Allmän riskbedömning: så kommer du igång.
Den allmänna riskbedömningen beskriver hur just ditt företag kan utnyttjas för penningtvätt eller finansiering av terrorism, och vad du gör åt det. Riskbedömningen krävs redan i dag enligt penningtvättslagen (2 kap. 1 §) och fortsätter att krävas med AMLR (art. 10). Företagets ledning, till exempel vd eller ägaren i ett litet företag, går igenom riskbedömningen och godkänner den. Den är grunden för allt annat arbete mot penningtvätt.
Här visar jag hur du kommer igång, steg för steg, med ett exempel från en redovisningsbyrå.
Det viktigaste i korthet
- Riskbedömningen ska spegla ditt eget företag, dina kunder och dina tjänster.
- Bedöm risken utifrån kunder, tjänster, distributionskanaler och geografi.
- Inneboende risk minus dina åtgärder ger kvarvarande risk.
- Företagets ledning godkänner bedömningen, till exempel vd eller ägaren. Det beslutet fattas alltid inom företaget (AMLR art. 18).
- Uppdatera den regelbundet och när något viktigt ändras.
Vad är en allmän riskbedömning?
Den allmänna riskbedömningen är din analys av hela verksamheten. Den svarar på frågan: hur skulle någon kunna använda mina tjänster för att tvätta pengar? Den skiljer sig från riskbedömningen av en enskild kund, som du gör när en ny kund kommer in.
| Allmän riskbedömning | Kundens riskbedömning | |
|---|---|---|
| Gäller | Hela verksamheten | En enskild kund |
| Görs | En gång, och uppdateras sedan | För varje ny kund, och vid uppföljning |
| Resultat | Risker, åtgärder och rutiner | Kundens risknivå: låg, normal, hög eller oacceptabel |
| Godkänns av | Ledningen | En behörig person i företaget |
Så gör du den, i fem steg.
- Beskriv verksamheten. Vilka tjänster säljer du, till vem och hur? Beskriv också dina rutiner, till exempel hur du tar emot nya kunder och betalningar.
- Ta reda på hur verksamheten skulle kunna utnyttjas. Fundera på hur varje tjänst skulle kunna användas för penningtvätt. Ett sådant mönster kallas typologi. Finanspolisen och tillsynsmyndigheterna beskriver vanliga typologier för olika branscher.
- Bedöm den inneboende risken. Titta på varje typologi utifrån vilka dina kunder är, hur du når dem (distributionskanal) och var de finns (geografi). Det ger risken innan du har gjort något åt den.
- Lista dina åtgärder. Skriv vad du gör för att minska risken. Det som återstår efter åtgärderna är den kvarvarande risken, ibland kallad residualrisk.
- Skriv rutiner och låt ledningen godkänna. Åtgärderna beskrivs i rutiner som personalen följer. Ledningen godkänner riskbedömningen, och du sparar vem som godkände vad och när.
Ett exempel från en redovisningsbyrå.
Så här kan tre rader i en allmän riskbedömning se ut. Exemplet är förenklat och ska anpassas till din egen verksamhet.
| Risk | Inneboende risk | Åtgärd | Kvarvarande risk |
|---|---|---|---|
| Nya kunder som du aldrig träffar fysiskt (kanal) | Hög | Identifiering med e-legitimation och kontroll av verkliga huvudmän | Normal |
| Kunder i branscher med mycket kontanter (kund) | Hög | Frågor om pengarnas ursprung och tätare uppföljning | Normal |
| Ägare i länder med hög risk (geografi) | Hög | Skärpta åtgärder och godkännande av ledningen | Normal |
Från riskbedömning till varje kund.
När en ny kund kommer in jämför du kunden med riskerna i din allmänna riskbedömning. Resultatet blir kundens risknivå, ofta graderad som låg, normal, hög eller oacceptabel.
- Låg eller normal: du gör kundkännedom på vanlig nivå, eller förenklad nivå om risken är dokumenterat låg.
- Hög: du gör skärpta åtgärder innan affären genomförs.
- Oacceptabel: du avstår från affären och dokumenterar varför.
Det här tittar tillsynen efter.
Credon har gått igenom 22 tillsynsbeslut från Fastighetsmäklarinspektionen. Samma mönster återkommer, och det stämmer med vad tillsynsmyndigheter kritiserar i stort. En stark riskbedömning:
- utgår från dina egna kunder och tjänster, och går utöver en allmän mall
- täcker alla riskfaktorer: kunder, tjänster, kanaler och geografi
- hänger ihop med rutinerna, så att varje risk har en åtgärd
- är uppdaterad och har ett datum.
Vad ändras den 10 juli 2027?
- Risken att sanktioner inte följs blir ett eget område i bedömningen (art. 10).
- Du tar hänsyn till EU:s och Sveriges nationella riskbedömningar och till AMLA:s riktlinjer.
- Du bedömer risken innan du börjar med en ny tjänst, kanal eller teknik.
- AMLA tar fram riktlinjer för vad riskbedömningen minst ska innehålla. De var på remiss till den 15 juli 2026 och är ännu inte publicerade.
Håll den levande.
Uppdatera riskbedömningen regelbundet och när något ändras som påverkar risken. Bra tillfällen är när du börjar med en ny tjänst, får kunder i ett nytt land, när en ny nationell riskbedömning kommer eller när reglerna ändras.
Vanliga frågor
Behöver ett litet företag också en allmän riskbedömning?
Ja. Kravet gäller alla verksamhetsutövare. Omfattningen följer verksamhetens storlek, så en liten byrå kan ha en kortare bedömning, så länge den speglar just den byrån.
Vem i företaget ska godkänna den?
Ledningen. Med AMLR ska en person i ledningen ansvara för arbetet mot penningtvätt (art. 11). I ett litet företag kan samma person ha flera roller.
Kan jag använda en mall?
En mall är en bra startpunkt. Fyll den med dina egna kunder, tjänster och rutiner, så att bedömningen beskriver ditt företag.
Källor
Om författaren
Fredrik Strauss är medgrundare av Credon. Credon grundades av experter på kreditrisk och penningtvätt med lång erfarenhet från bankvärlden. Läs mer om teamet