Finanstilsynet 30. januar 2015 JURA J.nr. 6919-0035 kar/pan Små og mellemstore pengeinstitutter hvidvaskområdet 1. Indledning Denne rapport beskriver Finanstilsynets overordnede vurdering af de småog mellemstore pengeinstitutters risikobegrænsende foranstaltninger på området for hvidvask af udbytte og terrorfinansiering. Finanstilsynet igangsatte i maj 2013 en undersøgelse af små og mellemstore pengeinstitutter ved at sende et omfattende spørgeskema til 19 udvalgte pengeinstitutter i Danmark med en arbejdende kapital på op til 50 mia. kr. Pengeinstitutterne blev udvalgt med henblik på at udgøre et repræsentativt billede af de små og mellemstore pengeinstitutter under hensyn til bl.a. størrelse, geografisk beliggenhed, markedsområde og udbuddet af finansielle produkter. Der har i udvælgelsen ikke indgået overvejelser omkring de enkelte pengeinstitutters antal underretninger til Statsadvokaten for Særlig Økonomisk og International Kriminalitet (SØIK) eller resultater fra tidligere undersøgelser. er og konklusioner i denne rapport er primært baseret på pengeinstitutternes besvarelser af disse spørgeskemaer fra juni/juli måned 2013. Finanstilsynet har i forbindelse med udarbejdelsen af rapporten således ikke haft nærmere drøftelser med de enkelte pengeinstitutternes ledelser eller foretaget yderligere stikprøver med henblik på at bekræfte de konklusioner, som de af pengeinstitutterne afgivne skriftlige oplysninger har givet anledning til. Det skal i øvrigt bemærkes, at pengeinstitutterne efter besvarelsen af Finanstilsynets spørgeskema kan have styrket deres fokus på hvidvaskområdet, bl.a. ved at have ændret deres risikoprofiler og styrket deres risikobegrænsende foranstaltninger. Finanstilsynet er i den forbindelse opmærksom på, at brancheorganisationen Lokale Pengeinstitutter efter undersøgelsens igangsættelse har opdateret det vejledningsmateriale på hvidvaskområdet, som tilbydes organisationens medlemmer.
2/10 2. Baggrund for undersøgelsen Pengeinstitutbranchen er den branche, hvorigennem personer og virksomheder i almindelighed får adgang til det finansielle system. Af samme årsag er pengeinstitutter, i sammenligning med de fleste andre finansielle virksomheder, særligt udsatte for at blive misbrugt af kriminelle personer til hvidvask og terrorfinansiering. Risikoen afhænger af det enkelte pengeinstituts forretningsmodel, og den kan således variere afhængigt af forhold som fx produkttyper, leveringskanaler, forretnings- og transaktionsomfang, geografiske forhold samt kundetyper (privat-, virksomheds-, distancekunder mv.). På baggrund af en samlet vurdering af disse faktorer, finder Finanstilsynet dog, at pengeinstitutter som hvidvaskkanal generelt udgør et højrisikoområde. Denne konklusion understøttes i rapport om national risikovurdering på hvidvaskområdet fra SØIK, som endnu ikke er offentliggjort. Det fremgår af rapporten, at pengeinstitutter de seneste par år er blevet anvendt til hvidvask af udbytte fra blandt andet skattekriminalitet, mandatsvig, underslæb og forskellige former for bedrageri. Det fremgår også, at hvidvask gennem pengeinstitutter både foretages af privatpersoner og virksomheder. De tjenesteydelser og produkter fra pengeinstitutter, som misbruges, er typisk almindelige indlånskonti til både private og erhvervsdrivende, indenlandske og udenlandske overførsler via netbank, checks, kreditkort, døgnbokse, lån samt handelskonti. Disse produkter udbydes af pengeinstitutter i alle størrelser, og der er derfor ikke tale om, at det alene er større pengeinstitutter hvis produktudbud kan misbruges til hvidvask af udbytte. Tal fra SØIK s Hvidvasksekretariat og Sporingsgruppes årsberetning fra 2012 viste, at 32 % af pengeinstitutterne slet ikke havde afgivet underretninger i 2012, mens 33 % alene har afgivet mellem 1 og 5 underretninger Der er ifølge SØIK siden 2012 sket en klar stigning i antallet af underretninger fra pengeinstitutter. Der er dog stadig en række pengeinstitutter, der alene har foretaget meget få eller aldrig har foretaget hvidvaskunderretninger til SØIK. Kendetegnede for hovedparten af disse pengeinstitutter, er ifølge SØIK, at de er små vurderet ud fra deres arbejdende kapital. Manglende eller få underretninger er en indikator på, at institutternes risikobegrænsende foranstaltninger på området for hvidvask af udbytte og terrorfinansiering ikke fungerer godt nok. Finanstilsynet valgte på denne baggrund, at igangsætte nærværende undersøgelse af de små og mellemstore pengeinstitutter.
3/10 3. Hovedkonklusion På baggrund af undersøgelsen, der primært bygger på spørgeskemaundersøgelser fra maj/juni 2013 er det Finanstilsynets overordnede vurdering, at ledelsen i de små og mellemstore pengeinstitutter generelt ikke har tilstrækkelig fokus på bekæmpelse af hvidvask af udbytte og terrorfinansiering, hvilket har den konsekvens, at institutternes forebyggende foranstaltninger ofte er for standardiserede, og ikke imødegår de aktuelle risici, som er relevante for det pågældende institut. Finanstilsynet vurderer, at pengeinstitutternes lave niveau for underretning af mistænkelige transaktioner til SØIK er en konsekvens af dette, og at antallet af underretninger generelt ikke står mål med pengeinstitutternes risikoprofil. På baggrund af undersøgelsen, finder Finanstilsynet at manglerne ved de små og mellemstore pengeinstitutters hvidvaskforanstaltninger kommer til udtryk i form af en generelt utilstrækkelig risikostyring herunder mangelfulde risikovurderinger og mangelfulde skriftlige interne regler. Pengeinstitutternes procedure for overvågning og håndtering af mistænkelige transaktioner vurderes ligeledes at være utilstrækkelige. Disse forhold uddybes i rapportens punkt 4 nedenfor. 4. Finanstilsynets observationer og vurderinger I dette afsnit beskrives Finanstilsynets generelle observationer af de adspurgte pengeinstitutters forebyggende foranstaltninger til bekæmpelse af hvidvask og terrorfinansiering samt Finanstilsynets vurdering af kvaliteten af disse. Det er generelt pengeinstitutternes egen vurdering, at de tager de nødvendige foranstaltninger for at forhindre hvidvask og finansiering af terrorisme. Denne vurdering er typisk baseret på, at de har udarbejdet og implementeret skriftlige forretningsgange. Der kan ikke foretages en generel og overordnet beskrivelse af pengeinstitutternes forretningsmodel. Dette skyldes, at pengeinstitutterne er udvalgt netop med henblik på at udgøre et repræsentativt billede af de små og mellemstore pengeinstitutter under hensyn til bl.a. forskellig størrelse, geografisk beliggenhed, markedsområde og udbuddet af finansielle produkter osv. Typisk har pengeinstituttets størrelse indflydelse på instituttets geografiske repræsentation og forretningsmodel, herunder omfanget af de finansielle produkter/ydelser og antallet af kunder og kundetyper. Mindre pengeinstitutter har typisk simple forretningsmodeller og har deres virke i lokalområdet. De møder deres kunder personligt og har ofte ingen private banking-kunder
4/10 og få eller ingen institutionelle kunder. Større pengeinstitutter har bredere geografisk repræsentation, større udbud af produkter og ydelser, og hermed flere kundetyper. Forretningsmodellerne hos de større pengeinstitutter tillader i højere grad distancekundeforhold. Risikostyring Hvidvaskloven stiller krav om, at pengeinstitutternes risikostyring på hvidvaskområdet tager udgangspunkt i virksomhedens egen forretningsmodel og de risici, som der vurderes at være for, at virksomheden kan blive misbrugt til hvidvask eller finansiering af terrorisme. et indebærer grundlæggende, at pengeinstituttet skal udarbejde en risikovurdering og på baggrund af denne vurdering udarbejde en risikostyringspolitik, som beskriver, hvordan disse risici imødegås. Risikovurderingen skal baseres på en vurdering af virksomhedens kundetyper, produkter, leveringssystemer, dvs. den måde, som virksomheden stiller sine produkter til rådighed for kunderne på (fysisk fremmøde, internet osv.), forretnings- og transaktionsomfang og geografiske risici. Derudover stiller hvidvaskloven krav om, at pengeinstitutterne skal udpege en medarbejder på ledelsesniveau, der skal sikre overholdelse af loven og regler på hvidvaskområdet. Det er meget få af de undersøgte pengeinstitutter, som har udarbejdet egentlige risikostyringspolitikker på området for bekæmpelse af hvidvask af udbytte og terrorfinansierring. Ca. trefjerdedele af pengeinstitutterne har udarbejdet vurderinger af risikoen for at blive misbrugt til hvidvask og terrorfinansiering. Men det er kun omkring halvdelen af disse, som har udarbejdet vurderingen med udgangspunkt i deres egen forretningsmodel. Den anden halvdel har anvendt en generel branchevurdering og vurderer typisk risikoen som lav. For de fleste af de undersøgte institutter gælder, at risikovurderingerne er for overfladiske, og at pengeinstitutterne generelt vurderer risikoen lavere end Finanstilsynet. Dette skyldes til dels, at Finanstilsynets risikovurdering er baseret på den iboende risiko (dvs. risikoen før implementering af risikobegrænsende foranstaltninger), mens der i pengeinstitutternes vurdering ofte er taget højde for de forebyggende foranstaltninger. Dette giver dog ikke et retvisende billede af pengeinstituttets egentlige risiko, idet pengeinstitutternes risikobegrænsede foranstaltninger ikke er gennemført på baggrund af en risikovurdering og derfor typisk ikke er tilpasset instituttets individuelle risikoprofil.
5/10 Alle pengeinstitutterne har udpeget en hvidvaskansvarlig. Typisk er denne person kredit-, økonomi-, eller administrationschefen. For enkelte institutter kan denne person også være den juridiske chef eller compliance chefen. For de helt små institutter er det typisk direktøren. Der er i de fleste pengeinstitutter udarbejdet en forretningsgang for den hvidvaskansvarlige, som alene er en udbygning og en mere teknisk beskrivelse af forretningsgangen rettet mod medarbejderne. Forretningsgangen er derfor ikke en egentlig funktionsbeskrivelse for den hvidvaskansvarlige. Det er alene under halvdelen af de adspurgte pengeinstitutter, der har procedurer for ledelsesrapportering. I de tilfælde hvor der er procedurer for ledelsesrapportering, indeholder disse ingen beskrivelser af, hvad rapporteringen skal indeholde, men der stilles typisk krav om, at ledelsesrapportering skal foretages minimum en gang årligt. Rapporteringen foregår oftest som en del af compliancerapporten, hvor fokus på hvidvaskområdet og beskrivelsen heraf er meget varierende. Det er meget få af de adspurgte pengeinstitutter, som har skriftlige procedurer for interne kontroller, men det følger af pengeinstitutternes besvarelser, at mange af pengeinstitutterne årligt gennemfører interne kontroller af indhentelse af legitimation på nye kunder. Intervallet af egenkontrollen er som oftest ikke baseret på instituttets egen risikovurdering. Det er Finanstilsynets vurdering, at hvidvaskområdet ikke i tilstrækkelig grad er ledelsesmæssigt prioriteret. Generelt tager pengeinstitutternes risikovurdering kun i begrænset omfang udgangspunkt i instituttets egen risiko for at blive misbrugt til hvidvask af udbytte og terrorfinansiering. Institutternes forretningsgang beskriver ikke, hvorledes en risikovurdering skal udarbejdes, hvor ofte den skal opdateres, samt hvilken indvirkning risikovurderingen har instituttets forretningsgange på området. Finanstilsynet vurderer derudover, at pengeinstitutterne ikke har tilstrækkelige procedurer for intern kontrol med henblik på at sikre, at alle kravene på hvidvaskområdet overholdes. Kontrolforanstaltningerne er ikke baseret på en risikovurdering, og er typisk ikke beskrevet i forretningsgangen. Der er ikke procedurer som sikrer, at de enkelte kontroller kan dokumenteres, så man kan se, at de har fundet sted. Kontrollerne omfatter ikke, hvor det er relevant, væsentlige krav efter hvidvaskloven, herunder krav om noteringspligt, opbevaringspligt, undersøgelse af transaktioner, herunder vurdering af om mistanken er afkræftet i undersøgte sager, som ikke er indberettet til SØIK. Det er vurderingen, at forretningsgangene ikke sikrer en betryggende ledelsesrapportering på hvidvaskområdet på baggrund af det enkelte pengeinsti-
6/10 tuts risiko og størrelse. Ledelsesrapporterne indeholder generelt ikke løbende information om det enkelte pengeinstituts risici på hvidvaskområdet, foranstaltninger til begrænsning af disse risici, herunder vurdering af tilstrækkeligheden af interne regler og procedurer m.v., resultatet af interne kontroller, statistik over undersøgelse af mistænkelige transaktioner m.v. Skriftlige interne regler For at forebygge og forhindre hvidvask og terrorfinansiering stiller hvidvaskloven krav om, at pengeinstitutterne skal have tilstrækkelige skriftlige interne regler om: kundelegitimation, intern kontrol, risikovurdering, risikostyring, ledelseskontrol og kommunikation, kundelegitimation, opmærksomhedspligt, undersøgelsespligt, noteringspligt, underretningspligt, og opbevaring af registreringer. Alle pengeinstitutter med undtagelse af et enkelt, har forretningsgange på hvidvaskområdet. Mange af forretningsgangene indeholder gode beskrivelser for procedurer på de fleste væsentlige områder for bekæmpelse af hvidvask og terrorfinansiering, herunder legitimationsprocedure, registrering og opbevaring af identitetsoplysninger og undersøgelser samt underretning om mistanke af mistænkelige transaktioner. Vedrørende risikostyring, se ovenfor. På nogle områder er pengeinstitutternes forretningsgange generelt ikke opdaterede i forhold til gældende lovgivning. Det gælder eksempelvis procedurer for legitimation af lejlighedskunder. I mange institutters forretningsgange lægges der op til, at kunderne inddeles i risikogrupper. Der gives dog ingen vejledning til, hvorledes risikoklassificeringen af kunden anvendes, og inddelingen anvendes typisk ikke i overvågningen. Det er Finanstilsynets vurdering, at pengeinstitutternes forretningsgange indeholder beskrivelse af procedurer til efterlevelse af de væsentlige krav i hvidvaskloven, men at pengeinstitutterne ikke i tilstrækkelig grad sikrer at
7/10 procedurerne er opdateret i henhold til hvidvaskloven. Forretningsgangene er typisk meget standardiserede og tager ikke udgangspunkt i en risikovurdering. I nogle tilfælde har institutterne beskrevet procedurer i deres besvarelse af spørgeskemaerne, som ikke er i overensstemmelse med de vedlagte forretningsgange, hvilket giver det indtryk, at disse institutter ikke efterlever egne forretningsgange. Finanstilsynet finder det meget kritisabelt, at ét pengeinstitut har valgt ikke at have forretningsgange på området. Uddannelse Hvidvaskloven stiller krav om, at pengeinstitutterne skal udfærdige og gennemføre uddannelses- og instruktionsprogrammer til medarbejdere i virksomheden. Størstedelen af pengeinstitutterne har uddannelsesprogrammer fra Finanssektorens Uddannelsescenter (FU). FU udbyder en generel del rettet mod mindre pengeinstitutter. Derudover er der mulighed for at få tilføjet en individuel del, som er tilpasset det enkelte pengeinstituts forretningsgange og procedurer. De af undersøgelsen omfattede institutter anvender typisk alene den generelle del. Der er stor forskel på pengeinstitutternes krav til hvilke medarbejdere, der skal gennemføre uddannelsen, hvor ofte det skal ske, og om der er opfølgning på medarbejdernes deltagelse osv. Generelt har de mindste pengeinstitutter ingen eller meget få krav om deltagelse og ingen opfølgning på, om medarbejderne deltager. Det er Finanstilsynets vurdering, at pengeinstitutterne i højere grad skal tage stilling til om det er nødvendig at gennemføre supplerende undervisning til de gennemførte uddannelsesprogrammer. Legitimationsprocedure Det er et grundlæggende krav i hvidvaskloven, at pengeinstitutterne skal have kendskab til deres kunder ( kend din kunde-princippet ). Det betyder bl.a. at kunderne skal identificeres og legitimeres i forbindelse med oprettelsen af kundeforholdet. Pengeinstitutterne skal være overbevist om, at kunden er den, som kunden udgiver sig for at være. Der må derved ikke være omstændigheder, der kan give anledning til tvivl om, at kunden er den, som kunden udgiver sig for at være.
8/10 Legitimationsproceduren skal også gennemgøres på kundeforhold oprettet før lovens ikrafttræden 1. marts 2006 (eksisterende kunder) på et passende tidspunkt og på grundlag af en risikovurdering. Pengeinstitutterne har generelt procedurer for legitimation af både privat- og erhvervskunder. Finanstilsynet har i forbindelse med undersøgelsen ikke indhentet stikprøver af pengeinstitutternes indhentelse af identifikation og legitimation af institutternes kunder og det er derfor ikke muligt at konkludere, om pengeinstitutterne i praksis følger deres procedurer for legitimation. Det følger dog af nogle af de ledelsesrapporteringer som pengeinstitutterne har vedlagt, at der fortsat er problemer med legitimation af erhvervskunder, primært i forhold til klarlæggelse af ejer- og kontrolstruktur og legitimation af reelle ejere. Størstedelen af de undersøgte institutter har ikke legitimeret alle eksisterende kunder. Mange pengeinstitutter tillader alligevel udvidelse af engagementet hos disse kunder. Der tegner sig dog et billede af, at jo større pengeinstituttet er, jo mere fokus har der været på denne problemstilling. Finanstilsynet finder det kritisabelt, at mange af de undersøgte pengeinstitutter ikke har legitimeret alle eksisterende kunder. Det er betænkeligt, at nogle pengeinstitutter tillader udvidelse af ikke-legitimerede kunders engagementer, idet kendskab til sine kunder er elementært i forhold til efterlevelse af hvidvasklovens krav. Overvågning Der stilles i hvidvaskloven krav om, at kundeforholdet løbende skal overvåges efter etablering. Transaktioner, der gennemføres som led i kundeforholdet, skal overvåges for at sikre, at transaktionerne er i overensstemmelse med virksomhedens viden om kunden og kundens forretnings- og risikoprofil, herunder om nødvendigt midlernes oprindelse. Undersøgelsen viser, at alle pengeinstitutter, med undtagelse af to, abonnerer på overvågningssystemer udbudt af datacentraler. Datacentralernes overvågningssystemer er modulopdelt med forskellige matchkriterier i hvert modul. Det følger kun af få besvarelser, hvor mange moduler pengeinstitutterne abonnerer på. Ingen af institutternes forretningsgange indeholder en beskrivelse af sammenhængen mellem pengeinstituttets valg af matchkriterier/moduler i det
9/10 anvendte overvågningssystem og pengeinstituttets forretningsmodel eller risikovurdering. Finanstilsynets vurdering har på grund af det manglende kendskab til overvågningssystemerne primært fokuseret på resultatet af overvågningen og ikke selve overvågningssystemet, dvs. undersøgelser af mistænkelige transaktioner og underretninger til SØIK, jf. nedenfor. Mistænkelige transaktioner og underretninger Hvidvaskloven stiller krav om, at pengeinstitutterne skal undersøge kunders transaktioner eller henvendelser, hvis der er mistanke om hvidvask af udbytte eller finansiering af terrorisme. Hvis en mistanke ikke kan afkræftes på baggrund af en undersøgelse, skal SØIK underrettes. Uanset om et pengeinstitut underretter om en mistænkelig transaktion eller om mistanken afkræftes på baggrund af pengeinstituttets egen undersøgelse, er pengeinstituttet forpligtet til at opbevare notater om resultatet af undersøgelsen i mindst 5 år efter transaktionens gennemførelse. Pengeinstitutterne er i spørgeskemaet anmodet om at oplyse om antallet af både indberettede og ikke-indberettede mistænkelige transaktioner. Der er stor forskel i de oplysninger, som pengeinstitutterne har givet i forbindelse med besvarelse af antal mistænkelige transaktioner, herunder antal indberettede sager. Nogle pengeinstitutter har givet et samlet antal for 2010-2013, og nogle har alene oplyst om enten indberettede eller ikkeindberettede sager. Der er seks af de undersøgte pengeinstitutter, som oplyser, at de ikke har foretaget en eneste underretning til SØIK i perioden 2010-2013. Det er Finanstilsynets vurdering, at størstedelen af pengeinstitutternes procedure for undersøgelser af mistænkelige transaktioner ikke er fyldestgørende, hvorfor det er tvivlsomt om mistanken i tilstrækkelig grad bliver afkræftet i de sager, hvor der ikke foretages underretning til SØIK. Der er også stor forskel i, hvordan eller hvorvidt pengeinstitutterne foretager den lovpligtige notering af resultatet af de undersøgte transaktioner, idet mange af de adspurgte pengeinstitutter ikke har været i stand til at oplyse om antallet heraf. Det er specielt sager, hvor der ikke er foretaget indberetning til SØIK, som pengeinstitutterne ikke har et overblik over.
10/10 Finanstilsynet finder det kritisabelt, at seks pengeinstitutter ikke har foretaget en eneste underretning til SØIK, idet det vurderes for usandsynligt at disse institutter ikke i et tilfælde har haft en mistænkelig transaktion, hvor det ikke har været mulig at afkræfte mistanken. Generelt for de pengeinstitutter som foretager underretninger til SØIK er, at antallet af underretninger er lavt i forhold til pengeinstituttets størrelse, antal kunder og transaktionsvolumen. Tendensen er dog positiv, idet antallet af underretninger er stigende for de fleste pengeinstitutters vedkommende. 5. Anbefaling Med udgangspunkt i konklusionerne i denne rapport, er det Finanstilsynets anbefaling, at ledelserne i de små- og mellemstore pengeinstitutternes i højere grad bør prioritere indsatsen omkring bekæmpelse af hvidvask af udbytte og terrorfinansiering derved, at det sikres; 1) at pengeinstituttet har udarbejdet en tilstrækkelig risikovurdering baseret på en kvalificeret analyse af de risici, der knytter sig til forretningsmodellen og forretningsomfanget i det enkelte institut. 2) at pengeinstituttet med udgangspunkt i sin risikovurdering har fastlagt en egentlig risikostyringspolitik og implementeret forretningsgange, som imødegår de risici for hvidvask og terrorfinansiering, som konkret gør sig gældende for det enkelte institut. 3) at der er etableret et effektivt system for overvågning af mistænkelige transaktioner samt tilstrækkelige procedurer for pengeinstituttets undersøgelser af mistænkelige transaktioner, herunder en procedure for indberetninger til SØIK.