Tilitoimistolta vaadittavat riskiarviot: Kattava opas ja konkreettinen mallipohja

Rahanpesun ja terrorismin rahoittamisen estämisen kulmakivi on riskiperusteisuus. Lainsäätäjä ei odota, että jokainen asiakassuhde käsiteltäisiin täsmälleen samalla tavalla, vaan toimenpiteet on mitoitettava todennettujen riskien mukaan. Jotta toimenpiteet voidaan mitoittaa oikein, tilitoimistolla on oltava dokumentoidut riskiarviot.

1. Mitä riskiarvioita tilitoimiston on tehtävä?

Laki rahanpesun ja terrorismin rahoittamisen estämisestä (444/2017) vaatii tilitoimistoilta kahta toisiaan täydentävää arviota:

1. Ilmoitusvelvollisen toimintakohtainen riskiarvio (2 luku 3 §): Tilitoimiston oman toiminnan kokonaisvaltainen arviointi. Siinä arvioidaan, mille rahanpesun ja terrorismin rahoittamisen riskeille tilitoimisto omassa toiminnassaan voi altistua, ja millä sisäisillä toimintamalleilla näitä riskejä hallitaan.
2. Asiakaskohtainen riskiarvio (3 luku 1 §): Yksittäistä asiakasta koskeva arviointi. Jokaisesta uudesta asiakkaasta on ennen toimeksiannon aloittamista – ja asiakassuhteen kestäessä säännöllisesti – arvioitava asiakkaan riskitaso (esim. matala, tavanomainen tai korkea riski).

2. Mitä eroa on toimintakohtaisella ja asiakaskohtaisella riskiarviolla?

3. Mistä riskiarviot koostuvat? (4 keskeistä osa-aluetta)

Sekä toimintakohtaisessa että asiakaskohtaisessa riskiarviossa tarkastellaan neljää pääriskitekijää:

1. Asiakasriski (Kuka asiakas on?)

• Toimiala: Käteispainotteiset toimialat (ravintolat, kauneudenhoito, autokauppa, rakennusala), kryptovaluuttatoimijat, romukauppa ja kansainvälinen konsultointi edustavat tyypillisesti kohonnutta riskiä.
• Omistusrakenne: Monimutkaiset, useissa maissa sijaitsevat holding-yhtiörakenteet tai vaikeasti selvitettävät edunsaajaketjut nostavat riskiä.
• Poliittinen vaikutusvalta (PEP): Onko asiakkaassa tai sen edunsaajissa poliittisesti vaikutusvaltaisia henkilöitä tai heidän perheenjäseniään?
• Pakotteet: Onko asiakkaalla kytköksiä pakotelistattuihin henkilöihin, maihin tai yhteisöihin?

2. Tuote- ja palveluriski (Mitä palveluita tarjotaan?)

• Pelkkä lakisääteinen kirjanpito ja tilinpäätös kerran vuodessa on usein matalariskisempää kuin asiakkaan maksuliikenteen hoitaminen tai pankkitilien suora käyttöoikeus.
• Poikkeukselliset konsultointitoimeksiannot, pöytälaatikkoyhtiöiden perustaminen tai verosuunnittelu nostavat tilitoimiston palveluriskiä.

3. Maantieteellinen riski (Missä toimitaan?)

• Toimiiko asiakas vain Suomessa vai onko sillä liiketoimintaa korkean riskin maissa, veroparatiiseissa tai EU:n pakotesääntelyn alaisissa valtioissa?
• Tulevatko asiakkaan maksusuoritukset tai pääomat ulkomaisilta pankkitileiltä?

4. Jakelukanava- ja toimitustapariski (Miten asioidaan?)

• Tavataanko asiakkaan edustaja henkilökohtaisesti vai perustuuko koko asiakkuus täysin etäasiointiin verkon välityksellä?
• Onko etäasiakkaan henkilöllisyys todennettu vahvalla sähköisellä tunnistamisella (Trust Services)?

4. Toimintakohtaisen riskiarvion tekeminen vaiheittain

Toimintakohtainen riskiarvio ei saa olla geneerinen moniste, vaan sen on kuvattava nimenomaan oman tilitoimistosi todellisuutta. Etene näin:

1. Kartoita asiakasrakenne: Luettele toimialat, joita asiakkaasi edustavat. Onko mukana rakennusliikkeitä, ravintoloita tai kansainvälistä kauppaa käyviä yrityksiä?
2. Kartoita omat palvelusi: Tarjoatko kirjanpidon lisäksi maksuliikennepalveluita, yrityskauppojen avustamista tai osoitepalveluita?
3. Määritä riskitaso ja kontrollit: Millä konkreettisilla toimenpiteillä tilitoimisto hallitsee havaittuja riskejä? (Esim. "Kaikkien asiakkaiden vastuuhenkilöt seulotaan viikoittain Pakoteseula.fi-palvelulla").
4. Kirjoita toimintaohjeet: Riskiarvion pohjalta laaditaan henkilökunnalle kirjalliset ohjeet, joissa kerrotaan tarkasti, miten uusi asiakas otetaan vastaan ja milloin toimeksiannosta kieltäydytään.
5. Päivitä vuosittain: Merkitse riskiarvioon aina päivämäärä ja laatijan nimi. Päivitä asiakirja vähintään kerran vuodessa tai aina, kun toimintaan tulee merkittäviä muutoksia.

5. Asiakaskohtaisen riskiarvion tekeminen käytännössä

Asiakaskohtainen riskiarvio tehdään jokaiselle asiakkaalle ennen työn aloittamista. Sen perusteella asiakas sijoitetaan yhteen kolmesta riskiluokasta:

• Matala riski: Esimerkiksi pörssiyhtiö, julkishallinnon toimija tai vakiintunut paikallinen pk-yritys selkeällä omistuspohjalla. Voidaan soveltaa yksinkertaistettua tuntemismenettelyä.
• Tavanomainen riski: Normaali suomalainen pk-yritys, jonka liiketoiminta on selkeää ja edunsaajat helposti todennettavissa. Sovelletaan tavanomaisia KYC- ja pakotetarkistuksia.
• Korkea riski: Asiakkaalla on PEP-kytköksiä, monimutkainen kansainvälinen omistusrakenne, käteismaksuja tai toimintaa riskialttiilla toimialoilla. Vaatii tehostettua tuntemista (EDD), kuten varojen alkuperän dokumentointia ja tilitoimiston toimitusjohtajan erillisen hyväksynnän.

6. LVV:n viralliset ohjeet ja ladattava mallipohja

Lupa- ja valvontavirasto (LVV) tarjoaa ilmoitusvelvollisille kattavaa ohjemateriaalia ja valmiin mallipohjan toimintakohtaisen riskiarvion tekemiseen. Suosittelemme hyödyntämään näitä virallisia lähteitä:

7. Miten Pakoteseula.fi tukee tilitoimiston riskienhallintaa?

Riskiarvio on tehokas vain silloin, kun sen tueksi on olemassa luotettavat työkalut. Pakoteseula.fi on suunniteltu suoraan suomalaisten tilitoimistojen tarpeisiin:

• Automatisoitu pakoteseulonta: Seulot kaikki asiakasyritykset, niiden hallitukset ja edunsaajat EU:n, YK:n, OFAC:n ja KRP:n listoilta yhdellä Excel-latauksella sekunneissa.
• PRH-muutosvahti: Saat tiedon, mikäli asiakkaasi edunsaajissa tai hallituksen jäsenissä tapahtuu muutoksia Kaupparekisterissä – näin asiakaskohtainen riskiarvio osataan päivittää ajoissa!
• Viranomaiskelpoiset arkistoraportit: Palvelu luo aikaleimatut raportit, jotka voit liittää suoraan tilitoimistosi KYC-dokumentaatioon näyttönä asianmukaisesta valvonnasta.