Vejledning om Sådan laver du en risikovurdering efter hvidvasklovens § 7

Quick-guiden hjælper dig i tre enkle trin til at forstå lovkravene og påbegynde arbejdet, men husk: risikovurderingen skal tage udgangspunkt i netop din virksomhed, og det er dit ansvar at følge gældende regler.

Hvidvask er et forsøg på at skjule, at indtægter stammer fra en kriminel handling som fx skatte- og momsunddragelse, underslæb, salg af narkotika, mandatsvig, afpresning, tyveri, røveri, menneske- eller våbensmugling. Formålet med hvidvask er at få ulovligt udbytte fra en kriminel handling til at se ud som om, at det er erhvervet på lovlig vis. 

Finansiering af terrorisme er kendetegnet ved at være mindre overførsler af  penge til lande eller geografiske områder, hvor der er terroraktivitet. Formålet er at finansiere terroraktiviteter i de lande, hvor midlerne overføres til. Terrorfinansiering sker oftest med midler, der er erhvervet på lovlig vis. Hvidvask og terrorfinansiering er derfor to vidt forskellige forbrydelser, som skal risikovurderes og forebygges forskelligt. 

Som revisor, ekstern bogholder, serviceprovider, skatterådgiver, ejendomsmægler og kunsthandler udbyder du ydelser, som kan medvirke til hvidvask og terrorfinansiering. Derfor skal du lave en risikovurdering, som afdækker, hvor din virksomhed er udsat for at blive misbrugt. På den baggrund kan du nemlig indrette din virksomheds politikker, forretningsgange og kontroller effektivt og målrettet til at forebygge risikoen for at blive misbrugt og ikke mindst til at bekæmpe hvidvask og terrorfinansiering.

Din opmærksomhed er vigtig

Du har en vigtig opgave i bekæmpelsen af hvidvask og terrorfinansiering. Din opmærksomhed er vigtig, fordi du har mulighed for at opdage hvidvask og terrorfinansiering, som fx bankerne enten overser eller ikke har mulighed for at opdage. Som revisor, ekstern bogholder, serviceprovider, skatterådgiver, ejendomsmægler og kunsthandler kan du være nærmere dine kunders aktiviteter, som kan pege på forhold, der kan være relateret til hvidvask og terrorfinansiering. 

Bekæmpelsen af hvidvask og terrorfinansiering er et fælles samfundsansvar, og der er behov for, at alle de omfattede virksomheder er opmærksomme inden for sit fagområde. Når du har udarbejdet en risikovurdering af din virksomhed, ved du, hvor du skal være særlig opmærksom. Med en risikovurdering i hånden er du derfor klædt på til at opdage mistænkelige aktiviteter - og dermed til at bekæmpe hvidvask og terrorfinansiering.

I en risikovurdering skal du vurdere din virksomheds iboende risiko for at blive misbrugt til hvidvask og terrorfinansiering. Det vil sige den risiko, din virksomhed er født med, før du har indført politikker, forretningsgange og kontroller, som begrænser denne risiko. 

For at kunne vurdere din virksomheds iboende risiko, skal du have et overblik over din virksomheds forretningsmodel. På den baggrund kan du identificere og vurdere, hvor din virksomhed er udsat for at blive misbrugt. 

Du kan følge tre trin i udarbejdelsen af en risikovurdering. Risikovurderingen skal udarbejdes skriftligt og omfatte alle tre trin for at leve op til hvidvaskloven. 

For at kunne vurdere din virksomheds iboende risiko for at blive misbrugt til hvidvask og terrorfinansiering, skal du beskrive din forretningsmodel. 

Når du skal beskrive din virksomheds kundetyper, skal du gruppere kunderne i forskellige typer af kunder. Du skal derfor ikke beskrive konkrete kundeforhold. 

Du skal kun beskrive eksisterende kundetyper. Derfor skal du være opmærksom på ikke at beskrive kundetyper, som din virksomhed ikke længere har eller endnu ikke har haft. Du kan tage udgangspunkt i din virksomheds kundeliste, hvor du kan gruppere dine kunder.

I din beskrivelse kan du fx forholde dig til følgende spørgsmål: 

• Hvor mange kunder har din virksomhed?
• Hvilke brancher er dine kunder beskæftiget inden for?
• Hvor stor en del af din virksomheds kunder er virksomheder?
  • Hvor stor en del af virksomhedskunderne er enkeltmandsvirksomheder?
  • Hvor stor en del er selskaber, herunder ApS, A/S, SMBA mv. og hvad er fordelingen imellem disse?
  • Hvor stor en del er nyligt stiftede virksomheder?
  • Hvor mange medarbejdere har virksomhedskunderne?
  • Hvor stor omsætning har virksomhedskunderne?
  • Har din virksomhed virksomhedskunder, som er kontantbaserede, herunder virksomheder, som tager imod kontanter?
• Hvor stor en del af din virksomheds kunder er fysiske personer?
  • Hvilken alder har kunderne?
  • Hvilken beskæftigelse har kunderne?
  • Hvor høj indkomst har kunderne?
• Hvor længe forbliver kunderne kunder i din virksomhed?
• Har din virksomhed kunder, som er politisk eksponerede, eller nært stående eller nær samarbejdspartner til en politisk eksponeret person [PEP]1?
• Er der øvrige kendetegn eller særlige egenskaber, som overordnet gør sig 
  gældende for en eller flere grupper af virksomhedens kunder? 

Når du skal beskrive din virksomheds produkter, tjenesteydelser og transaktioner, skal du for hver ydelse uddybe: 

• Hvad ydelsen består af
• I hvor stort et omfang den udbydes [fx som en procentdel af alle de ydelser, din virksomhed udbyder]. 

Det er vigtigt, at du uddyber alle de ydelser, som din virksomhed udbyder. Du skal kun beskrive ydelser, som din virksomhed udbyder. Du skal derfor ikke beskrive ydelser, som din virksomhed ikke længere udbyder eller endnu ikke har udbudt.

Når du skal beskrive din virksomheds leveringskanaler, skal du beskrive, hvordan din virksomhed får nye kunder, og hvordan din virksomhed leverer sine produkter, tjenesteydelser og transaktioner til kunderne. Det er vigtigt, at du beskriver alle din virksomheds leveringskanaler. Du skal kun beskrive de leveringskanaler, som din virksomhed gør brug af. Du skal derfor ikke beskrive leveringskanaler, som din virksomhed ikke længere gør brug af eller endnu ikke har gjort brug af. 

I din beskrivelse kan du fx forholde dig til følgende spørgsmål: 

• Hvordan får din virksomhed nye kunder?
  • Hvordan tager en ny kunde kontakt til din virksomhed?
  • Indledes kundeforhold med eller uden fysisk kontakt?
  • Indledes kundeforhold via kanaler eller netværk, og hvordan er din tillid til disse kanaler eller netværk?
• Hvordan leverer din virksomhed sine produkter, tjenesteydelser og transaktioner til sine kunder?
  • Leveres din virksomheds produkter, tjenesteydelser og transaktioner fysisk?
  • Indledes kundeforhold med eller uden fysisk kontakt?
  • Leveres din virksomheds produkter, tjenesteydelser og transaktioner elektronisk pr. e-mail eller via en digital platform?
  • Har din virksomhed kunder, som du hverken har mødt i forbindelse med indgåelsen af kundeforholdet eller ved leveringen af din virksomheds produkter, tjenesteydelser og transaktioner? 

Når du skal beskrive de lande og geografiske områder, hvor din virksomhed udøver sine forretningsaktiviteter, skal du beskrive den geografiske placering af dine kunder og kundernes reelle ejere. Du skal både beskrive, hvor de geografisk er placeret, og hvor de har relevante erhvervsmæssige og personlige relationer til. 

Det er vigtigt, at du beskriver alle de lande og geografiske områder, hvor din virksomheds forretningsaktiviteter udøves. Du skal kun beskrive de lande og geografiske områder, hvor din virksomheds forretningsaktiviteter udøves. Du skal derfor ikke beskrive de lande og geografiske områder, hvor din virksomhed ikke længere har eller endnu ikke har haft forretningsaktiviteter.

I din beskrivelse kan du fx forholde dig til følgende spørgsmål: 

• Hvor i Danmark er din virksomheds kunder baseret?
• Har din virksomhed kunder i udlandet, og i givet fald hvor?
• Har din virksomhed virksomhedskunder med reelle ejere i udlandet, og givet fald hvor?
• Har din virksomhed kunder, som har erhvervsmæssige eller personlige relationer til udlandet, og i givet fald hvortil?

Nu har du beskrevet din virksomheds forretningsmodel og kan gå videre til Trin 2. I Trin 2 skal du analysere, hvor din virksomhed er udsat for at blive misbrugt til hvidvask og terrorfinansiering. 

For hvert af FIRE punkter, der tilsammen udgør din virksomheds forretningsmodel, skal du: 

Dine kilder: 

• Din virksomheds egen viden og erfaring fra indsamlede data, kundekendskab, efterspurgte produkter mv.

Eksterne kilder, som du skal inddrage: 

• Hvidvasklovens bilag 2 og 3 opregner risikofaktorer, der kan påvirke din virksomheds risiko [faktorerne i bilag 2 kan indebære en begrænset risiko, mens faktorerne i bilag 3 kan indebære en forhøjet risiko].
• Den nationale risikovurdering af hvidvask i Danmark udsendt af Hvidvasksekretariatet
• National risikovurdering af terrorfinansiering i Danmark udsendt af Politiets Efterretningstjeneste [PET]
• Rapport fra EU-kommissionen om vurdering af de risici for hvidvask af penge og finansiering af terrorisme, der påvirker det indre marked og vedrører grænseoverskridende aktiviteter [den supranationale risikovurdering].

Eksterne kilder, som du skal inddrage, hvis de er relevante: 

• National risikovurdering af terrorfinansiering på non-profit området i Danmark.
• Information udsendt af FATF, EBA og brancheorganisationer
• Landerapporter om korruption mv.
• Information fra troværdige offentlige eller kommercielle kilder.

Du skal undersøge, om din virksomhed har kundetyper, som påvirker din virksomheds risiko for at blive misbrugt til hvidvask og terrorfinansiering. Du skal tage udgangspunkt i din beskrivelse af din virksomheds kundetyper fra Trin 1. 

Det er vigtigt, at du får identificeret og vurderet alle risikofaktorer, som er forbundet med din virksomheds kundetyper. Du skal vægte risikofaktorerne i lav-, mellem eller  høj risiko afhængigt af, hvor sandsynligt det er, at din virksomhed bliver misbrugt, og hvad konsekvensen af dette vil være. På den måde kan du få et overblik over, hvordan din virksomhed er udsat. 

Du kan fx forholde dig til: 

• Om din virksomhed har virksomhedskunder
• Om din virksomheds kunder har forbindelse til en sektor, der er forbundet med høj risiko for hvidvask eller terrorfinansiering
• Om din virksomheds eventuelle virksomhedskunder tager imod kontantbetalinger
• Om din virksomhed har kunder, der er politisk eksponerede personer [PEP]
• Om din virksomhed har kunder, som er nærtstående eller nær samarbejdspartner til en politisk eksponeret person. 

Du skal undersøge, om din virksomhed udbyder produkter, tjenesteydelser og transaktioner, som påvirker din virksomheds risiko for at blive misbrugt til hvidvask og terrorfinansiering. 

Tag udgangspunkt i din beskrivelse af virksomhedens produkter, tjenesteydelser og transaktioner fra Trin 1. 

Det er vigtigt, at du identificerer og vurderer alle risikofaktorer, som er forbundet med din virksomheds ydelser. Du skal vægte risikofaktorerne i lav-, mellem eller høj risiko, så du skaber overblik over, hvor din virksomhed er udsat.

Du kan fx forholde dig til: 

• Om din virksomhed udbyder produkter, tjenesteydelser og transaktioner, der kan bruges af personer, som ønsker at være anonyme
• Om din virksomhed har produkter, tjenesteydelser og transaktioner, der er komplekse:
  • Involveres der fx flere aftaleparter eller aftaleparter fra forskellige lande, hvor der gælder forskellige regelsæt?
  • Foretages der fx ekstraordinære betalinger, som ikke har en naturlig sammenhæng med de øvrige ydelser eller transaktioner?
• Produkterne, tjenesteydelserne og transaktionernes værdi og størrelse.

Du skal undersøge, om din virksomhed har leveringskanaler, som påvirker din virksomheds risiko for at blive misbrugt til hvidvask og terrorfinansiering. 

Du skal tage udgangspunkt i din beskrivelse af din virksomheds leveringskanaler fra Trin 1. 

Det er vigtigt, at du får identificeret og vurderet alle risikofaktorer, som er forbundet med din virksomheds leveringskanaler. Du skal vægte risikofaktorerne i lav-, mellem eller høj risiko, så du kan få et overblik over, hvor din virksomhed er udsat.

Du kan fx forholde dig til: 

• Om leveringskanalerne nemt kan bruges til at fremme anonymitet og skjule den reelle identitet på virksomhedens kunde
• Kundens modvilje mod at møde fysisk uden en god forklaring
• Om kunden er introduceret af en tredjemand, og om denne tredjemand er underlagt tilstrækkelige regler, der forebygger og bekæmper hvidvask og terrorfinansiering
• Om kontakten med kunden er sket via elektroniske løsninger, der er stor tillid til.

Du skal undersøge, om de lande og geografiske områder, hvor din virksomheds erhvervsaktivitet udøves, påvirker din virksomheds risiko for at blive misbrugt til hvidvask og terrorfinansiering. Dette omfatter både dine kundetypers geografiske placering eller kundernes reelle ejeres geografiske placering. 

Du skal tage udgangspunkt i din beskrivelse af din virksomheds lande og geografiske områder samt kundetyper fra Trin 1. Det er vigtigt, at du får identificeret og vurderet alle risikofaktorer, som er forbundet med disse områder. 

Du skal vægte risikofaktorerne i lav-, mellem eller høj risiko, så du kan få et overblik over, hvor din virksomhed er udsat.

Du kan fx forholde dig til: 

• Om din virksomhed har kundetyper eller reelle ejere til kunderne, som er placeret geografisk med en usædvanlig stor afstand til din virksomhed
  • Hvorfor har disse kunder i så fald rettet henvendelse til din virksomhed? Det kan være interessant at overveje, hvis kunden på grund af afstanden gør det mere sandsynligt ikke at mødes fysisk.
• Hvis din virksomhed har kundetyper i udlandet, kunder med reelle ejere i udlandet eller kunder med erhvervsmæssige eller personlige relationer til udlandet, kan du fx forholde dig til:
  • Om landet er inden for EU
  • Om landet har tilstrækkelige regler, der forebygger og bekæmper hvidvask og finansiering af terrorisme
  • Om virksomhedens kunder har relationer til et land eller geografisk område, hvor der genereres penge med store hvidvaskrisici eller med mange forbrydelser på området
  • Om virksomheden har kundetyper, der er etableret i et land med højere korruptionsniveau
  • Om virksomheden har kunder, som sender penge til lande, hvor der vides at være terroraktiviteter
  • Om virksomheden har kunder, som fremgår af EU's eller FN's sanktionslister.

Når du har identificeret og vurderet de risikofaktorer, som er indeholdt i din virksomheds forretningsmodel, i Trin 2, skal du konkludere på disse risici. 

Du skal nu vurdere: 

Du skal derefter konkludere: 

Når du har udarbejdet din risikovurdering ved du, hvor din virksomhed er udsat for at blive misbrugt til hvidvask og terrorfinansiering. 
Du ved, hvor du skal være opmærksom, og hvad du skal være opmærksom på. 

Du kan derfor indrette din virksomheds politikker, forretningsgange og kontroller målrettet og effektivt til at forebygge og bekæmpe hvidvask og terrorfinansiering.

Du skal opdatere din risikovurdering: 

• Mindst en gang om året
  • Hvis ikke der er sket ændringer i din virksomheds risikoprofil, kan opdateringen bestå i, at du har gennemgået risikovurderingen og vurderet, at der ikke er grundlag for at opdatere den
• Hvis der sker ændringer i din virksomheds forretningsmodel, herunder fx
  • Hvis virksomhedens kundeportefølje udvides med nye kundetyper eller virksomheden begynder at udbyde nye ydelser
  • Hvis virksomheden ikke længere har visse kundetyper eller ikke længere udbyder visse ydelser
• Hvis eksterne forhold ændrer sig, fx ved udgivelsen af en ny national eller supranational risikovurdering.

I henhold til hvidvaskloven er du forpligtet til at udarbejde en risikovurdering af din virksomhed. Risikovurderingen skal danne grundlag for din indretning af effektive og målrettede politikker, forretningsgange og kontroller, som har til formål at forebygge og bekæmpe hvidvask og terrorfinansiering. 

Hvis ikke du udarbejder en risikovurdering, risikerer du, at din virksomhed bliver misbrugt til hvidvask og terrorfinansiering, fordi du ikke kan stille det rette værn op imod misbrug. Du er underlagt en række pligter i henhold til hvidvaskloven, som blandt andet omfatter, at du skal udarbejde en risikovurdering. 

Hvis ikke du udarbejder en risikovurdering, kan du blive straffet med bøde3.

Udarbejdelsen af en risikovurdering hænger sammen med din udarbejdelse af skriftlige politikker, forretningsgange og kontroller. Til disse gælder en række pligter, som ligeledes er fastsat i hvidvaskloven. Overtrædelse af disse pligter kan straffes med bøde og i særligt grove tilfælde fængsel indtil 2 år4. Der kan pålægges selskaber mv. strafansvar efter straffelovens regler5.