Tilsynspraksis Bank og Forsikring. Hvitvaskingskonferansen, Sundvolden 8. november 2018 Irene Støback Johansen og Geir David Johannessen

Transkript

1 Tilsynspraksis Bank og Forsikring Hvitvaskingskonferansen, Sundvolden 8. november 2018 Irene Støback Johansen og Geir David Johannessen

2 Tilsynspraksis 1. Risiko 2. Stedlig tilsyn inspeksjonsprosessen 3. Observasjoner 2

3 1. Hva risikerer foretakene? Generelt: Bli misbrukt til hvitvasking eller terrorfinansiering Omdømmesvikt Krevende tilsynsprosesser offentlige rapporter Sanksjoner Bank: Økt kapitalkrav for operasjonell risiko Banker med høy AML/CFT-risiko kan bli avstengt for transaksjoner med andre banker 3

4 FT offentliggjør tilsynsmerknader Gjelder alle tilsynsområder Se: 4

5 Eksempler på nyhetsoppslag E Spb1 Markets News flash DN

6 Bank: Økt kapitalkrav for OpRisk Pilar 2-tillegg for svak etterlevelse må forventes Risiko og kapitalbehov vurderes* Risikoer og styringssystem evalueres Samlet kapitalkrav for pilar 2-risikoer samt forventet margin til kapitalkravet fastsettes Kapitalkravet offentliggjøres med en begrunnelse Etterlevelse av regelverk generelt (compliance), herunder AML/CFTregelverket, inngår i vurdering av operasjonell risiko Svak etterlevelse medfører et skjønnsmessig tillegg i kapitalkravet 6 *SREP: Supervisory Review and Evaluation Process

7 2. Stedlig tilsyn - inspeksjonsprosessen Oppfølging Varsel om tilsyn Risikobasert tilnærming Konklusjoner Offentlig/publisering Endelig rapport Innhenting av dokumentasjon Vurdering Vurdering Spørsmål Styrets tilsvar Foreløpig rapport Stedlig tilsyn Vurdering Samtaler med ledelse, nøkkelpersoner, revisorer, styreleder 7 Unntatt offentlighet

8 Stedlig tilsyn forts. AML/CFT AML/CFT-tilsyn er en integrert del av FTs risikobaserte tilsyn av banker, forsikringsforetak og andre foretak Del av generelle inspeksjoner Fokus på hovedelementer som risikovurdering, rutiner, rapportering mv. Egne spesialtilsyn Dybdeinspeksjoner, kun AML/CFT Ser på helheten, også kundetiltak, systemløsninger, korrespondentbanker, opplæring mv. 8

9 3. Observasjoner og erfaringer - Banker Risikoanalysene er mangelfulle og for generelle Fortsatt banker som ikke har ryddet i eldre kundeporteføljer Bruk av konstruerte kundenummer Mangler legitimasjon, samt info om formål, tilsiktet art og midlers opprinnelse Utfordringer med risikoklassifisering av kunder med høy risiko Kunder med komplekse eierstrukturer Kunder med tilknytning til skatteparadiser Andre, eks. PEPer, vekslingssentraler kryptovaluta, enkelte bransjer Gjennomført kundekontroll mangelfull Spesielt løpende oppfølging Husk disponenter, reelle rettighetshavere og andre rolleinnehavere! 9

10 Observasjoner forts. - Banker forts. Interne retningslinjer er mangelfulle Må også ha rutiner som sikrer etterlevelse av frysforpliktelsene Mangler i elektroniske overvåkningssystemer og oppfølging av alarmer Manglende dokumentasjon av systemløsning inkl. parametersetting Måler ikke mot kundespesifikke opplysninger om forventet adferd Screening mot sanksjonslister hele kundemassen og rolleinnehavere Manglende risikovurdering og retningslinjer for korrespondentog respondentforhold Svak kontroll, rapportering, måling og oppfølging av etterlevelsen 10

11 Observasjoner og erfaringer - Forsikringsforetak Risikovurderingene er mangelfulle og for generelle Skal være virksomhetsinnrettet Konkret vurdering av hvert enkelt produkt Konkret vurdering av kunder/kundegrupper Konkret vurdering av ulike salgskanaler (megler, agent, nettbasert) 11

12 - Forsikringsforetak forts. Interne rutiner er mangelfulle Konsistens mellom risikovurdering og retningslinjer Konkret verktøy i det daglige arbeidet Ikke kun gjengivelse av regelverket Hensiktsmessig systematikk/helhetlig tilnærming Rutinene skal være fastsatt på øverste nivå (hvvl. 8) Ikke enhver detaljrutine må fastsettes av styret 12

13 - Forsikringsforetak forts. Manglende styring og kontroll ved utkontraktering Ansvarlig for etterlevelsen i utkontraktert virksomhet, også der oppdragstaker selv er en rapporteringspliktig Kan ikke lene seg på at oppdragstaker har ansvar for etterlevelse i egen virksomhet Rutiner for utkontraktering skal også omfatte styring og kontroll med etterlevelsen av hvitvaskingsregelverket hos oppdragstaker Selvstendig risikoklassifisering for forsikring Kan være en annen enn for oppdragstakers primærvirksomhet f.eks. formidling av forsikring i bank 13

14 - Forsikringsforetak forts. Mangelfull opplæring Opplæring for den konkrete arbeidsoppgave Ikke standardopplegg uavhengig av hva de ansatte jobber med: salg, skadeoppgjør, svik, økonomi osv. Manglende rutiner for opplæring Kan føre til tilfeldig innhold og frekvens 14

15 Avslutning Avgjørende for at foretaket skal kunne forebygge og avdekke hvitvasking og terrorfinansiering: God forståelse av risikoen knyttet til hvitvasking/terrorfinansiering, i egen virksomhet og hos sine kunder Sterkt engasjement fra styret og ledelsen, risikoforståelsen må forankres på toppen Tilstrekkelige tiltak må iverksettes Ansvar for etterlevelse kan ikke utkontrakteres Spesielt for banker: lovkrav om (velfungerende) elektronisk overvåkingssystem Side 15

16 Takk for oppmerksomheten! 16

17 FINANSTILSYNET Revierstredet 3 Postboks 1187 Sentrum 0107 Oslo gdj@finanstilsynet.no isj@finanstilsynet.no