Dnr 2023-1043

3.1 Tillämpliga bestämmelser

Penningtvättslagen gäller för fysiska och juridiska personer som driver vissa i lagen uppräknade verksamheter, däribland sådan verksamhet som en auktoriserad eller godkänd revisor eller ett registrerat revisionsbolag bedriver och annan yrkesmässig verksamhet som avser revisionstjänster (se 1 kap. 2 § första stycket 18 och 19). Det innebär att såväl enskilda revisorer som juridiska personer som bedriver revisionsverksamhet är skyldiga att följa lagens bestämmelser och de föreskrifter som har meddelats på området. I den utsträckning verksamheten bedrivs i en juridisk person har den juridiska personens ställföreträdare som utgångspunkt ett personligt ansvar för att verksamheten är inrättad så att penningtvättsregelverket kan följas.

Härav följer att det inom ramen för revisionsverksamheten måste göras en bedömning av hur de produkter och tjänster som tillhandahålls i verksamheten kan utnyttjas för penningtvätt eller finansiering av terrorism och hur stor risken är för att detta sker (allmän riskbedömning; se 2 kap. 1 § penningtvättslagen).

Vid den allmänna riskbedömningen ska det särskilt beaktas vilka slags produkter och tjänster som tillhandahålls, vilka kunder och distributionskanaler som finns samt vilka geografiska riskfaktorer som förekommer. Enligt 3 § Revisorsinspektionens föreskrifter (RIFS 2021:1) om åtgärder mot penningtvätt och finansiering av terrorism (penningtvättsföreskrifterna), som trädde i kraft den 1 januari 2022, ska den allmänna riskbedömningen innehålla en identifikation av verksamhetens tjänster och produkter, en beskrivning av de hot som är relevanta för tjänsterna och produkterna, en beskrivning av de egenskaper som kan göra revisionsföretagets verksamhet eller tjänster och produkter sårbara för försök till att utnyttjas för penningtvätt eller finansiering av terrorism, och en värdering av riskerna som är förenade med de beskrivna hoten och sårbarheterna. Enligt 2 kap. 2 § penningtvättslagen ska riskbedömningen utformas så att den kan ligga till grund för verksamhetsutövarens rutiner, riktlinjer och övriga åtgärder mot penningtvätt och finansiering av terrorism. Den allmänna riskbedömningen ska dokumenteras och hållas uppdaterad.

Den som bedriver revisionsverksamhet ska vidare ha dokumenterade rutiner och riktlinjer avseende sina åtgärder för kundkännedom, övervakning och rapportering samt för behandling av personuppgifter (se 2 kap. 8 § penningtvättslagen). Dessa ska fortlöpande anpassas efter nya och förändrade risker för penningtvätt och finansiering av terrorism. I 4 § penningtvättsföreskrifterna anges att revisionsföretaget, på grundval av en riskbedömning och minst en gång per år, ska utvärdera och vid behov uppdatera den allmänna riskbedömningen och sina rutiner och riktlinjer. Datum för utvärderingen och eventuell uppdatering ska dokumenteras.

Av 2 kap. 3 § penningtvättslagen följer att en revisor ska bedöma den risk för penningtvätt eller finansiering av terrorism som kan förknippas med kundrelationen (kundens riskprofil). Kundens riskprofil ska bestämmas med utgångspunkt i den allmänna riskbedömningen och revisorns kännedom om kunden.

En revisor ska vidare vidta åtgärder för kundkännedom vid etableringen av en affärsförbindelse (se 3 kap. 4 § penningtvättslagen). Han eller hon får över huvud taget inte etablera eller upprätthålla en affärsförbindelse, om revisorn inte har tillräcklig kännedom om kunden för att kunna hantera risken för penningtvätt eller finansiering av terrorism som kan förknippas med kundrelationen samt övervaka och bedöma kundens aktiviteter och transaktioner (se 3 kap. 1 §).

Av 3 kap. 7 § följer att revisorn ska identifiera kunden och kontrollera kundens identitet genom identitetshandlingar eller registerutdrag eller genom andra uppgifter och handlingar från en oberoende och tillförlitlig källa. Om kunden företräds av en person som uppger sig handla på kundens vägnar, ska revisorn kontrollera den personens identitet och behörighet att företräda kunden. Behörigheten ska enligt 7 § penningtvättsföreskrifterna kontrolleras genom fullmakt, förordnande eller motsvarande behörighetshandling. Enligt samma bestämmelse ska revisorn vid identitetskontrollen av en juridisk person kontrollera aktuellt registreringsbevis, registerutdrag eller uppgifter från andra tillförlitliga och oberoende källor samt bevara original eller kopia av den kontrollerade handlingen. Av dokumentationen ska det framgå när kontrollen har utförts.

Revisorn ska också utreda om kunden har en verklig huvudman (se 3 kap. 8 § penningtvättslagen). En sådan utredning ska avse åtminstone en sökning i det register över verkliga huvudmän som Bolagsverket för enligt lagen (2017:631) om registrering av verkliga huvudmän. Om kunden är en juridisk person, ska utredningen omfatta åtgärder för att förstå kundens ägarförhållanden och kontrollstruktur. Om kunden har en verklig huvudman, ska revisorn vidta åtgärder för att kontrollera den verkliga huvudmannens identitet.

Kontrollen av kundens och den verkliga huvudmannens identitet ska slutföras innan en affärsförbindelse etableras (se 3 kap. 9 §).

Revisorn ska vidare enligt 3 kap. 10 § penningtvättslagen bedöma om kunden eller kundens verkliga huvudman är en person i politiskt utsatt ställning eller en familjemedlem eller känd medarbetare till en sådan person. Han eller hon ska också, enligt 3 kap. 13 §, löpande och vid behov följa upp pågående affärsförbindelser i syfte att säkerställa att kännedomen om kunden är aktuell och tillräcklig för att hantera den bedömda risken för penningtvätt eller finansiering av terrorism. Åtgärderna för kundkännedom ska, enligt 3 kap. 14 §, ha den omfattning som behövs med hänsyn till kundens riskprofil och övriga omständigheter.

Av 3 kap. 15 § penningtvättslagen följer att om risken för penningtvätt eller finansiering av terrorism som kan förknippas med kundrelationen bedöms som låg, får verksamhetsutövaren tillämpa förenklade åtgärder för kundkännedom. Förenklade åtgärder för kundkännedom innebär att kontroller, bedömningar och utredningar som följer av 7, 8 och 10-13 §§ kan vara av mer begränsad omfattning och vidtas på annat sätt.

Enligt 5 kap. 3 § penningtvättslagen ska handlingar och uppgifter avseende åtgärder som har vidtagits för kundkännedom bevaras under fem år. Tiden ska räknas från det att, i de fall då en affärsförbindelse har etablerats, affärsförbindelsen upphörde. Av dokumentationen ska framgå bl.a. vilka granskningsåtgärder som har utförts, vad dessa har omfattat samt när och hur granskningsåtgärderna har utförts (se 11 § penningtvättsföreskrifterna med hänvisning till 7 och 9 §§ Revisorsinspektionens föreskrifter (RIFS 2018:2) om villkor för revisorers och registrerade revisionsbolags verksamhet). Dokumentationen ska vara tydlig och strukturerad på ett överskådligt sätt. Den ska vara inriktad på väsentlig information men ändå så detaljerad att revisorns arbete kan bedömas i efterhand.

3.2 Utredningen i ärendet

3.3 Revisorns uppgifter

A-son har uppgett följande.

Han håller med om att rutinerna och riktlinjerna inte är ändamålsenliga i den del de anger att identitetskontroll av verklig huvudman inte behöver göras vid låg risk i kunduppdraget. Rutinen har inte följts i denna del. Kundakterna innehåller därför alltid utdrag avseende verklig huvudman tillsammans med en kopia av en identitetshandling.

Han har upprättat en checklista avseende penningtvätt som används vid omprövning av en kundrelation. Hans bedömning av risken för penningtvätt baseras på hans årliga genomgång av checklistan. I kundutvärderingsdokumentet Bibehållande av kund behandlas ett flertal frågor avseende risken för penningtvätt och risken för oegentligheter. Samtliga dessa har besvarats med ett nej eftersom någon sådan risk inte identifierades för något av bolagen.

I bilagan Prövning enligt revisorslagen 21 § (analysmodellen) avsnitt III ska Vald revisors bedömning göras. Från och med år 2022 har han kompletterat bilagan med en riskbedömning avseende penningtvätt.

I förevarande fall bedömde han för båda bolagen risken för penningtvätt som låg. Detta baserades på den kundkännedom som han hade samt på informationen i den checklista som han använder som underlag för beslut avseende omprövning av kund.

Han har varit revisor i arkitektbolaget sedan starten år 2009 och är väl insatt i verksamheten samt hade kännedom om ägarna i bolaget. Verklig huvudman kontrollerades genom det abonnemang som han har hos ett företag som levererar affärsdata. Bolaget hade inga engagemang utomlands och inga internationella betalningar. Ingen av ägarna var PEP. Verksamheten var oförändrad. Ingen kontanthantering förekom och inga udda transaktioner identifierades. Risken för oegentligheter bedömdes som låg.

När det gäller köksbolaget var kunden ny. Verklig huvudman kontrollerades genom hans abonnemang hos ett företag som levererar affärsdata. Bolaget hade inga engagemang utomlands och inga internationella betalningar förutom med Kvik i Danmark. Ingen av ägarna var PEP. Verksamheten reglerades strikt av ett franchiseavtal. Inga udda transaktioner identifierades. Risken för oegentligheter bedömdes som låg.

3.4 Revisorsinspektionens bedömning

Revisionsföretagets allmänna riskbedömning innehåller en matris med kortfattat beskrivna riskfaktorer. A-son har bedömt att risken kopplad till var och en av riskfaktorerna är låg. Några skäl för detta har dock inte angetts, bortsett från att det i vissa fall har noterats att bedömningen baseras på kundkännedomen. Vidare finns kortfattade beskrivningar av åtgärder och rutiner för varje riskfaktor.

Enligt Revisorsinspektionens bedömning saknar den allmänna riskbedömningen en beskrivning av de hot som är relevanta för tjänsterna och produkterna. Den innehåller inte heller någon beskrivning av de egenskaper som kan göra revisionsföretagets verksamhet eller tjänster och produkter sårbara för försök att utnyttja den för penningtvätt eller finansiering av terrorism. Den allmänna riskbedömningen innehåller inte heller någon sådan värdering av identifierade hot och sårbarheter som den ska innehålla. Den uppfyller inte heller det krav på datering som anges i penningtvättsföreskrifterna.

När det gäller revisionsföretagets rutiner och riktlinjer anger dessa att det vid inhämtande av kundkännedom i ett uppdrag med bedömd låg risk inte behöver genomföras en identitetskontroll av den som är verklig huvudman. Penningtvättslagen medger förvisso vissa lättnader när det gäller omfattningen av och tidpunkten för genomförandet av kundkänedomsåtgärder om risken i uppdraget bedömts som låg. Lagen ger dock inget utrymme för att bortse från kravet på kontroll av den verkliga huvudmannens identitet. Den rutin som revisionsföretaget hade upprättat var därför inte godtagbar. Även om rutinen inte synes ha tillämpats kan A-son, såsom ställföreträdare för revisionsföretaget, inte undgå kritik för den upprättade rutinen.

A-sons revisionsdokumentation innehåller, såvitt avser vidtagna åtgärder enligt penningtvättslagen enbart (1) en kopia av respektive företrädares identitetshandling, (2) ett utdrag ur registret över verkliga huvudmän från revisionsföretagets abonnemang hos ett företag som levererar affärsdata samt (3) en checklista avseende åtgärder enligt penningtvättslagen. Checklistan innehåller i och för sig relevanta punkter som en revisor behöver hantera. I dokumentationen finns emellertid inga anteckningar eller hänvisningar till övrigt underlag som tyder på att A-son vidtog några ytterligare åtgärder för att skaffa sig kundkännedom. Dokumentationen bestyrker därmed inte att han vidtog vederbörliga åtgärder för kundkännedom. Han har i sitt yttrande till Revisorsinspektionen lämnat vissa uppgifter om vidtagna åtgärder, däribland att han som en del av inhämtandet av kundkännedom gjorde en bedömning av förekomsten av udda transaktioner m.m. De uppgifter som han har lämnat är dock allmänt hållna och innehåller inga detaljer kring hur eller när han inhämtade den kundkännedomen. Han har därmed inte gjort det sannolikt att han inhämtade tillräcklig kundkännedom i uppdragen.

Revisorsinspektionen drar av detta slutsatsen att hans åtgärder i detta avseende var otillräckliga (se den i avsnitt 2 beskrivna bevisbörderegeln).

A-sons dokumentation för respektive uppdrag saknar en bedömning av kundens riskprofil. Det innebär att han inte följde revisionsföretagets rutiner och riktlinjer på området. A-son har uppgett att han bedömde att kundriskprofilen i respektive uppdrag var låg. Han har dock inte redogjort för några riskreducerande förhållanden. Omständigheterna gav honom därmed inte anledning att räkna med att risken i dessa uppdrag var lägre än i vilken annan verksamhet som helst, dvs. normal.

A-son har i ovan angivna avseenden åsidosatt sina skyldigheter enligt penningtvättslagen, både i egenskap av ställföreträdare för ett revisionsföretag och som revisor.

4.1 Köksbolaget

I årsredovisningen för köksbolaget redovisas posten Nettoomsättning med 28,2 mnkr för det förlängda räkenskapsåret 2020/21 (som var bolagets första räkenskapsår). I ett dokument betecknat Planering och riskbedömning 2021 finns en anteckning om att bolagets intäkter bestod av varor sålda huvudsakligen till privatpersoner. Den sammanfattande riskbedömningen var att inga väsentliga risker hade identifierats. I en granskningsplan finns antecknat att granskningen av intäkter skulle göras genom att jämföra utfall mot budget/prognos samt analys per månad/kvartal. För rörelsekostnaderna skulle A-son bl.a. ta del av bolagets egna analyser per kvartal, analys av större avvikelser mot föregående år och budget samt kontroll av udda poster och udda belopp. I ett dokument rubricerat Slutrevisions-PM 2021 finns en anteckning om att rörelsens intäkter hade granskats analytiskt och att rörelsens kostnader hade granskats översiktligt.

A-sons dokumentation av granskningen av intäkter och kostnader omfattar ett antal dokument som bolaget hade upprättat; dels en kvartalsredovisning (periodräkning), dels resultatanalys per månad och dels ett antal grafer som utvisar kunder, offerter, ordrar och omsättning per månad. Frånsett granskningsplanen samt en kortfattad anteckning i dokumentet Slutrevisions-PM finns inte några anteckningar om vilken granskning A-son utförde eller vilka bedömningar och slutsatser som han drog vid sin granskning av köksbolagets intäkter och rörelsekostnader.

A-son har uppgett följande.

Bolaget var franchisetagare och bedrev försäljning av köks- och badrumsinredningar. Verksamheten reglerades genom ett detaljerat franchiseavtal. Bolaget var förpliktat att använda ett detaljhandelssystem som hanterades av franchisegivaren. Enligt avtalet skulle franchisetagaren dagligen göra registreringar av lämnade offerter, inkomna ordrar, omsättning, lagerrörelser och föra statistik över de nyckeltal som franchisegivaren hade valt ut. Franchisetagaren upprättade kvartalsredovisningar med kommentarer, vilka han tog del av. Genom denna tvingande rapportering säkerställdes att intäktsredovisningen blev fullständig och rätt periodiserad. Franchisetagaren fick inte sälja andra produkter än det av franchisegivaren utbjudna sortimentet. Franchisetagaren betalade en månadsavgift på bolagets totala omsättning. Härigenom säkerställde rutinen en korrekt redovisning av intäkterna gällande existens, periodisering och fullständighet.

Rörelsens kostnader granskades analytiskt, främst genom bolagets egna analyser och kommentarer. Dessa analyser tog han del av.

4.2 Arkitektbolaget

I årsredovisningen för arkitektbolaget redovisas posten Nettoomsättning med 32,6 mnkr för räkenskapsåret 2021. Motsvarande post för föregående år uppgick till 36,5 mnkr. I ett dokument betecknat Planering och riskbedömning 2021 finns en anteckning om att bolagets intäkter bestod av fakturerade arkitekttjänster och att ingen kontanthantering förekom. Den sammanfattande riskbedömningen var att inga väsentliga risker hade identifierats. I en granskningsplan finns antecknat att granskningen av intäkter skulle omfatta omsättning per anställd, analys per månad och prognoser/avvikelser. Vad gäller rörelsekostnader skulle en analys göras av större avvikelser mot föregående år samt kontroll av udda poster och udda belopp. I ett dokument rubricerat Slutrevisions-PM 2021 finns en anteckning om att rörelsens intäkter hade granskats analytiskt och att rörelsens kostnader hade granskats översiktligt.

A-sons dokumentation avseende granskningen av intäkter och rörelsekostnader innehåller några av bolaget upprättade dokument; resultatrapporter, flerårsjämförelser på kontonivå, en uppställning över debiterbara timmar per anställd för en månad samt en lista över fakturering per kund för åren 2021 och 2020. Vidare finns det anteckningar från ett möte mellan A-son och representanter för bolaget. I dokumentationen finns också kortfattade anteckningar rörande resultat och ställning per den 31 oktober 2021, de största kunderna, beläggningsgrader för de anställda, likviditetsbudget samt pågående och kommande projekt. Dokumentationen innehåller i övrigt inga anteckningar om vilken granskning som A-son utförde eller vilka bedömningar och slutsatser som han drog vid granskningen av intäkter och rörelsekostnader.

A-son har uppgett följande.

Samtliga arkitekter registrerade sin tid på projekt i ett tidredovisningssystem. Detta blev underlag till den månatliga faktureringen. Fakturorna kontrollerades av bolagets huvudägare innan de skickades till kund. Detta säkerställde att allt blev fakturerat, eftersom resterande fakturor redovisades som upparbetade ej fakturerade intäkter. Det gjordes månadsvisa avstämningar vid ledningsgruppsmöten. Tidredovisningssystemet säkerställde att periodiseringen av intäkter blev korrekt. Bolaget gjorde noggranna uppföljningar av beläggningsgraden per arkitekt samt totala intäkter fördelat per kund (oftast stora bygg- och fastighetsbolag). Existens och värdering bekräftades genom granskning av fakturor mot kundreskontran samt kontroll av att dessa hade blivit betalade vid påskriftstillfället. Genom att ta del av en SIE-fil kontrollerade han även att inget hade blivit krediterat efter räkenskapsårets utgång. Baserat på bolagets rutiner och den interna kontrollen bedömde han att allt som var debiteringsbart fakturerades, vilket säkerställde fullständigheten i intäktsredovisningen. När det gäller upparbetat men ej fakturerat arbete gjordes löpande en individuell bedömning. Han diskuterade beloppet som hade redovisats i bokslutet med ledningen i bolaget och bedömde att det var försiktigt beräknat.

Rörelsens kostnader granskades analytiskt genom jämförelse mot tidigare år varvid större avvikelser kommenterades. Bolaget gjorde själv noggranna analyser som han tog del av.

4.3 Revisorsinspektionens bedömning

Intäktsredovisningen är normalt ett väsentligt granskningsområde som revisorn normalt har anledning att ägna särskild uppmärksamhet. Det har inte framkommit något som tyder på att så inte skulle ha varit fallet i de här aktuella revisionsuppdragen. Både intäkterna och kostnaderna uppgick till väsentliga belopp. Detta innebar sammantaget att såväl intäktsredovisningen som rörelsekostnaderna utgjorde väsentliga granskningsområden.

A-son har vad gäller båda bolagen uppgett i huvudsak att rutinerna och den interna kontrollen var sådana att de säkerställde fullständigheten i intäktsredovisningen. Såvitt framgår av dokumentationen gjorde han emellertid inte någon närmare granskning av bolagens rutiner och kontroller. Bolagens rutiner och kontroller gav honom därför inte tillräcklig grund för att godta fullständigheten och riktigheten i intäktsredovisningen.

Av ISA 520Analytisk granskning p. 5 framgår att när en revisor utformar och utför substansinriktad analytisk granskning, ska han eller hon avgöra hur passande en viss substansinriktad analytisk granskning är. Revisorn ska därvid beakta bl.a. de bedömda riskerna för väsentliga felaktigheter. Substansinriktad analytisk granskning är enligt p. A 6 i allmänhet mer användbart när det rör sig om stora transaktionsvolymer som tenderar att vara förutsägbara över tid. Även om den analytiska granskningen utgör mindre övertygande bevis kan den ändå utgöra ett användbart underlag, om metoden används i kombination med andra granskningsåtgärder. Analytisk granskning kan, enligt ISA 315Identifiera och bedöma riskerna för väsentliga felaktigheter p. 14 b, även användas i riskbedömningen för att uppmärksamma ovanliga eller oväntade relationer som kan hjälpa revisorn att identifiera risker för väsentliga fel.

Den analytiska granskning som A-son genomförde i fråga om köksbolaget och arkitektbolaget avsåg främst genomläsning av resultaträkningen, jämförelse mot tidigare år, kontroll av rimligheten och kontoanalys. Några kontoanalyser av rörelsekostnader genomfördes inte. Det kan inte heller av dokumentationen för något av bolagen utläsas att A-son genomförde någon detaljgranskning av vare sig bolagens intäkter eller rörelsekostnader.

A-sons dokumentation av de granskningsåtgärder som han utförde avseende intäktsredovisningen och rörelsekostnaderna är mycket begränsad för båda bolagen. Den omfattar i huvudsak underlag och analyser som är framtagna och sammanställda av bolagen. De kortfattade anteckningar som A-son själv gjorde medger inga slutsatser om vilken granskning som gjordes.

Frågan är då om A-son genom sina yttranden till Revisorsinspektionen ändå har gjort sannolikt att han utförde en tillräcklig granskning av intäktsredovisningen och rörelsekostnaderna i de båda bolagen. Revisorsinspektionen anser inte att så är fallet. A-son har i huvudsak beskrivit de rutiner som bolagen hade och har inte redogjort för några egna självständiga granskningsåtgärder avseende riktigheten i intäktsredovisningen och rörelsekostnaderna.

Revisorsinspektionen drar mot den angivna bakgrunden slutsatsen att A-son inte utförde en tillräcklig granskning av intäktsredovisningen och rörelsekostnaderna i något av bolagen (se den i avsnitt 2 beskrivna bevisbörderegeln).

Med hänsyn till att såväl intäkter som rörelsekostnader var väsentliga poster i båda bolagen hade A-son därför inte grund för att tillstyrka fastställandet av bolagens resultat- och balansräkningar. Genom att ändå göra detta har han åsidosatt god revisionssed.