Allmän riskbedömning

En mall kan vara en bra startpunkt. Men den kan aldrig vara slutprodukten i ett fungerande AML-arbete. Revisorsinspektionens tillsyn visar att det avgörande inte är att det finns ett dokument med rätt rubrik, utan att dokumentet innehåller en faktisk analys av den egna verksamheten och kan användas för att styra de åtgärder som följer av penningtvättsregelverket.

För revisionsföretag blir därför den allmänna riskbedömningen betydligt mer än ett formellt compliance-dokument. Rätt utformad fungerar den som utgångspunkt för rutiner, kundriskklassificering, utbildning, uppföljning och den löpande hanteringen av penningtvättsrisker.

En mall kan ge struktur – men inte göra analysen

Det är lätt att förstå varför mallar används. Penningtvättsregelverket innehåller flera dokumentationskrav och en genomarbetad struktur kan göra arbetet mer effektivt. Men tillsynen riktar fokus mot nästa steg: innehållet måste vara anpassat till den verksamhet som faktiskt bedrivs.

I tillsynsbeslut konstaterar Revisorsinspektionen bland annat att allmänna riskbedömningar ofta saknar en bedömning av hur de tjänster som revisionsföretag tillhandahåller kan utnyttjas för penningtvätt eller finansiering av terrorism. Det saknas ofta också en beskrivning av de egenskaper som kan göra verksamheten eller tjänsterna sårbara samt en sammantagen riskvärdering.

Det illustrerar en central princip: en allmän riskbedömning behöver innehålla mer än kategorier, skalor och standardformuleringar. Det måste gå att följa analysen från den egna verksamheten till de risker som har identifierats och vidare till hur dessa risker värderas och hanteras.

Kundriskbedömningen är inte den allmänna riskbedömningen

En särskilt viktig del av vad Revisorsinspektionen lyfter är skillnaden mellan verksamhetens allmänna riskbedömning och riskbedömningen av en enskild kund.

Kundriskprofilen tar sikte på riskerna i en viss affärsförbindelse eller ett visst uppdrag. Den allmänna riskbedömningen har ett annat perspektiv. Den ska vara en övergripande analys av revisionsföretagets egen verksamhet och dess exponering mot penningtvätt och finansiering av terrorism.

Revisorsinspektionen understryker uttryckligen att dessa två bedömningar inte ska förväxlas och att kundriskprofiler inte kan ersätta den allmänna riskbedömningen.

Det är en viktig distinktion även ur ett styrningsperspektiv. Kundriskklassificeringen behöver kunna härledas tillbaka till en genomtänkt analys av verksamhetens tjänster, kunder, distributionskanaler och geografiska riskfaktorer. Annars finns det en risk att verksamheten får många individuella bedömningar utan en gemensam logik för hur riskerna ska förstås. Det blir alltså en brist i efterlevnaden av penningtvättsregelverket.

Den allmänna riskbedömningen styr resten av åtgärderna

Penningtvättslagen bygger på ett riskbaserat arbetssätt. Det innebär i praktiken att den allmänna riskbedömningen blir navet i revisionsföretagets AML-struktur.

Med rätt struktur blir det enklare att skapa en tydlig kedja:

• Vilka tjänster erbjuder revisionsföretaget?
• På vilka sätt skulle dessa tjänster kunna utnyttjas för penningtvätt eller finansiering av terrorism?
• Vilka egenskaper i verksamheten skapar sårbarheter?
• Vilka kundtyper, distributionskanaler och geografiska förhållanden påverkar risken?
• Hur värderas de identifierade riskerna?
• Vilka rutiner och kontrollåtgärder behövs för att hantera dem?

När den kedjan är tydlig får den allmänna riskbedömningen ett praktiskt värde. Den blir ett underlag för hur kundkännedom ska genomföras, när åtgärder behöver förstärkas, hur den fortlöpande uppföljningen ska utformas och vilken utbildning som behöver prioriteras.

Rutiner måste vara tillräckligt konkreta för att kunna användas

Samma princip gäller för revisionsföretagets rutiner och riktlinjer. Generella formuleringar om att förenklade eller skärpta kundkännedomsåtgärder kan användas säger ofta inte tillräckligt om hur arbetet faktiskt ska utföras.

Revisorsinspektionen har exempelvis lyft fram att dokumentation beskrivit möjligheten att vidta förenklade respektive skärpta åtgärder, men inte vilka konkreta anpassningar som skulle göras vid låg risk eller vilka ytterligare åtgärder som skulle vidtas vid hög risk.

Det praktiska värdet ligger ofta i operationaliseringen. En medarbetare eller ansvarig revisor bör kunna förstå vad en viss riskklassificering faktiskt innebär i nästa steg. Vilken information ska hämtas in? Vilka kontroller ska göras? Hur ofta ska uppföljning ske? När behöver en bedömning eskaleras eller dokumenteras ytterligare?

En genomtänkt struktur skapar därmed både bättre regelefterlevnad och bättre intern styrning.

Ett dokument är inte samma sak som verksamheten följer penningtvättsregelverkets krav

AML-arbetet blir mest robust när dokumentationen ses som delar av ett sammanhängande system. Den allmänna riskbedömningen, rutinerna, kundriskbedömningarna, utbildningen och uppföljningen behöver stödja varandra.

Det innebär också att ett webbaserat verktyg eller ett revisionsprogram kan vara värdefullt utan att ersätta den juridiska analysen. System kan effektivisera informationsinhämtning, kontroller och dokumentation. Men verktyget behöver användas inom en struktur som förklarar vilka risker verksamheten har identifierat och varför olika åtgärder ska vidtas.

Det är här mallfrågan egentligen landar. En mall kan hjälpa till att komma ihåg vilka delar som ska behandlas. Den kan däremot inte avgöra vilka risker som finns i den egna verksamheten, hur de ska värderas eller vilka rutiner som är proportionerliga för just den verksamheten.

Från dokumentationskrav till styrinstrument

Den mest användbara allmänna riskbedömningen är därför inte den som ser mest komplett ut. Det är den som gör revisionsföretagets resonemang begripligt.

En väl dokumenterad bedömning gör det enklare att visa varför vissa risker har bedömts som högre eller lägre, hur kundriskklassificeringen hänger samman med verksamhetens övergripande riskbild och varför vissa kontrollåtgärder har valts.

Den gör det också enklare att uppdatera AML-arbetet när verksamheten förändras. Nya tjänster, andra kundgrupper eller förändrade geografiska exponeringar kan då analyseras inom en redan etablerad metod i stället för att hanteras som fristående frågor.

På så sätt går det att flytta fokus från frågan om huruvida rätt dokument finns till frågan om AML-systemet fungerar som ett sammanhängande styrsystem för den verksamhet som faktiskt bedrivs.

Det är analysen som gör mallen värdefull

Mallar har fortfarande en viktig funktion. De kan ge struktur, effektivisera arbetet och skapa konsekvens över tid. Men deras värde uppstår först när de fylls med en verksamhetsspecifik analys och kopplas till konkreta beslut om riskhantering.

För revisionsföretag innebär det att den allmänna riskbedömningen behöver kunna läsas som en förklaring av verksamhetens AML-logik: vilka risker som finns, varför de bedöms på ett visst sätt och hur bedömningen påverkar arbetssättet i praktiken.

Morling Consultings AML-jurister hjälper verksamhetsutövare att strukturera allmänna riskbedömningar, rutiner och andra delar av AML-arbetet så att dokumentationen bygger på verksamhetens faktiska förutsättningar och ger ett tydligt underlag för styrning, uppföljning och välgrundade beslut.