sou · H4B38 · 2016-02-01 00:00:00 — Av 1 kap. 4 § framgår att lagen även gäller filialer i till utländska kredit- institut och finansiella institut med huvudkontor i utlandet. melsen omfattar dock inte de verksamheter som tillhandahåller betaltjänster enligt lagen om betaltjänster utan att vara betalnings- institut. Skälet till detta är att dessa tillhandahållare inte har möjlig- het att bedriva gränsöverskridande verksamhet.3 Den nuvarande bestämmelsen i penningtvättslagen uppfyller, enligt utredningens bedömning, kraven i direktivet. Den bör därför föras in i den nya lagen. Eftersom bestämmelsen i det närmaste kan sägas reglera penningtvättslagens tillämpningsområde – dvs. kretsen verksamhetsutövare – bör den enligt utredningens bedömning fort- sättningsvis återfinnas i lagens första kapitel. Den bestämmelse som behandlats betyder inte att penning- tvättslagen i övrigt enbart tar sikte på rent inhemska aktörer. Pen- ningtvättslagen är tillämplig på samtliga aktörer som är att betrakta som verksamhetsutövare. Även en utländsk person som i bedriver verksamhet som omfattas av lagens tillämpningsområde är således (dvs. som omfattas av 1 kap. 2 §) att betrakta som verksam- hetsutövare. I avsnitt 17.6, som tar sikte på frågor om tillsyn över gränsöverskridande verksamheter, behandlas dessa frågeställningar något ytterligare. 3 Jfr 3 kap. 18–23 §§ lagen (2010:751) om betaltjänster. 16Ansvar för regelefterlevnad, intern kontroll m.m. En reglering som inte efterlevs förlorar sitt syfte. Verksamhets- utövare är också oftast väldigt angelägna om att säkerställa att de regler man har att förhålla sig till efterlevs. I syfte att ytterligare säkerställa regelefterlevnaden innehåller dock det fjärde penning- tvättsdirektivet särskilda krav i fråga om intern kontroll och regel- efterlevnad. Direktivet inbegriper också andra bestämmelser som tar sikte på regelefterlevnad. Om en verksamhetsutövare överträder penning- tvättsregleringen föreligger vanligtvis ett intresse från ledningen att komma tillrätta med problemen. Det kan emellertid förekomma att enskilda personer inom organisationen döljer olika förhållanden. Det kan också förekomma situationer då ledningen är medveten om att det förekommer överträdelser men av olika skäl underlåter att agera. Därför finns det bestämmelser i direktivet som syftar till att uppmuntra rapportering av överträdelser. Reglerna i direktivet om- fattar också krav på skydd för visselblåsare som har en viktig roll för att avslöja olika former av oegentligheter hos verksamhetsutövare. Detta kapitel behandlar utredningens övervägande och förslag i fråga om dessa bestämmelser i direktivet som tar sikte på att upprätt- hålla regelefterlevnaden. Kapitlet omfattar även en redogörelse av ut- redningens förslag i fråga om en så kallad central kontaktpunkt. En övervägande del av de bestämmelser som behandlas i kapitlet föreslås regleras i kapitel 8 i utredningens förslag till ny penningtvättslag. Ansvar för regelefterlevnad, intern kontroll m.m. 16.2Ansvar för regelefterlevnad och intern kontroll Utredningens förslag: De interna rutinerna och i tillämpliga fall de koncerngemensamma rutinerna ska fastställas av verksam- hetsutövarens styrelse. I sådana juridiska personer som inte har en styrelse ska denna skyldighet åligga den eller de personer som har motsvarande funktion och ansvar. Om det är lämpligt ska styrelsen eller motsvarande funktion kunna delegera dessa upp- gifter. I de fall skyldigheterna enligt lagen åligger enskilda fysiska personer i egenskap av verksamhetsutövare, ska skyldigheterna i fråga om rutiner ändå åligga den juridiska personen på samma sätt som gäller enligt befintlig lagstiftning. Utgångspunkten, som följer av associationsrättsliga principer, är att det är styrelsen eller motsvarande funktion som har det över- gripande ansvaret för de skyldigheter som åläggs en juridisk person. Direktivet bygger på samma utgångspunkt, men ställer krav på att verksamhetsutövare i vissa situationer ska utse personer med sär- skilt ansvar för vissa frågor, samt därutöver en oberoende kontroll- funktion med viss inriktning. För att förtydliga att det slutliga ansvaret för verksamheten ålig- ger styrelsen eller motsvarande bör denna huvudregel framgå direkt i lagen. Därigenom klargörs att det ansvar och de uppgifter som ska genomföras av andra utpekade personer och funktioner inte syftar till att begränsa styrelsens slutliga ansvar för verksamheten. I syfte att skapa möjligheter för verksamhetsutövarna att själva organisera sin verksamhet bör också framgå att styrelsens uppgifter i olika av- seenden kan delegeras. Bestämmelsen som gäller den juridiska personens ansvar för risk- bedömning och riskbaserade rutiner när verksamhetsutövaren bedri- ver sin verksamhet som anställd överförs från den befintliga lagen. Den nuvarande penningtvättslagen innehåller inte några bestäm- melser som motsvarar direktivets krav när det gäller en särskilt ut- sedd styrelseledamot, efterlevnadsansvarig och en oberoende kon- trollfunktion, varför sådana bör införas. Utredningen bedömer att de bör föras in i ett eget kapitel som rör ansvar för rutiner, kontroll och regelefterlevnad. Ansvar för regelefterlevnad, intern kontroll m.m. 16.3Den särskilt utsedda styrelseledamoten Utredningens förslag: Om det är motiverat med hänsyn till verksamhetsutövarens storlek och natur ska en styrelseledamot pekas ut som ansvarig för att kontrollera att styrelsens beslut om åtgärder enligt penningtvättsregleringen genomförs. I artikel 46.4 anges att medlemsstaterna ska kräva att de ansvariga enheterna i tillämpliga fall identifierar den styrelseledamot som ska ansvara för det genomförande av lagar och andra författningar som krävs för att följa direktivet. Direktivets krav i den del som avser en styrelseledamot med sär- skilt ansvar behöver tolkas i två avseenden. Den första frågan är vilket ansvar som denna styrelseledamot bör ha. Som angetts ovan ska denna person enligt direktivet ansvara för det genomförande av lagar och andra författningar som krävs för att följa detta direktiv. Det är enligt utredningens uppfattning viktigt att styrelseleda- motens ansvar inte utformas på ett sådant sätt att styrelsens ansvar för de krav som lagen ställer sätts ur spel eller påverkas på annat sätt. Detta kan inte heller vara direktivets syfte. Utredningen tolkar åliggandet för den särskilda styrelseledamoten som att denna ska ha ansvaret för att kontrollera och följa upp att de åtgärder, rutiner eller andra förfaranden som beslutas också genomförs i verksam- heten. Det är inte möjligt, och inte heller lämpligt, att försöka for- mulera den särskilt utsedda styrelseledamotens uppgifter och an- svar i större utsträckning än vad som är nödvändigt för att uppfylla direktivets krav, eftersom det bör lämnas till verksamhetsutövarna att internt organisera sin verksamhet och bestämma ansvarsfördel- ningen i styrelsen på det sätt som är lämpligt. Det bör också påpekas att det inte är nödvändigt att den särskilt utsedda styrelseledamoten personligen genomför de kontroller och den uppföljning som ingår i dennas ansvarsområde, utan detta kan ske enligt delegation eller på annat sätt. Det viktiga är att styrelse- ledamoten som utses har ansvar för att initiera kontrollåtgärderna och se till att dess resultat följs upp. Den andra frågan som behöver tolkas i denna del är under vilka förhållanden som verksamhetsutövaren är skyldig att identifiera en särskilt utsedd styrelseledamot med angivet uppdrag. Ansvar för regelefterlevnad, intern kontroll m.m. ges att så ska ske ”i tillämpliga fall”. Detta kan tolkas som att skyl- digheten inträder så snart en verksamhetsutövare som omfattas av lagen har en styrelse. Enligt utredningens bedömning är dock en så- dan tolkning inte ändamålsenlig och stöds inte heller av den risk- baserade ansats som i övrigt genomsyrar direktivet. I stället bör sam- ma överväganden som ska styra när en centralt funktionsansvarig ska utses gälla även den särskilt utsedda styrelseledamoten. Det är så- ledes verksamhetens storlek och natur som ska vara avgörande. Med storlek kan avses bl.a. omsättning, antal anställda, antal verksamhets- ställen och andra liknande förhållanden. Med natur avses framför allt hur stor risken för penningtvätt och finansiering av terrorism som föreligger i verksamheten, vilket kan identifieras genom verksam- hetens riskbedömning och på annat sätt. Andra omständigheter som kan beaktas är verksamhetens komplexitet, om det i verksamheten tillhandahålls tjänster av olika slag och andra liknande förhållanden. Behovet av en särskilt utsedd styrelseledamot med uppgifter som rör penningtvätt och finansiering av terrorism samt de närmare upp- gifter som denna person bör genomföra kan också väntas variera mellan de olika branscher som omfattas av regelverket. Det är med hänsyn till detta ändamålsenligt att de närmare kriterierna för när en särskilt utsedd styrelseledamot ska identifieras, och vid behov den- nes uppgifter, preciseras i myndigheternas föreskrifter. Utredningens förslag: Om det är motiverat med hänsyn till verk- samhetsutövarens storlek och natur ska en person på ledningsnivå utses till centralt funktionsansvarig. Denna person ska ha ansvar för att kontrollera att det i verksamheten finns riktlinjer, kon- troller och förfaranden som effektivt hanterar de risker för pen- ningtvätt och finansiering av terrorism som finns i verksamheten, samt ha ansvaret för att rapportering av misstänkta aktiviteter sker till (Finanspolisen). I artikel 8.4 a) anges att ansvariga enheter ska ha en efterlevnads- ansvarig på ledningsnivå om det motiveras av verksamhetens stor- lek och natur. Av artikel 33.2 följer att den efterlevnadsansvariga har ansvaret för att vidarebefordra de uppgifter om misstänkt pen- Ansvar för regelefterlevnad, intern kontroll m.m. ningtvätt eller finansiering av terrorism som verksamhetsutövaren är skyldig att lämna till (Finanspolisen) med stöd av lagen. Direktivets krav i den del som avser en styrelseledamot med sär- skilt ansvar behöver tolkas i flera avseenden. Det första som måste klarläggas är vilket ansvar som den efter- levnadsansvariga bör ha enligt direktivet. Bestämmelsen om den efterlevnadsansvariga är införd i artikel 8 i direktivet. Där regleras i övrigt kraven som rör riskbedömningar, riktlinjer, kontroller och förfaranden som verksamhetsutövarna ska genomföra i syfte att identifiera och effektivt hantera riskerna för penningtvätt och finan- siering av terrorism i verksamheten. Bland dessa skyldigheter ingår efterlevnadskontroll, vilket kan inbegripa en efterlevnadsansvarig på ledningsnivå. Den efterlevnadsansvariga måste således ha ett ansvar för att kontrollera att de åtgärder, riktlinjer och rutiner som vidtas eller finns i verksamheten är effektiva och även i övrigt uppfyller de krav som ställs på verksamhetsutövaren enligt lagen. I kontroll- ansvaret ligger också att internt rapportera oegentligheter och bris- ter som måste åtgärdas. Det naturliga är att rapportering sker till styrelsen, den särskilt utsedda styrelseledamoten, den person som har ansvar för att utarbeta rutinerna (om det delegerats från styrel- sen) eller den verkställande direktören. I lagen bör dock inte före- skrivas något om vem rapportering ska ske till, eftersom verksam- hetsutövarna bör ha möjlighet att inrätta sin verksamhet på ett effektivt sätt och med möjlighet till anpassning beroende på verk- samhetens omfattning. Därutöver ska den efterlevnadsansvariga, om en sådan utses, en- ligt artikel 33.2 vara ”länken” mellan verksamhetsutövaren och Polis- myndigheten, och ansvara för att vidarebefordra de uppgifter om misstänkt penningtvätt eller finansiering av terrorism som verksam- hetsutövaren är skyldig att lämna till med stöd av lagen. Dessa uppgifter sammanfaller med det ansvar som tillkom- mer den centralt funktionsansvariga som ska utses enligt 6 kap. 1 § föreskrifter FFFS 2009:1. Enligt utredningens bedömning bör den redan upparbetade benämningen ”Centralt funktionsansvarig” med fördel kunna användas även för den person som i direktivet benämns efterlevnadsansvarig. Den centralt funktionsansvariga får således ett omfattande an- svarsområde. Denna ska kontrollera att de åtgärder, riktlinjer och Ansvar för regelefterlevnad, intern kontroll m.m. rutiner som vidtas eller finns i verksamheten är effektiva och även i övrigt uppfyller de krav som ställs på verksamhetsutövaren enligt lagen, rapportera brister i dessa avseenden till en behörig person samt vara länken mellan verksamhetsutövaren och Polismyndig- heten. Det är uppenbart att alla dessa uppgifter inte alltid kan ut- föra av samma person. Den centralt funktionsansvariga bör således kunna utse en eller flera personer som biträder honom eller henne och delegera befogenheter till dessa personer. I direktivet anges vidare att den centralt funktionsansvariga per- sonen ska tjänstgöra på ledningsnivå. Vad detta närmare innebär kan inte preciseras i lag, eftersom det kan skilja sig åt beroende på vilken form som verksamheten bedrivs i, verksamheten storlek och andra liknande faktorer. Begreppet ansluter till direktivets defini- tion av ”företagsledning” (artikel 3.12): En tjänsteman eller anställd som har tillräckliga kunskaper om institutets riskexponering mot penningtvätt och finansiering av terrorism och som har tillräckliga befogenheter att fatta beslut som påverkar dess riskexponering, och behöver inte i alla fall vara styrelseledamot. I begreppet ledningsnivå ligger också att den som utses till cen- tralt funktionsansvarig måste ha ett visst oberoende gentemot bo- lagets ledning samt relativ frihet att planera och prioritera sitt eget och i förekommande fall sina underställa medarbetares arbete. I 2 kap. 7 § andra stycket i den föreslagna penningtvättslagen anges att anställda inte får utsättas för ogynnsamma eller diskriminerande anställningsåtgärder med anledning av att de internt eller externt har informerat om misstänkt penningtvätt eller finansiering av terrorism. Detta bör bereda den centralt funktionsansvariga visst oberoende vid utförandet av sina uppgifter. Slutligen måste klarläggas vilka verksamhetsutövare som är skyl- diga att utse en centralt funktionsansvarig. I direktivet anges att så ska ske när det motiveras av verksamhetens storlek och natur. Des- sa begrepp har samma betydelse som angetts ovan om den särskilt utsedda styrelseledamoten. Storlek kan således avses bl.a. omsätt- ning, antal anställda, antal verksamhetsställen och andra liknande förhållanden. Med natur avses framför allt hur stor risken för pen- ningtvätt och finansiering av terrorism som föreligger i verksam- heten, vilket kan identifieras genom verksamhetens riskbedömning och på annat sätt. Andra omständigheter som kan beaktas är verk- Ansvar för regelefterlevnad, intern kontroll m.m. samhetens komplexitet, om det i verksamheten tillhandahålls tjäns- ter av olika slag och andra liknande förhållanden. Även om kriterierna för att avgöra när en centralt funktions- ansvarig person ska utses uttrycks i samma termer som i fråga om den särskilt utsedda styrelseledamoten är det dock viktigt att fram- hålla att det kan finnas situationer när bara en av dessa två funk- tioner utses. Det bör vara verksamhetens behov och risker som slut- ligt avgör om båda funktionerna behövs. Behovet av en centralt funktionsansvarig person kan också antas variera mellan de olika branscher som omfattas av regelverket. Exem- pelvis kan det i vissa branscher eller för vissa typer av verksamhets- utövare finnas skäl att alltid ha en centralt funktionsansvarig, medan det för andra verksamhetstyper förekommer mera sällan. Det är med hänsyn till detta ändamålsenligt att de närmare kriterierna för när en centralt funktionsansvarig ska utses och andra specifika bestämmelser avseende denna funktion preciseras i myndigheternas föreskrifter. Utredningens förslag: I de fall det är motiverat ska verksamhets- utövare utse en oberoende granskningsfunktion för att granska de interna riktlinjer, kontroller och förfaranden som hanterar de risker för penningtvätt och finansiering av terrorism som finns i verksamheten. I artikel 8.4 b) i direktivet anges att verksamhetsutövare, om det motiveras av verksamhetens storlek och natur, ska ha en oberoende granskningsfunktion för att granska de interna riktlinjer, kontroller och förfaranden som anges i artikel 8.4 a). Direktivet saknar, utöver kravet på oberoende, en närmare preci- sering av granskningsfunktionens sammansättning, plats i organisa- tionen, befogenheter och övriga egenskaper. Enligt utredningens bedömning bör skyldigheten att utse en oberoende gransknings- funktion vara förbehållen de verksamhetsutövare som har en särskilt omfattande verksamhet och stora risker för penningtvätt och finan- siering av terrorism kopplade till verksamheten. Krav på sådana funk- tioner finns för bl.a. banker och kreditmarknadsföretag och Ansvar för regelefterlevnad, intern kontroll m.m. regleras i föreskrifter, men saknas för andra verksamhetsutövare som omfattas av lagen. Enligt utredningens uppfattning skiljer sig olika verksamhets- utövares och branschers förutsättningar och behov åt när det funk- tionens sammansättning, befogenheter m.m. I lagen bör därför inte annat anges än vad som framgår av direktivet, dvs. funktionens upp- gift och kravet på dess oberoende. Det bör överlämnas åt respektive myndighet med föreskriftsrätt att närmare föreskriva när en obero- ende granskningsfunktion bör utses och reglera formerna för funk- tionens verksamhet. 16.6Central kontaktpunkt för vissa utländska verksamhetsutövare Utredningens förslag: I 8 kap. i den nya penningtvättslagen införs en bestämmelse som anger ramarna för när en verksamhetsutövare vars huvudkontor är beläget i en annan medlemsstat och som i bedriver sådan verksamhet som avses i 1 kap. 2 § 6 och 8 i annan form än filialer ska utse en central kontaktpunkt här i landet. I artikel 45.9 anges att medlemsstaterna får kräva att utgivare av elektroniska pengar och vissa betaltjänstleverantörer som är etable- rade på medlemsstaternas territorier ska utse en central kontakt- punkt, förutsatt att verksamhetsutövarens huvudkontor är beläget utomlands och att verksamheten bedrivs i annan form än som filial. Den centrala kontaktpunkten ska enligt direktivet på sin huvud- mans vägnar säkerställa att reglerna i lagen efterlevs samt att under- lätta för tillsynsmyndigheternas tillsyn. I artikel 45.10–11 framgår att kommissionen, efter förslag från de europeiska tillsynsmyndigheterna, ska besluta om tekniska stan- darder i vilka ska anges kriterierna för när det är lämpligt att utse en central kontaktpunkt samt vilka funktioner denna bör ha. Utredningen konstaterar således att det inte med någon precision kan förutses vilka omständigheter som ska beaktas vid bedömningen av frågan om när en central kontaktpunkt ska ut- ses. Det är inte heller klarlagt vilka funktioner den centrala kontakt- punkten ska ha. Med hänsyn till att dessa omständigheter kommer att antas genom tekniska standarder, som behöver kunna träda Ansvar för regelefterlevnad, intern kontroll m.m. i kraft skyndsamt, är det enligt utredningen lämpligt att dessa krite- rier får flyta in i svensk rätt genom myndighetsföreskrifter. I syfte att kunna bemyndiga tillsynsmyndigheterna att utfärda dessa före- skrifter bör den grundläggande skyldigheten att utse en central kon- taktpunkt när det är motiverat anges i lag. Utredningen anser att denna bestämmelse med fördel kan placeras i 8 kap., då den berör frågor om ansvar för regelefterlevnad för sådana verksamheter som kan komma att utse en central kontaktpunkt. 16.7Mekanism för att rapportera överträdelser och skydd för visselblåsare1 16.7.1Kraven enligt det fjärde penningtvättsdirektivet Artikel 61.1 ålägger medlemsstaterna att säkerställa att behöriga myn- digheter inför effektiva och tillförlitliga mekanismer för att upp- muntra rapportering av potentiella eller faktiska överträdelser av sådana bestämmelser som genomförts i nationell rätt med anledning av direktivet. Förordningen om uppgifter som ska åtfölja betalningar och överföringar av medel innehåller motsvarande bestämmelser – som tar sikte på rapportering av överträdelser av förordningen (se artikel 21). Enligt artikel 61.2 i direktivet ska mekanismerna åtminstone om- fatta: a)Särskilda förfaranden för mottagande av rapporter om överträ- delser och uppföljning av dem, b)tillbörligt skydd för anställda eller personer i jämförbar ställning som rapporterar överträdelser begångna hos verksamhetsutövaren, c)tillbörligt skydd för den tilltalade personen, d)skydd av personuppgifter avseende både den person som rap- porterar en överträdelse och den fysiska person som påstås bära ansvaret för den, i enlighet med principerna i dataskyddsdirek- tivet, och 1 Som framkommer i det följande finns liknande krav som dem som redovisas i detta avsnitt i andra EU-direktiv på det finansiella området. Redogörelsen är delvis hämtad från förarbeten som genomför dessa direktiv i svensk rätt, se bl.a. SOU 2015:62, s. 101 ff. Ansvar för regelefterlevnad, intern kontroll m.m. e)tydliga regler som under alla omständigheter ser till att konfiden- tialiteten för den person som rapporterar överträdelsen begångna hos verksamhetensutövaren garanteras, såvida inte offentliggör- ande krävs i enlighet med nationell lagstiftning i samband med ytterligare utredningar eller efterföljande rättsliga förfaranden. I artikel 61.3 anges att medlemsstaterna ska kräva att verksamhets- utövare inrättar lämpliga rutiner, så att deras anställda eller personer i jämförbar ställning kan rapportera överträdelser internt genom en särskild, självständig och anonym kanal som står i proportion till verksamhetsutövarens typ och storlek. 16.7.2Kravet på speciella procedurer för hur anmälningar ska omhändertas hos behöriga myndigheter Utredningens förslag: Skyldigheten att inrätta effektiva proce- durer för att motta och följa upp anmälningar om oegentligheter ska genomföras på förordningsnivå. När det gäller bör samfundet på lämpligt sätt informera om på vilka sätt information rörande över- trädelser av penningtvättsregelverket kan överlämnas till sam- fundet och vilka rutiner som ska tillämpas när sådan information når samfundet. Enligt artikel 61.2 a) i direktivet och artikel 21 i förordningen ska medlemsstaterna säkerställa att behöriga myndigheter etablerar effek- tiva procedurer för att omhänderta anmälningar om överträdelser och hur de följs upp. Motsvarande regler finns bl.a. i kapitaltäckningsdirektivet2 och UCITS V-direktivet3. Vid genomförandet, respektive förslaget till genomförande, bedömdes att i praktiken uppfyl- 2Europaparlamentets och rådets direktiv /36/EU av om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kreditinstitut och värdepappersföretag, om ändring av direktiv /87/EG och om upphävande av direktiv /48/EG och 2006/49/EG. 3Europaparlamentets och rådets direktiv /91/EU av om ändring av direktiv /65/EG om samordning av lagar och andra författningar som avser företag för kollektiva investeringar i överlåtbara värdepapper (fondföretag) när det gäller förvarings- institutionsfunktioner, ersättningspolicy och sanktioner. Ansvar för regelefterlevnad, intern kontroll m.m. ler de krav på effektiva och tillförlitliga mekanismer för att upp- muntra rapportering av överträdelser och att artikeln, såvitt avser själva mekanismerna för att möjliggöra och ta emot anmälningar borde genomföras genom föreskrifter på förordningsnivå. En sådan bestämmelse finns i 5 b § förordningen (2009:93) med instruktion för . Utredningen gör samma bedömning be- träffande reglerna i det fjärde penningtvättsdirektivet. Nämnda be- stämmelse i förordningen med instruktion för bör dock ändras så att den även omfattar anmälningar om överträdel- ser av penningtvättsregleringen och överträdelser av förordningen om uppgifter som ska åtfölja betalningar och överföringar av medel.