Vejledning til virksomheder omfattet af hvidvaskloven

Vejledning til virksomheder omfattet af hvidvaskloven

Vejledning til virksomheder omfattet af hvidvaskloven til vurdering af foreninger i forhold til risikoen for hvidvask og terrorfinansiering

1.

Indledning

Den 24. juni 2021 fremlagde Arbejdsgruppen om foreninger

i forhold til hvidvaskloven et idékatalog med tre konkrete forslag for at lette byrder for både foreninger og pengeinstitutter, når de skal gennemføre kundekendskabsprocedurer, og som samtidig fortsat skal sikre et tilstrækkeligt værn mod hvidvask og terrorfinansiering.

Et af de tre forslag er at udarbejde en model for risikoklassifikation af foreninger.

Formålet med modellen er ifølge arbejdsgruppen, at pengeinstitutterne får et værktøj, som pengeinstitutterne vil basere deres risikovurdering af foreninger på, og at foreninger med lav risiko vil opleve, at de skal bruge færre ressourcer på dokumentation, når de klassificeres som lavrisiko.

Denne vejledning er udarbejdet på baggrund af idékataloget og har til formål at vejlede virksomheder og personer

, som er omfattet af hvidvaskloven, i forhold til at risikovurdere foreninger i forbindelse med virksomhedernes gennemførelse af kundekendskabsprocedurer.

Vejledningen indeholder i afsnit 3 en række karakteristika, der skal hjælpe virksomhederne med at risikoklassificere deres kunder.

Vejledningen indeholder i afsnit 4 eksempler på, hvilke kundekendskabsprocedurer virksomhederne kan nøjes med at gennemføre, når en kunde har begrænset henholdsvis øget risiko.

Finanstilsynets vejledning

om lov om forebyggende foranstaltninger mod hvidvask og finansiering af terrorisme (hvidvaskloven) (herefter ”Finanstilsynets vejledning til hvidvaskloven”) beskriver generelt, hvordan virksomheder omfattet af hvidvaskloven kan opfylde kravene i hvidvaskloven.

Nærværende vejledning supplerer Finanstilsynets vejledning til hvidvaskloven med specifik vejledning om, hvordan virksomheder omfattet af hvidvaskloven kan risikovurdere foreninger i forbindelse med gennemførelse af kundekendskabsprocedurer.

2.

Kundekendskabsprocedurer

Det er et grundlæggende princip i hvidvasklovgivningen, at virksomheden skal kende sine kunder.

Dette gælder også, når kunden er en forening.

Formålet med kundekendskabsprocedurer er at forebygge hvidvask og finansiering af terrorisme ved, at virksomheden ved, hvem kunderne er, og hvad der er den enkelte kundes formål med forretningsforbindelsen eller den enkeltstående transaktion eller aktivitet, og hvis relevant, hvorfra kundens midler stammer.

Virksomhedens kundekendskabsprocedurer gennemføres ud fra en risikovurdering af det konkrete kundeforhold.

Kundekendskabsproceduren og omfanget af de oplysninger, virksomheden skal indhente, afhænger således af risikovurderingen af kunden.

Kundekendskabsproceduren og risikovurderingen fastlægger kundens risikoprofil på tidspunktet for indgåelsen af forretningsforbindelsen.

Risikoprofilen kan ændres i løbet af kundeforholdet, og derfor er der krav om, at virksomheden gennemfører kundekendskabsprocedurerne løbende med et vist interval i hele kundeforholdet, således at oplysningerne om kunden holdes ajour.

Intervallet afhænger af kundens risiko.

Virksomhedens risikovurdering af et kundeforhold skal overordnet omfatte en vurdering af risikoen for, at kunden foretager eller anvendes til hvidvask eller finansiering af terrorisme.

Virksomheden skal i den forbindelse forholde sig til, hvem kunden er, herunder kundens reelle ejere, hvilke produkter eller ydelser kunden ønsker, om der er geografiske forhold som skal tages i betragtning, og hvilke leveringskanaler der er til kunden.

Endvidere skal der i virksomhedens risikovurdering af et kundeforhold indgå kundeforholdets formål, tilsigtede beskaffenhed, regelmæssighed og varighed.

Virksomhedens risikovurdering af det enkelte kundeforhold beror således på en konkret vurdering, hvor virksomheden skal forholde sig til hver faktor, og hvad de tilsammen indikerer for kundens risikoprofil.

Det er således nødvendigt, at virksomheden ved etablering af nye kundeforhold og løbende indsamler tilstrækkelig viden om kunden til at kunne foretage denne risikovurdering.

Risikovurderingen skal herunder inddrage de faktorer, som følger af hvidvasklovens bilag 2 og 3.

Bilagene opremser faktorer, der kan være tegn på henholdsvis begrænset og øget risiko.

En risikovurdering kan aldrig føre til, at der ikke skal foretages kundekendskabsprocedurer på en kunde, herunder en forening.

En risikovurdering kan føre til, at virksomheden – hvis kunden, vurderes som værende lavrisiko – kan nøjes med at gennemføre lempede kundekendskabsprocedurer.

Det er ganske sædvanligt at have kunder med øget risiko.

Virksomheder kan imødekomme og risikostyre dele af den øgede iboende risici ved at gennemføre skærpede kundekendskabsprocedurer, øget overvågning, yderligere kontroller osv.

3.

Risikovurdering af foreninger, herunder frivillige foreninger

Når en virksomhed skal gennemføre kundekendskabsprocedurer på en forening, som ønsker at etablere en forretningsforbindelse, skal virksomheden, som nævnt ovenfor, foretage en risikovurdering af foreningen.

Ved vurderingen af foreningens risiko vil det være relevant, at virksomheden inddrager nedenstående karakteristika i sin risikovurdering af foreningen.

Disse kriterier er også relevante at inddrage ved løbende overvågning af eksisterende kundeforhold.

Ud over de anførte karakteristika skal virksomhederne altid inddrage viden om særlige forhold i foreningen i den samlede risikovurdering.

Her tænkes særligt på afvigelser i det oplyste forretningsomfang, som virksomheden bliver opmærksom på under kundeforholdet.

Virksomhederne skal gennemføre en ny risikovurdering, hvis de bliver bekendt med nye særlige forhold i foreningen.

Risikovurderingens fokus er hvidvask og terrorfinansiering.

Hvidvask vil typisk være kendetegnet ved en betydelig finansiel volumen, som strømmer igennem foreningen, eller et stort kontantflow.

Terrorfinansiering kan have en langt lavere volumen og vil ofte være karakteriseret ved uklare anskaffelser af midler og transaktioner til og fra udlandet.

Risikoparametrene for hvidvask og terrorfinansiering er således forskellige.

Nedenfor følger tre tabeller.

I tabel 1 fremgår visse typer af foreninger, som i udgangspunktet karakteriseres som begrænset risiko.

I tabel 2 følger de karakteristika, som indikerer, at et forretningsforhold med en forening indebærer begrænset risiko, mens tabel 3 indeholder karakteristika, som indikerer, at et forretningsforhold med en forening indebærer øget risiko.

Tabel 1.

Som udgangspunkt vil foreninger med følgende karakteristika kunne klassificeres som begrænset risiko

Tabel 2.

Følgende karakteristika understøtter i øvrigt en forenings klassifikation som begrænset risiko

Tabel 3.

Følgende karakteristika understøtter en forenings klassifikation som øget risiko

Ovenstående karakteristika kan aldrig stå alene, og en eventuel klassificering af en forening som begrænset eller øget risiko skal bero på en gennemgang af foreningens samlede engagement, ejerkreds og forretningsmodel mv. Foreningens risikoklassifikation vil herefter få betydning for, hvor ofte oplysningerne skal opdateres og intensiteten i overvågningen af foreningen.

For eksempel skal virksomheden gøre sig overvejelser om, hvorvidt det har betydning for risikoklassifikationen, at der indgår én eller flere politisk eksponerede personer (PEP’er) i foreningens ledelse.

Virksomheden skal i denne sammenhæng foretage en konkret vurdering med udgangspunkt i PEP’ens kontrol over foreningen, og virksomheden skal vurdere, om foreningen handler på vegne af PEP’en.

Virksomheden skal også gøre sig overvejelser om betydningen for risikoklassifikationen, hvis der i foreningens ledelse f.eks. indgår én eller flere personer, som er bosiddende i et land, der ifølge troværdige evalueringer mv. er identificeret som et land, der ikke har effektive ordninger til bekæmpelse af hvidvask og terrorfinansiering.

Det forhold, at en forening er vurderet til at have øget risiko, betyder ikke nødvendigvis, at foreningen skal vurderes som mistænkelig.

Det er muligt at imødekomme dele af de iboende risici ved korrekt risikostyring, både blandt virksomhederne og blandt foreningerne.

Foreninger med øget risiko er underlagt yderligere dokumentationskrav i forhold til foreninger med lavere risiko, herunder dokumentation for forretningsomfang, risikostyring mv.

4.

Eksempler på kundekendskabsoplysninger

Dette afsnit indeholder konkrete eksempler på, hvordan en kundekendskabsprocedure udføres, når en forening vurderes at have henholdsvis begrænset og øget risiko.

Foreningens risikoniveau kan først endeligt vurderes af virksomheden, når de oplysninger, der er relevante, er indhentet.

Uanset hvilken risiko for hvidvask eller terrorfinansiering, en virksomhed vurderer, at en forening har, skal virksomheden altid indhente nogle grundoplysninger om foreningen, som navn på foreningen og som udgangspunkt CVR-nr. Hvis foreningen ikke har et CVR-nr., skal virksomheden indhente lignende identitetsoplysninger”.

Se nærmere nedenfor under afsnit 4.1 om foreninger med begrænset risiko.

Virksomheden skal derudover som led i sine kundekendskabsprocedurer identificere foreningens reelle ejere.

En reel ejer er den eller de fysiske personer, der i sidste ende ejer eller kontrollerer en forening (som udgangspunkt mere end 25 pct.).

Foreninger har typisk ikke reelle ejere på samme måde, som virksomheder har, og derfor vil det ofte være foreningens daglige ledelse, der betragtes som foreningens reelle ejere.

I foreninger vil det ofte enten være foreningens bestyrelse eller direktionen, hvis foreningen har en sådan, der vil udgøre foreningens daglige ledelse.

Det beror på en konkret vurdering af den enkelte forening og dennes forhold, herunder hvordan vedtægterne er udformet.

Virksomheden skal indhente identitetsoplysninger på foreningens reelle ejere.

Identitetsoplysninger er navn og som udgangspunkt CPR-nr. Der henvises i øvrigt til Finanstilsynets vejledning til hvidvaskloven del 3 om kundekendskabsprocedurer.

Herudover skal virksomheden gennemføre rimelige foranstaltninger for at kontrollere den eller de reelle ejeres identitet, f.eks. ved at indhente kopi af pas eller kørekort.

Identitetsoplysninger skal indhentes på alle de reelle ejere.

Kontrollen af oplysningerne skal modsat identifikationen foretages ud fra en risikobaseret vurdering af, hvad der er rimelige foranstaltninger i forhold til den konkrete kunde.

Virksomheden skal her være opmærksom på, at der er mange forskellige typer foreninger i Danmark.

Foreninger dækker derfor over et meget bredt spænd i forhold til risikoprofil, hvilket har betydning for de kontrolforanstaltninger, der skal foretages.

4.1 Når en forening vurderes at have begrænset risiko

Vurderer virksomheden, at et kundeforhold med en forening udgør begrænset risiko, kan virksomhedens kundekendskabsprocedurer begrænse sig til

En vurdering af den konkrete forening kan føre til, at virksomheden finder det nødvendigt at indhente yderligere oplysninger om foreningen, f.eks. kopi af pas og sundhedskort for alle medlemmer af bestyrelsen, selvom foreningen vurderes at have begrænset risiko.

4.2 Når en forening vurderes at have øget risiko

Vurderer virksomheden, at et kundeforhold med en forening udgør en øget risiko, kan virksomhedens kundekendskabsprocedurer omfatte

En virksomhed skal altid konkret vurdere, om det er relevant at indhente yderligere oplysninger.

Det kan f.eks. være at søge oplysning om oprindelsen af kundens midler.

Det kan være relevant at bede kunden dokumentere de oplysninger, som kunden giver, f.eks. om midlernes oprindelse.

Hvis virksomheden har indikationer på usædvanlige eller mistænkelige forhold, vil det typisk ikke være tilstrækkeligt for at afkræfte en mistanke blot at indhente yderligere oplysninger mundtligt fra kunden om midlernes oprindelse.

Hvis en forening vurderes at have øget risiko, er virksomheden i henhold til hvidvasklovens § 17 pålagt at gennemføre skærpede kundekendskabsprocedurer, som skal anvendes ud over de almindelige kundekendskabsprocedurer.

Dette indebærer, at virksomheden kan være forpligtet til bl.a. at indhente yderligere oplysninger om kunden og kundens reelle ejere som adresse, formue og midlernes oprindelse samt yderligere oplysninger om kundens formål og tilsigtede beskaffenhed med kundeforholdet.

Ligeledes kan virksomheden beslutte at gennemføre kundekendskabsprocedurer oftere i løbet af kundeforholdet og løbende gennemgå kundens transaktioner.

Hvidvasklovens bilag 3 oplister en ikke-udtømmende liste over faktorer og typer af dokumentation, som kendetegner situationer, der potentielt indebærer en øget risiko.

Det drejer sig bl.a. om kunder med tilknytning til geografiske områder med en højere risiko, kunder med kontantbaserede aktiviteter eller kunder, som modtager betalinger fra ukendte kilder.

5.

Overvågning og løbende ajourføring

Virksomheden skal løbende overvåge kundeforholdene.

Kravet gælder både i forhold til overvågning af de transaktioner, som kunden foretager, og i forhold til andre af kundens aktiviteter, generelt betegnet kundens adfærd, som virksomheden f.eks. får kendskab til gennem den almindelige kontakt med kunden eller via andre kilder, som f.eks. medier.

Formålet med overvågningen er blandt andet at afdække, om den enkelte kundes adfærd, herunder kundens transaktioner og aktiviteter, er i overensstemmelse med virksomhedens kendskab til kunden.

Virksomheden skal i den forbindelse løbende ajourføre sit kendskab til kunden, også når denne er en forening.

Det betyder, at en forening kan opleve at blive afkrævet oplysninger af f.eks. sin bank, også selv om foreningen har været kunde i banken i mange år.

Det kan også være, at der er forhold i foreningen, der medfører, at banken skal bruge nye oplysninger, f.eks. hvis der sker udskiftning i foreningens bestyrelse, foreningen ændrer sine vedtægter eller andre forhold, som ikke direkte er affødt af ændringer hos foreningen.

Virksomhedens risikovurdering af foreningen kan godt ændre sig gennem tiden.

En forening kan således godt vurderes at have begrænset risiko ved indgåelse af kundeforholdet, men hvor overvågningen resulterer i, at virksomheden ved en løbende ajourføring vurderer, at foreningen har en øget risiko og dermed vil skulle indgive yderligere oplysninger.

Det kan både være identifikationsoplysninger om bestyrelsesmedlemmerne og oplysninger om kundeforholdets formål og tilsigtede beskaffenhed samt eventuelt oplysninger om midlernes oprindelse.

Omvendt kan foreningen også ved kundeforholdets indgåelse vurderes til at have en øget risiko, men hvor virksomheden senere gennem opbygning af et bedre kendskab ændrer vurderingen af foreningen til at have en lavere risiko.

1

Arbejdsgruppen blev nedsat i januar 2021 under ledelse af Finans Danmark med deltagelse af repræsentanter fra relevante organisationer samt med Kulturministeriet, Erhvervsministeriet, Finanstilsynet og PET som observatører

2

Virksomheder og personer omfattet af hvidvaskloven omtales i denne vejledning alene som ”virksomheder”.

3

Vejledning nr. 9864 af 28. oktober 2020.

4

https://www.finanstilsynet.dk/Tilsyn/Information-om-udvalgte-tilsynsomraader/Hvidvask/Links-vedr-hvidvask

5

Foreninger kan være organiseret forskelligt – nogle har et samlet CVR-nummer for hele foreningen på landsplan, andre har selvstændige CVR-numre for samtlige lokalafdelinger.

Der bør i det følgende tages udgangspunkt i, at organisationer under samme landsforening er del af den samme landsforening uanset CVR-organisering.

Karakteristika

Forklaring

Foreninger med født medlemskab, f.eks. ejerforeninger, almene boligforeninger, andels-boligforeninger, gårdlaug, antenneforeninger m.fl.

Disse typer foreningers aktiviteter er snævert afgrænset til foreningernes specifikke formål.

Karakteristika

Forklaring

Foreninger, som virksomheden har et eksisterende og betryggende kendskab til, og som ikke har aktiviteter eller transaktioner, der i øvrigt giver anledning til bekymring.

Det tillægges risikoreducerende værdi, såfremt virksomheden har et eksisterende betryggende engagement med foreningen.

Foreninger karakteriseret ved kontinuerligt begrænset omsætning, indestående eller lavt kontantflow.

Ved begrænset omsætning og lavt kontantflow er risikoen for hvidvask begrænset.

Risikoen for terrorfinansiering vil typisk ikke være beløbsafhængig, men knytte sig til mistænkelig eller uklar anskaffelse af midler, manglende transparens og demokratiske processer samt internationale transaktioner.

Foreninger, som i forbindelse med offentlige tilskud eller bevillinger gennemgår en betryggende kontrol af formål, aktiviteter og transaktioner.

Den risikoreducerende effekt vil bero på karakteren af myndighedskontrollen, der kan variere fra særdeles intensiv til at være mere formel.

Det, at en forening modtager midler fra offentlige puljer, er ikke i sig selv risikoreducerende, men eksempelvis kontrol af regnskaber, revisionskrav m.v. vil have en risikoreducerende effekt.

Foreninger, som har et demokratisk formål og er demokratisk opbygget.

Såfremt foreningen er demokratisk orienteret og organiseret, ikke bare formelt, men også reelt, vil det vanskeliggøre kriminalitet foranstaltet af et eller få individer, idet risikoen for opdagelse internt i foreningen må antages at være betydelig.

Foreninger, som er landsdækkende eller repræsenteret i flere landsdele eller foreningen er medlem af en hoved- eller landsorganisation.

Disse foreninger vil typisk være en del af et organisatorisk fællesskab, hvor der dels er en højere grad af kontrol, men også flere og fælles ressourcer til finansielle og juridiske udfordringer og løsninger.

Det må forventes, at foreningen i dialog med eksempelvis sit pengeinstitut kan beskrive sine organisatoriske forhold, og hvordan de påvirker foreningens risici.

Eksempelvis ved juridisk bistand, fælles procedurer, udbredelse af best practice m.v.

Foreninger, som har professionel ledelse.

Her tænkes der på (typisk landsdækkende) foreninger med ressourcer til interne kontroller, professionelt sekretariat m.v. Disse foreninger vil ofte have egne jurister og regnskabskyndige ansat, hvilket kan reducere risikoen for hvidvask og terrorfinansiering.

Foreninger med ekstern revision eller offentlige beretninger og regnskaber vil have en lavere risiko for kriminelle aktiviteter.

Foreninger, som har betryggende interne compliance-mekanismer til håndteringen af transaktioner af statslige eller over-statslige puljemidler til udlandet.

Der fokuseres her på foreningens interne processer og strukturer for transaktioner til udlandet, herunder i særdeleshed foreningens vurdering og håndtering af risiko for terrorfinansiering.

For så vidt angår statslige eller over-statslige puljemidler, bør det vurderes, om der er tale om puljemidler fra legitime, demokratiske aktører.

Karakteristika

Forklaring

Foreninger, som indsætter eller hæver større kontantbeløb, som ikke kan knyttes til konkrete aktiviteter.

Her tænkes typisk på indsamlede kontanter, hvis oprindelse eller anvendelse der ikke kan redegøres betryggende for.

Foreninger, som har indsamlingsaktiviteter udenfor egen medlemskreds, der ikke håndteres på betryggende vis.

Her er fokus på, om foreningen har søgt og fået tilladelse eller godkendelse til indsamlingen via indsamlingsnævnet, har procedurer for regnskabsaflæggelse, dokumentation for midlernes håndtering og anvendelse m.v.

Foreninger, som har finansielle transaktioner ud af Danmark eller økonomiske aktiviteter udenfor Danmark, der er forbundet med særlige risici.

Der fokuseres her på donationer eller projekter med relation til især konfliktzoner eller geografiske områder med ineffektive ordninger til bekæmpelse af hvidvask og terrorfinansiering.

Her tænkes ikke på f.eks. statslige eller overstatslige puljemidler til f.eks. hjælpeorganisationer, der er underlagt særskilte compliancekrav.

Foreninger, som er etableret til erhvervsmæssige formål, f.eks. pengeoverførsels-virksomhed eller lotteri/spil.

Virksomheden skal vurdere, om foreningen er konstrueret som dække for erhvervsmæssige og/eller finansielle aktiviteter, der ikke knytter sig til foreningens formål, eller hvor foreningen er uegnet som formel ramme.

Tilsvarende skal virksomheden vurdere, om foreningens reelle primære aktiviteter ligger udenfor foreningens formål.

Foreninger, som har aktiviteter, der kan anvendes til hvidvask.

Her tænkes eksempelvis på lotterier eller anden aktivitet, hvor der udloddes eller bortgives værdier i mistænkeligt omfang.

Eksempelvis hvor der er tale om uoverensstemmelser mellem foreningens størrelse og kapacitet og udlodningen, eller hvor omsætningen for aktiviteten er usædvanligt høj.

Fokus er på aktiviteter af en vis størrelse, hvor omfanget kan indikere hvidvask.

Virksomheden har kendskab til påfaldende transaktioner, f.eks. kontantudbetaling af løn, sammenblanding af forenings- og privatøkonomi og lignende.

Her tænkes på tilfælde hvor f.eks. et pengeinstitut konstaterer eller mistænker sammenblanding mellem forenings- og privatøkonomi, mistanke om kontant lønudbetaling, rolleforvirring mellem foreningens daglige ledelse og underleverandører m.v.

Foreninger, som modtager donationer fra udlandet, der ikke kommer fra overstatslige eller statslige kilder (dvs. ikke f.eks. FN, EU eller USAID-midler).

Her tænkes på donationer fra udenlandske enheder, f.eks. fonde, foreninger, virksomheder eller personer.

Dog ikke donationer eller tildelinger fra legitime aktører som demokratiske stater eller overstatslige aktører.

Foreninger, som modtager donationer eller andre overførsler i kryptovaluta.

Virksomheden skal vurdere, om eventuelle transaktioner i kryptovaluta er forbundet med øget risiko, eller om det er en naturlig del af foreningens virke.

6

https://erhvervsstyrelsen.dk/terrorfinansiering-og-sanktionslister,

https://um.dk/da/Udenrigspolitik/folkeretten/sanktioner/,

1)

Foreningens navn og eventuelle CVR-nr. eller lignende.

2)

Foreningens vedtægter og evt.

stiftelsesdokument, og hvis foreningen er CVR-registreret, ekstrakt af foreningens oplysninger fra CVR-registeret.

3)

Identitetsoplysninger i form af navn og CPR-nummer på de reelle ejere af foreningen.

4)

Sammenholde identitetsoplysningerne for de tegningsberettigede bestyrelsesmedlemmer med oplysninger i CVR-registreret eller CPR-registreret og eventuelt indhente kopi af pas eller kørekort.

5)

Oplysninger om formål og tilsigtet beskaffenhed med forretningsforbindelsen.

1)

Foreningens navn og eventuelle CVR-nr. eller lignende.

2)

Foreningens vedtægter og evt.

stiftelsesdokument og, hvis foreningen er CVR-registreret, ekstrakt af foreningens oplysninger fra CVR-registeret.

3)

Oplysninger fra skatteforvaltningen.

4)

Identitetsoplysninger i form af navn og CPR-nummer på de reelle ejere af foreningen.

5)

Kopi af pas eller kørekort på de reelle ejere, hvorefter virksomheden sammenholder oplysningerne med oplysninger fra CPR og CVR-registeret.

6)

Oplysninger om formålet og tilsigtet beskaffenhed med forretningsforbindelsen.

Dette kan f.eks. være oplysninger om, hvorvidt der modtages donationer og i givet fald forventet omfang samt oplysninger om, hvorvidt der foretages indsamlinger, der ligger ud over kontingenter og i givet fald forventet omfang.