Rutiner, kontroll og opplæring

Hvorfor dette er foretakets ansvar

Kundetiltakene gjør du i hvert oppdrag. Men det er foretaket som skal sørge for at alle meglerne gjør dem riktig og likt. Når megleren er ansatt, er det bare foretaket som har pliktene om risikovurdering, rutiner, internkontroll og opplæring. Det står i artikkelen om hvem som er rapporteringspliktig.

Alt starter med foretakets risikovurdering. Foretaket kartlegger hvordan det kan bli brukt til hvitvasking, og rutinene skal svare på risikoen det har funnet. Hvordan vurderingen lages, står i artikkelen om risikobasert tilnærming.

Veiledning: Rundskriv 11/2019 punkt 4 og 5

Skriftlige rutiner

Foretaket skal ha oppdaterte rutiner som sørger for at det håndterer risikoen det har funnet, og at det følger loven. Rutinene skal passe til virksomhetens art og omfang. De skal dokumenteres, kunne legges frem for tilsynet og være fastsatt på øverste nivå i foretaket. I et meglerforetak er det styret.

Hjemmel: Hvitvaskingsloven § 8 første til fjerde ledd

Veiledning: Rundskriv 11/2019 punkt 5

Rutinene skal si hvordan foretaket og de ansatte gjør det loven krever. Finanstilsynet regner opp hva de minst må dekke. For en megler er dette de viktigste:

• kundetiltak for både oppdragsgiveren og motparten, med PEP, identitet, reelle rettighetshavere og formålet med handelen
• hvordan du finner tegn på mistenkelige forhold, særlig ved innbetalinger til klientkonto
• risikoklassifisering i hvert oppdrag
• når forenklede, vanlige og forsterkede tiltak skal brukes
• løpende oppfølging av oppdrag som varer mer enn seks måneder
• når en kunde skal avvises eller kundeforholdet avvikles
• når og hvordan du undersøker nærmere, og hvordan saken meldes til Økokrim
• hvordan opplysninger lagres og deles, og hvordan avsløringsforbudet håndteres
• opplæring og internkontroll

Veiledning: Rundskriv 11/2019 punkt 5

Finanstilsynet sier at det må være en tydelig sammenheng mellom risikovurderingen og rutinene. En mal fra kjeden, en franchisegiver eller en bransjeforening kan brukes, men den skal tilpasses foretakets egen risiko og virksomhet.

Veiledning: Rundskriv 4/2022 punkt 2.3.1

Veiledning: Rundskriv 11/2019 punkt 5

Hvitvaskingsansvarlig

Foretaket skal peke ut en person i ledelsen som har et særskilt ansvar for å følge opp rutinene. Personen kalles gjerne hvitvaskingsansvarlig.

Hjemmel: Hvitvaskingsloven § 8 femte ledd

Hvitvaskingsansvarlig skal sørge for at rutinene blir fulgt, og har også ansvaret for at mistenkelige forhold blir meldt til Økokrim. Personen må kjenne regelverket og foretakets risiko, og ha erfaring og gjennomføringskraft nok til å ta avgjørelser. Hvitvaskingsansvarlig skal kunne rapportere direkte til styret og den øverste ledelsen.

Veiledning: Rundskriv 4/2022 punkt 3.2.1

I et lite foretak mener Finanstilsynet at hvitvaskingsansvarlig må sitte i den øverste ledelsen. Oppgavene kan delegeres til andre i foretaket. Da skal det være klart hvilken person eller stilling som har fått hvilken oppgave, og hvitvaskingsansvarlig må fortsatt ha kontroll med at oppgavene blir gjort.

Veiledning: Rundskriv 4/2022 punkt 3.2.1

Veiledning: Rundskriv 11/2019 punkt 6

For deg som megler betyr det at du vet hvem du skal gå til når noe skurrer. Det skal stå i rutinene.

Styret og rapportering

Styret har det øverste ansvaret for at foretaket følger hvitvaskingsregelverket. Styret fastsetter rutinene, og bør minst én gang i året ta stilling til om de må endres. Rutinene skal også revideres når risikovurderingen endres, når regelverket endres, eller når virksomheten endrer seg.

Veiledning: Rundskriv 4/2022 punkt 3.2.1

Veiledning: Rundskriv 11/2019 punkt 5

Etterlevelsen skal være med i foretakets kontrollplaner og rapporteres til styret. Loven sier ikke hvor ofte. Mange foretak lar hvitvaskingsansvarlig rapportere på hvert styremøte, med hvor mange tegn på hvitvasking meglerne har funnet, og hvordan de er fulgt opp.

Veiledning: Rundskriv 11/2019 punkt 5

Internkontroll

Foretaket skal gjennom internkontroll sørge for at loven blir fulgt.

Hjemmel: Hvitvaskingsloven § 35 første ledd

I praksis betyr det at noen går gjennom oppdrag som er avsluttet eller pågår, og sjekker at kundetiltakene er gjort. Finanstilsynet sier at kontrollen minst skal se på om megleren har:

• kontrollert identiteten til både selger og kjøper
• funnet og bekreftet de reelle rettighetshaverne
• avklart PEP-status
• hentet inn opplysninger om formålet med handelen fra begge partene
• klassifisert risikoen for begge partene og for transaksjonen
• sjekket at det er kjøperen som betaler inn, og selgeren som får utbetalt
• hentet inn nok informasjon til å se om noe er mistenkelig, undersøkt det som skurret, og meldt når det var nødvendig

Hvor ofte og hvor mye som kontrolleres, avhenger av foretakets art og omfang og av hvor godt de ansatte kan regelverket. Oppdrag med høy risiko bør alltid kontrolleres.

Veiledning: Rundskriv 11/2019 punkt 5

Kontrollen har bare verdi hvis feilene følges opp. Finner kontrollen mange, alvorlige eller gjentatte feil, må foretaket finne ut hvor omfattende de er, rette dem og sørge for at de ikke skjer igjen. Etterpå skal foretaket sjekke at tiltakene virket.

Veiledning: Rundskriv 11/2019 punkt 5

Veiledning: Rundskriv 4/2022 punkt 3.1

Er foretaket stort nok, eller er risikoen høy nok, kan loven også kreve en egen etterlevelsesansvarlig, skikkethetsvurdering av ansatte og en uavhengig kontroll. De fleste meglerforetak må vurdere dette selv.

Hjemmel: Hvitvaskingsloven § 35 annet ledd

Et eksempel: kontrollen i Bekkdal Eiendomsmegling

Foretaket og personene er oppdiktet. Bekkdal Eiendomsmegling AS har seks meglere. Hvitvaskingsansvarlig er daglig leder, Mette Aune. Rutinene sier at hun hvert kvartal kontrollerer fem tilfeldige oppdrag per megler, og alle oppdrag med høy risiko.

I tredje kvartal finner hun tre oppdrag der kjøperen ikke har svart på spørsmålet om PEP. Alle tre har samme megler, som begynte i foretaket i sommer. Mette går gjennom resten av meglerens oppdrag og finner to til. Hun innhenter egenerklæringene som mangler, gir megleren opplæring i PEP-rutinen og legger alle meglerens oppdrag i neste kvartals kontroll. Hun skriver ned funnet og tiltakene, og tar det med i rapporten til styret.

Kontrollen fant feilen. Opplæringen av nyansatte burde ha hindret den.

Opplæring

Foretaket skal sørge for at ansatte og andre som utfører oppdrag for det, får opplæring. Målet er at de kjenner pliktene foretaket har etter loven, og at de kan kjenne igjen forhold som kan tyde på hvitvasking og terrorfinansiering. Opplæringen skal gis jevnlig, så kunnskapen holdes ved like.

Hjemmel: Hvitvaskingsloven § 36

Finanstilsynet sier mer om hva som er nok:

• Alle. Alle skal kjenne de grunnleggende kravene i loven, hvorfor reglene finnes, og hvilken rolle foretaket har i arbeidet mot hvitvasking.
• Tilpasset jobben. Opplæringen skal passe til det den enkelte gjør. Meglere skal lære rutinene som gjelder egne oppdrag, og hvor de kan få hjelp når de står fast.
• Tegnene. Ansatte skal lære indikatorlistene og kjennetegnene som gjelder eiendomsmegling.
• Verktøyene. Den som bruker digitale verktøy, skal vite hvordan de brukes, hvilke svakheter de har, og hvilke manuelle kontroller som må gjøres i tillegg.
• Nyansatte. De skal få en innføring når de begynner.
• Styret og ledelsen. De skal ha opplæring tilpasset sin rolle og sitt ansvar.

Veiledning: Rundskriv 11/2019 punkt 21

Veiledning: Rundskriv 4/2022 punkt 10.1

Foretaket skal kunne vise at opplæringen er gitt. Det krever en opplæringsplan og dokumentasjon av hva opplæringen inneholdt og hvem som fikk den.

Veiledning: Rundskriv 11/2019 punkt 21

Hva tilsynet ser etter

Når Finanstilsynet kommer på tilsyn, vil det se om foretaket har orden i eget hus. Foretaket bør kunne legge frem:

• en risikovurdering som er laget for foretaket, og som er oppdatert
• skriftlige rutiner som henger sammen med risikovurderingen, og som styret har fastsatt
• hvem som er hvitvaskingsansvarlig, og hvilke oppgaver som er delegert
• rapporter fra internkontrollen, og hva som ble gjort med feilene
• opplæringsplanen, og hvem som har fått opplæring og når
• risikoklassifisering og kundetiltak i de enkelte oppdragene

Veiledning: Rundskriv 11/2019 punkt 4, 5, 6 og 21

Rutinene og risikovurderingen er også blant det tilsynet skal se på hvis et brudd kan gi overtredelsesgebyr.

Hjemmel: Hvitvaskingsloven § 50 bokstav d