Så sikrer du advokatkontoret mod sanktioner under det skærpede hvidvasktilsyn
Det skærpede tilsyn kalder på faste rutiner i advokatbranchen
Set fra et juridisk perspektiv er hvidvaskreglerne ikke længere et særskilt kontrolspor, der kan håndteres i en mappe hos den administrationsansvarlige. Advokatkontorer, der arbejder med selskabsstiftelser, ejendomshandler, klientmidler, formueforvaltning eller andre områder omfattet af hvidvaskloven, skal kunne vise, at risici bliver identificeret, vurderet og håndteret som en del af den almindelige sagsbehandling. Det intensiverede tilsyn fra Advokatsamfundet betyder i praksis, at mangelfulde procedurer, uklare ansvarsforhold og utilstrækkelig dokumentation kan føre til påtaler eller andre sanktioner.
Overgangen går derfor fra passiv overholdelse til aktiv risikostyring. Det handler ikke om at gøre enhver klientoprettelse tung og langsommelig, men om at indbygge de rigtige kontrolpunkter på de rigtige tidspunkter. Når KYC, kundekendskab og løbende opfølgning kobles direkte til sagens arbejdsgange, bliver compliance både mere effektiv og mere pålidelig. Samtidig styrkes kontorets faglige omdømme, fordi klienter, samarbejdspartnere og medarbejdere kan se, at retssikkerhed og ansvarlig rådgivning også omfatter beskyttelse mod økonomisk kriminalitet.
Forstå kravene i den gældende lovgivning
Hvidvaskloven pålægger advokater en række pligter, når de bistår med bestemte juridiske aktiviteter. Det gælder blandt andet rådgivning om finansielle transaktioner, køb og salg af fast ejendom eller virksomheder, oprettelse og drift af selskaber samt håndtering af klientmidler. Først og fremmest skal kontoret kende klienten, forstå formålet med forretningsforbindelsen og vurdere, om klientens aktiviteter og transaktioner stemmer med de oplysninger, der er indsamlet.
Reglerne er risikobaserede. Det betyder, at kontrolforanstaltningerne skal afspejle den konkrete risiko, men også at en lav vurderet risiko ikke fritager kontoret for at dokumentere grundlaget. Den gældende lovtekst bør derfor være et fast referencepunkt, og interne instrukser bør ajourføres, når lovgivning, bekendtgørelser eller myndighedspraksis ændrer sig. Den fulde ordlyd findes i den opdaterede hvidvasklov på Retsinformation.
- Fastlæg, hvilke af kontorets ydelser der er omfattet af hvidvasklovens anvendelsesområde.
- Dokumentér klientens identitet, eventuelle reelle ejere og formålet med sagen.
- Vurder risikoen både ved klientoprettelsen og løbende, når sagens forhold ændrer sig.
- Opbevar relevante oplysninger og noter, så kontoret kan forklare sine vurderinger ved et tilsyn.
- Beskriv, hvem der træffer beslutninger ved forhøjet risiko, og hvem der følger op.
Dokumentationskravet bliver særligt vigtigt ved transaktioner, selskabsstiftelser og formueadministration. En kopi af legitimation er sjældent tilstrækkelig i sig selv, hvis sagen indebærer komplekse ejerstrukturer, udenlandske forbindelser eller usædvanlige betalingsstrømme. Kontoret skal kunne forklare, hvorfor oplysningerne blev indhentet, hvordan de blev kontrolleret, og hvorfor den valgte risikoklassifikation var forsvarlig.
Typiske faldgruber ved tilsynet og hvordan de undgås
En tilbagevendende fejl er, at kontorets generelle risikovurdering bliver stående som den eneste vurdering. En overordnet politik kan beskrive brancher, geografier og klienttyper med forhøjet risiko, men den kan ikke erstatte en konkret vurdering af den enkelte klient og sag. Tilsynet vil typisk se efter sammenhængen mellem kontorets skriftlige politikker og de faktiske sagsmapper. Hvis risikovurderingen ikke kan genfindes i sagen, er det vanskeligt at dokumentere, at reglerne er anvendt i praksis.
En anden faldgrube er mangelfuld opfølgning på reelle ejere. Det er ikke nok at registrere navnet på den person, der formelt ejer et selskab. Kontoret skal forstå ejer- og kontrolstrukturen og reagere, hvis oplysningerne er uklare, modstridende eller ændrer sig under sagen. Det samme gælder PEP-status, sanktionsforhold og oplysninger om klientens formål med transaktionen. Mundtlige afklaringer bør omsættes til korte, præcise noter, som en anden medarbejder kan forstå.
Erfaringer fra internationalt tilsyn viser, at myndigheder i stigende grad vurderer effektivitet og ikke kun eksistensen af en manual. En rapport fra FCA om OPBAS” tilsyn peger blandt andet på betydningen af ensartet håndhævelse, tilstrækkelig faglighed og tydelig opfølgning. For et dansk advokatkontor betyder det, at ledelsen bør kontrollere, om procedurerne faktisk anvendes, om medarbejderne forstår dem, og om fejl bliver rettet systematisk.
| Utilstrækkelig praksis | Tilsynssikker model |
|---|---|
| En generel risikovurdering uden sagsnotat | En konkret og begrundet risikovurdering ved klientoprettelsen |
| Formel registrering af ejer uden kontrol af ejerstrukturen | Dokumenteret identifikation og forståelse af reelle ejere |
| Manuel kontrol uden dato eller ansvarlig medarbejder | Registreret kontrol med dato, resultat og ansvar |
| Opdatering kun ved årligt eftersyn | Risikobaseret opfølgning ved ændringer i sagen eller klientens forhold |
| Uklare regler for eskalering | Fast beslutningsvej ved forhøjet risiko eller mistanke |
En praktisk løsning er at indføre stikprøvekontrol af afsluttede klientoprettelser og aktive sager. Kontrollen bør ikke alene undersøge, om der findes et ID-dokument, men også om sagens formål, ejerstruktur, risikoklasse og eventuelle opfølgende handlinger er beskrevet. Resultaterne bør rapporteres til ledelsen, og gentagne fejl bør føre til ændringer i systemer, skabeloner eller undervisning.
Effektiv integration af KYC i den daglige klientoprettelse
KYC betyder i denne sammenhæng kundekendskab. Målet er ikke at indsamle flest mulige oplysninger, men at indsamle de oplysninger, der er nødvendige for at forstå klienten og sagens risiko. Processen bør begynde, før arbejdet udføres, og den bør være indbygget i klientoprettelsen, så medarbejderen ikke selv skal huske alle kontrolpunkter fra gang til gang.
En ensartet digital arbejdsgang kan eksempelvis blokere for oprettelse af en sag, indtil identitet, reelle ejere og formål er registreret. Det giver både dokumentation og en klar intern arbejdsdeling. Automatisering kan være nyttig, men den kan ikke erstatte juridisk vurdering. Et system kan markere et muligt sanktions- eller PEP-match, mens den ansvarlige advokat skal vurdere, om der faktisk er tale om samme person, og hvilke yderligere skridt der er nødvendige.
- Afklar ydelsen og klientrelationen. Beskriv, hvilken juridisk bistand der skal leveres, og om aktiviteten er omfattet af hvidvaskreglerne.
- Indsaml og verificér identitet. Indhent gyldig legitimation for fysiske personer og relevante virksomhedsoplysninger for juridiske personer.
- Fastlæg de reelle ejere. Kortlæg ejer- og kontrolstrukturen, også når den går gennem flere selskaber eller jurisdiktioner.
- Kontrollér PEP- og sanktionsforhold. Dokumentér søgningen, datoen og resultatet, og vurder eventuelle falske eller uklare matches.
- Forstå formålet og pengestrømmen. Spørg, hvor midlerne kommer fra, hvor de skal hen, og hvorfor transaktionen gennemføres, når risikoen tilsiger det.
- Klassificér risikoen og fastlæg opfølgning. Angiv, hvilke kontroller der gælder fremover, og hvem der har ansvaret for at udføre dem.
- Stop og eskalér ved tvivl. Sagen bør ikke fortsætte ukritisk, hvis oplysninger mangler, ikke kan verificeres eller ikke hænger sammen.
Kontorer med flere afdelinger bør bruge fælles definitioner, skabeloner og beslutningsniveauer. En erhvervsafdeling må ikke have en helt anden standard end en afdeling for ejendom eller privatret, hvis de samme hvidvaskrisici opstår. Samtidig skal proceduren kunne tilpasses sagens karakter. En ukompliceret dansk klient med en gennemsigtig sag kræver ikke samme intensitet som en kompleks grænseoverskridende struktur, men begge skal være dokumenteret.
Etablering af uafhængig whistleblowerordning og intern kontrol
Advokatkontorer, der er omfattet af hvidvaskloven, skal som udgangspunkt have en særlig, uafhængig og selvstændig kanal, hvor medarbejdere anonymt kan indberette faktiske eller potentielle overtrædelser af hvidvaskreglerne. Kravet omfatter ikke kun bevidste handlinger. Også undladelser, systemfejl og gentagne mangler i arbejdsgangene bør kunne indberettes. En elektronisk løsning er ikke obligatorisk, hvis eksempelvis en fysisk postkasse reelt sikrer anonymitet og fortrolig behandling.
Kontorer med højst fem ansatte er undtaget, men pligten indtræder, når den sjette medarbejder ansættes. Medarbejdere tælles individuelt, uanset beskæftigelsesgrad og ansættelseskategori, mens ejere og personale fra eksterne virksomheder ikke medregnes på samme måde. Ordningen skal etableres senest tre måneder efter ansættelsen af den sjette medarbejder. En eksisterende ordning efter whistleblowerloven kan anvendes, hvis den også opfylder hvidvaskreglernes særlige krav. Opgaven kan outsources, men ansvaret bliver hos advokatkontoret.
- Kan medarbejderen indberette uden at gå gennem den daglige ledelse?
- Er adgangen begrænset til udpegede og kompetente sagsbehandlere?
- Er fortrolighed og beskyttelse mod negative konsekvenser beskrevet tydeligt?
- Bliver indberetninger undersøgt, fulgt op og dokumenteret?
- Er medarbejderne informeret om, at tavshedsklausuler ikke må forhindre lovlig indberetning?
Whistleblowerordningen bør ses som en del af den interne kontrol, ikke som en nødløsning, der først aktiveres efter en alvorlig hændelse. Ledelsen bør supplere ordningen med regelmæssig undervisning, opdaterede eksempler på risikofaktorer og dokumenteret tilsyn. Medarbejderne skal vide, hvem der træffer beslutninger ved tvivl, hvordan en mistanke håndteres, og hvornår sagen skal løftes til en partner eller complianceansvarlig.
Advokatfirmaer i Danmarks største finansielle knudepunkt omkring København møder ofte internationale klienter, komplekse selskabsstrukturer og transaktioner på tværs af grænser. Det ændrer ikke lovens grundprincipper, men det kan øge behovet for robuste procedurer, sprogligt klare instrukser og kompetencer i internationale ejer- og betalingsforhold. Københavns rolle som finansielt centrum gør det særlig vigtigt at kunne håndtere højere kompleksitet uden at sænke dokumentationsstandarden.
Gør compliance til en styrke for advokatforretningen
Et solidt tilsynsværn bygger på sammenhæng. Lovgivningen skal være omsat til en risikobaseret politik, politikken skal være indbygget i klientoprettelsen, og kontrollerne skal kunne dokumenteres i den enkelte sag. Samtidig skal ledelsen følge op på, om procedurerne virker i praksis. Med lov skal land bygges, og i denne sammenhæng betyder det, at klare rammer beskytter både retssamfundet, klienterne og advokatkontoret.
- Opdater kontorets risikovurdering og interne instrukser.
- Gennemgå et udvalg af sager for mangler i KYC og dokumentation.
- Kontrollér ejerforhold, PEP-screening og sanktionskontroller på ny.
- Afklar ansvar, eskalationsveje og ledelsens kontrolfrekvens.
- Test whistleblowerordningen og undervis medarbejderne i dens anvendelse.
Proaktiv risikostyring kan dermed blive et kvalitetsstempel frem for en administrativ byrde. Klienter søger advokater, der kan håndtere komplekse forhold sikkert, og medarbejdere har brug for et trygt miljø med tydelige beslutningsrammer. En gennemarbejdet complianceproces reducerer risikoen for sanktioner, men den kan også forbedre sagsstyring, intern kommunikation og kvaliteten af den juridiske rådgivning. Den mest værdifulde handling er derfor konkret: Gennemgå kontorets instrukser, systemer og stikprøvekontroller allerede i dag, og ret de svageste led, før tilsynet gør det.
