På baggrund af inspektionen har et antal områder givet anledning til tilsynsmæssige reaktioner[1].
Sparekassen har i sin risikovurdering, der skal tage udgangspunkt i sparekassens forretningsmodel, ikke på tilstrækkelig vis identificeret og vurderet alle relevante risikofaktorer, som har indvirkning på dens iboende risiko for henholdsvis hvidvask og terrorfinansiering. Det er væsentligt, at sparekassen har et overblik over alle risici for kunne imødegå dem.
Sparekassen har derfor fået påbud om at revidere sin risikovurdering, så den identificerer og vurderer alle relevante risikofaktorer, der er forbundet med sparekassens forretningsmodel. Sparekassen skal i den forbindelse sikre, at risikovurderingen inddrager oplysninger om, hvilke lande transaktioner går til og kommer fra, hvilke lande kunderne har tilknytning til, samt hvordan de identificerede risici konkret kan manifestere sig[2].
Sparekassen har ikke i tilstrækkeligt omfang vurderet og, hvor relevant, indhentet oplysninger om forretningsforbindelsers formål og tilsigtede beskaffenhed. Forventede kontanttransaktioner og andre centrale oplysninger var for en række kunder ikke udfyldt i sparekassens kundesystem. Herudover foretager sparekassen ikke en selvstændig vurdering af det forventede forretningsomfang ved den løbende opdatering af kundeforhold (ODD), men baserer sig alene på de oplysninger, som kunderne selv har indtastet.
Der er herved risiko for, at sparekassen ikke har det fornødne grundlag for at vurdere, om forretningsforbindelserne og de tilknyttede transaktioner har et legitimt formål. Manglende vurdering og dokumentation øger risikoen for, at sparekassen kan blive brugt til hvidvask eller terrorfinansiering.
Sparekassen har derfor fået påbud om i tilstrækkeligt omfang at vurdere og, hvor relevant, indhente oplysninger om forretningsforbindelsers formål og tilsigtede beskaffenhed, herunder om forventede kontantransaktioner. Sparekassen skal foretage en kontrol af både den automatiske vurdering og de oplysninger, kunderne har udfyldt i skemaerne, således at sparekassen selv forholder sig aktivt til oplysningerne og vurderer, om de er retvisende og tilstrækkelige[3].
Sparekassen har ikke etableret en tilstrækkelig effektiv overvågning af etablerede forretningsforbindelser og mangler et scenarie, hvor der genereres en alarm, når summen af kontantindbetalinger overstiger det forventede niveau for den enkelte kunde. Dette øger risikoen for, at mistænkelige eller usædvanlige transaktioner ikke identificeres og håndteres rettidigt, hvilket er væsentligt for at forebygge og opdage hvidvask og finansiering af terrorisme.
Sparekassen har ikke ført tilstrækkelig løbende kontrol med, at dens outsourcingspartner leverer transaktionsovervågning i overensstemmelse med kravene i outsourcingsaftalen. Sparekassen har under inspektionen givet indtryk af ikke at have den nødvendige indsigt i systemet til at kunne føre den påkrævede kontrol. Et tilstrækkeligt kontrolsetup er et væsentligt led i sparekassens forebyggelse af hvidvask og terrorfinansiering, da det gør det muligt at identificere og håndtere operationelle risici og eventuelle mangler i sparekassens aktiviteter.
Sparekassen har derfor fået påbud om at inddrage konkrete oplysninger om kunders forventede transaktioner i sit overvågningssystem, bl.a. med hensyn til antal og omfang af kontanttransaktioner. Herudover skal sparekassen sikre, at overvågningen omfatter samtlige identificerede risici. Desuden skal sparekassen løbende kontrollere, at outsourcede opgaver udføres i overensstemmelse med kravene i outsourcingaftalen.
Sparekassen har fået en påtale for, at der ikke forud for den 4. februar 2026 var et scenarie, der for erhvervskunder overvågede transaktioner til eller fra uventede lande[4].
Sparekassen har ikke i tilstrækkeligt omfang undersøgt alarmer genereret fra dens overvågningssystem og noteret resultatet heraf. Den har helle ikke i alle tilfælde været i stand til at underrette Hvidvasksekretariatet omgående, idet adskillige alarmer er blevet behandlet og lukket med lang sagsbehandlingstid. Sparekassens forretningsgang om undersøgelses- og noteringspligt er mangelfuld, idet den ikke instruerer medarbejderne i, hvor hurtigt alarmer skal behandles, eller giver klare retningslinjer for, hvordan rettidig behandling sikres. Desuden har sparekassen ikke i tilstrækkelig grad sikret, at der gennemføres kundekendskabsprocedurer, når en kundes relevante omstændigheder ændrer sig. Sparekassen har dermed ikke sikret, at de oplysninger, der ligger til grund for overvågning og risikovurdering, er ajourførte og retvisende.
Utilstrækkelige undersøgelser indebærer en risiko for, at transaktioner med tilknytning til hvidvask eller terrorfinansiering ikke identificeres, og at der ikke sker tilstrækkelig underretning til Hvidvasksekretariatet. Manglende dokumentation og opdatering af kundedata kan desuden betyde, at vigtige risikofaktorer overses, og at historikken i kundeforholdet går tabt. Endelig er det afgørende, at alarmer behandles rettidigt, da forsinket eller mangelfuld sagsbehandling kan forhindre myndighederne i at gribe ind overfor hvidvask og terrorfinansiering.
Sparekassen har derfor fået påbud om at undersøge alle mistænkelige transaktioner og aktiviteter i tilstrækkeligt omfang samt at notere og opbevare resultaterne af sine undersøgelser. Sparekassen har desuden fået påbud om at undersøge mistænkelige transaktioner og aktiviteter rettidigt, så underretning til Hvidvasksekretariatet kan ske omgående. Sparekassens forretningsgange skal derfor indeholde tidsmæssige frister for alarmbehandling samt klare retningslinjer for, hvordan medarbejderne skal sikre rettidig behandling af alarmer. Desuden skal sparekassen gennemføre kundekendskabsprocedurer, når der sker ændringer i kundens relevante forhold, herunder forretningsforbindelsers formål og tilsigtede beskaffenhed[5].
Endelig har sparekassen i flere tilfælde ikke indberettet korrekte oplysninger til Finanstilsynet. Der er herved risiko for, at Finanstilsynet ikke på korrekt grundlag kan vurdere sparekassens risiko.
Derfor har sparekassen fået påbud om at berigtige oplysninger, som sparekassen har indberettet for 2024 og frem til 3. kvartal af 2025. Ligeledes skal sparekassen sikre, at den fremover foretager korrekt indberetning af oplysninger[6].