Sammenfatning og risikovurdering
Virksomheden er en dansk udbyder af betalingstjenester, der har haft tilladelse som betalingsinstitut siden april 2011.[1]
Virksomheden opererer primært indenfor betalings- og finansielle tjenester og anvender en B2B-forretningsmodel, hvor fokus er på at levere betalingsløsninger og infrastruktur til virksomheder, finansielle institutioner og offentlige organisationer.
Finanstilsynet vurderer, at virksomhedens iboende risiko for at blive brugt til hvidvask eller finansiering af terrorisme er normal til høj. Finanstilsynets vurdering er bl.a. baseret på virksomhedens forretningsmodel, geografi og kunder.
På baggrund af inspektionen har et antal områder givet anledning til tilsynsmæssige reaktioner.
Virksomheden har et antal kunder, som ikke er blevet risikoklassificeret korrekt og figurerer som ”unrated”. Flere af disse kunder er f.eks. højrisiko, men grundet den manglende korrekte risikoklassificering har virksomheden ikke foretaget skærpede kundekendskabsprocedurer eller skærpet overvågning. Virksomheden har ved en efterfølgende kontrol identificeret flere af kunderne og risikoklassificeret dem som f.eks. højrisiko. Virksomheden har dog ikke i den forbindelse foretaget skærpede kundekendskabsprocedurer, som først er planlagt ved den næstkommende ajourføring, hvilket i nogle tilfælde er et år efter.
Det er væsentligt at foretage korrekt risikovurdering og udføre skærpede kundekendskabsprocedurer på højrisikokunder, da et skærpet kundekendskab sikrer, at en virksomhed har opdateret viden om kunden og på den måde har mulighed for at reagere hurtigere på ændringer i kundens transaktionsmønster.
Virksomheden har derfor fået påbud om at gennemgå og vurdere alle ”unratede” kundeforhold således, at kunderne risikoklassificeres på baggrund af en konkret og dokumenteret vurdering. Dette betyder, at såfremt kundeforholdene vurderes som f.eks. højrisiko, skal disse øjeblikkeligt undergå skærpede kundekendskabsprocedurer, og dette kan ikke afvente en årlig gennemgang[i].
Finanstilsynet konstaterede i øvrigt, at virksomheden har en udfordring med at identificere og kontrollere kunders reelle ejere. Virksomheden har dog identificeret udfordringen og har forsøgt at løse dette med forskellige handlingsplaner, dog endnu uden at komme i mål. Udfordringen med identifikation af reelle ejere blev desuden underbygget ved gennemgang af kundeeksempler under inspektionen, som viste, at det i flere tilfælde var vanskeligt at identificere en kundes reelle ejere gennem f.eks. identitetsoplysninger.
En virksomheds kundes reelle ejer skal identificeres for at sikre, at virksomheden med sikkerhed ved, hvem den tilbyder sine produkter og services til. Kundens reelle ejer skal desuden screenes mod f.eks. lister om politisk eksponerede personer og EU-sanktioner. Dette er væsentligt, idet identificering er en vigtig del af de lovkrav, der gælder i forhold til bekæmpelse af hvidvask og terrorfinansiering.
Finanstilsynet vurderer, at virksomheden ikke i tilstrækkelig grad har godtgjort, at virksomheden har identificeret de reelle ejere korrekt. Virksomheden har desuden ikke kunnet dokumentere, at virksomheden har gennemført rimelige foranstaltninger for at kontrollere de reelle ejeres identitet.
Virksomheden har derfor fået påbud om at sikre, at virksomheden identificerer de reelle ejere bag virksomhedens kunder, og at virksomheden gennemfører foranstaltninger for at kontrollere identiteten på de reelle ejeres, således at virksomheden med sikkerhed ved, hvem de reelle ejere er[ii].
[1] Virksomheden er omfattet af bilag 1, nr. 6 i lov om betalinger og af hvidvaskloven, jf. § 1, stk. 1, nr. 6.
[i] Hvidvakslovens § 11, stk. 3 og § 17, stk. 1.
[ii] Hvidvakslovens § 11, stk. 1, nr. 3.