Mangelfulle kundetiltak (KYC) etter hvitvaskingsloven

Tegn på problem

• Ingen dokumentasjon på at KYC er gjennomført for ett eller flere aktive oppdrag
• Reelle rettighetshavere (beneficial owners) er ikke identifisert eller kontrollert ved oppdretsstart
• Legitimasjonskontroll mangler eller oppfyller ikke lovkravene for enkeltoppdrag
• Høyrisikooppdragsgivere mangler løpende kundekontroll utover initial onboarding
• KYC gjennomføres kun ved etablering av kundeforholdet, ikke per oppdrag eller ved vesentlige endringer
• Røde flagg (f.eks. hyppige revisorskifter, uvanlige transaksjoner) utløser ikke skjerpet KYC
• Foretaket har ingen operative rutiner for risikovurdering og identitetskontroll
• Stikkprøver viser at interne KYC-rutiner ikke følges i praksis

Forebyggende tiltak

• Etabler et oppdragsregister som kobler hvert aktiv oppdrag til en datert og signert KYC-sjekkliste
• Krev legitimasjonskopi og identifikasjon av reelle rettighetshavere som obligatorisk vilkår før oppdraget igangsettes
• Innfør risikoklassifisering (lav/middels/høy) per oppdragsgiver ved onboarding, med krav om skjerpet KYC for høyrisikoklassen
• Gjennomfør løpende kundekontroll minst årlig for alle aktive oppdrag, ikke bare ved etablering
• Definer utløsende hendelser (trigger events) som automatisk krever ny KYC-vurdering, f.eks. eierskifte, revisorskifte eller uvanlige transaksjoner
• Dokumenter alle KYC-vurderinger skriftlig og oppbevar dokumentasjonen i minimum fem år i tråd med hvitvaskingsloven § 31
• Gjennomfør interne stikkprøvekontroller kvartalsvis for å verifisere at KYC-rutiner følges på oppdragsnivå
• Sørg for at ansvarlig regnskapsfører gjennomfører årlig opplæring i hvitvaskingsregelverket og foretakets egne rutiner

Relevante tilsynsrapporter

Hjemler