Mener Tilsynsrådet stiller for kompliserte hvitvaskingskrav - uten å gi god veiledning

Tidligere denne uken arrangerte Advokatforeningen en antihvitvaskingsdag i Oslo. Blant punktene på programmet var god risikovurdering- og rutiner, tilsynspraksis, klientkonto-fallgruver og sanksjonsetterlevelse.

- Hvitvaskingsregelverket er krevende, komplisert og har mange skjønnsbaserte elementer, sa generalsekretær Merete Smith i Advokatforeningen da hun åpnet konferansen.

- Vårt mål er å bidra til å øke forståelsen for regelverket og hva som er den beste måten å etterleve det på akkurat i din virksomhet. Vi håper også at dagen blir en god arena der advokatbransjen, tilsyn og myndigheter møter hverandre og snakker sammen om felles utfordringer. Hvitvasking er et samfunnsproblem som vi må løse sammen, sa Smith foran de om lag 150 kursdeltagerne.

Assisterende direktør Jonas Haugsvold i Tilsynsrådet og revisor Kjetil Andersen i EY  holdt innlegg om Tilsynsrådets forventninger til hva som er en god virksomhetsinnrettet risikovurdering, og om hvilke forventinger man har til advokatfirmaenes rutiner på området.

- Hvitvasking skjer i advokatfirmaer i Norge. Vi avdekker jevnlig transaksjoner som vi mener burde vært rapportert til Økokrim, innledet Haugsvold.

- Underkommuniserer risikoen for hvitvasking

Hvitvaskingsloven § 7 stiller krav om at alle «rapporteringspliktige» skal utarbeide en virksomhetsinnrettet risikovurdering, og på dette punktet er det rom for forbedringer i mange advokatselskaper, mener Tilsynsrådet.

- Jeg har lest svært mange risikovurderinger fra mange type advokatfirmaer, og jeg sitter igjen med en følelse av at en god del prøver å underkommunisere risikoen for hvitvasking, sa Haugsvold.

Det første spørsmålet et advokatfirma skal stille seg, er hvorfor  risikovurderingen er viktig, sa han.

- Vi forventer at dere vet svaret på dette spørsmålet. Risikovurderingen er grunnlaget for håndteringen av risiko, for utarbeidelse av rutiner som skal implementeres i virksomheten, og for etterlevelse og kontroll med at rutinene følges. Vi ønsker å vite hvilke internundersøkelser dere iverksetter for å se om advokatene følger rutinene, og hva slags opplæringsrutiner firmaet har. 

- Vil ikke gjette oss frem til et svar

Det neste spørsmålet advokatfirmaet må ha et svar på ved tilsyn, er hva som er formålet med risikovurderingen, fortsatte Haugsvold.

- Formålet skal synliggjøre hvor i virksomheten risikoen befinner seg, og hvordan advokaten vurderer den. Begge disse vurderingene må formuleres skriftlig i et dokument dere må legge frem hvis vi skulle komme på tilsyn. Når vi leser risikovurderinger har vi en forventning om at vi skal skjønne svaret på disse spørsmålene ganske intuitivt, vi skal ikke måtte tippe oss frem, sa Haugsvold.

Antihvitvaskingsdagen

Antihvitvaskingsdagen ble arrangert av Advokatforeningen med bistand fra ekspertgruppen mot hvitvasking.

I gruppen sitter Susanne Munch Thore (leder), Jan L. Backer, Thomas Brandi, Einar Edin, Tore Mydske, Kristine Frivold Rørholt, Kjersti T. Trøbråten og Sicilie Tveøy.

At risikovurderingen også forteller om og definerer høyrisikooppdragene, er viktig, og noe Tilsynsrådet ved tilsyn vil se etter, understreket han.

Det er særlig to punkter som utmerker seg som å ha stor risiko; bruken av klientkontoer og eiendomsmegling; og disse to punktene forventer Tilsynsrådet at advokatfirmaer behandler særskilt i sine risikovurderinger.

Forventer stor detaljgrad hos store firmaer

Tilsynsrådet har ulike forventninger avhengig av firmaets størrelse og type.

- Vi forventer ikke så veldig mye av de foretakene som har svært få eller så å si ingen av de oppdragene som faller innunder hvitvaskingslovens område. Et godt tips er uansett å gå gjennom klientbankkontoen for å se hva slags transaksjoner som ligger der, behandle disse og beskrive disse i risikovurderingen.

Fra større virksomheter, derimot, forventer Tilsynsrådet mye mer.

- I større selskaper forventer vi en ganske stor detaljgrad, og at ulike oppdrag som faller innenfor hvitvaskingsloven område er analysert på en god og oversiktlig måte. 

- Risikoen må spesifiseres

Tilsynsrådet ser en del svakheter ved tilsyn, fortalte Haugsvold.

En slik svakhet er firmaets arbeidsmetode i utarbeidelse av risikovurderingen.

- Hos noen er vurderingen en teoretisk skrivebordsøvelse forbeholdt en eller to nøkkelpersoner i firmaet. Denne metoden fungerer ikke, i hvert fall ikke i de større foretakene. Mitt råd er at dere bør trekke inn langt flere advokater og bruke dem aktivt for å definere risikoområder. 

- Neste punkt er beskrivelser og systematikk: Her ser vi gjennomgående svakheter i forbindelse med tilsyn. Ofte er ikke kunder og oppdrag detaljert i tilstrekkelig grad, og ikke systematisert. Det kan for eksempel være store forskjeller på risikoen i ulike typer eiendomsoppdrag. 

- Det samme gjelder bruk av klientkonto. Det er en svakhet hvis kontoen nevnes i risikovurderingen, uten at det sies noe om hva slags risiko det handler om.

Analysedelen av vurderingen kan være en vanskelig øvelse, medga Haugsvold.

- Det er viktig å konkludere hva slags risiko man har innenfor de ulike kategoriene. Jeg råder dere også sterkt til å sette dere inn i Finanstilsynets krav.

Kompliserte eierstrukturer, restrisiko, etterlevelsesrisiko og interne sårbarheter var andre punkter der Tilsynsrådet ofte ser svakheter i selskapenes risikovurderinger.

- Ser svakheter i rutinene

Ifølge hvitvaskingsloven § 8 skal rapporteringspliktige advokatforetak utarbeide rutiner for å sikre at virksomheten håndterer identifisert risiko og oppfyller sine plikter etter loven.

Også her ser Tilsynsrådet en del svakheter, ifølge revisor Kjetil Andersen i EY. Han har, på vegne av Tilsynsrådet, i en årrekke gjennomført tilsyn i advokatselskaper.

- Ofte ser vi at rutinene ikke er spesielt tilpasset virksomheten, i den forstand at de i liten grad konkretiserer hva man skal gjøre i de ulike tilfellene. Husk at poenget med rutinene er at den enkelte advokat skal finne nytte i dem. Det er også viktig å ha forståelse for hva som faller innunder og hva som faller utenfor hvitvaskingsloven,  sa Andersen.

- Umulig å følge opp kravene

Fra salen fikk Haugsvold og Andersen spørsmål om hvilke forventninger Tilsynsrådet har til advokatenes rutiner for å avdekke om en politisk eksponert person, en såkalt PEP, er involvert i en transaksjon.

- Det er vanskelig å legge en generell rutine for dere på dette punktet, medga Haugsvold. 

- Spørsmålet er vel egentlig om det er en PEP som prøver å gjemme seg. Ved risiko, og spesielt hvis det gjelder norske PEP'er, så går det an å gjøre google-søk. Vi har ikke noe PEP-register i Norge foreløpig, og risikoen er høyere internasjonalt, så der forventer vi nok en screening mot ett eller annet system, det må dere vurdere, sa Andersen.

- Dere kommer med masse krav som er umulige å følge opp. Kravene er mye større enn det finnes praktiske muligheter å løse, sa en av advokatene i salen.

- Du må gjøre det du kan for å avdekke om en person er PEP, og du må dokumentere det du har gjort, hva du er blitt kjent med, oppdraget, og utfordringene. 

- Som å skrelle en løk

- Hvis det faktisk er snakk om et forsøk på hvitvasking, så vil det vel ikke være tilstrekkelig med et google-søk, sa en annen advokat i salen.

- Det kommer an på hvilke andre risikoer det er i oppdraget ditt. Du må ha gjort deg opp en formening av hvor risikoen ligger, og hvor langt du har gått i å vurdere det. Det blir som å skrelle en løk, du må inn til kjernen. Den delen er det du og rutinene som må ta. Om det er tilstrekkelig med et google-søk, kommer an på alt annet du vet om oppdraget. Jeg beklager at jeg ikke kan være veldig konkret og si «gjør det du, så vil du alltid gå fri». Det kan vi ikke si, for vi greier ikke å se hva du må gjøre, sa Andersen.

Assisterende direktør Jonas Haugsvold beklaget at han og Andersen ikke klarte å svare på spørsmålet om hva som er gode rutiner på dette punktet.

- Det er der problemet ligger, som dere må jobbe med. Forhåpentligvis har vi gitt dere innspill på punkter der vi finner svakheter. Og det er vel der rutinen blir skjønnsmessig. Problemet er i høyrisiko-oppdragene: Rådet fra oss er å jobbe med den delen av rutinen som handler om disse, og være konkrete.

- Savner offentlighet i tilsynsrapportene

Senere på dagen deltok Haugsvold og Andersen i en panelsamtale med advokat Kjersti T. Trøbråten i Wiersholm og med Carine Lindman-Johannesen, partner i Lindman Advokatfirma. Hun var tidligere juridisk direktør i Santander Consumer Bank, og har lang erfaring med compliance-arbeid.

Samtalen ble ledet av  Hugo Munthe-Kaas, partner og Head of Compliance i DLA Piper, som også var dagens vert.

- Vi har hørt en frustrasjon fra deltagerne her i dag. Man opplever en mangel på konkret veiledning fra Tilsynsrådets side, og det som står i Tilsynsrådets veileder om hvitvasking, er veldig generelt. Videre er det veldig lite offentlighet i tilsynsrapportene, sa Lindeman-Johannesen.

Finanstilsynet, derimot, offentliggjør alle tilsynsrapporter i anonymisert form, slik at man kan se helt konkret hva som blir kritisert, påpekte hun.

- Jeg etterlyser mer konkretisering i veilederen. Det må være mulig å si noe om risikobildet for den gjengse advokat, og noe om hvor terskelen ligger for den enkelte advokat. Det er ikke lett å skrive konkrete rutiner basert på det som står i veilederen, sa Lindeman-Johannesen.

Jonas Haugsvold fortalte at Tilsynsrådet arbeider med en oppdatering av veilederen.

- Vi må ta til oss den kritikken som kommer når det gjelder veiledning på dette feltet. Det er et godt innspill å offentliggjøre vedtak, da det jo ligger læring i vedtakene, sa han.

En manglende forbindelse 

Hugo Munthe-Kaas spurte Tilsynsrådet om det er mulig å gi noen minimumskrav til risikovurderingen.

- Hvis jeg kunne svare ja på det, så hadde vi kanskje ikke brukt så mye tid på det. Min tommelfingerregel er å få en utenforstående, som ikke kjenner butikken så godt, til å lese gjennom risikovurderingen, og spørre: Forstår du hvor risikoen er? For det vi ofte savner, er en slags analyse av i hvilken grad risikoanalysen er aktuell for den bestemte virksomheten. Linken mellom generelle risikofaktorer og virksomhetens risikofaktorer, mangler ofte i praksis, sa Haugsvold.

Arbeidskrevende tilsyn

Kjersti T. Trøbråten delte erfaringer Wiersholm gjorde seg da firmaet hadde tilsynsbesøk for halvannet år siden.

- Vår opplevelse var at diskusjonen om hva som var taushetsbelagt, hva som skulle oversendes, og så videre, gikk veldig greit. Det vi synes var utfordrende, var datamengden. Vi ble bedt om å sende inn et enormt omfang av kundelister og transaksjonsoversikter, sa Trøbråten.

- Fra siste dokumentforespørsel til foreløpig rapport gikk det ni måneder. Du får detaljerte spørsmål om hvorfor man ikke gjorde slik og slik. Det tar mye ressurser å gå tilbake i oppdrag som ble utført for flere år siden. Dette var smått frustrerende, og det er ganske dyrt, og ganske tidkrevende, å være under tilsyn.