AML - Bekæmpelse af hvidvaskning af penge

Guide: Sådan sikrer du overholdelse af hvidvaskreglerne

Indhold

1. Rutiner

2. Uddannelse/træning

3. Risikovurdering

4. KYC

5. Risikoklassificering

6. Overvågning

7. Rapportering til myndigheder

1. Rutiner

Organisationer, der er omfattet af hvidvaskloven, skal have rutiner og retningslinjer for kundekendskab, overvågning, rapportering og behandling af persondata. Generelt skal rutiner og retningslinjer for at modvirke hvidvask og terrorfinansiering være baseret på organisationens generelle risikovurdering. Det vil sige, at de skal være designet til at kunne håndtere og modvirke de risici, som organisationen har identificeret.

Desuden skal følgende funktioner være på plads:

• En særligt udpeget leder med ansvar for bl.a. a. at udarbejde og opdatere den overordnede risikovurdering, sikre, at der er fælles retningslinjer og rutiner (og at disse opdateres), kontrollere og følge op på tiltag og rutiner samt rapportere til bestyrelsen eller CEO.

• En central funktionsleder i virksomheden med ansvar for bl.a. a. at kontrollere, at virksomheden overholder loven, yde rådgivning og støtte samt informere og uddanne, give oplysninger til myndigheder på anmodning, kontrollere, at rutiner og retningslinjer er effektive, og være ansvarlig for rapportering til myndigheder.

• En uafhængig revisionsfunktion med ansvar for blandt andet at gennemgå og evaluere effektivitet i forhold til organisation, IT og systemer, intern kontrol, risikostyring med mere.

2. Uddannelse/træning

Da lovkravene opdateres og ændres regelmæssigt, er en vigtig del af arbejdet at sikre, at medarbejderne har den rette uddannelse og dermed aktuelle kompetencer. Tag højde for følgende aktuelle uddannelser:

• Individuelt tilpasset træning baseret på medarbejderens rolle og opgaver/ansvar i forbindelse med hvidvaskning af penge.

• Baser træning og uddannelse på virksomhedens generelle risikovurdering.

• Læg en plan for løbende uddannelse, men udfør også ekstern overvågning og revision for at kunne tilpasse aktiviteterne og uddannelsen til aktuelle begivenheder.

3. Risikovurdering

En vigtig del af processen er at lave en generel risikovurdering for, at din virksomhed kan blive brugt til hvidvaskning af penge. Den skal tage højde for følgende:

• Hvilke typer produkter og tjenester du tilbyder

• Dine kunder og distributionskanaler

• Geografiske risikofaktorer

Hvor omfattende den generelle risikovurdering skal være, afgøres af virksomhedens størrelse og karakter. Omsætning, antal ansatte, antal forretningssteder, hvilke aktiviteter der udføres, hvilke varer eller tjenester der leveres, og hvor komplekse disse varer og tjenester er, er faktorer, der skal tages i betragtning.

4. KYC

For at undgå unødvendige risici er organisationer, der er omfattet af loven, nødt til at have et solidt kendskab til deres kunders forretning. Denne del af AML-processen kaldes KYC eller know your customer, og involverer normalt en række kontroller og screeninger af nye og eksisterende kunder.

Foranstaltninger til at opnå den nødvendige viden om dine kunder skal være baseret på virksomhedens generelle risikovurdering i kombination med en vurdering af den enkelte kundes risiko. Kontroller og screeninger omfatter normalt grundlæggende oplysninger om kundens virksomhed, såsom adresse, topledelse osv., men også oplysninger som bestyrelsesmedlemmer, reelle ejere, PEP-status (politisk eksponeret person), status på sanktionslister og forskellige spørgsmål vedrørende virksomheden.

5. Risikoklassificering

Som nævnt ovenfor skal tiltag for at opnå kundekendskab tilpasses ud fra en vurdering af, hvor stor risikoen er for at blive brugt til hvidvask og terrorfinansiering. Risikovurderingen skal baseres på din virksomheds generelle risikovurdering, og hvad organisationen ved om den enkelte kunde.

Det betyder, at organisationen i praksis er nødt til at klassificere risici:

• Kundens produkter og tjenester

• Virksomhedens geografiske placering

• Virksomhedens type af kunder

• Virksomhedens distributionskanaler

Klassificeringen foretages normalt på grundlag af vurderingsniveauerne lav, middel og høj. Et eksempel, hvor en højere risikoklassificering kan være relevant, er produkter og tjenester med en kompleks struktur, eller hvis en virksomhed henvender sig til et internationalt marked.

Ud over den generelle risikovurdering skal organisationen også vurdere risikoen for den enkelte kunde og forretningsforbindelsen. Resultatet af denne vurdering afgør, hvilke foranstaltninger der skal træffes for at opnå kundekendskab. Hvis risikoen ved forretningsforbindelsen vurderes som lav, kan virksomheden anvende forenklede KYC foranstaltninger. Hvis risikoen vurderes som høj, skal der træffes strengere KYC foranstaltninger.

6. Overvågning

En organisation, der er omfattet af hvidvaskloven, skal gennemgå transaktioner for at kunne opdage transaktioner og andre aktiviteter, der kan mistænkes for at være en del af hvidvask eller terrorfinansiering. Det betyder konkret opfølgning i to dele:

• Løbende analyse og opdatering af kundeviden.

• Overvågning af transaktioner for at opdage eventuelle uoverensstemmelser.

Det er også værd at bemærke, at dokumenter og oplysninger om foranstaltninger, der er truffet for at opnå kundekendskab, som hovedregel skal opbevares af organisationen i fem år. Hvis dokumenterne eller oplysningerne kan indikere hvidvaskning af penge eller finansiering af terrorisme, hvis en mistanke er blevet indberettet til finanspolitiet, og hvis en myndighed har advaret organisationen om, at de skal gemmes, skal de opbevares i ti år.

7. Rapportering til myndigheder

Du er forpligtet til at gennemgå og rapportere mistænkelige transaktioner eller adfærd til myndighederne i henhold til loven. Der behøver ikke at være bevis for, at hvidvaskning af penge eller finansiering af terrorisme rent faktisk har fundet sted for at rapportere, men mistænkelig aktivitet er tilstrækkeligt.