Sentrale plikter etter hvitvaskingsregelverket
I 2021 og 2022 har vi skrevet flere artikler til Revisjon og regnskap om etterlevelse av hvitvaskingsregelverket. Denne artikkelen gir en kort oppsummering av hvilke forventninger som stilles til regnskapsførere og revisorer på hvitvaskingsområdet.
Risikovurdering
Den virksomhetsinnrettede risikovurderingen utgjør utgangspunktet for alle de øvrige tiltakene for å etterleve hvitvaskingsregelverket. Risikovurderingen skal beskrive både de eksterne truslene og de interne sårbarhetene foretaket har. Beskrivelse av trusler skal inkludere virksomhetens art og omfang, kunder og kundegrupper, produkter, tjenester, geografiske forhold mv.
Truslene
Truslene skal identifisere hva foretaket kan bli utsatt for, fra personer og foretak som ønsker å misbruke foretaket til hvitvasking av utbytte fra straffbare handlinger eller til finansiering av terrorisme. Regnskapsførere og revisorer må forstå hvordan foretaket kan bli brukt av kunder som ønsker å hvitvaske penger eller finansiere terror.
De interne sårbarhetene
De interne sårbarhetene er de svakhetene foretaket har og som kan utnyttes av trusselaktørene. Eksempler på sårbarheter kan være mangel på kompetanse om hvitvaskingsregelverket hos oppdragsansvarlige og medarbeiderne, manglende eller mangelfulle rutiner eller mangel på gode IT-løsninger for å sikre gjennomføring av kundetiltak ved etablering og senere oppfølging av kundeforholdet. At det ikke avsettes tilstrekkelig med tid og ressurser til å oppfylle pliktene i hvitvaskingsloven og mangel på overholdelse av undersøkelsesplikten og rapporteringsplikten, kan også være eksempler på interne sårbarheter.
Risikovurderingen skal gi grunnlag for å sette inn tiltak for å redusere risikoen til et nivå som ledelsen anser som akseptabelt.
Risikovurderingen skal ajourføres minst årlig og vedtas av foretakets øverste ledelse.
Hvitvaskingsrutiner
Foretaket må ha rutiner som sikrer at pliktene etter hvitvaskingsloven oppfylles i hele virksomheten. Man kan ta utgangspunkt i standardiserte maler fra for eksempel bransjeorganisasjoner, men det er svært viktig at rutinene er tilpasset de konkrete risikoene i foretaket, og at det er en tydelig sammenheng mellom risikovurderingen og rutinene.
Rutinene skal beskrive måten de ansatte skal utføre oppgavene på for å sikre at foretaket etterlever regelverket, og må holdes løpende oppdatert (minst årlig gjennomgang). Mangelfulle rutinebeskrivelse skaper usikkerhet blant ansatte om krav og forventninger.
Rutinene skal være tilpasset risikovurderingen og blant annet beskrive;
overordnet organisering,
risikoklassifisering av kunder,
når kundetiltak skal gjennomføres,
hvilke kundetiltak som skal utføres og av hvem,
løpende oppfølging av kundeforhold,
hvordan undersøkelsesplikten skal oppfylles,
etterlevelse av rapporteringsplikten,
beslutningsgrunnlag og fremgangsmåten ved avvisning av nye kunder eller avvikling av eksisterende kundeforhold,
bruk av støtteverktøy,
eventuell utkontraktering av oppgaver,
kundetiltak utført av tredjeparter,
dokumentasjon og lagring av opplysninger, inkl. deling av informasjon og overholdelse av avsløringsforbudet,
internkontrolltiltak, og
opplæringsplan.
Overordnede rutiner skal fastsettes av foretakets øverste ledelse.
Kundetiltak og risikoklassifisering av kundene
Både revisor og regnskapsfører har plikt til å gjennomføre kundetiltak for samtlige kunder. Utgangspunktet er at kundetiltakene skal gjennomføres før revisor eller regnskapsfører påtar seg oppdraget, dvs. før det etableres noe kundeforhold.
Kundetiltakene inkluderer innhenting av, og vurdering av alle nødvendige opplysninger om kundeforholdets formål og tilsiktede art. Dette inkluderer informasjon om årsaken til at kunden ønsker å etablere et kundeforhold og benytte de aktuelle tjenestene. Dersom formålet med oppdraget er klart, som for eksempel revisjonsoppdrag eller lovpliktige attestasjoner, vil det ikke være behov for å innhente ytterligere opplysninger om oppdragets formål og art.
Kundetiltakene skal gi revisor eller regnskapsfører en oppfatning av hvilke aktiviteter eller adferd som kan forventes av kunden fremover. Slik informasjon gjør det mulig å oppdage eventuelle avvik fra forventet atferd, noe som igjen kan gi indikasjoner på mistenkelige forhold.
Kundetiltakene er ikke fullstendige før kunden er risikoklassifisert i henholdsvis lav, normal (standard) eller høy risiko. Innholdet og omfanget av kundetiltakene er avhengig av hvilken risikoklasse kunden settes til.
I et kundeløp kan det oppstå forhold som medfører at risikoklassifiseringen av kunden må endres. Beslutningen om å endre risikoklassifisering fra standard til forsterkede kundetiltak eller ned fra forsterkede kundetiltak til standard kundetiltak, bør gjøres i samråd med hvitvaskingsansvarlig og ikke av oppdragsansvarlig alene. Dersom ikke de nødvendige kundetiltakene kan gjennomføres, eller svarene som kunden gir ikke er troverdige, skal det vurderes om kundeforholdet bør avvikles.
Undersøkelse og rapportering
Dersom revisor eller regnskapsfører oppdager forhold som kan indikere at midler har tilknytning til hvitvasking eller terrorfinansiering, må det foretas nærmere undersøkelser. Dette kan være forhold som er uvanlige i forhold til hvilke aktiviteter og adferd som kan forventes fra kunden ut fra de opplysningene kunden har gitt og tidligere erfaring med kunden. Hva som kan regnes som mistenkelige forhold som utløser undersøkelsesplikt, bør sammenlignes med forventninger regnskapsfører eller revisor har til et noenlunde tilsvarende foretak i samme bransje, i samme marked med noenlunde tilsvarende varer og tjenester. Terskelen for hva som regnes som mistenkelige forhold, er lav.
Dersom revisor har oppdaget og påpekt feil eller manglende etterlevelse av relevant regelverk overfor kunden, og kunden retter feilen, vil det normalt ikke inntre noen nærmere undersøkelsesplikt eller rapporteringsplikt. Det kan likevel oppstå situasjoner der måten kunden reagerer på, vekker mistanke og fører til at revisor bør gjøre videre undersøkelser.
Dersom du oppdager mistenkelige forhold, skal det iverksettes undersøkelser uten opphold. Du skal beskrive hva du oppfatter som mistenkelig knyttet til en identifisert kunde og rapportere (flagge) videre til Hvitvaskingsansvarlig.
Dersom undersøkelsene ikke kan avkrefte mistanken, skal forholdet rapporteres i Altinn av Hvitvaskingsansvarlig. Rapporten sendes til Enheten for finansiell etterretning (EFE) hos ØKOKRIM.
Husk at det er forbudt å avsløre overfor kunden at det undersøkes mistenkelige forhold eller at kunden er rapportert til ØKOKRIM (EFE). Det skal heller ikke avsløres at kunden er under etterforskning dersom regnskapsfører eller revisor skulle få slik informasjon.
Opplæringskrav
Nøkkelen til god etterlevelse av hvitvaskingsregelverket er tilstrekkelig, tilpasset og løpende opplæring. Opplæringen skal sikre at ansatte og andre som utfører oppdrag for foretaket, er kjent med foretakets risikoeksponering og forpliktelsene etter hvitvaskingsregelverket, og er i stand til å gjenkjenne forhold som kan indikere hvitvasking og terrorfinansiering.
Opplæringsplanen skal inneholde både kompetansekrav tilpasset den enkelte rolle/stilling i foretaket og beståelseskrav som står i forhold til kompetansekravene.
Opplæringsplanen skal dokumentere hvem som skal ha opplæring, i hva, når og hvordan. Videre må de som skal ha opplæring gis tid og anledning til å gjennomføre denne på en måte som gjør at de faktisk tilegner seg kunnskapen.
Internkontroll
Foretaket må etablere internkontrolltiltak for å påse at hvitvaskingsregelverket etterleves. Det anbefales å utarbeide en internkontrollplan som beskriver hvilke kontroller som skal utføres, når og av hvem. Planen bør angi hvordan resultatene fra internkontrollen skal rapporteres og følges opp.
Både revisorloven og regnskapsførerloven har krav til kontroll blant annet av etterlevelsen av god revisjonsskikk og god regnskapsføringsskikk. Selv om kravene kan samordnes, er ikke dette tilstrekkelig for å oppfylle kravene som stilles til internkontroll etter hvitvaskingsloven.
