Den rapporteringspliktiges ansvar

Hvitvaskingsregelverket deles gjerne inn i tre hovedplikter:

1. Plikt til å foreta risikobasert kundekontroll og plikt til å påvise dette i ettertid,

2. plikt til å foreta løpende oppfølging, samt plikt til å rapportere og undersøke mistenkelige transaksjoner, og

3. plikt til å etablere forsvarlige interne kontroll- og kommunikasjonsrutiner, samt opplæringsprogrammer.

Prinsippet om risikobasert kundekontroll og løpende oppfølging er i dag beskrevet i hvitvaskingslovens §5. Loven krever at rapporteringspliktige skal gjennomføre kundekontroll basert på en vurdering av en antatt risiko for gjennomføring av transaksjoner relatert til hvitvasking og terrorfinansiering. Ved å benytte seg av en risikobasert tilnærming har myndighetene lagt ansvaret for å definere og vurdere risikoen over på de rapporteringspliktige.

Risikovurderinger og risikobasert tilnærming er blitt vektlagt ytterligere i forslag til ny hvitvaskingslov (NOU 2016:27)* https://www.regjeringen.no/no/dokumenter/horing---hvitvaskingslovutvalgets-utredning-nou-2016-27/id2525022/ der EUs fjerde hvitvaskingsdirektiv er implementert. Utvalget bak det nye lovforslaget har blant annet foreslått at tilsynsmyndigheter kan pålegge administrative forvaltningstiltak og sanksjoner ved overtredelser av lovens forpliktelser. Vi har allerede sett at varslede administrative forvaltningstiltak og sanksjoner har medført en holdningsendring hos rapporteringspliktige, som har økt eget fokus på å etterleve nåværende og fremtidige lovkrav.

Det er forventet at ny hvitvaskingslov vil bli gjeldende like før sommeren i 2018.

Revisor og regnskapsførers ansvar

Finanstilsynet har i 2017 utgitt to rundskriv om revisors* https://www.finanstilsynet.no/nyhetsarkiv/rundskriv/2017/veiledning-om-revisors-og-revisjonsselskaps-etterlevelse-av-hvitvaskingsregelverket/ og regnskapsførers* https://www.finanstilsynet.no/nyhetsarkiv/rundskriv/2017/veiledning-om-regnskapsforers-og-regnskapsforerselskaps-etterlevelse-av-hvitvaskingsregelverket/ etterlevelse av hvitvaskingsregelverket. Revisor og regnskapsfører plikter å forholde seg i samsvar med gjeldende krav og forpliktelser som følger av profesjonen og om forhold som er rapporteringspliktige etter hvitvaskingsreg­lene. I rundskrivene er kravet til risikobasert tilnærming presisert, uten at det er gitt nærmere beskrivelse av hvordan en risikovurdering i praksis skal gjennomføres. Under DnR-konferansen 2017 var kursholders inntrykk at svært få revisjons- og regnskapsselskaper kan dokumentere at deres risikobaserte tilnærming er forankret i en dokumentert analyse av risikoen for hvitvasking og terrorfinansiering. Dette kan skyldes at alle kunder ved etablering av kundeforhold blir kategorisert som «normal» og at det er tillit til at valgte systemløsninger reagerer på «unormale» forhold.

Hva er risiko?

Et naturlig spørsmål som reiser seg når man snakker om risikoanalyse, er hva som ligger i begrepet «risiko». Loven har ingen klar definisjon av begrepet risiko, men den virker å legge FATFs definisjon til grunn. FATF* FATF: Guidance on the Risk-based Approach to Combating Money Laundering and Terrorist Financing - High Level Principles and Procedures, s. 7. sier at risikoen for hvitvasking og terrorfinansiering er et produkt av faktorene trussel og sårbarhet. Hva som innebærer risiko, er ingen statisk vurdering og vil endre seg over tid ettersom samfunnsforholdene utvikler seg og trusselen endres.

Hva er risikobasert tilnærming?

Arbeidet mot hvitvasking og terrorfinansiering skal ha en risikobasert tilnærming og rapporteringspliktige skal kunne påvise overfor tilsynsmyndighetene at virksomhetens omfang av utførte tiltak er tilpasset den aktuelle risikoen. Dette innebærer blant annet at revisor og regnskapsfører må vurdere risikoen for at kunder eller bransjer kan være involvert i hvitvasking og terrorfinansiering. Dersom det skjer vesentlige endringer i forhold som kan ha betydning for risikovurderingen, skal det gjøres en fornyet vurdering.

Det presiseres at det ikke er godt nok kun å risikovurdere kunden. Tilnærmingen omfatter å risikovurdere overordnet en rekke områder og kategorier, som skal gi grunnlag for hvilke tiltak som skal iverksettes av den rapporteringspliktige virksomheten. En slik risikovurdering kan gjerne omtales som den «øverste rutinen», som skal være styrende for alt rammeverk i interne kontroll- og kommunikasjonsrutiner.* Hvitvaskingslovens § 23 (Kontroll- og kommunikasjonsrutiner). Risikobasert tilnærming innebærer å iverksette tiltak som er forankret i den overordnede risikovurderingen. Slike tiltak omfatter blant annet organisering, rutiner, policy, risikoklassifisering og kundekontroll. Risikovurdering av de enkelte kundene og kundeforholdene skal således gjennomføres uavhengig av den overordnede risikovurderingen.

Risikoanalyse er et verktøy som benyttes for å skaffe seg oversikt over risiko på en systematisk måte og som dokumentert grunnlag for vurdering ved iverksettelse av nødvendige og målrettede tiltak for å etterleve nåværende og fremtidige lovkrav. Grunnlaget skal gi en beskrivelse og vurdering av følgende områder og kategorier:

• Produkter og tjenester

• Kundesegment

• Transaksjon

• Geografisk område

• Distribusjonskanaler

• Egne tiltak mot hvitvasking og terrorfinansiering

I tillegg vil flere forhold kunne ha relevans ved vurdering av kunder:

• Bransje (for eksempel bygg- og anlegg, olje, gass og supply, fiskeri og eiendom)

• Personer involvert i virksomheten

• Om personer som er involvert i virksomhet, er straffet for hvitvasking, terrorfinansiering eller annen økonomisk kriminalitet

• Organisering av virksomheten

• Avvik mellom det uttalte formålet med virksomheten og den faktiske driften

• Foretak som ledes eller eies av en politisk eksponert person, eller noen som står en slik person nær

Det skal være en rød tråd mellom risikoanalysen og tiltak. Dette innebærer at ressursene skal fordeles effektivt og at de største risikoene skal gis størst oppmerksomhet.* Ot.prp.nr.3 (2008-2009) s. 46. Det er behov for en forståelse av helhetsbildet og lovens krav om å identifisere tiltak. Rapporteringspliktige kan for eksempel i enkelte tilfeller ha overvurdert en risiko, men ha undervurdert den i andre tilfeller. Dette kan ha medført at rapporteringspliktige har fordelt ressursene feil og at tiltak ikke har gitt ønsket effekt.

Risikoanalysen kan for eksempel gi grunnlag for en policy om at virksomheten ikke skal etablere kundeforhold med enkelte bransjer og næringer, for eksempel pornografi og spillvirksomhet uten konsesjon. Videre kan analysen definere hvilke land man skal være forsiktig med å etablere kundeforhold i. Betaling fra kunder som er etablert i høyrisikoland, vil normalt skje gjennom kundens hovedbankforbindelse, som kan være oppført på sanksjonsliste. I slike tilfeller vil norske finansforetak ikke tillate at det gjennomføres transaksjoner. Dette kan medføre en risiko for at din virksomhet ikke får betaling for utførte oppdrag.

Vår kjennskap til rapporteringspliktiges risikoanalyser er at disse ofte ikke har god nok kvalitet. Kunnskap og forståelse om risiko er ikke tilstrekkelig systematisert og tatt hensyn til, slik at tiltakene ikke gjenspeiler kravene i hvitvaskingsloven. Merverdien av gode risikoanalyser må ikke undervurderes, da identifiserte risikoer og tiltak også kan forebygge og avdekke andre former for kriminalitet.

Rapporteringspliktige skal årlig oppdatere den overordnede risikovurderingen og forankre denne på øverste nivå hos den rapporteringspliktige.

Nasjonal risikovurdering

I nylig utgitt Nasjonal risikovurdering «Hvitvasking og terrorfinansiering i Norge»* https://www.regjeringen.no/contentassets/23edcd9af7fe49d0a8e9c7f4f069a212/nra-2016-norsk.pdf er risikoen knyttet til revisor og regnskapsfører beskrevet. Det er fremhevet at revisorer og regnskapsførere har et viktig samfunnsansvar med hensyn til å rapportere mistenkelige transaksjoner hos sine oppdragsgivere. Både revisorer og regnskapsførere kan bli utnyttet av kriminelle, i tillegg til aktivt å bidra til økonomisk kriminalitet og hvitvasking. Selv om det i Nasjonal risikovurdering er vurdert at risikoen knyttet til revisor og regnskapsfører er lav, er det påpekt at risikoen for at profesjonelle aktører bidrar til hvitvasking er moderat. Det er videre uttrykt en bekymring for at mistenkelige transaksjoner ikke avdekkes og rapporteres i tilstrekkelig grad.

Kundetiltak

Alle kunder skal risikovurderes både ved etableringen av kundeforholdet og løpende. En risikoanalyse skal blant annet brukes til å definere hvilke kunder som skal ha forsterket kundekontroll (høyrisikokunder), hvilken informasjon som bør innhentes før kundeforhold etableres og hvilken informasjon som må oppdateres i løpende oppfølging. I forslag til ny hvitvaskingslov endres begrepet «kundekontroll» til «kundetiltak», som mer presist skal omhandle alle lovpålagte tiltak overfor kunder. Kundetiltak kan for eksempel være å kontrollere kundens egne opplysninger og innhente dokumentasjon på eierskap.

Kundetiltak skal gjennomføres før revisor og regnskapsfører påtar seg et oppdrag eller annen type oppdrag for nye kunder, uavhengig av omfanget på oppdraget. Dersom kundetiltak i tilstrekkelig grad ikke lar seg gjennomføre, er det forbud mot å etablere kundeforhold.

I tilfeller der det kan være høy risiko for hvitvasking eller terrorfinansiering, skal det foretas forsterkede kontrolltiltak. Husk at forsterkede kontrolltiltak kommer i tillegg til de alminnelige tiltakene som kreves. Forsterket kundekontroll skal alltid foretas for kunder som er identifisert som høyrisiko i risikovurdering og for politisk eksponerte personer (PEP).

Forsterkede kontrolltiltak kan innebære at det må innhentes utfyllende opplysninger om oppdragsgiver, og at det iverksettes skjerpet manuell og elektronisk oppfølging av kundeforholdet. Eksempel på forsterkede kundetiltak er: innhenting av ajourført aksjeeierbok, dokumentasjon på midlenes opprinnelse og dokumentasjon på formålet med enkelttransaksjoner.

Hva kan din virksomhet svare på det siste spørsmålet som ble stilt av kursholderen på DnRs årskonferanse?

Forhåpentligvis har ditt revisjons- og regnskapsselskap gjennomført en dokumentert analyse av risikoen for hvitvasking og terrorfinansiering, hvor elementene som skal inngå i analysen i tilstrekkelig grad er vurdert. Eller?