Kundkännedom redovisningsbyrå

Kundkännedom (KYC) innebär bland annat att byrån identifierar kunden och den verkliga huvudmannen, förstår kundens affärsverksamhet och bedömer risken för penningtvätt eller finansiering av terrorism. Åtgärderna ska vara riskbaserade och dokumenteras så att det går att visa för Länsstyrelsen att byrån följer penningtvättslagen (2017:630). Behovet av att upprätta eller uppdatera kundkännedomen gäller både vid nya uppdrag och vid förändringar i befintliga kundrelationer.

För att uppfylla penningtvättslagens krav måste redovisningsbyrån samla in ett antal grundläggande uppgifter om kunden redan innan ett uppdrag påbörjas. Dessa uppgifter bildar basen för kundens riskklassificering och den löpande uppföljningen och utgörs bland annat av:

• Identitetsuppgifter: Namn, organisationsnummer/personnummer, adress och kontaktuppgifter m.m.
• Verklig huvudman: Information om vem/vilka som kontrollerar bolaget (bland annat genom slagning i Bolagsverkets register).
• Syftet med affärsrelationen: Typ av uppdrag, omfattning och förväntad transaktionsvolym.
• Riskfaktorer: Bransch, geografisk exponering och om kunden eller dess företrädare är PEP (politically exposed person).
• Källa till medel: Förstå var pengar eller tillgångar kommer ifrån, omfattning på underlag beroende på risk.

Vid väsentliga förändringar i kundens ägarstruktur, verksamhet eller riskprofil samt löpande enligt byråns risk­baserade uppföljningsplan (exempelvis vart femte år för lågriskkunder och oftare om risken är högre).

För många redovisningsbyråer är den praktiska huvudfrågan när kundkännedom faktiskt måste göras eller uppdateras i olika typer av uppdrag.

I guiden ”När måste en redovisningsbyrå göra kundkännedom?” går vi igenom de vanligaste situationerna steg för steg och visar hur penningtvättslagens krav slår till i praktiken för bokförings- och redovisningsbyråer.

Byrån ska kombinera den allmänna riskbedömningen med en individuell kundbedömning (låg, viss, hög eller oacceptabel risk). Risknivån dokumenteras och styr vilka kontroller som utförs. Morling Consultings AML-jurister tar fram mallar och metodstöd som uppfyller Länsstyrelsens krav.

Om en redovisningsbyrå brister i sitt penningtvättsarbete kan konsekvenserna bli både kostsamma och skada byråns förtroende på marknaden. Nedan följer några av de vanligaste sanktionerna och andra negativa effekter som kan drabba byrån.

• Sanktionsavgifter från Länsstyrelsen som kan uppgå till stora belopp, beroende på byråns storlek och bristens allvarlighetsgrad.
• Förelägganden om korrigerande åtgärder med kort tidsfrist.
• Skadat anseende hos banker, samarbetspartner och kunder.
• Straffansvar för ledningen vid särskilt allvarliga brister.

Länsstyrelsen granskar inte bara om kundkännedom har genomförts, utan också hur åtgärderna har dokumenterats och följts upp över tid. All information ska vara spårbar, daterad och sparas i minst fem år efter att uppdraget har avslutats.

• Daterade riskbedömningar: Verksamhets- och kundriskbedömningar med tydligt angivna datum, ansvariga personer och beslutade risknivåer.
• Skriftliga rutiner och riktlinjer: Formella dokument som beskriver arbetsflöden, kontroller och eskalering – inklusive när skärpta åtgärder ska tillämpas.
• Kundprofiler och dokumentation: Samlad information om varje kunds identitet, verkliga huvudman, affärs­relationens syfte och de överväganden som lett fram till vald riskklassificering.
• Underlag för identitetskontroll: Kopior på ID-handlingar eller elektroniska verifieringar samt bekräftelse av uppgifter i externa register (exempelvis Bolagsverkets register över verkliga huvudmän).
• Transaktionsbevakning: Loggar som visar hur ovanliga eller komplexa transaktioner har identifierats samt utretts och hanterats.
• Utbildningsregister: Förteckning över vilka medarbetare som har genomfört AML-utbildning, innehåll och datum för senaste uppdatering.
• Arkiverings- och gallringsplan: Beskrivning av hur dokument sparas säkert i minst fem år och hur de därefter raderas på ett korrekt sätt.

Kunder med gränsöverskridande verksamhet kräver ofta djupare kontroller av identitet, verklig huvudman och transaktionsflöden. Exponering mot EU:s lista med högriskländer leder regelmässigt till förhöjd riskklassificering och extra verifieringskrav.

Förenklad kundkännedom får användas vid låg risk och innebär mer begränsade åtgärder, medan skärpt kundkännedom kräver verifiering av källan till medel, djupare bakgrundskontroller och tätare uppföljning av förhöjd risk.

Minst en gång per år eller när verksamhet eller regelverket ändras väsentligt. Nyanställda och personer i roller som tillämpar penningtvättsregelverket ska få introduktionsutbildning innan de hanterar kundärenden.

Digitala lösningar effektiviserar hela KYC-processen och minskar risken för manuella fel. Genom att integrera flera verktyg i ett sammanhållet arbetsflöde får byrån bättre spårbarhet, kortare handläggningstider och en konsekvent riskbedömning.

• Elektronisk ID-verifiering (exempelvis BankID, eIDAS-tjänster): Automatiserar legitimering av kunder och minskar behovet av fysiska ID-kopior.
• PEP- och sanktionsbevakning i realtid: Matchar kunddata mot internationella listor och varnar direkt vid träffar.
• API-baserade anrop: Hämtar uppgifter om verklig huvudman, styrelse och ägarstruktur utan manuell inmatning.
• Automatiserad riskklassificering: Tar i beaktande bransch, geografi, transaktionsmönster och historik för att föreslå risknivå.
• Molnbaserade KYC/AML-plattformar: Samlar dokumentation, riskvärderingar och uppföljning i ett system som är tillgängligt för alla behöriga användare.

Byrån ska identifiera de personer som ytterst kontrollerar förvaltningen eller verksamheten, vilket kan kräva granskning av stadgar, styrelseprotokoll och offentliga register samt kompletterande skriftliga intyg.

Det är den kontinuerliga kontrollen av att kundens transaktioner stämmer med den kännedom byrån har om kundens verksamhet, riskprofil och kända intäktskällor – inklusive granskning av nya ägare, ovanliga transaktioner och förändrade affärsmönster.

Enligt penningtvättslagen måste byrån avbryta en affärsrelation om kraven på kundkännedom inte kan uppfyllas eller om risken för penningtvätt eller finansiering av terrorism inte går att reducera till en godtagbar nivå. I vissa fall ska byrån dessutom skicka en rapport om misstänkt aktivitet eller transaktion till Finanspolisen.

• Otillräcklig kundkännedom: Kunden vägrar eller underlåter att lämna identitetsuppgifter, uppgift om verklig huvudman eller information om affärens syfte.
• Oacceptabel risknivå: Riskbedömningen landar i en oförsvarbar risk, exempelvis exponering mot högriskländer eller komplexa ägarstrukturer.
• Misstanke om penningtvätt/terrorfinansiering: Indikationer på kriminalitet kvarstår efter kunddialog och kunden kan inte lämna en trovärdig förklaring.
• Felaktiga eller falska uppgifter: Levererade dokument eller svar visar sig vara förfalskade eller väsentligt felaktiga.
• Kund på sanktionslista: Träff i EU- eller FN-sanktionsregister som inte går att undanröja.

I samtliga ovanstående situationer ska byrån omedelbart avsluta uppdraget och när det föreligger misstanke om penningtvätt eller finansiering av terrorism, lämna in en rapport om misstänkt aktivitet eller transaktion till Finanspolisen.

Vi genomför förhandsgranskning av rutiner, bistår under dialog med Länsstyrelsen och hjälper till att åtgärda eventuella brister, så att byrån kan fortsätta verksamheten med minst möjliga påverkan. Kontakta våra AML-jurister för att få stöd i penningtvättsarbetet eller med att hantera en förfrågan från Länsstyrelsen.