Tilitoimiston riskiarvio: näin teet rahanpesulain vaatiman arvion

Sisällys

1. Miksi kirjanpitäjän riskiarvio on erilainen?
2. Miksi mallipohja ei riitä?
3. Mitä riskiarvio sisältää?
4. Kuinka usein riskiarvio päivitetään?
5. Kuka riskiarvion hyväksyy?
6. Tarkistuslista
7. Miten riskiarvio pysyy ajan tasalla Tydyyssä?
8. Usein kysyttyä

Riskiarvio on rahanpesulain velvoitteista se, joka ratkaisee muut. Sen perusteella päätetään, milloin asiakkaan tuntemista saa keventää, milloin sitä pitää tehostaa ja kenen tietoja seurataan tarkemmin. Siksi se on myös ensimmäisiä asioita, joita valvoja voi pyytää nähtäväksi.

Tämä artikkeli perustuu Lupa- ja valvontaviraston ohjeisiin rahanpesun estämisestä ja riskiarvion laatimisesta. Virasto julkaisee sivullaan myös riskiarvion lomakepohjan.

Miksi kirjanpitäjän riskiarvio on erilainen?

Monen muun toimialan riskiarviossa pääpaino on siinä, miten yrityksen omia palveluja voidaan käyttää väärin. Kirjanpitäjän velvollisuus perustuu ennen kaikkea siihen, että kirjanpitäjä pystyy havaitsemaan asiakkaan epäilyttäviä liiketoimia.

Siksi tarkastelun kohteena on valvojan mukaan ennen kaikkea oma asiakaskunta ja sen toimialat. Tyypillinen puute on se, että näitä riskejä ei ole arvioitu riittävästi.

Miksi mallipohja ei riitä?

Mallipohjaa saa käyttää apuna, mutta arvion pitää perustua oman toiminnan huolelliseen arviointiin. Valvojan ohjeen mukaan esimerkiksi pelkän yrityksen nimen, toimialan ja liikevaihdon täydentäminen mallipohjaan ei ole riittävää.

Hyvä testi on tämä: jos arvio sopisi sellaisenaan naapuritoimistolle, se on liian yleinen.

Mitä riskiarvio sisältää?

1. Perustiedot

Kirjaa arvion laatimispäivä, vastuuhenkilö, mukana olleet tahot ja käytetyt lähteet. Merkitse myös päivitykset ja se, jos arviota on tarkasteltu eikä muutostarvetta ole löytynyt.

2. Palvelut

Kuvaa, mitä palveluja toimisto tarjoaa. Riskit ovat erilaiset, jos toimisto hoitaa pelkän kirjanpidon tai esimerkiksi myös maksuliikenteen, palkat tai hallinnollisen osoitteen. Jos toimisto tarjoaa asiakkaalle hallinnollisen osoitteen kaupparekisteriä varten, se on valvontarekisterissä lisäksi yrityspalvelun tarjoaja.

3. Asiakasryhmät

Pelkkä jako pieniin ja suuriin yrityksiin jää liian yleiseksi. Valvoja kehottaa tilitoimistoa ryhmittelemään asiakkaat toimialan perusteella. Esimerkiksi:

Taulukko on esimerkki rakenteesta. Riskit pitää arvioida oman asiakaskunnan mukaan.

4. Maat ja alueet

Arvioi asiakkaan johdon ja edunsaajien kotimaat, liiketoiminnan kohdemaat ja keskeisten sopimuskumppaneiden maat. Korkean riskin valtioihin liittyvissä tilanteissa on noudatettava tehostettua menettelyä.

5. Pakotteet

Kirjanpitäjän on arvioitava myös pakotteisiin ja niiden kiertämiseen liittyvät riskit. Riskiarvion perusteella päätetään, ulotetaanko tarkistus asiakkaiden ja edunsaajien lisäksi esimerkiksi liikekumppaneihin tietyillä riskialoilla tai alueilla. Asiakkaiden ja edunsaajien vertaamista listoihin ei voi jättää pois.

Huomioi myös sektoripakotteet. EU on esimerkiksi kieltänyt kirjanpitopalveluiden suoran ja välillisen tarjoamisen Venäjälle sijoittautuneille oikeushenkilöille.

6. Hallintakeinot

Kuvaa, miten riskejä hallitaan: tuntemisen prosessit, tietojen päivitys, etätunnistaminen, pakotemonitorointi, käytetyt järjestelmät, koulutus ja sisäinen valvonta. Kirjaa myös puutteet. Arvio, jonka mukaan kaikki toimii täydellisesti, ei ole kovin uskottava.

7. Jäljelle jäävä riski

Lopuksi arvioidaan jäännösriski eli se riski, joka jää hallintakeinoista huolimatta. Numeroasteikkoa saa käyttää, mutta sanallinen arvio on tärkeämpi. Olennaista on näyttää päättelyketju: tunnistettu riski, hallintakeino ja jäljelle jäävä riski. Jos jäännösriski hyväksytään ilman lisätoimia, se perustellaan.

Kuinka usein riskiarvio päivitetään?

Riskiarviota on päivitettävä säännöllisesti, esimerkiksi kun toiminta tai asiakaskunta muuttuu. Valvoja kehottaa miettimään päivitysrytmin jo arviota laadittaessa. Käytännössä hyviä hetkiä ovat:

• vuosittainen tarkastelu
• uusi palvelu tai uusi asiakastoimiala
• ulkomaisten asiakkaiden määrän kasvu
• uusi järjestelmä tai etätunnistamisen käyttöönotto
• kansallisen tai valvojan oman riskiarvion päivittyminen.

Finanssivalvonnan määräykset 2/2023 koskevat finanssialan toimijoita eivätkä tilitoimistoja, mutta niiden periaate on hyvä muistisääntö: riskiarviota päivitetään, kun riskitekijät tai riskienhallintakeinot muuttuvat, ja päivitykset perustellaan.

Kuka riskiarvion hyväksyy?

Toimintaperiaatteet ja menettelytavat hyväksyy oikeushenkilössä hallitus, vastuunalainen yhtiömies tai muu ylimpään johtoon kuuluva. Toimiston on myös nimettävä johdostaan henkilö, joka vastaa rahanpesulain noudattamisen valvonnasta.

Tarkistuslista

• Arvio on kirjallinen, ja siinä on laatimispäivä ja vastuuhenkilö
• Asiakkaat on ryhmitelty toimialoittain
• Palvelujen, asiakkaiden ja maiden riskit on arvioitu
• Pakote- ja kiertoriskit on arvioitu
• Yksinkertaistetun ja tehostetun menettelyn perusteet on kirjattu
• Hallintakeinot ja niiden puutteet on kuvattu
• Jäännösriski on arvioitu sanallisesti
• Päivitysrytmi on sovittu, ja tarkastelut kirjataan
• Ylin johto on hyväksynyt toimintaperiaatteet

Miten riskiarvio pysyy ajan tasalla Tydyyssä?

Tydyyn KYC-lisäpalvelussa toimiston riskiarvio tallennetaan versioina, ja hyväksyntä näkyy versiohistoriassa. Näkymässä on asiakaskunnan tunnusluvut, kuten yleisimmät toimialat, joten arvio voi perustua oman asiakaskunnan todellisiin lukuihin eikä muistikuviin. Itse arvion ja sen perustelut tekee toimisto. Katso asiakkaan tunteminen.

Valvonnasta kerrotaan lisää artikkelissa rahanpesuvalvonta tilitoimistossa.

Tämä artikkeli on yleiskatsaus eikä oikeudellista neuvontaa. Tarkista ajantasaiset vaatimukset Lupa- ja valvontaviraston ohjeista.

Pitääkö pienen tilitoimiston tehdä riskiarvio?

Pitää. Riskiarvio on tehtävä kirjallisesti toimiston koosta riippumatta. Sen laajuus riippuu toiminnan luonteesta, koosta ja laajuudesta, mutta pieni liikevaihto ei yksin tarkoita, että arvio voi olla suppea.

Riittääkö mallipohja riskiarvioksi?

Ei. Mallipohjaa saa käyttää apuna, mutta arvion on perustuttava oman toiminnan ja asiakaskunnan arviointiin. Lupa- ja valvontaviraston mukaan pelkkä nimen, toimialan ja liikevaihdon täydentäminen ei riitä.

Kuinka usein riskiarvio pitää päivittää?

Säännöllisesti ja aina, kun toiminta tai asiakaskunta muuttuu. Toimisto päättää päivitysrytmin itse. Myös tarkastelu, jossa muutostarvetta ei löytynyt, kannattaa kirjata.

Kuka vastaa riskiarviosta?

Riskiarvioon kirjataan sen laatimisen vastuuhenkilö. Rahanpesulain noudattamisen valvonnasta vastaa toimiston johdosta nimetty henkilö, ja ylin johto hyväksyy toimintaperiaatteet ja menettelytavat.

Katsotaan yhdessä, mitä sinun listallasi tydyy

Esittely kestää noin 30 minuuttia etäyhteydellä, eikä sinun tarvitse valmistella mitään.

Varaa esittely Kokeile ilmaiseksi