Hvidvaskloven: Hvem er egentlig omfattet — og hvad betyder det for dig?

De fleste ledere uden for den finansielle sektor har et billede af hvidvaskregulering som noget, der hører hjemme i bankernes complianceafdelinger. Det billede er forkert. Hvidvasklovens personkreds er bred nok til at fange revisorer, ejendomsmæglere, advokater, forhandlere af dyre varer, kunsthandlere og en række andre virksomheder, der aldrig har tænkt på sig selv som en del af det finansielle tilsynslandskab. Og konsekvenserne af at overse det er ikke abstrakte — de er konkrete bøder, personligt ansvar og i værste fald tab af retten til at drive forretning.

Lovens rækkevidde er bredere end du tror

Hvidvaskloven implementerer EU’s hvidvaskdirektiver og opstiller en kreds af “forpligtede enheder”. Kernen er naturligvis banker, forsikringsselskaber og andre finansielle virksomheder. Men loven stopper ikke der.

Revisorer og skatterådgivere er omfattet. Advokater er omfattet, når de bistår med bestemte transaktionstyper — typisk køb og salg af fast ejendom, virksomheder eller finansielle produkter, eller når de håndterer klientkonti. Ejendomsmæglere er omfattet. Forhandlere af varer er omfattet, når de modtager kontantbetalinger over en vis størrelse — og den grænse er lavere, end mange regner med. Udbydere af veksling og opbevaring af kryptovaluta er kommet til i de seneste år. Og listen vokser med hver revision af direktivet.

Det afgørende spørgsmål er ikke, om din branche “føles” finansiel. Det afgørende er, om din virksomhedstype står på lovens liste over forpligtede enheder. Gør den det, gælder samtlige forpligtelser — uanset om du har ti ansatte eller ti tusind.

”Kend din kunde” er ikke kun banksprog

KYC — know your customer — er det begreb, der normalt forbindes med bankrådgiverens spørgsmål om, hvor pengene kommer fra. Men forpligtelsen til kundekendskab gælder alle forpligtede enheder, og den er mere vidtgående end et enkelt spørgsmål ved onboarding.

I praksis indebærer kundekendskabskravet tre ting. For det første: du skal identificere kunden og verificere identiteten. For en fysisk person betyder det typisk officiel legitimation. For en virksomhed betyder det at få klarhed over ejerskabsstruktur og reelle ejere — ikke bare den person, der sidder på den anden side af bordet, men den eller de fysiske personer, der i sidste ende ejer eller kontrollerer virksomheden.

For det andet: du skal forstå forretningsforbindelsens formål og tilsigtede beskaffenhed. Oversat til dagligsprog: hvad er det, kunden vil, og giver det mening i sammenhængen? En ejendomsmægler, der hjælper med salg af en bolig til en køber, som betaler kontant og ikke kan redegøre for midlernes oprindelse, har et problem. En revisor, der opdager uforklarlige pengestrømme i et selskab, har et problem. Og “jeg spurgte ikke” er ikke en forsvarslinje.

For det tredje: du skal løbende overvåge forretningsforbindelsen. Det er ikke nok at tjekke én gang ved aftalens start og så glemme det. Ændrer kundens adfærd sig, eller dukker der nye risikofaktorer op, skal du reagere.

Der er desuden skærpede krav — såkaldt skærpet kundekendskab — i situationer med forhøjet risiko. Politisk eksponerede personer (PEP’er), komplekse ejerstrukturer, forbindelser til højrisikolande: alt sammen forhold, der kræver mere grundig undersøgelse. Og omvendt kan du i lavrisikosituationer anvende lempede procedurer — men kun hvis du kan dokumentere risikovurderingen.

Risikovurdering og politikker: det kedelige, der redder dig

Enhver forpligtet enhed skal have en skriftlig risikovurdering af sin eksponering mod hvidvask og terrorfinansiering. Det lyder bureaukratisk. Det er bureaukratisk. Men det er også det fundament, som alt andet hviler på.

Risikovurderingen skal tage højde for dine kundetyper, de produkter og ydelser du tilbyder, de lande du opererer i eller har forbindelser til, og de distributionskanaler du bruger. Ud fra den vurdering skal du tilrettelægge interne politikker, procedurer og kontroller.

I praksis ser jeg ofte, at virksomheder uden for den finansielle sektor enten slet ikke har en risikovurdering eller har et halvhjertet dokument, der blev skrevet for tre år siden og aldrig er blevet opdateret. Det er en risiko i sig selv. Tilsynsmyndighederne — og det kan være alt fra Finanstilsynet til Erhvervsstyrelsen til Advokatsamfundet, afhængigt af branchen — forventer, at risikovurderingen er levende og afspejler virksomhedens faktiske forretning.

Oveni kommer kravet om en whistleblowerordning for virksomheder over en vis størrelse, udpegning af en hvidvaskansvarlig person i ledelsen og uddannelse af medarbejdere. Ingen af delene behøver være enormt ressourcekrævende for en mindre virksomhed, men de skal eksistere og kunne dokumenteres.

Underretningspligten: den der virkelig bider

Hvis du som forpligtet enhed får mistanke om, at en transaktion eller aktivitet har tilknytning til hvidvask eller terrorfinansiering, har du pligt til at underrette Hvidvasksekretariatet (en del af Statsadvokaten for Særlig Økonomisk og International Kriminalitet). Det er ikke en valgmulighed, det er en lovpligt, og den kan ikke forhandles væk med kunden.

Underretningspligten er absolut i den forstand, at du ikke må informere kunden om, at du har foretaget — eller overvejer at foretage — en underretning. Den såkaldte “tipping off”-regel er et selvstændigt forbud med strafferetlige konsekvenser.

Og her rammer den praktiske virkelighed mange virksomheder uden for banksektoren hårdt: de har aldrig haft procedurer for at håndtere en mistanke. Hvem i virksomheden tager beslutningen? Hvad dokumenterer man? Hvornår stopper man en transaktion, og hvornår gennemfører man den? De spørgsmål skal besvares på forhånd, ikke i det øjeblik mistanken opstår.

Hvor risikoen reelt lander

Sanktionerne for overtrædelse af hvidvaskloven spænder fra påbud og påtaler over bøder til strafferetlig forfølgning. Bødeniveauet for virksomheder er steget markant over de seneste år, og myndighederne har vist vilje til at håndhæve — også uden for banksektoren. Ejendomsmæglere og revisorer har fået bøder. Advokater er blevet indberettet til Advokatnævnet.

Men den mest oversete risiko er nok omdømmerisikoen. En sag om manglende hvidvaskcompliance ender typisk i medierne, og den skade er svær at reparere — særligt i rådgivningsbrancher, hvor kundernes tillid er hele forretningsgrundlaget.

Personligt ansvar er også en reel mulighed. Hvidvaskloven rammer ikke kun virksomheden som juridisk person; den person, der træffer beslutningerne — eller undlader at træffe dem — kan stå personligt til ansvar.

Hvad du konkret bør gøre

Hvis du leder en virksomhed, der falder inden for lovens personkreds, er opgaven relativt overskuelig, men den kræver prioritering. Få styr på risikovurderingen — skriv den, opdater den, brug den. Implementér KYC-procedurer, der passer til din forretning; de behøver ikke ligne en banks, men de skal eksistere og være proportionelle med din risikoprofil. Sørg for, at de relevante medarbejdere ved, hvad de skal kigge efter og hvem de skal gå til internt. Og hav en klar procedure for underretning.

Ingen af de ting kræver et compliance-team på tyve personer. Men de kræver, at nogen tager ejerskab — og det nogen er typisk ledelsen. For det er der, ansvaret falder, når musikken stopper.