2. Sveriges system för att motverka penningtvätt

Avsnitt

2.1 Sveriges förebyggande arbete mot penningtvätt

Sveriges system för att bekämpa penningtvätt vilar på två ben: den förebyggande delen (ibland kallat den administrativa delen) och den straffrättsliga delen. Som framgick i kapitel 1 ingår dock inte de brottsbekämpande myndigheternas arbete med att utreda och lagföra personer som begår penningtvättbrott i granskningen. Det följande avsnittet kommer därför endast beskriva det regelverk som utgör grunden för det förebyggande arbetet och för de granskade myndigheternas tillsyn.

Det är dock värt att lyfta fram att det finns en koppling mellan den förebyggande och den brottsbekämpande delen i form av den nationella samordningsfunktionen för åtgärder mot penningtvätt och finansiering av terrorism som leds av Polisen. Funktionen består av representanter från 16 myndigheter[24] samt Sveriges advokatsamfund och fungerar som ett forum för informationsutbyte och kunskapsöverföring mellan organisationerna. De ska även löpande identifiera, kartlägga och analysera risker och metoder för penningtvätt, sammanställa nationella riskbedömningar samt ge information till verksamhetsutövare som kan bidra till deras allmänna riskbedömningar och andra åtgärder för att motverka penningtvätt.[25]

Som framgick av avsnitt 1.3 har krav och rekommendationer från FATF och EU legat till grund för utformningen av de lagar, förordningar och föreskrifter som styr det förebyggande arbetet mot penningtvätt. Lagen om åtgärder mot penningtvätt och finansiering av terrorism anger vilka åtgärder verksamhetsutövare är skyldiga att vidta för att förhindra att deras verksamhet används för penningtvätt och reglerar länsstyrelsernas tillsyn. Förordningen om åtgärder mot penningtvätt och finansiering av terrorism reglerar bland annat Bolagsverkets registrering av vissa verksamhetsutövare och samordningsfunktionens verksamhet. När det gäller Finansinspektionens tillsyn så styrs den av tolv separata rörelselagar som reglerar myndighetens tillsyn och möjligheter att göra ingripanden.[26] Finansinspektionen och länsstyrelserna har även utfärdat föreskrifter som på mer detaljerad nivå anger vad verksamhetsutövarna behöver göra för att leva för att leva upp till lagen om åtgärder mot penningtvätt och finansiering av terrorism.

2.1.1 Penningtvättslagen ställer en rad krav på verksamhetsutövarna

De krav som lagen om åtgärder mot penningtvätt och finansiering av terrorism ställer på verksamhetsutövarna kan delas upp i följande delar:

Allmän riskbedömning: Varje verksamhetsutövare ska göra en bedömning av på vilket sätt som de produkter och tjänster som de tillhandahåller skulle kunna utnyttjas för penningtvätt och hur stor risken är att det sker. Den här allmänna riskbedömningen ska finnas dokumenterad och hållas uppdaterad. Syftet med den allmänna riskbedömningen är att skapa en grund för verksamhetsutövarens rutiner och övriga åtgärder för att motverka penningtvätt.

Kundkännedom: En verksamhetsutövare ska ha kännedom om sina kunder. När utövaren ingår en affärsförbindelse finns krav på att i vissa fall identifiera vem kunden är, utreda kundens ägarförhållanden (om det är en juridisk person eller liknande) och bedöma om kunden är en person i politiskt utsatt ställning.

Verksamhetsutövaren får inte etablera eller upprätthålla en affärsförbindelse, eller utföra enstaka transaktioner, om den inte har tillräcklig kännedom om kunden för att kunna hantera risker för penningtvätt som kan förknippas med kundrelationen. Inte heller får det etableras eller upprätthållas en affärsförbindelse om det saknas tillräcklig kännedom om kunden för att kunna övervaka och bedöma kundens aktiviteter och transaktioner. Det finns vissa undantag från de här kraven i situationer där advokater, jurister, revisorer och skatterådgivare har affärsförbindelser som syftar till att försvara eller företräda en klient.

Riskbedömning av kunder: Verksamhetsutövare ska göra en bedömning av vilken risk för penningtvätt som kan förknippas med respektive kund. Under en pågående affärsförbindelse ska kundens riskprofil följas upp och ändras vid behov.

Övervakning och rapportering: Verksamhetsutövare ska övervaka pågående affärsförbindelser och bedöma enstaka transaktioner. Inriktningen och omfattningen av övervakningen ska bestämmas utifrån beaktande av riskerna i den allmänna riskbedömningen, risken för penningtvätt som kan förknippas med den enskilda kundrelationen och annan information om tillvägagångssätt för penningtvätt.

Om verksamhetsutövare upptäcker avvikelser eller misstänkta aktiviteter eller transaktioner ska de göra en bedömning av om det finns skälig grund att misstänka att det förekommer penningtvätt. Om så är fallet ska uppgifter om alla omständigheter som kan tyda på detta, utan dröjsmål rapporteras till Polisen.

Rutiner, riktlinjer och utbildning: En verksamhetsutövare ska ha dokumenterade rutiner och riktlinjer som styr åtgärder för kundkännedom, övervakning och rapportering. Dessa ska vara anpassade efter den allmänna riskbedömningen. Verksamhetsutövaren ska också se till att anställda och andra som deltar i verksamheten fortlöpande får utbildning och information om relevanta delar av regelverket för att motverka penningtvätt, verksamhetsutövarens allmänna riskbedömning samt rutiner och riktlinjer.

2.1.2 Internationella utvärderingar av Sveriges penningtvättstillsyn

Internationella organisationer genomför regelbundet utvärderingar av Sveriges arbete mot penningtvätt. Internationella valutafonden (IMF) presenterade i september 2023 en rapport om penningtvättstillsynen i Norden och Baltikum. Rapportens resultat har fokuserat på Sveriges förhållandevis stora banksektor och pekar ut risker med gränsöverskridande finansiella transaktioner.[27]

FATF utvärderar sina medlemmars följsamhet till de internationella standarderna och gjorde sin senaste utvärdering av Sverige 2017.[28] Utvärderingen var mycket omfattande och rymde åtskilliga iakttagelser och rekommendationer inom hela penningtvättsområdet, det vill säga inte bara tillsynsområdet. FATF påtalade bland annat att de viktigaste departementen och myndigheterna inte kunde visa att samordning, prioriteringar och resursfördelning sker på ett effektivt sätt. FATF påtalade också att länsstyrelserna utförde mycket få inspektioner på plats hos verksamhetsutövare och att Finansinspektionen genomfört för få inspektioner och undersökningar i förhållande till de betydande risker som finns i Sveriges finanssektor.

Nästa FATF-utvärdering av Sveriges arbete mot penningtvätt och finansiering av terrorism är planerad till 2027–2028. Regeringen har därför gett myndigheterna i Samordningsfunktionen för åtgärder mot penningtvätt och finansiering av terrorism i uppdrag att vidta åtgärder för att förbereda sig inför utvärderingen. Det inkluderar att identifiera eventuella brister i tillämpningen av FATF:s standarder och föreslå åtgärder för att korrigera dem samt att utveckla den nationella riskbedömningen för penningtvätt och finansiering av terrorism. Myndigheterna ska även utveckla arbetet i FATF, bland annat genom att bistå med personal som kan genomföra utvärderingar av andra medlemsstater och bidra med expertis till det löpande arbetet inom FATF.[29]

2.2 Bolagsverkets register över verkliga huvudmän

Som framgick ovan har verksamhetsutövare som omfattas av penningtvättslagen en skyldighet att ha kännedom om sina kunder och göra en bedömning av riskerna förknippade med att göra affärer med dem. I de fall kunden är en juridisk person finns därför ett behov av att känna till om det finns fysiska personer som har en stark kontroll över bolaget, och vilka de personerna i så fall är. Syftet med Bolagsverkets register över verkliga huvudmän är att tillhandahålla den informationen. Uppgifterna i registret kan också utgöra en viktig informationskälla i samband med till exempel brottsutredningar eller journalistiska granskningar.

Registret innehåller uppgifter om cirka 750 000 juridiska personer, varav vissa har verkliga huvudmän i utlandet.[30] Det sker löpande förändringar av ägarstrukturer och juridiska personer tillkommer och försvinner. Arbetet för att upprätthålla kvaliteten i registret kretsar kring att omhänderta de anmälningar om misstänkta fel som ökar i snabb takt. Misstankeanmälningarna är ofta svårutredda och hanteringen av dem är tidskrävande. Därutöver är även Bolagsverkets möjligheter att kontrollera att bolagen anmäler korrekta uppgifter till registret begränsade. Det finns förstås ett intresse för de flesta företag att vara transparenta och lämna korrekta uppgifter, men det finns en risk att den nuvarande utformningen av kvalitetsarbetet inte är tillräcklig för att upptäcka juridiska personer som används för brottsliga ändamål.

2.2.1 Kvalitetsnivån i registret är svårskattad, men antalet misstankeanmälningar ökar

Bolagsverket började registrera verkliga huvudmän i september 2017 och i regleringsbrevet för 2020 fick myndigheten i uppdrag av regeringen att göra en bedömning av hur effektivt registret över verkliga huvudmän är och vad som skulle krävas för att öka effektiviteten i och användningsområdet för registret.[31] I Bolagsverkets svar angav de att uppskattningsvis drygt 80 procent av de anmälningspliktiga juridiska personerna hade fullgjort sin skyldighet att lämna uppgift om verklig huvudman och att det fanns skäl att anta att majoriteten av uppgifterna i registret var korrekta.[32]

Bolagsverket anger att det inte går att göra någon exakt skattning av hur hög andel av uppgifterna i registret som är korrekta, men att deras bild är att de allra flesta företag har en ambition att göra rätt. När det gäller andelen av de anmälningspliktiga som har lämnat uppgifter till registret så uppskattar Bolagsverket att den siffran är någonstans runt 90 procent, och att den andelen kommer att öka över tid till följd av de nyligen införda kraven på att anmälan av verklig huvudman ska ske samtidigt som nya bolag registreras hos myndigheten.[33]

Lagen om registrering av verkliga huvudmän anger också att de verksamhetsutövare[34] och myndigheter som använder registret ska anmäla till Bolagsverket om det finns anledning att misstänka att en uppgift i registret är felaktig. Bolagsverket tillhandahåller även en möjlighet för andra typer av användare av registret att anmäla. Anmälningar kan därutöver också genereras i samband med intern granskning av andra typer av ärenden inom Bolagsverket. Antalet misstankeanmälningar har ökat kraftigt de senaste åren.

Tabell 1 Antal misstankeanmälningar för registret över verkliga huvudmän

Källa: Bolagsverket.

Misstankeanmälningarna görs anonymt, vilket innebär att Bolagsverket har begränsad kunskap om hur hög andel av anmälningarna som kommer från verksamhetsutövare, myndigheter eller andra. Till följd av att bankerna har en separat inloggning till systemet så vet dock Bolagsverket att omkring 95–97 procent av misstankeanmälningarna kommer från den sektorn. Med tanke på den höga andelen, och att det är främst banker och försäkringsbolag som deltagit i diskussioner med Bolagsverket om hur misstankeanmälningarna ska lämnas så finns det, enligt myndigheten, anledning att misstänka att vissa andra typer av verksamhetsutövare rapporterar in misstankar om fel i lägre utsträckning än de borde.[35]

2.2.2 Hanteringen av misstankeanmälningar är tidskrävande och komplicerad

Bolagsverket gör inte några egeninitierade insatser för att leta upp och korrigera fel i registret, utan fokuserar i stället endast på att hantera misstankeanmälningar.

Regelverket anger att verksamhetsutövare och myndigheter ska rapportera misstankar om fel, men det specificerar inte vilka uppgifter en sådan anmälan ska innehålla. De banker som skickar in misstankeanmälningar gör, med hänvisning till banksekretess, tolkningen att väldigt få uppgifter bör inkluderas. I de allra flesta anmälningar ingår bara namn och organisationsnummer för bolaget, men ingen information om vilken av de registrerade uppgifterna som banken misstänker är fel, eller vad de har för grund för att misstänka det. I anmälningar som kommer från andra typer av användare framgår ofta vad anmälaren anser är fel och varför, vilket gör det betydligt enklare för Bolagsverket att utreda misstankeanmälan. Som framgick ovan utgör dock anmälningar från andra än bankerna en mycket liten del.[36]

Den knapphändiga informationen som finns i misstankeanmälningarna innebär att Bolagsverket har små möjligheter att veta om vissa misstankeanmälningar vore mer prioriterade än andra, eller om vissa typer anmälningar avser samma typ av fel och skulle kunna hanteras gemensamt. Myndigheten får generellt sett i stället handlägga dessa ärenden ett och ett i den ordning som de inkommer. Med tanke på det stora antalet inkommande misstankeanmälningar, och att dessa inte kommer i en jämn takt så finns det en risk för att det byggs upp ärendebalanser och att det därför tar tid innan fel korrigeras. För att undvika detta har Bolagsverket utbildat andra handläggare inom myndigheten som kan få hoppa in med kort varsel för att hantera misstankeanmälningar. I november 2023 beräknade Bolagsverket att de hade extrainsatt personal som lade 100 timmar i veckan bara på att hantera dessa anmälningar. Den tidsåtgången fluktuerade dock i takt med att mängden inkommande misstankeanmälningar ökar eller minskar.[37]

Varje inkommande misstankeanmälan föranleder en utredning där Bolagsverket undersöker om det kan röra sig om ett fel. För att Bolagsverket ska kunna förelägga en juridisk person om att rätta en uppgift (eller bevisa att den är korrekt), krävs att det kan antas att en uppgift är felaktig.[38] Bolagsverket behöver med andra ord ha en uppfattning om vilken uppgift som kan antas vara fel och varför. När det inte finns några uppgifter att utgå ifrån i misstankeanmälan bygger utredningen på en genomgång av protokoll, årsredovisningar och andra dokument som finns tillgängliga om den juridiska personen. Bolagsverket letar då exempelvis efter tecken på att det har skett en större förändring sedan den juridiska personen gjorde sin anmälan till registret över verkliga huvudmän. Det är långt ifrån alltid Bolagsverket kan hitta en grund för att gå vidare och då avskrivs misstankeanmälan. Bolagsverket uppskattar att ungefär en fjärdedel av misstankeanmälningarna leder till att de går vidare med ett föreläggande till bolaget.[39]

I de fall Bolagsverket går vidare med ett föreläggande så inkommer bolaget i bästa fall med en anmälning om ändring av uppgifterna i registret, eller med uppgifter som styrker att den nuvarande uppgiften är korrekt. Om bolaget inte svarar, eller ger otillräckliga svar, så har Bolagsverket möjlighet att göra en markering i registret som anger att en specifik uppgift kan antas vara felaktig. En sådan markering blir en signal till verksamhetsutövare, och andra, som använder registret att de bör iaktta försiktighet om de överväger att göra affärer med bolaget.[40]

En markering om misstänkt fel kan ses som ett verktyg för Bolagsverket att snabbt visa för användarna av registret att det finns ett problem. För att dessa markeringar ska fungera som en varning krävs dock att antalet uppgifter i registret som har sådana markeringar inte blir för högt, och att markeringarna i hög grad speglar verkliga substantiella fel. Lagstiftningen ger därför Bolagsverket möjlighet att använda vitesföreläggande för att kräva att bolagen inkommer med korrekta uppgifter.[41] Här uppstår dock, enligt Bolagsverket, problem som innebär att detta inte är en framkomlig väg i praktiken.[42]

Vite är förknippat med en administrativt betungande och långsam process. Det kräver att myndigheten först lyckas delge den juridiska personen, och om det är en utländsk juridisk person vars företrädare ser till att inte kunna bli kontaktade så går det inte att komma vidare. Viten har, enligt de vi intervjuat, en tendens att bara fungera i de fall där juridiska personer vill göra rätt för sig, men den typen av juridiska personer svarar ofta redan när de får ett föreläggande. Bolagsverket använder därför för närvarande inte vite som ett sätt att försöka tvinga fram korrekta uppgifter, i stället blir markeringarna om misstänkta fel liggande kvar i registret.[43]

2.2.3 Bolagsverket har begränsade möjligheter att kontrollera om uppgifter som anmäls är korrekta

Ett annat sätt att bidra till att kvaliteten upprätthålls i registret är att säkerställa att korrekta uppgifter registreras från början. Som ett led i detta sker en automatisk kontroll när en användare loggar in i e-tjänsten som kontrollerar att personen är behörig för att lämna uppgifter för det specifika bolaget (det är styrelsen som är behörig att rapportera in uppgift om verklig huvudman). För att kontrollen ska kunna genomföras krävs dock att det är juridiska personer som finns i andra register hos Bolagsverket; den kan inte göras för exempelvis stiftelser och samfällighetsföreningar.[44]

När anmälan berör en juridisk person där det sedan tidigare finns en markering om misstänkt fel så tas ärendet ut för manuell hantering. Det är i ett sådant läge inte alltid lätt att veta om den nya uppgiften som bolaget vill rapportera är korrekt, men Bolagsverket gör en avstämning mot den utredning som låg till grund för markeringen, årsredovisningar med mera och om uppgiften förefaller vara korrekt så genomförs ändringen och markeringen tas bort.[45]

När en verklig huvudman med ett svenskt personnummer anmäls till registret så hämtar Bolagsverket uppgifter om namn och efternamn automatiskt från folkbokföringen. Om det handlar om en utländsk huvudman så ombeds uppgiftslämnaren att fylla i namn och födelsedatum, och då sker ingen kontroll av att de uppgifterna är korrekta. Regelverket ställer nämligen inga krav på att identiteten på en verklig huvudman som inte är folkbokförd i Sverige ska styrkas. Bolagsverket beskriver att det är en påtaglig brist i regelverket eftersom det innebär att juridiska personer som används som brottsverktyg och för penningtvätt lättare kan dölja den verkliga huvudmannens identitet och att det därigenom hamnar falska identiteter i registret. Bolagsverket beskriver också att det för närvarande kan vara svårt att styrka att de mellanliggande leden som anges mellan verklig huvudman och bolaget i fråga verkligen existerar om de inte finns i Sverige.[46]

När det gäller möjligheten att upptäcka situationer där målvakter registreras som verkliga huvudmän konstaterar Bolagsverket att det inte är ovanligt att en person av korrekta skäl kan vara huvudman för väldigt många bolag. Det beror på att vissa koncerner har konstruktioner som innehåller väldigt många bolag, och där alla dessa då spåras tillbaka till en och samma huvudman. Att leta efter verkliga huvudmän knutna till många bolag blir därför inte ett träffsäkert sätt att leta efter målvakter. I praktiken krävs det att det kommer tips utifrån för att målvakter ska kunna identifieras, exempelvis från rättsvårdande myndigheter. Bolagsverket beskriver dock att det i sådana sammanhang är en fördel om det lätt går att lägga en markering om misstänkt fel på alla bolag som målvakten står som verklig huvudman för. Då blir det upp till respektive bolag att styrka vem som egentligen är verklig huvudman.[47]

2.2.4 Bolagsverket har föreslagit åtgärder för att effektivisera arbetet med registret över verkliga huvudmän

Bolagsverket lyfte i sin rapport med anledning av regeringsuppdraget 2020 flera av de problem som beskrivits ovan, såsom avsaknaden av krav på utländska personer att styrka sin identitet och de knapphändiga uppgifterna i misstankeanmälningar. Bolagsverket påtalade också att juridiska personer inte var tvingade att lämna uppgift om verklig huvudman i samband med nyregistrering av ett företag. Detta innebar i sin tur att många bolag inkom med de uppgifterna sent, eller inte alls.[48] Bolagsverket lämnade också en rad förslag på åtgärder, bland annat följande:

• Anmälan av verklig huvudman ska ske samtidigt som nyregistrering av ett företag.
• Utländska fysiska personer ska styrka sin identitet.[49]
• Anmälan om felaktiga uppgifter i registret över verkliga huvudmän bör innehålla information om den utredda situationen.
• Möjligheten att utdöma vite bör ersättas av möjligheten att besluta om tvångslikvidation eller avregistrering av företaget.

I linje med rapportens förslag infördes ett krav på att anmälan av verklig huvudman ska ske samtidigt som nyregistrering i början av 2023. Däremot så har det inte införts några ytterligare krav på att utländska fysiska personer ska styrka sin identitet, mer innehållsrika anmälningar om fel eller någon möjlighet att avregistrera företag.[50]