EtikU 11 Medlemmarnas tillämpning av lagen om åtgärder mot penningtvätt och finansiering av terrorism

2 kap. 1 § penningtvättslagen

En verksamhetsutövare ska göra en bedömning av hur de produkter och tjänster som tillhandahålls i verksamheten kan utnyttjas för penningtvätt eller finansiering av terrorism och hur stor risken är för att detta sker (allmän riskbedömning).

Vid den allmänna riskbedömningen ska det särskilt beaktas vilka slags produkter och tjänster som tillhandahålls, vilka kunder och distributionskanaler som finns och vilka geografiska riskfaktorer som föreligger. Hänsyn ska också tas till uppgifter som kommer fram vid verksamhetsutövarens rapportering av misstänkta aktiviteter och transaktioner samt till information om tillvägagångssätt för penningtvätt och finansiering av terrorism och andra relevanta uppgifter som myndigheter lämnar.

2 kap. 2 § penningtvättslagen

Omfattningen av den allmänna riskbedömningen ska bestämmas med hänsyn till verksamhetsutövarens storlek och art och de risker för penningtvätt eller finansiering av terrorism som kan antas föreligga. Riskbedömningen ska utformas så att den kan ligga till grund för verksamhetsutövarens rutiner, riktlinjer och övriga åtgärder mot penningtvätt och finansiering av terrorism.

Den allmänna riskbedömningen ska dokumenteras och hållas uppdaterad.

4.1I den allmänna riskbedömningen ska verksamhetsutövaren ange de tjänster och produkter som tillhandahålls och beskriva de hot som är relevanta för tjänsterna och produkterna, t.ex. hur dessa kan användas för att dölja viss egendoms samband med brott eller brottslig verksamhet. Vid riskbedömningen ska kundernas riskprofiler (se punkterna 4.6–4.9 om riskbedömning av kunder) beaktas.

(FAR N 2022:1)

4.1AVidare ska en verksamhetsutövare i den allmänna riskbedömningen beskriva de egenskaper som kan göra dess verksamhet eller tjänster och produkter sårbara för försök till att utnyttjas för penningtvätt eller finansiering av terrorism samt värdera riskerna som är förenade med de beskrivna hoten och sårbarheterna.

(FAR N 2022:1)

4.2Förvaring av en kunds egendom, tillhandahållande av klientmedelskonto eller medelsförvaltningstjänster är exempel på tjänster som medför ökad risk för att verksamheten kan utnyttjas för penningtvätt. Riskfaktorer kan avse distributionskanaler exempelvis om medlemmen inte har kontroll över en tjänst när den tillhandahålls kunden, utan distributionen sker via en tredje part. Geografiska riskfaktorer är relaterade till förhållandena i de länder eller på den plats där produkter eller tjänster erbjuds eller där medlemmens kunder är baserade.

4.3För att vara relevant och tillförlitlig ska en riskbedömning så långt möjligt vara baserad på verkliga sårbarheter och risker. Medlemmens egna erfarenheter av rapportering om misstanke om penningtvätt och finansiering av terrorism ska beaktas. Den viktigaste informationen om sårbarheter och risker är dock sådan som sammanställts och analyserats av de myndigheter som har ansvar för att utreda och ingripa mot penningtvätt och finansiering av terrorism. I bilaga 1 till detta uttalande finns en lista på webbplatser där sådan information lämnas.

4.4Hur omfattande riskbedömningen ska vara beror på verksamhetens storlek och art. Med verksamhetens storlek avses t.ex. omsättning, antal anställda, antal verksamhetsställen och liknande förhållanden. Med verksamhetens art avses i första hand vilken verksamhet som bedrivs, inbegripet vilka produkter och tjänster som tillhandahålls, hur komplexa dessa produkter och tjänster är och andra liknande omständigheter. Underlag för riskbedömningen utgör även kännedom om vilka typiska risker som den egna branschen är utsatt för, vilket kan variera över tiden.

4.4AEnligt Revisorsinspektionens föreskrifter ska ett registrerat revisionsbolag i sin allmänna riskbedömning tillämpa minst tre risknivåer, dvs. normal, låg och hög risk. Risknivån får bestämmas som låg om det finns specifika omständigheter som visar att risken för penningtvätt och finansiering av terrorism är lägre än normalt. Om det finns omständigheter som tyder på förhöjd risk för penningtvätt eller finansiering av terrorism ska risknivån bestämmas som hög.

(FAR N 2022:1)

4.5Enligt 2 kap. 2 § länsstyrelsernas föreskrifter och 4 § Revisorsinspektionens föreskrifter ska den allmänna riskbedömningen utvärderas regelbundet, minst årligen, och vid behov uppdateras. Ett företag ska uppdatera sin riskbedömning innan det erbjuder nya eller väsentligt förändrade tjänster eller tillhandahåller tjänster på nya marknader samt när nya omständigheter uppkommer som är relevanta för verksamheten och som kan påverka risken för penningtvätt eller finansiering av terrorism i verksamheten. Datum för utvärderingen och eventuell uppdatering ska dokumenteras. En uppdatering av den allmänna riskbedömningen kan medföra att verksamhetsutövaren även behöver uppdatera sina rutiner och riktlinjer.

(FAR N 2022:1)

4.5AFAR har upprättat ett exempel på en allmän riskbedömning för en mindre verksamhet som finns att tillgå på FARs webbplats (inloggning krävs).

(FAR N 2021:1)

2 kap. 3 § penningtvättslagen

En verksamhetsutövare ska bedöma den risk för penningtvätt eller finansiering av terrorism som kan förknippas med kundrelationen (kundens riskprofil). Kundens riskprofil ska bestämmas med utgångspunkt i den allmänna riskbedömningen och verksamhetsutövarens kännedom om kunden.

När det behövs för att bestämma kundens riskprofil ska verksamhetsutövaren beakta omständigheter som avses i 4 och 5 §§ och föreskrifter som meddelats med stöd av denna lag samt andra omständigheter som i det enskilda fallet påverkar risken som kan förknippas med kundrelationen.

Kundens riskprofil ska följas upp under pågående affärsförbindelser och ändras när det finns anledning till det.

2 kap. 4 § penningtvättslagen

Som omständigheter som kan tyda på att risken för penningtvätt och finansiering av terrorism är låg kan verksamhetsutövaren beakta bland annat att kunden

1. är en stat, en region, en kommun eller motsvarande eller en juridisk person över vilken en stat, en region, en kommun eller motsvarande, var för sig eller tillsammans, har ett direkt eller indirekt rättsligt bestämmande inflytande,

2. har hemvist inom EES,

3. har hemvist i en stat som har bestämmelser om åtgärder mot penningtvätt och finansiering av terrorism som motsvarar dem i denna lag och som tillämpar dessa bestämmelser på ett effektivt sätt,

4. har hemvist i en stat som har en låg nivå av korruption och annan relevant brottslighet, och

5. är ett företag vars överlåtbara värdepapper är upptagna till handel på en reglerad marknad inom EES eller på en motsvarande marknad utanför EES.

2 kap. 5 § penningtvättslagen

Som omständigheter som kan tyda på att risken för penningtvätt eller finansiering av terrorism är hög kan verksamhetsutövaren beakta bland annat att

1. kundens ägarstruktur framstår som ovanlig eller alltför komplicerad för dess verksamhet,

2. kunden bedriver kontantintensiv verksamhet,

3. kunden är en juridisk person som har nominella aktieägare eller andelar utställda på innehavaren,

4. kunden är en juridisk person, en trust eller en liknande juridisk konstruktion som har till syfte att förvalta en viss fysisk persons tillgångar,

5. kunden har hemvist i en stat som saknar effektiva system för bekämpning av penningtvätt eller finansiering av terrorism,

6. kunden har hemvist i en stat med betydande korruption och annan relevant brottslighet,

7. kunden har hemvist i en stat som är föremål för sanktioner, embargon eller liknande åtgärder,

8. kunden har hemvist i en stat som finansierar eller stöder terroristverksamhet eller där terroristorganisationer är verksamma,

9. affärsrelationer eller transaktioner sker på distans, utan användning av metoder som på ett tillförlitligt sätt kan säkerställa kundens identitet, och

10. betalning av varor eller tjänster görs av någon som är okänd eller saknar koppling till kunden.

4.6Med kundens riskprofil avses hur stor risk för penningtvätt och finansiering av terrorism som kan förknippas med kundrelationen. Bedömningen av kundens riskprofil ska i sin tur avgöra omfattningen av de kundkännedomsåtgärder som ska vidtas.

4.7I penningtvättslagen anges exempel på omständigheter som kan tyda på att risken för penningtvätt eller finansiering av terrorism är låg eller hög. Det bör noteras att riskbedömningen aldrig kan stanna vid att en medlem konstaterar att en omständighet som enligt lagtexten indikerar en låg risknivå föreligger. I bedömningen måste samtliga omständigheter beaktas, dvs. även de omständigheter som indikerar att det föreligger en förhöjd risk för penningtvätt eller finansiering av terrorism.

4.8Omständigheter som kan tyda på att risken är hög hänför sig bland annat till svårighet att identifiera kundens verkliga huvudman (punkterna 1–4), kopplingar till länder som förknippas med korruption och/eller terroristverksamhet (punkterna 5–8) eller osäkerhet om kundens identitet (punkterna 9 och 10). Angående kopplingar till länder som förknippas med terroristverksamhet (punkten 8) kan medlemmen få viss vägledning av EUs terroristlista över personer och grupper som misstänks för eller är bevisat inblandade i terroristverksamhet.6

4.9I bilaga 2 till detta uttalande finns en lista på ytterligare omständigheter som kan tyda på att en förhöjd risk för penningtvätt eller finansiering av terrorism föreligger.

5.1Tillräcklig kunskap om sina kunder är en grundläggande förutsättning för att försvåra eller förhindra att verksamheten utnyttjas för penningtvätt eller finansiering av terrorism samt för att kunna rapportera misstänkta aktiviteter och transaktioner till Finanspolisen.

5.2För att få ingå eller upprätthålla en affärsförbindelse måste en verksamhetsutövare ha tillräcklig kännedom om kunden och kunna hantera risken för penningtvätt eller finansiering av terrorism. En affärsförbindelse får inte etableras om det finns misstanke om att verksamhetsutövarens tjänster kommer att användas för penningtvätt eller finansiering av terrorism.

5.3En verksamhetsutövare ska vidta åtgärder för att uppnå kundkännedom vid etableringen av en affärsförbindelse. I punkt 5.4 ges inledningsvis en kort sammanfattning av de åtgärder som ska vidtas för att uppnå kundkännedom, varefter väsentliga lagrum återges och kommenteras.

5.4För att uppnå och upprätthålla kundkännedom ska en verksamhetsutövare vidta följande åtgärder:

• identifiera kunden,

• kontrollera kundens identitet genom identitetshandling eller registerutdrag eller genom andra uppgifter och handlingar från en oberoende och tillförlitlig källa,

• utreda om det finns en verklig huvudman, vilket – förutom kontroll av Bolagsverkets register över verkliga huvudmän – även innefattar att vidta lämpliga åtgärder för att sätta sig in i kundens ägarförhållanden och kontrollstruktur, samt kontrollera den verkliga huvudmannens identitet,

• bedöma om kunden eller kundens verkliga huvudman är en person i politiskt utsatt ställning (en s.k. PEP, Politically Exposed Person), en familjemedlem eller känd medarbetare till en sådan person,

• kontrollera om kunden är etablerad i ett land utanför EES som Europeiska kommissionen har identifierat som ett högrisktredjeland,

• inhämta information om affärsförbindelsens syfte och art, och

• löpande och vid behov följa upp pågående affärsförbindelse i syfte att säkerställa att informationen enligt ovan är aktuell och tillräcklig för att hantera den bedömda risken för penningtvätt eller finansiering av terrorism.

(FAR N 2020:1)

5.5Åtgärderna ska vidtas i den omfattning det behövs med hänsyn till kundens riskprofil och omständigheterna i övrigt. Om risken för penningtvätt eller finansiering av terrorism bedöms som låg, får verksamhetsutövaren tillämpa förenklade åtgärder för kundkännedom. Om risken däremot bedöms som hög ska skärpta åtgärder vidtas. Vad som aves med förenklade respektive skärpta åtgärder utvecklas i punkterna 5.45–5.50.

5.6Verksamhetsutövaren får själv utifrån kundens riskprofil avgöra hur omfattande åtgärderna ska vara. Underlaget utgörs i typfallet av den information som kunden själv lämnar, men verksamhetsutövaren kan behöva använda sig av externa källor för att verifiera eller komplettera erhållen information.

5.6AEnligt Revisorsinspektionens föreskrifter ska revisorn vid sin bedömning av en revisionskunds riskprofil tillämpa minst tre nivåer, motsvarande normal, låg och hög risk. Risknivån får bestämmas som låg om det finns specifika omständigheter som visar att risken för penningtvätt och finansiering av terrorism är lägre än normalt. Om det finns omständigheter som tyder på förhöjd risk för penningtvätt eller finansiering av terrorism ska risknivån bestämmas som hög. En revisor ska under pågående uppdrag, på grundval av en riskbedömning men minst en gång per år, utvärdera kundkännedomen och kundens riskprofil och vid behov uppdatera dessa. Om kundkännedomen uppdateras eller om rapportering sker till Polismyndigheten ska beslut tas om huruvida riskprofilen ska ändras eller inte. Datum, överväganden och slutsatser för utvärderingen, samt eventuell uppdatering, ska dokumenteras.

(FAR N 2022:1)

3 kap. 1 § penningtvättslagen

En verksamhetsutövare får inte etablera eller upprätthålla en affärsförbindelse eller utföra en enstaka transaktion, om verksamhetsutövaren inte har tillräcklig kännedom om kunden för att kunna

1. hantera risken för penningtvätt eller finansiering av terrorism som kan förknippas med kundrelationen, och

2. övervaka och bedöma kundens aktiviteter och transaktioner enligt 4 kap. 1 och 2 §§.

Första stycket gäller inte advokater och advokatbolag, andra oberoende jurister, auktoriserade och godkända revisorer samt skatterådgivare, om affärsförbindelsen syftar till att försvara eller företräda en klient i fråga om ett rättsligt förfarande, inklusive rådgivning för att inleda eller undvika ett rättsligt förfarande, eller till att bedöma klientens rättsliga situation.

5.7Förbudet enligt 3 kap. 1 § penningtvättslagen mot att ingå affärsförbindelser eller genomföra enstaka transaktioner när en verksamhetsutövare inte har tillräcklig kännedom om kunden motiveras av att det i sådana situationer föreligger en hög potentiell risk för penningtvätt eller finansiering av terrorism. Bristande kännedom om kundens aktiviteter och transaktioner medför sämre förutsättningar för verksamhetsutövaren att förhindra att dess verksamhet utnyttjas för penningtvätt eller finansiering av terrorism och för att upptäcka misstänkt penningtvätt eller finansiering av terrorism.

5.8Utformningen av förbudsbestämmelsen grundas på att verksamhetsutövarna ska ha ett riskbaserat förhållningssätt när de vidtar kundkännedomsåtgärder. Det finns ingen allmänt gällande lägsta nivå för omfattningen av kundkännedomsåtgärderna, utan åtgärderna ska anpassas till riskbedömningen i det enskilda fallet. Därför anges i bestämmelsen att åtgärderna ska vara tillräckliga för att kunna hantera riskerna som förknippas med kundrelationen. Utan tillräcklig kännedom om kunden och dess verksamhet och vad som därmed kan förväntas av kunden, kan verksamhetsutövaren inte bedöma vilka aktiviteter och transaktioner som avviker från det förväntade.

5.9En affärsrelation får inte heller upprätthållas om tillräcklig kundkännedom inte kan erhållas då förhållandena ändras under pågående uppdrag. Detta kan vara fallet vid ändrade ägarförhållanden, ändrad styrelsesammansättning eller ändrad verksamhetsinriktning hos kunden. Det kan framkomma nya uppgifter som inte stämmer överens med dem som tidigare inhämtats. Regeln innebär då en skyldighet att vidta förnyade kundkännedomsåtgärder och avbryta affärsförbindelsen, om dessa inte ger tillfredsställande resultat.

5.10Andra stycket i 3 kap. 1 § ovan gäller vissa verksamhetsutövare (däribland kvalificerade revisorer och skatterådgivare) och syftar i första hand på situationer där en kund vill ha en rättslig bedömning för att avgöra om ett visst förfarande är lagligt eller inte. I en sådan situation gäller inte förbudet mot att ingå en affärsförbindelse, även om verksamhetsutövarens bedömning blir att förfarandet utgör exempelvis penningtvätt. Detta motiveras av att affärsförbindelsens syfte i sådana fall inte är att möjliggöra penningtvätt eller finansiering av terrorism, utan att göra en bedömning av kundens rättsliga situation.

3 kap. 2 § penningtvättslagen

En affärsförbindelse får inte etableras om det finns misstanke om att verksamhetsutövarens produkter eller tjänster kommer att användas för penningtvätt eller finansiering av terrorism.

3 kap. 3 § penningtvättslagen

En verksamhetsutövare får inte utföra en transaktion om det på skälig grund kan misstänkas att den utgör ett led i penningtvätt eller finansiering av terrorism. Om en rapport har lämnats till Polismyndigheten enligt 4 kap. 3 § ska verksamhetsutövaren även beakta den information som Polismyndigheten kan lämna om hanteringen av ärendet.

Om det inte är möjligt att låta bli att utföra en misstänkt transaktion, eller om ett avstående från att genomföra transaktionen sannolikt skulle försvåra den vidare utredningen, får transaktionen genomföras.

5.11Av lagtexten framgår att om det redan efter inledande kundkännedomsåtgärder finns misstankar om penningtvätt eller finansiering av terrorism får affärsförbindelsen inte ingås. Detta oberoende av om tillräcklig kundkännedom kan uppnås eller inte.

5.12En verksamhetsutövare får inte utföra en transaktion om det med skälig grund kan misstänkas att den utgör led i penningtvätt eller finansiering av terrorism. Om det finns skälig grund för misstanken behöver ytterligare kundkännedomsåtgärder inte vidtas. En transaktion får dock genomföras om ett avstående skulle försvåra den vidare utredningen. Med detta åsyftas i första hand att vägran att genomföra transaktionen skulle leda till att kunden förstår att verksamhetsutövaren avser rapportera misstanke om penningtvätt eller finansiering av terrorism.

Identifiering och kontroll av fysiska personer

Identitetskontroll av fysisk person i dennas frånvaro (distans)

Identifiering och kontroll av juridiska personer

Verklig huvudman

5.27I samband med implementeringen av EUs fjärde penningtvättsdirektiv infördes lagen om registrering av verkliga huvudmän (registreringslagen). Lagen syftar till att förbättra tillgången till uppgifter om verkliga huvudmän och därigenom underlätta verksamhetsutövarnas kundkännedomsåtgärder och göra det svårare att använda juridiska personer för brottsliga upplägg.

5.28Registret omfattar som huvudregel alla svenska juridiska samt utländska juridiska personer som driver verksamhet i Sverige. Undantagna från registreringsplikten är dock staten, regioner och kommuner, kommunalförbund och samverkansorgan, samt juridiska personer över vilka nyssnämnda institutioner har ett bestämmande inflytande, aktiebolag vars aktier är upptagna till handel på en reglerad marknad (börsbolag), dödsbon och konkursbon, enkla bolag, enskilda näringsidkare samt ideella föreningar som inte har någon verklig huvudman. På Bolagsverkets webbplats finns omfattande information om registret och om anmälan av verklig huvudman.

(FAR N 2020:1)

5.29Om en verksamhetsutövare misstänker att de uppgifter som anmälts till registret är felaktiga eller om uppgifter saknas ska detta anmälas till Bolagsverket (se 3 kap. 5 § registreringslagen).

Tidpunkt för kontroller

Person i politiskt utsatt ställning

Högrisktredjeland

Information om affärsförbindelsens syfte och art

5.45Åtgärder för kontroll, bedömning och utredning för att uppnå kundkännedom ska utföras i den omfattning det behövs med hänsyn till kundens riskprofil och övriga omständigheter (3 kap. 14 § penningtvättslagen).

Förenklade åtgärder

Skärpta åtgärder

Förlitande på kundkännedomsåtgärder utförda av utomstående (3 kap. 21–24 §§)

4 kap. 1 § penningtvättslagen

En verksamhetsutövare ska övervaka pågående affärsförbindelser och bedöma enstaka transaktioner i syfte att upptäcka aktiviteter och transaktioner som

1. avviker från vad verksamhetsutövaren har anledning att räkna med utifrån den kännedom om kunden som verksamhetsutövaren har,

2. avviker från vad verksamhetsutövaren har anledning att räkna med utifrån den kännedom som verksamhetsutövaren har om sina kunder, de produkter och tjänster som tillhandahålls, de uppgifter som kunden lämnar och övriga omständigheter, eller

3. utan att vara avvikande enligt 1 eller 2 kan antas ingå som ett led i penningtvätt eller finansiering av terrorism.

Inriktningen och omfattningen av övervakningen ska bestämmas med beaktande av de risker som identifierats i den allmänna riskbedömningen, den risk för penningtvätt och finansiering av terrorism som kan förknippas med kundrelationen och annan information om tillvägagångssätt för penningtvätt eller finansiering av terrorism.

6.1Verksamhetsutövaren ska övervaka pågående affärsförbindelser med kunden och bedöma enstaka transaktioner i syfte att upptäcka aktiviteter och transaktioner som tyder på risk för penningtvätt eller finansiering av terrorism. För FARs medlemmar som är verksamhetsutövare innebär detta att de fortlöpande ska följa pågående affärsförbindelser och bedöma om aktiviteter och transaktioner hos kunden stämmer överens med den kunskap som verksamhetsutövaren har om kunden, kundens affärs- och riskprofil och varifrån kundens ekonomiska medel kommer.

6.2Utgångspunkten vid övervakningen ska vara hur ett uppdrag bör utföras enligt god yrkessed. Särskild uppmärksamhet ska ägnas avvikande aktiviteter och transaktioner hos kunden som en medlem blir varse i samband med kontakter med kunden eller på annat sätt. Det kan vara fråga om aktiviteter och transaktioner som antingen avviker från vad man normalt förväntar sig av den specifika kunden eller vad man har anledning att förvänta sig från den kategori av kunder som kunden tillhör. Vaksamheten styrs av kundens riskprofil och verksamhetsutövarens kunskap om kunden. En hög eller medelhög risk för penningtvätt eller finansiering av terrorism medför en förhöjd vaksamhet jämfört med när risken bedöms vara låg.

6.3Särskild uppmärksamhet bör således riktas mot eventuella förändringar av kundens normala beteende och den betydelse detta kan ha såvitt avser penningtvätt och finansiering av terrorism. Som exempel på avvikelser kan nämnas ändrad verksamhet eller att kunden börjar använda produkter och tjänster på ett nytt sätt. Särskild uppmärksamhet bör också iakttas vid granskning av transaktioner som har samband med personer eller företag i länder där det är mycket svårt eller omöjligt att få information om kunden eller kundens uppdragsgivare eller som har samband med länder som är uppsatta på FATFs lista över hög risk och icke-samarbetsvilliga länder eller territorier (dvs. högrisktredjeländer).12

6.4Även förfaranden som inte är avvikande bör uppmärksammas om de kan antas ingå som ett led i penningtvätt eller finansiering av terrorism. Detta innebär att i den utsträckning som typiska upplägg eller förfaranden för penningtvätt eller finansiering av terrorism är kända för verksamhetsutövaren, bör övervakning av affärsförbindelser eller bedömning av enstaka transaktioner med sådana upplägg ske i syfte att bedöma om det finns skälig grund att misstänka penningtvätt eller finansiering av terrorism.

6.5I bilaga 2 till detta uttalande ges en rad exempel på omständigheter som kan föranleda att aktiviteter och transaktioner uppmärksammas.

4 kap. 2 § penningtvättslagen

Om avvikelser eller misstänkta aktiviteter eller transaktioner uppmärksammas enligt 1 § eller på annat sätt, ska en verksamhetsutövare genom skärpta åtgärder för kundkännedom enligt 3 kap. 16 § och andra nödvändiga åtgärder bedöma om det finns skälig grund att misstänka att det är fråga om penningtvätt eller finansiering av terrorism eller att egendom annars härrör från brottslig handling.

När en verksamhetsutövare anser att det finns skälig grund att misstänka att det är fråga om penningtvätt eller finansiering av terrorism eller att egendom annars härrör från brottslig handling, behöver ytterligare åtgärder enligt första stycket inte vidtas.

6.6Om verksamhetsutövaren upptäcker aktiviteter och transaktioner som tyder på risk för penningtvätt eller finansiering av terrorism ska skärpta åtgärder för kundkännedom vidtas. Vilka åtgärder det kan röra sig om framgår av punkterna 5.48–5.50 om skärpta åtgärder. Det kan dock även finnas anledning att vidta andra granskningsåtgärder till stöd för bedömningen.

6.7Om verksamhetsutövaren, efter att ha vidtagit skärpta åtgärder för kundkännedom och andra nödvändiga åtgärder, finner att det finns skälig grund att misstänka penningtvätt eller finansiering av terrorism eller att egendom annars härrör från brottslig handling, ska verksamhetsutövare utan dröjsmål lämna uppgifter om alla omständigheter som kan tyda på detta till Finanspolisen.13 En sådan rapport ska göras även om någon affärsförbindelse inte har hunnit ingås eller transaktion utföras. Uppgiftslämnandet bör, om möjligt, ske i samråd med den som utsetts till funktionsansvarig (se avsnitt 10 om intern kontroll och funktionsansvar), eller en annan person som utsetts att biträda honom eller henne. Det finns även möjlighet att vända sig till FAR eller Finanspolisen med frågor.

6.8Uppgifterna ska lämnas på det sätt som Finanspolisen anvisar. Finanspolisen har inrättat ett särskilt system för rapportering av misstänkt penningtvätt eller finansiering av terrorism, goAML. Företag med rapporteringsskyldighet behöver registrera sig i systemet för att kunna rapportera misstänkt penningtvätt eller finansiering av terrorism till Finanspolisen. Det kan ta några dagar att sätta upp ett konto i goAML, FAR rekommenderar därför att man som verksamhetsutövare registrerar sitt företag i goAML så snart som möjligt (innan rapportering är aktuell) för att vid behov kunna rapportera utan onödigt dröjsmål. Den som är registrerad som användare kan också ställa frågor till Finanspolisen via systemet.

(FAR N 2021:1)

6.8AFör att rapporten ska anses inskickad ska den innehålla en del obligatoriska uppgifter som framgår vid ifyllandet av det formulär som tillhandahålls i goAML-systemet. Förutom bl.a. en beskrivning av misstanken och anledningen till densamma ska rapporten, enligt uttrycklig bestämmelse i lagen (4 kap. 3 § penningtvättslagen), innehålla följande uppgifter:

• om eventuell egendom som avses i rapporten finns hos verksamhetsutövaren,

• vilka tillgodohavanden kunden har hos verksamhetsutövaren,

• huruvida verksamhetsutövaren har avstått från att genomföra den misstänkta transaktionen, och

• vem som är mottagare av den misstänkta transaktionen.

(FAR N 2021:1)

6.9Även en tillsynsmyndighet (Revisorsinspektionen eller Länsstyrelsen) som upptäckt en omständighet som kan antas ha samband med eller utgöra penningtvätt eller finansiering av terrorism är skyldig att utan dröjsmål underrätta Finanspolisen om detta.

6.10Att en verksamhetsutövare har lämnat en rapport till Finanspolisen bör medföra att verksamhetsutövaren gör en ny riskbedömning av kunden (se avsnitt 4, punkterna 4.6–4.9 om riskbedömning av kunder). Vid en förhöjd risknivå kan affärsrelationen undantagsvis upprätthållas om verksamhetsutövaren, efter kompletterande åtgärder för kundkännedom och förstärkt övervakning av affärsförbindelsen, bedömer sig ha tillräckliga möjligheter att upptäcka och förhindra att verksamhetsutövaren utnyttjas för penningtvätt eller finansiering av terrorism. Om en verksamhetsutövare bedömer att dessa förutsättningar inte finns ska affärsförbindelsen avslutas.14

6.11På begäran av Finanspolisen eller Säkerhetspolisen ska en verksamhetsutövare enligt 4 kap. 6 § penningtvättslagen utan dröjsmål lämna alla uppgifter som behövs för en utredning om penningtvätt eller finansiering av terrorism. Skyldigheten gäller oberoende av om medlemmen själv rapporterat misstanke eller inte. För att möjliggöra detta ska en verksamhetsutövare ha ett system för att snabbt och fullständigt kunna lämna uppgifter om huruvida verksamhetsutövaren under de senaste fem åren har haft en affärsförbindelse med en viss person och, om så skulle vara fallet, om förbindelsens art.

(FAR N 2020:1)

6.12Det finns ett begränsat undantag från den lagstadgade uppgiftsskyldigheten. Uppgiftsskyldigheten gäller inte för bl.a. auktoriserade eller godkända revisorer och skatterådgivare15 i fråga om sådan information som

• anförtrotts medlemmen i samband med att han eller hon försvarar eller företräder kunden i en fråga om ett rättsligt förfarande, inklusive rådgivning för att inleda eller undvika ett rättsligt förfarande, eller

• medlemmen fått avseende en kund i samband med att han eller hon bedömer kundens rättsliga situation.

6.13Undantaget gäller oavsett om medlemmen fått eller inhämtat informationen före, under eller efter det rättsliga förfarandet. Som framgår ovan undantas inte all rådgivning från rapporteringsplikten. Finansiell rådgivning eller allmänt hållen juridisk rådgivning som inte är kopplad till en konkret situation omfattas inte av undantaget. För revisorernas del omfattas typiskt sett inte heller sådan information som revisorer får del av i samband med revisionsuppdrag av undantaget.

(FAR N 2020:1)

6.14Utöver skyldigheterna enligt penningtvättslagen så har ett aktiebolags valda revisor åtgärdsplikt vid misstanke om brott enligt 42–44 §§ aktiebolagslagen (2005:551), ABL. Rapporteringsskyldigheten enligt penningtvättslagen har företräde framför revisorns anmälningsskyldighet enligt ABL. Det innebär att omständigheter som leder till misstanke om att brott enligt den s.k. brottskatalogen i 9 kap. 42 §, men som har samband med omständigheter som utgör indikationer på penningtvätt eller finansiering av terrorism, endast ska rapporteras till Finanspolisen enligt penningtvättslagen. Åtgärder enligt ABL ska då inte vidtas.

6.15Det kan hända att revisorn finner att det föreligger indikationer på penningtvätt eller finansiering av terrorism samtidigt som det finns anledning att misstänka att ett annat brott som utlöser åtgärdsplikt enligt ABL har begåtts. Om det står helt klart att det rör sig om fristående händelsesammanhang ska både penningtvättslagen och ABL tillämpas. Framstår det inte som klart att händelserna saknar straffrättsligt samband bör enbart penningtvättslagen tillämpas.

6.16För revisorn är det särskilt viktigt att notera att meddelandeförbudet (se avsnitt 7) ska iakttas i situationer där penningtvättslagen är tillämplig.

8.1Verksamhetsutövaren har enligt 5 kap. 3 § första stycket penningtvättslagen en skyldighet att bevara handlingar och uppgifter som avser åtgärder för att uppnå kundkännedom antingen vid antagandet av ny kund eller vid förnyade kundkännedomsåtgärder på grund av iakttagelser vid övervakningen av affärsförbindelsen. Verksamhetsutövaren har även en skyldighet att bevara handlingar och uppgifter avseende transaktioner som gjorts med kunder inom ramen för affärsförbindelsen.

8.2Sådana handlingar eller uppgifter som utgjort dokumentation, såsom avtal, kopior av identitetshandlingar, kopior av bekräftelse av elektronisk signatur samt registreringsbevis eller andra behörighetshandlingar med noteringar om identitetskontroll, ska bevaras i minst fem år efter det att affärsförbindelsen, dvs. i praktiken uppdraget, upphörde. Det ska framgå av dokumentationen när kontrollen gjordes.

8.3Om dokumentation har upprättats inom ramen för ett uppdrag i revisions- eller redovisningsverksamhet, ska den arkiveras under tio år som föreskrivs för revisions- och redovisningsdokumentation. För uppdrag som pågår under många år krävs därför särskilda rutiner för att säkerställa att dokumentationen faktiskt finns kvar fem år efter det att uppdraget upphörde och inte rensas ut efter tio år.

8.4Om det är nödvändigt för att förebygga, upptäcka eller utreda penningtvätt eller finansiering av terrorism får handlingar bevaras i tio år. Verksamhetsutövaren förutsätts inte göra någon egen bedömning om en längre lagringstid är aktuell utan den längre lagringstiden blir endast aktuell efter en förfrågan därom görs av Polismyndigheten eller annan behörig myndighet.

8.5En verksamhetsutövare får behandla personuppgifter i syfte att fullgöra sina skyldigheter enligt penningtvättslagen. Vad gäller känsliga personuppgifter får sådana behandlas endast om det är nödvändigt för att bedöma om kunden är en person i politiskt utsatt ställning eller familjemedlem eller känd medarbetare till en sådan person, bedöma kundrisken, för att uppfylla övervakningsskyldigheten, för att bedöma misstänkta transaktioner och aktiviteter och för att rapportera misstanke om penningtvätt eller finansiering av terrorism eller lämna uppgifter efter förfrågan till Polismyndigheten.

8.6Personuppgifter om lagöverträdelser anses som särskilt känsliga och får endast behandlas om det är nödvändigt för att bedöma kundrisken, för att uppfylla övervakningsskyldigheten, för att bedöma misstänkta transaktioner och aktiviteter och för att fullfölja uppgiftsskyldigheten. Känsliga personuppgifter och uppgifter om lagöverträdelser som får behandlas enligt ovan får även bevaras enligt reglerna om bevarande av dokumentation av åtgärder för att uppnå kundkännedom.

8.7Enligt dataskyddsförordningen18 är en verksamhetsutövare som behandlar personuppgifter som huvudregel skyldig att på en fysisk persons begäran lämna uppgift om verksamhetsutövaren behandlar personuppgifter som rör den fysiska personen eller inte. Om personuppgifter som rör den fysiska personen behandlas, ska verksamhetsutövaren lämna skriftlig information till den fysiska personen, s.k. registerutdrag, om bl.a. vilka personuppgifter som behandlas, för vilka ändamål och till vilka mottagare som uppgifterna lämnas ut.

(FAR N 2019:8)

8.8Det bör noteras att bestämmelserna i penningtvättslagen innebär att en verksamhetsutövare i vissa fall inte får lämna ut information till en fysisk person om att hans eller hennes personuppgifter behandlas. Detta gäller behandling av personuppgifter för de syften som omfattas av meddelandeförbudet i penningtvättslagen (se avsnitt 7 om tystnadsplikt enligt penningtvättslagen (meddelandeförbud)).

(FAR N 2019:8)

9.1Verksamhetsutövarens företags rutiner och riktlinjer bör omfatta åtminstone följande

• årlig utvärdering och vid behov uppdatering av den allmänna riskbedömningen,

• åtgärder för kundkännedom, inklusive fastställande av affärsförbindelsens art och omfattning,

• övervakning av pågående affärsförbindelser,

• besluts- och rapporteringsordning vid handläggning av ärenden där det finns skäl att anta att det förekommer aktiviteter eller transaktioner som kan misstänkas utgöra penningtvätt eller finansiering av terrorism,

• uppgifter och ansvar som funktionsansvariga ska ha,

• meddelandeförbudet kopplat till övervaknings- och rapporteringsskyldigheten,

• bevarande av handlingar med beaktande av regler om behandling av personuppgifter,

• utbildning av anställda i frågor rörande penningtvätt och finansiering av terrorism,

• skydd av anställda som riskerar att utsättas för hot, hämnd eller andra fientliga åtgärder till följd av att de granskar en transaktion eller rapporterar misstanke om penningtvätt eller finansiering av terrorism samt intern kontroll av efterlevnaden av reglerna i penningtvättslagen.

(FAR N 2022:1)

9.2I 2 kap. 9–12 §§ penningtvättslagen finns särskilda bestämmelser om gemensamma rutiner och riktlinjer för koncerner.

9.3En verksamhetsutövare ska enligt 2 kap. 8 § penningtvättslagen ha dokumenterade rutiner och riktlinjer avseende sina åtgärder för kundkännedom, övervakning och rapportering samt för behandling av personuppgifter. Rutinerna och riktlinjerna ska fortlöpande utvärderas och vid behov anpassas efter nya och förändrade risker för penningtvätt och finansiering av terrorism. Rutinernas och riktlinjernas omfattning och innehåll ska bestämmas med hänsyn till verksamhetsutövarens storlek, art och de risker för penningtvätt och finansiering av terrorism som identifierats i den allmänna riskbedömningen. Datum för utvärderingen och eventuell uppdatering ska dokumenteras.

(FAR N 2022:1)

9.4De områden som verksamhetsutövaren ska ha rutiner och riktlinjer för motsvarar i huvudsak de krav som framgår av lagens 3–5 kap. om kundkännedom, övervakning och rapportering. Syftet är att verksamhetsutövarna och i förekommande fall deras anställda ska ha riskbaserade och verksamhetsanpassade riktlinjer för hur de ska fullgöra dessa krav och hantera de olika situationer som kan uppkomma. Rutiner och riktlinjer avseende behandling av personuppgifter kan avse bl.a. interna processer för gallring av personuppgifter som en verksamhetsutövare inte längre behöver för att dokumentera vidtagna åtgärder för kundkännedom, transaktioner som har genomförts med kunder inom ramen för affärsförbindelser eller åtgärder som vidtagits i syfte att förebygga, upptäcka eller utreda penningtvätt eller finansiering av terrorism enligt lagen (jfr. 5 kap. 3–4 §§ penningtvättslagen).

Lämplighetsbedömning

Utbildning

Skydd av personal

11.1Olika tillsynsmyndigheter utövar tillsyn över olika kategorier av verksamhetsutövare. Auktoriserade och godkända revisorer samt registrerade revisionsbolag står under Revisorsinspektionens (RI) tillsyn. Det gör även redovisningskonsulter och skatterådgivare som är verksamma på ett registrerat revisionsbolag.

(FAR N 2021:1)

11.2Redovisningskonsulter eller skatterådgivare som inte är anställda på ett registrerat revisionsbolag står under tillsyn av Länsstyrelsen i Skåne län, Länsstyrelsen i Stockholms län eller Länsstyrelsen i Västra Götalands län (beroende på var verksamheten bedrivs) (länsstyrelserna). Det gäller dem som bedriver verksamhet utan revisorer. Dessutom gäller det om redovisningskonsulter eller skatterådgivare är anställda vid ett revisionsföretag som inte är registrerat revisionsbolag.

(FAR N 2021:1)

11.3Registret mot penningtvätt, som hanteras av Bolagsverket, har till ändamål att tillhandahålla uppgifter för den tillsyn som länsstyrelserna ska utöva enligt lagen. Verksamhetsutövare som står under länsstyrelsernas tillsyn ska därför anmäla sig till detta register. De verksamhetsutövare som står under annan tillsyn (t.ex. av RI) behöver inte anmäla sig till penningtvättsregistret. Det senare gäller verksamhetsutövare anställda på registrerade revisionsbolag samt revisionsföretag där endast kvalificerade revisorer är verksamma.

(FAR N 2021:1)

11.4Revisionsföretag som inte är registrerade revisionsbolag och som har anställda redovisningskonsulter eller skatterådgivare är däremot skyldiga att anmäla sig till Bolagsverkets penningtvättsregister eftersom inte nämnda yrkeskategorier – och inte heller revisionsföretaget som sådant – står under RIs tillsyn.24

(FAR N 2021:1)

11.5Reglerna om tillsyn finns för länsstyrelsernas del i penningtvättslagen och för RIs del i revisorslagen. Om en kvalificerad revisor underlåter att följa bestämmelserna i penningtvättslagen är detta grund för en disciplinärpåföljd enligt 32 § revisorslagen. Vid överträdelser av penningtvättslagen samt föreskrifter meddelade med stöd av penningtvättslagen står dessutom följande sanktioner till tillsynsmyndighetens förfogande:

• Föreläggande att upphöra med verksamheten.

• Sanktionsavgifter25 mot verksamhetsutövare som är juridiska personer.

• Sanktionsavgifter mot verksamhetsutövare som är fysiska personer (endast om överträdelsen är allvarlig, upprepad eller systematisk och om personen orsakat överträdelsen uppsåtligen eller av grov oaktsamhet).

• Ingripanden mot fysiska personer i verksamhetsutövarens ledning (endast om verksamhetsutövarens överträdelse är allvarlig, upprepad eller systematisk och om personen orsakat överträdelsen uppsåtligen eller av grov oaktsamhet). Ingripanden sker genom beslut om:

  • Förbud mot att personen innehar ledande position i vissa verksamhetsutövare (däribland revisorer, redovisningskonsulter och skatterådgivare, se 7 kap. 1 § första stycket penningtvättslagen) under en period på tre till tio år, eller

  • sanktionsavgift.

11.6Vid valet av ingripande ska tillsynsmyndigheten ta hänsyn till hur allvarlig överträdelsen är och hur länge den har pågått. Särskild hänsyn ska tas till skador som har uppstått och graden av ansvar. I försvårande riktning ska det beaktas om verksamhetsutövaren tidigare har begått en överträdelse eller om den fysiska personen i verksamhetsutövarens ledning tidigare orsakat en sådan överträdelse. I förmildrande riktning ska det beaktas om verksamhetsutövaren eller den fysiska personen i verksamhetsutövarens ledning i väsentlig utsträckning genom ett aktivt samarbete har underlättat tillsynsmyndighetens utredning. Det ska också beaktas om verksamhetsutövaren snabbt upphört med överträdelsen eller den fysiska personen i verksamhetsutövarens ledning snabbt verkat för att överträdelsen ska upphöra, sedan den anmälts till eller påtalats av tillsynsmyndigheten.