Riskbaserat AML-arbete – guide till KYC och riskbedömning

Från kundinformation till välgrundade beslut

Ett riskbaserat AML-arbete innebär att företag anpassar sina kontroller och åtgärder efter riskerna i verksamheten och hos enskilda kunder. Genom att koppla samman allmän riskbedömning, kundkännedom (KYC), riskklassificering och screening kan företag arbeta mer strukturerat med att förebygga penningtvätt.

Men hur fungerar arbetssättet i praktiken? Och hur säkerställer du att insamlad information leder till välgrundade beslut?

I den här guiden går vi igenom de viktigaste delarna och hur de hänger ihop.

Vad innebär ett riskbaserat AML-arbete?

Riskbaserat AML-arbete innebär att företag identifierar och bedömer risker för penningtvätt och finansiering av terrorism och anpassar sina åtgärder därefter.

Alla kunder ska därför inte hanteras på samma sätt. Vilken information som ska samlas in, vilka kontroller som behövs och hur ofta kundrelationen ska följas upp beror på den identifierade risken och tillämpliga regelkrav.

AML står för Anti-Money Laundering och omfattar arbetet med att förebygga och motverka penningtvätt.

Ett riskbaserat AML-arbete kan sammanfattas i fem steg:

Identifiera riskerna i den egna verksamheten

Kartlägg var och hur verksamheten kan utsättas för risk för penningtvätt och finansiering av terrorism. Utgå från exempelvis kunder, produkter, tjänster, distributionskanaler och geografiska områden.
Anpassa kontrollerna efter riskerna och gällande krav

Utforma rutiner och kontroller utifrån de risker som identifierats. Ju högre risk, desto mer omfattande åtgärder och kontroller behöver verksamheten vidta.
Samla in kundinformation genom kundkännedom (KYC)

Samla in och verifiera information om kunden, verksamheten, ägarstrukturen och affärsrelationens syfte. Det ger en tydligare bild av vem verksamheten faktiskt gör affärer med.
Följ upp kundrelationen och uppdatera bedömningen vid behov

Kundkännedom är en löpande process. Följ förändringar i kundens verksamhet, ägande och riskprofil och uppdatera information och riskbedömning när det behövs.
Bedöm kundens risknivå och dokumentera bedömningen

Bedöm kundens risk utifrån den information som samlats in och dokumentera grunderna för bedömningen. Risknivån avgör vilka fortsatta kontroller och åtgärder som behövs.

Stegen hänger ihop. Riskerna i verksamheten påverkar vilken kundinformation som behövs, medan kundinformationen ligger till grund för riskklassificering, kontroller och uppföljning.

Se hur våra lösningar fungerar

Allmän riskbedömning – grunden för AML-arbetet

En allmän riskbedömning beskriver hur den egna verksamheten kan utnyttjas för penningtvätt eller finansiering av terrorism. Den ska utgå från företagets faktiska förutsättningar och ligga till grund för rutiner, kontroller och kundbedömningar.

Bedömningen behöver bland annat omfatta:

Riskbedömningen ska beskriva riskerna i den egna verksamheten och vara ett stöd i det dagliga arbetet – inte bara ett dokument.

Sarah Gemborg Hirschfeldt
Hirsch Compliance AB

En mall kan hjälpa företaget att strukturera riskbedömningen, men ersätter inte den egna analysen. Två företag inom samma bransch kan ha olika kundgrupper, tjänster och internationella kopplingar. Därför kan även deras risker skilja sig åt.

Hur hänger den allmänna riskbedömningen ihop med KYC?

Den allmänna riskbedömningen ger vägledning om vilken kundinformation företaget behöver samla in.

Om verksamheten har identifierat risker kopplade till internationella affärsrelationer behöver kundkännedomsprocessen exempelvis fånga upp relevanta geografiska kopplingar. Risker kopplade till ägarförhållanden kan på motsvarande sätt kräva närmare granskning av ägarstrukturen.

Målet är att samla in rätt information för att förstå och bedöma kunden, inte att ställa så många frågor som möjligt.

Upptäck våra AML-verktyg

Vad är skillnaden mellan allmän risk-och kundriskbedömning?

Den allmänna riskbedömningen omfattar verksamheten som helhet, medan kundriskbedömningen gäller riskerna i en enskild kundrelation. Båda behövs för att företaget ska kunna arbeta riskbaserat.

Allmän riskbedömning

Omfattar verksamheten som helhet.

Identifierar risker i exempelvis tjänster, kundgrupper och geografiska områden.

Ger underlag för verksamhetens rutiner och kontroller.

Behöver hållas aktuell när verksamheten eller riskbilden förändras.

Kundrisk

Omfattar en enskild kundrelation.

Bedömer riskerna utifrån information om den aktuella kunden.

Ger underlag för kundens riskklassificering och fortsatta hantering.

Behöver omprövas när relevanta omständigheter i kundrelationen förändras.

Enkelt uttryckt: Den allmänna riskbedömningen visar vilka risker företaget behöver undersöka. Kundrisken avgör hur den enskilda kunden ska hanteras.

Riskklassificering – så bedömer och följer du upp kundens risknivå

Riskklassificering innebär att företaget bedömer risken för penningtvätt eller finansiering av terrorism i en kundrelation. Bedömningen utgår från den information som samlats in om kunden och de risker som identifierats i verksamheten. Resultatet ligger sedan till grund för vilka kundkännedomsåtgärder, kontroller och vilken uppföljning som behövs.

Digitala AML-system kan hjälpa till att strukturera information och ge stöd i riskklassificeringen, men en automatisk riskpoäng eller färgmarkering ersätter inte en fullständig riskbedömning. Företaget behöver kunna förklara varför kunden har fått en viss risknivå och hur bedömningen påverkar den fortsatta hanteringen.

Riskklassificeringen behöver också hållas aktuell under hela kundrelationen. Förändringar i exempelvis kundens verksamhet, ägarförhållanden eller geografiska kopplingar kan påverka riskbilden och innebära att risknivån behöver omprövas.

Praktiskt exempel: När en kundrelation förändras

Anta att ett företag har en kund som under flera år enbart bedrivit verksamhet i Sverige. Kunden börjar därefter etablera affärsrelationer i flera andra länder.

Förändringen innebär inte automatiskt en högre risk, men kan kräva att den tidigare riskbedömningen ses över.

Företaget kan då behöva undersöka vilka geografiska kopplingar som tillkommit, hur verksamheten förändrats och om den befintliga kundinformationen fortfarande är tillräcklig.

Utifrån informationen bedömer företaget om kundens risknivå eller kontroller behöver anpassas. Bedömningen och eventuella beslut dokumenteras.

Exemplet visar varför kundkännedom inte är en engångsåtgärd. Ett riskbaserat AML-arbete kräver att företaget uppmärksammar relevanta förändringar och agerar när riskbilden förändras.

Screening och AML-kontroller – vad kan digitala verktyg bidra med?

Screening innebär att kunduppgifter jämförs med information från utvalda register, listor eller andra datakällor. Det kan exempelvis handla om kontroller av politiskt utsatta personer (PEP), sanktioner eller andra relevanta riskindikatorer.

Digitala AML-verktyg kan göra information mer tillgänglig och hjälpa företag att genomföra kontroller på ett strukturerat sätt.

Men det finns en viktig skillnad mellan att få fram information och att bedöma vad den betyder.

Data och screening ger ett viktigt underlag. Nästa steg är att förstå vad informationen betyder och hur den ska användas i kundbedömningen.

Marcus Gerdin
Creditsafe

Vad händer om en screening ger en träff?

En screeningträff behöver alltid bedömas i sitt sammanhang.

Företaget behöver undersöka om träffen gäller rätt person eller företag, vad informationen innebär och om ytterligare åtgärder krävs.

PEP-status medför särskilda kundkännedomsåtgärder, medan en bekräftad sanktionslistning kan innebära rättsliga förbud och krav på frysning beroende på tillämpligt regelverk.

Även ett resultat utan träffar måste förstås utifrån vilka källor som kontrollerats och vilken övrig kundinformation som finns.

En användbar arbetsgång är:

Identifierad risk → Relevant kontroll → Analys av resultat → Dokumenterat beslut På så sätt blir screening en del av kundriskbedömningen, snarare än en fristående kontroll.

På så sätt blir screening en del av kundriskbedömningen, snarare än en fristående kontrol

Så följer du upp att AML-rutinerna fungerar

Dokumenterade rutiner är en viktig grund, men företaget behöver också kontrollera hur de fungerar i praktiken.

Det kan exempelvis göras genom stickprov, intern uppföljning och utbildning.

Några centrala frågor att följa upp är:

Vet medarbetarna vilka riskindikatorer de ska uppmärksamma?
Är kundernas riskklassificeringar motiverade och dokumenterade?
Motsvarar kontrollerna de risker som identifierats?
Hanteras avvikelser enligt fastställda rutiner?
Uppdateras kundbedömningar när relevanta förhållanden förändras?

Utbildning är också viktig. Medarbetarna behöver förstå både vilka rutiner som gäller och hur de ska tillämpas i olika situationer.

När riskbedömning, kundkännedom, kontroller och uppföljning fungerar tillsammans blir AML-arbetet mer konsekvent och lättare att granska.

Vill du stärka ditt riskbaserade AML-arbete?

Från kundinformation till relevanta kontroller. Upptäck hur Creditsafes lösningar för kundkännedom och screening kan stödja ditt riskbaserade AML-arbete.

Prata med en AML-expert

Du kan också ringa 031-725 50 10 eller maila sales@creditsafe.se.

Vanliga frågor om riskbaserat AML-arbete

Vad betyder AML?

AML står för Anti-Money Laundering och omfattar åtgärder för att förebygga och motverka penningtvätt.

Vad är en allmän riskbedömning enligt penningtvättslagen?

En allmän riskbedömning är en dokumenterad analys av hur verksamheten kan utnyttjas för penningtvätt eller finansiering av terrorism. Den ska utgå från verksamhetens egna förutsättningar och ge underlag för riskbaserade rutiner och åtgärder.

Hur ofta ska kundriskbedömningen uppdateras?

Det finns inget generellt tidsintervall som passar alla kunder och verksamheter. Uppföljningen ska anpassas efter riskerna och tillämpliga regler. Förändringar i exempelvis verksamhet, ägarförhållanden eller geografiska kopplingar kan kräva en ny bedömning.

Kan ett AML-system ersätta företagets ansvar för riskbedömningen?

Nej. Digitala AML-system kan stödja informationsinsamling, screening och riskklassificering, och automatisering kan användas i arbetet. Företaget ansvarar fortfarande för att modellerna är ändamålsenliga och kvalitetssäkrade, att kompletterande bedömningar görs när det behövs och att riskbedömningar och beslut dokumenteras.

Vad är skillnaden mellan screening och kundkännedom?

Screening innebär att kunduppgifter kontrolleras mot utvalda informationskällor. Kundkännedom (KYC) är ett bredare arbete för att förstå kunden, affärsrelationen och tillhörande risker. Screening kan vara en del av kundkännedomsprocessen.

Vill du utveckla företagets arbete med kundkännedom och AML-kontroller?

Läs mer om hur Creditsafes lösningar för kundinformation och screening kan stödja ett strukturerat, riskbaserat AML-arbete.

Vilka företag omfattas av penningtvättslagen?

Penningtvättslagen omfattar verksamheter inom branscher där det finns särskilda risker för penningtvätt och finansiering av terrorism. Det gäller bland annat banker och andra finansiella verksamheter, fastighetsmäklare, revisorer, redovisningskonsulter samt vissa juridiska tjänster och spelverksamheter. Dessa verksamheter omfattas av särskilda krav på kundkännedom, vilket bland annat innebär att de behöver utreda om kunden har en verklig huvudman och vidta åtgärder för att kontrollera dennes identitet.

Om guiden: Artikeln bygger på ett webbinarium med Creditsafe och Hirsch Compliance samt introducerande myndighetsvägledning om penningtvättsregelverket. Texten är avsedd som övergripande vägledning och ersätter inte tillämpliga rättsregler eller en individuell bedömning av verksamhetens skyldigheter.

Riskbaserat AML-arbete – så hänger riskbedömning, KYC och screening ihop