AML - Bekjempelse av hvitvasking av penger

Veiledning: Hvordan sikre etterlevelse av AML-regelverket

Innhold

1. Rutiner

2. Utdanning/opplæring

3. Risikovurdering

4. KYC

5. Risikoklassifisering

6. Overvåking

7. Rapportering til myndighetene

1. Rutiner

Virksomheter som omfattes av hvitvaskingsloven må ha rutiner og retningslinjer for tiltak for kundekunnskap, oppfølging, rapportering og behandling av personopplysninger. Generelt må rutiner og retningslinjer for å motvirke hvitvasking og terrorfinansiering ta utgangspunkt i virksomhetens overordnede risikovurdering. Det vil si at de må være utformet for å kunne håndtere og motvirke de risikoene som organisasjonen har identifisert.

I tillegg må følgende funksjoner være på plass:

• En spesielt utnevnt leder med ansvar for bl.a. a. å utarbeide og oppdatere den overordnede risikovurderingen, sørge for at det finnes felles retningslinjer og rutiner (og at disse oppdateres), kontrollere og følge opp tiltak og rutiner, og rapportere til styret eller administrerende direktør.

• En sentral funksjonsleder i selskapet med ansvar for bl.a. a. å kontrollere at selskapet overholder loven, gi råd og støtte samt informere og gi opplæring, gi informasjon til myndigheter på forespørsel, kontrollere at rutiner og retningslinjer er effektive, og være ansvarlig for rapportering til myndigheter.

• En uavhengig revisjonsfunksjon med ansvar for blant annet å gjennomgå og evaluere effektivitet når det gjelder organisasjon, IT og systemer, internkontroll, risikostyring med mer.

2. Utdanning/opplæring

Ettersom forskriftskravene oppdateres og endres jevnlig, er en viktig del av arbeidet å sikre at de ansatte har riktig opplæring og dermed oppdatert kompetanse. Ta hensyn til følgende aktuelle utdanninger:

• Individuelt tilpasset opplæring basert på den ansattes rolle og oppgaver/ansvar i forbindelse med hvitvaskingsspørsmål.

• Baser opplæring og utdanning på bedriftens generelle risikovurdering.

• Sett opp en plan for kontinuerlig opplæring, men utfør også ekstern overvåking og revisjoner for å kunne tilpasse aktivitetene og opplæringen til aktuelle hendelser.

3. Risikovurdering

En viktig del av prosessen er å foreta en generell risikovurdering av virksomheten din med tanke på hvitvasking av penger. Den skal ta hensyn til følgende:

• Hvilke typer produkter og tjenester du tilbyr

• Kunder og distribusjonskanaler

• Geografiske risikofaktorer

Hvor omfattende den generelle risikovurderingen skal være, bestemmes av virksomhetens størrelse og art. Omsetning, antall ansatte, antall forretningssteder, hvilke aktiviteter som utføres, hvilke varer eller tjenester som leveres og hvor komplekse disse varene og tjenestene er, er faktorer som må tas i betraktning.

4. KYC

For å unngå unødvendig risiko må organisasjoner som omfattes av loven, ha solid kunnskap om kundenes virksomhet. Denne delen av AML-prosessen kalles KYC eller know your customer, og innebærer normalt en rekke kontroller og screeninger av nye og eksisterende kunder.

Tiltak for å oppnå den nødvendige kunnskapen om kundene skal baseres på selskapets generelle risikovurdering i kombinasjon med en vurdering av den enkelte kundes risiko. Kontroller og screeninger omfatter vanligvis grunnleggende informasjon om kundens virksomhet, som adresse, toppledere osv., men også informasjon som styremedlemmer, reelle rettighetshavere, PEP-status (politisk eksponerte personer), status på sanksjonslistene og ulike spørsmål om virksomheten.

5. Risikoklassifisering

Som nevnt ovenfor må tiltak for å oppnå kundekunnskap tilpasses ut fra en vurdering av omfanget av risikoen for å bli utnyttet til hvitvasking og terrorfinansiering. Risikovurderingen må baseres på virksomhetens generelle risikovurdering og hva virksomheten vet om den enkelte kunde.

Dette betyr at organisasjonen i praksis må klassifisere risiko med hensyn til:

• Kundens produkter og tjenester

• Virksomhetens geografiske beliggenhet

• Selskapets type kunder

• Selskapets distribusjonskanaler

Klassifiseringen gjøres vanligvis på grunnlag av vurderingsnivåene lav, middels og høy. Et eksempel der en høyere risikoklassifisering kan være relevant, er produkter og tjenester med en kompleks struktur, eller hvis et selskap henvender seg til et internasjonalt marked.

I tillegg til den generelle risikovurderingen må organisasjonen også vurdere risikoen for den enkelte kunde og forretningsrelasjonen. Resultatet av denne vurderingen avgjør hvilke tiltak som må iverksettes for å oppnå kundekunnskap. Hvis risikoen ved forretningsrelasjonen vurderes som lav, kan selskapet iverksette forenklede KYC tiltak. Hvis risikoen vurderes som høy, må det iverksettes strengere KYC tiltak.

6. Overvåking

En virksomhet som omfattes av hvitvaskingsloven må gjennomgå transaksjoner for å kunne avdekke transaksjoner og andre aktiviteter som kan mistenkes å være ledd i hvitvasking eller terrorfinansiering. Dette innebærer konkret oppfølging i to deler:

• Kontinuerlig analyse og oppdatering av kundekunnskap.

• Overvåking av transaksjoner for å avdekke eventuelle avvik.

Det er også verdt å merke seg at dokumenter og informasjon om tiltak som er iverksatt for å oppnå kundekunnskap, som hovedregel skal oppbevares av virksomheten i fem år. Hvis dokumentene eller opplysningene kan tyde på hvitvasking eller terrorfinansiering, hvis en mistanke er rapportert til finanspolitiet og hvis en myndighet har varslet organisasjonen om at de bør oppbevares, skal de oppbevares i ti år.

7. Rapportering til myndighetene

Du er forpliktet til å gjennomgå og rapportere mistenkelige transaksjoner eller mistenkelig atferd til myndighetene i henhold til loven. Det trenger ikke å foreligge bevis for at hvitvasking eller terrorfinansiering faktisk har funnet sted for å rapportere, men mistenkelig aktivitet er tilstrekkelig.