Förhindra penningtvätt och finansiering av terrorism

Utifrån den allmänna riskbedömningen ska du som verksamhetsutövare upprätta skriftliga rutiner och riktlinjer för att förebygga och motverka penningtvätt och finansiering av terrorism i din verksamhet.

Tänk på att rutinerna och riktlinjerna ska utvärderas regelbundet, minst en gång per år och uppdateras vid behov. Anteckna datumet för varje utvärdering och eventuell uppdatering. Om du anser att det finns nya eller förändrade risker för penningtvätt och finansiering av terrorism ska dokumentet uppdateras.

Rutinerna och riktlinjerna ska omfatta:

• Åtgärder för kundkännedom
• Övervakning och rapportering till Finanspolisen
• Bevarande av handlingar inklusive behandling av personuppgifter
• Intern kontroll, inklusive uppgift om vem i verksamheten som ansvarar för regelefterlevnaden.

Om du har anställda eller uppdragstagare som utför uppgifter som har betydelse för arbetet mot penningtvätt och finansiering ska du även ha rutiner för:

• Lämplighetsprövning av anställda och uppdragstagare.
• Skydd mot hot, hämnd eller andra fientliga åtgärder.
• Visselblåsarfunktion.
• Utbildning och information av anställda och uppdragstagare.

Läs mer i 2 kap. 5 – 6 §§ Länsstyrelsens föreskrifter och allmänna råd om åtgärder mot penningtvätt och finansiering av terrorism.

Kundkännedom

Som verksamhetsutövare har du en skyldighet att upprätta rutiner och riktlinjer för företagets kundkännedomsåtgärder. Av dina rutiner och riktlinjer ska det framgå när, hur och vilka kundkännedomsåtgärder som ska vidtas. Läs mer om vilka kundkännedomsåtgärder du behöver vidta för olika sorters kunder under fliken ”Kundkännedom”.

Övervakning och rapportering till Finanspolisen

Av dina rutiner och riktlinjer ska det framgå att du ska övervaka dina pågående affärsrelationer och bedöma enstaka transaktioner. Det ska också framgå att en affärsförbindelse inte får etableras och att en transaktion inte får utföras om du misstänker att produkterna eller tjänsterna kommer att användas för penningtvätt eller finansiering av terrorism.

Det ska även framgå av dina rutiner och riktlinjer att du har en skyldighet att omedelbart rapportera misstänkta transaktioner och aktiviteter till Finanspolisen. Läs mer under fliken ”Övervakning och rapportering till Finanspolisen”.

Bevarande av handlingar inklusive behandling av personuppgifter

Som verksamhetsutövare ska du ha rutiner och riktlinjer för vilka handlingar och uppgifter som du sparar. Detsamma gäller för de personuppgifter som du behandlar.

De handlingar och uppgifter som ska sparas är:

• Dina åtgärder för att uppnå kundkännedom.
• Uppgifter om avvikelser eller misstänkta aktiviteter och transaktioner. Du ska spara uppgifterna oavsett om du har utfört transaktionen eller inte. Detsamma gäller om du har rapporterat avvikelsen till Finanspolisen eller inte. Din egen bedömning av den misstänkta aktiviteten och transaktionen ska också dokumenteras och sparas.
• Alla transaktioner som sker inom ramen för din affärsförbindelse med kunden eller vid enstaka transaktioner med kunder som du ska uppnå kundkännedom om.

Hur ska handlingarna och uppgifterna sparas?

Handlingarna och uppgifterna kan sparas elektroniskt eller i pappersform. Det viktiga är att de bevaras på ett betryggande sätt och att det framgår av dina rutiner och riktlinjer hur dina handlingar och uppgifter sparas. Handlingarna och uppgifterna ska också vara ordnade så att de är lättåtkomliga och sökbara. På begäran ska du kunna lämna uppgifterna till Polismyndigheten, Säkerhetspolisen, Länsstyrelsen eller någon annan behörig myndighet.

Som utgångspunkt ska du spara handlingarna och uppgifterna i fem år från det att transaktionen utfördes eller att affärsförbindelsen avslutades.

Dataskydd och personuppgifter

Som verksamhetsutövare under penningtvättsregelverket har du rätt att behandla personuppgifter för att uppfylla dina skyldigheter enligt penningtvättslagen och länsstyrelsens föreskrifter. Det innebär att ditt arbete mot penningtvätt och finansiering av terrorism har företräde framför bestämmelserna om hantering av personuppgifter i dataskyddsförordningen och dataskyddslagen.

Intern kontroll och ansvar för regelefterlevnad

Det är viktigt att det finns en intern ansvarsfördelning för att säkerställa att skyldigheterna enligt penningtvättslagen och länsstyrelsens föreskrifter fullgörs. Du ska därför ha rutiner och riktlinjer för intern kontroll i din verksamhet. Av rutinerna och riktlinjerna ska det framgå vilken eller vilka funktioner som har utsetts och vem som innehar respektive funktion. Det ska också framgå hur de interna kontrollerna genomförs för att säkerställa efterlevnaden av penningtvättsregelverket.

Beroende på verksamhetens storlek och art kan du behöva utse någon eller några av följande funktioner:

• En medlem av ledningsgruppen, verkställande direktören eller motsvarande som ansvarar för att företaget genomför de åtgärder som krävs enligt penningtvättslagen och länsstyrelsens föreskrifter.
• En centralt funktionsansvarig som ansvarar för att kontrollera att det finns riktlinjer, kontroller och förfaranden som effektivt hanterar verksamhetens risker för penningtvätt och finansiering av terrorism samt att rapportering sker till Finanspolisen.
• En oberoende granskningsfunktion som ansvarar för att granska de interna riktlinjer, kontroller och förfaranden som hanterar verksamhetens risker för penningtvätt och finansiering av terrorism.

Oavsett vad du driver för verksamhet och hur liten verksamheten är ska du utse en person som ansvarar för verksamhetens regelefterlevnad och interna kontroll samt rapportering till Finanspolisen.

Lämplighetsprövning av anställda

Dina rutiner och riktlinjer ska säkerställa att anställda, uppdragstagare eller någon annan som på liknande grund deltar i din verksamhet är lämpliga för de uppgifter som de ska utföra. Kontrollen av lämpligheten ska vara proportionerlig i förhållande till personens arbetsuppgifter och funktion samt riskerna i verksamheten. Lämplighetsprövningen kan i normalfallet utgå från sådana intyg, betyg, referenser och intervjuer som du som arbetsgivare normalt använder för att besluta i ett anställningsärende. Det kan också finnas situationer när det är motiverat med ytterligare kontroller av lämpligheten.

Skydd från hot, hämnd eller andra fientliga åtgärder samt repressalier

Det är viktigt att anställda, uppdragstagare eller någon annan som på liknande grund deltar i din verksamhet har en trygg och säker arbetsmiljö när de fullgör skyldigheter enligt penningtvättsregelverket. Som verksamhetsutövare är du skyldig att ha rutiner och riktlinjer samt vidta de åtgärder som behövs för att skydda de som deltar i din verksamhet från hotfulla och obehagliga situationer. Omfattningen av rutinerna och riktlinjerna för skydd från hot, hämnd eller andra fientliga åtgärder bestäms av den allmänna riskbedömningen, eventuell hotbild, verksamhetens art och liknande omständigheter.

Du som verksamhetsutövare får inte utsätta anställda, uppdragstagare eller någon annan som på liknande grund deltar i din verksamhet för repressalier på grund av att personen har agerat i enlighet med penningtvättsregelverket. Om du som verksamhetsutövare vidtar repressalier kan det utgöra grund för skadeståndsanspråk.

Visselblåsarfunktion

Du ska se till att anställda, uppdragstagare och andra som på liknande grund deltar i verksamheten som vill göra anmälningar om misstänkta överträdelser av penningtvättslagen och länsstyrelsens föreskrifter i din verksamhet kan göra det.

Utbildning och information

Utbildning och information till dina anställda och uppdragstagare ska utformas utifrån de risker som du har identifierat i din allmänna riskbedömning. Utbildningens innehåll och frekvens ska också anpassas utifrån de anställdas och uppdragstagarnas arbetsuppgifter och funktioner. De genomförda utbildningarna ska dokumenteras. Av dokumentationen ska det framgå vad utbildningen innehöll, namnen på deltagarna samt datumet för utbildningen.

Som verksamhetsutövare ska du bedöma riskerna för penningtvätt och finansiering av terrorism i varje kundrelation. Kunden ska tilldelas en så kallad riskprofil. Om du bedömer att det är en lågriskkund eller högriskkund påverkar omfattningen av de åtgärder du måste vidta för att uppnå kundkännedom.

Utgångspunkten när du bedömer riskerna med en enskild kundrelation är vad som kommer fram om kunden innan ni genomför en transaktion eller ingår en affärsförbindelse. Att känna till en affärsförbindelses syfte och art är nödvändigt för att du ska kunna ta ställning till vilka risker som finns med kundrelationen. För att kunna fastställa riskprofilen behöver du koppla vad du känner till om kundrelationen med de riskfaktorer – kundkategori, distributionskanaler och geografiska faktorer – som du har identifierat i den allmänna riskbedömningen.