Löpande kundkännedom

Hos många verksamhetsutövare är kundkännedom kopplad till riskklassning fortfarande något som främst förknippas med onboarding. Men penningtvättsregelverket utgår från ett riskbaserat förhållningssätt över hela kundrelationens livslängd. För AML-ansvariga och operativa medarbetare innebär det att riskklassning behöver ses som en löpande process – inte ett startmoment som “bockas av” och sedan lämnas.

Varför löpande kundkännedom och riskklassning hänger ihop

Penningtvättslagen kräver att verksamhetsutövare förstår kundens riskprofil och följer upp den över tid. Den initiala riskklassningen vid onboarding ger bara en första bild av kunden. När kundens verksamhet, ägarförhållanden eller beteende förändras kan den ursprungliga bedömningen snabbt bli inaktuell.

Löpande kundkännedom handlar därför om att:

• kontinuerligt övervaka kundens transaktioner och beteenden,
• identifiera förändringar som påverkar penningtvätts-, terroristfinansierings- och sanktionsrisken,
• uppdatera riskklassningen när riskprofilen förändras, och
• anpassa omfattningen av kundkännedomsåtgärderna efter den nya risknivån.

När ska riskklassningen omprövas?

Ett vanligt problem i praktiken är att verksamheten saknar tydliga trösklar för när riskklassning ska omvärderas. Resultatet blir att kunder ligger kvar i en låg eller normal riskklass, trots att deras faktiska riskprofil förändrats påtagligt.

Typiska situationer då riskklassningen bör omprövas är exempelvis:

• Nya ägare eller verkliga huvudmän – särskilt om de har koppling till högriskländer eller politiskt utsatta positioner (PEP).
• Utökad geografisk exponering – exempelvis när kundens verksamhet börjar omfatta nya länder, branscher eller kundkategorier med högre risk.
• Nya produkter eller tjänster – där kundens affärsmodell skiftar, exempelvis från enkel konsultverksamhet till komplexa upplägg med många transaktionsflöden.
• Avvikande beteende – transaktioner, volymer eller betalningsmönster som inte stämmer med det ni förväntat er utifrån kundens profil.
• Negativa medieuppgifter – exempelvis rapportering om ekonomisk brottslighet, sanktionslistor eller andra omständigheter som påverkar kundens riskklass.
• Interna varningssignaler – återkommande brister i underlag, ovilja att lämna information eller upprepade försök att kringgå era rutiner.

Från observation till uppdaterad riskklass: praktiskt arbetsflöde

För att löpande kundkännedom och riskklassning ska fungera i vardagen behöver det finnas ett tydligt arbetsflöde för vad som händer när något “skaver.” Ett praktiskt sätt är att koppla varje avvikelse till en strukturerad process:

• Observation – medarbetare noterar avvikande beteende, ny information eller extern medieuppgift.
• Initial bedömning – den som upptäckt avvikelsen gör en kort notering och lyfter frågan enligt fastställd eskaleringsväg.
• AML-granskning – AML-ansvarig eller utsedd funktion analyserar om den nya informationen påverkar riskprofilen.
• Uppdaterad riskklassning – riskklass justeras vid behov, inklusive dokumenterad motivering.
• Anpassade åtgärder – beslut om fördjupad kundkännedom, skärpt övervakning, villkorsändring eller eventuellt avslut av kundrelation.

Det centrala är att det finns en tydlig koppling mellan observation, analys, riskklassning och åtgärder och att alla steg dokumenteras på ett sätt som går att följa upp och förklara vid en tillsyn.

Vad innebär det i praktiken när riskklassen höjs?

Att höja en kunds riskklass är inte bara en notering i ett system. Det ska få konkreta följder för hur ni arbetar med kunden. Exakt vilka åtgärder som är proportionerliga beror på verksamhetens art, men några typiska konsekvenser kan vara:

• utökad identifiering av verkliga huvudmän och kontroll av ägarstrukturer,
• djupare förståelse av kundens affärsmodell och intäktsflöden,
• mer frekvent transaktionsövervakning och manuell granskning,
• krav på kompletterande underlag och förklaringar till transaktioner,
• intern rapportering till AML-funktion eller ledning vid återkommande frågetecken, och
• bedömning om rapportering av misstänkt penningtvätt till Finanspolisen.

På motsvarande sätt kan en sänkt riskklass, efter en väl motiverad och dokumenterad omprövning, innebära att vissa skärpta åtgärder inte längre är nödvändiga. Även detta behöver vara en medveten och spårbar bedömning.

Vanliga fallgropar i löpande kundkännedom och riskklassning

När löpande kundkännedom riskerar att bli en pappersprodukt finns ofta återkommande mönster. Några typiska fallgropar är:

• Onboarding-styrt tänk – all kraft läggs på första kundkännedomen, men få resurser avsätts för uppföljning.
• Brist på trösklar – inga tydliga definierade händelser som automatiskt triggar en omprövning av riskklass.
• Otydligt ansvar – medarbetare är osäkra på vem som ska agera när något ser avvikande ut.
• System som inte stödjer verksamheten – riskklass anges vid start men går inte enkelt att uppdatera eller koppla till uppföljningsåtgärder.
• Beroende av enskilda personer – kunskap om kunder och risker finns i medarbetares “huvuden” snarare än i dokumenterade bedömningar.

För AML-ansvariga blir uppgiften ofta att översätta regelverket till tydliga rutiner, enkla beslutsstöd och ett systemstöd som gör det lätt att göra rätt – även under tidspress.

Så kan ni stärka den löpande kundkännedomen och riskklassningen

Ett effektivt arbete med löpande kundkännedom och riskklassning kräver både struktur och kultur. Några konkreta steg kan vara:

• Definiera tydliga händelser som alltid ska leda till omprövning av riskklass, exempelvis ny verklig huvudman, nya länder eller negativ mediabevakning.
• Säkerställ att transaktionsövervakningen fångar avvikelser kopplade till kundens förväntade beteende.
• Inför enkel rapporteringsväg internt för “något verkar fel” och utbilda medarbetare i hur och när de ska använda den.
• Gör det lätt att dokumentera och följa riskklassningsbeslut, gärna direkt i era befintliga system.
• Gå igenom ett urval befintliga kunder årligen för att verifiera att riskklassen fortfarande är rimlig.

När löpande kundkännedom och riskklassning fungerar väl blir de inte bara ett sätt att uppfylla penningtvättsregelverket, utan också ett ledningsverktyg för att välja rätt kunder och skydda verksamhetens rykte. På Morling Consulting stöttar erfarna AML-jurister företag och organisationer med att utforma och implementera riskbaserade rutiner, utbilda medarbetare och kvalitetssäkra arbetet med kundkännedom över tid.