Felaktig tillsyn försvagar kampen mot penningtvätten

Arbetet mot penningtvätt och finansiering av terrorism bygger på en grundläggande princip: verksamhetsutövare ska förstå sina risker och agera utifrån dem. Den allmänna riskbedömningen är startpunkten i detta arbete. Den styr hur risker identifieras, hur rutiner utformas och hur kunder riskklassificeras. När denna struktur fungerar är det riskbaserade arbetssättet ett effektivt verktyg mot penningtvätt. 

Men om tillsynen innebär krav på en metod som inte är förenlig med denna struktur uppstår problem. Oklara – och i praktiken ogenomförbara – krav stärker inte regelefterlevnaden, utan skapar rättsosäkerhet. 

Utgångspunkten är att den allmänna riskbedömningen ska identifiera och analysera risker kopplade till tjänster och produkter, kunder, geografisk exponering och distributionskanaler. Dessa riskanalyser utgör sedan byggstenarna i nästa steg: fastställandet av en kunds riskprofil. Riskbedömning och riskklassificering hänger alltså samman, men är två separata moment som följer på varandra. Denna uppdelning är avgörande för att arbetet ska vara logiskt och gå att tillämpa i praktiken. 

Trots detta har Länsstyrelsen i Stockholm i flera sanktionsbeslut från januari i år på nytt gett uttryck för en annan ordning. Den innebär att verksamhetsutövare redan i den allmänna riskbedömningen inte bara ska identifiera risker – utan även förväntas redogöra för hur riskerna i olika tänkbara situationer kan påverka och samverka med varandra, för att därefter fastställa en sammantagen risknivå för den tjänst som erbjuds.  

Det behöver här sägas att de riskbedömningar som prövats i flera fall är bristfälliga. De är ofta alltför enkla och generellt hållna, otillräckligt motiverade och når inte upp till den kvalitet som krävs. I den delen är ingripandena motiverade. Problemet är alltså inte kraven på kvalitet, utan de metodkrav som ställs på den allmänna riskbedömningens innehåll och resultat. Att väga samman olika riskfaktorer till en konkret risknivå är kärnan i en riskklassificeringsmodell – och hör inte hemma i den allmänna riskbedömningen. 

När en tjänsts risknivå fastställs genom att risker kopplade till kunder, geografier och distributionskanaler vägs samman – i enlighet med Länsstyrelsens tolkning – beaktas samma faktorer på nytt när den enskilda kunden senare riskklassificeras. Risker räknas därmed i praktiken flera gånger och den metodmässiga uppdelningen sätts ur spel. Omvänt kan man fråga sig varför någon mer sofistikerad riskklassificering av kunden alls behövs. Om tjänstens risknivå redan fastställts med hänsyn till kundtyper, geografisk exponering och distributionsform framstår det som överflödigt att göra om samma bedömning på individnivå. Resultatet blir en papperstiger – ett dokument som möjligen tillfredsställer tillsynen men saknar praktisk funktion i det fortsatta arbetet med riskklassificeringen.  

Om Finansinspektionen tillämpade samma synsätt skulle inte ens storbankerna klara tillsynen. Länsstyrelsens tillsynsobjekt möter därmed mer långtgående och svårtolkade krav än betydligt mer resursstarka och tillsynsvana aktörer. Det är inte rimligt. 

Den icke-finansiella sektorn behöver höja kvaliteten i sitt arbete mot penningtvätt. Den kritiken kvarstår. Sverige behöver också mer tillsyn, inte mindre. En stark och kompetent tillsyn är avgörande för att bekämpa ekonomisk brottslighet och säkerställa sund konkurrens. Här förtjänar Länsstyrelsen erkännande för att ha varit mycket aktiv och höjt ambitionsnivån i sektorn. Men tillsynens legitimitet vilar på korrekt tillämpning av regelverket. 

Den nuvarande tillsynen stärker inte arbetet mot den finansiella brottsligheten – den försvårar det.

 

Läs också:

•