Politikker og forretningsgange: hvornår bør en SMV skrive dem ned?

Kort svar: Skriv ned, når I er omfattet – eller når risikoen bliver konkret

Der findes ikke et generelt krav om, at alle danske SMV'er skal have skriftlige politikker og forretningsgange. For omfattede virksomheder følger kravet af hvidvasklovens § 8: De skal beskrive politikker, forretningsgange og kontroller på hvidvaskområdet, og beskrivelsen skal være forholdsvis udførlig.

Er man først omfattet, kan dokumentationen ikke udskydes. Det praktiske spørgsmål er derfor ikke »bør vi skrive noget ned?«, men »er vi omfattet, og har vi kunder eller ydelser, hvor risikoen kræver en skriftlig håndtering?«.

Risikovurderingen er den trigger, der gør politikkerne konkrete: Kunder eller ydelser med øget hvidvaskrisiko kræver politikker og forretningsgange, der håndterer dem i praksis. Ændringer af hvidvaskloven med ikrafttræden 15. september 2026 udvider både indholdet i risikovurderingen og i politikker, forretningsgange og kontroller. De indfører også et testkrav for en større gruppe virksomheder.

Hvem skal egentlig skrive ned? Ikke alle SMV'er, men flere end man tror

Erhvervsstyrelsen har en quickguide til ikke-finansielle virksomheder om indholdet af politikker, forretningsgange og kontroller på hvidvaskområdet. Den handler om de omfattede ikke-finansielle virksomheder: revisorer, bogholdere, virksomhedsoprettere, kontorhoteller, ejendomsmæglere og kunstbranchen.

Det er brancher, hvor de fleste aktører er små og mellemstore virksomheder. Kravet rammer derfor i praksis SMV-segmentet.

Er virksomheden omfattet, findes der ikke et dokumentationsfrit rum. Kravene følger af hvidvasklovens § 8, og beskrivelsen skal være forholdsvis udførlig.

Quickguiden er i et vist omfang et ekstrakt af Finanstilsynets vejledning til hvidvaskloven i et letlæseligt layout. Den skal læses sammen med Finanstilsynets samlede vejledning for alle brancherne.

Erhvervsstyrelsen har også en guide fra december 2025, der hjælper med at udarbejde den skriftlige dokumentation – politikker, forretningsgange og kontroller – som er nødvendig for at overholde hvidvaskloven.

Kritiske fakta om hvidvasklovens krav for SMV'er

Risikovurderingen er den praktiske trigger: høj risiko kræver skriftlig håndtering

Politikker og forretningsgange bør tage afsæt i virksomhedens egen risikovurdering. Erhvervsstyrelsens quickguide om politikker følger op på en tilsvarende quickguide om risikovurdering, og de to skal ses sammen.

Ifølge quickguiden skal virksomheden skriftligt beskrive sine politikker for, hvilke kunder den gerne vil have, og hvilke den ikke vil have. Er der kunder, virksomheden ikke vil have, fordi risikoen for hvidvask vurderes for høj?

Samme spørgsmål gælder ydelser: Er der ydelser, virksomheden ikke vil levere, fordi risikoen for hvidvask ved dem vurderes for høj? Den type beslutninger skal politikkerne indeholde i skriftlig form.

Quickguiden understreger samtidig, at der ikke er noget galt i at have kunder med øget risiko for hvidvask eller ydelser, der vurderes at være forbundet med øget risiko for hvidvask. Pointen er, at risiciene skal håndteres: Virksomheden skal have politikker og forretningsgange, der håndterer dem i praksis. Det er ikke et krav at afvise kunden eller ydelsen – men et krav, at håndteringen er beskrevet og kan følges af medarbejderne.

Det skal med: politikker, forretningsgange og kontroller i operationel form

Beskrivelsen dækker tre elementer: virksomhedens politikker, forretningsgange og kontroller. Ifølge Erhvervsstyrelsens quickguide skal beskrivelserne være operationelle.

Virksomheden skal blive bevidst om, hvilke risici der er for hvidvask eller finansiering af terrorisme, og derefter have forretningsgange mv., der forebygger disse risici mest muligt. Det er ikke et teoretisk dokument, men en beskrivelse af den daglige praksis.

For virksomheder, der ikke er vant til detaljerede skriftlige forretningsgange i det daglige arbejde, vil detaljeringsgraden ifølge omtalen af quickguiden virke ret høj. Tag det med i planlægningen: Dokumentet skal kunne bruges af de medarbejdere, der sidder med kunderne og opgaverne, ikke kun af ledelsen.

Nye krav fra 15. september 2026: flere skal skrive ned og få det testet

Den 3. september 2026 vedtog Folketinget en række ændringer af hvidvaskloven, som træder i kraft den 15. september 2026. Ændringerne følger af lovforslag L 9, fremsat den 25. juni 2026.

De skal blandt andet styrke Danmarks efterlevelse af FATF's anbefalinger om bekæmpelse af hvidvask, terrorfinansiering og finansiering af proliferation. For virksomheder omfattet af hvidvaskloven er der særligt tre ændringer: Virksomhedens risikovurdering skal fremover også omfatte risici relateret til finansiering af proliferation.

De skriftlige politikker, forretningsgange og kontroller skal udvides til også at omfatte overholdelse af regler om finansielle sanktioner. En stor gruppe af de virksomheder og personer, som ikke hidtil har været omfattet af kravet om intern revision efter hvidvasklovens § 8, stk. 4, skal fremover sikre, at deres politikker, forretningsgange og kontroller testes af en uafhængig revisionsfunktion.

Findes en sådan uafhængig funktion ikke i virksomheden, kan testen udføres af en ekstern ekspert. Hvidvaskloven har hidtil i vidt omfang været bygget op om virksomhedernes egen risikovurdering, egne forretningsgange og egen interne kontrol.

Med lovændringen skal også en lang række virksomheder uden en egentlig intern revisionsfunktion have en tilstrækkeligt uafhængig person til at efterprøve, om virksomhedens AML-setup rent faktisk fungerer. Baggrunden er blandt andet FATF's kommende evaluering af Danmark, som ifølge lovbemærkningerne forventes påbegyndt ultimo 2026.

Her vil Danmark bl.a. blive vurderet på, om virksomheder omfattet af hvidvaskloven forstår og er i stand til at styre deres risici i relation til de internationale sanktionsregimer. I praksis betyder det, at dokumentationen ikke bare skal skrives – den skal også kunne efterprøves af nogen uden for den daglige drift.

Forretningsgange før og efter 15. september 2026

Sådan undgår SMV'en at overdokumentere: start med tre spørgsmål

1. Er vi omfattet af hvidvaskloven? Afklar det konkret mod branchelisten for ikke-finansielle virksomheder: revisorer, bogholdere, virksomhedsoprettere, kontorhoteller, ejendomsmæglere og kunstbranchen. Er svaret nej, bortfalder kravet efter § 8.

Er svaret ja, er beskrivelsen et krav, og detaljeringsgraden skal være forholdsvis høj og operationel.

2. Hvilke kunder og ydelser har øget risiko, og hvordan håndterer vi dem? Gå gennem eksemplerne fra Erhvervsstyrelsens quickguide: kunder I ikke vil have på grund af for høj hvidvaskrisiko, og ydelser I ikke vil levere af samme grund.

Tag også de kunder og ydelser med øget risiko, som I beholder; de skal have politikker og forretningsgange til at håndtere risikoen i praksis. Skriv håndteringen ned, så den kan følges i det daglige arbejde.

3. Kan vores politikker, forretningsgange og kontroller bruges operationelt og testes uafhængigt – også når sanktions- og proliferationselementet kommer med? Fra 15. september 2026 skal risikovurderingen også omfatte finansiering af proliferation, politikkerne skal omfatte overholdelse af regler om finansielle sanktioner, og en større gruppe virksomheder uden intern revision skal have setup'et testet af en uafhængig funktion eller en ekstern ekspert.

Praktiske udgangspunkter er Erhvervsstyrelsens quickguide om politikker, forretningsgange og kontroller og den tilhørende quickguide om risikovurdering. Begge skal læses sammen med Finanstilsynets samlede vejledning.

SMV's trin til at opfylde hvidvasklovens krav fra 15. september 2026