Bakgrunn

Revisjonsselskaper og andre rapporteringspliktige virksomheter er underlagt omfattende krav etter «Lov om tiltak mot hvitvasking og terrorfinansiering (hvitvaskingsloven)».^{*https://lovdata.no/static/lovtidend/ltavd1/2018/nl-20180601-023.pdf} Hvitvaskingsloven ble endret i 2018 og erstattet hvitvaskingsloven fra 2009. Oppdateringen gjennomførte store deler av EUs fjerde hvitvaskingsdirektiv i norsk rett, i tillegg til å implementere en rekke av FATFs (Financial Action Task Force) anbefalinger om tiltak mot hvitvasking og terrorfinansiering.^{*https://www.regjeringen.no/no/dokumenter/prop.-40-l-20172018/id2589604/?ch=1}

Gjeldende hvitvaskingslov inneholder også en videreføring av det som var gjeldende rett fra før 2018 med sentrale byggesteiner i antihvitvaskingsarbeidet. Videreføringen gjelder blant annet krav om utarbeidelse av rutiner, internkontroll, opplæring av ansatte og kundetiltak.^{*https://www.finanstilsynet.no/nyhetsarkiv/tilsynsrapporter/2024/tilsynsrapport-og-vedtak-om-overtredelsesgebyr---ernst--young-as/}

Kravene som ble skjerpet, vedrørte kundetiltak, undersøkelser og rapportering. I tillegg til å videreføre den risikobaserte tilnærmingen ble det også innført et nytt moment i loven der revisjonsforetak og andre rapporteringspliktige skal identifisere, vurdere og dokumentere risikoen for hvitvasking på virksomhetsnivå.^{*https://www.revisorforeningen.no/fag/nyheter/ny-hvitvaskingslov-ikraft/}

Fokuset på forebygging og avdekking av økonomisk kriminalitet er stadig økende, likevel sliter flere revisjonsforetak med å følge gjeldende regelverk. De siste fem årene har Finanstilsynet publisert en rekke tilsynsrapporter der revisjonsforetak har fått gebyrer og reaksjoner for overtredelser av hvitvaskingsregelverket.^{*https://www.finanstilsynet.no/tema/hvitvasking-og-terrorfinansiering/tilsynsrapporter-hvitvasking-og-terrorfinansiering/}

Gjennom å etterleve regelverket skal rapporteringspliktige kunne bidra til å forebygge og bekjempe hvitvasking. Helt sentralt er det at revisjonsselskapene har en helhetlig tilnærming til hvitvaskingsloven der virksomhetsinnrettet risikovurdering, rutiner og kundetiltak er tett sammenvevd.

Med bakgrunn i masteroppgaven vil det i det følgende presenteres funn og refleksjoner knyttet til revisjonsforetakenes utfordringer med å etterleve hvitvaskingsregelverket. Dette med mål om å øke fokuset rundt sentrale utfordringer for å kunne bidra til økt etterlevelse.

Lovens oppbygging

Hvitvaskingsloven uttrykker at revisjonsselskaper skal benytte en risikobasert tilnærming i utformingen av virksomhetsinnrettet risikovurdering, rutiner og kundetiltak.^{*https://www.finanstilsynet.no/4a5a3c/contentassets/ecc500e44fc7412f9c93bef8da84c9a3/rundskriv-14_2019.pdf} Dette er forankret i grunnprinsippene; risiko- og proporsjonalitetsprinsippet.

Risikoprinsippet har til formål å implementere den risikobaserte tilnærmingen der rapporteringspliktige skal identifisere og anerkjenne risikoen, vurdere og håndtere den.

Proporsjonalitetsprinsippet uttrykker at risikoprinsippet skal anvendes forholdsmessig.^{*Rui, J. P., Ringen, G. H. & Rørholt, K. F. (2021) Hvitvaskingsloven. Lovkommentar. Universitetsforlaget.} Dermed skal tiltakene som iverksettes for å bekjempe hvitvasking, stå i forhold til den identifiserte risikoen, virksomhetens størrelse og dens ressurser, herunder art og omfang.

I veiledningen til hvitvaskingsloven er det tydeliggjort at den virksomhetsinnrettede risikovurderingen som det er krav til etter lovens § 7, vil ha varierende omfang alt etter revisjonsforetakets størrelse, risikoeksponering og kompleksitet.^{*https://www.finanstilsynet.no/4a5a3c/contentassets/ecc500e44fc7412f9c93bef8da84c9a3/rundskriv-14_2019.pdf} Her er det sentralt at foretakets eget risikobilde skal kartlegges grundig i henhold til det proporsjonale aspektet.

Kravene til rutiner følger av hvitvaskingsloven § 8 og skal sees i sammenheng med flere tilhørende bestemmelser. Foretakenes rutiner skal tydelig bygge på deres virksomhetsinnrettede risikovurdering. Dette inngår som det neste punktet i den risikobaserte tilnærmingen. Rutinene skal være utformet til å håndtere risikoen på en forsvarlig måte, og de skal være spesielt tilpasset for det enkelte revisjonsselskap, noe som grunner i risiko- og proporsjonalitetsprinsippet.^{*Rui, J. P., Ringen, G. H. & Rørholt, K. F. (2021) Hvitvaskingsloven. Lovkommentar. Universitetsforlaget.}

I likhet med den virksomhetsinnrettede risikovurderingen og rutinene skal kundetiltakene (§ 9) også gjennomføres i samsvar med risikoprinsippet, hvor hovedmålet er å redusere hvitvaskingsrisikoen med tilfredsstillende tiltak.^{*Rui, J. P., Ringen, G. H. & Rørholt, K. F. (2021) Hvitvaskingsloven. Lovkommentar. Universitetsforlaget.} Tiltakene gjennomføres med bakgrunn i revisjonsselskapets virksomhetsinnrettede risikovurdering, rutiner, inkludert risikoklassifiseringen av hver enkelt kunde.^{*Rui, J. P., Ringen, G. H. & Rørholt, K. F. (2021) Hvitvaskingsloven. Lovkommentar. Universitetsforlaget.}

Tilsynsrapporter og metode

For å strukturere og systematisere innholdet i tilsynsrapportene ble det i masteroppgaven benyttet en dokumentanalyse med tematisk tilnærming. Utvalget bestod av 20 tilsynsrapporter, som omfatter 17 selskaper, hvor tre av disse selskapene hadde hatt tilsyn i to ulike perioder. Alle tilsynene er gjennomført i perioden juni 2020 til november 2023.

Ved å sortere ut all informasjon som omhandlet manglende etterlevelse av hvitvaskingsregelverket, var det mulig å få en oversikt over de områdene som revisjonsforetakene hadde utfordringer med. Ved å kategorisere lovbruddene ble det laget en oversikt over hvilke utfordringer som utmerket seg, systematisert etter lovens struktur slik figur 1 illustrerer.

Funn

Studien viser at revisjonsselskaper ofte utarbeider for generelle risikovurderinger, har rutiner som ikke gir tilstrekkelig opplæring og internkontroll, og gjennomfører kundetiltak som i liten grad tilpasses faktisk risiko.

Konsekvenser

Etter gjennomgang av tilsynsrapportene erfares det at følgefeil kan være en del av utfordringen. Konsekvensen av feil, eller for overordnet virksomhetsinnrettet risikovurdering, kan få forplantningseffekt til både utformingen og gjennomføringen av rutineverk og kundetiltak.

Dette betyr ikke nødvendigvis at en feil i ett ledd alltid kommer som en konsekvens av en feil et annet ledd, men forplantningsfeilene kan anses som et vesentlig problem etter gjennomgang av tilsynsrapportene.

I de tilfellene der det ble avdekket mangler i den virksomhetsinnrettede risikovurderingen, ble det også kommentert mangler i rutiner for risikovurdering av kunder. Manglende etterlevelse av rutinekravene fikk dermed konsekvenser for gjennomføring av risikovurderingen av kundene. Dette fikk videre konsekvenser for den tilhørende risikoklassifiseringen.

En for lav risikoklassifisering førte til risikoreduserende kundetiltak som var for milde. I stor grad omhandlet dette at foretakene ikke brukte forsterkede kundetiltak i tilfeller der dette skulle vært gjort.

Læringspunkter

Det kan argumenteres for at det ikke kommer tydelig nok frem av verken regelverket eller veiledningsdokumentene hva som er en god nok risikovurdering i henhold til en proporsjonal anvendelse. For den virksomhetsinnrettede risikovurderingen ser vi for oss at maler og veiledninger kan videreutvikles til å bli mer illustrative, da disse i begrenset grad bidrar til etterlevelse per nå. Det begrunnes med tilfellene av kopiering av maler og graden av overordnede risikovurderinger. Dette er ikke en enkel oppgave ettersom hvert enkelt revisjonsforetak har sin egen art og eget omfang.

Det å lage en prosessbeskrivelse der det i tillegg settes opp eksempler på hvordan en virksomhetsinnrettet risikovurdering kan se ut basert på ulike typer revisjonsforetak, kan være en måte å veilede revisjonsforetakene på. Dette vil i så fall være viktig for å illustrere hvordan man skal forholde seg til proporsjonalitets- og risikoprinsippet, og det kan bidra til en grundigere vurdering. Likevel er faren at disse prosessbeskrivelsene også bare blir kopiert og misbrukt.

For rutiner ser vi at opplæring er en av de store utfordringene. Samtidig er dette et punkt som Finanstilsynet ser ekstra nøye på når de gjennomfører tilsynene sine. Lav undersøkelses- og rapporteringsgrad blant revisjonsselskaper kan tyde på en for svak opplæring. Det kan være påvirket av opplæringsrutiner som ikke har vært gode nok. Opplæring og løpende oppdatering av opplæring er nødvendig for å kunne forebygge og avdekke hvitvasking. Ettersom undersøkelses- og rapporteringsgraden for revisjonsbransjen er lav og funnene fra denne masteroppgaven indikerer svak opplæring av ansatte, er dette noe bransjen bør fokusere mer på.

At det av fem tilsynsrapporter framgår at det var helt mangel på rutiner, er urovekkende, spesielt med tanke på opplæring. Både i de tilfellene der det ikke eksisterte rutiner og der det var mangelfulle rutiner, kan det anbefales på et generelt grunnlag at fokuset må dreies mer mot virksomhetsspesifikke rutiner.

For kundetiltak kan det være sentralt for revisjonsforetakene først og fremst å ta tak i de områdene hvor det er størst sannsynlighet for at Finanstilsynet vil kontrollere. For eksempel vil det være nødvendig med ekstra fokus på risikovurdering og klassifisering for kunder i høyrisikobransjer, i tillegg til påfølgende tilstrekkelige kundetiltak som er tilpasset den aktuelle risikoen.

Konklusjon

Ut fra funnene i masteroppgaven kan man stille seg spørrende til om revisjonsforetakene ser på anti-hvitvaskingsarbeidet som en formalitet, snarere enn noe som må gjøres grundig og kontinuerlig for å forebygge og avdekke hvitvasking.

Etterlevelsesutfordringene knytter seg ikke bare til enkeltstående svakheter på et bestemt område. De må ses i sammenheng med ukritisk bruk av maler og veiledninger, manglende konkret opplæring, upresise og manglende interne kontrollmekanismer og risikovurderinger som ikke tar innover seg de aktuelle vurderingskriteriene for å kunne iverksette passende kundetiltak.

Revisjonsforetakene må i større grad ha fokus på en samlet, robust og helhetlig risikobasert tilnærming der proporsjonalitetsprinsippet samtidig blir ivaretatt. For å opprettholde integriteten i det finansielle systemet er det essensielt at revisorer og revisjonsforetak ikke bare overholder lovgivningen, men også har en proaktiv holdning til å identifisere og håndtere risiko relatert til hvitvasking.