Sanktionsscreening: EU, FN och OFAC i ett flöde

Jonas Hagströmer Theodorsson

Aug 9

5 min read

Sanktionsscreening skiljer sig från allt annat i AML-arbetet på en avgörande punkt: här finns inget riskbaserat utrymme.

Kundkännedom får anpassas efter risk. Övervakning får dimensioneras efter verksamhet. Men riktade finansiella sanktioner är ett förbud. Antingen har ni tillgängliggjort medel till en listad person, eller inte. Det finns ingen proportionalitetsbedömning att luta sig mot i efterhand.

Det gör sanktionsscreening till den mest binära — och samtidigt en av de mest tekniskt kluriga — delarna av arbetet.

Vilka listor gäller?

Fyra regimer täcker merparten av behovet för en svensk verksamhetsutövare.

EU:s sanktionsförteckning är den rättsligt bindande utgångspunkten i Sverige. EU-förordningar om restriktiva åtgärder är direkt tillämpliga och gäller alla fysiska och juridiska personer inom unionen.

FN:s sanktionslistor implementeras i EU genom förordningar. I praktiken screenar ni mot EU-listan, men FN-listningar är källan till en stor del av innehållet och kan ligga före i tid.

OFAC (USA) — särskilt SDN-listan — är formellt amerikansk rätt. Den är ändå relevant för svenska institut med USD-clearing, amerikanska motparter eller amerikansk ägarstruktur. Sekundära sanktioner kan träffa även den som inte har någon amerikansk anknytning i övrigt.

UK HMT — relevant efter brexit för verksamhet med brittisk koppling.

Utöver dessa finns nationella förteckningar i enskilda länder. Vilka som är relevanta beror på var era kunder och motparter finns.

Santionsskcreening , fyra regimer EU, FN, OFAC, UK HMT

Praktisk avgränsning: dokumentera vilka listor ni screenar mot och varför ni inte screenar mot övriga. Den andra halvan av meningen är den som efterfrågas vid en granskning.

Vad ni faktiskt måste screena

Kunden är inte tillräckligt. En fullständig screening omfattar:

Kunden — fysisk eller juridisk person
Verkliga huvudmän — inklusive de som identifierats indirekt genom ägarkedjan
Styrelse och firmatecknare — personer med kontroll
Ombud och fullmaktshavare
Motparter i transaktioner — betalningsmottagare och avsändare
Ägande över tröskeln — en juridisk person som till betydande del ägs eller kontrolleras av en listad person kan omfattas av åtgärderna även utan att själv vara listad

Den sista punkten är den svåraste och den mest missade. Ett bolag som inte står på någon lista, men som ägs till 60 procent av en listad person, träffas i praktiken av frysningsåtgärderna genom kontrollprincipen.

Det innebär att sanktionsscreening inte kan utföras enbart som namnmatchning mot en lista. Den kräver att ni känner ägarstrukturen. Screening utan ägarkartläggning är ofullständig screening.

Tidskravet: hur snabbt måste en listning slå igenom?

Sanktioner får effekt när de träder i kraft, inte när er leverantör hunnit uppdatera sin databas.

Ställ tre frågor till leverantören:

Hur lång tid tar det från publicering i EUT till att listningen är aktiv i vårt system?
Screenas befintlig kundstock om vid varje listuppdatering, eller bara nya kunder?
Vad händer med transaktioner som är under behandling när en ny listning aktiveras?

Fråga två är där de flesta system faller. En ny listning som bara tillämpas framåt lämnar hela den befintliga kundstocken okontrollerad mot den nya uppgiften.

För betaltjänstområdet har kraven dessutom skärpts genom förordningen om omedelbara betalningar (Instant Payments Regulation IPR), som bland annat innebär att betaltjänstleverantörer ska kontrollera sina kunder mot sanktionslistor omedelbart efter varje listuppdatering — i stället för att kontrollera varje enskild transaktion. Verifiera de exakta kraven och tidpunkterna mot förordningstexten för er verksamhetstyp.

Namnmatchning: varför det är svårare än det låter

Sanktionslistor innehåller namn transkriberade från arabiska, kyrilliska, persiska och andra skriftsystem. Det finns ingen entydig transkription.

Samma person kan förekomma som Mohammed, Muhammad, Mohamad eller Muhammed. Ordföljden varierar. Namn kan innehålla patronymikon, hederstitlar eller ortsangivelser som ibland tas med och ibland inte.

Fyra tekniker används i kombination:

Fonetisk matchning — fångar stavningsvarianter som låter lika
Redigeringsavstånd — tillåter ett visst antal teckenskillnader
Tokenbaserad matchning — hanterar omkastad ordföljd och saknade mellannamn
Attributmatchning — födelsedatum, medborgarskap, födelseort som särskiljande dimensioner

Sanktionsscreening, fyra tekniker för matchning i kombination

Den fjärde är den som gör störst skillnad. En namnmatchning utan attribut måste välja mellan att missa träffar eller producera brus. Med födelsedatum blir båda problemen väsentligt mindre.

Att kalibrera tröskeln

Justera aldrig matchningströskeln utan att mäta effekten på båda felen samtidigt.

Praktisk metod: ta 12 månaders historiska träffar med känt utfall. Kör om med olika tröskelvärden. Redovisa för varje nivå hur många verkliga träffar som fångas och hur många falska som produceras. Fatta beslutet mot den tabellen — och spara tabellen.

Den är er dokumentation av att tröskeln är medvetet vald.

Utan den dokumentationen är en låg tröskel en obegriplig inställning i ett system. Med den är den ett motiverat riskbeslut.

När ni får en träff

En bekräftad sanktionsträff är inte ett larm bland andra. Processen ska vara förutbestämd:

Stoppa transaktionen eller relationen omedelbart — innan bedömningen görs, inte efter
Verifiera träffen mot särskiljande attribut — födelsedatum, medborgarskap, adress
Vid bekräftad träff: frys tillgångarna och tillgängliggör inga medel
Rapportera till behörig myndighet enligt tillämplig sanktionsförordning
Dokumentera hela kedjan — tidpunkter, beslut, personer, underlag

Ordningen i steg 1 är viktig. Verifiering tar tid; frysningsskyldigheten gör det inte.

Vid en avfärdad träff — dokumentera varför. "Ej relevant" är inte en motivering. "Födelsedatum avviker med 14 år, medborgarskap avviker, ingen känd koppling till listad jurisdiktion" är det.

Vanliga brister

Screening bara vid onboarding. Listor uppdateras kontinuerligt. En kund som var ren i januari kan vara listad i mars.

Ingen screening av verkliga huvudmän. Kunden är ren, ägaren är listad. Utan ägarkartläggning syns det aldrig.

Ingen hantering av kontrollprincipen. Bolag som ägs eller kontrolleras av listade personer omfattas i praktiken av åtgärderna utan att själva stå på någon lista.

Otillräcklig dokumentation av avfärdade träffar. Tillsynen granskar oftare de träffar ni släppte igenom än de ni stoppade.

Odokumenterad tröskelinställning. Ingen kan förklara varför matchningströskeln står där den står, eller vem som beslutade det.

Ingen omscreening efter listuppdatering. Se ovan — detta är den mest kostsamma bristen.

Vad AMLR förändrar

EU:s penningtvättsförordning (förordning (EU) 2024/1624) tillämpas från den 10 juli 2027. För sanktionsområdet är den viktigaste effekten inte nya listor utan högre krav på datakvalitet och spårbarhet: ni ska kunna visa vilka källor som användes, när de senast uppdaterades och hur ett enskilt beslut fattades.

Samtidigt inrättas AMLA i Frankfurt, som från 2028 utövar direkt tillsyn över ett urval större gränsöverskridande aktörer och i övrigt samordnar tillsynspraxis inom EU. En rimlig förväntan är att förväntningarna på sanktionsprocessen harmoniseras uppåt.

Checklista

Vilka listor screenar ni mot — och är avgränsningen dokumenterad?
Screenas verkliga huvudmän, styrelse, firmatecknare och ombud?
Hanterar systemet kontrollprincipen för ägda bolag?
Hur lång är fördröjningen från publicering till aktiv listning?
Screenas hela kundstocken om vid varje listuppdatering?
Är matchningströskeln kalibrerad mot mätt utfall — och dokumenterad?
Dokumenteras avfärdade träffar med särskiljande skäl?
Finns en skriftlig process för bekräftad träff, med frysning före verifiering?

Vanliga frågor

Vilka sanktionslistor måste svenska företag screena mot? EU:s förteckning är rättsligt bindande i Sverige. FN:s listningar implementeras genom EU-förordningar. OFAC och UK HMT blir relevanta vid amerikansk respektive brittisk anknytning — dokumentera er avgränsning.

Vad är skillnaden mellan sanktionsscreening och PEP-screening? Sanktioner är ett rättsligt förbud utan riskbaserat utrymme. PEP-status utlöser skärpta åtgärder för kundkännedom, inte förbud.

Hur ofta ska man screena mot sanktionslistor? Vid onboarding, vid varje transaktion där det är relevant, och vid varje listuppdatering för hela kundstocken. Periodisk screening enbart vid årlig genomgång är otillräckligt.

Omfattas bolag som ägs av en sanktionerad person? En juridisk person som till betydande del ägs eller kontrolleras av en listad person kan omfattas av åtgärderna utan att själv vara listad. Kontrollera den aktuella tillämpliga förordningen för tröskel och tolkning.