Lagen om åtgärder mot penningtvätt och finansiering av terrorism (penningtvättslagen) ställer krav på att ett företag ska vidta åtgärder som står i proportion till de risker för penningtvätt och finansiering av terrorism som det är utsatt för. Detta brukar uttryckas som att företag ska ha ett riskbaserat förhållningssätt.

Riskbedömning

Enligt 2 kap 1 § Penningtvättslagen (2009:62) ska ett företag ha god kunskap om sina kunder, så kallad kundkännedom, på engelska även kallat Know Your Customer (KYC). Vad företaget behöver göra för att lära känna sin kund styrs av hur stor risken är att företaget utnyttjas för penningtvätt eller finansiering av terrorism. Företaget måste därför göra en bedömning av risken för att verksamheten utnyttjas för dessa ändamål.

Kontroll av kundens identitet

I penningtvättssammanhang talas om grundläggande åtgärder och skärpta åtgärder för att uppnå kundkännedom, (2 kap 3 §). Ju högre risken är att företagets verksamhet utnyttjas för penningtvätt eller finansiering av terrorism, desto mer omfattande åtgärder måste företaget vidta. Grundläggande åtgärder innebär att identifiera kunden genom att till exempel kontrollera identitetshandling eller registerutdrag. Om det kan antas att kunden inte handlar för egen räkning ska företaget, på lämpligt sätt, skaffa sig kännedom om identiteten hos den för vars räkning kunden handlar. Man talar då om kontroll av den verkliga huvudmannens identitet. Ett företag ska dessutom inhämta information om hur det egna företagets produkter och tjänster ska användas av kunden, och vad kundens affärsverksamhet går ut på.

Grundläggande åtgärder

I följande fall ska företag som står under tillsyn vidta grundläggande åtgärder för att uppnå kundkännedom:

1. Vid enstaka transaktioner som motsvarar 15 000 euro eller mer.
2. Vid transaktioner som understiger 15 000 euro men som kan antas ha samband med en eller flera andra transaktioner, och dessa tillsammans uppgår till 15 000 euro.
3. Vid etablering av en affärsförbindelse. Till skillnad från en enstaka transaktion förutsätts en affärsförbindelse ha viss varaktighet. När affärsförbindelsen anses vara etablerad varierar beroende på vilken produkt eller tjänst den avser. I typfallet anses en affärsförbindelse vara etablerad när företaget och kunden har kommit överens om att utföra en transaktion eller liknande.
4. Vid osäkerhet om tidigare mottagna uppgifter om kundens identitet är tillräckliga eller tillförlitliga. Företaget måste utifrån riskbedömningen avgöra om de tidigare inhämtade uppgifterna om kundens identitet är tillräckliga samt om företaget kan förlita sig på dessa uppgifter.

Om det finns misstankar om penningtvätt eller finansiering av terrorism ska företaget alltid vidta grundläggande åtgärder för kundkännedom, oavsett om någon av situationerna 1-4 föreligger.

Skärpta åtgärder vid kontakt från distans och för person i politiskt utsatt ställning (PEP)

Enligt 2 kap 11 § (2009:62) skall skärpta åtgärder vidtas om risken för penningtvätt eller finansiering av terrorism bedöms vara hög. Då kan företaget behöva hämta in ytterligare handlingar, uppgifter och information, och vidta åtgärder för att kontrollera eller bekräfta handlingarnas innehåll eller äkthet. Risken för penningtvätt och finansiering av terrorism ska förutsättas vara hög om kunden sköter kontakten med företaget på distans, eller om kunden är en person i en politiskt utsatt ställning som bor utomlands.

Förbjudet att ingå avtal utan kundkännedom

Om ett företag inte lyckas uppnå kundkännedom får en affärsförbindelse inte etableras eller en transaktion inte utföras med kunden. Om företaget redan har etablerat en affärsförbindelse ska denna avslutas, (2 kap 11 §).