Hvidvaskloven hos revisor: hvad tilsynet skriver påbud for

Hvidvaskloven fylder over hundrede paragraffer, og FSR's vejledning til den fylder mere. Spørgsmålet for et revisionsfirma er ikke, hvad loven siger. Det er, hvad tilsynet kigger efter, når det møder op.

Det spørgsmål har et svar, der ikke behøver at være et gæt. Erhvervsstyrelsen offentliggør sine hvidvaskafgørelser, og hver enkelt indeholder et resumé af, hvad virksomheden fik påbud eller påtale for.

Datagrundlaget

Erhvervsstyrelsens afgørelsesdatabase indeholder 497 offentliggjorte afgørelser. 379 af dem er hvidvasksager, og 147 af dem er truffet mod godkendte revisorer og revisionsvirksomheder — fordelt på 144 forskellige virksomheder, med afgørelsesdatoer fra 2021 til og med juni 2026.

Revisionsbranchen er dermed den enkeltgruppe, Erhvervsstyrelsen har offentliggjort flest hvidvaskafgørelser om. Til sammenligning er 135 truffet mod skatterådgivere og eksterne bogholdere, 53 mod ejendomsmæglere og 17 mod kunsthandlere.

Nedenstående optælling er lavet ved at klassificere de sætninger i hvert resumé, der bærer ordene påbud, påtale eller politianmeldelse. Sætningen om, hvad tilsynet valgte at fokusere på, tæller ikke med — den beskriver besøgets omfang, ikke dets resultat.

De fem forhold, der går igen

Fem forhold optræder i mellem 62 og 70 procent af afgørelserne. Derefter falder kurven brat.

Rangordenen er ikke tilfældig. De fem øverste er alle ting, der skal ligge på skrift i den enkelte klientmappe på det tidspunkt, kunden bliver taget ind:

• risikovurderingen af det konkrete kundeforhold — ikke firmaets generelle risikovurdering, men vurderingen af netop denne klient, med forretningsforbindelsens formål, omfang, regelmæssighed og varighed inddraget
• kundens identitet og de reelle ejere, herunder klarlægning af ejer- og kontrolstrukturen når kunden er en juridisk person
• kontrollen af, om kunden eller den reelle ejer er politisk eksponeret, nærtstående eller nær samarbejdspartner
• forretningsforbindelsens formål og tilsigtede beskaffenhed
• firmaets politikker, forretningsgange og kontroller

At PEP-kontrollen ligger på tredjepladsen med 95 afgørelser er værd at hæfte sig ved. Formuleringen i påtalerne er gennemgående den samme: virksomheden havde ikke kontrolleret, om kunden eller dennes reelle ejer var PEP, nærtstående eller nær samarbejdspartner — de to kategorier, Finanstilsynets PEP-liste slet ikke indeholder.

Ingen slipper med én ting

Medianafgørelsen påtaler fire forskellige forhold. Fem forhold er det tal, der optræder oftest.

Det følger af rangordenen ovenfor: manglerne er ikke uafhængige. Et firma, der ikke har en procedure for at fastlægge det reelle ejerskab, har typisk heller ikke en for PEP-kontrollen, fordi den ene bygger på den anden. Går der hul på onboardingen ét sted, går der hul hele vejen igennem.

Hvad afgørelserne ender med

Et tilsynsbesøg slutter med en eller flere reaktioner. De kan kombineres, og de bliver offentliggjort samlet under virksomhedens navn.

Et påbud er et krav om at rette forholdet. En påtale er kritik uden krav om handling. Begge dele bliver offentliggjort med virksomhedens navn.

31 af de 147 sager — hver femte — endte med, at Erhvervsstyrelsen anmodede National enhed for Særlig Kriminalitet om at indlede en politimæssig efterforskning. 14 af dem er indtil videre endt med et bødeforelæg, som virksomheden har vedtaget. Bøderne ligger mellem 60.000 og 500.000 kr. med en median på 80.000 kr.

De to lag rammer forskelligt

Her ligger det mønster, der er svært at få øje på uden at læse alle 147.

Mangler i den enkelte klientsag giver påbud. Firmaet retter, dokumenterer og går videre.

Mangler i firmaets eget grundlag — risikovurderingen efter § 7 og de skriftlige politikker, forretningsgange og kontroller efter § 8 — behandles anderledes. De optræder næsten aldrig som et påbud, fordi der ikke er noget at rette i en enkelt sag. De optræder i stedet i beskrivelsen af, hvad NSK bliver bedt om at efterforske, og de er dem, bøderne udmåles for. § 7 nævnes i 12 af de 14 bødesager, § 11 i 9.

Et manglende dokument på firmaniveau er altså ikke en mindre forseelse end en mangelfuld klientsag. Det er den, der eskalerer.

Hvad et tilsynsbesøg består af

Erhvervsstyrelsen har beskrevet forløbet i en egen vejledning, og detaljerne forklarer, hvorfor resultaterne ser ud, som de gør.

Udvælgelsen er risikobaseret på branche, geografi og virksomhedsstørrelse, suppleret med stikprøver. Varslingen kommer i den digitale postkasse som udgangspunkt mindst fire uger før, og datoen ligger fast — den kan ikke rykkes på grund af travlhed. Styrelsen kan også komme uvarslet.

Inden for en uge efter varslingen skal virksomheden sende:

• en redegørelse for virksomhedens erhvervsmæssige aktiviteter
• risikovurderingen efter § 7
• de skriftlige politikker, forretningsgange og kontroller efter § 8
• forretningsgangene for PEP-kontrol efter § 18
• kundelisten med CVR-numre i Excel-format

Den sidste linje er den, der afgør besøget. Erhvervsstyrelsen udtager kundesagerne til gennemgang fra listen, før den kommer. Virksomheden ved altså ikke, hvilke sager der bliver åbnet, og kan ikke forberede et udvalg.

Dertil kommer det princip, vejledningen formulerer direkte: styrelsens vurdering tager udgangspunkt i det materiale, virksomheden havde på tidspunktet for tilsynsbesøget. De fire ugers varsel er tid til at finde dokumenterne frem, ikke til at skrive dem. En kundesagsdokumentation bærer sin egen dato, og en påtale for ikke at have kontrolleret PEP-status rettidigt kan ikke afværges af en kontrol foretaget i varslingsperioden.

Afsæt en arbejdsdag, undertiden flere. Virksomheden har ret til at lade sig bistå af en bisidder og skal oplyse hvem det er på forhånd.

Hvorfor manglerne opstår

Ingen af de 147 virksomheder var i tvivl om, at hvidvaskloven gjaldt. Manglerne har en anden årsag, og den er praktisk.

Kravene i de fem øverste kategorier skal opfyldes for hver enkelt klient og holdes ved lige, mens klienten er der. Ejerkredsen ændrer sig. Direktionen skiftes ud. Klienten køber et selskab. PEP-listen ændrer sig 527 gange om året. Hver af de begivenheder gør en dokumentation, der var korrekt, forkert — uden at nogen får besked.

Løses det manuelt, bliver det en handling ved onboarding og derefter ingenting, fordi en portefølje på nogle hundrede klienter ikke kan gennemgås i hånden med den frekvens, kravene forudsætter. Det er præcis det billede, stikprøverne tegner: manglerne er sjældent én forglemmelse, de er fravær af en kadence.

Hvad der virker

Erhvervsstyrelsens egne resuméer peger på, hvad et tilsynsbesøg gerne vil kunne se:

1. At risikovurderingen af den enkelte klient findes, er dateret, og inddrager lovens bilag 2 og 3.
2. At ejer- og kontrolstrukturen er klarlagt og kan dokumenteres på det tidspunkt, kunden blev taget ind — ikke rekonstrueret bagefter.
3. At PEP-kontrollen omfatter reelle ejere, nærtstående og nære samarbejdspartnere, og at den er foretaget rettidigt.
4. At forretningsforbindelsens formål er beskrevet med ord, der siger noget om netop denne klient.
5. At firmaets § 7-risikovurdering og § 8-forretningsgange findes, er opdaterede og afspejler den portefølje, firmaet faktisk har.

De fire første er kundedata, der ændrer sig. Den femte er et dokument, der skal følge med, når porteføljen ændrer sig.

I Attera hentes ejerkredsen fra registrene, PEP- og sanktionskontrollen kører løbende frem for på onboardingdagen, og hver kontrol får et tidsstempel, der kan fremvises. Ændrer klientens forhold sig, bliver det en opgave hos et menneske frem for en note, ingen ser igen.

De 147 afgørelser er offentlige, og de er søgbare på virksomhedens navn. Det er værd at huske, næste gang porteføljegennemgangen bliver udskudt til efter årsafslutningen.

Kilder. Erhvervsstyrelsens afgørelsesdatabase — alle optællinger i denne artikel er lavet på databasens indhold pr. 27. juli 2026: 497 offentliggjorte afgørelser, heraf 379 hvidvasksager og 147 mod godkendte revisorer og revisionsvirksomheder. Klassifikationen bygger på resuméet på hver afgørelses side. Hvidvaskloven, LBK nr. 433 af 17. april 2026 — § 1, stk. 1, nr. 14 om lovens anvendelse på revisorer, §§ 7, 8, 10, 11, 17, 18, 25, 26 og 30, samt § 57 om Erhvervsstyrelsens tilsyn. Erhvervsstyrelsens vejledning om processen for et tilsynsbesøg fra hvidvasktilsynet — varsling, materialeliste og udvælgelse af kundesager. Erhvervsstyrelsens vejledning om hvidvasklovens anvendelsesområde og tilhørende forpligtelser. Bødebeløbene er dem, der fremgår af resuméerne; sager, hvor efterforskningen endnu ikke er afsluttet, indgår ikke i bødetallene.