Art. 16 Koncernomfattande krav | Anti-money laundering regulation (AMLR) | AML

This article establishes the framework for how AML/CFT obligations apply across an entire corporate group, placing the parent undertaking at the centre of responsibility.

Building directly on the individual-entity requirements set out in Articles 9 and 10, it scales those obligations up to group level: the parent must conduct a group-wide risk assessment, establish group-wide policies, procedures and controls, and ensure that every branch and subsidiary — including those in third countries — operates within that framework.

The article also addresses group-level governance, requiring dedicated compliance functions, and mandates structured information sharing between entities within the group to support customer due diligence and risk management.

AMLA is tasked with developing regulatory technical standards to flesh out the minimum requirements.

Important points:

As a parent undertaking, establish and implement group-wide AML/CFT policies, procedures, controls and a risk assessment that apply to all branches and subsidiaries, including those located in third countries.
Compliance functions must be established at group level, including a group compliance manager who reports at least annually to the management body of the parent undertaking on the implementation of group-wide policies.
AMLA is required to develop regulatory technical standards by 10 July 2026 specifying the minimum requirements for group-wide policies and information sharing, including criteria for identifying the parent undertaking.

1. Ett moderföretag ska säkerställa att de krav på interna förfaranden, riskbedömning och personal som anges i avsnitt 1 i detta kapitel tillämpas vid koncernens samtliga filialer och dotterföretag i medlemsstaterna och, om det gäller en koncern vars huvudkontor är beläget i unionen, i tredjeländer. I detta syfte ska ett moderföretag utföra en koncernomfattande riskbedömning, med beaktande av den verksamhetsomfattande riskbedömning som utförs av samtliga filialer och dotterföretag i koncernen, och fastställa och genomföra koncernomfattande riktlinjer, förfaranden och kontroller, inbegripet avseende dataskydd och informationsutbyte inom koncernen i syfte att bekämpa penningtvätt och finansiering av terrorism för att säkerställa att anställda inom koncernen är medvetna om de krav som följer av denna förordning. Ansvariga enheter i koncernen ska genomföra dessa koncernomfattande riktlinjer, förfaranden och kontroller med beaktande av sina särdrag och de risker som de är exponerade för.
2. Koncernens riktlinjer, förfaranden och kontroller samt de koncernomfattande riskbedömningarna som avses i första stycket ska omfatta allt det som anges i artiklarna 9 respektive 10.
3. Om en koncern har etableringar i fler än en medlemsstat och, för koncerner med huvudkontor som är beläget i unionen, i tredjeländer ska moderföretagen vid tillämpning av första stycket beakta den information som offentliggjorts av myndigheterna i alla de medlemsstater eller tredjeländer där koncernens etableringar är belägna.
1. Regelefterlevnadsfunktioner ska inrättas på koncernnivå. Dessa funktioner ska inbegripa en regelefterlevnadschef på koncernnivå och, om det är motiverat på grund av den verksamhet som bedrivs på koncernnivå, en regelefterlevnadsansvarig. Beslutet om regelefterlevnadsfunktionernas omfattning ska dokumenteras.
2. Den regelefterlevnadschef som avses i första stycket ska regelbundet rapportera till moderföretagets ledningsorgan i dess ledningsfunktion om genomförandet av de koncernomfattande riktlinjerna, förfarandena och kontrollerna. Regelefterlevnadschefen ska åtminstone en gång per år lämna in en rapport om genomförandet av den ansvariga enhetens interna riktlinjer, förfaranden och kontroller och ska vidta nödvändiga åtgärder för att i god tid avhjälpa eventuella brister som konstaterats. Om ledningsorganet i dess ledningsfunktion är ett organ som gemensamt ansvarar för sina beslut ska regelefterlevnadschefen bistå och ge råd till detta och förbereda de beslut som krävs för genomförandet av denna artikel.
1. De riktlinjer, förfaranden och kontroller för informationsutbyte som avses i punkt 1 ska kräva av ansvariga enheter inom koncernen att de utbyter information i fall där det är relevant för kundkännedom och för riskhantering avseende förhindrande av penningtvätt och finansiering av terrorism. Informationsutbytet inom koncernen ska omfatta i synnerhet kundens identitet och egenskaper, kundens verkliga huvudmän eller den person på vars vägnar kunden agerar, affärsförbindelsens och de enstaka transaktionernas natur och syfte samt information om misstankar, åtföljda av de analyser som ligger till grund för detta, om att medel utgör vinning av brottslig verksamhet eller har koppling till finansiering av terrorism vilka rapporterats till finansunderrättelseenheten enligt artikel 69, såvida inte finansunderrättelseenheten ger andra anvisningar.
2. De koncernomfattande, förfarandena och kontrollerna ska inte hindra enheter inom en koncern som inte är ansvariga enheter att tillhandahålla ansvariga enheter inom samma koncern information, om sådant utbyte är relevant för att dessa ansvariga enheter ska kunna efterleva kraven i denna förordning.
3. Moderföretag ska införa koncernomfattande riktlinjer, förfaranden och kontroller för att säkerställa att den information som utbyts enligt första och andra styckena omfattas av tillräckliga garantier vad gäller konfidentialitet, dataskydd och användning av informationen, inbegripet för att förhindra att den lämnas ut.
1. Senast den 10 juli 2026 ska Amla utarbeta förslag till tekniska standarder för tillsyn och överlämna dem till kommissionen för antagande. I förslagen till tekniska standarder för tillsyn ska det anges minimikrav för koncernomfattande riktlinjer, förfaranden och kontroller, inbegripet minimistandarder för informationsutbyte inom koncernen, kriterierna för att identifiera moderföretaget i de fall som omfattas av artikel 2.1.42 b och de förhållanden under vilka bestämmelserna i den här artikeln gäller för enheter som ingår i strukturer som omfattas av gemensamt ägande, gemensam förvaltning eller gemensam efterlevnadskontroll, inbegripet nätverk eller partnerskap samt kriterierna för att identifiera moderföretaget i unionen i dessa fall.
1. Kommissionen ges befogenhet att komplettera denna förordning genom att anta de tekniska standarder för tillsyn som avses i punkt 4 i denna artikel i enlighet med artiklarna 49–52 i förordning (EU) 2024/1620.