Ytterligare en revisor varnas efter penningtvättsmiss

Allmän riskbedömning

Inledningsvis slår RI ned på revisorns allmänna riskbedömning. Utöver ett uttalande om att revisionen skulle kunna utnyttjas med syftet att ge ökad trovärdighet i rapportering, innehåller den inte någon bedömning av hur byråns produkter och tjänster kan utnyttjas för penningtvätt eller finansiering av terrorism. Det förstnämnda kan inte anses som en tillräcklig analys av de förhållanden som ska behandlas i en allmän riskbedömning, skriver RI.

Vidare menar RI att den allmänna riskbedömningen saknar en tillfredsställande värdering av de risker som är förenade med beskrivna hot och sårbarheter.

Rutiner och riktlinjer

RI skriver i sitt beslut att den revisionsmanual och den kvalitetspolicy som revisorn har gett in saknar dokumentation av rutiner och riktlinjer för hur medarbetare ska uppnå, dokumentera och uppdatera kundkännedom. Det ska också saknas information om hur eller när utvärdering av befintliga kunders riskprofiler ska göras. Vidare skriver RI att det som angetts i dokumentet om utvärdering bara är detsamma som följer av lag.

“Att i interna dokument upprepa gällande lagkrav utgör inte en sådan beskrivning av rutiner, grundade på verksamhetsspecifika omständigheter, som lagen förutsätter att en verksamhetsutövare utarbetar”, skriver RI.

Revisorns rutiner och riktlinjer avseende övervakning ska också ha varit bristfälliga. I kvalitetspolicyn står det att medarbetarna ska hålla uppsikt över olika omständigheter under pågående kundrelationer och uppdrag. Det är dock oklart vilka omständigheter som menas, förutom förändrat ägande, skriver RI. Det framgår inte heller hur revisorn och hans medarbetare faktiskt ska gå till väga för att utföra den här övervakningen.

RI har även funnit brister i byråns dokumenterade rutiner och riktlinjer avseende behandling av personuppgifter. Revisorn har inte behandlat relevanta paragrafer (5 kap. 2, 5, 6 och 7 §§). Revisorn har i sina uttalanden till RI hänvisat till ett avsnitt i kvalitetspolicyn som handlar om tystnadsplikt, vilket är en annan fråga än personuppgiftsbehandling enligt GDPR och penningtvättslagen.

RI:s bedömning

På grund av ovan nämnda brister tilldelas revisorn en varning av RI med följande motivering:

“Genom att i egenskap av ställföreträdare för revisionsföretaget underlåta att se till dels att revisionsföretaget hade en godtagbar allmän riskbedömning, och att revisionsföretaget hade relevanta och uppdaterade rutiner och riktlinjer på penningtvättsområdet har revisorn åsidosatt sina skyldigheter enligt penningtvättslagen.”

Läs hela beslutet: Dnr 2024-1054.