c)
customers that are resident in geographical areas of lower risk as set out in point (3);
(2)
Product, service, transaction or delivery channel risk factors:
(a)
life insurance policies for which the premium is low;
(b)
insurance policies for pension schemes if there is no early surrender option and the policy cannot be used as collateral;
(c)
a pension, superannuation or similar scheme that provides retirement benefits to employees, where contributions are made by way of deduction from wages, and the scheme rules do not permit the assignment of a member’s interest under the scheme;
(d)
financial products or services that provide appropriately defined and limited services to certain types of customers, so as to increase access for financial inclusion purposes;
(e)
products where the risks of money laundering and terrorist financing are managed by other factors such as purse limits or transparency of ownership (e.g. certain types of electronic money);
(3)
Geographical risk factors — registration, establishment, residence in:
(a)
Member States;
(b)
third countries having effective AML/CFT systems;
(c)
third countries identified by credible sources as having a low level of corruption or other criminal activity;
(d)
third countries which, on the basis of credible sources such as mutual evaluations, detailed assessment reports or published follow-up reports, have requirements to combat money laundering and terrorist financing consistent with the revised FATF Recommendations and effectively implement those requirements.
ANNEX III
Higher risk factors
The following is a non-exhaustive list of factors and types of evidence of potentially higher risk referred to in Article 20:
(1)
Customer risk factors:
(a)
the business relationship or occasional transaction is conducted in unusual circumstances;
(b)
customers that are resident in geographical areas of higher risk as set out in point (3);
(c)
legal persons or legal arrangements that are personal asset-holding vehicles;
(d)
corporate entities that have nominee shareholders or shares in bearer form;
(e)
businesses that are cash-intensive;
(f)
the ownership structure of the company appears unusual or excessively complex given the nature of the company’s business;
(g)
customer is a third-country national who applies for residence rights in a Member State in exchange of any kind of investment, including capital transfers, purchase or renting of property, investment in government bonds, investment in corporate entities, donation or endowment of an activity contributing to the public good and contributions to the state budget;
(h)
customer is a legal entity or arrangement created or set up in a jurisdiction in which it has no real economic activity, substantial economic presence or apparent economic rationale;
(i)
customer is directly or indirectly owned by one or several entities or arrangements under point (h);
(2)
Product, service, transaction or delivery channel risk factors:
(a)
private banking;
(b)
products or transactions that might favour anonymity;
(c)
payment received from unknown or unassociated third parties;
(d)
new products and new business practices, including new delivery mechanism, and the use of new or developing technologies for both new and pre-existing products;
(e)
transactions related to oil, arms, precious metals or stones, tobacco products, cultural artefacts and other items of archaeological, historical, cultural and religious importance, or of rare scientific value, as well as ivory and protected species;
(3)
Geographical risk factors:
(a)
third countries subject to increased monitoring or otherwise identified by the FATF due to the compliance weaknesses in their AML/CFT systems;
(b)
third countries identified by credible sources / acknowledged processes, such as mutual evaluations, detailed assessment reports or published follow-up reports, as not having effective AML/CFT systems;
(c)
third countries identified by credible sources / acknowledged processes as having significant levels of corruption or other criminal activity;
(d)
third countries subject to sanctions, embargos or similar measures issued by, for example, the Union or the UN;
(e)
third countries providing funding or support for terrorist activities, or that have designated terrorist organisations operating within their country;
(f)
third countries identified by credible sources or pursuant to acknowledged processes as enabling financial secrecy by:
(i)
posing barriers to the cooperation and exchange of information with other jurisdictions;
(ii)
having strict corporate or banking secrecy laws which prevent institutions and their employees from providing customer information to competent authorities, including through fines and penalties;
(iii)
having weak controls for the creation of legal entities or setting up of legal arrangements; or
(iv)
not requiring beneficial ownership information to be recorded or held in a central database or register.
ANNEX IV
List of high value goods referred to in Article 2(1), point (54):
(1)
Jewellery, gold- or silversmith articles of a value exceeding EUR 10 000 or the equivalent in national currency;
(2)
Clocks and watches of a value exceeding EUR 10 000 or the equivalent in national currency;
(3)
Motor vehicles of a price exceeding EUR 250 000 or the equivalent in national currency;
(4)
Aircraft of a price exceeding EUR 7 500 000 or the equivalent in national currency;
(5)
Watercraft of a price exceeding EUR 7 500 000 or the equivalent in national currency.
ANNEX V
Precious metals referred to in Article 2(1), point (55):
(a)
Gold
(b)
Silver
(c)
Platinium
(d)
Iridium
(e)
Osmium
(f)
Palladium
(g)
Rhodium
(h)
Rhutenium.
Precious stones referred to in Article 2(1), point (55):
(a)
Diamond
(b)
Ruby
(c)
Sapphire
(d)
Emerald.
ANNEX VI
Correlation table
Directive (EU) 2015/849
Directive (EU) 2024/1640
This Regulation
Article 1(1)
—
—
Article 1(2)
—
—
Article 1(3)
—
Article 2(1), point (1)
Article 1(4)
—
Article 2(1), point (1)
Article 1(5)
—
Article 2(1), point (2)
Article 1(6)
—
Article 2(1), points (1) and (2)
Article 2(1)
—
Article 3
Article 2(2)
—
Article 4
Article 2(3)
—
Article 6(1)
Article 2(4)
—
Article 6(2)
Article 2(5)
—
Article 6(3)
Article 2(6)
—
Article 6(4)
Article 2(7)
—
Article 6(5)
Article 2(8)
—
Article 7
Article 2(9)
—
Article 4(3) and Article 6(6)
Article 3, point (1)
—
Article 2(1), point (5)
Article 3, point (2)
—
Article 2(1), point (6)
Article 3, point (3)
—
Article 2(1), point (4)
Article 3, point (4)
—
Article 2(1), point (3)
Article 3, point (5)
—
Article 2(1), point (47)
Article 3, point (6)
—
Article 2(1), point (28)
Article 3, point (6) (a)
—
Articles 51 to 55
Article 3, point (6) (b)
—
Article 58
Article 3, point (6) (c)
—
Article 57
Article 3, point (7)
—
Article 2(1), point (11)
Article 3, point (8)
—
Article 2(1), point (22)
Article 3, point (9)
—
Article 2(1), point (34) and Article 2(2)
Article 3, point (10)
—
Article 2(1), point (35) and Article 2(5)
Article 3, point (11)
—
Article 2(1), point (36)
Article 3, point (12)
—
Article 2(1), point (40)
Article 3, point (13)
—
Article 2(1), point (19)
Article 3, point (14)
—
Article 2(1), point (12)
Article 3, point (15)
—
Article 2(1), point (41)
Article 3, point (16)
—
Article 2(1), point (17)
Article 3, point (17)
—
Article 2(1), point (23)
Article 3, point (18)
—
Article 2(1), point (7)
Article 3, point (19)
—
—
Article 4
Article 3
—
Article 5
—
—
Article 6
Article 7
—
Article 7
Article 8
—
Article 8(1)
—
Article 10(1)
Article 8(2)
—
Article 10(2) and (3)
Article 8(3)
—
Article 9(1)
Article 8(4)
—
Article 9(2)
Article 8(5)
—
Article 9(2) and (3)
Article 9
—
Article 29
Article 10(1)
—
Article 79(1)
Article 10(2)
—
Article 79(3)
Article 11
—
Article 19(1), (2) and (5)
Article 12
—
Article 19(7) and Article 79(2)
Article 13(1)
—
Article 20(1)
Article 13(2)
—
Article 20(2)
Article 13(3)
—
Article 20(2)
Article 13(4)
—
Article 20(4)
Article 13(5)
—
Article 47
Article 13(6)
—
Article 22(4)
Article 14(1)
—
Article 23(1) and (4)
Article 14(2)
—
Article 23(2)
Article 14(3)
—
Article 23(3)
Article 14(4)
—
Article 21(1) and (2)
Article 14(5)
—
Article 26(2) and (3)
Article 15
—
Article 20(2), second subparagraph and Article 33
Article 16
—
Article 33(1)
Article 17
—
—
Article 18(1)
—
Article 34(1) and (8)
Article 18(2)
—
Article 34(2)
Article 18(3)
—
Article 34(3)
Article 18(4)
—
—
Article 18a(1)
—
Article 29(4)
Article 18a(2)
—
Article 29(5) and (6) and Article 35, point (a)
Article 18a(3)
—
Article 29(5) and (6) and Article 35, point (b)
Article 18a(4)
—
—
Article 18a(5)
—
Article 29(6)
Article 19
—
Article 36
Article 20
—
Article 9(2), Article 20(1) and Article 42(1)
Article 20, point (a)
—
Article 9(2), point (a)(iii) and Article 20(1), point (g)
Article 20, point (b)
—
Article 42(1)
Article 20a
—
Article 43
Article 21
—
Article 44
Article 22
—
Article 45
Article 23
—
Article 46
Article 24
—
Article 39
Article 25
—
Article 48(1)
Article 26
—
Article 48
Article 27
—
Article 49
Article 28
—
Article 48(3)
Article 29
—
—
Article 30(1)
—
Article 63(1), (2), second subparagraph and (4) and Article 68
Article 30(2)
—
Article 63(5)
Article 30(3)
Article 10(1)
—
Article 30(4)
Article 10(7) and (10)
Article 24
Article 30(5), first subparagraph
Article 11 and Article 12(2)
—
Article 30(5), second subparagraph
Article 12(1)
—
Article 30(5), third subparagraph
—
—
Article 30(5a)
Article 11(4) and Article 13(12)
—
Article 30(6)
Article 11(1), (2) and (3)
—
Article 30(7)
Article 61(2)
—
Article 30(8)
—
Article 22(7)
Article 30(9)
Article 15
—
Article 30(10)
Article 10(19) and (20)
—
Article 31(1)
—
Articles 58, Article 64(1) and Article 68
Article 31(2)
—
Article 64(3)
Article 31(3)
—
Article 64(5)
Article 31(3a)
Article 10(1), (2) and (3)
Article 67
Article 31(4), first subparagraph
Article 11 and Article 12(2)
—
Article 31(4), second subparagraph
Article 12(1)
—
Article 31(4), third subparagraph
—
—
Article 31(4), fourth subparagraph
Article 11(2)
—
Article 31(4a)
Article 11(4) and Article 13(12)
—
Article 31(5)
Article 10(7) and (10)
Article 24
Article 31(6)
—
Article 22(7)
Article 31(7)
Article 61(2)
—
Article 31(7a)
Article 15
—
Article 31(9)
Article 10(19) and (20)
—
Article 31(10)
—
Article 58(4)
Article 31a
Article 17(1)
—
Article 32(1)
Article 19(1)
—
Article 32(2)
Article 62(1)
—
Article 32(3)
Article 19(2), (3), first subparagraph, (4) and (5)
—
Article 32(4)
Articles 21(1) and Article 22(1), first subparagraph
—
Article 32(5)
Article 22(1), second subparagraph
—
Article 32(6)
Article 22(2)
—
Article 32(7)
Article 24(1)
—
Article 32(8)
Article 19(3), second subparagraph
—
Article 32(9)
Article 21(4)
—
Article 32a(1)
Article 16(1)
—
Article 32a(2)
Article 16(2)
—
Article 32a(3)
Article 16(3)
—
Article 32a(4)
Article 16(5)
—
Article 32b
Article 18
—
Article 33(1)
—
Article 69(1)
Article 33(2)
—
Article 69(6)
Article 34(1)
—
Article 70(1)
Article 34(2)
—
Article 70(2)
Article 34(3)
Article 40(5)
—
Article 35
—
Article 71
Article 36
Article 42
—
Article 37
—
Article 72
Article 38
Article 60
Article 11(2), fourth subparagraph, and (4), Article 14 and Article 69(7)
Article 39
—
Article 73
Article 40
—
Article 77
Article 41
Article 70
Article 76
Article 42
—
Article 78
Article 43
—
—
Article 44(1)
Article 9(1)
—
Article 44(2)
Article 9(2)
—
Article 44(3)
—
—
Article 44(4)
Article 9(3) and (6)
—
Article 45(1)
—
Article 16(1)
Article 45(2)
—
Article 8(3), (4) and (5)
Article 45(3)
—
Article 17(1)
Article 45(4)
Article 48
—
Article 45(5)
—
Article 17(2)
Article 45(6)
—
Article 17(3)
Article 45(7)
—
Article 17(4)
Article 45(8)
—
Article 16(3)
Article 45(9)
Article 41(1)
—
Article 45(10)
Article 41(2)
—
Article 45(11)
Article 41(3)
—
Article 46(1)
—
Articles 12 and 15
Article 46(2)
Article 39(2)
—
Article 46(3)
Article 28(1)
—
Article 46(4)
—
Article 11(1)
Article 47(1)
Article 4(1) and (2)
—
Article 47(2)
Article 6(1)
—
Article 47(3)
Article 6(2)
—
Article 48(1)
Article 37(1)
—
Article 48(1a)
Article 37(5) and Article 62(1)
—
Article 48(2)
Article 37(2) and (6)
—
Article 48(3)
Article 37(7)
—
Article 48(4)
Article 37(1), first subparagraph, Article 46 and Article 54(4)
—
Article 48(5)
Article 46(2) and (3) and Article 47
—
Article 48(6)
Article 40(1)
—
Article 48(7)
Article 40(2)
—
Article 48(8)
Article 40(4)
—
Article 48(9)
Article 37(3)
—
Article 48(10)
Article 40(3)
—
Article 49
Article 61(1)
—
Article 50
Article 63
—
Article 50a
Article 61(3)
—
Article 51
—
—
Article 52
Article 29
—
Article 53
Article 31
—
Article 54
Article 33
—
Article 55
Article 34
—
Article 56
Article 30(2) and (3)
—
Article 57
Article 35
—
Article 57a(1)
Article 67(1)
—
Article 57a(2)
Article 67(2)
—
Article 57a(3)
Article 67(3)
—
Article 57a(4)
Article 44, Article 46(1) and Article 47(1)
—
Article 57a(5)
Article 51
—
Article 57b
Article 68
—
Article 58(1)
Article 53(1)
—
Article 58(2)
Article 53(2) and (3)
—
Article 58(3)
Article 53(4)
—
Article 58(4)
—
—
Article 58(5)
Article 53(5)
—
Article 59(1)
Article 55(1)
—
Article 59(2)
Article 55(2) and Article 56(2) and (3)
—
Article 59(3)
Article 55(3)
—
Article 59(4)
Article 55(4)
—
Article 60(1)
Article 58(1), (2), first subparagraph and (3)
—
Article 60(2)
Article 58(2), third subparagraph
—
Article 60(3)
Article 58(4)
—
Article 60(4)
Article 53(6)
—
Article 60(5)
Article 53(7)
—
Article 60(6)
Article 53(8)
—
Article 61
Article 60
—
Article 62(1)
Article 59(1)
—
Article 62(2)
Article 6(6)
—
Article 62(3)
Article 59(2)
—
Article 63
—
—
Article 64
—
Article 85
Article 64a
Article 72
Article 86
Article 65
—
—
Article 66
—
—
Article 67
—
—
Article 68
—
—
Article 69
—
—
Annex I
—
Annex I
Annex II
—
Annex II
Annex III
—
Annex III
Annex IV
—
—
ELI: http://data.europa.eu/eli/reg/2024/1624/oj
ISSN 1977-0677 (electronic edition)

Summary:
Preventing abuse of the financial system for money laundering and terrorism purposes (from 2027)
SUMMARY OF:
Regulation (EU) 2024/1624 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing
WHAT IS THE AIM OF THE REGULATION?
Regulation (EU) 2024/1624 aims to clamp down on money laundering and terrorism financing by laying down rules on:
measures financial institutions and certain non-financial businesses and individuals (obliged entities) must take to prevent money laundering and terrorism financing;
beneficial ownership
1
 transparency requirements for legal entities, express trusts and similar legal arrangements; and
measures to limit misuse of anonymous instruments.
KEY POINTS
The following are among the businesses and activities considered 
obliged entities
:
credit and financial institutions;
auditors, external accountants, tax advisors and lawyers whose main profession is providing tax advice;
notaries, lawyers and legal professionals involved in financial or real estate transactions or in the planning of certain transactions for their clients;
other entities including professional football clubs and football agents and traders in certain high-value goods.
The 
regulation
 contains the possibility of 
full or partial exemptions
 if 
national assessments
 consider the following to be 
low risk
:
certain gambling activities;
professional football clubs participating in the highest division with an annual turnover of less than €5 million for the previous two calendar years and those taking part in the lower divisions on the basis of proven low risk; and
various small-scale financial activities, provided strict turnover and threshold ceilings are respected.
Obliged entities must
:
notify their own national supervisors before operating in another 
European Union
 (EU) 
Member State
 for the first time;
apply internal policies, procedures and controls to mitigate and manage any risk of 
money laundering
, terrorism financing and evasion of financial 
sanctions
;
conduct and update business-wide risk assessments, especially when launching new products, services or practices;
appoint a compliance manager to supervise compliance with the regulation and with Regulation (EU) 2023/1113 and ensure employees are aware of their obligations;
ensure, if they are the parent company, all their branches and subsidiaries in the EU and in non-EU countries comply fully with the legislation, even if legal requirements in the latter are lower;
remain responsible for compliance even when tasks are outsourced.
Customer due diligence
Obliged entities
:
apply customer due diligence measures, including when:
establishing a business relationship,
carrying out an occasional transaction of at least €10,000,
suspecting money laundering or terrorist financing;
verify:
the identity of the customer and of the beneficial owner(s) as part of the due diligence process,
the purpose and intended nature of the business relationship;
monitor business relationships on an ongoing basis;
refuse to carry out a transaction, or else terminate any business relationship if they cannot satisfy the due diligence requirements, and report any suspicions;
report any discrepancies they find between the beneficial ownership information they collect and that held in the beneficial ownership central register;
apply stricter due diligence measures to manage and mitigate any risk involving non-EU countries the 
European Commission
 identifies as having weak anti-money laundering and terrorism financing measures and lists as high-risk third countries;
must apply more stringent controls in higher risk cases involving a transaction that is complex, is unusually large, does not appear to have an economic or lawful purpose or involves assets of at least €5 million;
may apply simpler due diligence controls for low-risk business relationships and transactions based on customer, product and geographical factors set out in Annexes II and III;
implement specific measures for politically exposed persons
2
.
Beneficial ownership transparency
Beneficial ownership
In the case of a legal entity, beneficial owners are those that have, directly or indirectly, an ownership interest (
25 %
 or more of the shares or voting rights) in the corporate entity, or that control, directly or indirectly, the corporate or other legal entity through ownership interests or other means. The regulation also specifies who the beneficial owner is in the case of an express trust, a similar legal arrangement and a legal entity similar to an express trust.
Legal entities
:
if created in the EU, must hold accurate and up-to-date beneficial ownership information;
if created outside the EU, must submit beneficial ownership information to a Member State’s central register when they:
enter a business relationship with an obliged entity,
acquire real estate in the EU,
purchase for non-commercial purposes a motor vehicle for over €250,000, or a boat or aircraft for over €7.5 million,
receive a public contract from a national authority.
Member States
:
notify the Commission by 
10 October 2027
 of the types of legal entities and legal arrangements in their jurisdiction;
establish penalties for violations of rules on beneficial ownership transparency.
Reporting obligations
Obliged entities
:
report to the 
financial intelligence unit
 (FIU) – a national body collecting information on suspicious or unusual financial activity – any suspicions that funds or activities are linked to crime or terrorist financing;
provide the FIU, at its request, all information, including transaction records, within the set deadline;
keep all relevant documents for five years.
Traders in high-value luxury goods and financial institutions
, where relevant, must report to the FIU all sales for non-commercial purposes of motor vehicles, boats or aircraft according to the thresholds above.
Measures to mitigate risks deriving from anonymous instruments
Anonymous accounts
Credit institutions, financial institutions and crypto-asset service providers are not allowed to keep anonymous bank and payment accounts, passbooks, safe-deposit boxes or crypto-assets accounts.
Owners and beneficiaries of the above anonymous accounts are subject to due diligence checks before these are used in any way.
Credit and financial institutions must not accept payments made by anonymous prepaid cards issued in non-EU countries.
Large cash payments
Cash payments for goods and services, in one or several transactions, are limited to €10,000.
Other measures
The regulation:
provides for 
cooperation
 between FIUs, the 
European Public Prosecutor’s Office
 and the 
European Anti-Fraud Office
;
gives the Commission the power to adopt 
delegated acts
 to update technical aspects of the regulation;
requires the 
Commission
 to:
assess, by 
10 July 2030
, the necessity and proportionality of lowering the beneficial ownership thresholds and of including certain categories of high-value goods in the scope of the legislation,
review the application of the regulation by 
10 July 2032
, and every three years thereafter;
instructs the new 
Authority for Anti-Money Laundering and Countering the Financing of Terrorism
 to draft a number of 
implementing acts
 and guidelines.
FROM WHEN DOES THE REGULATION APPLY?
The regulation will apply from 
10 July 2027
, with the exception of football clubs and agents, for whom the rules start to apply from 
10 July 2029
.
BACKGROUND
The regulation is part of a comprehensive package strengthening the EU’s anti-money laundering and countering financing of terrorism measures. It harmonises anti-money laundering rules for the first time throughout the EU, closing loopholes for criminals.
For further information, see:
Stronger EU rules to fight financial crime
 (European Commission).
KEY TERMS
Beneficial ownership.
 A natural person who owns or controls a legal entity, trust or similar legal arrangement subject to certain thresholds and rules.
Politically exposed person.
 Someone who is, or has been, entrusted with prominent national, EU or international public functions.
MAIN DOCUMENT
Regulation (EU) 
2024/1624
 of the European Parliament and of the Council of 
31 May 2024
 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing (OJ L, 2024/1624, 
19.6.2024
).
RELATED DOCUMENTS
Regulation (EU) 
2024/1620
 of the European Parliament and of the Council of 
31 May 2024
 establishing the Authority for Anti-Money Laundering and Countering the Financing of Terrorism and amending Regulations (EU) No 1093/2010, (EU) No 1094/2010 and (EU) No 1095/2010 (OJ L, 2024/1620, 
19.6.2024
).
Directive (EU) 
2024/1640
 of the European Parliament and of the Council of 
31 May 2024
 on the mechanisms to be put in place by Member States for the prevention of the use of the financial system for the purposes of money laundering or terrorist financing, amending Directive(EU) 2019/1937, and amending and repealing Directive (EU) 2015/849 (OJ L, 2024/1640, 
19.6.2024
).
Regulation (EU) 
2023/1113
 of the European Parliament and of the Council of 
31 May 2023
 on information accompanying transfers of funds and certain crypto-assets and amending Directive (EU) 2015/849 (OJ L 150, 
9.6.2023
, 
pp. 1–39
).
Regulation (EU) 
2023/1114
 of the European Parliament and of the Council of 
31 May 2023
 on markets in crypto-assets, and amending Regulations (EU) No 1093/2010 and (EU) No 1095/2010 and Directives 2013/36/EU and (EU) 2019/1937 (OJ L 150, 
9.6.2023
, 
pp. 40–205
).
Successive amendments to Regulation (EU) 2023/1114 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
Directive (EU) 
2018/843
 of the European Parliament and of the Council of 
30 May 2018
 amending Directive (EU) 2015/849 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing, and amending Directives 2009/138/EC and 2013/36/EU (OJ L 156, 
19.6.2018
, 
pp. 43–74
).
Directive (EU) 
2018/1673
 of the European Parliament and of the Council of 
23 October 2018
 on combating money laundering by criminal law (OJ L 284, 
12.11.2018
, 
pp. 22–30
).
See 
consolidated version
.
Directive (EU) 
2017/541
 of the European Parliament and of the Council of 
15 March 2017
 on combating terrorism and replacing Council Framework Decision 2002/475/JHA and amending Council Decision 2005/671/JHA (OJ L 88, 
31.3.2017
, 
pp. 6–21
).
Directive (EU) 
2017/1371
 of the European Parliament and of the Council of 
5 July 2017
 on the fight against fraud to the Union's financial interests by means of criminal law (OJ L 198, 
28.7.2017
, 
pp. 29–41
).
Directive (EU) 
2015/849
 of the European Parliament and of the Council of 
20 May 2015
 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing, amending Regulation (EU) No 648/2012 of the European Parliament and of the Council, and repealing Directive 2005/60/EC of the European Parliament and of the Council and Commission Directive 2006/70/EC (OJ L 141, 
5.6.2015
, 
pp. 73–117
).
See 
consolidated version
.
last update 
20.12.2024

--- DANISH ---

Document:
Den Europæiske Unions 
Tidende
DA
L-udgaven
2024/1624
19.6.2024
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2024/1624
af 31. maj 2024
om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme
(EØS-relevant tekst)
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Den Europæiske Centralbank 
(
1
)
,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 
(
2
)
,
efter den almindelige lovgivningsprocedure 
(
3
)
, og
ud fra følgende betragtninger:
(1)
Europa-Parlamentets og Rådets direktiv (EU) 2015/849 
(
4
)
 er den vigtigste retsakt i forebyggelsen af, at Unionens finansielle system bruges til hvidvask af penge og finansiering af terrorisme. Nævnte direktiv fastsætter en samlet retlig ramme, som Europa-Parlamentets og Rådets direktiv (EU) 2018/843 
(
5
)
 styrkede yderligere ved at tage højde for nye risici for hvidvask af penge og finansiering af terrorisme og øge gennemsigtigheden i forbindelse med reelt ejerskab. Uanset resultaterne inden for denne retlige ramme har erfaringen vist, at der bør indføres yderligere forbedringer for i tilstrækkelig grad at afbøde risici for hvidvask af penge og finansiering af terrorisme og effektivt afsløre kriminelles forsøg på misbrug af Unionens finansielle system med kriminelle formål for øje.
(2)
Den største udfordring, der er konstateret med hensyn til anvendelsen af bestemmelserne i direktiv (EU) 2015/849, der fastsætter forpligtelser for forpligtede enheder, er disse reglers manglende umiddelbare anvendelighed og forskellige nationale tilgange. Selv om disse regler har eksisteret i og udviklet sig over tre årtier, gennemføres de stadig på en måde, som ikke er i fuld overensstemmelse med kravene for et integreret indre marked. Derfor er det nødvendigt, at regler om forhold, der på nuværende tidspunkt er omfattet af direktiv (EU) 2015/849, og som kunne være umiddelbart anvendelige for de berørte forpligtede enheder, behandles i en forordning med henblik på at opnå den ønskede ensartede anvendelse heraf.
(3)
Denne nye retsakt indgår som led i en samlet pakke, der har til formål at styrke Unionens ramme for bekæmpelse af hvidvask af penge og finansiering af terrorisme. Tilsammen vil denne forordning, Europa-Parlamentets og Rådets direktiv (EU) 2024/1640 
(
6
)
 og Europa-Parlamentets og Rådets forordning (EU) 2023/1113 
(
7
)
 og (EU) 2024/1620 
(
8
)
 udgøre den retlige ramme, der gælder for de krav til bekæmpelse af hvidvask af penge og finansiering af terrorisme, som forpligtede enheder skal opfylde, og som ligger til grund for Unionens samlede institutionelle ramme for bekæmpelse af hvidvask af penge og finansiering af terrorisme, herunder oprettelsen af en myndighed for bekæmpelse af hvidvask af penge og finansiering af terrorisme (»AMLA«).
(4)
Hvidvask af penge og finansiering af terrorisme foregår ofte i international kontekst. Foranstaltninger, som træffes på EU-plan uden hensyntagen til koordinering og samarbejde på internationalt plan, vil have en meget begrænset virkning. De foranstaltninger, som Unionen træffer på dette område, bør derfor være forenelige med og mindst lige så strenge som de forholdsregler, der træffes på internationalt plan. Unionen bør ved sin indsats fortsat tage særligt hensyn til anbefalingerne fra Den Finansielle Aktionsgruppe (FATF) og instrumenter fra andre internationale organer, som beskæftiger sig med bekæmpelse af hvidvask af penge og finansiering af terrorisme. For at gøre bekæmpelsen af hvidvask af penge og finansiering af terrorisme mere effektiv bør de relevante EU-retsakter, hvor det er relevant, afstemmes med de internationale standarder om forebyggelse af hvidvask af penge samt finansiering af terrorisme og våbenspredning, der blev vedtaget af FATF i februar 2012 (de »reviderede FATF-anbefalinger«), og de deraf følgende ændringer af disse standarder.
(5)
Siden vedtagelsen af direktiv (EU) 2015/849 har den seneste udvikling i Unionens strafferetlige ramme bidraget til at styrke forebyggelsen og bekæmpelsen af hvidvask af penge, de underliggende lovovertrædelser og finansiering af terrorisme. Ved Europa-Parlamentets og Rådets direktiv (EU) 2018/1673 
(
9
)
 er der opnået en fælles forståelse af strafbare handlinger i form af hvidvask af penge og de underliggende lovovertrædelser. I Europa-Parlamentets og Rådets direktiv (EU) 2017/1371 
(
10
)
 defineres finansielle strafbare handlinger, der skader Unionens finansielle interesser, som også bør betragtes som underliggende lovovertrædelser i forbindelse med hvidvask af penge. Ved Europa-Parlamentets og Rådets direktiv (EU) 2017/541 
(
11
)
 er der opnået en fælles forståelse af strafbare handlinger i form af finansiering af terrorisme. Da disse begreber nu er præciseret i EU-strafferetten, er det ikke længere nødvendigt, at Unionens regler for bekæmpelse af hvidvask af penge og finansiering af terrorisme definerer hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme. I stedet bør Unionens ramme for bekæmpelse af hvidvask af penge og finansiering af terrorisme være i fuld overensstemmelse med Unionens strafferetlige ramme.
(6)
Harmoniseringen på det relevante strafferetlige område muliggør en stærk og sammenhængende tilgang på EU-plan til forebyggelse og bekæmpelse af hvidvask af penge og de underliggende lovovertrædelser, herunder korruption. Samtidig sikrer en sådan tilgang, at medlemsstater, der har valgt en bredere tilgang til definitionen af kriminelle handlinger, der udgør underliggende lovovertrædelser i forbindelse med hvidvask af penge, kan fortsætte med at anvende en sådan tilgang. Derfor og i overensstemmelse med direktiv (EU) 2018/1673 bør enhver form for strafbar deltagelse i udførelsen af en underliggende lovovertrædelse for hvidvask af penge som kriminaliseret i henhold til national ret ligeledes betragtes som en kriminel handling med henblik på nævnte direktiv og denne forordning.
(7)
Teknologien er fortsat i udvikling og giver den private sektor muligheder for at udvikle nye produkter og systemer, der kan omsætte pengemidler eller værdi. Selv om dette er et positivt fænomen, kan det generere nye risici for hvidvask af penge og finansiering af terrorisme, da mange kriminelle fortsat finder måder, hvorpå de kan udnytte sårbarheder til at skjule ulovlige midler og flytte dem rundt i hele verden. Udbydere af kryptoaktivtjenester og crowdfundingplatforme eksponeres for misbrug af nye kanaler til overførsel af ulovlige midler og har gode forudsætninger for at afsløre sådanne overførsler og at afbøde risici. EU-lovgivningens anvendelsesområde bør derfor udvides til at omfatte sådanne enheder i overensstemmelse med FATF-standarderne vedrørende kryptoaktiver. Samtidig giver fremskridt inden for innovation, såsom udviklingen af metaverset, nye muligheder for at begå forbrydelser og hvidvaske udbyttet heraf. Det er derfor vigtigt at udvise årvågenhed med hensyn til de risici, der er forbundet med levering af innovative produkter eller tjenester, uanset om det er på EU-plan eller nationalt plan eller på niveauet forpligtede enheder.
(8)
De institutter og personer, der er omfattet af denne forordning, spiller en vigtig rolle som vogtere af Unionens finansielle system og bør derfor træffe alle nødvendige foranstaltninger til at gennemføre kravene i denne forordning med henblik på at forhindre kriminelle i at hvidvaske udbyttet af deres ulovlige aktiviteter eller i at finansiere terrorisme. Der bør ligeledes indføres foranstaltninger til at afbøde en eventuel risiko for manglende gennemførelse eller omgåelse af målrettede finansielle sanktioner.
(9)
Definitionen af en forsikringsformidler i Europa-Parlamentets og Rådets direktiv (EU) 2016/97 
(
12
)
 dækker en bred vifte af fysiske eller juridiske personer, der indleder eller udøver forsikringsdistributionsvirksomhed. Nogle forsikringsformidlere udøver forsikringsdistributionsvirksomhed under forsikringsselskabers eller -formidleres fulde ansvar og udøve virksomhed, der er underlagt deres politikker og procedurer. Hvis disse formidlere ikke opkræver præmier eller beløb, der er tiltænkt kunden, forsikringstageren eller den begunstigede i forsikringspolicen, er de ikke i stand til at udvise relevante kundekendskabsprocedurer eller afsløre og indberette mistænkelige transaktioner. I betragtning af denne begrænsede rolle og det forhold, at fuld anvendelse af kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme sikres af de forsikringsselskaber eller formidlere, under hvis ansvar de leverer tjenester, bør formidlere, der ikke håndterer midler som defineret i artikel 4, nr. 25), i Europa-Parlamentets og Rådets direktiv (EU) 2015/2366 
(
13
)
, ikke betragtes som forpligtede enheder med henblik på denne forordning.
(10)
Holdingselskaber, der udøver blandede aktiviteter, og hvis datterselskaber omfatter mindst én forpligtet enhed, bør selv medtages som forpligtede enheder i denne forordnings anvendelsesområde. For at sikre konsekvent tilsyn fra de finansielle tilsynsorganers side, hvis datterselskaberne af et blandet holdingselskab omfatter mindst ét kreditinstitut eller ét finansieringsinstitut, bør holdingselskabet selv også betragtes som et finansielt institut.
(11)
Finansielle transaktioner kan også finde sted inden for den samme koncern som en måde at forvalte koncernens finansielle midler. Sådanne transaktioner gennemføres imidlertid ikke i forhold til kunder og kræver ikke anvendelse af foranstaltninger til bekæmpelse af hvidvask af penge og finansiering af terrorisme. For at garantere retssikkerheden er det nødvendigt at anerkende, at denne forordning ikke finder anvendelse på finansielle aktiviteter eller på andre finansielle tjenesteydelser, der leveres af medlemmerne af en koncern til andre medlemmer af den pågældende koncern.
(12)
Uafhængige retlige aktører bør være underlagt denne forordning, når de deltager i finansielle transaktioner eller selskabstransaktioner, herunder når de yder skatterådgivning, fordi der er risiko for, at de tjenesteydelser, der leveres af disse retlige aktører, misbruges til hvidvask af udbytte af kriminelle handlinger eller til finansiering af terrorisme. Der bør dog være fritagelse for enhver forpligtelse til at indberette oplysninger, der er modtaget før, under eller efter retssager eller i forbindelse med vurderingen af en kundes retsstilling, da sådanne oplysninger er omfattet af retten til fortrolighed. Derfor bør juridisk rådgivning fortsat være omfattet af tavshedspligt, medmindre den retlige aktør deltager i hvidvask af penge eller finansiering af terrorisme, eller den juridiske rådgivning ydes med henblik på hvidvask af penge eller finansiering af terrorisme, eller hvis den retlige aktør har kendskab til, at kunden søger juridisk rådgivning med henblik på hvidvask af penge eller finansiering af terrorisme. Sådant kendskab og formål kan udledes af objektive, faktiske omstændigheder. Da der muligvis allerede indhentes juridisk rådgivning på det tidspunkt, hvor den udbytteskabende kriminelle handling begås, er det vigtigt, at sager, der er udelukket fra retten til fortrolighed, også omfatter situationer, hvor den juridiske rådgivning ydes i forbindelse med underliggende lovovertrædelser. Juridisk rådgivning, der indhentes i forbindelse med verserende retssager, bør ikke betragtes som juridisk rådgivning med henblik på hvidvask af penge eller finansiering af terrorisme.
(13)
For at sikre overholdelsen af de rettigheder, der er sikret ved Den Europæiske Unions charter om grundlæggende rettigheder (»chartret«), bør de oplysninger, som revisorer, eksterne regnskabskyndige og skatterådgivere, der i nogle medlemsstater har ret til at forsvare eller repræsentere en kunde i forbindelse med retssager eller fastslå en kundes retsstilling, får adgang til under udførelsen af disse opgaver, ikke være underlagt indberetningsforpligtelser. De samme undtagelser, der gælder for notarer og advokater, bør dog også finde anvendelse på disse professionelle aktører, når de handler i forbindelse med udøvelse af retten til et forsvar, eller når de fastslår en kundes retsstilling.
(14)
Direktiv (EU) 2018/843 var den første retsakt, der omhandlede de risici for hvidvask af penge og finansiering af terrorisme, som kryptoaktiver udgør i Unionen. Det udvidede anvendelsesområdet for rammen for bekæmpelse af hvidvask af penge og finansiering af terrorisme til at omfatte to typer af udbydere af kryptoaktivtjenester: udbydere af veksling mellem virtuelle valutaer og fiatvalutaer samt udbydere af virtuelle tegnebøger. På grund af den hurtige teknologiske udvikling og fremskridtene med FATF-standarderne er det nødvendigt at tage denne tilgang op til fornyet overvejelse. Det første skridt hen imod at færdiggøre og ajourføre Unionens retlige ramme blev taget med Europa-Parlamentets og Rådets forordning (EU) 2023/1114 
(
14
)
, som fastsætter krav til udbydere af kryptoaktivtjenester, der ønsker at søge om tilladelse til at levere tjenester på det indre marked. Den indførte også en definition af kryptoaktiver og af udbydere af kryptoaktivtjenester, som omfatter en bredere vifte af aktiviteter. Desuden har forordning (EU) 2023/1113 udvidet sporbarhedskravene til overførsler af kryptoaktiver foretaget af udbydere af kryptoaktivtjenester, der er omfattet af forordning (EU) 2023/1114, og ændret direktiv (EU) 2015/849 om at pålægge medlemsstaterne at gøre disse udbydere af kryptoaktivtjenester forpligtede enheder. Disse udbydere af kryptoaktivtjenester bør også være omfattet af nærværende forordning for at afbøde en eventuel risiko for misbrug af kryptoaktiver til hvidvask af penge eller finansiering af terrorisme.
(15)
Oprettelsen af markeder for unikke og ikkefungible kryptoaktiver er stadig nyt og har ikke ført til lovgivning, der regulerer deres funktion. Udviklingen på disse markeder overvåges, og det er vigtigt, at den ikke resulterer i nye risici for hvidvask af penge og finansiering af terrorisme, som ikke vil bliveimødegået tilstrækkeligt. Senest den 30. december 2024 skal Kommissionen forelægge en rapport for Europa-Parlamentet og Rådet om den seneste udvikling med hensyn til kryptoaktiver, herunder en vurdering af udviklingen på markederne for unikke og ikkefungible kryptoaktiver og passende reguleringsmæssig behandling af sådanne kryptoaktiver, herunder en vurdering af nødvendigheden og gennemførligheden af at regulere udbydere af tjenester i forbindelse med unikke og ikkefungible kryptoaktiver. Om nødvendigt skal Kommissionen lade denne rapport ledsage af et forslag til retsakt.
(16)
Crowdfundingplatformes sårbarheder over for hvidvask af penge og finansiering af terrorisme er horisontale og påvirker det indre marked som helhed. Indtil nu er der i medlemsstaterne opstået forskellige tilgange til styring af sådanne risici. Selv om den lovgivningsmæssige tilgang til erhvervsinvestering og lånebaserede crowdfundingplatforme i hele Unionen blev harmoniseret ved Europa-Parlamentets og Rådets forordning (EU) 2020/1503 
(
15
)
, og der blev indført flere sikkerhedsforanstaltninger for at håndtere potentielle risici for hvidvask af penge og finansiering af terrorisme, såsom crowdfundingplatforme kundekendskabsprocedurer med hensyn til projektejere og i forbindelse med tilladelsesprocedurer, skaber fraværet af en harmoniseret retlig ramme med håndfaste forpligtelser for bekæmpelse af hvidvask af penge og finansiering af terrorisme for crowdfundingplatforme huller og svækker Unionens sikkerhedsforanstaltninger til bekæmpelse af hvidvask af penge og finansiering af terrorisme. Det er derfor nødvendigt at sikre, at alle crowdfundingplatforme, herunder dem, som allerede har opnået licens i henhold til forordning (EU) 2020/1503, er omfattet af Unionens lovgivning for bekæmpelse af hvidvask af penge og finansiering af terrorisme.
(17)
Crowdfundingformidlere, der driver en digital platform for at matche eller gøre det lettere at matche finansieringsydere med projektejere såsom foreninger eller enkeltpersoner, der søger finansiering, er udsat for risici for hvidvask af penge og finansiering af terrorisme. Virksomheder, som ikke har opnået licens i henhold til forordning (EU) 2020/1503, er i øjeblikket enten ikke lovreguleret eller omfattet af forskellige reguleringsmæssige tilgange i medlemsstaterne, herunder i forbindelse med regler og procedurer, der skal tackle risici forbundet med hvidvask af penge og finansiering af terrorisme. Sådanne formidlere bør derfor være omfattet af forpligtelserne i nærværende forordning, navnlig for at undgå omdirigering af midler som defineret i artikel 4, nr. 25), i direktiv (EU) 2015/2366 eller kryptoaktiver, som kriminelle tilvejebringer til ulovlige formål. Med henblik på at begrænse sådanne risici gælder disse forpligtelser for en bred vifte af projekter, herunder bl.a. uddannelsesmæssige eller kulturelle projekter og indsamling af sådanne midler eller kryptoaktiver for at støtte mere almene sager, f.eks. på det humanitære område, eller for at tilrettelægge eller fejre en familiemæssig eller social begivenhed.
(18)
Formålet med direktiv (EU) 2015/849 var at afbøde de risici for hvidvask af penge og finansiering af terrorisme, som hidrører fra store kontantbetalinger, ved at henregne personer, som handler med varer, til forpligtede enheder, når de foretager eller modtager kontantbetalinger på over 10 000 EUR, og samtidig tillade medlemsstaterne at indføre skærpede foranstaltninger. En sådan tilgang har vist sig at være ineffektiv i lyset af den ringe forståelse og anvendelse af kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme, manglen på tilsyn og det begrænsede antal mistænkelige transaktioner, som er blevet indberettet til den finansielle efterretningsenhed (»FIU'en«). For i tilstrækkelig grad at afbøde risici, der hidrører fra misbrug af store kontante pengebeløb, bør der på EU-plan fastsættes en tærskel for store kontantbetalinger på over 10 000 EUR. Som følge heraf behøver personer, der handler med varer, ikke længere at være underlagt forpligtelser for bekæmpelse af hvidvask af penge og finansiering af terrorisme, med undtagelse af personer, der handler med ædelmetaller, ædelsten, andre genstande af høj værdi og kulturgoder.
(19)
Visse kategorier af personer, der handler med varer, er i særlig grad eksponeret for risici for hvidvask af penge og finansiering af terrorisme på grund af den høje værdi af de ofte små, transportable varer, de handler med. Personer, der handler med ædelmetaller og ædelsten og andre varer af høj værdi, bør derfor være omfattet af krav for bekæmpelse af hvidvask af penge og finansiering af terrorisme, hvis en sådan handel enten udøves regelmæssigt eller er den vigtigste erhvervsmæssige virksomhed.
(20)
Motorkøretøjer, vandfartøjer og luftfartøjer i de højere markedssegmenter er sårbare over for risici for misbrug til hvidvask af penge og finansiering af terrorisme i betragtning af deres høje værdi og transportabilitet. Personer, der handler med sådanne varer, bør derfor være omfattet af krav for bekæmpelse af hvidvask af penge og finansiering af terrorisme. Disse varers transportable karakter gør dem særligt attraktive med henblik på hvidvask af penge og finansiering af terrorisme, i betragtning af hvor let sådanne varer kan transporteres over eller uden for Unionens grænser, og at oplysninger om sådanne varer ikke nødvendigvis er lettilgængelige for de kompetente myndigheder, hvis de er registreret i tredjelande. For at mindske risikoen for, at Unionens produkter af høj værdi misbruges til kriminelle formål, og sikre gennemsigtighed med hensyn til ejerskabet af sådanne varer er det nødvendigt at kræve, at personer, der handler med varer af høj værdi, indberetter transaktioner vedrørende salg af motorkøretøjer, vandfartøjer og luftfartøjer. Kreditinstitutter og finansieringsinstitutter leverer tjenesteydelser, der er væsentlige for gennemførelsen af salg eller overførsel af ejendomsretten til sådanne varer, og bør også være forpligtet til at indberette disse transaktioner til FIU'en. Selv om varer, der udelukkende er bestemt til udøvelse af kommercielle aktiviteter, ikke bør være omfattet af en sådan oplysningspligt, bør salg til privat, ikkekommerciel brug ikke begrænses til tilfælde, hvor kunden er en fysisk person, men bør også vedrøre salg til juridiske enheder og arrangementer, navnlig når de er etableret med henblik på forvaltning af deres reelle ejers formue.
(21)
Operatører på området investeringsmigration er private selskaber, organer eller personer, som handler eller interagerer direkte med nationale myndigheder, der har kompetence til at tildele opholdsret på vegne af tredjelandsstatsborgere, eller som leverer formidlingstjenester til tredjelandsstatsborgere, der forsøger at opnå opholdsret i en medlemsstat til gengæld for forskellige former for investering, herunder kapitaloverførsler, køb eller leje af ejendom, investering i statsobligationer, investering i selskaber, donationer eller tilførsel af en aktivitet, der bidrager til almenvellet, og bidrag til statsbudgettet. Ordninger for tildeling af opholdsret til investorer indebærer risici og sårbarheder, som vedrører hvidvask af penge, korruption og skatteundgåelse. Sådanne risici forværres af de grænseoverskridende rettigheder, der er forbundet med opholdsret i en medlemsstat. Det er derfor nødvendigt at operatører på området investeringsmigration omfattes af forpligtelser for bekæmpelse af hvidvask af penge og finansiering af terrorisme. Denne forordning bør ikke finde anvendelse på statsborgerskabsordninger for investorer, som resulterer i erhvervelse af statsborgerskab til gengæld for sådanne investeringer, idet sådanne ordninger skal betragtes som undergravende for den grundlæggende status af unionsborgerskab og loyalt samarbejde mellem medlemsstaterne.
(22)
Selv om pantekreditorer og kreditorer for forbrugerkreditter typisk er kreditinstitutter eller finansieringsinstitutter, er der visse forbrugerkredit- og realkreditformidlere, der ikke betragtes som kreditinstitutter eller finansieringsinstitutter, og som ikke har været omfattet af krav for bekæmpelse af hvidvask af penge og finansiering af terrorisme på EU-plan, men som i visse medlemsstater har været omfattet af sådanne forpligtelser på grund af deres eksponering for risici for hvidvask af penge og finansiering af terrorisme. Afhængigt af deres forretningsmodel kan sådanne forbrugerkredit- og realkreditformidlere være eksponeret for væsentlige risici for hvidvask af penge og finansiering af terrorisme. Det er vigtigt at sikre, at enheder, der udøver lignende aktiviteter, og som er eksponeret for sådanne risici, er omfattet af krav for bekæmpelse af hvidvask af penge og finansiering af terrorisme, uanset om de betragtes som kreditinstitutter eller finansieringsinstitutter eller ej. Det er derfor passende at medtage forbrugerkredit- og realkreditformidlere, som ikke er kreditinstitutter eller finansieringsinstitutter, men som i medfør af deres aktiviteter er eksponeret for risici for hvidvask af penge og finansiering af terrorisme. I mange tilfælde handler kreditformidleren imidlertid på vegne af det kreditinstitut eller finansieringsinstitut, der yder og behandler lånet. I disse tilfælde bør kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme ikke finde anvendelse på forbrugerkredit- og realkreditformidlere, men kun på kreditinstitutterne eller finansieringsinstitutterne.
(23)
For at sikre en ensartet tilgang er det nødvendigt at præcisere, hvilke enheder i investeringssektoren der er omfattet af krav for bekæmpelse af hvidvask af penge og finansiering af terrorisme. Selvom institutter for kollektiv investering allerede faldt ind under anvendelsesområdet for direktiv (EU) 2015/849, er det nødvendigt at tilpasse den relevante terminologi til Unionens nuværende lovgivning om investeringsfonde, nemlig Europa-Parlamentets og Rådets direktiv 2009/65/EF 
(
16
)
 og 2011/61/EU 
(
17
)
. Fordi fonde kan oprettes uden status som juridisk person, er det også nødvendigt at inkludere deres forvaltere i anvendelsesområdet for denne forordning. Kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme bør finde anvendelse, uanset hvordan andele eller aktier i en fond gøres tilgængelige med henblik på køb i Unionen, herunder hvis andele eller aktier udbydes direkte eller indirekte til investorer, der er etableret i Unionen, eller placeres hos sådanne investorer på forvalterens initiativ eller på forvalterens vegne. Eftersom både fonde og fondsforvaltere er omfattet af kravene til bekæmpelse af hvidvask af penge og finansiering af terrorisme, er det hensigtsmæssigt at præcisere, at overlapning bør undgås. Med henblik herpå bør de foranstaltninger til bekæmpelse af hvidvask af penge og finansiering af terrorisme, der træffes på fondens niveau og på dens forvalters niveau, ikke være de samme, men bør afspejle opgavefordelingen mellem fonden og dens forvalter.
(24)
Professionelle fodboldklubbers og fodboldagenters aktiviteter er udsat for risici for hvidvask af penge og de underliggende lovovertrædelser på grund af flere faktorer, der er uløseligt forbundet med fodboldsektoren, såsom fodboldens globale popularitet, de betydelige pengesummer, pengestrømme og finansielle interesser, der er involveret, den overvejende brug af grænseoverskridende transaktioner og de somme tider uigennemsigtige ejerskabsstrukturer. Alle disse faktorer udsætter fodbold for muligt misbrug fra kriminelles side med henblik på at lovliggøre ulovlige midler og gør dermed sporten sårbar over for hvidvask af penge og de underliggende lovovertrædelser. Vigtigste risikoområder omfatter f.eks. transaktioner med investorer og sponsorer, herunder annoncører, samt transfer af spillere. Professionelle fodboldklubber og fodboldagenter bør derfor indføre solide foranstaltninger til bekæmpelse af hvidvask af penge, herunder kundekendskabsprocedurer over for investorer, sponsorer, herunder annoncører, og andre partnere og modparter, som de har transaktioner med. For at undgå en uforholdsmæssig stor byrde for mindre klubber, der er mindre udsatte for kriminelt misbrug, bør medlemsstaterne på grundlag af en dokumenteret meget lav risiko for hvidvask af penge, de underliggende lovovertrædelser og finansiering af terrorisme kunne fritage visse professionelle fodboldklubber fra kravene i denne forordning, enten helt eller delvist.
(25)
De aktiviteter, som professionelle fodboldklubber, der spiller i øverste division i deres nationale fodboldturneringer, udøver, gør dem mere udsatte for højere risici for hvidvask af penge og de underliggende lovovertrædelser sammenlignet med fodboldklubber, der spiller i lavere divisioner. For eksempel deltager topfodboldklubber i mere omfattende finansielle transaktioner, såsom transfer af spillere og sponsoraftaler af høj værdi, de kan have mere komplekse virksomhedsstrukturer med mange ejerskabslag, og der er større sandsynlighed for, at de deltager i grænseoverskridende transaktioner. Disse faktorer gør sådanne topklubber mere attraktive for kriminelle og giver flere muligheder for at skjule ulovlige midler. Medlemsstaterne bør derfor kun kunne fritage professionelle fodboldklubber, som spiller i øverste division, hvis der er en dokumenteret lav risiko og forudsat, at sådanne klubber i hvert af de to foregående år har en omsætning på under 5 000 000 EUR eller et tilsvarende beløb i national valuta. Risikoen for hvidvask af penge afhænger dog ikke kun af, hvilken division en fodboldklub spiller i. Klubber i lavere divisioner kan også være udsat for betydelige risici for hvidvask af penge og de underliggende lovovertrædelser. Medlemsstaterne bør derfor kun kunne undtage fodboldklubber i lavere divisioner fra kravene i denne forordning, hvis de har en dokumenteret lav risiko for hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme.
(26)
Denne forordning harmoniserer de foranstaltninger, der skal indføres for at forebygge hvidvask af penge, de underliggende lovovertrædelser og finansiering af terrorisme på EU-plan. Samtidig bør medlemsstaterne i overensstemmelse med den risikobaserede tilgang kunne indføre yderligere krav i begrænsede tilfælde, hvor de står over for særlige risici. For at sikre, at sådanne risici afbødes tilstrækkeligt, bør forpligtede enheder, hvis hovedsæde er beliggende i en anden medlemsstat, anvende sådanne yderligere krav, uanset om de opererer i denne anden medlemsstat efter reglerne om etableringsfrihed eller reglerne om fri udveksling af tjenesteydelser, forudsat at de har en infrastruktur i denne anden medlemsstat. For at afklare forholdet mellem disse friheder i det indre marked er det desuden vigtigt at præcisere, hvilke aktiviteter der udgør et etableringssted.
(27)
I overensstemmelse med EU-Domstolens retspraksis behøver et etableringssted, medmindre det specifikt er fastsat i sektorspecifik lovgivning, ikke at have form af et datterselskab, en filial eller et agentur, men kan bestå af et kontor, der ledes af en forpligtet enheds eget personale eller af en person, der er uafhængig, men bemyndiget til at handle permanent for den forpligtede enhed. Ifølge denne definition, der kræver faktisk udøvelse af erhvervsvirksomhed på tjenesteyderens etableringssted, kan en postkasse ikke udgøre et etableringssted. Tilsvarende udgør kontorer eller anden infrastruktur, der anvendes til støtte for virksomheden, såsom rene backoffice-operationer, IT-knudepunkter eller datacentre, der drives af forpligtede enheder, ikke et etableringssted. Omvendt udgør aktiviteter som levering af kryptoaktivtjenester gennem hæveautomater et etableringssted i betragtning af det begrænsede fysiske udstyr, der er nødvendigt for operatører, der hovedsagelig betjener deres kunder via internettet, således som det er tilfældet for udbydere af kryptoaktivtjenester.
(28)
Det er vigtigt, at kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme finder anvendelse på en forholdsmæssig måde, og at indførelsen af eventuelle krav står i rimeligt forhold til den rolle, som forpligtede enheder kan spille i forbindelse med forebyggelse af hvidvask af penge og finansiering af terrorisme. Med henblik herpå bør det være muligt for medlemsstaterne i overensstemmelse med den risikobaserede tilgang i denne forordning at undtage visse operatører fra kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme, hvis de aktiviteter, som de udøver, indebærer begrænsede risici for hvidvask af penge og finansiering af terrorisme, og hvis aktiviteterne er af begrænset omfang. For at sikre gennemsigtig og ensartet anvendelse af sådanne undtagelser i hele Unionen bør der indføres en mekanisme, som giver Kommissionen mulighed for at kontrollere, hvorvidt de undtagelser, som skal indrømmes, er nødvendige. Kommissionen bør ligeledes hvert år offentliggøre sådanne undtagelser i 
Den Europæiske Unions Tidende
.
(29)
Et sæt ensartede regler for internationale systemer og kontroller, som finder anvendelse på alle forpligtede enheder, der driver virksomhed i det indre marked, vil styrke overholdelsen af reglerne for bekæmpelse af hvidvask af penge og finansiering af terrorisme og gøre tilsynet mere effektivt. For at sikre den fornødne afbødning af risici for hvidvask af penge og finansiering af terrorisme samt risici for manglende gennemførelse eller omgåelse af målrettede finansielle sanktioner bør forpligtede enheder indføre en intern kontrolramme, der består af risikobaserede politikker, procedurer og kontroller og en klar fordeling af ansvarsområder i hele organisationen. I overensstemmelse med den risikobaserede tilgang i denne forordning, bør disse politikker, procedurer og kontroller stå i rimeligt forhold til virksomhedens art, herunder dens risici og kompleksitet, og den forpligtede enheds størrelse og imødegå de risici for hvidvask af penge og finansiering af terrorisme, som enheden står over for, herunder, for udbydere af kryptoaktivtjenester, transaktioner med selvhostede tegnebøger.
(30)
En passende risikobaseret tilgang kræver, at forpligtede enheder identificerer de iboende risici for hvidvask af penge og finansiering af terrorisme samt risici for manglende gennemførelse eller omgåelse af målrettede finansielle sanktioner, som de står over for i kraft af deres virksomhed, for effektivt at afbøde dem og sikre, at deres politikker, procedurer og interne kontroller er egnede til at imødegå disse iboende risici. I forbindelse hermed bør forpligtede enheder tage hensyn til deres kunders karakteristika, de produkter, tjenesteydelser eller transaktioner, der tilbydes, herunder, for udbydere af kryptoaktivtjenester, transaktioner med selvhostede adresser, de berørte lande eller geografiske områder og de anvendte distributionskanaler. I lyset af risicis skiftende karakter bør en sådan risikovurdering ajourføres regelmæssigt.
(31)
Med henblik på at støtte en konsekvent og effektiv tilgang til forpligtede enheders identifikation af risici, der påvirker deres virksomhed, bør AMLA udstede retningslinjer for minimumskrav til indholdet af risikovurderingen på virksomhedsplan og yderligere informationskilder, der skal tages i betragtning. Disse kilder vil kunne omfatte oplysninger fra internationale standardsættere på området bekæmpelse af hvidvask af penge og finansiering af terrorisme, såsom FATF's gensidige evalueringsrapporter, og andre troværdige og pålidelige kilder, der giver oplysninger om typologier, nye risici og kriminelle handlinger, herunder korruption, såsom rapporter fra civilsamfundsorganisationer, medier og den akademiske verden.
(32)
Der bør tages hensyn til de karakteristika og behov, der gør sig gældende for mindre forpligtede enheder, og der bør sikres en passende behandling i forhold til deres særlige behov og virksomhedens art. Dette kan indebære undtagelse af visse forpligtede enheder fra at foretage en risikovurdering, hvis der er god forståelse af risiciene i den sektor, som enheden opererer i.
(33)
FATF har udarbejdet standarder for jurisdiktioner med henblik på at identificere og vurdere risici for potentiel manglende gennemførelse eller omgåelse af de målrettede finansielle sanktioner vedrørende proliferationsfinansiering og tage tiltag for at afbøde disse risici. Disse nye standarder, som FATF har indført, erstatter eller undergraver ikke de eksisterende strenge krav til lande om at gennemføre målrettede finansielle sanktioner for at overholde De Forenede Nationers Sikkerhedsråds (»FN's Sikkerhedsråds«) relevante resolutioner om forebyggelse, bekæmpelse og afbrydelse af spredning af masseødelæggelsesvåben og finansieringen heraf. Disse eksisterende forpligtelser, som gennemført på EU-plan ved Rådets afgørelse 2010/413/FUSP 
(
18
)
 og (FUSP) 2016/849 
(
19
)
 samt Rådets forordning (EU) nr. 267/2012 
(
20
)
 og (EU) 2017/1509 
(
21
)
, er fortsat bindende for alle fysiske og juridiske personer i Unionen. I betragtning af de specifikke risici for manglende gennemførelse og omgåelse af målrettede finansielle sanktioner, som Unionen er udsat for, er det hensigtsmæssigt at udvide risikovurderingen til at omfatte alle målrettede finansielle sanktioner, der vedtages på EU-plan. Den risikofølsomme karakter af foranstaltninger til bekæmpelse af hvidvask af penge og finansiering af terrorisme, der vedrører målrettede finansielle sanktioner, fjerner ikke den regelbaserede forpligtelse, der påhviler alle fysiske eller juridiske personer i Unionen, til at indefryse og til hverken direkte eller indirekte at stille pengemidler eller andre aktiver til rådighed for listeopførte personer eller enheder.
(34)
For at sikre, at risikoen for manglende gennemførelse eller omgåelse af målrettede finansielle sanktioner afbødes på passende vis, er det vigtigt at fastsætte foranstaltninger, som forpligtede enheder skal gennemføre, herunder foranstaltninger til at kontrollere deres kundegrundlag i forhold til listerne over personer eller enheder, der er listeopført i henhold til målrettede finansielle sanktioner. De krav, der påhviler forpligtede enheder i henhold til denne forordning, fjerner ikke den regelbaserede forpligtelse til at indefryse og til hverken direkte eller indirekte at stille pengemidler og andre aktiver til rådighed for enkeltpersoner eller enheder omfattet af målrettede finansielle sanktioner, som gælder for alle fysiske eller juridiske personer i Unionen. Desuden har kravene i denne forordning ikke til formål at erstatte forpligtelser vedrørende screening af kunder med henblik på gennemførelse af målrettede finansielle sanktioner i henhold til andre EU-retsakter eller national ret.
(35)
For at afspejle den seneste udvikling på internationalt plan skal der ved denne forordning indføres et krav for forpligtede enheder om at identificere, forstå, styre og afbøde risici for potentiel manglende gennemførelse eller omgåelse af målrettede finansielle sanktioner.
(36)
FN's Sikkerhedsråds eller FN's sanktionskomités listeopførelse eller udpegelse af personer eller enheder indarbejdes i EU-retten ved afgørelser og forordninger vedtaget i henhold til henholdsvis artikel 29 i traktaten om Den Europæiske Union (TEU) og artikel 215 i traktaten om Den Europæiske Unions funktionsmåde (TEUF), hvorved sådanne personer og enheder pålægges målrettede finansielle sanktioner. Proceduren for vedtagelse af sådanne retsakter på EU-plan kræver kontrol af, at enhver udpegelse eller opførelse på listen er i overensstemmelse med de grundlæggende rettigheder i henhold til chartret. Mellem tidspunktet for FN's offentliggørelse og ikrafttrædelsen af de EU-retsakter, der gennemfører FN's lister eller udpegelser, bør forpligtede enheder for at muliggøre en effektiv anvendelse af målrettede finansielle sanktioner føre fortegnelser over de midler eller andre aktiver, de indehaver for kunder, der er listeopført eller udpeget i henhold til FN's finansielle sanktioner, eller kunder, der ejes eller kontrolleres af personer eller enheder, der er listeopført, ethvert forsøg på transaktion og transaktioner, der gennemføres for kunden såsom. til opfyldelse af kundens basale behov.
(37)
Ved vurderingen af, om en kunde, der er en juridisk enhed, ejes eller kontrolleres af personer, der er udpeget i henhold til målrettede finansielle sanktioner, bør forpligtede enheder tage hensyn til Rådets retningslinjer for gennemførelse og evaluering af restriktive foranstaltninger (sanktioner) inden for rammerne af Unionens fælles udenrigs- og sikkerhedspolitik og de bedste praksis for den faktiske gennemførelse af restriktive foranstaltninger.
(38)
Det er vigtigt, at forpligtede enheder træffer alle foranstaltninger på ledelsesniveau for at gennemføre interne politikker, procedurer og kontroller og for at gennemføre kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme. Samtidig med at der bør udpeges et medlem af ledelsesorganet, som har ansvar for at gennemføre den forpligtede enheds interne politikker, procedurer og kontroller, ligger ansvaret for overholdelse af kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme i sidste ende hos enhedens ledelsesorgan. Denne ansvarsfordeling bør ikke berøre nationale bestemmelser om ledelsesorganers fælles civil- eller strafferetlige ansvar. Opgaver, der vedrører den daglige gennemførelse af den forpligtede enheds interne politikker, procedurer og kontroller for bekæmpelse af hvidvask af penge og finansiering af terrorisme, bør varetages af compliancemedarbejderen.
(39)
Det bør være muligt for hver medlemsstat at fastsætte i sin nationale ret, at en forpligtet enhed, der er underlagt tilsynsregler, der kræver udpegelse af en compliancemedarbejder eller en leder af den interne revisionsfunktion, kan overdrage compliancemedarbejderens for bekæmpelse af hvidvask af penge og finansiering af terrorisme funktioner og ansvarsområder og den interne revisionsfunktion med henblik på bekæmpelse af hvidvask af penge og finansiering af terrorisme til disse personer. I tilfælde med højere risici, eller hvis den forpligtede enheds størrelse berettiger det, bør det være muligt, at ansvaret for compliancekontroller og den daglige håndtering af den forpligtede enheds politikker og procedurer for bekæmpelse af hvidvask af penge og finansiering af terrorisme varetages af to forskellige personer.
(40)
For at sikre den faktiske gennemførelse af foranstaltningerne for bekæmpelse af hvidvask af penge og finansiering af terrorisme er det også vigtigt, at de ansatte i forpligtede enheder samt deres agenter og distributører, som deltager i gennemførelsen af dem, forstår de krav og de interne politikker, procedurer og kontroller, som enheden har indført. Forpligtede enheder bør indføre foranstaltninger, herunder uddannelsesprogrammer, til dette formål. Forpligtede enheder bør om nødvendigt tilbyde grundlæggende uddannelse i foranstaltninger til bekæmpelse af hvidvask af penge og finansiering af terrorisme til alle dem, der deltager i gennemførelsen af sådanne foranstaltninger. Dette omfatter ikke blot ansatte i forpligtede enheder, men også deres agenter og distributører.
(41)
Enkeltpersoner, som har fået overdraget opgaver, der vedrører en forpligtet enheds overholdelse af kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme, bør gøres til genstand for en vurdering af deres kvalifikationer, viden, ekspertise, integritet og adfærd. Det kan føre til interessekonflikter og undergrave systemets integritet, hvis ansatte varetager opgaver i forbindelse med den forpligtede enheds overholdelse af rammen for bekæmpelse af hvidvask af penge og finansiering af terrorisme, som vedrører kunder, med hvem de har en tæt privat forbindelse eller forretningsforbindelse. Sådanne forbindelser kan eksistere på tidspunktet for etableringen af forretningsforbindelsen, men kan også opstå derefter. Derfor bør forpligtede enheder have indført procedurer til håndtering og imødegåelse af interessekonflikter. Disse procedurer bør sikre, at ansatte forhindres i at varetage opgaver i forbindelse med den forpligtede enheds overholdelse af rammen for bekæmpelse af hvidvask af penge og finansiering af terrorisme i forhold til sådanne kunder.
(42)
Situationer kunne opstå, hvor enkeltpersoner, der betragtes som forpligtede enheder, leverer deres tjenester internt til virksomheder, hvis aktiviteter ikke falder ind under denne forordnings anvendelsesområde. Da disse virksomheder ikke fungerer som gatekeepere i forhold til Unionens finansielle system, er det vigtigt at præcisere, at sådanne ansatte, f.eks. interne advokater, ikke er omfattet af kravene i denne forordning. Tilsvarende bør enkeltpersoner, der udfører aktiviteter, der er omfattet af denne forordnings anvendelsesområde, ikke i sig selv betragtes som forpligtede enheder, når disse aktiviteter udføres i forbindelse med deres ansættelse hos en forpligtet enhed, f.eks. i tilfælde af advokater eller revisorer, der er ansat i et advokatfirma eller et revisionsfirma.
(43)
En ensartet gennemførelse af politikker og procedurer for bekæmpelse af hvidvask af penge og finansiering af terrorisme på koncernplan er afgørende for en robust og effektiv styring af risici for hvidvask af penge og finansiering af terrorisme i en koncern. Med henblik herpå bør moderselskabet vedtage og gennemføre politikker, procedurer og kontroller på koncernplan. Enheder i en koncern bør være forpligtet til at udveksle oplysninger, når en sådan deling er relevant for at forhindre hvidvask af penge og finansiering af terrorisme. Udveksling af oplysninger bør være omfattet af tilstrækkelige garantier med hensyn til fortrolighed, databeskyttelse og anvendelse af oplysninger. AMLA bør have til opgave at udarbejde udkast til reguleringsmæssige standarder, der præciserer minimumskravene til procedurer og politikker på koncernplan, herunder minimumsstandarder for udveksling af oplysninger internt i en koncern og kriterier for identifikation af moderselskaber for koncerner, hvis hovedsæde er beliggende uden for Unionen.
(44)
For at sikre en effektiv anvendelse af kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme på flere forpligtede enheder, som er direkte eller indirekte forbundet med hinanden og udgør eller er en del af en koncern, er det nødvendigt at overveje den bredest mulige definition af en koncern. Med henblik herpå bør forpligtede enheder følge gældende regnskabsregler, som gør det muligt at betragte strukturer med forskellige typer økonomiske forbindelser som koncerner. Mens en traditionel koncern omfatter et moderselskab og dets datterselskaber, er andre typer koncernstrukturer lige så relevante, f.eks. koncernstrukturer med flere moderselskaber, der ejer et enkelt datterselskab, der i artikel 10 i Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 
(
22
)
 er blevet omtalt som enheder, som er fast tilknyttet et centralt organ, eller finansieringsinstitutter, der er medlemmer af den samme institutsikringsordning, jf. nævnte forordnings artikel 113, stk. 7. Alle disse strukturer er koncerner i henhold til regnskabsreglerne og bør derfor betragtes som koncerner i forbindelse med nærværende forordning.
(45)
Foruden koncerner findes der andre strukturer såsom netværk eller partnerskaber, inden for hvilke forpligtede enheder kan have fælles ejerskab, ledelse og compliancekontroller. For at sikre lige konkurrencevilkår på tværs af alle sektorer, samtidig med at disse sektorer ikke overbebyrdes, bør AMLA identificere de situationer, hvor lignende politikker på koncernplan skal finde anvendelse på sådanne strukturer, under hensyntagen til proportionalitetsprincippet.
(46)
Der er omstændigheder, hvor forpligtede enheders filialer og datterselskaber er beliggende i tredjelande, hvor minimumskravene til bekæmpelse af hvidvask af penge og finansiering af terrorisme, herunder databeskyttelsesforpligtelserne, er mindre strenge end i Unionens ramme for bekæmpelse af hvidvask af penge og finansiering af terrorisme. I sådanne situationer og med henblik på fuldt ud at forhindre, at Unionens finansielle system bruges til hvidvask af penge og finansiering af terrorisme og for at sikre den højeste standard for beskyttelse af unionsborgeres personoplysninger, bør sådanne filialer og datterselskaber overholde de krav for bekæmpelse af hvidvask af penge og finansiering af terrorisme, der er fastsat på EU-plan. Når et tredjelands ret ikke tillader, at disse krav kan overholdes, f.eks. på grund af begrænsninger i koncernens evne til at opnå adgang til, behandle eller udveksle oplysninger som følge af et utilstrækkeligt databeskyttelsesniveau eller dette tredjelands ret om bankhemmelighed, bør forpligtede enheder træffe yderligere foranstaltninger til at sikre, at filialer og datterselskaber, som er beliggende i det pågældende land, håndterer disse risici på effektiv vis. AMLA bør pålægges at udarbejde udkast til reguleringsmæssige tekniske standarder, der præciserer typen af sådanne yderligere foranstaltninger. under hensyntagen til proportionalitetsprincippet.
(47)
Forpligtede enheder kan outsource opgaver vedrørende opfyldelsen af visse krav til en tjenesteudbyder for bekæmpelse af hvidvask af penge og finansiering af terrorisme. I tilfælde af outsourcingforhold på kontraktbasis mellem forpligtede enheder og tjenesteudbydere, der ikke er omfattet af kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme, opstår disse tjenesteudbyderes eventuelle forpligtelser for bekæmpelse af hvidvask af penge og finansiering af terrorisme kun på grundlag af kontrakten mellem parterne og ikke på grundlag af denne forordning. Derfor påhvilet ansvaret for overholdelse af kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme helt og holdent den forpligtede enhed. Den forpligtede enhed bør navnlig sikre, at den risikobaserede tilgang følges, når der inddrages en tjenesteudbyder med henblik på identifikation af kunder på afstand. Procedurer eller ordninger, der bidrager til opfyldelsen af et krav i henhold til denne forordning, men hvor selve opfyldelsen af kravet ikke udføres af en tjenesteudbyder, f.eks. den forpligtede enheds anvendelse eller erhvervelse af tredjepartssoftware eller den forpligtede enheds adgang til databaser eller screeningtjenester, anses ikke for at være outsourcing.
(48)
Muligheden for at outsource opgaver til en tjenesteudbyder giver forpligtede enheder mulighed for at beslutte, hvordan deres ressourcer skal fordeles med henblik på at overholde denne forordning, men fritager dem ikke for deres forpligtelse til at forstå, hvorvidt de foranstaltninger, de træffer, herunder dem, der er outsourcet til tjenesteudbydere, afbøder de identificerede risici for hvidvask af penge og finansiering af terrorisme, og hvorvidt sådanne foranstaltninger er passende. For at sikre, at en sådan forståelse er til stede, bør de endelige afgørelser om foranstaltninger, der har indflydelse på gennemførelsen af politikker, procedurer og kontroller, altid ligge hos den forpligtede enhed.
(49)
Underretningen af tilsynsorganet om outsourcingordninger indebærer ikke accept af outsourcingordningen. Tilsynsorganer kan dog, navnlig når kritiske funktioner outsources, eller når den forpligtede enhed systematisk outsourcer sine funktioner, tage den oplysning, der er indeholdt i denne underretning, i betragtning ved vurderingen af den forpligtede enheds systemer og kontroller og ved fastlæggelsen af residual risikoprofil eller som forberedelse til kontrolbesøg.
(50)
For at outsourcingforhold fungerer effektivt, er der behov for yderlige præcisering af de vilkår, på hvilke outsourcing finder sted. AMLA bør pålægges at udarbejde retningslinjer om de vilkår, på hvilke outsourcing kan finde sted, samt de respektive parters roller og ansvarsområder. Med henblik på at sikre konsekvent tilsyn med anvendelse af outsourcing i hele Unionen, bør retningslinjerne også præcisere, hvordan tilsynsorganerne skal tage hensyn til sådan praksis og kontrollere, at kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme overholdes, når forpligtede enheder anvender denne praksis.
(51)
Kundekendskabskrav er afgørende for at sikre, at forpligtede enheder identificerer, kontrollerer og overvåger deres forretningsforbindelser med kunderne for så vidt angår de risici for hvidvask af penge og finansiering af terrorisme, som de udgør. Nøjagtig identifikation og kontrol af data fra potentielle og eksisterende kunder er afgørende for at kunne forstå de risici for hvidvask af penge og finansiering af terrorisme, som er forbundet med kunder, uanset om de er fysiske eller juridiske personer. Forpligtede enheder bør også forstå, på hvis vegne eller til hvis fordel en transaktion gennemføres, f.eks. i situationer, hvor kreditinstitutter eller finansieringsinstitutter stiller konti til rådighed for retlige aktører med henblik på at modtage eller opbevare deres kunders midler som defineret i artikel 4, nr. 25), i direktiv (EU) 2015/2366. I forbindelse med kundekendskabsprocedurer forstås ved den person, til hvis fordel en transaktion eller aktivitet udføres, ikke modtageren eller den begunstigede ved en transaktion, som den forpligtede enhed gennemfører for sin kunde.
(52)
Det er nødvendigt at opnå en ensartet og høj standard for kundekendskabsprocedurer i Unionen, som beror på harmoniserede krav til identifikation af kunder og kontrol af deres identitet, og som reducerer nationale forskelle, således at der kan sikres lige konkurrencevilkår i hele det indre marked og ensartet anvendelse af bestemmelserne i hele Unionen. Samtidig er det yderst vigtigt, at forpligtede enheder anvender kundekendskabsprocedurer på en risikobaseret måde. Den risikobaserede tilgang er ikke ensbetydende med en unødigt eftergivende adfærd hos de forpligtede enheder. Den indebærer, at der gøres brug af evidensbaseret beslutningstagning, således at der mere effektivt kan fokuseres på de risici for hvidvask af penge og finansiering af terrorisme, som Unionen og de personer, som driver virksomhed i Unionen, står over for.
(53)
Civilsamfundsorganisationer, der udfører velgørende eller humanitært arbejde i tredjelande, bidrager til Unionens mål om at opnå fred, stabilitet, demokrati og velstand. Kreditinstitutter og finansieringsinstitutter spiller en vigtig rolle med hensyn til at sikre, at sådanne organisationer fortsat kan udføre deres arbejde, ved at give adgang til det finansielle system og vigtige finansielle tjenesteydelser, der gør det muligt at kanalisere udviklingsbistand og humanitær bistand til udviklings- eller konfliktområder. Selv om forpligtede enheder bør være opmærksomme på, at aktiviteter, der udføres i visse jurisdiktioner, udsætter dem for en større risiko for hvidvask af penge eller finansiering af terrorisme, bør civilsamfundsorganisationers aktiviteter i disse jurisdiktioner ikke i sig selv føre til afvisning af at levere finansielle tjenesteydelser eller indstilling af sådanne tjenesteydelser, da den risikobaserede tilgang kræver en helhedsvurdering af de risici, som individuelle forretningsforbindelser udgør, og anvendelse af passende foranstaltninger til at afbøde de specifikke risici. Selv om kreditinstitutter og finansieringsinstitutter fortsat frit kan beslutte, hvem de indgår i kontraktforhold med, bør de også være opmærksomme på deres centrale rolle i det internationale finansielle systems funktion og med hensyn til at muliggøre flytning af midler som defineret i artikel 4, nr. 25), i direktiv (EU) 2015/2366 eller af kryptoaktiver med henblik på de vigtige udviklingsmål og humanitære mål, som civilsamfundsorganisationer forfølger. Sådanne institutter bør derfor gøre brug af den fleksibilitet, som den risikobaserede tilgang giver mulighed for, til at afbøde de risici, der er forbundet med forretningsforbindelser, på en forholdsmæssig måde. Kommercielle beslutninger vedrørende potentielle eller eksisterende kunder bør under ingen omstændigheder begrundes med bekæmpelse af hvidvask af penge og finansiering af terrorisme.
(54)
Forpligtede enheder bør identificere og træffe rimelige foranstaltninger til at kontrollere identiteten af den reelle ejer ved hjælp af pålidelige dokumenter og kildeoplysninger. Søgningen i centrale registre over reelt ejerskab (»centrale registre«) giver forpligtede enheder mulighed for at sikre overensstemmelse med oplysninger, der indhentes gennem kontrolproceduren, og bør ikke være den forpligtede enheds primære kilde til kontrol. Hvor forpligtede enheder konstaterer uoverensstemmelser mellem oplysningerne i centrale registre og de oplysninger, de indhenter fra kunden eller andre pålidelige kilder i forbindelse med kundekendskabsprocedurer, bør de indberette disse uoverensstemmelser til den enhed, der er ansvarlig for det relevante centrale register, således at der kan træffes foranstaltninger til at afhjælpe uoverensstemmelser. Denne procedure bidrager til kvaliteten og pålideligheden af de oplysninger, der opbevares i centrale registre, som led i en flerstrenget tilgang til at sikre, at oplysningerne i registre over reelt ejerskab er nøjagtige, tilstrækkelige og ajourførte. I lavrisikosituationer, og hvor den forpligtede enhed har kendskab til de reelle ejere, bør det være muligt for forpligtede enheder at tillade kunden at angive uoverensstemmelser, hvis der konstateres mindre forskelle i form af fejl af typografisk eller lignende teknisk art.
(55)
De risici, der er forbundet med udenlandske juridiske enheder og udenlandske juridiske arrangementer, skal afbødes på passende vis. Hvis en juridisk enhed, der er oprettet uden for Unionen, eller en viljesbestemt trust eller lignende juridisk arrangement, der forvaltes uden for Unionen, eller hvis trustforvalter eller person i en tilsvarende stilling har bopæl eller er etableret uden for Unionen, er ved at indgå forretningsforbindelse med en forpligtet enhed, bør registrering af oplysningerne om reelt ejerskab i en medlemsstats centrale register være en betingelse for indgåelse af forretningsforbindelser. For juridiske enheder, der er oprettede uden for Unionen, bør kravet dog kun finde anvendelse i tilfælde af middelhøj eller høj risiko for hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme, der er forbundet med den pågældende kategori af udenlandske juridiske enheder, den sektor, som den udenlandske juridiske enhed opererer i, eller de risici, der er forbundet med den sektor, som den forpligtede enhed opererer, eller i tilfælde af middelhøj eller høj risiko for hvidvask af penge, dens underliggende lovovertrædelser eller finansiering af terrorisme i forbindelse med den sektor, hvor den forpligtede enhed opererer. Registrering af oplysninger om den reelle ejer bør også være en forudsætning for fortsættelse af forretningsforbindelsen med juridisk enhed, der er oprettet uden for Unionen, i en situation, hvor denne forretningsforbindelse bliver forbundet med middelhøj eller høj risiko efter dennes etablering.
(56)
Processen med at etablere en forretningsforbindelse eller gennemføre de skridt, der er nødvendige for at gennemføre en lejlighedsvis transaktion, udløses, når kunden udtrykker interesse i at erhverve et produkt eller modtage en tjenesteydelse fra en forpligtet enhed. De tjenesteydelser, der tilbydes af ejendomsmæglere, omfatter bistand til kunden med at finde en ejendom med henblik på køb, salg, leje eller leasing. Sådanne tjenesteydelser bliver relevante for bekæmpelse af hvidvask af penge og finansiering af terrorisme, når der er klare tegn på, at parterne er villige til at gennemføre købet, salget, lejeforholdet eller leasingforholdet eller træffe de nødvendige forberedende skridt. Det kunne f.eks. være det tidspunkt, hvor der afgives et tilbud om køb eller leje af ejendommen, og det accepteres af parterne. Forud for det tidspunkt ville det ikke være nødvendigt at gennemføre kundekendskabsprocedurer over for potentielle kunder. Tilsvarende ville det ikke være forholdsmæssigt at gennemføre kundekendskabsprocedurer over for personer, der endnu ikke har udtrykt interesse for at gå videre med køb eller leje af en bestemt ejendom.
(57)
Transaktioner vedrørende fast ejendom er udsat for risici for hvidvask af penge og finansiering af terrorisme. For at afbøde disse risici bør aktører i forbindelse med fast ejendom, der formidler køb, salg og udlejning af fast ejendom, være omfattet af kravene i denne forordning, uanset deres betegnelse eller hovedvirksomhed eller erhverv, herunder ejendomsudviklere, når og i det omfang de formidler køb, salg og udlejning af fast ejendom.
(58)
Den anonymitet, der er forbundet med visse elektroniske pengeprodukter, udsætter dem for risici for hvidvask af penge og finansiering af terrorisme. Der er imidlertid betydelige forskelle på tværs af sektoren, og ikke alle elektroniske pengeprodukter har samme risikoniveau. For eksempel kunne visse elektroniske pengeprodukter med lav værdi, såsom forudbetalte gavekort eller forudbetalte vouchere, udgøre en lav risiko for hvidvask af penge eller finansiering af terrorisme. For at sikre, at de krav, der pålægges sektoren, står i et rimeligt forhold til dens risiko og ikke reelt hæmmer dens funktion, bør det under i visse tilfælde med dokumenteret lav risiko og under strenge risikobegrænsende betingelser være muligt at undtage disse produkter fra visse kundekendskabsprocedurer, såsom identifikation og kontrol af kunden og den reelle ejer, men ikke fra overvågning af transaktioner eller forretningsforbindelser. Det bør kun være muligt for tilsynsorganer at indrømme en sådan undtagelse efter kontrol af den dokumenterede lave risiko under hensyntagen til relevante risikofaktorer, der skal defineres af AMLA, og på en måde, der effektivt afbøder enhver risiko for hvidvask af penge eller finansiering af terrorisme, og som udelukker omgåelse af reglerne for bekæmpelse af hvidvask af penge og finansiering af terrorisme. Under alle omstændigheder bør enhver undtagelse være betinget af strenge grænser med hensyn til produktets maksimale værdi og dets eksklusive anvendelse til køb af varer eller tjenesteydelser, og forudsat at det lagrede beløb ikke kan veksles til en anden værdi.
(59)
Forpligtede enheder bør ikke være forpligtet til at gennemføre kundekendskabsprocedurer over for kunder, som gennemfører lejlighedsvise eller indbyrdes forbundne transaktioner under en vis værdi, medmindre der er mistanke om hvidvask af penge eller finansiering af terrorisme. Mens tærsklen på 10 000 EUR eller et tilsvarende beløb i national valuta finder anvendelse for de fleste lejlighedsvise transaktioner, bør forpligtede enheder, som driver virksomhed i sektorer eller gennemfører transaktioner, der er forbundet med en højere risiko for hvidvask af penge og finansiering af terrorisme, være forpligtet til at gennemføre kundekendskabsprocedurer ved transaktioner med lavere tærskler. For at identificere disse sektorer eller transaktioner samt de fornødne tærskler for sådanne sektorer eller transaktioner bør AMLA udarbejde særlige udkast til reguleringsmæssige tekniske standarder.
(60)
Der er særlige situationer, hvor kunder i forbindelse med kundekendskabsprocedurer ikke er begrænset til den person, der gennemfører en transaktion med den forpligtede enhed. Dette er f.eks. tilfældet, når kun én notar er involveret i en transaktion vedrørende fast ejendom. For at sikre, at der foretages passende kontrol af transaktionen for at opdage mulige tilfælde af hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme bør forpligtede enheder i sådanne tilfælde betragte både køberen og sælgeren som kunder og gennemføre kundekendskabsprocedurer over for begge parter. Denne forordning bør indeholde en liste over sådanne tilfælde, hvor kunder ikke er eller ikke er begrænset til den forpligtede enheds direkte kunde. En sådan liste bør supplere forståelsen af, hvem der er kunde i typiske situationer, og bør ikke forstås som en udtømmende fortolkning af begrebet. Tilsvarende bør en forretningsforbindelse ikke altid kræve et kontraktforhold eller en anden formel forpligtelse, så længe tjenesteydelserne leveres gentagne gange eller over en periode, således at de indebærer et element af varighed. Hvor national ret udelukker forpligtede enheder, der er offentligt ansatte, fra at indgå kontraktforhold med kunder, bør sådan national ret ikke fortolkes således, at sådanne forpligtede enheder forbydes at behandle en række transaktioner som en forretningsforbindelse med henblik på bekæmpelse af hvidvask af penge og finansiering af terrorisme.
(61)
Indførelsen af en EU-dækkende grænse for store kontantbetalinger mindsker de risici, der er forbundet med anvendelsen af sådanne betalinger. Forpligtede enheder, der foretager kontanttransaktioner under dette beløb, er dog fortsat sårbare over for risici for hvidvask af penge og finansiering af terrorisme, da de giver adgang til Unionens finansielle system. Det er derfor nødvendigt at kræve, at der anvendes kundekendskabsprocedurer for at mindske risikoen for misbrug af kontanter. For at sikre, at procedurerne står i et rimeligt forhold til de risici, der er forbundet med transaktioner med en værdi på under 10 000 EUR, bør sådanne procedurer begrænses til identifikation og kontrol af kunden og den reelle ejer, når der udføres lejlighedsvise kontanttransaktioner på mindst 3 000 EUR. Denne begrænsning fritager ikke den forpligtede enhed fra at anvende alle kundekendskabsprocedurer, når der er mistanke om hvidvask af penge eller finansiering af terrorisme, eller fra at indberette mistænkelige transaktioner til FIU'en.
(62)
Nogle forretningsmodeller er baseret på, at den forpligtede enhed har en forretningsforbindelse med en forretningsdrivende for at kunne tilbyde betalingsinitieringstjenester, gennem hvilke den forretningsdrivende modtager betaling for leveringen af varer eller tjenesteydelser, og ikke med den forretningsdrivendes kunder, som bemyndiger betalingsinitieringstjenesten til at iværksætte en enkelt transaktion eller en engangstransaktion til den forretningsdrivende. Med henblik på reglerne for bekæmpelse af hvidvask af penge og finansiering af terrorisme i en sådan forretningsmodel er den forpligtede enheds kunde den forretningsdrivende og ikke den forretningsdrivendes kunde. Derfor bør den forpligtede enhed med hensyn til betalingsinitieringstjenester anvende kundekendskabsprocedurer i forbindelse med kunder i forhold til den forretningsdrivende. I forbindelse med andre finansielle tjenesteydelser, der er omfattet af denne forordnings anvendelsesområde, herunder hvis de leveres af den samme operatør, bør bestemmelsen af kunden ske under hensyntagen til de leverede tjenesteydelser.
(63)
Spilleaktiviteter varierer med hensyn til art, geografisk omfang og tilknyttede risici. For at sikre en forholdsmæssig og risikobaseret anvendelse af denne forordning bør det være muligt for medlemsstaterne at identificere spiltjenester, der er forbundet med lav risiko for hvidvask af penge og finansiering af terrorisme, såsom statslige eller private lotterier eller statsadministrerede spilleaktiviteter, og beslutte ikke at anvende alle eller nogle af kravene i denne forordning på dem. I betragtning af de potentielle grænseoverskridende virkninger af nationale undtagelser er det nødvendigt at sikre en konsekvent anvendelse af en streng risikobaseret tilgang i hele Unionen. Med henblik herpå bør Kommissionen have mulighed for at godkende medlemsstaternes afgørelser eller afvise dem, hvis undtagelsen ikke er begrundet i en dokumenteret lav risiko. Under alle omstændigheder bør der ikke indrømmes undtagelser i forbindelse med aktiviteter, der er forbundet med højere risici. Dette gælder for aktiviteter som kasinoer, onlinespil og sportsvæddemål, men er ikke tilfældet for onlinespil, der administreres af staten, enten gennem direkte levering af disse tjenester eller gennem regulering af den måde, hvorpå disse spiltjenester skal organiseres, drives og administreres. I lyset af de risici for folkesundheden eller kriminelle handlinger, der kan være forbundet med spil, kan nationale foranstaltninger, der regulerer, hvordan spillet organiseres, drives og administreres, når de reelt forfølger mål vedrørende den offentlige orden, den offentlige sikkerhed eller folkesundheden, bidrage til at mindske risiciene forbundet med denne aktivitet.
(64)
Den tærskel på 2 000 EUR eller et tilsvarende beløb i national valuta, der gælder for udbydere af spiltjenester, er nået, uanset om kunden udfører en enkelt transaktion på mindst dette beløb eller flere mindre transaktioner, som tilsammen udgør dette beløb. Med henblik herpå bør udbydere af spiltjenester kunne henføre transaktioner til en given kunde, selv om de endnu ikke har bekræftet kundens identitet, for at kunne afgøre, om og hvornår tærsklen er nået. Udbydere af spiltjenester bør derfor have indført systemer, der gør det muligt at henføre og overvåge transaktioner forud for anvendelsen af kravet om at gennemføre kundekendskabsprocedurer. I forbindelse med kasinoer eller andre fysiske spillelokaler kan det være upraktisk at kontrollere kundens identitet ved hver transaktion. I sådanne tilfælde bør det være muligt at identificere kunden og kontrollere kundens identitet ved indgangen til spillelokalerne, forudsat at der findes systemer til at henføre transaktioner, der udføres i spillelokalerne, herunder køb eller bytte af spillejetoner, til den pågældende kunde.
(65)
Til trods for at direktiv (EU) 2015/849 i et vist omfang har harmoniseret medlemsstaternes regler vedrørende forpligtelser med hensyn til kundeidentifikation, fastsatte det ikke udførlige regler vedrørende de procedurer, som forpligtede enheder skal følge. I betragtning af dette aspekts afgørende betydning for forebyggelsen af hvidvask af penge og finansiering af terrorisme bør der i overensstemmelse med den risikobaserede tilgang indføres mere specifikke og udførlige bestemmelser om identifikation af kunder og om kontrol af kunders identitet, hvad enten der er tale om fysiske eller juridiske personer eller juridiske arrangementer såsom truster eller enheder, der har rets- og handleevne i henhold til national ret.
(66)
Den teknologiske udvikling og de teknologiske fremskridt inden for digitalisering muliggør sikker identifikation og kontrol på afstand eller elektronisk identifikation og kontrol af potentielle og eksisterende kunder og kan gøre det lettere at gennemføre kundekendskabsprocedurer over for kunder på afstand. De identifikationsløsninger, der er fastsat i Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 
(
23
)
, muliggør sikre og pålidelige midler til kundeidentifikation og -kontrol af både potentielle og eksisterende kunder og kan gøre det lettere at gennemføre kundekendskabsprocedurer over for kunder på afstand. Forpligtede enheder bør tage hensyn til og godkende den elektroniske identifikation, der er fastsat i nævnte forordning, i forbindelse med processen for kundeidentifikation. Anvendelsen af sådanne midler til identifikation kan, når der er indført passende risikoafbødende foranstaltninger, nedsætte risikoniveauet til almindeligt eller endda lavt. Hvis en sådan elektronisk identifikation ikke er tilgængelig for en kunde, f.eks. på grund af arten af den pågældendes opholdsstatus i en given medlemsstat eller deres bopæl i et tredjeland, bør kontrollen finde sted ved hjælp af relevante kvalificerede tillidstjenester.
(67)
For at sikre, at rammen for bekæmpelse af hvidvask af penge og finansiering af terrorisme hindrer, at ulovlige midler føres ind i det finansielle system, bør forpligtede enheder gennemføre kundekendskabsprocedurer, inden de etablerer forretningsforbindelser med potentielle kunder i overensstemmelse med den risikobaserede tilgang. For at undgå unødvendig forsinkelse af den normale forretningsgang bør forpligtede enheder imidlertid kunne indhente oplysninger fra den potentielle kunde under etableringen af en forretningsforbindelse. Kreditinstitutter og finansieringsinstitutter bør kunne indhente de nødvendige oplysninger fra de potentielle kunder, så snart forretningsforbindelsen er etableret, forudsat at der ikke iværksættes transaktioner, før kundekendskabsproceduren er afsluttet med positivt resultat.
(68)
Kundekendskabsproceduren er ikke begrænset til identifikation og kontrol af kundens identitet. Inden de forpligtede enheder etablerer en forretningsforbindelse eller gennemfører lejlighedsvise transaktioner, bør de ligeledes vurdere en forretningsforbindelses eller lejlighedsvis transaktions formål og art. Oplysninger forud for kontraktindgåelse eller andre oplysninger om det foreslåede produkt eller den foreslåede tjenesteydelse, som formidles til den potentielle kunde, kan bidrage til forståelsen af dette formål. Forpligtede enheder bør altid være i stand til på utvetydig vis at vurdere en potentiel forretningsforbindelses eller lejlighedsvis transaktions formål og art. Når den tilbudte tjenesteydelse eller det tilbudte produkt sætter kunderne i stand til at gennemføre forskellige typer transaktioner eller aktiviteter, bør forpligtede enheder indhente tilstrækkelige oplysninger om kundens hensigt for så vidt angår anvendelse af nævnte forbindelse.
(69)
For at sikre rammen for bekæmpelse af hvidvask af penge og finansiering af terrorisme er virkningsfuld bør forpligtede enheder regelmæssigt gennemgå de oplysninger, som de indhenter fra deres kunder, i overensstemmelse med den risikobaserede tilgang. Forretningsforbindelser vil sandsynligvis udvikle sig, efterhånden som kundens situation og de aktiviteter, de udfører gennem forretningsforbindelsen, ændrer sig over tid. For at opretholde en grundig forståelse af kunderisikoprofilen og foretage en meningsfuld kontrol af transaktioner bør forpligtede enheder regelmæssigt gennemgå de oplysninger, som de indhenter fra deres kunder, i overensstemmelse med den risikobaserede tilgang. Sådanne gennemgange bør foretages regelmæssigt, men bør også udløses af ændringer i kundens relevante omstændigheder, når fakta og oplysninger indikerer en potentiel ændring af kundens risikoprofil eller identifikationsoplysninger. Med henblik herpå bør den forpligtede enhed overveje behovet for at gennemgå kundefilen som følge af væsentlige ændringer såsom en ændring i de jurisdiktioner, der er gennemført transaktioner med, i transaktionernes værdi eller omfang, efter anmodninger om nye produkter eller tjenesteydelser, der er væsentligt forskellige med hensyn til risiko, eller som følge af ændringer i det reelle ejerskab.
(70)
I forbindelse med tilbagevendende kunder, for hvilke der for nylig er gennemført kundekendskabsprocedurer, bør det være muligt at fuldbyrde kundekendskabsprocedurer ved at indhente en bekræftelse fra kunden af, at oplysningerne og dokumenterne i fortegnelserne ikke har ændret sig. En sådan metode letter anvendelsen af forpligtelser for bekæmpelse af hvidvask af penge og finansiering af terrorisme i situationer, hvor den forpligtede enhed har tillid til, at oplysningerne vedrørende kunden ikke har ændret sig, da det påhviler forpligtede enheder at sikre, at de gennemfører passende kundekendskabsprocedurer. Under alle omstændigheder bør bekræftelsen fra kunden og eventuelle ændringer i oplysningerne om kunden registreres.
(71)
Forpligtede enheder kunne levere mere end ét produkt eller én tjenesteydelse i forbindelse med en forretningsforbindelse. Under disse omstændigheder sigter kravet om regelmæssig ajourføring af oplysninger, data og dokumenter ikke mod det enkelte produkt eller den enkelte tjenesteydelse, men mod forretningsforbindelsen i sin helhed. Det er op til de forpligtede enheder for den samlede udbud af leverede produkter eller tjenesteydelser at vurdere, hvornår de relevante omstændigheder for kunden ændrer sig, eller hvornår andre betingelser, der udløser en fornyet kundekendskabsprocedure, er opfyldt, og herefter gennemgå kundefilen i forhold til hele forretningsforbindelsen.
(72)
Forpligtede enheder bør også oprette et overvågningssystem for at afsløre transaktioner, som kan give anledning til mistanke om hvidvask af penge eller finansiering af terrorisme. For at sikre, at overvågningen af transaktioner er virkningsfuld, bør forpligtede enheders overvågningsaktiviteter i princippet omfatte alle tjenesteydelser og produkter, som den forpligtede enhed tilbyder til kunder, og alle transaktioner, som den forpligtede enhed gennemfører på vegne af kunden eller tilbyder kunden. Det er dog ikke nødvendigt at gennemgå alle de enkelte transaktioner. Intensiteten af overvågningen bør være i overensstemmelse med den risikobaserede tilgang og udformes ud fra præcise og relevante kriterier, idet der navnlig tages hensyn til kundernes karakteristika og det risikoniveau, der er forbundet med disse, de tilbudte produkter og tjenesteydelser og de berørte lande eller geografiske områder. AMLA bør udarbejde retningslinjer for at sikre, at intensiteten af overvågningen af forretningsforbindelser og af transaktioner er fyldestgørende og står i rimeligt forhold til risikoniveauet.
(73)
Afbrydelse af forretningsforbindelsen, når kundekendskabsprocedurerne ikke kan overholdes, reducerer den forpligtede enheds eksponering for risici som følge af eventuelle ændringer i kundens profil. Der kunne dog være situationer, hvor afbrydelsen ikke bør gennemføres af hensyn til offentlighedens interesse. Dette er f.eks. tilfældet for livsforsikringsaftaler, hvor forpligtede enheder, hvor det er nødvendigt, som et alternativ til afbrydelse bør træffe foranstaltninger til at stille forretningsforbindelsen i bero, herunder ved at forbyde yderligere tjenesteydelser til den pågældende kunde og tilbageholde udbetalinger til de begunstigede, indtil kundekendskabsprocedurerne kan opfyldes. Desuden kræver visse produkter og tjenesteydelser, at den forpligtede enhed fortsat opbevarer eller modtager kundens midler som defineret i artikel 4, nr. 25), i direktiv (EU) 2015/2366, f.eks. i forbindelse med udlån, betalingskonti eller modtagelse af indskud. Disse bør imidlertid ikke behandles som en hindring for kravet om at bringe forretningsforbindelsen til ophør, hvilket kan opnås ved at sikre, at der ikke gennemføres transaktioner eller aktiviteter for kunden.
(74)
For at sikre en ensartet anvendelse af denne forordning bør AMLA have til opgave at udarbejde udkast til reguleringsmæssige tekniske standarder vedrørende kundekendskabsprocedurer. Disse reguleringsmæssige tekniske standarder bør fastsætte det sæt minimumsoplysninger, som forpligtede enheder skal indhente, for at etablere nye forretningsforbindelser med kunder eller vurdere eksisterende forbindelser i henhold til det risikoniveau, der er forbundet med den enkelte kunde. Derudover bør udkastet til reguleringsmæssige tekniske standarder sikre tilstrækkelig klarhed, således at markedsaktører kan udvikle sikre, tilgængelige og innovative metoder til at kontrollere kunders identitet og gennemføre kundekendskabsprocedurer, herunder på afstand, samtidig med at princippet om teknologineutralitet respekteres. Disse specifikke opgaver er i overensstemmelse med AMLA's rolle og ansvarsområder som fastsat i forordning (EU) 2024/1620.
(75)
Harmoniseringen af kundekendskabsprocedurer vil bidrage til at opnå en ensartet og konsekvent effektiv forståelse af de risici, der er forbundet med en eksisterende eller potentiel kunde, uanset hvor i Unionen forretningsforbindelsen indledes. Denne harmonisering bør også sikre, at de oplysninger, der indhentes, når der gennemføres kundekendskabsprocedurer, ikke anvendes af forpligtede enheder med det formål at tilstræbe en risikobegrænsende praksis, som kunne resultere i omgåelse af andre retlige forpligtelser, navnlig de forpligtelser, der er fastsat i Europa-Parlamentets og Rådets direktiv 2014/92/EU 
(
24
)
 eller direktiv (EU) 2015/2366, uden at Unionens mål for forebyggelse af hvidvask af penge og finansiering af terrorisme nås. For at gøre det muligt at foretage et korrekt tilsyn med opfyldelsen af forpligtelserne med hensyn til kundekendskabsprocedurer er det vigtigt, at forpligtede enheder fører fortegnelser over de tiltag, der er gennemført, og de oplysninger, der er indhentet i forbindelse med kundekendskabsproceduren, uanset om der etableres en ny forretningsforbindelse med disse, og om de har indgivet en rapport om en mistænkelig transaktion efter et afslag på at etablere en forretningsforbindelse. Hvis den forpligtede enhed beslutter ikke at indgå en forretningsforbindelse med en potentiel kunde eller at bringe en eksisterende forretningsforbindelse til ophør, at nægte at gennemføre en lejlighedsvis transaktion eller at anvende alternative foranstaltninger til at bringe en forretningsforbindelse til ophør, bør fortegnelserne over kundekendskabsproceduren indeholde begrundelsen for en sådan beslutning. Dette vil sætte tilsynsmyndighederne i stand til at vurdere, hvorvidt forpligtede enheder har kalibreret deres praksis for kundekendskabsprocedurer hensigtsmæssigt, og hvordan enhedens risikoeksponering udvikler sig, samt bidrage til at opbygge statistisk dokumentation for forpligtede enheders anvendelse af regler vedrørende kundekendskabsprocedurer i hele Unionen.
(76)
Tilgangen ved kontrol af eksisterende kunder inden for den nuværende ramme for bekæmpelse af hvidvask af penge og finansiering af terrorisme er allerede risikobaseret. På grund af den højere risiko for hvidvask af penge, de underliggende lovovertrædelser og finansiering af terrorisme, der er forbundet med visse mellemliggende strukturer, gør denne fremgangsmåde det måske ikke muligt at opdage og vurdere risici i rette tid. Derfor er det vigtigt at sikre, at klart angivne kategorier af eksisterende kunder også overvåges regelmæssigt.
(77)
Risiko er i sig selv variabel, og variablerne kan, enten alene eller sammen, øge eller mindske de potentielle risici og har dermed en indvirkning på det passende omfang af forebyggende foranstaltninger såsom kundekendskabsprocedurer.
(78)
I lavrisikosituationer bør forpligtede enheder have mulighed for at anvende lempede kundekendskabsprocedurer. Dette er ikke ensbetydende med en undtagelse fra eller udeladelse af kundekendskabsprocedurerne. Der er snarere tale om et lempet eller reduceret sæt kontrolforanstaltninger, som dog bør tage højde for alle komponenter i standardkundekendskabsproceduren. I overensstemmelse med den risikobaserede tilgang bør forpligtede enheder ikke desto mindre have mulighed for at reducere hyppigheden eller intensiteten af deres kontrol af kunder eller transaktioner eller for at forlade sig på passende antagelser vedrørende forretningsforbindelsens formål eller anvendelsen af simple produkter. De reguleringsmæssige tekniske standarder for kundekendskabsprocedurer bør fastsætte de specifikke lempede foranstaltninger, som forpligtede enheder er i stand til at gennemføre i tilfælde af situationer med lavere risiko, som er identificeret i risikovurderingen på EU-plan, som udarbejdes af Kommissionen. AMLA bør ved udarbejdelsen af udkast til reguleringsmæssige tekniske standarder tage behørigt hensyn til opretholdelsen af social og finansiel inklusion.
(79)
Det bør anerkendes, at der i visse situationer er højere risiko for hvidvask af penge eller finansiering af terrorisme. Selv om alle kunders identitet og forretningsprofil bør fastlægges ved hjælp af regelmæssig anvendelse af kundekendskabsprocedurerne, er der tilfælde, hvor der er behov for særligt strenge identifikations- og kontrolprocedurer. Det er derfor nødvendigt at fastlægge udførlige regler for sådanne skærpede kundekendskabsprocedurer, herunder specifikke skærpede kundekendskabsprocedurer for grænseoverskridende korrespondentforbindelser.
(80)
Grænseoverskridende korrespondentforbindelser med et respondentinstitut fra et tredjeland er karakteriseret ved deres vedvarende, repetitive natur. Derudover indebærer ikke alle grænseoverskridende tjenesteydelser fra korrespondentbankforbindelser samme grad af risiko for hvidvask af penge og finansiering af terrorisme. Derfor bør intensiteten af de skærpede kundekendskabsprocedurer bestemmes ved anvendelse af principperne i den risikobaserede tilgang. Den risikobaserede tilgang bør dog ikke anvendes ved interaktioner med tredjelandes respondentinstitutter, som ikke fysisk er beliggende på det sted, hvor de er oprettet, eller med ikkeregistrerede enheder og enheder uden licens, der udbyder kryptoaktivtjenester. I betragtning af den høje iboende risiko for hvidvask af penge og finansiering af terrorisme i tomme institutter bør kreditinstitutter og finansieringsinstitutter afholde sig fra at have korrespondentforbindelser med sådanne tomme institutter eller med modparter i tredjelande, som tillader, at deres konti anvendes af tomme institutter. For at undgå misbrug af Unionens finansielle system til at udbyde ikkeregulerede tjenester bør udbydere af kryptoaktivtjenester også sikre, at deres konti ikke anvendes af indlejrede børser, og bør have indført politikker og procedurer for at opdage sådanne forsøg.
(81)
Tilsynsorganer kan i forbindelse med varetagelsen af deres tilsynsfunktion identificere situationer, hvor tredjelandsrespondentinstitutters tilsidesættelse af kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme eller svagheder i deres gennemførelse af kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme medfører risici for Unionens finansielle system. For at afbøde disse risici bør det være muligt for AMLA at rette henstillinger til kreditinstitutter og finansieringsinstitutter i Unionen med henblik på at underrette dem om sine synspunkter vedrørende disse tredjelandsrespondentinstitutters mangler. Sådanne henstillinger bør udstedes, hvis AMLA og finansielle tilsynsorganer i Unionen er enige om, at det er sandsynligt, at tilsidesættelserne og svaghederne i tredjelandsrespondentinstitutter vil påvirke EU-kreditinstitutters og EU-finansieringsinstitutters risikoeksponering for korrespondentforbindelser, og forudsat at det pågældende tredjelandsrespondentinstitut og dets tilsynsorgan har haft mulighed for at fremsætte deres synspunkter. For at bevare et velfungerende finansielt system i Unionen bør kreditinstitutter og finansieringsinstitutter træffe passende foranstaltninger som reaktion på henstillinger fra AMLA, herunder ved at afholde sig fra at indgå eller fortsætte en korrespondentforbindelse, medmindre de kan træffe tilstrækkelige afbødende foranstaltninger for at imødegå de risici, som korrespondentforbindelsen udgør.
(82)
I forbindelse med skærpede kundekendskabsprocedurer er det ved indhentning af den øverste ledelses godkendelse ved etablering af forretningsforbindelser ikke i alle tilfælde nødvendigt, at der indhentes godkendelse fra bestyrelsen. Det bør være muligt for en sådan godkendelse at kunne gives af en person med tilstrækkeligt kendskab til enhedens risikoeksponering over for hvidvask af penge og finansiering af terrorisme og med tilstrækkelig anciennitet til at kunne træffe beslutninger, som påvirker dets risikoeksponering.
(83)
For at beskytte den korrekte funktion af Unionens finansielle system mod hvidvask af penge og finansiering af terrorisme, bør Kommissionen bemyndiges til at vedtage delegerede retsakter med henblik på at identificere tredjelande, hvis mangler i deres nationale ordninger for bekæmpelse af hvidvask af penge og finansiering af terrorisme udgør en trussel mod Unionens indre markeds integritet. Den skiftende karakter af truslerne i forbindelse med hvidvask af penge og finansiering af terrorisme, som kommer fra lande uden for Unionen, hjulpet på vej af en konstant udvikling i den teknologi og de midler, der er til rådighed for kriminelle, kræver, at der for så vidt angår tredjelande foretages hurtige og løbende tilpasninger af lovgivningsrammen for på effektiv vis at imødegå de eksisterende risici og forhindre nye i at opstå. Kommissionen bør som udgangspunkt for sin vurdering tage hensyn til oplysninger fra internationale organisationer og standardsættere på området for bekæmpelse af hvidvask af penge og finansiering af terrorisme såsom FATF's offentlige erklæringer, gensidige evalueringsrapporter eller detaljerede vurderingsrapporter eller offentliggjorte opfølgningsrapporter, og tilpasse sine vurderinger til ændringerne deri, når det er hensigtsmæssigt. Kommissionen bør skride til handling inden for 20 dage efter at have konstateret mangler i et tredjelands ordning for bekæmpelse af hvidvask af penge og finansiering af terrorisme, der udgør en trussel mod Unionens indre markeds integritet.
(84)
Tredjelande, der er »omfattet af en opfordring til handling« fra den relevante internationale standardsætter, nemlig FATF, har væsentlige strategiske mangler af vedvarende karakter i deres retlige og institutionelle rammer for bekæmpelse af hvidvask af penge og finansiering af terrorisme og deres gennemførelse, som sandsynligvis udgør en høj risiko for Unionens finansielle system. Den vedvarende karakter af de væsentlige strategiske mangler, som afspejler tredjelandets manglende engagement eller fortsatte manglende håndtering heraf, er tegn på et forhøjet trusselsniveau fra sådanne tredjelande, hvilket kræver en virkningsfuld, ensartet og harmoniseret afbødende reaktion på EU-plan. Forpligtede enheder bør derfor være forpligtede til at anvende det samlede sæt skærpede kundekendskabsprocedurer på lejlighedsvise transaktioner og forretningsforbindelser, som involverer sådanne højrisikotredjelande, med henblik på at styre og afbøde de underliggende risici. Derudover berettiger det høje risikoniveau anvendelsen af yderligere specifikke modforanstaltninger, uanset om de træffes af forpligtede enheder eller af medlemsstaterne. En sådan tilgang ville forhindre forskelle i fastlæggelsen af de relevante modforanstaltninger, hvilket ville eksponere hele Unionens finansielle system for risici. Hvis medlemsstaterne identificerer specifikke risici, som ikke afbødes, bør de kunne anvende yderligere modforanstaltninger, og i så fald bør de give Kommissionen meddelelse herom. Hvis Kommissionen finder, at disse risici er relevante for det indre marked, bør den kunne ajourføre den pågældende delegerede retsakt, så den omfatter de nødvendige yderligere modforanstaltninger for at afbøde disse risici. Hvis Kommissionen finder, at disse modforanstaltninger ikke er nødvendige og undergraver Unionens indre markeds korrekte funktion, bør den have beføjelse til at kunne beslutte, at den pågældende medlemsstat bringer den specifikke modforanstaltning til ophør. Inden proceduren for denne beslutning indledes, bør Kommissionen give medlemsstaten mulighed for at fremsætte sine synspunkter om Kommissionens overvejelser. På baggrund af sin tekniske ekspertise kan AMLA give nyttige input til Kommissionen med henblik på at identificere hensigtsmæssige modforanstaltninger.
(85)
Det er sandsynligt, at kriminelle vil udnytte overholdelsesmæssige svagheder i både den retlige og institutionelle ramme for bekæmpelse af hvidvask af penge og finansiering af terrorisme og gennemførelsen heraf i tredjelande, som er omfattet af »skærpet overvågning«, der udføres af FATF. Det er sandsynligt, at dette vil udgøre en risiko for Unionens finansielle system, og det er nødvendigt at styre og afbøde denne risiko. Disse tredjelandes tilsagn om at afhjælpe identificerede svagheder, der ikke fjerner risikoen, berettiger en afbødende reaktion, som er mindre streng end den, der finder anvendelse på højrisikotredjelande. Hvis sådanne tredjelande forpligter sig til at afhjælpe konstaterede svagheder, bør forpligtede enheder, når de handler med fysiske personer eller juridiske enheder, der er etableret i disse tredjelande, anvende skærpede kundekendskabsprocedurer på lejlighedsvise transaktioner og forretningsforbindelser, som er skræddersyet til de specifikke svagheder, der er identificeret i hvert tredjeland. En sådan identifikation med en højere detaljeringsgrad af de skærpede kundekendskabsprocedurer, der skal anvendes, vil i overensstemmelse med den risikobaserede tilgang også sikre, at foranstaltningerne står i rimeligt forhold til risikoniveauet. For at sikre en sådan ensartet og forholdsmæssigt afpasset tilgang bør Kommissionen kunne fastlægge, hvilke specifikke skærpede kundekendskabsprocedurer der er nødvendige for at afbøde landespecifikke risici. På baggrund af sin tekniske ekspertise kan AMLA give nyttige input til Kommissionen med henblik på at identificere egnede skærpede kundekendskabsprocedurer.
(86)
Lande, som af FATF ikke offentligt er identificeret som omfattet af »en opfordring til handling« eller »skærpet overvågning«, kan stadig udgøre en specifik og alvorlig trussel mod integriteten i Unionens finansielle system, som kunne skyldes enten overholdelsesmæssige svagheder eller væsentlige strategiske mangler af vedvarende karakter i deres ordning for bekæmpelse af hvidvask af penge og finansiering af terrorisme. For at afbøde disse specifikke risici, som ikke kan afbødes ved foranstaltninger, der finder anvendelse på lande med strategiske mangler eller lande med overholdelsesmæssige svagheder, bør det være muligt for Kommissionen at skride til handling under ekstraordinære omstændigheder ved at identificere sådanne tredjelande på grundlag af et klart sæt kriterier og med støtte fra AMLA. I henhold til risikoniveauet for Unionens finansielle system bør Kommissionen kræve anvendelse af enten alle skærpede kundekendskabsprocedurer og landespecifikke modforanstaltninger for så vidt angår højrisikotredjelande, eller landespecifikke skærpede kundekendskabsprocedurer for så vidt angår tredjelande med overholdelsesmæssige svagheder.
(87)
For at sikre en konsekvent identifikation af tredjelande, som udgør en specifik og alvorlig trussel mod Unionens finansielle system, uden at de af FAFT er blevet offentligt identificeret som værende genstand for »en opfordring til handling« eller »skærpet overvågning«, bør Kommissionen ved hjælp af en gennemførelsesretsakt kunne fastsætte en metode til under ekstraordinære omstændigheder at identificere sådanne tredjelande. Denne metode bør navnlig omfatte, hvordan kriterierne skal vurderes, og processen for interaktion med sådanne tredjelande og for inddragelse af medlemsstaterne og AMLA i de forberedende faser af en sådan identifikation.
(88)
Eftersom der kunne ske ændringer i rammerne for bekæmpelse af hvidvask af penge og finansiering af terrorisme for tredjelande identificeret i henhold til denne forordning eller i deres gennemførelse, f.eks. som resultat af landets tilsagn om at afhjælpe de identificerede svagheder eller af vedtagelsen af relevante foranstaltninger til bekæmpelse af hvidvask af penge og finansiering af terrorisme med henblik på at tackle dem, hvilket kunne ændre karakteren og niveauet af de risici, der hidrører fra disse, bør Kommissionen regelmæssigt gennemgå identifikationen af disse specifikke skærpede kundekendskabsprocedurer for at sikre, at de fortsat er forholdsmæssigt afpassede og tilstrækkelige.
(89)
Potentielle eksterne trusler mod Unionens finansielle system, som observeres med hensyn til et specifikt geografisk område uden for Unionen, hidrører ikke kun fra tredjelande, men kan også opstå i forbindelse med specifikke kunderisikofaktorer eller produkter, tjenesteydelser, transaktioner eller leveringskanaler. Det er derfor nødvendigt at udpege de tendenser, risici og metoder i forbindelse med hvidvask af penge og finansiering af terrorisme, som Unionens forpligtede enheder kunne eksponeres for. AMLA har de bedste forudsætninger for at opdage typologier i forbindelse med hvidvask af penge og finansiering af terrorisme, som er i fremvækst i lande uden for Unionen, og for at overvåge deres udvikling med henblik på at udstede retningslinjer til Unionens forpligtede enheder om behovet for at anvende skærpede kundekendskabsprocedurer med sigte på at afbøde sådanne risici.
(90)
Forbindelser med enkeltpersoner, der varetager eller har varetaget vigtige offentlige hverv, inden for Unionen eller internationalt, og navnlig enkeltpersoner fra lande, hvor korruption er udbredt, kunne eksponere den finansielle sektor for væsentlige omdømmemæssige og retlige risici. De internationale bestræbelser på at bekæmpe korruption begrunder også et behov for øget opmærksomhed på sådanne personer og for anvendelse af passende skærpede kundekendskabsprocedurer over for personer, som varetager eller har varetaget et højerestående offentligt hverv, og på fremtrædende personer i internationale organisationer. Det er derfor nødvendigt at specificere foranstaltninger, som forpligtede enheder bør anvende i forbindelse med transaktioner eller forretningsforbindelser med politisk eksponerede personer. For at fremme den risikobaserede tilgang bør AMLA have til opgave at udstede retningslinjer om vurdering af det risikoniveau, der er forbundet med en bestemt kategori af politisk eksponerede personer, deres familiemedlemmer eller personer, der er kendt som nære samarbejdspartnere.
(91)
Risici i forbindelse med personer, som varetager eller har varetaget højerestående offentlige hverv er ikke begrænset til nationalt plan, men kan også eksistere på regionalt eller kommunalt plan. Dette gælder især på lokalt plan for tætbefolkede områder såsom byer, som sideløbende med det regionale plan ofte forvalter betydelige offentlige midler og har adgang til kritiske tjenester eller tilladelser med deraf følgende risiko for korruption og dermed forbundet hvidvask af penge. Det er derfor nødvendigt at medtage ledere af regionale og lokale myndigheder, herunder sammenslutninger af kommuner og storbyregioner med mindst 50 000 indbyggere i kategorien af personer, som varetager eller har varetaget højerestående offentlige hverv. Samtidig bør det erkendes, at medlemsstaternes geografi og administrative organisation varierer betydeligt, og medlemsstater bør derfor, hvor det er hensigtsmæssigt, kunne fastsætte en lavere tærskel for at dække de relevante lokale myndigheder på grundlag af risikoen. Når medlemsstaterne beslutter at fastsætte lavere tærskler, bør de meddele Kommissionen disse lavere tærskler.
(92)
Medlemmer af administrations-, ledelses- eller tilsynsorganer i virksomheder, der kontrolleres af staten eller af regionale eller lokale myndigheder, kan også blive eksponeret for risici for korruption og dermed forbundet hvidvask af penge. I betragtning af størrelsen af sådanne virksomheders budget og de forvaltede midler er sådanne risici særligt store for så vidt angår højtstående ledende medlemmer i virksomheder, der kontrolleres af staten. Risici kan også opstå i forbindelse med virksomheder af en betydelig størrelse, der kontrolleres af regionale og lokale myndigheder. Som følge heraf bør højtstående ledere i virksomheder, der kontrolleres af regionale eller lokale myndigheder, betragtes som politisk eksponerede personer, hvis disse virksomheder kan betragtes som mellemstore eller store virksomheder eller koncerner som defineret i artikel 3 i Europa-Parlamentets og Rådets direktiv 2013/34/EU 
(
25
)
. I erkendelse af de geografiske og administrative organisatoriske forskelle og de beføjelser og ansvarsområder, der er forbundet med sådanne virksomheder og deres højtstående ledere, bør medlemsstaterne imidlertid kunne vælge at fastsætte en lavere årlig omsætningstærskel på grundlag af risikoen. I så fald bør medlemsstaterne give Kommissionen meddelelse om denne beslutning.
(93)
Med henblik på at identificere politisk eksponerede personer i Unionen bør medlemsstaterne udarbejde lister, som angiver de specifikke funktioner, der i henhold til nationale love og administrative bestemmelser udgør højerestående offentlige hverv. Medlemsstaterne bør anmode hver international organisation, der er akkrediteret på deres område, om at udarbejde og ajourføre en liste over højerestående offentlige hverv inden for den pågældende internationale organisation. Kommissionen bør have til opgave at udarbejde og udsende en liste over personer, som varetager højerestående offentlige hverv i EU-institutioner eller -organer, som bør være gyldig i hele Unionen. For at sikre en harmoniseret tilgang til identifikation og underretning om højerestående offentlige hverv bør Kommissionen ved hjælp af en gennemførelsesretsakt kunne om fastsætte det format, der skal anvendes til medlemsstaternes underretninger, og bør tillægges beføjelse til at vedtage delegerede retsakter om supplering af de kategorier af højerestående offentlige hverv, der er identificeret i denne forordning, hvor de er fælles for medlemsstaterne.
(94)
Når kunder ikke længere varetager et højerestående offentligt hverv, kan de stadig udgøre en højere risiko, f.eks. på grund af den uformelle indflydelse de stadig kunne udøve, eller fordi deres foregående og nuværende funktioner er forbundet. Det er afgørende, at forpligtede enheder tager hensyn til sådanne vedvarende risici og anvender en eller flere skærpede kundekendskabsprocedurer indtil det tidspunkt, hvor personerne ikke længere anses for at udgøre en risiko, og under alle omstændigheder i mindst 12 måneder efter det tidspunkt, hvor de har ophørt med at varetage et højerestående offentligt hverv.
(95)
Forsikringsselskaber har som oftest ikke kundeforhold med de begunstigede i forbindelse med forsikringspolicer. De bør imidlertid være i stand til at identificere tilfælde med højere risiko, f.eks. når udbyttet fra policen begunstiger en politisk eksponeret person. For at fastslå, hvorvidt dette er tilfældet, bør forsikringspolicen omfatte rimelige foranstaltninger til at identificere den begunstigede, som hvis denne person var en ny kunde. Det bør være muligt at træffe sådanne foranstaltninger på det tidspunkt, hvor policen udbetales, men ikke senere.
(96)
Tætte private forbindelser og forretningsforbindelser kunne misbruges med hvidvask af penge og finansiering af terrorisme for øje. Af denne grund bør foranstaltninger, som vedrører politisk eksponerede personer, ligeledes finde anvendelse på deres familiemedlemmer og personer, der er kendt som nære samarbejdspartnere. Korrekt identifikation af familiemedlemmer og personer, der er kendt som nære samarbejdspartnere, kan afhænge af den socioøkonomiske og kulturelle struktur i den politisk eksponerede persons hjemland. På denne baggrund bør AMLA have til opgave at udstede retningslinjer vedrørende de kriterier, der skal anvendes for at identificere personer, som bør betragtes som nære samarbejdspartnere.
(97)
Forhold til familiemedlemmer, der kunne misbruges af politisk eksponerede personer, omfatter ikke kun forældre og efterkommere, men kan også omfatte søskende. Dette er især tilfældet for kategorier af politisk eksponerede personer, som beklæder højtstående stillinger i en centralregering. I erkendelse af, at der findes forskellige socioøkonomiske og kulturelle strukturer på nationalt plan, som kunne påvirke muligheden for misbrug af søskendeforhold, bør medlemsstaterne dog kunne anvende et bredere anvendelsesområde for udpegelse af søskende som familiemedlemmer til politisk eksponerede personer for i tilstrækkelig grad at afbøde risikoen for misbrug af sådanne slægtsforhold. Når medlemsstaterne beslutter at anvende et bredere anvendelsesområde, bør de meddele Kommissionen nærmere oplysninger om dette bredere anvendelsesområde.
(98)
De krav, der vedrører politisk eksponerede personer, deres familiemedlemmer og personer, der er kendt som nære samarbejdspartnere, er af forebyggende og ikke af strafferetlig karakter og bør ikke fortolkes således, at de antyder, at politisk eksponerede personer, deres familiemedlemmer eller nære samarbejdspartnere er involveret i kriminelle handlinger. At afvise forretningsforbindelser med en politisk eksponeret person alene på grundlag af, at det fastslås, at denne er en politisk eksponeret person eller et familiemedlem til eller en person, der er kendt som en nær samarbejdspartner for, en politisk eksponeret person, er i strid med ordlyden og ånden i denne forordning.
(99)
I betragtning af sårbarheden af ordninger for tildeling af opholdsret til investorer i forbindelse med hvidvask af penge, skattekriminalitet, korruption og unddragelse af målrettede finansielle sanktioner, samt de potentielle betydelige sikkerhedstrusler, der er forbundet hermed for Unionen som helhed, er det hensigtsmæssigt, at forpligtede enheder mindst gennemfører specifikke skærpede kundekendskabsprocedurer over for kunder, der er tredjelandsstatsborgere, og som er i færd med at ansøge om opholdsret i en medlemsstat inden for rammerne af sådanne ordninger.
(100)
Udbud af skræddersyede aktivforvaltningstjenester til enkeltpersoner med et højt formueniveau kan eksponere kreditinstitutter og finansieringsinstitutter og udbydere af tjenester til truster eller virksomheder for specifikke risici, herunder risici, der opstår som følge af sådanne tjenesters komplekse og ofte personaliserede karakter. Det er derfor nødvendigt at fastlægge et sæt skærpede kendskabsprocedurer, der mindst bør anvendes, når sådanne forretningsforbindelser anses for at udgøre en højere for hvidvask af penge, de underliggende lovovertrædelser i forbindelse hermed eller finansiering af terrorisme. En konstatering af, at en kunde har aktiver med en værdi på mindst 50 000 000 EUR eller et tilsvarende beløb i national eller udenlandsk valuta, tager hensyn til finansielle og investerbare aktiver, herunder kontanter og andre likvide aktiver, uanset om de besiddes som indskud eller i opsparingsprodukter, samt investeringer såsom aktier, obligationer og investeringsforeninger, selv når de besiddes i henhold til langsigtede aftaler med en forpligtet enhed. Desuden bør værdien af kundens faste ejendom, fraregnet vedkommendes private bopæl, tages i betragtning. Med henblik på denne konstatering behøver kreditinstitutter og finansieringsinstitutter samt udbydere af tjenester til truster og virksomheder ikke at foretage eller anmode om en præcis beregning af kundens samlede formue. Disse enheder bør snarere træffe foranstaltninger for at fastslå, om en kunde har aktiver med en værdi på mindst 50 000 000 EUR eller et tilsvarende beløb i national eller udenlandsk valuta i finansielle eller investerbare aktiver eller fast ejendom.
(101)
For at undgå gentagne kundeidentifikationsprocesser bør forpligtede enheder med forbehold af passende beskyttelsesforanstaltninger have mulighed for at forlade sig på de kundeoplysninger, der er indhentet af andre forpligtede enheder. Hvis en forpligtet enhed forlader sig på en anden forpligtet enhed, bør det endelige ansvar for kundekendskabsprocedurer forblive hos den forpligtede enhed, som vælger at forlade sig på den kundekendskabsprocedure, som en anden forpligtet enhed har gennemført. Den forpligtede enhed, som blev anvendt, bør også fortsat selv have ansvar for opfyldelse af kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme, herunder kravet om at indberette mistænkelige transaktioner og opbevare fortegnelser.
(102)
Indførelsen af harmoniserede krav for bekæmpelse af hvidvask af penge og finansiering af terrorisme i Unionen, herunder med hensyn til politikker og procedurer på koncernplan, udveksling af oplysninger og anvendelse, gør det muligt for forpligtede enheder, der opererer inden for en koncern, at udnytte de systemer, der er indført inden for denne koncern, til fulde i situationer, som vedrører de samme kunder. Disse regler giver ikke blot mulighed for en konsekvent og effektiv gennemførelse af reglerne for bekæmpelse af hvidvask af penge og finansiering af terrorisme i koncernen, men også at drage fordel af stordriftsfordele på koncernplan, f.eks. ved at gøre det muligt for forpligtede enheder inden for koncernen at anvende resultaterne af processer, der er indført af andre forpligtede enheder inden for koncernen, til at opfylde deres krav om kundeidentifikation og -kontrol.
(103)
For at det kan fungere effektivt at forlade sig på foranstaltninger foretaget af tredjeparter, er der behov for yderlige klarhed om betingelserne for, at noget sådan finder sted. AMLA bør have til opgave at udarbejde retningslinjer om de betingelser, på hvilke en forpligtet enhed kan forlade sig på tredjeparter, samt de respektive parters roller og ansvarsområder. Med henblik på at sikre konsekvent tilsyn med, hvordan forpligtede enheder forlader sig på tredjeparter i hele Unionen, bør retningslinjerne også præcisere, hvordan tilsynsorganer bør tage hensyn til denne praksis og kontrollere, at kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme opfyldes, når forpligtede enheder anvender denne praksis.
(104)
Begrebet reelt ejerskab blev indført for at øge gennemsigtigheden i komplekse selskabsstrukturer. Behovet for at have adgang til nøjagtige, ajourførte og fyldestgørende oplysninger om den reelle ejer er af afgørende betydning for at kunne spore kriminelle, som ellers ville kunne skjule deres identitet bag sådanne ugennemsigtige selskabsstrukturer. Medlemsstaterne er på nuværende tidspunkt forpligtede til at sikre, at virksomheder og andre juridiske enheder samt viljesbestemte truster og andre lignende juridiske arrangementer indhenter og opbevarer fyldestgørende, nøjagtige og ajourførte oplysninger om deres reelle ejerskab. Den grad af gennemsigtighed, der kræves i medlemsstaterne, er dog varierende. Reglerne fortolkes på forskellig vis, og dette resulterer i forskellige metoder til identifikation af reelle ejere i en given juridisk enhed eller et givet juridisk arrangement. Dette skyldes blandt andet inkonsekvente metoder til beregning af indirekte ejerskab af en juridisk enhed eller et juridisk arrangement og forskelle mellem medlemsstaternes retssystemer. Dette hæmmer den gennemsigtighed, som det var hensigten at opnå. Det er derfor nødvendigt at skabe klarhed om de regler, der skal sikre en ensartet identifikation af reelle ejere og anvendelse heraf i det indre marked.
(105)
Anvendelsen af reglerne for identifikation af det reelle ejerskab af juridiske enheder samt af juridiske arrangementer kan give anledning til gennemførelsesspørgsmål, når relevante interessenter står over for konkrete sager, især i tilfælde af komplekse selskabsstrukturer, hvor kriterierne for ejerandel og kontrol eksisterer side om side, eller med henblik på at fastslå indirekte ejerskab eller kontrol. For at støtte anvendelsen af disse regler af juridiske enheder, trustforvaltere eller personer med en tilsvarende stilling i lignende juridiske arrangementer og forpligtede enheder bør det være muligt for Kommissionen i overensstemmelse med harmoniseringsmålet i denne forordning at vedtage retningslinjer for, hvordan reglerne for identifikation af de reelle ejere i forskellige scenarier skal anvendes, herunder ved hjælp af eksempler på sager.
(106)
En meningsfuld identifikation af de reelle ejere kræver konstatering af, om der udøves kontrol på anden måde. Konstatering af forekomsten af en ejerandel eller kontrol gennem en ejerandel er nødvendig, men ikke tilstrækkelig, og den udelukker ikke behovet for kontrol for at bestemme de reelle ejere. Testen af, hvorvidt eventuelle fysiske personer udøver kontrol på anden måde, er ikke en efterfølgende test, der kun skal foretages, når det ikke er muligt at bestemme en ejerandel. De to tests, navnlig testen vedrørende forekomsten af en ejerandel eller kontrol gennem en ejerandel og testen vedrørende kontrol på anden måde, bør foretages parallelt.
(107)
Et ejerskab på 25 % eller derover af ejerandelene eller stemmerettighederne eller andre ejerskabsbeføjelser generelt udgør det reelle ejerskab af en virksomhed. En ejerandel bør omfatte både kontrolrettigheder og rettigheder, der er betydelige med hensyn til at modtage en fordel, og det samme gælder en ret til en andel af overskud eller andre interne ressourcer eller likvidationsbalance. Der kan imidlertid være situationer, hvor risikoen for, at visse kategorier af virksomheder misbruges til hvidvask af penge eller finansiering af terrorisme, er højere, for eksempel på grund af de specifikke sektorer med en højere risiko, som disse virksomheder opererer i. I sådanne situationer er skærpede gennemsigtighedsforanstaltninger nødvendige for at afskrække kriminelle fra at oprette eller infiltrere sådanne enheder, enten gennem direkte eller indirekte ejerskab eller kontrol. For at sikre, at Unionen er i stand til i tilstrækkelig grad at begrænse sådanne varierende risikoniveauer, er det nødvendigt at tillægge Kommissionen beføjelse til at udpege de kategorier af virksomheder, der bør være omfattet af lavere tærskler for gennemsigtighed med hensyn til reelt ejerskab. Med henblik herpå bør medlemsstaterne underrette Kommissionen, når de identificerer kategorier af virksomheder, der er eksponeret for større risici for hvidvask af penge og finansiering af terrorisme. I disse underretninger bør det også være muligt for medlemsstaterne at angive en lavere tærskel for ejerskab, som de mener kan afbøde disse risici. En sådan identifikation bør være løbende og bygge på resultaterne af de risikovurderingerne på EU-plan og de nationale risikovurderinger samt på relevante analyser og rapporter udarbejdet af AMLA, Europol eller andre EU-organer, som spiller en rolle inden for forebyggelse, efterforskning og retsforfølgning af hvidvask af penge og finansiering af terrorisme. Denne lavere tærskel bør være tilstrækkeligt lav for at afbøde de højere risici for, at virksomheder misbruges til kriminelle formål. Med henblik herpå bør denne lavere tærskel generelt ikke fastsættes til mere end 15 % af ejerandelene, stemmerettighederne eller andre ejerskabsbeføjelser. Der kan dog være tilfælde, hvor en højere tærskel på grundlag af en risikofølsom vurdering vil være mere forholdsmæssig for at imødegå de identificerede risici. I disse tilfælde bør det være muligt for Kommissionen at fastsætte tærsklen til mellem 15 og 25 % af ejerandelen.
(108)
På grund af deres komplekse karakter gør ejerskabs- og kontrolstrukturer med flere lag det vanskeligere at identificere deres reelle ejere. Begrebet »ejerskabs- eller kontrolstruktur« har til hensigt at beskrive den måde, hvorpå en juridisk enhed indirekte ejes eller kontrolleres, eller hvori et juridisk arrangement kontrolleres indirekte som følge af forbindelser mellem juridiske enheder eller arrangementer på tværs af flere lag. For at sikre en ensartet tilgang i hele det indre marked er det nødvendigt at præcisere de regler, der gælder for disse situationer. Med henblik herpå er det nødvendigt samtidig at vurdere, om en fysisk person har en direkte eller indirekte besiddelse af 25 % eller derover af ejerandelene eller stemmerettighederne eller andre ejerskabsbeføjelser, og om en fysisk person kontrollerer den direkte ejer med 25 % eller derover af ejerandelene eller stemmerettighederne eller andre ejerskabsbeføjelser i virksomheden. I tilfælde af indirekte besiddelse af ejerandele bør de reelle ejere identificeres ved at gange ejerandelene i ejerskabskæden. Med henblik herpå bør alle ejerandele, der direkte eller indirekte ejes af den samme fysiske person, lægges sammen. Dette kræver, at der tages hensyn til besiddelse af ejerandele på alle ejerskabsniveauer. Hvis 25 % af ejerandelene eller stemmerettighederne eller andre ejerskabsbeføjelser i en virksomhed ejes af en ejer, der er en anden juridisk enhed end en virksomhed, bør det reelle ejerskab fastlægges under hensyntagen til ejerens specifikke struktur, herunder om en fysisk person udøver kontrol over en ejer på anden måde.
(109)
Fastlæggelsen af den reelle ejer af en virksomhed i tilfælde, hvor virksomhedens ejerandele besiddes i et juridisk arrangement, eller hvor de ejes af en fond eller en lignende juridisk enhed, kan være vanskeligere i betragtning af de forskellige typer af og identifikationskriterier for reelt ejerskab af juridiske enheder og juridiske arrangementer. Det er derfor nødvendigt at fastsætte klare regler for håndtering af disse tilfælde af en struktur med flere lag. I sådanne tilfælde bør alle reelle ejere af det juridiske arrangement eller af en lignende juridiske enhed såsom en fond være de reelle ejere af den virksomhed, hvis ejerandele besiddes i det juridiske arrangement eller besiddes af fonden.
(110)
Det er nødvendigt med en fælles forståelse af begrebet kontrol og en mere præcis definition af kontrolmidler for at sikre en ensartet anvendelse af reglerne på det indre marked. Kontrol bør forstås som faktisk evne til at kunne påtvinge en virksomheds beslutningstagning om væsentlige spørgsmål ens vilje. Det sædvanlige middel til kontrol er et flertal af stemmerettighederne. En stilling som reel ejer kan også fastslås ved kontrol på anden måde uden at have en betydelig eller nogen ejerandel. Derfor bør kontrol identificeres uafhængigt af ejerandel for at fastslå, hvilke personer der er de reelle ejere af en juridisk enhed. Kontrol kan generelt udøves på en hvilken som helst måde, herunder ved hjælp af juridiske og ikkejuridiske midler. Disse midler kan tages i betragtning ved vurderingen af, om der udøves kontrol på anden måde, afhængigt af den enkelte juridiske enheds specifikke situation.
(111)
Indirekte ejerskab eller kontrol kan bringes i stand gennem flere led i en kæde eller gennem flere individuelle eller indbyrdes forbundne kæder. Et led i en kæde kan være enhver fysisk eller juridisk person eller et juridisk arrangement. Forbindelserne mellem leddene kan bestå af ejerandele eller stemmerettigheder eller andre kontrolmidler. I sådanne tilfælde, hvor ejerandele og kontrol eksisterer side om side i ejerskabsstrukturen, er der behov for specifikke og detaljerede regler for identifikation af reelt ejerskab for at støtte en harmoniseret tilgang til identifikation af reelle ejere.
(112)
Med henblik på at sikre reel gennemsigtighed bør det bredest mulige spektrum af juridiske enheder og juridiske arrangementer, som er oprettet på medlemsstaternes område, være omfattet af reglerne om reelt ejerskab. Dette omfatter virksomheder, der er kendetegnet ved muligheden for at besidde ejerandele i dem, og andre juridiske enheder og juridiske arrangementer, som ligner viljesbestemte truster. På grund af forskelle i medlemsstaternes retssystemer omfatter disse brede kategorier en række forskellige organisationsstrukturer. Medlemsstaterne bør til Kommissionen indgive en liste over de typer af juridiske enheder, hvor de reelle ejere er identificeret i overensstemmelse med reglerne for identifikation af virksomheders reelle ejere for både virksomheder og andre juridiske enheder.
(113)
Den særlige karakter af visse juridiske enheder såsom foreninger, fagforeninger, politiske partier eller kirker fører ikke til en meningsfuld identifikation af reelle ejere på grundlag af ejerandele eller medlemskab. I disse tilfælde kan det imidlertid være, at de øverste ledere udøver kontrol over den juridiske enhed på anden vis. I så fald bør sådanne ledere indberettes som de reelle ejere.
(114)
For at sikre en konsekvent identifikation af reelle ejere af viljesbestemte truster og lignende juridiske enheder såsom fonde eller lignende juridiske arrangementer er det nødvendigt at fastsætte harmoniserede regler om reelt ejerskab. Medlemsstaterne bør være forpligtede til at indgive en liste til Kommissionen over de typer af juridiske enheder og juridiske arrangementer, som ligner viljesbestemte truster, hvor de reelle ejere er identificeret i henhold til identifikationen af reelle ejere af viljesbestemte truster og lignende juridiske enheder eller arrangementer. Kommissionen bør ved hjælp af en gennemførelsesretsakt kunne vedtage en liste over juridiske arrangementer og juridiske enheder, som er reguleret af medlemsstaternes ret, og som har en struktur eller funktion, der ligner viljesbestemte trusters.
(115)
Diskretionære truster giver deres trustforvaltere skønsbeføjelser med hensyn til fordeling af trustens aktiver eller fordele heraf. Som sådan er der ikke fastsat nogen begunstigede eller gruppe af begunstigede fra begyndelsen, men snarere en personpulje, hvoraf trustforvalterne kan vælge de begunstigede eller de personer, der vil blive begunstigede, hvis trustforvalterne ikke udøver deres skønsbeføjelser. Som det erkendes i den nylige revision af FATF-standarderne vedrørende juridiske arrangementer, kan sådanne skønsbeføjelser misbruges og give mulighed for tilsløring af de reelle ejere, hvis der ikke også pålægges diskretionære truster et minimum af gennemsigtighed, da gennemsigtighed for begunstigede først vil blive opnået efter udøvelsen af trustforvalternes skønsbeføjelser. For at sikre tilstrækkelig og konsekvent gennemsigtighed for alle typer juridiske arrangementer er det derfor vigtigt, at der i tilfælde af diskretionære truster også indsamles oplysninger om en trustforvalters beføjelser og om de rettighedshavere ved misligholdelse, som vil modtage aktiverne eller fordelene, hvis trustforvalterne ikke udøver deres skønsbeføjelser. Der er situationer, hvor genstandene for en beføjelse eller rettighedshaverne ved misligholdelse ikke kan identificeres individuelt, men som en gruppe. I disse tilfælde bør der indsamles oplysninger om gruppen samt oplysninger om de enkeltpersoner, der udvælges fra gruppen.
(116)
Karakteristikaene ved viljesbestemte truster og lignende juridiske arrangementer i medlemsstaterne varierer. For at sikre en harmoniseret tilgang bør der fastsættes fælles principper for identifikation af sådanne arrangementer. Viljesbestemte truster er truster, som er oprettet på stifterens initiativ. Truster, der er oprettet ved lov, eller som ikke er et resultat af stifterens udtrykkelige hensigt om at oprette dem, bør udelukkes fra denne forordnings anvendelsesområde. Viljesbestemte truster oprettes sædvanligvis i form af et dokument, såsom et skriftligt dokument eller et skriftligt trustinstrument, og opfylder sædvanligvis et forretningsmæssigt eller personligt behov. Juridiske arrangementer, som ligner viljesbestemte truster, er arrangementer, der ikke har status som juridisk person, og som har lignende struktur eller funktioner. Den afgørende faktor er ikke betegnelsen for typen af juridisk arrangement, men opfyldelsen af de grundlæggende elementer i definitionen af en viljesbestemt trust, nemlig stifterens hensigt om at lade en bestemt person administrere og kontrollere aktiverne til et angivet formål, sædvanligvis af forretningsmæssig eller personlig art, såsom til fordel for de begunstigede. For at sikre en konsekvent identifikation af de reelle ejere af juridiske arrangementer, som ligner viljesbestemte truster, bør medlemsstaterne meddele Kommissionen en liste over de typer juridiske arrangementer, der ligner viljesbestemte truster. En sådan meddelelse bør ledsages af en vurdering, der begrunder identifikationen af visse juridiske arrangementer som lignende viljesbestemte truster, og hvorfor andre juridiske arrangementer er blevet anset for at have forskellig struktur eller funktion i forhold til viljesbestemte truster. Ved foretagelsen af en sådan vurdering bør medlemsstaterne tage hensyn til alle juridiske arrangementer, som er reguleret af deres nationale ret.
(117)
I forbindelse med nogle typer af juridiske enheder såsom fonde, viljesbestemte truster og lignende juridiske arrangementer er det ikke muligt at identificere individuelle begunstigede, fordi de endnu ikke er fastlagt. I sådanne tilfælde bør oplysningerne om reelt ejerskab i stedet omfatte en beskrivelse af gruppen af begunstigede og dens karakteristika. Så snart de begunstigede i gruppen er udpeget, vil de være de reelle ejere. Desuden findes særlige typer juridiske personer og juridiske arrangementer, hvor der er begunstigede, men hvor identifikationen af dem ikke står i et rimeligt forhold til de risici vedrørende hvidvask af penge og finansiering af terrorisme, der er forbundet med disse juridiske personer eller juridiske arrangementer. Dette er tilfældet i forbindelse med regulerede produkter såsom pensionsordninger inden for anvendelsesområdet for Europa-Parlamentets og Rådets direktiv (EU) 2016/2341 
(
26
)
, og det kunne for eksempel være tilfældet i forbindelse med ordninger for medarbejderes finansielle ejerskab eller medbestemmelse eller for juridiske enheder eller juridiske arrangementer med almennyttige eller velgørende formål, forudsat at de risici, der er forbundet med sådanne juridiske personer og juridiske arrangementer, er lave. I disse tilfælde bør det være tilstrækkeligt at identificere gruppen af begunstigede.
(118)
Pensionsordninger, der er reguleret ved direktiv (EU) 2016/2341, er regulerede produkter, som er underlagt strenge tilsynsstandarder og udgør en lav risiko for hvidvask af penge og finansiering af terrorisme. Når sådanne pensionsordninger er oprettet i form af et juridisk arrangement, er deres begunstigede ansatte og arbejdstagere, som er afhængige af disse produkter, der er knyttet til deres arbejdskontrakter, med henblik på forvaltning af deres pensionsydelser. På grund af den særlige karakter af pensionsydelser, som indebærer lav risiko for hvidvask af penge og finansiering af terrorisme, vil det ikke være forholdsmæssigt at kræve identifikation af hver af disse begunstigede, og identifikation af gruppen og dens karakteristika bør være tilstrækkelig til at opfylde gennemsigtighedsforpligtelserne.
(119)
For at sikre konsekvent identifikation af de reelle ejere af institutter for kollektiv investering er det nødvendigt at fastsætte harmoniserede regler for reelt ejerskab. Uanset om institutterne for kollektiv investering findes i en medlemsstat i form af en juridisk enhed med status som juridisk person, som et juridisk arrangement uden status som juridisk person eller i enhver anden form, bør tilgangen til identifikation af den reelle ejer være i overensstemmelse med deres formål og funktion.
(120)
En ensartet tilgang til gennemsigtighedsordningen for reelt ejerskab kræver også, at de samme oplysninger indhentes om reelle ejere på hele det indre marked. Der bør indføres præcise krav vedrørende de oplysninger, som skal indhentes i de enkelte tilfælde. Disse oplysninger omfatter et minimumsæt af personoplysninger vedrørende den reelle ejer, oplysninger om arten og omfanget af den reelle ejers rettigheder i den juridiske enhed eller det juridiske arrangement og oplysninger om den juridiske enhed eller det juridiske arrangement, som er nødvendige for at sikre en korrekt identifikation af den fysiske person, der er den reelle ejer, og årsagerne til, at denne fysiske person er blevet identificeret som den reelle ejer.
(121)
En effektiv ramme for gennemsigtighed vedrørende reelt ejerskab kræver, at oplysninger indsamles via forskellige kanaler. En sådan flerstrenget tilgang omfatter de oplysninger, som den juridiske enhed for eller forvalteren af en viljesbestemt trust eller personer, der selv beklæder en tilsvarende stilling i et lignende juridisk arrangement, har, oplysninger indhentet af forpligtede enheder i forbindelse med kundekendskabsprocedurer og oplysninger i centrale registre. Krydstjek af oplysninger mellem disse søjler bidrager til at sikre, at hver søjle har fyldestgørende, nøjagtige og ajourførte oplysninger. Med henblik herpå og for at undgå uoverensstemmelser på grund af forskellige tilgange, er det vigtigt at identificere de kategorier af data, der altid bør indsamles for at sikre, at oplysningerne om reelt ejerskab er fyldestgørende. Dette omfatter grundlæggende oplysninger om den juridiske enhed og det juridiske arrangement, hvilket er en forudsætning for, at enheden eller arrangementet selv kan forstå sin struktur, enten gennem ejerskab eller gennem kontrol.
(122)
Når juridiske enheder og juridiske arrangementer indgår i en kompleks struktur, er klarhed om deres ejerskabs- eller kontrolstruktur afgørende for at fastslå, hvem deres reelle ejere er. Med henblik herpå er det vigtigt, at juridiske enheder og juridiske arrangementer klart forstår de forbindelser, hvorigennem de indirekte ejes eller kontrolleres, herunder alle mellemliggende trin mellem de reelle ejere og selve den retlige enhed eller det juridiske arrangement, uanset om disse forbindelser er i form af andre juridiske enheder og juridiske arrangementer eller i form af nominee-forretningsforbindelser. Identifikation af ejerskabs- og kontrolstrukturen gør det muligt at identificere de måder, hvorpå ejerskab eller kontrol kan udøves over en juridisk enhed, og er derfor væsentlig for en samlet forståelse af den reelle ejers stilling. Oplysningerne om den reelle ejer bør derfor altid omfatte en beskrivelse af forbindelsesstrukturen.
(123)
En effektiv ramme for gennemsigtighed vedrørende reelt ejerskab underbygges ved hjælp af det kendskab, som juridiske enheder besidder til de fysiske personer, der er deres reelle ejere. Alle juridiske enheder i Unionen bør således indhente og opbevare fyldestgørende, nøjagtige og ajourførte oplysninger om reelt ejerskab. Disse oplysninger bør opbevares i fem år, og identiteten på den person, som har ansvar for opbevaring af oplysningerne, bør indberettes til de centrale registre. Nævnte opbevaringsperiode svarer til opbevaringsperioden for oplysninger, der er indhentet ved anvendelsen af kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme såsom kundekendskabsprocedurer. For at garantere muligheden for at krydstjekke og kontrollere oplysninger, f.eks. ved hjælp af mekanismen for indberetning af uoverensstemmelser, er det begrundet at sikre, at de relevante dateopbevaringsperioder stemmer overens.
(124)
For at sikre, at oplysningerne om reelt ejerskab er ajourførte, bør juridiske enheder ajourføre disse oplysninger umiddelbart efter enhver ændring og regelmæssigt kontrollere dem, for eksempel sammen med fremlæggelsen af regnskaber eller ved anden gentagen interaktion med offentlige myndigheder. Tidsfristen for ajourføring af oplysningerne bør være rimelig i betragtning af mulige komplekse tilfælde.
(125)
Juridiske enheder bør træffe alle nødvendige foranstaltninger for at identificere deres reelle ejere. Der kunne dog opstå tilfælde, hvor det ikke er muligt at identificere en fysisk person, der i sidste ende enten ejer eller udøver kontrol over en enhed. I sådanne ekstraordinære tilfælde bør det være muligt at indberette de øverste ledere i stedet for de reelle ejere, når der indgives oplysninger om reelt ejerskab til forpligtede enheder i løbet af kundekendskabsproceduren, eller når der indgives oplysninger til det centrale register, forudsat at alle identifikationsmåder er udtømt. Selv om de øverste ledere er identificeret i disse tilfælde, er de ikke de reelle ejere. Juridiske enheder bør føre fortegnelser over tiltag, som de iværksætter for at identificere deres reelle ejere, navnlig når de anvender denne nødforanstaltning, som bør være behørigt begrundet og dokumenteret.
(126)
Vanskeligheder med at indhente oplysninger bør ikke være en gyldig grund til at undgå identifikationsindsatsen og i stedet anvende indberetning af den øverste ledelse. Derfor bør juridiske enheder altid kunne underbygge deres tvivl om rigtigheden af de indsamlede oplysninger. En sådan begrundelse bør stå i rimeligt forhold til risikoen for de juridiske enheder og kompleksiteten af deres ejerstruktur. Fortegnelserne over iværksatte tiltag bør navnlig forelægges de kompetente myndigheder med det samme, når det forlanges, og på et risikofølsomt grundlag bør det være muligt, at denne fortegnelse omfatter bestyrelsens beslutninger og referater af dens møder, partnerskabsaftaler, trustdokumenter, uformelle ordninger, der fastlægger beføjelser svarende til fuldmagter, eller andre kontraktlige aftaler og dokumentation. I tilfælde, hvor fravær af reelle ejere er indlysende med hensyn til en juridisk enheds særlige form og struktur, bør begrundelsen forstås som en henvisning til dette forhold, nemlig at den juridiske enhed ikke har en reel ejer på grund af sin særlige form og struktur. Sådant fravær af reelle ejere kan opstå, hvis der for eksempel ikke er ejerandele i den juridiske enhed, eller den juridiske enhed i sidste ende ikke kan kontrolleres på anden måde.
(127)
I betragtning af formålet med at fastlægge reelt ejerskab, som er at sikre effektiv gennemsigtighed med hensyn til juridiske enheder, er det forholdsmæssigt at fritage visse enheder fra forpligtelsen til at identificere deres reelle ejer. En sådan ordning kan kun anvendes på enheder, for hvilke identifikation og registrering af deres reelle ejere ikke er nyttig, og hvor en tilsvarende grad af gennemsigtighed opnås ved hjælp af andre midler end reelt ejerskab. I denne henseende bør medlemsstaters offentligretlige organer ikke være forpligtede til at fastlægge deres reelle ejer. Europa-Parlamentets og Rådets direktiv 2004/109/EF 
(
27
)
 indførte strenge gennemsigtighedskrav for selskaber, hvis værdipapirer er optaget til handel på et reguleret marked. Under visse omstændigheder kan disse gennemsigtighedskrav udgøre en gennemsigtighedsordning, som svarer til de gennemsigtighedsregler for reelt ejerskab, der er fastsat i denne forordning. Dette er tilfældet, når kontrollen med et selskab udøves gennem stemmerettigheder, og selskabets ejerskabs- eller kontrolstruktur kun omfatter fysiske personer. Under disse omstændigheder er det ikke nødvendigt at anvende kravene om reelt ejerskab på disse børsnoterede selskaber. Fritagelsen for juridiske enheder fra forpligtelsen til at fastlægge deres egen reelle ejer og til at registrere den bør ikke berøre forpligtede enheders forpligtelse til at identificere en kundes reelle ejer, når de gennemfører kundekendskabsprocedurer.
(128)
Det er nødvendigt at sikre lige konkurrencevilkår for forskellige typer af juridiske former og at undgå misbrug af viljesbestemte truster og juridiske arrangementer, som ofte er i flere lag i komplekse strukturer for yderligere at tilsløre det reelle ejerskab. Trustforvaltere af viljesbestemte truster, som forvaltes i en medlemsstat eller er etableret eller beliggende i en medlemsstat, bør således have ansvar for at indhente og opbevare fyldestgørende, nøjagtige og ajourførte oplysninger om reelt ejerskab vedrørende viljesbestemte truster og for at oplyse om deres status og videregive disse oplysninger til forpligtede enheder, som gennemfører kundekendskabsprocedurer. En eventuel anden reel ejer af en viljesbestemt trust bør bistå trustforvalteren med at indhente sådanne oplysninger.
(129)
Juridiske arrangementers art og den manglende offentliggørelse af deres strukturer og formål pålægger trustforvaltere eller personer i tilsvarende stillinger i lignende juridiske arrangementer en særlig forpligtelse til at indhente og opbevare alle relevante oplysninger om juridiske arrangementer. Sådanne oplysninger bør gøre det muligt at identificere et juridisk arrangement, de aktiver, der er placeret deri eller administreres gennem det, og enhver agent i forbindelse med eller udbyder af tjenester til trusten. For at lette de kompetente myndigheders aktiviteter vedrørende forebyggelse, opdagelse og efterforskning af hvidvask af penge, de underliggende lovovertrædelser i forbindelse hermed og finansiering af terrorisme er det vigtigt, at trustforvaltere holder disse oplysninger ajour, og at de opbevarer dem i tilstrækkelig lang tid, efter at de ophører med at fungere som trustforvaltere eller tilsvarende. Det er også nødvendigt at give forpligtede enheder en grundlæggende mængde oplysninger om juridiske arrangementer for at sætte dem i stand til fuldt ud at fastslå formålet med de forretningsforbindelser eller lejlighedsvise transaktioner, som juridiske arrangementer deltager i, vurdere de dermed forbundne risici på fyldestgørende vis og gennemføre passende foranstaltninger for at afbøde disse risici.
(130)
I lyset af visse juridiske arrangementers specifikke struktur og behovet for at sikre tilstrækkelig gennemsigtighed om deres reelle ejerskab bør sådanne juridiske arrangementer, som ligner viljesbestemte truster, være omfattet af krav vedrørende reelt ejerskab, som svarer til de krav, der finder anvendelse på viljesbestemte truster.
(131)
Nominee-ordninger kan gøre det muligt at skjule de reelle ejeres identitet, fordi en nominee kan fungere som direktør for eller kapitalejer i en juridisk enhed, samtidig med at den enhed eller person, der har udpeget nominee'en, ikke altid offentliggøres. Nævnte arrangementer kan tilsløre det reelle ejerskab og kontrolstrukturen, hvis reelle ejere ikke ønsker at oplyse deres identitet eller deres rolle heri. Det er således nødvendigt at indføre gennemsigtighedskrav for at undgå, at sådanne arrangementer misbruges, og for at forhindre kriminelle i at skjule sig bag personer, som handler på deres vegne. Forholdet mellem en nominee og udpegeren afhænger ikke af, om det har indvirkning på offentligheden eller tredjeparter. Selv om nominee-ejere, hvis navn fremgår af offentlige eller officielle fortegnelser, formelt har uafhængig kontrol over virksomheden, bør det være forpligtet til at oplyse, om de handler efter instruks fra en anden på grundlag af en privat overenskomst. Nominee-ejere og nominee-ledelsesmedlemmer i juridiske enheder bør opbevare tilstrækkelige oplysninger om identiteten af udpegeren, samt om identiteten af eventuelle reelle ejere af udpegeren og fremlægge disse samt deres status for juridiske enheder. Juridiske enheder bør ligeledes indberette samme oplysninger til forpligtede enheder, når kundekendskabsprocedurer anvendes og til de centrale registre.
(132)
Det er nødvendigt at afbøde de risici, der hidrører fra udenlandske juridiske enheder og udenlandske juridiske arrangementer, som misbruges til at kanalisere udbytte af midler ind i Unionens finansielle system. Eftersom de standarder vedrørende reelt ejerskab, der er indført i tredjelande, muligvis ikke er tilstrækkelige med henblik på at muliggøre samme grad af gennemsigtighed for og rettidig tilgængelighed af oplysninger om reelt ejerskab som i Unionen, er det under specifikke omstændigheder nødvendigt at fastlægge passende metoder til identifikation af reelle ejere af udenlandske juridiske enheder eller udenlandske juridiske arrangementer. Juridiske enheder, der er oprettet uden for Unionen, og viljesbestemte truster eller lignende juridiske arrangementer, som forvaltes uden for Unionen, eller hvis trustforvaltere eller personer med en tilsvarende stilling har bopæl eller er etableret uden for Unionen, bør derfor forpligtes til at oplyse om deres reelle ejere, når de opererer i Unionen ved at indgå en forretningsforbindelse med en forpligtet enhed i Unionen eller ved at erhverve fast ejendom i Unionen eller visse varer af høj værdi fra forpligtede enheder, der er beliggende i Unionen, eller når de tildeles en kontrakt efter en offentlig udbudsprocedure for varer eller tjenesteydelser eller koncessioner. Der kan være variationer i risikoeksponeringen i medlemsstaterne, blandt andet afhængigt af kategorien eller typen af aktiviteter, der udføres af forpligtede enheder, og af, hvor attraktiv fast ejendom på deres område er for kriminelle. Hvis medlemsstaterne identificerer tilfælde med en højere risiko, bør de derfor kunne træffe yderligere afbødende foranstaltninger for at imødegå disse risici.
(133)
Registreringskravene for udenlandske juridiske enheder og udenlandske juridiske arrangementer bør stå i rimeligt forhold til de risici, der er forbundet med deres aktiviteter i Unionen. I betragtning af den åbne karakter af Unionens indre marked og udenlandske juridiske enheders anvendelse af de tjenester, der udbydes af forpligtede enheder, som er etableret i Unionen, hvoraf mange er forbundet med lavere risiko for hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme, er det hensigtsmæssigt at begrænse registreringskravet til juridiske enheder i højrisikosektorer eller som agerer i højere risikokategorier eller som modtager tjenester fra forpligtede enheder i sektorer, der er forbundet med højere risici. Juridiske arrangementers private karakter og hindringerne for at få adgang til oplysninger om reelt ejerskab i tilfælde af udenlandske juridiske arrangementer berettiger til anvendelse af et registreringskrav uanset det risikoniveau, der er forbundet med, at en forpligtet enhed udbyder tjenester til et juridisk arrangement, eller, hvor det er relevant, i den sektor, som et juridisk arrangement opererer i. Henvisninger til risikovurderingen på EU-plan i henhold til artikel 7 i direktiv (EU) 2024/1640 bør forstås som en henvisning til den risikovurdering, som Kommissionen udsteder i medfør af artikel 6 i direktiv (EU) 2015/849 indtil den første udsendelse af rapporten i henhold til artikel 7 i direktiv (EU) 2024/1640.
(134)
For at tilskynde til opfyldelse og sikre reel gennemsigtighed om reelt ejerskab er det nødvendigt, at kravene vedrørende reelt ejerskab håndhæves. Med henblik herpå bør medlemsstaterne anvende sanktioner for tilsidesættelse af disse krav. Disse sanktioner bør være effektive, stå i et rimeligt forhold til overtrædelsen og have en afskrækkende virkning og ikke gå videre, end hvad der er nødvendigt for at tilskynde til opfyldelse. Sanktioner, der indføres af medlemsstaterne, bør have samme afskrækkende virkning i hele Unionen med hensyn til tilsidesættelse af kravene vedrørende reelt ejerskab. Det bør være muligt for sanktioner at omfatte f.eks. bøder til juridiske enheder og trustforvaltere eller personer, der har en tilsvarende stilling i et lignende juridisk arrangement, for at undlade at opbevare nøjagtige, tilstrækkelige og ajourførte oplysninger om reelt ejerskab, sletning af juridiske enheder, der ikke opfylder forpligtelsen til at opbevare oplysninger om reelt ejerskab eller til at indgive oplysninger om reelt ejerskab inden for en given frist, bøder til reelle ejere og andre personer, der ikke samarbejder med en juridisk enheder eller forvalter af en viljesbestemt trust eller en person, der har en tilsvarende stilling i et lignende juridisk arrangement, bøder til nominee-ejere og nominee-ledelsesmedlemmer, der ikke opfylder oplysningspligten, eller privatretlige konsekvenser for uoplyste reelle ejere som forbud mod betaling af overskud eller forbud mod udøvelse af stemmerettigheder.
(135)
Med henblik på at sikre en konsekvent tilgang til fuldbyrdelse af kravene vedrørende reelt ejerskab på det indre marked bør Kommissionen tillægges beføjelse til at vedtage delegerede retsakter med henblik på at fastlægge de kategorier af tilsidesættelse, der er omfattet af sanktioner, og de personer, der er ansvarlige for sådanne tilsidesættelser, samt indikatorer for grovhedsniveau og kriterier for fastsættelse af sanktionsniveau. Til støtte for fastsættelsen af sanktionsniveau og i overensstemmelse med harmoniseringsmålet i denne forordning bør det desuden være muligt for Kommissionen at vedtage retningslinjer, som angiver grundbeløbene for hver kategori af tilsidesættelse.
(136)
Mistænkelige transaktioner, herunder forsøg på transaktioner, og andre oplysninger vedrørende hvidvask af penge, de underliggende lovovertrædelser og finansiering af terrorisme bør indberettes til FIU'en, der bør fungere som fælles central national enhed for modtagelse og analyse af indberettede mistanker og for formidling af resultaterne af sine analyser til de kompetente myndigheder. Alle mistænkelige transaktioner, herunder forsøg på transaktioner, bør indberettes uanset transaktionernes størrelse, og henvisninger til mistanker bør fortolkes således, at de omfatter mistænkelige transaktioner, aktiviteter og transaktionsmønstre og mistænkelig adfærd. Indberettede oplysninger kunne også omfatte tærskelbaserede oplysninger. For at støtte forpligtede enheders opdagelse af mistanke bør AMLA udstede retningslinjer for indikatorer for mistænkelig aktivitet eller adfærd. I betragtning af det skiftende risikomiljø bør disse retningslinjer revideres regelmæssigt og bør ikke foregribe FIU'ers udstedelse af retningslinjer eller indikatorer for risici og metoder i forbindelse med hvidvask af penge og finansiering af terrorisme, der er fastlagt på nationalt plan. Det forhold, at en forpligtet enhed eller en ansat eller direktør i en sådan forpligtet enhed i god tro videregiver oplysninger til FIU'en, bør ikke betragtes som et brud på en eventuel tavshedspligt og bør ikke påføre den forpligtede enhed eller dens direktører eller ansatte nogen form for ansvar.
(137)
Forpligtede enheder bør indføre omfattende indberetningsordninger, der omfatter alle mistanker, uanset værdien eller den opfattede alvor af den tilknyttede kriminelle handling. De bør være opmærksomme på FIU'ers forventninger og bør så vidt muligt skræddersy deres detektionssystemer og analyseprocesser til de risici, der påvirker den medlemsstat, hvor de er etableret, og om nødvendigt prioritere deres analyser med henblik på at imødegå disse centrale risici.
(138)
Transaktioner bør vurderes på grundlag af oplysninger, som forpligtede enheder har eller bør have kendskab til. Dette omfatter relevante oplysninger fra agenter, distributører og tjenesteudbydere. Hvis en underliggende lovovertrædelse ikke er kendt eller synlig for en forpligtet enhed, varetages rollen med at identificere og indberette mistænkelige transaktioner mere effektivt ved at fokusere på at opdage mistanker og indgive rapporter med det samme. I sådanne tilfælde behøver den forpligtede enhed ikke at angive den underliggende lovovertrædelse, når den indberetter en mistænkelig transaktion til en FIU, hvis den ikke har kendskab til den. Hvis disse oplysninger foreligger, bør de medtages i rapporten. Som gatekeepere i Unionens finansielle system bør forpligtede enheder også kunne indgive en rapport, hvis de har kendskab til eller mistanke om, at midler er blevet eller vil blive anvendt til at udføre kriminelle handlinger såsom køb af ulovlige varer, selv om de oplysninger, som de har til rådighed, ikke tyder på, at de anvendte midler stammer fra ulovlige kilder.
(139)
Forskelle mellem medlemsstaternes indberetningsforpligtelser vedrørende mistænkelige transaktioner kunne forværre de vanskeligheder med overholdelse af reglerne for bekæmpelse af hvidvask af penge og finansiering af terrorisme, som forpligtede enheder, der har en grænseoverskridende tilstedeværelse eller udøver grænseoverskridende aktiviteter, står over for. Derudover har strukturen i og indholdet af rapporter om mistænkelige transaktioner indvirkning på FIU'ers evne til at foretage en undersøgelse og på karakteren af denne undersøgelse og påvirker ligeledes FIU'ers muligheder for at samarbejde og udveksle oplysninger. For at gøre det lettere for forpligtede enheder at opfylde deres indberetningsforpligtelser og sikre, at FIU'ers analytiske aktiviteter og samarbejde kan fungere mere effektivt, bør AMLA udarbejde udkast til gennemførelsesmæssig tekniske standarder, som indeholder en fælles model for rapport om mistænkelige transaktioner, der skal anvendes som ensartet grundlag i hele Unionen.
(140)
FIU'er bør fra alle forpligtede enheder hurtigt kunne indhente alle nødvendige oplysninger af relevans for deres opgaver. Uhindret og hurtig adgang for disse til oplysninger er yderst vigtig for at sikre korrekt sporing af pengestrømme og afsløring af ulovlige netværk og strømme på et tidligt stadium. FIU'ers behov for at indhente yderligere oplysninger fra forpligtede enheder på grundlag af mistanke om hvidvask af penge eller finansiering af terrorisme kan være udløst af en forudgående rapport til FIU'en om en mistænkelig transaktion, men kan også udløses på anden måde såsom FIU'ens egen analyse, efterretninger fra kompetente myndigheder eller oplysninger fra en anden FIU. FIU'er bør derfor som led i deres opgaver være i stand til at indhente oplysninger fra enhver forpligtet enhed, også uden en forudgående rapport. Fortegnelser over finansielle transaktioner og overførsler foretaget via en bank-, betalings- eller kryptoaktivkonto er navnlig vigtige for FIU'ers analytiske arbejde. På grund af manglende harmonisering indgiver kreditinstitutter og finansieringsinstitutter imidlertid på nuværende tidspunkt transaktionsfortegnelser til FIU'er i forskellige formater, som ikke umiddelbart kan anvendes til analyse. I betragtning af den grænseoverskridende karakter af FIU'ers analytiske aktiviteter hæmmer forskellene i formater og vanskelighederne med behandling af transaktionsfortegnelser udveksling af oplysninger mellem FIU'er og udarbejdelse af grænseoverskridende finansielle analyser. AMLA bør derfor udarbejde udkast til gennemførelsesmæssige tekniske standarder, der indeholder en fælles model for kreditinstitutters og finansieringsinstitutters indgivelse af transaktionsfortegnelser til FIU'er, og som skal anvendes som ensartet grundlag i hele Unionen.
(141)
Forpligtede enheder bør besvare en anmodning om oplysninger fra en FIU hurtigst muligt og under alle omstændigheder inden for fem arbejdsdage efter modtagelsen af anmodningen eller enhver anden kortere eller længere frist pålagt af FIU'en. I berettigede og hastende tilfælde bør den forpligtede enhed besvare FIU'ens anmodning inden for 24 timer. Disse frister finder anvendelse på oplysninger, der er baseret på tilstrækkeligt veldefinerede betingelser. En FIU bør også kunne indhente oplysninger fra forpligtede enheder efter anmodning fra en anden FIU og kunne udveksle oplysningerne med den anmodende FIU. Anmodninger til forpligtede enheder er af forskellig art. Komplekse anmodninger kan for eksempel kræve mere tid og berettige en længere svarfrist. Med henblik herpå bør FIU'er kunne give forpligtede enheder længere frister, forudsat at det ikke har negativ indvirkning på FIU'ers analyse.
(142)
For så vidt angår visse forpligtede enheder bør medlemsstaterne have mulighed for at udpege et passende selvregulerende organ, som skal underrettes i første omgang i stedet for FIU'en. I overensstemmelse med Den Europæiske Menneskerettighedsdomstols praksis udgør en ordning, som i første omgang indebærer indberetning til et selvregulerende organ, en vigtig beskyttelsesforanstaltning til at opretholde beskyttelsen af grundlæggende rettigheder i forhold til den indberetningsforpligtelse, som påhviler advokater. Medlemsstaterne bør tilvejebringe de metoder og midler, der skal til for at beskytte tavshedspligten, fortroligheden og privatlivets fred.
(143)
Notarer, advokater, andre selvstændige retlige aktører, revisorer, eksterne regnskabskyndige og skatterådgivere bør ikke være forpligtet til at fremsende oplysninger til en FIU eller til et selvregulerende organ, som er modtaget fra eller indhentet om en af deres kunder i forbindelse med vurderingen af denne kundes retsstilling eller ved forsvar eller repræsentation af denne kunde under eller i forbindelse med retssager, herunder ved rådgivning om indledning eller undgåelse af sådanne retssager, uanset om sådanne oplysninger er modtaget eller indhentet før, under eller efter retssagerne. En sådan undtagelse bør imidlertid ikke finde anvendelse, hvis den retlige aktør, revisor, ekstern regnskabskyndig eller skatterådgiver deltager i hvidvask af penge eller finansiering af terrorisme, hvis den juridiske rådgivning ydes med henblik på hvidvask af penge eller finansiering af terrorisme, eller hvis den retlige aktør, revisor, ekstern regnskabskyndig eller skatterådgiver har kendskab til, at kunden søger juridisk rådgivning med henblik på hvidvask af penge eller finansiering af terrorisme. Sådant kendskab og formål kan udledes af objektive, faktiske omstændigheder. Juridisk rådgivning, der søges i forbindelse med verserende retssager, bør ikke betragtes som juridisk rådgivning med henblik på hvidvask af penge eller finansiering af terrorisme. I overensstemmelse med den risikobaserede tilgang bør medlemsstaterne kunne identificere yderligere situationer, hvor undtagelsen fra indberetningskravet i betragtning af den høje risiko for hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme i tilknytning til visse typer af transaktioner ikke finder anvendelse. Når medlemsstaterne identificerer sådanne yderligere situationer, skal de sikre overholdelse af navnlig chartrets artikel 7 og 47.
(144)
Forpligtede enheder bør undtagelsesvist have mulighed for at gennemføre mistænkelige transaktioner, inden de underretter en FIU, hvis undladelse heraf er umulig eller undladelse heraf med sandsynlighed vil være til hinder for retsforfølgelse af de personer, der drager fordel af formodet hvidvask af penge eller finansiering af terrorisme. Denne undtagelse bør dog ikke påberåbes i forbindelse med transaktioner, der vedrører eventuelle internationale forpligtelser, som FIU'ens medlemsstat i overensstemmelse med de relevante resolutioner fra FN's Sikkerhedsråd har accepteret med hensyn til omgående at indefryse pengemidler eller andre aktiver tilhørende terrorister, terrororganisationer eller dem, som finansierer terrorisme.
(145)
Fortrolighed i forbindelse med indberetning af mistænkelige transaktioner og med indgivelse af andre relevante oplysninger til FIU'er er yderst vigtig for at give de kompetente myndigheder mulighed for at indefryse og beslaglægge aktiver, som potentielt er forbundet med hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme. En mistænkelig transaktion er ikke en indikator på en kriminel handling. Offentliggørelse af, at en sådan mistanke er blevet indberettet, kunne skade omdømmet for de personer, der er involveret i transaktionen, og sætte gennemførelsen af analyser og efterforskninger over styr. Derfor bør forpligtede enheder samt deres direktører og ansatte eller personer i en tilsvarende stilling, herunder agenter og distributører, ikke underrette den berørte kunde eller en tredjepart om, at der indgives, vil blive indgivet eller er blevet indgivet oplysninger til en FIU, hvad enten det er direkte eller gennem et selvregulerende organ, eller at der er blevet eller eventuelt vil blive foretaget en analyse vedrørende hvidvask af penge eller finansiering af terrorisme. Forbuddet mod videregivelse finder ikke anvendelse under specifikke omstændigheder, som vedrører f.eks. videregivelse af oplysninger til kompetente myndigheder og selvregulerende organer, når de udfører tilsynsfunktioner, eller videregivelse af oplysninger med henblik på retshåndhævelse, eller når videregivelsen af oplysninger sker mellem forpligtede enheder, der tilhører den samme koncern.
(146)
Kriminelle flytter udbytte, der hidrører fra ulovlige aktiviteter, gennem talrige mellemmænd for at undgå at blive opdaget. Det er derfor vigtigt, at forpligtede enheder sættes i stand til ikke kun at udveksle oplysninger mellem koncernmedlemmer, men også i visse tilfælde mellem kreditinstitutter og finansieringsinstitutter og andre institutter, der opererer inden for netværk, under behørig hensyntagen til databeskyttelsesreglerne. Uden for et partnerskab til udveksling af oplysninger bør den videregivelse, der er tilladt blandt visse kategorier af forpligtede enheder i tilfælde, som omfatter den samme transaktion, kun finde sted med hensyn til den specifikke transaktion, der foretages mellem eller lettes af disse forpligtede enheder, og ikke med hensyn til tilknyttede tidligere eller efterfølgende transaktioner.
(147)
Udveksling af oplysninger mellem forpligtede enheder og, hvor det er relevant, kompetente myndigheder kan øge mulighederne for at opdage ulovlige finansielle strømme vedrørende hvidvask af penge, finansiering af terrorisme og udbytte fra kriminalitet. Af denne grund bør forpligtede enheder og kompetente myndigheder kunne udveksle oplysninger inden for rammerne af et partnerskab for udveksling af oplysninger, når de anser en sådan udveksling for nødvendig for at opfylde deres forpligtelser for bekæmpelse af hvidvask af penge og finansiering af terrorisme og varetage deres opgaver for bekæmpelse af hvidvask af penge og finansiering af terrorisme. Udveksling af oplysninger bør være underlagt solide sikkerhedsforanstaltninger vedrørende fortrolighed, databeskyttelse, anvendelse af oplysninger og strafferetspleje. Forpligtede enheder bør ikke udelukkende henholde sig til oplysninger modtaget ved udveksling af oplysninger for at drage konklusioner om risikoen for hvidvask af penge og finansiering af terrorisme forbundet med en kunde eller en transaktion eller træffe beslutninger om indledning eller ophør af en forretningsforbindelse eller gennemførelse af en transaktion. Som anerkendt i direktiv 2014/92/EU afhænger et velfungerende indre marked og udviklingen af en moderne, socialt inklusiv økonomi i stigende grad af et universelt udbud af betalingstjenester. Derfor bør adgang til grundlæggende finansielle tjenesteydelser ikke nægtes på grundlag af oplysninger, der udveksles mellem forpligtede enheder eller mellem forpligtede enheder og kompetente myndigheder eller AMLA.
(148)
Opfyldelse af kravene i denne forordning er underlagt tilsynsorganers kontrol. Hvis forpligtede enheder udveksler oplysninger inden for rammerne af et partnerskab til udveksling af oplysninger, bør denne kontrol også omfatte opfyldelse af de betingelser, der er fastsat i denne forordning for sådan udveksling af oplysninger. Selv om tilsynskontroller bør være risikobaseret, bør de under alle omstændigheder foretages, inden aktiviteterne i partnerskabet indledes med henblik på udveksling af oplysninger. Partnerskaber med henblik på udveksling af oplysninger, som omfatter behandling af personoplysninger, kan medføre høj risiko for fysiske personers rettigheder og frihedsrettigheder. Der bør derfor foretages en konsekvensanalyse vedrørende databeskyttelse i henhold til Europa-Parlamentets og Rådets forordning (EU) 2016/679 
(
28
)
, inden partnerskabets aktiviteter indledes. I forbindelse med tilsynskontrol bør tilsynsorganer, hvor det er relevant, høre databeskyttelsesmyndighederne, som alene har kompetence til at vurdere konsekvensanalysen vedrørende databeskyttelse. Databeskyttelsesbestemmelserne og alle kravene vedrørende fortrolighed af oplysninger om mistænkelige transaktioner i denne forordning finder anvendelse på oplysninger, der udveksles inden for rammerne af et partnerskab. I overensstemmelse med forordning (EU) 2016/679 bør medlemsstaterne kunne opretholde eller indføre mere specifikke bestemmelser for at tilpasse anvendelsen af nævnte forordning med henblik på at fastsætte mere specifikke krav vedrørende behandling af personoplysninger, der udveksles inden for rammerne af et partnerskab til udveksling af oplysninger.
(149)
Selv om partnerskaber med henblik på udveksling af oplysninger muliggør udveksling af operationelle oplysninger og personoplysninger under strenge sikkerhedsforanstaltninger, bør sådanne udvekslinger ikke erstatte kravene i denne forordning om at indberette enhver mistanke til den kompetente FIU. Når forpligtede enheder identificerer mistænkelige aktiviteter på grundlag af oplysninger indhentet inden for rammerne af et partnerskab til udveksling af oplysninger, bør de derfor indberette denne mistanke til FIU'en i den medlemsstat, hvor de er etableret. Oplysninger, der tyder på mistænkelige aktiviteter, er underlagt strengere regler, som forbyder videregivelse heraf, og bør kun udveksles, hvis det er nødvendigt for at forebygge og bekæmpe hvidvask af penge, de underliggende lovovertrædelser og finansiering af terrorisme, og er omfattet af sikkerhedsforanstaltninger, der beskytter de grundlæggende rettigheder, fortroligheden af FIU-arbejdet og integriteten af retshåndhævelsesefterforskningen.
(150)
Forordning (EU) 2016/679 finder anvendelse på behandling af personoplysninger med henblik på nærværende forordning. Bekæmpelse af hvidvask af penge og finansiering af terrorisme er anerkendt som en vigtig samfundsinteresse af alle medlemsstater. Forpligtede enheder bør være særligt opmærksomme på principperne om, at personoplysninger, der behandles som led i opfyldelsen af deres forpligtelser for bekæmpelse af hvidvask af penge og finansiering af terrorisme, skal være nøjagtige, pålidelige og ajourførte. Med henblik på at overholde nærværende forordning bør forpligtede enheder kunne indføre processer, som muliggør automatiske individuelle afgørelser, herunder profilering, som fastsat i artikel 22 i forordning (EU) 2016/679. I denne forbindelse bør de krav, der er fastsat i nærværende forordning for at beskytte rettighederne for personer, der er omfattet af sådanne processer, finde anvendelse ud over eventuelle andre relevante krav i EU-retten vedrørende beskyttelse af personoplysninger.
(151)
Det er yderst vigtigt, at tilpasningen af rammen for bekæmpelse af hvidvask af penge og finansiering af terrorisme til de reviderede FATF-anbefalinger gennemføres i fuld overensstemmelse med EU-retten, navnlig hvad angår Unionens databeskyttelsesret og beskyttelsen af grundlæggende rettigheder som nedfældet i chartret. Visse aspekter af gennemførelsen af rammen for bekæmpelse af hvidvask af penge og finansiering af terrorisme indebærer indsamling, analyse, opbevaring og udveksling af data. En sådan behandling af personoplysninger bør være tilladt med fuld respekt for de grundlæggende rettigheder og kun til de formål, der er fastsat i denne forordning, og for at gennemføre kundekendskabsprocedurer, løbende overvågning, analyse og indberetning af mistænkelige transaktioner, identificere en juridisk persons eller et juridisk arrangements reelle ejer, identificere en politisk eksponeret person og udveksle oplysninger blandt kreditinstitutter og finansieringsinstitutter og andre forpligtede enheder. Forpligtede enheders indsamling og efterfølgende behandling af personoplysninger bør begrænses til det, der er nødvendigt for at opfylde kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme, og personlige oplysninger bør ikke behandles yderligere på en måde, der er uforenelig med dette formål. Navnlig bør senere behandling af personoplysninger til kommercielle formål være strengt forbudt.
(152)
Behandling af visse kategorier af følsomme oplysninger som defineret i artikel 9 i forordning (EU) 2016/679 kan medføre risici for de grundlæggende rettigheder og frihedsrettigheder for de personer, der er omfattet af disse oplysninger. For at minimere risikoen for, at forpligtede enheders behandling af sådanne oplysninger fører til diskriminerende eller partiske resultater, der påvirker kunder negativt, såsom ophør af eller nægtelse af at indgå en forretningsforbindelse, bør forpligtede enheder ikke træffe beslutninger udelukkende på grundlag af oplysninger, som de er i besiddelse af, vedrørende særlige kategorier af personoplysninger som omhandlet i forordning (EU) 2016/679, hvis disse oplysninger ikke har nogen relevans for de risici for hvidvask af penge og finansiering af terrorisme, som en transaktion eller en forbindelse udgør. For at sikre, at intensiteten af kundekendskabsprocedurer bygger på en helhedsforståelse af de risici, der er forbundet med kunder, bør forpligtede enheder heller ikke basere anvendelsen af et højere eller lavere niveau af kundekendskabsprocedurer udelukkende på følsomme oplysninger om kunder, som de er i besiddelse af.
(153)
Det fremgår af de reviderede FATF-anbefalinger, at forpligtede enheder for at kunne samarbejde fuldt ud og hurtigt efterkomme anmodninger om oplysninger fra kompetente myndigheder med henblik på forebyggelse, opdagelse eller efterforskning af hvidvask af penge og finansiering af terrorisme bør opbevare de nødvendige oplysninger, der er indhentet gennem kundekendskabsprocedurer og fortegnelser over transaktioner, i mindst fem år. For at undgå forskellige tilgange og for at opfylde kravene vedrørende beskyttelse af personoplysninger og retssikkerhed bør denne opbevaringsperiode fastsættes til fem år efter udløbet af en forretningsforbindelse eller en lejlighedsvis transaktion. Der kunne være situationer, hvor de kompetente myndigheders funktioner ikke kan udføres effektivt, hvis de relevante oplysninger, som forpligtede enheder er i besiddelse af, slettes, når opbevaringsperioden udløber. I sådanne tilfælde bør de kompetente myndigheder kunne anmode forpligtede enheder om i det enkelte tilfælde at opbevare oplysninger i en længere periode, som ikke bør overstige fem år.
(154)
Når begrebet kompetente myndigheder henviser til efterforskende og retsforfølgende myndigheder, bør det fortolkes som omfattende Den Europæiske Anklagemyndighed (EPPO) med hensyn til de medlemsstater, som deltager i det forstærkede samarbejde om oprettelsen af EPPO.
(155)
FIU'ers formidling spiller en afgørende rolle med hensyn til at opdage mulige kriminelle handlinger under EPPO's eller Det Europæiske Kontor for Bekæmpelse af Svigs (OLAF's) kompetence, eller i forbindelse med hvilke Europol og Eurojust er i stand til at yde operationel støtte i overensstemmelse med deres respektive mandater på et tidligt tidspunkt og støtte hurtig og effektiv efterforskning og retsforfølgning. De oplysninger, som FIU'er udveksler med EPPO og OLAF, bør omfatte grundene til mistanke om, at en strafbar handling under EPPO's og OLAF's respektive kompetencer kan være eller er blevet begået, og bør ledsages af alle relevante oplysninger, som FIU'erne er i besiddelse af, og som kan støtte tiltag, herunder relevante finansielle og administrative oplysninger. Når EPPO og OLAF anmoder om oplysninger fra FIU'er, er det lige så vigtigt, at FIU'erne er i stand til at udveksle alle de oplysninger, som de er i besiddelse af vedrørende sagen. I overensstemmelse med de gældende bestemmelser i oprettelsesretsakterne for EPPO og OLAF bør de underrette FIU'er om skridt, der tages i forbindelse med de oplysninger, der formidles, og om relevante resultater.
(156)
For at sikre passende og effektiv retspleje i perioden mellem denne forordnings ikrafttræden og anvendelsen heraf og for at give mulighed for et problemfrit samspil mellem forordningen og nationale retsplejeregler bør oplysninger og dokumenter af betydning for igangværende retssager med henblik på forebyggelse, opdagelse eller efterforskning af formodet hvidvask af penge eller finansiering af terrorisme, hvis disse retssager verserer i medlemsstaterne på datoen for denne forordnings ikrafttræden, opbevares i en periode på fem år fra denne dato, og denne periode bør kunne forlænges med yderligere fem år.
(157)
Den registreredes ret til indsigt finder anvendelse på de personoplysninger, der behandles med henblik på denne forordning. Hvis den registrerede imidlertid får indsigt i oplysninger, som vedrører en rapport om en mistænkelig transaktion, vil det i høj grad undergrave en effektiv bekæmpelse af hvidvask af penge og finansiering af terrorisme. Undtagelser fra og begrænsninger af denne ret i overensstemmelse med artikel 23 i forordning (EU) 2016/679 kan derfor være berettiget. Den registrerede har ret til at kræve, at en myndighed omhandlet i artikel 51 i forordning (EU) 2016/679 foretager kontroltjek af, om behandlingen er lovlig, og har ret til effektive retsmidler omhandlet i nævnte forordnings artikel 79. Denne myndighed kan også handle ex-officio, hvis det er fastsat i forordning (EU) 2016/679. Uden at det berører begrænsningerne i retten til indsigt, bør tilsynsmyndigheden have mulighed for at underrette den registrerede om, at alle tilsynsmyndighedens nødvendige kontroltjek er foretaget og om resultatet for så vidt angår lovligheden af den pågældende behandling.
(158)
Forpligtede enheder kan benytte sig af tjenesteydelser fra andre private operatører. rammen for bekæmpelse af hvidvask af penge og finansiering af terrorisme bør dog kun finde anvendelse på forpligtede enheder, og forpligtede enheder bærer det fulde ansvar for overholdelse af kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme. For at garantere retssikkerheden og for at undgå, at nogle tjenesteydelser på utilsigtet vis medtages i anvendelsesområdet for denne forordning er det nødvendigt at præcisere, at personer, som blot konverterer papirdokumenter til elektroniske data på basis af en kontrakt med en forpligtet enhed, og personer, som kun leverer meddelelsessystemer eller andre støttesystemer til overførsel af midler som defineret i artikel 4, nr. 25) i direktiv (EU) 2015/2366 eller clearing- og afviklingssystemer til kreditinstitutter eller finansieringsinstitutter, ikke henhører under anvendelsesområdet for denne forordning.
(159)
Forpligtede enheder bør indhente og opbevare fyldestgørende og nøjagtige oplysninger om reelt ejerskab og kontrol med juridiske personer. Da ihændehaveraktier tildeler ejerskabet til den person, som besidder ihændehaveraktiebeviset, giver de den reelle ejer mulighed for at forblive anonym. For at sikre, at sådanne aktier ikke misbruges til hvidvask af penge eller finansiering af terrorisme bør selskaber — som ikke er selskaber med børsnoterede værdipapirer på et reguleret marked, eller selskaber, hvis aktier udstedes som værdipapirer, der opbevares af mellemmand — konvertere alle eksisterende ihændehaveraktier til aktier noteret på navn, immobilisere dem eller deponere dem i et finansieringsinstitut. Derudover bør tegningsoptioner til ihændehaveraktier kun være tilladt via en mellemmand.
(160)
Kryptoaktivers anonymitet eksponerer dem for risici for misbrug til kriminelle formål. Anonyme kryptoaktivkonti samt andre anonymiserende instrumenter gør det umuligt at spore overførsler af kryptoaktiver og gør det vanskeligt at identificere indbyrdes forbundne transaktioner, som kan give anledning til mistanke, eller at gennemføre kundekendskabsprocedurer i passende omfang. For at sikre effektiv anvendelse af kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme på kryptoaktiver er det nødvendigt at indføre forbud mod, at udbydere af kryptoaktivtjenester udbyder og opbevarer anonyme kryptoaktivkonti eller konti, der muliggør anonymisering eller øget obfuskering af transaktioner, herunder gennem anonymitetsfremmende mønter. Dette forbud finder ikke anvendelse på udbydere af hardware og software eller udbydere af selvhostede tegnebøger, for så vidt som de ikke har adgang til eller kontrol over disse kryptoaktivtegnebøger.
(161)
Store kontantbetalinger er meget sårbare for hvidvask af penge og finansiering af terrorisme, og denne sårbarhed er ikke blevet tilstrækkeligt afbødet med kravet om, at personer, der handler med varer, er omfattet af reglerne vedrørende bekæmpelse af hvidvask af penge, når de foretager eller modtager kontantbetalinger på 10 000 EUR eller derover. På samme tid har forskellige tilgange i medlemsstaterne undergravet de lige konkurrencevilkår i det indre marked til skade for virksomheder, der er beliggende i medlemsstater, som har strengere kontroller. Det er derfor nødvendigt at indføre en tærskel på 10 000 EUR for store kontantbetalinger på EU-plan. Medlemsstaterne bør have mulighed for at indføre lavere tærskler og yderligere strengere bestemmelser, i det omfang de forfølger legitime mål i offentlighedens interesse. Eftersom rammen for bekæmpelse af hvidvask af penge og finansiering af terrorisme er baseret på regulering af erhvervslivet, bør tærsklen ikke finde anvendelse på betalinger mellem fysiske personer, som ikke handler i erhvervsøjemed. For at sikre, at tærsklen på EU-plan ikke utilsigtet skaber hindringer for, at personer, der ikke anvender eller ikke har adgang til bankydelser, kan foretage betalinger, eller for, at virksomheder kan indsætte indtægterne fra deres aktiviteter på deres konti, bør betalinger eller indskud foretaget i kreditinstitutters, betalingsinstitutters eller e-pengeinstitutters lokaler derudover også undtages fra anvendelsen af tærsklen.
(162)
Kontantbetalinger eller indskud foretaget i kreditinstitutters, betalingstjenesteudbyderes og e-pengeudbyderes lokaler, som overstiger tærsklen for store kontantbetalinger, bør som standard ikke betragtes som indikator for eller mistanke om hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme. Indberetning af sådanne transaktioner gør det muligt for FIU'en at vurdere og identificere mønstre vedrørende bevægelse af kontanter, og selv om sådanne oplysninger bidrager til FIU'ens operationelle eller strategiske analyser, gør karakteren af tærskelbaseret videregivelse af oplysninger, at den adskiller sig fra rapporter om mistænkelige transaktioner. Derfor erstatter tærskelbaseret videregivelse af oplysninger ikke kravet om at indberette mistænkelige transaktioner eller anvende skærpede kundekendskabsprocedurer i tilfælde med højere risiko. Det bør være muligt for FIU'er at kræve, at indberetningerne foretages inden for en bestemt frist, som kan omfatte periodisk indgivelse på aggregeret grundlag.
(163)
Der kan være tilfælde, hvor force majeure-grunde såsom dem, der udløses af naturkatastrofer, indebærer et omfattende tab af adgang til andre betalingsmekanismer end kontanter. I sådanne tilfælde bør medlemsstaterne kunne suspendere anvendelsen af tærsklen for store kontantbetalinger. En sådan suspension er en ekstraordinær foranstaltning og bør kun anvendes, hvis det er nødvendigt som reaktion på ekstraordinære, behørigt begrundede situationer. Det forhold, at det er umuligt at få adgang til finansielle tjenesteydelser, udgør ikke en gyldig grund til at suspendere tærsklen, hvis dette skyldes, at en medlemsstat ikke kan garantere, at forbrugerne har adgang til finansiel infrastruktur på hele dens område.
(164)
Kommissionen bør vurdere omkostningerne og fordelene ved og virkningerne af at justere tærsklen for store kontantbetalinger på EU-plan med henblik på yderligere at udligne konkurrencevilkårene for virksomheder og reducere kriminelles muligheder for at bruge kontanter til hvidvask af penge. Denne vurdering bør navnlig indeholde en overvejelse vedrørende det mest passende niveau for en harmoniseret tærskel for kontantbetalinger på EU-plan, idet der tages hensyn til de nuværende eksisterende tærskler for kontantbetalinger, der er indført i mange medlemsstater, muligheden for håndhævelse af en sådan tærskel på EU-plan og virkningerne af en sådan tærskel for euroens status som lovligt betalingsmiddel.
(165)
Kommissionen bør også vurdere omkostningerne og fordelene ved og virkningerne af at sænke 25 %-tærsklen med henblik på identifikation af reelle ejere, når der udøves kontrol gennem en ejerandel. Denne vurdering bør navnlig indeholde en overvejelse af de indhøstede erfaringer fra medlemsstater eller tredjelande, som har indført lavere tærskler.
(166)
Risici i forbindelse med varer af høj værdi kan også omfatte andre varer, der er meget flytbare, såsom beklædningsgenstande og beklædningstilbehør. Kommissionen bør derfor vurdere behovet for at udvide anvendelsesområdet for forpligtede enheder til at omfatte personer, der handler med sådanne varer af høj værdi. Da denne forordning for første gang på EU-plan indfører obligatorisk tærskelbaseret videregivelse af oplysninger vedrørende visse varer af høj værdi, bør Kommissionen desuden på grundlag af de indhøstede erfaringer med gennemførelsen af denne forordning vurdere behovet for at udvide anvendelsesområdet for varer, der er omfattet af tærskelbaseret videregivelse af oplysninger, og for at harmonisere formatet for en sådan videregivelse af oplysninger i lyset af FIU'ernes anvendelse af tærskelbaseret videregivelse af oplysninger. Endelig bør Kommissionen i betragtning af de risici, der er forbundet med varer af høj værdi i frizoner, vurdere nødvendigheden af at udvide omfanget af de oplysninger, der skal indberettes af operatører, der handler med og oplagrer varer af høj værdi i sådanne frizoner.
(167)
For at sikre en ensartet anvendelse af AML/CFT-kravene bør beføjelsen til at vedtage retsakter i overensstemmelse med artikel 290 i TEUF delegeres til Kommissionen for så vidt angår at identificere højrisikotredjelande, tredjelande med overholdelsesmæssige svagheder og tredjelande, som udgør en specifik og alvorlig trussel mod Unionens finansielle system, samt modforanstaltninger eller specifikke skærpede kundekendskabsprocedurer, der afbøder risici fra sådanne tredjelande; at identificere yderligere tilfælde med højere risiko, der påvirker Unionen og hermed forbundne skærpede kundekendskabsprocedurer; at identificere fælles supplerende kategorier af højerestående offentlige hverv; at identificere kategorier af virksomheder, der er forbundet med højere risiko og de dermed forbundne lavere tærskler med henblik på at identificere reelt ejerskab gennem en ejerandel; og at definere kategorierne af overtrædelser af gennemsigtighedskravene vedrørende reelt ejerskab, der er genstand for sanktioner, og de personer, der er ansvarlige for dem, indikatorerne til klassificering af overtrædelsernes grovhed og de kriterier, der skal tages hensyn til ved fastlæggelse af sanktionsniveauet. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau, og at disse høringer gennemføres i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning 
(
29
)
. For at sikre lige deltagelse i udarbejdelsen af delegerede retsakter skal Europa-Parlamentet og Rådet navnlig modtage alle dokumenter på samme tid som medlemsstaternes eksperter, og deres eksperter har systematisk adgang til møder i de af Kommissionens ekspertgrupper, der beskæftiger sig med udarbejdelse af delegerede retsakter.
(168)
Kommissionen bør tillægges beføjelser til at vedtage reguleringsmæssige tekniske standarder, der er udviklet af AMLA, med henblik på præcisering af mindstekravene til de politikker, procedurer og kontroller, der er indført på koncernplan, herunder minimumsstandarder for udveksling af oplysninger, kriterierne for identifikation af moderselskabet og de vilkår, på hvilke strukturer, som har samme ejerskab, ledelse eller compliancekontroller, er forpligtet til at anvende de politikker, procedurer og kontroller, der er indført på koncernplan; præcisering af arten af de yderligere foranstaltninger, herunder de tiltag, som koncerner som minimum skal tage, når tredjelandes ret ikke tillader gennemførelsen af de politikker, procedurer og kontroller, der er indført på koncernplan og de yderligere, tilsynstiltag; præcisering af de forpligtede enheder, sektorer og transaktioner, der er forbundet med højere risiko, og som udfører lejlighedsvise transaktioner med lav værdi, de relaterede værdier, kriterierne for identifikation af lejlighedsvise transaktioner og forretningsforbindelser og kriterierne for identifikation af indbyrdes forbundne transaktioner med henblik på gennemførelse af kundekendskabsprocedurer; og præcisering af de oplysninger, som er nødvendige for at gennemføre kundekendskabsprocedurer. Kommissionen bør vedtage disse reguleringsmæssige tekniske standarder ved hjælp af delegerede retsakter i henhold til artikel 290 i TEUF og i overensstemmelse med artikel 49 i forordning (EU) 2024/1620.
(169)
For at sikre ensartede vilkår for gennemførelsen af denne forordning bør Kommissionen tillægges gennemførelsesbeføjelser med henblik på at fastsætte metoden til identifikation af tredjelande, som udgør en specifik og alvorlig trussel mod Unionens finansielle system; fastsætte formatet for opstilling og meddelelse af e medlemsstaternes lister over højerestående offentlige hverv; og identificere typer af juridiske enheder og typer af juridiske arrangementer der ligner viljesbestemte truster reguleret af medlemsstaternes ret. Disse gennemførelsesbeføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 
(
30
)
. Kommissionen bør også tillægges gennemførelsesbeføjelser med henblik på at beslutte at bringe specifikke yderligere nationale modforanstaltninger til ophør.
(170)
Kommissionen bør tillægges beføjelser til at vedtage gennemførelsesmæssige tekniske standarder, der er udviklet af AMLA og som præciserer det format, der skal anvendes ved indberetning af mistanke og ved indgivelse af transaktionsfortegnelser og det format, der skal anvendes af FIU'erne til indberetning af oplysninger til EPPO. Kommissionen bør vedtage disse gennemførelsesmæssige tekniske standarder ved hjælp af gennemførelsesretsakter i henhold til artikel 291 i TEUF og i overensstemmelse med artikel 53 i forordning (EU) 2024/1620.
(171)
Denne forordning overholder de grundlæggende rettigheder og respekterer de principper, som anerkendes i chartret, navnlig retten til respekt for privatliv og familieliv, retten til beskyttelse af personoplysninger og friheden til at oprette og drive egen virksomhed.
(172)
Forpligtede enheder bør i overensstemmelse med artikel 21 i chartret, som forbyder enhver forskelsbehandling, foretage risikovurderinger i forbindelse med kundekendskabsprocedurer uden forskelsbehandling.
(173)
Ved udarbejdelsen af en rapport, der evaluerer gennemførelsen af denne forordning, bør Kommissionen tage behørigt hensyn til overholdelsen af de grundlæggende rettigheder og principper, som anerkendes i chartret.
(174)
Målet for denne forordning, nemlig at forhindre, at Unionens finansielle system anvendes til hvidvask af penge og finansiering af terrorisme, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af tiltagets omfang og virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i TEU. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå dette mål.
(175)
Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725 og afgav en udtalelse den 22. september 2021 
(
31
)
 —
VEDTAGET DENNE FORORDNING:
KAPITEL I
ALMINDELIGE BESTEMMELSER
AFDELING 1
Genstand og definitioner
Artikel 1
Genstand
Denne forordning fastsætter regler vedrørende:
a)
de foranstaltninger, som forpligtede enheder skal anvende for at forebygge hvidvask af penge og finansiering af terrorisme
b)
gennemsigtighedskrav vedrørende reelt ejerskab, som gælder for juridiske enheder, viljesbestemte truster og lignende juridiske arrangementer
c)
foranstaltninger til begrænsning af misbrug af anonyme instrumenter.
Artikel 2
Definitioner
1.   I denne forordning forstås ved:
1)
»hvidvask af penge«: den adfærd, der er beskrevet i artikel 3, stk. 1 og 5, i direktiv (EU) 2018/1673, herunder medvirken og tilskyndelse til, anstiftelse til og forsøg på at begå en sådan adfærd, uanset om de aktiviteter, som har frembragt de formuegoder, der skal hvidvaskes, blev gennemført på en medlemsstats eller et tredjelands område; det kendskab, den hensigt eller det formål, der skal foreligge som gerningsindhold i en sådan adfærd, kan fastslås på grundlag af objektive faktiske forhold
2)
»finansiering af terrorisme«: den adfærd, der er beskrevet i artikel 11 i direktiv (EU) 2017/541, herunder medvirken og tilskyndelse til, anstiftelse til og forsøg på at udvise en sådan adfærd, uanset om den fandt sted på en medlemsstats eller et tredjelands område; det kendskab, den hensigt eller det formål, der skal foreligge som gerningsindhold i en sådan adfærd, kan fastslås på grundlag af objektive faktiske forhold
3)
»kriminel handling«: en kriminel handling som defineret i artikel 2, nr. 1), i direktiv (EU) 2018/1673 samt svig til skade for Unionens finansielle interesser, som defineret i artikel 3, stk. 2, i direktiv (EU) 2017/1371, passiv og aktiv korruption som defineret i artikel 4, stk. 2, og misbrug af midler som defineret i artikel 4, stk. 3, andet afsnit, i sidstnævnte direktiv
4)
»midler« eller »formuegoder«: formuegoder som defineret i artikel 2, nr. 2), i direktiv (EU) 2018/1673
5)
»kreditinstitut«:
a)
et kreditinstitut som defineret i artikel 4, stk. 1, nr. 1), i forordning (EU) nr. 575/2013
b)
en filial af et kreditinstitut som defineret i artikel 4, stk. 1, nr. 17), i forordning (EU) nr. 575/2013, beliggende i Unionen, uanset om dens hovedsæde er beliggende i en medlemsstat eller i et tredjeland
6)
»finansieringsinstitut«:
a)
en virksomhed, som ikke er et kreditinstitut eller et investeringsselskab, og som udøver en eller flere af de aktiviteter, der er anført i bilag I, punkt 2-12, 14 og 15, til Europa-Parlamentets og Rådets direktiv 2013/36/EU 
(
32
)
, herunder aktiviteter, der varetages af valutavekslingsvirksomheder (bureaux de change), men med undtagelse af aktiviteter omhandlet i punkt 8 i bilag I til direktiv (EU) 2015/2366, eller en virksomhed, hvis hovedvirksomhed består i at erhverve kapitalandele, herunder et finansielt holdingselskab, et blandet finansielt holdingselskab og et finansielt holdingselskab med blandet aktivitet
b)
et forsikringsselskab som defineret i artikel 13, nr. 1), i Europa-Parlamentets og Rådets direktiv 2009/138/EF 
(
33
)
, for så vidt som det udøver livsforsikringsvirksomhed eller anden investeringsrelateret forsikringsvirksomhed omfattet af nævnte direktiv, herunder forsikringsholdingselskaber og blandede forsikringsholdingselskaber som defineret i henholdsvis artikel 212, stk. 1, litra f), og g), i direktiv 2009/138/EF
c)
en forsikringsformidler som defineret i artikel 2, stk. 1, nr. 3), i direktiv (EU) 2016/97, for så vidt som det udøver livsforsikringsvirksomhed eller andre investeringsrelaterede forsikringstjenester, med undtagelse af en forsikringsformidler, der ikke opkræver præmier eller beløb beregnet til kunden, og som handler på et eller flere forsikringsselskabers eller en eller flere forsikringsformidleres ansvar for så vidt angår deres respektive produkter
d)
et investeringsselskab som defineret i artikel 4, stk. 1, nr. 1), i Europa-Parlamentets og Rådets direktiv 2014/65/EU 
(
34
)
e)
et institut for kollektiv investering, navnlig:
i)
et institut for kollektiv investering i værdipapirer som defineret i artikel 1, stk. 2, i direktiv 2009/65/EF og dets administrationsselskab som defineret i nævnte direktivs artikel 2, stk. 1, litra b), eller et investeringsselskab, der er godkendt i overensstemmelse med nævnte direktiv, og som ikke har udpeget et administrationsselskab, som udbyder andele i investeringsinstitutter til køb i Unionen
ii)
en alternativ investeringsfond som defineret i artikel 4, stk. 1, litra a), i direktiv 2011/61/EU og dens forvalter af alternative investeringsfonde som defineret i nævnte direktivs artikel 4, stk. 1, litra b), som henhører under det anvendelsesområde, der er fastsat i nævnte direktivs artikel 2
f)
en værdipapircentral som defineret i artikel 2, stk. 1, nr. 1), i Europa-Parlamentets og Rådets forordning (EU) nr. 909/2014 
(
35
)
g)
en kreditgiver som defineret i artikel 4, nr. 2), i Europa-Parlamentets og Rådets direktiv 2014/17/EU 
(
36
)
 og i artikel 3, litra b), i Europa-Parlamentets og Rådets direktiv 2008/48/EF 
(
37
)
h)
en kreditformidler som defineret i artikel 4, nr. 5), i direktiv 2014/17/EU og i artikel 3, litra f), i direktiv 2008/48/EF, når denne besidder midler som defineret i artikel 4, nr. 25), i direktiv (EU) 2015/2366 i forbindelse med kreditaftalen, med undtagelse af en kreditformidler, der udfører aktiviteter på en eller flere kreditgiveres eller kreditformidleres ansvar
i)
en udbyder af kryptoaktivtjenester
j)
en filial af finansieringsinstitutter, jf. litra a)-i), beliggende i Unionen, uanset om dens hovedsæde er beliggende i en medlemsstat eller i et tredjeland
7)
»kryptoaktiv«: et kryptoaktiv som defineret i artikel 3, stk. 1, nr. 5), i forordning (EU) 2023/1114, undtagen når det henhører under de kategorier, der er anført i nævnte forordnings artikel 2, stk. 4
8)
»kryptoaktivtjenester«: kryptoaktivtjenester som defineret i artikel 3, stk. 1, nr. 16), i forordning (EU) 2023/1114 med undtagelse af rådgivning om kryptoaktiver som omhandlet i nævnte forordnings artikel 3, stk. 1, nr. 16), litra h)
9)
»udbyder af kryptoaktivtjenester«: en udbyder af kryptoaktivtjenester som defineret i artikel 3, stk. 1, nr. 15), i forordning (EU) 2023/1114, når denne udbyder én eller flere kryptoaktivtjenester
10)
»finansielt holdingselskab med blandet aktivitet«: en virksomhed, som ikke er et finansielt holdingselskab eller et blandet finansielt holdingselskab, og som ikke er datterselskab af en anden virksomhed, og hvis datterselskaber omfatter mindst ét kreditinstitut eller finansieringsinstitut
11)
»udbyder af tjenester til truster eller virksomheder«: en fysisk eller juridisk person, der som led i sit erhverv leverer en af følgende tjenester til tredjemand:
a)
danner virksomheder eller andre juridiske personer
b)
fungerer som eller sørger for, at en anden person fungerer som medlem af ledelsen i et selskab, deltager i et interessentskab eller beklæder en tilsvarende post i andre juridiske personer
c)
sørger for et vedtægtsmæssigt hjemsted, en forretnings-, post- eller forvaltningsadresse såvel som andre dertil knyttede tjenester til et selskab, et interessentskab eller enhver anden juridisk person eller ethvert andet juridisk arrangement
d)
fungerer som eller sørger for, at en anden person fungerer som forvalter af en viljesbestemt trust eller varetager en tilsvarende funktion for et tilsvarende juridisk arrangement
e)
fungerer som eller sørger for, at en anden person fungerer som nominee-kapitalejer eller tilsvarende for en anden person
12)
»spiltjeneste«: en tjeneste, som indebærer, at der gøres en indsats med pengeværdi i hasardspil, herunder spil med et element af færdigheder, f.eks. lotteri, kasinospil, pokerspil og væddemål, som udbydes på en fysisk lokalitet eller ved hjælp af forskellige midler på afstand, ved hjælp af elektroniske midler eller anden kommunikationsfremmende teknologi og efter individuel anmodning fra en tjenestemodtager
13)
»ikkefinansielt holdingselskab med blandet aktivitet«: en virksomhed, som ikke er et finansielt holdingselskab eller et blandet finansielt holdingselskab, og som ikke er datterselskab af en anden virksomhed, og hvis datterselskaber omfatter mindst én forpligtet enhed, jf. artikel 3, nr. 3
14)
»selvhostet adresse«: en selvhostet adresse som defineret i artikel 3, nr. 20), i forordning (EU) 2023/1113
15)
»crowdfundingtjenesteudbyder«: en crowdfundingtjenesteudbyder som defineret i artikel 2, stk. 1, litra e), i forordning (EU) 2020/1503
16)
»crowdfundingformidler«: en anden virksomhed end crowdfundingtjenesteudbydere, hvis virksomhed består i, gennem et internetbaseret informationssystem, der er åbent for offentligheden eller for et begrænset antal finansieringsydere, at matche eller gøre det lettere at matche:
a)
projektejere, som er enhver fysisk eller juridisk person, der søger finansiering til projekter, bestående af en eller flere på forhånd definerede aktiviteter, der tager sigte på et bestemt mål, herunder tilvejebringelse af midler til en bestemt sag eller begivenhed, uanset om disse projekter udbydes til offentligheden eller til et begrænset antal finansieringsydere og
b)
finansieringsydere, som er enhver fysisk eller juridisk person, der bidrager til finansieringen af projekter gennem lån, med eller uden renter, eller donationer, herunder hvis sådanne donationer giver donoren ret til en immateriel fordel.
17)
»elektroniske penge«: elektroniske penge som defineret i artikel 2, nr. 2), i Europa-Parlamentets og Rådets direktiv 2009/110/EF 
(
38
)
, bortset fra pengeværdi som omhandlet i nævnte direktivs artikel 1, stk. 4 og 5
18)
»etableringssted«: en forpligtet enheds faktiske udøvelse af erhvervsvirksomhed, der er omfattet af artikel 3, i en anden medlemsstat eller et andet tredjeland end det land, hvor dens hovedsæde er beliggende, i et ikke nærmere angivet tidsrum og ved hjælp af en fast infrastruktur, herunder:
a)
en filial eller et datterselskab
b)
for så vidt angår kreditinstitutter og finansieringsinstitutter, en infrastruktur, der kan betragtes som et etableringssted i henhold til tilsynsmæssig regulering
19)
»forretningsforbindelse«: et forretningsmæssigt, erhvervsmæssigt eller kommercielt forhold, som er knyttet til en forpligtet enheds erhvervsmæssige virksomhed, og som er etableret mellem en forpligtet enhed og en kunde, herunder uden en skriftlig kontrakt, og som på det tidspunkt, hvor kontakten etableres, forventes at have eller efterfølgende får en gentagende karakter eller en vis varighed
20)
»indbyrdes forbundne transaktioner«: to eller flere transaktioner med enten identisk eller lignende oprindelse, bestemmelsessted og formål eller andre relevante karakteristika over en bestemt periode
21)
»tredjeland«: en jurisdiktion, uafhængig stat eller et autonomt territorium, der ikke er en del af Unionen, og som har sin egen lovgivning eller -håndhævelsesordning for bekæmpelse af hvidvask af penge og finansiering af terrorisme
22)
»korrespondentforbindelse«:
a)
levering af bankydelser fra et kreditinstitut (»korrespondenten«) til et andet kreditinstitut (»respondenten«), herunder oprettelse af en løbende konto eller en anden passivkonto samt tilknyttede tjenesteydelser såsom likviditetsstyring, internationale overførsler af midler som defineret i artikel 4, nr. 25), i direktiv (EU) 2015/2366, checkclearing, »gennemstrømningskonti« og valutatransaktioner
b)
forbindelser mellem og blandt kreditinstitutter og finansieringsinstitutter, herunder hvor der leveres lignende tjenesteydelser fra et korrespondentinstitut til et respondentinstitut, og herunder forbindelser indgået med henblik på værdipapirtransaktioner eller overførsler af midler som defineret i artikel 4, nr. 25), i direktiv (EU) 2015/2366, transaktioner med kryptoaktiver eller overførsler af kryptoaktiver
23)
»tomt institut«:
a)
for så vidt angår andre kreditinstitutter og finansieringsinstitutter end udbydere af kryptoaktivtjenester: et kreditinstitut eller et finansieringsinstitut eller et institut, der driver virksomhed svarende til et kreditinstituts eller et finansieringsinstituts virksomhed, såfremt det er oprettet i en jurisdiktion, hvor det ikke er fysisk til stede, således at der ikke er tale om nogen egentlig ledelse og administration, og som ikke er tilknyttet en reguleret finansiel koncern
b)
for så vidt angår udbydere af kryptoaktivtjenester: en enhed, hvis navn er opført i det register, der er oprettet af Den Europæiske Værdipapir- og Markedstilsynsmyndighed i henhold til artikel 110 i forordning (EU) 2023/1114, eller en enhed i et tredjeland, som udbyder kryptoaktivtjenester uden der at være godkendt eller registreret eller omfattet af tilsyn for bekæmpelse af hvidvask af penge og finansiering af terrorisme
24)
»kryptoaktivkonto«: en kryptoaktivkonto som defineret i artikel 3, nr. 19), i forordning (EU) 2023/1113
25)
»anonymitetsfremmende mønter«: kryptoaktiver, som har indbyggede egenskaber, der har til formål at gøre oplysninger om overførsler af kryptoaktiver anonyme, enten systematisk eller valgfrit
26)
»virtuelt IBAN«: en identifikator, der medfører, at betalinger omdirigeres til en betalingskonto, der identificeres med et andet IBAN end identifikatorens
27)
»identifikator for juridisk enhed«: en alfanumerisk referencekode baseret på ISO 17442-standarden, som er tildelt en juridisk enhed
28)
»reel ejer«: en fysisk person, der i sidste ende ejer eller kontrollerer en juridisk enhed eller en viljesbestemt trust eller et lignende juridisk arrangement
29)
»viljesbestemt trust«: en trust, der bevidst er oprettet af stifteren i levende live eller ved dødsfald, normalt i form af et skriftligt dokument, for at placere aktiver under en trustforvalters kontrol til fordel for en begunstiget eller til et bestemt formål
30)
»genstande for en beføjelse«: fysiske eller juridiske personer eller grupper af fysiske eller juridiske personer, blandt hvilke trustforvaltere kan vælge de begunstigede i en diskretionær trust
31)
»modtager ved manglende udøvelse af skønsbeføjelse«: fysiske eller juridiske personer eller grupper af fysiske eller juridiske personer, som er begunstiget ved diskretionære truster, hvis trustforvalterne ikke udøver deres skønsbeføjelse
32)
»juridisk arrangement«: en viljesbestemt trust eller et arrangement, som har en struktur eller funktion, der ligner en viljesbestemt trust, herunder fiducia, visse Treuhand-typer eller fideikommisser
33)
»grundlæggende oplysninger«:
a)
i forbindelse med en juridisk enhed:
i)
juridisk form og navnet på den juridiske enhed
ii)
stiftelsesoverenskomsten samt vedtægterne, såfremt disse foreligger som et særskilt dokument
iii)
adresse på det vedtægtsmæssige hjemsted eller det officielle forretningssted og, hvis det ligger et andet sted, hovedforretningsstedet, samt oprettelseslandet
iv)
en liste over retlige repræsentanter
v)
hvis det er relevant, en liste over ejer af ejerandele eller medlemmer, herunder oplysninger om antallet af ejerandele, som hver ejer besidder, og kategorierne af disse ejerandele og arten af de tilknyttede stemmerettigheder
vi)
hvis sådanne findes, registreringsnummeret, den europæiske entydige identifikator, skatteregistreringsnummeret og identifikatoren for den juridiske enhed
vii)
for så vidt angår fonde, de aktiver, som fonden besidder for at forfølge sine mål
b)
i forbindelse med et juridisk arrangement:
i)
det juridiske arrangements navn eller entydige identifikator
ii)
trustdokumentet eller tilsvarende
iii)
formålene med det juridiske arrangement, hvis der er sådanne
iv)
de aktiver, der besiddes i eller forvaltes gennem det juridiske arrangement
v)
bopælsadresse for forvalterne af de viljesbestemte truster eller for de personer, der varetager tilsvarende stillinger i det lignende juridiske arrangement, og, hvis forskellig, adresse for det sted, hvorfra den viljesbestemte trust eller det lignende juridiske arrangement forvaltes
34)
»politisk eksponeret person«: en fysisk person, der varetager eller har varetaget højerestående offentlige hverv, herunder:
a)
i en medlemsstat:
i)
statschefer, regeringschefer, ministre og viceministre eller assisterende ministre
ii)
parlamentsmedlemmer eller medlemmer af tilsvarende lovgivende organer
iii)
medlemmer af styrelsesorganerne i partier, som har sæde i nationale udøvende eller lovgivende organer eller i regionale eller lokale udøvende eller lovgivende organer, der repræsenterer valgkredse med mindst 50 000 indbyggere
iv)
højesteretsdommere og medlemmer af forfatningsdomstole og af andre højtstående retsinstanser, hvis beslutninger kun er genstand for yderligere prøvelse under ekstraordinære omstændigheder
v)
medlemmer af revisionsretter og af centralbankers øverste ledelsesorgan
vi)
ambassadører, chargés d'affaires og højtstående officerer i de væbnede styrker
vii)
medlemmer af administrations-, ledelses- eller tilsynsorganer i virksomheder, der kontrolleres ved en af de forbindelser, der er anført i artikel 22 i direktiv 2013/34/EU, enten af staten eller, hvis disse virksomheder er at betragte som mellemstore eller store virksomheder eller mellemstore eller store koncerner som defineret i nævnte direktivs artikel 3, stk. 3, 4, 6 og 7, af regionale eller lokale myndigheder
viii)
ledere af regionale og lokale myndigheder, herunder sammenslutninger af kommuner og storbyregioner med mindst 50 000 indbyggere
ix)
andre højerestående offentlige hverv fastsat af medlemsstaterne
b)
i en international organisation:
i)
de højeststående medarbejdere, deres stedfortrædere og bestyrelsesmedlemmer eller personer med tilsvarende hverv i en international organisation
ii)
repræsentanter ved en medlemsstat eller ved Unionen
c)
på EU-plan:
hverv i EU-institutioner og -organer, som svarer til de institutioner og organer, der er anført i litra a), nr. i), ii), iv), v) og vi)
d)
i et tredjeland:
hverv, som svarer til de hverv, der er anført i litra a).
35)
»familiemedlemmer«:
a)
ægtefælle eller en person i et registreret partnerskab eller civil solidaritetspagt eller et lignende arrangement
b)
et barn og dettes ægtefælle eller en person i et registreret partnerskab eller civil solidaritetspagt eller et lignende arrangement med dette barn
c)
en forælder
d)
søskende for så vidt angår de hverv, der er omhandlet i nr. 34), litra a), nr. i), og tilsvarende hverv på EU-plan eller i et tredjeland.
36)
»person, der er kendt som en nær samarbejdspartner«:
a)
en fysisk person, som vides at have fælles reelt ejerskab af juridiske enheder eller juridiske arrangementer eller på anden måde har nære forretningsforbindelser med en politisk eksponeret person
b)
en fysisk person, der som de eneste har reelt ejerskab af en juridisk enhed eller et juridisk arrangement, som vides at være oprettet til de facto-fordel for en politisk eksponeret person
37)
»ledelsesorgan«: det eller de organer i en forpligtet enhed, der er udpeget i overensstemmelse med national ret, og som har beføjelse til at fastlægge den forpligtede enheds strategi, mål og overordnede kurs, og som kontrollerer og overvåger ledelsens beslutningstagning, og dette omfatter de personer, der varetager den faktiske ledelse af den forpligtede enheds virksomhed; hvis der ikke findes sådant organ, er ledelsesorganet den person, der varetager den faktiske ledelse af den forpligtede enheds virksomhed
38)
»ledelsesorganet i dets ledelsesfunktion«: det ledelsesorgan, der er ansvarligt for den forpligtede enheds daglige ledelse
39)
»ledelsesorganet i dets tilsynsfunktion«: ledelsesorganet, der handler i sin funktion med kontrol og overvågning af ledelsens beslutningstagning
40)
»øverste ledelse«: medlemmerne af ledelsesorganet i dets ledelsesfunktion samt medarbejdere og ansatte med tilstrækkeligt kendskab til den forpligtede enheds risikoeksponering for hvidvask af penge og finansiering af terrorisme og med tilstrækkelig anciennitet til at træffe beslutninger med indvirkning på dets risikoeksponering
41)
»koncern«: en gruppe virksomheder, som består af et moderselskab, dets datterselskaber samt virksomheder, der er forbundet på en måde som omhandlet i artikel 22 i direktiv 2013/34/EU
42)
»moderselskab«:
a)
for så vidt angår koncerner, hvis hovedsæde er i Unionen, en forpligtet enhed, der er et moderselskab som defineret i artikel 2, nr. 9), i direktiv 2013/34/EU, som ikke selv er et datterselskab af en anden virksomhed i Unionen, forudsat at mindst et datterselskab er en forpligtet enhed
b)
for så vidt angår koncerner med hovedsæde uden for Unionen, hvor mindst to datterselskaber er forpligtede enheder, der er etableret i Unionen, en virksomhed i denne koncern, der er etableret i Unionen, og som:
i)
er en forpligtet enhed
ii)
er en virksomhed, der ikke er et datterselskab af en anden virksomhed, som er en forpligtet enhed, der er etableret i Unionen
iii)
har en tilstrækkelig fremtrædende plads i koncernen og et tilstrækkeligt kendskab til koncernens aktiviteter, der er omfattet af kravene i denne forordning, og
iv)
har ansvaret for at gennemføre kravene på koncernplan i henhold til denne forordnings kapitel II, afdeling 2
43)
»kontanter«: kontanter som defineret i artikel 2, stk. 1, litra a), i Europa-Parlamentets og Rådets forordning (EU) 2018/1672 
(
39
)
44)
»kompetent myndighed«:
a)
en finansiel efterretningsenhed (»FIU«)
b)
en tilsynsmyndighed
c)
en offentlig myndighed, der har til opgave at efterforske eller retsforfølge i sager om hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme, eller som har til opgave at opspore, beslaglægge eller indefryse og konfiskere kriminelle aktiver
d)
en offentlig myndighed, der har fået til ansvar at bekæmpe hvidvask af penge og finansiering af terrorisme
45)
»tilsynsorgan«: det organ, som har fået overdraget ansvarsområder med henblik på at sikre forpligtede enheders overholdelse af kravene i denne forordning, herunder AMLA, når denne udfører de opgaver, som den har fået overdraget i medfør af artikel 5, stk. 2, i forordning (EU) 2024/1620
46)
»tilsynsmyndighed«: et tilsynsorgan, som er et offentligt organ, eller den offentlige myndighed, som fører tilsyn med selvregulerende organer, når disse udfører tilsynsfunktioner i henhold til artikel 37 i direktiv (EU) 2024/1640, eller AMLA, når denne fungerer som tilsynsorgan
47)
»selvregulerende organ«: et organ, der repræsenterer medlemmer af et erhverv og spiller en rolle i reguleringen heraf, i udførelsen af visse tilsyns- eller overvågningsfunktioner og i sikringen af, at reglerne vedrørende dem håndhæves
48)
»pengemidler eller andre aktiver«: aktiver, herunder, men ikke udelukkende, finansielle aktiver, økonomiske ressourcer, herunder olie og andre naturressourcer, formuegoder af enhver art, uanset om de er materielle eller immaterielle, løsøre eller fast ejendom og uanset erhvervelsesmåde, og retlige dokumenter eller instrumenter i enhver form, herunder elektronisk eller digital form, som dokumenterer en ret til eller en interesse i sådanne pengemidler eller andre aktiver, herunder, men ikke udelukkende, bankkreditter, rejsechecks, bankchecks, postanvisninger, aktier, værdipapirer, obligationer, tratter eller remburser samt rente, udbytte eller anden form for indtægt fra eller værditilvækst hidrørende fra sådanne pengemidler eller andre aktiver og alle andre aktiver, der potentielt kan anvendes til at opnå pengemidler, varer eller tjenesteydelser
49)
»målrettede finansielle sanktioner«: både indefrysning af aktiver og forbud mod at gøre pengemidler eller andre aktiver tilgængelige, direkte eller indirekte, til fordel for udpegede personer og enheder i henhold til Rådets afgørelser, som er vedtaget på grundlag af artikel 29 i TEU, og Rådets forordninger, som er vedtaget på grundlag af artikel 215 i TEUF
50)
»FN's finansielle sanktioner«: både indefrysning af aktiver og forbud mod at gøre pengemidler eller andre aktiver tilgængelige, direkte eller indirekte, til fordel for udpegede eller listeopførte personer og enheder i henhold til:
a)
FN's Sikkerhedsråds resolution 1267 (1999) og efterfølgende resolutioner
b)
FN's Sikkerhedsråds resolution 1373 (2001), herunder fastlæggelsen af, at de relevante sanktioner vil blive anvendt over for personen eller enheden, og offentliggørelsen heraf
c)
FN's finansielle sanktioner i forbindelse med proliferationsfinansiering
51)
»FN's finansielle sanktioner i forbindelse med proliferationsfinansiering«: både indefrysning af aktiver og forbud mod at gøre pengemidler eller andre aktiver tilgængelige, direkte eller indirekte, til fordel for udpegede eller listeopførte personer og enheder i henhold til:
a)
FN's Sikkerhedsråds resolution 1718 (2006) og alle efterfølgende resolutioner
b)
FN's Sikkerhedsråds resolution 2231 (2015) og alle efterfølgende resolutioner
c)
alle andre resolutioner fra FN's Sikkerhedsråd om indefrysning af aktiver og forbud mod at gøre pengemidler eller andre aktiver tilgængelige i forbindelse med finansiering af spredning af masseødelæggelsesvåben
52)
»professionel fodboldklub«: enhver juridisk person, der er, ejer eller driver en fodboldklub, som har fået tildelt licens og deltager i de nationale fodboldturneringer i en medlemsstat, og hvis spillere og medarbejdere er kontraktligt forpligtede og aflønnes som modydelse for deres tjenester
53)
»fodboldagent«: en fysisk eller juridisk person, som mod betaling leverer formidlingstjenester og repræsenterer fodboldspillere eller professionelle fodboldklubber i forhandlinger med henblik på at indgå kontrakt for en fodboldspiller, eller som repræsenterer professionelle fodboldklubber i forhandlinger med henblik på at indgå aftale om transfer af en fodboldspiller
54)
»varer af høj værdi«: varer, der er anført i bilag IV
55)
»ædelmetaller og ædelsten«: metaller og sten, der er anført i bilag V
56)
»kulturgoder«: goder, der er anført i bilag I til Rådets forordning (EF) nr. 116/2009 
(
40
)
57)
»partnerskab til udveksling af oplysninger«: en mekanisme, der muliggør udveksling og behandling af oplysninger mellem forpligtede enheder og, hvis det er relevant, kompetente myndigheder omhandlet i nr. 44), litra a), b) og c), med henblik på at forebygge og bekæmpe hvidvask af penge, de underliggende lovovertrædelser og finansiering af terrorisme, hvad enten det er på nationalt plan eller på et grænseoverskridende grundlag, og uanset hvilken form dette partnerskab har.
2.   Højerestående offentlige hverv som omhandlet i stk. 1, nr. 34), skal ikke forstås som omfattende embedsmænd på mellemniveau eller lavere niveau.
3.   Hvis deres administrative organisation og risikoen berettiger til det, kan medlemsstaterne fastsætte en lavere tærskel for udpegelsen af følgende fremtrædende offentlige funktioner:
a)
medlemmer af politiske partiers styrelsesorganer, der er repræsenteret på regionalt eller lokalt plan, som omhandlet i stk. 1, nr. 34), litra a), punkt iii)
b)
ledere af regionale og lokale myndigheder, som omhandlet i stk. 1, nr. 34), litra a), punkt viii).
Medlemsstaterne underretter Kommissionen om disse lavere tærskler
4.   I forbindelse med denne artikels stk. 1, nr. 34), litra a), punkt vii), kan medlemsstaterne fastsætte lavere tærskler for identifikation af virksomheder, der kontrolleres af regionale eller lokale myndigheder, end dem, som er defineret i artikel 3, stk. 3, 4, 6 og 7, i direktiv 2013/34/EU, hvis deres administrative organisation og risikoen berettiger til det.
Medlemsstaterne underretter Kommissionen om disse lavere tærskler.
5.   Hvis deres sociale og kulturelle strukturer og risikoen berettiger det, kan medlemsstaterne anvende et bredere anvendelsesområde for betegnelse af søskende som familiemedlemmer til politisk eksponerede personer, som omhandlet i stk. 1, nr. 35, litra d).
Medlemsstaterne underretter Kommissionen om dette bredere anvendelsesområde.
AFDELING 2
Anvendelsesområde
Artikel 3
Forpligtede enheder
Følgende enheder skal betragtes som forpligtede enheder med henblik på denne forordning:
1)
kreditinstitutter
2)
finansieringsinstitutter
3)
følgende fysiske eller juridiske personer under udøvelsen af deres erhvervsmæssige virksomhed:
a)
revisorer, eksterne regnskabskyndige og skatterådgivere og enhver anden fysisk eller juridisk person, herunder selvstændige retlige aktører såsom advokater, der forpligter sig til at yde, enten direkte eller ved hjælp af andre personer, som denne anden person har tilknytning til, materiel hjælp, bistand eller rådgivning om skatteanliggender som vigtigste forretnings- eller erhvervsmæssige virksomhed
b)
notarer, advokater og andre selvstændige retlige aktører, når de på deres kundes vegne og for dennes regning deltager i en hvilken som helst finansiel transaktion eller en transaktion vedrørende fast ejendom eller bistår ved planlægningen eller gennemførelsen af transaktioner for deres kunde i forbindelse med én af følgende:
i)
køb og salg af fast ejendom eller virksomheder
ii)
forvaltning af kunders penge, værdipapirer eller andre aktiver, herunder kryptoaktiver
iii)
åbning eller forvaltning af bank-, opsparings-, værdipapir- eller kryptoaktivkonti
iv)
tilvejebringelse af nødvendig kapital til oprettelse, drift eller ledelse af selskaber
v)
oprettelse, drift eller ledelse af truster, selskaber, fonde eller lignende strukturer
c)
udbydere af tjenester til truster eller virksomheder
d)
ejendomsmæglere og andre professionelle i forbindelse med fast ejendom, for så vidt de optræder som formidlere ved transaktioner vedrørende fast ejendom, herunder i forbindelse med udlejning af fast ejendom i relation til transaktioner, for hvilke den månedlige leje beløber sig til mindst 10 000 EUR eller et tilsvarende beløb i national valuta, uanset betalingsmiddel
e)
personer, der som regelmæssig eller vigtigste erhvervsmæssige virksomhed handler med ædelmetaller og ædelsten
f)
personer, der som regelmæssig eller vigtigste erhvervsmæssige virksomhed handler med varer af høj værdi
g)
udbydere af spiltjenester
h)
crowdfundingtjenesteudbydere og crowdfundingformidlere
i)
personer, som handler med eller formidler handel med kulturgoder, herunder når dette udføres af kunstgallerier og auktionshuse, hvor værdien af transaktionen eller indbyrdes forbundne transaktioner beløber sig til mindst 10 000 EUR eller et tilsvarende beløb i national valuta
j)
personer, som opbevarer, handler med eller formidler handel med kulturgoder og varer af høj værdi, når dette udføres inden for frizoner og toldoplag, hvor værdien af transaktionen eller indbyrdes forbundne transaktioner beløber sig til mindst 10 000 EUR eller et tilsvarende beløb i national valuta
k)
kreditformidlere af realkreditlån og forbrugerkreditter, undtagen kreditinstitutter og finansieringsinstitutter med undtagelse af kreditformidlere, der udøver aktiviteter på en eller flere kreditgiveres eller kreditformidleres ansvar
l)
operatører på området investeringsmigration, som har tilladelse til at udbyde formidlingstjenester til tredjelandsstatsborgere, der forsøger at opnå opholdsret i en medlemsstat til gengæld for forskellige former for investering, herunder kapitaloverførsler, køb eller leje af ejendom, investering i statsobligationer, investering i virksomheder, donationer eller tilførsel af en aktivitet, der bidrager til almenvellet, og bidrag til statsbudgettet
m)
ikkefinansielle holdingselskaber med blandet aktivitet
n)
fodboldagenter
o)
professionelle fodboldklubber for så vidt angår følgende transaktioner:
i)
transaktioner med en investor
ii)
transaktioner med en sponsor
iii)
transaktioner med fodboldagenter eller andre formidlere
iv)
transaktioner med henblik på transfer af en fodboldspiller.
Artikel 4
Undtagelser for visse udbydere af spiltjenester
1.   Medlemsstaterne kan beslutte at undtage udbydere af spiltjenester helt eller delvist fra kravene i denne forordning på grundlag af den dokumenterede lave risiko, som karakteren og, hvor det er relevant, forretningsomfanget af sådanne tjenester udgør.
Den i første afsnit omhandlede undtagelse gælder ikke for:
a)
kasinoer
b)
udbydere af spiltjenester, hvis hovedaktivitet er at udbyde onlinespiltjenester eller sportsvæddemålstjenester, som ikke er:
i)
onlinespiltjenester, som drives af staten, enten gennem en offentlig myndighed eller en virksomhed eller et organ, som kontrolleres af staten
ii)
onlinespiltjenester, hvis organisation, drift og administration reguleres af staten.
2.   Med henblik på stk. 1 foretager medlemsstaterne en risikovurdering af spiltjenester, hvori følgende vurderes:
a)
trusler om og sårbarheder i forhold til hvidvask af penge og finansiering af terrorisme og svagheder, samt afbødende faktorer for spiltjenesterne
b)
de risici, der er forbundet med transaktionernes omfang og de anvendte betalingsmetoder
c)
det geografiske område, inden for hvilket spiltjenesterne administreres, herunder dens grænseoverskridende dimension og tilgængelighed fra andre medlemsstater eller tredjelande.
Når de foretager de i dette stykkes første afsnit omhandlede risikovurderinger, tager medlemsstaterne hensyn til resultaterne af den risikovurdering på EU-plan, som Kommissionen har foretaget i henhold til artikel 7 i direktiv (EU) 2024/1640.
3.   Medlemsstaterne indfører risikobaserede overvågningsforanstaltninger eller træffer andre passende foranstaltninger for at sikre, at de undtagelser, som indrømmes i henhold til denne artikel, ikke misbruges.
Artikel 5
Undtagelser for visse professionelle fodboldklubber
1.   Medlemsstaterne kan beslutte helt eller delvist at undtage professionelle fodboldklubber, som deltager i den nationale fodboldturnerings øverste division, og som har en samlet årlig omsætning på under 5 000 000 EUR eller et tilsvarende beløb i national valuta for hvert af de to foregående kalenderår, fra kravene i denne forordning på grundlag af den dokumenterede lave risiko, som sådanne professionelle fodboldklubbers karakter og forretningsomfang udgør.
Medlemsstaterne kan beslutte helt eller delvis at undtage professionelle fodboldklubber, som deltager i en division, der er lavere end den nationale fodboldturnerings øverste division, fra kravene i denne forordning på grundlag af den dokumenterede lave risiko, som sådanne professionelle fodboldklubbers karakter og forretningsomfang udgør.
2.   Med henblik på stk. 1 foretager medlemsstaterne en risikovurdering af professionelle fodboldklubber, hvori følgende vurderes:
a)
trusler om og sårbarheder i forhold til hvidvask af penge og finansiering af terrorisme og svagheder, samt afbødende faktorer for de professionelle fodboldklubber
b)
de risici, der er forbundet med transaktionernes omfang og grænseoverskridende karakter.
Når de foretager de i dette stykkes første afsnit omhandlede risikovurderinger, tager medlemsstaterne hensyn til resultaterne af den risikovurdering på EU-plan, som Kommissionen har foretaget i henhold til artikel 7 i direktiv (EU) 2024/1640.
3.   Medlemsstaterne indfører risikobaserede overvågningsforanstaltninger eller træffer andre passende foranstaltninger for at sikre, at de undtagelser, som indrømmes i henhold til denne artikel, ikke misbruges.
Artikel 6
Undtagelser for visse finansielle aktiviteter
1.   Med undtagelse af personer, der beskæftiger sig med pengeoverførsel som defineret i artikel 4, nr. 22) i direktiv (EU) 2015/2366, kan medlemsstaterne beslutte at undtage juridiske eller fysiske personer, som lejlighedsvist eller i et meget begrænset omfang udøver en økonomisk aktivitet som anført i bilag I, punkt 2-12 og 14 og 15, til direktiv 2013/36/EU, hvor der kun er ringe risiko for hvidvask af penge eller finansiering af terrorisme, fra kravene i denne forordning, forudsat at alle følgende kriterier er opfyldt:
a)
den finansielle aktivitet er begrænset målt i absolutte beløb
b)
den finansielle aktivitet er begrænset målt på transaktionsbasis
c)
den finansielle aktivitet er ikke sådanne personers hovedaktivitet
d)
den finansielle aktivitet er accessorisk og har direkte tilknytning til sådanne personers hovedaktivitet
e)
sådanne personers hovedaktivitet er ikke en aktivitet, der er omhandlet i denne forordnings artikel 3, nr. 3), litra a)-d) eller g)
f)
den finansielle aktivitet udbydes kun til kunderne til sådanne personers hovedaktivitet og udbydes ikke til offentligheden generelt.
2.   Med henblik på stk. 1, litra a), kræver medlemsstaterne, at den samlede omsætning for den finansielle aktivitet ikke overstiger en tærskel, der skal være tilstrækkeligt lav. Denne tærskel fastsættes på nationalt plan afhængigt af, hvilken type finansiel aktivitet der er tale om.
3.   Med henblik på stk. 1, litra b), anvender medlemsstaterne en maksimumstærskel pr. kunde og pr. enkelttransaktion, hvad enten transaktionen gennemføres på én gang eller gennem indbyrdes forbundne transaktioner. Denne maksimumstærskel fastsættes på nationalt plan afhængigt af, hvilken type finansiel aktivitet der er tale om. Den skal være tilstrækkeligt lav til at sikre, at de pågældende transaktionstyper er en upraktisk og ineffektiv metode til hvidvask af penge eller finansiering af terrorisme, og den må uanset betalingsmiddel ikke overstige 1 000 EUR eller et tilsvarende beløb i national valuta.
4.   Med henblik på stk. 1, litra c), kræver medlemsstaterne, at omsætningen for den finansielle aktivitet ikke overstiger 5 % af den pågældende fysiske eller juridiske persons samlede omsætning.
5.   Ved vurderingen af risikoen for hvidvask af penge eller finansiering af terrorisme med henblik på denne artikel skal medlemsstaterne være særligt opmærksomme på enhver finansiel aktivitet, hvor sandsynligheden for anvendelse eller misbrug til hvidvask af penge eller finansiering af terrorisme på grund af dens karakter anses for særlig stor.
6.   Medlemsstaterne indfører risikobaserede overvågningsforanstaltninger eller træffer andre passende foranstaltninger for at sikre, at de undtagelser, som indrømmes i henhold til denne artikel, ikke misbruges.
Artikel 7
Forudgående underretning om undtagelser
1.   Medlemsstaterne underretter straks Kommissionen om enhver undtagelse, som de agter at indrømme, i overensstemmelse med artikel 4, 5 og 6. Underretningen skal indeholde en begrundelse baseret på den relevante risikovurdering, som medlemsstaterne foretager for at opretholde undtagelsen.
2.   Kommissionen tager inden for to måneder fra den i stk. 1 omhandlede underretning ét af følgende tiltag:
a)
bekræfter, at undtagelsen kan indrømmes på grundlag af medlemsstatens begrundelse
b)
erklærer ved en begrundet afgørelse, at undtagelsen ikke kan indrømmes.
Med henblik på første afsnit kan Kommissionen anmode den underrettende medlemsstat om yderligere oplysninger.
3.   Ved modtagelsen af Kommissionens bekræftelse i henhold til denne artikels stk. 2, litra a), kan medlemsstaterne vedtage en afgørelse om indrømmelse af undtagelsen. Afgørelsen skal indeholde den begrundelse, på hvilken den er baseret. Medlemsstaterne gennemgår regelmæssigt sådanne afgørelser og under alle omstændigheder, når de ajourfører deres nationale risikovurdering i henhold til artikel 8 i direktiv (EU) 2024/1640.
4.   Senest den 10. oktober 2027 underretter medlemsstaterne Kommissionen om de undtagelser, som de har indrømmet i henhold til artikel 2, stk. 2 og 3, i direktiv (EU) 2015/849, og som er i kraft den 10. juli 2027.
5.   Kommissionen offentliggør hvert år listen over de undtagelser, der er indrømmet i henhold til denne artikel, i 
Den Europæiske Unions Tidende
 og gør denne liste offentligt tilgængelig på sit websted.
AFDELING 3
Grænseoverskridende aktiviteter
Artikel 8
Underretning om grænseoverskridende aktiviteter og anvendelse af national ret
1.   Forpligtede enheder, der for første gang ønsker at udøve aktiviteter på en anden medlemsstats område, underretter tilsynsorganerne i deres hjemland om de aktiviteter, som de agter at udøve i denne anden medlemsstat. Denne underretning forelægges, så snart den forpligtede enhed tager skridt til at udøve aktiviteterne, og, hvis der er tale om etableringssteder, mindst tre måneder inden påbegyndelsen af disse aktiviteter. Forpligtede enheder underretter omgående tilsynsorganerne i hjemlandet, når disse aktiviteter påbegyndes i den pågældende anden medlemsstat.
Første afsnit finder ikke anvendelse på forpligtede enheder, der er omfattet af specifikke underretningsprocedurer med henblik på udøvelse af etableringsfriheden og af fri udveksling af tjenesteydelser i henhold til andre EU-retsakter, eller på tilfælde, hvor den forpligtede enhed er omfattet af særlige godkendelseskrav med henblik på at drive virksomhed på den pågældende anden medlemsstats område.
2.   Den forpligtede enhed meddeler enhver planlagt ændring af de oplysninger, der er meddelt i henhold til stk. 1, til tilsynsorganet i hjemlandet mindst én måned, inden ændringen foretages.
3.   Hvis denne forordning giver medlemsstaterne mulighed for at vedtage yderligere regler, der finder anvendelse på forpligtede enheder, skal de forpligtede enheder overholde de nationale regler i den medlemsstat, hvor de er etableret.
4.   Hvis forpligtede enheder driver etableringssteder i flere medlemsstater, sikrer de, at hvert etableringssted anvender reglerne i den medlemsstat, hvor det er beliggende.
5.   Hvis forpligtede enheder som omhandlet i artikel 38, stk. 1, i direktiv (EU) 2024/1640 driver virksomhed inden for rammerne af fri udveksling af tjenesteydelser i andre medlemsstater end den, hvor de er etableret, gennem agenter, distributører eller gennem andre typer infrastruktur, som befinder sig i disse andre medlemsstater, anvender de reglerne i de medlemsstater, hvor de leverer tjenester med tilknytning til disse aktiviteter, medmindre nævnte direktivs artikel 38, stk. 2, finder anvendelse, idet de i så fald skal anvende reglerne i den medlemsstat, hvor deres hovedsæde er beliggende.
6.   Hvis forpligtede enheder pålægges at udpege et centralt kontaktpunkt i henhold til artikel 41 i direktiv (EU) 2024/1640, sikrer de, at det centrale kontaktpunkt er i stand til at sikre overholdelse af gældende ret på den forpligtede enheds vegne.
KAPITEL II
FORPLIGTEDE ENHEDERS INTERNE POLITIKKER, PROCEDURER OG KONTROLLER
AFDELING 1
Interne politikker, procedurer og kontroller, risikovurdering og personale
Artikel 9
Omfanget af interne politikker, procedurer og kontroller
1.   Forpligtede enheder skal have interne politikker, procedurer og kontroller for at sikre overensstemmelse med denne forordning, forordning (EU) 2023/1113 og eventuelle administrative retsakter udstedt af et tilsynsorgan, og navnlig for:
a)
på effektiv vis at afbøde og styre de risici for hvidvask af penge og finansiering af terrorisme, som identificeres på EU-plan, i medlemsstaten og i den forpligtede enhed
b)
foruden forpligtelsen til at anvende målrettede finansielle sanktioner at afbøde og styre risici for manglende gennemførelse og omgåelse af målrettede finansielle sanktioner.
De i først afsnit omhandlede politikker, procedurer og kontroller skal stå i rimeligt forhold til virksomhedens art, herunder dens risici og kompleksitet, og den forpligtede enheds størrelse og skal omfatte alle den forpligtede enheds aktiviteter, som hører ind under denne forordnings anvendelsesområde.
2.   De politikker, procedurer og kontroller, der er omhandlet i stk. 1, omfatter:
a)
interne politikker og procedurer, herunder navnlig:
i)
foretagelse og ajourføring af risikovurderingen på virksomhedsplan
ii)
den forpligtede enheds ramme for risikostyring
iii)
kundekendskabsprocedurer med henblik på gennemførelse af denne forordnings kapitel III, herunder procedurer til at fastslå, hvorvidt kunden, den reelle ejer eller den person, på hvis vegne eller til hvis fordel der foretages en transaktion eller gennemføres en aktivitet, er en politisk eksponeret person eller et familiemedlem eller er nært knyttet til en politisk eksponeret person
iv)
indberetning af mistænkelige transaktioner
v)
outsourcing og anvendelse af kundekendskabsprocedurer gennemført af andre forpligtede enheder
vi)
opbevaring af fortegnelser og politikker i forbindelse med behandling af personoplysninger i henhold til artikel 76 og 77
vii)
overvågning og styring af overholdelsen af sådanne interne politikker og procedurer i overensstemmelse med dette stykkes litra b), identifikation og forvaltning af mangler og gennemførelse af afhjælpende tiltag
viii)
i forbindelse med ansættelse af personale og overdragelse af visse opgaver og funktioner til disse og i forbindelse med udnævnelse af enhedens agenter og distributører, kontrol, som står i rimeligt forhold de risici, der er forbundet med de opgaver og funktioner, som skal varetages, af, at disse personer har et godt omdømme
ix)
intern formidling af den forpligtede enheds interne politikker, procedurer og kontroller, herunder til dens agenter, distributører og tjenesteudbydere, som medvirker til gennemførelsen af dens politikker for bekæmpelse af hvidvask af penge og finansiering af terrorisme
x)
en politik for uddannelse af ansatte og, når det er relevant, agenter og distributører med hensyn til de foranstaltninger, som den forpligtede enhed har indført, for at overholde kravene i denne forordning, forordning (EU) 2023/1113 og eventuelle administrative retsakter udstedt af et tilsynsorgan
b)
interne kontroller og en uafhængig revisionsfunktion, der skal teste de interne politikker og procedurer, der er omhandlet i dette stykkes litra a), og de kontroller, som er indført i den forpligtede enhed; hvis der ikke findes en uafhængig revisionsfunktion, kan forpligtede enheder lade denne test udføre af en ekstern ekspert.
De interne politikker, procedurer og kontroller, der er omhandlet i første afsnit, skal foreligge skriftligt. Interne politikker skal godkendes af ledelsesorganet i dets ledelsesfunktion. Interne procedurer og kontroller skal som minimum godkendes på den complianceansvarliges niveau.
3.   De forpligtede enheder skal ajourføre de interne politikker, procedurer og kontroller og skærpe dem, hvis der identificeres svagheder.
4.   Senest den 10. juli 2026 udsteder AMLA retningslinjer om de elementer, som forpligtede enheder på grundlag af virksomhedens art, herunder dens risici og kompleksitet, og dens størrelse bør tage hensyn til, når de træffer beslutninger vedrørende omfanget af deres interne politikker, procedurer og kontroller, navnlig med hensyn til personale, der afsættes til compliancefunktionerne. Disse retningslinjer skal også identificere situationer, hvor følgende gør sig gældende som følge af den forpligtede enheds art og størrelse:
i)
der skal tilrettelægges interne kontroller på kommercielt plan, i compliancefunktionens og revisionsfunktionens niveau
ii)
den uafhængige revisionsfunktion kan udføres af en ekstern ekspert.
Artikel 10
Risikovurdering på virksomhedsplan
1.   Forpligtede enheder skal træffe egnede foranstaltninger, som står i rimeligt forhold til deres virksomheds art, herunder dens risici og kompleksitet, og deres størrelse med henblik på at identificere og vurdere de risici for hvidvask af penge og finansiering af terrorisme, som de er eksponeret for, samt risici for manglende gennemførelse og omgåelse af målrettede finansielle sanktioner, idet de som minimum tager hensyn til følgende:
a)
de risikovariabler, der er fastsat i bilag I, og de risikofaktorer, der er fastsat i bilag II og III
b)
resultaterne af den risikovurdering på EU-plan, der er foretaget af Kommissionen i henhold til artikel 7 i direktiv (EU) 2024/1640
c)
resultaterne af de nationale risikovurderinger, som medlemsstaterne har udarbejdet i henhold til artikel 8 i direktiv (EU) 2024/1640, samt af en eventuel relevant sektorspecifik risikovurdering, som medlemsstaterne har udarbejdet
d)
relevante oplysninger offentliggjort af internationale standardsættere på området for bekæmpelse af hvidvask af penge og finansiering af terrorisme eller, på EU-plan, relevante Kommissions- eller AMLA- publikationer
e)
oplysninger om hvidvask af penge og finansiering af terrorisme, som stilles til rådighed af de kompetente myndigheder
f)
oplysninger om kundegrundlaget.
Forpligtede enheder skal, før de lancerer nye produkter, tjenesteydelser eller forretningsprocedurer, herunder anvendelse af nye leveringskanaler og nye teknologier eller teknologier under udvikling, sammenholdt med nye eller allerede eksisterende produkter og tjenesteydelser, eller før de begynder at levere en eksisterende tjenesteydelse eller et eksisterende produkt til et nyt kundesegment eller i et nyt geografisk område, identificere og vurdere navnlig de hermed forbundne risici for hvidvask af penge og finansiering af terrorisme og træffe passende foranstaltninger til at styre og afbøde disse risici.
2.   Den risikovurdering på virksomhedsplan, som den forpligtede enhed har udarbejdet i henhold til stk. 1, skal dokumenteres, ajourføres og regelmæssigt revideres, herunder hvis en intern eller ekstern hændelse i betydelig grad påvirker de risici for hvidvask af penge og finansiering af terrorisme, som er forbundet med den forpligtede enheds aktiviteter, produkter, transaktioner, leveringskanaler, kunder eller geografiske aktivitetsområder. Den stilles efter anmodning til rådighed for tilsynsorganer.
Risikovurderingen på virksomhedsplan udarbejdes af compliancemedarbejderen og godkendes af ledelsesorganet i dets ledelsesfunktion og, hvis et sådant organ findes, meddeles ledelsesorganet i dets tilsynsfunktion.
3.   Med undtagelse af kreditinstitutter, finansieringsinstitutter, crowdfundingtjenesteudbydere og crowdfundingformidlere kan tilsynsorganerne beslutte, at der ikke stilles krav om individuelle dokumenterede risikovurderinger på virksomhedsplan, hvis de specifikke risici i forbindelse med sektoren er klare og forståelige.
4.   Senest den 10. juli 2026 udsteder AMLA retningslinjer om minimumskravene til indholdet af den risikovurdering på virksomhedsplan, som den forpligtede enhed udarbejder i henhold til stk. 1, og om yderligere informationskilder, som skal tages i betragtning ved gennemførelsen af risikovurderingen på virksomhedsplan.
Artikel 11
Compliancefunktioner
1.   Forpligtede enheder udpeger ét medlem af ledelsesorganet i dets ledelsesfunktion, som skal have ansvaret for at sikre overensstemmelse med denne forordning, forordning (EU) 2023/1113 og eventuelle administrative retsakter udstedt af et tilsynsorgan (»den complianceansvarlige«).
Den complianceansvarlige sikrer, at den forpligtede enheds interne politikker, procedurer og kontroller er i overensstemmelse med den forpligtede enheds risikoeksponering, og at de gennemføres. Den complianceansvarlige sikrer også, at der afsættes tilstrækkelige menneskelige og materielle ressourcer til dette formål. Den complianceansvarlige har ansvaret for at indhente oplysninger om betydelige eller væsentlige svagheder i sådanne politikker, procedurer og kontroller.
Hvis ledelsesorganet i dets ledelsesfunktion er et organ, der har et kollektivt ansvar for sine beslutninger, har den complianceansvarlige ansvaret for at bistå og rådgive det og for at forberede de beslutninger, der er omhandlet i denne artikel.
2.   Forpligtede enheder skal have en compliancemedarbejder, der skal udnævnes af ledelsesorganet i dets ledelsesfunktion og indtage en tilstrækkelig høj hierarkisk position, og som skal have ansvaret for politikker, procedurer og kontroller i den daglige drift af den forpligtede enheds krav for bekæmpelse af hvidvask af penge og finansiering af terrorisme, herunder i forbindelse med gennemførelsen af målrettede finansielle sanktioner, og være kontaktpunkt for de kompetente myndigheder. Compliancemedarbejderen skal også have ansvar for at indberette mistænkelige transaktioner til FIU'en i overensstemmelse med artikel 69, stk. 6.
I tilfælde af forpligtede enheder, som er omfattet af kontrol af deres øverste ledelse eller reelle ejere i henhold til artikel 6 i direktiv (EU) 2024/1640 eller i henhold til andre EU-retsakter, skal compliancemedarbejderne gøres til genstand for kontrol af, at de opfylder disse krav.
Hvis den forpligtede enheds størrelse og den lave risiko, der er forbundet med dens aktiviteter, berettiger det, kan en forpligtet enhed, som er del af en koncern, som compliancemedarbejder udnævne en person, som varetager denne funktion i en anden enhed i samme koncern.
Compliancemedarbejderen kan kun afsættes efter forudgående meddelelse til ledelsesorganet i dets ledelsesfunktion. Den forpligtede enhed underretter tilsynsorganet om afsættelsen af compliancemedarbejderen og angiver, om beslutningen vedrører udførelsen af de opgaver, som er tildelt i henhold til denne forordning. Compliancemedarbejderen kan på eget initiativ eller efter anmodning give tilsynsorganet oplysninger om afsættelsen. Tilsynsorganet kan anvende disse oplysninger til at varetage sine opgaver i henhold til dette stykkes andet afsnit og artikel 37, stk. 4, i direktiv (EU) 2024/1640.
3.   Forpligtede enheder skal udstyre compliancefunktionerne med tilstrækkelige ressourcer, herunder personale og teknologi, i forhold til den forpligtede enheds størrelse, art og risici, for at de effektivt kan varetage deres opgaver, og skal sikre, at de personer, som har ansvaret for disse funktioner, tillægges beføjelser til at foreslå eventuelle nødvendige foranstaltninger, der skal sikre, at den forpligtede enheds interne politikker, procedurer og kontroller er virkningsfulde.
4.   Forpligtede enheder træffer foranstaltninger til at sikre, at compliancemedarbejderen beskyttes mod repressalier, forskelsbehandling og eventuel anden uretfærdig behandling, og at compliancemedarbejderens beslutninger ikke undergraves eller påvirkes uretmæssigt af den forpligtede enheds kommercielle interesser.
5.   Forpligtede enheder sikrer, at compliancemedarbejderen og den person, som har ansvaret for revisionsfunktionen omhandlet i artikel 9, stk. 2, litra b), uafhængigt kan rapportere direkte til ledelsesorganet i dets ledelsesfunktion og, hvis et sådant organ findes, til ledelsesorganet i dets tilsynsfunktion og udtrykke betænkeligheder og advare ledelsesorganet, hvis en specifik risikoudvikling påvirker eller kan påvirke den forpligtede enhed.
Forpligtede enheder sikrer, at de personer, der direkte eller indirekte deltager i gennemførelsen af denne forordning, forordning (EU) 2023/1113 og eventuelle administrative retsakter udstedt af et tilsynsorgan, har adgang til alle oplysninger og data, der er nødvendige for at varetage deres opgaver.
6.   Den complianceansvarlige aflægger regelmæssigt rapport til ledelsesorganet om gennemførelsen af den forpligtede enheds interne politikker, procedurer og kontroller. Navnlig skal den complianceansvarlige én gang om året eller, hvor det er relevant, hyppigere forelægge en rapport om gennemførelsen af den forpligtede enheds interne politikker, procedurer og kontroller, som compliancemedarbejderen har udarbejdet, for ledelsesorganet og skal holde dette organ orienteret om resultatet af eventuelle gennemgange heraf. Den complianceansvarlige tager de nødvendige tiltag til rettidigt at afhjælpe eventuelle konstaterede mangler.
7.   Hvis den forpligtede enheds virksomheds art, herunder dens risici og kompleksitet, og dens størrelse berettiger det, kan den complianceansvarliges funktioner og compliancemedarbejderens funktioner varetages af den samme fysiske person Disse funktioner kan sammenlægges med andre funktioner.
Hvis den forpligtede enhed er en fysisk person eller en juridisk person, hvis aktiviteter udføres udelukkende af én fysisk person, skal denne person have ansvar for at varetage de opgaver, der er fastsat i denne artikel.
Artikel 12
Kendskab til krav
Forpligtede enheder træffer foranstaltninger til at sikre, at deres ansatte eller personer i sammenlignelige stillinger, hvis funktion kræver det, herunder deres agenter og distributører, har kendskab til de krav, der hidrører fra denne forordning, forordning (EU) 2023/1113 og eventuelle administrative retsakter udstedt af et tilsynsorgan, og til risikovurderingen på virksomhedsplan, interne politikker, procedurer og kontroller, som den forpligtede enhed har indført, herunder med hensyn til behandling af personoplysninger med henblik på denne forordning.
De i stykke 1 omhandlede foranstaltninger skal indebære, at deres ansatte eller personer i sammenlignelige stillinger, herunder agenter og distributører, deltager i specifikke uddannelsesprogrammer, således at de får bedre forudsætninger for at genkende aktiviteter, som kan have tilknytning til hvidvask af penge eller finansiering af terrorisme, og instrueres i, hvorledes de skal forholde sig i sådanne tilfælde. Sådanne uddannelsesprogrammer skal tilpasses deres funktioner eller aktiviteter og til de risici for hvidvask af penge og finansiering af terrorisme, som den forpligtede enhed er eksponeret for, og skal dokumenteres på behørig vis.
Artikel 13
Ansattes integritet
1.   Alle ansatte eller personer i sammenlignelige stillinger, herunder agenter og distributører, der direkte medvirker til, at den forpligtede enhed overholder denne forordning, forordning (EU) 2023/1113 og eventuelle administrative retsakter udstedt af et tilsynsorgan, skal gennemgå en vurdering af følgende, svarende til de risici, der er forbundet med de opgaver, der varetages, og hvis indhold er godkendt af compliancemedarbejderen:
a)
individuelle færdigheder, viden og ekspertise til at varetage deres funktioner effektivt
b)
godt omdømme, ærlighed og integritet.
Den i første afsnit omhandlede vurdering skal foretages, inden den ansatte eller en person i en sammenlignelig stilling, herunder agenter og distributører, påbegynder aktiviteterne, og den skal gentages regelmæssigt. Intensiteten af de efterfølgende vurderinger fastsættes på grundlag af de opgaver, der varetages af personen, og de risici, der er forbundet med den funktion, som denne varetager.
2.   Ansatte eller personer i sammenlignelige stillinger, herunder agenter og distributører, som har fået overdraget opgaver i forbindelse med den forpligtede enheds overholdelse af denne forordning, forordning (EU) 2023/1113 og eventuelle administrative retsakter udstedt af et tilsynsorgan, skal underrette compliancemedarbejderen om eventuelle tætte private forbindelser eller forretningsforbindelser, som er etableret med den forpligtede enheds kunder eller potentielle kunder, og skal forhindres i at påtage sig opgaver i forbindelse med den forpligtede enheds regelefterlevelse i relation til disse kunder.
3.   Forpligtede enheder skal have indført procedurer til forebyggelse og håndtering af interessekonflikter, som kan påvirke udførelsen af opgaver i forbindelse med den forpligtede enheds overholdelse af denne forordning, forordning (EU) 2023/1113 og eventuelle administrative retsakter udstedt af et tilsynsorgan.
4.   Denne artikel finder ikke anvendelse, hvis den forpligtede enhed er en fysisk person eller en juridisk person, hvis aktiviteter udføres udelukkende af én fysisk person.
Artikel 14
Indberetning af overtrædelser og beskyttelse af indberettende personer
1.   Europa-Parlamentets og Rådets direktiv (EU) 2019/1937 
(
41
)
 finder anvendelse på indberetning af overtrædelser af denne forordning, forordning (EU) 2023/1113 og eventuelle administrative retsakter udstedt af et tilsynsorgan og på beskyttelse af personer, der indberetter sådanne overtrædelser.
2.   Forpligtede enheder skal etablere interne indberetningskanaler, som opfylder kravene i direktiv (EU) 2019/1937.
3.   Stk. 2 finder ikke anvendelse, hvis den forpligtede enhed er en fysisk person eller en juridisk person, hvis aktiviteter udføres udelukkende af én fysisk person.
Artikel 15
Specifikke ansattes situation
Hvis en fysisk person, der falder ind under en af kategorierne i artikel 3, nr. 3), udøver sin erhvervsmæssige virksomhed som ansat hos en juridisk person, skal de krav, der er fastsat i denne forordning, gælde for denne juridiske person i stedet for den fysiske person.
AFDELING 2
Bestemmelser, som finder anvendelse på koncerner
Artikel 16
Krav på koncernplan
1.   Et moderselskab sikrer, at kravene vedrørende interne procedurer, risikovurdering og personale, som er omhandlet i dette kapitels afdeling 1, gælder i alle koncernens filialer og datterselskaber i medlemsstaterne og for så vidt angår koncerner, hvis hovedsæde er beliggende i Unionen, i tredjelande. Med henblik herpå foretager et moderselskab en risikovurdering på koncernplan under hensyntagen til den risikovurdering på virksomhedsplan, som alle koncernens filialer og datterselskaber foretager, og udarbejder og indfører politikker, procedurer og kontroller på koncernplan, herunder om databeskyttelse og om udveksling af oplysninger internt i koncernen med henblik på bekæmpelse af hvidvask af penge og finansiering af terrorisme og til sikring af, at de ansatte i koncernen har kendskab til de krav, der følger af denne forordning. Forpligtede enheder inden for koncernen gennemfører disse politikker, procedurer og kontroller på koncernplan under hensyntagen til deres særlige kendetegn og de risici, som de er eksponeret for.
De i første afsnit omhandlede politikker, procedurer og kontroller på koncernplan og risikovurderinger på koncernplan skal omfatte alle de elementer, der er anført i henholdsvis artikel 9 og 10.
Hvis en koncern har etableringssteder i mere end én medlemsstat og for så vidt angår koncerner, hvis hovedsæde er beliggende i Unionen, i tredjelande, tager moderselskaber med henblik på første afsnit hensyn til de oplysninger, der offentliggøres af myndighederne i alle de medlemsstater eller tredjelande, hvor koncernens etableringssteder er beliggende.
2.   Der oprettes compliancefunktioner på koncernplan. Disse funktioner skal omfatte en complianceansvarlig på koncernplan og, hvis de aktiviteter, der udføres på koncernplan, berettiger det, en compliancemedarbejder. Afgørelsen om compliancefunktionernes størrelse skal dokumenteres.
Den i første afsnit omhandlede complianceansvarlige aflægger regelmæssigt rapport til moderselskabets ledelsesorgan i dets ledelsesfunktion om gennemførelsen af politikker, procedurer og kontroller på koncernplan. Den complianceansvarlige forelægger som minimum én gang om året en rapport om gennemførelsen af den forpligtede enheds interne politikker, procedurer og kontroller og tager de nødvendige tiltag til rettidigt at afhjælpe eventuelle konstaterede mangler. Hvis ledelsesorganet i dets ledelsesfunktion er et organ, der har et kollektivt ansvar for sine beslutninger, bistår og rådgiver den complianceansvarlige det og udarbejder de beslutninger, der er nødvendige for at gennemføre denne artikel.
3.   Det skal i de politikker, procedurer og kontroller, som vedrører den i stk. 1 omhandlede deling af oplysninger, kræves, at forpligtede enheder i koncernen udveksler oplysninger, når en sådan deling er relevant med henblik på kundekendskabsprocedurer og risikostyring i forbindelse med hvidvask af penge og finansiering af terrorisme. Deling af oplysninger i koncernen skal navnlig omfatte kundens identitet og kendetegn, dens reelle ejere eller den person, på hvis vegne kunden handler, forretningsforbindelsens og de lejlighedsvise transaktioners art og formål og mistanker, ledsaget af de underliggende analyser, om, at midler er udbytte af kriminelle handlinger, eller at de er forbundet med finansiering af terrorisme, som er indberettet til FIU'en i henhold til artikel 69, medmindre FIU'en anviser andet.
De politikker, procedurer og kontroller, der er indført på koncernplan, må ikke forhindre enheder i en koncern, som ikke er forpligtede enheder, i at forelægge oplysninger for forpligtede enheder i samme koncern, hvis en sådan deling er relevant, for at disse forpligtede enheder kan overholde kravene i denne forordning.
Moderselskaber indfører politikker, procedurer og kontroller på koncernplan for at sikre, at de oplysninger, der udveksles i henhold til første og andet afsnit, er omfattet af tilstrækkelige garantier for så vidt angår fortrolighed, databeskyttelse og anvendelse af oplysninger, herunder for at forhindre videregivelse heraf.
4.   Senest den 10. juli 2026 udarbejder AMLA udkast til reguleringsmæssige tekniske standarder og forelægger dem for Kommissionen med henblik på vedtagelse. Nævnte udkast til reguleringsmæssige tekniske standarder præciserer mindstekravene til politikker, procedurer og kontroller, som er indført på koncernplan, herunder minimumsstandarder for koncernintern udveksling af oplysninger, kriterierne for identifikation af moderselskabet i de tilfælde, der er omfattet af artikel 2, stk. 1, nr. 42), litra b), og de vilkår, på hvilke bestemmelserne i nærværende artikel finder anvendelse på enheder, der indgår i strukturer, som har samme ejerskab, ledelse eller compliancekontrol, herunder netværk eller partnerskaber, samt kriterierne for identifikation af moderselskabet i Unionen i disse tilfælde.
5.   Kommissionen tillægges beføjelse til at supplere denne forordning ved at vedtage de reguleringsmæssige tekniske standarder, der er omhandlet i denne artikels stk. 4, i overensstemmelse med artikel 49-52 i forordning (EU) 2024/1620.
Artikel 17
Filialer og datterselskaber i tredjelande
1.   Når forpligtede enheders filialer eller datterselskaber er beliggende i tredjelande, hvor minimumskravene til bekæmpelse af hvidvask af penge og finansiering af terrorisme er mindre strenge end kravene i denne forordning, sikrer moderselskabet, at disse filialer eller datterselskaber overholder kravene i denne forordning, herunder kravene vedrørende databeskyttelse eller tilsvarende krav.
2.   Når et tredjelands ret ikke gør det muligt at overholde denne forordning, træffer moderselskabet yderligere foranstaltninger til at sikre, at filialer og datterselskaber i det pågældende tredjeland på effektiv vis håndterer risikoen for hvidvask af penge eller finansiering af terrorisme, og orienterer tilsynsorganerne i sit hjemland om disse yderligere foranstaltninger. Når tilsynsorganerne i hjemlandet vurderer, at de yderligere foranstaltninger ikke er tilstrækkelige, skal de tage yderligere tilsynstiltag, herunder indføre krav om, at koncernen ikke indgår i nogen forretningsforbindelser, at den skal afslutte eksisterende forretningsforbindelser, eller at den ikke må gennemføre transaktioner, eller at den skal bringe sine aktiviteter i tredjelandet til ophør.
3.   Senest den 10. juli 2026 udarbejder AMLA udkast til reguleringsmæssige tekniske standarder og forelægger dem for Kommissionen med henblik på vedtagelse. Disse udkast til reguleringsmæssige tekniske standarder præciserer arten af de i denne artikels stk. 2 omhandlede yderligere foranstaltninger, herunder de tiltag, som forpligtede enheder som minimum skal tage, hvis tredjelandets ret ikke gør det muligt at gennemføre de foranstaltninger, der kræves i henhold til artikel 16, og de yderligere tilsynstiltag, der er påkrævet i sådanne tilfælde.
4.   Kommissionen tillægges beføjelse til at supplere denne forordning ved at vedtage de reguleringsmæssige tekniske standarder, der er omhandlet i nærværende artikels stk. 3, i overensstemmelse med artikel 49-52 i forordning (EU) 2024/1620.
AFDELING 3
Outsourcing
Artikel 18
Outsourcing
1.   Forpligtede enheder kan outsource opgaver, som følger af denne forordning, til tjenesteudbydere. Den forpligtede enhed underretter tilsynsorganet om outsourcingen, inden tjenesteudbyderen påbegynder udførelsen af de outsourcede opgaver.
2.   Ved udførelsen af opgaver i henhold til denne artikel betragtes tjenesteudbydere som del af den forpligtede enhed, herunder hvis de er forpligtet til at konsultere de centrale registre omhandlet i artikel 10 i direktiv (EU) 2024/1640 (»centrale registre«) med henblik på at gennemføre kundekendskabsprocedurer på vegne af den forpligtede enhed.
Den forpligtede enhed forbliver fuldt ansvarlig for enhver handling, uanset om der er tale om en bevidst handling eller en undladelse, i forbindelse med de outsourcede opgaver, der udføres af tjenesteudbydere.
For hver outsourcet opgave skal den forpligtede enhed kunne godtgøre over for tilsynsorganet, at den forstår rationalet bag de aktiviteter, der udføres af tjenesteudbyderen, og den tilgang, der følges i gennemførelsen heraf, og at sådanne aktiviteter afbøder de specifikke risici, som den forpligtede enhed er eksponeret for.
3.   De i denne artikels stk. 1 omhandlede opgaver, som outsources, må ikke varetages på en sådan måde, at det i væsentlig grad forringer kvaliteten af den forpligtede enheds politikker og procedurer med henblik på at overholde kravene i denne forordning og i forordning (EU) 2023/1113 og de kontroller, der er indført for at teste disse politikker og procedurer. Følgende opgaver må under ingen omstændigheder outsources:
a)
forslaget til og godkendelsen af den forpligtede enheds risikovurdering på virksomhedsplan i henhold til artikel 10, stk. 2
b)
godkendelsen af den forpligtede enheds interne politikker, procedurer og kontroller i henhold til artikel 9
c)
beslutning om, hvilken risikoprofil kunden skal tildeles.
d)
beslutningen om at indgå i en forretningsforbindelse eller gennemføre en lejlighedsvis transaktion med en kunde
e)
indberetningen af mistænkelige aktiviteter til FIU'en i henhold til artikel 69 eller tærskelbaserede indberetninger i henhold til artikel 74 og 80, medmindre sådanne aktiviteter er outsourcet til en anden forpligtet enhed, der tilhører samme koncern og er etableret i samme medlemsstat
f)
godkendelsen af kriterierne med henblik på opdagelse af mistænkelige eller usædvanlige transaktioner og aktiviteter.
4.   Før en forpligtet enhed outsourcer en opgave i henhold til stk. 1, forsikrer den sig om, at tjenesteudbyderen er tilstrækkeligt kvalificeret til at udføre de opgaver, der skal outsources.
Hvor en forpligtet enhed outsourcer en opgave i henhold til stk. 1, sikrer den, at tjenesteudbyderen samt enhver efterfølgende videreoutsourcingtjenesteudbyder, anvender de politikker og procedurer, som den forpligtede enhed har vedtaget. Betingelserne for varetagelsen af sådanne opgaver skal fastsættes i en skriftlig aftale mellem den forpligtede enhed og tjenesteudbyderen. Den forpligtede enhed skal foretage regelmæssige kontroller for at få vished for, at tjenesteudbyderen faktisk gennemfører sådanne politikker og procedurer. Hyppigheden af sådanne kontroller bestemmes på grundlag af de outsourcede opgavers kritiske art.
5.   Forpligtede enheder sikrer, at outsourcing ikke foretages på en måde, der i væsentlig grad forringer tilsynsmyndighedernes mulighed for at overvåge og spore den forpligtede enheds overholdelse af denne forordning og forordning (EU) 2023/1113.
6.   Uanset stk. 1 må forpligtede enheder ikke outsource opgaver, som følger af kravene i henhold til denne forordning, til tjenesteudbydere, som har bopæl eller er etableret i tredjelande, der er identificeret i henhold til kapitel III, afdeling 2, medmindre alle følgende betingelser er opfyldt:
a)
den forpligtede enhed outsourcer udelukkende opgaver til en tjenesteudbyder, der indgår i samme koncern
b)
koncernen anvender politikker og procedurer for bekæmpelse af hvidvask af penge og finansiering af terrorisme, kundekendskabsprocedurer og regler om at føre fortegnelser, som er i fuld overensstemmelse med denne forordning eller med tilsvarende regler i tredjelande
c)
tilsynsmyndigheden i hjemlandet fører tilsyn med den faktiske gennemførelse af de i dette stykkes litra b) omhandlede krav på koncernplan i overensstemmelse med kapitel IV i direktiv (EU) 2024/1640.
7.   Uanset stk. 3 kan et institut for kollektiv investering, hvis det ikke har status som juridisk person eller kun har en bestyrelse og har uddelegeret behandlingen af tegning og opkrævning af midler som defineret i artikel 4, nr. 25), i direktiv (EU) 2015/2366 fra investorer til en anden enhed, outsource den i stk. 3, litra c), d) og e), omhandlede opgave til en af sine tjenesteudbydere.
Den i dette stykkes første afsnit omhandlede outsourcing må først finde sted, efter at instituttet for kollektiv investering har underrettet tilsynsorganet om, at det har til hensigt at outsource opgaven i henhold til stk. 1, og tilsynsorganet har godkendt en sådan outsourcing under hensyntagen til:
a)
tjenesteudbyderens ressourcer, erfaring og viden i forbindelse med forebyggelse af hvidvask af penge og finansiering af terrorisme
b)
tjenesteudbyderens kendskab til den type aktiviteter eller transaktioner, som instituttet for kollektiv investering udfører.
8.   Senest den 10. juli 2027 udsteder AMLA retningslinjer til forpligtede enheder vedrørende følgende:
a)
etablering af outsourcingforhold, herunder eventuelle efterfølgende outsourcingforhold, i overensstemmelse med denne artikel, styring af disse og procedurer for overvågning af, hvordan tjenesteudbyderen gennemfører funktioner og navnlig de funktioner, der skal betragtes som kritiske
b)
den forpligtede enheds og tjenesteudbyderens roller og ansvar som led i en outsourcingaftale
c)
tilsynsmæssige tilgange til outsourcing samt tilsynsmæssige forventninger vedrørende outsourcing af kritiske funktioner.
KAPITEL III
KUNDEKENDSKABSPROCEDURER
AFDELING 1
Almindelige bestemmelser
Artikel 19
Anvendelse af kundekendskabsprocedurer
1.   Forpligtede enheder skal anvende kundekendskabsprocedurer i alle følgende tilfælde:
a)
når de etablerer en forretningsforbindelse
b)
når de gennemfører en lejlighedsvis transaktion til en værdi af mindst 10 000 EUR eller et tilsvarende beløb i national valuta, uanset om denne transaktion gennemføres på én gang eller som indbyrdes forbundne transaktioner, eller til en lavere værdi som fastsat i henhold til stk. 9
c)
når de deltager i oprettelsen af en juridisk enhed, oprettelsen af et juridisk arrangement eller, for så vidt angår de i artikel 3, nr. 3, litra a), b) eller c), omhandlede forpligtede enheder, i overførslen af ejerskabet af en juridisk enhed, uanset transaktionens værdi
d)
når der er mistanke om hvidvask af penge eller finansiering af terrorisme, uanset eventuelle afvigelser, undtagelser eller tærskler
e)
når der hersker tvivl om, hvorvidt tidligere indhentede oplysninger om kundens identitet er korrekte eller fyldestgørende
f)
når der er tvivl om, hvorvidt den person, de interagerer med, er den kunde eller person, der er bemyndiget til at handle på kundens vegne.
2.   Foruden de i stk. 1 omhandlede tilfælde skal kreditinstitutter og finansieringsinstitutter, med undtagelse af udbydere af kryptoaktivtjenester, anvende kundekendskabsprocedurer, når de indleder eller gennemfører en lejlighedsvis transaktion, som udgør en pengeoverførsel som defineret i artikel 3, nr. 9), i forordning (EU) 2023/1113, der beløber sig til en værdi af mindst 1 000 EUR eller et tilsvarende beløb i national valuta, uanset om denne transaktion gennemføres på én gang eller som indbyrdes forbundne transaktioner.
3.   Uanset stk. 1, litra b), skal udbydere af kryptoaktivtjenester:
a)
anvende kundekendskabsprocedurer, når de gennemfører en lejlighedsvis transaktion, der beløber sig til en værdi af mindst 1 000 EUR eller et tilsvarende beløb i national valuta, uanset om transaktionen gennemføres på én gang eller som indbyrdes forbundne transaktioner
b)
som minimum anvende de i artikel 20, stk. 1, litra a), omhandlede kundekendskabsprocedurer, når de gennemfører en lejlighedsvis transaktion, hvor værdien er under 1 000 EUR eller et tilsvarende beløb i national valuta, uanset om transaktionen gennemføres på én gang eller som indbyrdes forbundne transaktioner.
4.   Uanset stk. 1, litra b), skal forpligtede enheder som minimum anvende de i artikel 20, stk. 1, litra a), kundekendskabsprocedurer, når de gennemfører en lejlighedsvis transaktion i kontanter, der beløber sig til en værdi af mindst 3 000 EUR eller et tilsvarende beløb i national valuta, uanset om transaktionen gennemføres på én gang eller som indbyrdes forbundne transaktioner.
Dette stykkes første afsnit finder ikke anvendelse, hvis medlemsstaterne i henhold til artikel 80, stk. 2 og 3, har indført en tærskel for store kontantbetalinger på 3 000 EUR eller derunder, eller et tilsvarende beløb i national valuta, undtagen i de tilfælde, der er omfattet af nævnte artikels stk. 4, litra b).
5.   Udover i de tilfælde, der er omhandlet i stk. 1, skal udbydere af spiltjenester anvende kundekendskabsprocedurer i forbindelse med indkassering af gevinster, pengeindsatser eller begge dele, når de gennemfører transaktioner på mindst 2 000 EUR eller et tilsvarende beløb i national valuta, uanset om transaktionen gennemføres på én gang eller som indbyrdes forbundne transaktioner.
6.   Med henblik på dette kapitel skal forpligtede enheder betragte følgende personer som deres kunder:
a)
i forbindelse med forpligtede enheder som omhandlet i artikel 3, nr. 3, litra e), f) og i), og personer, som handler med varer af høj værdi som omhandlet i artikel 3, nr. 3), litra j), ud over deres direkte kunde, leverandøren af varerne
b)
i forbindelse med notarer, advokater og andre selvstændige retlige aktører, der formidler en transaktion, og i det omfang de er den eneste notar eller advokat eller anden selvstændig retlig aktør, der formidler transaktionen, begge parter i transaktionen
c)
i forbindelse med ejendomsmæglere, begge parter i transaktionen
d)
i forbindelse med betalingsinitieringstjenester, der udføres af betalingsinitieringstjenesteudbydere, den forretningsdrivende
e)
i forbindelse med crowdfundingtjenesteudbydere og crowdfundingformidlere den fysiske eller juridiske person, der både søger finansiering og yder finansiering gennem crowdfundingplatformen.
7.   Tilsynsorganer kan direkte eller i samarbejde med andre myndigheder i den pågældende medlemsstat undtage forpligtede enheder fra helt eller delvis at anvende de i artikel 20, stk. 1, litra a), b) og c), omhandlede kundekendskabsprocedurer for så vidt angår elektroniske penge på grundlag af den dokumenterede lave risiko, som produktets art udgør, hvis alle følgende risikobegrænsende betingelser er opfyldt:
a)
betalingsinstrumentet er ikke genopfyldeligt, og det elektronisk lagrede beløb overstiger ikke 150 EUR eller et tilsvarende beløb i national valuta
b)
betalingsinstrumentet anvendes udelukkende til at købe varer eller tjenesteydelser, der leveres af udstederen, eller inden for et net af tjenesteudbydere
c)
betalingsinstrumentet er ikke knyttet til en betalingskonto og giver ikke mulighed for at veksle lagrede beløb til kontanter eller kryptoaktiver
d)
udstederen foretager tilstrækkelig overvågning af transaktionerne eller forretningsforbindelsen til at kunne opdage usædvanlige eller mistænkelige transaktioner.
8.   Udbydere af spiltjenester kan opfylde deres forpligtelse til at avende kundekendskabsprocedurer omhandlet i artikel 20, stk. 1, litra a), ved at identificere kunden og kontrollere dennes identitet ved indgangen til kasinoet eller andre fysiske spillelokaler, forudsat at de har indført systemer, der gør det muligt for dem at henføre transaktioner til specifikke kunder.
9.   Senest den 10. juli 2026 udarbejder AMLA udkast til reguleringsmæssige tekniske standarder og forelægger dem for Kommissionen med henblik på vedtagelse. Nævnte udkast til reguleringsmæssige tekniske standarder skal præcisere følgende:
a)
de forpligtede enheder, sektorer eller transaktioner, som er forbundet med en højere risiko for hvidvask af penge og finansiering af terrorisme, og for hvilke en tærskel, der er lavere end tærsklerne i stk. 1, litra b), finder anvendelse
b)
de dermed forbundne værdi af lejlighedsvise transaktioner
c)
de kriterier, der skal tages i betragtning ved identifikation af lejlighedsvise transaktioner og forretningsforbindelser
d)
kriterierne for identifikation af indbyrdes forbundne transaktioner.
Når AMLA udarbejder de i første afsnit omhandlede udkast til reguleringsmæssige tekniske standarder, tager den behørigt hensyn til de iboende risikoniveauer for de forretningsmodeller, som de forskellige typer af forpligtede enheder udgør, og den risikovurdering på EU-plan, som er foretaget af Kommissionen i henhold til artikel 7 i direktiv (EU) 2024/1640.
10.   Kommissionen tillægges beføjelser til at supplere denne forordning ved at vedtage de reguleringsmæssige tekniske standarder, der er omhandlet i nærværende artikels stk. 9, i overensstemmelse med artikel 49-52 i forordning (EU) 2024/1620.
Artikel 20
Kundekendskabsprocedurer
1.   Med henblik på at gennemføre kundekendskabsprocedurer anvender forpligtede enheder alle følgende foranstaltninger:
a)
identifikation af kunden og kontrol af kundens identitet
b)
identifikation af de reelle ejere og gennemførelse af rimelige foranstaltninger til at kontrollere deres identitet, således at den forpligtede enhed er overbevist om, at den ved, hvem den reelle ejer er, og forstår kundens ejerskabsforhold og kontrolstruktur
c)
vurdering og eventuelt indhentning af oplysninger om og forståelse af forretningsforbindelsens eller de lejlighedsvise transaktioners formål og tilsigtede beskaffenhed
d)
kontrol af, hvorvidt kunden eller de reelle ejere er omfattet af målrettede finansielle sanktioner, og, i forbindelse med en kunde eller part i et juridisk arrangement, som er en juridisk enhed, hvorvidt fysiske eller juridiske personer, der er omfattet af målrettede finansielle sanktioner, kontrollerer den juridiske enhed eller har mere end 50 % af ejendomsretten til denne juridiske enhed eller har en majoritetsinteresse i den, enten individuelt eller kollektivt
e)
vurdering og, i det omfang det er relevant, indhentning af oplysninger om arten af kundernes forretning, herunder, for så vidt angår virksomheder, hvorvidt de udøver aktiviteter, eller om deres beskæftigelse eller erhverv
f)
vedvarende overvågning af forretningsforbindelsen, herunder undersøgelse af transaktioner, der gennemføres som led i forretningsforbindelsen, for at sikre, at transaktionerne er i overensstemmelse med den forpligtede enheds kendskab til kunden og forretnings- og risikoprofilen, herunder om nødvendigt midlernes oprindelse
g)
konstatering af, om kunden, kundens reelle ejer og, hvor det er relevant, de personer, på hvis vegne eller til hvis fordel en transaktion eller aktivitet gennemføres, er en politisk eksponeret person, et familiemedlem eller en person, der er kendt som en nær samarbejdspartner
h)
hvis en transaktion eller en aktivitet gennemføres på vegne af eller til fordel for en anden fysisk person end kunden, identificere og kontrollere denne eller disse fysiske personers identitet
i)
kontrollere at enhver person, der foregiver at handle på kundens vegne, er bemyndiget hertil, og identificere denne person og kontrollere den pågældendes identitet.
2.   Forpligtede enheder bestemmer omfanget af de i stk. 1 omhandlede foranstaltninger på grundlag af en individuel analyse af risiciene for hvidvask af penge og finansiering af terrorisme, idet de tager hensyn til kundens og forretningsforbindelsens eller den lejlighedsvise transaktions specifikke karakteristika og til den forpligtede enheds risikovurdering på virksomhedsplan, jf. artikel 10, og de variabler vedrørende hvidvask af penge og finansiering af terrorisme, som er fastsat i bilag I, samt de risikofaktorer, der er fastsat i bilag II og III.
Når forpligtede enheder identificerer en forøget risiko for hvidvask af penge eller finansiering af terrorisme, anvender de skærpede kundekendskabsprocedurer i henhold til dette kapitels afdeling 4. Når der identificeres situationer med lavere risiko, kan forpligtede enheder anvende lempede kundekendskabsprocedurer i henhold til dette kapitels afdeling 3.
3.   Senest den 10. juli 2026 udsteder AMLA retningslinjer vedrørende de risikovariabler og risikofaktorer, som forpligtede enheder skal tage hensyn til, når de etablerer en forretningsforbindelse eller gennemfører lejlighedsvise transaktioner.
4.   Forpligtede enheder skal til enhver tid kunne godtgøre over for deres tilsynsorganer, at de foranstaltninger, der er truffet, er hensigtsmæssige i betragtning af de risici for hvidvask af penge og finansiering af terrorisme, der er konstateret.
Artikel 21
Manglende evne til at opfylde kravene om at anvende kundekendskabsprocedurer
1.   Hvis en forpligtet enhed ikke er i stand til at overholde kravet om at anvende kundekendskabsprocedurer, der er fastsat i artikel 20, stk. 1, skal den undlade at gennemføre en transaktion eller etablere en forretningsforbindelse og bringe forretningsforbindelsen til ophør og overveje at indberette en mistænkelig transaktion til FIU'en i relation til kunden, jf. artikel 69.
Ophør af en forretningsforbindelse i henhold til dette stykkes første afsnit er ikke til hinder for modtagelse af midler som defineret i artikel 4, nr. 25), i direktiv (EU) 2015/2366, som skyldes til den forpligtede enhed.
Hvis en forpligtet enhed har pligt til at beskytte sine kunders aktiver, skal forretningsforbindelsens ophør ikke forstås som et krav om afhændelse af kundens aktiver.
Er der tale om livsforsikringskontrakter skal forpligtede enheder, hvor det er nødvendigt som en alternativ foranstaltning til at bringe forretningsforbindelsen til ophør, afholde sig fra at gennemføre transaktioner for kunden, herunder udbetalinger til begunstigede, indtil de kundekendskabsprocedurer, der er fastsat i artikel 20, stk. 1, er anvendt.
2.   Stk. 1 finder ikke anvendelse på notarer, advokater, andre selvstændige retlige aktører, revisorer, eksterne regnskabskyndige og skatterådgivere, for så vidt som de vurderer en kundes retsstilling eller forsvarer eller repræsenterer denne under eller i forbindelse med retssager, herunder rådgiver om indledning eller undgåelse af sådanne retssager.
Første afsnit finder dog ikke anvendelse, når de deri nævnte forpligtede enheder:
a)
deltager i hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme
b)
yder juridisk rådgivning med henblik på hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme eller
c)
har kendskab til, at kunden søger juridisk rådgivning med henblik på hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme; kendskab eller formål kan udledes af objektive, faktiske forhold.
3.   Forpligtede enheder fører fortegnelser over de tiltag, de har taget for at opfylde kravet om at anvende kundekendskabsprocedurer, herunder fortegnelser over de beslutninger, de har truffet, og den relevante dokumentation og begrundelser herfor. Dokumenter, data eller oplysninger, som den forpligtede enhed opbevarer, skal ajourføres ved hver gennemgang af kundekendskabet, jf. artikel 26.
Forpligtelsen til at føre fortegnelser i dette stykkes første afsnit finder også anvendelse på situationer, hvor forpligtede enheder afviser at indgå en forretningsforbindelse, bringer en forretningsforbindelse til ophør eller anvender alternative foranstaltninger i henhold til stk. 1.
4.   Senest den 10. juli 2027 udsteder AMLA sammen med Den Europæiske Banktilsynsmyndighed fælles retningslinjer for de foranstaltninger, som kreditinstitutter og finansieringsinstitutter kan træffe for at sikre overholdelse af reglerne for bekæmpelse af hvidvask af penge og finansiering af terrorisme i forbindelse med gennemførelsen af kravene i direktiv 2014/92/EU, herunder i forbindelse med de forretningsforbindelser, der er mest berørt af risikobegrænsende praksis.
Artikel 22
Identifikation og kontrol af identiteten af kunder og reelle ejere
1.   Med undtagelse af situationer med lavere risiko, på hvilke de i afdeling 3 omhandlede foranstaltninger finder anvendelse, og uanset anvendelsen af de i afdeling 4 omhandlede yderligere foranstaltninger i tilfælde med højere risiko, indhenter forpligtede enheder mindst følgende oplysninger for at identificere kunden, enhver person, der foregiver at handle på kundens vegne og de fysiske personer på hvis vegne eller til hvis fordel en transaktion eller aktivitet gennemføres:
a)
for en fysisk person:
i)
alle navne og efternavne
ii)
fødested og fuld fødselsdato
iii)
nationaliteter, eller i givet fald statsløshed og flygtningestatus eller subsidiær beskyttelsesstatus, og det nationale identifikationsnummer, hvis det foreligger
iv)
den sædvanlige bopæl eller, hvis der ikke er nogen fast bopælsadresse, hvor vedkommende har legitimt ophold i Unionen, den postadresse, hvor den fysiske person kan træffes, og, hvis det foreligger, dennes skatteregistreringsnummer
b)
for en juridisk enhed:
i)
juridisk form og navnet på den juridiske enhed
ii)
adresse på det vedtægtsmæssige hjemsted eller det officielle forretningssted og, hvis det ligger et andet sted, hovedforretningsstedet og registreringslandet
iii)
navnene på den juridiske enheds retlige repræsentanter samt, hvis sådanne foreligger, registreringsnummer, skatteregistreringsnummer og identifikator for den juridiske enhed
iv)
navnene på de personer, der har nominee-ejerandele eller nominee-ledelsesposter, herunder angivelse af deres status som nominee-ejere eller nominee-ledelsesmedlemmer
c)
for en trustforvalter af en viljesbestemt trust eller en person, der varetager en tilsvarende stilling i et lignende juridisk arrangement:
i)
grundlæggende oplysninger om det juridiske arrangement; for så vidt angår de aktiver, der besiddes i det juridiske arrangement eller forvaltes gennem det, identificeres kun de aktiver, der skal forvaltes som led i forretningsforbindelsen eller den lejlighedsvise transaktion
ii)
bopælsadressen for trustforvalterne eller de personer, der varetager tilsvarende stillinger i et lignende juridisk arrangement, og, hvis forskellig, for det sted, hvorfra den viljesbestemte trust eller det lignende juridiske arrangement forvaltes, de beføjelser, der regulerer og gør de juridiske arrangementer bindende, samt, hvis sådanne foreligger, skatteregistreringsnummer og identifikator for den juridiske enhed
d)
for andre organisationer, som har rets- og handleevne i henhold til national ret:
i)
navn og adresse på det vedtægtsmæssige hjemsted eller tilsvarende
ii)
navnene på de personer, som har beføjelse til at repræsentere organisationen, samt i givet fald juridisk form, skatteregistreringsnummer, registreringsnummer, identifikator for den juridiske enhed og stiftelsesdokumenter eller tilsvarende.
2.   Med henblik på at identificere den reelle ejer af en juridisk enhed eller et juridisk arrangement indhenter forpligtede enheder de oplysninger, der er omhandlet i artikel 62, stk. 1, andet afsnit, litra a).
Hvis ingen fysisk person er identificeret som reel ejer, når alle muligheder for identifikation er udtømt, eller hvis der er tvivl om, hvorvidt de identificerede personer er de reelle ejere, registrerer de forpligtede enheder, at ingen reel ejer blev identificeret, og identificerer alle de fysiske personer, som varetager stillingerne som øverste ledere i den juridiske enhed, og kontrollere deres identitet.
Hvis udførelsen af identitetskontrollen omhandlet i andet afsnit kan give et tip til kunden om, at den forpligtede enhed er i tvivl om det reelle ejerskab af den juridiske enhed, afholder den forpligtede enhed sig fra at kontrollere identiteten af den øverste leder og registrerer i stedet de skridt, der er taget for at fastslå identiteten af de reelle ejere og de øverste ledere. Forpligtede enheder fører fortegnelser over de tiltag, som de har taget, samt over de vanskeligheder, som de stødte på under identifikationsprocessen, og som førte til, at der blev grebet til identifikation af en af de øverste ledere.
3.   Kreditinstitutter og finansieringsinstitutter indhenter oplysninger for at identificere og verificere identiteten på de fysiske eller juridiske personer, der anvender et virtuelt IBAN, som de udsteder, og den tilhørende bank- eller betalingskonto.
Det kredit- eller finansieringsinstitut, der forvalter den bankkonto eller betalingskonto, hvortil et virtuelt IBAN udstedt af et andet kredit- eller finansieringsinstitut omdirigerer betalinger, sikrer, at det straks og under alle omstændigheder inden for fem arbejdsdage fra anmodningen om disse oplysninger kan indhente oplysninger fra det institut, der udsteder det virtuelle IBAN, til identifikation og kontrol af identiteten af den fysiske person, der anvender det virtuelle IBAN.
4.   For så vidt angår begunstigede i forbindelse med truster eller lignende juridiske enheder eller arrangementer, som er udpeget ved hjælp af særlige karakteristika eller gruppe, indhenter en forpligtet enhed tilstrækkelige oplysninger om den begunstigede, til at den kan fastslå den begunstigedes identitet på det tidspunkt, hvor udbetalingen finder sted, eller på det tidspunkt, hvor den begunstigede udøver sine erhvervede rettigheder.
5.   I tilfælde af diskretionære truster indhenter en forpligtet enhed tilstrækkelige oplysninger om genstandene for en beføjelse og modtagere ved manglende udøvelse af skønsbeføjelsen til at sætte den i stand til at fastslå den begunstigedes identitet på det tidspunkt, hvor trustforvaltere udøver deres skønsbeføjelse, eller på det tidspunkt, hvor modtagerne ved manglende udøvelse af skønsbeføjelsen bliver begunstigede på grund af trustforvalternes manglende udøvelse af deres skønsbeføjelse.
6.   Forpligtede enheder indhenter de oplysninger, dokumenter og data, som er nødvendige med henblik på kontrollen af identiteten af kunden og enhver person. der foregiver at handle på kundens vegne på en af følgende måder:
a)
forelæggelse af et identifikationsdokument, pas eller tilsvarende og, hvor det er relevant, indhentning af oplysninger fra pålidelige og uafhængige kilder, uanset om de tilgås direkte eller forelægges af kunden
b)
anvendelse af elektroniske identifikationsmidler, som opfylder kravene i forordning (EU) nr. 910/2014 med hensyn til sikringsniveauet »betydelig« eller »høj«, og relevante kvalificerede tillidstjenester som fastsat i nævnte forordning.
7.   Forpligtede enheder kontrollerer identiteten af den reelle ejer og, hvor det er relevant, de personer, på hvis vegne eller til hvis fordel en transaktion eller aktivitet gennemføres, på en af følgende måder:
a)
i overensstemmelse med stk. 6
b)
ved at træffe rimelige foranstaltninger til at indhente de nødvendige oplysninger, dokumenter og data fra kunden eller andre pålidelige kilder, herunder andre offentlige registre end de centrale registre.
Forpligtede enheder bestemmer omfanget af de oplysninger, der skal konsulteres, idet de tager hensyn til de risici, som hidrører fra den lejlighedsvise transaktion eller forretningsforbindelsen og den reelle ejer, herunder risici i forbindelse med ejerskabsstrukturen.
Ud over metoderne til kontrol i dette stykkes første afsnit kontrollerer forpligtede enheder oplysningerne om de reelle ejere ved at konsultere de centrale registre.
Artikel 23
Tidspunkt for kontrol af kundens og den reelle ejers identitet
1.   Kontrol af identiteten af kunden, den reelle ejer og personer i henhold til artikel 20, stk. 1, litra h) og i), foretages før etableringen af en forretningsforbindelse eller gennemførelsen af en lejlighedsvis transaktion. En sådan forpligtelse finder ikke anvendelse på situationer med lavere risiko i henhold til dette kapitels afdeling 3, forudsat at den lavere risiko berettiger udsættelse af en sådan kontrol.
For ejendomsmæglere foretages den kontrol, der er omhandlet i første afsnit, efter et tilbud accepteres af sælger eller udlejer, og under alle omstændigheder inden midler eller formuegoder overføres.
2.   Uanset stk. 1 kan kontrollen af kundens og den reelle ejers identitet foretages under etableringen af en forretningsforbindelse, hvis dette er nødvendigt for ikke at afbryde den normale forretningsgang, og hvis der kun er ringe risiko for hvidvask af penge eller finansiering af terrorisme. I sådanne situationer skal de pågældende procedurer afsluttes hurtigst muligt efter den første kontakt.
3.   Uanset denne artikels stk. 1 kan et kreditinstitut eller finansieringsinstitut åbne en konto, herunder konti, der tillader transaktioner i værdipapirer, som en kunde kan anmode om, forudsat at der er indført passende beskyttelsesforanstaltninger, som sikrer, at transaktioner ikke gennemføres af kunden eller på dennes vegne, før kundekendskabsprocedurerne i artikel 20, stk. 1, litra a) og b), er opfyldt fuldt ud.
4.   Når forpligtede enheder etablerer en ny forretningsforbindelse med en juridisk enhed eller trustforvalteren af en viljesbestemt trust eller den person, som varetager en tilsvarende stilling i et lignende juridisk arrangement, jf. artikel 51, 57, 58, 61 og 67, og med forbehold af registreringen af oplysninger om reelt ejerskab, jf. artikel 10 i direktiv (EU) 2024/1640, indhenter de gyldig dokumentation for registreringen eller et nyligt udstedt uddrag af oplysningerne i registret, der bekræfter gyldigheden af registreringen.
Artikel 24
Indberetning af uoverensstemmelser med oplysninger i registre over reelt ejerskab
1.   Forpligtede enheder indberetter eventuelle uoverensstemmelser, som de finder mellem oplysningerne i de centrale registre og de oplysninger, som de indhenter i henhold til artikel 20, stk. 1, litra b), og artikel 22, stk. 7, til de centrale registre.
De i første afsnit omhandlede uoverensstemmelser skal indberettes uden unødigt ophold og under alle omstændigheder inden for 14 kalenderdage efter deres opdagelse. Når forpligtede enheder indberetter sådanne uoverensstemmelser, skal deres indberetning ledsages af de oplysninger, som de har indhentet, med angivelse af uoverensstemmelsen, og hvem de anser for at være de reelle ejere og, hvor det er relevant, nominee-ejere og nominee-ledelsesmedlemmerne og hvorfor.
2.   Uanset stk. 1 kan forpligtede enheder undlade at indberette uoverensstemmelser til det centrale register og kan i stedet anmode kunderne om yderligere oplysninger, hvis de konstaterede uoverensstemmelser:
a)
er begrænset til trykfejl, forskellige translitterationsmetoder eller mindre unøjagtigheder, der ikke påvirker identifikationen af de reelle ejere eller deres stilling, eller
b)
skyldes forældede data, men de reelle ejere er kendt af den forpligtede enhed fra en anden pålidelig kilde, og der ikke er grund til mistanke om, at der er en hensigt om at skjule oplysninger.
Hvis en forpligtet enhed konkluderer, at oplysningerne om reelt ejerskab i det centrale register er ukorrekte, opfordrer de forpligtede enheder kunderne til at give de korrekte oplysninger til det centrale register i henhold til artikel 63, 64 og 67 uden unødigt ophold og under alle omstændigheder inden for 14 kalenderdage.
Dette stykke finder ikke anvendelse på tilfælde af højere risiko, som foranstaltningerne i dette kapitels afdeling 4 finder anvendelse på.
3.   Hvis en kunde ikke har givet de korrekte oplysninger inden for de frister, der er omhandlet i stk. 2, andet afsnit, indberetter den forpligtede enhed afvigelsen til det centrale register i overensstemmelse med stk. 1, andet afsnit.
4.   Denne artikel finder ikke anvendelse på notarer, advokater, andre selvstændige retlige aktører, revisorer, eksterne regnskabskyndige og skatterådgivere i forbindelse med oplysninger, som disse modtager fra eller indhenter om en kunde, når de vurderer den pågældende kundes retsstilling eller forsvarer eller repræsenterer denne under eller i forbindelse med retssager, herunder rådgiver om indledning eller undgåelse af sådanne retssager, uanset om sådanne oplysninger er modtaget eller indhentet før, under eller efter sådanne retssager.
Kravene i denne artikel finder dog anvendelse, når de i dette stykkes første afsnit omhandlede forpligtede enheder yder juridisk rådgivning i en af de situationer, der er omfattet af artikel 21, stk. 2, andet afsnit.
Artikel 25
Identifikation af en forretningsforbindelses eller lejlighedsvis transaktions formål og tilsigtede beskaffenhed
Inden en forpligtet enhed etablerer en forretningsforbindelse eller gennemfører en lejlighedsvis transaktion, forsikrer den sig om, at den forstår dens formål og tilsigtede beskaffenhed. Med henblik herpå indhenter den forpligtede enhed om nødvendigt oplysninger om:
a)
formålet og den økonomiske baggrund for den lejlighedsvise transaktion eller forretningsforbindelsen
b)
det anslåede beløb for de påtænkte aktiviteter
c)
midlernes oprindelse
d)
midlernes bestemmelsessted
e)
kundens erhvervsaktivitet eller erhverv.
Med henblik på denne artikels stk. 1, litra a), indhenter forpligtede enheder, der er omfattet af artikel 74, oplysninger med henblik på at fastslå, om den tilsigtede anvendelse af varer af høj værdi omhandlet i nævnte artikel er til kommercielle eller ikkekommercielle formål.
Artikel 26
Løbende overvågning af forretningsforbindelsen og overvågning af transaktioner, der gennemføres af kunder
1.   Forpligtede enheder foretager løbende overvågning af forretningsforbindelsen, herunder af transaktioner, der gennemføres af kunden under en forretningsforbindelses varighed, for at sikre, at disse transaktioner stemmer overens med den forpligtede enheds kendskab til kunden, kundens erhvervsaktiviteter og risikoprofil, herunder om nødvendigt med oplysningerne om midlernes oprindelse og bestemmelsessted, og for at opdage transaktioner, som skal gøres til genstand for en mere grundig analyse i henhold til artikel 69, stk. 2.
Hvis forretningsforbindelser omfatter mere end ét produkt eller én tjenesteydelse, sikrer forpligtede enheder, at kundekendskabsprocedurerne omfatter alle disse produkter og tjenesteydelser.
Hvis forpligtede enheder, der tilhører en koncern, har forretningsforbindelser med kunder, der også er kunder i andre enheder i den pågældende koncern, uanset om de er forpligtede enheder eller virksomheder, der ikke er omfattet af krav for bekæmpelse af hvidvask af penge og finansiering af terrorisme, tager de hensyn til oplysninger vedrørende disse andre forretningsforbindelser med henblik på at overvåge forretningsforbindelsen med deres kunder.
2.   I forbindelse med den i stk. 1 omhandlede løbende overvågning sikrer forpligtede enheder, at de relevante dokumenter, data eller oplysninger om kunden ajourføres.
Perioden mellem ajourføringen af kundeoplysninger i henhold til første afsnit afhænger af den risiko, som hidrører fra forretningsforbindelsen, og må under ingen omstændigheder overstige:
a)
et år for kunder med højere risiko, som foranstaltningerne i dette kapitels afdeling 4 finder anvendelse på
b)
fem år for alle andre kunder.
3.   Foruden de i stk. 2 fastsatte krav skal forpligtede enheder gennemgå og, hvor det er relevant, ajourføre kundeoplysningerne, når:
a)
der sker en ændring i en kundens relevante omstændigheder
b)
den forpligtede enhed har en retlig forpligtelse til i løbet af det pågældende kalenderår at kontakte kunden med henblik på at gennemgå eventuelle relevante oplysninger vedrørende de reelle ejere eller til at overholde Rådets direktiv 2011/16/EU 
(
42
)
c)
de får kendskab til en relevant faktor, som vedrører kunden.
4.   Ud over den i denne artikels stk. 1 omhandlede løbende overvågning kontrollerer forpligtede enheder regelmæssigt, om betingelserne i artikel 20, stk. 1, litra d), er opfyldt. Hyppigheden af denne kontrol skal stå i et rimeligt forhold til den forpligtede enheds og forretningsforbindelsens eksponering for risici for manglende gennemførelse og omgåelse af målrettede finansielle sanktioner.
For kreditinstitutter og finansieringsinstitutter foretages den i første afsnit omhandlede kontrol også ved enhver ny udpegelse i forbindelse med målrettede finansielle sanktioner.
Kravene i dette stykke erstatter ikke forpligtelsen til at anvende målrettede finansielle sanktioner eller strengere krav i henhold til andre EU-retsakter eller i henhold til national ret om kontrol af kundegrundlaget i forhold til lister vedrørende målrettede finansielle sanktioner.
5.   Senest den 10. juli 2026 udsteder AMLA retningslinjer om løbende overvågning af en forretningsforbindelse og om overvågning af de transaktioner, der gennemføres som led i en sådan forbindelse.
Artikel 27
Midlertidige foranstaltninger over for kunder, der er omfattet af FN's finansielle sanktioner
1.   For så vidt angår kunder, der er omfattet af FN's finansielle sanktioner, eller som kontrolleres af fysiske eller juridiske personer eller enheder, der er omfattet af FN's finansielle sanktioner, eller hvori fysiske eller juridiske personer eller enheder, der er omfattet af FN's finansielle sanktioner, har mere end 50 % af ejendomsretten eller har en majoritetsinteresse, enten individuelt eller kollektivt, fører forpligtede enheder fortegnelser over:
a)
de midler eller andre aktiver, som de forvalter for kunden på det tidspunkt, hvor FN's finansielle sanktioner offentliggøres
b)
de transaktioner, som kunden har forsøgt at gennemføre
c)
de transaktioner, der er gennemført for kunden.
2.   Forpligtede enheder skal anvende denne artikel mellem det tidspunkt, hvor FN's finansielle sanktioner offentliggøres og tidspunktet for anvendelsen af de relevante målrettede finansielle sanktioner i Unionen.
Artikel 28
Reguleringsmæssige tekniske standarder for oplysninger, som er nødvendige for at gennemføre kundekendskabsprocedurer
1.   Senest den 10. juli 2026 udarbejder AMLA udkast til reguleringsmæssige tekniske standarder og forelægger dem for Kommissionen med henblik på vedtagelse. Nævnte udkast til reguleringsmæssige tekniske standarder præciserer følgende:
a)
de krav, der gælder for forpligtede enheder i henhold til artikel 20, og de oplysninger, som skal indhentes med henblik på at gennemføre almindelige, lempede og skærpede kundekendskabsprocedurer i henhold til artikel 22 og 25 samt artikel 33, stk. 1, og artikel 34, stk. 4, herunder mindstekrav i situationer med lavere risiko
b)
den type lempede kundekendskabsprocedurer, som forpligtede enheder kan anvende i situationer med lavere risiko, jf. denne forordnings artikel 33, stk. 1, herunder foranstaltninger, som finder anvendelse på specifikke kategorier af forpligtede enheder og produkter eller tjenesteydelser, idet de tager hensyn til resultaterne af den risikovurdering på EU-plan, som er foretaget af Kommissionen i henhold til artikel 7 i direktiv (EU) 2024/1640
c)
de risikofaktorer, der er forbundet med karakteristika ved elektroniske pengeinstrumenter, som tilsynsorganerne bør tage hensyn til ved fastlæggelsen af omfanget af undtagelsen i henhold til artikel 19, stk. 7
d)
de pålidelige og uafhængige kilder til oplysninger, der kan anvendes til at kontrollere fysiske eller juridiske personers identifikationsdata med henblik på artikel 22, stk. 6 og 7
e)
listen over attributter, som elektroniske identifikationsmidler og relevante kvalificerede tillidstjenester, jf. artikel 22, stk. 6, litra b), skal indeholde for at opfylde kravene i artikel 20, stk. 1, litra a) og b), i forbindelse med almindelige, lempede og skærpede kundekendskabsprocedurer.
2.   De krav og foranstaltninger, der er omhandlet i stk. 1, litra a) og b), baseres på følgende kriterier:
a)
den iboende risiko, der er forbundet med den tjeneste, der udbydes
b)
de risici, der er forbundet med kundekategorier
c)
transaktionens art og frekvens og hyppighed
d)
de kanaler, der anvendes som led i forretningsforbindelsen eller til gennemførelse af den lejlighedsvise transaktion.
3.   AMLA gennemgår regelmæssigt de reguleringsmæssige tekniske standarder og udarbejder om nødvendigt udkastet til ajourføring af disse standarder og forelægger det for Kommissionen, bl.a. for at tage hensyn til innovation og den teknologiske udvikling.
4.   Kommissionen tillægges beføjelser til at supplere denne forordning ved at vedtage de reguleringsmæssige tekniske standarder, der er omhandlet i nærværende artikels stk. 1 og 3, i overensstemmelse med artikel 49-52 i forordning (EU) 2024/1620.
AFDELING 2
Tredjelandspolitik og trusler for så vidt angår hvidvask af penge og finansiering af terrorisme fra lande uden for Unionen
Artikel 29
Identifikation af tredjelande med væsentlige strategiske mangler i deres nationale ordninger for bekæmpelse af hvidvask af penge og finansiering af terrorisme
1.   Kommissionen identificerer tredjelande med væsentlige strategiske mangler i deres nationale ordninger for bekæmpelse af hvidvask af penge og finansiering af terrorisme og udpeger dem som »højrisikotredjelande«.
2.   Med henblik på at identificere tredjelande som omhandlet i denne artikels stk. 1 bemyndiges Kommissionen til at vedtage delegerede retsakter i overensstemmelse med artikel 85 for at supplere denne forordning, hvis:
a)
der er identificeret væsentlige strategiske mangler i tredjelandets retlige og institutionelle ramme for bekæmpelse af hvidvask af penge og finansiering af terrorisme
b)
der er identificeret væsentlige strategiske mangler med hensyn til effektiviteten af tredjelandets system for bekæmpelse af hvidvask af penge og finansiering af terrorisme med hensyn til bekæmpelse af hvidvask af penge og finansiering af terrorisme eller i dets system til vurdering og afbødning af risici for manglende gennemførelse eller omgåelse af FN's finansielle sanktioner i forbindelse med proliferationsfinansiering
c)
de væsentlige strategiske mangler, der er identificeret i henhold til litra a) og b), er af vedvarende karakter, og der ikke er truffet eller træffes nogen foranstaltninger for at afbøde dem.
Disse delegerede retsakter skal vedtages inden for 20 kalenderdage fra, at Kommissionen har forsikret sig om, at kriterierne i første afsnits litra a), b) eller c) er opfyldt.
3.   Med henblik på stk. 2 tager Kommissionen hensyn til opfordringer til anvendelse af skærpede kundekendskabsprocedurer og yderligere afbødende foranstaltninger (»modforanstaltninger«) fra internationale organisationer og standardsættere, som har kompetence på området for bekæmpelse af hvidvask af penge og finansiering af terrorisme, samt til relevante evalueringer, vurderinger, rapporter eller offentlige erklæringer, som er udarbejdet af disse.
4.   Hvis et tredjeland identificeres i overensstemmelse med de i stk. 2 omhandlede kriterier, anvender forpligtede enheder de kundekendskabsprocedurer, der er omhandlet i artikel 34, stk. 4, for så vidt angår de forretningsforbindelser eller lejlighedsvise transaktioner, som involverer fysiske eller juridiske personer fra det pågældende tredjeland.
5.   Den i stk. 2 omhandlede delegerede retsakt skal blandt de modforanstaltninger, der er opført i artikel 35, angive de specifikke modforanstaltninger, der afbøder specifikke risici, som hidrører fra hvert højrisikotredjeland.
6.   Hvis en medlemsstat identificerer en specifik risiko for hvidvask af penge eller finansiering af terrorisme, der hidrører fra et tredjeland, som Kommissionen har identificeret i overensstemmelse med kriterierne i stk. 2, og som ikke er omfattet af de i stk. 5 omhandlede modforanstaltninger, kan den kræve, at forpligtede enheder, der er etableret på dens område, anvender specifikke supplerende modforanstaltninger til at afbøde de specifikke risici, der hidrører fra det pågældende tredjeland. Den identificerede risiko og de tilsvarende modforanstaltninger meddeles Kommissionen senest fem dage efter anvendelse af modforanstaltningerne.
7.   Kommissionen gennemgår regelmæssigt de i stk. 2 omhandlede delegerede retsakter for at sikre, at de specifikke modforanstaltninger, der er identificeret i henhold til stk. 5, tager hensyn til ændringerne i tredjelandets ramme for bekæmpelse af hvidvask af penge og finansiering af terrorisme, og at de står i rimeligt forhold til og er tilstrækkelige i forhold til risiciene.
Efter at have modtaget en meddelelse i henhold til stk. 6 vurderer Kommissionen de modtagne oplysninger for at fastslå, hvorvidt landespecifikke risici påvirker integriteten af Unionens indre marked. Hvis det er relevant, reviderer Kommissionen de i stk. 2 omhandlede delegerede retsakter ved at tilføje de nødvendige modforanstaltninger for at afbøde disse yderligere risici. Hvis Kommissionen finder, at de specifikke supplerende foranstaltninger, som en medlemsstat har anvendt i henhold til stk. 6, ikke er nødvendige for at afbøde de specifikke risici, der hidrører fra det pågældende tredjeland, kan den ved hjælp af en gennemførelsesretsakt beslutte, at medlemsstaten skal bringe den specifikke yderligere modforanstaltning til ophør.
Artikel 30
Identifikation af tredjelande med overholdelsesmæssige svagheder i deres nationale ordninger til bekæmpelse af hvidvask af penge og finansiering af terrorisme
1.   Kommissionen identificerer tredjelande med overholdelsesmæssige svagheder i deres nationale ordninger til bekæmpelse af hvidvask af penge og finansiering af terrorisme.
2.   Med henblik på at identificere de i stk. 1 omhandlede tredjelande bemyndiges Kommissionen til at vedtage delegerede retsakter i overensstemmelse med artikel 85 for at supplere denne forordning, hvis:
a)
der er identificeret overholdelsesmæssige svagheder i tredjelandets retlige og institutionelle ramme for bekæmpelse af hvidvask af penge og finansiering af terrorisme
b)
der er identificeret overholdelsesmæssige svagheder med hensyn til effektiviteten af tredjelandets system for bekæmpelse af hvidvask af penge og finansiering af terrorisme til bekæmpelse af hvidvask af penge og finansiering af terrorisme eller i dets system til vurdering og afbødning af risici for manglende gennemførelse eller omgåelse af FN's finansielle sanktioner i forbindelse med proliferationsfinansiering.
Disse delegerede retsakter skal vedtages inden for 20 kalenderdage fra, at Kommissionen har forsikret sig om, at kriterierne i første afsnits litra a) eller b) er opfyldt.
3.   Når Kommissionen udarbejder de i stk. 2 omhandlede delegerede retsakter, tager den som udgangspunkt for sin vurdering hensyn til relevante oplysninger om jurisdiktioner, der er genstand for skærpet overvågning, som udføres af internationale organisationer og standardsættere med kompetence på området bekæmpelse af hvidvask af penge og finansiering af terrorisme, samt til relevante evalueringer, vurderinger, rapporter eller offentlige erklæringer, som er udarbejdet af disse.
4.   Den i stk. 2 omhandlede delegerede retsakt skal identificere de specifikke skærpede kundekendskabsprocedurer blandt dem, der er anført i artikel 34, stk. 4, og som forpligtede enheder skal anvende for at afbøde risici i forbindelse med forretningsforbindelser eller lejlighedsvise transaktioner, som involverer fysiske eller juridiske personer fra det pågældende tredjeland.
5.   Kommissionen gennemgår regelmæssigt de i stk. 2 omhandlede delegerede retsakter for at sikre, at de specifikke skærpede kundekendskabsprocedurer, der er identificeret i henhold til stk. 4, tager hensyn til ændringerne i tredjelandets ramme for bekæmpelse af hvidvask af penge og finansiering af terrorisme og at de står i rimeligt forhold til og er tilstrækkelige i forhold til risiciene.
Artikel 31
Identifikation af tredjelande, som udgør en specifik og alvorlig trussel mod Unionens finansielle system
1.   Kommissionen bemyndiges til at vedtage delegerede retsakter i overensstemmelse med artikel 85 til at supplere denne forordning ved at identificere tredjelande, hvis den i ekstraordinære tilfælde anser det for nødvendigt at afbøde en specifik og alvorlig trussel mod Unionens finansielle system og mod et velfungerende indre marked, der hidrører fra disse tredjelande, og som ikke kan afbødes i overensstemmelse med artikel 29 og 30.
2.   Når Kommissionen udarbejder de i stk. 1 omhandlede delegerede retsakter, tager den navnlig hensyn til følgende kriterier:
a)
tredjelandets retlige og institutionelle ramme for bekæmpelse af hvidvask af penge og finansiering af terrorisme, navnlig:
i)
kriminalisering af hvidvask af penge og finansiering af terrorisme
ii)
foranstaltninger vedrørende kundekendskabsprocedurer
iii)
krav vedrørende registrering
iv)
krav om indberetning af mistænkelige transaktioner
v)
kompetente myndigheders adgang til nøjagtige og rettidige oplysninger om det reelle ejerskab af juridiske personer og juridiske arrangementer
b)
tredjelandets kompetente myndigheders beføjelser og procedurer med henblik på bekæmpelse af hvidvask af penge og finansiering af terrorisme, herunder passende effektive, forholdsmæssigt afpassede og afskrækkende sanktioner, såvel som tredjelandets praksis med hensyn til samarbejde og udveksling af oplysninger med de kompetente myndigheder i medlemsstaterne
c)
effektiviteten af tredjelandets system for bekæmpelse af hvidvask af penge og finansiering af terrorisme med hensyn til bekæmpelse af hvidvask af penge og finansiering af terrorisme.
3.   Med henblik på at bestemme det i stk. 1 omhandlede trusselsniveau kan Kommissionen anmode AMLA om at vedtage en udtalelse, der har til formål at vurdere den specifikke indvirkning på integriteten af Unionens finansielle system, som skyldes det trusselsniveau, der hidrører fra et tredjeland.
4.   Hvis AMLA konstaterer, at et andet tredjeland end dem, der er identificeret i henhold til artikel 29 og 30, udgør en specifik og alvorlig trussel mod Unionens finansielle system, kan den afgive en udtalelse til Kommissionen om den trussel, som den har identificeret, og hvorfor den mener, at Kommissionen bør identificere tredjelandet i henhold til stk. 1.
Hvis Kommissionen beslutter ikke at identificere det i første afsnit omhandlede tredjeland, forelægger den en begrundelse herfor for AMLA.
5.   Når Kommissionen udarbejder de i stk. 1 omhandlede delegerede retsakter, tager den navnlig hensyn til relevante evalueringer, vurderinger eller rapporter, der er udarbejdet af internationale organisationer og standardsættere, som har kompetence på området bekæmpelse af hvidvask af penge og finansiering af terrorisme.
6.   Hvis den identificerede specifikke og alvorlige trussel fra det pågældende tredjeland udgør en væsentlig strategisk mangel, finder artikel 29, stk. 4, anvendelse, og den i denne artikels stk. 1 omhandlede delegerede retsakt skal angive specifikke modforanstaltninger, jf. artikel 29, stk. 5.
7.   Hvis den identificerede specifikke og alvorlige trussel fra det pågældende tredjeland udgør en overholdelsesmæssig svaghed, skal den i stk. 1 omhandlede delegerede retsakt angive specifikke skærpede kundekendskabsprocedurer blandt dem, der er anført i artikel 34, stk. 4, og som forpligtede enheder skal anvende for at afbøde risici i forbindelse med forretningsforbindelser eller lejlighedsvise transaktioner, som involverer fysiske eller juridiske personer fra det pågældende tredjeland.
8.   Kommissionen gennemgår regelmæssigt de i stk. 1 omhandlede delegerede retsakter for at sikre, at de modforanstaltninger, der er omhandlet i stk. 6, og de skærpede kundekendskabsprocedurer, der er omhandlet i stk. 7, tager hensyn til ændringerne i tredjelandets ramme for bekæmpelse af hvidvask af penge og finansiering af terrorisme, og at de står i rimeligt forhold til og er tilstrækkelige i forhold til risiciene.
9.   Kommissionen kan ved hjælp af en gennemførelsesretsakt vedtage metoden til identifikation af tredjelande i henhold til denne artikel. Denne gennemførelsesretsakt fastsætter navnlig:
a)
hvordan de i stk. 2 omhandlede kriterier vurderes
b)
processen for interaktion med det tredjeland, der vurderes
c)
processen for inddragelse af medlemsstaterne og AMLA i identifikationen af tredjelande, der udgør en specifik og alvorlig trussel mod Unionens finansielle system.
Den i dette stykkes første afsnit omhandlede gennemførelsesretsakt vedtages efter undersøgelsesproceduren i artikel 86, stk. 2.
Artikel 32
Retningslinjer vedrørende risici og metoder i forbindelse med hvidvask af penge og finansiering af terrorisme
1.   Senest den 10. juli 2027 udsteder AMLA retningslinjer, som definerer risici, tendenser og metoder inden for hvidvask af penge og finansiering af terrorisme, der involverer geografiske områder uden for Unionen, og som forpligtede enheder eksponeres for. AMLA tager navnlig hensyn til de risikofaktorer, der er opført i bilag III. Hvor der identificeres situationer med højere risiko, skal retningslinjerne indeholde skærpede kundekendskabsprocedurer, som forpligtede enheder skal overveje at anvende for at afbøde sådanne risici.
2.   AMLA gennemgår de i stk. 1 omhandlede retningslinjer mindst hvert andet år.
3.   Når AMLA udsteder og gennemgår de i stk. 1 omhandlede retningslinjer, tager AMLA hensyn til relevante evalueringer, vurderinger eller rapporter fra EU-institutioner, -organer, -kontorer og -agenturer, internationale organisationer og standardsættere, som har kompetence på området bekæmpelse af hvidvask af penge og finansiering af terrorisme
AFDELING 3
Lempede kundekendskabsprocedurer
Artikel 33
Lempede kundekendskabsprocedurer
1.   Hvor forretningsforbindelsen eller transaktionen under hensyntagen til de risikofaktorer, der er fastsat i bilag II og III, indebærer en lav risiko, kan forpligtede enheder anvende følgende lempede kundekendskabsprocedurer:
a)
kontrol af kundens og den reelle ejers identitet efter etableringen af forretningsforbindelsen, forudsat at den specifikke lavere risiko, der er identificeret, berettiger en sådan udsættelse, men under alle omstændigheder ikke senere end 60 dage, efter at forbindelsen er etableret
b)
reduktion af hyppigheden af ajourføringer af kundeidentifikationen
c)
reduktion af mængden af oplysninger, der indhentes for at identificere forretningsforbindelsens eller den lejlighedsvise transaktions formål og tilsigtede art, eller fastlæggelse heraf på grundlag af typen af transaktioner eller forretningsforbindelse
d)
reduktion af hyppigheden eller graden af kontrol af transaktioner, som gennemføres af kunden
e)
anvendelse af eventuelle andre lempede kundekendskabsprocedurer, som er fastsat af AMLA i henhold til artikel 28.
De i første afsnit omhandlede foranstaltninger skal stå i rimeligt forhold til virksomhedens formål og art og til de specifikke identificerede elementer, som udgør en meget lav risiko. Forpligtede enheder skal dog foretage tilstrækkelig overvågning af transaktionerne og forretningsforbindelserne til at kunne opdage usædvanlige eller mistænkelige transaktioner.
2.   Forpligtede enheder sikrer, at de interne procedurer, der er indført i henhold til artikel 9, indeholder de specifikke foranstaltninger vedrørende lempet identifikation, som skal træffes i forhold til de forskellige typer af kunder, som udgør en lavere risiko. Forpligtede enheder skal dokumentere beslutninger om at tage hensyn til yderligere faktorer, som udgør en lavere risiko.
3.   Men henblik på anvendelse af de lempede kundekendskabsprocedurer, der er omhandlet i stk. 1, litra a), vedtager forpligtede enheder risikostyringsprocedurer med hensyn til de vilkår, på hvilke de kan udbyde tjenesteydelser eller gennemføre transaktioner for en kunde inden kontrollen finder sted, herunder ved at begrænse beløbet for, antallet eller typen af transaktioner, der kan gennemføres, eller ved at overvåge transaktioner for at sikre, at de er i overensstemmelse med de forventede normer for den pågældende forretningsforbindelse.
4.   Forpligtede enheder kontrollerer regelmæssigt, at vilkårene for anvendelse af lempede kundekendskabsprocedurer fortsat gør sig gældende. Hyppigheden af sådanne kontroller skal stå i forhold til virksomhedens art og omfang og de risici, som den specifikke forretningsforbindelse udgør.
5.   Forpligtede enheder skal undlade at anvende lempede kundekendskabsprocedurer i følgende situationer:
a)
de forpligtede enheder nærer tvivl om rigtigheden af de oplysninger, som kunden eller den reelle ejer forelagde på identifikationstidspunktet, eller de opdager uoverensstemmelser med hensyn til disse oplysninger
b)
de faktorer, som indikerede en lavere risiko, er ikke længere til stede
c)
overvågningen af kundens transaktioner og de oplysninger, der er indhentet som led i forretningsforbindelsen, udelukker en situation med lavere risiko
d)
der er mistanke om hvidvask af penge eller finansiering af terrorisme.
e)
der er mistanke om, at kunden eller den person, der handler på kundens vegne, forsøger at omgå eller unddrage sig målrettede finansielle sanktioner.
AFDELING 4
Skærpede kundekendskabsprocedurer
Artikel 34
Anvendelsesområde for skærpede kundekendskabsprocedurer
1.   I de situationer, der er omhandlet i artikel 29, 30, 31 og 36-46, samt i andre situationer med højere risiko, som forpligtede enheder har identificeret i henhold til artikel 20, stk. 2, andet afsnit, anvender forpligtede enheder skærpede kundekendskabsprocedurer for på passende vis at styre og afbøde sådanne risici.
2.   Forpligtede enheder undersøger oprindelsen af og bestemmelsesstedet for midler, der indgår i alle transaktioner, og formålet med alle transaktioner, som opfylder mindst én af følgende betingelser:
a)
transaktionen er kompleks
b)
transaktionen er usædvanligt stor
c)
transaktionen gennemføres efter et usædvanligt mønster
d)
transaktionen har intet åbenbart økonomisk eller lovligt formål.
3.   Med undtagelse af de tilfælde, der er omfattet af dette kapitels afdeling 2, tager forpligtede enheder, når de vurderer risiciene for hvidvask af penge og finansiering af terrorisme, som hidrører fra en forretningsforbindelse eller lejlighedsvis transaktion, som minimum hensyn til de faktorer, der udgør en potentiel højere risiko, jf. bilag III, og de retningslinjer, der er vedtaget af AMLA i henhold til artikel 32, samt eventuelle andre indikatorer for højere risiko såsom underretninger udstedt af FIU'en og resultater af risikovurderingen på virksomhedsplan i henhold til artikel 10.
4.   Med undtagelse af de tilfælde, der er omfattet af dette kapitels afdeling 2, anvender forpligtede enheder i tilfælde med højere risiko, som omhandlet i denne artikels stk. 1, skærpede kundekendskabsprocedurer, som står i rimeligt forhold til de identificerede højere risici, hvilket kan omfatte følgende procedurer:
a)
indhentning af yderligere oplysninger om kunden og de reelle ejere
b)
indhentning af yderligere oplysninger om forretningsforbindelsens tilsigtede beskaffenhed
c)
indhentning af yderligere oplysninger om midlernes oprindelse og oprindelsen af kundens og den reelle ejers formue
d)
indhentning af oplysninger om begrundelsen for de påtænkte eller gennemførte transaktioner og deres overensstemmelse med forretningsforbindelsen
e)
indhentning af den øverste ledelses godkendelse med henblik på at etablere eller fortsætte en forretningsforbindelse
f)
gennemførelse af skærpet overvågning af forretningsforbindelsen ved at øge antallet og hyppigheden af kontroller og ved at udvælge transaktionsmønstre, der kræver nærmere undersøgelse
g)
krav om, at den første betaling foretages via en konto i kundens navn i et kreditinstitut, der er omfattet af standarder for kundekendskabsprocedurer, som ikke er mindre omfattende end dem, der er fastsat i denne forordning.
5.   Hvis en forretningsforbindelse, der er identificeret som havende en højere risiko, omfatter håndtering af aktiver med en værdi på mindst 5 000 000 EUR eller et tilsvarende beløb i national eller udenlandsk valuta gennem skræddersyede tjenesteydelser for en kunde, der har samlede aktiver med en værdi på mindst 50 000 000 EUR eller et tilsvarende beløb i national eller udenlandsk valuta, hvad enten det er i finansielle eller investerbare aktiver eller fast ejendom eller en kombination heraf, med undtagelse af den pågældende kundes private bopæl, anvender kreditinstitutter og finansieringsinstitutter og udbydere af tjenester til truster eller virksomheder følgende skærpede kundekendskabsprocedurer, ud over eventuelle skærpede kundekendskabsprocedurer, der anvendes i henhold til stk. 4:
a)
specifikke procedurer, herunder procedurer til afbødning af risici i forbindelse med skræddersyede tjenester og produkter, der tilbydes den pågældende kunde
b)
indhentning af yderligere oplysninger om kundens midlers oprindelse
c)
forebyggelse og håndtering af interessekonflikter mellem kunden og den øverste ledelse eller ansatte i den forpligtede enhed, der udfører opgaver i forbindelse med den forpligtede enheds regelefterlevelse i forhold til den pågældende kunde.
Senest den 10. juli 2027 udsteder AMLA retningslinjer for de foranstaltninger, som kreditinstitutter og finansieringsinstitutter og udbydere af tjenester til truster og virksomheder skal træffe for at fastslå, om en kunde har samlede aktiver med en værdi på mindst 50 000 000 EUR eller et tilsvarende beløb i national eller udenlandsk valuta i finansielle eller investerbare aktiver eller fast ejendom, og hvordan denne værdi opgøres.
6.   Med undtagelse af de tilfælde, der er omfattet af dette kapitels afdeling 2, kan medlemsstaterne, når de identificerer tilfælde med højere risici i henhold til artikel 8 i direktiv (EU) 2024/1640, herunder som resultat af sektorspecifikke risikovurderinger, som medlemsstater har foretaget, pålægge forpligtede enheder at anvende skærpede kundekendskabsprocedurer og i givet fald beskrive disse procedurer. Medlemsstaterne underretter Kommissionen og AMLA om deres beslutninger, der pålægger skærpede kundekendskabskrav for forpligtede enheder, der er etableret på deres område, inden for én måned efter vedtagelsen heraf, ledsaget af en begrundelse for de risici for hvidvask af penge og finansiering af terrorisme, som ligger til grund for en sådan beslutning.
Når de risici, som medlemsstaterne har identificeret i henhold til første afsnit, med sandsynlighed stammer fra lande uden for Unionen og kan få indvirkning på Unionens finansielle system, overvejer AMLA efter anmodning fra Kommissionen eller på eget initiativ at ajourføre de retningslinjer, som den har vedtaget i henhold til artikel 32.
7.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 85 med henblik på at supplere denne forordning, hvis den identificerer yderligere tilfælde med højere risiko som omhandlet i denne artikels stk. 1, der påvirker Unionen som helhed, og skærpede kundekendskabsprocedurer, som forpligtede enheder skal anvende i disse tilfælde, under hensyntagen til medlemsstaternes underretninger i henhold til nærværende artikels stk. 6, første afsnit.
8.   Skærpede kundekendskabsprocedurer skal ikke anvendes automatisk over for filialer eller datterselskaber af forpligtede enheder, som er etableret i Unionen og beliggende i de tredjelande, der er omhandlet i artikel 29, 30 og 31, hvis disse filialer eller datterselskaber til fulde overholder de politikker, procedurer og kontroller, der er indført på koncernplan, i overensstemmelse med artikel 17.
Artikel 35
Modforanstaltninger, der skal afbøde trusler i forbindelse med hvidvask af penge og finansiering af terrorisme fra lande uden for Unionen
Med henblik på artikel 29 og 31 kan Kommissionen vælge blandt følgende modforanstaltninger:
a)
modforanstaltninger, som forpligtede enheder skal anvende på personer og juridiske enheder, der involverer højrisikotredjelande, og, hvor det er relevant, på andre lande, der udgør en trussel mod Unionens finansielle system, og som indebærer følgende:
i)
anvendelse af yderligere elementer af skærpet kundekendskab
ii)
indførelse af relevante skærpede indberetningsmekanismer eller systematisk indberetning af finansielle transaktioner
iii)
begrænsning af forretningsforbindelser eller transaktioner med fysiske personer eller juridiske enheder fra disse tredjelande
b)
modforanstaltninger, som medlemsstaterne skal anvende med henblik på højrisikotredjelande og i givet fald på andre lande, der udgør en trussel mod Unionens finansielle system, og som indebærer følgende:
i)
at afvise, at forpligtede enheder fra det pågældende land etablerer datterselskaber, filialer eller repræsentationskontorer eller på anden måde tage højde for, at den relevante forpligtede enhed er fra et tredjeland, der ikke har tilstrækkelige ordninger for bekæmpelse af hvidvask af penge og finansiering af terrorisme
ii)
at forbyde forpligtede enheder at etablere filialer eller repræsentationskontorer i det pågældende tredjeland eller på anden måde tage højde for, at den pågældende filial eller det pågældende repræsentationskontor ville komme til at ligge i et tredjeland, der ikke har tilstrækkelige ordninger for bekæmpelse af hvidvask af penge og finansiering af terrorisme
iii)
at kræve øget tilsyn eller stille øgede krav om ekstern revision for filialer og datterselskaber af forpligtede enheder, der er beliggende i det pågældende tredjeland
iv)
at stille øgede krav om ekstern revision af finansielle koncerner med hensyn til alle deres filialer og datterselskaber, der er beliggende i det pågældende tredjeland
v)
at påbyde kreditinstitutter og finansieringsinstitutter at undersøge og ændre eller om nødvendigt bringe korrespondentforbindelser med respondentinstitutter i det pågældende tredjeland til ophør.
Artikel 36
Specifikke skærpede kundekendskabsprocedurer for grænseoverskridende korrespondentforbindelser
Med hensyn til grænseoverskridende korrespondentforbindelser, herunder forbindelser, der er etableret med henblik på værdipapirtransaktioner eller overførsler af midler, som involverer gennemførelse af betalinger med et respondentinstitut fra et tredjeland, pålægges kreditinstitutter og finansieringsinstitutter, foruden de i artikel 20 omhandlede kundekendskabsprocedurer, i forbindelse med etablering af en forretningsforbindelse følgende:
a)
at indhente tilstrækkelige oplysninger om respondentinstituttet til fuldt ud at forstå, hvori dens virksomhed består, og på grundlag af offentligt tilgængelige oplysninger at bedømme det pågældende instituts omdømme og kvaliteten af tilsynet
b)
at vurdere respondentinstituttets kontrol af bekæmpelse af hvidvask af penge og finansiering af terrorisme
c)
at indhente den øverste ledelses godkendelse, inden der etableres nye grænseoverskridende korrespondentforbindelser
d)
at dokumentere de enkelte institutters respektive ansvarsområder
e)
i forbindelse med »gennemstrømningskonti« at sikre sig, at respondentinstituttet har kontrolleret identiteten på de kunder, der har direkte adgang til korrespondentinstituttets konti, og løbende har gennemført kundekendskabsprocedurer vedrørende disse kunder, samt at det efter anmodning er i stand til at forelægge korrespondentinstituttet relevante kundekendskabsoplysninger.
Hvis kreditinstitutter og finansieringsinstitutter beslutter at bringe grænseoverskridende korrespondentforbindelser til ophør af årsager, som har tilknytning til politikker vedrørende bekæmpelse af hvidvask af penge og finansiering af terrorisme, skal de dokumentere deres beslutning.
Artikel 37
Specifikke skærpede kundekendskabsprocedurer for grænseoverskridende korrespondentforbindelser for udbydere af kryptoaktivtjenester
1.   Uanset artikel 36 pålægges udbydere af kryptoaktivtjenester for så vidt angår grænseoverskridende korrespondentforbindelser, der involverer udførelse af kryptoaktivtjenester med en respondentenhed, der ikke er etableret i Unionen og leverer lignende tjenester, herunder overførsler af kryptoaktiver, ud over de kundekendskabsprocedurer, der er fastsat i artikel 20, når de indgår en forretningsforbindelse, følgende:
a)
at fastslå, om respondentenheden er godkendt eller registreret
b)
at indhente tilstrækkelige oplysninger om respondentenheden til fuldt ud at forstå, hvori dens virksomhed består, og på grundlag af offentligt tilgængelige oplysninger at bedømme den pågældende enheds omdømme og kvaliteten af tilsynet
c)
at vurdere respondentenhedens kontroller for bekæmpelse af hvidvask af penge og finansiering af terrorisme
d)
at indhente den øverste ledelses godkendelse inden etableringen af den nye korrespondentforbindelse
e)
at dokumentere de respektive ansvarsområder, der påhviler hver part i korrespondentforbindelsen
f)
i forbindelse med gennemstrømningskryptoaktivkonti at sikre sig, at respondentenheden har kontrolleret identiteten af og løbende har gennemført kundekendskabsprocedurer vedrørende de kunder, der har direkte adgang til korrespondentenhedens konti, samt at den er i stand til at forelægge relevante kundekendskabsoplysninger for korrespondentenheden efter anmodning.
Hvis udbydere af kryptoaktivtjenester beslutter at afslutte korrespondentforbindelser af årsager, som har tilknytning til politikker vedrørende bekæmpelse af hvidvask af penge og finansiering af terrorisme, dokumenterer de deres beslutning.
Udbydere af kryptoaktivtjenester ajourfører regelmæssigt kundekendskabsoplysningerne for korrespondentforbindelsen, eller når der opstår nye risici i forbindelse med respondentenheden.
2.   Udbydere af kryptoaktivtjenester tager hensyn til de oplysninger, der er indhentet i henhold til stk. 1, for på et risikofølsomt grundlag at fastlægge de egnede foranstaltninger, der skal træffes for at afbøde de risici, som knytter sig til respondentenheden.
3.   Senest den 10. juli 2027 udsteder AMLA retningslinjer for at præcisere de kriterier og elementer, som udbydere af kryptoaktivtjenester skal tage i betragtning for at gennemføre den vurdering, der er omhandlet i stk. 1, og de risikobegrænsende foranstaltninger, der er omhandlet i stk. 2, herunder de minimumstiltag, der skal tages af udbydere af kryptoaktivtjenester, hvis det konstateres, at respondentenheden ikke er registreret eller godkendt.
Artikel 38
Specifikke foranstaltninger over for individuelle tredjelandsrespondentinstitutter
1.   Kreditinstitutter og finansieringsinstitutter anvender foranstaltningerne i denne artikels stk. 6 i forbindelse med tredjelandsrespondentinstitutter, som de har en korrespondentforbindelse med i henhold til artikel 36 eller 37, og over for hvilke AMLA udsteder en henstilling i henhold til nærværende artikels stk. 2.
2.   AMLA udsteder en henstilling til kreditinstitutter og finansieringsinstitutter, hvis der er bekymring for, at respondentinstitutter i tredjelande befinder sig i en af følgende situationer:
a)
de gør sig skyldige i alvorlig, gentagen eller systematisk overtrædelse af kravene til bekæmpelse af hvidvask af penge og finansiering af terrorisme
b)
de har svagheder i deres interne politikker, procedurer og kontroller, som sandsynligvis vil føre til alvorlige, gentagne eller systematiske overtrædelser af kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme
c)
de har indført interne politikker, procedurer og kontroller, der ikke står i et rimeligt forhold til de risici for hvidvask af penge, de underliggende lovovertrædelser og finansiering af terrorisme, som tredjelandsrespondentinstituttet er eksponeret for.
3.   Den henstilling, der er omhandlet i stk. 2, udstedes, hvis alle følgende betingelser er opfyldt:
a)
et finansielt tilsynsorgan, herunder AMLA, når det udfører sine tilsynsaktiviteter, vurderer på grundlag af de oplysninger, det har adgang til i forbindelse med sine tilsynsaktiviteter, at et tredjelandsrespondentinstitut befinder sig i en af de situationer, der er anført i stk. 2, og kan påvirke korrespondentforbindelsens risikoeksponering
b)
efter en vurdering af de oplysninger, som det finansielle tilsynsorgan, der er omhandlet i dette stykkes litra a), har adgang til, er der blandt de finansielle tilsynsorganer i Unionen enighed om, at tredjelandsrespondentinstituttet befinder sig en af de situationer, der er anført i stk. 2, og kan påvirke korrespondentforbindelsens risikoeksponering.
4.   Inden AMLA udsteder den henstilling, der er omhandlet i stk. 2, hører den det tredjelandstilsynsorgan, der er ansvarligt for respondentinstituttet, og anmoder det om at fremlægge sine egne og respondentinstituttets synspunkter om tilstrækkeligheden af politikker vedrørende bekæmpelse af hvidvask af penge og finansiering af terrorisme, procedurer og kontroller samt af de kundekendskabsprocedurer, som respondentinstituttet har indført for at mindske risikoen for hvidvask af penge, de underliggende lovovertrædelser og finansiering af terrorisme, og afhjælpende foranstaltninger, der skal indføres. Hvis der ikke er afgivet svar inden for to måneder, eller hvis svaret ikke viser, at tredjelandsrespondentinstituttet kan gennemføre tilfredsstillende politikker, procedurer og kontroller for bekæmpelse af hvidvask af penge og finansiering af terrorisme samt anvende passende kundekendskabsprocedurer for at afbøde de risici, som det er udsat for, og som kan påvirke korrespondentforbindelsen, udsteder AMLA henstillingen.
5.   AMLA trækker den i stk. 2 omhandlede henstilling tilbage, så snart den finder, at et tredjelandsrespondentinstitut, om hvilket den har vedtaget denne henstilling, ikke længere opfylder betingelserne i stk. 3.
6.   For så vidt angår tredjelandsrespondentinstitutter omhandlet i stk. 1 skal kreditinstitutter og finansieringsinstitutter:
a)
afholde sig fra at indgå nye forretningsforbindelser med tredjelandsrespondentinstituttet, medmindre de på grundlag af de oplysninger, der er indhentet i henhold til artikel 36 eller 37, konkluderer, at de afbødende foranstaltninger, der anvendes på forretningsforbindelsen med tredjelandsrespondentinstituttet, og de foranstaltninger, der er indført i tredjelandsrespondentinstituttet, i tilstrækkelig grad kan afbøde de risici for hvidvask af penge og finansiering af terrorisme, der er forbundet med den pågældende forretningsforbindelse
b)
for igangværende forretningsforbindelser med tredjelandsrespondentinstituttet:
i)
gennemgå og ajourføre oplysningerne om respondentinstituttet i henhold til artikel 36 eller 37
ii)
bringe forretningsforbindelsen til ophør, medmindre de på grundlag af de oplysninger, der er indhentet i henhold til nr. i), konkluderer, at de afbødende foranstaltninger, der anvendes på forretningsforbindelsen med tredjelandsrespondentinstituttet, og de foranstaltninger, der er indført i tredjelandsrespondentinstituttet, i tilstrækkelig grad kan afbøde de risici for hvidvask af penge og finansiering af terrorisme, der er forbundet med den pågældende forretningsforbindelse
c)
underrette respondentinstituttet om de konklusioner, de har draget vedrørende de risici, som korrespondentforbindelsen udgør, efter henstillingen fra AMLA og om de foranstaltninger, der er truffet i henhold til litra a) eller b).
Hvis AMLA har trukket en henstilling tilbage i henhold til stk. 5, reviderer kreditinstitutter og finansieringsinstitutter deres vurdering af, om tredjelandsrespondentinstitutterne opfylder nogen af betingelserne i stk. 3.
7.   Kreditinstitutter og finansieringsinstitutter dokumenterer enhver beslutning, der træffes i henhold til denne artikel.
Artikel 39
Forbud mod korrespondentforbindelser med tomme institutter
1.   Kreditinstitutter og finansieringsinstitutter må ikke indgå eller opretholde en korrespondentforbindelse med et tomt institut. Kreditinstitutter og finansieringsinstitutter træffer passende foranstaltninger til at sikre, at de ikke indgår eller opretholder korrespondentforbindelser med et kreditinstitut eller et finansieringsinstitut, som er kendt for at tillade, at dets konti anvendes af tomme institutter.
2.   Ud over de i stk. 1 fastsatte krav, sikrer udbydere af kryptoaktivtjenester, at deres konti ikke anvendes af tomme institutter til at udbyde kryptoaktivtjenester. Med henblik herpå skal udbydere af kryptoaktivtjenester have indført interne politikker, procedurer og kontroller til at opdage ethvert forsøg på at anvende deres konti til at udbyde uregulerede kryptoaktivtjenester.
Artikel 40
Foranstaltninger til afbødning af risici i forbindelse med transaktioner med en selvhostet adresse
1.   Udbydere af kryptoaktivtjenester identificerer og vurderer risikoen for hvidvask af penge og finansiering af terrorisme i forbindelse med overførsler af kryptoaktiver, der er rettet mod eller stammer fra en selvhostet adresse. Udbydere af kryptoaktivtjenester indfører med henblik herpå interne politikker, procedurer og kontroller.
Udbydere af kryptoaktivtjenester træffer afbødende foranstaltninger, der står i et rimeligt forhold til de identificerede risici. Disse afbødende foranstaltninger skal omfatte en eller flere af følgende:
a)
indførelse af risikobaserede foranstaltninger, der skal identificere og kontrollere identiteten af ordregiveren eller ordremodtageren af en overførsel fra eller til en selvhostet adresse eller en sådan ordregivers eller ordremodtagers reelle ejer, herunder gennem anvendelse af tredjeparter
b)
krav om yderligere oplysninger om kryptoaktivernes oprindelse og bestemmelsessted
c)
gennemførelse af øget løbende overvågning af transaktioner med en selvhostet adresse
d)
enhver anden foranstaltning til at afbøde og styre risiciene for hvidvask af penge og finansiering af terrorisme samt risikoen for manglende gennemførelse og omgåelse af målrettede finansielle sanktioner.
2.   Senest den 10. juli 2027 udsteder AMLA retningslinjer for at specificere de i stk. 1 omhandlede afbødende foranstaltninger, herunder:
a)
kriterierne og formerne for identifikation og kontrol af identiteten af ordregiveren eller ordremodtageren af en overførsel fra eller til en selvhostet adresse, herunder gennem anvendelse af tredjeparter, under hensyntagen til den seneste teknologiske udvikling
b)
kriterier og midler til kontrol af, om den selvhostede adresse ejes eller kontrolleres af en kunde.
Artikel 41
Særlige bestemmelser vedrørende ansøgere om opholdsret gennem investeringer
Ud over de kundekendskabsprocedurer, der er fastsat i artikel 20, for så vidt angår kunder, der er tredjelandsstatsborgere, og som er i gang med at ansøge om opholdsret i en medlemsstat til gengæld for en hvilken som helst form for investering, herunder overførsler, køb eller leje af ejendom, investering i statsobligationer, investering i virksomheder, donationer eller tilførsel af en aktivitet, der bidrager til almenvellet, og bidrag til statsbudgettet, skal forpligtede enheder som minimum anvende skærpede kundekendskabsprocedurer, jf. artikel 34, stk. 4, litra a), c), e) og f).
Artikel 42
Specifikke bestemmelser vedrørende politisk eksponerede personer
1.   Ud over de kundekendskabsprocedurer, der er fastsat i artikel 20, træffer forpligtede enheder følgende foranstaltninger med hensyn til lejlighedsvise transaktioner eller forretningsforbindelser med politisk eksponerede personer:
a)
indhenter den øverste ledelses godkendelse til udførelse af lejlighedsvise transaktioner eller til etablering eller fortsættelse af forretningsforbindelser med politisk eksponerede personer
b)
træffer passende foranstaltninger til at fastslå oprindelsen af den formue og de midler, der er omfattet af forretningsforbindelser eller lejlighedsvise transaktioner med politisk eksponerede personer
c)
gennemfører skærpet løbende overvågning af sådanne forretningsforbindelser.
2.   Senest den 10. juli 2027 udsteder AMLA retningslinjer om følgende forhold:
a)
kriterierne for identifikation af personer, der er kendt som nære samarbejdspartnere
b)
det risikoniveau, der er forbundet med en bestemt kategori af politisk eksponerede personer, familiemedlemmer eller personer, der er kendt som nære samarbejdspartnere, herunder vejledning om, hvordan sådanne risici skal vurderes, hvor personen ikke længere varetager et højerestående offentligt hverv, jf. artikel 45.
Artikel 43
Liste over højerestående offentlige hverv
1.   Hver medlemsstat udarbejder og ajourfører en liste, som præcist angiver de hverv, der i overensstemmelse med nationale love og administrative bestemmelser udgør højerestående offentlige hverv med henblik på artikel 2, stk. 1, nr. 34). Medlemsstaterne anmoder hver internationale organisation, der er akkrediteret på deres område, om at udarbejde og ajourføre en liste over højerestående offentlige hverv inden for den pågældende internationale organisation med henblik på artikel 2, stk. 1, nr. 34). Disse lister skal også omfatte ethvert hverv, der kan varetages af repræsentanter for tredjelande og for internationale organisationer, der er akkrediteret på medlemsstatsplan. Medlemsstaterne meddeler Kommissionen og AMLA disse lister samt eventuelle ændringer heraf.
2.   Kommissionen kan ved hjælp af en gennemførelsesretsakt vedtage formatet for udarbejdelse og meddelelse af medlemsstaternes lister over højerestående offentlige hverv i henhold til stk. 1. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 86, stk. 2.
3.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 85 med henblik på at supplere artikel 2, stk. 1, nr. 34), hvis de lister, som medlemsstaterne har meddelt i henhold til stk. 1, identificerer yderligere fælles kategorier af højerestående offentlige hverv, og disse kategorier af højerestående offentlige hverv er relevante for Unionen som helhed.
Ved udarbejdelsen af delegerede retsakter i henhold til første afsnit hører Kommissionen AMLA.
4.   Kommissionen udarbejder og ajourfører den liste, som præcist angiver de hverv, der udgør højerestående offentlige hverv på EU-plan. Denne liste skal også omfatte ethvert hverv, der kan varetages af repræsentanter for tredjelande og for internationale organisationer, der er akkrediteret på EU-plan.
5.   Kommissionen sammensætter på grundlag af de lister, der er fastsat i denne artikels stk. 1 og 4, en samlet liste over alle højerestående offentlige hverv med henblik på artikel 2, stk. 1, nr. 34). Kommissionen offentliggør denne samlede liste i 
Den Europæiske Unions Tidende
. AMLA offentliggør denne liste på sit websted.
Artikel 44
Politisk eksponerede personer, som er begunstigede i forsikringspolicer
Forpligtede enheder træffer rimelige foranstaltninger til at afgøre, om de begunstigede i en livsforsikringspolice eller en anden investeringsrelateret forsikringspolice eller, hvis det er relevant, om den begunstigedes reelle ejer er politisk eksponerede personer. Disse foranstaltninger træffes senest på det tidspunkt, hvor udbetalingen finder sted, eller ved hel eller delvis overdragelse af policen. Hvis der er identificeret højere risici, skal forpligtede enheder, ud over gennemførelse af de normale kundekendskabsprocedurer, som er fastsat i artikel 20:
a)
underrette den øverste ledelse, inden forsikringssummen udbetales
b)
foretage en nærmere undersøgelse af hele forretningsforbindelsen med forsikringstager.
Artikel 45
Foranstaltninger vedrørende personer, som ophører med at være politisk eksponerede personer
1.   Når en politisk eksponeret person ophører med at varetage et højerestående offentligt hverv for Unionen, en medlemsstat, et tredjeland eller en international organisation, skal forpligtede enheder tage hensyn til den risiko, som nævnte person fortsat udgør som følge af sit tidligere hverv, ved deres vurdering af risici for hvidvask af penge og finansiering af terrorisme i overensstemmelse med artikel 20.
2.   Forpligtede enheder skal anvende én eller flere af de foranstaltninger, der er omhandlet i artikel 34, stk. 4, til at afbøde de risici, som hidrører fra den politisk eksponerede person, indtil det tidspunkt, hvor de i nærværende artikels stk. 1 omhandlede risici ikke længere består, men under alle omstændigheder i mindst 12 måneder efter det tidspunkt, hvor personen ophørte med at varetage et højerestående offentlige hverv.
3.   Den i stk. 2 omhandlede forpligtelse finder tilsvarende anvendelse, når en forpligtet enhed udfører lejlighedsvise transaktioner eller indgår en forretningsforbindelse med en person, som tidligere har varetaget et højerestående offentligt hverv for Unionen, en medlemsstat, et tredjeland eller en international organisation.
Artikel 46
Politisk eksponerede personers familiemedlemmer og personer, der er kendt som nære samarbejdspartnere
De foranstaltninger, der er omhandlet i artikel 42, 44 og 45, finder også anvendelse på politisk eksponerede personers familiemedlemmer eller personer, der er kendt som deres nære samarbejdspartnere.
AFDELING 5
Specifikke bestemmelser om kundekendskabsprocedurer
Artikel 47
Specifikationer for livsforsikringssektoren og andre investeringsrelaterede forsikringssektorer
For så vidt angår livsforsikringsvirksomhed og anden investeringsrelateret forsikringsvirksomhed skal forpligtede enheder, udover de kundekendskabsprocedurer, der kræves for kunden og den reelle ejer, anvende følgende kundekendskabsprocedurer i forhold til begunstigede i livsforsikringspolicer og andre investeringsrelaterede forsikringspolicer, så snart de begunstigede er identificeret eller udpeget:
a)
for så vidt angår begunstigede, der er identificeret som bestemte personer eller juridiske arrangementer, registrere personens navn eller arrangements betegnelse
b)
for så vidt angår begunstigede, der er udpeget ved hjælp af karakteristika eller gruppe eller andre midler, indhente tilstrækkelige oplysninger om disse begunstigede, således at det er muligt at bestemme den begunstigedes identitet på det tidspunkt, hvor udbetalingen finder sted.
Med henblik på første afsnit kontrolleres de begunstigedes identitet og i givet fald deres reelle ejeres identitet på det tidspunkt, hvor udbetalingen finder sted. I tilfælde af hel eller delvis overdragelse af livsforsikringer eller andre investeringsrelaterede forsikringer til tredjemand identificerer forpligtede enheder, som er bekendt med overdragelsen, den reelle ejer på tidspunktet for overdragelsen til den fysiske eller juridiske person eller det juridiske arrangement, der modtager værdien af den overdragede police til egen fordel.
AFDELING 6
Forlade sig på kundekendskabsprocedurer foretaget af andre forpligtede enheder
Artikel 48
Almindelige bestemmelser vedrørende at forlade sig på andre forpligtede enheder
1.   Forpligtede enheder kan forlade sig på andre forpligtede enheder, uanset om de er beliggende i en medlemsstat eller i et tredjeland, med henblik på at opfylde kundekendskabskravene i artikel 20, stk. 1, litra a), b) og c), forudsat at:
a)
de andre forpligtede enheder anvender de kundekendskabskrav og de krav om at føre fortegnelser, som er fastsat i denne forordning, eller tilsvarende, hvis de andre forpligtede enheder er beliggende eller etableret i et tredjeland
b)
der føres tilsyn med de andre forpligtede enheders overholdelse af kravene for bekæmpelse af hvidvask af penge og finansiering af terrorisme på en måde, der er i overensstemmelse med kapital IV i direktiv (EU) 2024/1640.
Det endelige ansvar for opfyldelsen af kundekendskabskravene forbliver hos den forpligtede enhed, der forlader sig på en anden forpligtet enhed.
2.   Når forpligtede enheder beslutter at forlade sig på andre forpligtede enheder, som er beliggende i tredjelande, skal de forpligtede enheder tage hensyn til de geografiske risikofaktorer, der er anført i bilag II og III, og eventuelle relevante oplysninger eller eventuel anden vejledning fra Kommissionen, AMLA eller andre kompetente myndigheder.
3.   I forbindelse med forpligtede enheder, som indgår i en koncern, kan overholdelse af kravene i denne artikel og artikel 49 sikres ved at indføre politikker, procedurer og kontroller på koncernplan, forudsat at samtlige følgende betingelser er opfyldt:
a)
den forpligtede enhed forlader sig udelukkende på oplysninger fra en forpligtet enhed, som indgår i samme koncern
b)
koncernen anvender politikker og -procedurer for bekæmpelse af hvidvask af penge og finansiering af terrorisme, kundekendskabsprocedurer og regler om at føre fortegnelser, som er i fuld overensstemmelse med denne forordning eller med tilsvarende regler i tredjelande
c)
der føres tilsyn med den faktiske gennemførelse af de i dette stykkes litra b) omhandlede krav på koncernplan af tilsynsmyndigheden i hjemlandet i overensstemmelse med artikel kapital IV i direktiv (EU) 2024/1640 eller af tilsynsmyndigheden i tredjelandet i overensstemmelse med reglerne i det pågældende tredjeland.
4.   Forpligtede enheder må ikke forlade sig på forpligtede enheder, der er etableret i tredjelande, og som er identificeret i henhold til dette kapitels afdeling 2. Forpligtede enheder, som er etableret Unionen, og hvis filialer og datterselskaber er etableret i nævnte tredjelande, kan imidlertid forlade sig på disse filialer og datterselskaber, hvis alle de betingelser, der er fastsat i stk. 3, er opfyldt.
Artikel 49
Procedure for at forlade sig på en anden forpligtet enhed
1.   Forpligtede enheder skal fra den forpligtede enhed, som de forlader sig på, indhente alle nødvendige oplysninger vedrørende de kundekendskabsprocedurer, som er fastsat i artikel 20, stk. 1, litra a), b), og c), eller den virksomhed, der inddrages.
2.   Forpligtede enheder, som forlader sig på andre forpligtede enheder, træffer alle nødvendige foranstaltninger til at sikre, at den forpligtede enhed, som de forlader sig på, efter anmodning forelægger:
a)
kopier af de oplysninger, som den har indhentet for at identificere kunden
b)
al dokumentation eller alle pålidelige kilder til de oplysninger, som blev anvendt til at kontrollere kundens identitet og i givet fald kundens reelle ejere eller personer, på hvis vegne kunden handler, herunder data, der er indhentet gennem elektroniske identifikationsmidler og relevante tillidstjenester, jf. forordning (EU) nr. 910/2014 og
c)
alle oplysninger, der er indhentet om forretningsforbindelsens formål og tilsigtede beskaffenhed.
3.   Den forpligtede enhed, som en anden forlader sig på, forelægger straks de oplysninger, der er omhandlet i stk. 1 og 2, og under alle omstændigheder inden for fem arbejdsdage.
4.   Betingelserne for fremsendelse af de oplysninger og dokumenter, der er omhandlet i stk. 1 og 2, skal præciseres i en skriftlig aftale mellem de forpligtede enheder.
5.   Når den forpligtede enhed forlader sig på en forpligtet enhed, der indgår i samme koncern, kan den skriftlige aftale erstattes af en intern procedure, der fastlægges på koncernplan, forudsat at betingelserne i artikel 48, stk. 3, er opfyldt.
Artikel 50
Retningslinjer for at forlade sig på andre forpligtede enheder
Senest den 10. juli 2027] udsteder AMLA retningslinjer til forpligtede enheder vedrørende følgende:
a)
de betingelser, på hvilke forpligtede enheder må forlade sig på oplysninger, som er indhentet af en anden forpligtet enhed, herunder i tilfælde af kundekendskabsprocedurer på afstand
b)
de involverede forpligtede enheders roller og ansvarsområder i en situation, hvor de er afhængige af en anden forpligtet enhed
c)
tilsynsmæssige tilgange til at forlade sig på andre forpligtede enheder.
KAPITEL IV
GENNEMSIGTIGHED VEDRØRENDE REELT EJERSKAB
Artikel 51
Identifikation af reelle ejere af juridiske enheder
Reelle ejere af juridiske enheder er de fysiske personer, som:
a)
enten direkte eller indirekte har en ejerandel i virksomheden
b)
direkte eller indirekte kontrollerer virksomheden eller den anden juridiske enhed gennem en ejerandel eller kontrol på anden måde.
Kontrol på anden måde som omhandlet i første afsnit, litra b), fastslås uafhængigt af og parallelt med forekomsten af en ejerandel eller kontrol gennem ejerandele.
Artikel 52
Reelt ejerskab gennem en ejerandel
1.   Med henblik på artikel 51, stk. 1, litra a), forstås ved »ejerandel i virksomheden« direkte eller indirekte ejerskab af mindst 25 % af ejerandel eller stemmerettighederne eller andre ejerskabsbeføjelser i virksomheden, herunder ret til en andel af overskud, andre interne ressourcer eller likvidationsbalance. Det indirekte ejerskab beregnes ved at gange de ejerandele eller stemmerettigheder eller andre ejerskabsbeføjelser, der besiddes af de mellemliggende enheder i kæden af enheder, i hvilke den reelle ejer har ejerandele eller stemmerettigheder, og ved at sammenlægge resultaterne fra disse forskellige kæder, medmindre artikel 54 finder anvendelse.
Ved vurderingen af, om der er en ejerandel i virksomheden, skal der tages hensyn til alle besiddelser af ejerandele på hvert ejerskabsniveau.
2.   Hvis medlemsstaterne i henhold til artikel 8, stk. 4, litra c), i direktiv (EU) 2024/1640 identificerer kategorier af virksomheder, der er eksponeret for en højere risiko for hvidvask af penge og finansiering af terrorisme, herunder på grundlag af de sektorer, hvor de opererer, underretter de Kommissionen herom. Senest den 10. juli 2029 vurderer Kommissionen, om de risici, der er forbundet med disse kategorier af juridiske enheder, er relevante for det indre marked, og, hvis den konkluderer, at en lavere tærskel er hensigtsmæssig for at afbøde disse risici, vedtager den delegerede retsakter i overensstemmelse med artikel 85 for at ændre denne forordning ved at identificere:
a)
de kategorier af virksomheder, der er forbundet med højere risici for hvidvask af penge og finansiering af terrorisme, og for hvilke der gælder en lavere tærskel
b)
de tilhørende tærskler.
Den i første afsnit omhandlede lavere tærskel fastsættes til højst 15 % af ejerandelen i virksomheden, medmindre Kommissionen på grundlag af risikoen konkluderer, at en højere tærskel, som under alle omstændigheder skal fastsættes til mindre end 25 %, vil være mere forholdsmæssig.
3.   Kommissionen reviderer regelmæssigt den i stk. 2 omhandlede delegerede retsakt for at sikre, at den identificerer de relevante kategorier af virksomheder, der er forbundet med højere risici, og at de dermed forbundne tærskler står i et rimeligt forhold til disse risici.
4.   I tilfælde af andre juridiske enheder end virksomheder, for hvilke det på grund af deres form og struktur ikke er hensigtsmæssigt eller muligt at beregne ejerskabet, er de reelle ejere de fysiske personer, der direkte eller indirekte kontrollerer den juridiske enhed på anden måde, jf. artikel 53, stk. 3 og 4, medmindre artikel 57 finder anvendelse.
Artikel 53
Reelt ejerskab gennem kontrol
1.   Kontrol over en virksomhed eller en anden juridisk enhed udøves gennem en ejerandel eller kontrol på anden måde.
2.   I dette kapitel forstås ved:
a)
»kontrol over den juridiske enhed«: mulighed for direkte eller indirekte at udøve væsentlig indflydelse og gennemføre relevante beslutninger i den juridiske enhed
b)
»indirekte kontrol over en juridisk enhed«: kontrol over mellemliggende juridiske enheder i ejerskabsstrukturen eller i forskellige kæder af ejerskabsstrukturen, hvor den direkte kontrol fastslås på hvert niveau i strukturen
c)
»kontrol gennem en ejerandel i virksomheden«: direkte eller indirekte ejerskab af 50 % plus én af ejerandelene eller stemmerettighederne eller anden ejerskabsbeføjelser i virksomheden.
3.   Kontrol på anden måde over den juridiske enhed skal under alle omstændigheder omfatte muligheden for:
a)
hvis der er tale om et virksomhed, at gøre brug af majoriteten af stemmerettighederne i virksomheden, uanset om de deles af personer, der handler i fællesskab, eller ej
b)
at udøve retten til at udnævne eller afsætte et flertal af medlemmerne af bestyrelsen eller administrations-, ledelses- eller tilsynsorganet for den juridiske enhed eller tilsvarende ansatte
c)
at udøve relevant vetorettigheder eller beslutningsrettigheder, der er knyttet til andelen i virksomheden
d)
beslutninger, som vedrører fordeling af den juridiske enheds overskud eller fører til en ændring i aktiverne i den juridiske enhed.
4.   Ud over stk. 3 kan kontrollen over den juridiske enhed udøves på anden måde. Afhængigt af den juridiske enheds særlige situation og struktur kan kontrol på anden måde omfatte:
a)
formelle eller uformelle aftaler med ejere, medlemmer eller juridiske enheder, bestemmelser i vedtægterne, partnerskabsaftaler, syndikeringsaftaler eller tilsvarende dokumenter eller aftaler, afhængigt af den juridiske enheds specifikke karakteristika, samt stemmeregler
b)
forbindelser mellem familiemedlemmer
c)
anvendelse af formelle eller uformelle nominee-ordninger.
Med henblik på dette stykke forstås ved »formel nominee-ordning« en kontrakt eller en tilsvarende ordning mellem en udpeger og en nominee, hvor udpegeren er en juridisk enhed eller en fysisk person, som udsteder instrukser til en nominee om at handle på sine vegne i en bestemt egenskab, herunder som ledelsesmedlem eller ejer eller stifter, og nominee er en juridisk enhed eller en fysisk person, der af udpeger er instrueret i at handle på dennes vegne
Artikel 54
Sameksistens af ejerandel og kontrol i ejerskabsstrukturen
Hvis virksomheder ejes gennem en ejerskabsstruktur med flere lag, og ejerandelen og kontrollen i en eller flere kæder af denne struktur eksisterer side om side i forhold til forskellige led i kæden, er de reelle ejere:
a)
den eller de fysiske personer, der direkte eller indirekte gennem en ejerandel eller på anden måde kontrollerer juridiske enheder, der enten individuelt eller kumulativt har en direkte ejerandel i virksomheden
b)
den eller de fysiske personer, der individuelt eller kumulativt, direkte eller indirekte har en ejerandel i den virksomhed, der direkte eller indirekte gennem en ejerandel eller på anden måde kontrollerer virksomheden.
Artikel 55
Ejerskabsstrukturer, der omfatter juridiske arrangementer eller lignende juridiske enheder
Hvis juridiske enheder omhandlet i artikel 57 eller juridiske arrangementer besidder ejerandele i virksomheden, enten individuelt eller kumulativt, eller direkte eller indirekte kontrollerer virksomheden gennem en ejerandel eller på anden måde, er de reelle ejere de fysiske personer, der er de reelle ejere af de i artikel 57 omhandlede juridiske enheder eller af de juridiske arrangementer.
Artikel 56
Meddelelser
Senest den 10. oktober 2027 meddeler hver medlemsstat Kommissionen en liste over de typer juridiske enheder, som eksisterer i henhold til dens nationale ret, og som har reelle ejere, der er identificeret i overensstemmelse med artikel 51 og artikel 52, stk. 4. Denne meddelelse skal indeholde de specifikke kategorier af enheder, en beskrivelse af deres karakteristika og i givet fald retsgrundlag i henhold til den pågældende medlemsstats nationale ret. Den skal også indeholde en angivelse af, hvorvidt mekanismen i henhold til artikel 63, stk. 4, finder anvendelse som følge af den specifikke form og struktur, som andre juridiske enheder end virksomheder har, ledsaget af en udførlig begrundelse herfor.
Kommissionen underretter de andre medlemsstater om den i det første afsnit omhandlede meddelelse.
Artikel 57
Identifikation af reelle ejere for juridiske enheder, som ligner viljesbestemte truster
1.   I tilfælde af andre juridiske enheder end dem, der er omhandlet i artikel 51, der ligner viljesbestemte truster såsom fonde, er de reelle ejere alle følgende fysiske personer:
a)
stifterne
b)
medlemmerne af ledelsesorganet i dets ledelsesfunktion
c)
medlemmerne af ledelsesorganet i dets tilsynsfunktion
d)
de begunstigede, medmindre artikel 59 finder anvendelse
e)
enhver anden fysisk person, der direkte eller indirekte kontrollerer den juridiske enhed.
2.   I tilfælde, hvor de i stk. 1 omhandlede juridiske enheder indgår i kontrolstrukturer med flere lag, hvor en af de stillinger, der er anført i stk. 1, varetages af en juridisk enhed, er de reelle ejere af den i stk. 1 omhandlede juridiske enhed:
a)
de fysiske personer, der er anført på listen i stk. 1, og
b)
de reelle ejere af de juridiske enheder, der varetager enhver af de stillinger, der er anført i stk. 1.
3.   Senest den 10. oktober 2027 meddeler medlemsstaterne Kommissionen en liste over typer af juridiske enheder, hvis reelle ejere er identificeret i overensstemmelse med stk. 1.
Den i første afsnit omhandlede meddelelse ledsages af en beskrivelse af:
a)
disse juridiske enheders form og grundlæggende egenskaber
b)
den procedure, efter hvilken de kan oprettes
c)
proceduren for adgang til grundlæggende oplysninger og oplysninger om reelt ejerskab vedrørende disse juridiske enheder
d)
de websteder, hvor de centrale registre, der indeholder oplysninger om de reelle ejere af disse juridiske enheder, kan konsulteres, og kontaktoplysninger for de enheder, der er ansvarlige for disse registre.
4.   Kommissionen kan ved hjælp af en gennemførelsesretsakt vedtage en liste over typer af juridiske enheder reguleret af medlemsstaternes ret, som bør være omfattet af kravene i denne artikel. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 86, stk. 2.
Artikel 58
Identifikation af reelle ejere af viljesbestemte truster og lignende juridiske arrangementer
1.   I forbindelse med viljesbestemte truster er reelle ejere alle følgende fysiske personer:
a)
stifterne
b)
trustforvalterne
c)
protektorerne, hvis sådanne findes
d)
de begunstigede, medmindre artikel 59 eller 60 finder anvendelse
e)
eventuelle andre fysiske personer, der udøver endelig kontrol over den viljesbestemte trust gennem direkte eller indirekte ejerskab eller på anden måde, herunder gennem en kæde af kontrol eller ejerskab.
2.   I forbindelse med andre juridiske arrangementer, som ligner viljesbestemte truster, er de reelle ejere de fysiske personer, som varetager stillinger, der svarer til eller ligner de stillinger, der er omhandlet i stk. 1.
3.   Hvor juridiske arrangementer indgår i kontrolstrukturer med flere lag, og hvor en af de stillinger, der er anført i stk. 1, varetages af en juridisk enhed, er de reelle ejere af de juridiske arrangementer:
a)
de fysiske personer, der er anført i stk. 1, og
b)
de reelle ejere af de juridiske enheder, der varetager enhver af de stillinger, der er anført i stk. 1.
4.   Senest den 10. oktober 2027 meddeler medlemsstaterne Kommissionen en liste over typer af juridiske arrangementer, som ligner viljesbestemte truster, som er reguleret i national ret.
Meddelelsen ledsages af en beskrivelse af:
a)
disse juridiske arrangementers form og grundlæggende egenskaber
b)
den procedure, efter hvilken disse juridiske arrangementer kan oprettes
c)
proceduren for adgang til grundlæggende oplysninger og oplysninger om reelt ejerskab vedrørende disse juridiske arrangementer
d)
de websteder, hvor de centrale registre, der indeholder oplysninger om de reelle ejere af disse juridiske arrangementer, kan konsulteres, og kontaktoplysninger for de enheder, der er ansvarlige for disse registre.
Meddelelsen skal også ledsages af en begrundelse med angivelse af grundene til, at medlemsstaten anser de anmeldte juridiske arrangementer for at ligne viljesbestemte truster, og hvorfor den konkluderede, at andre juridiske arrangementer, der reguleres i dens ret, ikke ligner svarer til viljesbestemte truster.
5.   Kommissionen kan ved hjælp af en gennemførelsesretsakt vedtage en liste over typer af juridiske arrangementer reguleret af medlemsstaternes ret, som bør være omfattet af de samme krav til gennemsigtighed vedrørende reelt ejerskab som viljesbestemte truster, ledsaget af de oplysninger, der er omhandlet i denne artikels stk. 4, andet afsnit. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 86, stk. 2.
Artikel 59
Identifikation af en gruppe af begunstigede
1.   I tilfælde af juridiske enheder, som ligner viljesbestemte truster, i henhold til artikel 57 eller, med undtagelse af diskretionære truster, viljesbestemte truster og lignende juridiske arrangementer i henhold til artikel 58, hvor de begunstigede endnu ikke er fastlagt, skal gruppen af begunstigede og dens generelle karakteristika identificeres. De begunstigede i gruppen er de reelle ejere, så snart de er identificeret eller udpeget.
2.   I følgende tilfælde identificeres kun gruppen af begunstigede og dens karakteristika:
a)
pensionsordninger inden for anvendelsesområdet af direktiv (EU) 2016/2341
b)
ordninger for medarbejderes finansielle ejerskab eller deltagelse, forudsat at medlemsstaterne efter en passende risikovurdering har konkluderet, at der er lav risiko for misbrug med henblik på hvidvask af penge eller finansiering af terrorisme
c)
juridiske enheder, som ligner viljesbestemte truster, i henhold til artikel 57, viljesbestemte truster og lignende juridiske arrangementer i henhold til artikel 58, forudsat at:
i)
den juridiske enhed, de viljesbestemte truster eller et lignende juridisk arrangement er oprettet med henblik på almennyttige eller velgørende formål, og
ii)
medlemsstaterne efter en passende risikovurdering har konkluderet, at kategorien for den juridiske enhed, den viljesbestemte trust eller et lignende juridisk arrangement har lav risiko for misbrug med henblik på hvidvask af penge eller finansiering af terrorisme.
3.   Medlemsstaterne meddeler Kommissionen kategorierne af juridiske enheder, viljesbestemte truster eller lignende juridiske arrangementer i henhold til stk. 2 sammen med en begrundelse baseret på den specifikke risikovurdering. Kommissionen underretter de andre medlemsstater om denne meddelelse.
Artikel 60
Identifikation af genstande for en beføjelse og modtagere ved manglende udøvelse af skønsbeføjelse i diskretionære truster
I tilfælde af diskretionære truster, hvor de begunstigede endnu ikke er valgt, skal der identificeres genstande for en beføjelse og modtagere ved manglende udøvelse af skønsbeføjelse. Begunstigede blandt genstandene for en beføjelse er de reelle ejere, så snart de er valgt. Modtagere ved manglende udøvelse af skønsbeføjelse er de reelle ejere, når trustforvalterne ikke udøver deres skønsbeføjelse.
Hvis de diskretionære truster opfylder betingelserne i artikel 59, stk. 2, identificeres kun gruppen af genstande for en beføjelse og modtagere ved manglende udøvelse af skønsbeføjelse. Kommissionen underrettes om disse kategorier af diskretionære truster i overensstemmelse med nævnte artikels stk. 3.
Artikel 61
Identifikation af reelle ejere af institutter for kollektiv investering
Uanset artikel 51, stk. 1, og artikel 58, stk. 1, er de reelle ejere af institutter for kollektiv investering de fysiske personer, der opfylder en eller flere af følgende betingelser:
a)
De besidder direkte eller indirekte 25 % eller derover af andelene i instituttet for kollektiv investering.
b)
De har mulighed for at fastlægge eller påvirke investeringspolitikken i instituttet for kollektiv investering.
c)
De kontrollerer aktiviteterne i instituttet for kollektiv investering på anden måde.
Artikel 62
Oplysninger om reelt ejerskab
1.   Juridiske enheder og forvaltere af viljesbestemte truster eller personer, der varetager tilsvarende stillinger i lignende juridiske arrangementer, sikrer, at de oplysninger om reelt ejerskab, som de besidder, giver til forpligtede enheder i forbindelse med kundekendskabsprocedurer i overensstemmelse med kapitel III eller indsender til centrale registre, er fyldestgørende, nøjagtige og ajourførte.
De oplysninger om reelt ejerskab, der er omhandlet i første afsnit, skal omfatte følgende:
a)
alle fornavne og efternavne, fødested og fuldstændig fødselsdato, bopælsadresse, den reelle ejers bopælsland samt nationalitet eller nationaliteter, nummer på identitetsdokument såsom pas eller nationalt identitetsdokument og, hvis det findes, det entydige personlige identifikationsnummer, som personen er blevet tildelt i det land, hvor denne har sædvanlig bopæl, og en generel beskrivelse af kilden til et sådant nummer
b)
art og omfang af den reelle ejers andel i den juridiske enhed eller det juridiske arrangement, uanset om det er gennem en ejerandel eller kontrol på anden måde, samt datoen fra hvilken den reelle ejer indehaver andelen
c)
oplysninger om den juridiske enhed, som den fysiske person er reel ejer af i overensstemmelse med artikel 22, stk. 1, litra b), eller, i tilfælde af juridiske arrangementer, som den fysiske person er den reelle ejer af, grundlæggende oplysninger om det juridiske arrangement
d)
hvis ejer- og kontrolstrukturen omfatter mere end én juridisk enhed eller et juridisk arrangement, en beskrivelse af en sådan struktur, herunder navne og, hvis de findes, identifikationsnumre på de enkelte juridiske enheder eller juridiske arrangementer, der indgår i denne struktur, og en beskrivelse af forholdet mellem dem, herunder ejerandelen
e)
hvis der identificeres en gruppe af begunstigede i henhold til artikel 59, en generel beskrivelse af karakteristikaene for gruppen af begunstigede
f)
hvis der identificeres genstande for en beføjelse og modtagere ved manglende udøvelse af skønsbeføjelse i henhold til artikel 60:
i)
for fysiske personer, deres fornavne og efternavne
ii)
for juridiske enheder og juridiske arrangementer, deres navne
iii)
for en gruppe af genstande for en beføjelse eller rettighedshaverne ved misligholdelse, en beskrivelse af den.
2.   Juridiske enheder og forvaltere af viljesbestemte truster eller personer, der varetager en tilsvarende stilling i et lignende juridisk arrangement, indhenter fyldestgørende, nøjagtige og ajourførte oplysninger om reelt ejerskab senest 28 kalenderdage efter oprettelsen af den juridiske enhed eller oprettelsen af det juridiske arrangement. Disse oplysninger ajourføres med det samme og under alle omstændigheder inden for 28 kalenderdage fra en eventuel ændring og på årlig basis.
Artikel 63
Juridiske enheders forpligtelser
1.   Alle juridiske enheder, der er oprettede i Unionen, indhenter og opbevarer fyldestgørende, nøjagtige og ajourførte oplysninger om reelt ejerskab.
Juridiske enheder giver foruden oplysninger om deres retlige ejere oplysninger om de reelle ejere til forpligtede enheder, når de forpligtede enheder anvender kundekendskabsprocedurer i overensstemmelse med kapitel III.
2.   En juridisk enhed indberetter oplysninger om reelt ejerskab til det centrale register uden unødigt ophold efter dens oprettelse. Enhver ændring af disse oplysninger indberettes til det centrale register uden unødigt ophold og under alle omstændigheder inden for 28 kalenderdage derefter. Den juridiske enhed kontrollerer regelmæssigt, at den er i besiddelse af ajourførte oplysninger om sit reelle ejerskab. Som minimum foretages en sådan kontrol årligt, enten som en selvstændig proces eller som led i andre periodiske processer, såsom indsendelse af årsregnskaber.
De reelle ejere af en juridisk enhed samt de juridiske enheder og, hvis der er tale om juridiske arrangementer, deres trustforvaltere eller personer, der besidder en tilsvarende stilling, som er en del af ejerskabs- eller kontrolstrukturen for en juridisk enhed, forelægger denne juridiske enhed alle de oplysninger, som er nødvendige, for at den juridiske enhed kan overholde kravene i dette kapitel eller imødekomme anmodninger om yderligere oplysninger modtaget i henhold til artikel 10, stk. 4, i direktiv (EU) 2024/1640.
3.   Hvis ingen person er identificeret som reel ejer, når alle muligheder for identifikation i henhold til artikel 51-57 er udtømt, eller hvis der hos den juridiske enhed hersker væsentlig og begrundet tvivl om, hvorvidt de identificerede personer er de reelle ejere, skal de andre juridiske enheder føre fortegnelser over de tiltag, som de har taget for at identificere deres reelle ejere.
4.   I de i denne artikels stk. 3 omhandlede tilfælde fremlægger juridiske enheder følgende, når de giver oplysninger om reelt ejerskab i overensstemmelse med denne forordnings artikel 20 og artikel 10 i direktiv (EU) 2024/1640:
a)
en erklæring om, at der ikke er nogen reel ejer, eller at de reelle ejere ikke kunne fastslås, ledsaget af en begrundelse for, hvorfor det ikke var muligt at fastslå den reelle ejer i overensstemmelse med denne forordnings artikel 51-57, og hvori usikkerheden om de konstaterede oplysninger består
b)
nærmere oplysninger om alle fysiske personer, der varetager stillingen som de øverste ledere i den juridiske enhed, svarende til de oplysninger, der kræves i henhold til denne forordnings artikel 62, stk. 1, andet afsnit, litra a).
I dette stykke forstås ved »de øverste ledere« de fysiske personer, der er medlemmer i ledelsesorganet, samt de fysiske personer, der udøver ledelsesfunktioner i en juridisk enhed, og som er ansvarlige over for ledelsesorganet for enhedens daglige ledelse.
5.   Juridiske enheder skal efter anmodning straks gøre de indhentede oplysninger tilgængelige for kompetente myndigheder i henhold til denne artikel.
6.   De i stk. 4 omhandlede oplysninger skal opbevares i fem år efter den dato, på hvilken de juridiske enheder opløses eller på anden vis ophører med at eksistere, uanset om de opbevares af personer, som enheden har udpeget til at opbevare dokumenterne, eller af administratorer eller kuratorer eller andre personer, som er involveret i opløsningen af enheden. Identiteten på og kontaktoplysningerne for den person, som har ansvar for at opbevare oplysningerne, indberettes til de centrale registre.
Artikel 64
Trustforvalterforpligtelser
1.   I tilfælde af juridiske arrangementer, der forvaltes i en medlemsstat, eller hvis trustforvalter eller den person, der varetager en tilsvarende stilling i et lignende juridisk arrangement, har bopæl eller er etableret i en medlemsstat, indhenter og opbevarer trustforvaltere og personer, som varetager en tilsvarende stilling i et lignende juridisk arrangement, følgende oplysninger om det juridiske arrangement:
a)
grundlæggende oplysninger om det juridiske arrangement
b)
fyldestgørende, nøjagtige og ajourførte oplysninger om reelt ejerskab, jf. artikel 62
c)
hvis juridiske enheder eller juridiske arrangementer er parter i trusten, grundlæggende oplysninger og oplysninger om reelt ejerskab af disse juridiske enheder og juridiske arrangementer
d)
oplysninger om agenter, der er bemyndiget til at handle på vegne af det juridiske arrangement eller til at tage tiltag i forbindelse med dette, og om de forpligtede enheder, som trustforvalteren eller personen, som varetager en tilsvarende stilling i et lignende juridisk arrangement, indgår en forretningsforbindelse med på vegne af det juridiske arrangement.
De oplysninger, der er omhandlet i første afsnit, skal opbevares i fem år efter, at inddragelsen af trustforvalteren eller den person, som varetager en tilsvarende stilling i den viljesbestemte trust eller lignende juridiske arrangement, ophører.
2.   Trustforvalteren eller den person, der varetager en tilsvarende stilling i et lignende juridisk arrangement, indhenter og indberetter oplysninger om reelt ejerskab og grundlæggende oplysninger om det juridiske arrangement til det centrale register uden unødigt ophold efter oprettelsen af den viljesbestemte trust eller lignende juridiske arrangement og under alle omstændigheder inden for 28 kalenderdage derefter. Trustforvalteren eller den person, der varetager en tilsvarende stilling i et lignende juridisk arrangement, sikrer, at enhver ændring af det reelle ejerskab og af de grundlæggende oplysninger om det juridiske arrangement indberettes til det centrale register uden unødigt ophold og under alle omstændigheder inden for 28 kalenderdage derefter.
Trustforvalteren eller den person, der varetager en tilsvarende stilling i et lignende juridisk arrangement, kontrollerer regelmæssigt, at de oplysninger, de er i besiddelse af om det juridiske arrangement i henhold til stk. 1, første afsnit, er ajourført. En sådan kontrol foretages mindst en gang om året, enten som en selvstændig proces eller som led i andre periodiske processer.
3.   De i stk. 1 omhandlede trustforvaltere eller personer, der varetager en tilsvarende stilling i et lignende juridisk arrangement, offentliggør deres status og forelægger de oplysninger om de reelle ejere og om de aktiver i de juridiske arrangementer, der skal forvaltes som led i forretningsforbindelsen eller den lejlighedsvise transaktion, for forpligtede enheder, når de forpligtede enheder anvender kundekendskabsprocedurer i overensstemmelse med kapitel III.
4.   De reelle ejere af et juridisk arrangement, som ikke er trustforvaltere eller personer, der varetager en tilsvarende stilling, dets agenter og de forpligtede enheder, der yder tjenester til det juridiske arrangement, samt enhver person og, i tilfælde af juridiske arrangementer, deres trustforvaltere, som er en del af det juridiske arrangements kontrolstruktur med flere lag, giver trustforvalterne eller de personer, der varetager en tilsvarende stilling i et lignende juridisk arrangement, alle de oplysninger og dokumentation, som er nødvendige for, at trustforvalterne eller de personer, der varetager en lignende stilling, kan overholde kravene i dette kapitel.
5.   Trustforvaltere af en viljesbestemt trust og personer, som varetager en tilsvarende stilling i et lignende juridisk arrangement, gør efter anmodning straks de indhentede oplysninger tilgængelige for kompetente myndigheder.
6.   I tilfælde af juridiske arrangementer, hvis parter er juridisk enheder, hvor ingen personer er identificeret som reel ejer af de juridiske enheder, når alle muligheder for identifikation i henhold til artikel 51-57 er udtømt, eller hvor der hersker væsentlig og begrundet tvivl om, hvorvidt de identificerede personer er de reelle ejere, skal trustforvaltere af viljesbestemte truster eller personer, der varetager en tilsvarende stilling i lignende juridisk arrangementer, føre fortegnelser over de tiltag, som de har taget for at identificere deres reelle ejere.
7.   I de i denne artikels stk. 6 omhandlede tilfælde fremlægger trustforvaltere af viljesbestemte truster eller personer, der varetager en tilsvarende stilling i et lignende juridiske arrangement, følgende, når de giver oplysninger om reelt ejerskab i overensstemmelse med denne forordnings artikel 20 og artikel 10 i direktiv (EU) 2024/1640:
a)
en erklæring om, at der ikke er nogen reel ejer, eller at de reelle ejere ikke kunne fastslås, ledsaget af en begrundelse for, hvorfor det ikke var muligt at fastslå den reelle ejer i overensstemmelse med denne forordnings artikel 51-57, og hvori usikkerheden om de konstaterede oplysninger består
b)
nærmere oplysninger om alle fysiske personer, der varetager stillingen som øverste ledere i den juridiske enhed, der er part i det juridiske arrangement, svarende til de oplysninger, der kræves i henhold til denne forordnings artikel 62, stk. 1, andet afsnit, litra a).
Artikel 65
Undtagelser fra juridiske enheders og juridiske arrangementers forpligtelser
Artikel 63 og 64 finder ikke anvendelse på:
a)
selskaber, hvis værdipapirer er optaget til handel på et reguleret marked, forudsat at:
i)
kontrollen med selskabet udelukkende udøves af den fysiske person, der har stemmerettighederne
ii)
ingen andre juridiske enheder eller juridiske arrangementer indgår i selskabets ejerskabs- eller kontrolstruktur, og
iii)
der for udenlandske juridiske enheder i henhold til artikel 67 findes krav svarende til dem, der er omhandlet i dette litras nr. i) og ii), i henhold til internationale standarder
b)
offentligretlige organer som defineret i artikel 2, stk. 1, nr. 4), i Europa-Parlamentets og Rådets direktiv 2014/24/EU 
(
43
)
.
Artikel 66
Nominee-forpligtelser
Nominee-ejere og nominee-ledelsesmedlemmer i en juridisk enhed opbevarer fyldestgørende, nøjagtige og ajourførte oplysninger om identiteten på den enhed eller person, der har udpeget dem, samt om identiteten på de reelle ejere af den enhed eller person, der har udpeget dem, og fremlægger disse samt deres status for den juridiske enhed. Juridiske enheder indberetter disse oplysninger til det centrale register.
Juridiske enheder indberetter ligeledes de i stk. 1 omhandlede oplysninger til forpligtede enheder, når de forpligtede enheder anvender kundekendskabsprocedurer i overensstemmelse med kapitel III.
Artikel 67
Udenlandske juridiske enheder og udenlandske juridiske arrangementer
1.   Juridiske enheder, der er oprettet uden for Unionen, og forvaltere af viljesbestemte truster eller personer, der varetager en tilsvarende stilling i et lignende juridisk arrangement, der forvaltes uden for Unionen, eller som har bopæl eller er etableret uden for Unionen, indsender oplysninger om reelt ejerskab i henhold til artikel 62 til det centrale register i den medlemsstat, hvor de:
a)
indgår en forretningsforbindelse med en forpligtet enhed
b)
erhverver fast ejendom i Unionen, enten direkte eller gennem formidlere
c)
erhverver, enten direkte eller gennem formidlere, en af følgende varer fra en person, der handler med varer som omhandlet i artikel 3, nr. 3), litra f) og j), i forbindelse med en lejlighedsvis transaktion:
i)
motorkøretøjer til ikkekommercielle formål til en pris på mindst 250 000 EUR eller et tilsvarende beløb i national valuta
ii)
vandfartøjer til ikkekommercielle formål til en pris på mindst 7 500 000 EUR eller et tilsvarende beløb i national valuta
iii)
luftfartøjer til ikkekommercielle formål til en pris på mindst 7 500 000 EUR eller et tilsvarende beløb i national valuta
d)
tildeles en offentlig kontrakt for varer eller tjenesteydelser, eller koncessioner, af en ordregivende myndighed i Unionen.
2.   Uanset stk. 1, litra a), hvis juridiske enheder, der er oprettet uden for Unionen, indgår en forretningsforbindelse med en forpligtet enhed, indsender de kun deres oplysninger om reelt ejerskab til det centrale register, når:
a)
de indgår en forretningsforbindelse med en forpligtet enhed, der er forbundet med mellemhøj eller høj risiko for hvidvask af penge og finansiering af terrorisme i henhold til risikovurderingen på EU-plan eller den berørte medlemsstats nationale risikovurdering, jf. artikel 7 og 8 i direktiv (EU) 2024/1640, eller
b)
risikovurderingen på EU-plan eller den berørte medlemsstats nationale risikovurdering i konstaterer, at kategorien af juridiske enheder eller den sektor, som den juridiske enhed, der er oprettet uden for Unionen, opererer i, hvor det er relevant, er forbundet med mellemhøje eller høje risici for hvidvask af penge eller finansiering af terrorisme.
3.   Oplysningerne om reelt ejerskab ledsages af en erklæring om, hvilke af disse aktiviteter oplysningerne omhandler, og relevante dokumenter og indsendes:
a)
i de tilfælde, der er omhandlet i stk. 1, litra a), inden forretningsforbindelsen indgås
b)
i de tilfælde, der er omhandlet i stk. 1, litra b) og c), inden købet afsluttes
c)
i de tilfælde, der er omhandlet i stk. 1, litra d), inden kontrakten underskrives.
4.   Med henblik på stk. 1, litra a), underretter forpligtede enheder de juridiske enheder, hvis betingelserne i stk. 2 er opfyldt, og kræver et bevis for registrering eller et uddrag af de oplysninger om reelt ejerskab, der opbevares i det centrale register, for at fortsætte forretningsforbindelsen eller den lejlighedsvise transaktion.
5.   I de tilfælde, der er omfattet af stk. 1, indberetter juridiske enheder, der er oprettet uden for Unionen, og forvaltere af viljesbestemte truster eller personer, der varetager en tilsvarende stilling i et lignende juridisk arrangement, der forvaltes uden for Unionen, eller som har bopæl eller er etableret uden for Unionen, enhver ændring af de oplysninger om reelt ejerskab, der er indsendt til det centrale register i henhold til stk. 1, uden unødigt ophold og under alle omstændigheder inden for 28 kalenderdage derefter.
Første afsnit finder anvendelse:
a)
i de tilfælde, der er omhandlet i stk. 1, litra a), så længe forretningsforbindelsen med den forpligtede enhed varer
b)
i de tilfælde, der er omhandlet i stk. 1, litra b), så længe den juridiske enhed eller det juridiske arrangement ejer den faste ejendom
c)
i de tilfælde, der er omhandlet i stk. 1, litra c), i perioden mellem den første indberetning af oplysningerne til det centrale register og afslutningen af købet
d)
i de tilfælde, der er omhandlet i stk. 1, litra d), så længe kontrakten varer.
6.   Når den juridiske enhed, trustforvalteren af den viljesbestemte trust eller den person, der varetager en tilsvarende stilling i et lignende juridisk arrangement, opfylder betingelserne i stk. 1 i forskellige medlemsstater, betragtes et bevis for registrering af oplysningerne om reelt ejerskab i et centralt register, som opbevares i én medlemsstat, som tilstrækkeligt bevis for registrering.
7.   Hvis juridiske enheder, der er oprettet uden for Unionen, eller juridiske arrangementer, der forvaltes uden for Unionen, eller hvis trustforvalter eller person, der varetager en tilsvarende stilling i et lignende juridisk arrangement har bopæl eller er etableret uden for Unionen, den 10. juli 2027, ejer fast ejendom enten direkte eller gennem formidlere, indberettes oplysningerne om reelt ejerskab af disse juridiske enheder og juridiske arrangementer til det centrale register og ledsages af en begrundelse for indberetningen senest den 10. januar 2028.
Første afsnit finder dog ikke anvendelse på juridiske enheder eller juridiske arrangementer, der har erhvervet fast ejendom i Unionen før den 1. januar 2014.
Medlemsstaterne kan på grundlag af risikoen beslutte, at der gælder en tidligere dato, og meddele dette til Kommissionen. Kommissionen underretter de andre medlemsstater om sådanne beslutninger.
8.   Medlemsstaterne kan på grundlag af risikoen udvide forpligtelsen i stk. 1, litra a), til at omfatte forretningsforbindelser med udenlandske juridiske enheder, der er aktive den 10. juli 2027, og meddele dette til Kommissionen. Kommissionen underretter de andre medlemsstater om sådanne beslutninger.
Artikel 68
Sanktioner
1.   Medlemsstaterne fastsætter regler om de sanktioner, der skal anvendelse i tilfælde af overtrædelser af bestemmelserne i dette kapitel, og træffer alle nødvendige foranstaltninger for at sikre, at de anvendes. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning.
Medlemsstaterne giver senest den 10. januar 2025 Kommissionen meddelelse om disse regler om sanktioner sammen med deres retsgrundlag og underretter den straks om senere ændringer, der berører dem.
2.   Senest den 10. juli 2026 vedtager Kommissionen delegerede retsakter i overensstemmelse med artikel 85 til at supplere denne forordning ved at fastlægge:
a)
de kategorier af overtrædelser, der er omfattet af sanktioner, og de personer, der er ansvarlige for sådanne overtrædelser
b)
indikatorer til klassificering af grovheden af overtrædelser, der er pålagt sanktioner
c)
de kriterier, der skal tages i betragtning, når niveauet af sanktioner fastsættes.
Kommissionen reviderer regelmæssigt den delegerede retsakt, der er omhandlet i første afsnit, for at sikre, at den fastlægger de relevante kategorier af overtrædelser, og at de tilhørende sanktioner er effektive, har afskrækkende virkning og står i et rimeligt forhold til overtrædelsen.
KAPITEL V
INDBERETNINGSFORPLIGTELSER
Artikel 69
Indberetning af mistanke
1.   Forpligtede enheder og hvis relevant deres direktører og ansatte skal samarbejde fuldt ud med FIU'en ved omgående:
a)
at foretage indberetning til FIU'en på eget initiativ, hvor den forpligtede enhed får kendskab til, har mistanke om eller har rimelig grund til mistanke om, at midler eller aktiviteter, uanset det pågældende beløbs størrelse, er udbytte fra kriminelle handlinger eller er forbundet med finansiering af terrorisme eller kriminelle handlinger, og ved at imødekomme FIU'ens anmodninger om yderligere oplysninger i sådanne tilfælde
b)
efter anmodning fra FIU'en at give denne alle nødvendige oplysninger, herunder oplysninger om transaktionsfortegnelser, inden for de fastsatte frister
Alle mistænkelige transaktioner, herunder forsøg på transaktioner og mistanke som følge af manglende evne til at gennemføre kundekendskabsprocedurer, indberettes i overensstemmelse med første afsnit.
Med henblik på første afsnit skal forpligtede enheder besvare anmodninger om oplysninger fra FIU'en inden for fem arbejdsdage. I berettigede og hastende tilfælde kan FIU'er forkorte denne frist, herunder til mindre end 24 timer.
Uanset tredje afsnit kan FIU'en forlænge svarfristen ud over de fem arbejdsdage, hvis den finder det berettiget, og forudsat at forlængelsen ikke undergraver FIU'ens analyse.
2.   Med henblik på stk. 1 vurderer forpligtede enheder transaktioner eller aktiviteter, der gennemføres af deres kunder, på grundlag af og i forhold til relevante kendsgerninger og oplysninger, som de har kendskab til eller er i besiddelse af. Hvor det er nødvendigt, prioriterer forpligtede enheder deres vurdering under hensyntagen til transaktionens eller aktivitetens hastende karakter og de risici, der påvirker den medlemsstat, hvor de er etableret.
En mistanke i henhold til stk. 1, litra a), baseres på kundernes og deres modparters karakteristika, transaktionens eller aktivitetens omfang eller art eller dennes metoder eller mønstre, forbindelsen medlem flere transaktioner eller aktiviteter, midlernes oprindelse, bestemmelsessted eller anvendelse, eller eventuelle andre forhold, som den forpligtede enhed har kendskab til, herunder sammenhængen mellem transaktionen eller aktiviteten og de oplysninger, der er indhentet i henhold til kapitel III, herunder kundens risikoprofil.
3.   Senest den 10. juli 2026 udarbejder AMLA udkast til gennemførelsesmæssige tekniske standarder og forelægger dem for Kommissionen med henblik på vedtagelse. Disse udkast til gennemførelsesmæssige tekniske standarder præciserer det format, der skal anvendes til indberetning af mistanke, jf. stk. 1, litra a), og til tilvejebringelse af transaktionsfortegnelser, jf. stk. 1, litra b).
4.   Kommissionen tillægges beføjelser til at vedtage de gennemførelsesmæssige tekniske standarder, der er omhandlet i denne artikels stk. 3 i overensstemmelse med artikel 53 i forordning (EU) 2024/1620.
5.   Senest den 10. juli 2027 udsteder AMLA retningslinjer vedrørende indikatorer for mistænkelig aktivitet eller adfærd. Disse retningslinjer ajourføres regelmæssigt.
6.   Den compliancemedarbejder, som er udpeget i henhold til artikel 11, stk. 2, fremsender de i nærværende artikels stk. 1 omhandlede oplysninger til FIU'en i den medlemsstat, på hvis område den forpligtede enhed, der fremsender oplysningerne, er etableret.
7.   Forpligtede enheder sikrer, at den compliancemedarbejder, der er udpeget i henhold til artikel 11, stk. 2, samt enhver ansat eller person i en sammenlignelig stilling, herunder agenter og distributører, der er involveret i udførelsen af de opgaver, som er omfattet af nærværende artikel, er beskyttet mod repressalier, forskelsbehandling og eventuel anden urimelig behandling for at udføre disse opgaver.
Dette stykke berører ikke den beskyttelse, som de i første afsnit omhandlede personer kan være berettiget til i henhold til direktiv (EU) 2019/1937.
8.   Hvis aktiviteterne i et partnerskab til udveksling af oplysninger resulterer i kendskab til, mistanke om eller rimelig grund til mistanke om, at midlerne, uanset det pågældende beløbs størrelse, er udbytte fra kriminelle handlinger eller er forbundet med finansiering af terrorisme, kan forpligtede enheder, der har konstateret mistanker i forbindelse med deres kunders aktiviteter, udpege en blandt dem, som skal have til opgave at indgive en indberetning til FIU'en i henhold til stk. 1, litra a). En sådan indberetning skal mindst indeholde navn og kontaktoplysninger på alle de forpligtede enheder, der har deltaget i de aktiviteter, der ligger til grund for indberetningen.
Hvis de forpligtede enheder, der er omhandlet i første afsnit, er etableret i flere medlemsstater, indberettes oplysningerne til hver relevant FIU. Med henblik herpå sikrer forpligtede enheder, at indberetningen indgives af en forpligtet enhed på den medlemsstats område, hvor FIU'en er beliggende.
Hvis de forpligtede enheder beslutter at undlade at benytte sig af muligheden for at indgive en enkelt indberetning til FIU'en i henhold til første afsnit, medtager de i deres indberetninger en henvisning til, at mistanken er resultatet af aktiviteterne i et partnerskab til udveksling af oplysninger.
9.   De forpligtede enheder, der er omhandlet i denne artikels stk. 8, beholder en kopi af eventuelle indberetninger indgivet i henhold til nævnte stykke i overensstemmelse med artikel 77.
Artikel 70
Specifikke bestemmelser vedrørende visse kategorier af forpligtede enheders indberetning af mistænkelige transaktioner
1.   Uanset artikel 69, stk. 1, kan medlemsstaterne tillade forpligtede enheder som omhandlet i artikel 3, nr. 3), litra a) og b), at fremsende de oplysninger, der er nævnt i artikel 69, stk. 1, til et selvregulerende organ, som er udpeget af medlemsstaten.
Det udpegede selvregulerende organ fremsender de i første afsnit omhandlede oplysninger til FIU'en med det samme og ufiltreret.
2.   Notarer, advokater, andre selvstændige retlige aktører, revisorer, eksterne regnskabskyndige og skatterådgivere undtages fra kravene i artikel 69, stk. 1, for så vidt som sådanne undtagelser vedrører oplysninger, som disse modtager fra eller indhenter om en kunde, når de vurderer den pågældende kundes retsstilling eller forsvarer eller repræsenterer denne under eller i forbindelse med retssager, herunder rådgiver om indledning eller undgåelse af sådanne retssager, uanset om sådanne oplysninger er modtaget eller indhentet før, under eller efter sådanne retssager.
Undtagelsen i første afsnit finder ikke anvendelse, når de deri omhandlede forpligtede enheder:
a)
deltager i hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme
b)
yder juridisk rådgivning med henblik på hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme, eller
c)
har kendskab til, at kunden søger juridisk rådgivning med henblik på hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme; kendskab eller formål kan udledes af objektive, faktiske forhold.
3.   Ud over de situationer, der er omhandlet i stk. 2, andet afsnit, kan medlemsstaterne, hvis det er berettiget på grund af de højere risici for hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme i forbindelse med visse typer transaktioner, beslutte, at den undtagelse, der er omhandlet i stk. 2, første afsnit, ikke finder anvendelse på disse typer transaktioner, og, i det omfang det er relevant, pålægge de forpligtede enheder, der er omhandlet i nævnte stykke, yderligere indberetningsforpligtelser. Medlemsstaterne meddeler Kommissionen de beslutninger, de træffer i medfør af nærværende stykke. Kommissionen underretter de andre medlemsstater om sådanne beslutninger.
Artikel 71
Undladelse af at gennemføre transaktioner
1.   Forpligtede enheder skal undlade at gennemføre transaktioner, som de ved har eller mistænker for at have tilknytning til udbytte fra kriminelle handlinger eller til finansiering af terrorisme, indtil de har truffet de nødvendige foranstaltninger, jf. artikel 69, stk. 1, første afsnit, litra a), og efterkommet eventuelle yderligere specifikke instrukser fra FIU'en eller en anden kompetent myndighed i overensstemmelse med gældende ret. Forpligtede enheder kan gennemføre den pågældende transaktion efter at have vurderet risiciene ved at gå videre med transaktionen, hvis de ikke har modtaget instrukser om det modsatte fra FIU'en senest tre arbejdsdage efter indgivelsen af indberetningen.
2.   Hvis det ikke er muligt for en forpligtet enhed at undlade at gennemføre en transaktion som omhandlet i stk. 1, eller hvis det er sandsynligt, at undladelse ville være til hinder for bestræbelser for retsforfølgning af de personer, der drager fordel af en mistænkelig transaktion, underretter den forpligtede enhed FIU'en umiddelbart efter at have gennemført transaktionen.
Artikel 72
Videregivelse af oplysninger til FIU'en
Det forhold, at en forpligtet enhed eller en ansat eller direktør i en sådan forpligtet enhed i god tro videregiver oplysninger til FIU'en i overensstemmelse med artikel 69 og 70, betragtes ikke som brud på en eventuel tavshedspligt i henhold til kontrakt eller lov eller administrative bestemmelser og påfører ikke den forpligtede enhed eller dens medlemmer af ledelsen eller ansatte nogen form for ansvar, heller ikke i tilfælde, hvor disse ikke havde et nøjagtigt kendskab til den underliggende kriminelle handling, og uanset om der rent faktisk var tale om en ulovlig handling.
Artikel 73
Forbud mod videregivelse af oplysninger
1.   Forpligtede enheder samt deres direktører, ansatte eller personer i en tilsvarende stilling, herunder agenter og distributører, må ikke oplyse den pågældende kunde eller andre tredjemænd om, at transaktioner eller aktiviteter er ved at blive eller er blevet vurderet i overensstemmelse med artikel 69, at der fremsendes, vil blive fremsendt eller er blevet fremsendt oplysninger i henhold til artikel 69 eller 70, eller at der er blevet eller eventuelt vil blive iværksat en analyse vedrørende hvidvask af penge eller finansiering af terrorisme.
2.   Stk. 1 finder ikke anvendelse på videregivelse af oplysninger til kompetente myndigheder og selvregulerende organer, når disse udfører tilsynsfunktioner, eller på videregivelse af oplysninger med henblik på efterforskning af og retsforfølgelse for hvidvask af penge, finansiering af terrorisme og andre kriminelle handlinger.
3.   Uanset denne artikels stk. 1 kan videregivelse af oplysninger finde sted mellem forpligtede enheder, der tilhører den samme koncern, eller mellem sådanne enheder og deres filialer og datterselskaber, som er etableret i tredjelande, forudsat at disse filialer og datterselskaber fuldt ud overholder de politikker og procedurer, der er indført på koncernplan, herunder procedurer for udveksling af oplysninger internt i koncernen i overensstemmelse med artikel 16, og at disse politikker og procedurer, der er indført på koncernplan, er i overensstemmelse med kravene i denne forordning.
4.   Uanset denne artikels stk. 1 kan videregivelse af sådanne oplysninger finde sted mellem forpligtede enheder som omhandlet i artikel 3, nr. 3), litra a) og b), eller enheder fra tredjelande, der pålægger krav svarende til dem, der er fastsat i denne forordning, som udfører deres erhvervsmæssige virksomhed, uanset om det er som ansatte eller ej, inden for samme juridiske person eller en mere omfattende struktur, som personen tilhører, og som har samme ejerskab, ledelse eller compliancekontrol, herunder netværk eller partnerskaber.
5.   For forpligtede enheder omhandlet i artikel 3, nr. 1), 2) og 3), litra a) og b), kan videregivelse af oplysninger i tilfælde, der vedrører den samme transaktion, som involverer to eller flere forpligtede enheder, og uanset nærværende artikels stk. 1, finde sted mellem de relevante forpligtede enheder, forudsat at de er beliggende i Unionen, eller med enheder i et tredjeland, som pålægger krav svarende til dem, der er fastsat i denne forordning, og at de er underlagt tavshedspligt og krav vedrørende beskyttelse af personoplysninger.
6.   Når de forpligtede enheder omhandlet i artikel 3, nr. 3), litra a) og b), forsøger at få en kunde til at afstå fra at begå en ulovlig handling, betragtes det ikke som videregivelse af oplysninger som omhandlet i nærværende artikels stk. 1.
Artikel 74
Tærskelbaserede rapporter om transaktioner med visse varer af høj værdi
1.   Personer, som handler med varer af høj værdi, indberetter alle transaktioner, der involverer salg af følgende varer af høj værdi, til FIU'en, når disse varer erhverves til ikkekommercielle formål:
a)
motorkøretøjer til en pris på mindst 250 000 EUR eller et tilsvarende beløb i national valuta
b)
vandfartøjer til en pris på mindst 7 500 000 EUR eller et tilsvarende beløb i national valuta
c)
luftfartøjer til en pris på mindst 7 500 000 EUR eller et tilsvarende beløb i national valuta.
2.   Kreditinstitutter og finansieringsinstitutter, der leverer tjenesteydelser i forbindelse med køb af eller overførsel af ejendomsretten til de varer, der er omhandlet i stk. 1, indberetter også alle transaktioner, som de udfører for deres kunder i forbindelse med disse varer, til FIU'en.
3.   Indberetning i henhold til stk. 1 og 2 foretages inden for fristerne pålagt af FIU'en.
KAPITEL VI
INFORMATIONSUDVEKSLING
Artikel 75
Udveksling af oplysninger inden for rammerne af partnerskaber med henblik på udveksling af oplysninger
1.   Medlemmer af partnerskaber til udveksling af oplysninger kan udveksle oplysninger med hinanden, hvis det er strengt nødvendigt for at opfylde forpligtelserne i henhold til kapitel III og artikel 69 og i overensstemmelse med de grundlæggende rettigheder og retssikkerhedsgarantier.
2.   Forpligtede enheder, der har til hensigt at deltage i et partnerskab til udveksling af oplysninger, underretter deres respektive tilsynsmyndigheder, som eventuelt i samråd med hinanden og med de myndigheder, der er ansvarlige for at kontrollere overholdelsen af forordning (EU) 2016/679, kontrollerer, at partnerskabet til udveksling af oplysninger har indført mekanismer til at sikre overholdelse af denne artikel, og at den konsekvensanalyse vedrørende databeskyttelse, der er omhandlet i stk. 4, litra h), er blevet gennemført. Kontrollen skal finde sted forud for påbegyndelsen af aktiviteterne i partnerskabet til udveksling af oplysninger. Hvor det er relevant, hører tilsynsmyndighederne også FIU'erne.
Ansvaret for overholdelse af kravene i henhold til EU-retten eller national ret forbliver hos deltagerne i partnerskabet til udveksling af oplysninger.
3.   Oplysninger, der udveksles inden for rammerne af et partnerskab til udveksling af oplysninger, begrænses til:
a)
oplysninger om kunden, herunder alle oplysninger, der er indhentet i forbindelse med identifikation af kunden og kontrol af kundens identitet og, hvor det er relevant, af kundens reelle ejer og af dennes identitet
b)
oplysninger om formålet med og den tilsigtede art af forretningsforbindelsen eller den lejlighedsvise transaktion mellem kunden og den forpligtede enhed og hvor det er relevant, oprindelsen af kundens formue og midler
c)
oplysninger om kundetransaktioner
d)
oplysninger om højere og lavere risikofaktorer forbundet med kunden
e)
den forpligtede enheds analyse af de risici, der er forbundet med kunden i henhold til artikel 20, stk. 2
f)
oplysninger, som den forpligtede enhed er i besiddelse af i henhold til artikel 77, stk. 1
g)
oplysninger om mistanker i henhold til artikel 69.
De oplysninger, der er omhandlet i første afsnit, udveksles kun i det omfang, det er nødvendigt med henblik på at gennemføre de aktiviteter, som partnerskabet med henblik på udveksling af oplysninger udfører.
4.   Følgende betingelser gælder for udveksling af oplysninger inden for rammerne af et partnerskab til udveksling af oplysninger:
a)
Forpligtede enheder registrerer alle tilfælde af udveksling af oplysninger inden for partnerskabet.
b)
Forpligtede enheder må ikke udelukkende henholde sig til de oplysninger, der er modtaget inden for rammerne af partnerskabet, for at opfylde kravene i denne forordning.
c)
Forpligtede enheder må ikke drage konklusioner eller træffe beslutninger, der har indvirkning på forretningsforbindelsen med kunden eller på udførelsen af lejlighedsvise transaktioner for kunden, på grundlag af oplysninger modtaget fra andre deltagere i partnerskabet til udveksling af oplysninger uden at have vurderet disse oplysninger; alle oplysninger, der modtages inden for rammerne af partnerskabet, og som anvendes i forbindelse med en vurdering, der fører til en beslutning om at afvise eller bringe en forretningsforbindelse til ophør eller om at gennemføre en lejlighedsvis transaktion, medtages i de fortegnelser, der føres i henhold til artikel 21, stk. 3, og denne fortegnelse skal indeholde en henvisning om, at oplysningerne stammer fra et partnerskab til udveksling af oplysninger.
d)
Forpligtede enheder foretager deres egen vurdering af transaktioner, der involverer kunder, for at vurdere, hvilke transaktioner der kan være forbundet med hvidvask af penge eller finansiering af terrorisme eller involvere udbytte fra kriminelle handlinger.
e)
Forpligtede enheder gennemfører passende tekniske og organisatoriske foranstaltninger, herunder foranstaltninger til at muliggøre pseudonymisering, for at sikre et sikkerheds- og fortrolighedsniveau, der står i et rimeligt forhold til arten og omfanget af de udvekslede oplysninger.
f)
Udvekslingen af oplysninger må kun finde sted i forbindelse med kunder:
i)
hvis adfærd eller transaktionsaktiviteter er forbundet med en højere risiko for hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme som identificeret i henhold til risikovurderingerne på EU-plan og de nationale risikovurderinger, der er foretaget i overensstemmelse med artikel 7 og 8 i direktiv (EU) 2024/1640
ii)
som er omfattet af en af de situationer, der er omhandlet i denne forordnings artikel 29, 30, 31 og 36-46, eller
iii)
for hvem de forpligtede enheder har behov for at indhente yderligere oplysninger for at fastslå, om de er forbundet med en højere risiko for hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme.
g)
Oplysninger, der genereres ved brug af kunstig intelligens, maskinlæringsteknologier eller algoritmer, må kun udveksles, hvis disse processer har været underlagt tilstrækkeligt menneskeligt tilsyn.
h)
Der gennemføres en konsekvensanalyse vedrørende databeskyttelse omhandlet i artikel 35 i forordning (EU) 2016/679 forud for behandlingen af personoplysninger.
i)
De kompetente myndigheder, der er medlemmer af et partnerskab til udveksling af oplysninger, må kun indhente, videregive og udveksle oplysninger, i det omfang dette er nødvendigt for udførelsen af deres opgaver i henhold til relevant EU-ret eller national ret.
j)
Hvis de kompetente myndigheder, der er omhandlet i denne forordnings artikel 2, stk. 1, nr. 44), litra c), deltager i et partnerskab til udveksling af oplysninger, må de kun indhente, videregive eller udveksle personoplysninger og operationelle oplysninger i overensstemmelse med national ret til gennemførelse af Europa-Parlamentets og Rådets direktiv (EU) 2016/680 
(
44
)
 og med de gældende bestemmelser i national strafferetspleje, herunder forudgående retskendelse eller enhver anden national retssikkerhedsgaranti som krævet.
k)
Udvekslingen af oplysninger om mistænkelige transaktioner i henhold til denne artikels stk. 3, litra g), finder kun sted, hvis den FIU, som rapporten om mistænkelige transaktioner blev indgivet til i henhold til artikel 69 eller 70, har indvilliget i en sådan videregivelse af oplysninger.
5.   Oplysninger, der modtages i forbindelse med et partnerskab til udveksling af oplysninger, må ikke videregives, medmindre:
a)
oplysningerne gives til en anden forpligtet enhed i henhold til artikel 49, stk. 1
b)
oplysningerne skal indgå i en rapport, der forelægges FIU'en, eller skal gives som svar på en anmodning fra en FIU i henhold til artikel 69, stk. 1
c)
oplysningerne gives til AMLA i henhold til artikel 93 i forordning (EU) 2024/1620
d)
de retshåndhævende eller judicielle myndigheder anmoder om oplysningerne med forbehold af eventuelle forudgående tilladelser eller andre proceduremæssige garantier, der kræves i henhold til national ret.
6.   Forpligtede enheder, der deltager i partnerskaber til udveksling af oplysninger, fastlægger politikker og procedurer for udveksling af oplysninger i deres interne politikker og procedurer, der er fastlagt i henhold til artikel 9. Sådanne politikker og procedurer skal:
a)
præcisere den vurdering, der skal foretages for at fastslå omfanget af de oplysninger, der skal udveksles, og, hvis det er relevant for oplysningernes art eller de gældende retsgarantier, give medlemmerne af partnerskabet differentieret eller begrænset adgang til oplysninger
b)
beskrive de roller og det ansvar med hensyn til udveksling af oplysninger, som parterne i partnerskabet til udveksling af oplysninger har
c)
identificere de risikovurderinger, som den forpligtede enhed tager hensyn til for at fastslå situationer med højere risiko, hvor der kan udveksles oplysninger.
De interne politikker og procedurer, der er omhandlet i første afsnit, skal udarbejdes forud for deltagelsen i et partnerskab til udveksling af oplysninger.
7.   Hvis tilsynsmyndighederne finder det nødvendigt, skal forpligtede enheder, der deltager i et partnerskab til udveksling af oplysninger, få foretaget en uafhængig revision af, hvordan dette partnerskab fungerer, og udveksle resultaterne med tilsynsmyndighederne.
KAPITEL VII
DATABESKYTTELSE OG OPBEVARING AF FORTEGNELSER
Artikel 76
Behandling af personoplysninger
1.   I det omfang det er strengt nødvendigt med henblik på at forhindre hvidvask af penge og finansiering af terrorisme kan forpligtede enheder behandle særlige kategorier af personoplysninger, jf. artikel 9, stk. 1, i forordning (EU) 2016/679, og personoplysninger, som vedrører straffedomme og lovovertrædelser, jf. nævnte forordnings artikel 10, med forbehold af de beskyttelsesforanstaltninger, der er fastsat i nærværende artikels stk. 2 og 3.
2.   Forpligtede enheder skal kunne behandle personoplysninger, der er omfattet af artikel 9 i forordning (EU) 2016/679, forudsat at:
a)
de oplyser deres kunder eller potentielle kunder om, at sådanne datakategorier kan blive behandlet med henblik på at opfylde kravene i denne forordning
b)
dataene hidrører fra pålidelige kilder og er nøjagtige og ajourførte
c)
de ikke træffer beslutninger, der vil føre til partiske og diskriminerende resultater på grundlag af disse data
d)
de vedtager foranstaltninger med et højt sikkerhedsniveau i overensstemmelse med artikel 32 i forordning (EU) 2016/679, navnlig hvad angår fortrolighed.
3.   Forpligtede enheder skal være i stand til at behandle personoplysninger, der er omfattet af artikel 10 i forordning (EU) 2016/679, forudsat at de opfylder betingelserne i nærværende artikels stk. 2 og at:
a)
sådanne personoplysninger vedrører hvidvask af penge, de underliggende lovovertrædelser eller finansiering af terrorisme
b)
de forpligtede enheder har indført procedurer, der under behandlingen af sådanne data giver mulighed for at skelne mellem påstande, efterforskninger, retssager og domfældelser, idet der tages hensyn til den grundlæggende ret til retfærdig rettergang, retten til et forsvar og uskyldsformodningen.
4.   Personoplysninger må kun behandles af forpligtede enheder på grundlag af denne forordning med det formål at forebygge hvidvask af penge og finansiering af terrorisme og må ikke behandles yderligere på en måde, der er uforenelig med dette formål. Det er forbudt at behandle personoplysninger på grundlag af denne forordning til kommercielle formål.
5.   Forpligtede enheder kan vedtage afgørelser som følge af automatiske processer, herunder profilering som defineret i artikel 4, nr. 4), i forordning (EU) 2016/679, eller af processer, der involverer systemer med kunstig intelligens som defineret i artikel 3, nr. 1), i Europa-Parlamentets og Rådets forordning (EU) 2024/xxx 
(
45
)
, forudsat at:
a)
de data, der behandles af sådanne systemer, er begrænset til data, der er indhentet i henhold til denne forordnings kapitel III
b)
enhver beslutning om at indgå eller nægte at indgå eller opretholde en forretningsforbindelse med en kunde eller om at gennemføre eller nægte at gennemføre en lejlighedsvis transaktion for en kunde eller om at øge eller mindske omfanget af de kundekendskabsprocedurer, der anvendes i henhold til denne forordnings artikel 20, er genstand for meningsfuld menneskelig indgriben for at sikre, at en sådan beslutning er nøjagtig og hensigtsmæssig, og
c)
kunden kan få en forklaring på den afgørelse, som den forpligtede enhed har truffet, og kan anfægte denne afgørelse, bortset fra en indberetning som omhandlet i denne forordnings artikel 69.
Artikel 77
Opbevaring af fortegnelser
1.   Forpligtede enheder opbevarer følgende dokumenter og oplysninger:
a)
en kopi af de dokumenter og oplysninger, der er indhentet ved gennemførelsen af kundekendskabsprocedurer i henhold til kapitel III, herunder oplysninger, der er indhentet gennem elektroniske identifikationsmidler
b)
en fortegnelse over de vurderinger, der er foretaget i henhold til artikel 69, stk. 2, herunder de oplysninger og forhold, der er taget i betragtning, og resultaterne af sådanne vurderinger, uanset om vurderingerne medfører, at der foretages en rapport om mistænkelige transaktioner til FIU'en, og en kopi af eventuelle rapporter om mistænkelige transaktioner
c)
dokumentation for og fortegnelser over transaktioner bestående af originaldokumenter eller kopier med tilsvarende beviskraft i henhold til national ret, som er nødvendige for at identificere transaktioner
d)
hvis de deltager i partnerskaber med henblik på udveksling af oplysninger i henhold til kapitel VI, kopier af de dokumenter og oplysninger, der er indhentet inden for rammerne af disse partnerskaber, og fortegnelser over alle tilfælde af udveksling af oplysninger.
Forpligtede enheder sikrer, at dokumenter, oplysninger og fortegnelser, der opbevares i henhold til denne artikel, ikke redigeres.
2.   Uanset stk. 1 kan forpligtede enheder beslutte at erstatte opbevaringen af kopier af oplysningerne med en opbevaring af henvisninger til sådanne oplysninger, forudsat at karakteren af og metoden til opbevaring af sådanne oplysninger sikrer, at de forpligtede enheder omgående kan forelægge oplysningerne for kompetente myndigheder, og at oplysningerne ikke kan modificeres eller ændres.
Forpligtede enheder, der gør brug af undtagelsen i første afsnit, definerer i deres interne procedurer, der er udformet i henhold til artikel 9, de kategorier af oplysninger, for hvilke de opbevarer en henvisning i stedet for en kopi eller original, samt procedurerne for udtrækning af oplysningerne, således at de kan forelægges for kompetente myndigheder efter anmodning.
3.   De oplysninger, der er omhandlet i stk. 1 og 2, opbevares i en periode på fem år regnet fra datoen for forretningsforbindelsens ophør eller datoen for gennemførelsen af den lejlighedsvise transaktion eller fra datoen for afslag på at indgå en forretningsforbindelse eller gennemføre en lejlighedsvis transaktion. Uden at det berører opbevaringsperioderne for data, der er indhentet med henblik på andre EU-retsakter eller national ret, der er i overensstemmelse med forordning (EU) 2016/679, sletter forpligtede enheder personoplysninger ved udløbet af denne periode på fem år.
De kompetente myndigheder kan i det enkelte tilfælde kræve yderligere opbevaring af de oplysninger, der er omhandlet i første afsnit, forudsat at sådan opbevaring er nødvendig for at forebygge, opdage, efterforske eller retsforfølge for hvidvask af penge eller finansiering af terrorisme. Den yderligere opbevaring må ikke overstige en periode på fem år.
4.   Såfremt der i en medlemsstat den 10. juli 2027 verserer retssager med henblik på forebyggelse, opdagelse, efterforskning eller retsforfølgning af formodet hvidvask af penge eller finansiering af terrorisme, og en forpligtet enhed besidder oplysninger eller dokumenter vedrørende disse verserende procedurer, kan den forpligtede enhed opbevare de pågældende oplysninger eller dokumenter i fem år fra den 10. juli 2027.
Medlemsstaterne kan, uden at det berører nationale strafferetlige bevisregler, der gælder for verserende strafferetlige efterforskninger og retssager, tillade eller kræve, at de pågældende oplysninger eller dokumenter opbevares i en periode på yderligere fem år, såfremt det er blevet fastslået, at en sådan yderligere opbevaring er nødvendig og forholdsmæssig med henblik på forebyggelse, opdagelse, efterforskning eller retsforfølgning af formodet hvidvask af penge eller finansiering af terrorisme.
Artikel 78
Forelæggelse af fortegnelser for kompetente myndigheder
Forpligtede enheder skal have indført ordninger, der gør det muligt for dem i overensstemmelse med national ret at reagere fyldestgørende og hurtigt på forespørgsler fra deres FIU eller andre kompetente myndigheder om, hvorvidt de har eller i de sidste fem år forud for forespørgslen har haft forretningsforbindelser med nærmere angivne personer, og hvori disse forbindelser består, gennem sikre kanaler og på en måde, der sikrer fuld fortrolighed i forbindelse med forespørgslerne.
KAPITEL VIII
FORANSTALTNINGER TIL AFBØDNING AF RISICI, SOM HIDRØRER FRA ANONYME INSTRUMENTER
Artikel 79
Anonyme konti, ihændehaveraktier og tegningsoptioner til ihændehaveraktier
1.   Det er forbudt for kreditinstitutter, finansieringsinstitutter og udbydere af kryptoaktivtjenester at have anonyme bank- og betalingskonti, anonyme bankbøger, anonyme deponeringsbokse eller anonyme kryptoaktivkonti samt konti, som på anden vis gør det muligt at anonymisere kundekontohaveren eller anonymisere eller øge tilsløringen af transaktioner, herunder gennem anonymiseringsfremmende mønter.
Ejerne af og begunstigede i forbindelse med eksisterende anonyme bank- eller betalingskonti, anonyme bankbøger, anonyme deponeringsbokse, som indehaves af kreditinstitutter eller finansieringsinstitutter, eller kryptoaktivkonti skal omfattes af kundekendskabsprocedurer, inden disse konti, bankbøger, eller deponeringsbokse anvendes på nogen måde.
2.   Kreditinstitutter og finansieringsinstitutter, der handler som indløsere som omhandlet i artikel 2, nr. 1), i Europa-Parlamentets og Rådets forordning (EU) 2015/751 
(
46
)
, må ikke acceptere betalinger, der foretages med anonyme forudbetalte kort, som er udstedt i tredjelande, medmindre andet er fastsat i de reguleringsmæssige tekniske standarder, som er vedtaget af Kommissionen i overensstemmelse med nærværende forordnings artikel 28, på grundlag af en dokumenteret lav risiko.
3.   Selskaber må ikke udstede ihændehaveraktier, og de skal senest den 10. juli 2029 konvertere alle eksisterende ihændehaveraktier til aktier noteret på navn, immobilisere dem som omhandlet i artikel 2, stk. 1, nr. 3), i forordning (EU) nr. 909/2014 eller deponere dem i et finansieringsinstitut. Det skal dog fortsat være tilladt for selskaber med værdipapirer, der er noteret på et reguleret marked, eller hvis aktier er udstedt som værdipapirer, der opbevares af en mellemmand, enten ved immobilisering som omhandlet i nævnte forordnings artikel 2, stk. 1, nr. 3), eller ved direkte udstedelse i dematerialiseret form som omhandlet i nævnte forordnings artikel 2, stk. 1, nr. 4), at udstede nye og fortsat opretholde eksisterende ihændehaveraktier. For eksisterende ihændehaveraktier, der ikke konverteres, immobiliseres eller deponeres senest den 10. juli 2029, suspenderes alle stemmerettigheder og udbytterettigheder, der er knyttet til disse aktier, automatisk indtil konverteringen, immobiliseringen eller deponeringen heraf. Alle sådanne aktier, der ikke er konverteret, immobiliseret eller deponeret senest den 10. juli 2030, annulleres, således at aktiekapitalen nedsættes med det tilsvarende beløb.
Selskaber må ikke udstede tegningsoptioner til ihændehaveraktier, som ikke opbevares af en mellemmand.
Artikel 80
Tærskler for store kontantbetalinger til gengæld for varer eller tjenesteydelser
1.   Personer, der handler med varer eller leverer tjenesteydelser, må kun acceptere eller foretage en betaling i kontanter på højst 10 000 EUR eller et tilsvarende beløb i national eller udenlandsk valuta, uanset om transaktionen gennemføres på én gang eller som flere transaktioner, der ser ud til at være indbyrdes forbundet.
2.   Medlemsstaterne kan vedtage lavere tærskler efter høring af Den Europæiske Centralbank i overensstemmelse med artikel 2, stk. 1, i Rådets beslutning 98/415/EF 
(
47
)
. Sådanne lavere tærskler skal meddeles Kommissionen inden for tre måneder fra indførelsen af foranstaltningen på nationalt plan.
3.   Når der allerede findes tærskler på nationalt plan, som er lavere end den i stk. 1 fastsatte tærskel, finder disse fortsat anvendelse. Medlemsstaterne meddeler disse tærskler Kommissionen senest den 10. oktober 2024.
4.   Den i stk. 1 fastsatte tærskel finder ikke anvendelse på:
a)
betalinger mellem fysiske personer, som ikke udøver erhvervsmæssig virksomhed
b)
betalinger eller indskud, der foretages i lokaler tilhørende kreditinstitutter, udstedere af elektroniske penge som defineret i artikel 2, nr. 3), i direktiv 2009/110/EF og betalingstjenesteudbydere som defineret i artikel 4, nr. 11), i direktiv (EU) 2015/2366.
Betalinger eller indskud omhandlet i første afsnits litra b), der overstiger tærsklen, indberettes til FIU'en inden for fristerne pålagt af FIU'en.
5.   Medlemsstaterne sikrer, at der træffes egnede foranstaltninger, herunder pålæggelse af sanktioner, over for fysiske eller juridiske personer, der handler i erhvervsøjemed, og som mistænkes for en overtrædelse af den i stk. 1 fastsatte tærskel eller af en lavere tærskel, som er vedtaget af medlemsstaterne.
6.   Sanktionernes overordnede niveau beregnes i overensstemmelse med de relevante bestemmelser i national ret på en sådan måde, at de genererer resultater, som står i rimeligt forhold til overtrædelsens grovhed, og dermed effektivt afskrækker fra yderligere overtrædelser af samme art.
7.   Hvis betalingsmidler i form af midler som defineret i artikel 4, nr. 25), i direktiv (EU) 2015/2366, der ikke udgøres af sedler og mønter, på grund af force majeure bliver utilgængelige på nationalt plan, kan medlemsstaterne midlertidigt suspendere anvendelsen af nærværende artikels stk. 1 eller i givet fald af denne artikels stk. 2, og underretter straks Kommissionen om situationen. Medlemsstaterne skal også underrette Kommissionen om den forventede varighed af den manglende tilgængelighed af betalingsmidler i form af midler som defineret i artikel 4, nr. 25), i direktiv (EU) 2015/2366, der ikke udgøres af sedler og mønter, og om de foranstaltninger, som medlemsstaterne har truffet for at gøre dem tilgængelige igen.
Hvis Kommissionen på grundlag af de oplysninger, som medlemsstaten har meddelt, finder, at suspensionen af anvendelsen af stk. 1 eller i givet fald stk. 2 ikke er begrundet i et tilfælde af force majeure, vedtager den en afgørelse rettet til den pågældende medlemsstat med anmodning om øjeblikkelig ophævelse af sådan suspension.
KAPITEL IX
AFSLUTTENDE BESTEMMELSER
AFDELING 1
Samarbejde mellem FIU'er og EPPO
Artikel 81
Samarbejde mellem FIU'er og EPPO
1.   I henhold til artikel 24 i forordning (EU) 2017/1939 indberetter hver FIU uden unødigt ophold resultaterne af sine analyser og eventuelle yderligere relevante oplysninger til EPPO, hvis der er rimelig grund til mistanke om, at der begås eller er blevet begået hvidvask af penge og andre kriminelle handlinger, med hensyn til hvilke EPPO kan udøve sin kompetence i overensstemmelse med nævnte forordnings artikel 22 og artikel 25, stk. 2 og 3.
Senest den 10. juli 2026 udarbejder AMLA i samråd med EPPO udkast til gennemførelsesmæssige tekniske standarder og forelægger dem for Kommissionen med henblik på vedtagelse. Disse udkast til gennemførelsesmæssige tekniske standarder præciserer det format, der skal anvendes af FIU'erne til indberetning af oplysninger til EPPO.
Kommissionen tillægges beføjelser til at vedtage de gennemførelsesmæssige tekniske standarder, der er omhandlet i dette stykkes andet afsnit i overensstemmelse med artikel 53 i forordning (EU) 2024/1620.
2.   FIU'erne besvarer rettidigt EPPO's anmodninger om oplysninger i forbindelse med hvidvask af penge og andre kriminelle handlinger som omhandlet i stk. 1.
3.   FIU'erne og EPPO kan udveksle resultaterne af strategiske analyser, herunder typologier og risikoindikatorer, hvis sådanne analyser vedrører hvidvask af penge og andre kriminelle handlinger som omhandlet i stk. 1.
Artikel 82
Anmodninger om oplysninger til EPPO
1.   EPPO besvarer uden unødigt ophold begrundede anmodninger om oplysninger fra en FIU, hvis disse oplysninger er nødvendige for udførelsen af FIU'ens funktioner i henhold til kapitel III i direktiv (EU) 2024/1640.
2.   EPPO kan udsætte eller afslå udlevering af oplysningerne omhandlet i stk. 1, hvis det er sandsynligt, at det vil skade korrekt gennemførelse og fortrolighed af en igangværende undersøgelse at udlevere disse. EPPO underretter rettidigt den anmodende FIU om udsættelse af eller afslag på at give de ønskede oplysninger, herunder begrundelsen herfor.
AFDELING 2
Samarbejde mellem FIU'er og OLAF
Artikel 83
Samarbejde mellem FIU'er og OLAF
1.   I henhold til artikel 8, stk. 3, i Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 883/2013 
(
48
)
 fremsender hver FIU straks resultaterne af sine analyser og alle yderligere relevante oplysninger til OLAF, hvis der er rimelig grund til mistanke om, at der begås eller er blevet begået svig, korruption eller enhver anden ulovlig aktivitet, der skader Unionens finansielle interesser, og med hensyn til hvilke OLAF kan udøve sin kompetence i overensstemmelse med artikel 8 i nævnte forordning.
2.   FIU'erne besvarer rettidigt OLAF's anmodninger om oplysninger i forbindelse med svig, korruption eller enhver anden ulovlig aktivitet som omhandlet i stk. 1.
3.   FIU'erne og OLAF kan udveksle resultaterne af strategiske analyser, herunder typologier og risikoindikatorer, hvis sådanne analyser vedrører svig, korruption eller enhver anden ulovlig aktivitet som omhandlet i stk. 1.
Artikel 84
Anmodninger om oplysninger til OLAF
1.   OLAF besvarer rettidigt begrundede anmodninger om oplysninger fra en FIU, hvis disse oplysninger er nødvendige for udførelsen af FIU'ens funktioner i henhold til kapitel III i direktiv (EU) 2024/1640.
2.   OLAF kan udsætte eller afslå udlevering af oplysningerne omhandlet i stk. 1, hvis det er sandsynligt, at det vil have en negativ indvirkning på en igangværende undersøgelse. OLAF underretter rettidigt den anmodende FIU om en sådan udsættelse eller et sådant afslag, herunder begrundelsen herfor.
AFDELING 3
Andre bestemmelser
Artikel 85
Delegerede retsakter
1.   Beføjelsen til at vedtage delegerede retsakter tillægges Kommissionen på de i denne artikel fastlagte betingelser.
2.   Beføjelsen til at vedtage delegerede retsakter, jf. artikel 29, 30, 31, 34, 43, 52 og 68, tillægges Kommissionen for en ubegrænset periode fra den 9. juli 2024.
3.   Den i artikel 29, 30, 31, 34, 43, 52 og 68 omhandlede delegation af beføjelser kan til enhver tid tilbagekaldes af Europa-Parlamentet eller Rådet. En afgørelse om tilbagekaldelse bringer delegationen af de beføjelser, der er angivet i den pågældende afgørelse, til ophør. Den får virkning dagen efter offentliggørelsen af afgørelsen i 
Den Europæiske Unions Tidende
 eller på et senere tidspunkt, der angives i afgørelsen. Den berører ikke gyldigheden af delegerede retsakter, der allerede er i kraft.
4.   Inden vedtagelsen af en delegeret retsakt hører Kommissionen eksperter, som er udpeget af hver enkelt medlemsstat, i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning.
5.   Så snart Kommissionen vedtager en delegeret retsakt, giver den samtidigt Europa-Parlamentet og Rådet meddelelse herom.
6.   En delegeret retsakt vedtaget i henhold til artikel 29, 30, 31 eller 34 træder kun i kraft, hvis hverken Europa-Parlamentet eller Rådet har gjort indsigelse inden for en frist på én måned fra meddelelsen af den pågældende retsakt til Europa-Parlamentet og Rådet, eller hvis Europa-Parlamentet og Rådet inden udløbet af denne frist begge har underrettet Kommissionen om, at de ikke agter at gøre indsigelse. Fristen forlænges med én måned på Europa-Parlamentets eller Rådets initiativ.
7.   En delegeret retsakt vedtaget i henhold til artikel 43, 52 eller 68 træder kun i kraft, hvis hverken Europa-Parlamentet eller Rådet har gjort indsigelse inden for en frist på tre måneder fra meddelelsen af den pågældende retsakt til Europa-Parlamentet og Rådet, eller hvis Europa-Parlamentet og Rådet inden udløbet af denne frist begge har underrettet Kommissionen om, at de ikke agter at gøre indsigelse. Fristen forlænges med tre måneder på Europa-Parlamentets eller Rådets initiativ.
Artikel 86
Udvalgsprocedure
1.   Kommissionen bistås af Udvalget til Forebyggelse af Hvidvask af Penge og Finansiering af Terrorisme nedsat ved artikel 34 i forordning (EU) 2023/1113. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2.   Når der henvises til dette stykke, finder artikel 5 i forordning (EU) nr. 182/2011 anvendelse.
Artikel 87
Revision
Senest den 10. juli 2032 og derefter hvert tredje år reviderer Kommissionen denne forordnings anvendelse og forelægger en rapport for Europa-Parlamentet og Rådet.
Den første revision skal indeholde en vurdering af:
a)
de nationale systemer til indberetning af mistanke i henhold til artikel 69 og hindringer og muligheder for at etablere et fælles indberetningssystem på EU-plan
b)
om gennemsigtighedsrammen vedrørende reelt ejerskab er tilstrækkelig til at afbøde risici i forbindelse med juridiske enheder og juridiske arrangementer.
Artikel 88
Rapporter
Senest den 10. juli 2030 forelægger Kommissionen rapporter for Europa-Parlamentet og Rådet med en vurdering af behovet for og proportionaliteten af:
a)
at sænke tærsklen på 25 % for identifikation af reelt ejerskab af juridiske enheder gennem ejerandele
b)
at udvide anvendelsesområdet for varer af høj værdi til at omfatte beklædningsgenstande og tilbehør af høj værdi
c)
at udvide anvendelsesområdet for den tærskelbaserede videregivelse af oplysninger i henhold til artikel 74 til at omfatte salg af andre varer, at indføre harmoniserede formater for indberetning af disse transaktioner baseret på nytteværdien af disse indberetninger for FIU'er og at udvide omfanget af oplysninger indsamlet fra personer, der handler i frizoner
d)
at tilpasse tærsklen for store kontantbetalinger.
Artikel 89
Forhold til direktiv (EU) 2015/849
Henvisninger til direktiv (EU) 2015/849 gælder som henvisninger til denne forordning og til direktiv (EU) 2024/1640 og læses efter sammenligningstabellen i bilag VI til denne forordning.
Artikel 90
Ikrafttræden og anvendelse
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Den finder anvendelse fra den 10. juli 2027, bortset fra for så vidt angår forpligtede enheder omhandlet i artikel 3, nr. 3, litra n) og o), i henhold til hvilke den finder anvendelse fra den 10. juli 2029.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Bruxelles, den 31. maj 2024.
På Europa-Parlamentets vegne
Formand
R. METSOLA
På Rådets vegne
Formand
H. LAHBIB
(
1
)
  
            
EUT C 210 af 25.5.2022, s. 5
.
(
2
)
  
            
EUT C 152 af 6.4.2022, s. 89
.
(
3
)
  Europa-Parlamentets holdning af 24. april 2024 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 30. maj 2024.
(
4
)
  Europa-Parlamentets og Rådets direktiv (EU) 2015/849 af 20. maj 2015 om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme, om ændring af Europa-Parlamentets og Rådets forordning (EU) nr. 648/2012 og om ophævelse af Europa-Parlamentets og Rådets direktiv 2005/60/EF samt Kommissionens direktiv 2006/70/EF (
EUT L 141 af 5.6.2015, s. 73
).
(
5
)
  Europa-Parlamentets og Rådets direktiv (EU) 2018/843 af 30. maj 2018 om ændring af direktiv (EU) 2015/849 om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme og om ændring af direktiv 2009/138/EF og 2013/36/EU (
EUT L 156 af 19.6.2018, s. 43
).
(
6
)
  Europa-Parlamentets og Rådets direktiv (EU) 2024/1640 af 31. maj 2024 om de mekanismer, medlemsstaterne skal indføre for at forebygge, at det finansielle system anvendes til hvidvask af penge eller finansiering af terrorisme, om ændring af direktiv (EU) 2019/1937 og om ændring og ophævelse af direktiv (EU) 2015/849 (
EUT L, 2024/1640, 19.6.2024, ELI: http://data.europa.eu/eli/dir/2024/1640/oj
).
(
7
)
  Europa-Parlamentets og Rådets forordning (EU) 2023/1113 af 31. maj 2023 om oplysninger, der skal medsendes ved pengeoverførsler og ved overførsler af visse kryptoaktiver og om ændring af direktiv (EU) 2015/849 (
EUT L 150 af 9.6.2023, s. 1
).
(
8
)
  Europa-Parlamentets og Rådets forordning (EU) 2024/1620 af 31. maj 2024 om oprettelse af Myndigheden for Bekæmpelse af Hvidvask af Penge og Finansiering af Terrorisme og om ændring af forordning (EU) nr. 1093/2010, (EU) nr. 1094/2010 og (EU) nr. 1095/2010 (
EUT L, 2024/1620, 19.6.2024, ELI: http://data.europa.eu/eli/reg/2024/1620/oj
).
(
9
)
  Europa-Parlamentets og Rådets direktiv (EU) 2018/1673 af 23. oktober 2018 om strafferetlig bekæmpelse af hvidvask af penge (
EUT L 284 af 12.11.2018, s. 22
).
(
10
)
  Europa-Parlamentets og Rådets direktiv (EU) 2017/1371 af 5. juli 2017 om strafferetlig bekæmpelse af svig rettet mod Den Europæiske Unions finansielle interesser (
EUT L 198 af 28.7.2017, s. 29
).
(
11
)
  Europa-Parlamentets og Rådets direktiv (EU) 2017/541 af 15. marts 2017 om bekæmpelse af terrorisme og om erstatning af Rådets rammeafgørelse 2002/475/RIA og ændring af Rådets afgørelse 2005/671/RIA (
EUT L 88 af 31.3.2017, s. 6
).
(
12
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/97 af 20. januar 2016 om forsikringsdistribution (
EUT L 26 af 2.2.2016, s. 19
).
(
13
)
  Europa-Parlamentets og Rådets direktiv (EU) 2015/2366 af 25. november 2015 om betalingstjenester i det indre marked, og om ændring af direktiv 2002/65/EF, 2009/110/EF og 2013/36/EU og forordning (EU) nr. 1093/2010 og om ophævelse af direktiv 2007/64/EF (
EUT L 337 af 23.12.2015, s. 35
).
(
14
)
  Europa-Parlamentets og Rådets forordning (EU) 2023/1114 af 31. maj 2023 om markeder for kryptoaktiver og om ændring af forordning (EU) nr. 1093/2010 og (EU) nr. 1095/2010 og direktiv 2013/36/EU og (EU) 2019/1937 (
EUT L 150 af 9.6.2023, s. 40
).
(
15
)
  Europa-Parlamentets og Rådets forordning (EU) 2020/1503 af 7. oktober 2020 om europæiske crowdfundingtjenesteudbydere for erhvervslivet og om ændring af forordning (EU) 2017/1129 og direktiv (EU) 2019/1937 (
EUT L 347 af 20.10.2020, s. 1
).
(
16
)
  Europa-Parlamentets og Rådets direktiv 2009/65/EF af 13. juli 2009 om samordning af love og administrative bestemmelser om visse institutter for kollektiv investering i værdipapirer (investeringsinstitutter) (
EUT L 302 af 17.11.2009, s. 32
).
(
17
)
  Europa-Parlamentets og Rådets direktiv 2011/61/EU af 8. juni 2011 om forvaltere af alternative investeringsfonde og om ændring af direktiv 2003/41/EF og 2009/65/EF samt forordning (EF) nr. 1060/2009 og (EU) nr. 1095/2010 (
EUT L 174 af 1.7.2011, s. 1
).
(
18
)
  Rådets afgørelse 2010/413/FUSP af 26. juli 2010 om restriktive foranstaltninger over for Iran og om ophævelse af fælles holdning 2007/140/FUSP (
EUT L 195 af 27.7.2010, s. 39
).
(
19
)
  Rådets afgørelse (FUSP) 2016/849 af 27. maj 2016 om restriktive foranstaltninger over for Den Demokratiske Folkerepublik Korea og om ophævelse af afgørelse 2013/183/FUSP (
EUT L 141 af 28.5.2016, s. 79
).
(
20
)
  Rådets forordning (EU) nr. 267/2012 af 23. marts 2012 om restriktive foranstaltninger over for Iran og om ophævelse af forordning (EU) nr. 961/2010 (
EUT L 88 af 24.3.2012, s. 1
).
(
21
)
  Rådets forordning (EU) 2017/1509 af 30. august 2017 om restriktive foranstaltninger over for Den Demokratiske Folkerepublik Korea og om ophævelse af forordning (EF) nr. 329/2007 (
EUT L 224 af 31.8.2017, s. 1
).
(
22
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber og om ændring af forordning (EU) nr. 648/2012 (
EUT L 176 af 27.6.2013, s. 1
).
(
23
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 af 23. juli 2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af direktiv 1999/93/EF (
EUT L 257 af 28.8.2014, s. 73
).
(
24
)
  Europa-Parlamentets og Rådets direktiv 2014/92/EU af 23. juli 2014 om sammenlignelighed af gebyrer i forbindelse med betalingskonti, flytning af betalingskonti og adgang til betalingskonti med basale funktioner (
EUT L 257 af 28.8.2014, s. 214
).
(
25
)
  Europa-Parlamentets og Rådets direktiv 2013/34/EU af 26. juni 2013 om årsregnskaber, konsoliderede regnskaber og tilhørende beretninger for visse virksomhedsformer, om ændring af Europa-Parlamentets og Rådets direktiv 2006/43/EF og om ophævelse af Rådets direktiv 78/660/EØF og 83/349/EØF (
EUT L 182 af 29.6.2013, s. 19
).
(
26
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/2341 af 14. december 2016 om arbejdsmarkedsrelaterede pensionskassers (IORP'ers) aktiviteter og tilsynet hermed (
EUT L 354 af 23.12.2016, s. 37
).
(
27
)
  Europa-Parlamentets og Rådets direktiv 2004/109/EF af 15. december 2004 om harmonisering af gennemsigtighedskrav i forbindelse med oplysninger om udstedere, hvis værdipapirer er optaget til handel på et reguleret marked, og om ændring af direktiv 2001/34/EF (
EUT L 390 af 31.12.2004, s. 38
).
(
28
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).
(
29
)
  
            
EUT L 123 af 12.5.2016, s. 1
.
(
30
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (
EUT L 55 af 28.2.2011, s. 13
).
(
31
)
  
            
EUT C 524 af 29.12.2021, s. 10
.
(
32
)
  Europa-Parlamentets og Rådets direktiv 2013/36/EU af 26. juni 2013 om adgang til at udøve virksomhed som kreditinstitut og om tilsyn med kreditinstitutter, om ændring af direktiv 2002/87/EF og om ophævelse af direktiv 2006/48/EF og 2006/49/EF (
EUT L 176 af 27.6.2013, s. 338
).
(
33
)
  Europa-Parlamentets og Rådets direktiv 2009/138/EF af 25. november 2009 om adgang til og udøvelse af forsikrings- og genforsikringsvirksomhed (Solvens II) (
EUT L 335 af 17.12.2009, s. 1
).
(
34
)
  Europa-Parlamentets og Rådets direktiv 2014/65/EU af 15. maj 2014 om markeder for finansielle instrumenter og om ændring af direktiv 2002/92/EF og direktiv 2011/61/EU (
EUT L 173 af 12.6.2014, s. 349
).
(
35
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 909/2014 af 23. juli 2014 om forbedring af værdipapirafviklingen i Den Europæiske Union og om værdipapircentraler samt om ændring af direktiv 98/26/EF og 2014/65/EU samt forordning (EU) nr. 236/2012 (
EUT L 257 af 28.8.2014, s. 1
).
(
36
)
  Europa-Parlamentets og Rådets direktiv 2014/17/ЕU af 4. februar 2014 om forbrugerkreditaftaler i forbindelse med fast ejendom til beboelse og om ændring af direktiv 2008/48/EF og 2013/36/EU og forordning (EU) nr. 1093/2010 (
EUT L 60 af 28.2.2014, s. 34
).
(
37
)
  Europa-Parlamentets og Rådets direktiv 2008/48/EF af 23. april 2008 om forbrugerkreditaftaler og om ophævelse af Rådets direktiv 87/102/EØF (
EUT L 133 af 22.5.2008, s. 66
).
(
38
)
  Europa-Parlamentets og Rådets direktiv 2009/110/EF af 16. september 2009 om adgang til at optage og udøve virksomhed som udsteder af elektroniske penge og tilsyn med en sådan virksomhed, ændring af direktiv 2005/60/EF og 2006/48/EF og ophævelse af direktiv 2000/46/EF (
EUT L 267 af 10.10.2009, s. 7
).
(
39
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1672 af 23. oktober 2018 om kontrol med likvide midler, der føres ind i eller ud af Unionen, og om ophævelse af forordning (EF) nr. 1889/2005 (
EUT L 284 af 12.11.2018, s. 6
).
(
40
)
  Rådets forordning (EF) nr. 116/2009 af 18. december 2008 om udførsel af kulturgoder (
EUT L 39 af 10.2.2009, s. 1
).
(
41
)
  Europa-Parlamentets og Rådets direktiv (EU) 2019/1937 af 23. oktober 2019 om beskyttelse af personer, der indberetter overtrædelser af EU-retten (
EUT L 305 af 26.11.2019, s. 17
).
(
42
)
  Rådets direktiv 2011/16/EU af 15. februar 2011 om administrativt samarbejde på beskatningsområdet og om ophævelse af direktiv 77/799/EØF (
EUT L 64 af 11.3.2011, s. 1
).
(
43
)
  Europa-Parlamentets og Rådets direktiv 2014/24/EU af 26. februar 2014 om offentlige udbud og om ophævelse af direktiv 2004/18/EF (
EUT L 94 af 28.3.2014, s. 65
).
(
44
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (
EUT L 119 af 4.5.2016, s. 89
).
(
45
)
  Europa-Parlamentets og Rådets forordning (EU) 2024/xxx af xxx om harmoniserede regler om kunstig intelligens og om ændring af forordning (EF) nr. 300/2008, (EU) nr. 167/2013, (EU) nr. 168/2013, (EU) 2018/858, (EU) 2018/1139 og (EU) 2019/2144 og direktiv 2014/90/EU, (EU) 2016/797 og (EU) 2020/1828 (retsakten om kunstig intelligens) (endnu ikke offentliggjort i EUT).
(
46
)
  Europa-Parlamentets og Rådets forordning (EU) 2015/751 af 29. april 2015 om interbankgebyrer for kortbaserede betalingstransaktioner (
EUT L 123 af 19.5.2015, s. 1
).
(
47
)
  Rådets beslutning 98/415/EF af 29. juni 1998 om de nationale myndigheders høring af Den Europæiske Centralbank om udkast til retsforskrifter (
EFT L 189 af 3.7.1998, s. 42
).
(
48
)
  Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 883/2013 af 11. september 2013 om undersøgelser, der foretages af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF), og om ophævelse af Europa-Parlamentets og Rådets forordning (EF) nr. 1073/1999 og Rådets forordning (Euratom) nr. 1074/1999 (
EUT L 248 af 18.9.2013, s. 1
).
BILAG I
Indikativ liste over risikovariabler
Følgende er en ikkeudtømmende liste over risikovariabler, som forpligtede enheder skal tage hensyn til, når de udarbejder deres risikovurdering i overensstemmelse med artikel 10, og når de fastlægger, i hvilket omfang der skal anvendes kundekendskabsprocedurer, jf. artikel 20:
a)
Kunderisikovariabler:
i)
kundens og kundens reelle ejers forretnings- eller erhvervsmæssige virksomhed
ii)
kundens og kundens reelle ejers omdømme
iii)
kundens og kundens reelle ejers art og adfærd
iv)
de jurisdiktioner, hvor kunden og kundens reelle ejer er baseret
v)
de jurisdiktioner, der er kundens og kundens reelle ejers primære forretningssteder
vi)
de jurisdiktioner, som kunden og kundens reelle ejer har relevante private forbindelser til
b)
Risikovariabler for produkter, tjenesteydelser eller transaktioner:
i)
formålet med en konto eller en forbindelse
ii)
forretningsforbindelsens regelmæssighed eller varighed
iii)
omfanget af de aktiver, som en kunde vil indskyde, eller de gennemførte transaktioners størrelse
iv)
den grad af gennemsigtighed eller uigennemsigtighed, som produktet, tjenesteydelsen eller transaktionen indebærer
v)
produktets, tjenesteydelsens eller transaktionens kompleksitet
vi)
produktets, tjenesteydelsens eller transaktionens værdi eller størrelse.
c)
Risikovariabler for leveringskanaler:
i)
i hvilket omfang forretningsforbindelsen består uden direkte kontakt
ii)
eventuelle introducerende parter eller formidlere, som kunden måtte anvende, og karakteren af deres forbindelse til kunden
d)
Risikovariabler for livsforsikringer og anden investeringsrelateret forsikringsvirksomhed:
i)
den risiko, som hidrører fra den begunstigede i forsikringspolicen.
BILAG II
Faktorer, som kendetegner lavere risiko
Følgende er en ikkeudtømmende liste over faktorer og typer af dokumentation for en potentielt meget lav risiko, jf. artikel 20:
1)
Kunderisikofaktorer:
a)
børsnoterede selskaber, der er underlagt oplysningspligt (enten i henhold til børsregler eller retlige regler eller fuldbyrdelsesforanstaltninger), som pålægger at sikre passende gennemsigtighed i forhold til reelt ejerskab
b)
offentlige forvaltninger eller virksomheder
c)
kunder, som har bopæl i geografiske områder med en lavere risiko, som anført i punkt 3.
2)
Risikofaktorer for produkter, tjenesteydelser, transaktioner eller leveringskanaler:
a)
livsforsikringer, hvor præmien er lav
b)
pensionsforsikringer, hvis der ikke er nogen tidlig tilbagekøbsklausul, og policen ikke kan bruges til sikkerhedsstillelse
c)
pensionsordninger eller lignende ordninger, der udbetaler pension til ansatte, og hvor bidragene indbetales gennem fradrag i lønnen, og reglerne for den pågældende ordning ikke tillader overdragelse af et medlems rettigheder i henhold til ordningen
d)
finansielle produkter eller tjenesteydelser, som leverer behørigt definerede og begrænsede tjenesteydelser til visse kundetyper med det formål at fremme finansiel inklusion
e)
produkter, hvor risikoen for hvidvask af penge og finansiering af terrorisme styres af andre faktorer, f.eks. udgiftslofter eller gennemsigtighed i forhold til ejerskab (f.eks. visse former for elektroniske penge).
3)
Geografiske risikofaktorer — registrering, etablering, bopæl i:
a)
medlemsstaterne
b)
tredjelande, som har effektive systemer til bekæmpelse af hvidvask af penge og finansiering af terrorisme
c)
tredjelande, som troværdige kilder har identificeret som lande med et begrænset omfang af korruption eller andre kriminelle handlinger
d)
tredjelande, som på grundlag af troværdige kilder såsom gensidige evalueringer, rapporter om detaljeret vurdering eller offentliggjorte opfølgningsrapporter har krav om bekæmpelse af hvidvask af penge og finansiering af terrorisme, der er i overensstemmelse med de reviderede FATF-anbefalinger, og som gennemfører disse krav på en effektiv måde.
BILAG III
Faktorer, som kendetegner højere risiko
Følgende er en ikkeudtømmende liste over faktorer og typer af dokumentation for en potentielt højere risiko, jf. artikel 20:
1)
Kunderisikofaktorer:
a)
forretningsforbindelsen eller den lejlighedsvise transaktion foretages under usædvanlige omstændigheder
b)
kunder, der har bopæl i geografiske områder med en højere risiko som anført i punkt 3)
c)
juridiske personer eller juridiske arrangementer, som er personlige formueforvaltningsselskaber (personal asset-holding vehicles)
d)
virksomheder, som har nominee-ejere eller ihændehaveraktier
e)
kontantbaserede virksomheder
f)
virksomhedens ejerstruktur virker usædvanlig eller alt for kompleks i betragtning af virksomhedens forretningsaktiviteter.
g)
kunden er en tredjelandsstatsborger, der ansøger om opholdsret i en medlemsstat til gengæld for forskellige former for investering, herunder kapitaloverførsler, køb eller leje af ejendom, investering i statsobligationer, investering i virksomheder, donationer eller tilførsel af en aktivitet, der bidrager til almenvellet, og bidrag til statsbudgettet
h)
kunden er en juridisk enhed eller et juridisk arrangement, der er oprettet i en jurisdiktion, hvor kunden ikke har nogen reel økonomisk aktivitet, væsentlig økonomisk tilstedeværelse eller åbenbar økonomisk begrundelse
i)
kunden ejes direkte eller indirekte af en eller flere af enhederne eller arrangementerne i litra h)
2)
Risikofaktorer for produkter, tjenesteydelser, transaktioner eller leveringskanaler:
a)
private banking
b)
produkter eller transaktioner, som kan fremme anonymitet
c)
betalinger fra ukendte eller ikkeassocierede tredjemænd
d)
nye produkter og nye forretningsprocedurer, herunder nye leveringsmekanismer, og brug af nye teknologier eller teknologier under udvikling til både nye og eksisterende produkter
e)
transaktioner vedrørende olie, våben, ædelmetaller eller ædelsten, tobaksvarer, kulturelle værdigenstande og andre vigtige genstande af arkæologisk, historisk, kulturel og religiøs betydning eller af særlig videnskabelig værdi samt elfenben og beskyttede dyrearter.
3)
Geografiske risikofaktorer:
a)
tredjelande, som er omfattet af skærpet overvågning eller på anden måde er identificeret af FATF på grund af overholdelsesmæssige svagheder i deres systemer til bekæmpelse af hvidvask af penge og finansiering af terrorisme
b)
tredjelande, der ved hjælp af troværdige kilder/anerkendte processer såsom gensidige evalueringer, rapporter om detaljeret vurdering eller offentliggjorte opfølgningsrapporter, er identificeret som lande, der ikke har effektive systemer til bekæmpelse af hvidvask af penge og finansiering af terrorisme
c)
tredjelande, som ved hjælp af troværdige kilder/anerkendte processer, er identificeret som lande med et betydeligt omfang af korruption eller andre kriminelle handlinger
d)
tredjelande, som er genstand for sanktioner, embargoer eller lignende foranstaltninger, truffet af f.eks. Unionen eller FN
e)
tredjelande, som finansierer eller støtter terrorvirksomhed, eller som huser udpegede terrororganisationer
f)
tredjelande, der af troværdige kilder eller i henhold til anerkendte processer er identificeret som lande, der muliggør finansiel hemmeligholdelse ved:
i)
at opstille hindringer for samarbejde med og udveksling af oplysninger med andre jurisdiktioner
ii)
at have strenge love om forretnings- eller bankhemmelighed, som forhindrer institutter og deres ansatte i at give kundeoplysninger til de kompetente myndigheder, herunder gennem bøder og sanktioner
iii)
at have svag kontrol med hensyn til oprettelse af juridiske enheder eller af juridiske arrangementer eller
iv)
ikke at kræve, at oplysninger om reelt ejerskab skal registreres eller opbevares i en central database eller et centralt register.
BILAG IV
Liste over varer af høj værdi som omhandlet i artikel 2, stk. 1, nr. 54):
1)
smykker, guld- eller sølvsmedevarer med en værdi på over 10 000 EUR eller et tilsvarende beløb i national valuta
2)
ure med en værdi på over 10 000 EUR eller et tilsvarende beløb i national valuta
3)
motorkøretøjer til en pris på over 250 000 EUR eller et tilsvarende beløb i national valuta
4)
luftfartøjer til en pris på over 7 500 000 EUR eller et tilsvarende beløb i national valuta
5)
vandfartøjer til en pris på over 7 500 000 EUR eller et tilsvarende beløb i national valuta.
BILAG V
Ædelmetaller, der er omhandlet i artikel 2, stk. 1, nr. 55):
a)
guld
b)
sølv
c)
platin
d)
iridium
e)
osmium
f)
palladium
g)
rhodium
h)
ruthenium
Ædelsten, der er omhandlet i artikel 2, stk. 1, nr. 55):
a)
diamant
b)
rubin
c)
safir
d)
smaragd
BILAG VI
Sammenligningstabel
Direktiv (EU) 2015/849
Direktiv (EU) 2024/1640
Denne forordning
Artikel 1, stk. 1
—
—
Artikel 1, stk. 2
—
—
Artikel 1, stk. 3
—
Artikel 2, stk. 1, nr. 1)
Artikel 1, stk. 4
—
Artikel 2, stk. 1, nr. 1)
Artikel 1, stk. 5
—
Artikel 2, stk. 1, nr. 2)
Artikel 1, stk. 6
—
Artikel 2, stk. 1, nr. 1) og 2)
Artikel 2, stk. 1
—
Artikel 3
Artikel 2, stk. 2
—
Artikel 4
Artikel 2, stk. 3
—
Artikel 6, stk. 1
Artikel 2, stk. 4
—
Artikel 6, stk. 2
Artikel 2, stk. 5
—
Artikel 6, stk. 3
Artikel 2, stk. 6
—
Artikel 6, stk. 4
Artikel 2, stk. 7
—
Artikel 6, stk. 5
Artikel 2, stk. 8
—
Artikel 7
Artikel 2, stk. 9
—
Artikel 4, stk. 3, og artikel 6, stk. 6
Artikel 3, nr. 1)
—
Artikel 2, stk. 1, nr. 5)
Artikel 3, nr. 2)
—
Artikel 2, stk. 1, nr. 6)
Artikel 3, nr. 3)
—
Artikel 2, stk. 1, nr. 4)
Artikel 3, nr. 4)
—
Artikel 2, stk. 1, nr. 3)
Artikel 3, nr. 5)
—
Artikel 2, stk. 1, nr. 47)
Artikel 3, nr. 6)
—
Artikel 2, stk. 1, nr. 28)
Artikel 3, nr. 6), litra a)
—
Artikel 51-55
Artikel 3, nr. 6), litra b)
—
Artikel 58
Artikel 3, nr. 6), litra c)
—
Artikel 57
Artikel 3, nr. 7)
—
Artikel 2, stk. 1, nr. 11)
Artikel 3, nr. 8)
—
Artikel 2, stk. 1, nr. 22)
Artikel 3, nr. 9)
—
Artikel 2, stk. 1, nr. 34), og artikel 2, stk. 2
Artikel 3, nr. 10)
—
Artikel 2, stk. 1, nr. 35), og artikel 2, stk. 5
Artikel 3, nr. 11)
—
Artikel 2, stk. 1, nr. 36)
Artikel 3, nr. 12)
—
Artikel 2, stk. 1, nr. 40)
Artikel 3, nr. 13)
—
Artikel 2, stk. 1, nr. 19)
Artikel 3, 14)
—
Artikel 2, stk. 1, nr. 12)
Artikel 3, nr. 15)
—
Artikel 2, stk. 1, nr. 41)
Artikel 3, nr. 16)
—
Artikel 2, stk. 1, nr. 17)
Artikel 3, nr. 17)
—
Artikel 2, stk. 1, nr. 23)
Artikel 3, nr. 18)
—
Artikel 2, stk. 1, nr. 7)
Artikel 3, nr. 19)
—
—
Artikel 4
Artikel 3
—
Artikel 5
—
—
Artikel 6
Artikel 7
—
Artikel 7
Artikel 8
—
Artikel 8, stk. 1
—
Artikel 10, stk. 1
Artikel 8, stk. 2
—
Artikel 10, stk. 2 og 3
Artikel 8, stk. 3
—
Artikel 9, stk. 1
Artikel 8, stk. 4
—
Artikel 9, stk. 2
Artikel 8, stk. 5
—
Artikel 9, stk. 2 og 3
Artikel 9
—
Artikel 29
Artikel 10, stk. 1
—
Artikel 79, stk. 1
Artikel 10, stk. 2
—
Artikel 79, stk. 3
Artikel 11
—
Artikel 19, stk. 1, 2 og 5
Artikel 12
—
Artikel 19, stk. 7, og artikel 79, stk. 2
Artikel 13, stk. 1
—
Artikel 20, stk. 1
Artikel 13, stk. 2
—
Artikel 20, stk. 2
Artikel 13, stk. 3
—
Artikel 20, stk. 2
Artikel 13, stk. 4
—
Artikel 20, stk. 4
Artikel 13, stk. 5
—
Artikel 47
Artikel 13, stk. 6
—
Artikel 22, stk. 4
Artikel 14, stk. 1
—
Artikel 23, stk. 1 og 4
Artikel 14, stk. 2
—
Artikel 23, stk. 2
Artikel 14, stk. 3
—
Artikel 23. stk. 3
Artikel 14, stk. 4
—
Artikel 21, stk. 1 og 2
Artikel 14, stk. 5
—
Artikel 26, stk. 2 og 3
Artikel 15
—
Artikel 20, stk. 2, andet afsnit, og artikel 33
Artikel 16
—
Artikel 33, stk. 1
Artikel 17
—
—
Artikel 18, stk. 1
—
Artikel 34, stk. 1 og 8
Artikel 18, stk. 2
—
Artikel 34, stk. 2
Artikel 18, stk. 3
—
Artikel 34, stk. 3
Artikel 18, stk. 4
—
—
Artikel 18a, stk. 1
—
Artikel 29, stk. 4
Artikel 18a, stk. 2
—
Artikel 29, stk. 5 og 6, og artikel 35, litra a)
Artikel 18a, stk. 3
—
Artikel 29, stk. 5 og 6, og artikel 35, litra b)
Artikel 18a, stk. 4
—
—
Artikel 18a, stk. 5
—
Artikel 29, stk. 6
Artikel 19
—
Artikel 36
Artikel 20
—
Artikel 9, stk. 2, artikel 20, stk. 1, og artikel 42, stk. 1
Artikel 20, litra a)
—
Artikel 9, stk. 2, litra a), nr. iii), og artikel 20, stk. 1, litra g)
Artikel 20, litra b)
—
Artikel 42, stk. 1
Artikel 20a
—
Artikel 43
Artikel 21
—
Artikel 44
Artikel 22
—
Artikel 45
Artikel 23
—
Artikel 46
Artikel 24
—
Artikel 39
Artikel 25
—
Artikel 48, stk. 1
Artikel 26
—
Artikel 48
Artikel 27
—
Artikel 49
Artikel 28
—
Artikel 48, stk. 3
Artikel 29
—
—
Artikel 30, stk. 1
—
Artikel 63, stk. 1, stk. 2, andet afsnit, og stk. 4, og artikel 68
Artikel 30, stk. 2
—
Artikel 63, stk. 5
Artikel 30, stk. 3
Artikel 10, stk. 1
—
Artikel 30, stk. 4
Artikel 10, stk. 7 og 10
Artikel 24
Artikel 30, stk. 5, første afsnit
Artikel 11 og artikel 12, stk. 2
—
Artikel 30, stk. 5, andet afsnit
Artikel 12, stk. 1
—
Artikel 30, stk. 5, tredje afsnit
—
—
Artikel 30, stk. 5a
Artikel 11, stk. 4, og artikel 13, stk. 12
—
Artikel 30, stk. 6
Artikel 11, stk. 1, 2 og 3
—
Artikel 30, stk. 7
Artikel 61, stk. 2
—
Artikel 30, stk. 8
—
Artikel 22. stk. 7
Artikel 30, stk. 9
Artikel 15
—
Artikel 30, stk. 10
Artikel 10, stk. 19 og 20
—
Artikel 31, stk. 1
—
Artikel 58, artikel 64, stk. 1, og artikel 68
Artikel 31, stk. 2
—
Artikel 64 stk. 3
Artikel 31, stk. 3
—
Artikel 64, stk. 5
Artikel 31, stk. 3a
Artikel 10 stk. 1, 2 og 3
Artikel 67
Artikel 31, stk. 4, første afsnit
Artikel 11 og artikel 12, stk. 2
—
Artikel 31, stk. 4, andet afsnit
Artikel 12, stk. 1
—
Artikel 31, stk. 4, tredje afsnit
—
—
Artikel 31, stk. 4, fjerde afsnit
Artikel 11, stk. 2
—
Artikel 31, stk. 4a
Artikel 11, stk. 4, og artikel 13, stk. 12
—
Artikel 31, stk. 5
Artikel 10, stk. 7 og 10
Artikel 24
Artikel 31, stk. 6
—
Artikel 22, stk. 7
Artikel 31, stk. 7
Artikel 61, stk. 2
—
Artikel 31, stk. 7a
Artikel 15
—
Artikel 31, stk. 9
Artikel 10, stk. 19 og 20
—
Artikel 31, stk. 10
—
Artikel 58, stk. 4
Artikel 31a
Artikel 17, stk. 1
—
Artikel 32, stk. 1
Artikel 19, stk. 1
—
Artikel 32, stk. 2
Artikel 62, stk. 1
—
Artikel 32, stk. 3
Artikel 19, stk. 2, stk. 3, første afsnit, stk. 4 og stk. 5
—
Artikel 32, stk. 4
Artikel 21, stk. 1, og artikel 22, stk. 1, første afsnit
—
Artikel 32, stk. 5
Artikel 22, stk. 1, andet afsnit
—
Artikel 32, stk. 6
Artikel 22, stk. 2
—
Artikel 32, stk. 7
Artikel 24, stk. 1
—
Artikel 32, stk. 8
Artikel 19, stk. 3, andet afsnit
—
Artikel 32, stk. 9
Artikel 21, stk. 4
—
Artikel 32a, stk. 1
Artikel 16, stk. 1
—
Artikel 32a, stk. 2
Artikel 16, stk. 2
—
Artikel 32a, stk. 3
Artikel 16, stk. 3
—
Artikel 32a, stk. 4
Artikel 16, stk. 5
—
Artikel 32b
Artikel 18
—
Artikel 33, stk. 1
—
Artikel 69, stk. 1
Artikel 33, stk. 2
—
Artikel 69, stk. 6
Artikel 34, stk. 1
—
Artikel 70, stk. 1
Artikel 34, stk. 2
—
Artikel 70, stk. 2
Artikel 34, stk. 3
Artikel 40, stk. 5
—
Artikel 35
—
Artikel 71
Artikel 36
Artikel 42
—
Artikel 37
—
Artikel 72
Artikel 38
Artikel 60
Artikel 11, stk. 2, fjerde afsnit, og stk. 4, artikel 14 og artikel 69, stk. 7
Artikel 39
—
Artikel 73
Artikel 40
—
Artikel 77
Artikel 41
Artikel 70
Artikel 76
Artikel 42
—
Artikel 78
Artikel 43
—
—
Artikel 44, stk. 1
Artikel 9, stk. 1
—
Artikel 44, stk. 2
Artikel 9, stk. 2
—
Artikel 44, stk. 3
—
—
Artikel 44, stk. 4
Artikel 9, stk. 3 og 6
—
Artikel 45, stk. 1
—
Artikel 16, stk. 1
Artikel 45, stk. 2
—
Artikel 8, stk. 3, 4 og 5
Artikel 45, stk. 3
—
Artikel 17, stk. 1
Artikel 45, stk. 4
Artikel 48
—
Artikel 45, stk. 5
—
Artikel 17, stk. 2
Artikel 45, stk. 6
—
Artikel 17, stk. 3
Artikel 45, stk. 7
—
Artikel 17, stk. 4
Artikel 45, stk. 8
—
Artikel 16, stk. 3
Artikel 45, stk. 9
Artikel 41, stk. 1
—
Artikel 45, stk. 10
Artikel 41, stk. 2
—
Artikel 45, stk. 11
Artikel 41, stk. 3
—
Artikel 46, stk. 1
—
Artikel 12 og 15
Artikel 46, stk. 2
Artikel 39, stk. 2
—
Artikel 46, stk. 3
Artikel 28, stk. 1
—
Artikel 46, stk. 4
—
Artikel 11, stk. 1
Artikel 47, stk. 1
Artikel 4, stk. 1 og 2
—
Artikel 47, stk. 2
Artikel 6, stk. 1
—
Artikel 47, stk. 3
Artikel 6, stk. 2
—
Artikel 48, stk. 1
Artikel 37, stk. 1
—
Artikel 48, stk. 1a
Artikel 37, stk. 5, og artikel 62, stk. 1
—
Artikel 48, stk. 2
Artikel 37, stk. 2 og 6
—
Artikel 48, stk. 3
Artikel 37, stk. 7
—
Artikel 48, stk. 4
Artikel 37, stk. 1, første afsnit, artikel 46 og artikel 54, stk. 4
—
Artikel 48, stk. 5
Artikel 46, stk. 2 og 3, og artikel 47
—
Artikel 48, stk. 6
Artikel 40, stk. 1
—
Artikel 48, stk. 7
Artikel 40, stk. 2
—
Artikel 48, stk. 8
Artikel 40, stk. 4
—
Artikel 48, stk. 9
Artikel 37, stk. 3
—
Artikel 48, stk. 10
Artikel 40, stk. 3
—
Artikel 49
Artikel 61, stk. 1
—
Artikel 50
Artikel 63
—
Artikel 50a
Artikel 61, stk. 3
—
Artikel 51
—
—
Artikel 52
Artikel 29
—
Artikel 53
Artikel 31
—
Artikel 54
Artikel 33
—
Artikel 55
Artikel 34
—
Artikel 56
Artikel 30, stk. 2 og 3
—
Artikel 57
Artikel 35
—
Artikel 57a, stk. 1
Artikel 67, stk. 1
—
Artikel 57a, stk. 2
Artikel 67, stk. 2
—
Artikel 57a, stk. 3
Artikel 67, stk. 3
—
Artikel 57a, stk. 4
Artikel 44, artikel 46, stk. 1, og artikel 47, stk. 1
—
Artikel 57a, stk. 5
Artikel 51
—
Artikel 57b
Artikel 68
—
Artikel 58, stk. 1
Artikel 53, stk. 1
—
Artikel 58, stk. 2
Artikel 53, stk. 2 og 3
—
Artikel 58, stk. 3
Artikel 53, stk. 4
—
Artikel 58, stk. 4
—
—
Artikel 58, stk. 5
Artikel 53, stk. 5
—
Artikel 59, stk. 1
Artikel 55, stk. 1
—
Artikel 59, stk. 2
Artikel 55, stk. 2, og artikel 56, stk. 2 og 3
—
Artikel 59, stk. 3
Artikel 55, stk. 3
—
Artikel 59, stk. 4
Artikel 55, stk. 4
—
Artikel 60, stk. 1
Artikel 58, stk. 1, stk. 2, første afsnit, og stk. 3
—
Artikel 60, stk. 2
Artikel 58, stk. 2, tredje afsnit
—
Artikel 60, stk. 3
Artikel 58, stk. 4
—
Artikel 60, stk. 4
Artikel 53, stk. 6
—
Artikel 60, stk. 5
Artikel 53, stk. 7
—
Artikel 60, stk. 6
Artikel 53, stk. 8
—
Artikel 61
Artikel 60
—
Artikel 62, stk. 1
Artikel 59, stk. 1
—
Artikel 62, stk. 2
Artikel 6, stk. 6
—
Artikel 62, stk. 3
Artikel 59, stk. 2
—
Artikel 63
—
—
Artikel 64
—
Artikel 85
Artikel 64a
Artikel 72
Artikel 86
Artikel 65
—
—
Artikel 66
—
—
Artikel 67
—
—
Artikel 68
—
—
Artikel 69
—
—
Bilag I
—
Bilag I
Bilag II
—
Bilag II
Bilag III
—
Bilag III
Bilag IV
—
—
ELI: http://data.europa.eu/eli/reg/2024/1624/oj
ISSN 1977-0634 (electronic edition)

Summary:
Forebyggelse af misbrug af det finansielle system til hvidvask af penge og terrorisme (fra 2027)
RESUMÉ AF:
Forordning (EU) 2024/1624 om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme
HVAD ER FORMÅLET MED FORORDNINGEN?
Formålet med forordning (EU) 2024/1624 er at slå ned på hvidvaskning af penge og finansiering af terrorisme ved at fastsætte regler om:
foranstaltninger, som finansieringsinstitutter og visse ikkefinansielle virksomheder og enkeltpersoner (»forpligtede enheder«) skal træffe for at forebygge hvidvaskning af penge og finansiering af terrorisme
gennemsigtighedskrav vedrørende reelt ejerskab
1
 for juridiske enheder, viljesbestemte truster og andre lignende juridiske arrangementer samt
foranstaltninger til begrænsning af misbrug af anonyme instrumenter.
HOVEDPUNKTER
Følgende er blandt de virksomheder og aktiviteter, der anses for at være 
forpligtede enheder
:
kredit- og finansieringsinstitutter
revisorer, eksterne regnskabskyndige, skatterådgivere og advokater, hvis hovedbeskæftigelse er skatterådgivning
notarer, advokater og retlige aktører, der er involverede i finansielle transaktioner eller transaktioner vedrørende fast ejendom eller i planlægning af visse transaktioner for deres kunder
andre enheder, herunder professionelle fodboldklubber og fodboldagenter og visse erhvervsdrivende, der handler med visse varer af høj værdi.
Forordningen
 giver mulighed for 
fuld eller delvis undtagelse
, hvis 
nationale vurderinger
 anser følgende for at være af 
lav risiko
:
visse spilleaktiviteter
professionelle fodboldklubber, der spiller i øverste division og har en samlet årlig omsætning på under 5 mio. EUR for hvert af de to foregående kalenderår, samt professionelle fodboldklubber i de lavere divisioner på baggrund af dokumenteret lav risiko
forskellige finansielle aktiviteter af mindre omfang, forudsat at strenge lofter for omsætning og tærskler overholdes.
Forpligtede enheder skal
:
underrette deres egne nationale tilsynsmyndigheder, før de driver virksomhed i en anden af 
Den Europæiske Unions
 (EU) 
medlemsstater
 for første gang
anvende interne politikker, procedurer og kontroller for at afbøde og styre eventuelle risici for 
hvidvask af penge
, finansiering af terrorisme og omgåelse af finansielle 
sanktioner
gennemføre og ajourføre risikovurderinger på virksomhedsplan, især når de lancerer nye produkter, tjenesteydelser eller procedurer
udpege en complianceansvarlig, som skal føre tilsyn med overensstemmelse med forordningen og med forordning (EU) 2023/1113 og sikre, at de ansatte kender deres forpligtelser
sikre, hvis de er et moderselskab, at alle filialer og datterselskaber i EU og i ikke-EU-lande fuldt ud overholder kravene i lovgivningen, også selvom lovkravene i ikke-EU-landene er lavere
forblive ansvarlige for overensstemmelse, også ved outsourcing af opgaver.
Kundekendskabsprocedurer
Forpligtede enheder
:
skal anvende kundekendskabsprocedurer, herunder når de:
etablerer en forretningsforbindelse
gennemfører en lejlighedsvis transaktion til en værdi af mindst 10 000 EUR
har mistanke om hvidvask af penge eller finansiering af terrorisme
skal bekræfte:
identiteten af kunden og den eller de reelle ejere som en del af kundekendskabsprocedurerne
forretningsforbindelsens formål og tilsigtede beskaffenhed
skal løbende overvåge forretningsforbindelserne
skal nægte at gennemføre en transaktion eller bringe forretningsforbindelsen til ophør, hvis de ikke kan overholde kravet om at anvende kundekendskabsprocedurer, og skal indberette alle mistænkelige transaktioner
skal indberette alle uoverensstemmelser, de konstaterer mellem oplysningerne om reelt ejerskab i centrale registre og oplysninger, de indhenter
skal anvende strengere kundekendskabsprocedurer til styre og afbøde enhver risiko, der omfatter ikke-EU-lande, som 
Europa-Kommissionen
 har identificeret som havende svage foranstaltninger mod hvidvaskning af penge og finansiering af terrorisme, og som er opført som »højrisikotredjelande«
skal anvende strengere kontroller i sager med højere risiko, der omfatter en transaktion, som er kompleks, usædvanligt stor, ikke har noget åbenbart økonomisk eller lovligt formål eller omfatter aktiver for mindst 5 mio. EUR
kan anvende enklere kundekendskabsprocedurer for forretningsforbindelser og transaktioner med lav risiko på baggrund af kunderelaterede, produktrelaterede og geografiske faktorer, som fastsat i bilag II og III
skal implementere specifikke foranstaltninger for politisk eksponerede personer
2
.
Gennemsigtighed vedrørende reelt ejerskab
Reelt ejerskab
De reelle ejere af en juridisk enhed er dem, der enten direkte eller indirekte har ejerskabsbeføjelser (mindst 
25 %
 af ejerandel eller stemmerettigheder) i virksomheden eller som enten direkte eller indirekte kontrollerer virksomheden eller en anden juridisk enhed gennem ejerskabsbeføjelser eller på anden måde. Forordningen specificerer desuden, hvem den reelle ejer er for viljesbestemte truster, lignende juridiske arrangementer og juridiske enheder, som ligner viljesbestemte truster.
Juridiske enheder
:
skal, hvis de er oprettet i EU, have nøjagtige og ajourførte oplysninger om reelt ejerskab
skal, hvis de er oprettet uden for EU, indsende oplysninger om reelt ejerskab til en medlemsstats centrale register, når de:
indgår en forretningsforbindelse med en forpligtet enhed
erhverver fast ejendom i EU
erhverver et motorkøretøj til ikkekommercielle formål til en pris på mindst 250 000 EUR eller et vand- eller luftfartøj til en pris på mindst 7,5 mio. EUR
tildeles en offentlig kontrakt af en national myndighed.
Medlemsstaterne
:
skal senest den 
10. oktober 2027
 underrette Kommissionen om typerne af juridiske enheder og juridiske arrangementer i deres jurisdiktioner
skal fastsætte sanktioner for overtrædelser af reglerne om gennemsigtighed vedrørende reelt ejerskab.
Indberetningsforpligtelser
Forpligtede enheder
:
skal indberette enhver mistanke om midler eller aktiviteter knyttet til kriminelle handlinger eller finansiering af terrorisme til den 
finansielle efterretningsenhed
 (FIU) — et nationalt organ, som indsamler oplysninger om mistænkelige eller usædvanlige finansielle aktiviteter
skal efter anmodning fra FIU’en at give denne alle nødvendige oplysninger, herunder transaktionsfortegnelser, inden for de fastsatte frister
skal opbevare al relevant dokumentation i fem år.
Erhvervsdrivende, der handler med luksusvarer af høj værdi, samt finansielle institutter
 skal, hvor det er relevant, indberette alle salg til ikkekommercielle formål af motorkøretøjer, både eller luftfartøjer i henhold til tærsklerne ovenfor til FIU’en.
Foranstaltninger til at afbøde risici, som hidrører fra anonyme instrumenter
Anonyme konti
Det er forbudt for kreditinstitutter, finansieringsinstitutter og udbydere af kryptoaktivtjenester at have anonyme bank- og betalingskonti, anonyme bankbøger, anonyme deponeringsbokse eller anonyme kryptoaktivkonti.
Ejerne af og begunstigede i forbindelse med ovennævnte anonyme konti skal omfattes af kundekendskabsprocedurer, inden anvendes på nogen måde.
Kreditinstitutter og finansieringsinstitutter må ikke acceptere betalinger, der foretages med anonyme forudbetalte kort, som er udstedt i ikke-EU-lande.
Store kontantbetalinger
Kontantbetalinger for varer og tjenesteydelser i en eller flere transaktioner må ikke overstige 10 000 EUR.
Andre foranstaltninger
Forordningen:
giver mulighed for 
samarbejde
 mellem FIU’erne, 
Den Europæiske Anklagemyndighed
 og 
Det Europæiske Kontor for Bekæmpelse af Svig
giver Kommissionen beføjelse til at vedtage 
delegerede retsakter
 for at ajourføre tekniske aspekter af forordningen
kræver, at 
Kommissionen
:
senest den 
10. juli 2030
 vurderer behovet for og proportionaliteten af at sænke tærsklen for reelt ejerskab og for at medtage visse kategorier af varer af høj værdi i lovgivningens anvendelsesområde
reviderer anvendelsen af forordningen senest den 
10. juli 2032
 og hvert tredje år derefter
instruerer den nye 
myndighed for bekæmpelse af hvidvask af penge og finansiering af terrorisme
 om at udarbejde udkast til en række 
gennemførelsesretsakter
 og retningslinjer.
HVORNÅR GÆLDER FORORDNINGEN FRA?
Forordningen træder i kraft den 
10. juli 2027
. Dog gælder reglerne for fodboldklubber og agenter først fra den 
10. juli 2029
.
BAGGRUND
Forordningen er en del af en omfattende pakke, der styrker EU’s foranstaltninger til bekæmpelse af hvidvaskning af penge og finansiering af terrorisme. Den harmoniserer reglerne for bekæmpelse af hvidvaskning af penge for første gang i hele EU og lukker smuthuller for kriminelle.
For yderligere oplysninger henvises til:
Strengere EU-regler til bekæmpelse af økonomisk kriminalitet
 (Europa-Kommissionen).
VIGTIGE BEGREBER
Reelt ejerskab.
 En fysisk person, som ejer eller har kontrol over en juridisk enhed, en trust eller et lignende juridisk arrangement, der er underlagt visse tærskler og regler.
Politisk eksponeret person.
 En fysisk person, der varetager eller har varetaget højerestående nationale, europæiske eller internationale offentlige hverv.
HOVEDDOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
2024/1624
 af 
31. maj 2024
 om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme (EUT L, 2024/1624, 
19.6.2024
).
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets forordning (EU) 
2024/1620
 af 
31. maj 2024
 om oprettelse af Myndigheden for Bekæmpelse af Hvidvask af Penge og Finansiering af Terrorisme og om ændring af forordning (EU) nr. 1093/2010, (EU) nr. 1094/2010 og (EU) nr. 1095/2010 (EUT L, 2024/1620, 
19.6.2024
).
Europa-Parlamentets og Rådets direktiv (EU) 
2024/1640
 af 
31. maj 2024
 om de mekanismer, som medlemsstaterne skal indføre for at forebygge anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme, om ændring af direktiv (EU) 2019/1937 og om ændring og ophævelse af direktiv (EU) 2015/849 (EUT L, 2024/1640, 
19.6.2024
).
Europa-Parlamentets og Rådets forordning (EU) 
2023/1113
 af 
31. maj 2023
 om oplysninger, der skal medsendes ved pengeoverførsler og ved overførsler af visse kryptoaktiver og om ændring af direktiv (EU) 2015/849 (EUT L 150 af 
9.6.2023
, 
s. 1
).
Europa-Parlamentets og Rådets forordning (EU) 
2023/1114
 af 
31. maj 2023
 om markeder for kryptoaktiver og om ændring af forordning (EU) nr. 1093/2010 og (EU) nr. 1095/2010 og direktiv 2013/36/EU og (EU) 2019/1937 (EUT L 150 af 
9.6.2023
, 
s. 40
).
Efterfølgende ændringer til forordning (EU) 2023/1114 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
Europa-Parlamentets og Rådets direktiv (EU) 
2018/843
 af 
30. maj 2018
 om ændring af direktiv (EU) 2015/849 om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme og om ændring af direktiv 2009/138/EF og 2013/36/EU (EUT L 156 af 
19.6.2018
, 
s. 43
).
Europa-Parlamentets og Rådets direktiv (EU) 
2018/1673
 af 
23. oktober 2018
 om strafferetlig bekæmpelse af hvidvask af penge (EUT L 284 af 
12.11.2018
, 
s. 22
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets direktiv (EU) 
2017/541
 af 
15. marts 2017
 om bekæmpelse af terrorisme og om erstatning af Rådets rammeafgørelse 2002/475/RIA og ændring af Rådets afgørelse 2005/671/RIA (EUT L 88 af 
31.3.2017
, 
s. 6
).
Europa-Parlamentets og Rådets direktiv (EU) 
2017/1371
 af 
5. juli 2017
 om strafferetlig bekæmpelse af svig rettet mod Den Europæiske Unions finansielle interesser (EUT L 198 af 
28.7.2017
, 
s. 29
).
Europa-Parlamentets og Rådets direktiv (EU) 
2015/849
 af 
20. maj 2015
 om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme, om ændring af Europa-Parlamentets og Rådets forordning (EU) nr. 648/2012 og om ophævelse af Europa-Parlamentets og Rådets direktiv 2005/60/EF samt Kommissionens direktiv 2006/70/EF (EUT L 141 af 
5.6.2015
, 
s. 73
).
Se den 
konsoliderede udgave
.
seneste ajourføring 
20.12.2024