Skapa rutiner och riktlinjer

Övervakning och rapportering till Finanspolisen

Av dina rutiner och riktlinjer ska det framgå att

• du ska övervaka dina pågående affärsrelationer och bedöma enstaka transaktioner
• en affärsförbindelse inte får etableras och att en transaktion inte får utföras om du misstänker att produkterna eller tjänsterna kommer att användas för penningtvätt eller finansiering av terrorism
• du har en skyldighet att omedelbart rapportera misstänkta transaktioner och aktiviteter till Finanspolisen.

Portal för inrapportering i goAML, Finanspolisen Länk till annan webbplats.

Bevarande av handlingar inklusive behandling av personuppgifter

Som verksamhetsutövare ska du ha rutiner och riktlinjer för vilka handlingar och uppgifter som du sparar. Detsamma gäller för de personuppgifter som du behandlar.

De handlingar och uppgifter som ska sparas är:

• Dina åtgärder för att uppnå kundkännedom.
• Uppgifter om avvikelser eller misstänkta aktiviteter och transaktioner. Du ska spara uppgifterna oavsett om du har utfört transaktionen eller inte. Detsamma gäller om du har rapporterat avvikelsen till Finanspolisen eller inte. Din egen bedömning av den misstänkta aktiviteten och transaktionen ska också dokumenteras och sparas.
• Alla transaktioner som sker inom ramen för din affärsförbindelse med kunden eller vid enstaka transaktioner med kunder som du ska uppnå kundkännedom om.

Hur ska handlingarna och uppgifterna sparas?

Handlingarna och uppgifterna kan sparas elektroniskt eller i pappersform. Det viktiga är att de bevaras på ett betryggande sätt och att det framgår av dina rutiner och riktlinjer hur dina handlingar och uppgifter sparas. Handlingarna och uppgifterna ska också vara ordnade så att de är lättåtkomliga och sökbara. Du kunna lämna uppgifterna till Polismyndigheten, Säkerhetspolisen, länsstyrelsen eller någon annan behörig myndighet på begäran.

Som utgångspunkt ska du spara handlingarna och uppgifterna i fem år från det att transaktionen utfördes eller att affärsförbindelsen avslutades.

Dataskydd och personuppgifter

Som verksamhetsutövare under penningtvättsregelverket har du rätt att behandla personuppgifter för att uppfylla dina skyldigheter enligt penningtvättslagen och länsstyrelsens föreskrifter. Det innebär att ditt arbete mot penningtvätt och finansiering av terrorism har företräde framför bestämmelserna om hantering av personuppgifter i dataskyddsförordningen och dataskyddslagen.

Intern kontroll och ansvar för regelefterlevnad

Det är viktigt att det finns en intern ansvarsfördelning för att säkerställa att skyldigheterna enligt penningtvättslagen och länsstyrelsens föreskrifter fullgörs. Du ska därför ha rutiner och riktlinjer för intern kontroll i din verksamhet. Av rutinerna och riktlinjerna ska det framgå vilken eller vilka funktioner som har utsetts och vem som innehar respektive funktion. Det ska också framgå hur de interna kontrollerna genomförs för att säkerställa efterlevnaden av penningtvättsregelverket.

Beroende på verksamhetens storlek och art kan du behöva utse någon eller några av följande funktioner:

• En medlem av ledningsgruppen, verkställande direktören eller motsvarande som ansvarar för att företaget genomför de åtgärder som krävs enligt penningtvättslagen och länsstyrelsens föreskrifter.
• En centralt funktionsansvarig som ansvarar för att kontrollera att det finns riktlinjer, kontroller och förfaranden som effektivt hanterar verksamhetens risker för penningtvätt och finansiering av terrorism samt att rapportering sker till Finanspolisen.
• En oberoende granskningsfunktion som ansvarar för att granska de interna riktlinjer, kontroller och förfaranden som syftar till att verksamheten fullgör sina skyldigheter enligt penningtvättsregelverket.

Oavsett vad du driver för verksamhet och hur liten verksamheten är ska du utse en person som ansvarar för verksamhetens regelefterlevnad och interna kontroll samt rapportering till Finanspolisen.

Lämplighetsprövning av anställda

Dina rutiner och riktlinjer ska säkerställa att anställda, uppdragstagare eller någon annan som på liknande grund deltar i din verksamhet är lämpliga för de uppgifter som de ska utföra. Kontrollen av lämpligheten ska vara proportionerlig i förhållande till personens arbetsuppgifter och funktion samt riskerna i verksamheten. Lämplighetsprövningen kan i normalfallet utgå från sådana intyg, betyg, referenser och intervjuer som du som arbetsgivare normalt använder för att besluta i ett anställningsärende. Det kan också finnas situationer när det är motiverat med ytterligare kontroller av lämpligheten.

Skydd från hot, hämnd eller andra fientliga åtgärder samt repressalier

Det är viktigt att anställda, uppdragstagare eller någon annan som på liknande grund deltar i din verksamhet har en trygg och säker arbetsmiljö när de fullgör skyldigheter enligt penningtvättsregelverket. Som verksamhetsutövare är du skyldig att ha rutiner och riktlinjer samt vidta de åtgärder som behövs för att skydda de som deltar i din verksamhet från hotfulla och obehagliga situationer. Omfattningen av rutinerna och riktlinjerna för skydd från hot, hämnd eller andra fientliga åtgärder bestäms av den allmänna riskbedömningen, eventuell hotbild, verksamhetens art och liknande omständigheter.

Du som verksamhetsutövare får inte utsätta anställda, uppdragstagare eller någon annan som på liknande grund deltar i din verksamhet för repressalier på grund av att personen har agerat i enlighet med penningtvättsregelverket. Om du som verksamhetsutövare vidtar repressalier kan det utgöra grund för skadeståndsanspråk.

Visselblåsarfunktion

Du ska se till att anställda, uppdragstagare och andra som på liknande grund deltar i verksamheten som vill göra anmälningar om misstänkta överträdelser av penningtvättslagen och länsstyrelsens föreskrifter i din verksamhet kan göra det.

Utbildning och information

Utbildning och information till dina anställda och uppdragstagare ska utformas utifrån de risker som du har identifierat i din allmänna riskbedömning. Utbildningens innehåll och frekvens ska också anpassas utifrån de anställdas och uppdragstagarnas arbetsuppgifter och funktioner. De genomförda utbildningarna ska dokumenteras. Av dokumentationen ska det framgå vad utbildningen innehöll, namnen på deltagarna samt datumet för utbildningen.