Redegørelse om inspektion i Jyske Finans A/S (hvidvaskområdet)

Risikovurdering og sammenfatning

Virksomheden tilbyder finansiel og operationel leasing af en række aktivtyper, såsom person-, last- og varevogne, industrimaskiner og landbrugsudstyr. Virksomheden yder finansiering til såvel forbrugere som erhvervsvirksomheder. Virksomheden yder finansiering direkte til kunder og via forhandlersamarbejder.

Finanstilsynet vurderer, at virksomhedens iboende risiko for at blive brugt til hvidvask eller finansiering af terrorisme er mellem-lav under hensyntagen til, at virksomhedens forretningsområde er finansiel leasing. Forbrugslånsvirksomhed er nævnt i Den Nationale Risikovurdering af Terrorfinansiering, men alene med henblik på at få likvide midler, hvilket ikke er tilfældet hos virksomheden.

På baggrund af inspektionen har et antal områder givet anledning til tilsynsmæssige reaktioner.

Virksomheden havde i sin risikovurdering ikke inddraget alle relevante risici, herunder risici oplistet i Den Nationale Risikovurdering af Hvidvask. Der er herved en risiko for, at virksomheden ikke i tilstrækkeligt omfang identificerer, vurderer og forstår den iboende risiko for, at virksomheden kan blive brugt til hvidvask eller finansiering af terrorisme. Dette er væsentligt, da risikovurderingen danner grundlag for, at virksomheden kan vurdere, hvilke forretningsområder der skal prioriteres for at undgå, at virksomheden kan bruges til hvidvask og finansiering af terrorisme, samt hvilke operationelle forretningsgange virksomheden skal iværksætte på de enkelte forretningsområder.

Derfor har virksomheden fået påbud om at revidere sin risikovurdering.[i]

Virksomhedens hvidvaskpolitik fastsatte ikke i tilstrækkelig grad rammerne for, at virksomheden kan imødegå de risici, som den er udsat for. Blandt andet inddrog den ikke alle relevante risici såsom risici fra Den Nationale Risikovurdering af Hvidvask, outsourcede områder og risici ved tredjepartsbetalinger eller udenlandske bankoverførsler. Dette indebærer en risiko for, at virksomhedens strategiske risikostyring af risikoen for at blive brugt til hvidvask- og terrorfinansiering ikke er tilstrækkelig målrettet. Dette er væsentligt, da en politik for risikostyring udgør det overordnede grundlag for strategisk og operationel risikostyring. En risikostyringspolitik fastsætter blandt andet formål, risikoområder, ansvarsfordeling, risikovillighed samt den organisatoriske forankring af risikoledelse og -styring.

Virksomheden har som følge deraf fået påbud om at revidere sin hvidvaskpolitik, så den tager udgangspunkt i virksomhedens risikovurdering og konkret tager stilling til håndtering af PEP-screening og af tredjemandsbetalinger.[ii]

Virksomheden havde i et betydeligt antal erhvervskundesager ikke oplysninger om forretningsforbindelsernes formål og tilsigtede beskaffenhed. Beskrivelsen af formål og tilsigtet beskaffenhed skal sætte virksomheden i stand til at foretage en tilstrækkelig overvågning af transaktionerne. Det er væsentligt, at virksomheden kan vurdere, om der er forhold, som fremstår mistænkelige i forhold til det oplyste.

Virksomhedens løbende ajourføring af kundeforholdene var mangelfuld, idet virksomheden ikke i tilstrækkeligt omfang havde udført tidsbestemt kundekendskabsprocedure eller udført kundekendskabsprocedure, hvis en kundes relevante omstændigheder ændrede sig. Uden ajourføring er der en risiko for, at virksomheden ikke har et tilstrækkeligt kendskab til sine kunder. Dette er væsentligt, da der er en risiko for, at virksomheden uden ajourførte kundeoplysninger ikke kan foretage tilstrækkelig løbende overvågning.

Virksomheden har derfor fået påbud om at indhente tilstrækkelige kundekendskabsoplysninger for sine erhvervskunder og sikre, at dette kan dokumenteres overfor Finanstilsynet, samt at gennemføre den fornødne løbende ajourføring af oplysninger om både privat- og erhvervskunder.[iii]

Virksomheden havde i betydeligt omfang ikke gennemført skærpede kundekendskabsprocedurer for sine højrisikokunder. Der er herved en risiko for, at virksomheden ikke har tilstrækkeligt kendskab til sine højrisikokunder. Dette er væsentligt, da højrisikokunder netop er forbundet med øget risiko for hvidvask eller terrorfinansiering.

Virksomheden har derfor fået påbud om at gennemføre skærpede kundekendskabsprocedurer i de kundeforhold, hvor virksomheden har vurderet, at der er øget risiko for hvidvask eller terrorfinansiering.[iv]

Virksomhedens risikoscoring af kunder var i flere henseender utilstrækkelig, herunder i relation til brancher og kundens bopæl, hvilket medførte, at virksomhedens kundeforhold ikke blev risikoklassificeret i overensstemmelse med den faktiske risiko for hvidvask og terrorfinansiering. Der er herved en risiko for, at virksomheden ikke foretager tilstrækkelig risikoklassifikation af sine kunder. Dette er væsentligt, da risikoklassifikationen har afgørende betydning for omfanget og frekvensen af de kundekendskabsprocedurer, som virksomheden gennemfører.

Som følge heraf har virksomheden fået påbud om at tilpasse sin risikovurdering af kunderne, så alle relevante risikofaktorer inddrages ved risikoklassificeringen på en måde, der afspejler risicienes betydning.[v]

Virksomhedens setup for undersøgelser og konklusioner var i en række tilfælde ikke tilstrækkeligt detaljerede og dybdegående og ikke undergivet kontrol. Virksomheden indsamlede i nogle tilfælde ikke dokumentation. I andre tilfælde indsamlede virksomheden dokumentation, men den indsamlede dokumentation var ikke tilstrækkelig til at reducere mistanken. Ved utilstrækkelig undersøgelse af usædvanlige transaktioner er der en risiko for, at virksomheden ikke får kendskab til transaktioner, der har tilknytning til hvidvask eller finansiering af terrorisme. Risikoen ved mangelfulde kontroller er, at der kan opstå fejl, og en medarbejder kan misbruge sin stilling. Dette er væsentligt, da en fyldestgørende undersøgelse af usædvanlige transaktioner og aktiviteter er en forudsætning for at virksomheden kan foretage tilstrækkelig underretning til Hvidvasksekretariatet, hvilket har stor betydning for, at politiet eller andre myndigheder kan gribe ind overfor kriminalitet.

Virksomheden har derfor fået påbud om i tilstrækkeligt omfang at undersøge mistænkelige transaktioner og aktiviteter, herunder at sikre, at resultaterne af disse undersøgelser noteres og opbevares. Virksomheden har tillige fået påbud om at etablere tilstrækkelige interne kontroller på området. Virksomheden skal indarbejde sikring mod fejl og mod, at en medarbejder kan misbruge sin stilling i forbindelse med alarmer fra overvågningssystemet.[vi]

Virksomheden foretager årlig indberetning af oplysninger til brug for Finanstilsynets risikovurdering af virksomheder og personer omfattet af hvidvaskloven. De af virksomhedens indberettede oplysninger var i en række tilfælde misvisende eller urigtige. Der er herved en risiko for, at Finanstilsynet ikke kan foretage retvisende risikovurderinger af virksomheder og personer. Dette er væsentligt, da Finanstilsynets risikovurdering af virksomheder og personer er central for Finanstilsynets tilsynsvirksomhed.

Finanstilsynet vurderer i den forbindelse, at virksomheden ikke har foretaget en fyldestgørende kontrol af de indberettede data. Der er herved en risiko for, at den ikke rettidigt opdager, hvis indberetninger til Finanstilsynet er fejlagtige. Korrekte indberetninger er væsentlige, da Finanstilsynet anvender disse i sin risikovurdering og i tilskæringen af inspektioner.

Som følge heraf har virksomheden fået påbud om at berigtige oplysningerne og etablere tilstrækkelige interne kontroller af virksomhedens indberetning af oplysninger til Finanstilsynet.[vii]

En virksomhed har pligt til at give Finanstilsynet de oplysninger, som er nødvendige for tilsynets virksomhed. Virksomhedens konstatering af væsentlige mangler blandt andet i dens kundekendskabsprocedurer har væsentlig betydning for Finanstilsynets tilsyn, og oplysningerne skal derfor gives af egen drift og hurtigst muligt. Der var ikke givet oplysning rettidigt om de væsentlige mangler i virksomhedens kundekendskabsprocedurer. Det medfører en risiko for, at Finanstilsynet ikke kan foretage sin tilsynsvirksomhed på et tilstrækkeligt oplyst grundlag, og det er væsentligt, da Finanstilsynets mulighed for at føre et effektivt tilsyn med virksomheden dermed forringes.

Virksomheden har derfor fået en påtale om, at den ikke af egen drift og hurtigst muligt har givet Finanstilsynet oplysninger af væsentlig betydning for Finanstilsynets tilsyn.[viii]

Virksomheden har et person- og funktionsafhængigt setup, hvor store dele af arbejdet med hvidvaskområdet, herunder underretninger, udføres af den ansvarlige for juridisk afdeling, som tillige fungerer som den primære juridiske funktion i virksomheden. Finanstilsynet kunne efter en gennemgang af stikprøver på området ikke konstatere, at pligten til omgående underretning til Hvidvasksekretariatet ikke generelt var overholdt. Finanstilsynet vurderer, at det pågældende setup gør det vanskeligt at sikre, at der til alle tider kan ske omgående underretning til Hvidvasksekretariatet ved mistænkelige transaktioner. Dette gør området sårbart. Det er væsentligt, da underretninger til Hvidvasksekretariatet har stor betydning for, at politiet eller andre myndigheder kan gribe ind overfor kriminalitet.

Virksomheden har derfor fået en risikooplysning om, at virksomheden ved det nuværende setup, hvor virksomheden er afhængig af en enkelt nøglemedarbejder, har en øget risiko for ikke omgående at kunne underrette Hvidvasksekretariatet[ix].

Finanstilsynet har noteret sig, at virksomheden allerede forud for inspektionen har arbejdet på at forbedre og systematisere risikovurderingen og det løbende kundekendskab for enkelte kundesegmenter.

[i] § 7, stk. 1, i hvidvaskloven.

[ii] § 8, stk. 1, i hvidvaskloven.

[iii] § 11, stk. 1, nr. 4, jf. stk. 4, samt § 10, nr. 1, og § 11, stk. 1, nr. 5, jf. § 11, stk. 4, i hvidvaskloven.

[iv] § 17, stk. 1, i hvidvaskloven.

[v] § 11, stk. 3, i hvidvaskloven.

[vi] § 25, stk. 1 og 2, § 25, stk. 3, jf. § 30, og § 8, stk. 1, i hvidvaskloven.

[vii] § 49, stk. 2, og § 8, stk. 1, i hvidvaskloven.

[viii] § 49, stk. 1, i hvidvaskloven.

[ix] § 26 i hvidvaskloven.