Gör en allmän riskbedömning
Du som är verksamhetsutövare ska göra en så kallad allmän riskbedömning. Det betyder att du ska analysera hur din verksamhets produkter och tjänster kan utnyttjas för penningtvätt och finansiering av terrorism. Du ska också bedöma hur stor risken är för att det sker.
Att identifiera risker och sårbarheter är avgörande för att skydda verksamheten och förhindra att den används för olagliga ändamål. Riskbedömningen är grunden i det riskbaserade förhållningssättet och vara dokumenterad. Du ska dela den med alla som har en roll i att skydda verksamheten.
Riskbedömningen för din verksamhet ska beskriva
- produkter och tjänster som du erbjuder i din verksamhet
- hot som finns för att din verksamhet ska utnyttjas
- sårbarheter som gör det möjligt att din verksamhet utnyttjas
- hur stora riskerna är och varför.
Den allmänna riskbedömningen kan också beskriva vilka åtgärder ni gör som minskar eller förebygger riskerna.
Den allmänna riskbedömningen ska i nästa steg
- ligga till grund för vilka rutiner och riktlinjer verksamheten tar fram för att förhindra och hantera riskerna. Det kan vara rutiner för intern kontroll, kundkännedom och övervakning och rapportering.
- finnas med när du bedömer riskerna hos din verksamhets kunder.
Hur vet jag vad som är hot för min verksamhet?
Hot är olika sätt som din verksamhets produkter och tjänster kan användas för att tvätta pengar eller finansiera terrorism.
När du ska identifiera och analysera hot behöver du hålla dig uppdaterad om kända tillvägagångssätt. Du kan få information från myndigheter som arbetar med dessa frågor. Exempel på myndigheter och organisationer som du kan använda som källor:
- Nationell samordning mot penningtvätt och finansiering av terrorism, Polisen
Länk till annan webbplats. - Säkerhetspolisen Länk till annan webbplats.
- Finanspolisen, Polisen Länk till annan webbplats.
- Ekobrottsmyndigheten Länk till annan webbplats.
- Skatteverket Länk till annan webbplats.
- Financial Action Task Force, FATF Länk till annan webbplats.
- Europol Länk till annan webbplats.
- EU-kommissionen Länk till annan webbplats.
- Brottsförebyggande rådet Länk till annan webbplats.
Ange i din riskbedömning vilka källor som du använder som underlag.
Du ska också ta hänsyn till vad din verksamhet har rapporterat till Finanspolisen angående misstänkta transaktioner och aktiviteter. Det kan finnas omständigheter i din verksamhet som kan göra att verksamheten kan utsättas för hot.
Hur identifierar jag sårbarheter?
Sårbarheter är svagheter eller brister i din verksamhet som kan utnyttjas för att genomföra penningtvätt eller finansiering av terrorism.
När du identifierar sårbarheter, ta särskild hänsyn till dessa riskfaktorer:
- Kundernas förhållanden. Finns det omständigheter hos dina kunder, dina kunders verksamheter och branscher som kan innebära risker för din verksamhet? I penningtvättslagen (2 kap. 4 och 5 §§) finns exempel på omständigheter som kan tyda på låg eller hög risk.
- Distrubition eller leveranssätt. Erbjuder din verksamhet produkter och tjänster som gör det svårare för dig att överblicka hur och vad kunden använder produkter och tjänster till? Till exempel om tjänsten erbjuds på distans, genom en tredje part eller via ett webbaserat forum. Det kan vara så att du erbjuder en produkt som i sig innebär en låg risk, men ditt leveranssätt innebär en hög risk, vilket i kombination kan göra att risken för att produkten kan utnyttjas blir högre.
- Geografiska förhållanden. Finns det särskilda förhållanden i länder där din verksamhet erbjuder sina produkter och tjänster eller där dina kunder har sin verksamhet? Saknar länderna effektiva regelverk mot penningtvätt? Förekommer det korruption i länderna?
Håll dig uppdaterad om EU-kommissionen har bedömt att det finns en hög risk för penningtvätt eller finansiering av terrorism i landet.
EU-kommissionens lista över aktuella länder:
Anti-money laundering and countering the financing of terrorism at international level, EU-kommissionen Länk till annan webbplats. - Verksamhetsspecifika omständigheter. Finns det specifika omständigheter i din verksamhet? Till exempel din verksamhets storlek eller hur komplex organisationen är.
Värdera risker, tilldela och motivera risknivåer
Du ska värdera riskerna för att din verksamhets produkter och tjänster kan utnyttjas för penningtvätt och finansiering av terrorism. Utgå från hoten och sårbarheterna du identifierat. Vid din värdering ska du sammanväga och analysera hur samtliga hot och sårbarheter kan påverka varandra, skapa eller öka risken. Var uppmärksam på att en sårbarhet ensam eller i kombination med en eller flera andra kan göra att ett eller flera hot kan bli en realitet.
Du ska tilldela och motivera en risknivå för var och en av dina produkter och tjänster.
Tänk på att din allmänna riskbedömning ska kunna fungera som underlag för din verksamhets rutiner och riktlinjer och övriga åtgärder för att skydda din verksamhet.
Så här kan du bedöma risknivån för att en redovisningstjänst kan utnyttjas:
- Hotet är att falska fakturor blir bokförda.
- Sårbarheten uppstår om den anställda som bokför fakturor inte har kompetens att upptäcka falska fakturor.
- Sårbarhet finns om kunden som använder bokföringstjänsten är verksam i en bransch där det finns en betydande risk för penningtvätt.
Dessa tre faktorer väger du samman. Därefter tilldelar och motiverar du en risknivå för tjänsten.
Ta hänsyn till riskreducerande åtgärder
Om din verksamhet gör åtgärder för att minska riskerna kan du välja att ta hänsyn till det när du gör din allmänna riskbedömning. Analysera och dokumentera i din riskbedömning hur åtgärderna påverkar riskerna och hur effektiva de är.
Exempel på åtgärder för att minska riskerna kan vara att inte erbjuda en specifik tjänst på distans, genom en tredje part eller via ett webbaserat forum.
Vanliga frågor och svar
Hur omfattande din allmänna riskbedömning ska vara beror bland annat på din verksamhets storlek, art och riskerna i verksamheten.
Din verksamhets storlek beror på bland annat
- omsättning
- antal anställda
- antal verksamhetsställen och liknande förhållanden.
Din verksamhets art bestäms av bland annat
- vilken typ av verksamhet som du bedriver
- vilka varor eller tjänster som du tillhandahåller
- hur komplexa dessa varor och tjänster är och andra liknande omständigheter.
Ja. Du ska utvärdera din riskbedömning regelbundet, minst en gång per år och uppdatera den vid behov.
Om risken förändras på grund av ändringar i din verksamhet eller omvärlden, kan du behöva utvärdera och uppdatera din riskbedömning mer frekvent än en gång per år. Till exempel om du börjar erbjuda nya eller väsentligt förändrade produkter eller tjänster, eller riktar dig till nya marknader.
Din allmänna riskbedömning ska vara daterad med tid för när du utvärderat och eventuellt uppdaterat den.
Alla som har en funktion och utför arbetsuppgifter som skyddar din verksamhet från att utnyttjas ska ta del av riskbedömningen. De ska
- veta hur ett utnyttjande skulle kunna gå till och hur stor risken är för att det sker
- kunna motverka, upptäcka och rapportera om någon försöker utnyttja verksamheten för penningtvätt och finansiering av terrorism.
Länsstyrelsen kan på begäran ta del av den allmänna riskbedömningen.