Direktivet om bekæmpelse af hvidvaskning af penge (AML) - vejledning til virksomheder

Er din virksomhed underlagt direktivet om bekæmpelse af hvidvaskning af penge (AML) og de efterfølgende love og regler i alle EU- og EØS-lande? Så er det vigtigt, at du kender dine forpligtelser i forhold til loven, og hvorfor det endda er nødvendigt at have en europæisk standard for initiativer og regler til bekæmpelse af hvidvaskning af penge.

På denne side besvarer vi de hyppigst stillede spørgsmål om AML og direktivet om bekæmpelse af hvidvaskning af penge, såsom:

• Hvorfor har vi brug for love og regler om bekæmpelse af hvidvaskning af penge (AML)?
• Hvilke virksomheder er omfattet af direktivet om bekæmpelse af hvidvaskning af penge?
• Hvordan interagerer EU-direktiver og nationale love?
• De forskellige tilsynsmyndigheder
• Hvad sker der, hvis virksomheder ikke overholder loven?
• Vejledning til direktivet om bekæmpelse af hvidvaskning af penge
• AML 5: den risikobaserede tilgang
• Risikovurdering
• Politikker
• Forretningsprocedurer
• Revision og verifikation
• KYC-procedure
• AML 6: Nye krav kommer

Hvorfor har vi brug for love og regler om bekæmpelse af hvidvaskning af penge (AML)?

Der findes love og regler om bekæmpelse af hvidvaskning af penge for at forhindre, at der tjenes penge på kriminelle aktiviteter, der bruges i resten af samfundet. Grundlæggende eksisterer loven for at gøre det vanskeligere at begå forbrydelser, såsom skatteunddragelse og økonomisk svig. Loven har også til formål at forhindre finansiering af terrorisme.

Alle EU- og EØS-lande har deres egne love og regler om bekæmpelse af hvidvaskning af penge. De er dog alle dannet af EU-direktiver som er dannet og godkendt af Europa-Parlamentet. EU har på nuværende tidspunkt udarbejdet seks forskellige direktiver vedrørende hvidvaskning af penge. I teknisk terminologi kaldes de AML 1-6. AML er en forkortelse for „Anti-Money Hvidvaskning“.

EU-direktiv

Et direktiv er en retsakt vedtaget af Den Europæiske Union. Direktiverne er bindende for medlemslande og medlemmer af Det Europæiske Økonomiske Samarbejdsområde (EØS). Landene beslutter dog selv, hvordan direktivet skal gennemføres i nationale love og forskrifter.

Hvilke virksomheder er omfattet af direktivet om bekæmpelse af hvidvaskning af penge?

Forskellige virksomheder er omfattet af direktivet om bekæmpelse af hvidvaskning af penge, blandt andre:

• Advokatfirmaer
• Revisorer
• Ejendomsforvaltere
• Udlejere
• Finansielle virksomheder
• Tjenesteudbydere

Hvordan interagerer EU-direktiv og national lovgivning?

Når Europa-Parlamentet udsteder et direktiv, har de enkelte medlemsstater en periode, hvor de er forpligtet til at implementere direktivet i lokal lovgivning. Dette sker typisk ved at foretage justeringer i allerede eksisterende love og/eller udstede nye bekendtgørelser.

Arbejdet med gennemførelsen strækker sig typisk over en længere periode, og ikke alle lande gennemfører loven samtidigt eller på lignende måde. Dette skaber en vis debat mellem lande, da det fører til situationer, hvor det kan være mere fordelagtigt at oprette en finansiel licens ét sted og derefter levere dine produkter til de resterende lande.

EU's ekspertgrupper

Udviklingen af direktiver om bekæmpelse af bekæmpelse af bekæmpelse af penge omfatter en række forskellige erhverv, interessegrupper, juridiske eksperter samt lokale tilsynsmyndigheder.

Meo har siden 2015 været repræsenteret i en af EU's betalingssystemmarkedsekspertgrupper (PSMEG) af vores administrerende direktør, Christian Visti Larsen, som har bistået med udviklingen af AML 5.

Forskellige regulerende agenturer

Det tilsyns- eller reguleringsorgan, der oprindeligt udstedte en virksomhedslicens, vil ofte være den part, der er ansvarlig for at sikre korrekt tilsyn og håndhævelse.

Men fra land til land kan der være en vis forskel på, hvordan reglerne håndhæves. Dette gør det mere lokkende for visse virksomheder at fokusere deres aktiviteter i et land, hvor tilsynet er mere afslappet - og derefter sælge deres varer eller tjenester til resten af landene på det europæiske indre marked.

Hvad sker der, hvis virksomheder ikke overholder loven?

Der er forskel på, hvordan de enkelte tilsynsmyndigheder kommunikerer de aktiviteter og problemer, de måtte afdække, når de fører tilsyn med virksomheder.

Til tider kan disse være i form af lovgivningsmæssige AML-rapporter, der specificerer kritik, påbud og endda rapporter til politiet. Disse rapporter er typisk offentligt tilgængelige på deres hjemmesider, og det kræves ofte, at rapporterne vises på virksomhedernes egne hjemmesider.

Hvis en virksomhed bliver fanget i ikke at leve op til sine forpligtelser, resulterer det ikke nødvendigvis i en bøde. Virksomheden vil dog sjældent være i stand til at undgå sanktioner eller en tur til den metaforiske pillory. For virksomheder, der er afhængige af deres gode navn og omdømme, kan dette være meget værre end en bøde.

Sanktioner

De regulerende agenturer kan sjældent udstede bøder, men de er i stand til at rapportere virksomheden i strid med AML-love til den lokale politiafdeling for kriminelle økonomiske aktiviteter. Dette resulterer derefter i en politiundersøgelse, der kan føre til en offentlig retssag. Det er dog muligt for agenturet at udstede administrative bøder i enkle tilfælde, hvor virksomheden indrømmer forseelser.

AML 5: Den risikobaserede tilgang

Det seneste direktiv, AML 5, blev vedtaget i 2017 og bredt vedtaget i januar 2020. Med dette direktiv gik vi over til en risikobetinget tilgang til forholdsregler mod hvidvaskning af penge (AML) - en tilgang, der kræver mere af virksomhedernes vurdering af deres kundeforhold.

Virksomhederne skal nu vurdere den enkelte kundes individuelle risiko for at blive brugt til hvidvaskning af penge eller finansiering af terrorisme. Nogle af de centrale og grundlæggende elementer i det nye AML-direktiv er:

• Risikovurderinger
• Politikker
• Forretningsprocedurer

Det er helt op til virksomheden at udvikle og implementere disse krav. Nedenfor forklarer vi, hvad hvert element indebærer. Desuden skal du oprette en beskrivelse af, hvordan du reviderer og overvåger hver aktivitet, så du er sikker på, at loven opretholdes.

Den risikobaserede tilgang resulterer i et meget større fokus på verifikation af identitet og løbende KYC-kontrol.

Risikovurdering

Virksomheder, der er omfattet af direktivet om bekæmpelse af hvidvaskning af penge, skal udarbejde risikovurderinger, der identificerer og evaluerer alle opfattede risici forbundet med individuelle kunder, produkter, leveringskanaler og forretningsaktiviteter.

For at lave en risikovurdering skal virksomheden:

• Overvej risikoen, fra klient til klient, om at blive udnyttet til hvidvaskning af penge eller finansiering af terrorisme. Dette kaldes også CDD (Kundedue diligence).
• Være i stand til redegøre for og begrunde vurderingen og forholdsregler til det relevante regulerende organ.
• Foretag en risikovurdering, der omfatter virksomhedernes forholdsregler og sikkerhedsforanstaltninger i forbindelse med forebyggelse af hvidvaskning af penge.

Du kan for eksempel ende med at konkludere, at der er en forhøjet risiko forbundet med kunder, der bor i udlandet. Denne risiko afhænger af, hvilket land kunden bor. Baseret på disse oplysninger kan du vurdere, om du har brug for yderligere dokumentation fra klienten. For eksempel, du kan kræve at se en kopi af deres pas eller fødselsattest. Hvis virksomhedernes tjenester giver personer eller enheder mulighed for at blive kunder uden fysiske møder, kan du også beslutte, at dette kræver behov for yderligere dokumentation.

Risikovurdering

Risikovurderinger er strukturerede tilgange, hvor du forsøger at objektivt og retfærdigt vurdere kunder individuelt. Det kræver differentieret behandling.

Politikker

En virksomheds politikker beskriver deres overordnede appetit på risiko. Denne politik vil ofte indeholde beskrivelser af:

• Hvilke typer kunder du vil have at gøre forretninger med
• Hvilke typer kunder du vil ikke at gøre forretninger med

Det vil typisk være ledelsen, der skitserer og udvikler disse politikker, som derefter godkendes af bestyrelsen. En af de primære årsager til dette er, at det tvinger ledere til anerkende og aktivt træffe beslutning om risiciene forbundet med at drive virksomheden. På denne måde kan ingen i virksomheden overtage deres ansvar eller vaske hænderne for forseelser, hvis der opstår problemer.

Politikker definerer også det område, inden for hvilket medarbejderne opererer uden konstant godkendelse fra øverste ledelse.

En virksomheds politikker beskriver deres overordnede tilgang og kapacitet til risiko. Politikker oprettes af øverste ledelse og godkendes af bestyrelsen.

Forretningsprocedurer

Kort sagt er en forretningsprocedure en skriftlig proces for, hvordan du som medarbejder eller virksomhed skal opføre dig i specifikke, veldefinerede situationer.

En forretningsprocedure:

• giver dig et overblik af de risici, du anser for at være til stede hos forskellige grupper af kunder eller kunder.
• beskriver de foranstaltninger, du har truffet for at mindske denne risiko.

Eksempel

Hvis du har en klient bosat i udlandet, kan du bruge risikovurderingen til at vurdere, om dette udgør en forhøjet risiko for, at din virksomhed misbruges til hvidvaskning af penge eller finansiering af terrorisme.

Dette er den opfattede risiko, virksomheden pådrager sig, hvis de påtager sig klienten. For at kunne acceptere nævnte risiko skal forretningsproceduren kræve en mere grundig verifikation af klienten. Ud over en standard KYC-check kan du kræve notariserede kopier af pas eller anmode om yderligere oplysninger om forretningsforetagendet.

Desuden vil en forretningsprocedure også indeholde oplysninger om, hvornår og hvordan du rapporterer forseelser til et regulerende organ, såsom når du har mistanke om økonomisk misbrug.

Revision og verifikation

Revision og verifikation skal altid dokumenteres. Det er nytteløst at udføre verifikation, hvis du ikke efterfølgende kan bevise, at det fandt sted.

En typisk fejl i denne proces indebærer manuel verifikation af kopier af pas eller kørekort. For at imødegå dette kan en forretningsprocedure foreskrive, at medarbejderen skal gennemgå dokumenterne og sikre, at id'et er gyldigt og af en sådan kvalitet, at de efterfølgende kan identificere klienten. Men hvis der ikke er dokumentation for, at dette er sket, anses revisionen ikke for at have fundet sted, uanset om medarbejderen rent faktisk har gennemgået dokumenterne eller ej.

KYC-kontrol

En KYC-kontrol udføres også på grundlag af risikovurderingen og de identificerede risici. Dette er også kendt som KYC eller „Kend din kunde.“

Afhængigt af de opfattede risici kan du enten udføre en forbedret eller regelmæssig kontrol. KYC kræver opnåelse Identificering af personoplysninger om klienten. Typisk vil disse omfatte:

• Navn og CPR-nummer eller Identifikator for juridisk enhed (LEI), afhængigt af om klienten er en person eller en anden virksomhed/organisation.

Disse identificerende oplysninger skal verificeres via en pålidelig uafhængig kilde. Det betyder, at du skal verificere dokumenter og sammenligne dem med offentligt tilgængelige oplysninger og databaser, der kan validere adresser, pas eller navne.

Læs mere om KYC

KYC-kontrol

Beskriver, hvordan virksomheden opfører sig for at lære deres kunder/kunder at kende. KYC er en forkortelse for „Know Your Customer“.

AML 6: Nye krav kommer

Alle de tidligere krav har en fællesnævner: de kræver etablerede procedurer og verifikationsprocesser for hver enkelt klient. En sikker procedure og verifikation af kunderelationer kan kun sikres, hvis der er tilstrækkelig dokumentation for, at det fandt sted.

Hvis du ikke følger reglerne, kan det få alvorlige konsekvenser for din virksomhed. Bortset fra de allerede omfattende krav, kan du blive underlagt øget tilsyn og dermed yderligere krav. Dette er et felt med en massiv politisk og samfundsmæssig interesse og kontrol, hvorfor det bare er god forretning at kende reglerne og være i spidsen.

Den seneste udgave, AML 6, er planlagt til at blive implementeret i alle medlemsstater inden den 3. december 2020 og træde i kraft for erhvervslivet senest den 3. juni 2021. Med AML 6 vil flere elementer blive udvidet med vægt på bøder og sanktioner.

Meo — undgå hvidvaskning af penge med vores nemme og sikre AML-løsning

Som du sikkert har bemærket, er der mange krav til virksomheder, når det kommer til AML og love og regler mod hvidvaskning af penge. Er du på toppen af dine AML-procedurer og tilgange?

Hvis ikke, kan Meo hjælpe.

Meo er en softwareplatform, der kan hjælpe dig med AML-overholdelse ud over en række andre tjenester.

Med Meo kan du:

• Skærm automatisk klienter via PEP-lister
• Bekræft klienternes id
• Indsamle data fra officielle kilder vedrørende virksomheder og enkeltpersoner