Asiakkaan tunteminen tilitoimistossa: rahanpesulain vaatimukset käytännössä

Sisällys

1. Koskeeko rahanpesulaki tilitoimistoa?
2. Kuka valvoo tilitoimistoja?
3. Mitä tilitoimiston oma riskiarvio sisältää?
4. Mitä eroa on tunnistamisella ja todentamisella?
5. Keitä ovat tosiasialliset edunsaajat?
6. Kuka on PEP ja mitä siitä seuraa?
7. Miksi pakotelistat on tarkistettava jatkuvasti?
8. Mitä tehdä, kun jokin herättää epäilyn?
9. Kuinka kauan tietoja säilytetään?
10. Mikä muuttuu EU:n rahanpesuasetuksen myötä?
11. Tarkistuslista tilitoimistolle
12. Miten asiakkaan tunteminen pysyy ajan tasalla?
13. Usein kysyttyä

Asiakkaan tunteminen on tilitoimiston velvoite, jonka useimmat tuntevat periaatteessa ja harva käytännössä yhtä hyvin. Tiedot on kerätty asiakkuuden alussa, mutta ovatko ne ajan tasalla? Onko edunsaajat tarkistettu omistusmuutoksen jälkeen? Löytyykö riskiarvio, jos valvoja kysyy?

Tämä artikkeli käy läpi, mitä rahanpesulaki (laki rahanpesun ja terrorismin rahoittamisen estämisestä 444/2017) vaatii tilitoimistolta, ja miten velvoitteet hoidetaan arjessa ilman, että ne vievät kohtuuttomasti aikaa.

Koskeeko rahanpesulaki tilitoimistoa?

Koskee. Kirjanpitopalveluja tarjoavat ovat rahanpesulain tarkoittamia ilmoitusvelvollisia. Velvoitteet koskevat jokaista asiakasta, myös pientä toiminimeä ja pitkäaikaista asiakasta, jonka tunnet hyvin.

Tilitoimiston on myös rekisteröidyttävä rahanpesun valvontarekisteriin. Rekisteröitymisen laiminlyönnistä voidaan määrätä seuraamus.

Kuka valvoo tilitoimistoja?

Vuoden 2026 alusta tilitoimistojen rahanpesuvalvonta siirtyi Etelä-Suomen aluehallintovirastolta uudelle Lupa- ja valvontavirastolle. Myös valvontarekisteri siirtyi samalle virastolle. Valvoja voi tehdä tarkastuksia, pyytää selvityksiä ja määrätä hallinnollisia seuraamuksia, kuten rikemaksun tai seuraamusmaksun.

Mitä tilitoimiston oma riskiarvio sisältää?

Riskiarvio on tilitoimiston tärkein työkalu, ja se on kaiken muun pohja. Siinä toimisto arvioi, millaisia rahanpesun ja terrorismin rahoittamisen riskejä sen toimintaan ja asiakaskuntaan liittyy.

Riskiarviossa käydään läpi ainakin:

• asiakaskunta: toimialat, yritysmuodot, ulkomaiset omistajat ja käteisvaltaiset alat
• palvelut: esimerkiksi maksuliikenteen hoitaminen asiakkaan puolesta lisää riskiä
• toimintatavat: tavataanko asiakkaita, tunnistetaanko etänä
• maantieteelliset riskit: liiketoiminta tai omistajat korkean riskin maissa.

Riskiarvio dokumentoidaan, pidetään ajan tasalla ja hyväksytetään toimiston johdolla. Sen perusteella päätetään, miten tarkasti kutakin asiakasryhmää tunnetaan.

Mitä eroa on tunnistamisella ja todentamisella?

Nämä sekoitetaan usein, vaikka ne ovat eri asioita:

• Tunnistaminen tarkoittaa, että asiakkaan tiedot selvitetään ja kirjataan: yrityksen nimi, Y-tunnus, osoite ja edustajat.
• Todentaminen tarkoittaa, että asiakkaan puolesta toimivan henkilön henkilöllisyys varmistetaan luotettavasta lähteestä, esimerkiksi henkilöllisyystodistuksesta tai vahvalla sähköisellä tunnistuksella.

Taloushallintoliiton ohjeen mukaan Suomi.fi-valtuus ei yksin riitä todentamiseen. Se kertoo, että henkilöllä on oikeus asioida yrityksen puolesta, mutta ei todenna hänen henkilöllisyyttään tilitoimistolle.

Keitä ovat tosiasialliset edunsaajat?

Tosiasiallinen edunsaaja on luonnollinen henkilö, joka omistaa yrityksestä yli 25 prosenttia, käyttää yli 25 prosentin äänivaltaa tai käyttää muuten määräysvaltaa. Edunsaajat on selvitettävä kaikilta asiakkailta pörssiyhtiöitä lukuun ottamatta.

Käytännön huomioita:

• Edunsaajatiedot voi tarkistaa PRH:n edunsaajarekisteristä, mutta rekisteriote ei yksin vapauta omasta arvioinnista.
• Jos edunsaajaa ei löydy, kirjataan korvaava edunsaaja, esimerkiksi hallituksen jäsenet tai toimitusjohtaja.
• Omistusmuutos on aina syy päivittää tiedot.

Kuka on PEP ja mitä siitä seuraa?

Poliittisesti vaikutusvaltainen henkilö (PEP) on henkilö, joka toimii tai on toiminut merkittävässä julkisessa tehtävässä, kuten kansanedustajana, ministerinä tai valtion omistaman yhtiön johdossa. Myös hänen perheenjäsenensä ja läheiset yhtiökumppaninsa kuuluvat piiriin.

Jos asiakas, sen edustaja tai edunsaaja on PEP, sovelletaan tehostettua tuntemisvelvollisuutta. Se tarkoittaa esimerkiksi varojen alkuperän selvittämistä ja johdon hyväksyntää asiakkuudelle. PEP-asema ei estä asiakkuutta, mutta se pitää tietää ja kirjata.

Miksi pakotelistat on tarkistettava jatkuvasti?

Pakote- ja jäädyttämislistat muuttuvat jatkuvasti. Asiakas, joka oli puhdas asiakkuuden alussa, voi päätyä listalle myöhemmin, samoin sen edunsaaja tai hallituksen jäsen.

Tarkistettavia listoja ovat ainakin:

• EU:n pakoteluettelot
• YK:n turvallisuusneuvoston pakoteluettelot
• keskusrikospoliisin ylläpitämä jäädyttämislista.

Jos asiakas tai edunsaaja on listalla, liiketoimi on keskeytettävä, eikä varoja saa luovuttaa. Osuma pitää selvittää ennen kuin asiakkuutta jatketaan.

Mitä tehdä, kun jokin herättää epäilyn?

Jos liiketoimi tai asiakkaan toiminta poikkeaa tavanomaisesta, se on selvitettävä. Jos epäily ei poistu, siitä on ilmoitettava viipymättä keskusrikospoliisin rahanpesun selvittelykeskukselle. Asiakkaalle ei saa kertoa ilmoituksesta.

Toimistolla pitää olla sisäiset ohjeet siitä, kuka ilmoituksen tekee, sekä sisäinen ilmoituskanava. Henkilöstö on koulutettava tunnistamaan epäilyttävät tilanteet.

Kuinka kauan tietoja säilytetään?

Asiakkaan tuntemistiedot säilytetään viisi vuotta asiakassuhteen päättymisestä. Säilytysajan jälkeen tiedot on poistettava, ellei niiden säilyttämiselle ole muuta lakiin perustuvaa syytä.

Käytännössä tämä vaatii, että asiakassuhteen päättymispäivä kirjataan. Jos asiakkaan arkistoinnista ei ole merkintää, säilytysaikaa ei voi laskea.

Mikä muuttuu EU:n rahanpesuasetuksen myötä?

EU:n rahanpesuasetusta (EU) 2024/1624 sovelletaan 10.7.2027 alkaen. Se tuo asiakkaan tuntemiseen yhtenäisiä sääntöjä koko EU:ssa. Asetuksen mukaan asiakkaan tuntemistiedot on päivitettävä säännöllisesti: korkean riskin asiakkailla vähintään vuosittain ja muilla vähintään viiden vuoden välein.

Jos tietoja ei nyt päivitetä minkään säännöllisen rytmin mukaan, siirtymä kannattaa aloittaa jo nyt.

Tarkistuslista tilitoimistolle

• Toimisto on rekisteröitynyt rahanpesun valvontarekisteriin
• Riskiarvio on dokumentoitu, ajan tasalla ja johdon hyväksymä
• Sisäiset ohjeet ja ilmoitusvastuu on kirjattu, ja henkilöstö on koulutettu
• Jokaisen asiakkaan tiedot ja edustajat on tunnistettu
• Edustajan henkilöllisyys on todennettu luotettavasta lähteestä
• Tosiasialliset edunsaajat on selvitetty, ja PEP-asema on tarkistettu
• Pakote- ja jäädyttämislistat tarkistetaan säännöllisesti, ei vain alussa
• Asiakkaan riskiluokka on kirjattu perusteluineen
• Tiedot päivitetään säännöllisesti ja aina omistusmuutoksen jälkeen
• Asiakassuhteen päättymispäivä kirjataan, ja tiedot poistetaan säilytysajan jälkeen

Miten asiakkaan tunteminen pysyy ajan tasalla?

Suurin riski ei ole se, että tietoja ei kerätä, vaan se, että ne vanhenevat huomaamatta. Siksi tuntemisen tila kannattaa nähdä samassa paikassa kuin asiakkaan muut tehtävät.

Tydyyn KYC-lisäpalvelussa jokaisella asiakkaalla on tila (puuttuu, kesken, kunnossa, päivitys lähestyy, vanhentunut tai listaosuma), ja puuttuvista syntyy tehtävä vastuuhenkilölle. EU:n ja YK:n pakoteluettelot sekä keskusrikospoliisin jäädyttämislista tarkistetaan päivittäin. Henkilötunnukset ja liitteet tallennetaan salattuina, avaukset kirjataan lokiin, ja tiedot poistetaan viiden vuoden kuluttua asiakassuhteen päättymisestä. Lisäpalvelu maksaa 29,90 € kuukaudessa, ja hintaan sisältyy 50 asiakasyritystä. Katso asiakkaan tunteminen.

Uuden asiakkaan käynnistyksestä kokonaisuutena kerrotaan artikkelissa tilitoimiston toiminnanohjausjärjestelmä.

Tämä artikkeli on yleiskatsaus eikä oikeudellista neuvontaa. Tarkista ajantasaiset vaatimukset rahanpesulaista, Lupa- ja valvontavirastosta ja Taloushallintoliiton ohjeesta.

Koskeeko rahanpesulaki pientä tilitoimistoa?

Koskee. Rahanpesulain velvoitteet koskevat kaikkia kirjanpitopalveluja tarjoavia, myös yhden hengen toimistoja. Velvoitteiden laajuus riippuu toimiston riskiarviosta.

Riittääkö Suomi.fi-valtuus asiakkaan tunnistamiseen?

Ei yksin. Valtuus kertoo, että henkilöllä on oikeus asioida yrityksen puolesta, mutta hänen henkilöllisyytensä on todennettava erikseen, esimerkiksi henkilöllisyystodistuksesta tai vahvalla sähköisellä tunnistuksella.

Kuinka kauan KYC-tiedot pitää säilyttää?

Asiakkaan tuntemistiedot säilytetään viisi vuotta asiakassuhteen päättymisestä, minkä jälkeen ne on poistettava, ellei säilyttämiselle ole muuta lakiin perustuvaa syytä.

Kuka valvoo tilitoimistojen rahanpesulain noudattamista?

Vuoden 2026 alusta valvojana on Lupa- ja valvontavirasto. Aiemmin tehtävä kuului Etelä-Suomen aluehallintovirastolle.

Katsotaan yhdessä, mitä sinun listallasi tydyy

Esittely kestää noin 30 minuuttia etäyhteydellä, eikä sinun tarvitse valmistella mitään.

Varaa esittely Kokeile ilmaiseksi