Risikovurdering og hvidvaskpolitik

Risikovurdering

I begynder med at skrive en såkaldt risikovurdering af jeres virksomhed. Dette dokument fortæller noget om, hvor udsatte netop I er for at blive misbrugt til hvidvask. Risikovurderingen tager udgangspunkt i jeres virksomheds forretningsmodel og bør bl.a. indeholde en vurdering af følgende punkter:

• Produkter (rådgivning, betalingstjenester, formueforvaltning etc.)
• Kunder (kundetyper, geografi etc.)
• Leveringskanaler (fysisk, online etc.)
• Leveringssted (lande og geografiske områder)

Hent Erhvervsstyrelsens quick-guide til risikovurderingen

Hvidvaskpolitik

Når I har risikovurderingen på plads, kan I skrive jeres hvidvaskpolitik. Dette dokument skal vise, hvordan I konkret sikrer jer mod at blive misbrugt til hvidvask og skal tage udgangspunkt i jeres virksomheds risikovurdering (højere risiko kræver skærpede procedurer).

Hvidvaskpolitikken er jeres ‘guidebog’ til medarbejderne i, hvordan I håndterer hvidvask, og for at være compliant, skal I selvfølgelig også efterleve, hvad I skriver. I hvidvaskpolitikken skal I beskrive konkrete procedurer med instruktioner til medarbejderne om, hvordan I udfører:

• Risikostyring – hvordan vil I dæmme op for de risici, I har identificeret i jeres risikovurdering? Tænk i forebyggelse og beskriv gerne, hvad I vil have særlig opmærksomhed på, f.eks. hvis I tager imod kontanter eller handler med særlige lande.
• Kundekenskabsprocedurer (KYC) – hvordan holder I styr på jeres kunders risikoprofil, deres reelle ejere og ejerstruktur? Hvordan indsamler I ID på ejerne og opbevarer de personfølsomme oplysninger i henhold til GDPR? I kan her vælge at bruge et KYC-software som vores – så indsamler og opbevarer vi oplysningerne sikkert og digitalt i fem år, og I ved, at I altid er compliant.
• Mistanke om hvidvask – procedurer for undersøgelse, notering og underretning. Hvad gør I konkret, når I får mistanke om hvidvask hos en kunde? Hvor og hvordan dokumenterer I jeres undersøgelser, og hvem underretter evt. Hvidvasksekretariatet?
• Screening af medarbejdere – vælger I f.eks. at indhente straffeattester på jeres medarbejdere? Hvem står for dette?
• Interne kontroller – beskriv, hvordan I sikrer jer, at jeres procedurer faktisk bliver udført. Hvem står f.eks. for at lave stikprøver på jeres KYC-information, og hvor ofte gør I det?
• Dokumentation – når I får tilsynsbesøg, er det vigtigt, at I kan dokumentere, at I har overholdt jeres procedurer. Beskriv også, hvordan I forsvarligt opbevarer alle jeres oplysninger – ikke mindst de personfølsomme. Har I f.eks. undersøgt en transaktion pga. mistanke om hvidvask, skal I kunne vise undersøgelsesnotaterne i 5 år efter kundeforholdets ophør.