Hvitvasking for regnskapsførere: plikter og meldeplikt

Hvorfor hvitvaskingsregelverket gjelder regnskapsbyrået

Hvitvasking handler om å sikre utbyttet fra en straffbar handling, ifølge Store norske leksikon. Ifølge Store norske leksikon er formålet gjerne å få utbyttet inn i den lovlige økonomien, slik at pengene ser ut til å være skaffet på lovlig måte, og å skjule hvor de kommer fra. Utbyttet kan stamme fra alt fra narkotikahandel til skatteunndragelse, bedrageri og korrupsjon.

Finanstilsynet viser til at hvitvasking for eksempel skjer når utbytte fra skatteunndragelse eller annen økonomisk kriminalitet overføres mellom personer eller foretak med en tilsynelatende god forklaring.

Etter hvitvaskingsloven § 1 er lovens formål å forebygge og avdekke hvitvasking og terrorfinansiering. Tiltakene skal beskytte det finansielle og økonomiske systemet og samfunnet som helhet mot at rapporteringspliktige brukes eller forsøkes brukt som ledd i hvitvasking. Loven trådte i kraft i 2018 og avløste den tidligere loven fra 2009, opplyser Store norske leksikon.

Hvitvasking er straffbart etter straffeloven, opplyser Finanstilsynet. Hvitvasking kan straffes med bot eller fengsel inntil to år, og grov hvitvasking med fengsel inntil seks år, opplyser Store norske leksikon.

Hvem er rapporteringspliktig?

Hvem som er rapporteringspliktig, fremgår av hvitvaskingsloven § 4. Andre ledd bokstav b nevner statsautoriserte regnskapsførere og regnskapsselskaper. Bokstav a nevner statsautoriserte og registrerte revisorer og godkjente revisjonsselskaper. Dersom disse tilbyr virksomhetstjenester, er de uansett underlagt loven på dette grunnlaget.

Loven gjelder altså «i utøvelsen av deres yrke», og den omfatter både juridiske og fysiske personer. Et regnskapsselskap, for eksempel et aksjeselskap, og en statsautorisert regnskapsfører er rapporteringspliktige etter hvitvaskingsloven § 4 annet ledd bokstav b.

Når rapporteringspliktige fysiske personer er ansatt i en rapporteringspliktig juridisk person, er det ifølge § 4 fjerde ledd bare den juridiske personen som er underlagt reglene om risikovurdering, rutiner, internkontroll, opplæring og varsling. For en regnskapsfører ansatt i et byrå betyr det at byrået eier ansvaret for å bygge systemene. Den ansatte må likevel følge rutinene i det daglige.

Hvem som kan drive regnskapsføring for andre, styres av egne regler. Ifølge Finanstilsynet trenger som hovedregel enhver som tar regnskapsoppdrag for andre enn seg selv eller sin arbeidsgiver, en godkjenning fra tilsynet. Altinn peker på at det ikke er noen lov som krever at et foretak bruker regnskapsfører, men at den som velger ekstern hjelp må kjøpe tjenesten fra et godkjent regnskapsforetak. Det er disse godkjente foretakene og regnskapsførerne som kommer inn under hvitvaskingsloven.

Risikovurdering av virksomheten

Grunnmuren i regelverket er den virksomhetsinnrettede risikovurderingen. Hvitvaskingsloven § 7 pålegger rapporteringspliktige å kartlegge og vurdere hvor utsatt egen virksomhet er for hvitvasking og terrorfinansiering. Dette er en vurdering av byrået som helhet, ikke av den enkelte kunde.

Loven nevner hva vurderingen blant annet skal ta i betraktning: virksomhetens art og omfang, produkter, tjenester og kundeforhold, type kunder og kundegrupper og geografiske forhold. For et regnskapsbyrå gir det naturlige spørsmål. Hvilke tjenester leverer byrået, for eksempel bokføring, lønn, rådgivning eller etablering av selskaper? Hvilke bransjer er kundene i, og er det kunder med utenlandsk eierskap eller utenlandske transaksjoner?

Risikovurderingen skal tilpasses virksomhetens art og omfang, så et enkeltpersonforetak trenger ikke samme dokument som et stort byrå. Den skal likevel dokumenteres, holdes oppdatert og stilles til rådighet for tilsynsmyndigheten, slår § 7 femte ledd fast.

Før nye produkter og tjenester tilbys, eller ny teknologi tas i bruk, skal risikoen vurderes særskilt. Det gjelder for eksempel hvis byrået begynner med selskapsetablering, innfører automatisert innhenting av kundedata eller tar imot kunder som driver med kryptoeiendeler. Mer om hvordan en generell risikovurdering bygges opp finnes i artikkelen om risikovurdering med mal og eksempel.

Interne rutiner, opplæring og ansvar

Risikovurderingen må omsettes til praksis gjennom rutiner. Hvitvaskingsloven § 8 krever at rapporteringspliktige har oppdaterte rutiner for å håndtere identifisert risiko og oppfylle pliktene etter loven. Rutinene skal tilpasses virksomhetens art og omfang, dokumenteres og stilles til rådighet for tilsynsmyndigheten.

Rutinene skal fastsettes på øverste nivå hos den rapporteringspliktige. I et aksjeselskap betyr det i praksis styret eller daglig leder. Det skal også utpekes en person i ledelsen med et særskilt ansvar for å følge opp rutinene, og navnet bør stå i rutinedokumentet slik at alle vet hvem de skal gå til.

Loven stiller også krav om internkontroll og opplæring, og § 4 fjerde ledd nevner begge uttrykkelig som plikter for den juridiske personen.

Et eksempel på hvordan dette kan se ut i praksis er Norges Banks prinsipper for oppfølging av hvitvaskingsbestemmelsene. Der utpekes en egen hvitvaskingsansvarlig som skal påse at rutinene følges og som varsler Økokrim ved rapporteringsplikt. Et lite byrå kan bruke samme tenkemåte i mindre skala: én ansvarlig, tydelig varslingsvei internt og skriftlig dokumentasjon av hva som er vurdert.

Kundetiltak: hvem er kunden og hvem eier den?

Kundetiltakene er ifølge Store norske leksikon en av lovens viktigste plikter. Målet er at den rapporteringspliktige skal kjenne kunden, tjenestene kunden bruker og omfanget av kundeforholdet. Dette omtales ofte som «kjenn din kunde» (KYC).

Hvitvaskingsloven § 12 beskriver tiltakene når kunden er en fysisk person. Navn, fødselsnummer eller D-nummer og adresse skal innhentes. De samme opplysningene skal innhentes om den som handler på vegne av kunden, sammen med opplysninger om at vedkommende har rett til det. Identiteten skal bekreftes ved personlig fremmøte med gyldig legitimasjon. Skjer bekreftelsen uten personlig fremmøte, skal det fremlegges ytterligere dokumentasjon eller gjennomføres ytterligere tiltak.

Paragrafen krever også at det avgjøres om det finnes en reell rettighetshaver i tillegg til kunden. Finnes det en, skal det innhentes opplysninger som er tilstrekkelige til å vite hvem vedkommende er, og identiteten skal bekreftes ved egnede tiltak. Videre skal rapporteringspliktige innhente og vurdere nødvendige opplysninger om kundeforholdets formål og tilsiktede art. For et regnskapsbyrå betyr det å forstå hva kunden driver med, hva byrået skal levere og hvilke pengestrømmer som er naturlige.

Regelen om hva som skal gjøres er spesifikk for personer. Når kunden er et foretak, må byrået bygge på lovens øvrige bestemmelser og Finanstilsynets veileder til hvitvaskingsloven, som er lenket fra tilsynets regelverkside for regnskapsførere.

Kundene bør også informeres om hva som skjer. Finanstilsynet skriver at kunder ved etablering av nye kundeforhold må være forberedt på å opplyse om kundeforholdets formål og art, hvor pengene kommer fra og om de eller nærstående har et høytstående verv eller stilling i utlandet. Eksisterende kunder må også være forberedt på spørsmål og å fremvise legitimasjon, typisk når det kommer nye opplysninger om kundeforholdet.

Risikobasert tilnærming og forsterkede tiltak

Regelverket er risikobasert. Risikovurderingen etter § 7 skal tilpasses virksomhetens art og omfang, og den skal dokumenteres og holdes oppdatert.

Ett område der loven er tydelig, er politisk eksponerte personer. Når kunden er en fysisk person, skal rapporteringspliktige ifølge § 12 fjerde ledd ha systemer for å avgjøre om kunden, personer som kan handle på vegne av kunden eller er gitt disposisjonsrett over en konto eller et depot, eller reell rettighetshaver er politisk eksponert person eller nært familiemedlem eller kjent medarbeider til en slik person. I et lite byrå kan systemet være et fast spørsmål ved kundeopptak som dokumenteres i kundemappen.

Er kunden eller en reell rettighetshaver politisk eksponert, skal det etter § 24 tredje ledd gjennomføres forsterket løpende oppfølging av kundeforholdet. Det gjelder også nære familiemedlemmer og kjente medarbeidere.

Loven nevner også tvil om geografi: en transaksjon til eller fra en person i et land eller område uten tilfredsstillende tiltak mot hvitvasking og terrorfinansiering skal ifølge § 25 alltid undersøkes nærmere hvis den avviker fra det byrået vet om kunden.

Hva skjer hvis kundetiltakene ikke lar seg gjennomføre? Etter § 24 fjerde ledd skal rapporteringspliktige avvikle kundeforholdet når kundetiltak som ledd i løpende oppfølging ikke kan gjennomføres. Byrået skal samtidig vurdere om det er grunnlag for nærmere undersøkelser og rapportering etter §§ 25 og 26.

Løpende oppfølging av kundeforholdet

Kundetiltak er ikke en engangsøvelse ved oppstart. Hvitvaskingsloven § 24 krever at kundeforhold følges opp løpende. Oppfølgingen skal blant annet omfatte å overvåke at transaksjonene i kundeforholdet stemmer med byråets opplysninger om kunden, kundens virksomhet og risikoprofil, midlenes opprinnelse og kundeforholdets formål og tilsiktede art.

For en regnskapsfører skjer overvåkingen naturlig gjennom det daglige arbeidet med bilag, bankavstemming og rapportering. Det som er verdt å merke seg, er avvik: plutselig stor omsetning uten forklaring, betalinger til ukjente mottakere i utlandet, eller kontantbruk som ikke passer med bransjen. Poenget er at byrået sammenligner det det ser, med det det vet om kunden.

Rapporteringspliktige skal også jevnlig gjennomføre kundetiltak som ledd i løpende oppfølging. Kundetiltak skal uansett gjennomføres når det er tvil om tidligere innhentede opplysninger er korrekte eller tilstrekkelige. Praktiske utløsere kan være skifte av daglig leder, eierendringer, nye virksomhetsområder eller at kunden ber om en tjeneste byrået ikke har levert før.

Byrået bør fastsette hvor ofte kundene gjennomgås, og la høyrisikokunder få hyppigere gjennomgang enn lavrisikokunder. Frekvensen og begrunnelsen bør stå i rutinene, og gjennomgangene bør dokumenteres med dato og hvem som utførte dem.

Undersøkelsesplikt og meldeplikt til Økokrim

Undersøkelsesplikten står i hvitvaskingsloven § 25. Oppdager byrået noe som kan tyde på at midler henger sammen med hvitvasking eller terrorfinansiering, må det gjøre nærmere undersøkelser, jf. § 25.

Nærmere undersøkelser skal alltid gjennomføres hvis det avdekkes forhold som avviker fra byråets kjennskap til kunden, kundeforholdets formål og tilsiktede art, eller en transaksjon som:

Undersøkelsen bør dokumenteres: hva som utløste den, hva som ble spurt om, hvilke svar som kom og hvordan byrået kom frem til sin vurdering. Spørsmål til kunden er et naturlig første steg, men tilfredsstillende svar må være etterprøvbare, for eksempel med avtaler, fakturaer eller kontoutskrifter.

Gir undersøkelsene grunnlag for mistanke, skal opplysningene sendes til Økokrim. Store norske leksikon beskriver at den rapporteringspliktige skal oversende opplysninger til Økokrim når det etter nærmere undersøkelser foreligger grunnlag for mistanke om hvitvasking eller terrorfinansiering. Finanstilsynet bekrefter at foretak omfattet av loven er forpliktet til å sende rapporter om mistenkelige transaksjoner til Økokrim. Selve meldeplikten er regulert i lovens § 26, som § 24 fjerde ledd viser til. Byråets rutiner bør derfor beskrive hvem som vurderer og sender en melding, og hvordan dette dokumenteres.

Taushet om meldingen er en forutsetning for at systemet virker. Ifølge Norges Banks prinsipper for oppfølging av hvitvaskingsbestemmelsene utpeker sentralbanksjefen en medarbeider med særlig ansvar for bankens samlede oppfølging av retningslinjer og rutiner på hvitvaskingsområdet. Det er et eksempel på hvordan taushetsplikten omsettes til intern regel, og et byrå bør ha en tilsvarende regel. Hvordan avviklingen av kundeforholdet formuleres overfor kunden, bør vurderes slik at den ikke røper at det er sendt en melding.

• synes å mangle et legitimt formål
• er usedvanlig stor eller kompleks
• er uvanlig ut fra kundens kjente forretningsmessige eller personlige mønster av transaksjoner
• foretas til eller fra person i et land eller område som ikke har tilfredsstillende tiltak mot hvitvasking og terrorfinansiering
• på annen måte har uvanlig karakter

Tilsyn og sanksjoner

Finanstilsynet fører tilsyn med alle statsautoriserte regnskapsførere og regnskapsforetak. Tilsynet omfatter blant annet kontroll av at foretakene virker på hensiktsmessig og betryggende måte i samsvar med lovgivningen. Finanstilsynet kan gjøre de undersøkelsene det finner nødvendig, og regnskapsforetak og regnskapsførere plikter når som helst å gi opplysninger tilsynet krever og å gi innsyn i alle deler av virksomheten, herunder dokumenter og tekniske hjelpemidler.

Finanstilsynet opplyser at Regnskap Norge gjennomfører kvalitetskontroll av sine medlemmer hvert sjuende år, og at Den norske Revisorforening gjør tilsvarende for medlemmer som er autoriserte regnskapsførere. Finanstilsynet har sendt brev til begge organisasjonene om oppfølging av hvitvaskingslovgivningen. Det finnes også rapporter fra dokumentbasert tilsyn med regnskapsførere som viser hva tilsynet ser etter.

Risikovurdering og rutiner skal stilles til rådighet for tilsynsmyndigheten etter § 7 og § 8.

Brudd på reglene kan få konsekvenser, blant annet overtredelsesgebyr og straff, og Store norske leksikon viser til lovens § 49 og § 51. Store norske leksikon viser til lovens § 49 om overtredelsesgebyr og § 51 om straff. Finanstilsynet kan dessuten tilbakekalle eller suspendere autorisasjonen til en regnskapsfører som anses uskikket på grunn av grove overtredelser, opplyser Store norske leksikon.

Praktiske råd for byrået

Punktene under er en sjekkliste for et byrå som skal komme i gang eller rydde opp.

Dokumentasjon er en gjennomgående bærebjelke. Risikovurdering, rutiner, opplæring, kundetiltak og undersøkelser skal kunne vises frem. Loven inneholder også bestemmelser om lagring og behandling av personopplysninger og dokumenter, som Store norske leksikon viser til i lovens kapittel 6. Byrået må derfor sjekke oppbevaringskravene i loven og avklare hvor lenge kundedokumentasjon skal lagres og hvordan den slettes.

Byråer som bruker digitale verktøy til kundekontroll, kan lese mer i artikkelen om regulatorisk teknologi. Hvordan banker og kryptobørser løser de samme oppgavene, er beskrevet i artikkelen om hvitvasking i banker og kryptobørser, og kan gi ideer til hvordan et byrå kan tenke rundt egne rutiner.

• Les hvitvaskingsloven og Finanstilsynets veileder, og avklar om byrået også tilbyr virksomhetstjenester.
• Gjennomfør og dokumenter en skriftlig risikovurdering tilpasset byråets størrelse og kunder.
• Lag skriftlige rutiner, la ledelsen fastsette dem og utpek en ansvarlig i ledelsen.
• Planlegg opplæring for alle ansatte og før logg over den.
• Innfør en fast kundeopptaksprosedyre med identitetskontroll, reell rettighetshaver, PEP-spørsmål og formål med kundeforholdet.
• Sett frekvens for løpende gjennomgang av kundene, med hyppigere oppfølging av høyrisikokunder.
• Beskriv hvem som undersøker avvik og sender melding til Økokrim, og hvordan taushet sikres.
• Gå gjennom risikovurdering og rutiner minst når tjenester, kunder eller regelverk endres.