Hvidvaskarbejde bliver ofte omtalt som et compliance-spørgsmål. I praksis er det lige så meget en ledelsesdisciplin. Når en virksomhed er omfattet af hvidvaskloven, er opgaven ikke løst med en standardpolitik i et drev og en årlig signatur på et dokument. Kravene retter sig mod den måde, virksomheden faktisk arbejder på, tager kunder ind, opdager afvigelser og reagerer på mistanke.
Det gør ledelsens ansvar meget konkret. Virksomheden skal kende sin egen risiko, omsætte den til skriftlige processer og kunne vise, at medarbejdere og ledelse ved, hvad de skal gøre. Det er den dokumenterede sammenhæng mellem risikovurdering, drift og kontrol, som ofte bliver afgørende ved tilsyn.
Hvidvasklovens anvendelsesområde for virksomheder
Det første ledelsesspørgsmål er enkelt: Er virksomheden overhovedet omfattet af hvidvaskloven? Det er ikke alle virksomheder i Danmark, der er det. Reglerne gælder for bestemte finansielle og ikke-finansielle aktiviteter, og vurderingen skal tages alvorligt tidligt.
For virksomheder med registreringspligt er området endnu mere følsomt. Myndighederne ser også på ledelsen og de reelle ejere i forbindelse med registrering. Hvis der vurderes at være nærliggende fare for misbrug af stillingen, kan registrering nægtes. Det betyder i praksis, at hvidvask ikke kun handler om kundernes adfærd, men også om virksomhedens egen egnethed og troværdighed.
Hvidvask kan kort beskrives som forsøg på at skjule, at midler stammer fra kriminelle handlinger, så de fremstår lovligt erhvervet. Den definition er enkel, men konsekvenserne for en virksomhed er alt andet end enkle.
Risikovurdering af hvidvask og terrorfinansiering
Kernen i hvidvaskloven er den virksomhedsrettede risikovurdering. Virksomheder omfattet af reglerne skal vurdere risikoen for, at deres ydelser kan misbruges til hvidvask eller terrorfinansiering. Det gælder virksomhedens egen forretningsmodel, ikke kun kundernes profil.
Her opstår et ledelsesansvar, som ikke kan uddelegeres væk i ren form. Fagpersoner kan udarbejde materialet, men ledelsen skal tage ejerskab til vurderingen. En god risikovurdering beskriver, hvor den iboende risiko findes, hvilke dele af forretningen der er mest udsatte, og hvilke forhold der trækker risikoen op eller ned.
En moden tilgang starter typisk med at spørge: Hvor kan vores virksomhed realistisk blive misbrugt? Det handler ofte om kombinationen af ydelser, kundetyper, leveringskanaler og geografiske forhold.
Efter en indledende kortlægning vil mange virksomheder arbejde med disse risikodrivere:
Kundetyper
Produkter og ydelser
Distributions- og leveringskanaler
Geografiske eksponeringer
Betalingsmønstre
Brug af mellemled eller komplekse ejerstrukturer
Det afgørende er ikke, at dokumentet er langt. Det afgørende er, at det er brugbart. En risikovurdering skal kunne læses af ledelsen og omsættes direkte til handling i salgsprocesser, onboarding, kontrolpunkter og eskalering.
Skriftlige politikker, forretningsgange og kontroller
Når risikovurderingen er lavet, begynder det arbejde, som ofte tager mest tid. Virksomheden skal udarbejde skriftlige politikker, forretningsgange og kontroller, der passer til den konstaterede risiko. Det er et udtrykkeligt krav, og det er her mange virksomheder får et gab mellem papir og praksis.
Politikker beskriver retningen. Forretningsgange beskriver arbejdsgangen. Kontroller viser, hvordan virksomheden følger op. Hvis disse tre lag ikke hænger sammen, bliver systemet skrøbeligt. En højrisikoaktivitet kræver mere end generelle formuleringer om, at virksomheden “følger loven”.
Et praktisk pejlemærke er, at hver væsentlig risiko i risikovurderingen skal kunne genfindes i mindst én konkret proces eller kontrol. Hvis virksomheden har forhøjet risiko ved visse kundetyper eller markeder, skal det ses i onboarding, godkendelsesniveauer, dokumentationskrav og opfølgning.
| Kravområde | Hvad ledelsen bør sikre i praksis |
|---|---|
| Risikovurdering | En skriftlig, aktuel vurdering af virksomhedens iboende risiko |
| Politikker | Klare principper for risikostyring, kundekendskab og eskalering |
| Forretningsgange | Beskrevne arbejdsgange for onboarding, overvågning og undersøgelse |
| Kontroller | Faste kontrolpunkter, ansvar og dokumentation for opfølgning |
| Intern rapportering | Tydelige veje for eskalering til ansvarlig funktion eller ledelse |
| Opdatering | Årlig gennemgang og ajourføring ved ændringer i forretningen |
Det er ofte her, interim juridisk kapacitet eller senior compliance-støtte skaber værdi. Ikke ved at producere mere tekst, men ved at omsætte lovkrav til processer, som forretningen faktisk kan bruge.
Kundekendskab, undersøgelsespligt og underretning
Kundekendskabsprocedurer er et driftsspørgsmål med ledelsesmæssig betydning. Virksomheden skal gennemføre kundekendskab på både nye og eksisterende kunder, når reglerne kræver det. Den del kan ikke reduceres til legitimationsindsamling alene. Kundekendskab handler også om formål, ejerforhold, adfærd og risikoprofil.
Det er også derfor, Atom FS i sin gennemgang af KYC og due diligence for virksomheder lægger vægt på, at identifikation alene ikke er tilstrækkelig uden en reel forståelse af ejerskab, kontrol og forretningsmæssig adfærd.
Særligt komplekst bliver det, når kundens reelle ejere er vanskelige at identificere, eller når transaktionsmønstret ikke passer med det forventede billede. I de situationer skal virksomheden undersøge usædvanlige forhold nærmere. Hvis mistanken ikke kan afkræftes, indtræder underretningspligten til Hvidvasksekretariatet.
Det kræver mere end juridisk viden. Det kræver beslutningskraft, klare ansvarsveje og medarbejdere, der tør stoppe op og eskalere.
Nogle nøglepunkter i den daglige drift er typisk disse:
Nye kunder: Indhent relevante identitetsoplysninger og vurder risikoen før eller under etablering af kundeforholdet, alt efter den konkrete situation og regelgrundlaget.
Eksisterende kunder: Opdater kundekendskabet, når risikobilledet ændrer sig, eller når oplysninger bliver forældede.
Usædvanlige forhold: Undersøg afvigelser, atypiske transaktioner eller uklare ejerstrukturer nærmere.
Mistanke: Underret Hvidvasksekretariatet, hvis mistanken om hvidvask eller terrorfinansiering ikke kan afkræftes.
Ledelsen bør ikke selv sidde med hver enkelt sag. Men ledelsen skal sikre, at organisationen ved, hvornår en sag er usædvanlig, hvem der beslutter næste skridt, og hvordan dokumentationen ser ud bagefter.
Ledelsesforankring, undervisning og ansvarlig direktionsperson
Mange virksomheder undervurderer, hvor tydeligt ledelsen skal være forankret i hvidvaskarbejdet. Det gælder både i godkendelsen af risikovurdering og processer, i den løbende opfølgning og i den kultur, der gør det legitimt at stille kritiske spørgsmål til kunder og transaktioner.
Lovgrundlaget peger også på, at virksomheden, hvor det er relevant, skal udpege et medlem af direktionen med ansvar for gennemførelsen af kravene i hvidvaskloven. Det er ikke bare en titel. Rollen skal have mandat, adgang til information og mulighed for at få handling igennem på tværs af funktioner.
Undervisning er et andet område, hvor ledelsesansvaret er meget konkret. Ansatte, og også ledelsen selv, skal have tilstrækkelig undervisning i hvidvaskkravene og relevante databeskyttelseskrav. Det betyder, at træning skal passe til funktion og risiko. En standardsession for alle er sjældent nok.
En stærk governance-model vil ofte indeholde følgende elementer:
Godkendelse: Ledelsen godkender risikovurdering samt politikker og væsentlige opdateringer.
Ansvar: Der er navngivne ejere af kontroller, rapportering og eskalering.
Undervisning: Medarbejdere trænes efter rolle, ikke kun efter anciennitet.
Rapportering: Væsentlige hændelser og mønstre løftes til rette ledelsesniveau.
Korte beslutningsveje
Dokumenterede kontrolspor
Når governance fungerer, bliver hvidvaskområdet ikke en bremseklods. Det bliver en del af virksomhedens evne til at træffe bedre og sikrere beslutninger.
Årsopdatering, ændringer i forretningen og intern rapportering
Risikovurderingen er ikke et engangsprojekt. Den skal opdateres mindst én gang om året. Det lyder administrativt, men det er i virkeligheden et strategisk krav. Forretningen ændrer sig, kundesammensætningen ændrer sig, og nye leveringskanaler eller markeder kan flytte risikoen markant.
Når risikovurderingen ændres, skal politikker, forretningsgange og kontroller opdateres tilsvarende. Her ser man ofte den klassiske svaghed: virksomheden reviderer selve risikovurderingen, men glemmer at tilpasse onboarding, godkendelsesmatricer, træning eller intern rapportering. Resultatet er et system, der ser opdateret ud, men ikke arbejder opdateret.
Derfor bør ledelsen insistere på en fast opdateringsrytme med klare inputkilder. Det kan være ændringer i ydelser, nye kundetyper, nye geografiske områder eller ændrede distributionsformer. Medarbejdere tæt på markedet opdager ofte disse ændringer først, og deres observationer skal kunne løftes hurtigt til den ansvarlige på hvidvaskområdet.
En praktisk model kan bygges op omkring få, faste spørgsmål ved hver årsopdatering:
Forretningen: Har vi ændret ydelser, prismodeller eller salgsformer?
Kunderne: Ser vi nye kundetyper, nye ejerstrukturer eller nye risikomønstre?
Geografi: Er der nye markeder, samarbejdspartnere eller betalingsstrømme?
Kontrollerne: Fanger vores nuværende processer stadig de relevante signaler?
Den disciplin gør en mærkbar forskel ved tilsyn. Myndigheder ser ikke kun på, om dokumenter findes. De ser også på, om virksomheden arbejder systematisk med ajourføring og kan forklare, hvorfor den nuværende model passer til den aktuelle forretning.
Registreringspligt, reelle ejere og ledelsens egnethed
For registreringspligtige virksomheder har ledelsen endnu en opgave: at tænke hvidvask ind i virksomhedens egen struktur. Reelle ejere, ledelsesmedlemmer og den overordnede styring er ikke perifere forhold. De er en del af det billede, myndigheder vurderer.
Det kalder på ordentlig dokumentation, tydelige ejerforhold og en ledelse, der kan vise, hvem der ejer væsentlige risici, hvornår bestyrelsen eller direktionen involveres, og hvordan væsentlige hændelser rapporteres. Den type disciplin styrker ikke kun compliance. Den gør også virksomheden hurtigere og mere robust i mødet med kunder, banker, investorer og tilsyn.
Når hvidvaskarbejdet bliver drevet som en reel ledelsesopgave, sker der noget positivt i organisationen. Ansvar bliver tydeligere. Kontroller bliver mere relevante. Og virksomheden står stærkere, fordi risikostyring ikke længere er et bilag, men en integreret del af den måde, forretningen bliver ledet på.