ERHVERVSANKENÆVNET Langelinie Allé 17 * Postboks 2000 * 2100 København Ø * Tlf *

ERHVERVSANKENÆVNET Langelinie Allé 17 * Postboks 2000 * 2100 København Ø * Tlf. 35 29 10 93 * ean@erst.dk www.erhvervsankenaevnet.dk Kendelse af 17. marts 2016 (J.nr. 2015-9490). Revisionsvirksomhed meddelt en række påbud for manglende overholdelse af hvidvaskloven. Hvidvaskloven 1, stk. 1, nr. 15 og 17 samt 6, 7, 12, 23 og 25. (Finn L. Meyer, Sys Rovsing og Steen Mejer) Ved skrivelse af 11. august 2015 har K [revisionsvirksomhed] ApS klaget over, at Erhvervsstyrelsen ved skrivelse af 7. august 2015 har meddelt selskabet en række påbud for manglende overholdelse af hvidvaskloven. Sagens omstændigheder I Erhvervsstyrelsens afgørelse af 7. august 2015 hedder det: Afgørelse om overholdelse af hvidvaskloven 1. Indledning Erhvervsstyrelsen aflagde den 27. maj 2015 et anmeldt kontrolbesøg hos K [revisionsvirksomhed] ApS. Formålet med besøget var at føre tilsyn med selskabets overholdelse af reglerne i hvidvaskloven. 2. Afgørelse Indledningsvist gøres K ApS opmærksom på, at idet selskabet er omfattet af hvidvasklovens 1, stk. 1, nr. 15 og 17, er det selskabets ansvar, at kende til hvidvaskloven og efterleve de krav, der følger heraf. Erhvervsstyrelsen træffer på baggrund af det ved kontrolmødet konstaterede og i medfør af 32, stk. 5 i hvidvaskloven afgørelse om, at K ApS fremover skal iagttage sin opmærksomhedspligt i overensstemmelse med hvidvasklovens 6, stk. 1 og være opmærksom på kunder og kunders aktiviteter, der kan have tilknytning til hvidvask og undersøge forhold nærmere, samt notere og opbevare resultatet af undersøgelsen, jf. hvidvasklovens 6, stk. 2. K ApS fremover i overensstemmelse med hvidvasklovens 7 skal underrette Hvidvasksekretariatet ved mistanke om kunders tilknytning til hvidvask, hvor en nærmere undersøgelser ikke kan afkræfte mistanken. K ApS for alle nuværende og nye kundeforhold skal legitimere sine virksomhedskunder i overensstemmelse med hvidvasklovens 12, stk. 3 og 14, stk. 1, 2. pkt., ved CVR-nr. og adresse, klarlægge den enkelte

- 2 - virksomhedskundes ejer- og kontrolstruktur samt legitimere virksomhedskundens reelle ejer samt legitimere og identificere alle eventuelle fysiske kunder i overensstemmelse med hvidvasklovens 12, stk. 2. K ApS fremover skal opbevare identitets- og kontroloplysninger i mindst 5 år efter transaktionens gennemførelse, så de kan fremfindes samlet med henblik på, at kunne forevises hurtigt på anmodning, jf. hvidvasklovens 23, stk. 2. K ApS skal senest den 4. september 2015 udarbejde fyldestgørende skriftlige interne regler i overensstemmelse med hvidvasklovens 25 og indsende kopi til Erhvervsstyrelsen. Erhvervsstyrelsen gør samtidig opmærksom på, at forsætlig eller groft uagtsom overtrædelse af hvidvaskloven 6, stk. 2, 7, stk. 1, 2. pkt., 12, stk. 2-3, 14, stk. 1, 23, stk. 2, 25, stk. 1-4 og 31, kan straffes med bøde, jf. lovens 37, stk. 1. og ved særlig grove eller omfattende forsætlige overtrædelser af hvidvasklovens 6, stk. 2, 7, stk. 1, 2. pkt., 12, stk. 2-3, 14, stk. 1 og 23, stk. 2 kan straffen stige til fængsel indtil 6 måneder, jf. 37, stk. 2. Erhvervsstyrelsen vil aflægge selskabet et nyt tilsynsbesøg på et senere tidspunkt med henblik på, at følge op på, om påbuddene og reglerne i hvidvaskloven generelt er overholdt. 3. Sagsfremstilling Erhvervsstyrelsen aflagde den 27. maj 2015 anmeldt kontrolbesøg i henhold til hvidvasklovens 32, stk. 1, hos K ApS, cvr-nr. på adressen, I besøget deltog A og B, der begge er ansatte på kontoret og fra Erhvervsstyrelsen deltog C, D og E. På mødet oplyste de ansatte, at der yderligere er 1 fuldtidsansat på kontoret, en revisor samt en deltids studentermedhjælp. Selskabet er startet tilbage i 1965, dog har direktøren F, der sjældent kommer på kontoret, først i februar 2015 overtaget virksomheden efter Revisor G, der døde. De ansatte oplyste videre, at selskabets kunder har været kunder i mange år og at nye kundeforhold etableres gennem anbefalinger fra de eksisterende kunder. Selskabets kunder er primært boligselskaber, hvor de står for administrationen og mindre enkeltmandsvirksomheder, hvor de forestår revision, bogføring og forefaldende administrativt arbejde. De ansatte oplyste, at de ikke var bekendte med, at selskabet er omfattet af hvidvaskloven og dermed heller ikke at selskabet er forpligtet til at opfylde en række krav bl.a. i forbindelse med etableringen samt løbende kundeforhold. Erhvervsstyrelsen spurgte ind til opmærksomheds-, oplysnings- og noteringspligten efter hvidvaskloven, hvorom de ansatte forklarede, at de var

- 3 - opmærksomme på specielle og atypiske transaktioner, men i øvrigt ikke vidste hvad de var forpligtet til at gøre, såfremt de blev opmærksomme eller mistænksomme. De ansatte oplyste om en episode tilbage i 1980-erne, hvor en kunde ved en fejl havde fremsendt nogle kontoudtog, der ikke stemte overens med tal de tidligere havde set. Kort tid efter hændelsen blev kontoret kontaktet af politiet, som led i politiets efterforskning, idet det viste sig, at kunden var indblandet i narkotikahandel. Erhvervsstyrelsen oplyste, at selskabet er forpligtet til at være opmærksomme på kunder og kunders aktiviteter og til at spørge ind til formålet med usædvanlige eller mistænksomme forhold og pligten til at notere resultatet af disse undersøgelser. Erhvervsstyrelsen oplyste videre om pligten til indberetning til Hvidvasksekretariatet, via linket www.hvidvask.dk, i alle tilfælde hvor selskabet får mistanke om, at noget har tilknytning til hvidvask. Erhvervsstyrelsen oplyste om de forskellige krav til kundelegitimering og - identifikation, der følger efter hvidvaskloven, afhængig af om kunden er en fysisk person eller en virksomhed. Idet selskabet administrerer en del boliger, oplyste Erhvervsstyrelsen ligeledes om, at det for disse kunder er boligforeningens bestyrelsesmedlemmer, der skal legitimeres og identificeres. Erhvervsstyrelsen gjorde derudover opmærksom på, at selskabet er forpligtet til at udarbejde interne retningslinjer om de forskellige krav, der følger af hvidvaskloven, hvilket selskabet ikke havde gjort. Erhvervsstyrelsen spurgte videre ind til opbevaring af dokumentation om kunder, hvortil de ansatte oplyste, qua selskabets ukendskab til hvidvaskloven, ikke havde indhentet. Erhvervsstyrelsen kunne ikke foretage egentlig stikprøve, idet der ikke var indhentet dokumentation, og spurgte i stedet ind til selskabets kendskab til deres kunder med udgangspunkt i den forud for mødet fremsendte kundeliste. Om.ApS CVR-nr.. oplyste de ansatte, at ejeren er søn af en mangeårig kunde, en lokal optiker. Selskabet er pt. ikke aktivt, men at ideen bag selskabet var at udvikle et koncept, der gjorde briller unødvendige. Kontoret har lavet regnskab for selskabet. Identifikation og legitimation af selskabet er ikke sket. Om H Invest SA, CVR-nr. kunne de ansatte oplyse er en virksomhed, der ejer udlejningsejendomme. Virksomhedens ejer, er pensionist og bor i gaden og opholder sig også en del i Luxembourg, hvilket forklarer virksomhedsformen SA, samt i Sydafrika. Kendskabet til virksomheden ud over de danske ejendomme, hvor kontoret står for administrationen og regnskab,

- 4 - kendte de dog ikke til. Identifikation og legitimation af selskabet er ikke sket, men de ansatte oplyste, at de har adgang til virksomhedens nem-id. Om I ApS CVR-nr., kunne de ansatte oplyse at virksomheden laver tryk og litografier og har været kunde i omkring 10 år. Ejeren er desuden lejer i en af de ejendomme som kontoret administrerer. Kontoret laver regnskaber for virksomheden, dog er selskabet så småt er ved at lukke ned, grundet manglende efterspørgsel i trykkeribranchen. Identifikation og legitimation af virksomheden er ikke sket. 4. Begrundelse K ApS, CVR-nr. udøver erhvervsmæssig virksomhed med bogføring, regnskaber og revision og er dermed omfattet af hvidvaskloven, jf. lovens 1, stk. 1, nr. 15 og nr. 17. Opmærksomheds- og underretningspligt Det fremgår af hvidvasklovens 6, stk. 1, at de af loven omfattede virksomheder og personer skal være opmærksomme på kunders aktiviteter, der på grund af deres karakter særlig menes at kunne have tilknytning til hvidvask eller terrorisme. Dette gælder især komplekse eller usædvanlige transaktioner og alle usædvanlige transaktionsmønstre i forhold til kunden. Af lovens 6, stk. 2, fremgår at formålet med de transaktioner, der er nævnt i stk. 1, skal undersøges og, at resultatet af undersøgelsen skal noteres og opbevares i mindst 5 år, jf. lovens 23. De ansatte oplyste under tilsynsbesøget, at de ikke har kendskab til opmærksomheds-, undersøgelses- og noteringpligten, der følger af hvidvaskloven. Det er således Erhvervsstyrelsens opfattelse, at selskabet ikke har overholdt sin opmærksomheds- og undersøgelses- og noteringspligt i henhold til hvidvasklovens 6, stk.1 og stk. 2. Erhvervsstyrelsen skal for god ordens skyld gøre opmærksom på, at selskabet ved fremtidige mistænksom aktivitet, som på grund af deres karakter menes at kunne have tilknytning til hvidvask, skal spørge ind til aktiviteten og notere disse oplysninger ned i henhold til hvidvasklovens 6, stk. 2. Styrelsen skal endvidere gøre opmærksom på, at selskabet ikke nødvendigvis kan nøjes med at få en mundtlig forklaring, men vil om nødvendigt også skulle indhente dokumentation, som kan afkræfte en mistanke om, at aktiviteten har tilknytning til hvidvask eller terrorfinansiering. Det fremgår af hvidvasklovens 7, at de af loven omfattede virksomheder og personer skal undersøge en kundes transaktion eller henvendelse nærmere hvis, der opstår mistanke om, at transaktionen eller henvendelsen har eller har haft tilknytning til hvidvask eller terrorisme og hvis denne mistanke ikke kan afkræftes, skal Statsadvokaten for Særlig Økonomisk Kriminalitet -

- 5 - Hvidvasksekretariatet via www.hvidvask.dk, omgående underrettes, jf. lovens 7, stk. 1. Legitimation mv. Det fremgår af hvidvasklovens 12, stk. 1, at de af loven omfattede virksomheder og personer skal have kendskab til deres kunder i overensstemmelse med hvidvasklovens 12, stk. 2-8, herunder kræve at deres kunder legitimerer sig, når der optages forretningsmæssig forbindelse med dem. For kundeforhold der er etableret før hvidvasklovens ikrafttræden, den 1. marts 2016, gælder at legitimation og identifikation af eksisterende kunder skal ske på et passende tidspunkt og på grundlag af en risikovurdering, og kan således ikke undlades. På denne baggrund er selskabet forpligtet til at indhente disse oplysninger for alle eksisterende kunder. Det fremgår af 12, stk. 2, at når kunden er en fysisk person, skal legitimationen omfatte navn, adresse og CPR-nr. eller anden lignende legitimation, hvis den pågældende ikke har et CPR-nr. Efter 12, stk. 3 fremgår det at når kunden er en virksomhed, skal legitimationen omfatte navn, adresse, CVR-nr. eller anden dokumentation, hvis virksomheden ikke har et CVR-nr. Virksomhedens ejer- og kontrolstruktur skal klarlægges, og virksomhedens reelle ejere skal legitimeres. I henhold til 12, stk. 7 kan legitimationsproceduren gennemføres ud fra en risikovurdering afhængig af risikoen ved den enkelte kunde eller forretningsforbindelse, produktet eller transaktionen, hvis selskabet kan godtgøre, at undersøgelsens omfang er tilstrækkelig i forhold til risikoen for hvidvask og terrorfinansiering, men denne risikovurdering kan aldrig føre til, at der ikke foretages nogen form for legitimationshandling. Erhvervsstyrelsen konstaterede ved besøget, at der ikke i nogen tilfælde var indhentet dokumentation, ligesom selskabet ved stikprøve i kunder fra selskabets kundeliste, for så vidt angik Invest SA ikke kunne redegøre for selskabets kontrolstruktur og aktivitet i udlandet. Ved ikke at have foretaget konkrete risikovurderinger eller indhentet kundelegitimation og - identifikation findes selskabet at have overtrådt hvidvasklovens 12, stk. 2, 3 og 7. Opbevaring af identitetsoplysninger m.v. Det følger af hvidvasklovens 23, stk. 1, at de af loven omfattede virksomheder og personer skal opbevare identitets- og kontroloplysninger, i mindst 5 år efter at kundeforholdet er ophørt, så de kan forevises samlet og hurtigt på anmodning. I henhold til 23, stk. 2 skal dokumenter og registreringer vedrørende transaktioner, skal opbevares, så de kan forevises samlet og hurtigt på anmodning i mindst 5 år efter transaktionens gennemførelse. Dette gælder også de i medfør af 6, stk. 2, noterede oplysninger.

- 6 - Idet selskabet ikke har indhentet dokumenter og registreringer eller foretaget notering på baggrund af undersøgelser finder Erhvervsstyrelsen at hvidvasklovens 23, stk. 2 er overtrådt. Interne regler og uddannelse m.v. Det følger af hvidvasklovens 25, at de af loven omfattede virksomheder og personer skal udarbejde tilstrækkelige skriftlige interne regler om kundelegitimation, opmærksomheds-, undersøgelses og noteringspligt, indberetning, opbevaring af registreringer, intern kontrol, risikovurdering, risikostyring, ledelseskontrol og kommunikation samt uddannelse og instruktionsprogrammer for medarbejderne for at forebygge hvidvask og terrorfinansiering. Derudover skal selskabet, jf. hvidvasklovens 25, stk. 2 udpege en person på ledelsesniveau, der skal sikre at selskabet overholder pligterne efter loven. Selskabet har ikke udarbejdet de nævnte interne retningslinjer og har således ikke opfyldt sin forpligtelse i henhold til hvidvasklovens 25, stk. 1. Erhvervsstyrelsen meddeler selskabet påbud om, inden den 4. september 2015, at udarbejde fyldestgørende skriftlige interne regler i overensstemmelse med hvidvasklovens 25. I klageskrivelse af 11. august 2015 har K ApS anført: Vedr. klage over afgørelse om overholdelse af hvidvaskloven. Vi er uenige i afgørelsen om manglende overholdelse af hvidvaskningsloven. Begrundelsen for vores klage er følgende: Punkt 1: For at kunne udføre vores arbejde vedr. bogføring, regnskabsassistance samt assistance med indberetninger af selvangivelse m.m. til Skat, samt andre diverse indberetninger, er det alt afgørende at vi har den pågældende kundes navn, adresse, cpr, cvr, samt bankforbindelse og kontoudtog fra bank, samt diverse oplysninger fra Skat og Erhvervsstyrelsen- Disse oplysninger har altid dannet grundlag for at vi kan udføre vores arbejde i henhold til Regnskabsloven. Dermed har kunder altid skullet legitimere og identificere sig ved hjælp af ovenstående oplysninger. Disse oplysninger bliver og er altid blevet bevaret så længe kundeforholdet opretholdes og i mindst 5 år. Oplysningerne opbevares i kundens arkivkasse. Ovenstående procedure er altid blevet udført. Denne procedure blev oplyst under kontrolbesøget til de fremmødte fra Erhvervsstyrelsen. Dermed er 12 stk.3 og 14, stk. 1 punkt 2 overholdt.

- 7 - Punkt 2: På side stk. 3 er der anført fejl navn på den ene ansat. Endvidere er der opgivet fejl antal ansatte samt oplysningerne vedr. selskabets dannelse er fejlbehæftet. Navnet på ansat er AA og ikke A. Dertil kan der oplyses at der ved kontrolmødets start blev bedt om legitimation af de ansatte der var tilstede i K ApS. Dette blev først senere pr. mail bedt om. ( ) Antal ansatte er: 1 Revisor (fuldtid) 1. revisorassistent (fuldtid) 1 kontorassistent (32 timer) samt en timelønnet studentermedhjælp. Oplysningerne vedr. selskabet K ApS er forkerte. De korrekte oplysninger vedr. selskabet K ApS kan ses på cvr. Registret. Punkt 3: Side Vedr. cvr. Da ejeren af virksomheden er kendt af selskabet siden barn og selskabet har kendt faderen til ejeren af virksomheden hører dette under kategorien lav risiko kunde. Der er for mange år siden indhentet navn adresse cpr. cvr. Dermed identifikation og legitimation overholdt. Endvidere eksistere selskabet ikke mere (heller ikke på kontroltidspunktet) Dette blev også oplyst under kontrolbesøget. Vedr. cvr. Denne kunde hører også til under kategorien lav risiko kunde ud fra den betragtning at K ApS har udført regnskabsmæssige assistance for ejerens ægtefælle gennem mange år da denne var selvstændig. Derfor er der for længe siden afgivet navn, adresse, cpr. Cvr. Numre samt nemid til Borger.dk og nemid til virk.dk, skattemæssige oplysninger da K ApS har bistået ejeren i diverse ydelser i forbindelse med folkepension m.m. derudover har K ApS adgang til kundens Netbank. Dermed er identifikation og legitimation overholdt. Og er løbende blevet opdateret. Hvilket blev oplyst under kontrolbesøget. Vedr. cvr. Denne kunde hører ind under kategorien lav risiko kunde. Det er en kunde som K ApS har kendt i mange år og som desuden er lejer i en af de ejendomme som selskabet administrerer. Der er også her angivet navn, cpr, cvr, bankforbindelse og skattemæssige oplysninger i forbindelse med kundeforholdet. Der er identifikation og legitimation overholdt. Og er løbende blevet opdateret. Hvilket blev oplyst under kontrolbesøget. Side stk. 4 Begrundelse for afgørelse. Der er anført forkert cvr. nummer.

- 8 - Side Datoen må være en fejl. Da rapporten er meget fejlbehæftet og fyldt med fejlagtige påstande som K ApS slet ikke kan genkende kan vi på ingen måde acceptere afgørelsen. Afgørelsen er så fejlbehæftet at den ikke virker seriøst. K ApS gennemgik kundeprocedurerne efter kontrolbesøget og kan der af udtrykke at 12 altid har været opfyldt. Det er udtrykkeligt anført i hvidvaskningsloven 12: Faste kundeforhold 12. De af loven omfattede virksomheder og personer skal have kendskab til deres kunder i overensstemmelse med stk. 2-8, herunder kræve, at deres kunder legitimerer sig, når der optages en forretningsmæssig forbindelse med disse, herunder når der åbnes en konto eller et depot. Stk. 2. Hvis kunden er en fysisk person, skal legitimationen omfatte navn, adresse og cpr-nr. eller anden lignende dokumentation, hvis den pågældende ikke har et cpr-nr. Stk. 3. Hvis kunden er en virksomhed, skal legitimationen omfatte navn, adresse, cvr-nr. eller anden lignende dokumentation, hvis virksomheden ikke har et cvr-nr. Virksomhedens ejer- og kontrolstruktur skal klarlægges, og virksomhedens reelle ejere skal legitimeres, jf. dog 21, stk. 1, nr. 2. Stk. 4. Der skal indhentes oplysninger om hver kundes formål med forretningsforbindelsen og det tilsigtede omfang heraf. Stk. 5. Kundeforholdet skal løbende overvåges. Transaktioner, der gennemføres som led i kundeforholdet, skal overvåges for at sikre, at transaktionerne er i overensstemmelse med virksomhedens eller personens viden om kunden og kundens forretnings- og risikoprofil, herunder om nødvendigt midlernes oprindelse. Dokumenter, data eller andre oplysninger om kunden skal løbende ajourføres. Stk. 6. Hvis der er tvivl om, hvorvidt tidligere indhentede oplysninger om kundens identitet er korrekte eller tilstrækkelige, skal der kræves ny legitimation som nævnt i stk. 2 og 3. Stk. 7. De af loven omfattede virksomheder og personer kan beslutte at gennemføre legitimationsproceduren m.v. i stk. 1-5 ud fra en risikovurdering afhængig af risikoen ved den enkelte kunde eller forretningsforbindelse, produktet eller transaktionen. Virksomheden eller personen skal dog kunne godtgøre over for den myndighed, der fører tilsyn med den pågældendes overholdelse af loven, at undersøgelsens omfang er tilstrækkelig i forhold til risikoen for hvidvask og terrorfinansiering.

- 9 - Stk. 8. For kundeforhold, som er etableret før denne lovs ikrafttræden, og for hvem der ikke foreligger de i stk. 1-5 nævnte oplysninger, skal der foretages legitimation og indsamling af oplysninger i henhold til stk. 1-5 på et passende tidspunkt og på grundlag af en risikovurdering. I anledning af klagen har Erhvervsstyrelsen i redegørelse af 14. september 2015 udtalt: Sagens faktiske omstændigheder Den 27. maj 2015 aflagde Erhvervsstyrelsen et anmeldt kontrolbesøg hos K (herefter klager ) i henhold til hvidvasklovens 32, stk. 1. I besøget deltog og B, der begge er ansatte hos klager, og fra Erhvervsstyrelsen deltog C, D og E. Under mødet spurgte styrelsen ind til klagers ansatte, kunder, aktiviteter samt klagers generelle kendskab til hvidvaskloven og klagers procedurer i forbindelse med efterlevelse af hvidvaskloven. Som afslutning på mødet udtog styrelsen en række stikprøver i kunder på baggrund af en forud for mødet fremsendt kundeliste. Styrelsen bad i forbindelse hermed om at se indhentet dokumentation for legitimering og identifikation for kunder. Resultatet af kontrolbesøget førte til styrelsens afgørelse af 8. maj 2015 [7. august 2015] med en række påbud. Overordnet var styrelsens vurdering på baggrund af besøget og forklaringer fra de ansatte, at klager ikke havde kendskab til hvidvasklovens krav og ikke vidste, at selskabet var omfattet af loven. Ad klagens punkt 1 Legitimering af kunder Erhvervsstyrelsen spurgte på kontrolbesøget bl.a. ind til klagers kendskab til hvidvasklovens krav til legitimering og identificering af kunder. Som nævnt oplyste klager, at de forud for varslingen af kontrolbesøget ikke havde vidst, at de var omfattet af hvidvaskloven og at de ikke kendte til de krav, der følger af loven om bl.a. risikovurderinger, legitimering og identificering af kunder i forbindelse med etableringen af nye kundeforhold. Ligeledes kendte klager heller ikke til, at de for de kunder, hvor kundeforholdet var etableret før lovens ikrafttræden 1. marts 2006, ligeledes var forpligtede til at gennemføre en legitimerings- og identificeringsprocedure på et passende tidspunkt og på grundlag af en risikovurdering. Klager oplyste, at mange af deres kundeforhold var opstået før den nuværende hvidvasklovs ikrafttræden, men at de ikke for disse kunder ikke havde foretaget efterfølgende legitimering og identificering, da de ikke havde kendskab til hvidvasklovens krav herom.

- 10 - For god ordens skyld og for at kunne vurdere, om hvidvasklovens krav om legitimering og identificering alligevel kunne være opfyldt, bad styrelsen om, at se dokumentation for legitimering og identificering af klagers kunder. Klager oplyste, at det ikke var muligt at fremvise, fordi der ikke var sket legitimering og identificering af kunderne, men at de for mange kunder havde adgang til kundens skattemappe. Erhvervsstyrelsen vurderer, at en adgang til kunders skattemappe ikke i sig selv er tilstrækkeligt til at opfylde hvidvasklovens krav til legitimering og identificering. Klager har ikke under kontrolbesøget godtgjort over for Erhvervsstyrelsen, at legitimationsproceduren blev foretaget på baggrund af en konkret risikovurdering af den enkle af kunde, herunder idet der ikke var noteret noget ned herom som godtgørelse for denne procedure. Det er således Erhvervsstyrelsen forsatte vurdering, at klager ikke har iagttaget hvidvasklovens krav om legitimering og identificering af deres kunder. Ad klagens punkt 2 oplysninger om selskabet og dets ansatte Oplysningerne omkring antallet af ansatte, samt oplysningerne vedrørende selskabets dannelse, mv. bygger alene på det af de ansatte oplyste under kontrolbesøget og fremgår derfor også af afgørelsens sagsfremstilling. Uoverensstemmelser med den fuldstændige udskrift fra CVR-registeret, fejl i gengivelse af ansattes navn og antallet af ansatte, anses ikke for relevant for afgørelsens udfald. For så vidt angår legitimering af de deltagene på kontrolmødet, så beder styrelsen altid, blot for god ordens skyld, enten i forbindelse med eller efter kontrolbesøget om, at se legitimation på de deltagene. Efterfølgende indhentelse af disse oplysninger er således ikke ualmindelig, men styrelsen har naturligvis beklaget den ekstra byrde, som eftersendelse pr. e-mail medførte for de ansatte, der deltog i mødet. Ad klagens punkt 3 stikprøver i selskabets kunder: På kontrolbesøget hos klager gjorde styrelsen opmærksom på, at i de tilfælde, hvor kundeforholdet er etableret før lovens ikrafttræden, den 1. marts 2006, er klager forpligtet til at indhente oplysningerne på et passende tidspunkt og på grundlag af en risikovurdering. Klager oplyste, i forbindelse med stikprøvekontrollen i klagers kunder, at det ikke var muligt at fremvise nogen dokumentation, idet klager ikke var i besiddelse af en sådan. I forhold til klagers efterfølgende indsigelser omkring konkrete kunder, som Erhvervsstyrelsen udtog stikprøve i, har styrelsen nedenstående kommentarer. Vedrørende CVR-nr., så er det Erhvervsstyrelsens vurdering, at en kunde ikke umiddelbart kan anses som lav risiko kunde alene på baggrund af, at klager også har kundens far som kunde.

- 11 - Klager har endvidere ikke under kontrolbesøget godtgjort over for Erhvervsstyrelsen, at legitimationsproceduren blev foretaget på baggrund af en konkret risikovurdering af den enkle af kunde, herunder idet der ikke var noteret noget ned herom. Det bemærkes yderligere i klagen, at kunden er ophørt den 30.juni 2012. Dette har ingen betydning, idet det følger af loven, at dokumentation om kundeforhold skal opbevares i 5 år efter, at kundeforholdet er ophørt. Vedrørende Invest SA, CVR-nr., (det bemærkes at CVR-nummer er fejlanført som, i såvel afgørelse som klage), så stemmer oplysningerne i klagen om, at ejeren af kunden i klagen skulle have været gift med en anden tidligere kunde, ikke overens med det på kontrolbesøget oplyste. For det tilfælde at denne forklaring havde været givet, havde denne faktuelle omstændighed dog ikke gjort, at kunden alene af denne grund kunne anses som lav risiko kunde, idet der altid skal foretages en konkret risiko vurdering afhængig af risikoen ved den enkelte kunde. Derudover er der tale om en kunde med udenlands selskabsform, hvilket i sig selv gør, at risikoen skal anses som værende højere end normal jf. vejledning til hvidvaskloven kapitel 10.4.3.2 punkt 67. Vedrørende ApS CVR-nr., så er det styrelsen vurdering, at det faktum, at kunden har boet i en ejendom administreret af klager, ikke per definition gør kunden til lav risiko kunde. Ovenstående kommentarer relaterer sig til de forhold, der fremgår af klagen. Erhvervsstyrelsen skal imidlertid bemærke, at der i forbindelse med kontrolbesøget ikke kunne fremvises dokumentation eller godtgøres for, at der var foretaget en risikovurdering. Sagens retlige omstændigheder Det følger af 1, stk. 1, nr. 17, i hvidvaskloven [Lovbekendtgørelse nr. 1022 af 13. august 2013 om forebyggende foranstaltninger mod hvidvask af udbytte og finansiering af terrorisme med senere ændringer.], at loven finder anvendelse på virksomheder og personer, der yder samme ydelser som de i nr. 13-16 nævnte persongrupper, herunder skatterådgivere og eksterne bogholdere. Det følger desuden af lovens 32, stk. 1, at de persongrupper omfattet af lovens 1, stk. 1, nr. 17 er under tilsyn af Erhvervsstyrelsen. Det skal bemærkes, at Hvidvaskloven overordnede formål er, at bekæmpe hvidvask og terrorfinansiering og at et grundlæggende element til denne bekæmpelse er kend din kunde -princippet. Princippet udmønter sig i hvidvasklovens kapitel 4 i 11-22 bl.a. ved krav om identifikation og legitimation af kunden, der sikrer at kunden er den person, som kunden giver sig ud fra at være, jf. vejledning til hvidvaskloven kapitel 10.1.

- 12 - Hvidvaskloven foreskriver, at der kan og i visse tilfælde skal anvendes en risikovurdering i forbindelse med legitimationsproceduren. Således kan der foretages en såkaldt almindelig identificering og legitimering af virksomhedens kunder, der er fysisk tilstede og vurderes som lav eller normal risiko kunde, i henhold til lovens 12, stk. 5-7. Er der derimod tale om en høj risiko eller distance-kunde, skal virksomheden anvende en risikovurdering, jf. hvidvasklovens 19, samt vejledning til hvidvaskloven kapitel 10.4.2 og 10.4.3.2. Legitimationsproceduren skal ske i forbindelse med etableringen af kundeforholdet jf. lovens 13 og for de kundeforhold, der er etableret før lovens ikrafttræden, skal virksomheden foretage legitimation og indsamle oplysningerne på et passende tidspunkt og på grundlag af en risikovurdering, jf. 12, stk. 8. Et passende tidspunkt kan eksempelvis være, når virksomheden ved udarbejdelse af årsregnskaber eller fremsendelse af fakturaer til kunden, alligevel har kontakt til kunden. Det følger af vejledning til hvidvaskloven kapitel 10.4.2, at virksomheden i forbindelse med en almindelig legitimationsprocedure kan foretage en konkret risikovurdering af kunden, som er en vurdering af risikoen for hvidvask eller finansiering af terrorisme og at kunden er den person, som kunden udgiver sig for at være. En konkret risikovurdering kan dog aldrig føre til, at der ikke foretages nogen form for legitimeringshandling, jf. vejledning til hvidvaskloven kapitel 10.4.3.2.1 punkt 64. I vejledning til hvidvaskloven kapitel 10.4.2 punkt 39 opstilles et eksempel, hvor den ansatte i virksomheden er sikker på, hvem kunden er, fx fordi kunden er pågældendes nabo eller en offentlig kendt person og i sådanne tilfælde kan legitimationshandlingen efter omstændighederne være udført ved selve konstateringen af, men kan ikke stå alene da begrundelsen for, at der ikke er indhentet legitimationsdokumenter, skal noteres på sagen. For udenlandske kunder følger det af vejledning til hvidvaskloven kapitel 10.4.3.2 punkt 67, at disse normalt vil være kunder, hvor risikoen skal anses for at være højere end normalt, selvom kunden kommer fysisk til stede for at legitimere sig. Helt overordnet skal virksomheden altid være overbevist om, at kunden er den, som kunden udgiver sig for at være. Således må der ikke foreligge omstændigheder, som kan give anledning til tvivl herom, jf. vejledning til hvidvaskloven kapitel 10.4.3.2 punkt 55. Det er Erhvervsstyrelsens vurdering, at klager ikke har fremført argumenter eller forhold, der giver styrelsen anledning til at ændre sin afgørelse, hvorfor styrelsen indstiller til, at Erhvervsankenævnet tiltræder den påklagede afgørelse.

- 13 - Klager er ikke fremkommet med yderligere bemærkninger. Ankenævnet udtaler: K ApS er som revisionsvirksomhed omfattet af hvidvaskloven, jf. lovens 1, stk. 1, nr. 15 og 17. Det fremgår af hvidvasklovens 6, stk. 1, at de af loven omfattede virksomheder og personer skal være opmærksom på kunders aktiviteter, som på grund af deres karakter særlig menes at kunne have tilknytning til hvidvask eller finansiering af terrorisme. Dette gælder især komplekse eller udsædvanlig store transaktioner og alle usædvanlige transaktionsmønstre set i forhold til kunden. Efter 6, stk. 2, skal formålet med de transaktioner, der er nævnt i stk. 1, undersøges, og resultaterne heraf skal noteres og opbevares, jf. lovens 23. Det fremgår af lovens 7, at hvis der er mistanke om, at en kundes transaktion eller henvendelse har eller har haft tilknytning til hvidvask eller finansiering af terrorisme, skal de af loven omfattede virksomheder og personer undersøge transaktionen eller henvendelsen nærmere. Hvis mistanken vedrører lovovertrædelser, der kan straffes med fængsel i over 1 år, og denne mistanke ikke kan afkræftes, skal Statsadvokaten for Særlig Økonomisk og International Kriminalitet omgående underrettes. Det fremgår af 12, stk. 1, at de af loven omfattede virksomheder og personer skal have kendskab til deres kunder i overensstemmelse med stk. 2-8, herunder kræve, at deres kunder legitimerer sig, når der optages en forretningsmæssig forbindelse med disse. Efter 12, stk. 2, skal legitimationen for kunder, som er fysiske personer, omfatte navn, adresse og cpr-nr. Hvis kunden er en virksomhed, skal virksomhedens ejer- og kontrolstruktur ifølge 12, stk. 3, klarlægges, og virksomhedens reelle ejer legitimeres. Det fremgår af 12, stk. 7, at legitimationsproceduren kan gennemføres ud fra en risikovurdering. Virksomheden eller personen skal dog kunne godtgøre over for den tilsynsførende myndighed, at undersøgelsens omfang er tilstrækkelig i forhold til risikoen for hvidvask og terrorfinansiering.

- 14 - Af lovens 23, stk. 2, fremgår det, at dokumenter og registreringer vedrørende transaktioner skal opbevares, så de kan fremfindes samlet mindst 5 år efter transaktionernes gennemførelse. Dette gælder også de i medfør af 6, stk. 2, noterede oplysninger. Af lovens 25, stk. 1, fremgår det, at de af loven omfattede virksomheder og personer skal udarbejde tilstrækkelige skriftlige interne regler om kundelegitimation, opmærksomheds-, undersøgelses- og noteringspligt, indberetning, opbevaring af registreringer, intern kontrol, risikovurdering, risikostyring, ledelseskontrol og kommunikation samt uddannelses- og instruktionsprogrammer for medarbejderne for at forebygge og forhindre hvidvask og terrorfinansiering. Der skal endvidere udarbejdes tilstrækkelige skriftlige interne regler om overholdelse af Europa-Parlamentets og Rådets forordninger om oplysninger, der skal medsendes om betaler ved pengeoverførsler, hvor dette er relevant, og forordninger indeholdende regler om finansielle sanktioner mod lande, personer, grupper, juridiske enheder eller organer. Erhvervsankenævnet lægger i overensstemmelse med Erhvervsstyrelsens sagsfremstilling til grund, at de ved styrelsens forud anmeldte kontrolbesøg den 27. maj 2015 tilstedeværende medarbejdere hos K ApS oplyste, at de ikke var bekendte med, at selskabet er omfattet af hvidvaskloven og dermed heller ikke, at selskabet er forpligtet til at opfylde en række krav i forbindelse med etableringen af et kundeforhold samt løbende under kundeforholdets beståen. Det lægges endvidere til grund, at de ansatte ved kontrolbesøget på forespørgsel om opmærksomheds-, oplysnings- og noteringspligten efter hvidvaskloven oplyste, at de var opmærksomme på specielle og atypiske transaktioner, men i øvrigt ikke vidste, hvad de var forpligtet til at gøre, såfremt de blev opmærksomme eller mistænksomme. Herefter, og da klager efter det oplyste i øvrigt ikke findes at have efterlevet de i hvidvaskloven ovenfor anførte krav, herunder om udarbejdelse af tilstrækkelige skriftlige interne regler om kundelegitimation, opmærksomheds, - undersøgelsessamt noteringspligt, indberetning, opbevaring af registreringer, intern kontrol, risikovurdering, risikostyring, ledelseskontrol og kommunikation samt uddannelses- og instruktionsprogrammer for medarbejderne mv., tiltræder Erhvervsankenævnet, at Erhvervsstyrelsen har meddelt påbud som sket.

- 15 - Ankenævnet stadfæster således Erhvervsstyrelsens afgørelse af 7. august 2015.