Risikobaseret tilgang er ikke et buzzword. Det er selve grundlaget for, hvordan hvidvasklovens regler skal forstås og anvendes.
For revisorer og bogholdere betyder det i praksis, at man ikke kan – og ikke skal – behandle alle kunder ens. Hvidvasklovgivningen bygger på en erkendelse af, at risikoen for hvidvask og terrorfinansiering varierer betydeligt afhængigt af kundetype, branche, ejerstruktur, geografiske relationer og transaktionsmønstre.
Den risikobaserede tilgang er derfor en styringsfilosofi. Den handler om, hvordan du prioriterer, hvor du går i dybden, og hvordan du løbende justerer din indsats.
Hvad er en risikobaseret tilgang?
En risikobaseret tilgang betyder, at indsatsen målrettes der, hvor risikoen er størst – og tilpasses der, hvor risikoen er mindre.
Det betyder ikke, at man kan fravælge lovkrav. Alle forpligtede enheder skal overholde hvidvaskloven fuldt ud. Men det betyder, at dybden, intensiteten og hyppigheden af kontroller kan og skal afspejle den konkrete risiko.
Risikobaseret tilgang er samtidig en erkendelse af, at forpligtede enheder har begrænsede ressourcer. Tid og kontrolkapacitet er ikke ubegrænsede, og derfor skal ressourcerne allokeres der hen, hvor de giver størst effekt i forhold til at forebygge og opdage hvidvask og terrorfinansiering.
Det betyder naturligvis ikke, at man kan anføre manglende ressourcer som begrundelse for ikke at gå tilstrækkeligt i dybden, hvor risikoen tilsiger det. Men det betyder, at indsatsen skal være differentieret.
Begrænset risiko kræver mindre – men aldrig ingenting.
Høj risiko kræver mere – og det skal kunne forklares.
En farlig misforståelse: Tjekliste-compliance
En af de mest udbredte faldgruber er at forveksle risikobaseret tilgang med en standardiseret tjekliste. Det er ikke muligt at lave en tilstrækkelig KYC på 2 eller 5 minutter.
Tjeklister kan være nyttige som støtteværktøj. Men hvis AML-arbejdet reduceres til en mekanisk gennemgang af faste spørgsmål uden reel stillingtagen, mister man formålet.
Risikobaseret tilgang kræver faglig vurdering. Det kræver, at man aktivt tager stilling til, hvor virksomheden er mest eksponeret, hvilke kunder der indebærer særlige risikofaktorer, og hvor overvågningen skal være skærpet.
Hvis alle kunder behandles ens – uanset risikoprofil – arbejder man i praksis ikke risikobaseret. Man arbejder ensartet. Og ensartethed er ikke det samme som proportionalitet.
Hvorfor risikovurderingen er afgørende
Den risikobaserede tilgang kan kun fungere, hvis risikovurderingen er reel og gennemtænkt.
Det er risikovurderingen, der identificerer:
- Hvilke kundetyper der indebærer forhøjet risiko
- Hvilke ydelser der kan misbruges
- Hvilke geografiske relationer der kræver særlig opmærksomhed
- Hvilke leveringskanaler der øger sårbarheden
Hvis risikovurderingen er overfladisk eller generisk, bliver hele den risikobaserede tilgang hul og der er forøget risiko for at man udnyttes i forbindelse med hvidvask og terrorfinansiering.
Kunder med højere risiko skal overvåges mere intensivt end kunder med begrænset risiko. Kunder med særlige risikofaktorer og skærpet KYC skal have større opmærksomhed end kunder uden sådanne forhold. Ellers er der ikke tale om en risikobaseret tilgang, men om administrativ rutine.
Hvidvask og terrorfinansiering – én forpligtelse, to risikokategorier
Hvidvaskloven handler ikke kun om klassisk hvidvask.
Den handler også om finansiering af terror.
Hvidvask kan udspringe af økonomisk kriminalitet som momssvindel, skatteunddragelse, socialt bedrageri og organiseret kriminalitet. Terrorfinansiering kan derimod involvere midler, der i udgangspunktet er lovligt erhvervet, men som anvendes til at støtte terroraktiviteter.
Særligt transaktioner med udlandet og relationer til lande uden velfungerende AML-regimer kræver opmærksomhed. Lande på internationale sortlister eller jurisdiktioner med utilstrækkelig regulering kan indebære forhøjet risiko – også selv om de enkelte transaktioner i sig selv ikke fremstår usædvanlige.
Den risikobaserede tilgang skal derfor omfatte både oprindelsen af midler og deres potentielle anvendelse. Det kræver et bredt blik og en løbende vurdering af geografiske og regulatoriske risici.
Risikobaseret tilgang er ikke statisk
En risikobaseret tilgang kan ikke fastfryses i et dokument.
Risiko ændrer sig i takt med, at:
- Kundernes aktiviteter udvikler sig
- Nye markeder åbnes
- Ejer- og ledelsesforhold ændres
- Geopolitiske forhold forskydes
- Nye former for økonomisk kriminalitet opstår
For revisorer og bogholdere betyder det, at man løbende må genbesøge både virksomhedens overordnede risikovurdering og de enkelte kunders risikoprofil.
En risikobaseret tilgang forudsætter dynamik. Hvis risikovurderingen ikke opdateres, og overvågningsniveauet ikke justeres, bliver tilgangen i praksis statisk – og dermed ikke længere risikobaseret.
Når risikobaseret tilgang virker
Når den risikobaserede tilgang fungerer i praksis, skaber den klarhed og prioritering.
Den gør det tydeligt, hvilke kunder der kræver skærpet overvågning og opfølgning, hvilke transaktioner der bør undersøges nærmere, og hvor virksomhedens kontrolindsats bør koncentreres. Den reducerer unødigt bureaukrati for lavrisikokunder og frigør ressourcer til de områder, hvor risikoen reelt er størst.
Omvendt kan en mangelfuld risikobaseret tilgang føre til to yderpunkter: enten et overdrevent administrativt setup, hvor alle behandles som højrisiko, eller en for overfladisk kontrol, hvor væsentlige risici overses. Begge dele svækker robustheden – både i forhold til den faktiske risiko og i forhold til et tilsyn.
Arbejder du reelt risikobaseret?
At skrive “risikobaseret tilgang” i en politik er enkelt.
At arbejde risikobaseret i praksis er noget andet.
- Hvordan arbejder du med AML, risikovurdering og overvågning?
- Har du gode procedurer – og følger du dem faktisk?
- Er der sammenhæng mellem det nedskrevne og den måde, din virksomhed reelt arbejder på?
- Kan du forklare, hvorfor nogle kunder får mere opmærksomhed end andre?
Hos DocWise hjælper vi virksomheder med at opbygge en sammenhængende AML-ramme, hvor risikovurdering, processer og overvågning hænger sammen i praksis.
Læs mere om vores produkter og find ud af, hvordan vi kan hjælpe dig sikkert gennem AML-processen – så du kan sove trygt om natten.
