prop · H403173 · 2017-04-26 00:00:00 — anser att det är av avgörande betydelse att verksamhetsutövare får ytterligare vägledning om hur riskbedömningen ska gå till och vilka faktorer som bör beaktas. ser därför positivt på förslaget att mer detaljerad vägledning ska lämnas i författning av lägre valör. Skälen för regeringens förslag Innehållet i den allmänna riskbedömningen Verksamhetsutövare ska vidta lämpliga åtgärder för att identifiera och bedöma riskerna för penningtvätt och finansiering av (artikel 8.1 i fjärde penningtvättsdirektivet). beaktas riskfaktorer avseende verksamhetens kunder, länder och geografiska områden, produkter, tjänster, transaktioner eller Åtgärderna ska stå i proportion till de ansvariga enheternas typ och storlek. Bestämmelser om krav på riskbedömning finns i gällande rätt i 5 kap. 1 § första stycket penningtvättslagen. Där anges att verksamhetsutövare ska kartlägga och bedöma riskerna för penningtvätt och finansiering av terrorism i verksamheten. Regeringen anser att de relativt detaljerade krav på riskbedömningen som finns i direktivet motiverar att kraven på verksamhetsutövarna i detta avseende bör förtydligas i lagen. tydligare och mer utförlig reglering av riskbedömningen talar också de synpunkter som framförs av Brå, nämligen att begreppet risk inte är definierat i gällande rätt eller i utredningens förslag. definition finns inte heller i direktivet. När riskbegreppet används i sammanhanget bekämpning av penningtvätt och finansiering av terrorism involverar det, som Brå påpekar, i första hand en bedömning av hur sårbar verksamhetsutövaren är för att utnyttjas för penningtvätt eller finansiering av terrorism. Som Lagrådet påpekar kan det förekomma att produkter eller tjänster inte bedöms som sårbara i sig utan att bristen (sårbarheten) ligger i andra delar av ”systemet”, Regeringen konstaterar därutöver att det kan förekomma att sårbarheter beror på andra omständigheter såsom verksamhetsutövarens storlek, organisatorisk komplexitet och andra verksamhetsspecifika, men inte produkt- eller tjänstrelaterade, Som Lagrådet föreslår bör därför utgångspunkten för den riskbedömning som verksamhetsutövaren ska göra beskrivas i mer neutrala termer än i det remitterade förslaget. Lagrådets förslag till lagtext i denna del innebär att verksamhetsutövare ska bedöma hur de produkter och tjänster som tillhandahålls kan utnyttjas för penningtvätt eller finansiering av Som Brå framhåller bör dock riskbedömningen därutöver innehålla en bedömning av hur stor risken för detta är. föreslagna lagtexten bör kompletteras så att detta framgår. Verksamhetsutövaren ska således bedöma hur de produkter och tjänster som tillhandahålls i verksamheten kan utnyttjas för penningtvätt 2016/17:173 eller finansiering av terrorism och hur stor risken är för att detta sker. Vid denna bedömning ska verksamhetsutövaren ta särskild hänsyn sådana faktorer som exemplifieras i artikel 8.1 i direktivet. riskfaktorer kopplade till typen av kunder, var i världen som kunderna är etablerade respektive var verksamhetsutövaren erbjuder sina tjänster samt faktorer avseende distributionskanaler för produkter och tjänster. För att bedöma om exempelvis förekomsten av många transaktioner till ett visst land innebär en ökad sannolikhet för att en tjänst som möjliggör gränsöverskridande penningtransaktioner utnyttjas för penningtvätt eller finansiering av terrorism är kännedom om riskerna, som kan förknippas med landet i fråga, av avgörande betydelse. Även kvantitativ data som visar att penningtvätt eller finansiering av terrorism genom ett visst förfarande eller med en viss typ av tjänst eller produkt är vanligt förekommande är av vikt för att riskanalysen ska vara verklighets- anpassad och relevant. En verksamhetsutövare kan genom egna analyser och åtgärder för övervakning och rapportering av misstänkta aktiviteter och transaktioner bilda sig en uppfattning om riskerna i verksamheten. åtgärder kan verksamhetsutövaren få en översiktlig bild av olika externa riskfaktorer som påverkar risken för penningtvätt eller finansiering av terrorism i verksamheten. I lagen bör framgå att kunskap som erhållits vid rapportering av misstänkta transaktioner och aktiviteter ska beaktas Detta innebär ett mindre förtydligande i förhållande till Lagrådets förslag till lagtext. Som påpekar är krav på att verksamhets- utövare ska konkretisera brottsliga tillvägagångssätt väl långtgående utan att det ställs krav på myndigheterna att ge verksamhetsutövare den information som krävs för detta ändamål. En förutsättning för en effektiv tillämpning av det riskbaserade förhållningssättet är att det sker en kunskapsöverföring mellan de myndigheter som har ansvar för att analysera, utreda och beivra misstänkt penningtvätt och finansiering av terrorism och verksamhetsutövarna. Det är bl.a. mot denna bakgrund som direktivets krav på nationell samordning, nationella riskbedömningar samt återkoppling och informationsöverföring till verksamhetsutövare I fjärde penningtvättsdirektivet anges att varje medlemsstat ska se till att beslutsfattare, FIU, tillsynsmyndigheter och andra behöriga myndigheter som arbetar med bekämpning av penningtvätt och samordningsmekanismer (artikel 49). Inom ramen för denna samordning ska varje medlemsstat vidta åtgärder för att bl.a. identifiera, bedöma och förstå riskerna för penningtvätt och finansiering av terrorism i landet, (artikel 7). Riskbedömningen ska hållas uppdaterad. ska göra lämplig information tillgänglig för verksamhetsutövare för att underlätta deras egna bedömningar av risken för penningtvätt och finansiering av terrorism (artikel 7.4 e). Av direktivet framgår också att medlemsstaterna ska se till att verksamhetsutövare har tillgång till aktuell information om tillvägagångssätt för personer som ägnar sig åt penningtvätt och finansierar terrorism samt uppgifter som gör det möjligt att upptäcka misstänkta transaktioner (artikel 46.2). slutligen att medlemsstaterna ska se till att det i de fall det är möjligt effektiviteten och uppföljningen av rapporter om misstänkt penningtvätt eller finansiering av terrorism (artikel 46.3). Regeringens förslag i fråga om formerna för denna samverkan och nationella riskbedömning m.m. framgår i avsnitt 14.3. En del av de samverkande myndigheternas uppdrag är att fullgöra de krav på informationsöverföring till verksamhetsutövarna som direktivet kräver. Sammantaget medför fjärde penningtvättsdirektivet således långt- gående krav på att de relevanta myndigheterna i varje medlemsstat ska bistå verksamhetsutövarna med lämpligt utformad och uppdaterad information, vilket kan bidra till att verksamhetsutövarna gör en relevant, uppdaterad och verklighetsanpassad riskbedömning. Det kan inte krävas att verksamhetsutövarna ska kunna tillgodogöra sig all sådan information utan bistånd från de relevanta myndigheterna. Det är däremot tydligt att verksamhetsutövarna förutsätts ta till sig och omsätta den information som tillhandahålls av myndigheterna i sin riskbedömning. Det föreligger således en skyldighet för verksamhetsutövarna att beakta sådan information som lämnas till dem i detta syfte. Det bör framgå i lagen. Den allmänna riskbedömningens omfattning och krav på dokumentation Av direktivet följer att åtgärderna för att vidta en riskbedömning ska stå i proportion till verksamhetsutövarens typ och storlek (artikel 8.1). I artikel 8.4 används i stället uttrycken storlek och natur för att beskriva de parametrar som ska beaktas i proportionalitetsbedömningen. I den engelska språkversionen används emellertid uttrycken ”size and nature” genomgående, vilket innebär att begreppen ”typ” och ”natur” i den svenska språkversionen ska ha samma betydelse. Begreppen typ och natur syftar således till något annat än storlek. Det ligger närmast till hands att likställa dessa begrepp med det mer allmänt vedertagna begreppet art. Detta begrepp bör användas i lagen, oavsett om direktivet talar om natur eller typ. Med verksamhetens art avses i första hand vilken verksamhet som bedrivs, inbegripet vilka varor eller tjänster som tillhandahålls, hur komplexa dessa varor och tjänster är och andra liknande omständigheter. Med storlek avses t.ex. omsättning, antal anställda, antal verksamhetsställen och liknande förhållanden. Det kan framstå som självklart att kraven på den allmänna riskbedömningen måste variera mellan olika verksamhetsutövare, eftersom verksamhetsutövarna är av så olika karaktär i fråga om storlek och komplexitet. Det bör dock för tydlighetens skull framgå i lagen att åtgärderna ska stå i proportion till verksamhetsutövarens storlek och art. Den allmänna riskbedömningens omfattning och innehåll bör också vara beroende av vilka risker för penningtvätt eller finansiering av terrorism som föreligger i verksamheten och hur stora dessa risker kan antas vara. Även detta bör framgå i lagen, som bör utformas i enlighet med Riskbedömningen ska vara dokumenterad och hållas uppdaterad (artikel 8.2). Motsvarande krav finns i 5 kap. 1 § penningtvättslagen och bör förekomma även i den nya penningtvättslagen. I lagen bör också framgå att den allmänna riskbedömningen ska utformas så att den kan ligga till grund för verksamhetsutövarens rutiner, riktlinjer och övriga åtgärder mot penningtvätt och finansiering av terrorism. Den möjlighet att göra undantag från kravet på dokumenterade riskbedömningar som följer av artikel 8.2 i direktivet bör utnyttjas. Sådana undantag ska kunna meddelas av regeringen eller den myndighet som regeringen bestämmer. Möjligheten till ett sådant undantag skapar förutsättningar för en mer nyanserad tillämpning av lagens krav i linje med det riskbaserade förhållningssättet. Att den allmänna riskbedöm- ningen inte finns dokumenterad innebär i realiteten att verksamhets- utövarna och den ansvariga tillsynsmyndigheten i så fall ändå måste kunna avgöra att verksamhetens interna rutiner är tillräckliga och väl avpassade. I enlighet med vad som följer av direktivet bör möjligheten till undantag utnyttjas när riskerna för penningtvätt och finansiering av terrorism är uppenbara och väl kända. anser att det är av avgörande betydelse att verksam- hetsutövare får ytterligare vägledning om hur riskbedömningen ska gå till och vilka faktorer som bör beaktas. ser därför positivt på förslaget att mer detaljerad vägledning ska lämnas i författning av lägre valör. Som framgått ovan har verksamhetsutövarna ett behov av relevant och uppdaterad kunskap om tillvägagångssätt och risker för penningtvätt och finansiering av terrorism. Denna information är inte av sådan art att den i allmänhet lämpar sig för att anges i myndighetsföreskrifter. Informationen bör delges verksamhetsutövarna på ett mindre formaliserat sätt. Regeringen konstaterar dock att det för vissa kategorier av verksam- hetsutövare kan finnas behov av mer detaljerade föreskrifter om den allmänna riskbedömningen. Det kan exempelvis gälla sådana verksam- hetsutövare vars tjänster eller produkter är relativt homogena, vilket innebär att i princip varje verksamhetsutövare har samma sårbarheter i verksamheten. För sådana verksamhetsutövare kan det förenkla tillämp- ningen av det riskbaserade förhållningssättet om den allmänna riskbedömningen kan ske enligt ett mera standardiserat förfarande. Även grupper av verksamhetsutövare med relativt sett små ekonomiska och personella resurser kan vara i behov av vägledning i föreskrifter för att kunna åstadkomma en användbar riskbedömning. I föreskrifter kan också preciseras sådana faktorer avseende tjänster och produkter som ska beaktas i riskbedömningen. Ett exempel på faktorer som lämpar sig för precisering i föreskrifter är sådana som verksamhetsutövare ska beakta som indikatorer på potentiellt lägre risk enligt bilaga II till direktivet. Där nämns exempelvis livförsäkringar med låg premie, vissa pensionsförsäkringar och andra pensionslösningar, samt finansiella produkter med begränsade tjänster som syftar till att möjliggöra finansiell integration. I författning av lägre valör än lag kan sådana produkter och tjänster preciseras och beskrivningarna i direktivet kan anpassas efter svenska förhållanden. En tydlig bedömning av riskerna avseende kollektivavtalad premiebestämd tjänstepension, som Svensk Försäkring nämner i sitt remissvar, görs exempelvis lämpligen i sådana föreskrifter. En möjlighet för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om hur den allmänna riskbedöm- ningen ska genomföras och vilka riskfaktorer som ska beaktas vid Prop. 2016/17:173 riskbedömningen bör således införas i lagen. Föreskrifter bör också, som nämnts ovan, kunna meddelas om undantag från kravet på en dokumen- terad riskbedömning. Regeringens förslag: Verksamhetsutövare ska ha rutiner och rikt- linjer avseende kundkännedom, övervakning och rapportering samt behandling av personuppgifter. Rutiner och riktlinjer ska även avse interna kontroller. Omfattningen av och innehållet i rutinerna och riktlinjerna ska fortlöpande anpassas efter nya och förändrade risker och bestämmas av verksamhetsutövarens storlek, art och risken för penningtvätt och finansiering av terrorism i verksamheten som identifierats i den allmänna riskbedömningen. Om en verksamhetsutövare använder modeller för riskanalys, riskklassificering, övervakning eller andra förfaranden ska verksamhetsutövaren ha rutiner för modellriskhantering. Rutinerna för modellriskhantering ska syfta till att utvärdera och kvalitetssäkra de modeller som verksamhetsutövaren använder. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om innehållet i och omfattningen av rutinerna och riktlinjerna. Utredningens förslag överensstämmer i huvudsak med regeringens förslag. Utredningen föreslår dock en något mindre detaljerad reglering i lag och en mera utförlig reglering i författning av lägre valör. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. Förvaltningsrätten i anför att bl.a. bestämmelserna om riskbaserade rutiner måste förtydligas för att en överträdelse av dessa ska kunna föranleda en sanktionsavgift. Finans- inspektionen önskar ett förtydligande i fråga om vilka modeller som verksamhetsutövarna förväntas utveckla rutiner för modellriskhantering. noterar att begreppet ”rutiner” används för såväl övergripande som mer detaljerade dokument. Eftersom verksamhets- utövarna inte har samma hierarkiska struktur, bör lagen öppna upp för en flexibel användning av olika begrepp så att kraven kan tillämpas av verksamhetsutövarna oavsett vilken nomenklatur de tillämpar. Svensk Försäkring konstaterar att utredningens avsikt är att rutiner för modell- riskhantering och bakgrundskontroll av personal ska omfattas av bemyndigande avseende interna riskbaserade rutiner. Modellrisk- hantering och bakgrundskontroll är nya krav på verksamhetsutövarna som enligt förslaget överhuvudtaget inte regleras i lagen. Ett bemyndigande om att meddela närmare föreskrifter om dessa krav är därför olämpligt. Det krävs därför en bestämmelse i lag som ett sådant bemyndigande kan anknyta till. framhåller vikten av att detaljreglering avseende fastighetsmäklares interna rutiner sker i form av myndighetsföreskrifter. Skälen för regeringens förslag: I artikel 8.3–8.5 i fjärde penning- tvättsdirektivet finns relativt detaljerade krav på de riktlinjer, kontroller och övriga förfaranden som ansvariga enheter ska ha på plats för att minska och effektivt hantera riskerna för penningtvätt och finansiering av I artikel 8.3 anges att dessa förfaranden ska vara anpassade för att kunna hantera de risker som identifierats i verksamhetsutövarens egen riskbedömning samt i nationella och supranationella riskbedömningar som genomförts i enlighet med artiklarna 6 och 7 i direktivet. interna riskbaserade rutiner i direktivet motsvaras i gällande rätt delvis av 5 kap. 1 § andra stycket penningtvättslagen. För att genomföra de nya och detaljerade kraven i direktivet krävs att nya bestämmelser om detta införs i lagen. Verksamhetsutövarnas riktlinjer, kontroller och övriga förfaranden ska omfatta rutiner för modellriskhantering, åtgärder för kundkännedom, rapportering, registerhållning, intern kontroll, efterlevnadskontroll samt bakgrundskontroll av personal (artikel 8.4 a). I artikel 8.4 b anges att det ska finnas en oberoende granskningsfunktion för att granska de interna artikel 8.4 a. Gemensamt för de riktlinjer, kontroller och övriga förfaranden som ska genomföras enligt direktivet är att de ska stå i proportion till (artikel 8.3). såsom en efterlevnadsansvarig och en oberoende granskningsfunktion, ska endast krävas om det motiveras av verksamhetsutövarens storlek och (artikel 8.4). Som framgår i avsnitt 7.1 ska begreppen ”natur” och ”typ” ha samma innebörd vid tillämpningen av direktivet. begrepp avses verksamhetens art, dvs. vilken verksamhet som bedrivs, inbegripet vilka varor eller tjänster som tillhandahålls, hur komplexa dessa varor och tjänster är och andra liknande omständigheter. storlek avses t.ex. omsättning, antal anställda, antal verksamhetsställen och liknande förhållanden. Förvaltningsrätten i anför att bl.a. bestämmelserna om riskbaserade rutiner måste förtydligas för att en överträdelse av dessa ska kunna föranleda en sanktionsavgift. Svensk Försäkring har liknande synpunkter och konstaterar att rutiner för modellriskhantering och bakgrundskontroll är nya krav på verksamhetsutövarna som bör framgå i Även regeringen anser att kraven avseende interna rutiner bör framgå tydligare i lagen. Vid genomförandet av ett riskbaserat förhållningssätt är verksamhets- utövarens rutiner och riktlinjer av mycket stor betydelse. rutinerna ersätter i praktiken till stor del sådana detaljerade bestämmelser i lag eller föreskrifter som ger tydliga och detaljerade handlingsregler. Förslaget till ny penningtvättslag sätter således i viktiga avseenden endast ramarna för verksamhetsutövarens skyldigheter. måste fyllas med ett innehåll som är begripligt, situationsanpassat och tillämpbart genom verksamhetsanpassade rutiner och riktlinjer. De rutiner, riktlinjer och andra förfaranden som verksamhetsutövarna i detta syfte ska ha enligt direktivet kan delas in i tre huvudsakliga Den första kategorin syftar till att verksamhetsutövare och i förekommande fall dess anställda ska ha klart för sig vilka åtgärder som ska vidtas i olika situationer. Det kan t.ex. avse riktlinjer för vad som ska beaktas när kunderna delas in i riskklasser, riktlinjer för id-kontroller, frågeformulär för situationer som kräver skärpta kundkännedomsåtgärder och andra liknande situationsbetingande handlingsregler. Rutiner och riktlinjer i denna kategori kan också avse övervakningen av aktiviteter och transaktioner, inbegripet frågan om hur avvikelser ska uppmärk- sammas, analyseras och vid behov rapporteras till . Gemensamt för dessa rutiner, riktlinjer och förfaranden är att de primärt syftar till att uppfylla de krav som ställs på verksamhetsutövaren enligt penningtvättslagen. Dessa rutiner, riktlinjer och förfaranden ska i relevanta delar vara riskbaserade. Det innebär att de ska vara utformade för att kunna hantera och motverka de risker för penningtvätt och finansiering av terrorism som verksamhetsutövaren har identifierat i sin allmänna riskbedömning. I en situation med hög risk ska rutinerna således ge vägledning i fråga om vilka skärpta åtgärder som måste vidtas, hur informationsinhämtning ska ske och andra liknande omständigheter. I likhet med vad som gäller för den allmänna riskbedömningen ska rutinernas omfattning och innehåll bestämmas av verksamhetsutövarens storlek, art och risken i verksamheten. Detta bör framgå i lagen. Den andra kategorin av rutiner, riktlinjer och åtgärder avser frågor med koppling till verksamhetsutövarens personal. Enligt direktivets bestämmelser ska det finnas rutiner för bakgrundskontroll och utbildning av personalen. Dessa syftar således till att säkerställa att de anställda är lämpade för sina uppdrag och har tillräckliga kunskaper för att fullgöra de uppgifter som åligger verksamhetsutövaren. Verksamhetsutövare ska också se till att personalen skyddas från hot eller andra fientliga åtgärder när personalen fullgör verksamhetsutövarens skyldigheter enligt penningtvättslagen. Regeringens överväganden och förslag i dessa avseenden finns i avsnitten 7.5 och 7.6. Den tredje kategorin av rutiner, riktlinjer och förfaranden har det övergripande syftet att se till att verksamhetsutövarna har funktioner som syftar till regelefterlevnad och intern kontroll. Till denna kategori kan hänföras de uppgifter som ska fullgöras av en centralt funktionsansvarig och den oberoende granskningsfunktionen (se avsnitt 11.1.1). Hit hör också rutiner för modellriskhantering. I direktivet definieras inte vad som avses med modell och modellriskhantering. En modellrisk är, enkelt uttryckt, en risk för felaktigheter som kan uppstå vid tillämpningen av en viss modell. Modeller kan användas för att förenkla och systematisera ett antal bedömningar som verksamhetsutövare förutsätts göra enligt penningtvättslagen. Det kan exempelvis avse den allmänna riskbedöm- ningen, riskklassificering av kunder och övervakning av transaktioner och aktiviteter. Modellriskhanteringen syftar till att kvalitetssäkra och förbättra de modeller som används samt till att säkerställa att modellerna inte missbrukas av kunder som känner till modellerna och därmed kan anpassa sitt beteende för att undvika exempelvis en hög riskklassi- ficering. I lagen bör således framgå att verksamhetsutövare som använder sig av modeller för att göra bedömningar som krävs enligt lagen ska vara skyldiga att ha rutiner för modellriskhantering. Det bör också framgå att dessa rutiner ska syfta till att utvärdera och kvalitetssäkra de modeller som används. I lagen bör också, i enlighet med vad som följer av artikel 8.4 a i direktivet, uttryckligen framgå att verksamhetsutövare ska ha rutiner och riktlinjer för intern kontroll och efterlevnadskontroll. 2016/17:173 Bestämmelserna om rutiner och riktlinjer för intern kontroll, efterlevnadskontroll och modellriskhantering bör placeras i samma kapitel som kraven avseende en centralt funktionsansvarig och den oberoende granskningsfunktionen, i syfte att hålla samman bestämmelserna som avser regelefterlevnad och intern kontroll. framhåller vikten av att detaljreglering avseende fastighetsmäklares interna rutiner sker i föreskriftsform. Regeringen delar denna bedömning, eftersom detta bör vara det mest ändamålsenliga sättet att skapa proportionerliga föreskrifter om rutiner och andra åtgärder för varje kategori av verksamhetsutövare. Regeringen eller den myndighet som regeringen bestämmer bör således bemyndigas att meddela ytterligare föreskrifter om innehållet i och omfattningen av rutinerna och riktlinjerna. 7.3Gemensamma rutiner för bolag inom en koncern Regeringens förslag: En verksamhetsutövare som är det yttersta moderföretaget i en koncern ska fastställa gemensamma rutiner för koncernen. De gemensamma rutinerna ska åtminstone omfatta rutiner och riktlinjer för behandling av personuppgifter och för informationsutbyte inom koncernen. Rutinerna för informationsutbyte ska säkerställa att information om misstänkt penningtvätt och finansiering av terrorism och andra relevanta uppgifter delas, om det behövs för att förhindra penningtvätt och finansiering av terrorism. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om innehållet i och omfattningen av de gemen- samma rutinerna. Utredningens förslag överensstämmer i huvudsak med regeringens förslag. Utredningen föreslår dock en något mindre detaljerad reglering i lagen. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. Svensk Försäkring anser att kraven avseende koncerngemensamma rutiner måste förtydligas i lagen. Det måste bl.a. klargöras att de interna rutinerna för verksamhetsutövare inom en koncern har företräde framför de koncerngemensamma rutinerna.