Inspektionen omfattede virksomhedens risikostyring, kundekendskab, overvågning og overholdelse af undersøgelses- og underretningspligten. Herudover omfattende inspektionen interne kontroller og outsourcing til sparekassens datacentral.
Risikovurdering og sammenfatning
Sparekassens forretningsmodel består i traditionel pengeinstitutvirksomhed til privatkunder samt landbrug og mindre virksomheder. Sparekassen har hele Danmark som forretningsområde for privatkunder, og forretningsmodellen adskiller sig dermed fra andre mindre sparekasser. Sparekassen har tre forretningssteder, alle i samme geografiske område.
Finanstilsynet vurderer, at sparekassens iboende risiko for at blive brugt til hvidvask eller finansiering af terrorisme er høj. Finanstilsynets vurdering er baseret på sparekassens geografiske forretningsområde og volumen af sparekassens transaktioner til højrisikolande. Sparekassen udbyder pengeinstitutydelser, der generelt indebærer en øget iboende risiko for hvidvask og terrorfinansiering.
På baggrund af inspektionen har et antal områder givet anledning til tilsynsmæssige reaktioner.
Sparekassens hvidvaskpolitik indeholder ikke konkrete målsætninger for risikomitigerende foranstaltninger relateret til sparekassens transaktionsovervågning og alarmbehandling.
Der er herved risiko for, at sparekassens strategiske risikostyring af hvidvask- og terrorfinansieringsrisici ikke er tilstrækkeligt målrettet.
Dette er væsentligt, da sparekassen skal have overblik over, om alle risici i sparekassen bliver mitigeret, og hvilke konkrete foranstaltninger sparekassen skal have for at imødegå alle risikofaktorer.
Sparekassen har derfor fået påbud om at revidere sin politik på hvidvaskområdet, så den fastsætter de overordnede strategiske mål for transaktionsovervågningen og alarmbehandlingen. Politikken skal desuden indeholde alle den hvidvaskansvarliges opgaver efter hvidvaskloven.[i]
Der er i en række tilfælde mangler i sparekassens vurdering af forretningsforbindelsernes formål og tilsigtede beskaffenhed.
Der er herved en risiko for, at sparekassen ikke kender kunderne tilstrækkeligt godt og dermed ikke har det fornødne grundlag for at vurdere, om en forretningsforbindelse har et legitimt formål, og til at få en dybere indsigt i forretningsforbindelsens samlede risikoprofil.
Dette er væsentligt, idet vurdering af og, hvor relevant, indhentelse af oplysninger om forretningsforbindelsens formål og tilsigtede beskaffenhed er nødvendigt for at foretage tilstrækkelig løbende overvågning af etablerede forretningsforbindelser, herunder at identificere usædvanlige transaktioner og aktiviteter.
Sparekassen har derfor fået påbud om at vurdere og, hvor relevant, indhente tilstrækkelige oplysninger om forretningsforbindelsens formål og tilsigtede beskaffenhed.[ii]
I sparekassens model for risikoklassifikation af kunder bliver det ikke tillagt værdi i den samlede beregning af en risikoscore for kunden, hvis der er felter i modellen, der ikke udfyldes, f.eks. feltet om statsborgerskab. Herudover fremgik det ikke klart i de gennemgåede kundefiler, om sparekassen havde inddraget alle relevante risikofaktorer i sin risikovurdering af kunderne, og hvorfor kunder i visse tilfælde var klassificeret med en given risiko. Endelig inddrager sparekassen ikke konsekvent i sin risikovurdering af kunder, hvis kunden har transaktioner til/fra lande på Europa-Kommissionens liste over højrisikotredjelande.
Der er herved en risiko for, at sparekassen ikke er opmærksom på samtlige kunder med øget risiko for hvidvask eller terrorfinansiering. Dette er væsentligt, da sparekassen således ikke øger omfang og frekvens af kundekendskabsprocedurer for kunder med øget risiko for hvidvask eller terrorfinansiering.
Sparekassen har derfor fået påbud om at foretage en tilstrækkelig risikovurdering af sine kundeforhold, hvor alle relevante risikofaktorer oplistet i hvid-vasklovens bilag 3 og de nationale risikovurderinger samt sparekassens identificerede risikofaktorer inddrages. Risikovurderingen skal dokumenteres, herunder de risikofaktorer, der er inddraget.[iii]
Sparekassen havde ikke gennemført skærpede kundekendskabsprocedurer på samtlige højrisikokunder, herunder kunder med transaktioner, der involverer højrisikotredjelande.
Manglende gennemførelse af skærpede kundekendskabsprocedurer indebærer en risiko for, at sparekassen ikke har det fornødne kundekendskab til at opdage mistænkelige forhold og gennemføre effektiv overvågning af kunderne, herunder også i relation til kunders transaktioner, der involverer højrisikotredjelande. Kundekendskabet er fundamentet for at kunne gennemføre effektiv overvågning, og for højrisikokunder er det derfor endnu mere væsentligt, at virksomheden har et indgående kendskab til kunden, særligt til de forhold, der udløser den forhøjede risiko, herunder transaktioner til/fra højrisikotredjelande.
Sparekassen har derfor fået påbud om at gennemføre skærpede kundekendskabsprocedurer ved forretningsforbindelser, som er vurderet med øget risiko eller har transaktioner, der involverer lande, der er opført på Europa-Kommissionens liste over højrisikotredjelande. I sidstnævnte tilfælde skal sparekassens hvidvaskansvarlige godkende etablering og videreførelse af forretningsforbindelsen.[iv]
Sparekassen har ikke altid i tilstrækkelig grad undersøgt alarmer og har ikke altid undersøgt samtlige transaktioner omfattet af en alarm. Sparekassen har heller ikke i tilstrækkelig grad noteret resultatet af undersøgelserne.
Ved utilstrækkelige undersøgelser af usædvanlige transaktioner er der en risiko for, at sparekassen ikke får kendskab til transaktioner, der har tilknytning til hvidvask eller finansiering af terrorisme.
Dette er væsentligt, da en fyldestgørende undersøgelse af usædvanlige transaktioner og aktiviteter er en forudsætning for at kunne foretage tilstrækkelig underretning til Hvidvasksekretariatet. Det har stor betydning for, om politiet eller andre myndigheder kan gribe ind overfor kriminalitet.
Herudover medfører den utilstrækkelige notering af undersøgelser en risiko for, at sparekassen internt mister viden om historikken i et kundeforhold, og over tid ikke får identificeret mønstre i kunders adfærd, samt en risiko for, at sparekassen ikke vil kunne tilvejebringe nødvendige oplysninger om undersøgelser af mistænkelige forhold i tilfælde af efterforskning.
Endelig har Sparekassen på nogle områder ikke forretningsgange, der i tilstrækkeligt omfang beskriver, hvordan sparekassen skal udføre de opgaver, der relaterer sig til særligt undersøgelses- og underretningspligten.
Der er herved en risiko for, at sparekassen ikke får håndteret samtlige områder af relevans for at styre sine risici tilstrækkeligt.
Sparekassen har derfor fået påbud om at undersøge alle transaktioner, der er komplekse, usædvanligt store, foretages i et usædvanligt mønster eller ikke har et åbenbart økonomisk eller lovligt formål. I den forbindelse har sparekassen også fået påbud om at notere og opbevare resultaterne af sådanne undersøgelser. Endelig skal sparekassen sikre, at sparekassens forretningsgange konkret anviser alarmbehandlere, hvornår en alarmundersøgelse skal indebære gennemførelse af kundekendskabsprocedurer, og hvornår der skal ske underretning på ny eller eventuelt opdateres en allerede indsendt underretning til Hvidvasksekretariatet.[v]
[i] Hvidvasklovens § 8, stk. 1
[ii] Hvidvasklovens § 11, stk. 1, nr. 4
[iii] Hvidvasklovens § 11, stk. 3 og 4
[iv] Hvidvasklovens § 17, stk. 1-3
[v] Hvidvasklovens § 25, stk. 1 og stk. 3, jf. § 30 og § 8, stk. 1