Bevaka klienterna mot penningtvätt med AI

En redovisningsbyrå omfattas av penningtvättslagen, eftersom lagen gäller den som yrkesmässigt utför bokföringstjänster. Tillsynen över byråerna har länsstyrelsen.

Övervakningen är löpande arbete. Byrån ska följa varje klient och upptäcka det som avviker från vad byrån har anledning att räkna med, och med många klienter är det mycket bokföring att läsa. Där kan AI:n hjälpa till. Den läser varje klients bokföring och lyfter det som stämmer med myndigheternas varningssignaler, med verifikation och belopp.

Vad lagen kräver av byrån

Kraven hänger ihop, och övervakningen bygger på de två första:

• En allmän riskbedömning av hur byråns tjänster kan användas för penningtvätt, och hur stor risken är (2 kap. 1 §). Den ska vara dokumenterad och hållas uppdaterad (2 kap. 2 §). Länsstyrelsen beskriver i Gör en allmän riskbedömning hur den görs, och skriver att den ska utvärderas minst en gång om året.
• En riskprofil för varje klient, som utgår från den allmänna riskbedömningen och byråns kännedom om klienten, och som följs upp medan uppdraget pågår (2 kap. 3 §).
• Övervakning av klienterna, för att upptäcka det som avviker från vad byrån har anledning att räkna med utifrån sin kännedom om klienten (4 kap. 1 §). Hur noga styrs av den allmänna riskbedömningen och klientens riskprofil.
• En bedömning av det som avviker: finns det skälig grund att misstänka penningtvätt (4 kap. 2 §)? I så fall ska byrån rapportera till Polismyndigheten utan dröjsmål (4 kap. 3 §), genom Finanspolisens system goAML.
• Tystnad mot klienten. Byrån får inte avslöja för klienten att en sådan bedömning görs eller att en rapport har lämnats (4 kap. 9 §).
• Dokumentation av åtgärderna för kundkännedom och bedömningarna, som sparas i fem år (5 kap. 3 §).

Varningssignalerna för redovisningskonsulter

Myndigheterna i samordningsfunktionen mot penningtvätt, bland dem länsstyrelserna, Finanspolisen och Skatteverket, har gett ut en vägledning till redovisningskonsulter med varningssignaler. Flera av dem syns i bokföringen: ovanligt stora kontanttransaktioner, pengar som kommer in och går ut igen inom kort tid, koncerninterna transaktioner som är svåra att förklara, inköp som inte hör till verksamheten och ett transaktionsmönster som har ändrats.

En signal betyder inte att något olagligt pågår, bara att transaktionerna bör granskas närmare. Vägledningen säger att det gäller särskilt när flera signaler finns samtidigt eller kommer tillbaka.

Det här kan AI:n leta efter

AI:n läser klientens bokföring i Fortnox via Novus, till exempel:

• Kontanter: insättningar och uttag på kassakontona.
• Snabba flöden: stora belopp som kommer in och går ut igen, och inbetalningar som sägs ha kommit fel och betalas tillbaka till ett annat konto.
• Delägare och koncern: lån och betalningar till delägare, närstående och koncernbolag.
• Eget kapital: aktieägartillskott och ändringar av aktiekapitalet.
• Anläggningstillgångar: köp och försäljningar under perioden.
• Leverantörer och utlandet: nya motparter, belopp som har ökat kraftigt och betalningar till och från utlandet.
• Förändrat mönster: omsättning, resultat och kostnader jämförda med tidigare perioder.
• Verifikationer utan underlag.

Det här gör AI:n inte

• Den avgör inte om något är penningtvätt. Den skriver vad den har sett, och bedömningen enligt 4 kap. 2 § gör konsulten.
• Den gör inte byråns allmänna riskbedömning, och den bestämmer inte klientens riskprofil. Den kan ta fram fakta ur bokföringen till dem, men besluten är byråns.
• Den ser bara det som finns i Fortnox. Identitet, verklig huvudman, personer i politiskt utsatt ställning och sanktionslistor kontrollerar byrån på annat sätt, och en affär som aldrig har bokförts syns inte.
• Den rapporterar inget till Polismyndigheten och skriver inget till klienten.
• Den ändrar ingenting och sparar ingenting i klientens Fortnox. Underlaget och bedömningen sparas i byråns egen dokumentation.

Så gör du en genomgång

1. Berätta vad byrån väntar sig av klienten. Övervakningen utgår från vad byrån har anledning att räkna med, så skriv vad klienten gör, vad som är normalt och vilken riskprofil klienten har. Skriv det i klientens projekt, så finns det med varje gång. Se Ge AI:n egna regler för varje klient.

   Bolaget AB driver en frisörsalong med två anställda och har låg risk i vår riskbedömning. Kunderna betalar med kort, så kontanter är ovanliga.

2. Be om genomgången för en period. Säg att AI:n bara ska läsa.

   Gå igenom bokföringen hos Bolaget AB för september. Visa insättningar och uttag av kontanter, betalningar till och från utlandet, transaktioner med delägare och nya leverantörer, med verifikation, datum och belopp för varje rad. Ändra ingenting i Fortnox.

3. Jämför med tidigare. Ett förändrat mönster är en av signalerna.

   Jämför september med samma månad förra året. Vilka konton och motparter har ökat kraftigt, och förklarar verifikationstexterna varför?

4. Bedöm och dokumentera. Gå igenom det AI:n har lyft, gör din bedömning och spara underlaget med bedömningen i byråns egen dokumentation. Behöver du fråga klienten, gör det enligt byråns rutin och utan att röja att en bedömning görs.

Den färdiga automationen

För betalande kunder finns Penningtvättsbevakning som färdig automation i Automations-banken på kontosidan. Den tar en klient i taget, går igenom nio kontrollpunkter som bygger på myndigheternas varningssignaler och jämför med byråns egna gränser och riskklasser. Tillbaka får du ett underlag där varje observation har verifikation, belopp och den varningssignal den motsvarar, och en tom rad för konsultens bedömning. Den läser bara.

I samma bank finns Riskbedömning av klient, som tar fram ett utkast till klientens riskprofil med fakta ur Fortnox och en motivering för varje bedömning. Det är ett förslag, och beslutet är byråns.

Ska bevakningen göras varje månad kan Claude köra den enligt ett schema. Se Låt Claude gå igenom klienterna varje morgon.

Bra att veta

• Använder byrån AI i övervakningen kan lagens krav på rutiner för modellriskhantering bli aktuellt (6 kap. 1 §). Om det gäller er avgör byrån.
• En byrå som omfattas av lagen ska också anmäla verksamheten till Bolagsverkets register mot penningtvätt, skriver länsstyrelsen.
• AI:n kan läsa fel och missa något, så underlaget ersätter inte konsultens egen kännedom om klienten. Se Kan AI:n hitta på siffror?
• Vad som gäller för personuppgifterna i bokföringen när AI:n läser den står i GDPR och säkerhet: byråns checklista.