Bakgrund

I sanktionsbesluten mot Trustly och ClearOn, som publicerades för över ett år sedan, betonade Finansinspektionen bland annat vikten av att inhämta information om kundens medborgarskap i syfte att utvärdera etablering i högrisktredjeland. Detta var till synes första gången som Finansinspektionen konkretiserat kraven på inhämtning av just medborgarskap. Trots att besluten nu är över ett år gamla och att Finansinspektionen inte kommunicerat någon ytterligare information sedan dess, är vår uppfattning att hantering av medborgarskapsfrågan fortsatt ligger högt upp på agendan för många verksamhetsutövare.

Medborgarskap i lag och föreskrifter

Enligt 3 kap. 11 § penningtvättslagen ska en verksamhetsutövare kontrollera om kunden är etablerad i ett land utanför EU/EES som av Europeiska kommissionen har identifierats som ett högrisktredjeland. Huruvida detta ska göras via kundens skatterättsliga hemvist, adressland eller annan geografisk koppling framgår varken i lagen eller föreskrifterna. Medborgarskap nämns endast en gång i Finansinspektionens föreskrifter (FFFS 2017:11) - i 3 kap. 2 §, och då endast i en skrivning om vad ett pass eller en annan identitetshandling ska innehålla i de fall en fysisk person identifierar sig med sådan handling.

Trots att regelverken lämnar stort tolkningsutrymme när det gäller kraven på att inhämta medborgarskap, verkar det ändå som om Finansinspektionen har en tydlig ståndpunkt i frågan. Detta är inte minst tydligt i Finansinspektionens sanktionsbeslut mot ClearOn. I beslutet hävdar FI att en central del i kontrollen av om kunden är etablerad i ett högrisktredjeland är att känna till en kunds medborgarskap. Detta gäller, enligt sanktionsbeslutet, oavsett om kunden har sin hemvist i Sverige eller inte.

I sanktionsbeslutet för Trustly framgår vidare, om än inte i samma utsträckning som för ClearOn, att bolaget inte inhämtat några uppgifter om deras autogirokunders geografiska exponering såsom till exempel adress, medborgarskap eller skatterättslig hemvist (med undantag för en autogirokund som var PEP/RCA). Därav bedömer Finansinspektionen att bolaget inte uppfyller kraven på en sådan bedömning av geografiska risker som avses i 2 kap. 1 § andra stycket penningtvättslagen.

De två ovan nämnda sanktionsbesluten visar att Finansinspektionen tar frågan om medborgarskap på allvar och att myndigheten förefaller villig att vidta åtgärder mot företag som inte uppfyller kraven.

Utmaningar med medborgarskap

Det finns utmaningar kopplade till att inhämta och analysera medborgarskap i syfte att utreda etablering i högrisktredjeland, säger Linn Sundström, Manager och senior AML-specialist på Frank Penny. Det har visat sig vara komplicerat, i särskilda fall rent av omöjligt, att avsäga sig vissa medborgarskap. Dessutom är det sällan möjligt att kontrollera uppgifter om medborgarskap mot offentliga och tillförlitliga källor, fortsätter hon. Ofta finns det också andra datapunkter och KYC-svar som är mer lämpliga att använda för att bedöma en kunds etablering i högrisktredjeland.

Linn poängterar även att något som adderar ytterligare komplexitet i frågan är att medborgarskap sällan finns med som en relevant kundriskfaktor i den allmänna riskbedömningen. Som en konsekvens av detta har flera verksamhetsutövare landat i att de saknar legal grund att ta in och behandla uppgifter om medborgarskap givet GDPR.

Oaktat ovan utmaningar och att det inte är helt klart om Finansinspektionen har en fast ståndpunkt i frågan, verkar det till synes vara så. Givet detta tycks slutsatsen vara att det vore anmärkningsvärt att gå emot FIs rådande uppfattning genom att inte ha med medborgarskap som en central del av kundkännedomsinhämtningen.

Våra rekommendationer

Med hänsyn till Finansinspektionens ståndpunkt i medborgarskapsfrågan förefaller det enda kvarvarande alternativet vara att skyndsamt genomföra följande punkter:

• Bestäm huruvida medborgarskap bör vara en faktor som också ska adderas i den allmänna riskbedömningen – både för slutkunder och för verkliga huvudmän
• Anpassa kundkännedomsformulär, onboardingflöden och andra relevanta interface för att möjliggöra inhämtning av medborgarskapsland, både vid onboarding och löpande uppföljning
• Uppdatera mappning av dataflöden och säkerställ att informationen, när tillgänglig, når rätt slutdestinationer och sparas ned i databaser som är tillgängliga för verksamheten och relevanta AML-system
• Anpassa indataflöden och riskfaktorer i eventuella modeller för kundriskklassificeringen så att medborgarskapsland kan beaktas som en av ett flertal relevanta geografiska faktorer

‍