När rutinerna brister ökar risken för avgifter

– Det handlar inte om att man inte vill göra rätt. Men regelverket är omfattande, och i mindre verksamheter där man inte har en juriststab på kontoret är det ofta kunden och affären som står i fokus, säger Carolina Stegman, jurist med inriktning mot penningtvättsregelverket.

Fyra krav ska bära arbetet

För företag som omfattas av penningtvättslagen finns fyra grundläggande delar som måste hänga ihop: allmän riskbedömning, rutiner och riktlinjer, utbildning samt kontroll av efterlevnaden.

– Först måste man göra en fullständig genomlysning av verksamheten och ta fram en allmän riskbedömning. Sedan ska man ta fram rutiner och riktlinjer, utbilda sina medarbetare och kontrollera efterlevnaden, säger Carolina Stegman.

Hon liknar riskbedömningen vid företagets bibel i penningtvättsarbetet. Den ska inte ligga vid sidan av verksamheten. Den ska hjälpa medarbetare att upptäcka risker, ställa rätt frågor och veta när ett ärende behöver lyftas vidare.

– Den allmänna riskbedömningen får inte bli en skrivbordsprodukt. Den måste användas i utbildning och i den dagliga driften.

Mallar räcker inte

Carolina Stegman varnar för att se dokumentationen som ren formalia. En färdig mall kan ge stöd, men den ersätter inte den egna analysen.

– Jag avråder från att bara köpa en mall och fylla i den. Myndigheten lägger väldigt stor vikt vid att handlingarna är specialanpassade efter den egna verksamheten.

Hon pekar på att lagstiftningen kräver både tid och kompetens. Det kan också vara svårt att upptäcka risker när man själv sitter mitt i verksamheten. Sådant som sker varje dag upplevs inte alltid som en risk förrän någon granskar arbetssättet utifrån.

– Det här är en administrativ lagstiftning. Myndigheten ska kunna se hur man har tänkt och vilka åtgärder man har vidtagit för att minska risken att utnyttjas för penningtvätt eller finansiering av terrorism, säger Carolina Stegman.

Kontrollen får inte bli personberoende

Frågan stannar inte hos den enskilda medarbetaren. Enligt Carolina Stegman behöver ägare och verksamhetsansvariga delta i arbetet med riskbedömningar, rutiner och utbildning.

– De har det fulla ansvaret. Det är en ledningsfråga.

Det gäller också när organisationen bygger kontroller runt nyckelpersoner. Om en högriskkund kräver godkännande från en chef måste företaget veta vad som händer när chefen är sjuk, slutar eller byter roll. Annars hänger kontrollen på en person i stället för på en fungerande struktur.

Flera branscher omfattas av samma regelverk, bland annat redovisningsbranschen och jurister. Därför är lärdomen bredare än den senaste tillsynen mot mäklarföretag.

– Det som händer i fastighetsmäklarbranschen just nu är inte unikt för mäklarbranschen. Det här har hänt, eller kommer att hända, i andra branscher också.

Carolina Stegman ser också att myndigheterna lägger större fokus på regelefterlevnad. När tillsynen leder till sanktionsavgifter blir brister i dokumentation och styrning inte bara en administrativ fråga, utan också en kostnadsrisk.

– Alla företag i alla branscher som omfattas av penningtvättslagstiftningen behöver landa i att det här är den nya verkligheten.

För den som vill stärka arbetet finns ingen enkel testfunktion, enligt Carolina Stegman. Början ligger i att granska den egna riskbedömningen, se om rutinerna speglar verksamheten och kontrollera om medarbetarna vet hur de ska agera när något avviker.

Riskbedömning – så ska du tänka

• Rutiner och riktlinjer: hur ska medarbetare agera i olika situationer?
• Utbildning: vet medarbetarna vad de ska göra och när?
• Uppföljning: kontrollerar organisationen att rutinerna verkligen följs?