Hvitvaskingsrutiner i regnskapssystemer

Hvitvaskingsrutiner er obligatoriske for regnskapsførere, revisorer og andre rapporteringspliktige etter hvitvaskingsloven. Loven krever en virksomhetsinnrettet risikovurdering og skriftlige rutiner som er fastsatt på øverste ledernivå (§§ 7 og 8), og Finanstilsynet fører tilsyn med at de følges. Vanlige virksomheter som ikke er rapporteringspliktige, har ikke de samme pliktene, men møter kravene gjennom banken og regnskapsføreren. Se også reelle rettighetshavere.

Kjerneelementer i hvitvaskingsrutiner

Risikoklasser og tiltak

• Lav risiko: Forenklede kundetiltak kan brukes når risikoen er dokumentert lav
• Normal risiko: Ordinære kundetiltak og løpende oppfølging med oppdatering etter en fast plan
• Høy risiko: Forsterkede kundetiltak, tettere oppfølging og godkjenning fra ledelsen. Politisk eksponerte personer (PEP) og kunder i høyrisikoland krever alltid forsterkede tiltak

Hvor ofte kundeopplysningene oppdateres, fastsetter virksomheten selv i rutinene ut fra risiko. Se også risikovurdering av hvitvasking per kunde.

En strukturert risikovurdering bør ta hensyn til bransje, produkt, geografi og distribusjonskanaler. Resultatet kobles til internkontroll slik at kontrollene forankres i virksomhetens styringssystem.

Kundetiltak steg for steg

1. Identifiser kunden ved å innhente gyldig ID og bekrefte organisasjonsnummer.
2. Avklar reelle rettighetshavere via offentlig register og signerte egenerklæringer.
3. Forstå formålet med kundeforholdet og forventet transaksjonsvolum.
4. Klassifiser risiko og fastsett passende oppfølging.
5. Dokumenter kontrollene og oppbevar dokumentasjonen i fem år etter at kundeforholdet er avsluttet (hvitvaskingsloven § 30). Dette er en annen frist enn oppbevaringsreglene for regnskapsmateriale.

Overvåking i regnskapssystemet

Regnskapssystemer og egne kontrollverktøy kan automatisere deler av overvåkingen:

• Kontroll mot sanksjonslister og PEP-lister
• Varsler når transaksjoner bryter med etablerte mønstre
• Automatiske kontroller mot betalingsmidler og remittering
• Rapporter som viser historikk, tiltak og beslutninger for revisjonsspor

Varsling og rapportering

Regnskapsførere har plikt til å undersøke mistenkelige forhold og sende melding til Økokrim hvis mistanken ikke avkreftes (hvitvaskingsloven §§ 25 og 26). Kunden skal ikke få vite om undersøkelsen eller meldingen. Se MT-rapport til Økokrim for hvordan meldingen sendes. Prosessen bør beskrive:

• Kriterier for mistanke: store kontantinnskudd, kompleks selskapsstruktur, motstridende opplysninger
• Intern eskalering: hvem godkjenner rapportering og hvordan dokumenteres beslutningen
• Rapporteringskanal: MF-rapport i Økokrims rapporteringsløsning (erstattet Altinn-skjemaet fra 1. juni 2026)
• Etterkontroll: oppdater risikoprofil og vurder om kundeforholdet skal avsluttes

Dokumentasjon og revisjonsspor

All dokumentasjon må være tilgjengelig for Finanstilsynet, revisor og interne kontrollfunksjoner. Sørg for at:

• Prosedyrer lagres i kvalitetssystemet og knyttes til styringsverktøy
• Gjennomganger logges med dato, utførende person og resultat
• Avvik registreres og følges opp i internkontrollsystemet
• Opplæring dokumenteres i HR-modul eller LMS-løsning

Beste praksis for kontinuerlig forbedring

• Oppdater risikovurderingen årlig og ved vesentlige endringer i kundebasen
• Automatiser nøkkelkontroller gjennom regelmotorer i regnskapssystemet
• Gi ansatte opplæring i hvitvaskingsregelverket, slik loven krever (§ 36)
• Del erfaringer med regnskapsfører-nettverk og bransjefora
• Gi styret innsikt gjennom kvartalsrapporter som viser status på AML-arbeidet

Ved å kombinere teknologiske løsninger, gode rutiner og tydelig ansvar sikrer virksomheten at hvitvaskingsforpliktelsene overholdes og at regnskapssystemet gir et robust vern mot misbruk.