1 (10) Finanssivalvonnalle kirjaamo@finanssivalvonta.fi Asia: Lausuntopyyntö 7/2008-19.12.2008, Dnro 6/121/2008 ASIAKKAAN TUNTEMINEN RAHANPESUN, TERRORISMIN RAHOITTAMISEN SEKÄ MARKKINOIDEN VÄÄRINKÄYTÖN ESTÄMINEN Rahoitustarkastus on pyytänyt lausuntoa Finanssialan Keskusliitolta muutetusta menettelytapastandardista Asiakkaan tunteminen - rahanpesun, terrorismin rahoittamisen sekä markkinoiden väärinkäytön estäminen (standardi 2.4). Lausuntopyynnössä on pyydetty erityisesti arvioimaan standardiluonnoksen kattavuutta, sisältöä ja rakennetta sekä tekemään ehdotuksia standardin kehittämiseksi. Finanssialan Keskusliitto esittää kunnioittavasti lausuntonaan seuraavan. On hyvä, että standardiluonnoksessa on pyritty konkretisoimaan riskiperusteiseen arviointiin ja riskiluokitteluun liittyviä kysymyksiä. Vaikka useassa kohdassa mainitaan riskiperusteinen lähestymistapa, standardista ei kuitenkaan selkeästi ilmene, milloin valvottavalla on käytännössä oikeus soveltaa periaatetta. Riskiperusteisen lähestymistavan sisältö ja merkitys käytännön toiminnan kannalta jäävät siten melko epäselviksi. Valvottavan kannalta uudet velvoitteet, kuten asiakassuhteen jatkuva seuranta ja tuntemista koskevien tietojen säännöllistä ylläpitoa koskevat kysymykset ovat jääneet luonnoksessa vähälle huomiolle. Vaikka tuntemistietojen säännöllinen ylläpito ja asiakassuhteen jatkuva seuranta on järjestettävä viime kädessä valvottavan omaan riskiperusteiseen arvioon perustuen, standardissa tulisi kuitenkin pyrkiä avaamaan yleisellä tasolla, miten riskiperusteisuus käytännössä voisi vaikuttaa tietojen ylläpitovelvoitteen ja jatkuvan seurannan käytännön toteuttamiseen. Myöskään tehostetun tuntemisvelvoitteen sisältö jää avoimeksi esimerkiksi valvottavan prosessien kehittämisen kannalta. Standardista tulee nimenomaisesti ilmetä myös, että valvottavan nykyisiin asiakkaisiin kohdistuvien ja uusiin säännöksiin perustuvien tuntemistoimien tulee voida perustua valvottavan riskiperusteiseen harkintaan, ja toimien käyttöönoton tulee voida tapahtua joustavassa aikataulussa. Standardissa tulisi kiinnittää huomiota myös käytetyn terminologian yhdenmukaisuuteen, yksiselitteisyyteen ja käytön johdonmukaisuuteen. Esimerkiksi ilmaisua todentaminen tulisi käyttää standardissa vain, kun kyse on henkilöllisyyden todentamisesta. Muissa tilanteissa tulisi viitata esimerkiksi tietojen tarkistamiseen.
2 (10) 1 Riskiperusteinen arviointi ja riskiluokitukset Standardiluonnoksessa ei ilmene selkeästi, että myös asiakaskohtaisen riskiluokituksen käyttöönoton tarve perustuu viime kädessä valvottavan omaan riskiperusteiseen arvioon, jolloin luokituksen käyttöönottoa ei tarvitse toteuttaa, jos valvottava ei näe sitä tarpeelliseksi oman toimintansa kannalta. Jos valvottava toteuttaa asiakaskohtaisen riskiluokituksen, luokituksen ja sen perusteiden tulee olla osa valvottavan riskienhallintaa ja kuulua valvottavan liikesalaisuuden piiriin. Valvottavalla ei tulisi olla ehdotonta velvollisuutta kertoa asiakkaalleen, mihin riskiluokkaan tämä kuuluu ja millä perusteella. Standardissa lähtökohtana näyttää olevan, että tehostettu tuntemisvelvollisuus merkitsee automaattisesti tavanomaista korkeampaa rahanpesun ja terrorismin rahoituksen riskiä. Käytännössä tehostetun tuntemismenettelyn kautta voidaan päätyä joko korkeaan, matalaan tai normaaliin riskiin. Tulkinnan peruslähtökohta on siten virheellinen ja se tulee oikaista, koska sillä on välitön vaikutus sekä riskiluokitteluun että riskiarviointiin. Luonnoksessa esitetty luokitteluesimerkki (kappale 14) saattaa käytännössä vetää huomion pois tapahtumista, joihin tosiasiassa liittyy tavanomaista suurempi rahanpesun ja terrorismin rahoituksen riski. Valvottavan kannalta on epäselvää, voidaanko asiakkaita taulukossa esitetyillä esimerkkikriteereillä edes luokitella eri riskikategorioihin. Tuoteriskien arvioinnin osalta voidaan lisäksi todeta, että johdannaistuotteet eivät ole lähtökohtaisesti sen suurempiriskisiä kuin muutkaan tuotteet. Myöskään valvottavan omaan henkilöstöön ei lähtökohtaisesti liity tavanomaisesta poikkeavaa rahanpesun ja terrorismin rahoituksen riskiä. Standardissa olisi hyvä ottaa yleisellä tasolla kantaa myös siihen, miten riskiarviota voidaan ja tulee pitää ajan tasalla (kappale 11). 2 Asiakkaan tunteminen Vakinaiseen asiakkaaseen ja satunnaiseen asiakkaaseen kohdistuvat tuntemistoimenpiteet tulee erottaa standardissa toisistaan siten, että satunnaiseen asiakkaaseen kohdistuvien tuntemistoimenpiteiden vähimmäistaso on mahdollisimman selkeästi määritelty. Standardiluonnoksesta saa helposti käsityksen, että valvottavien on kohdistettava satunnaiseen asiakkaaseen tuntemistoimenpiteet yhtä laajoina ja kattavina kuin vakituista asiakassuhdetta perustettaessa. Esimerkiksi käytännössä sovellettavien menettelytapojen määräytyminen riskiperusteisesti ei tule riittävän selkeästi ilmi. Tarpeellisten tietojen hankkimisen osalta standardia tulisi selvyyden mukaisesti täsmentää siten, että tietojen hankkiminen on riskiperusteista ja perustuu valvottavan riskiarvioon (kappale 49). Kappaleessa 50 todetaan, että valvottava voi yleensä kieltäytyä ottamasta asiakkaaksi tahoa---. Sana yleensä tulee poistaa.
3 (10) Maksajan pankki vastaa siitä, että varainsiirron mukana välitetään asetuksessa tarkoitetut tiedot (kappale 85). Käytännössä esimerkiksi SEPA-maksuilla välitetään ainoastaan viite. Lähtökohta on, että maksajan pankki säilyttää maksajasta asetuksessa tarkoitetut tiedot, jotta se voi ilmoittaa ne saajan pankin pyynnöstä, mutta käytännössä on epäselvää, onko maksajan palveluntarjoajalla velvollisuutta antaa tiedot maksutta. Vaatimus siitä, että valvottavan tulisi järjestelmien ja menettelytapojen avulla tunnistaa ilmeisen väärät tiedot (kappale 86) on käytännössä mahdoton toteuttaa, koska käytettävissä ei ole tietoja, johon tietojen ilmeistä vääryyttä voitaisiin verrata. Tämän vuoksi mainittu kohta ehdotetaan poistettavaksi. Lisäksi standardissa tulisi täsmentää, keitä ei ainakaan pidetä tosiasiallisina edunsaajina (kappale 31). Yksinkertaistettu tuntemismenettely Valvottavan näkökulmasta jää epäselväksi, miten 6 :ssä tarkoitettu riskiperusteinen lähestymistapa voidaan ottaa huomioon tilanteissa, joissa valvottava katsoo palvelun, asiakkaan tai tuotteen vähäriskiseksi tai mahdollisesti jopa täysin riskittömäksi 12 :n nojalla, mutta kyse ei ole 13 16 :ssä tarkoitetuista tilanteista. Standardissa ei ilmene esimerkiksi asiakaskohtaisesti todetun matalan riskin ja yksinkertaistetun menettelyn välinen suhde eikä se, mikä vaikutus asiakaskohtaisella riskiarviolla voisi käytännössä olla tuntemismenettelyjen laajuuteen ja kattavuuteen. Tilanne ilmenee käytännössä esimerkiksi, kun satunnainen asiakas maksaa kaikin puolin asianmukaisen laskun pankin konttorissa. Lisäksi esimerkkinä voidaan mainita yrityksen edustajiin sovellettavat tuntemismenettelyt eri tilanteissa. Käytännössä yksinkertaistetun tuntemismenettelyn ulkopuolelle rajataan siten esimerkiksi sellaisia suur- tai kansainvälisesti toimivia yrityksiä, joihin asiakkaina liittyy käytännössä alhainen rahanpesun ja terrorismin rahoituksen riski. Kappaleessa 12 tulisi viitata myös lain 12 :ään. Jos valtioneuvosto antaa asetuksen 12 :n soveltamisesta, viittaus tulisi korjata viimeistään silloin. Tehostettu tuntemismenettely Valvottavan kannalta standardissa jätetään avoimeksi, miltä osin ja miten tehostettua tuntemismenettelyä on käytännössä noudatettava (kappale 13 ja luku 5.3.1). Standardissa todetaan, että valvottavan tulee noudattaa tehostettuja toimia asiakkaisiin, joiden kanssa asiakassuhde alkaa ilman henkilökohtaista tapaamista (kappale 55). Tehostettu tuntemisvelvollisuus tarkoittaa mm. laajempaa selvitystä palveluista (kappale 56). Standardissa tulisi ottaa myös huomioon tilanteet, joissa asiakas on tavattu henkilökohtaisesti esimerkiksi samaan konsernin kuuluvan yhtiön toimipaikassa. Asiakassuhde konsernissa on alkanut henkilökohtaisella tapaamisella, minkä tulisi riittää, vaikka muus-
4 (10) sa samaan konserniin kuuluvassa yhtiössä asiakassuhde ei alkaisikaan enää henkilökohtaisella kontaktilla. Säännösten soveltamisen ei tulisi johtaa siihen, että sama asiakas jouduttaisiin käytännössä luokittelemaan yhtäällä konsernissa esimerkiksi "normaaliin" riskiluokkaan ja toisaalla korkeampaan riskiluokkaan. Toisessa valtiossa toimivien suurlähettiläiden ja asianhoitajien osalta standardin sanamuotoa (kappale 71) voidaan tulkita käytännössä siten, että Suomessa toimivan valvottavan kannalta toisen valtion suurlähettiläs Suomessa ei olisi poliittisesti vaikutusvaltainen henkilö, mutta sitä vastoin Saksassa toimiva Suomen suurlähettiläs olisi. Sanamuoto toisessa valtiossa toimiva tulisi muuttaa esimerkiksi muotoon toisen valtion. Kappaleen 1 kohdan parlamentin jäsenenä tulisi siirtää kappaleen 2 kohtaan. Lisäksi tulisi täsmentää, mitä varallisuutta ja varojen alkuperää koskeva selvitys voi käytännössä tarkoittaa (kappale 73). Asiakkaan tunnistaminen ja henkilöllisyyden todentaminen Säännöstasolla on riittävää, että henkilöllisyys todennetaan luotettavasta, voimassa olevasta ja viranomaisen myöntämästä asiakirjasta. Eri säännöksissä olevien tunnistamis- ja todentamisvaatimusten tulee olla yhdenmukaisia. Käytännön esimerkkinä voidaan mainita asiakassuhteen perustaminen (tilin avaus) ja verkkopankkipalvelusta sopiminen samassa yhteydessä. Verkkopankkipalvelun kiinteänä osana ovat verkkopankkitunnukset, joita voidaan käyttää myös muissa palveluissa tunnistautumiseen (ns. pankkitunnukset). Saman henkilöllisyysasiakirjan tulisi olla riittävä sekä tilin avauksessa että verkkopankkipalveluista sovittaessa. Lain 7 1 momentissa säädetään yksinomaan asiakkaan tunnistamisesta ja henkilöllisyyden todentamisesta momentissa luetelluissa tilanteissa. Standardissa säännöstä vastaavassa normissa (kappale 28) edellytetään kuitenkin kyseisissä tilanteissa asiakkaan tuntemiseen liittyvien menettelytapojen noudattamista. Normin sanamuoto tulee saattaa vastaamaan lain sanamuotoa. Lain 7 4 momentin mukaan ilmoitusvelvollisen tulee tunnistaa asiakkaansa ja todentaa asiakkaan henkilöllisyys asiakassuhdetta perustettaessa taikka viimeistään ennen kuin asiakas saa määräysvaltaansa liiketoimeen sisältyvät varat tai muun omaisuuden tai ennen kuin liiketoimi on suoritettu loppuun. Standardin säännöstä vastaavassa normissa (kappale 27) lähdetään kuitenkin siitä, että tunnistaminen voidaan saattaa loppuun myöhemmin ainoastaan poikkeustapauksessa. Lain 7 4 momentissa ei kuitenkaan edellytetä poikkeuksellisuutta. Normin sanamuoto tulee saattaa vastaamaan lain sanamuotoa. Maksajantieto-asetuksessa edellytetään maksajan tunnistamista ja henkilöllisyyden todentamista. Standardissa tulisi käyttää tältä osin johdonmukaisesti ilmaisua maksaja (kappale 29). Lisäksi kappale 85 on sanamuodoltaan epätäsmällinen, koska maksajan tietojen säilyttämisen ja edelleen välittämisen kannalta maksaja on aina tunnistettava, mutta hänen henkilöllisyytensä on todennettava vasta, kun käteismaksun suuruus on yli 1.000 euroa.
5 (10) Asiakkaan edustajat Kappaleessa 38 mainitaan asiakkaan toimittamat selvitykset, minkä jälkeen kappaleessa on luettelo viranomaisrekistereistä. Kappaletta ehdotetaan täydennettäväksi esimerkiksi seuraavasti: --- suosituksen. Valvottava voi tarkistaa asiakkaan antamia tietoja esimerkiksi viranomaisen ylläpitämistä rekistereistä. Tällaisia rekistereitä ---. Lisäksi kappaleessa 38 todetaan, että "todentamiseen ei yleensä riitä pelkästään se, että asiakkaan varojen todetaan tulevan asiakkaan luottolaitoksessa olevalta tililtä". Vaatimus perustunee lain 18 :ään (2 kohta), jota sovelletaan ainoastaan etätunnistettuihin asiakkaisiin. Vaatimuksen laajentaminen todentamiseen yleisesti liittyväksi toimenpiteeksi ei vastaa lain sanamuotoa. Vastaava vaatimus esitetään myös jäljempänä kappaleessa 64, jossa tulkinta on ristiriidassa lain 18 :n kanssa, koska kyseinen toimi on vaihtoehtoinen säännöksessä lueteltujen muiden toimien kanssa. Muiden mahdollisten toimien tulee olla puolestaan riskiperusteisia ja perustua valvottavan omaan harkintaan. Kaikki etätunnistamiseen liittyvät kysymykset tulisi standardissa muutenkin keskittää etätunnistamista koskevaan alakohtaan (kappaleet 62 64). Tupas tulisi mainita esimerkkinä muusta tietoturvallisesta ja todisteellisesta sähköisestä tunnistamistekniikasta, koska vaatimukset täyttäviä tunnistamistekniikoita voi olla muitakin (kappale 42). Ennalta ilmoitetun tilin ei tarvitse lain mukaan olla sama kuin alun perin ilmoitetun tilin, kuten standardin sanamuoto antaa aiheen ymmärtää, vaan tiliä voidaan muuttaa (kappaleen 42 ns. loogista kokonaisuutta koskeva luetelmakohta). Esimerkkiin olisi myös hyvä lisätä arvo-osuustilien lisäksi maininta rahasto-osuuksien merkinnästä ja lunastamisesta, joissa varojen siirto toteutetaan käytännössä useimmiten tilisiirtoina. Kappaleen 44 todentamisessa käytettävien asiakirjojen luettelo ehdotetaan muutettavaksi seuraavaan muotoon: a) Luonnollisen henkilön henkilöllisyys on todennettava luotettavalla asiakirjalla, joita ovat voimassa oleva suomalaisen viranomaisen myöntämä: 1) ajokortti 2) poliisiviranomaisen antama henkilökortti 3) passi 4) muukalaispassi tai pakolaisen matkustusasiakirja 5) kuvallinen KELA-kortti b) Luonnollisen henkilön henkilöllisyys voidaan todentaa myös muun maalaisella voimassaolevalla: 1) kansallisella ulkomaanpassilla 2) matkustusasiakirjana hyväksyttävällä henkilötodistuksella Standardissa edellytetään asiakkaan edustajan tunnistamista ja henkilöllisyyden todentamista (kappaleet 30 ja 47). Sanamuoto ei ole lain 7 3 momentin mukainen, koska säännöksessä edellytetään edustajan henkilöllisyyden todentamista tarvittaessa.
6 (10) Standardissa tulisi tarkentaa niitä malleja tai menettelytapoja, jotka koskevat asiakkaan edustajan tunnistamista ja henkilöllisyyden todentamista. Käytännössä edustaja voi toteuttaa asiakkaan puolesta liiketoimia hyvin monella tavalla, jolloin kaavamainen edustajan tunnistaminen ja tarvittaessa henkilöllisyyden todentaminen voi olla vaikea toteuttaa, esimerkkinä markkina- ja varainhoitotoiminnot ja verkkopankin käyttö. Edustajien tunnistamisessa on voitava käyttää erilaisia menetelmiä riippuen tilanteesta ja asiakkaan olosuhteista, kuten suurten ja pienten yritysasiakkaiden väliset erot sekä eri asiointitilanteet, joissa asiakkaan edustaja asioi pankin kanssa. Esimerkkinä voidaan mainita yrityksen verkkopankki ja käyttäjien tunnistaminen palvelussa sekä eri liiketoiminta-alueille tyypilliset erityispiirteet, kuten puhelimitse annettujen toimeksiantojen vastaanottaminen esim. markkina- ja varainhoitopalveluissa. Lisäksi yritysten käytössä olevan verkkopankin käyttäjien osalta tulee voida jatkaa nykyistä Rahoitustarkastuksen hyväksymää tunnistamismenettelyä. Valvottavalla ei tulisi olla velvollisuutta tunnistaa tai todentaa oikeushenkilölle luovutettujen verkkopankkitunnusten tms. käyttäjää erikseen. Asianajajien asiakasvaratilien ja niiden edunsaajien henkilöllisyyttä koskevien tietojen luovuttaminen luottolaitokselle on käytännössä mahdotonta, koska lainsäädännössä ei liene säännöstä kyseisten tietojen luovuttamisesta. Kappaleessa 33 onkin syytä tuoda nimenomaisesti esille se, että asianajajia koskee salassapitovelvoite omia asiakkaitaan kohtaan. Tämän vuoksi lakia voidaan käytännössä soveltaa ainoastaan siten, että pankin ei tarvitse erikseen tunnistaa asiakasvaratileillä olevien varojen haltijoita. Kappaleesta tulisi poistaa teksti, jos tosiasiallisen edunsaajan henkilöllisyys on luottolaitoksen saatavilla. Asiakkaana ei voida pitää edunvalvojaa, vaikka kyseessä on vajaavaltainen henkilö (kappale 34). Laissa edellytetään pelkästään edustajan tunnistamista ja henkilöllisyyden todentamista tarvittaessa sekä edustajan yksilöintitietojen säilyttämistä. Jos standardissa lähdetään kuitenkin siitä, että vajaavaltaisen edunvalvojaa on pidettävä asiakkaana, standardissa on täsmennettävä, kuinka laajoja asiakkaan tuntemistoimenpiteitä edunvalvojaan on kohdistettava. Lisäksi tuntemisvelvoitteen laajuus tulisi täsmentää tilanteissa, joissa edunvalvojana toimii viranomainen. Asiakkaan toiminnan jatkuva seuranta Standardissa tulisi täsmentää tarkemmin, mitä jatkuva seuranta tarkoittaa ja mitä toimia siihen lähtökohtaisesti sisältyy. Lisäksi standardissa tulee nimenomaisesti todeta, että myös jatkuva seuranta määräytyy valvottavassa riskiperusteisesti ja perustuu valvottavan omaan riskiarvioon. Lisäksi IT-monitorointijärjestelmä ehdotetaan korvattavaksi teknologianeutraalilla ilmaisulla monitorointijärjestelmä (5 luvun 8 kappaleeseen liittyvä kaavio). Lain perusteluissa todetaan nimenomaisesti, että isoille yrityksille, kuten luottolaitoksille, seurantavelvollisuus saattaa edellyttää esimerkiksi tietojärjestelmämuutoksia, mutta nimenomaisesti ITpohjaista monitorointijärjestelmää ei edellytetä.
7 (10) Tuntemistietojen dokumentointi ja säilyttäminen Tuntemistietojen dokumentoinnin ja säilyttämisen (luku 5.4) yhteydessä tulisi ottaa kantaa myös henkilöllisyyden todentamistietojen dokumentointiin ja säilyttämiseen. Standardissa tulisi täsmentää, missä määrin todentamistietoja on säilytettävä. Jos käytännön toimet ovat valvottavan päätettävissä, tämä tulisi mainita standardissa. Julkisten rekisterien käyttö Standardin mukaan valvottavalla on oltava käytössään menetelmät, joiden avulla se todentaa asiakkaan henkilöllisyyden ja asiakkaan antamat tiedot esimerkiksi julkisista rekistereistä saatavien tietojen avulla (kappale 37). Standardissa olisi täsmennettävä, että julkisilla rekistereillä tarkoitetaan suomalaisten viranomaisten ylläpitämiä rekistereitä. Laissa ei myöskään aseteta nimenomaista velvoitetta todentaa henkilöllisyyttä koskevat tiedot tai tarkistaa asiakkaan antamia muita tietoja julkisista rekistereistä (kappale 37). Henkilöllisyys voidaan tarvittaessa todentaa viranomaisrekisteristä, mutta muiden asiakastietojen tarkistaminen on jo huomattavasti rajoitetumpaa. Henkilöllisyydenkin todentamisessa riittää yleensä asiakkaan esittämä henkilöllisyysasiakirja. Lisäksi julkisten rekisterien hyödynnettävyys ja julkinen luotettavuus vaihtelevat. Kappale 37 tulisikin muotoilla uudelleen. Oikeushenkilön osalta edellytetään rekisteriotteen hankkimista (kappale 47). Koska kyse on valvottavaa sitovasta määräyksestä, kappaletta tulee tarkentaa ulkomaisten oikeushenkilöiden osalta. Ulkomaisista rekistereistä ei välttämättä saada kaikkia vaadittavia tietoja. Tällöin esimerkiksi muun selvityksen siitä, että oikeushenkilö on rekisteröity, tulisi olla riittävä. Myös muiden vaadittavien tietojen osalta tulisi olla riittävää, että tiedot ilmenevät luotettavasta asiakirjasta tai asiakirjoista edellyttämättä nimenomaisesti rekisteriotetta. Laissa ei aseteta valvottaville velvoitetta verrata asiakkaan antamia tietoja julkista rekistereistä saataviin tietoja (kappale 51). Valvottavalla tulisikin olla harkintavaltaa tarkistusten osalta ja niiden olisi perustuttava valvottavan omaan riskiperusteiseen arvioon. Kappaleessa 46 mainittu EU:n komission ylläpitämä Prado-tietokanta on toteutettu mm. asiakirjaväärennösten estämiseksi siten, että henkilöllisyysasiakirjan aitoudesta ei voida käytännössä luotettavasti varmistua. Lisäksi kyseiseen rekisteriin viedyt asiakirjat eivät välttämättä täytä edes kyseisessä jäsenvaltiossa asiakassuhdetta perustettaessa vaadittavalle henkilöllisyysasiakirjalle asetettuja vaatimuksia. Rekisteri voi sisältää esimerkiksi kyseisessä jäsenvaltiossa käytössä olevien ajokorttien malleja. Kappaleesta 46 tulisi poistaa viittaus Prado-tietokantaan. Valvottavalta voidaan edellyttää vain, että se on voinut kohtuudella varmistua asiakirjan aitoudesta. Lisäksi valvottavalla tulee aina olla oikeus vaatia asiakkaalta lisäselvityksiä henkilöllisyyden todentamiseksi eikä yksinomaan epäilyttävissä tilanteissa (kappaleen viimeinen virke).
8 (10) Julkiset varoituslistat Standardiluonnoksessa viitataan julkisiin varoituslistoihin määrittelemättä täsmällisesti, mitä niillä tarkoitetaan. Standardin perusteella jää epäselväksi, miten valvottavien tulisi suhtautua eri maiden viranomaisten ylläpitämiin ja julkaisemiin julkisiin varoituslistoihin (esim. OFAC). Myös EU-pakoteasetusten ja YK:n antamien pakotelistojen eriyttäminen toisistaan on omiaan aiheuttamaan hämmennystä (kappaleet 59, 100 ja 101). Valvottavien kannalta olisi selkeämpää, jos seurantavelvoite kohdistuisi yksinomaan EU-pakoteasetuksiin Standardissa on lisäksi kokonaan sivuutettu kysymys, mihin valvottavan oikeus käsitellä sellaisten tahojen henkilötietoja, jotka eivät ole pankin asiakkaita, perustuu. Useimmiten pakotelistalla olevat henkilöt eivät ole pankin asiakkaita. Standardissa tulee todeta nimenomaisesti, että valvottavalla on oikeus käsitellä tietoja ja se, mihin oikeus perustuu. Valvottavan tulee ilmoittaa rahanpesun selvittelykeskukselle, jos se löytää rekistereistä asiakkaan, jonka yksilöintitiedot ovat lähellä pakotteiden kohteena olevien tietoja (kappale 103). Laissa ei edellytetä ilmoituksen tekemistä. Jos standardissa asetetaan kyseinen velvoite, tulee määritellä kriteerit, milloin osuma on käytännössä riittävän lähellä. 3 Selonottovelvollisuus ja ilmoitusvelvollisuus Standardissa edellytetään, että valvottavan tulee osoittaa viranomaiselle, miten se noudattaa selonotto- ja ilmoitusvelvollisuutta (kappaleet 5 ja 15). Ilmoitusvelvollisuutta koskeva velvoite ei perustu lakiin (lain 6 5 momentti ja HE 25/2008 vp. s. 40 41). Ilmoitusvelvollisuus tulee erottaa selkeästi asiakkaan tuntemiseen liittyvistä menettelyistä. Lisäksi tuntemiseen sisältyvä selonottovelvollisuus tulee erottaa ilmoitusvelvollisuuteen liittyvästä selonottovelvollisuudesta. Ehdotamme, että kappale 61(s. 26) tehostetusta ilmoitusvelvollisuudesta siirretään lukuun 5.7, jossa käsitellään rahanpesulain mukaista ilmoitusvelvollisuutta. Ilmaisu rahoitustoimiala on sisällöltään epätäsmällinen (kappale 92), minkä vuoksi se tulisi poistaa tai määritellä tarkemmin. Valvottava voidaan standardissa esitetyn mukaan tuomita ilmoitusvelvollisuuden laiminlyönnistä rikosoikeudelliseen seuraamukseen (kappale 95). Oikeushenkilön rangaistusvastuu määräytyy rikoslain 32 luvun 14 :n nojalla, jolloin valvottavalle voidaan määrätä rikoslain 9 luvun mukainen seuraamus, kun kyseessä on rahanpesu tai törkeä rahanpesu. Esimerkiksi ilmoitusrikkomuksesta ei valvottavalle voida määrätä rikosoikeudellista seuraamusta. Perustelua tulisikin tarkentaa niin, että se on lain mukainen.
9 (10) Laissa ei ole mielestämme valtuutussäännöstä, jonka nojalla rahanpesun selvittelykeskus voisi antaa ilmoituksen tietosisällöstä ja ilmoitusmenettelystä tarkempia määräyksiä (kappale 98). Lisäksi standardissa tulisi tarkentaa, missä yhteisölle on myönnetty toimilupa (kappaleen 99 ensimmäisen luetelmakohdan 1. virke). 4 Rahanpesun ja terrorismin rahoituksen riskien hallinnan järjestäminen valvottavassa Standardin nojalla valvottavan tulee nimetä ylimmästä johdosta henkilö, joka vastaa rahanpesun ja terrorismin rahoitukseen liittyvien riskien riskienhallinnasta. Standardissa tulisi määritellä selvyyden vuoksi, tarkoitetaanko ylimmällä johdolla sisäisen valvonnan ja riskienhallinnan järjestämisestä annetussa standardissa 4.1 tarkoitettua ylintä johtoa. Epäselväksi jää myös, miksi ylimmästä johdosta tulisi nimetä erityisesti rahanpesun ja terrorismin rahoituksen riskien hallinnasta vastaava henkilö, vaikka valvottavan ylimmässä johdossa on nimettävä riskienhallinnasta yleisesti vastaava henkilö. Rahanpesun ja terrorismin rahoituksen riskien hallinta on osa valvottavan muuta riskienhallintaa, ja velvoite on omiaan tarpeettomasti edistämään rahanpesuun ja terrorismin rahoitukseen kohdistuvien riskien hallinnan eriytymistä valvottavan muusta riskienhallinnasta. Jos erikseen nimettyä vastuuhenkilöä edellytetään, standardissa tulisi tällöin tarkentaa, millä perusteilla tällainen henkilö olisi valittava, mitä velvoitteita ja vastuita hänellä olisi ja miten hänen tulisi osallistua rahanpesun estämiseen liittyvien asioiden hoitamiseen valvottavassa. Ylimmän johdon on varmistuttava siitä, että sovittuja menettelytapoja noudatetaan yhtenäisesti koko konsolidointiryhmässä" (kappale 19). Standardissa tulee tarkentaa selvyyden vuoksi, tarkoitetaanko ylimmällä johdolla esimerkiksi konsernin emoyrityksen ylimpää johtoa vai ulottuuko velvoite myös tytäryhteisöjen johtoelimiin. Henkilöstölle järjestettävän koulutuksen säännöllisyyttä ja kattavuutta tulisi konkretisoida. Valvontaviranomaisen tulisi ottaa yleisesti kantaa myös siihen, miten koulutusrekisteri tulisi käytännössä järjestää ja mitä tietoja siitä tulee ilmetä, kuten se, onko tiedot kerättävä yksilö- vai yksikkötasolla vai jollain muulla tavalla. 5 Muita havaintoja Standardiluonnoksen useassa kohdassa viitataan sähköistä vahvaa tunnistamista ja sähköisiä allekirjoituksia koskevaan lainsäädäntöhankkeeseen. Koska kyseessä ei ole voimassaoleva säädös, viittaukset tulee poistaa. Alaviitteisiin on jäänyt viittauksia direktiiveihin, jotka tulisi korvata kansallisella lainsäännöllä (s. 27, 28 ja 29). Kappaleessa 29 tulisi ilmeisesti viitata standardin 5.5 lukuun 5.6 luvun sijasta. Kappaleessa 58 (s. 25) viitataan kappaleeseen 55, vaikka kappaleessa ilmeisesti pitäisi viitata kappaleeseen 54. Kappaleen 71 toisen alakappaleen 2 kohdassa pitäisi lukea "lapset ja heidän aviopuolisonsa".
10 (10) 6 Määritelmät Kappaleen 99 (s. 34) ensimmäisen luetelmakohdan neljänneltä riviltä puuttuu sana jos. Määritelmien (s. 40) kappaleessa 8 todetaan, että ilmoitusvelvollisuus tarkoittaa ilmoitusta epäilyttävästä arvopaperikaupasta. Ilmoitusvelvollisuuteen sisältyy yleisesti velvollisuus tehdä ilmoitus epäilyttävästä liiketoimesta. Lisäksi viimeisenä suluissa oleva rahanpesulain säädösnumero on vanha. Normit tulisi kirjoittaa standardissa johdonmukaisesti auki (esimerkiksi kappaleet 39 ja 40). Asiakas on määritelty luonnoksessa mielestämme puutteellisesti. Niin direktiivissä, laissa kuin standardiluonnoksessakin lähdetään perustilanteesta, jossa asiakas asioi konttorissa, jossa asiakas tunnistetaan, todennetaan henkilöllisyys ja jossa toteutetaan muut tuntemistoimenpiteet. Käytäntö ja palvelutilanteet ovat monimuotoisimpia ja monimutkaisimpia. Tämä tulee huomioida myös standardissa. Määritelmää tulisi lisäksi tarkentaa siten, että asiakas on henkilö, jonka nimiin tai nimissä asiakassuhde perustetaan. Asiakkaan tunnistaminen -määritelmää tulee täsmentää siten, että kyseessä voivat olla myös asiakkaan edustajan toimittamat tiedot. Tällöin määritelmä kattaisi esimerkiksi edunvalvojan tai oikeushenkilön edustajan toimittamat tiedot. Harmaan talouden toimiala tulee määritellä, mitä käsitteellä tässä yhteydessä tarkoitetaan, koska kyseessä ei ole virallinen toimialaluokitus. Kolmas osapuoli tulee määritellä standardissa erikseen. Monimutkainen omistusrakenne tulisi määritellä. Käytännön soveltamisen kannalta standardissa tulisi linjata ainakin se, minkälaisista järjestelyistä tyypillisesti voi olla kyse. Oikeushenkilön edustaja tulisi määritellä selvyyden vuoksi ja täsmentää, mitä käsitteellä tarkoitetaan. Suomen viranomainen tulee määritellä selvyyden vuoksi. Aina ei ole selvää, milloin kyseessä on laissa tarkoitettu viranomainen ja milloin julkista valtaa käyttävä muu taho. Käsitteen määrittelyllä on käytännössä merkitystä tuntemisvelvoitteen laajuuden kannalta Ylin johto -käsitteen sisältö tulee määritellä selvyyden vuoksi. Jos käsite vastaa sisäisestä valvonnasta ja riskienhallinnasta annetun standardin (standardi 4.1) määritelmää, standardissa tulisi olla ainakin viittaus kyseiseen standardiin. Lisäksi standardissa tulisi määritellä termi ylempi johto (kappaleet 66 ja 77). FINANSSIALAN KESKUSLIITTO Erkki Kontkanen johtaja