AML och penningtvättslagen

Guide: Så här säkerställer du compliance med Penningtvättslagen

Innehåll

1. Rutiner

2. Utbildning

3. Riskbedömning

4. KYC

5. Riskklassificering

6. Bevakning

7. Rapportering till FIPO

1. Rutiner

Organisationer som omfattas av Penningtvättslagen behöver ha rutiner och riktlinjer på plats när det gäller åtgärder för kundkännedom, bevakning, rapportering och behandling av personuppgifter. Generellt så ska rutiner och riktlinjer för att motverka penningtvätt och finansiering av terrorism vara riskbaserade och utgå från organisationens allmänna riskbedömning. Det innebär att de ska vara utformade för att kunna hantera och motverka de risker organisationen har identifierat.

Vidare behövs följande funktioner finnas på plats:

• En särskilt utsedd befattningshavare med ansvar för att bl. a. skapa och uppdatera den allmänna riskbedömningen, säkerställa att det finns gemensamma riktlinjer och rutiner (samt att dessa uppdateras), kontrollera och följa upp åtgärder och rutiner, samt rapportera till styrelse eller vd.

• En centralt funktionsansvarig inom företaget med ansvar för att bl. a. kontrollera att företaget följer lagen, ge råd och stöd samt informera och utbilda, lämna uppgifter till myndigheter på begäran, kontrollera att rutiner och riktlinjer är effektiva, samt ansvara för rapportering till FIPO.

• En oberoende granskningsfunktion med ansvar för att bland annat granska och utvärdera effektivitet och ändamålsenlighet när det gäller organisation, it och system, intern kontroll, riskhantering med mera.

2. Utbildning

Då Penningtvättslagen uppdateras och förändras över tid, är en viktig del i arbetet att säkerställa att anställda har rätt utbildning och därmed aktuell kompetens. Ta hänsyn till följande gällande utbildning:

• Individuellt anpassad utbildning baserat på den anställdes roll och uppgifter/ansvar rörande frågor kring penningtvätt.

• Utgå ifrån företagets allmänna riskbedömning.

• Sätt utbildningsplan för kontinuerlig utbildning, men var även lyhörd och gör omvärldsbevakning kring ämnet för att kunna anpassa verksamheten och utbildning efter aktuella händelser.

3. Riskbedömning

En viktig del är att göra en så kallad allmän riskbedömning för verksamheten. I den ska följande tas hänsyn till:

• Vilken/vilka typer av produkter och tjänster som erbjuds

• Dina kunder och distributionskanaler

• Geografiska riskfaktorer

Hur omfattande den allmänna riskbedömningens ska vara avgörs av verksamhetens storlek och art. Med det avses till exempel omsättning, antal anställda, antal verksamhetsställen, vilken verksamhet som bedrivs, vilka varor eller tjänster som tillhandahålls och hur komplexa dessa varor och tjänster är.

4. KYC

För att undvika onödig risk, behöver organisationer som omfattas av lagen ha god kunskap om sina kunder och deras affärer. Denna del av AML-processen kallas för kundkännedom eller KYC, och innefattar normalt sett en rad kontroller av nya och befintliga kunder.

Åtgärder för att uppnå kundkännedom ska utgå från företagets allmänna riskbedömning i kombination med en bedömning om risken hos den enskilda kunden. Kontroller brukar inkludera basinformation om kunden, så som adress, högsta befattningshavare, verksamhetsbeskrivning etc., men även kontroller av styrelse, verkliga huvudmän, PEP (politiskt exponerad person), sanktionslistor och kundkännedomsfrågor.

5. Riskklassificering

Åtgärder för att uppnå kundkännedom ska anpassas utifrån en bedömning av hur stor risken är för att utnyttjas för penningtvätt och finansiering av terrorism. Riskbedömningen ska utgå ifrån företagets allmänna riskbedömning och vad organisationen känner till om kunden.

Det innebär att organisationen i praktiken behöver riskklassificera:

• Verksamhetens produkter och tjänster

• Verksamhetens geografiska läge

• Verksamhetens typ av kunder

• Kundernas transaktioner och distributionskanaler

Oftast görs klassificeringen utifrån bedömningsnivåerna låg, mellan och hög. Ett exempel där en högre riskklassificering kan bli aktuell är produkter och tjänster med komplex struktur eller om ett företag vänder sig till en internationell marknad.

Utöver den allmänna riskbedömningen så ska även organisationen bedöma risken hos den enskilda kunden och affärsförbindelsen. Resultatet av den bedömningen avgör vilka åtgärder som behövs tas för att uppnå kundkännedom. Om risken med affärsförbindelsen bedöms som låg kan företaget vidta förenklade kundkännedomsåtgärder. Om risken bedöms som hög ska skärpta kundkännedomsåtgärder vidtas.

6. Bevakning

En organisation som omfattas av Penningtvättslagen ska granska transaktioner, för att kunna upptäcka transaktioner och andra aktiviteter som kan misstänkas vara ett led i penningtvätt eller finansiering av terrorism. Det innebär konkret uppföljning av två delar:

• Fortlöpande analys och uppdatering av kundkännedom.

• Monitorering av transaktioner för att upptäcka eventuella avvikelser.

Värt att notera är även att handlingar och uppgifter om åtgärder som vidtagits för att uppnå kundkännedom som regel ska bevaras av organisationen i fem år. Om handlingarna eller uppgifterna kan tyda på penningtvätt eller finansiering av terrorism, om en misstankerapportering har gjorts till Finanspolisen och om en myndighet uppmärksammat organisationen om att de ska sparas, så ska de bevaras i tio år.

7. Rapportering till FIPO

Du är skyldig att granska och rapportera misstänkta transaktioner till FIPO enligt lag. Det behöver inte finnas bevis för att penningtvätt eller finansiering av terrorism faktiskt har skett för att rapportera, utan det räcker med misstänkt aktivitet.