När jag först läste om AMLR artikel 75 tänkte jag ungefär som många andra: ännu en bestämmelse för banker och andra verksamhetsutövare som ska hjälpa dem att upptäcka penningtvätt. Men ju mer jag läste, desto mer började jag fundera på om artikelns största värde kanske finns någon helt annanstans.

Vi tittar ofta på fel del av brottskedjan

Penningtvätt beskrivs ofta som ett eget brottsområde. Det är förståeligt, men ur ett preventionsperspektiv finns en risk att vi börjar för sent. Penningtvätt förutsätter normalt att någon redan har skapat ett brottsutbyte. I bankernas transaktionsflöden är det ofta pengar från vishing, investeringsbedrägerier, kreditbedrägerier, företagsbedrägerier, identitetsmissbruk eller mer avancerade skatte- och handelsupplägg som sedan ska placeras, flyttas, skiktas och återföras till den legala ekonomin.

Det synliga AML-larmet kan därför vara långt från den punkt där samhället hade störst möjlighet att göra skillnad.

Brottskedjan – och var rätt information kan bryta den

Brotten skiljer sig åt, men många upplägg använder samma grundläggande struktur: någon förbereder infrastrukturen, någon genomför eller möjliggör brottet, brottsvinsten tas emot och därefter flyttas värdet genom flera led. Ju tidigare rätt indikator når rätt aktör, desto större chans att kedjan bryts.

Vad artikel 75 faktiskt öppnar för

Artikel 75 ger inte banker eller andra aktörer rätt att fritt utbyta allt de vet om kunder. Den skapar i stället en rättslig ram för formella partnerskap där ansvariga enheter, och i vissa fall offentliga myndigheter, kan dela information när det är absolut nödvändigt för att fullgöra vissa skyldigheter i AMLR.

Det verkligt intressanta är att flera aktörer kan sitta på var sin ofarlig pusselbit. Först när bitarna läggs samman framträder en struktur som ingen av dem hade kunnat se ensam.

Från reaktiv AML till proaktiv prevention

Det traditionella arbetssättet är ofta reaktivt: en misstänkt aktivitet identifieras, analyseras och kan leda till en Suspicious Activity Report (SAR), alltså en rapport om misstänkt aktivitet, till Finanspolisen (Fipo). Det är nödvändigt, men brottsoffret kan då redan ha förlorat sina pengar och värdet kan ha hunnit flyttas genom flera led.

Artikel 75 öppnar för en annan tankemodell. Om Bank A identifierar att ett mottagarkonto används i ett vishingupplägg, eller att samma personer och bolag återkommer kring en serie kredit- och företagsbedrägerier, kan relevant information inom ett korrekt uppbyggt partnerskap bidra till att Bank B agerar innan nästa brottsvinst placeras där.

B2C, B2B och B2A – olika offer, samma ekosystem

Bedrägeriprevention diskuteras ofta som om det huvudsakligen handlade om konsumenter. Men de kriminella infrastrukturerna skiljer sällan lika tydligt mellan privatpersoner, företag och myndigheter som våra organisationer gör.

Samma konto- och bolagsmålvakter, tekniska möjliggörare, identiteter, brevlådeföretag och betalningskanaler kan återanvändas mellan kategorierna. Därför är informationsdelningens största potential inte bara att varna för en viss transaktion, utan att synliggöra det gemensamma ekosystemet.

Det är inte ett frikort från banksekretess och dataskydd

Det finns goda skäl till att kunduppgifter inte får delas fritt. En felaktig uppgift, en missförstådd relation eller en automatiserad svartlista kan få allvarliga konsekvenser för en oskyldig person eller ett legitimt företag.

Därför innehåller artikel 75 tydliga begränsningar. Informationsutbytet ska vara nödvändigt, proportionerligt, riskbaserat och förenligt med grundläggande rättigheter. Partnerskapet ska ha definierat syfte och interna regler. Uppgifterna får inte bli ett substitut för mottagarens egen bedömning.

Detta är inte ett hinder för prevention. Det är en förutsättning för att preventionen ska vara legitim, hållbar och möjlig att försvara när ett beslut granskas.

Den svenska möjligheten – och risken

Den stora möjligheten är att Sverige använder artikel 75 för att bygga ett verkligt operativt informationsdelningssystem, där banker, betalningsaktörer och relevanta myndigheter kan upptäcka återkommande strukturer tidigare.

Risken är att bestämmelsen främst behandlas som ännu ett juridiskt implementeringsprojekt, där fokus hamnar på vilka uppgifter som möjligen får delas, men inte på vilka brott som faktiskt kan förhindras. Då kan vi få ett korrekt regelverk utan att fullt ut få den preventiva effekt som regelverket öppnar för.

Detta är ett analyserande och framåtblickande resonemang. Texten är inte juridisk rådgivning och föregriper inte kommande riktlinjer, svensk kompletterande lagstiftning eller myndigheternas slutliga tolkning av artikel 75.