Kapitalforvaltning | Finanstilsynet har utført tematilsyn om tiltak mot hvitvasking og terrorfinansiering hos AIF-forvaltere – viktige funn og bemerkninger

Innledning

Lov om tiltak mot hvitvasking og terrorfinansiering (hvitvaskingsloven) stiller krav til at bl.a. verdipapirforetak, forvaltningsselskap for UCITS og AIF-forvaltere utarbeider virksomhetsinnrettede risikovurderinger, har rutiner for håndtering av identifisert risiko og for øvrig oppfyller pliktene etter hvitvaskingsloven. Foretakene er også pålagt å gjennomføre løpende opplæring av ansatte og løpende oppfølgning av kunder og tredjeparter. Dette har vært et av fokusområdene for Finanstilsynet ved gjennomføring av tematilsynet.

I dette nyhetsbrevet ser vi på Finanstilsynets funn og knytter noen bemerkninger til de forhold som er særlig viktig for AIF-forvaltere å ha et bevisst forhold til i deres arbeid med tiltak mot hvitvasking og terrorfinansiering.

Finanstilsynets viktigste funn

Finanstilsynet har etter tilsynet trukket frem enkelte funn som det har knyttet særlig bemerkninger til:

• Foretakenes virksomhetsrettede risikovurderinger varierte betydelig i omfang og innhold. Finanstilsynet har påpekt at det er sentralt at foretakene både identifiserer og forstår risikoen foretaket er eksponert for, og holder den virksomhetsinnrettede risikovurderingen jevnlig oppdatert – minimum årlig.
• Det ble påvist store variasjoner i foretakenes rutiner for å sikre at identifisert risiko håndteres og for øvrig oppfyller pliktene etter hvitvaskingsloven. Rutinene fremlagt under tilsynet fremstod generelle og ikke tilpasset virksomheten. Særlig kritisk var det at det ikke syntes å være sammenheng mellom foretakenes risikovurdering og rutinene. Det var også mangler tilknyttet operasjonell veiledning til ansatte i rutinene.
• Mangler tilknyttet dokumentasjon av foretakenes kundetiltak og løpende oppfølgning av kundeforhold.
• Mangler tilknyttet opplæring, plan for opplæring og dokumentasjon på gjennomførte opplæringsaktiviteter.

Nærmere om virksomhetsrettede risikovurderinger for AIF-forvaltere

Som et av fire punkter fremhever Finanstilsynet viktigheten av at AIF-forvaltere har en virksomhetsinnrettet risikovurdering som identifiserer og viser at forvalteren forstår risikoen den er eksponert for. Formålet med risikovurderingen er å identifisere de områdene ved virksomheten der foretaket er eksponert for henholdsvis høy og lav risiko, for å sikre en fornuftig ressursallokering (i tråd med prinsippet om «risikobasert tilnærming»). Generelt har Finanstilsynet, Økokrim og politiets sikkerhetstjeneste ansett den iboende risikoen for AIF-forvaltere som «moderat» (se filvedleggene).

Den virksomhetsinnrettede risikovurderingen skal danne grunnlaget for forvalterens rutiner og den konkrete risikovurderingen som gjøres i forbindelse med etableringen av hvert enkelt kundeforhold, samt de etterfølgende kundetiltak for løpende oppfølgning av kundeforholdet. Den danner også grunnlaget for forvalterens arbeid med å identifisere egne sårbarheter, bl.a. eventuelle mangler ved forvalters etterlevelse av hvitvaskingsloven.

Finanstilsynet fremhever at risikovurderingen må ta hensyn til de faktorer som er relevant for den spesifikke forvalterens virksomhet og fremhever at denne særlig bør omfatte:

1. En konkret beskrivelse av den operative virksomheten og antall ansatte. Færre ansatte og lite operativ virksomhet kan innebære – og underbygge – at risikoen for hvitvasking reduseres, og at forvalteren har «kontroll».
2. En nærmere beskrivelse av de enkelte fondene under forvaltning, og hva slags investeringer disse skal gjennomføre. Investeringsbegrensninger og forvalterens mandat (f.eks. geografiske begrensninger) vil være forhold som kan ha innvirkning på risikoen.
3. Hva slags type investorer som kan være – og er – investert i fond under forvaltning. Risikoen tilknyttet hvitvasking vil typisk være større ved ikke-profesjonelle enn ved profesjonelle investorer.
4. Langvarige forhold og god kjennskap til investorene vil kunne være risikoreduserende.
5. Er omsetning av fondsandeler i annenhåndsmarkedet mulig, og kreves det i så fall samtykke fra forvalteren? Annenhåndsomsetning vil kunne øke risikoen tilknyttet hvitvasking, men krav om forvalterens samtykke reduserer igjen denne risikoen (siden forvalter vil gjennomføre kundetiltak overfor den som erverver fondsandelen).
6. Om kundetiltakene utføres av tredjeparter. Bruk av distributører og nettbaserte løsninger for kundeopprettelse og kundekontakt vil generelt øke risikoen for hvitvasking.
7. Om et fåtall store investorer har større påvirkningsmulighet på forvalteren.
8. Om det foreligger klare prinsipper for verdsettelse som minimerer risikoen for prismanipulering, noe som igjen er risikoreduserende.
9. Hvilken mulighet forvalter har til å kontrollere opprinnelsen til midlene. Særlig der tegning involverer konti eller tredjemenn i flere jurisdiksjoner.
10. Er fondet lukket med lang levetid vil dette kunne være med å redusere risikoen.

Opplistingen er ikke uttømmende, og risikobildet vil ofte være sammensatt og under stadig endring. Flere forhold ved den enkelte forvalter eller produktet/fondet vil kunne øke eller redusere risikoen. Hvor det inntreffer forhold som medfører endringer ved den tidligere gjennomførte risikovurderingen er forvalter pålagt å oppdatere denne. Typisk vil risikobildet kunne endre seg hvor fondet har avholdt sin siste closing eller gjennomført sin første investering. Med hensyn til aksept av nye investorer vil forvalter måtte hensynta bl.a. investorenes status som profesjonell/ikke-profesjonell og deres geografiske lokasjon. Sistnevnte vil også være et moment ved nye investeringer, samt hvilken type aktiva det er tale om.

Generelle bemerkninger til Finanstilsynets rapporter

AIF-forvalterne som ble valgt ut til å delta i tematilsynet ble bedt om å sende inn: (i) foretakets virksomhetsinnrettede risikovurdering, (ii) forvalters rutiner, (iii) oversikt over forvalters kunder, (iv) opplysninger om hvem som er utpekt som ansvarlig for tiltak mot hvitvasking, (v) redegjørelse om forvalters opplæring av ansatte, (vi) redegjørelse om oppfølgning av kunder, og (vii) redegjørelse om eventuell bruk av tredjeparter i forbindelse med tiltak mot hvitvasking og terrorfinansiering.

• Risikovurderingen må hensynta mer enn bare fond under forvaltning

Finanstilsynet påpekte overfor flere forvaltere at det var en mangel at risikovurderingen kun hadde blitt gjort for hvert enkelt fond, og ikke hensyntok risikobildet som forvalter selv er utsatt for i sin egen virksomhet. Risikovurderingen burde likevel inkludere en generell risikovurdering for forvalters virksomhet som sådan. Forvaltere vil ofte inngå avtaler med tredjeparter og være i kontakt med flere tilbydere av tjenester ved etablering av fond, og kan i den forbindelse bli utsatt for økt risiko for hvitvasking og terrorfinansiering.

• Forvalter må ha operasjonelle rutiner som står i sammenheng med risikovurderingen

Finanstilsynet har påpekt at rutinene til AIF-forvalterne ofte fremstod som overordnede og retningslinjepregede. Operasjonelle rutiner, typisk i tilknytning til hvordan anti-hvitvaskingstiltak skal gjennomføres og hvilke verktøy som skal benyttes var i liten grad beskrevet. I Finanstilsynets veileder til hvitvaskingsloven fremgår det at rutinene skal redegjøre for hvordan foretaket og dets ansatte skal gjennomføre nødvendige tiltak. Innholdet og kravene til operasjonalisering av rutinene vil imidlertid variere. For større foretak har Finanstilsynet uttalt at operasjonelle rutiner bør foreligge på forskjellige nivåer i virksomheten, mens det for mindre foretak ofte vil være tilstrekkelig med et dokument som beskriver de detaljerte handlingene som skal gjennomføres. Flere AIF-forvaltere fikk påpekt en mangel på sammenheng mellom rutinene og den virksomhetsinnrettede risikovurderingen.

Flere av rapportene påpeker mangler ved opplæring av ansatte tilknyttet forpliktelser etter hvitvaskingsloven. I en av tilsynsrapportene fremkom det at foretaket ikke hadde dokumentert tilstrekkelig opplæring av ansatte i arbeid med tiltak mot hvitvasking. Den aktuelle AIF-forvalteren hadde kun én ansatt, men må kunne dokumentere at opplæringstiltak er gjennomført.

BAHR mener

Generelt er det slik at risikoen for hvitvasking og terrorfinansiering anses å være «moderat» for AIF-forvaltere. Finanstilsynets tematilsyn viser at AIF-forvaltere generelt sett har mange punkter for forbedringer.

• Rutiner og instrukser må være konkrete og tilpassede – standardformater er kun et utgangspunkt

Det elementære for AIF-forvaltere og øvrige foretak underlagt hvitvaskingsregelverket er at det utarbeides rapporter, rutiner og risikovurderinger fra starten av som er grundige og som kan tilpasses og justeres årlig eller når nødvendig. Ved å gjøre et «skikkelig» arbeid fra start vil arbeidet senere kunne bli vesentlig mindre. Det er da sentralt at foretakets ansatte er kjent med rutinene og får den nødvendige opplæringen, slik at den enkelte ansatte forstår behovet for kundetiltak og hvordan slike gjennomføres, har et bevisst forhold til de risikoer som selskapet er utsatt for, mv. Det er derfor viktig at forvaltere ikke alene hviler seg på et «standardformat», men eventuelt tar slike aktivt i bruk og tilpasser dem til sin virksomhet.

Som nevnt fremhevet Finanstilsynet at foretakets risikovurdering ikke må «nøye seg» med å analysere risikoen i fond under forvaltning, og må inkludere risiko som foretaket som sådan kan være utsatt for. Etter vårt syn er det naturlig at en AIF-forvalter i all hovedsak vil være utsatt for risiko for hvitvasking og terrorfinansiering nettopp i tilknytning til investorer i fondene. Det er også tillatelsen som AIF-forvalter som begrunner at foretaket er gjort til rapporteringspliktig etter hvitvaskingsloven. At forvalter gjør en grundig innsats i å analysere risikoen forbundet med fondene er derfor å forvente. Det betyr likevel ikke at foretaket kan unnlate å gjennomføre en fullstendig analyse av de risikoer foretaket står overfor, også i egen virksomhet uavhengig av fondene.

• Alle forvaltere, store og små, må kunne dokumentere relevant opplæring og rutiner for dette

Som Finanstilsynets rapporter viser, stilles det strenge krav til selv AIF-forvaltere med én enkelt ansatt. For å overholde regelverket må den enkelte ansatte ha rutiner som sørger for at samtlige ansatte har den kompetanse som behøves. Dette kan eksempelvis innebære å gå på relevante kurs. At foretak med kun én ansatt må ha rutiner som sikrer tilstrekkelig opplæring kan kanskje virke formalistisk. Det er likevel et naturlig lovkrav, som følger av at forvalter utøver regulert virksomhet. Kravene til den hvitvaskingsansvarliges kompetanse kan naturligvis ikke være lempeligere alene fordi det kun er én ansatt i selskapet. Risikoen tilknyttet hvitvasking vil fortsatt være til stede.

• Økt fokus fra Finanstilsynet – hvitvasking er en reell risiko

Finanstilsynets tematilsyn bekrefter en tendens som vi ser internasjonalt, både fra tilsynsmyndigheter og investorer: AIF-forvaltere forventes ikke bare å ha «orden i papirene», altså å ha gode, tilpassede og oppdaterte rutiner mv. Kravene til forvalter om å «kjenne sin kunde» kommer mer og mer i fokus, og forvaltere må derfor sørge for å ha reelt, gjennomførbart innhold i sine rutiner og instrukser – og kunne dokumentere faktisk etterlevelse av disse.

I en kompleks og internasjonal bransje er det klart at «AML» ikke kan være en enkel avkrysningsøvelse som man må «komme seg gjennom». I tillegg til å være et lovkrav og en forventning fra investorer så vel som tilsynsmyndigheter, er grundige tiltak mot hvitvasking nødvendig for å bekjempe alvorlig økonomisk kriminalitet. Gjennom vår erfaring med fondsetableringer erfarer vi med jevne mellomrom at potensielle investorer må avvises grunnet en reell risiko for hvitvasking.

Vår formaning til forvaltere av alternative investeringsfond er å sørge for at kundetiltak og øvrige tiltak for etterlevelse av hvitvaskingsloven gjøres nøye og korrekt fra start. Tiden og ressursene som investeres i et solid grunnlag vil kaste av seg.