1.1 Innledning

I løpet av 2024 sendte 42 revisorer/revisjonsforetak til sammen 87 rapporter om mistenkelige forhold til Financial Intelligence Unit (FIU), ØKOKRIM.

Totalt ble det innsendt 30 659 rapporter. 22 815 av rapportene kom fra banker. Antallet rapporter har økt betydelig de siste fem årene. Til sammenligning ble det i 2020 sendt totalt 12 703 rapporter.

Denne artikkelen peker på flere endringer som revisor må være oppmerksom på etter hvitvaskingsregelverket. Flere av de pliktene som følger av dagens hvitvaskingslov kommer til å bli mer detaljerte. Blant annet blir det stilt strengere krav til revisors risikovurdering etter hvitvaskingsregelverket. Kravene til gjennomføring av kundetiltak forventes å bli mer omfattende og presise. Det blir sannsynligvis mindre rom for skjønnsutøvelse ved gjennomføring av kundetiltak. Tilsynspraksis kommer til å bli endret og mer standardiserte, også når det gjelder anvendelsen av administrative sanksjoner.

For revisor betyr dette at kravene til etterlevelse av hvitvaskingsloven skjerpes. Regelbrudd kan få enda større konsekvenser for foretaket, også for den enkelte revisor, enn hva som er tilfelle i dag.

Mange av revisors kunder forventer at revisor kan gi råd og veiledning om ulike spørsmål etter hvitvaskingsregelverket. Dette kan gjelde spørsmål som kunden møter i kontakt med egen bankforbindelse, advokatforbindelse, regnskapsfører eller andre rapporteringspliktige. Revisors kunder får raskt et inntrykk av om revisor er oppdatert på regelutviklingen.

En revisor som ikke har nødvendig kunnskap om hvitvaskingsregelverket, kan risikere å bli misbrukt av kunder som har uærlige hensikter. De ærlige kundene kan derimot få et negativt inntrykk av revisor som en profesjonell rådgiver hvis revisor ikke er oppdatert på regelverket.

Dersom du ikke er fortrolig med forkortelser som UBO, AMLA, FIU, og RTS, bør du fortsette å lese her.

1.2 Bakgrunnen for regelendringene

De neste regelendringene har først og fremst bakgrunn i de mange avsløringene av brudd på hvitvaskingsregelverk i EU, særlig innen bank- og finanssektoren de siste 10–15 år. Dessuten er det forskjeller i hvordan EU- og EØS-stater har implementert direktiver på hvitvaskingsområdet.

Derfor innføres det en ny hvitvaskingslov i form av en forordning, i stedet for direktiv som tidligere. Dermed blir regelverket implementert direkte i alle medlemsland fra sommeren 2027.

EU opprettet et sentralt tilsynsorgan i 2024 for å styrke samarbeidet mellom myndigheter og tilsynsorganer på tvers av EU, og for å sikre en mer helhetlig tilsynsstruktur. Resultatet av dette vil vi sannsynligvis merke i Norge allerede i 2025.

2.1 Ny hvitvaskingslov

AML-forordning som ble vedtatt i 2024, skal styrke og harmonisere regelverket for bekjempelse av hvitvasking og terrorfinansiering i hele EU-/EØS-området.

Forordningen er planlagt implementert i nasjonal lovgivning i EU-landene i juli 2027. Som følge av at Norge ikke er medlem i EU, må forordningen gjennom totrinnsbehandlingen i samsvar med EØS-avtalen, før den får rettskraft i Norge. Sannsynligvis blir forordningen implementert i norsk lov omtrent samtidig som i EU. Men, det er fortsatt en viss usikkerhet om hvordan og når forordningen innføres i norsk rett når dette skrives.

AML-forordningen medfører blant annet disse endringene:

• Mer omfattende krav til innholdet i den virksomhetsinnrettede risikovurderingen – blant annet krav om at risikovurderingen skal inkludere internasjonale sanksjoner.

• En rekke presiseringer og mer detaljerte krav knyttet til gjennomføring av kundetiltak (KYC). Revisor må vite mer om kunden og begrunne risikoklassifiseringen av kundene grundigere enn i dag.

• Innstramminger når det gjelder adgangen til å gjennomføre forenklede kundetiltak.

• Presisering av krav til forsterkede kundetiltak for høyrisikokunder.

• Tydeligere regler for innhenting av informasjon av «reelle rettighetshavere». Blant annet flere og mer detaljerte krav til identifikasjon av reell rettighetshaver og oversikt over eierstruktur.

• Definisjonen av politisk eksponerte personer (PEP) utvides. Det foreslås blant annet at «heads of regional and local authorities» med mer enn 50 000 innbyggere, inkluderes i definisjonen av PEP.

• Standardiserte krav til rapportering av mistenkelige forhold til FIU, ØKOKRIM.

• En viss utvidelse av listen over rapporteringspliktige.

• Mer spesifikke krav til aktører som opererer innen virtuell valuta.

Det forventes at det blir mindre rom for nasjonale tilpasninger av hvitvaskingsregelverket. Det er foreløpig uklart hvordan regelendringene vil slå ut i praktiseringen av administrative reaksjoner ved brudd på regelverket.

2.2 Regelutforming etter EUs nye hvitvaskingsregelverk

Det pågår regelutforming av flere og mer detaljerte krav til utforming av hvitvaskingsregelverket gjennom såkalte RTS-er (Regulatory Technical Standard) eller det vi i Norge sannsynligvis vil benevne som regulatoriske tekniske standarder.

European Banking Authority (EBA) er gitt i oppgave å utforme RTS-er i tillegg til å utarbeide flere veiledninger på hvitvaskingsområdet. Dette ansvaret overføres på et senere tidspunkt til The Authority for Anti-Money Laundering and Countering the Financing of Terrorism (AMLA) som er navnet på EUs nyopprettede sentrale tilsynsorgan. Mer om AMLA i pkt. 2.3 nedenfor.

RTS-er er bindende standarder som utformes av EBA/AMLA etter høringsrunde og deretter vedtas av EU-kommisjonen.

Når dette skrives, gjennomfører EBA høring om krav til hvordan rapporteringspliktige skal gjennomføre virksomhetsinnrettet risikovurdering på hvitvaskingsområdet. Når retningslinjene er vedtatt, forventes det at rapporteringspliktige oppdaterer egen risikovurdering i samsvar med de nye kravene. Det forventes også økte krav til dokumentasjon og ajourføring av risikovurderingen.

EBA gjennomfører også en høring om krav til gjennomføring av kundetiltak. Høringen omfatter både standard kundetiltak (Customer Due Diligence – CDD) og forsterkede kundetiltak (Enhanced Due Diligence – EDD). Det forventes en økning i hva som kan anses som minimumskrav til innhenting av informasjon. Kravene vil berøre spørsmål som risikobasert bruk av kundetiltak, anvendelse av eksterne kilder og digitale løsninger, samt krav til EDD for kunder som har tilknytning til høyrisikoland og/eller har komplekse eierstrukturer.

Det forventes også utforming av RTS om internkontroll og etablering av styringssystem etter hvitvaskingsregelverket.

Av andre endringer vil det sannsynligvis bli utformet noen minstekrav til hvitvaskingsansvarlig og vedkommendes rolle og uavhengighet. Det blir nye krav til opplæring og krav til rapportering til styret i tillegg til krav som er knyttet til styrets ansvar for overvåking av etterlevelsen av hvitvaskingsregelverket.

2.3 EUs tilsynsorgan – AMLA

Det nye tilsynsorganet i EU for hvitvasking og terrorfinansiering – AMLA – er plassert i Frankfurt am Main og operativt fra 2025.

AMLA skal samarbeide med andre overnasjonale tilsynsorgan som EBA (European Banking Authority), EIOPA (den europeiske tilsynsmyndigheten for forsikring og tjenestepensjon) og ESMA (European Securities and Markets Authority) for å utveksle informasjon og samarbeide om koordinering av tiltak mot hvitvasking og terrorfinansiering i finansiell sektor. EBA er delaktig i arbeidet med å utvikle tilsynspraksis og har en koordinerende rolle i samarbeid med AMLA. Det utvikles blant annet RTS-er for risikobaserte tilsyn. AMLA vil etter hvert overta oppfølgingen av det arbeidet som gjøres av EBA.

Tilsynsorganet skal legge føringer for hvordan medlemsstatene gjennomfører tilsyn på hvitvaskingsområdet. Finanstilsynet plikter å følge de retningslinjene som utvikles av AMLA. Dermed forventes det at tilsynspraksis i Norge vil endres. Det er foreløpig usikkert hvilke endringer vi vil merke i Norge. Noen spørsmål som mange har, er om reaksjonsnivåer ved feil og mangler blir endret vesentlig. Vil gebyr ved overtredelser bli like høye som vi ser i enkelte EU-land? Noen er usikre på om Finanstilsynet vil utføre færre kontroller av rammeverket, og i stedet konsentrere tilsyn om gjennomførte kundetiltak.

En endring er likevel forutsigbar. Revisor kan ikke forvente den samme veiledningen fra Finanstilsynet fremover. Det skyldes at det blir mindre rom for nasjonale tilpasninger, og at Finanstilsynet vil følge retningslinjene som utvikles av AMLA, selv om Finanstilsynet selv ikke vil ha nevneverdig påvirkning på innholdet i disse retningslinjene.

Vi antar at tilsynspraksisen fremover vil bli oppfattet som strengere, mer detaljert og mer innrettet på vurdering av gjennomførte kundetiltak for nye og allerede etablerte kunder enn hva som har vært tilfelle så langt. Det inkluderer de vurderingene revisor har gjort knyttet til risikoklassifiseringen av kunder, og innholdet i de forsterkede kundetiltakene.

I tillegg skal AMLA sørge for at medlemslandenes Financial Intelligence Unit (FIU) blir mer effektive. AMLA skal bidra til at FIU-enhetene i medlemsstatene øker kvaliteten i sitt arbeid, og at de utveksler informasjon mellom FIU-enhetene over landegrensene. Vi kan derfor forvente nye krav og betydelige endringer for FIU i Norge. Blant annet når det gjelder utvikling av metoder for analyser av MT-rapporter, og utveksling av informasjon med andre lands FIU-enheter.

2.4 FIU

FIU ble tidligere omtalt som «Enheten for finansiell etterretning» (EFE). Enheten har endret navn til «FIU». Hvert land har sin egen FIU.

Rapporter om mistenkelige forhold er som kjent noe annet enn politianmeldelse. I dagligtale omtales ØKOKRIM som mottaker av rapporter om mistenkelige forhold fra revisor og andre rapporteringspliktige. I realiteten er det FIU hos ØKOKRIM som mottar og behandler MT-rapportene.

Rapporter om mistenkelige forhold (MT-rapporter) utgjør informasjon som klassifiseres som finansiell etterretning. Innholdet i MT-rapportene behandles som etterretningsinformasjon av FIU. Det er bestemte regler om hvilken informasjon som kan deles og med hvem. Det pågår et arbeid fra myndighetene for å myke opp reglene om deling av informasjon, også med rapporteringspliktige.

2.5 Nye krav til MT-rapporter

FIU ved ØKOKRIM benytter «maskinlæring» i sin innsamling og behandling av rapporter om mistenkelige forhold fra de rapporteringspliktige. FIU har derfor behov for at MT-rapporter har et bestemt innhold. Formålet sett fra FIU sin side er å oppnå best mulig utbytte av det analysearbeidet som gjennomføres av FIU.

Revisor kan derfor forvente tydeligere krav fra FIU om innhold og andre krav til MT-rapporter innen utgangen av 2026.

Revisor har tidligere benyttet Altinn til rapportering av mistenkelige forhold. Som følge av manglende sikkerhet ved bruk av Altinn ved rapportering av mistenkelige forhold, vil det komme nye løsninger for slik rapportering. Revisor kan derfor forvente endringer også i hvordan rapporter om mistenkelige forhold skal sendes.

Utvikling av etterlevelseskultur

Målsettingen for revisorforetaket bør være å skape en «etterlevelseskultur» der partner/oppdragsansvarlig, managere og andre medarbeidere hjelper hverandre med å sikre en god og trygg etterlevelse av hvitvaskingsregelverket.

Utvikling av en slik organisasjonskultur forutsetter blant annet kunnskap om, og vilje til å prioritere nødvendige oppgaver som sikrer høy grad av etterlevelse i alle ledd. Forståelsen av formålet med kundetiltak og kunnskap om hvordan kunder skal risikoklassifiseres, er vesentlig for å oppnå en etterlevelseskultur.

Anbefaling: Etabler en tydelig etterlevelseskultur som følges opp fra ledelsen og den enkelte partner/oppdragsansvarlig.

Opplæring

Opplæring er helt avgjørende for at ansatte på alle nivåer skal ha rett kompetanse til å kunne utføre de sentrale oppgavene på korrekt måte. Opplæringen må tilpasses den enkeltes ansvar og oppgaver. Dette krever vilje og prioritering fra sentrale personer og beslutningsorgan i revisorforetaket.

Uten tilstrekkelig kunnskap hos ansvarlige og deres medarbeidere er det små muligheter til å oppnå en god etterlevelseskultur.

Opplæringsplanen skal inneholde både kompetansekrav og beståelseskrav, basert på opplæringsbehovet for den enkelte (gruppe av) ansatte. Foretaket må derfor finne måter å sikre at ansatte gjennomfører tester som viser at de har forståelse for hvilke sentrale oppgaver etter hvitvaskingsregelverket som skal gjennomføres, hvorfor og hvordan.

Anbefaling: Gi ansatte god og relevant opplæring – spesielt om kravene rundt forståelse (og dokumentasjon) av kundens eierskaps- og kontrollstruktur, reelle rettighetshavere, hvordan kundetiltak skal gjennomføres (særlig forsterkede tiltak), og hvordan foretakets egen risikovurdering skal anvendes i praksis.

Oppdatert risikovurdering

Foretakets egen risikovurdering er også blant de sentrale tiltakene for å kunne oppdage eventuelle svakheter ved etterlevelsen av regelverket. Det har derfor betydning hvordan ajourføringen av risikovurderingen gjennomføres og hvem som deltar i ajourføringen. Det anbefales å utarbeide et årshjul der aktiviteter i hvert kvartal beskrives og følges opp.

Vær oppmerksom på at det kan oppstå situasjoner der risikovurderingen må gjennomføres oftere enn årlig, f.eks. ved innføring av nye RTS-er som krever endring av tidligere vurderinger.

Anbefaling: Oppdater egen risikovurdering som en konsekvens av eventuelle endringer i regelverket.

Kundetiltak

Det forventes at kravene til kundetiltak blir mer konkrete og entydige som følge av nye RTS-er og innføring av forordningen som beskrevet over. Dette gjelder særlig kundeforhold som berører ett eller flere høyrisikomomenter, og som dermed må vurderes for forsterkede kundetiltak. Det forventes at revisor kan risikoklassifisere kunder slik at høyrisikokundene blir identifisert og underlagt slike forsterkede kundetiltak som høyrisikomomentene tilsier. Dette stiller også krav til oppdatering av opplæring og bruk av verktøy og systemer som hjelper revisor med å etterleve kravene til gjennomføring av kundetiltak.

Anbefalinger om kundetiltak:

• Sørg for tydelig dokumentasjon av de vurderingene som er gjort knyttet til risikoklassifisering av kunder.

• Sørg for at relevante kundetiltak er gjennomført og dokumentert.

• Påse at kunder som innebærer forhøyet risiko er underlagt forsterkede kundetiltak, og at oppfølging av slike kunder skjer i henhold til de momentene som gir grunnlag for forhøyet risiko.

• Oppdater kundetiltakene i samsvar med nye krav som forventes fremover.

Undersøkelsesplikt

Kravene til undersøkelsesplikt er en sentral del av regelverket. Det forventes at revisor kan oppdage forhold som kan indikere mistenkelige aktiviteter eller transaksjoner. Revisors tilgang til informasjon fra foretaket (revisjonskunden) setter revisor i en unik posisjon til å kunne oppdage mistenkelige forhold.

Anbefaling: Sørg for at partnere og ansatte har god kunnskap om hvilke forhold det forventes at revisor undersøker, og hva undersøkelsesplikten innebærer.

Internkontroll og dokumentasjon

Revisorloven har krav til kontrollhandlinger som skal gjennomføres for å sikre etterlevelsen av god revisjonsskikk og andre forhold i oppdragsutførelsen. Hvitvaskingsloven presiserer at kravet om internkontroll også skal omfatte etterlevelsen av hvitvaskingsloven. Kravene knyttet til planlegging, gjennomføring og rapportering av internkontroll skjerpes. Internkontrollen må være egnet til å sikre etterlevelsen av samtlige deler av hvitvaskingsregelverket.

Anbefalinger om internkontroll:

• Utarbeid en internkontrollrutine/-plan som beskriver hvilke internkontrollaktiviteter som skal gjennomføres, når og av hvem, samt hvordan resultatene skal rapporteres og følges opp. Planen må være konkret, og beskrive hvilke handlinger som skal inngå i de ulike kontrollpunktene.

  • Utarbeid en tiltaksplan som viser planlagte, pågående og gjennomførte forbedringstiltak som er identifisert gjennom internkontrollaktivitetene.

  • Ledelsen må påse at internkontrollplanen følges, at kontrollaktivitetene dokumenteres og at forbedringstiltakene har ønsket effekt.

Dersom disse anbefalingene følges, vil revisor og revisorforetaket være godt rustet til å møte de nye utfordringene som følger av forordningen, RTS-er og ny tilsynspraksis.

Løsning på kryssord side 13