Hvitvaskingsloven i en revisors hverdag

I artikkelen diskuterer vi den risikobaserte tilnærmingen som revisor skal ta i sin vurdering og oppfølging av risiko for hvitvasking og terrorfinansiering i henhold til kravene i hvitvaskingsloven. Videre skisserer vi hvordan fastsatt risiko kan konverteres til en iboende risiko som kan håndteres i tråd med revisjonsstandardene.

Revisor skal bidra til å forebygge og avdekke hvitvasking og terrorfinansiering gjennom en risikobasert tilnærming. Revisors unike kunnskap om sine klienter er kritisk for å kunne jobbe risikobasert. Handlinger og vurderinger i forbindelse med den lovpålagte revisjonen er en sentral del av revisjonsforetakets løpende oppfølging av risikoen.

Risikobasert tilnærming

Ved anvendelse av hvitvaskingsloven, skal vurderinger av risiko for hvitvasking og terrorfinansiering legges til grunn. En risikobasert tilnærming til hvitvaskingsarbeidet sikrer at revisor enklere kan prioritere sine ressurser og sette inn tiltak der hvor det er størst risiko. Slik vil det også være større muligheter for å forebygge og avdekke hvitvasking og terrorfinansiering, som er formålet med hvitvaskingsloven.

For å kunne jobbe risikobasert trenger revisor noen hjelpemidler som gir grunnleggende innsikt i risikoen for hvitvasking og terrorfinansiering. Her er både revisjonsforetakets vurdering av risiko i sin egen virksomhet (den virksomhetsinnrettede risikovurderingen) og revisjonsforetakets risikovurdering av den enkelte kunde (kundetiltaket), sentrale verktøy.

Virksomhetsinnrettet risikovurdering

Det er et selvstendig krav i hvitvaskingsloven § 7 at revisjonsforetaket må foreta en vurdering av risikoen for hvitvasking og terrorfinansiering i sin egen virksomhet. Dette innebærer at revisjonsforetaket må identifisere og vurdere risikoen for å kunne bli utnyttet som et ledd i hvitvasking og terrorfinansiering. En praktisk tilnærming er at det utarbeides en risikomatrise som dekker kravene til hva risikovurderingen skal inneholde. Disse kravene fremgår helt overordnet av hvitvaskingslovens § 7(2).

Risiko knyttet til egen virksomhet

For det første skal risikovurderingen ta utgangspunkt i foretakets egen virksomhet. Dette innebærer i praksis å vurdere risikoer knyttet til foretakets egen virksomhet og organisering, og hvordan disse forholdene kan gjøre revisjons-foretaket utsatt for å bli utnyttet som ledd i terrorfinansiering og hvitvasking. Finanstilsynet har angitt enkelte eksempler på risikomomenter som kan vurderes i tilknytning til dette.* Finanstilsynets veiledning om revisorers og revisjonsselskapers etterlevelse av hvitvaskingsregelverket (Rundskriv 14/2019), punkt 3.2.2. Revisjonsforetak bør blant annet vurdere risiko knyttet til antall ansatte, de ansattes kompetansenivå, organisering, omsetning, bruk av teknologi (for eksempel bruk av systemer for kundetiltak og screening), samt eventuell utkontraktering av kundetiltak og avhengighetsforhold til enkeltkunder.

Risiko knyttet til produkter, tjenester og kundeforhold

For det andre skal risikovurderingen ta utgangspunkt i foretakets produkter, tjenester og kundeforhold. Revisjonsforetaket må forstå risikoen for å bli utnyttet som ledd i terrorfinansiering og hvitvasking for alle tjenester som leveres. Dette innebærer at revisjonsforetaket må oppstille en oversikt over de ulike tjenestetyper og vurdere hvorvidt hver enkelt av disse kan medføre risiko for at revisjonsforetaket kan bli utnyttet som ledd i hvitvasking og terrorfinansiering ved utførelse av tjenestene. Revisjons- og attestasjonstjenester er tjenester som etterspørres for å gi legitimitet og dette kan misbrukes av enkelte kunder.

Risiko knyttet til typer kunder og kundegrupper

Risikoer knyttet til typer kunder og kundegrupper skal også kartlegges. Revisjonsforetaket bør ta utgangspunkt i definerte risikoindikatorer ved kunder og vurdere foretakets egen eksponering mot kunder med disse risikoindikatorene. Typiske risikoindikatorer kan være tilstedeværelse av Politisk Eksponerte Personer (PEP) eller kunder med komplisert eierskaps- og kontrollstruktur.

Høyrisikobransjer

En viktig undergruppe av kunder, er kunder som opererer innenfor høyrisikobransjer.

I nasjonal risikovurdering for hvitvasking og terrorfinansiering oppgis følgende bransjer som eksempler på bransjer forbundet med høy risiko: bygg og anlegg, renhold, restaurant og uteliv, utleie av arbeidskraft, dagligvare og kiosk uten franchise, bilvask og bilverksted, transport, fiskeri, olje og gass, spill og lotteritjenester og kryptovaluta og vekslingstjenester for virtuell valuta.*Nasjonal risikovurdering Hvitvasking og terrorfinansiering i Norge 2018.

Disse bransjene kjennetegnes av en rekke karakteristika som ofte opptrer i forbindelse med hvitvasking og terrorfinansiering. Eksempler er bruk av svart arbeidskraft, transaksjoner mot land som har omfattende korrupsjon, utenlandsk eierskap eller høy grad av kontantomsetning. De fleste revisjonsforetak vil ha eksponering mot flere kunder i høyrisikobransjer. I revisjonsforetakets virksomhetsinnrettede risikovurdering er det da den samlede eksponeringen mot kunder fra høyrisikobransjer som skal vurderes.

Restaurant og uteliv er en av bransjene som oppgis å være forbundet med høy risiko.

Risiko knyttet til geografiske forhold

Endelig skal revisjonsforetaket i den virksomhetsinnrettede risikovurderingen vurdere risiko knyttet til geografiske forhold. Kunder som har tilknytning til land som er forbundet med korrupsjon og annen kriminalitet, eller land som er gjenstand for internasjonale sanksjoner og restriktive tiltak, vil medføre høyere risiko.

Resultatet av risikovurderingen

Ved systematisk å oppstille og vurdere risiko innen disse kategoriene, oppnås en samlet oversikt over revisjonsforetakets risiko for å bli utnyttet for terrorfinansiering og hvitvasking. Revisjonsforetaket kan benytte identifisert risiko til bedre å tilpasse sin internkontroll knyttet til anti-hvitvask og terrorfinansiering. Kunnskapen fra risikovurderingen gir dessuten revisor et bedre utgangspunkt for å forstå hvorfor enkelte kunder, på oppdrags- og kundenivå, skal være gjenstand for ytterligere risikovurdering.

Risikovurderingen vil normalt være omfattende, selv for mindre revisjonsforetak, og arbeidet med å etablere, og ikke minst vedlikeholde risikovurderingen, er ressurskrevende. Dersom risikovurderingen ikke vedlikeholdes, vil den ikke legge til rette for risikobasert utførelse av revisjonsforetakets øvrige oppgaver knyttet til antihvitvask og terrorfinansiering. Det vil for eksempel da kunne ligge risikoindikatorer i risikovurderingen som ikke vurderes i kundetiltaket, eller som burde ha vært fulgt opp med særskilte handlinger, for eksempel målrettet opplæring. Revisjonsforetak må derfor sørge for å ha en god prosess for det løpende arbeidet med risikovurderingen.

Kunder med tilknytning til land som er forbundet med korrupsjon og annen kriminalitet, eller land som er gjenstand for internasjonale sanksjoner og restriktive tiltak, vil medføre høyere risiko.

Kundetiltak

Hvitvaskingslovens § 9 fastsetter plikten til å gjennomføre kundetiltak, eller Know Your Customer (KYC), som dette også ofte kalles. I kundetiltaket skal revisjonsforetaket innhente og dokumentere informasjon om kunden, og gjennom dette vurdere kundens risiko for å være involvert i terrorfinansiering og hvitvasking. Kundetiltaket er derfor det viktigste hjelpemiddelet revisor har for å forstå risikoen for hvorvidt den enkelte kunde kan være involvert i hvitvasking eller terrorfinansiering.

Kravene til innholdet i kundetiltaket er detaljerte og dekkes ikke her. Et sentralt trekk ved kundetiltaket er at kundene deles inn i risikoklassene lav, medium og høy. Revisjonsforetaket bør bruke den virksomhetsinnrettede risikovurderingen til å identifisere forhold som er relevante for risikoklassifiseringen. For eksempel, når revisjonsforetak i risikovurderingen har vurdert at det er høy risiko knyttet til kunder som er stiftelser (som kan være en organisasjonsform knyttet til lite transparens), bør kundetiltaket være innrettet slik at denne organisasjonsformen vurderes i risikoklassifiseringen av den enkelte kunde.

Relevante faktorer ved vurdering av risiko på kundenivå

Eksempler på forhold som kan ha innvirkning på risikoklassifiseringen, er bransje, eierstruktur, at kunden har en PEP som handler på vegne av seg og geografisk tilknytning til et høyrisikoland. Revisor må i tillegg være oppmerksom på at en fastsatt hvitvaskingsrisiko i ett selskap, kan påvirke hvitvaskingsrisikoen i andre enheter i samme konsern eller foretaksgruppe.

Nøkkelen til å vurdere hvitvaskingsrisikoens «smitteeffekt» er å kjenne kundens virksomhet godt. Revisor må kartlegge og forstå transaksjonsflyten i konsernet eller foretaksgruppen. Transaksjoner mellom enhetene kan gjennomføres i hvitvaskingens «tilsløringsfase» for å skape avstand mellom midlene og midlenes ulovlige opprinnelse.

Kundetiltakets omfang

Omfanget av kundetiltaket avhenger av hvilken risikoklasse kunden er lagt i. Jo høyere risikoklasse, desto mer omfattende kundetiltak. Det er imidlertid viktig å merke seg at kundetiltaket er en dynamisk prosess. I løpet av kundetiltaket kan det avdekkes forhold som medfører at kunden kan havne i en høyere risikoklasse enn det kunden først var lagt inn i. Eksempler på forhold kan være medietreff knyttet til økonomisk kriminalitet, eller vesentlige endringer i kundens virksomhet, herunder økt global tilstedeværelse eller lignende.

Krav til løpende oppfølging og konsekvenser for revisjonen

Etter at kundetiltaket er gjennomført vil hver enkelt kunde være tilordnet en risikoklasse, som vil representere hvilken risiko den enkelte kunde har for å være involvert i hvitvasking eller terrorfinansiering. Risikoklassifiseringen er sentral for revisor med tanke på hva slags oppfølging kunden skal ha. Kunder med høy risikoklassifisering skal være gjenstand for tettere løpende oppfølging enn kunder med en lav risikoklasse.

Spørsmålet er så hvordan revisjonsforetaket kan benytte forståelse om kundens risiko til å utføre handlinger som bidrar til å forebygge og avdekke hvitvasking og terrorfinansiering.

Hvitvaskingslovens § 24 (1) angir enkelte utgangspunkt for hva innholdet i den løpende oppfølgingen skal være. Det vises blant annet til at overvåkning av transaksjoner som utføres i kundeforholdet, skal vise at transaksjonene er i samsvar med innhentede opplysninger om kunden, kundens virksomhet og risikoprofil, midlenes opprinnelse og kundeforholdets formål og tilsiktede art. Bestemmelsens utforming fremstår som best tilpasset rapporteringspliktige hvor pengestrømmer flyter gjennom virksomheten. Det gis lite veiledning for hvordan denne forpliktelsen skal forstås og implementeres for revisorer som utfører revisjon eller andre tjenester.

Oppdatert informasjon

Finanstilsynet viser til at informasjon om kunden alltid må være oppdatert og korrekt.* Finanstilsynets veiledning pkt 4.10. Videre vises det til at det må følges med på kundens aktivitet for å kunne oppdage avvikende eller endret atferd, nye eier- eller selskapsstrukturer eller innholdsmessig eller geografisk endring av tjenester. Dersom revisor avdekker endret informasjon om kunden, kan dette få innvirkning på risikoklassifiseringen, slik at man må gå tilbake og oppdatere kundetiltaket. Eksempler på forhold som kan påvirke kundens risikoklassifisering og kreve oppdaterte kundetiltak er:

unormalt høy omsetning
unormalt lave kostnader
handel med områder, organisasjoner eller produkter som er uvanlige
større kontrakter uten anbud eller forhandlinger
unormale bonuser eller insentiver for å skaffe eller beholde kontrakter
avtaler med nærstående
transaksjoner som fremmer anonymitet

Dette er ingen uttømmende liste, men det sentrale er at revisor skal tilegne seg så bred kunnskap om kundens virksomhet som mulig for å kunne avdekke avvikende forhold.

Revisjonens rolle i kundetiltaket

Et tema som ikke omtales, er hvorvidt revisor skal innrette revisjonen etter den risikoklassifiseringen som er fastsatt i henhold til hvitvaskingsloven. Verken hvitvaskingsloven eller revisjonsstandardene inneholder noen spesifikke krav om dette. Etter vårt syn gir det imidlertid lite mening å ignorere en fastsatt risiko for hvitvasking og terrorfinansiering ut fra hvitvaskingsloven, ved vurdering av revisjonsrisiko på samme oppdrag. Det er naturlig at risikoene samsvarer.

Unormalt høy omsetning er eksempel på et forhold som kan påvirke kundens risiko-klassifisering og kreve oppdaterte kundetiltak.

En praktisk måte å håndtere problemet på er å konvertere vurdert risiko for hvitvasking og terrorfinansiering i henhold til hvitvaskingsloven, til en iboende risiko for revisjonsformål. For eksempel kan en forhøyet risiko for hvitvasking og terrorfinansiering, betraktes som en mislighetsrisiko i henhold til ISA 240 – «Revisors oppgaver med og plikter til å vurdere misligheter ved revisjon av regnskaper». Hvis denne tilnærmingen brukes, vil hvitvaskingsrisikoen måtte håndteres i tråd med kravene i ISA 240 og tilgrensende standarder.

Samme tilnærming er også et mulig virkemiddel i revisors løpende oppfølging, herunder påkrevde kundetiltak, i henhold til hvitvaskingsloven. I det følgende vil vi redegjøre for hvordan revisjonen i praksis kan innrettes for å håndtere identifisert risiko for hvitvasking og terrorfinansiering.

Avgrensning av iboende risiko til spesifikke aktiviteter eller regnskapsposter

Under forutsetning av at en forhøyet hvitvaskingsrisiko behandles som en mislighetsrisiko i henhold til ISA 240, følger det av standarden at revisor må vurdere om risikoen kan avgrenses til spesifikke aktiviteter eller regnskapsposter. En slik avgrensning av risiko gjør at risikoen i større grad blir håndterbar. Det blir enklere å utforme spesifikke revisjonshandlinger som er egnet til å avdekke indikasjoner på hvitvasking eller terrorfinansiering.

Revisor skal også bidra til å forebygge og avdekke terrorfinansiering gjennom sin risikobaserte tilnærming.

Ved avgrensning av en forhøyet risiko for hvitvasking og terrorfinansiering, må revisor betrakte de spesifikke faktorene eller forholdene som utløste den forhøyede risikoen. Revisor må forstå hvordan foretaket kan være utsatt for, eller involvert, i hvitvasking eller terrorfinansiering.

Er det, for eksempel, tilstedeværelsen av en PEP som har utløst en høy hvitvaskingsrisiko, kan risikoen avgrenses til avtaler som PEP-en har inngått på vegne av klienten som ledd i korrupsjon. Transaksjoner mellom klienten og PEP-en eller PEP-ens nærstående kan også være forbundet med en høyere risiko da midlene kan stamme fra korrupte handlinger. Revisor utformer konkrete revisjonshandlinger for å håndtere den avgrensede risikoen.

En fastsatt forhøyet hvitvaskingsrisiko som følge av at klienten opererer innenfor definerte høyrisikobransjer, kan avgrenses på samme måte. Revisor må forstå hvilke bransjemessige karakteristika som har medført at bransjen erfaringsmessig har vært forbundet med hvitvasking eller terrorfinansering. Videre må revisor vurdere om klienten innehar samme bransjemessige karakteristika og avgrense risikoen basert på dette.

For eksempel har eiendoms- og anleggsbransjen vært forbundet med arbeidsmiljøkriminalitet, herunder sosial dumping og bruk av svart arbeidskraft. For klienter som opererer innenfor denne bransjen, kan det altså være risiko for at foretaket involveres i hvitvasking gjennom direkte eller indirekte bruk av ulovlig arbeidskraft. Det som hvitvaskes er for eksempel det ekstra overskuddet som opptjenes ved lavere lønn enn tillatt. Revisor utformer konkrete revisjonshandlinger for å håndtere den avgrensede risikoen.

Risiko for hvitvasking og terrorfinansiering som generell oppdragsrisiko

Dersom en identifisert forhøyet risiko for hvitvasking og terrorfinansiering ikke lar seg avgrense til spesifikke aktiviteter eller regnskapsposter, burde revisor betrakte risikoen som en forhøyet generell oppdragsrisiko. Konsekvensen av dette er at revisor ikke vil være i stand til å skreddersy spesifikke revisjonshandlinger for å håndtere risikoen. Revisor vurderer om informasjon som er innhentet i forbindelse med den ordinære revisjonen, kan utgjøre indikatorer på mistenkelige forhold eller transaksjoner. Aktuelle tiltak er økt årvåkenhet, økt skepsis, økt antall tester, flere tester av en type revisor vanligvis ikke gjennomfører m.m.

Her er revisors kunnskap om hvitvasking og terrorfinansiering helt sentral. Revisor må forstå hvordan hvitvasking og terrorfinansiering kan skje og hvordan dette ser ut i praksis. Revisor bør også kjenne til revisjonsforetakets egen virksomhetsinnrettede risikovurdering. Revisors kompetanse om hvitvasking og terrorfinansering, i kombinasjon med revisors unike kunnskap om revisjonsklienten, setter revisor i stand til å faktisk gjenkjenne mistenkelige forhold eller transaksjoner.

Revisors risikobaserte tilnærming til hvitvasking og terrorfinansiering

Revisjonsforetaket skal gjennomføre en virksomhetsinnrettet risikovurdering knyttet til hvitvasking og terrorfinansiering med utgangspunkt i:
- egen virksomhet,
- produkter, tjenester og kundeforhold,
- typer kunder og kundegrupper, samt;
- geografiske forhold.
Den virksomhetsinnrettede risikovurderingen gir, blant annet, viktig input til revisors fastsettelse av risiko for hvitvasking og terrorfinansiering på kundenivå.
Fastsatt risiko for hvitvasking og terrorfinansiering på kundenivå, styrer omfanget av påkrevde kundetiltak og løpende oppfølging i henhold til hvitvaskingsloven.
Revisors håndtering av iboende risiko for hvitvasking og terrorfinansiering i forbindelse med den lovpålagte revisjonen, utgjør en viktig del av revisjonsforetakets løpende oppfølging av klienten.

Relevant internkontroll for å håndtere høy risiko for hvitvasking og terrorfinansiering

Uavhengig av om en forhøyet risiko for hvitvasking og terrorfinansiering betraktes som en generell oppdragsrisiko, eller om risikoen avgrenses til spesifikke regnskapsposter eller aktiviteter, bør revisor kartlegge, forstå og bekrefte eventuell implementering av relevant internkontroll på området. Selv klienter som ikke selv er underlagt regelverket, kan ha iverksatt systematiske rutiner for å unngå hvitvasking og terrorfinansiering.

De samme kontrollene kan testes for operasjonell effektivitet for å håndtere identifisert risiko på området. Dersom det er vurdert at det foreligger høy risiko for hvitvasking og terrorfinansiering, og det ikke identifiseres relevant intern kontroll som er egnet til å redusere risikoen, bør revisor kommunisere svakheter i foretakets internkontroll til ledelsen.

Håndtering av normal iboende risiko for hvitvasking og terrorfinansiering på revisjonsoppdrag

Selv om det er fastsatt en normal eller lav risiko for at revisjonsklienten involveres i hvitvaskings- eller terrorfinansieringsaktiviteter, må revisor være årvåken gjennom hele revisjonsprosessen. Revisor må vurdere om informasjon som er innhentet i forbindelse med den ordinære revisjonen, utgjør indikatorer på mistenkelige transaksjoner eller forhold.

For å være i stand til å vurdere om det foreligger indikatorer på mistenkelige transaksjoner eller forhold, må revisor ha generell kunnskap om indikatorer på hvitvasking og terrorfinansiering. NTAEs liste over indikatorer på mistenkelige transaksjoner er et nyttig verktøy. Det er imidlertid, i alle tilfeller, revisors unike kunnskap om klienten som er den viktigste kilden til å vurdere hva som anses som mistenkelig.* Nasjonalt tverretatlig analyse- og etteretningssenter.

Revisors undersøkelses- og rapporteringsplikt ved avdekking av mistenkelige forhold i henhold til hvitvaskingsloven, omtales ikke her. Fra et revisjonsståsted, utløser en slik hendelse et behov for minst å revurdere opprinnelig fastsatt hvitvaskingsrisiko. Revisor må, basert på oppdatert risiko, vurdere om det er innhentet tilstrekkelig og hensiktsmessig revisjonsbevis for å oppnå betryggende sikkerhet for at regnskapet ikke inneholder vesentlig feilinformasjon som følge av hvitvasking eller terrorfinansiering.

Avslutning

Den risikobaserte tilnærmingen, inkludert de rutiner og kundetiltak som pålegges revisor i hvitvaskingsloven, er helt nødvendig for at revisor, som allmennhetens tillitsperson, skal kunne bidra til å forebygge og avdekke hvitvasking og terrorfinansiering. Kravene må også anses som viktige virkemidler for å redusere revisors egen risiko for å bli utnyttet i samme henseende.

Den enkelte revisors skjønnsmessige vurdering av risiko for hvitvasking og terrorfinansiering på kundenivå er en sentral del av revisjonsforetakets virksomhetsinnrettede risikovurdering. At revisor har tilstrekkelig kompetanse om hvitvasking og terrorfinansiering, samt at revisor har god kjennskap til revisjonsklienten, er kritisk for revisors mulighet til å gjennomføre en solid risikovurdering.

Gjennom en solid risikovurdering, kan revisor iverksette egnede kundetiltak og innrette revisjonen på en slik måte at indikasjoner på hvitvasking og terrorfinansiering kan avdekkes. Erkjennelsen av dette bør gjøre hvitvaskingsarbeidet mer interessant for revisor; og vise at hvitvaskingsarbeidet ikke bare består av innhentelse av opplysninger for å etterleve regelverket, men også for å utøve et samfunnsansvar.

Den seriøse revisjonsklienten er også sitt ansvar bevisst. Ledelsen verdsetter at revisor setter temaet på agendaen, og at revisor kommuniserer eventuelle svakheter i internkontroll som øker foretakets eksponering mot hvitvasking og terrorfinansiering. En bonus er også at revisjonsbransjens kontrollbaserte tilnærming kan ha en oppdragende effekt som, i seg selv, kan redusere mulighetene til å begå hvitvasking og terrorfinansiering i samfunnet.