Kryptovaluta og antihvitvasking - hvordan skal banker, betalingsforetak og andre rapporteringspliktige håndtere risikoen?

I takt med den voksende kryptonæringen har rapporteringspliktiges, særlig bankers håndtering av hvitvaskings- og terrorfinansieringsrisiko blitt utfordret. Risikofaktorene er mange. Men er de uhåndterlige?

Iboende risiko og sårbarheter

Kunnskap og forståelse for iboende risiko og sårbarheter er en grunnleggende forutsetning for å adressere risiko og å ivareta samfunnsansvaret som rapporteringspliktige er pålagt i kampen mot finansiell kriminalitet. 

Kryptovaluta er vurdert å ha en høy iboende risiko for hvitvasking og terrorfinansiering. Nasjonal risikovurdering fremhever en rekke metoder hvor kryptovaluta blir benyttet til å hvitvaske illegalt utbytte. Kryptovaluta blir også omtalt som et egnet virkemiddel for å finansiere terrorisme, ved at ulike typer kryptovaluta aksepteres som betalingsmiddel på det mørke nettet.

Enten det er tale om hvitvasking eller terrorfinansiering, handler arbeidet om å avdekke og motarbeide slik aktivitet om å følge pengestrømmer. Anonymisering og manglende sporbarhet på blokkjeden trekkes frem som særlige svakheter tilknyttet handel med kryptovaluta. I tillegg gjør miksere og tromler - som har som funksjon å tilsløre sporbarheten i kryptotransaksjoner - det desto mer utfordrende å spore transaksjoner på blokkjeden. Dessuten fører bruk av uregistrerte vekslingstjenester til ytterligere tilsløring av partene i transaksjonene.  

Etter en risikobasert tilnærming skal det iverksettes tiltak der risikoen er størst. Det foreligger imidlertid lite veiledning i regelverket for hvordan rapporteringspliktige skal håndtere risikoen knyttet til kryptovaluta. Dette vil kunne resultere i en ulik praksis blandt de rapporteringspliktige, og i ytterste konsekvens ulovlig de-risking. 

De-risking

De-risking, eller risikoeliminering, avskjærer den risikobaserte tilnærmingen, og handler om å redusere risiko ved å ekskludere den. Slik ekskludering av risiko er ikke tillatt etter hvitvaskingsregelverket da den risikobaserte tilnærmingen legger opp til at risiko skal håndteres – ikke avvises. Den siste tiden er problematikken rundt de-risking blitt belyst i større grad, og det er ventet at Finanstilsynet vil kontrollere dette blant norske rapporteringspliktige fremover. 

Hvordan håndtere risiko

¹ Se bl.a. Nasjonal risikovurdering pkt. 2.1
² Finanstilsynets risikovurdering 2019 pkt. 11
³ Se bl.a. Nasjonal risikovurdering pkt. 3.6.5.1 og Finanstilsynets risikovurdering 2019 pkt. 11
⁴ Se for eksempel Finanstilsynets arbeid med risikoeliminering i Norge

Ettersom handel med kryptovaluta er ansett for å innebære en høy iboende risiko for hvitvasking og terrorfinansiering, stilles det høyere krav til informasjon om og verifisering av midlenes opprinnelse for kunder i denne risikogruppen, sammenlignet med andre kundeforhold med normal risiko. Likevel vil ikke all befatning med kryptovaluta være en indikasjon på hvitvasking eller terrorfinansriering. 

Vurdering av virksomhetens eksponering mot risiko knyttet til kryptovaluta er en forutsetning for å identifisere og vurdere grunnlaget for en eventuell mistanke. Rapporteringspliktige bør vurdere plattformer og aktører, så vel som ulike virtuelle valutaer, for å nyansere risikoelementer.  

For eksempel vil de innstrammede kravene til regulering etter EUs femte hvitvaskingsdirektiv, innebære at transaksjoner som gjennomføres gjennom registrerte vekslere, representere en lavere risiko sammenlignet med uregistrerte vekslingstjenester utenfor Europa. Slik kan rapporteringspliktige differensiere mellom henholdsvis høy- og lavrisiko plattformer og aktører for å håndtere den iboende risikoen de representerer. Ulike virtuelle valutaers grad av anonymitet og manglende sporbarhet kan også nyanseres og vurderes. 

Aktiv bruk av indikatorlister vil gjøre det enklere for rapporteringspliktige å identifisere risiko og iverksette kundetiltak. Kundetiltak gir uttrykk for “know your customer”-prinsippet, og pålegger rapporteringsplikte å gjøre seg kjent med sine kunder og deres tjeneste- og produktbehov hos den rapporteringsplikte. Kundetiltakene skal være risikobaserte, hvor risiko blant annet vurderes ut fra transaksjoners størrelse, jf. hvvl. § 9 (1). Større uttak fra tilbydere av vekslings- og oppbevaringstjenester for kryptovaluta, vil derfor underlegges høyere krav til dokumentasjon og verifisering.

Verifisering av informasjon og dokumentasjon om midlenes opprinnelse har nær sammenheng med transaksjonenes sporbarhet. I realiteten ligger alle transaksjoner åpent på digitale plattformer og kan spores på blokkjeden. Manglende sporbarhet øker sannsynligheten for at det er benyttet mikser- og tromlertjenester, som igjen kan indikere at midlene har et illegitimt opphav. Tilsvarende gjelder motsatt vei: hvis det ikke er mulig å spore hvor midlene går til, kan det indikere at midlene blir benyttet til kjøp av ulovlige varer og tjenester, eller til å finansiere terrorisme. 

Det kan også benyttes verktøy og gratis søketjenester for å analysere og verifisere opprinnelsen til kryptovalutaen. Det er imidlertid ikke forventet at rapporteringspliktige utover tilbydere av vekslings- og oppbevaringstjenester for kryptovaluta, skal benytte avanserte analyseverktøy for håndtering av risiko knyttet til kryptovaluta. Eventuelle rapporter som fremlegges med ytterligere informasjon om midlenes opprinnelse, transaksjonskjeden og tilknytning til dark web-adresser, kan imidlertid bidra til verifisering av informasjon som innhentes i forbindelse med gjennomføring av kundetiltak etter hvitvaskingsregelverket.

Som nevnt innledningsvis er kunnskap og forståelse en grunnleggende forutsetning for å adressere risiko. Det er derfor essensielt å ha fokus på kompetanse. Rapporteringspliktige, herunder særlig banker, bør ha en dedikert person med ansvar for å sørge for intern kompetanseheving og opplæring vedrørende kryptovaluta. Slik sikres eierskap til risiko og bedre tiltak i kampen mot finansiell kriminalitet.

 ⁵ FATF - Virtual Assets Red Flag Indicators of Money Laundering and Terrorist Financing

Trenger din virksomhet bistand til å kartlegge, vurdere
og håndtere risiko knyttet til kryptovaluta?
Ta kontakt for spørsmål eller en uforpliktende prat.