RIFS 2021:1 Åtgärder mot penningtvätt och finansiering av terrorism

3 §Den allmänna riskbedömningen ska innehålla

1. en identifikation av verksamhetens tjänster och produkter,

2. en beskrivning av de hot som är relevanta för tjänsterna och produkterna,

3. en beskrivning av de egenskaper som kan göra revisionsföretagets verksamhet eller tjänster och produkter sårbara för försök till att utnyttjas för penningtvätt eller finansiering av terrorism, och

4. en värdering av riskerna som är förenade med de beskrivna hoten och sårbarheterna.

4 §Revisionsföretaget ska, på grundval av en riskbedömning men minst en gång per år, utvärdera och vid behov uppdatera den allmänna riskbedömningen och sina rutiner och riktlinjer.

Datum för utvärderingen och eventuell uppdatering ska dokumenteras.

5 §Ett revisionsföretag ska dokumentera den utbildning som avses i 2 kap. 14 § lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism. Utbildningens innehåll, namn på deltagare och datum för utbildningen ska framgå av dokumentationen.

6 §Revisionsföretaget ska, på grundval av en riskbedömning men minst vart tredje år, utföra periodiskt återkommande kontroller av revisorernas åtgärder i enskilda uppdrag för att säkerställa att lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism, dessa föreskrifter och de interna riktlinjerna och rutinerna efterlevs.

Kontrollen ska ske genom att minst ett avslutat uppdrag för varje revisor granskas och ska åtminstone omfatta kontroll av åtgärder och dokumentation avseende kundkännedom, kundriskprofil och övervakning.

Datum för kontrollen, eventuella upptäckta brister samt planerade och genomförda förbättringsåtgärder ska dokumenteras.

7 §Revisorns kontroll av fysiska och juridiska personers identitet ska göras genom att extern verifiering hämtas in och dokumenteras på det sätt som anges i tabellen nedan. Av dokumentationen ska även framgå när kontrollen har utförts.

Vid identitetskontroll på distans ska kopior vara bestyrkta.

Identitetskontroll ska genomföras även om kunden är en offentlig person eller är känd sedan tidigare.

8 §Även om revisorn vid låg risk tillämpar förenklade åtgärder för kundkännedom ska kundens identitet alltid kontrolleras på det sätt som följer av 7 §.

När revisorn vid hög risk vidtar skärpta åtgärder för kundkännedom ska ytterligare information om kundens ekonomiska situation och varifrån dennes ekonomiska medel kommer alltid hämtas in. För kunder som är etablerade i ett land som har identifierats som ett högrisktredjeland av Europeiska kommissionen, finns ytterligare krav på skärpta åtgärder i 3 kap. 17 § lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism.

9 §En revisor ska under pågående uppdrag, på grundval av en riskbedömning men minst en gång per år, utvärdera kundkännedomen och kundens riskprofil och vid behov uppdatera dessa.

Om kundkännedomen uppdateras eller om rapportering sker till Polismyndigheten ska beslut tas om huruvida riskprofilen ska ändras eller inte.

Datum, överväganden och slutsatser för utvärderingen, samt eventuell uppdatering, ska dokumenteras.

11 §Revisorns dokumentationsskyldighet enligt 7 och 9 §§ Revisorsinspektionens föreskrifter (RIFS 2018:2) om villkor för revisorers och registrerade revisionsbolags verksamhet gäller, i tillämpliga delar, även revisorns åtgärder enligt lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism.

12 §Dokumentationen av revisionsföretagets och revisorns vidtagna åtgärder ska under den tid som anges i 5 kap. 3 och 4 §§ lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism bevaras på det sätt som anges i 12 § första stycket Revisorsinspektionens föreskrifter (RIFS 2018:2) om villkor för revisorers och registrerade revisionsbolags verksamhet.

Dokumentationen ska vara organiserad på sådant sätt att uppgifter och handlingar är lätta att identifiera, ta fram och sammanställa på begäran av Polismyndigheten, Säkerhetspolisen eller Revisorsinspektionen.