Hvor skal kontrollen gjennomføres?

I henhold til loven § 5 fjerde ledd skal kontroll av legitimasjon foretas ved personlig fremmøte hos revisor. Det kan imidlertid ikke være noe i veien for at legitimasjonskontrollen skjer hos kunden, forutsatt at kontrollen foretas i tråd med forskriften § 8 første ledd. Revisor må forvisse seg om kundens identitet, herunder foreta en betryggende kontroll av at fotografi og navnetrekk på legitimasjonen er i overensstemmelse med utseende og navnetrekk til kunden eller den som møter på kundens vegne.

Det kan avvikes fra kravet til personlig fremmøte dersom dette er til vesentlig ulempe for kunden eller det ikke er praktisk mulig å gjennomføre* Jf. loven § 5 fjerde ledd.. Avvik forutsetter dog at betryggende legitimasjonskontroll likevel kan foretas. Dette vil i praksis bety at revisor må inngå avtale med en annen rapporteringspliktig om å utføre legitimasjonskontrollen* Jf. forskriften § 8 annet ledd..

Legitimasjonskontroll av fysiske personer

Forskriften § 4 inneholder konkrete krav til legitimasjonen («legitimasjonsdokument») ved etablering av kundeforhold med fysiske personer.

Hovedregelen er at kunden må fremlegge gyldig skriftlig legitimasjon i original. Det åpnes for at bekreftet kopi av legitimasjonen kan benyttes, men revisor bør primært kreve originallegitimasjon. Legitimasjonen skal inneholde fullt navn, signatur, foto og fødselsnummer. Hva gjelder gyldighetskravet, må legitimasjonen være utstedt av offentlig myndighet eller annet organ med betryggende kontrollrutiner. Legitimasjonen må være anerkjent som landsdekkende eller tilsvarende internasjonalt, eksempelvis innenfor EØS-området. Praktiske eksempler på gyldig legitimasjon er pass, bankkort og førerkort.

Legitimasjonskontroll av juridiske personer

For juridisk person som er registrert i Foretaksregisteret, skal det fremlegges firmaattest som ikke er eldre enn tre måneder* Jf. forskriften § 6 første ledd.. Når det gjelder firmaattester, har Kredittilsynet i rundskriv 9/2004 lagt til grunn at følgende kan aksepteres:

• Originalattest

• Utskrift fra Brønnøysundfaksen

• Utskrift av fullstendige og korrekte foretaksopplysninger (ikke eldre enn tre måneder) hentet fra Brønnøysundregistrene fra eksempelvis Dun & Bradstreet, CreditInform, Lindorff etc.

For juridisk person som er registrert i Enhetsregisteret, men ikke Foretaksregisteret, skal det fremlegges utskrift fra Enhetsregisteret som ikke er eldre enn tre måneder, og som inneholder alle registrerte opplysninger om enheten* Jf. forskriften § 6 annet ledd..

Juridisk person som ikke er registrert i Enhetsregisteret, men som er registrert i annet offentlig register, skal dokumentere opplysninger om navn, forretningsadresse etc. og hvilket register (i eller utenfor Norge) som kan bekrefte opplysningene.

Hvis den juridiske personen ikke er registrert i et offentlig register, skal revisor foreta identitetskontroll etter hvitvaskingsloven § 5 og registrere opplysninger etter samme lov § 6, for en fysisk person på vegne av den juridiske personen. Denne plikten er begrenset til å gjelde etablering av kundeforhold med juridisk person som ikke er registrert i Brønnøysund. Typiske eksempler er foreninger, lag, sameier, veldedige organisasjoner etc. som ikke omfattes av registreringsplikten etter foretaksregisterloven. Kundeforholdet blir i slike tilfeller registrert på den aktuelle fysiske personen, ikke den juridiske. Dette kan eksempelvis være daglig leder, styreleder, deltaker, medlem eller sameier. Revisor må kontrollere at den aktuelle personen har rett til å forplikte den juridiske personen.

For de tilfeller revisor påtar seg et oppdrag for en juridisk person, har det vært (og blir stadig) diskutert hvorvidt det er nødvendig å innhente mer enn firmaattest for å sikre en tilstrekkelig identitetskontroll. Spørsmålet er om revisor også må eller bør kreve gjennomført identitetskontroll av hele eller deler av styret, daglig leder eller andre som disponerer på selskapets vegne, eller de som står bak selskapet (større eiere, deltakere etc.).

Loven og forskriften krever som nevnt kun at revisor innhenter gyldig firmaattest. Forskriften § 6 om legitimasjonsdokumenter fikk i 2006 et nytt femte ledd, som lyder:

«Legitimasjon som nevnt i § 4 første ledd fremlegges av den eller de som er gitt disposisjonsrett over kontoen eller depotet, eller som er gitt rett til å gjennomføre transaksjonen.»

Bakgrunnen for forskriftsendringen var at det tidligere hvitvaskingsregelverket (forskrift til finansieringsvirksomhetsloven) inneholdt en slik plikt som nevnt, uten at dette ble videreført i hvitvaskingsloven og -forskriften. Utelatelsen av dette kravet ble sett på som en utilsiktet inkurie, og forskriften endret tilsvarende. Ordlyden i de tidligere reglene og i forskriften § 6 femte ledd er identisk, og slik kravet er utformet omfatter dette typisk banker, verdipapirforetak, forvaltningsselskap for verdipapirfond og verdipapirregistre, og ikke revisorer. Så vidt meg bekjent tolker da også Kredittilsynet bestemmelsen på denne måten.

Det er imidlertid ikke noe i veien for, og kan i enkelte tilfeller være hensiktsmessig, at revisor i tillegg til å innehente firmaattest foretar legitimasjonskontroll av eksempelvis hele eller deler av styret, daglig leder og/eller andre, dersom revisor etter å ha utført ordinær oppdragsvurdering av kunden anser dette som nødvendig. Risikoen for hvitvasking varierer fra kunde til kunde, og kundetype og virksomhetsområde kan derfor være momenter i en slik vurdering. Hvem revisor i så fall bør kreve legitimasjon av, vurderes i hvert enkelt tilfelle.

I forslag til ny hvitvaskingslov i NOU 2007:10 Om tiltak mot hvitvasking og terrorfinansiering (gjennomføring av EØS-regler tilsvarende EUs tredje hvitvaskingsdirektiv i norsk rett), kreves det at rapporteringspliktige ved identitetskontroll av juridisk person foretar legitimasjonskontroll av den eller de som handler på vegne av den juridiske personen, samt at det dokumenteres (eksempelvis gjennom firmaattest) at vedkommende er berettiget til å representere personen utad. Se nedenfor om forslaget til ny hvitvaskingslov og -forskrift.

Utkontraktering av identitetskontrollen

Revisor og andre rapporteringspliktige kan på gitte vilkår la andre foreta legitimasjonskontrollen* Jf. forskriften § 8 annet ledd.. Dette kan være praktisk der det er upraktisk for revisor selv å foreta legitimasjonskontrollen, eksempelvis som følge av stor geografisk avstand mellom revisor og kunde. Slik utkontraktering krever for det første skriftlig avtale. Videre må avtaleparten være rapporteringspliktig etter loven § 4. Revisor som har påtatt seg oppdraget (den primære rapporteringspliktige) har imidlertid alltid ansvaret for at kontrollen og rutiner (interne kontroll- og kommunikasjonsrutiner, opplæring etc* Jf. forskriften § 10 og § 16..) er i samsvar med hvitvaskingsregelverket.

Oppbevaring av identitetsopplysninger

Revisor har plikt til å oppbevare kopi av de nødvendige dokumenter og registrerte opplysninger knyttet til legitimasjonskontrollen i fem år etter at kundeforholdet er opphørt* Jf. loven § 8 og forskriften § 15.. Det foreligger videre en plikt til å slette dokumentene innen ett år etter at oppbevaringsplikten er opphørt* Jf. loven § 8 tredje ledd..

Etter revisorloven § 5-5 har revisor plikt til å oppbevare dokumentasjon og nummererte brev i minst ti år. Det kan derfor synes å være motstrid mellom oppbevarings- og slettingsbestemmelsene i hvitvaskingsregelverket, og pliktene etter revisorloven.

Finansdepartementet har i brev til DnR fastslått at dokumentasjon som omfattes av revisorloven § 5-5 kan oppbevares i ti år, selv om deler av disse opplysningene omfattes av hvitvaskingslovens oppbevarings- og slettingskrav. Revisor kan imidlertid ikke oppbevare dokumentasjon som innhentes og utarbeides som følge av hvitvaskingsregelverket i en periode lengre enn fem år, dersom disse ikke er nødvendige for å oppfylle oppbevaringskravene i revisorloven § 5-5.

Forslag til ny hvitvaskingslov og -forskrift

Et lovutvalg avga i august 2007 en utredning om tiltak mot hvitvasking og terrorfinansiering, NOU 2007:10. I utredningen foreslår utvalget ny hvitvaskingslov og ny hvitvaskingsforskrift. Forslagene skal blant annet gjennomføre EUs tredje hvitvaskingsdirektiv.

Når det gjelder regler om identitetskontroll, foreslår utvalget følgende:

• Det lovfestes et prinsipp om at legitimasjonskontroll skal foretas på risikobasert grunnlag. Revisor må i tråd med dette utføre kontrolltiltak som står i forhold til risikoen for hvitvasking og terrorfinansiering, og avhenger blant annet av kundetype og virksomhetsområde. I prinsippet skal revisorene selv avgjøre omfanget av de tiltak som skal gjennomføres ved identitetskontroll på basis av en vurdering av risiko for transaksjoner med tilknytning til utbytte av straffbare handlinger eller terrorfinansiering. Slik utvalgets forslag er utformet, overlates det imidlertid lite rom til revisor for skjønn ut fra risikovurderinger. En slik skjønnsbasert risikovurdering vil særlig kunne bli aktuell ved kontroll av identiteten til reelle rettighetshavere, se neste kulepunkt.

• Etter utvalgets forslag skal kundekontroll omfatte registrering av opplysninger om kunden, bekreftelse av kundens identitet på grunnlag av gyldig legitimasjon, bekreftelse av identiteten til reelle rettighetshavere på grunnlag av egnede tiltak og innhenting av opplysninger om kundeforholdets formål og tilsiktede art. Med «reelle rettighetshavere» menes fysiske personer som i siste instans eier eller kontrollerer en kunde. Dette omfatter blant annet personer som direkte eller indirekte eier eller kontrollerer mer enn 25 av eierandeler eller stemmer i et selskap eller på annen måte utøver kontroll over ledelsen av en juridisk person.

• Kravene til registrering av opplysninger foreslås i hovedsak videreført, men skjerpes i forhold til juridiske personer som ikke er registrert i offentlig register.

• I det vesentlige foreslår utvalget å videreføre bestemmelsene i gjeldende hvitvaskingsforskrift om hva som skal anses som gyldig legitimasjon for fysiske personer. Det foreslås bestemmelser som legger til rette for elektronisk identifikasjon, samt et generelt unntak fra plikten til å kreve gyldig legitimasjon i tilfeller hvor den rapporteringspliktige er sikker på kundens identitet.

• Gjeldende regler om hva som skal anses som fysisk legitimasjon for juridiske personer foreslås i hovedsak videreført. Imidlertid foreslås skjerpede krav til legitimasjon for juridiske personer som ikke er registrert i et offentlig register. Videre foreslår utvalget at det stilles krav om gyldig legitimasjon for den som handler på vegne av den juridiske personen, samt dokumentasjon for at vedkommende er berettiget til å representere den juridiske personen utad.

• Utvalget foreslår at bestemmelsen om at identitetskontroll som hovedregel skal skje ved fysisk fremmøte hos den rapporteringspliktige oppheves og erstattes av et krav om ytterligere dokumentasjon der det benyttes fysisk legitimasjon.

• Det foreslås lovfestet et krav om at kundekontroll skal gjennomføres før etablering av kundeforhold eller utføring av transaksjon. Enkelte unntaksregler foreslås fastsatt i forskrift.

• Forbudet mot å etablere kundeforhold eller utføre transaksjon i tilfeller hvor kundekontroll ikke kan gjennomføres, foreslås videreført. I forhold til etablerte kundeforhold foreslås det at det i slike tilfeller innføres plikt til avvikling av kundeforholdet. Avviklingsplikten er betinget av at fortsettelse av kundeforholdet medfører risiko for transaksjoner som har tilknytning til utbytte av en straffbar handling eller terrorfinansiering.

• Utvalget foreslår at det gis adgang for rapporteringspliktige til å legge til grunn kundekontroll foretatt av tredjeparter. Ansvaret for gjennomføring av kundekontroll i samsvar med lovens bestemmelser påhviler den rapporteringspliktige selv. I tilknytning til utveksling av opplysninger ved kundekontroll ved tredjeparter, foreslår utvalget et unntak fra lovfestede taushetspliktsregler og personopplysningsloven.

• Det foreslås adgang til utkontraktering av gjennomføring av kundekontroll, også til andre enn rapporteringspliktige. Ansvaret for lovmessig gjennomføring av kundekontroll i samsvar med lovens bestemmelser, samt etablering av forsvarlige rutiner, påhviler den rapporteringspliktige selv (oppdragsgiver).

• Utvalget foreslår regler om unntak fra plikt til å foreta kundekontroll (forenklet kundekontroll). Unntak gjelder blant annet i tilfeller hvor kunden er finansinstitusjon, verdipapirforetak, forvaltningsselskap for verdipapirfond, forsikringsselskap, forsikringsmeglingsforetak eller selskap hvis finansielle instrumenter er opptatt til notering på regulert marked i EØS. Unntakene gjelder ikke for plikten til å foreta kundekontroll ved mistenkelige transaksjoner.

• Det foreslås plikt for rapporteringspliktige til løpende å følge opp eksisterende kundeforhold.

• Utvalget foreslår en generell plikt for rapporteringspliktige til å anvende ytterligere kontrolltiltak i situasjoner som etter sin art innebærer høy risiko for transaksjoner med tilknytning til utbytte av en straffbar handling eller terrorfinansiering.

• Det foreslås særskilte regler om forsterkede kontrolltiltak i tilknytning til «politisk eksponerte personer». Uttrykket omfatter fysiske personer som innehar eller i løpet av det siste året har innehatt høytstående offentlig verv eller stilling i en annen stat enn Norge, samt nære familiemedlemmer og kjente medarbeidere til slike personer. Nærmere regler om hvem som skal anses som politisk eksponerte personer, foreslås inntatt i forskrift. Rapporteringspliktige skal ha til rådighet egnede risikobaserte framgangsmåter for å fastslå om kunden er en politisk eksponert person, samt iverksette særskilte kontrolltiltak i forbindelse med kundeforhold med eller transaksjoner for slike personer.