Den 22. februar 2024 ble EU-parlamentet og Rådet enige om at AMLA skal plasseres i Frankfurt. I pressemeldinger fra EU-parlamentet og Rådet ble det også opplyst at AMLA vil være i drift allerede fra juli 2025.

Regelverkspakken er foreløpig godkjent, og skal stemmes over i parlamentet den 22-25 april 2024. Frem til endelig vedtakelse av AMLA-forordningen, vil EU-kommisjonen være ansvarlig for å etablere tilsynsmyndigheten.

Etableringen av AMLA skal sikre et enhetlig system for tilsyn knyttet til anti-hvitvasking og terrorfinansiering på tvers av EU/EØS, basert på felles tilsynsmetoder og samordnet tilsynspraksis. Videre skal AMLA bidra til at EU-regelverket knyttet til anti-hvitvasking og terrorfinansiering praktiseres og håndheves likt i alle medlemslandene.

Tilsynsmyndigheten skal føre direkte overnasjonalt tilsyn med utvalgte rapporteringspliktige. I tillegg skal tilsynet:

være den sentrale anti-hvitvasking og terrorfinansieringsmyndigheten i EU/EØS

koordinere nasjonale tilsynsmyndigheter for å sikre at regelverket praktiseres riktig og konsistent

analysere trender samt vurdere risikoutviklingen knyttet til hvitvasking og terrorfinansiering i og utenfor Europa

dele risikoanalyser med nasjonale tilsynsmyndigheter

styrke samarbeidet mellom medlemslandenes finansielle etterretning

AMLA skal bestå av et "executive board" og et "general board". Executive Board skal bestå av en styreleder og fem uavhengige medlemmer, og vil være den styrende delen av AMLA.

General board skal bestå av representanter fra medlemslandene, og skal vedta alle regulatoriske instrumenter. Dette inkluderer utkast til regulatoriske og tekniske standarder, anbefalinger og retningslinjer. General board vil også kunne komme med uttalelser knyttet til beslutninger som fattes av executive board. Denne "selskapsrettslige" strukturen skal gjøre AMLA mer uavhengig av nasjonale interesser.

Det skal også etableres et klageorgan, og EU-domstolen skal ha domsmyndighet til å overprøve vedtak.

Innføringen av AMLA vil kreve tilslutning til EØS avtalen. Finansdepartementet indikerer videre at EU regelverket mest sannsynlig vil gjennomføres i norsk rett gjennom inkorporasjon, dvs. en lovbestemmelse om at EU regelverket vil gjelde som norsk lov med de tilpasninger følger av EØS-komitebeslutningen. Videre vil opprettelsen av AMLA finansieres av private aktører i finanssektoren som direkte eller indirekte blir underlagt AMLA-tilsyn. Utregningen av tilsynsavgiften som skal betales av rapporteringspliktige skal skje etter en beregningsmetode som skal fastsettes gjennom en kommisjonsdelegert rettsakt.

Etableringen av AMLA vil medføre at Finanstilsynets rolle som tilsynsmyndighet vil bli endret. Finanstilsynet vil ikke lenger ha primært tilsynsansvar for norske aktører som blir underlagt direkte tilsyn av AMLA.

I det foreløpige posisjonsnotatet fra Finansdepartementet datert 6. oktober 2021 fremgår det likevel at Finanstilsynet vil bidra aktivt inn i tilsyn som gjelder norske rapporteringspliktige. Det fremgår også at det ikke forventes noen lettelse i Finanstilsynets arbeidsbyrde – tvert imot anser Finansdepartementet at etableringen av AMLA og tilhørende nye standarder vil kreve betydelige ressurser for norske myndigheter.

AdeBs AML-team vil følge den videre utviklingen.

Forslag til forordning om opprettelse av Myndigheten for bekjempelse av hvitvasking av penger og finansiering av terrorisme - regjeringen.no

Frankfurt to host the EU’s new anti-money laundering authority (AMLA) - Consilium (europa.eu)

Frankfurt will be the home of the EU Anti-Money Laundering Authority | News | European Parliament (europa.eu)

Ett skritt nærmere etableringen av EUs tilsynsmyndighet for anti-hvitvasking og terrorfinansiering (AMLA)

Den 11. september 2023 publiserte vi en artikkel om typiske fallgruver ved etterlevelse av antihvitvaskingsregelverket. Artikkelen kan du lese her: 

Antihvitvaskregelverket advokatbistand Arntzen de Besche (adeb.no)

I artikkelen skrev vi at vår erfaring er at Finanstilsynet stiller strenge krav til rapporteringspliktige når det gjelder oppfølging av hvitvaskingsregelverket. Det kan likevel være vanskelig å utlede hva som faktisk kreves for å etterleve hvitvaskingsregelverket. Dette illustreres jevnlig i praksis fra Finanstilsynet.

Den 20. november 2023 publiserte Finanstilsynet tilsynsrapport og vedtak om overtredelsesgebyr (

) etter tilsyn i Askim & Spydeberg Sparebank (

). Banken ble som følge av tilsynet ilagt et overtredelsesgebyr på NOK 9 500 000.

Med denne artikkelen ønsker vi å belyse noen generelle læringspunkter for andre rapporteringspliktige som kan utledes av Tilsynsrapporten.

Mangler i etterlevelsen av hvitvaskingsregelverket

Den rapporteringspliktiges organisering, internkontroll og rapportering

Av Tilsynsrapporten fremgår det at styret og ledelsen ikke hadde sørget for at Banken hadde tilstrekkelige ressurser, kompetanse og rutiner til å etterleve hvitvaskingsregelverket på en forsvarlig måte. Etter vår oppfatning er det viktig å merke seg at:

operasjonelle oppgaver kan legges til kunderådgivere, men den rapporteringspliktige må sørge for tilstrekkelig kapasitet både hos førstelinje, og hos hvitvaskingsansvarlig;

etterlevelsesansvarlig må være tilstrekkelig uavhengig til å føre kontroll med førstelinjens etterlevelse, og bør ikke bistå i for stor grad med operasjonelle oppgaver;

internkontroll skal ikke medføre kontroll av eget arbeid. Internkontroll må omfatte alle områder av hvitvaskingsregelverket, og skal skje jevnlig; og

rapportering til styret etter internkontroll må inneholde tilstrekkelig informasjon om risiko for hvitvasking og terrorfinansiering samt etterlevelse av regelverket.

Bankens risikomatrise, risikorapport og handlingsplan utgjorde til sammen Bankens virksomhetsinnrettede risikovurdering. Finanstilsynet mener den virksomhetsinnrettede risikovurderingen ikke gjorde Banken i stand til å iverksette riktige og risikobaserte tiltak for å adressere risiko for hvitvasking og terrorfinansiering. Her er det verdt å merke seg at:

den virksomhetsinnrettede risikovurderingen ikke kan være for generell og overordnet, den må konkret beskrive den faktiske risikoen, og skal bygges på relevante data og informasjon om egen kundemasse;

risikomatriser må være ferdig utarbeidet dersom de skal brukes, og må oppdateres både jevnlig og ved behov;

risikoreduserende tiltak for risikofaktorer må være reelle. Disse skal beskrive hvordan de risikoreduserende tiltakene skal redusere risikoen, og hvorfor restrisikoen vurderes som lavere enn den iboende risikoen;

dersom flere dokumenter utgjør den virksomhetsinnrettende risikovurderingen må disse ha en metodisk sammenheng, og ikke være motstridende; og

dersom det konkluderes med lav risiko for et kundeforhold, produkt eller tjeneste, må det foreligge et tilstrekkelig grunnlag for konklusjonen.

Bankens rutiner var ikke tilstrekkelig operasjonelle, og ga i liten grad veiledning til hvilke vurderinger som skulle gjennomføres for etterlevelse av hvitvaskingsregelverket. Det er viktig å merke seg at:

rutiner må være konkret tilpasset. Det er ikke tilstrekkelig med generelle rutiner, hvor store deler av rutinene består av avskrift fra regelverket og Finanstilsynets veileder til hvitvaskingsloven;

rutiner må oppdateres årlig og ved behov, og det må være tydelig hvem rutinene gjelder for og hvordan ansvaret er fordelt;

rutinene må også være klare på hvilke kundetiltak som skal gjennomføres for hvilke risikogrupper, og sette den ansatte i stand til å gjøre vurderinger og igangsette nødvendige tiltak;

endringer i rammeverk og systemstøtte krever oppdatering av rutiner; og

rutiner må være tydelig på hvilke kundetiltak som skal gjennomføres av PEP-kunder.

Finanstilsynet vurderte at Banken i for stor grad lente seg på en elektronisk risikoklassifiseringsmodell. Etter Finanstilsynets vurdering stiller en slik løsning høye krav til at risikoklassifiseringsmodellen fanger opp relevante risikofaktorer. På den bakgrunn konkluderte Finanstilsynet med at det var risiko for at kundene ikke ble underlagt kundetiltak i tråd med den faktiske risikoen. Det er viktig å merke seg at:

sårbarheter i elektroniske løsninger for risikoklassifisering må vurderes jevnlig. Eventuelle mangler i leveranser fra systemleverandør må følges opp, og det må planlegges tiltak for å kompensere for mangler;

det må vurderes i hvilken grad det er behov for manuell oppfølging av kundeforholdet;

metodikk for risikoklassifisering må være konkret, og finmasket nok til å plukke opp relevante risikofaktorer; og

ved manuell overstyring av modellen må nedjustering av risiko vurderes og begrunnes på bakgrunn av de risikofaktorene modellen har identifisert – fravær av ytterligere risikofaktorer er ikke nok.

Finanstilsynet avdekket mangler i etterlevelsen av kundetiltak ved etablering av kundeforhold i samtlige stikkprøver. Gjennomgående var det mangler i risikoklassifisering av kunder, og manglende dokumentasjon på forståelse av eierskaps- og kontrollstruktur. Stikkprøver underbygget at Bankens rammeverk ikke var bygget opp på en måte som satte Banken i stand til å identifisere og håndtere risiko for hvitvasking og terrorfinansiering. Det er viktig å merke seg at:

hovedtyngden av kundetiltak kan ikke basere seg på kundens utfylling av kundeerklæringsskjema;

risikoen ved kundeforholdet må baseres på en helhetsvurdering. Bør være «fire øyne»-kontroll ved manuell nedjustering av risiko;

det må fremgå av dokumentasjonen hvordan eller hvorfor en person anses som reell rettighetshaver; og

kundetiltak og de vurderinger som er gjort i risikoklassifiseringen må dokumenteres. Tiltak som er gjort for å fastslå formuens opprinnelse og om kundeforhold med høy risiko er godkjent av hvitvaskingsansvarlig må dokumenteres.

Alle banker er pålagt å ha elektroniske overvåkningssystemer som kan avdekke forhold som kan indikere hvitvasking og terrorfinansiering. Reglene i overvåkningssystemene må være egnet til å avdekke forhold som indikerer at midler har tilknytning til hvitvasking eller terrorfinansiering som identifisert i den rapporteringspliktiges risikovurdering.

Under tilsynet var det dessuten få spor av at det var gjennomført vurderinger som en del av de løpende kundetiltakene. Løpende kundetiltak besto stort sett av å hente inn oppdatert kundeerklæringsskjema. Det bør merkes at:

avvik mellom innhentet kundeinformasjon og faktiske transaksjoner kan ikke håndteres ved å kun sende nytt kundeerklæringsskjema med oppdatert informasjon. Dette kan medføre at innhentet informasjon og kundeatferd samsvarer, og at utslag i transaksjonsovervåkning unngås;

transaksjonsovervåkningssystem må være tilpasset bankens identifiserte risiko, og evne å fange opp mistenkelige forhold; og

ved bruk av innkjøpte systemer må det sikres at det gjennomføres evalueringer av kvalitet, funksjonalitet, svakheter og behov for komplementerende tiltak.

Undersøkelser og rapportering til Økokrim

Finanstilsynet gjennomførte stikkprøvekontroller av undersøkelser som hadde ledet til rapportering til Økokrim, samt undersøkelser som var lukket uten rapportering.

Finanstilsynet fant eksempler på at det i stedet for undersøkelser ble gjennomført kundetiltak på en måte som gjorde at kundens informasjon ble tilpasset den faktiske atferden. Banken primære oppfølging i slike tilfeller var å innhente nytt kundeerklæringsskjema, uten å vurdere om den innhentede informasjonen gav mening.

Banken gjennomførte også «white-listing» av alarmer, som innebar at en alarm ble skrudd av for en kunde i en begrenset periode. Finanstilsynet påpekte at en slik tilnærming forutsetter grundige risikovurderinger, gjennomføring av internkontroller og oppfølging.

nærmere undersøkelser kan ikke erstattes med å gjennomføre kundetiltak slik at kundens informasjon blir tilpasset faktisk atferd; og

undersøkelser må dokumenteres, uavhengig av om de rapporteres til Økokrim.

Hva kan vi lære etter tilsynet hos Askim & Spydeberg Sparebank?

Han har skrevet en masteroppgave med tittelen «kravet til årsakssammenheng i naturskadeerstatningsloven § 4».  

Storebrand Helseforsikring er en av Norges ledende aktører innen produksjon og salg av helseforsikring. I over 20 år har selskapet vært en vellykket joint venture eid 50/50 av ERGO og Storebrand ASA. Transaksjonen forventes å bli fullført i første kvartal av 2024.

Transaksjonen har involvert støtte fra betydelige deler av våre forretningsområder, spesielt innen M&A, regulatoriske forhold, konkurranselov og IT. Vårt juridiske team ble ledet av Lars Horgen Hinze, og kjerneteamet bestod av Karl Rosén, Stein Ove Solberg, Christopher Hestnes og Jon Oscar Njerve.

Kontaktinformasjon

+47 452 16 582

jon@adeb.no

+47 23 89 40 00

Kompetanseområder

M&A

Jon Oscar Njerve

Aktuelt

Ett skritt nærmere etableringen av EUs tilsynsmyndighet for anti-hvitvasking og terrorfinansiering (AMLA)

Hva kan vi lære etter tilsynet hos Askim & Spydeberg Sparebank?

Hva har vi gjort

Ergo kjøper Storebrand Helseforsikring

Nyhetsbrev