Nytt rundskriv fra Finanstilsynet – Veileder til hvitvaskingsloven
Finanstilsynet publiserte nylig rundskriv 4/2022 med veiledning til hvitvaskingsloven. Veilederen erstatter rundskriv 8/2019 og gjelder for samtlige rapporteringspliktige under Finanstilsynets tilsyn. Gjennom flere tematilsyn på hvitvaskingsområdet har Finanstilsynet gjort vurderinger av hvordan hvitvaskingsregelverket er å forstå. I tillegg til sin praksis, innhentet Finanstilsynet tidligere i år tilbakemeldinger og innspill på de praktiske utfordringene med etterlevelsen av hvitvaskingsforpliktelser fra de rapporteringspliktige.
FCG har gjennomgått den nye Veilederen og beskriver et utvalg av interessante presiseringer og forventninger nedenfor. Finanstilsynets presiseringer er nyttige for de rapporteringspliktige, men innebærer også merarbeid som kanskje burde vært unngått. Dette gjelder for eksempel forventningene til hvordan det nye registeret for reelle rettighetshavere skal håndteres og presiseringene knyttet til undersøkelser av alarmer og kravene til dokumentasjon. Det må være et mål at de rapporteringspliktiges arbeid faktisk bidrar til økt forebygging av hvitvasking og terrorfinansiering, i tråd med lovens formål. Hvorvidt Veilederen bidrar til det, gjenstår å se.
Agenter for utenlandske betalingsforetak
Agenter for utenlandske betalingsforetaker ikke underlagt krav til egen risikovurdering og rutiner, men Veilederen viser til at agentene må kunne dokumentere sine risikobaserte kundetiltak og løpende oppfølgning. Det vises også til forskriftens bestemmelser om at utenlandske betalingsforetaket som har agenter her i landet, kan bli pålagt å etablere et sentralt kontaktpunkt i Norge. Dette skal sikre at virksomheten i Norge etterlever norske hvitvaskingsregler, tilrettelegge for samarbeid med myndighetene og rapportere mistenkelige forhold til Økokrim.
Virksomhetsinnrettet risikovurdering
Den virksomhetsinnrettede risikovurderingen er helt avgjørende for at de rapporteringspliktige skal kunne ivareta sine plikter til å forebygge og avdekke hvitvasking og terrorfinansiering. Et viktig punkt i Veilederen er derfor utdypningene knyttet til forventningene til hva den skal inneholde. Det presiseres at den bør inneholde en vurdering av iboende risiko (eksponering mot både hvitvaskings- og terrorfinansieringsrisiko), foretakets tiltak og eventuelle svakheter ved disse. For at risikoen skal være tilstrekkelig virksomhetsinnrettet, forventes det at risikovurderingen bygger både på kvalitativ og kvantitativ informasjon, med eksempler på relevant kildebruk. Foretakene forventes å identifisere og vurdere hva som er risikodriverne for sin virksomhet, og det er også en forventning om at foretaket identifiserer og vurderer foretakets egne sårbarheter. Typiske sårbarheter kan være knyttet til manglende relevant kompetanse, kapasitet eller teknologiske ressurser. Tilsynet presiserer videre at dokumentet (risikovurderingen) bør inneholde en versjonslogg. Med utgangspunkt i erfaringer fra tidligere tematilsyn, utdypes også forståelsen rundt innholdet av de enkeltstående risikofaktorer. Innholdet av den særskilte risikovurderingen før nye produkter og tjenester og/eller ny teknologi tas i bruk, presiseres ytterligere.
Gjennomføring av kundetiltak
På bakgrunn av innspill fra de rapporteringspliktige, forsøkes det å avklare balansegangen mellom hovedregelen – og unntaket fra – plikten til å gjennomføre kundetiltak før etablering av kundeforhold. Som forventet, drøftes også kravene til midlenes opprinnelse som stammer fra virtuelle eiendeler, ettersom dette skaper særlige utfordringer for de rapporteringspliktige. Finanstilsynet viser til at det må innhentes tilstrekkelig informasjon til at den rapporteringspliktige kan avgjøre om redegjørelsene som kunden gir er egnet til å begrunne ervervet av disse midlene. Dersom det foreligger høy risiko, stilles det naturligvis krav om en grundigere vurdering og innhenting av mer informasjon enn ved lav risiko, men det gis også eksplisitt uttrykk for at det ikke forventes at særlige analyseverktøy for undersøkelse av transaksjoner på blokkjeden benyttes. Det gis også veiledning knyttet til etablering av kundeforhold og kundetiltak når det gjelder forvalterregistrering, corporate finance-oppdrag, lånesyndikater og ved garantirammer til konsernselskaper.
Finanstilsynet kommer videre med enkelte avklaringer knyttet til eierskap, kontroll og reelle rettighetshavere. Det påpekes at egnede tiltak rettet mot forståelsen av eierskaps- og kontrollstrukturen i kunden gjelder uavhengig av forpliktelsen til å identifisere reelle rettighetshavere. Rundskrivet presiserer og eksemplifiserer innholdet i forenklede og komplekse fondsstrukturer, og illustrerer mulig fremgangsmåte på identifikasjon av reelle rettighetshavere i utenlandske og norske fondsstrukturer, herunder private equity fond. Tilsynet kommenterer også forskjellen mellom definisjonen av reelle rettighetshavere i hvitvaskingsregelverket og det ventede registeret over reelle rettighetshavere. Finanstilsynet viser til at rapporteringspliktige kan måtte gjøre ytterligere undersøkelser enn å undersøke registeret, ut fra en risikobasert tilnærming.
Ikke minst har det kommet tilleggsinformasjon rundt forsterkede kundetiltak. Det er verdt å merke seg at den norske definisjonen av PEP legges til grunn når det gjelder håndtering av politisk eksponerte personer. Veilederen forsøker også å kaste lys over hvordan den praktiske risikohåndteringen av PEP- kundene bør gjennomføres. Finanstilsynet legger til presiseringer og tilleggsinformasjon når det gjelder korrespondentforbindelser – innenfor og utenfor EØS.
Tilsynet understreker videre at løpende oppfølgning deles i periodisk løpende oppfølgning og hendelsesbasert løpende oppfølgning. Den periodiske løpende oppfølgingen gjennomføres i faste intervaller, mens hendelsesbasert løpende oppfølgning utløses gjerne av en endring som sår tvil om eksisterende opplysninger er korrekte eller tilstrekkelige. Det gis videre eksempler på forhold hos kunde som kan indikere slike endringer.
Avvisning, avvikling og kontraheringsplikt
Veilederen legger frem en drøfting av innholdet i kontraheringsplikten i konteksten av avvisning, delvis avvisning og avvikling av eksisterende kundeforhold. Det skal gjennomføres en rimelighetsvurdering av om fremlagte kundeopplysninger fremstår som korrekte og troverdige før kundeforholdet avvises og/eller avvikles. Det skal også alltid vurderes om risikoen kan avhjelpes ved en delvis avvikling, det vil si at man i stedet begrenser hvilke tjenester og produkter kunden skal få tilgang til. Veilederen viser også til endringen i forskriften fra 2021 om at lagringstiden er 10 år når kundeforholdet ved avslutning var underlagt forsterkede kundetiltak, eller transaksjonen ble underlagt forsterkede kundetiltak.
Undersøkelse av alarmer og dokumentasjonskrav
Rapporteringspliktige med flere falske positive alarmer får blant annet veiledning at ikke enhver alarm i et transaksjonsovervåkingssystem utløser undersøkelsesplikt, men samtlige alarmer skal behandles. Veilederen drøfter fremgangsmåten av alarmer som kan sluttføres etter en rask vurdering, contra indikasjoner som krever mer inngående analyser. Samtidig som at det oppstilles dokumentasjonskrav til årsaken av ikke påbegynte undersøkelser, stadfester tilsynet at manglende kapasitet i behandling av alarmer ikke vil anses som lovlig grunn til å fravike lovens krav. Alarmhåndteringen skal skje uten ugrunnet opphold, og dette blir i veilederen uttalt å innebære innen en til to dager. Dispensasjon fra kravet til elektroniske overvåkingssystemer kan utstedes ved enkeltvedtak av Finanstilsynet.
Avslutning
Finanstilsynet har i veilederen presisert sine forventninger til rapporteringspliktige foretak og deres arbeid med å forebygge og bekjempe hvitvasking og terrorfinansiering. Sammen med uttalelser i publiserte tilsynsrapporter, er dette med på å øke forståelsen for hva som forventes av foretakene. Det er ingenting som tilsier at tilsynsmyndighetens fokus på anti-hvitvaskingsarbeidet i foretakene vil reduseres fremover, og foretakene bør gå grundig gjennom veilederen med sikte på å implementere nødvendige endringer og sikre faktisk etterlevelse av kravene, ikke bare på papiret. Innsatsen med forebygging av hvitvasking og terrorfinansiering er et samfunnsansvar og blant de rapporteringspliktiges viktigste oppgaver.
