Vejledning om Sådan laver du din virksomheds skriftlige politikker, forretningsgange og kontroller efter hvidvasklovens §8

Guiden er praktisk orienteret og målrettet mindre virksomheder, som med guiden i hånden vil være klædt på til at udarbejde politikker, forretningsgange og kontroller. Når du følger guiden, vil du blive ledt igennem de krav, som hvidvaskloven stiller til din virksomheds materiale. Du vil samtidig blive vejledt i de overvejelser, som du skal gøre dig, for at kunne udarbejde materialet.

Du skal først udarbejde en risikovurdering. Med en risikovurdering ved du, hvor din virksomhed er udsat for at blive misbrugt. Det er på baggrund af din viden fra risikovurderingen, at du kan udarbejde politikker, forretningsgange og kontroller, der effektivt kan bruges til at forebygge, begrænse og styre risiciene i din virksomhed.

Hvidvask er et forsøg på at skjule, at indtægter stammer fra en kriminel handling som fx skatte- og momsunddragelse, underslæb, salg af narkotika, mandatsvig, afpresning, tyveri, røveri, menneske- eller våbensmugling. Formålet med hvidvask er at få ulovligt udbytte fra en kriminel handling til at se ud som om, at det er erhvervet på lovlig vis. 

Finansiering af terrorisme er kendetegnet ved at være mindre overførsler af penge til lande eller geografiske områder, hvor der er terroraktivitet. Formålet er at finansiere terroraktiviteter i de lande, hvor midlerne overføres til. Terrorfinansiering sker oftest med midler, der er erhvervet på lovlig vis. Hvidvask og terrorfinansiering er derfor to vidt forskellige forbrydelser, som skal risikovurderes og forebygges forskelligt.

Som revisor, ekstern bogholder, serviceprovider, skatterådgiver, ejendomsmægler eller kunsthandler udbyder du ydelser, som kriminelle kan bruge til at skjule indtægter fra ulovlige handlinger som fx skatte- og momsunddragelse eller salg af narkotika, eller skjule finansiering af terroraktiviteter. Derfor er din virksomhed udsat for at blive misbrugt til hvidvask og terrorfinansiering. 

Din virksomheds forretningsmodel er afgørende for, hvordan din virksomhed kan blive misbrugt. Det afhænger fx af, hvilke ydelser du udbyder, hvilke kunder du har, og hvordan du er i kontakt med dine kunde.

Med politikker, forretningsgange og kontroller kan du effektivt forebygge, at din virksomhed misbruges til hvidvask og terrorfinansiering. Det kan du bl.a., fordi du tilrettelægger forebyggende handlinger til netop din virksomheds risici.

Du skal først konkludere på din virksomheds risikovurdering og tage stilling til de risici, som er i din virksomhed. Med overblik over din virksomheds risikoområder skal du tage stilling til, hvordan du kan nedbringe din virksomheds risici. 

Du skal tage stilling til, hvordan du sikrer, at dine forebyggende handlinger altid står mål med de risici, som din virksomhed er udsat for. Det skal du skrive ned i din virksomheds politikker. Derefter skal du udarbejde forretningsgange. Det er din virksomheds konkrete og operationelle udmøntning af politikkerne. De skal beskrive de konkrete handlinger, der skal forebygge, at din virksomhed bliver misbrugt til hvidvask og terrorfinansiering. 

Samtidig skal du etablere kontroller. Intern kontrol skal sikre, at du følger din virksomheds forretningsgange og overholder din virksomheds politikker og hvidvaskloven. 

Du kan udarbejde din virksomheds politikker, forretningsgange og kontroller i et eller flere dokumenter. Du kan søge inspiration i standardpolitikker, -forretningsgange og -kontroller fx fra din brancheorganisation. 

Du skal dog være opmærksom på, at din virksomheds konkrete risikofaktorer skal være afspejlet i standardmaterialet, ligesom du skal sikre, at materialet håndterer de risici, som er i netop din virksomhed. Materialet skal derfor tilpasses din virksomhed.

I din virksomheds politikker skal du tage stilling til, hvilke risici du vil tillade i din virksomhed, og hvordan du skal håndtere din virksomheds risici. Politikkerne skal sikre, at der udarbejdes effektive forretningsgange, og at nye risici opdages og håndteres. 

Du skal samtidig tage stilling til, om der er risici, som du ikke vil tillade. Det kan fx være ydelser, som du ikke vil udbyde, eller kundetyper, som du ikke vil have i din virksomhed, fordi de indebærer en risiko, som du ikke ønsker, at din virksomhed skal påtage sig. 

Du skal afgrænse din virksomheds risici til risikoområder og tage stilling til, hvilke risici din virksomheds forretningsgange skal håndtere. Udbyder du fx ydelser til lande med forhøjet risiko for hvidvask og terrorfinansiering, skal du forholde dig til, hvordan du sikrer, at der udarbejdes forretningsgange, som nedbringer denne risiko. Har din virksomhed forretningsområder med begrænset risiko, er det f.eks. relevant at tage stilling til, om der skal anvendes lempede kundekendskabsprocedurer ved begrænset risiko. 

Derudover skal du tage stilling til risikostyring. Risikostyring er din virksomheds opmærksomhed på risici, og hvordan din virksomhed reagerer på nye konstaterede risici. 

Det er en kontinuerlig proces, hvor nye risici identificeres, vurderes og håndteres. Du skal tage stilling til, hvad risikostyringen skal bestå af, på hvilket grundlag der skal reageres på nye risici, og hvem der skal være ansvarlig for hvidvaskområdet i din virksomhed

Skriv ned i din virksomheds politikker, hvilke risici du vil tillade i din virksomhed. 

Skriv ned i din virksomheds politikker, hvilke risikoområder der er i din virksomhed, og hvilke risici din virksomheds forretningsgange skal håndtere.

Skriv ned i din virksomheds politikker, hvordan risikostyring skal sikre, at nye risici opdages og håndteres.

I din virksomheds forretningsgange skal du beskrive, hvordan du i praksis forebygger, at din virksomhed bliver misbrugt til hvidvask og terrorfinansiering. Forretningsgangene skal sikre, at din forebyggelse er effektiv, og at du overholder hvidvaskloven. 

Din virksomhed skal overholde en række regler og pligter efter hvidvaskloven, der fordeler sig på følgende områder: 

1. Risikostyring
2. Kundekendskabsprocedurer
3. Undersøgelses- og noteringspligt
4. Underretningspligt
5. Opbevaring af oplysninger
6. Screening af medarbejdere
7. Intern kontrol (Læs om intern kontrol i kapitel 4)

I din virksomheds forretningsgange skal du beskrive, hvad du i praksis skal gøre for at forebygge, at din virksomhed bliver misbrugt til hvidvask og terrorfinansiering. Du skal fx beskrive, hvordan du skal gennemføre kundekendskabsprocedurer. Procedurerne skal tilrettelægges i overensstemmelse med hvidvasklovens regler og din virksomheds politikker. Du skal beskrive, af hvem og hvordan procedurerne konkret skal udføres.

Du skal løbende opdage nye risici og tage stilling til dem. Risikostyring skal sikre, at der tages hånd om de risici, som din virksomhed er udsat for. Du skal beskrive din risikostyring i din virksomheds forretningsgange. 

Din virksomheds risiko for at blive misbrugt til hvidvask og terrorfinansiering afhænger af, hvilken adgang kriminelle har til at misbruge din virksomheds ydelser. Der er flere faktorer, som har indflydelse på denne risiko. Der kan være udefrakommende faktorer som samfundsmæssige ændringer, teknologisk udvikling eller ændringer i lovgivning, som ændrer på de kriminelles metoder og dermed din virksomheds risiko. 

Derudover kan din virksomheds risiko ændres som følge af ændringer i din virksomheds forretningsmodel, hvis du fx udvider din kundeportefølje med nye kundetyper eller udbyder nye ydelser. Du skal derfor tilrettelægge en risikostyring, som sikrer, at nye risici opdages og håndteres.

Skriv ned i din virksomheds forretningsgange, hvordan du i praksis skal udføre risikostyring. 

Du skal gennemføre kundekendskabsprocedurer på dine kunder, så du ved, hvem dine kunder er. Det gør dig i stand til at opdage, hvis deres aktiviteter har tilknytning til hvidvask og terrorfinansiering. Du skal beskrive dine kundekendskabsprocedurer i din virksomheds forretningsgange. 

Du skal forebygge, at dine kunder misbruger dine ydelser til hvidvask og terrorfinansiering ved at vide, hvem dine kunder er, og hvad dine kunder skal bruge dine ydelser til. Derfor skal du gennemføre kundekendskabsprocedurer, hvor du bl.a. kontrollerer, at kunden er den, som kunden udgiver sig for at være. 

Som en del af kundekendskabsprocedurerne skal du vurdere, hvilken risiko det enkelte kundeforhold udgør. Er kunden fx distancekunde, som du aldrig eller kun sjældent mødes med fysisk, kan der være en øget risiko for, at kunden misbruger din virksomhed. Risikovurderingen af det enkelte kundeforhold skal du bruge til at fastslå omfanget af dine kundekendskabsprocedurer, og i hvilken grad du skal overvåge kunden. 

Du skal med mellemrum gennemføre kundekendskabsprocedurer, så du er sikker på, at du har de rigtige oplysninger om dine kunder. Du skal løbende overvåge dine kunders aktiviteter og vurdere, om deres adfærd svarer til det, som du forventer hos dem. Du skal sammenholde kundens adfærd med sammenlignelige kunders adfærd. Har du fx flere virksomhedskunder inden for samme branche, skal du være opmærksom på, om deres adfærd ligner hinanden, eller om én kundes adfærd fx skiller sig ud. Hvis en kunde agerer usædvanligt, kan det være tegn på aktiviteter, som har tilknytning til hvidvask og terrorfinansiering.

Skriv ned i din virksomheds forretningsgange, at du skal gennemføre kundekendskabsprocedurer, når: 

• Du får en ny kunde
• En kundes relevante omstændigheder ændrer sig
• Det er et passende tidspunkt
• Du har mistanke om hvidvask eller terrorfinansiering
• Du er i tvivl om oplysninger, du tidligere har indhentet.

Skriv ned i din virksomheds forretningsgange, at du skal indhente identitetsoplysninger på dine kunder, og at du skal kontrollere oplysningernes rigtighed.

Skriv ned i din virksomheds forretningsgange, at du skal klarlægge en kundevirksomheds ejer og kontrolstruktur.

Skriv ned i din virksomheds forretningsgange, at du skal vurdere din kundes formål og tilsigtede beskaffenhed.

 Skriv ned i din virksomheds forretningsgange, at du løbende skal overvåge dine kunder. 

Skriv ned i din virksomheds forretningsgange, at du løbende skal ajourføre oplysninger om dine kunder. 

Skriv ned i din virksomheds forretningsgange, at du skal vurdere, hvilken risiko den enkelte kunde udgør.

Skriv ned i din virksomheds forretningsgange, at du skal fastlægge, om dine kunder er politisk eksponerede (PEP) eller nærtstående eller nær samarbejdspartner til en PEP.

Bliver du opmærksom på usædvanlige transaktioner eller aktiviteter hos dine kunder, skal du iværksætte en undersøgelse og notere, hvad du kommer frem til. Du skal beskrive din undersøgelses- og noteringspligt i din virksomheds forretningsgange. 

Hvis du bliver opmærksom på usædvanlige transaktioner eller aktiviteter, skal du undersøge baggrunden for dem. Du skal fastslå, om der er mistanke om eller rimelig grund til at formode, at transaktionerne eller aktiviteterne har tilknytning til hvidvask eller terrorfinansiering. Det gælder usædvanlige transaktioner og aktiviteter, der er komplekse, usædvanligt store, foretages i et usædvanligt mønster, eller ikke har et åbenbart økonomisk eller lovligt formål. Det kan være en adfærd hos din kunde, som du ikke forventer at se ud fra dit kendskab til kunden, eller udenlandske pengeoverførsler, som du har adgang til at se. Du skal være opmærksom på, at din kunde ikke må vide, at du undersøger kunden. 

Hvis du derfor ikke kan stille kunden spørgsmål uden at give kunden viden om din undersøgelse, eller hvis du finder det uhensigtsmæssigt at kontakte kunden, kan du enten udvide din overvågning af kunden for at afgøre, om kundens transaktion eller aktivitet er mistænkelig, eller foretage underretning til Hvidvasksekretariatet. 

Du har pligt til at skrive et notat om din undersøgelse af kunden. Notatet skal kunne genopfriske din hukommelse og give andre en forståelse af sagen. 

Skriv ned i din virksomheds forretningsgange, hvordan du efterlever din undersøgelsespligt. 

Skriv ned i din virksomheds forretningsgange, hvordan du efterlever din noteringspligt. 

Du skal underrette Hvidvasksekretariatet, hvis du bliver opmærksom på mistænkelige transaktioner eller aktiviteter, der kan have tilknytning til hvidvask eller terrorfinansiering. Du skal beskrive din underretningspligt i din virksomheds forretningsgange. 

Hvis du er vidende om, har mistanke om eller rimelig grund til at tro, at en kundes transaktion eller aktivitet har tilknytning til hvidvask eller terrorfinansiering, skal du underrette Hvidvasksekretariatet. 

Det kan være, hvis: 

• Det står dig klart, at en kundes transaktion eller aktivitet har tilknytning til hvidvask eller terrorfinansiering.
• Du undersøger en kundes transaktion eller aktivitet og ikke kan afkræfte din mistanke om, at den har tilknytning til hvidvask eller terrorfinansiering.
• En kunde forsøger på en transaktion eller aktivitet, som virker mistænkelig.
• En person, som endnu ikke er din kunde, spørger om hjælp til en aktivitet, der virker mistænkelig. 

Du skal underrette Hvidvasksekretariatet med det samme. Du bør derfor sørge for, at du er oprettet i deres system, så du er klar til at foretage underretning. Vær opmærksom på, at din kunde ikke må vide, at du har foretaget underretning. En underretning er ikke en politianmeldelse. Når du foretager underretning, vurderer Hvidvasksekretariatet, om sagen skal undersøges nærmere.

Skriv ned i din virksomheds forretningsgange, hvordan du efterlever din underretningspligt.

Du skal gemme alle oplysninger, dokumenter og registreringer på dine kunder. Du skal beskrive din opbevaringspligt i din virksomheds forretningsgange. 

Du skal opbevare: 

• Alle oplysninger, som du indhenter i forbindelse med kundekendskabsprocedurer, herunder identitets- og kontroloplysninger samt kopi af legitimationsdokumenter.
• Dokumenter og registreringer i forbindelse med undersøgelses- og noteringspligten. 

Når et kundeforhold stopper, skal du opbevare alle oplysningerne i 5 år.

Personoplysninger skal du slette 5 år efter forretningsforbindelsens ophør, medmindre andet er fastsat i anden lovgivning.

Beskriv, hvor du opbevarer oplysninger, dokumenter og registreringer på dine kunder.

Opbevares det elektronisk, kan du angive drev og mappe

Du skal forebygge, at dine medarbejdere misbruger deres stilling til hvidvask og terrorfinansiering. Du skal beskrive din screening af medarbejdere i din virksomheds forretningsgange. 

Du skal forebygge, at dine medarbejdere misbruger deres stilling eller ubevidst kommer til at medvirke til hvidvask eller terrorfinansiering. 

Det skal du gøre ved at sikre:

• At din medarbejder ikke er dømt for et strafbart forhold, som øger risikoen for, at medarbejderen misbruger sin stilling.
• At din medarbejder bliver undervist i regler og pligter på hvidvaskområdet, så medarbejderen kan varetage sin stilling forsvarligt. 

Før du ansætter en medarbejder, kan du fx kontrollere vedkommendes straffeattest. Det gælder kun medarbejdere, som varetager arbejdsopgaver, der kan misbruges. Hvis medarbejderen er dømt for et strafbart forhold, skal du vurdere, om forholdet øger risikoen for, at vedkommende misbruger sin stilling. 

Du skal derudover sikre, at du bliver gjort opmærksom på, hvis dine medarbejdere i løbet af deres ansættelse bliver dømt for et strafbart forhold. Du skal derudover løbende undervise dine medarbejdere i, hvordan de i praksis efterlever hvidvasklovens regler og pligter.

Skriv ned i din virksomheds forretningsgange, hvordan du forebygger, at dine medarbejdere misbruger deres stilling til hvidvask og terrorfinansiering. 

Du skal etablere en intern kontrol, hvor du kontrollerer, at din virksomheds politikker og forretningsgange bliver overholdt. Du skal beskrive din interne kontrol i din virksomheds forretningsgange. 

Du skal føre kontrol med, at din virksomheds politikker og forretningsgange bliver overholdt. Det kan du gøre ved at udtage stikprøver, hvor du fx kontrollerer, at der er gennemført tilstrækkelige kundekendskabsprocedurer i en kundesag. 

Du skal udføre intern kontrol med faste intervaller, hvor du kontrollerer områderne: 

1. Risikostyring
2. Kundekendskabsprocedurer
3. Undersøgelses-, noterings- og underretningspligt
4. Opbevaring af oplysninger
5. Screening af medarbejdere.

Du skal derudover føre kontrol med, at der bliver først kontrol på de pågældende områder, og at kontrollerne er egnede. Det betyder, at du skal følge op på, at der bliver udført kontrol som planlagt, og at kontrollerne omfatter samtlige områder. Der skal være uafhængighed mellem den, der foretager kontrollen, og den, der kontrolleres. 

Du skal kunne dokumentere de kontroller, der er blevet udført. 

Det afhænger af din virksomheds størrelse og risiko, hvor mange stikprøver der bør udtages, hvor ofte kontrollerne bør udføres, og hvor høj grad af uafhængighed der bør være og kan lade sig gøre mellem den, der foretager kontrollen, og den, der kontrolleres.

Skriv ned i din virksomheds forretningsgange, hvordan du kontrollerer overholdelsen af din virksomheds politikker og forretningsgange. 

Skriv ned i din virksomheds forretningsgange, hvordan du kontrollerer, at kontrollerne bliver udført og er egnede. 

Hvis din virksomhed har mere end 5 ansatte, skal du etablere en whistleblowerordning, hvor din virksomheds ansatte kan indberette interne overtrædelser eller potentielle overtrædelser af hvidvasklovgivningen. 

En whistleblowerordning er en ordning, hvor ansatte anonymt kan indberette andre ansattes eller bestyrelsesmedlemmers overtrædelser eller potentielle overtrædelser af hvidvasklovgivningen. 

Ordningen skal foregå via en særlig, uafhængig og selvstændig kanal. Det betyder, at kanalen skal være oprettet til det formål at indberette overtrædelser, og at indberetningen skal ske til en selvstændig funktion, fx en ansvarlig på hvidvaskområdet, som er uafhængig af virksomhedens daglige ledelse. 

Ansatte skal kunne foretage indberetning anonymt. Det kan fx ske via en løsning på virksomhedens intranet, hvor der ikke skal angives navn, og hvor den ansattes computer ikke kan spores. En whistleblowerordning kan outsources til en ekstern leverandør. Det er dog til enhver tid virksomhedens ansvar, at ordningen lever op til lovgivningens krav. 

Kravet om en whistleblowerordning gælder kun, hvis din virksomhed har mere end 5 ansatte. I opgørelsen af ansatte indgår alle ansatte, der har en ansættelseskontrakt med virksomheden.

Din virksomheds politikker, forretningsgange og kontroller skal holdes opdaterede. 

Du skal opdatere dine politikker, forretningsgange og kontroller:

• Hvis der sker ændringer i din virksomheds risikovurdering:
  • Hvis der sker ændringer i din virksomheds forretningsmodel fx som følge af, at du udvider din virksomheds kunde portefølje med nye kundetyper, eller du begynder at udbyde nye ydelser.
  • Hvis risikobilledet i samfundet ændrer sig og der fx udgives en ny national eller supranational risikovurdering.
• Hvis der sker ændringer i, hvordan arbejdsopgaverne skal løses rent praktisk i din virksomhed.