Krav til større åpenhet knyttet til registre over reelle rettighetshavere

Lov om register over reelle rettighetshavere ble vedtatt i 2019 som ledd i gjennomføring av deler av EUs fjerde hvitvaskingsdirektiv. Åpning av registeret har imidlertid blitt satt på vent som følge av uklar rettstilstand etter en avgjørelse fra EU-domstolen avsagt i 2022. I avgjørelsen konkluderte EU-domstolen med at hvitvaskingsdirektivets krav om at registeret skal være tilgjengelig for allmennheten uten nærmere vilkår var i strid med retten til privatliv, og derfor ugyldig. Siden det norske registeret var planlagt uformet med en høy grad av åpenhet, ved at «enhver» skulle ha tilgang til registrerte opplysninger, fant departementet at åpningen av registeret måtte settes på vent.


Departementet har nå foreslått endringer i lov om register over reelle rettighetshavere, slik at registeret kan åpnes samtidig som rettstilstanden avklares. Regjeringen har vært tydelige på at de ønsker snarlig åpning av registeret, og vår vurdering er at de foreslåtte lovendringene antakelig blir vedtatt i løpet av av 2024. Bedriftseiere kan derfor forberede seg på at de snart skal rapportere inn opplysninger om sine eiere eller reelle rettighetshavere til registeret.


Den foreslåtte endringen i lovens § 11 gir et rammeverk for å kunne gradvis åpne for innsyn for ulike grupper. Bestemmelsens første ledd gir innsynsrett for rapporteringspliktige etter hvitvaskingsloven og offentlige myndigheter, i tillegg til media, sivilsamfunnsorganisasjoner og høyere utdanningsinstitusjoner. Videre foreslås en forskriftshjemmel, slik at innsyn for øvrige grupper reguleres på forskriftsnivå. De nærmere rettslige og tekniske rammene for ytterligere tilgjengeliggjøring skal utredes, og reguleringen i forskrift vil bli gjenstand for egen høring.

Endringsdirektivet utvider regelverkets virkeområde til også å omfatte plattformer som veksler virtuell valuta til offisiell valuta, samt oppbevaringstjenester av virtuelle valutaer. I tillegg utvides virkeområdet til å omfatte en rekke aktører innen kunsthandel, uavhengig av om det betales med kontanter over en viss beløpsgrense.

Endringer i hvitvaskingslovens definisjon av politisk eksponerte personer (PEP)

EUs femte hvitvaskingsdirektiv stiller krav til utarbeidelse av lister over nøyaktig de funksjoner som gir status som PEP. I arbeidet med å utarbeide en liste avdekket departementet behov for å endre den gjeldende definisjonen i hvitvaskingsloven § 2 bokstav f. Endringene innebærer at angivelsen av stillinger og verv i bestemmelsen ikke lenger er uttømmende, slik at lovens definisjon må ses i sammenheng med listen. Det inntas også en eksplisitt avgrensning i bestemmelsen mot at stillinger på mellomnivå og lavere nivå skal anses som PEP, hvilket er en viktig praktisk avklaring. I tillegg foreslår departementet en forskriftshjemmel for å unngå tvil om at den presise listen over stillinger og verv som gir status som PEP får nødvendig rettslig status. Det nærmere innholdet i listen er foreløpig ikke kjent.


Endringer i hvitvaskingsregelverket og lov om register om reelle rettighetshavere 

Den 11. september 2023 publiserte vi en artikkel om typiske fallgruver ved etterlevelse av antihvitvaskingsregelverket. Artikkelen kan du lese her: 

Antihvitvaskregelverket advokatbistand Arntzen de Besche (adeb.no)

I artikkelen skrev vi at vår erfaring er at Finanstilsynet stiller strenge krav til rapporteringspliktige når det gjelder oppfølging av hvitvaskingsregelverket. Det kan likevel være vanskelig å utlede hva som faktisk kreves for å etterleve hvitvaskingsregelverket. Dette illustreres jevnlig i praksis fra Finanstilsynet.

Den 20. november 2023 publiserte Finanstilsynet tilsynsrapport og vedtak om overtredelsesgebyr (

) etter tilsyn i Askim & Spydeberg Sparebank (

). Banken ble som følge av tilsynet ilagt et overtredelsesgebyr på NOK 9 500 000.

Med denne artikkelen ønsker vi å belyse noen generelle læringspunkter for andre rapporteringspliktige som kan utledes av Tilsynsrapporten.

Mangler i etterlevelsen av hvitvaskingsregelverket

Den rapporteringspliktiges organisering, internkontroll og rapportering

Av Tilsynsrapporten fremgår det at styret og ledelsen ikke hadde sørget for at Banken hadde tilstrekkelige ressurser, kompetanse og rutiner til å etterleve hvitvaskingsregelverket på en forsvarlig måte. Etter vår oppfatning er det viktig å merke seg at:

operasjonelle oppgaver kan legges til kunderådgivere, men den rapporteringspliktige må sørge for tilstrekkelig kapasitet både hos førstelinje, og hos hvitvaskingsansvarlig;

etterlevelsesansvarlig må være tilstrekkelig uavhengig til å føre kontroll med førstelinjens etterlevelse, og bør ikke bistå i for stor grad med operasjonelle oppgaver;

internkontroll skal ikke medføre kontroll av eget arbeid. Internkontroll må omfatte alle områder av hvitvaskingsregelverket, og skal skje jevnlig; og

rapportering til styret etter internkontroll må inneholde tilstrekkelig informasjon om risiko for hvitvasking og terrorfinansiering samt etterlevelse av regelverket.

Bankens risikomatrise, risikorapport og handlingsplan utgjorde til sammen Bankens virksomhetsinnrettede risikovurdering. Finanstilsynet mener den virksomhetsinnrettede risikovurderingen ikke gjorde Banken i stand til å iverksette riktige og risikobaserte tiltak for å adressere risiko for hvitvasking og terrorfinansiering. Her er det verdt å merke seg at:

den virksomhetsinnrettede risikovurderingen ikke kan være for generell og overordnet, den må konkret beskrive den faktiske risikoen, og skal bygges på relevante data og informasjon om egen kundemasse;

risikomatriser må være ferdig utarbeidet dersom de skal brukes, og må oppdateres både jevnlig og ved behov;

risikoreduserende tiltak for risikofaktorer må være reelle. Disse skal beskrive hvordan de risikoreduserende tiltakene skal redusere risikoen, og hvorfor restrisikoen vurderes som lavere enn den iboende risikoen;

dersom flere dokumenter utgjør den virksomhetsinnrettende risikovurderingen må disse ha en metodisk sammenheng, og ikke være motstridende; og

dersom det konkluderes med lav risiko for et kundeforhold, produkt eller tjeneste, må det foreligge et tilstrekkelig grunnlag for konklusjonen.

Bankens rutiner var ikke tilstrekkelig operasjonelle, og ga i liten grad veiledning til hvilke vurderinger som skulle gjennomføres for etterlevelse av hvitvaskingsregelverket. Det er viktig å merke seg at:

rutiner må være konkret tilpasset. Det er ikke tilstrekkelig med generelle rutiner, hvor store deler av rutinene består av avskrift fra regelverket og Finanstilsynets veileder til hvitvaskingsloven;

rutiner må oppdateres årlig og ved behov, og det må være tydelig hvem rutinene gjelder for og hvordan ansvaret er fordelt;

rutinene må også være klare på hvilke kundetiltak som skal gjennomføres for hvilke risikogrupper, og sette den ansatte i stand til å gjøre vurderinger og igangsette nødvendige tiltak;

endringer i rammeverk og systemstøtte krever oppdatering av rutiner; og

rutiner må være tydelig på hvilke kundetiltak som skal gjennomføres av PEP-kunder.

Finanstilsynet vurderte at Banken i for stor grad lente seg på en elektronisk risikoklassifiseringsmodell. Etter Finanstilsynets vurdering stiller en slik løsning høye krav til at risikoklassifiseringsmodellen fanger opp relevante risikofaktorer. På den bakgrunn konkluderte Finanstilsynet med at det var risiko for at kundene ikke ble underlagt kundetiltak i tråd med den faktiske risikoen. Det er viktig å merke seg at:

sårbarheter i elektroniske løsninger for risikoklassifisering må vurderes jevnlig. Eventuelle mangler i leveranser fra systemleverandør må følges opp, og det må planlegges tiltak for å kompensere for mangler;

det må vurderes i hvilken grad det er behov for manuell oppfølging av kundeforholdet;

metodikk for risikoklassifisering må være konkret, og finmasket nok til å plukke opp relevante risikofaktorer; og

ved manuell overstyring av modellen må nedjustering av risiko vurderes og begrunnes på bakgrunn av de risikofaktorene modellen har identifisert – fravær av ytterligere risikofaktorer er ikke nok.

Finanstilsynet avdekket mangler i etterlevelsen av kundetiltak ved etablering av kundeforhold i samtlige stikkprøver. Gjennomgående var det mangler i risikoklassifisering av kunder, og manglende dokumentasjon på forståelse av eierskaps- og kontrollstruktur. Stikkprøver underbygget at Bankens rammeverk ikke var bygget opp på en måte som satte Banken i stand til å identifisere og håndtere risiko for hvitvasking og terrorfinansiering. Det er viktig å merke seg at:

hovedtyngden av kundetiltak kan ikke basere seg på kundens utfylling av kundeerklæringsskjema;

risikoen ved kundeforholdet må baseres på en helhetsvurdering. Bør være «fire øyne»-kontroll ved manuell nedjustering av risiko;

det må fremgå av dokumentasjonen hvordan eller hvorfor en person anses som reell rettighetshaver; og

kundetiltak og de vurderinger som er gjort i risikoklassifiseringen må dokumenteres. Tiltak som er gjort for å fastslå formuens opprinnelse og om kundeforhold med høy risiko er godkjent av hvitvaskingsansvarlig må dokumenteres.

Alle banker er pålagt å ha elektroniske overvåkningssystemer som kan avdekke forhold som kan indikere hvitvasking og terrorfinansiering. Reglene i overvåkningssystemene må være egnet til å avdekke forhold som indikerer at midler har tilknytning til hvitvasking eller terrorfinansiering som identifisert i den rapporteringspliktiges risikovurdering.

Under tilsynet var det dessuten få spor av at det var gjennomført vurderinger som en del av de løpende kundetiltakene. Løpende kundetiltak besto stort sett av å hente inn oppdatert kundeerklæringsskjema. Det bør merkes at:

avvik mellom innhentet kundeinformasjon og faktiske transaksjoner kan ikke håndteres ved å kun sende nytt kundeerklæringsskjema med oppdatert informasjon. Dette kan medføre at innhentet informasjon og kundeatferd samsvarer, og at utslag i transaksjonsovervåkning unngås;

transaksjonsovervåkningssystem må være tilpasset bankens identifiserte risiko, og evne å fange opp mistenkelige forhold; og

ved bruk av innkjøpte systemer må det sikres at det gjennomføres evalueringer av kvalitet, funksjonalitet, svakheter og behov for komplementerende tiltak.

Undersøkelser og rapportering til Økokrim

Finanstilsynet gjennomførte stikkprøvekontroller av undersøkelser som hadde ledet til rapportering til Økokrim, samt undersøkelser som var lukket uten rapportering.

Finanstilsynet fant eksempler på at det i stedet for undersøkelser ble gjennomført kundetiltak på en måte som gjorde at kundens informasjon ble tilpasset den faktiske atferden. Banken primære oppfølging i slike tilfeller var å innhente nytt kundeerklæringsskjema, uten å vurdere om den innhentede informasjonen gav mening.

Banken gjennomførte også «white-listing» av alarmer, som innebar at en alarm ble skrudd av for en kunde i en begrenset periode. Finanstilsynet påpekte at en slik tilnærming forutsetter grundige risikovurderinger, gjennomføring av internkontroller og oppfølging.

nærmere undersøkelser kan ikke erstattes med å gjennomføre kundetiltak slik at kundens informasjon blir tilpasset faktisk atferd; og

undersøkelser må dokumenteres, uavhengig av om de rapporteres til Økokrim.

Hva kan vi lære etter tilsynet hos Askim & Spydeberg Sparebank?

Jacob Sverdrup Bjønness-Jacobsen

Virksomheter står i dag overfor et skjerpet krav til å forebygge, avdekke og håndtere regelbrudd. Økt internasjonalisering, komplekse leverandørkjeder, nye ESG-krav og større press fra myndigheter og offentlighet gjør compliance til et strategisk anliggende – og granskingsprosesser til en nødvendig respons når mistanke oppstår. Feil håndtering kan få alvorlige konsekvenser for drift, tillit og omdømme.

I Arntzen Grette bistår vi selskaper med å bygge robuste rammeverk for etterlevelse og risikostyring, og med å håndtere krevende situasjoner når krisen inntreffer. Vi gjennomfører interne granskninger, vurderer varslingssaker, følger opp myndighetskontroller og gir operativ støtte til ledelse og styre i håndtering av alvorlige regelbrudd. Vår tilnærming kombinerer juridisk presisjon med forståelse for kommersiell virkelighet, med særlig vekt på rettssikkerhet, nøytralitet og effektiv fremdrift.

Vi arbeider tett med klientenes egne funksjoner – enten det gjelder styrking av internkontroll, håndtering av sanksjonsbrudd, implementering av antikorrupsjonstiltak eller diskret oppfølging av hendelser med potensiell strafferettslig betydning.

med en omfattende finansregulatorisk gransking knyttet til hvorfor banken måtte settes under offentlig administrasjon.

 med utredning av Skatteetatens forvaltningsmessige håndtering av Transocean-sakskomplekset. En av Norges største skattesaker om påstått skatteunndragelse av mer enn 11. mrd. kroner.

 i alle faser av selskapets etterforskning, etter at de ble suspendert fra Oslo Børs i en periode.

i pendlerboligsaken, gransking av skattemessige forhold knyttet til stortingsrepresentantene for å sikre riktig håndtering av skatteplikten.

Compliance og gransking

Aktuelt

Endringer i hvitvaskingsregelverket og lov om register om reelle rettighetshavere

Hva kan vi lære etter tilsynet hos Askim & Spydeberg Sparebank?