Finanstilsynet Århusgade 110 2100 København Ø Att: Michael Landberg Finanstilsynets udkast til vejledning om lov om forebyggende foranstaltninger mod hvidvask af udbytte og finansiering af terrorisme Ved brev af 14. september 2010 har Finanstilsynet fremsendt ovennævnte udkast til vejledning med anmodning om Finansrådets bemærkninger. Indledningsvist bemærkes, at Finansrådet finder det nyttigt, at der nu foreligger en opdateret vejledning på området, der afspejler Finanstilsynets praksis. 28. september 2010 Finanssektorens Hus Amaliegade 7 1256 København K Telefon 3370 1000 Fax 3393 0260 mail@finansraadet.dk www.finansraadet.dk Finansrådet må imidlertid fremhæve, at hvidvaskloven og det bagvedliggende direktiv på visse områder overlader et vist skøn i form af risikovurdering til virksomhederne, der er omfattet af loven, til at opfylde lovens krav ud fra hensynet til lovens formål, risikoen ved den enkelte kunde eller forretningsforbindelse, produkt eller transaktion. Denne risikovurdering kan efter omstændighederne føre til skærpede krav fra virksomhederne side eller til lempeligere krav end foreskrevet i loven eller til anvendelse af loven direkte på kundeforholdet. Udkastet til vejledning synes ikke at tage tilstrækkeligt hensyn til den risikobaserede tilgang og den egenvurdering, der herved tillægges virksomhederne, især ikke, hvor der er indikatorer på en lav risiko. Kontakt Kim Busck-Nielsen Direkte 3370 1060 kbn@finansraadet.dk Indledningen til vejledningen indeholder i pkt. 1 en sætning, der lyder: På områder, hvor der er overladt til disse at foretage en risikovurdering, indeholder vejledningen anvisninger på, hvordan reglerne kan opfyldes. Således som vejledningen sprogligt er udformet, kan anvisningerne forstås på den måde, at de foreskriver, hvorledes risikovurderingen efter tilsynets opfattelse skal fortolkes og vil blive praktiseret af tilsynet. Den ovennævnte sætning bør derfor suppleres med, at den risikobaserede tilgang indebærer, at virksomhederne kan opfylde lovens formål efter egen vurdering under hensyn til lovens formål, risikoen ved den enkelte kunde eller forretningsforbindelse, produktet eller transaktionen. Det er væsentligt, at dette præciseres, da vejledningen - i modsætning til en bekendtgørelse - ikke indeholder en udtømmende opregning af forpligtelser og rettigheder, men eksempler på Finanstilsynets praksis på forskellige områder til brug for virksomhedernes tilrettelægges og administration af hvidvaskreglerne.
I indledningens pkt. 10 skal Finansrådet påpege, at ordene Virksomhedens risikostyring må tage udgangspunkt i bør ændres til: Virksomhedens risikostyring skal tage udgangspunkt i Side 2 Vejledningen indeholder på forskellige punkter skærpelser af tilsynets praksis. Det nødvendiggør, at pengeinstitutterne har behov for en vis tid til at ændre praksis og forretningsgange, inden tilsynet henviser til reglerne under inspektioner. Det bør endvidere fremgå af vejledningen, at den beskrevne praksis er tilsynets fremadrettede praksis. Vejledningen er lang (123 sider) og meget detaljeret i sin beskrivelse. Vejledningen vil med fordel kunne forkortes væsentligt. I udkastet til vejledning er der, efter at møderækken med organisationerne herom var tilendebragt, indsat referencer til 71-bekendtgørelsen om ledelse og styring af pengeinstitutter m.fl. udstedt i medfør af lov om finansiel virksomhed. Ifølge 71-bekendtgørelsen skal pengeinstitutterne for alle væsentlige risikoområder, herunder operationel risiko, have effektive former for virksomhedsstyring og skriftlige forretningsgange mv. Det fremgår også af 71-bekendtgørelsens bilag 6 om bestyrelsens forretningsorden, at forretningsordenen altid skal indeholde procedurer for, hvordan bestyrelsen skaffer sig de oplysninger, der er nødvendige for udførelse af dens opgaver herunder de forpligtelser, som bestyrelsen er pålagt i henhold til blandt andet hvidvaskloven. Finansrådet er enig i, at hvidvask er en operationel risiko omfattet af 71 i lov om finansiel virksomhed samt af 71-bekendtgørelsen. Ikke desto mindre fastsætter vejledningen i tillæg til bekendtgørelsen og dennes bilag 3 om operationel risiko regler for virksomhedernes risikostyring og risikostyringspolitik samt interne kontroller på hvidvaskområdet. Finansrådet finder derfor og lægger vægt på - at vejledningen ikke indeholder supplerende regler ved siden af de regler, der er indeholdt i 71- bekendtgørelsen. Således bør vejledningens pkt. 29 31 samt pkt. 34 39 udgå, og der bør i vejledningen som allerede sket i pkt. 8.5 alene henvises til 71-bekendtgørelsen. Vejledningen indeholder på visse punkter bestemmelser, der skal sammenholdes med persondataloven for lovligt at kunne praktiseres. Eksempelvist hedder det i pkt. 16.4.14, at pengeinstitutterne skal udarbejde statistikker, der må henvise til konkrete sager, i det omfang dette ikke strider mod persondatalovens regler. Enten må denne sætning om henvisning til konkrete sager udgå, eller så må det afklares med Datatilsynet, om sådanne henvisninger er lovlige.
Finansrådet forudsætter i øvrigt, at udkastet til vejledning har været forelagt og drøftet med Datatilsynet, som har accepteret vejledningen i relation til persondatalovens krav. Dette bør fremgå af vejledningen. Side 3 Det fremgår af vejledningens kap. 4, pkt. 4.1.2, at kravene til forretningsgange mv. kan lempes for virksomheder med få ansatte ud fra en risikovurdering. Eksempelvist nævnes udbydere af betalingstjenester. Efter Finansrådets opfattelse er dette eksempel ikke hensigtsmæssigt, da udbydere af betalingstjenester ikke kan henføres til lavrisikoområdet. Betalingstjenester kan netop anvendes til hvidvask og finansiering af terrorisme via betalingsoverførsler. Det er i den henseende ligegyldigt, om der er få ansatte i virksomheden hvilket vistnok typisk er tilfældet. Kriteriet få ansatte er ifølge lovbemærkningerne kun et enkelt element, der ud fra en risikovurdering kan begrunde en lempelse af virksomhedens forretningsgange og procedurer. I betragtning kommer også om der er tale om lavrisikokunder og -produkter. Dette bør tilføjes i vejledningen. I kap. 4 bør der efter pkt. 13 om højrisikokunder indsættes et nyt pkt. 13 a om lavrisikokunder samt om de lempeligere krav, der kan følge heraf i relation til legitimation mv. I disse tilfælde vil det ud fra en risikovurdering være tilstrækkeligt at kræve sygesikringsbevis og lign. eller notere, at kunden er kendt. Finansrådet er dog ikke enig med tilsynet i pkt. 19.6.30 om legitimation af advokater, hvoraf det fremgår, at en risikovurdering vil i almindelighed tilsige, at det ikke vil være påkrævet at indhente dokumentation for en advokats identitet se Finansrådets bemærkninger hertil neden for. Pkt. 4.2.4. 31 bør udgå, jf. Finansrådets bemærkninger om 71- bekendtgørelsen ovenfor. Vejledningen beskriver i pkt. 8.2.10 at virksomheden skal have tilstrækkelige skriftlige interne forretningsgange. Vejledningen beskriver disse, men beskriver ikke, hvad der nærmere ligger i ordet tilstrækkelige. Dette begreb bør forklares. Det bør således fremgå, jf. lovbemærkningerne, at der herved forstås, at der for visse typer af virksomheder er tale om lavrisikokunder eller lavrisikoprodukter, ligesom også virksomhedens størrelse kommer i betragtning. Pkt. 8.2.12 foreskriver, at medarbejderne skal informeres om konsekvenserne af en overtrædelse af hvidvaskloven. Sådan information om overtrædelse af forpligtelser, herunder af tavshedsforpligtelser, indgår i en større sammenhæng i ansættelsesforholdet og bør derfor udgå af vejledningen. Der er heller ikke hjemmel til at pålægge virksomhederne en sådan pligt i vejledningen, og ordet skal må derfor i det mindste ændres til: bør. Der bør i øvrigt indsættes et nyt pkt. i kap. 8, hvoraf det fremgår, at der ikke er krav om, at de interne regler er samlet i ét dokument. I pkt. 8.2.15 bør det tilføjes, at tilsynet ikke har udstedt en bekendtgørelse.
Vedrørende pkt. 8.2.22 om uddannelsesprogrammer for de ansatte bemærkes, at medarbejderne ikke skal undervises i love og regler på hvidvaskområdet. Dette vil i mange henseender være irrelevant og overflødigt for de pågældende. Medarbejderne skal derimod undervises i hvidvask- og terrorismeproblemetikken, således at de kan genkende forsøg på hvidvask og finansiering af terrorisme. Medarbejderne skal endvidere have kendskab til bankens forretningsgange på området, således at de er bekendt med, hvorledes de skal forholde sig, særligt med hensyn til rapportering opad i systemet og om deres tavshedspligt. I konkrete sager vil medarbejderne modtage instruktioner fra deres overordnede, og de må ikke handle på egen hånd. Side 4 Pkt. 8.4.27 om 71-bekendtgørelsen bør udgå, jf. Finansrådets bemærkninger ovenfor. I pkt. 8.5.39 bør ordene hvor dette måtte være relevant erstattes af: hvor dette skønnes relevant. I pkt. 10.4.1.22 bør ordene når der er tale om erstattes af: når der er mistanke om I pkt. 10.4.2.25 må Finansrådet rejse spørgsmål om, hvordan det afgøres, om en risikovurdering er "forkert eller utilstrækkelig". I forlængelse pkt. 10.4.3.2.1.47 bør det tilføjes, at det er en konkret vurdering hvor megen dokumentation, der skal forevises for at der er tale om tilstrækkelig dokumentation. I øvrigt hører første led i første sætning om billedlegitimation fra offentlig myndighed ikke sammen med resten af afsnittet, der angår værdien af billedlegitimation contra billedlegitimation. Spørgsmålet om billedlegitimation skal stamme fra offentlig myndighed eller ej bør sammenfattes i pkt. 48. Efter pkt. 48 om billedlegitimation udstedt af offentlige myndigheder bør der som et nyt pkt. indsættes en bestemmelse om, at også andre legitimationsdokumenter kan komme i betragtning efter en konkret vurdering i relation til "kend din kunde"-princippet, og som eksempel kan nævnes "Danske Pengeinstitutters ID-kort", der er et billede id-kort. I pkt. 10.4.3.2.1.52 nævnes børneopsparingskonti som lavrisikotilfælde, hvor forældrene i forvejen er kunder i banken. En børneopsparingskonto og barnet, som ejer kontoen, er vel altid lavrisiko, selv om forældrene (eller bedsteforældrene) ikke er og ofte ikke er - kunder i samme bank. I Pkt.10.4.3.2.2.60 må det forklares, hvorfor de procedurer, der er nødvendige for at legitimere en distancekunde er begrænsede i forhold til højrisikotilfælde i pkt. 58. I pkt. 10.4.3.2.3.72 bør den øverste daglige ledelse defineres. Ifølge den nuværende vejledning forstås herved den person eller afdeling, der er nær-
meste foresatte til den, der søger godkendelse. I mindre pengeinstitutter vil dette ofte være direktionen. Side 5 Ifølge pkt. 10.4.3.2.3.73 skal virksomheden bede kunden oplyse, om denne er en politisk udsat person. Dette spørgsmål bør alene stilles, hvor det er relevant, og der bør derfor efter ordene bede kunden tilføjes:, hvor dette er relevant. Af pkt. 10.4.3.2.3.75 fremgår det, at det kan være relevant for banken rutinemæssigt at google sine kunder. Hertil skal Finansrådet bemærke, at dette ikke er hensigtsmæssigt at indføje i vejledningen. Herudover rejser en sådan praksis også spørgsmål i relation til tavshedspligten, da søgning på nettet og i søgemaskiner ikke kan foregå anonymt, idet søgninger registreres. I øvrigt bemærkes, at en browser ikke er en søgemaskine, og hvad er i øvrigt en anerkendt browser. I pkt. 10.4.3.2.3.77 anbefales det, at pengeinstituttet samarbejder med lokale advokater i andre lande eller bankforbindelser i det pågældende land for at finde ud af, om en person er en politisk udsat person. Denne anbefaling i vejledningen, som således også vil være udtryk for tilsynets praksis, er ganske upraktisk og kan/vil komme i konflikt med tavshedspligten. Efter Finansrådets opfattelse vil honoraret herfor ikke kunne pålægges den pågældende kunde uden dennes samtykke. I pkt. 10.4.4.2.87 bør det undersøges, om kommanditselskaber altid er registreret i Erhvervs- og Selskabsstyrelsen. I pkt. 10.4.5.4.2.155 fremgår det, at advokater er omfattet af de almindelige identifikations- og legitimationskrav som andre kunder, både når de opretter konti til sig selv og klientkonti. Det er Finansrådet enig i, men udsagnet i dette afsnit i vejledningen stemmer imidlertid ikke med vejledningens pkt. 19.6.30, hvoraf det fremgår, at en risikovurdering i almindelighed vil tilsige, at det ikke vil være påkrævet at indhente dokumentation for en advokats identitet. Finansrådet er ikke enig heri og anbefaler, som det fremgår af pkt. 155, at advokater altid er omfattet af de almindelige identifikationsog legitimationskrav, medmindre en konkret risikovurdering kan føre til en konkret lempelse heraf. I pkt. 10.4.9.203 bør ordet kundeansvarlig slettes, da det er forskellige medarbejdere, der undersøger mistanker. Af pkt. 10.4.9.206 fremgår det, at virksomheden skal anvende disse oplysninger sammen med oplysninger om formål mv. Ordet skal bør ændres til: kan, da der er tale om en risikovurdering, som virksomheden selv foretager, jf. pkt. 175, der korrekt anvender ordet kan i denne sammenhæng. Kap. 15 om tilbagemelding (feedback) bør udgå i sin helhed, da der er tale om et anliggende mellem Hvidvasksekretariatet og pengeinstitutterne. Ka-
pitlet hører derfor - efter Finansrådets opfattelse - ikke hjemme i en vejledning fra Finanstilsynet. Side 6 Af pkt. 16.2.5 fremgår det, at når kunden har forevist pas, skal ikke blot pasnummeret som hidtil, men i følge vejledningen nu også passets udløbsdato noteres og opbevares. Finansrådet finder ikke, at der er hjemmel til at pålægge pengeinstitutterne at notere udløbsdatoen. Finansrådet står i øvrigt uforstående over for kravet, der ikke ses at tjene noget legitimationsformål eller andet hvidvaskformål, medmindre tilsynet ønsker under inspektioner at efterkontrollere formalia om, hvorvidt medarbejderne konkret har set pas, der ikke er udløbet uanset om kend din kunde princippet fuldt ud er opfyldt og der ikke er tvivl om kundens identitet. Der står intetsteds i direktivet eller andre steder, at legitimationsdokumentet skal være formelt gyldigt. Et formelt udløbet pas med pasnummer og vellignende billede (dog ikke et gennemhullet pas) er dog betydeligt bedre legitimation end et sygesikringsbevis eller anden legitimation uden billede. Notering af udløbsdato har ingen som helst betydning, og da legitimation i princippet kun finder sted én gang under kundeforløbet, vil passet på et tidspunkt de facto være udløbet. Det nye krav bør derfor udgå. Hvis tilsynet fastholder kravet, bør tilsynet begrunde behovet herfor. En anden side af sagen er, at pengeinstitutterne i praksis ønsker at se et gyldigt pas, men konkrete forhold, feks hvor der er tale om ældre mennesker, der ikke har brug for en fornyelse af passet, kan føre til accept af det udløbne pas som tilstrækkelig dokumentation. Men dette er et andet spørgsmål en indførelse af en noteringspligt i alle tilfælde. Pkt. 16.4.14 forudsætter, at der overalt, hvor en medarbejder får anledning til mistanke fortages noteringer heraf samt af undersøgelser på kundesagen eller andetsteds. Dette er ikke tilfældet. Når en medarbejder i en filial undrer sig over en kunde eller en transaktion, taler medarbejderne indbyrdes herom og evt. inddrages filialbestyreren, og spørgsmålet drøftes/undersøges uformelt. Hvis der ikke er grund til mistanke, sker der ikke mere, og der foretages ikke nødvendigvis registrering heraf på kundesagen, medmindre medarbejderne beslutter f.eks. at holde kunden under observation. Hvis der er hold i mistanken rapporteres denne til bankens hvidvaskansvarlige i hovedsædet, og denne opretter da typisk en sag på mistanken, hvis denne ikke umiddelbart kan afkræftes eller findes ugrundet. De statistiske oplysninger vil således alene bestå af den hvidvaskansvarliges x antal sager samt x antal foretagne underretninger, men ikke antal samtaler med Hvidvasksekretariatet eller andet samarbejde med politiet. Det understreges, at de statistiske tal ikke må være personhenførbare. Vejledningen bør derfor omredigeres i overensstemmelse hermed. Da pengeinstitutternes arbejde på hvidvaskområdet og på området for finansiering af terrorisme involverer flere myndigheder i forskellige relationer, og da der ikke (nødvendigvis) laves formelle oversigter over formelle og uformelle undersøgelser udover den hvidvaskansvarliges undersøgelser må Finansrådet tage grundlæggende afstand fra påstanden i pkt. 15, hvorefter manglende mulighed for at fremvise samlede oversigter over undersøgelser kan være en indikation på, at virksomheden ikke varetager hvidvask-
og terrorismeområdet på forsvarlig vis. Denne påstand er, som den står, ganske ubegrundet. Pkt. 15 bør derfor slettes. Side 7 I pkt. 17.1.3 bør der efter identisk tilføjes: hvis identitetssammenfald ikke kan afkræftes. I modsat fald vil der kunne blive indberettet et meget stort antal irrelevante navne. Af pkt. 18.2.1.6 fremgår det, at virksomhederne skal træffende foranstaltninger til at beskytte de ansatte mod repressalier. Dette er en selvfølge, som finder sted på alle områder af medarbejderens ansættelse. Ifølge hvidvaskdirektivets art. 27 er det i øvrigt pålagt medlemslandene at træffe alle passende foranstaltninger for at beskytte ansatte hos de institutter eller personer, der er omfattet af direktivet, mod repressalier mv. Finansrådet drøfter løbende spørgsmålet om beskyttelse af de ansatte med Hvidvasksekretariatet, og der er truffet forskellige foranstaltninger inden for lovens rammer. Finansrådet efterlyser imidlertid mere håndgribelige lovgivningsmæssige beskyttelsesforanstaltninger, f.eks. i form af vidnebeskyttelse. I pkt. 21.10 om kontantforbuddet nævnes, at i de tilfælde, hvor kunden indsætter kontantbeløbet i forhandlerens pengeinstitut på dennes konto efter anvisning fra forhandleren kan der være tale om omgåelse af forbuddet. Det er Finansrådet ikke enig i. Faktisk kan proceduren anbefales, da køberen skal legitimere sig i forhandlerens pengeinstitut og således er kendt. Finansrådet står gerne til disposition med yderligere oplysninger og uddybning af ovenstående og deltager gerne i et møde herom med tilsynet. Med venlig hilsen Kim Busck-Nielsen Direkte 3370 1060 kbn@finansraadet.dk