sou · H4B38 · 2016-02-01 00:00:00 — I föreskrifter uttalas t.ex. att verksamhetsutövaren ska vidta åtgärder som är an- passade efter risken för att verksamheten utnyttjas för penningtvätt och finansiering av terrorism. Detta omfattar genomförandet av en riskbedömning, utarbetandet av interna rutiner och att fortlöpande se över och uppdatera riskbedömningen och rutinerna. Liknande bestämmelser finns i övriga myndighetsföreskrifter. Även vägledningsdokument behandlar tillämpningen av det riskbaserade förhållningssättet. Verksamhetsutövarens skyldigheter – riskbedömning, interna rutiner m.m. Utredningens förslag: Det riskbaserade förhållningssättet får en större betoning i den nya penningtvättslagen. Ett kapitel som benämns ”Riskbaserat förhållningssätt” införs. Detta kapitel in- leds med två portalparagrafer där innebörden av förhållningssättet förklaras närmare. Riskerna för penningtvätt och finansiering av terrorism ser olika ut från verksamhet till verksamhet. Vilka riskerna är beror på typen av verksamhet, vilka kunder verksamheten har, vilka tjänster och pro- dukter som erbjuds, på vilken marknad verksamheten är etablerad m.m. Det krävs följaktligen olika åtgärder för att hantera riskerna på ett effektivt sätt. Således går det inte att genom lag eller annan författning exakt ange vilka åtgärder som kan anses vara tillräckliga. Detta är inte heller meningen. För att ett riskbaserat förhållningssätt ska fungera måste verksamhetsutövaren skapa sitt eget system, anpassat till förut- sättningarna. De obligatoriska reglerna fungerar som den grund- läggande stommen. En verksamhetsutövare måste emellertid förstå innebörden av det riskbaserade förhållningssättet för att kunna tillämpa penning- tvättsregleringen. Samtliga led i verksamhetsutövarens arbete mot penningtvätt och finansiering av terrorism hänger ihop med – och knyts samman av – det riskbaserade förhållningssättet. Riskbedöm- ningen och de riskbaserade rutinerna är t.ex. nödvändiga för att verksamhetsutövaren ska kunna vidta proportionerliga åtgärder för att uppnå kundkännedom. Detta innebär i sin tur att åtgärderna för kundkännedom fortlöpande måste anpassas efter kundens riskpro- fil, dvs. de risker för penningtvätt och finansiering av terrorism som kan förknippas med den enskilda kunden och de metoder och mönster som förekommer i kundrelationen. Verksamhetsutövaren kan inte heller uppfylla kraven rörande granskning och rappor- tering om inte riskanpassade åtgärder för kundkännedom har vid- tagits. Riskbedömningen och de riskbaserade rutinerna kan inte hållas uppdaterade om verksamhetsutövaren inte fortlöpande beaktar erfarenheter från kundkännedomsprocessen, granskningen, rappor- teringen och annan relevant information. Verksamhetsutövarens skyldigheter – riskbedömning, interna rutiner m.m. Den övergripande innebörden av att tillämpa ett riskbaserat för- hållningssätt är inte alldeles tydlig i gällande rätt. Detta kan få till följd att en verksamhetsutövare tillämpar lagens bestämmelser sedda för sig – något som inte är förenligt med kraven enligt de inter- nationella åtagandena. Enligt utredningens bedömning finns det således behov av att beskriva metoden något mera utförligt i den nya penningtvättslagen. Det finns anledning att förtydliga och be- tona det riskbaserade förhållningssättets ytterligare. Det riskbaserade förhållningssättet bygger på att verksamhets- utövaren känner till och förstår riskerna för penningtvätt och finan- siering av terrorism i verksamheten. Det finns anledning att klar- göra att det riskbaserade förhållningssättet därför utgår från en riskbedömning. Med riskbedömningen som utgångspunkt ska verk- samhetsutövaren utforma rutiner och vidta de andra åtgärder som penningtvättslagen kräver. Det riskbaserade förhållningssättet kräver vidare att rutiner och övriga åtgärder fortlöpande anpassas efter förändrade och nya risker för penningtvätt och finansiering av terrorism. Detta förutsätter att riskbedömningen fortlöpande ses över och uppdateras. 11.3.1Fatfs rekommendationer och det fjärde penningtvättsdirektivet Av Fatfs rekommendation nr 1 följer att riskbedömningar, som ett grundläggande led i tillämpningen av det riskbaserade förhållnings- sättet, ska genomföras både nationellt och på verksamhetsutövar- nivå. Tolkningsnoten till denna rekommendation preciserar de krav medlemsländerna ska ställa på en verksamhetsutövares riskbedöm- ning. Där framgår att verksamhetsutövare ska vidta lämpliga åtgär- der för att identifiera, bedöma och förstå riskerna. Riskbedöm- ningen ska dokumenteras och hållas uppdaterad. Fatfs krav på genomförandet av riskbedömningar motsvaras av artiklarna 6–8 i det fjärde penningtvättsdirektivet. Verksamhets- utövarens riskbedömning behandlas i artikel 8.1–2. Enligt bestäm- melserna ska omfattningen av verksamhetsutövarnas riskbedöm- ning anpassas efter karaktären på verksamheten och verksamhetens storlek. Den ska utgå ifrån vilka typer av kunder, produkter, tjänster, Verksamhetsutövarens skyldigheter – riskbedömning, interna rutiner m.m. transaktioner och distributionskanaler som finns i verksamheten. Vid gränsöverskridande verksamheter ska också en riskbedömning göras av de länder och geografiska verksamhetsområden som be- rörs. Riskbedömningarna ska dokumenteras, uppdateras och göras till- gängliga för behöriga myndigheter och, i förekommande fall, själv- reglerande organ. Enligt direktivet kan dock behöriga myndigheter i vissa fall meddela undantag från kravet på enskilda dokumenterade riskbedömningar. Sådana undantag får bara beslutas när de speci- fika risker som är förenade med sektorn är uppenbara och väl kända. Penningtvättslagen omfattar krav på att verksamhetsutövarna genomför övergripande riskbedömningar som bas för de åtgärder som sedan görs inom ramen för specifika kund- relationer och transaktioner. Av 5 kap. 1 § första stycket penning- tvättslagen följer mer specifikt att verksamhetsutövare ska kart- lägga och bedöma riskerna för penningtvätt och finansiering av terrorism i verksamheten, samt att riskbedömningen ska dokumen- teras och hållas uppdaterad. I propositionen uttalas att omfattningen av riskbedömningen bör anpassas efter karaktären på verksamheten och verksamhetens storlek.2 Vidare anges att riskbedömningen lämpligen bör utgå från den typ av kunder, produkter, tjänster och distributionskanaler som finns i verksamheten. Vid gränsöverskridande verksamhet bör även en riskbedömning göras av de länder som berörs. Därtill bör de risker som har framkommit vid den nationella riskbedömningen och som påverkar den enskilda verksamheten beaktas. Ett stort ansvar åligger därmed den enskilde verksamhetsutövaren att förstå riskerna i sin verksamhet. De åtgärder som vidtas för att kartlägga och bedöma riskerna skiljer sig ofrånkomligen åt mellan olika branscher och i vissa fall även inom en viss bransch. Lagstiftaren har valt att lägga den närmare regleringen av risk- bedömningarnas utförande och innehåll till förordning eller myn- dighetsföreskrifter. Som skäl till detta anges att regleringen kring 2014/15:80, s. 48. Verksamhetsutövarens skyldigheter – riskbedömning, interna rutiner m.m. hur kartläggningen och bedömningen av riskerna bör göras bör ske på viss detaljnivå.3 Detta gäller även frågor om hur riskbedöm- ningen ska dokumenteras och hållas uppdaterad. I penningtvätts- lagen har därför införts en möjlighet för regeringen eller den myn- dighet som regeringen bestämmer att meddela föreskrifter om kart- läggningen och riskbedömningen. Flera av tillsynsmyndigheternas föreskrifter innehöll dock bestämmelser om riskbedömningar redan innan lagändringarna. Även vägledningsdoku- ment berör kravet på riskbedömningar. Utredningens förslag: Riskbedömningen behandlas i en separat bestämmelse i den nya penningtvättslagen – där även den mål- sättning som ska uppnås med riskbedömningen och riskbedöm- ningens innehåll beskrivs. Det införs en möjlighet för regeringen eller den myndighet som regeringen bestämmer att bevilja undantag från kravet på dokumenterade riskbedömningar. En tydlig målsättning och exempel på faktorer som ska beaktas anges i penningtvättslagen Verksamhetsutövarens riskbedömning är en i det risk- baserade förhållningssättet. Riskbedömningen ska tala om var riskerna finns, vilka de är, var de är som störst och var de är mindre. Kort sagt ska den ge en lägesbild av riskerna för att verksamheten ut- nyttjas för penningtvätt och finansiering av terrorism. Målsättningen med riskbedömningen är att den ska kunna läggas till grund för verksamhetsutövarens rutiner och övriga åtgärder mot penning- tvätt och finansiering av terrorism. Det är viktigt att framhålla att riskbedömningen syftar till att verksamhetsutövaren ska förstå riskerna för penningtvätt och finansiering av terrorism i den egna verksamheten. Först då är det möjligt att avgöra vilka rutiner som bör införas, var åtgärder bör sättas in och vilka insatser som är Verksamhetsutövarens skyldigheter – riskbedömning, interna rutiner m.m. En god insikt om riskerna är en förutsättning för att verksamhetsutövaren ska kunna leva upp till de övriga kraven i penningtvättsregleringen. Det är angeläget att dokumentationen av riskbedömningen utformas så konkret att den påtagligt underlättar utformning av rutiner och genomförande av övriga åtgärder (kundkännedoms- åtgärder, granskning och rapportering m.m.). Det innebär bl.a. att konkretisera brottsliga tillvägagångssätt och på vilka sätt dessa kan befaras komma att tillämpas i samband med kundrelationer. I sin riskbedömning ska en verksamhetsutövare beakta samtliga faktorer som kan ha betydelse för riskerna för penningtvätt och finansiering av terrorism. Bland dessa kan nämnas vilken typ av kunder verksamheten har, vilka produkter som erbjuds, tjänster som tillhandhålls och geografiska riskfaktorer (verksamhetsområde, kundernas etablering m.m.). Verksamhetsutövaren ska också ta hänsyn till annan information, bl.a. vad som framkommer vid genom- förandet av kundkännedomsåtgärderna, granskningen och rappor- teringen. Även annan relevant information, som t.ex. information från myndigheter och andra organ, ska beaktas. I sin riskbedöm- ning bör verksamhetsutövare även ta hänsyn till vad som framkom- mit vid de riskbedömningar som genomförs nationellt och på unions- nivå. Utredningen bedömer det som en lämplig ordning att ett mera generellt krav framgår av penningtvättslagen medan detaljfrågor om riskbedömningarnas utförande och närmare innehåll regleras i för- fattning av lägre valör. Eftersom riskbedömningen är av en sådan grundläggande betydelse föreslår dock utredningen den regleras mera utförligt i den nya lagen än vad som är fallet . Målsättningen med riskbedömningen bör – i syfte att skapa en större förståelse bland verksamhetsutövare – framgå redan av penningtvättslagen. Enligt utredningens uppfattning bör penningtvättslagen vidare ge exempel på vilka faktorer en verksamhetsutövare ska beakta vid genomförandet av riskbedömningen. Genom en sådan exempli- fiering tydliggörs riskbedömningens betydelse ytterligare. Den ger också verksamhetsutövaren mera ledning om ”var man kan och ska leta efter risker och information för att bedöma riskerna”. Den föreslagna uppräkningen i penningtvättslagen kan och bör dock inte göras uttömmande. Vilka faktorer som kan och ska beaktas är också självfallet beroende av verksamhetens typ och storlek. Verksamhetsutövarens skyldigheter – riskbedömning, interna rutiner m.m. ningen anser slutligen att riskbedömningen, med fördel, kan reg- leras i en separat bestämmelse och inte, som är fallet, i samma sammanhang som interna rutiner och utbildning av anställda. Möjligheten att medge undantag från dokumenterade riskbedömningar bör utnyttjas Den möjlighet att göra undantag från kravet på dokumenterade riskbedömningar som direktivet ger bör, enligt utredningens upp- fattning, utnyttjas. Detta för att möjliggöra en något mer nyanse- rad tillämpning av lagens krav, något som ligger helt i linje med det riskbaserade förhållningssättet. Enligt utredningen bör därför reger- ingen eller den myndighet som regeringen föreskriver få besluta om föreskrifter om undantag. I enlighet med vad som följer av direk- tivet bör möjligheten till undantag enbart utnyttjas när riskerna för penningtvätt och finansiering av terrorism är uppenbara och väl kända. Att riskbedömningen inte finns dokumenterad innebär i realiteten att verksamhetsutövarna och behöriga myndigheter i så fall ändå måste kunna avgöra att verksamhetens interna rutiner är tillräckliga och välavpassade. För att undantag ska kunna ges måste således av verksamhetsutövarna själva dokumenterade riskbedöm- ningar i det närmaste framstå som överflödiga. Undantag från kravet på dokumenterade riskbedömningar kan inte göras beträff- ande en verksamhetssektor som är känslig för nya brottstrender där typen av kunder och transaktioner varierar. Ett exempel på när undantag från dokumenterade riskbedömningar borde kunna komma ifråga är när det för behöriga myndigheter är uppenbart att de risker som finns är väldigt låga. Undantag torde därför framför allt aktualiseras när det gäller vissa mindre verksamheter. Verksamhetsutövarens skyldigheter – riskbedömning, interna rutiner m.m. 11.4.1Huvuddragen i Fatfs rekommendationer och det fjärde penningtvättsdirektivet Allmänt krav på riskbaserade rutiner Det fjärde penningtvättsdirektivets krav på riskbaserade rutiner framgår bl.a. av artikel 8.3–5. I artikel 8.3 finns det generella kravet. Av artikeln följer att medlemsstaterna ska se till att verksamhets- utövarna har riktlinjer, kontroller och förfaranden på plats för att minska och effektivt hantera de risker för penningtvätt och finan- siering av terrorism som identifierats. De interna rutinerna ska så- ledes utgå från verksamheten och bygga på riskbedömningen. I det fjärde penningtvättsdirektivet uttalas uttryckligen att även de risker som identifierats nationellt och på unionsnivå bör vägas in. Penning- tvättsdirektivet genomför på denna punkt Fatfs rekommendation nr 1. Det nya direktivet skiljer sig något från sin föregångare när det gäller i vilka avseenden det ställs krav på rutiner. Av artikel 8.4 följer att verksamhetsutövarna ska utveckla interna riktlinjer, kontroller och förfaranden, inbegripet rutiner för modellriskhante- ring, när det gäller åtgärder för kundkännedom, rapportering, be- varande av uppgifter (registerhållning), intern kontroll, efterlevnads- kontroll (inbegripet utnämning av en efterlevnadsansvarig på led- ningsnivå, om det motiveras av verksamhetens storlek och natur), samt bakgrundskontroll av personal. Nytt för det fjärde penning- tvättsdirektivet är att rutinerna ska inbegripa modellriskhantering och bakgrundskontroll av personal. Även kravet på att rutinerna ska inbegripa utnämning av en efterlevnadsansvarig på lednings- nivå, om det motiveras av verksamhetens storlek och natur, är nytt. Krav på koncerngemensamma rutiner Av artikel 45.1 framgår att medlemsstaterna ska kräva att det, inom koncerner, även finns övergripande gemensamma rutiner för att förhindra penningtvätt och finansiering av terrorism. Dessa ska om- fatta riktlinjer och rutiner för hantering av personuppgifter (data- skyddsriktlinjer) och för informationsutbyte inom koncernen. Kon- cernens gemensamma rutiner ska även genomföras effektivt inom Verksamhetsutövarens skyldigheter – riskbedömning, interna rutiner m.m. filialer och majoritetsägda dotterföretag i medlemsstater och tredje- länder (se närmare om detta avsnitt 15.3). Artikeln i direktivet omfattar enligt sin ordalydelse alla typer av verksamhetsutövare. Den bygger på Fatfs rekommendation nr 18. Rekommendationen tar, till skillnad från direktivet, sikte på ”Finan- cial groups”, dvs. främst kreditinstitut och finansiella institut. Av rekommendationen följer att ”Financial groups” som är del av en koncern ska ha koncerngemensamma program mot penningtvätt och finansiering av terrorism. De koncerngemensamma program- men ska tillämpas av alla företag som ingår i koncernen, vid sidan av de interna rutinerna som varje enskild verksamhet måste hålla. Ett övergripande krav på att verksamhetsutövaren ska ha rutiner för att förhindra att verksamheten utnyttjas för penningtvätt och finansiering av terrorism finns i 5 kap. 1 § andra stycket penning- tvättslagen. Bestämmelsen säger att verksamhetsutövarna ska ha risk- baserade rutiner för att förhindra att verksamheten utnyttjas för penningtvätt eller finansiering av terrorism. Penningtvättslagen reglerar således det grundläggande kravet på riskbaserade rutiner. Flera av tillsynsmyndigheterna har med stöd av bemyndigande utformat föreskrifter med preciserade krav på riskbaserade rutiner. Av föreskrifter framgår t.ex. att ett företag ska ha skriftliga rutiner m.m. som står i överensstämmelse med penningtvättslagen för bl.a. åtgärder för kundkännedom, bevaran- det av handlingar, granskningsskyldigheten, uppgiftsskyldigheten till , utbildningsprogram för anställda, skyddet av anställda, intern kontroll, regelefterlevnad och intern information. Av föreskrifterna följer också att företagets rutiner m.m. ska utgå från dess verksamhet och riskbedömning. Preciserade krav på rutiner finns också bl.a. i länsstyrelsernas och Lotteriinspektionens före- skrifter. Även Fastighetsmäklarinspektionen behandlar interna rutiner i sina föreskrifter. Kravet på interna rutiner finns vidare beskrivet i vägledningsdokument för att förhindra penning- tvätt och finansiering av terrorism. Verksamhetsutövarens skyldigheter – riskbedömning, interna rutiner m.m. När det gäller kravet på koncerngemensamma rutiner saknas en uttrycklig bestämmelse i penningtvättslagen. Finans- inspektionens gällande föreskrifter innehåller dock krav att det ska finnas gemensamma interna rutiner för de företag inom en koncern som omfattas av penningtvättslagen. Utredningens förslag: Huvuddragen i den nuvarande bestäm- melsen gällande verksamhetsutövarens riskbaserade rutiner förs in i den nya lagen och placeras i en separat paragraf. Penning- tvättslagen kompletteras med en särskild bestämmelse som reg- lerar krav på koncerngemensamma rutiner. Det generella kravet på interna rutiner bör regleras av en separat bestämmelse i penningtvättslagen Utredningens uppfattning är att huvuddragen i den nuvarande ord- ningen – där en generell bestämmelse om verksamhetsutövarens interna rutiner finns i penningtvättslagen medan detaljregleringen sker i författning av lägre valör – bör behållas. Det generella kravet på interna rutiner i penningtvättslagen bör dock, i likhet med vad som föreslås i fråga om riskbedömningen, framgå av en separat bestämmelse. Verksamhetsutövarens rutiner utgör en ”beskrivning” av hur arbetet mot penningtvätt och finansiering av terrorism ska bedri- vas. Rutinerna ska syfta till att motverka de risker som identifierats i verksamheten. Att det finns ett nära samband mellan riskbedöm- ningen och de riskbaserade rutinerna är därför av väsentlig betyd- else. Vidare är det av stor vikt att rutinerna hålls uppdaterade och anpassas efter förändrade och nya risker. Verksamhetsutövarens skyldigheter – riskbedömning, interna rutiner m.m. Rutinerna bör svara mot kraven i det fjärde penningtvättsdirektivet När det gäller rutinernas omfattning bör dessa åtminstone svara mot kraven i det fjärde penningtvättsdirektivet. Detta innebär att rutinerna ska omfatta åtgärder för kundkännedom, rapportering, registerhållning, intern kontroll, efterlevnadskontroll (inbegripet utnämning av en efterlevnadsansvarig på ledningsnivå om det moti- veras av verksamhetens storlek och natur), samt bakgrundskontroll av personal. Det bör också finnas rutiner för modellriskhantering. Hur långtgående rutiner som ska finnas beror självfallet på verksam- hetens art och omfattning – och – riskerna för att verksamheten utnyttjas för penningtvätt och finansiering av terrorism. Det ska också vara upp till tillsynsmyndigheterna och självreglerande organ att närmare precisera kraven för att de ska motsvara behoven i olika branscher. Nyheterna i det fjärde penningtvättsdirektivet bör dock beröras något kortfattat. Vad innebär t.ex. kravet på att en verksamhetsutövare ska ha rutiner för modellriskhantering? Begreppet modellrisk används främst inom finansiella branscher. Modellrisk definieras också i EU:s kapi- taltäckningsdirektiv från 2013.4 Enkelt uttryckt kan med modell- risk förstås de risker för felaktigheter som kan uppstå vid tillämp- ningen av en viss modell. Överfört till detta sammanhang torde rutiner för modellriskhantering därmed innebära rutiner för att motverka felaktiga antaganden m.m. som beror på att en modell eller specifik metod för t.ex. riskbedömning är bristfällig. Utred- ningen tolkar det så att en verksamhetsutövare förutsätts ha rutiner som kan bidra till att avslöja felaktiga utfall av de metoder för risk- bedömningar som används. Sådana rutiner kan knappast behöva vara särskilt långtgående i små verksamheter där riskerna för penningtvätt och finansiering av terrorism är mera lättöverskådliga. I större företag och koncerner kan emellertid mer komplexa meto- der för att genomföra riskbedömningar behöva arbetas fram. 4 och rådets direktiv /36/EU av om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kreditinstitut och värdepappersföretag, om ändring av direktiv /87/EG och om upphävande av direktiv /48/EG och 2006/49/EG. Definitionen av modellrisk finns i artikel 3.1.11. Verksamhetsutövarens skyldigheter – riskbedömning, interna rutiner m.m. utarbetandet av sådana metoder kan krävas mera omfattande rutiner för att motverka felaktiga utfall. Den andra nyheten i direktivet, att verksamhetsutövaren ska ha rutiner för bakgrundskontroller av personal, omfattas sedan tidi- gare av Fatfs rekommendationer. Syftet med bakgrundskontroller eller ”screening procedures” är, enligt tolkningsnoten till Fatfs rekom- mendation nr 18, att säkerställa en hög standard bland de anställda. Det är i viss mån upp till tillsynsmyndigheterna att, inom ramen för sin föreskriftsrätt, sätta en lämplig nivå på hur omfattande sådana bakgrundskontroller av anställda bör vara. Vilka undersökningar en arbetsgivare får göra av arbetstagare styrs också av bl.a. arbetsrätts- liga regler och kollektivavtal. Kravet på att verksamhetsutövarens rutiner i vissa fall ska in- begripa utnämningen av en efterlevnadsansvarig behandlas särskilt i avsnitt 16.4. Generellt krav på koncerngemensamma rutiner bör införas i penningtvättslagen När det sedan gäller kravet på koncerngemensamma rutiner skulle det kunna hävdas att detta krav fortsättningsvis enklast tas om hand i författning av lägre valör, dvs. inom ramen för myndigheternas redan nu gällande föreskriftsrätt. Detta inte minst med tanke på att det främst torde vara kreditinstituten och de finansiella instituten som träffas av regleringen. Kravet i direktivets artikel 45.1 är dock generellt utformat och omfattar samtliga verksamhetsutövare. Som redogörs för i avsnitt 15.3 kräver direktivet att de koncerngemen- samma rutinerna genomförs effektivt även vid filialer och dotter- bolag med hemvist i en annan medlemsstat eller i tredje land. I syfte att skapa en effektiv och systematisk reglering anser utred- ningen därför att det är påkallat att införa ett generellt krav på koncerngemensamma rutiner i penningtvättslagen. Skyldigheterna att genomföra de koncerngemensamma rutinerna bör gälla den verksamhetsutövare som är moderföretag i en koncern. De koncern- gemensamma rutinerna bör omfatta koncernens övergripande rikt- linjer, förfaranden och kontroller för att förhindra penningtvätt och finansiering av terrorism och således antas vid sidan av verk- samhetsutövarens egna riskbaserade rutiner. De ska, i enlighet med artikel 45 i direktivet, inbegripa rutiner för hantering av person- Verksamhetsutövarens skyldigheter – riskbedömning, interna rutiner m.m. uppgifter och för informationsutbyte inom koncernen.