Ett riskbaserat förhållningssätt. Fredric Lundén & Max Ivarsson, SEB Group Compliance

Transkript

1 Ett riskbaserat förhållningssätt Fredric Lundén & Max Ivarsson, SEB Group Compliance

2 Seminarieledare Fredric Lundén, Head of Group Compliance Office, SEB Tidigare: - Compliance Specialist, SEB Group Compliance - Bankjurist, SEB Juridik kontorsrörelsen - Jurist, Finansinspektionen, Rättsavdelningen - Hovrättsassessor i Svea hovrätt Max Ivarsson, ansvarig för Compliance inom SEB Kort Tidigare: - Compliance officer inom SEB Baltic Division och SEB Kapitalförvaltning - Biträdande jurist, Gernandt & Danielsson Advokatbyrå 2

3 Konferens om aktuella penningtvättsfrågor 3

4 Ett riskbaserat förhållningssätt Fredric Lundén

5 Ett riskbaserat förhållningssätt Ett strukturerat och systematiskt sätt att hantera risk förknippad med penningtvätt och finansiering av terrorism. Omfattningen av åtgärder, processer och interna kontroller samt allokering av resurser utifrån relevanta lag- och föreskriftskrav anpassas utifrån risk Konferens om aktuella penningtvättsfrågor 5

6 Ett riskbaserat förhållningssätt Principen har växt fram genom flera samverkande faktorer, t.ex. a) Internationell best practice/normgivning (FATF, Basel Committee, EU etc) b) Nationell normgivning (t.ex års version av penningtvättslagen/fffs 2005:5) c) CRM, kundskydd Konferens om aktuella penningtvättsfrågor 6

7 Nuvarande reglering Principen lagstadgades 15 mars 2009 i och med den nuvarande penningtvättslagen (PTL): - 5 kap 1 PTL: Verksamhetsutövaren ska ha riskbaserade rutiner för att förhindra att verksamheten utnyttjas för penningtvätt eller finansiering av terrorism - 2 kap 1 PTL: En verksamhetsutövare ska vidta åtgärder för att uppnå kundkännedom. Omfattningen av dessa åtgärder ska anpassas efter risken för penningtvätt eller finansiering av terrorism Konferens om aktuella penningtvättsfrågor 7

8 Nuvarande reglering Finansinspektionens föreskrifter och allmänna råd FFFS 2009:1 2 kap. 1 : Ett företag ska vidta åtgärder som syftar till att förhindra att det utnyttjas för penningtvätt och finansiering av terrorism. Åtgärderna ska anpassas efter risken för att verksamheten utnyttjas för penningtvätt och finansiering av terrorism. 2 kap 2 : För att uppfylla kravet i 1 ska ett företag 1. göra en riskbedömning enligt 3, 2. ha rutiner m.m. i enlighet med 3 kap. och 3. löpande se över och uppdatera riskbedömningen samt när det behövs revidera rutinerna m.m. Företaget ska löpande beakta information om nya trender och mönster som används samt metoder som kan användas vid penningtvätt och finansiering av terrorism. Företaget ska även ta del av annan information från organisationer, myndigheter och andra organ inom området Konferens om aktuella penningtvättsfrågor 8

9 Nuvarande reglering Finansinspektionens föreskrifter och allmänna råd FFFS 2009:1 2 kap. 3 : Ett företag ska bedöma risken för att verksamheten utnyttjas för penningtvätt och finansiering av terrorism. Riskbedömningen ska göras på lämpligt sätt med hänsyn till företagets storlek och komplexitet. Den ska innehålla en analys av företagets kunder, produkter, tjänster samt andra för verksamheten relevanta faktorer såsom distributionskanaler och geografiska områden Konferens om aktuella penningtvättsfrågor 9

10 Nuvarande reglering Finansinspektionens föreskrifter och allmänna råd FFFS 2009:1 Rutiner som ska vara riskbaserade: 1. rutiner avseende åtgärder för kundkännedom 2. system eller rutin för att löpande följa upp affärsförbindelser 3. rutiner för att bevara handlingar eller åtgärder som har vidtagits för att uppnå kundkännedom 4. system eller rutin för granskningsskyldigheten 5. rutiner för uppgiftsskyldigheten till Rikspolisstyrelsen 6. Utbildningsprogram 7. rutiner för att skydda anställda från hot eller fientliga åtgärder, och 8. riktlinjer för internkontroll, regelefterlevnad och intern information Konferens om aktuella penningtvättsfrågor 10

11 FATF FATF Recommendation 1, Assessing risks and applying a risk-based approach: Countries should require financial institutions to identify, assess and take effective action to mitigate their money laundering and terrorist financing risks. FATF Recommendation 10, Customer Due Diligence: Financial institutions should be required to apply each of the CDD measures under (a) to (d) above, but should determine the extent of such measures using a risk-based approach Konferens om aktuella penningtvättsfrågor 11

12 FATF FATF Interpretive notes: Countries should take appropriate steps to identify and assess the money laundering and terrorist financing risks for the country Supervisors should review the money laundering and terrorist financing risk profiles and risk assessments prepared by financial institutions, and take the result of this review into consideration. Financial institutions should document those assessments in order to be able to demonstrate their basis, keep these assessments up to date, and have appropriate mechanisms to provide risk assessment information to competent authorities. Financial institutions should be required to have policies, controls and procedures that enable them to manage and mitigate effectively the risks that have been identified. They should be required to monitor the implementation of those controls and to enhance them, if necessary Konferens om aktuella penningtvättsfrågor 12

13 The 4th EU Money Laundering Directive Artikel 6 EBA, EIOPA, ESMA ska göra en riskbedömning Artikel 7 Alla medlemsstater ska göra en riskbedömning Artikel 8 Verksamhetsutövarna ska göra sin egen riskbedömning. Riskbedömningarna ska dokumenteras, uppdateras och tillhandahållas behöriga myndigheter. Riskbedömningen ska ta hänsyn till de risker som belagts på unions- och medlemsstatsnivå samt inom verksamhetsutövarens egen verksamhet. Åtgärderna för att hantera identifierade risker ska omfatta åtminstone följande: (a) Utveckling av interna policies, rutiner och kontroller, inbegripet kundkontroll, rapportering, dokumentation, internkontroll, efterlevnadskontroll (inbegripet utnämning av en efterlevnadsansvarig på ledningsnivå om det motiveras av verksamhetens storlek och natur) m.m. (b) En oberoende granskningsfunktion för att granska interna policies, rutiner och kontroller, om detta är lämpligt med hänsyn till företagets storlek och verksamhet Konferens om aktuella penningtvättsfrågor 13

14 Svensk reglering m.m. Augusti 2013 Penningtvätt, en nationell riskbedömning Mars 2014 Finansiering av terrorism, en nationell riskbedömning En nationell strategi för en effektiv regim för bekämpning av penningtvätt och finansiering av terrorism, skr. 2013/14:245 Lagrådsremiss av den 12 februari Föreslaget ikraftträdande 1 augusti Tillägg till 5 kap 1 PTL föreslås: Verksamhetsutövare ska kartlägga och bedöma riskerna för penningtvätt och finansiering av terrorism i verksamheten. Riskbedömningen ska dokumenteras och hållas uppdaterad Konferens om aktuella penningtvättsfrågor 14

15 Allmänna näringsrättsliga krav på riskhantering i finansiella institut T.ex. FFFS 2014:1, Finansinspektionens föreskrifter och allmänna råd om styrning, riskhantering och kontroll i kreditinstitut 5 kap. 1 : Ett företag ska ha ett ramverk för riskhantering som innehåller de strategier, processer, rutiner, interna regler, limiter, kontroller och rapporteringsrutiner som behövs för att säkerställa att företaget löpande kan identifiera, mäta, styra, internt rapportera och ha kontroll över de risker som det är eller kan förväntas komma att bli exponerat för. 8 kap. 1 : Ett företag ska ha aktuella och lämpliga interna regler och rutiner för att kunna identifiera vilka risker som finns för att företaget inte fullgör sina förpliktelser enligt dels lagar, förordningar och andra regler som gäller för den tillståndspliktiga verksamheten, dels interna regler Konferens om aktuella penningtvättsfrågor 15

16 Slutsatser Riskerna ska identifieras Riskerna ska analyseras Riskerna ska adekvat hanteras/mitigeras Bedömningarna och åtgärderna ska dokumenteras Riskbedömningen ska ständigt hållas aktuell/uppdaterad Omfattningen av riskbedömningen bör anpassas efter verksamhetens art och omfattning Riskbedömningen ska utgå från verksamhetens art, t.ex. kunder, produkter, tjänster, distributionskanaler och jurisdiktioner Internationell/EU, nationell och egen riskbedömning ska beaktas Riskbedömningen ska vid behov kunna tillhandahållas tillsynsmyndigheten Flexibilitet för verksamhetsutövaren men denne har bevisbördan för att de riskmitigerande åtgärder som vidtas är adekvata och tillräckliga Konferens om aktuella penningtvättsfrågor 16

17 Slutsatser, forts. Stringent och flexibel riskhanteringsprocess/ramverk måste tas fram Strikta rutiner för att säkerställa dokumentation är nödvändiga; i verksamhet av större omfattning/ komplexitet krävs förmodligen IT-system stöd Lämpligt att samordna riskhanteringsprocessen avseende penningtvätt och finansiering av terrorism med processen för bedömning och hantering av compliance risker Viktigt att säkerställa effektiv rapportering och uppföljning Konferens om aktuella penningtvättsfrågor 17

18 Hur arbetar vi i SEB? Konferens om aktuella penningtvättsfrågor 18

19 Processen för riskhantering Informationsinhämtning Riskbedömning Riskhantering Rapportering Dokumentation Uppföljning Extern information FATF, Wolfsberg, Basel, Transparency International, Nationell riskbedömning Finanspolisen, EBM, BRÅ, Finansinspektionen, Branschorganisationer, etc Intern information PT-register, incidenter, compliance, intern revision, erfarenheter i affären, etc Compliance Forum Vilka risker är relevanta utifrån den verksamhet som drivs? Är relevanta risker hanterade på ett adekvat sätt? Intern styrning och kontroll Kundkännedomsprocessens konstruktion Rutiner för id.kontroll och verklig huvudman Syfte och art Sanktionslistor Fördjupad kundkännedom Eskalering/kund -kommitté Fortlöpande uppföljn. Insaml.& lagring av KYCinfo Riskindikatorer Rapportering till och förankring hos ledningen Dokumentation av gjorda bedömningar och vidtagna åtgärder Uppdatering årligen/vid behov 19

20 Compliance and ML Risk Assessment process Konferens om aktuella penningtvättsfrågor 20

21 Informationsstruktur Management Structure (Divisions) Organization Legal Entities SEB CRA model (Risk) Area * Sub- area * Category * Requirements/Legislation Requirements/Legislation as base for risk scenarios as base for risk scenarios (Risk) Scenario Description Pre-Defined/Additional Minimum req. * (Risk) Scenario Assessment Scenario Comment Legal entity Business unit Risk owner Impact Probability Inherent risk (derived) Control description Control effectiveness Residual risk (derived) Trend Reason for change Treat risk Improvement required Improvement status Attachments 1 * Sub- Category Treatment action Scenario Legal entity Business unit Treatment actions Responsible Due date Test execution Follow-up Status Monitoring activity Scenario Legal entity Business unit Activity Frequency Responsible Follow-up Konferens om aktuella penningtvättsfrågor 21

22 Rapporterande organisatoriska enheter Konferens om aktuella penningtvättsfrågor 22

23 Top-down, bottom-up approach Konferens om aktuella penningtvättsfrågor 23

24 IT System Konferens om aktuella penningtvättsfrågor 24

25 IT System Konferens om aktuella penningtvättsfrågor 25

26 Scenarios compliance risks, ML risks Konferens om aktuella penningtvättsfrågor 26

27 Compliance risk scenario, example Konferens om aktuella penningtvättsfrågor 27

28 Compliance risk scenario, example Konferens om aktuella penningtvättsfrågor 28

29 Compliance Risk Assessment, example Konferens om aktuella penningtvättsfrågor 29

30 Compliance Risk Assessment, example Konferens om aktuella penningtvättsfrågor 30

31 Treatment Action, example Konferens om aktuella penningtvättsfrågor 31

32 Monitoring Activity, example Konferens om aktuella penningtvättsfrågor 32

33 Analys Konferens om aktuella penningtvättsfrågor 33

34 Rapportering Konferens om aktuella penningtvättsfrågor 34

35

36 GROUP COMPLIANCE 36

37 GROUP COMPLIANCE 37

38 En samlad riskbedömning Tacka Nej Fördjupad kundkännedom Kundkommitté Grundläggande kundinformation Kontroll mot PEP och sanktionslistor Riskbedömning Normal kundkännedom Tacka Ja Fortlöpande uppföljning Förenklad kundkännedom

39 En samlad riskbedömning Tacka Nej Fördjupad kundkännedom Kundkommitté Grundläggande kundinformation Kontroll mot PEP och sanktionslistor Riskbedömning Normal kundkännedom Tacka Ja Fortlöpande uppföljning Förenklad kundkännedom

40 GROUP COMPLIANCE 40

41 En samlad riskbedömning Tacka Nej Fördjupad kundkännedom Kundkommitté Grundläggande kundinformation Kontroll mot PEP och sanktionslistor Riskbedömning Normal kundkännedom Tacka Ja Fortlöpande uppföljning Förenklad kundkännedom

42 GROUP COMPLIANCE 42

43 En samlad riskbedömning Tacka Nej Fördjupad kundkännedom Kundkommitté Grundläggande kundinformation Kontroll mot PEP och sanktionslistor Riskbedömning Normal kundkännedom Tacka Ja Fortlöpande uppföljning Förenklad kundkännedom

44 44

45 GROUP COMPLIANCE 45

46 GROUP COMPLIANCE 46

47 GROUP COMPLIANCE 47

48 GROUP COMPLIANCE 48

49 GROUP COMPLIANCE 49

50 GROUP COMPLIANCE 50

51 En samlad riskbedömning Tacka Nej Fördjupad kundkännedom Kundkommitté Grundläggande kundinformation Kontroll mot PEP och sanktionslistor Riskbedömning Normal kundkännedom Tacka Ja Fortlöpande uppföljning Förenklad kundkännedom

52 52

53 53

54 54

55 Fortlöpande uppföljning av kundrelationen En samlad riskbedömning Tacka Nej Fördjupad kundkännedom Kundkommitté Grundläggande kundinformation Kontroll mot PEP och sanktionslistor Riskbedömning Normal kundkännedom Tacka Ja Fortlöpande uppföljning Förenklad kundkännedom

56 Löpande uppföljning av kundrelationen Känn Din Kund informationen ska fortlöpande hållas uppdaterad. Transaktioner och beteenden monitoreras löpande både manuellt och m h a systemstöd (och centrala specialister) Löpande kontroll mot sanktionsoch PEP-listor 56

57 57

58 58

59 59

60 60