Riskbedömningen av kunden är navet i kundkännedomen. Den avgör om ni får tillämpa förenklade åtgärder, om ni måste tillämpa skärpta och hur tätt ni följer upp. I dag gäller lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism (PTL). Från den 10 juli 2027 gäller EU:s penningtvättsförordning AMLR direkt. Principen är densamma i båda: åtgärderna ska stå i proportion till risken.
Vad kräver PTL?
Grundregeln finns i 2 kap. 3 § PTL. Ni ska bedöma den risk för penningtvätt eller finansiering av terrorism som kan förknippas med kundrelationen. Lagen kallar resultatet kundens riskprofil.
Bestämmelsen innehåller tre krav:
- Riskprofilen ska bestämmas med utgångspunkt i er allmänna riskbedömning och er kännedom om kunden.
- När det behövs ska ni beakta omständigheterna i 2 kap. 4 och 5 §§, tillsynsmyndighetens föreskrifter och andra omständigheter i det enskilda fallet.
- Riskprofilen ska följas upp under affärsförbindelsen och ändras när det finns anledning till det.
Underlaget kommer bland annat från affärsförbindelsens syfte och art. Enligt 3 kap. 12 § PTL ska den informationen ligga till grund för bedömningen av kundens riskprofil.
Riskprofilen styr sedan omfattningen av kundkännedomen (3 kap. 14 § PTL):
- Låg risk: ni får tillämpa förenklade åtgärder (3 kap. 15 §).
- Hög risk: ni ska göra särskilt omfattande kontroller och komplettera med åtgärder som motverkar risken, till exempel uppgifter om varifrån kundens medel kommer (3 kap. 16 §).
Tillsynsmyndigheterna får meddela föreskrifter om riskklassificering av kunder (8 kap. 1 § 4 PTL). Kontrollera därför om er tillsynsmyndighet har egna föreskrifter eller vägledning.
Hur hänger kundens riskprofil ihop med den allmänna riskbedömningen?
Den allmänna riskbedömningen (2 kap. 1 § PTL) beskriver hur era produkter och tjänster kan utnyttjas för penningtvätt eller finansiering av terrorism. Den ska särskilt beakta produkter och tjänster, kunder, distributionskanaler och geografiska riskfaktorer.
Kundens riskprofil är samma analys tillämpad på en enskild kund. Om er allmänna riskbedömning säger att en viss tjänst har förhöjd risk, ska det synas i riskprofilen för kunder som köper tjänsten. Länsstyrelsen uttrycker det så att ni ska väga in de riskfaktorer som ni har identifierat i den allmänna riskbedömningen.
Sambandet går åt båda håll. Enligt EBA:s riktlinjer bör bedömningarna av kundernas riskprofiler också användas som underlag till den allmänna riskbedömningen.
Vilka riskfaktorer ska ni väga in?
PTL ger exempel på omständigheter som kan tyda på låg risk (2 kap. 4 §) och hög risk (2 kap. 5 §). Listorna är inte uttömmande. EBA:s riktlinjer om riskfaktorer (EBA/GL/2021/02) delar in faktorerna i kunder, länder eller geografiska områden, produkter och tjänster samt distributionskanaler. Transaktionerna bedömer ni lämpligen tillsammans med affärsförbindelsens syfte och art.
| Kategori | Exempel på frågor | Stöd |
|---|---|---|
| Kund | Är ägarstrukturen ovanlig eller alltför komplicerad för verksamheten? Är verksamheten kontantintensiv? Finns nominella aktieägare? | 2 kap. 5 § 1–3 PTL |
| Kund | Verksamhet i en sektor som ofta förknippas med hög risk för korruption, till exempel bygg eller offentlig upphandling? | EBA/GL/2021/02 riktlinje 2.4 |
| Produkter och tjänster | Vad köper kunden, och hur har ni bedömt den tjänsten i er allmänna riskbedömning? | 2 kap. 1 § PTL |
| Geografi | Hemvist inom EES? Hemvist i en stat som saknar effektiva system mot penningtvätt, har betydande korruption eller är föremål för sanktioner? | 2 kap. 4 § 2–4 och 5 § 5–8 PTL |
| Distributionskanal | Sker affärsförbindelsen på distans utan metoder som på ett tillförlitligt sätt säkerställer identiteten? | 2 kap. 5 § 9 PTL |
| Transaktioner | Betalas tjänsten av någon som är okänd eller saknar koppling till kunden? Stämmer flödena med syfte och art? | 2 kap. 5 § 10 och 3 kap. 12 § PTL |
Vissa situationer kräver alltid skärpta åtgärder, oavsett hur övriga faktorer ser ut. Det gäller till exempel kunder etablerade i ett högrisktredjeland (3 kap. 17 § PTL). Vad som gäller för personer i politiskt utsatt ställning beskriver vi i vår PEP-artikel.
Hur väger ni samman faktorerna?
EBA:s riktlinjer riktar sig till kreditinstitut och finansiella institut. Finansinspektionen följer dem och jämställer dem med svenska allmänna råd. För andra verksamhetsutövare ger de en användbar struktur.
Riktlinjerna säger i korthet detta:
- Helhetssyn. En enskild riskfaktor flyttar inte automatiskt kunden till en högre eller lägre kategori (riktlinje 3.3).
- Viktning är tillåten. Ni får ge faktorer olika vikt. Viktningen får inte styras av en enda faktor eller av lönsamhet, och den får inte leda till att ingen kund kan bli hög risk (riktlinje 3.6).
- Poäng kan överprövas. Automatiska riskpoäng ska kunna ändras. Motiveringen till en ändring ska dokumenteras (riktlinje 3.6 e).
- Välj en skala som passar. Hög, medelhög och låg är vanligt, men andra kategorier kan användas (riktlinje 3.8).
PTL nämner bara låg och hög risk. Många verksamhetsutövare använder en mellannivå, till exempel normal risk, för kunder som får grundläggande åtgärder.
Exempel: riskbedömning av ett aktiebolag
Fiktivt exempel. Bolaget, siffrorna och bedömningarna är påhittade för att visa metoden.
En redovisningsbyrå får en förfrågan från ett byggföretag, här kallat Bolaget. Bolaget vill köpa löpande bokföring, lönehantering och bokslut. Byråns allmänna riskbedömning anger löpande bokföring som normal risk.
| Faktor | Vad byrån har konstaterat | Påverkan |
|---|---|---|
| Kund | Byggföretag med tolv anställda, verksamt sedan 2019. Bygg nämns av EBA som sektor med hög risk för korruption. | Höjande |
| Ägare och huvudmän | Två fysiska personer i Sverige äger 60 och 40 procent direkt. Stämmer med registret över verkliga huvudmän. Ingen PEP, ingen sanktionsträff. | Neutral |
| Tjänst | Löpande bokföring och lön, normal risk enligt allmänna riskbedömningen. | Neutral |
| Geografi | Hemvist och verksamhet i Sverige. Underentreprenörer inom EES. | Sänkande |
| Distributionskanal | Personligt möte, identitet kontrollerad med e-legitimation. | Neutral |
| Transaktioner | Kunden betalar själv från eget konto. Ingen kontanthantering enligt kunden. | Neutral |
Sammanvägning: normal risk. Branschen ger en förhöjd risk. Den vägs upp av en enkel och verifierad ägarstruktur, svensk hemvist och betalningar som går att följa. Inget i underlaget motiverar skärpta åtgärder, och branschen gör att förenklade åtgärder inte är lämpliga.
Åtgärder: grundläggande åtgärder för kundkännedom och uppföljning enligt byråns intervall för normal risk. Byrån noterar att kontanthantering, nya ägare eller betalningar från okända tredje parter ska utlösa en ny bedömning.
Samma bolag, annat underlag. Anta i stället att aktierna ägs genom ett bolag utanför EES, att ägarkedjan inte går att förklara och att fakturor betalas av ett bolag utan koppling till kunden. Då finns flera omständigheter som enligt 2 kap. 5 § 1 och 10 PTL kan tyda på hög risk. Sammanvägningen blir hög risk. Byrån ska då göra särskilt omfattande kontroller och komplettera med uppgifter om kundens verksamhet, ekonomiska situation och medlens ursprung (3 kap. 16 § PTL). Går det inte att uppnå tillräcklig kundkännedom får affärsförbindelsen inte etableras (3 kap. 1 § PTL).
Hur dokumenterar ni motiveringen?
En riskklass utan motivering går inte att granska. Skriv så att någon utan kännedom om kunden kan följa resonemanget. Motiveringen bör visa:
- vilket underlag ni använde och var det kommer ifrån
- vilka riskfaktorer ni identifierade, både höjande och sänkande
- hur ni vägde dem och varför en faktor vägde tyngre än en annan
- vilken riskklass kunden fick och vilka åtgärder den leder till
- om ni frångick en automatisk poäng, och i så fall varför
- vem som fattade beslutet och när
- vilka händelser som ska utlösa en ny bedömning
Underlaget ska sparas i fem år (5 kap. 3 § PTL). Hur ni håller riskprofilen aktuell beskriver vi i periodisk och händelsestyrd granskning. En färdig struktur för underlaget finns i vår mall och checklista för kundkännedom.
Vanliga misstag
- Samma riskklass för alla. Om alla kunder hamnar i samma klass görs ingen verklig bedömning.
- Ingen koppling till den allmänna riskbedömningen. Faktorer som byrån själv har pekat ut syns inte i kundernas profiler.
- Enbart poäng. En siffra utan förklaring visar inte hur risken bedömdes.
- Riskprofilen uppdateras aldrig. Lagen kräver att den följs upp och ändras när det finns anledning.
- Förenklade åtgärder som genväg. Förenklade åtgärder får bara användas när risken bedöms som låg, och åtgärderna utgår inte.
Vad ändras med AMLR 2027?
Enligt artikel 20.2 AMLR ska omfattningen av kundkännedomen bestämmas utifrån en enskild analys av riskerna. Analysen ska beakta kundens och affärsförbindelsens särdrag, den verksamhetsomfattande riskbedömningen och riskfaktorerna i förordningens bilagor. Vid förhöjd risk ska skärpta åtgärder tillämpas. Metoden i den här artikeln fungerar därför även efter den 10 juli 2027, men kontrollera era faktorlistor mot bilagorna.
Hur AKT stödjer arbetet
AKT driver kundkännedomsprocessen och samlar underlag, screening, riskbedömning och beslut i en kundakt med fullständigt revisionsspår. Onboarding, periodisk och händelsestyrd granskning sker i samma akt, och ansvarig person fattar beslutet. Läs mer om plattformen.