Inspektionen omfattede bankens organisering og opgavefordeling på hvidvaskområdet. Derudover blev bankens risikovurdering, hvidvaskpolitik og interne kontroller gennemgået. Inspektionen omfattede også bankens kundekendskabsprocedurer efter hvidvasklovens kapitel 3, herunder onboarding, løbende opdatering af kundeforhold og risikoklassificering. Endvidere blev bankens overvågning af kunder vurderet, herunder overholdelse af undersøgelses-, noterings-, opbevarings- og underretningspligten samt bankens sanktionsscreening.
Sammenfatning og risikovurdering
Banken er et pengeinstitut ejet af Maj Invest Holding A/S og er en del af den samlede Maj Invest-koncern. Banken er en investeringsbank, som tilbyder formuepleje, men ikke almindelige bankprodukter som udlån, lønkonti, betalingskort og betalingsservice eller Nemkonti. Banken tilbyder udelukkende konti og depoter til alle former for opsparing og investering. Dette gælder både for private og erhvervsdrivende. Banken har derved ikke såkaldte helkunder.
Finanstilsynet vurderer, at bankens iboende risiko for at blive brugt til hvidvask eller finansiering af terrorisme er mellem-høj. Dette er bl.a. på baggrund af, at banken har private banking-kunder[i].
På baggrund af inspektionen har et antal områder givet anledning til tilsynsmæssige reaktioner.
Banken har i sin risikovurdering ikke inddraget alle data, som er relevante for at vurdere bankens risiko for at blive brugt til hvidvask eller terrorfinansiering.
Der er herved en risiko for, at banken ikke i tilstrækkeligt omfang identificerer, vurderer og forstår den iboende risiko for, at banken kan blive brugt til hvidvask eller finansiering af terrorisme.
Dette er væsentligt, da risikovurderingen danner grundlag for, at banken kan vurdere, hvilke forretningsområder der udgør en risiko for, at banken kan bruges til hvidvask og finansiering af terrorisme, samt hvilke operationelle forretningsgange der skal fastlægges for de enkelte funktioner som følge heraf.
Banken får derfor påbud om at revidere sin risikovurdering, således at risikovurderingen inddrager alle relevante risici for banken relateret til hvidvask og terrorfinansiering. Risikovurderingen skal inddrage konkrete data, således at den giver et retvisende billede af de risici, der er relateret til hvidvask og terrorfinansiering, som banken måtte være udsat for[ii].
Bankens hvidvaskpolitik indeholdt ikke konkrete og kvantificerbare mål. Hvidvaskpolitikken indeholdt f.eks. ikke en målsætning om løbende ajourføring af kundekendskabsprocedurer, og den fastsatte heller ikke en målsætning om, hvordan en alarm kan behandles hurtigst muligt.
Der er herved risiko for, at bankens strategiske risikostyring af hvidvask- og terrorfinansieringsrisici ikke er tilstrækkeligt målrettet.
Dette er væsentligt, da banken skal have overblik over, om alle risici i banken bliver mitigeret, og hvilke konkrete foranstaltninger banken skal have for at imødegå alle risikofaktorer.
Banken får derfor påbud om at revidere sin hvidvaskpolitik, så den fastsætter de overordnede strategiske mål på hvidvaskområdet og indeholder principielle beslutninger om, hvordan banken skal indrettes, så risiciene for hvidvask og finansiering af terrorisme imødegås[iii].
Bankens forretningsgange var ikke tilstrækkeligt operationelle, da de ikke indeholdt en beskrivelse af de aktiviteter, der skal udføres.
Der er herved en risiko for, at bankens medarbejdere ikke på korrekt vis kan behandle de pågældende områder. En sådan risiko kan blandt andet bero på, at bankens medarbejdere ikke på korrekt vis får risikoklassificeret fjernonboardede kunder, at banken ikke får opdateret sine kundefiler i rette tid, eller at bankens medarbejdere ikke på korrekt vis får onboardet en kunde fra et højrisikotredjeland.
Dette er væsentligt, idet bankens forretningsgange skal sikre, at banken styrer sine risici og overholder lovgivningen.
Banken får derfor påbud om at revidere sine forretningsgange, så de er operationelle, er udarbejdet med udgangspunkt i bankens risikovurdering og indeholder en beskrivelse af de aktiviteter, som banken skal udføre[iv].
Banken havde ved flere tilfælde ikke i tilstrækkelig grad undersøgt alarmer forbundet med en kunde og havde i en række tilfælde ikke noteret sine undersøgelser relateret til en alarm.
Når banken ikke undersøger transaktioner, medfører det en risiko for, at banken ikke kan fastslå, om der er mistanke eller rimelig grund til at formode, at en transaktion eller en aktivitet har eller har haft forbindelse til hvidvask eller finansiering af terrorisme. Der er derfor også risiko for, at banken ikke får underrettet Hvidvasksekretariatet i relevante tilfælde. Samtidig medfører den manglende opfyldelse af noteringspligten en risiko for, at banken i tilfælde af en underretning ikke kan dokumentere relevante forhold til Hvidvasksekretariatet og give en forståelse af sagen.
Opfyldelse af både undersøgelses- og noteringspligten er væsentlig, da det sikrer, at Hvidvasksekretariatet på et oplyst grundlag bliver gjort bekendt med forhold, som skal efterforskes.
Banken får derfor påbud om at undersøge alle transaktioner, der er komplekse, usædvanligt store, foretages i et usædvanligt mønster eller ikke har et åbenbart økonomisk eller lovligt formål. Yderligere skal banken notere og opbevare resultaterne af sådanne undersøgelser[v].
I flere tilfælde færdigbehandlede banken ikke alarmerne i rette tid eller der gik for lang tid fra alarmens generering, til behandlingen af alarmen blev påbegyndt.
Der er herved risiko for, at en underretning ikke sker omgående til Hvidvasksekretariatet.
Dette er væsentligt for at sikre politimyndighedernes mulighed for en effektiv efterforskning af mistanke om hvidvask eller terrorfinansiering.
Banken får derfor påbud om at tilrettelægge sin behandling af alarmer på en sådan måde, at processen fra overvågning af kundetransaktioner, konstatering af noget mistænkeligt og undersøgelse og afklaring af, om mistanken kan anses for afkræftet, fremskyndes mest muligt[vi].
[i] Som ifølge hvidvasklovens bilag 3, nr. 2, litra a, indebærer en potentielt øget risiko for hvidvask og terrorfinansiering.
[ii] Hvidvasklovens § 7, stk. 1
[iii] Hvidvasklovens § 8, stk. 1
[iv] Hvidvasklovens § 8, stk. 2
[v] Hvidvasklovens § 25, stk. 1
[vi] Hvidvasklovens § 26, stk. 1