Din Guide til en AML Risikovurdering

Hvidvaskning af penge, også kendt som 'money laundering', er en proces, hvor kriminelle forsøger at få ulovlige midler til at fremstå, som om de stammer fra en legitim kilde. Med teknologiens fremmarch er det blevet lettere for gerningsmænd at engagere sig i hvidvask, hvilket gør det vigtigere end nogensinde, at virksomheder implementerer systemer til at opdage og forhindre det.

Det er her, anti-money laundering (AML) risikovurderingen kommer ind i billedet. Denne analytiske proces gør det muligt for organisationer at bestemme sandsynligheden for, at en kunde er involveret i hvidvask eller terrorfinansiering. Ved at vurdere risikoniveauet for hver klient kan de udføre passende due diligence og minimere involvering i hvidvaskordninger.

Når du har gennemført AML risikovurderingen, kan du klassificere dine klienter som værende lav, middel eller høj risiko. Denne information vil bestemme den bedste måde at overvåge transaktioner på, validere identiteter og indgive rapporter om mistænkelig aktivitet.

Hvad er en AML Risikovurdering?

En AML risikovurdering er en systematisk proces designet til at identificere, vurdere og forstå de risici for hvidvask og terrorfinansiering (ML/TF), som en virksomhed står over for. Formålet er at sætte virksomheden i stand til at implementere risikobaserede kontroller og foranstaltninger, der er proportionelle med de identificerede risici. Det handler om at forstå, hvor sårbar din virksomhed er over for at blive misbrugt af kriminelle til hvidvaskformål.

Processen indebærer en dybdegående analyse af forskellige faktorer, der kan påvirke risikoen, herunder kundetyper, de produkter og tjenester, der tilbydes, de geografiske områder, hvor virksomheden opererer, og de transaktionstyper, der håndteres. Resultatet af vurderingen er en risikoprofil for virksomheden som helhed og ofte også for specifikke kunder eller transaktionstyper.

Hvorfor er en AML Risikovurdering Nødvendig?

Selvom der måske ikke findes en enkelt lov, der specifikt dikterer, at du *skal* udføre en AML risikovurdering, gør andre gældende regler og bestemmelser det i praksis til den eneste måde at overholde kravene på. Mange jurisdiktioner kræver, at virksomheder implementerer et risikostyringsprogram og tager skridt til at mindske risikoen for hvidvask på individuelt niveau.

Regulatoriske myndigheder ønsker at gennemgå din risikovurderingsproces for at afgøre, om din organisation gør en passende indsats for at opdage og forhindre hvidvask. En grundig vurdering er det første skridt mod at følge lovmæssige krav og forhindre finansiel kriminalitet, hvilket kan hjælpe dig med at undgå store bøder, sanktioner og skader på dit omdømme, der er forbundet med manglende overholdelse.

Udover compliance er der andre gode grunde til at udføre AML risikovurderinger. At forstå risikoniveauet forbundet med hver klient og transaktion giver dig mulighed for at opbygge passende processer og procedurer for at beskytte din virksomhed og dens omdømme. Det styrker også dit personale til at handle, når de ser noget mistænkeligt, og giver dem en køreplan for, hvilke skridt de skal tage for at håndtere det. Kort sagt er en AML risikovurdering afgørende for at overholde reglerne og for at beskytte din organisation og dit personale mod truslen om hvidvask og anden finansiel kriminalitet.

Nøglerisikoindikatorer (KRI'er)

For at bestemme, hvilke klienter der med størst sandsynlighed er involveret i hvidvask eller andre ulovlige aktiviteter, ser vurderingsmodellen på nøglerisikoindikatorer (KRI'er). KRI'er refererer til kendte sårbarheder eller aspekter af en virksomhed, der kan tiltrække kriminelle og hvidvaskere. Der er primære KRI'er, som alle virksomheder bør overveje som en del af deres AML-proces:

• Kundetyper
• Virksomhedens natur, kompleksitet og størrelse
• Produkter og tjenester, der tilbydes
• Geografiske risici
• Proces for onboarding af klienter og engagement med eksisterende kunder

Hver af disse KRI'er inkluderer flere risikofaktorer, der påvirker, hvor relevante de er for din organisation. Hvis faktorerne øger risikoen, vil vurderingen være højere – og omvendt. AML-vurderingen skal derfor inkludere et risikoområde, så du kan træffe passende foranstaltninger.

Inherent Risiko vs. Residual Risiko

Når du identificerer risici, er det vigtigt at skelne mellem to hovedtyper: inherent risiko og residual risiko.

Inherent risiko refererer til de faktorer, der påvirker din organisation, når du ikke har taget nogen skridt til at afbøde dem. Tænk på det på denne måde – de inherente risici er til stede, simpelthen fordi din organisation eksisterer og driver en bestemt type forretning. Disse faktorer bør evalueres, før du implementerer interne kontroller eller afbødning, så du senere kan vurdere effektiviteten af dine bestræbelser.

Residual risiko er derimod det, der er tilbage, efter at du har taget skridt til at afbøde de inherente risici. En anden måde at se på residuale risici er som hullerne i dine kontroller, hvor der stadig er en chance for, at hvidvask eller andre finansielle forbrydelser kan forekomme.

En bank har for eksempel inherente risici forbundet med internationale transaktioner. De kan dog bruge automatiseret software til at analysere disse aktiviteter, kontrollere for sanktionsovertrædelser og validere transaktionens legitimitet. Selvom den inherente risiko ikke elimineres, reducerer disse bestræbelser den betydeligt – og det, der er tilbage, er den residuale risiko.

Når du gennemgår residuale risici, skal du beslutte, om det resterende trusselsniveau er acceptabelt, eller om du skal implementere yderligere kontroller for at reducere dem yderligere. Denne analyse kan opdeles i tre kategorier af afbødende kontroller:

• Svage Afbødende Kontroller: Svage kontroller er ikke særlig effektive eller reducerer kun risikoen minimalt. Det er sandsynligt, at kontrollen involverer en manuel proces og ikke er tilstrækkelig til at håndtere bekymringen.
• Tilstrækkelige Afbødende Kontroller: Tilstrækkelige afbødende kontroller gør lige nok til at håndtere risikoen. De mangler måske nogle komponenter og tillader stadig visse huller, men de kan være tilstrækkelige for visse KRI'er.
• Stærke Afbødende Kontroller: En stærk kontrol dækker hele risikoen forbundet med en transaktion eller aktivitet. Der er ingen huller eller yderligere foranstaltninger nødvendige for at eliminere truslen.

Her er en simpel sammenligning:

bedy>

Klassificering af Risici

Det næste skridt er at klassificere risikoniveauet for hver af de KRI'er, du har identificeret. De fleste organisationer vil bruge en glidende skala, f.eks. fra 1 til 3, hvor 1 repræsenterer en lav inherent risiko, og 3 angiver en høj inherent risiko. Målet er at implementere kontroller, der kan sænke risikovurderingerne fra 3 til 1.

Ved brug af eksemplet fra oven ville internationale bankoverførsler blive betragtet som høj inherent risiko, eller en 3. Dog er det automatiserede system, der bruges til at overvåge og validere disse transaktioner, klassificeret som en stærk afbødende kontrol, hvilket ville sænke den til en 1.

Hvis kontrollen var svag, ville den ikke justere risikoscoren. Når der er en tilstrækkelig kontrol på plads, kan den reducere den fra en 3 til en 2. Din AML-proces bør evaluere disse faktorer over tid for at se, om risiciene stiger, falder eller er stabile.

De 6 Trin i en AML Risikovurdering

At udføre en AML risikovurdering er en struktureret proces, der typisk følger disse trin:

1. Dokumenter Risikovurderingsprocessen

Det første skridt er at oprette dokumentation om de nøglerisikoindikatorer, og hvordan de relaterer sig til din virksomhed. Denne dokumentation er grundlaget for den risikobaserede tilgang, da den skitserer støtten til den analyse af risici, du skal udføre. Som minimum bør din dokumentation dække følgende KRI'er:

• Geografi
• Kundetyper (Customer Due Diligence)
• Transaktioner
• Produkter og Tjenester

Mens du analyserer hver af disse nøglerisikoindikatorer, skal du bemærke områder, der kan være ekstra modtagelige for hvidvask. Identificering af disse højrisikoområder – og dokumentation af dem – er det første skridt til at udføre en succesfuld AML risikovurdering.

2. Sørg for Tilstrækkeligt Personale til AML

Efter at du har dokumenteret nøglerisikoindikatorerne og opnået en forståelse af de områder, du skal fokusere på, skal du adressere spørgsmålet om bemanding. At have tilstrækkeligt compliance-personale er essentielt for succesen af ethvert AML-program. Sørg for, at du har det passende antal medarbejdere til rådighed, og at de har tilstrækkelig træning. Compliance-chefen vil styre træningsprogrammet og bestemme de kvalifikationer, personalet skal have.

3. Identificer Risici

Trin tre bygger på den indledende dokumentation, du har udarbejdet, da det involverer identificering af de inherente og residuale AML- og CFT-risici (bekæmpelse af terrorfinansiering), din organisation er udsat for. Evaluer inherente risici, før du implementerer kontroller, og vurdér derefter de residuale risici efter at have taget afbødende skridt. Afgør, om de residuale risici er acceptable baseret på effektiviteten af dine kontroller (svage, tilstrækkelige, stærke).

4. Klassificer de Identificerede Risici

Det næste skridt er at klassificere risikoniveauet for hver KRI. Tildel et risikoniveau (f.eks. lav, middel, høj eller en numerisk skala) til hver identificeret risiko. Dette hjælper med at prioritere indsatsen og bestemme, hvilke risici der kræver øjeblikkelig og betydelig opmærksomhed.

5. Gennemgå Hver Risikofaktor

Nu hvor du har identificeret KRI'erne og klassificeret dem som lav, middel eller høj, skal du gennemgå hver af dem mere detaljeret. Overvej følgende spørgsmål, mens du udfører din analyse af risikofaktorerne:

Geografi

Analyse af din geografiske risiko indebærer at se på din organisations fodaftryk. Overvej de områder, hvor du driver forretning, størrelsen af disse befolkninger og de mennesker, der bor der. Opererer du i områder med høje rater af finansiel kriminalitet eller narkotikahandel? Indgiver du konstant rapporter om mistænkelig aktivitet i én region? Har du tilstedeværelse ved en grænse, der udgør en højere risiko end andre? Besvarelse af disse spørgsmål kan hjælpe dig med at fokusere på områder, der kræver mere opmærksomhed. Aktiviteter i højrisikoområder vil kræve, at du øger dine kontroller og due diligence-foranstaltninger.

Kundebase

Der er mange faktorer at overveje vedrørende din kundebase og de typer af enkeltpersoner og enheder, du interagerer med. Nogle enkeltpersoner og enheder vil have en højere inherent risiko, såsom:

• Politisk Eksponerede Personer (PEP'er)
• Udlændinge uden fast bopæl
• Udbydere af Professionelle Tjenester (f.eks. advokater, revisorer)
• Kontantintensive Virksomheder
• Virksomheder involveret i Virtuelle Valutaer

Vurdering af risikoniveauet for hver klient er en essentiel del af onboarding- og 'kend din kunde'-processen. På dette stadie bør du gennemføre en sanktionsscreening for at bekræfte, at personen ikke er på sanktionslister. Ligeledes skal du udføre en PEP-screening for at afgøre, om klienten er en embedsmand eller en lignende person, der har en højere risiko for korruption og ulovlige aktiviteter. Hvis du identificerer klienter, der falder ind under denne kategori, skal du anvende skærpede due diligence-foranstaltninger.

Produkter og Tjenester

De produkter og tjenester, du tilbyder, vil også indeholde inherente og residuale risici. Jo bedre du forstår og analyserer disse risici, jo mere succesfuld vil din AML-vurdering være. Her er nogle eksempler på højrisikotilbud:

• Hæveautomater og Kontantservices
• Låneporteføljer
• Online Kontoåbning og Adgang
• Fjernindskud
• Udenlandske Korrespondentkonti

Ikke alene bør du gennemgå risikoen forbundet med disse typer af produkter og tjenester, men du bør også gennemgå, hvor mange klienter der bruger dem. At bestemme, om volumen stiger eller falder, kan hjælpe dig med at implementere passende kontroller.

Transaktionsgennemgang

En AML risikovurdering indebærer også en gennemgang af volumen, frekvens og typer af transaktioner, din virksomhed engagerer sig i. Overvej nogle af følgende:

• Hvor mange valutatransaktionsrapporter (CTR'er) og SAR'er indgives hvert år?
• Hvad er volumen af lånetransaktioner og private hæveautomatkunder?
• Hvordan sammenlignes antallet af internationale overførsler med nationale?

Visse transaktioner skal verificeres for overholdelse af sanktioner, som f.eks. ACH- og bankoverførsler. Sørg for, at du har klare politikker og procedurer for at håndtere dem.

6. Gennemfør Regelmæssige Revisioner

AML risikovurderingsprocessen stopper ikke efter de trin, vi lige har beskrevet – det er en kontinuerlig proces. Som sådan er det sidste skridt at gennemføre regelmæssige revisioner og gennemgange for at sikre, at programmet forbliver sundt og effektivt. Opdater dine politikker og procedurer efter behov, og sørg for, at den udpegede compliance-chef gennemgår dem for at holde dem i overensstemmelse med lovmæssige ændringer. Dette, sammen med en stærk compliance-kultur, kan minimere risikoen for, at din organisation bliver involveret i hvidvask.

Ofte Stillede Spørgsmål om AML Risikovurderinger

Hvad er en AML Risikovurdering?

En AML Risikovurdering er en proces, hvor en organisation systematisk identificerer, vurderer og forstår sine risici for at blive misbrugt til hvidvaskning af penge eller terrorfinansiering. Formålet er at etablere passende kontroller og procedurer baseret på det identificerede risikoniveau.

Hvad er en KRI i AML?

En KRI (Key Risk Indicator) i AML refererer til en måling eller et datapunkt, der bruges til at kvantificere og overvåge potentielle risikoområder i en virksomheds drift. KRI'er hjælper med at identificere, hvor og hvordan en virksomhed er mest sårbar over for hvidvask og terrorfinansiering.

Hvad er den nationale risikovurdering for hvidvask?

En national risikovurdering (NRA) er en proces, der gør det muligt for et land systematisk at evaluere og adressere potentielle trusler og sårbarheder for hvidvask, der påvirker landet som helhed. Denne evidensbaserede tilgang guider lovgivere i at skræddersy nationale AML-strategier til passende at afbøde ML-risiko.

Hvad er de 5 grundlæggende risikofaktorkategorier i AML?

Mens forskellige rammer kan have lidt forskellige kategorier, fremhæver mange regulatoriske vejledninger og praksisser visse nøgleområder. De primære risikofaktorer, der ofte overvejes i AML risikovurderinger, inkluderer Kundetyper, Produkterne og Tjenesterne der tilbydes, Geografiske risici, Virksomhedens natur/størrelse/kompleksitet samt processerne for kundehåndtering. Nogle rammer, som f.eks. FFIEC i USA, nævner specifikt Produkt, Service, Kunde og Geografisk risiko.

At gennemføre en AML risikovurdering er en kompleks, men afgørende opgave for enhver virksomhed, der ønsker at beskytte sig mod finansiel kriminalitet og overholde lovkrav. Ved at følge de beskrevne trin, forstå nøglerisikoindikatorerne og løbende revidere processen, kan organisationer opbygge et robust forsvar mod truslen om hvidvask og terrorfinansiering.

Kunne du lide 'Din Guide til en AML Risikovurdering'? Så tag et kig på flere artikler i kategorien Læsning.