Vierasblogi, kirjoittaja: Jukka Kojola, Product Director, Netvisor KYC
Kirjoituksessa esitetyt asiat ja mielipiteet ovat kirjoittajan näkemyksiä, eivätkä edusta Suomen Tilintarkastajat ry:n kantaa.
Tilintarkastajat tekivät vuonna 2023 viranomaisille vain 14 ilmoitusta epäilyttävästä liiketoimesta. Kiristynyt rahanpesulainsäädäntö vaatii ilmoitusvelvollisia – kuten tilintarkastajia – tuntemaan riskit ja kertomaan epäilyksistään matalalla kynnyksellä.
Tässä blogissa käsitellään tilintarkastajien velvollisuuksia rahanpesulain suhteen ja annetaan vinkkejä niiden hoitamiseen mahdollisimman vaivattomasti.
Mitä velvollisuuksia tilintarkastajilla on?
- Asiakkaan tunteminen ja tuntemistietojen kerääminen
Asiakkaan tunteminen muodostuu kolmesta tekijästä, jotka ovat asiakkaan
a) todentaminen,
b) tunnistaminen ja
c) jatkuvaan seurantaan perustuva tunteminen.
Todentamisella tarkoitetaan edustajan henkilöllisyyden tarkistamista ja valtuutuksen varmistamista. Asiakkaan tunnistaminen sisältää laajemman tiedon keräämisen yrityksen omistajista ja taustoista.
- PEP- ja pakotelistatarkistukset
Tilintarkastajien tulee tarkistaa, toimiiko asiakasyrityksissä poliittisesti vaikutusvaltaisia henkilöitä eli PEP-henkilöitä. Tämä voi olla voi syy nostaa asiakasyrityksen riskiluokkaa.
PEP-henkilöitä ovat esimerkiksi henkilöt, jotka toimivat puoluerekisteriin merkityn poliittisen puolueen johdossa. Ihminen lasketaan PEP-henkilöksi myös, jos hän on toiminut poliittisesti merkittävässä tehtävässä viimeisen vuoden aikana.
Rahanpesulain mukaan tilintarkastajien tulee myös tarkistaa säännöllisesti, onko asiakkaan tai yrityksen nimi pakote- tai sanktiolistalla. Pakotelistat päivittyvät jatkuvasti, jopa kerran viikossa, ja siksi myös tilintarkastajilla tulee olla toimivat menetelmät tarkistaa pakotelistat säännöllisesti.
- Riskiarvion laatiminen
Tilintarkastajien tulee itse laatia riskiarviot sekä omasta toiminnastaan että asiakkaiden toiminnasta. Näissä arvioissa arvioidaan ja dokumentoidaan rahanpesuun ja terrorismin rahoittamiseen liittyviä riskejä sekä määritellään omat riskienhallinnan menetelmät.
Riskitasoa voivat nostaa esimerkiksi toiminta kohonneen rahanpesuriskin toimialalla, suuri käteisen rahan käyttö tai toiminta riskillisessä maassa.
Riskiarvio tulee päivittää yleensä 1–3 vuoden välein tai merkittävien muutosten yhteydessä. Tilintarkastaja ei voi jättää riskiarviota tekemättä siksi, että tuntee asiakkaan pitkältä ajalta ja tietää asiakkaan riskien olevan matalat. Matala riski voidaan perustella vain tekemällä riskiarvio.
- Jatkuva seuranta ja tuntemistietojen tietoturvallinen säilytys 5 vuotta
Ei riitä, että asiakkaan tiedot tarkistetaan kerran asiakkuuden alkaessa, vaan niitä tulee päivittää niin kauan kuin asiakkuus on olemassa. Asiakkaat onkin tunnistettava säännöllisesti rahanpesuriskiin vaikuttavien muutosten, kuten henkilötietojen, omistajuuden tai rahaliikenteen, varalta.
Tilintarkastaja määrittelee itse, millaisella frekvenssillä asiakastiedot päivitetään. Yleinen ohjenuora on, että vähäisen riskin asiakasta seurataan 2–3 vuoden välein. Tavanomaisen riskin asiakkaan seuranta on syytä tehdä 1–2 vuoden välein.
Tehostetun seurannan eli tavanomaista suuremman riskin asiakkuuksien tuntemistoimenpiteet tehdään tavallista useammin – tyypillisesti 4–12 kuukauden syklillä.
KYC-prosessi vie aikaa, elleivät menetelmät ole kunnossa
Asiakkaan tunteminen viittaa kaikkiin edellä lueteltuihin toimenpiteisiin. Toimenpiteiden sarjaa nimitetään myös Know your Customer- eli KYC-prosessiksi, tai tuttavallisemmin kycittämiseksi.
Jos prosessin aikana jokin asiakkaan toiminnassa herättää vähänkään epäilyksiä, tulee tilintarkastajan tehdä ilmoitus viranomaiselle.
Jokaisen asiakkaan KYC-prosessi tulee dokumentoida:
- Mitä on tehty?
- Milloin on tehty?
- Kenen toimesta edellä asiat on tehty?
Kukaan ei varmasti kiistä sitä, etteikö kycittäminen veisi pahimmillaan runsaasti aikaa ja aiheuttaisi harmaita hiuksia. Siksi asiakkaiden tunteminen ja seuranta kannattaa järjestää mahdollisimman sujuvasti.
KYC-ohjelmisto auttaa automatisoimaan rutiineja
Tilintarkastajan työhön liittyviä KYC-rutiineja voidaan automatisoida kolmella eri tavalla:
1. Anna ohjelmiston kerätä KYC-tiedot
KYC-prosessia varten suunniteltu palvelu huolehtii siitä, ettei mikään lain velvoitteiden täyttämisestä unohdu. KYC-ohjelmisto automatisoi tietojen haun ja päivittämisen ja näin vapauttaa aikaa harvinaisempien ja monimutkaisten tapausten selvittämiseen.
Työ nopeutuu, kun selvityspyynnöt voi lähettää kymmenille tai jopa sadoille asiakkaille yhtä aikaa.
2. Ohjelmisto tarjoaa kokonaiskuvan ja valmiit raporttipohjat
Pelkkä KYC-prosessin seuraaminen ei vielä riitä. Sinun tulee tarvittaessa pystyä osoittamaan viranomaiselle, millä menetelmillä KYC-velvoitteet hoidetaan.
Jos hoidat asiat manuaalisesti, on sinulla todennäköisesti kokoelma erilaisia dokumentteja, kuten tilintarkastusasiakirjoja ja niiden liitteitä sekä Excel-taulukoita – ja näiden lisäksi vielä iso kasa kalenterimuistutuksia ja erilaisia sähköisen tunnistautumisen ja allekirjoitusten palveluita. Riskiarviokin löytynee jostain kovalevyn uumenista.
Helpompaa on antaa valmiin ohjelmiston hoitaa tämä kaikki. Se kerää tiedot automaattisesti ja sisältää valmiit raporttipohjat. Tämän lisäksi järjestelmä hälyttää ja muistuttaa, jos asiakas ei anna vastauksia useiden kyselyiden jälkeenkään tai kun on aika päivittää asiakkaan KYC-tiedot.
3. Säilytä KYC-tiedot turvassa
Tilintarkastuslaki ohjaa, miten pitkään tilintarkastusasiakirjoja tulee säilyttää. Rahanpesulaki taas antaa omat raaminsa rahanpesulain nojalla kerättyjen tietojen säilyttämiseen.
Käytännössä tämä tarkoittaa, että tilintarkastajan on säilytettävä osaa tiedoista esimerkiksi kuuden vuoden ja toisia viiden vuoden ajan. Oman kierrepallonsa tietojen säilytykseen heittää GDPR-lainsäädäntö.
Koska säädöksiä on paljon, on asiakkaan tuntemiseen ja rahanpesulakiin liittyvät tiedot viisainta säilyttää erillään muista tilintarkastusaineistoista. Helpointa se on erillisen ohjelmiston avulla.
Huomioithan, että järjestelmäsi tietoturvakäytännöt ovat riittävän järeät. KYC-prosessissa kerätään arkaluontoista dataa, jotka tulee säilyttää turvallisessa paikassa.
Netvisor KYC on suunniteltu tekemään tämä kaikki. Sen tarkoitus on, että KYC-prosessin noudattaminen olisi mahdollisimman helppoa, johdonmukaista ja selkeää.
Jukka Kojola, Product Director, Netvisor KYC
Netvisor KYC tarjoaa jäsenetuna -20% uusille asiakkaille ensimmäisten 24 kuukauden ajan ja ilman avausmaksua. Lue lisää jäsenedusta täältä.
