Riktlinjer för Allmän Riskbedömning

2.1. Det första steget i den allmänna riskbedömningen är att identifiera de interna sårbarheterna genom att fastställa de exakta produkterna och/eller tjänsterna som tillhandahålls i verksamhetsutövarens verksamhet.

2.2. Till exempel, skatterådgivning, bokföringstjänster, upprättning av årsredovisningar, fastighet och förvaltningplanering, revision av årsredovisningar, skatteplanering, assistans i fusioner och förvärv, etc.

2.3. När produkterna/tjänsterna har identifierats är det nödvändigt att identifiera de som är sårbara för försök till penningtvätt eller finansiering av terrorism. Följande frågor kan användas för att identifiera sårbarheterna:

• Tillåter produkten eller tjänsten att kunden förblir anonym?
• Tillåter produkten eller tjänsten att dölja vem som egentligen äger verksamheten eller kontot?
• Tillåter produkten eller tjänsten att dölja källan till kundens förmögenhet eller medel?
• Tillåter produkten eller tjänsten betalningar från eller till okända tredje parter?
• Är produkten eller tjänsten ofta förknippad med kontantbetalningar?
• Har produkten eller tjänsten identifierats som en högre risk för penningtvätt eller finansiering av terrorism?
• Gör produkten eller tjänsten det lätt att flytta pengar mellan länder?

2.4. Exempel på låga riskfaktorer relaterade till produkter/tjänster (Annex II of the 5th AML Directive):

• Livförsäkringar där premien är låg
• Pensionsförsäkringar om det inte finns någon möjlighet till tidigt återköp och försäkringen inte kan användas som säkerhet
• Pensionssystem eller liknande program som ger pension till anställda, där bidragen dras från löner och programmet inte tillåter att förmånerna överförs till någon annan
• Finansiella produkter eller tjänster som erbjuder specifika och begränsade alternativ till vissa grupper av människor för att öka tillgången för finansiell inkludering
• Produkter där riskerna för penningtvätt och finansiering av terrorism hanteras av andra faktorer, såsom gränser för betalningsbelopp eller transparens av ägandeskap (t.ex. vissa typer av elektroniska pengar)

2.5. Exempel på höga riskfaktorer relaterade till produkter/tjänster (Annex III of the 5th AML Directive):

• Privatbanks Tjänster
• Produkter eller tjänster som gynnar anonymitet, såsom köp/försäljning av innehavaraktier eller transaktioner utan direkt kontakt med den slutliga mottagaren,
• Produkter eller tjänster som ger möjlighet att ta emot betalningar från en okänd tredje part,
• Produkter eller tjänster som använder ny teknik som ännu inte har reglerats,
• Transaktioner som rör olja, vapen, ädelmetaller, tobaksprodukter, kulturella artefakter av arkeologisk, historisk, kulturell eller religiös betydelse, eller elfenben och skyddade arter.

2.6. När sårbarheterna kopplade till produkterna och tjänsterna har identifierats, måste FÖRETAGET fastställa de externa riskfaktorer som kan uppstå vid tillhandahållandet av dessa tjänster/produkter. De måste ta hänsyn till följande riskfaktorer (kapitel 2 § 1 i Lag (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism):

1. Kundrelaterade riskfaktorer: Genom att ta hänsyn till de övergripande riskerna som är förknippade med de typer av kunder som produkterna och tjänsterna riktar sig till.
2. Riskfaktorer för distributionskanaler: Genom att ta hänsyn till riskerna kopplade till de sätt på vilka produkterna eller tjänsterna levereras till kunden.
3. Geografiska riskfaktorer: Genom att ta hänsyn till riskerna baserade på de regioner eller länder där produkterna/tjänsterna erbjuds, och där kunderna är belägna.

3.1. Verksamhetsutövaren måste först identifiera vilka typer av kunder de produkter/tjänster som identifierats i steg 1 riktar sig mot. I detta skede tas en övergripande bedömning i beaktande. Individuella kundrelationer hanteras separat baserat på de individuella riskbedömningarna, enligt bestämmelserna i kapitel 2, § 3 – § 5 i Lag (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism.

3.2. Exempel på kundtyper:

• Personer med hög nettoförmögenhet
• Ideella organisationer
• Företag i kontantintensiva verksamheter (restauranger, kasinon, etc.)
• Utländska kunder
• Flera lager av företagsstrukturer
• SaaS företag
• Kunder inom specifika branscher (som lyxvaror, konsthandel, etc.)

3.3. Efter att kundtyperna har identifierats kan verksamhetsutövaren identifiera riskerna som är kopplade till varje kategori. Följande frågor kan användas för att identifiera sårbarheterna:

• Är de en trust eller någon annan typ av juridisk konstruktion?
• Ägnar de sig vanligtvis åt tillfälliga eller enstaka aktiviteter som överstiger en viss tröskel?
• Använder de ovanligt komplexa affärsstrukturer utan uppenbara ekonomiska eller juridiska fördelar?
• Är de politiskt utsatta personer (PEP)?
• Driver de en verksamhet som huvudsakligen hanterar kontanttransaktioner?
• Är de involverade i branscher som är kända för att ha en hög nivå av korruption?
• Kunder inom specifika branscher (som lyxvaror, konsthandel, etc.)

3.4. Exempel på låga kundrelaterade riskfaktorer (Annex II of the 5th AML Directive):

• Publika företag som är noterade på en börs inom EU,
• Offentliga förvaltningar eller statligt ägda företag,
• Kunder som är bosatta i geografiska områden med lägre risk (se avsnitt 3 i riktlinjerna).

3.5. Exempel på höga kundrelaterade riskfaktorer (Annex III of the 5th AML Directive)

• Kunder som beter sig ovanligt, t.ex. genom att vägra att träffas personligen, vara undvikande eller svåra att nå utan en rimlig förklaring, eller begära att tjänster ska utföras på ovanligt kort tid utan en giltig anledning.
• Kunder som är baserade i geografiska högriskområden (se avsnitt 3 i riktlinjerna).
• Kunder som hanterar stora mängder kontanter.
• Kunder från branscher med hög risk för penningtvätt, t.ex. kasinon, byggsektorn och restaurangverksamhet.
• Kunder med komplexa eller oklara ägarstrukturer, såsom: oförklarad användning av brevlådeföretag, juridiska enheter med ägande via ombud eller innehavaraktier, juridiska personer som delar bolagsbildning och tillgångsförvaltning över olika länder utan en tydlig juridisk eller kommersiell anledning.
• Politiskt utsatta personer (PEPs) och personer som står dem nära, såsom familjemedlemmar.

4.1. Verksamhetsutövaren måste först identifiera hur den levererar sina produkter och tjänster till sina kunder. Distributionskanalerna avser hur kundrelationer etableras och hur produkterna och tjänsterna levereras till kunden.

4.2. Exempel på distributionskanaler:

• Fysiska möten
• Distans och digitala tjänster
• Tredjepartsförmedlare
• Underleverantör
• Självbetjäning genom en plattform

4.3. När distributionskanalerna har identifierats kan VERKSAMHETEN identifiera de risker som är kopplade till varje kategori. Risknivån för distributionskanaler kan bedömas baserat på svaren på följande frågor:

• Hur onboardas kunderna?
• Hur tillhandahålls tjänsterna vanligtvis (e-post, telefon, möten, brev, etc.)?
• Vilka skyddsåtgärder finns på plats när kundrelationen inte involverar fysisk kontakt? Är några andra parter involverade i mitten av kundrelationen?

4.4. Exempel på lågriskfaktorer för distributionskanaler:

• Inget involverande av tredjepartsförmedlare
• Direkta, fysiska interaktioner eller, när de sker på distans, genomförs med rätt skyddsåtgärder på plats (t.ex. elektroniska identifieringsmedel och förtroendetjänster enligt förordning (EU) nr 910/2014)
• Användning av säkra online-tjänster med tillräckliga digitala säkerhetsåtgärder
• Betalningar från pålitliga och betrodda finansiella institutioner.

4.5. Exempel på högriskfaktorer för distributionskanaler (annex III of 5th AML Directive):

• Affärsrelationer utan fysiskt möte utan skyddsåtgärder som elektroniska identifieringsmedel, användning av förtroendetjänster enligt förordning (EU) no 910/2014 eller någon annan säker, fjärrmetod och godkänd metod erkänd av relevanta nationella myndigheter
• Betalningar mottagna från orelaterade och okända tredje parter
• Betalningar mottagna i kontanter när kontanter inte skulle vara den typiska betalningsmetoden.

5.1. Verksamhetsutövaren måste identifiera alla länder och regioner den är kopplad till, inte bara där dess kunder är registrerade utan också där de verkliga ägarna är baserade och där kunderna har personliga eller kommersiella kopplingar. I sin generella riskbedömning behöver verksamhetsutövaren inte undersöka varje individuell kundrelation i detalj, men bör utvärdera de generella geografiska faktorerna baserat på förståelsen av kundtyper.

5.2. Exempel på låga geografiska riskfaktorer (Annex II of the 5th AML Directive):

• EU-medlemsstater;
• Tredjeländer med effektiva system för att motverka penningtvätt och finansiering av terrorism;
• Tredjeländer som identifierats av trovärdiga källor med en låg nivå av korruption eller annan kriminell aktivitet;
• Tredjeländer som, baserat på pålitliga rapporter och utvärderingar, följer och genomför de reviderade FATF-rekommendationerna för att bekämpa penningtvätt och finansiering av terrorism.

5.3. Exempel på höga geografiska riskfaktorer (Annex III of the 5th AML Directive):

• Länder som identifierats av trovärdiga källor, såsom FATF:s ömsesidiga utvärderingar, som inte har effektiva system på plats för att förebygga penningtvätt och finansiering av terrorism,
• Länder som är kända för höga nivåer av korruption eller kriminell aktivitet, enligt trovärdiga källor,
• Länder som är föremål för sanktioner, embargo eller liknande åtgärder utfärdade av EU eller Förenta Nationerna,
• Länder som tillhandahåller finansiering eller stöd för terroristverksamhet, eller där terroristorganisationer är utsedda och verkar inom landet.

5.4. När verksamhetsutövaren behöver bedöma ett lands regleringar och hur effektiva dess tillsynsmyndigheter är, kan den hänvisa till källor som FATF-rapporter (både svarta och grå listor), EU-kommissionens lista och andra liknande resurser.

6.1. Baserat på de identifierade riskerna bör en övergripande riskbedömning genomföras för varje område inom verksamhetsutövaren. Om verksamhetsutövaren tillhandahåller flera tjänster måste separata bedömningar göras för varje tjänst. När riskerna och riskfaktorerna har identifierats är det viktigt att bedöma hur sannolikt det är att verksamhetsutövaren kan utnyttjas för penningtvätt eller finansiering av terrorism. Beakta följande frågor:

• Vilken risknivå är förknippad med varje produkt eller tjänst?
• Hur sannolikt är det att de identifierade faktorerna—som kunder, distributionskanaler, geografiska lägen eller andra affärsspecifika omständigheter—påverkar risken att produkterna och tjänsterna används för penningtvätt eller finansiering av terrorism?
• Vad är den övergripande risk som verksamheten står inför?

6.2. För att noggrant bedöma risknivån är det viktigt att förstå hur olika produkter, tjänster och riskfaktorer är sammankopplade. Till exempel kan en enskild faktor verka vara låg risk i sig, men kan utgöra en högre risk när den kombineras med andra.

6.3. Det är viktigt att ta hänsyn till den aktuella situationen i verksamheten och förutse potentiella framtida utvecklingar. Den generella riskbedömningen bör inkludera överväganden för nya produkter, tjänster, kundtyper och teknologier.

7.1. Den generella riskbedömningen utgör grunden för att etablera interna rutiner och policys avseende åtgärder för kundkännedom, övervakning och rapportering samt för behandling av personuppgifter (kapitel 2, § 8 i Lag (2017:630)). Omfånget och innehållet i de interna rutinerna och policys bör anpassas baserat på företagets storlek, verksamhetens art och de specifika risker som identifierats i den generella riskbedömningen.

7.2. Den generella riskbedömningen utgör också grunden för kundens riskprofil (kapitel 2, §3 i Lag (2017:630), i kombination med den specifika kunskapen om kunden. Detta tillvägagångssätt möjliggör en grundlig utvärdering av kundens potentiella risk för penningtvätt eller finansiering av terrorism, med hänsyn till både de verksamhetsövergripande riskerna och individuella kundkarakteristika