AMLA på djupet – från bedrägeri till penningtvättsbekämpning

Välkommen till Nordisk bedrägerikoll. Jag heter Klara. I dag går vi på djupet med AMLA, EU:s nya myndighet mot penningtvätt och finansiering av terrorism. Perspektivet är bedrägeribekämpning i svenska och nordiska banker. Vad förändras när pengarna från ett bedrägeri passerar flera konton och länder? Vem ska se sambandet, vem får dela information och vem kan faktiskt agera?

Det här är ett fördjupande specialavsnitt för dig som arbetar med fraud, penningtvättsrisker, betalningar eller styrning. Lägesbilden är kontrollerad den åttonde november tvåtusentjugosex. Vi skiljer mellan tillämpliga regler, beslutade framtida regler och förslag som fortfarande utvecklas. När jag föreslår arbetssätt är det redaktionell analys, inte nya myndighetskrav. Rösten är syntetisk, skapad med Higgs och enbart Klara.

Vi ska följa ett helt fiktivt fall. En svensk kund blir lurad att betala till ett konto i Finland. Pengarna förs vidare, och uppgifter hos flera aktörer kan tillsammans avslöja ett nätverk. Exemplet beskriver inga verkliga personer eller banker. Det är en tankemodell för att undersöka var dagens ansvarskedja kan brista, och var AMLA kan bidra.

Första delen: myndigheten och dess gränser.

AMLA har två huvudspår: tillsyn och stöd till finansunderrättelseenheterna. Den ska bidra till mer enhetlig tillämpning av reglerna och samordna arbetet över nationsgränser. Den kommer också att utöva direkt tillsyn över utvalda finansiella företag. Andra företag påverkas genom nationell tillsyn och gemensamma metoder. Myndigheten finns i Frankfurt, men merparten av bankernas dagliga arbete utförs fortfarande i bankerna och hos nationella myndigheter.

För en fraudspecialist är gränsen viktig. AMLA är ingen europeisk larmcentral som tar över varje bluffbetalning. Den utreder inte enskilda brottsanklagelser som en nationell polis och avgör inte en kunds ersättningskrav. Finanspolisen är fortsatt Sveriges finansunderrättelseenhet. Bankens rapporteringsväg ska inte på eget initiativ flyttas från den nationella mottagaren till Frankfurt.

Men myndigheten kan påverka förutsättningarna för att upptäcka brottens ekonomiska infrastruktur. Om banker i olika länder beskriver samma betalningskedja på oförenliga sätt blir länkarna svårare att hitta. Om tillsynen ställer olika krav på liknande risker kan svagheter bestå. AMLA:s möjliga fraudnytta ligger därför mycket i bättre sammanhang, mer jämförbar information och tydligare uppföljning av hur kontrollerna fungerar.

Vi behöver också hålla isär myndigheten och regelpaketet. AMLAR är förordningen som inrättar AMLA. AMLR innehåller gemensamma krav för de företag som omfattas. Det nya direktivet, ofta kallat AMLD6, handlar bland annat om nationella myndigheter, tillsyn och register. Här avser AMLD6 direktivet från tvåtusentjugofyra, inte det äldre straffrättsliga direktiv som ibland får samma kortnamn. Överföringsförordningen, TFR, omfattar även information vid vissa kryptotransaktioner.

Att säga att AMLA förbjuder något är därför ofta för oprecist. Kommer kravet från en EU-förordning, en nationell bestämmelse, en teknisk standard eller en riktlinje? För banken är den frågan praktisk. Den avgör när förändringen behöver införas, vad som ska dokumenteras och vad som fortfarande går att påverka i en konsultation.

Andra delen: tidsplanen och den nordiska kartan.

AMLA:s uppbyggnad pågår redan. Den första januari tvåtusentjugosex överfördes EBA:s särskilda uppgifter mot penningtvätt och terrorfinansiering till AMLA. EBA fortsätter samtidigt att arbeta med penningtvättsrisker inom sin övriga tillsynsreglering. Överföringen betyder inte att alla tidigare riktlinjer försvann. Myndigheternas besked är att befintliga instrument fortsätter att gälla tills de ersätts.

För bankernas planering är tvåtusentjugosju och tvåtusentjugoåtta viktiga hållpunkter. AMLR ska som huvudregel börja tillämpas den tionde juli tvåtusentjugosju. Det nya direktivet ska huvudsakligen vara genomfört då, men har särskilda tidsfrister för vissa delar. Urvalet till AMLA:s första direkta tillsyn görs under tvåtusentjugosju, och själva tillsynen ska börja tvåtusentjugoåtta. Etablering av myndigheten och tillämpning av bankkraven är alltså olika saker.

I kommunikationen används omkring fyrtio utvalda finansiella företag eller grupper. Urvalet handlar om gränsöverskridande verksamhet och hög kvarvarande risk. Den grundläggande bedömningen omfattar verksamhet i minst sex medlemsstater, inklusive hemlandet. Det är ingen lista över Europas fyrtio mest bedrägeridrabbade banker. En koncernstruktur och en transaktionsriskklass måste förstås innan man drar slutsatser om ett enskilt institut.

Man ska heller inte läsa fyrtio som en evig och absolut gräns. Förordningen innehåller ytterligare urvalsregler och möjligheter att överföra tillsyn i särskilda situationer. För en bank som inte väljs ut kvarstår dessutom det nationella tillsynsansvaret. Min praktiska slutsats är att frågan om direkt tillsyn påverkar kontaktvägarna, men inte avgör om banken behöver förbereda sig för det nya regelverket.

Sverige, Finland och Danmark är EU-medlemmar. Norge och Island kräver en separat EES-bedömning. Norsk tillsyn har under hösten beskrivit nya AMLA-regler som förväntade att införlivas och genomföras. Förväntad införlivning är inte samma sak som att varje bestämmelse redan gäller på samma sätt och vid samma tidpunkt. En nordisk bankgrupp behöver därför en gemensam plan med en kontrollerad rättslig status för varje land.

Här finns en risk för onödigt arbete. Om koncernen bygger fem helt skilda begreppsvärldar blir konsolideringen dyr. Men om man beslutar att allt är identiskt kan lokala skyldigheter försvinna i modellen. Min rekommendation är gemensamma definitioner där de fungerar, kompletterade med synliga landsspecifika regler. Skillnader ska vara beslutade och spårbara, inte gömda i separata kalkylblad hos olika team.

Tredje delen: vad tillsynen kan betyda för fraudfunktionen.

För utvalda företag ska tillsynen bedrivas genom gemensamma tillsynsteam med personal från AMLA och nationella myndigheter. AMLA får befogenheter för informationsinhämtning, undersökningar, platskontroller och tillsynsåtgärder, med rättsliga villkor. Den kan också besluta om administrativa sanktioner vid överträdelser inom sitt mandat. Det är något annat än att avgöra om en enskild kund har begått ett bedrägeri.

En språklig fallgrop är ordet sanktioner. En administrativ sanktion för en brist i bankens kontroller är inte samma sak som riktade ekonomiska sanktioner mot en viss aktör. Bedrägeribekämpning, penningtvättskontroll och sanktionskontroll kan använda gemensamma uppgifter, men behöver fortfarande skilda bedömningar. Ett uteblivet träffresultat i en sanktionslista säger exempelvis inte att en mottagare är ofarlig ur bedrägerisynpunkt. Ingen av kontrollerna bör användas som ett allmänt friskintyg.

Den viktiga frågan för banken blir hur den visar att en kontroll fungerar. Tänk att fraudteamet säger att en betalningsmodell fångar fler bluffar. AML-teamet visar samtidigt att antalet larm minskar. Båda kan ha rätt. Men inget av resultaten visar ensamt om banken upptäcker att mottagarkonton används för att ta emot brottsvinster. Sambandet mellan kontrollerna måste kunna förklaras.

En tänkt tillsynsfråga är därför: vilka fraudsignaler används i bedömningen av penningtvättsrisk, vilka används inte och varför? Det är min analytiska fråga, inte ett citat ur en ny AMLA-föreskrift. Banken bör kunna beskriva både informationsflödet och dess begränsningar. En signal om att en kund blivit lurad säger något annat än en signal om att kunden medvetet tar emot pengar från flera bedrägerier.

Riskklassificering behöver också skilja mellan exponering och kontrollernas effekt. En bank med många snabba gränsöverskridande betalningar kan ha betydande inneboende risk. Att den har avancerade modeller betyder inte automatiskt att den kvarvarande risken är låg. Frågan är vad modellerna täcker, vad som händer efter ett larm och vilka brister som fortfarande är öppna.

Ett dokumenterat kontrollflöde kan börja vid observationen, gå vidare till bedömning och avslutas med en motiverad åtgärd. Vem ägde ärendet? Vilka uppgifter fanns då? Varför avslutades granskningen? Om ett beslut senare ändrades, vad hade tillkommit? Den sortens spårbarhet hjälper både verksamheten och granskaren att skilja rimliga beslut från efterhandsförklaringar.

Styrelsen behöver inte se varje betalning. Den behöver däremot förstå större luckor och återkommande brister. Om mottagarrisk har prioriterats bort i ett modellprojekt bör det finnas en ansvarig, en riskbedömning och en plan. Ett vackert diagram över minskande förluster får inte ersätta beskedet att en hel betalningskanal ännu saknar fungerande uppföljning.

Fjärde delen: vårt fiktiva bankfall.

Kunden Anna i Sverige får ett samtal från någon som påstår att hennes pengar måste skyddas. Hon genomför en överföring till ett finskt konto. Avsändarbanken ser rätt inloggning och rätt godkännande, men också omständigheter som kan tyda på manipulation. Mottagarbanken ser en inkommande betalning som kanske inte stämmer med kontots tidigare användning. Ingen av dem har automatiskt hela förklaringen.

Vi antar att ett fraudlarm uppstår innan betalningen har slutförts. Den första frågan är då vad banken får och kan göra i just det skedet: kontakta kunden, genomföra en kontroll eller avstå från transaktionen enligt tillämpliga regler och rutiner. AMLA skapar ingen fristående generell rätt att frysa varje betalning som en modell tycker är ovanlig. Beslutets rättsliga grund måste finnas där beslutet tas.

Anta i stället att pengarna redan har kommit fram. Avsändarbanken hanterar kundkontakten och möjliga återkrav genom relevanta betalningskanaler. Mottagarbanken bedömer sitt konto och sina möjligheter att agera. Bedrägeriutredning och eventuell penningtvättsrapportering kan behöva löpa parallellt. Ingen av bankerna bör invänta en europeisk process innan den fullgör sina egna skyldigheter.

Vår analys skiljer nu mellan tre roller. Anna kan vara ett brottsoffer. Kontohavaren i Finland kan vara en medveten penningmålvakt, en person som själv blivit lurad eller någon vars konto kapats. En tredje aktör kan styra flera mottagarkonton utan att själv synas som innehavare. De tre hypoteserna leder till olika frågor och får inte pressas ihop till etiketten dålig kund.

Anta att mottagarkontot får flera betalningar med liknande sammanhang och att pengarna snabbt skickas vidare. Det kan motivera närmare granskning, men mönstret är inte i sig en brottmålsdom. Banken behöver pröva vad den vet om kontots ändamål, vem som faktiskt använder det och vilka alternativa förklaringar som finns. En legitim insamling kan också ha många avsändare. Tid, sammanhang och verifierbara uppgifter betyder mer än en isolerad räknare.

Vi måste också skilja ett tillfälligt operativt beslut från ett långsiktigt beslut om kundrelationen. Ett tidigt larm kan kräva snabb kontroll, medan en varaktig kundåtgärd behöver ett annat underlag. Samma riskvärde bör därför inte ensamt styra båda besluten. När banken beskriver händelsen i efterhand behöver det framgå om åtgärden skyddade ett möjligt brottsoffer, begränsade användningen av ett misstänkt mottagarkonto eller hade något annat syfte.

Vad behöver fraudteamet lämna vidare internt? I vårt exempel: kundens egen berättelse, hur säker den uppgiften är, vilka transaktioner den gäller och när banken fick kännedom om den. Lägg till vad som redan har kontrollerats och vilka åtgärder som pågår. Uppgifterna bör delas på ett behörigt och ändamålsenligt sätt. En skärmbild i en öppen chatt är ingen hållbar ersättning för en hanterad överlämning.

Vad bör AML-utredaren tillföra? En bedömning av om omständigheterna tyder på penningtvätt eller brottsligt ursprung, kopplingar till andra relevanta ärenden och vad som fortfarande är osäkert. Fraudteamets förlustkod är ett underlag, inte ett automatiskt facit. På samma sätt kan ett AML-ärende ge fraudteamet ny relevant riskinformation utan att hela den skyddade utredningen görs tillgänglig för alla.

En bra återkoppling behöver inte alltid innehålla detaljer om en misstankerapport. Den kan, när reglerna tillåter, beskriva att ett kontrollerat samband har tillkommit eller att en tidigare hypotes har försvagats. Min poäng är att återkoppling måste utformas tillsammans med juridik och dataskydd. Annars blir valet lätt mellan total tystnad och alltför bred spridning. Båda kan skada kvaliteten i besluten.

Femte delen: från bankens rapport till gemensam analys.

I Sverige går misstankerapporteringen till Finanspolisen, normalt genom goAML. Den är inte samma sak som en polisanmälan om bedrägeri och ska inte förväxlas med en begäran att få tillbaka en betalning. Rapporteringen utgår från misstanke och omständigheter, inte från att banken först måste bevisa ett fullbordat penningtvättsbrott. Även ett avbrutet förlopp kan behöva bedömas och rapporteras.

I vårt fiktiva fall är en användbar rapport tydlig med händelsekedjan. Vilken betalning avses, vilka konton och tidpunkter är relevanta och vad kommer från kunden respektive bankens egna observationer? Om medel fortfarande finns hos rapportören är det en viktig uppgift. Osäkerhet ska beskrivas, inte döljas bakom ett självsäkert automatiskt riskvärde.

Här kan AMLA bidra med gemensamma format och bättre samarbete mellan finansunderrättelseenheterna. Myndigheten ska stödja och samordna gemensamma analyser över gränserna. Det gör inte AMLA till en ersättare för de nationella enheterna. En svensk och en finsk rapport kan tillsammans bidra till en större bild, men det är inte samma sak som att bankernas interna ärenden blir en gemensam europeisk inkorg.

AMLA meddelade i juli tvåtusentjugosex att tre uppsättningar standarder hade färdigställts för informationsutbyte mellan finansunderrättelseenheter och rapportering till den europeiska åklagarmyndigheten, EPPO. I beskedet anges att de skickats till kommissionen för antagande. Det illustrerar en viktig statusfråga: ett slutligt myndighetsförslag är inte i sig en redan tillämplig kommissionsförordning.

Ett annat aktuellt exempel är samarbetsöverenskommelsen med EU:s bedrägeribekämpningsbyrå OLAF från oktober tvåtusentjugosex. Den omfattar bland annat operativ och strategisk information. OLAF kan inom sitt mandat bidra till gemensamma analyser med deltagande finansunderrättelseenheters medgivande. Kopplingen är särskilt relevant för penningtvätt kring bedrägerier med EU-medel. Den ger inte OLAF eller AMLA obegränsad behörighet över alla privata bluffbetalningar.

För bankens praktiska arbete är slutsatsen att en rapport ska vara möjlig att länka till annan information. Ett korrekt kontonummer i rätt fält och en begriplig tidslinje kan vara mer värdefullt än flera sidor standardtext. Finanspolisen betonar också att antalet rapporter inte ensamt beskriver informationsvärdet. Fler rapporter är alltså inget självständigt bevis för bättre brottsbekämpning.

Återkoppling från en myndighet är värdefull, men den kan komma sent eller vara begränsad av det pågående arbetet. Banken bör därför inte behandla utebliven återkoppling som ett besked att misstanken var fel. Den bör heller inte behandla en mottagningsbekräftelse som en bekräftelse på brott. I en modell som lär från historiska ärenden behöver dessa olika utfall ha olika betydelser. Annars kan rapporteringsprocessen själv skapa missvisande träningsdata.

Sjätte delen: tre olika betydelser av datadelning.

Först tillsynsdata. AMLA:s planerade centrala databas ska samla information om företag under tillsyn, risker, brister och tillsynsarbete. I oktober tvåtusentjugosex publicerades ett utkast till tekniska standarder för databasen. Den ska inte beskrivas som en färdig europeisk svartlista över bankkunder. Förordningen skiljer också tillsynsinformationen från specifika misstankerapporter.

Sedan underrättelseutbyte. Finansunderrättelseenheter delar uppgifter och analys enligt sina mandat och tillämpliga skyddsregler. FIU.net är en central kanal i det samarbetet. Att en myndighet kan få tillgång till en uppgift innebär inte att samma uppgift får skickas vidare till alla banker, alla koncernbolag eller en extern analystjänst.

Det tredje spåret är informationsdelningspartnerskap mellan behöriga deltagare. Artikel sjuttiofem i AMLR öppnar ett särskilt ramverk, med strikta villkor. Delning ska vara nödvändig för de angivna skyldigheterna. Tillsynsmyndigheter ska underrättas och kontrollen sker före start. Riskavgränsning, konsekvensbedömning, säkerhet, dokumentation och egen bedömning är centrala. Uppgifter om misstankerapporter kräver medgivande till utlämnandet från den finansunderrättelseenhet som fick rapporten.

Det är en beslutad framtida reglering, inte ett allmänt tillstånd att starta ett gemensamt kundregister i november tvåtusentjugosex. AMLA och EDPB utvecklar gemensam vägledning. Deras utlysning från oktober anger ett tekniskt rundabordssamtal i slutet av november och en förväntad offentlig konsultation under första halvåret tvåtusentjugosju. Banken behöver skilja förberedelsearbete från ett färdigt godkännande av den egna lösningen.

Det finns redan svensk reglering om vissa former av samverkan. Penningtvättslagens särskilda kapitel har avgränsade deltagare, krav på allvarlig penningtvätt eller terrorfinansiering och ett beslutat upplägg. Minst en myndighet ska delta i den aktuella formen med kreditinstitut. Det är en annan konstruktion än fri informationsdelning mellan alla banker. Finanspolisens beskrivning av fördjupad samverkan visar samtidigt att operativt arbete redan pågår.

IMY:s sandlåderapport från maj tvåtusentjugofem är också viktig. Myndigheten fann inte rättsligt stöd för den tilltänkta delning av uppgifter om lagöverträdelser som prövades i det projektet. Det ska varken läsas som ett godkännande av alla nya upplägg eller som ett förbud mot varje form av banksamverkan. Rapporten beskriver ett visst upplägg och den rätt som analyserades då.

Tillbaka till vårt fiktiva fall. Bankerna vill veta om ett mottagarkonto har samband med andra bedrägerier. Innan en teknisk fråga ställs behöver deltagarna bestämma vilket ändamål och vilket rättsligt upplägg som bär utbytet. Är detta en uppgift till en myndighet, en tillåten kontakt om en viss transaktion eller ett etablerat partnerskap? Samma tekniska meddelande kan kräva olika bedömningar beroende på svaret.

En praktisk utformning bör även skilja observation från slutsats. Att en kund har lämnat en uppgift är en sak. Att bankens utredare har verifierat den är en annan. Att någon dömts är en tredje. Om alla tre blir samma röda markering riskerar mottagaren att behandla en obestyrkt uppgift som ett avgjort faktum. Datakvalitet handlar här om rättssäkerhet, men också om bättre detektion.

Teknik som hashning eller pseudonymisering kan minska exponeringen, men är inte ett självständigt rättsligt frikort. Ett konto som fortfarande kan länkas till en person behöver behandlas med rätt skydd. Behovet av snabbhet försvinner inte, men det behöver omsättas i förberedda, granskade processer. Att börja med en stor datamängd och fråga efter tillåtelsen senare är en dålig ordningsföljd.

Sjunde delen: teknik, människor och risken för rundgång.

En bank behöver kunna hålla isär personen, kontot, betalningen och den som faktiskt kontrollerar enheten. Samma telefonnummer eller adress kan ha legitima förklaringar. Ett gemensamt analyslager kan hjälpa, men behöver hantera felkopplingar och osäkra identiteter. I vårt fall får Anna inte bli en misstänkt nätverksnod bara för att hon betalat till ett konto som utreds.

En särskild risk uppstår när banker återanvänder varandras signaler. Bank A flaggar ett konto efter en obestyrkt uppgift. Bank B får signalen, bedömer den som risk och skickar tillbaka en ny flagga. Om ursprunget tappas bort kan samma uppgift se ut som två oberoende bekräftelser. Min rekommendation är att bevara källa, tidpunkt och beroenden, så att återcirkulerad information inte skapar falsk säkerhet.

Modellutvärderingen behöver samma disciplin. En uppgift som blev känd efter bedrägeriet får inte läcka in i ett historiskt test som om den fanns vid betalningen. Annars ser samarbete och grafanalys bättre ut än de skulle ha fungerat i drift. Banken bör därför registrera både när en händelse inträffade och när informationen faktiskt blev tillgänglig för beslutsfattaren.

Mät flera olika resultat. Fraudfunktionen kan följa undvikna förluster, falska stopp och kundpåverkan. AML-funktionen kan följa utredningskvalitet, rapporternas användbarhet och hur relevanta mönster identifieras. Gemensamt bör man följa överlämningstider och vad som faktiskt blir bättre av samarbetet. Varken antalet larm eller antalet stängda konton räcker som gemensamt framgångsmått.

Språkmodeller kan hjälpa till att ordna en tidslinje eller skriva ett utkast. Men en modell får inte fylla i luckor i kundens berättelse eller förvandla en hypotes till ett fastslaget brott. Utredaren behöver kunna gå tillbaka till underlaget. Ett välformulerat stycke är inte samma sak som en verifierad omständighet. Det gäller särskilt när materialet ska kunna användas av någon utanför banken.

Tillgången till banktjänster är också en del av kvaliteten. FI publicerade i oktober tvåtusentjugosex vägledning om avvägningen mellan penningtvättskrav och grundläggande banktjänster. En gemensam riskmodell får inte bli ett slentrianmässigt sätt att stänga ute hela grupper. I vårt exempel behöver mottagarkontots innehavare bedömas individuellt, även när banken har starka skäl att utreda betalningarna.

Det påverkar också hur banken upphandlar teknik. Om en leverantör säger att produkten är redo för AMLA bör banken be om en konkret koppling till kraven och till deras status. Vilken funktion finns i dag, vilken är planerad och vad måste kunden själv bygga? En produktetikett är inte ett tillsynsgodkännande. Be leverantören visa hur en felaktig kontokoppling rättas, hur ursprunget till en signal visas och hur ett beslut kan återskapas. Det är mer upplysande än en allmän demonstration av ett snyggt nätverksdiagram.

Åttonde delen: ett konkret förberedelseprogram.

Det följande är mitt förslag till bankens arbete, inte en kalender som AMLA har föreskrivit. Börja med en gemensam genomgång av ett antal avslutade fraudärenden där pengar gått vidare via andra konton. Välj även ärenden där den första misstanken visade sig vara fel. Annars lär sig organisationen bara av bekräftelser och missar hur oskyldiga kunder påverkas.

Kartlägg varje överlämning: från kundkontakt till fraudanalys, från fraud till AML och från banken till behörig mottagare. Ange vilket beslut som behövde fattas, vilket underlag som fanns och vad som saknades. Om en viktig uppgift fastnade i ett system ska åtgärden inte bara bli en ny rutintext. Någon måste äga förändringen och kontrollera att den fungerar i praktiken.

Skapa därefter en rättslig och teknisk karta över informationsflödena. Separera intern användning, koncernutbyte, myndighetsrapportering och utbyte med andra företag. Dokumentera behörigheter, ändamål, rättelse och bevarande för varje flöde. Ett gemensamt datalager kan ha flera tillåtna användningar, men det betyder inte att varje användare ska se allt som lagret innehåller.

Förbered också de data som tillsynen faktiskt efterfrågar. FI:s uppdatering från oktober tvåtusentjugosex pekar på nya frågor och datapunkter inför rapporteringen under första kvartalet tvåtusentjugosju, med balansdag den trettioförsta december tvåtusentjugosex. Materialet hänvisar till EBA:s version fyra punkt fyra, fas ett. Äldre utvecklingsmallar ska inte förväxlas med den rapportering som faktiskt ska lämnas.

Min praktiska rekommendation är att göra en provkörning av definitionerna innan rapporteringsfönstret öppnar. Kan banken förklara skillnader mellan en operativ riskbild och det som rapporteras till tillsynen? Går uppgifterna att härleda till källsystem? Om fraud och AML använder olika definitioner av ett ärende behöver det finnas en tydlig översättning, snarare än ett påstående att siffrorna borde vara lika.

Öva sedan ett gemensamt scenario med kundservice, betalningar, fraud, AML, juridik och dataskydd. I vårt fall är frågan inte bara om någon upptäcker det finska mottagarkontot. Frågan är vem som tar nästa steg när kunden ringer, när ny information kommer från den andra banken och när den första hypotesen måste ändras. Övningen bör pröva även kvällstid och ofullständiga uppgifter.

Nionde delen: vad vi rimligen kan förvänta oss.

AMLA kan minska en del av fragmenteringen och förbättra villkoren för gemensamma analyser. Den kan inte garantera att pengar finns kvar när ett brottsoffer hör av sig. Gemensamma format gör inte automatiskt ofullständiga uppgifter riktiga, och fler datakopplingar gör inte varje misstanke starkare. Utfallet beror också på nationell kapacitet och på vad banker och myndigheter gör med informationen.

Den kritiska frågan är därför om förändringen ger bättre beslut i tid. Kan mottagarbanken tidigare förstå att ett konto används i ett större sammanhang? Kan fraudteamet få relevant återkoppling utan otillåten spridning? Kan en felaktig uppgift rättas där den har fått genomslag? Det är den sortens resultat jag skulle vilja se följas upp, tillsammans med kostnad och kundkonsekvenser.

För en svensk eller nordisk bank är min huvudslutsats att AMLA-arbetet bör vara gemensamt för flera funktioner. Det räcker inte att lägga en ny förkortning i AML-funktionens regelregister. Betalningsprocesser, kundkontakt, data och fraudutredning påverkar vad penningtvättskontrollerna kan upptäcka. Samtidigt måste roller och rättsliga gränser vara tydliga även när samarbetet blir tätare.

Om du tar med dig tre frågor från avsnittet, låt dem vara dessa. Vet vi när ett fraudärende också behöver en självständig penningtvättsbedömning? Kan vi visa vilken rätt och vilket underlag som bär varje informationsutbyte? Och mäter vi om samarbetet hjälper oss att ingripa bättre, snarare än bara producera fler markeringar? Där blir AMLA:s förändringar konkreta i bankvardagen.

Du har lyssnat på Nordisk bedrägerikoll med Klara. Källor, rättsakter och manus finns på avsnittets lyssningssida. Uppgifter om framtida tillämpning och pågående vägledning är daterade till den åttonde november tvåtusentjugosex. Tack för att du lyssnade.