AMLR artiklarna 19–20: kundkännedom, riskbedömning och löpande övervakning

Vi fortsätter Morling Consultings bloggserie om EU:s nya penningtvättsförordning (AMLR). I en tidigare del behandlades bland annat krav på interna rutiner och visselblåsning, med fokus på anställda och deras integritet.

I denna del förskjuts fokus till kärnan i det riskbaserade AML-arbetet, nämligen kundkännedom. Genom artiklarna 19 och 20 i AMLR tydliggörs både när ansvariga enheter är skyldiga att vidta åtgärder för kundkännedom och vilka konkreta moment dessa åtgärder ska omfatta. Tillsammans utgör bestämmelserna grunden för hur verksamheter ska förstå sina kunder, deras transaktioner och den övergripande risken för penningtvätt och finansiering av terrorism.

Mot denna bakgrund bistår Morling Consulting verksamheter med AML-expertis, genom juridiskt stöd som exempelvis rör kundkännedom, riskklassificering och löpande övervakning. I det följande sammanfattas de centrala delarna av AMLR:s reglering om kundkännedom enligt artiklarna 19 och 20, med koppling till hur de påverkar praktiskt AML-arbete.

Artikel 19 AMLR – Vidtagande av åtgärder för kundkännedom

Artikel 19 fastställer de situationer där ansvariga enheter är skyldiga att vidta åtgärder för kundkännedom. Den första och mest grundläggande situationen är när en affärsförbindelse ingås. Det är centralt för den ansvariga enheten att säkerställa tillräcklig kunskap om kunden innan en affärsförbindelse påbörjas. Redan vid denna tidpunkt ska en riskbedömning göras som ligger till grund för både kundens riskprofil och den fortsatta övervakningen.

Artikel 19 reglerar även när kundkännedom ska vidtas vid enstaka transaktioner. Huvudregeln är ett tröskelvärde om minst 10 000 euro, oavsett om beloppet uppnås genom en enskild transaktion eller genom flera förbundna transaktioner. Detta förhindrar att transaktioner struktureras i syfte att kringgå AML-kraven.

Ett viktigt inslag i artikel 19 är skyldigheten att vidta kundkännedom vid deltagande i bildandet av juridiska enheter eller juridiska konstruktioner, samt vid överföring av äganderätt i sådana enheter. Vid tillämpning av denna bestämmelse är transaktionens värde irrelevant. Bestämmelsen tar sikte på den strukturella risk som är förknippad med missbruk av bolagsstrukturer och komplexa ägarförhållanden, snarare än på enskilda penningflöden.

Artikel 19 klargör vidare att kundkännedom alltid ska vidtas när det finns misstanke om penningtvätt eller finansiering av terrorism. Denna skyldighet gäller oberoende av tröskelvärden eller eventuella undantag. Därutöver ska åtgärder vidtas när det råder tvivel om tidigare insamlade kunduppgifters tillförlitlighet. Därefter reglerar förordningen att åtgärder ska vidtas även när det finns tvivel om en person agerar som kund eller om personen är bemyndigad att agera på kundens vägnar.

Utöver de generella situationerna inför artikel 19 särskilda regler för vissa sektorer och transaktionstyper. Kreditinstitut och finansiella institut ska, utöver tidigare omständigheter enligt ovan, vidta åtgärder när de initierar, alternativt utför, vissa enstaka transaktioner. Det gäller transaktioner av minst 1 000 euro och gäller oavsett om transaktionen utförs i flera led eller om den utförs vid ett tillfälle. För leverantörer av kryptotillgångstjänster gäller motsvarande tröskel, med ytterligare krav även vid transaktioner under detta belopp, om än i mer begränsad form.

Även kontanttransaktioner omfattas av särskilda regler. Vid kontanttransaktioner om minst 3 000 euro ska åtgärder för identifiering vidtas, såvida inte medlemsstaten har infört strängare kontantbegränsningar. För speltjänster ställs krav på att vidta åtgärder för kundkännedom vid ett särskilt tröskelvärde om 2 000 euro för insatser eller utbetalningar.

En central del av artikel 19 är regleringen av vilka som de ansvariga enheterna ska betrakta som kunder i olika situationer. För flera yrkesgrupper, exempelvis advokater, fastighetsmäklare och betalningstjänstleverantörer, utvidgas kundbegreppet till att omfatta båda parter i en transaktion eller andra ekonomiskt relevanta aktörer, såsom varuleverantörer. Detta vidgar tillämpningsområdet för kundkännedom och motverkar att centrala riskpersoner faller utanför AML-ramverket.

Artikel 19 omfattar även möjligheten för tillsynsorgan att undanta ansvariga enheter, helt eller delvis, från att tillämpa åtgärder för kundkännedom. Det gäller vid elektroniska pengar och undantagen kräver att det ska finnas en bevisad låg risk. Vid tillämpningen av undantaget ska även ett antal villkor vara uppfyllda som reglerar bland annat utformningen av betalningsinstrumentet.

Artikel 20 AMLR – Åtgärder för kundkännedom

Samtidigt som artikel 19 anger när kundkännedom ska vidtas, fastställer artikel 20 vad kundkännedom faktiskt innebär i praktiken. Bestämmelsen tar upp en sammanhängande lista av åtgärder som tillsammans ska ge den ansvariga enheten en tillräcklig förståelse av kunden och de risker som är förknippade med affärsförbindelsen. Ansvariga enheter ska vidta samtliga åtgärder som listas enligt artikel 20.

Grunden för kundkännedom är identifiering och kontroll av kundens identitet. För juridiska personer omfattar detta även identifiering och verifiering av verkliga huvudmän samt förståelse av ägar- och kontrollstrukturen.

Artikel 20 kräver vidare att den ansvariga enheten bedömer och, i tillämpliga fall, inhämtar information om affärsförbindelsens eller transaktionens syfte och art. Detta moment är centralt för att möjliggöra transaktionsövervakning och för att identifiera avvikelser från det förväntade beteendet.

Att kontrollera om de verkliga huvudmännen eller kunden är föremål för riktade ekonomiska sanktioner utgör ett obligatoriskt moment i kundkännedomsprocessen. Det gäller även om en kund som är en juridisk enhet innehar någon fysisk eller juridisk person som kontrollerar den juridiska enheten eller innehar mer än 50% av enhetens äganderätt är föremål för riktade ekonomiska sanktioner.

Artikel 20 föreskriver fortlöpande övervakning av affärsförbindelsen under hela dess existens. Detta innefattar granskning av transaktioner och uppdatering av kundinformation. Löpande övervakning är avgörande för att säkerställa att den ursprungliga riskbedömningen förblir relevant över tid. Artikeln omfattar även åtgärder såsom att bedöma information om arten av kundens verksamhet, anställning eller yrke, samt att fastställa om kunden, den verkliga huvudmannen eller personen som handlar på kundens vägnar är en person i politiskt utsatt ställning. Slutligen ska en kontroll samt identifikation ske vid transaktioner där någon påstår sig handla på kundens vägnar eller till förmån för kunden.

Artikel 20.2 tydliggör att omfattningen av kundkännedomsåtgärderna ska bestämmas utifrån en individuell riskanalys som omfattar riskerna för penningtvätt eller terrorismfinansiering. Riskanalysen ska beakta kundens, affärsförbindelsen eller transaktionens natur, särdrag och den ansvariga enhetens allmänna riskbedömning. Vid förhöjd risk ska skärpta åtgärder tillämpas av företaget, samtidigt som förenklade åtgärder kan vara tillåtna vid låg risk. Enligt artikel 20.4 ska ansvariga enheter alltid kunna visa för tillsynsmyndigheterna att de vidtagna åtgärderna är lämpliga i förhållande till de identifierade riskerna.

Kundkännedom som kärna i det riskbaserade AML-arbetet

Artiklarna 19 och 20 i AMLR visar att kundkännedom inte är en engångsåtgärd vid onboarding, utan en fortlöpande process som sträcker sig över hela affärsförbindelsens livscykel. För ansvariga enheter innebär detta att arbetet med kundkännedom måste vara integrerat i verksamhetens övergripande riskramverk, styrning och interna kontroll.

I praktiken ställer AMLR höga krav på att ansvariga enheter kan förklara och motivera varför en viss nivå av kundkännedom har valts i det enskilda fallet. Dokumentation av riskbedömningar, val av åtgärder och uppföljning blir därmed centrala komponenter för att undvika brister vid tillsyn och för att hantera risker med bristande regelefterlevnad.

På Morling Consulting hjälper våra AML-jurister företag och andra ansvariga enheter att utforma, implementera och granska arbetet med kundkännedom – från riskbedömningar och styrdokument till praktiska rutiner, systemkrav och utbildning. För mer information om hur vi kan stödja er verksamhet i AML-arbetet, besök morlings.se.

Serien fortsätter med följande område: Oförmåga att uppfylla kraven på kundkännedom enligt AMLR