Revisors internkontroll etter AMLR

Det er tre hovedgrunner til at revisor må beherske AMLR:

1. Revisor må dokumentere overfor tilsynet at kravene som følger av AMLR etterleves av revisorforetaket.
2. Revisor må kjenne til kravene til rammeverket etter AMLR for å vite hvilke krav revisor må stille til sine egne revisjonsklienter, dvs. de som er "forpliktede enheter" etter AMLR.
3. Som kunde av revisorforetaket forventes det at revisor kan gi råd og veiledning om utfordringer som klienter møter i kontakt med banker og andre finansinstitusjoner. Også når utfordringene har sammenheng med krav som følger av AMLR.

Kravene til internkontroll og revisors kunnskap - er grunnen til at vi utviklet "Compliance Dashbordet".

Dersom du leser hele innlegget vil du forstå hvorfor internkontroll blir sentralt etter 10. juli 2027. Men, krav til internkontroll er ikke er noe nytt. I veileder fra Finanstilsynet (rundskriv 4/2022) er dette beskrevet i kap 3.1. Der fremgår det blant annet at "alle rapporteringspliktige foretak plikter å gjennomføre internkontroll for å påse at lovens krav overholdes, jf. hvitvaskingsloven § 35 første ledd."

Erfaringer og funn etter tilsyn hos revisorforetak

Dette er noen av funnene du kan lese om i tilsynsrapporter fra Finanstilsynet om etterlevelsen av hvitvaskingsregelverket hos revisorforetak:

• Risikovurdering er for generell, utdatert eller mangelfull
• Mangelfull identifisering av reelle rettighetshavere og vurdering av eier- og kontrollstrukturer
• Mangelfulle eller ikke dokumenterte kundetiltak
• Manglende risikoklassifisering av klienter
• Rutiner som ikke er tilpasset foretakets virksomhet
• Svak dokumentasjon av at kontroller faktisk er gjennomført

Hva forventes det at revisor kan fremlegge?

Dette er noen av de dokumentene revisor bør kunne fremlegge ved et eventuelt tilsyn:

• Godkjent, risikovurdering etter AMLR art. 10.
• Skriftlige retningslinjer og rutiner, godkjent på riktig nivå.
• Utnevning av ansvarlig (compliance manager) i ledelsen og hvitvaskingsansvarlig (compliance officer) og beskrivelse av rollene og ressurser for å utføre de oppgavene de nevnte rollene skal oppfylle.
• Kontrollplan og dokumentasjon av gjennomførte kontroller. Dette inkluderer bl.a. stikkprøver av utførte kundetiltak.
• Dokumentasjon fra de kontroller og tester som er gjort av etterlevelsen, uavhengig av om de er gjort internt eller av uavhengige ekstern ekspert.
• Avvikslogg med tiltak, frister, ansvar og dokumentert lukking.
• Årlig rapport fra gjennomført internkontroll og oppfyllelse av krav, med dokumentasjon som viser at ledelsen har behandlet funn, avvik og tiltak.
• Opplæringsplan og oversikt over gjennomført opplæring som dokumenterer kompetansekrav og beståelseskrav.
• Logg over interne undersøkelser ved mistanke om hvitvasking og terrorfinansiering.

Revisors egen internkontroll

Det er krav om at revisor skal ha retningslinjer, rutiner og kontroller for å sikre etterlevelse av kravene (AMLR art 9).

Internkontrollen skal blant annet omfatte en form for testing av skriftlig tilgjengelig informasjon om:

Ajourføring av risikovurderingen

Rutiner og prosedyrer

Kundetiltak

MF-rapportering til FIU

Eventuell outsourcing av oppgaver

Behandling av personopplysninger etter art 76 og 77

Identifisering av eventuelle avvik og avhjelpende tiltak

Opplæring

Hvorfor er "Compliance Dashbordet" et egnet verktøy for revisors internkontroll?

Compliance Dashbordet gir revisorforetaket den løsningen som kreves for å sikre god internkontroll.

Dashbordet er tilgjengelig i nettleser og krever derfor ingen installering eller tilpasning til eksisterende eller fremtidig støttesystem.

• Du finner alle viktige oppgaver samlet på ett sted.

• Du får helt konkrete forslag til hvilke internkontrolltiltak du bør gjennomføre med oppdatert beskrivelse av de lovkrav som gjelder. Innholdet oppdateres i samsvar med de detaljerte kravene som forventes i forbindelse med innføring av AMLR.

• Du får oversikt over avvik og innsikt i graden av etterlevelse på alle sentrale områder.

• Du får en enkel oversikt over forbedringstiltak og status i arbeidet slik at du kan gi øverste ledelse umiddelbar rapport og oversikt i sanntid.

• Dashbordet sikrer dokumentasjon av gjennomført internkontroll, tiltak og lukking av avvik. Samtidig reduseres nøkkelpersonrisikoen fordi det er enkelt for andre brukere av Dashbordet å få oversikt over status og gjenværende oppgaver. En annen kollega kan dermed steppe inn for å overta oppgaver eller støtte nøkkelpersoner når det er behov for det.

Brukere av Compliance Dashbordet får tilgang til "Hvitvaskingsassistenten". Dette er en AI - agent utviklet for å hjelpe deg med å raske og korrekte svar på de fleste spørsmål du har om AMLR - regelverket og sanksjonsregelverket. Du får også tilgang til egne blogginnlegg i Compliance Dashbordet. Disse hjelper deg til å følge med på aktuelle endringer i regelverket. Du mottar også invitasjon til eget brukerforum der du blir informert om nyheter etter AMLR og sanksjonsregelverket.