Rahanpesulain valvonta Suomessa: Kuka lakia valvoo ja mitä laiminlyönnistä seuraa?

Rahanpesun ja terrorismin rahoittamisen estämistä koskeva lainsäädäntö (laki 444/2017) asettaa tuhansille suomalaisille yrityksille tiukat velvoitteet tuntea asiakkaansa (KYC – Know Your Customer), laatia riskiarvioita ja valvoa asiakastoimintaa. Vuosien ajan moni pk-sektorin toimija koki lain kaukaisena ja lähinnä suuria liikepankkeja koskevana. Tämä käsitys on kuitenkin vanhentunut: viime vuosina viranomaiset ovat kohdistaneet tarkastuksia aktiivisesti tavallisiin pk-yrityksiin, ja jaetut rikemaksut ovat nousseet kymmeniin tuhansiin euroihin.

1. Kuka valvoo rahanpesulakia Suomessa?

Rahanpesulain valvonta on Suomessa jaettu useammalle viranomaiselle toimialan mukaan. Päävastuulliset valvojat ovat:

• Lupa- ja valvontavirasto (LVV): Valvoo laajaa joukkoa ei-finanssialan ilmoitusvelvollisia. LVV:n valvontaan kuuluvat muun muassa kirjanpitäjät ja tilitoimistot, veroneuvojat, kiinteistön- ja vuokrahuoneistojen välitysliikkeet (LKV), panttilainauslaitokset, perintätoimistot, yrityspalvelujen tarjoajat, tavara- ja taidekauppiaat (kun käteissuoritukset ylittävät 10 000 euroa) sekä oikeudellisten palvelujen tarjoajat (pois lukien asianajajat).
• Finanssivalvonta (Fiva): Valvoo finanssisektoria, kuten pankkeja, vakuutusyhtiöitä, sijoituspalveluyrityksiä, maksulaitoksia ja virtuaalivaluutan tarjoajia.
• Patentti- ja rekisterihallitus (PRH): Valvoo tilintarkastajia ja ylläpitää virallista kaupparekisterin edunsaajarekisteriä.
• Poliisihallitus: Valvoo rahapeliyhteisöjä ja rahapelitoimintaa.
• Suomen Asianajajaliitto: Valvoo asianajajia. Mikäli asianajajan toiminnassa havaitaan rahanpesulain rikkomuksia, Asianajajaliitto tekee esityksen seuraamuksesta Lupa- ja valvontavirastolle.

2. Mikä valvovia viranomaisia kiinnostaa?

Kun Lupa- ja valvontavirasto tai muu valvontaviranomainen tekee tarkastuksen ilmoitusvelvolliseen yritykseen, tarkastuskysymykset toistuvat hämmästyttävän samankaltaisina. Viranomaista kiinnostaa ennen kaikkea se, ovatko lakisääteiset prosessit todella käytössä arjessa vai pelkkiä pölyttyviä paperipinoja mapissa.

Valvontaviranomaisen tarkastuslistalla ovat poikkeuksetta seuraavat asiat:

A. Asiakkaan edustajan tunnistaminen ja henkilöllisyyden todentaminen

Yrityksen on kyettävä osoittamaan, kuka asiakkaan puolesta asioi ja millä oikeudella. Tarkastuksessa käydään läpi:

• Onko edustajan henkilöllisyys todennettu luotettavasta lähteestä (kopio passista/henkilökortista tai vahva sähköinen tunnistus)?
• Onko edustusoikeus varmistettu ajantasaisella Kaupparekisteriotteella tai asianmukaisella valtakirjalla?
• Onko yrityksen tosiasialliset edunsaajat (UBO) selvitetty aina vähintään luonnollisen henkilön tasolle asti?

B. Riskiarvion laatiminen ja noudattaminen

Lain mukaan ilmoitusvelvollisella täytyy olla kirjallinen toimintakohtainen riskiarvio. Tämän lisäksi jokaisesta asiakkaasta on tehtävä asiakaskohtainen riskiarvio ennen toimeksiannon aloittamista. Valvoja tarkastaa, onko riskiarvio päivitetty ja heijastuvatko siinä tunnistetut riskit tehtyihin asiakkaan tuntemistoimenpiteisiin.

C. Pakote- ja sanktiolistatarkistukset

Viranomainen haluaa tietää: Miten varmistatte, ettei asiakas, sen edustaja tai tosiasiallinen omistaja ole kansainvälisten pakotteiden tai KRP:n varojen jäädyttämispäätösten alaisena? Valvoja vaatii näyttöä siitä, että tarkistus tehdään säännöllisesti ja osumattomuudesta jää selkeä tarkastusloki.

D. Ilmoitus- ja selonottovelvollisuuden noudattaminen

Jos asiakkaan toiminnassa havaitaan poikkeavaa tai epätavallisen monimutkaista rahaliikennettä, ilmoitusvelvollisella on selonottovelvollisuus. Mikäli poikkeavuudelle ei löydy liiketaloudellista perustetta, on tehtävä viipymättä ilmoitus rahanpesun selvittelykeskukselle. Valvoja pyytää usein kuvausta siitä, miten poikkeavuuksien seuranta on organisoitu.

E. Henkilökunnan koulutus ja toimintaohjeet

Rahanpesulaki edellyttää, että henkilökunta koulutetaan tunnistamaan epäilyttävät toimet ja toimimaan säädösten mukaan. Koulutuksista on pidettävä kirjaa: ketkä osallistuivat, milloin koulutus järjestettiin ja mitä aiheita käsiteltiin.

3. Mitä viranomaisen KYC-tarkastuksessa tapahtuu käytännössä?

Valvontatarkastus alkaa tyypillisesti viranomaisen kirjallisella valvontailmoituksella ja laajalla kyselylomakkeella. Yritykselle annetaan yleensä 2–4 viikkoa aikaa toimittaa pyydetyt materiaalit.

4. Seuraamukset: julkinen varoitus, rikemaksu ja seuraamusmaksu

Rahanpesulain laiminlyönnistä ei selviä enää pelkällä olankohautuksella. Lainsäädäntö antaa valvontaviranomaiselle laajat valtuudet määrätä hallinnollisia seuraamuksia:

1. Julkinen varoitus: Voidaan antaa, kun laiminlyönti on lievä tai kyseessä on ensimmäinen kerta, eikä tapaus vaadi ankarampia toimia. Vaikka varoitukseen ei liity suoraa rahallista sakkoa, se julkaistaan viranomaisen verkkosivuilla nimellä, mikä voi aiheuttaa huomattavaa mainehaittaa.
2. Rikemaksu: Määrätään, kun ilmoitusvelvollinen tahallaan tai huolimattomuudesta laiminlyö keskeisiä velvoitteita, kuten riskiarvion laatimisen, asiakkaan tuntemisen tai pakotelistatarkistukset.
   • Oikeushenkilölle (yritykselle): 1 000 – 100 000 euroa.
   • Luonnolliselle henkilölle: 500 – 10 000 euroa.
3. Seuraamusmaksu: Määrätään vakavista, toistuvista tai järjestelmällisistä rikkomuksista. Seuraamusmaksu voi nousta jopa miljoonaan euroon tai kahteen kertaan saavutetun hyödyn määrään. Finanssialalla enimmäisseuraamus voi olla jopa 5 miljoonaa euroa tai 10 % edellisen vuoden liikevaihdosta.

5. Näin varmistat oman yrityksesi vaatimustenmukaisuuden

Viranomaistarkastukseen ei kannata herätä vasta silloin, kun valvontakirje kolahtaa postiluukusta tai sähköpostiin. Näillä viidellä toimenpiteellä suojaat yrityksesi:

• Laadi ja päivitä toimintakohtainen riskiarvio: Käy läpi yrityksesi tarjoamat palvelut, asiakastyypit ja maariskit vähintään kerran vuodessa.
• Varmista asiakaskohtaiset KYC-tiedot: Todenna edustajat, selvitä tosiasialliset edunsaajat (UBO) ja tallenna Kaupparekisteriotteet asiakaskansioihin.
• Automatisoi pakote- ja sanktioseulonta: Älä luota manuaalisiin Google-hakuihin. Käytä työkalua, joka seuloo kerralla EU:n, YK:n, OFAC:n ja Suomen KRP:n listat ja jättää viranomaiskelpoisen aikaleimatun tarkastusraportin.
• Kouluta tiimisi ja dokumentoi koulutuskerrat: Varmista, että jokainen työntekijä tietää, miten toimia epäilyttävän toimeksiannon kohdalla.
• Seuraa asiakkaiden muutoksia jatkuvasti: Asiakkaan riski muuttuu, jos hallitus tai omistajat vaihtuvat. Säännöllinen seurantaseulonta varmistaa, etteivät yllättävät muutokset jää huomaamatta.