Dnr 2019-493

1 Inledning och bakgrund

Revisorsinspektionen har tagit emot information avseende auktoriserade revisorn A-sons uppdrag som revisor i ett aktiebolag avseende räkenskapsåren 2013–2016. Informationen har gett inspektionen anledning att öppna detta ärende.

2 Kundkännedom enligt penningtvättslagen

Av handlingarna i ärendet framgår att A-son åtog sig uppdraget som revisor i bolaget i slutet av år 2013. Bolaget biträddes vid denna tidpunkt av en redovisningskonsult som var anställd på samma revisionsbyrå som den där A-son är verksam. I A-sons revisionsdokumentationen finns ett handskrivet dokument av vilket det framgår att redovisningskonsulten hade kontrollerat kundens körkort och kände bolagets ägare, K.W., sedan många år. Av revisionsdokumentationen i övrigt kan inte för något av räkenskapsåren 2013–2016 utläsas om A-son hade några direkta kontakter med bolaget eller om han vidtog några egna åtgärder för att uppnå grundläggande kundkännedom enligt lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism (penningtvättslagen), vilka iakttagelser som han i så fall gjorde och vilka slutsatser som han drog av dessa.1

I A-sons revisionsdokumentation finns även ett utdrag från Bisnode/InfoTorg av vilket det framgår att bolaget den 12 juni 2014 kom in med en anmälan om ändring av styrelse till Bolagsverket. Det kan inte av A-sons revisionsdokumentation utläsas huruvida uppgiften om styrelseändringen föranledde honom att vidta några ytterligare åtgärder för kundkännedom.

A-son har uppgett följande.

Vad gäller inhämtande av kundkännedom följde han de direktiv som han hade fått dels från FAR, dels från länsstyrelsen. Redovisningskonsulten var den som kontaktade honom och företrädde kunden. Hennes identitet hade han kontrollerat via körkort, anställningsintervjuer samt referenser. I och med att redovisningskonsulten hade haft bolaget som kund i minst 14 år och aldrig haft några som helst problem med bolaget, förutom för sen inlämning av material, så bedömde han att bolaget var en lågriskkund. Han förlitade sig på Bolagsverkets och redovisningskonsultens uppgifter om att K.W. var bolagets verklige huvudman. Han hade muntligen gått igenom med redovisningskonsulten det som hon kände till om kunden avseende verksamheten, styrelsen/företagsledningen/anställda, ekonomin och bolagets grundläggande rutiner. Redovisningskonsulten var väl insatt i bolaget och hans bedömning var att han därigenom hade tillräckligt god kännedom om kunden. Han hade även själv läst på genom att ta del av information på kundens hemsida. I samband med att han accepterade uppdraget talade han med K.W. (som vid den tidpunkten var styrelseledamot) om verksamheten. K.W. uttryckte klart att all kontakt kunde gå via redovisningskonsulten. Själv ansåg han att det var en praktisk och för revisionen effektiv lösning.

En styrelseändring i bolaget registrerades i juli 2014; K.W. avträdde som ledamot och i stället trädde K.W.s syster J.W. in i styrelsen. Styrelseändringen gjordes i samband med att bolaget bytte namn. K.W. förklarade att han skulle stå kvar som ägare till 100 procent och fortsätta att vara ensam ansvarig för verksamheten. Anledningen till namnändringen och styrelseändringen angavs vara att en del kunder hade reagerat på K.W.s namn och inte ville göra affärer med honom på grund av omständigheter i hans privatliv. K.W. registrerades senare som verklig huvudman för bolaget. Eftersom K.W. förklarade att han skulle vara kvar i bolaget, så vidtogs inga åtgärder för att skaffa fördjupad kundkännedom om J.W. mer än rutinmässiga kontroller via Bisnode/InfoTorg av betalningsanmärkningar och kreditvärdighet samt via nätet där det fanns en hel del information. Dessutom hade redovisningskonsulten telefonkontakt med J.W som dock aldrig kom att ha någon position i företaget.

Revisorsinspektionen gör följande bedömning.

Auktoriserade och godkända revisorer samt registrerade revisionsbolag utgör verksamhetsutövare i penningtvättslagens mening (se 1 kap. 2 § 17 i den lagen). I 2 kap. 3 § penningtvättslagen anges att en verksamhetsutövare ska bedöma risken för bl.a. penningtvätt i sina uppdrag.2 Av 3 kap. 1 § följer att verksamhetsutövaren inte får etablera eller upprätthålla en affärsförbindelse om han eller hon inte har tillräcklig kundkännedom för att kunna hantera den risk för penningtvätt som kan förknippas med kundrelationen eller för att kunna övervaka och bedöma kundens aktiviteter och transaktioner.3

Enligt 3 kap. penningtvättslagen ska verksamhetsutövaren vidta vissa åtgärder för att uppnå kundkännedom. I 3 kap. 7 § första stycket anges särskilt att kundens identitet ska kontrolleras genom identitetshandling eller registerutdrag eller genom andra uppgifter och handlingar från en oberoende och tillförlitlig källa. Av tredje stycket framgår att om kunden företräds av en person som uppger sig handla på kundens vägnar, ska verksamhetsutövaren kontrollera den personens identitet och behörighet att företräda kunden. Enligt 3 kap. 8 § ska en verksamhetsutövare utreda om kunden har en verklig huvudman och om kunden är en juridisk person ska verksamhetsutövaren vidta åtgärder för att förstå kundens ägarförhållanden och kontrollstruktur. Har kunden en verklig huvudman, ska det vidtas åtgärder för att kontrollera dennes identitet.4

Av 3 kap. 14 § framgår att åtgärder för kontroll, bedömning och utredning enligt 7, 8 och 10–13 §§ ska utföras i den omfattning som behövs med hänsyn till kundens riskprofil och övriga omständigheter.5

Av 3 kap. 21 § framgår att vid tillämpningen av 7, 8 och 12 §§ får en verksamhetsutövare förlita sig på åtgärder som har utförts av en utomstående om verksamhetsutövaren utan dröjsmål får del av de uppgifter som den utomstående har hämtat in och på begäran kan få del av den dokumentation som ligger till grund för uppgifterna. Verksamhetsutövaren svarar för att de åtgärder för kundkännedom som vidtagits av utomstående är tillräckliga.6 I 3 kap. 22 § preciseras vem som vid tillämpningen av 21 § kan utgöra utomstående.

FAR har i sitt uttalande EtikU 11 Medlemmars tillämpning av lagen om åtgärder mot penningtvätt och finansiering av terrorism7 gett ytterligare vägledning och information om vilka överväganden som en revisor bör göra samt vilka åtgärder som bör vidtas för att uppfylla penningtvättslagens krav. I bilaga 28 till uttalandet ges exempel på omständigheter som kan motivera en närmare granskning och skärpta kundkännedomsåtgärder enligt penningtvättslagen. En situation där det typiskt sett kan vara motiverat med en närmare granskning och utredning är när verksamheten byter ägare eller styrelse frekvent utan rimlig förklaring.

A-son har uppgett att han förlitade sig på den muntliga information om kunden som han hade fått av redovisningskonsulten. Bland de uppräknade verksamhetsutövarna i 3 kap. 22 § penningtvättslagen ingår dock inte redovisningskonsulter. A-son hade alltså inte möjlighet att förlita sig på de kundkännedomsåtgärder som redovisningskonsulten hade vidtagit. A-son har även hänvisat till att K.W. registrerades som verklig huvudman hos Bolagsverket. Av utredningen i ärendet framgår emellertid att K.W. registrerades som verklig huvudman först i september 2017, varför detta inte var en uppgift som A-son kunde tillgodoräkna sig redan vid tidpunkten för accepterandet av uppdraget.

A-son har som skäl för att han inte vidtog några kundkännedomsåtgärder avseende J.W. angett att J.W. aldrig kom att ha en position i bolaget och att K.W. fortsatt utgjorde företagets verklige huvudman. Enligt A-sons egna uppgifter var anledningen till styrelseändringen att kunder inte ville göra affärer med bolaget pga. omständigheter i K.W.s privatliv. Styrelseändringen borde därför ha föranlett A-son att överväga om J.W. enbart var bulvan för K.W. och att vidta fördjupade kundkännedomsåtgärder beträffande såväl K.W. som J.W. Med hänsyn till de särskilda omständigheterna medförde inte det förhållandet att K.W. kvarstod som verklig huvudman att A-son kunde underlåta att kontrollera den nya styrelsen.

Revisorsinspektionen konstaterar mot denna bakgrund att A-son inte skaffade sig den grundläggande kundkännedom som penningtvättslagen kräver att en verksamhetsutövare skaffar sig. Det fanns därför inte förutsättningar för honom att etablera och upprätthålla en affärsrelation med kunden (jfr 3 kap. 1 § penningtvättslagen).

Genom att inte vidta egna åtgärder för att uppnå [och vidmakthålla] tillräcklig kundkännedom har A-son åsidosatt sina skyldigheter enligt penningtvättslagen.

3 Uppdragsbrev

I revisionsdokumentationen för räkenskapsåret 2013 finns ett uppdragsbrev som är undertecknat av K.W. Det är daterat den 31 juli 2014, dvs. samma dag som revisionsberättelsen avlämnades.9 Den 12 juni 2014 kom bolaget in med en anmälan om ändring av styrelse till Bolagsverket. Styrelseändringen registrerades den 28 juli 2014. Detta innebär att K.W. vid tidpunkten för undertecknandet av uppdragsbrevet inte längre var en del av bolagets styrelse eller dess firmatecknare.

A-son har uppgett följande.

Revisionsuppdraget löpte på tills vidare. Det fanns ett uppdragsbrev som avsåg alla åren och endast uppdaterades om något väsentligt hände. Vid tidpunkten för undertecknandet av uppdragsbrevet hade bolaget påtalat att man eventuellt skulle ändra styrelsen i samband med att man ändrade bolagsnamnet. Uppdragsbrevet skickades till kunden för undertecknande redan den 20 juli 2014 men daterades den 31 juli 2014, eftersom A-son var osäker på när han skulle få tillbaka det undertecknade brevet. Vid tidpunkten för utskicket var K.W. fortfarande registrerad och vald styrelseledamot. K.W. hade dessutom hela tiden varit den verkliga huvudmannen och ensam ägare i bolaget. Uppdragsbrevet accepterades därför trots bytet av styrelseledamot. K.W. var den som var företagsledningen i allt. Att K.W. tog in sin syster som ledamot, som över huvud taget inte arbetade i företaget, ändrade inte A-sons uppfattning i denna fråga.

Revisorsinspektionen gör följande bedömning.

Enligt International Standard on Auditing (ISA) 210 Villkor för revisionsuppdrag p. 6 ska revisorn fastställa om det finns förutsättningar för en revision. Vidare ska revisorn hämta in företagsledningens bekräftelse av att den är medveten om och förstår sitt ansvar för de finansiella rapporterna och för att revisorn förses med nödvändig information. ”Företagsledning” ska enligt p. 5 i samma ISA läsas som ”företagsledning och, i tillämpliga fall, styrelse”.

Av p. 9–11 samma ISA framgår att revisorn ska avtala villkoren för revisionsuppdraget med företagsledningen eller styrelsen, utifrån vad som är tillämpligt. De avtalade villkoren för revisionsuppdraget ska dokumenteras i ett uppdragsbrev eller annan lämplig form av skriftligt avtal, om inte annat följer av lag eller annan författning.

Enligt p. 8 ska revisorn diskutera med företagsledningen om förutsättningarna för en revision saknas. Revisorn ska inte acceptera det föreslagna revisionsuppdraget om revisorn inte har tagit emot den bekräftelse från företagsledningen som beskrivs i p. 6.

Av 8 kap. 13 § aktiebolagslagen (2005:551) framgår att ändringar i styrelsens sammansättning har verkan från den tidpunkt då anmälan om ändringen kom in till Bolagsverket eller från den senare tidpunkt som anges i det beslut som anmälan grundar sig på.

Eftersom anmälan om ändring kom in till Bolagsverket den 12 juni 2014 var K.W. från den dagen inte längre en del av bolagets styrelse och kunde därför inte längre avlämna en sådan bekräftelse som förutsätts enligt ISA 210. A-son saknade alltså ett vederbörligen undertecknat uppdragsbrev för samtliga nu aktuella räkenskapsår som han reviderat, dvs. för perioden 2013–2016. Genom att likväl utföra revisionerna har han åsidosatt god revisionssed.

4 Uttalanden från företagsledningen

I dokumentationen för räkenskapsåret 2013 finns ett Uttalande från företagsledningen som är undertecknat av K.W. den 11 juli 2014. Som ovan har framgått hade bolaget redan den 12 juni 2014 kommit in till Bolagsverket med en anmälan om att K.W. hade avträtt som styrelseledamot. K.W. var därför vid undertecknandet av uttalandet från företagsledningen inte längre ledamot av styrelsen (jfr ovan angående 8 kap. 13 § aktiebolagslagen). Av revisionsdokumentationen framgår inte om A-son gjorde några överväganden kring att uttalandet inte var undertecknat av styrelsen.

A-son har uppgett följande

K.W. var ledamot fram till den 28 juli 2014 då J.W. valdes in som ledamot. K.W. var dock den som varit insatt i bolagets verksamhet genom att han var ägare, verklig huvudman och dessutom arbetsledare i bolaget. K.W. var också den som hade skött kontakten med anställda, kunder och leverantörer. Han bedömde att K.W. var den mest lämpliga att underteckna uttalandet och vid tidpunkten även registrad styrelseledamot. K.W. var då, liksom under hela tiden som revisionsuppdraget löpte, att betrakta som företagsledningen om än inte formellt längre ledamot.

Revisorsinspektionen gör följande bedömning.

Av ISA 580 Skriftliga uttalanden p. 9 framgår att revisorn ska begära skriftliga uttalanden från den eller de i företagsledningen som har vederbörligt ansvar för de finansiella rapporterna och kunskap om de berörda förhållandena. Av p. 8 framgår att ”företagsledning” enligt denna ISA ska uttydas som företagsledningen och, i tillämpliga fall, de som har ansvar för företagets styrning (styrelsen).

Enligt p. A 2 kan de personer som ansvarar för upprättandet av de finansiella rapporterna vara olika personer beroende på företagets styrstruktur och relevanta lagar eller andra författningar, men företagsledningen är (snarare än styrelsen) ofta den part som är ansvarig. Skriftliga uttalanden kan därför begäras från företagets verkställande direktör och ekonomidirektör eller andra personer med motsvarande befogenheter i företag som inte använder sådana titlar. I vissa fall har dock även andra parter, såsom styrelsen, ansvar för upprättandet och presentationen av de finansiella rapporterna.

I p. A 18 påtalas att det kan uppstå situationer där företagsledningen inte var densamma som den nuvarande under samtliga de perioder som revisorns rapport avser. Dessa personer kan hävda att de inte har möjlighet att lämna vissa av eller alla de skriftliga uttalandena, eftersom de inte ingick i företagsledningen under den aktuella perioden. Men detta faktum minskar inte dessa personers ansvar för de finansiella rapporterna som helhet. Revisorn är alltså fortfarande skyldig att från dessa personer begära skriftliga uttalanden som omfattar hela den relevanta perioden eller de relevanta perioderna.

K.W. var förvisso ägare av bolaget och hade kunskap om bolagets förhållanden, men han hade vid tiden för avgivandet av uttalandet från företagsledningen inte position som vare sig verkställande direktör eller styrelseledamot. Han hade därför inte heller det ansvar för de finansiella rapporterna som ISA 580 förutsätter. Detta innebär att A-son inte kunde acceptera ett uttalande som var undertecknat av enbart K.W. Uttalandet borde istället, eller därtill, ha undertecknats av någon med ett formellt ansvar för upprättandet av de finansiella rapporterna, i detta fall den nya styrelsen (J.W.). A-son har därmed saknat ett fullständigt revisionsbevis enligt ISA 580. Genom att inte hämta in ett sådan revisionsbevis har han åsidosatt god revisionssed.10

5 Kommunikation med den som ansvarar för företagets styrning

Av A-sons revisionsdokumentation framgår att han hade ett telefonsamtal med K.W. i uppstarten av uppdraget och att det därvid överenskoms att kommunikationen skulle ske via redovisningskonsulten. Av revisionsdokumentationen i övrigt kan inte för något av räkenskapsåren under perioden 2013–2016 utläsas huruvida A-son inför eller under revisionen hade några direkta kontakter med bolagets styrelse.

Under utredningens gång har A-son till Revisorsinspektionen skickat in kopior av de skriftliga påminnelser som skickades till bolaget avseende styrelsens skyldighet att lämna årsredovisning.

A-son lämnade den 28 juni 2017 en revisionsberättelse för bolaget avseende räkenskapsåret 2016. I hans revisionsdokumentation finns ett handskrivet dokument med samma datum av vilket det framgår att redovisningskonsulten ”fixar så att K.W. tar en extra stämma och väljer in en ny revisor”. Av dokumentationen framgår dock inte huruvida A-son själv kommunicerade till bolagets styrelse att han inte skulle ställa upp som revisor för räkenskapsår 2017.

A-son begärde sin egen avgång som revisor i bolaget per den 6 oktober 2017. A-son har uppgett följande.

K.W. hade i telefonsamtal uttryckt klart att all kontakt kunde gå via redovisningskonsulten. Själv ansåg han att det var en praktisk och för revisionen effektiv lösning.

Under revisionen av räkenskapsåret 2016 var underlagen för de skattefria traktamentena uppe för diskussion med bolaget vid flera tillfällen både genom honom och bolaget och redovisningskonsulten och bolaget (K.W).

Någon gång i maj 2017 bestämde han sig för att avgå. Eftersom revisionen i stort sett var klar, valde han att fullfölja sitt uppdrag så att bolaget inte behövde ta in en ny revisor för räkenskapsåret 2016. Han hade nära kontakt med redovisningskonsulten som i sin tur kommunicerade med bolaget om revisorsbyte. I samband med detta blev han också lovad att bolaget hade fått tag på en ny revisor som kunde väljas in på ordinarie stämma. Redovisningskonsulten var också den som skulle se till att vederbörliga handlingar faktiskt kom in till Bolagsverket för registrering. Sedan kom semestertider och när han var tillbaka i början av september så hade ännu ingenting skett från bolagets sida, fastän han fått höra att en ny revisor hade accepterat uppdraget. Han var väldigt frustrerad över att bolaget inte självt hade tagit tag i denna sak trots försäkran att en ny revisor skulle väljas.

Revisorsinspektionen gör följande bedömning.

Av ISA 260 Kommunikation med dem som har ansvar för företagets styrning11 p. 11 framgår att revisorn ska avgöra vilka personer i företagets styrstruktur som det är mest lämpligt att kommunicera med. I p. A 2 anges att styrning i de flesta företag är ett styrande organs kollektiva ansvar, såsom en företagsstyrelse, en oberoende styrelse, kompanjoner, ägare, en ledningskommitté, ett förvaltarråd, en grupp förvaltare eller motsvarande. I vissa mindre företag kan emellertid en enda person ha ansvar för företagets styrning, t.ex. ägaren/företagsledaren där det inte finns andra ägare eller en ensam förvaltare. I p. A 3 anges att den eller de rätta personerna som revisorn ska kommunicera med i vissa fall inte tydligt kan identifieras utifrån tillämpligt juridiskt ramverk eller andra uppdragsförhållanden. Så kan vara fallet i företag där styrstrukturen inte är formellt definierad, såsom vissa familjeägda företag, vissa ideella organisationer och vissa offentliga enheter. I sådana fall kan revisorn behöva diskutera och komma överens med uppdragsgivaren om vilken eller vilka personer som han eller hon ska kommunicera med. När revisorn bestämmer med vem kommunikationen ska ske, är den förståelse av ett företags styrstruktur och -processer som revisorn hämtat in enligt ISA 31512 av betydelse. Vilken eller vilka personer som frågor rätteligen ska kommuniceras med kan variera beroende på vad frågan handlar om.

Enligt p. 14–16 i ISA 260 ska revisorn informera styrelsen om hans eller hennes ansvar avseende revisionen av de finansiella rapporterna, ge styrelsen en översikt över revisionens planerade omfattning och inriktning samt tidpunkt, informera om betydande risker som revisorn har identifierat samt kommunicera betydelsefulla iakttagelser från revisionen.

Av p. 21 samma ISA framgår att revisorn ska kommunicera med styrelsen utan onödiga dröjsmål. Revisorn ska enligt p. 22 utvärdera om tvåvägskommunikationen mellan revisorn och styrelsen har varit tillräcklig för revisionens syfte. Om den inte har varit det, ska revisorn utvärdera den eventuella effekten på revisorns bedömning av riskerna för väsentliga felaktigheter och förmågan att inhämta tillräckliga och ändamålsenliga bevis och vidta lämpliga åtgärder.

A-son har i sina yttranden till Revisorsinspektionen uppgett att han hade ett telefonsamtal med K.W. vid uppdragets startskede. Vid det samtalet ska en överenskommelse ha träffats om att kommunikationen skulle ske via redovisningskonsulten, som var anställd vid samma revisionsbyrå som A-son (se avsnitt 2). ISA 260 öppnar förvisso för att revisorn och kunden kan träffa överenskommelser om vilka personer som kommunikation ska ske genom. En redovisningskonsult kan dock inte anses ha ett sådant ansvar för bolagets styrning som krävs enligt ISA 260 för att revisorns kontakt med denne ska anses som en kommunikation med en företrädare för bolaget.

Av A-sons revisionsdokumentations kan inte utläsas att det förekom någon direkt kommunikation mellan honom och bolagets styrelse, utöver det ovan nämnda telefonsamtalet. A-son har skickat in kopior på underlag som visar att revisionsbyrån skickade ut skriftliga påminnelser om skyldigheten att komma in med årsredovisning direkt till bolaget. Härutöver har han uppgett att han under räkenskapsåret 2016 diskuterade underlag för körjournaler med bolaget. Det finns dock inga spår i revisionsdokumentationen av att några sådana diskussioner ägde rum. Revisorsinspektionen drar av detta slutsatsen att A-son inte uppfyllde de krav på kommunikation som uppställs i p. 14–16 i ISA 260.

Den omständigheten att A-son i maj 2017 beslutade sig för att inte ställa upp för omval som revisor för räkenskapsår 2017 utgjorde en sådan uppgift som han borde ha förmedlat till styrelsen utan onödigt dröjsmål i syfte att möjliggöra val av ny revisor på ordinarie stämma. Han förlitade sig på att redovisningskonsulten skulle förmedla hans beslut till styrelsen. Detta kan inte anses tillfyllest, särskilt som ingenting i utredningen visar att han under uppdragets gång hade utvärderat om tvåvägskommunikationen mellan honom och styrelseledamoten (via redovisningskonsulten) faktiskt fungerade.

Revisorinspektionen finner alltså att A-son under uppdraget brustit i sin kommunikation med bolagets styrelse. Han har härigenom åsidosatt god revisionssed.

6 Sammanfattande bedömning och val av disciplinär åtgärd

Revisorsinspektionen har funnit flera brister i A-sons revisionsarbete. Han har inte skaffat sig den grundläggande kundkännedom som penningtvättslagen kräver. Vidare har han hämtat in ett uppdragsbrev och ett uttalande från företagsledningen som inte var undertecknat av rätt personer. Han har också brustit i sin kommunikation med bolagets styrelse.

A-son har i nu nämnda avseenden åsidosatt sina skyldigheter som revisor. Han ska därför meddelas en disciplinär åtgärd. Det som ligger A-son till last är sammantaget allvarligt. Han ska därför, med stöd av 32 § andra stycket revisorslagen (2001:883), ges en varning.

FARs kommentar

FAR noterar att RI uttrycker att det är styrelsen som ska skriva under uppdragsavtalet, även om företaget företräds av någon annan gentemot revisorn. Detta för att uppfylla de krav som ställs i ISA 210 Villkor för revisionsuppdrag på att revisorn ska inhämta företagsledningens bekräftelse på att den är medveten om och förstår sitt ansvar för de finansiella rapporterna och för att revisorn förses med nödvändig information. Beslutet får ses som vägledande då det inte helt klart uttalas i ISA 210 att den enda som kan underteckna uppdragsavtalet för kundens räkning är dess styrelse (i förekommande fall). FAR anser att ett uppdragsavtal normalt kan undertecknas av behörig firmatecknare eller VD men även annan med fullmakt för företaget, sådana omständigheter har emellertid inte berörts i RI:s bedömning. I bedömningen framhåller RI genomgående vikten av att revisorn i vissa frågor kommunicerar direkt med den valda styrelsen även om den löpande kontakten sker via någon annan, som en företagsledare utan formell behörighet eller en redovisningskonsult.