Sammenfatning og risikovurdering
Virksomheden fik tilladelse til at udbyde valutaveksling i august 2022 og påbegyndte denne aktivitet primo 2023. Virksomheden udbyder endvidere pengeoverførsel som agent for MoneyGram International SA, Ria Payment Institution S.A.U og Western Union Payment Services Ireland, som alle tre er udenlandske pengeoverførselsvirksomheder med tilladelse i deres hjemland, der udbyder tjenester i Danmark via agenter.
Finanstilsynet vurderer, at virksomhedens iboende risiko for at blive brugt til
hvidvask eller finansiering af terrorisme er høj. I vurderingen har Finanstilsynet særligt lagt vægt på de iboende forhold ved en valutavekslingsvirksomhed og pengeoverførelsesvirksomhed, herunder produkter, kunder og geografi.
På baggrund af inspektionen har en række områder givet anledning til tilsynsmæssige reaktioner.
Virksomheden har et antal kundeforhold i forbindelse med deres pengeoverførselsvirksomhed, som er risikoklassificeret som med lav eller medium risiko, selvom de pågældende kunder har transaktioner af betydelig volumen eller har transaktioner til højrisikotredjelande. Det er umiddelbart det pågældende betalingsinstitut fra udlandet, der foretager risikoklassifikationen af kunden, men virksomheden har mulighed for at få ændret den pågældende risikoklassificering ud fra virksomhedens viden om det pågældende kundeforhold. Virksomheden har dog i flere tilfælde ikke anvendt denne mulighed, hvilket betyder, at den har gennemført transaktioner af høj volumen og til højrisikotredjelande uden at foretage yderligere foranstaltninger.
Virksomhedens risikoklassificering af dens valutavekslingskundeforhold er endvidere utilstrækkelig, idet den ikke inddrager alle relevante faktorer ved risikovurderingen af det enkelte kundeforhold, herunder bl.a. volumen, branche og geografi. Ved etablering af et kundeforhold skal virksomheden fastlægge kundens risikoprofil og anvende den til at vurdere, hvilke kundekendskabsprocedurer den pågældende kunde skal undergå. Risikovurdering af det enkelte kundeforhold omfatter henholdsvis identifikation af risikofaktorer og vurdering af risikofaktorer. Risikovurderingen skal som minimum afdække tilstedeværelsen af en eller flere højrisikofaktorer.[1]
Det er væsentligt at inddrage alle relevante faktorer i risikovurderingen af det enkelte kundeforhold. Ved at udelade faktorer som volumen, branche og geografi vil virksomheden ikke kunne danne sig et overblik over kundens samlede risikoprofil, hvilket kan bevirke, at virksomheden ikke gennemfører passende kundekendskabsprocedurer og overvågning af kundeforholdene.
På den baggrund har virksomheden fået påbud om at foretage en risikovurdering af hvert kundeforhold for både virksomhedens pengeoverførsels- og valutavekslingsvirksomhed, således at kunderne risikoklassificeres på baggrund af en konkret og dokumenteret vurdering, og at kendskabet til kunden er tilstrækkeligt i forhold til risikoen for hvidvask og finansiering af terrorisme. Virksomheden skal desuden ændre sin nuværende risikoscoremodel for sine valutavekslingskunder, så den i højere grad inddrager alle relevante faktorer, så kunder risikoklassificeres korrekt. [2]
Virksomheden har desuden et antal kunder, hvor den ikke har indhentet yderligere oplysninger om kundens tilsigtede beskaffenhed, herunder kundens indtjenings- og formueomfang, samt oplysninger om midlernes oprindelse, selvom kunder har transaktioner til højrisikotredjelande eller har transaktioner af betydelig volumen. Endvidere spørger virksomheden ikke yderligere ind til tilsigtede beskaffenhed, herunder midlernes oprindelse, hvis en kunde anvender betalingskort i forbindelse med en valutaveksling, selvom beløbet er af betydelig størrelse.
Det er væsentligt at indhente tilstrækkelige oplysninger om kunders indtjenings- og formueforhold, herunder midlernes oprindelse, for at kunne afdække, om en transaktion eller en veksling er usædvanlig ud fra virksomhedens viden om kunden. Samtidig er det væsentligt, at virksomheden i tilstrækkeligt omfang forholder sig objektivt i behandlingen af transaktioner for familierelationer.
På den baggrund har virksomheden fået påbud om at vurdere og i relevant omfang indhente yderligere oplysninger om formål og tilsigtede beskaffenhed, herunder dokumentation for midlernes oprindelse, således at virksomheden løbende kan overvåge, om transaktionerne er i overensstemmelse med virksomhedens viden om kunden[3].
Virksomheden har kunder med transaktioner, der involverer lande, der er opført på Europa-Kommissionens liste over højrisikotredjelande. Virksomheden har ikke konsekvent gennemført skærpede kundekendskabsprocedurer samt yderligere risikobegrænsende foranstaltninger i relation til disse kunder.
Ved ikke at inddrage de forskellige risikofaktorer[4] er der risiko for, at virksomheden ikke får foretaget skærpede kundekendskabsprocedurer og derved identificeret, hvis en kunde er medvirkende til hvidvask eller terrorfinansiering.
Virksomheden har derfor fået påbud om at gennemføre tilstrækkelige skærpede kundekendskabsprocedurer samt yderligere risikobegrænsede foranstaltninger[5] i forbindelse med kunder, der gennemfører transaktioner, der involverer lande, der er opført på Europa-Kommissionens liste over højrisikotredjelande. I den forbindelse skal virksomheden iværksætte en undersøgelse af de kundeforhold, der allerede har haft transaktioner til højrisikotredjelande med henblik på at gennemføre skærpede kundekendskabsprocedurer samt yderligere risikobegrænsede foranstaltninger, næste gang kunden vil foretage en transaktion.[6]
[1] Som fremgår af bilag 3 til hvidvaskloven.
[2] Hvidvasklovens § 11, stk. 3
[3] Hvidvasklovens § 11, stk. 1, nr. 4 og nr. 5
[4] Som er nævnt i hvidvasklovens bilag 2 og 3
[5] Som nævnt i hvidvasklovens bilag 2 og 3
[6] Hvidvasklovens § 17, stk. 1 og § 17, stk. 3