Redegørelse om inspektion af krypto- og hvidvaskområdet i Penning Financial Services ApS

Penning Financial Services udbyder kryptoaktivtjenester, som virksomheden fik tilladelse til i januar 2026. Virksomheden tilbyder en platform (app og hjemmeside), hvor kunder kan bruge virksomhedens ydelser, som er formidling af kryptoaktiver på vegne af kunder og porteføljepleje i forbindelse med kryptoaktiver. Virksomheden henvender sig både til private og erhvervskunder. Den tilbyder sine services i Danmark og til resten af EU via EU’s passporting-regler. Virksomheden udbyder sine tjenester med ca. 100 forskellige kryptoaktiver, som alle er optaget til handel på kryptoplatformen Kraken.

Inspektionen havde fokus på virksomhedens væsentligste risikoområder ud fra en risikobaseret vurdering.

Inspektionens centrale konklusioner

Governance og outsourcing

Virksomhedens governance-setup og processer var ikke tilstrækkeligt beskrevet i virksomhedens politikker og forretningsgange, herunder manglede klare beskrivelser af første og anden forsvarslinjes arbejdsopgaver.

Det indebærer risiko for, at virksomhedens organisering og governance-setup ikke er tilstrækkeligt operationelt til at sikre, at den kan udbyde sine kryptoaktivtjenester forsvarligt og i overensstemmelse med sin risiko.

Virksomheden har derfor fået påbud om at organisere sig på en måde med en klar og dokumenteret ansvarsfordeling, herunder at have de nødvendige kompetencer til rådighed og en tilstrækkelig funktionsadskillelse[1].

Inspektionen viste, at der var stor forskel mellem virksomhedens outsourcing-politik og de faktiske forhold i virksomheden på området.

De store kontraster mellem politik og faktiske forhold indebærer en risiko for, at virksomheden ikke har tilstrækkeligt overblik over sin driftssikkerhed.

Virksomheden har derfor fået påbud om at etablere klare og dokumenterede procedurer for processerne vedrørende IKT-tredjepartsleverandører, outsourcing-partnere og koncerninterne aftaler for at sikre egne rettigheder og driftssikkerheden i virksomheden[2].

Best execution

Virksomheden efterlevede på en række centrale punkter ikke kravene om bedst mulig ordreudførelse, som er væsentlige krav i reguleringen af udbydere af kryptoaktivtjenester. Manglerne indebærer en risiko for, at virksomheden ikke får sikret og dokumenteret, at dens kunder opnår det bedste resultat på deres handel.

Virksomheden har derfor fået påbud om at ændre sit handelssystem, så det sikrer det bedst mulige resultat for kunden, at etablere en systematisk og dokumenteret procedure for indhentning og registrering af kundens handelsmål og eksekveringsprioritet samt at revidere Ordreudførelses- og Gennemsigtighedspolitikken[3].

Hvidvaskområdet

Virksomheden havde ikke klare og operationelle procedurer for onboarding af kunder. Desuden var dens risikoklassifikation af kunderne utilstrækkelig, og den havde ikke i tilstrækkeligt omfang indhentet oplysninger om kundernes tilsigtede beskaffenhed, herunder indtjenings- og formueforhold.

Manglerne indebærer en risiko for, at virksomheden ikke får dannet sig et overblik over kundens samlede risikoprofil, som kan bevirke, at virksomheden ikke gennemfører passende kundekendskabsprocedurer og overvågning af kundeforholdet. Den risikerer dermed ikke effektivt at kunne begrænse risikoen for hvidvask og terrorfinansiering.

Virksomheden har derfor fået påbud om at sikre, at den i tilstrækkeligt omfang vurderer, om den har nok oplysninger om kunderne, og at sikre, at den i sin overvågning inddrager oplysninger om kundernes forventede transaktioner. Endelig har virksomheden fået påbud om at tilpasse sin forretningsgang for kundekendskabsprocedurer, så den er operationel[4].

Virksomheden havde ikke en tilstrækkelig systematisk proces for håndtering af undersøgelser.

Der er dermed risiko for, at den internt mister viden om historikken i et kundeforhold og potentielt ikke får identificeret mistænkelig adfærd hos kunderne og dermed ikke kan underrette Hvidvasksekretariatet.

Virksomheden har derfor fået påbud om at sikre, at den undersøger alle usædvanlige transaktioner og aktiviteter, der ikke har et åbenbart økonomisk eller lovligt formål, og om at dokumentere undersøgelser og resultatet heraf fyldestgørende. Herudover skal virksomheden have tilstrækkelige forretningsgange og kontroller til at sikre, at medarbejdere ved udførelse af undersøgelser ikke kan misbruge deres stilling[5].

Finanstilsynet vurderer, at virksomheden på inspektionstidspunktet ikke havde sikret en tilstrækkelig operationel og dokumenteret efterlevelse af Travel Rule-kravene.

Det indebærer en risiko for, at virksomheden ikke får nok information om betaler og afsender, og potentielt ikke kan identificere mistænkelige aktiviteter. Den risikerer dermed ikke effektivt at kunne begrænse risikoen for hvidvask og terrorfinansiering. 

Virksomheden har derfor fået påbud om at sikre en implementeret og dokumenteret efterlevelse af Travel Rule-kravene ved alle overførelser af kryptoaktiver[6].