Lupa- ja valvontaviraston riskiarviovalvontakampanjat käynnistyvät
Lupa- ja valvontavirasto on käynnistämässä riskiarviovalvontakampanjoita, joissa valvonta kohdistuu rahanpesulain mukaisten ilmoitusvelvollisten omaan riskiarvioon. Viraston ilmoituksen mukaan riskiarviovalvontaa tullaan tänä vuonna kohdistamaan ainakin kirjanpitäjiin, välitysliikkeisiin ja oikeudellisten palveluiden tarjoajiin.
Valvonnan painopiste on merkittävä. Riskiarvio ei ole rahanpesulain näkökulmasta erillinen muodollinen velvoite, vaan ilmoitusvelvollisen riskiperusteisen toiminnan lähtökohta. Sen perusteella tulisi pystyä osoittamaan, miten ilmoitusvelvollinen tunnistaa, arvioi ja hallitsee omaan toimintaansa liittyviä rahanpesun ja terrorismin rahoittamisen riskejä.
Lupa- ja valvontaviraston valvomia toimialoja ovat muun muassa kirjanpitäjät, oikeudellisten palvelujen tarjoajat asianajajia lukuun ottamatta, kiinteistön- ja vuokrahuoneistojen välitysliikkeet, yrityspalvelujen tarjoajat, perintätoimistot, panttilainauslaitokset, valuutanvaihtajat sekä tietyt rahoituspalvelujen tarjoajat ja veroneuvojat.
Kyselyllä selvitetään riskien tunnistamista, arviointia ja riskiperusteisia menettelyjä
Lupa- ja valvontavirasto on lähettänyt osalle valvottavistaan riskiarviokyselyn, ja osalle kysely lähetetään myöhemmin. Kyselyllä selvitetään ilmoitusvelvollisten riskien tunnistamista, arvioimista sekä riskiperusteisia menettelyjä.
Viraston lähettämän selvityspyynnön perusteella kyselyssä on 75 kysymystä, ja se sisältää sekä monivalintakysymyksiä että avoimia vastauksia. Vastaamista varten ilmoitusvelvollisen on suositeltavaa varata esille oma rahanpesulain mukainen riskiarvio sekä siihen tehdyt muutokset. Vastausta odotetaan jokaiselta ilmoitusvelvolliselta, panttilainauslaitoksia lukuun ottamatta, ja määräaika on selvityspyynnön mukaan 10.6.2026.
Käytännössä kysely mittaa sitä, onko riskiarvio aidosti laadittu, päivitetty ja otettu osaksi ilmoitusvelvollisen menettelyjä. Jos riskiarvio on jäänyt yleisluontoiseksi mallipohjaksi, puutteet tulevat tällaisessa kyselyssä nopeasti esiin.
Riskiarvio on valvonnan kannalta keskeinen asiakirja
Rahanpesulain mukaan ilmoitusvelvollisen on laadittava riskiarvio rahanpesun ja terrorismin rahoittamisen riskien tunnistamiseksi ja arvioimiseksi. Riskiarvion laadinnassa on otettava huomioon ilmoitusvelvollisen toiminnan luonne, koko ja laajuus. Finanssivalvonnan määräyksissä ja ohjeissa sama lähtökohta on kuvattu siten, että riskiarvio muodostaa perustan riskien vähentämistä ja tehokasta hallintaa koskeville toimintaperiaatteille, menettelytavoille ja valvonnalle.
Lupa- ja valvontaviraston oman ohjeen mukaan riskiarvion tarkoituksena ei ole pyrkiä osoittamaan toimintaa riskittömäksi. Riskiarvio on ilmoitusvelvollisen työväline riskien tunnistamiseen, arviointiin ja riskienhallintakeinojen mitoittamiseen. Sen avulla ilmoitusvelvollinen voi myös osoittaa valvontaviranomaiselle, että asiakkaan tuntemista ja jatkuvaa seurantaa koskevat menetelmät ovat riittäviä suhteessa toiminnan riskeihin.
Tämä tekee riskiarviosta valvonnassa käytännössä näyttöasiakirjan. Kysymys ei ole vain siitä, onko yrityksellä riskiarvio olemassa, vaan siitä, pystyykö yritys sen perusteella osoittamaan riskiperusteisen menettelynsä loogisesti ja johdonmukaisesti.
Mallipohja ei riitä, jos oma arviointi puuttuu
Lupa- ja valvontaviraston ohjeessa todetaan nimenomaisesti, että riskiarvion ulkoasulle ei ole asetettu muotovaatimuksia. Ilmoitusvelvollinen voi käyttää viraston riskiarviolomaketta, omaa lomakettaan tai esimerkiksi toimialajärjestön mallia. Olennaista on kuitenkin se, että lopputulos perustuu ilmoitusvelvollisen omaan arviointiin.
Viraston ohjeessa kiinnitetään huomiota myös valmiisiin, suurille massoille laadittuihin identtisiin riskiarviomalleihin. Ohjeen mukaan sellaisia malleja, joihin ilmoitusvelvollinen täyttää vain esimerkiksi yrityksen nimen, toimialan ja liikevaihdon, ei voida pitää rahanpesulain tarkoittamina riskiarvioina. Virasto toteaa lisäksi, että merkittävä osa riskiarviovalvonnassa hylätyistä riskiarvioista on ollut tällaisia identtisiä malleja.
Tämä on keskeinen huomio erityisesti tilitoimistoille, kiinteistönvälitysliikkeille ja oikeudellisten palveluiden tarjoajille. Monella toimialalla asiakkaat, toimeksiannot ja toimintamallit voivat ulospäin näyttää samankaltaisilta, mutta rahanpesuriskin arviointi ei voi perustua pelkkään toimialaluokkaan. Arvioinnissa on otettava huomioon esimerkiksi asiakaskunnan rakenne, palveluiden sisältö, toimeksiantojen tyypillinen arvo, maantieteelliset yhteydet, maksutavat, omistusrakenteiden monimutkaisuus ja tilanteet, joissa asiakas toimii tavanomaisesta poikkeavalla tavalla.
Aiempi valvonta osoittaa, että puutteet eivät ole poikkeuksellisia
Riskiarviovalvontaa ei käynnistetä tyhjästä. Aiemmassa aluehallintoviraston valvonnassa riskiarvioiden puutteet ovat olleet merkittäviä. Vuonna 2022 valvonta kohdistui erityisesti ilmoitusvelvollisten riskienarviointiin, ja aluehallintovirasto pyysi nähtäväkseen yli 175 riskiarviota eri aloilta. Valtaosa tarkastetuista riskiarvioista arvioitiin puutteelliseksi; puutteet liittyivät muun muassa arvioiden yleisluontoisuuteen, suppeuteen ja perustelujen puuttumiseen.
Tämä tausta selittää nykyisen valvonnan painopistettä. Riskiarviota ei enää voi käsitellä muodollisena velvoitteena, joka kuitataan kerran laaditulla dokumentilla. Valvonnassa huomio kohdistuu siihen, onko riskiarvio ajantasainen, toimintaan suhteutettu ja yhteydessä käytännön menettelyihin.
Ilmoitusvelvollisen kannalta riski ei rajoitu siihen, että dokumentti todetaan puutteelliseksi. Jos riskiarvio on puutteellinen, myös sen varaan rakennetut asiakkaan tuntemisen, jatkuvan seurannan, selonottovelvollisuuden, koulutuksen ja sisäisen valvonnan menettelyt voivat joutua kriittiseen tarkasteluun.
Päivittämisvelvollisuus korostuu muuttuvassa toimintaympäristössä
Riskiarvio ei ole kertaluonteinen asiakirja. Lupa- ja valvontaviraston ohjeen mukaan riskiarviota tulee päivittää, kun toimintaan tai asiakaskuntaan tulee muutoksia. Päivityksen yhteydessä on arvioitava myös käytössä olevien riskienhallintakeinojen tehokkuutta ja ajantasaisuutta suhteessa tunnistettuihin riskeihin. Ohjeessa korostetaan myös päivitystietojen, laatimiseen osallistuneiden tahojen ja käytettyjen lähteiden dokumentointia.
Tämä on käytännössä tärkeää, koska moni ilmoitusvelvollinen toimii markkinassa, jossa asiakasrakenne, palveluvalikoima ja toimeksiantojen luonne muuttuvat vähitellen. Tilitoimisto voi alkaa palvella aiempaa kansainvälisempiä asiakkaita. Kiinteistönvälitysliikkeellä voi lisääntyä sellaisten kauppojen määrä, joissa ostajan rahoituksen alkuperä tai omistusrakenne edellyttää tarkempaa selvittämistä. Oikeudellisten palveluiden tarjoaja voi osallistua järjestelyihin, joissa yhtiörakenteet, varojen siirrot tai edunsaajasuhteet ovat tavanomaista monimutkaisempia.
Jos riskiarvio ei muutu toiminnan mukana, se menettää nopeasti merkityksensä. Valvonnassa tämä näkyy yleensä siten, että asiakirja ei enää vastaa yrityksen todellista asiakas- ja palvelurakennetta.
Valvonnan kohteena ei ole vain asiakirja vaan riskiperusteinen toimintatapa
Riskiarvion valvonta ei tosiasiassa rajoitu yhteen dokumenttiin. Riskiarvio on lähtökohta, jonka perusteella valvoja voi arvioida, ovatko ilmoitusvelvollisen käytännön menettelyt suhteessa tunnistettuihin riskeihin.
Jos riskiarvio tunnistaa korkeamman riskin asiakasryhmiä, palveluita tai tilanteita, niiden pitäisi näkyä myös asiakkaan tuntemisen tasossa, jatkuvassa seurannassa, henkilöstön ohjeistuksessa ja poikkeamien käsittelyssä. Vastaavasti matalamman riskin menettelyjen käytölle tulisi olla perusteltavissa oleva syy.
Valvonnan kannalta ongelmallinen tilanne syntyy, jos riskiarvio ja käytännön toiminta elävät eri maailmoissa. Dokumentti voi tällöin olla näennäisesti kattava, mutta se ei ohjaa asiakastyötä, päätöksentekoa tai poikkeamien käsittelyä. Tällöin riskiperusteisuus jää muodolliseksi.
Kirjanpitäjien valvonta on erityisen perusteltua
Kirjanpitäjät ovat rahanpesulain valvonnassa erityinen ryhmä, koska heillä on usein jatkuva ja yksityiskohtainen näkymä asiakkaan taloudelliseen toimintaan. Kirjanpidon aineistossa voivat näkyä poikkeukselliset maksutavat, epäselvät tositteet, liiketoiminnan volyymin ja resurssien epäsuhta, erikoiset lähipiirijärjestelyt tai ulkomaisiin vastapuoliin liittyvät maksuketjut.
Tämä ei tarkoita, että kirjanpitäjän tehtävänä olisi toimia esitutkintaviranomaisena. Se tarkoittaa kuitenkin sitä, että kirjanpitäjän on tunnistettava oman roolinsa kannalta olennaiset riskit ja määriteltävä menettelyt tilanteisiin, joissa asiakassuhteessa tai yksittäisessä toimeksiannossa ilmenee rahanpesun tai terrorismin rahoittamisen riskiä lisääviä piirteitä.
Riskiarvion tulisi siksi olla kirjanpitotoimistossa yhteydessä käytännön prosesseihin: asiakkuuden avaamiseen, asiakkaan taustatietojen tarkistamiseen, edunsaajatietojen selvittämiseen, poikkeamien sisäiseen käsittelyyn ja epäilyttävien liiketoimien ilmoittamisen arviointiin.
Välitysliikkeissä riskit liittyvät usein transaktion luonteeseen
Kiinteistön- ja vuokrahuoneistojen välitysliikkeissä riskit voivat liittyä erityisesti kaupan kohteeseen, rahoitukseen, osapuolten taustoihin ja varojen alkuperään. Yksittäinen kauppa voi olla arvoltaan merkittävä, ja kiinteistövarallisuutta voidaan käyttää rahanpesun välineenä erityisesti silloin, kun varojen alkuperä, tosiasiallinen ostaja tai liiketoimen tarkoitus jää epäselväksi.
Välitysliikkeen riskiarviossa tulisi näkyä, miten eri asiakas- ja toimeksiantotyypit erotetaan toisistaan. Ulkomaiset ostajat, monimutkaiset omistusrakenteet, poikkeavat maksujärjestelyt, käteisen käyttö, epäselvät valtakirjat tai kiireellä toteutettavat järjestelyt voivat edellyttää tehostettua asiakkaan tuntemista ja tarkempaa dokumentointia.
Riskiarvio ei tällöin ole irrallinen compliance-dokumentti, vaan osa toimeksiannon vastaanottamista ja kaupan toteuttamisen kontrollia.
Oikeudellisissa palveluissa riski voi liittyä järjestelyn rakenteeseen
Oikeudellisten palveluiden tarjoajien kohdalla rahanpesuriskit voivat liittyä esimerkiksi yhtiöjärjestelyihin, varojen siirtoihin, omistusrakenteiden rakentamiseen, kiinteistökauppoihin tai tilanteisiin, joissa asiakas hakee asiantuntijan tukea järjestelyn muodolliseen toteuttamiseen.
Riski ei välttämättä näy yksittäisenä epäilyttävänä maksuna. Se voi ilmetä järjestelyn kokonaisuudessa: monimutkaisena omistusketjuna, epäselvänä liiketaloudellisena tarkoituksena, poikkeuksellisena aikatauluna, ulkomaisina väliyhtiöinä tai asiakkaan haluttomuutena antaa tavanomaisia selvityksiä.
Tämän vuoksi oikeudellisten palveluiden tarjoajien riskiarvion tulisi kuvata riittävän tarkasti, millaisissa toimeksiannoissa rahanpesulain velvoitteet käytännössä aktivoituvat ja miten havaintoja käsitellään organisaation sisällä.
Mitä ilmoitusvelvollisen kannattaa tehdä ennen vastaamista?
Riskiarviokyselyyn ei kannata suhtautua pelkkänä viranomaislomakkeena. Se on käytännössä tilaisuus testata, vastaako yrityksen dokumentaatio sen todellista toimintaa.
Ennen vastaamista ilmoitusvelvollisen kannattaa käydä läpi ainakin seuraavat kokonaisuudet:
onko riskiarvio laadittu nimenomaan yrityksen omaan toimintaan, asiakaskuntaan ja palveluihin perustuen,
onko riskiarvio päivitetty toiminnan tai asiakaskunnan muutosten jälkeen,
onko riskiarviossa arvioitu sekä luontaisia riskejä, hallintakeinoja että jäljelle jäävää riskiä,
onko käytetyt lähteet ja päivitykset dokumentoitu,
näkyvätkö riskiarvion johtopäätökset asiakkaan tuntemista ja jatkuvaa seurantaa koskevissa menettelyissä,
onko henkilöstölle annettu ohjeistus ja koulutus linjassa riskiarvion kanssa,
onko poikkeamien käsittelylle ja mahdolliselle rahanpesuilmoituksen arvioinnille määritelty toimiva sisäinen prosessi.
Erityistä huomiota kannattaa kiinnittää siihen, että vastaukset ovat yhdenmukaisia riskiarvion, sisäisten ohjeiden ja käytännön toimintatapojen kanssa. Valvonnassa epäjohdonmukaisuudet ovat usein merkityksellisempiä kuin yksittäisen asiakirjan muoto.
Riskiarviovalvonta kertoo valvonnan suunnasta
Lupa- ja valvontaviraston kampanjat osoittavat, että rahanpesulain valvonnassa painopiste on siirtymässä entistä selvemmin riskiperusteisen toiminnan todentamiseen. Pelkkä muodollinen rekisteröityminen, mallipohjan täyttäminen tai yleisluontoinen ohjeistus ei enää riitä, jos ilmoitusvelvollinen ei pysty osoittamaan, miten se soveltaa riskiarviotaan käytännössä.
Tämä kehityssuunta on johdonmukainen myös laajemman sääntely-ympäristön kanssa. Kansallinen rahanpesun ja terrorismin rahoittamisen riskiarvio pyrkii tunnistamaan ja arvioimaan Suomeen ja suomalaisiin toimijoihin kohdistuvia rahanpesun ja terrorismin rahoittamisen uhkia, haavoittuvuuksia ja riskejä. Ilmoitusvelvollisen oma riskiarvio on tämän kokonaisuuden käytännön taso: se osoittaa, miten yleiset ja toimialakohtaiset riskit on suhteutettu yksittäisen toimijan omaan liiketoimintaan.
Ilmoitusvelvollisille viesti on selvä. Riskiarvio kannattaa käsitellä yrityksen riskienhallinnan välineenä eikä viranomaisvaatimuksen muodollisena asiakirjana. Hyvin laadittu ja ajantasainen riskiarvio suojaa yritystä myös valvontatilanteessa: se tekee näkyväksi, millä perusteilla yritys on mitoittanut asiakkaan tuntemisen, jatkuvan seurannan ja muut riskienhallintatoimensa.
Artikkelin tiedot perustuvat Lupa- ja valvontaviraston, valtiovarainministeriön ja Finanssivalvonnan julkaisemiin tietoihin sekä Lupa- ja valvontaviraston ilmoitusvelvollisille lähettämään riskiarviokyselyä koskevaan selvityspyyntöön. Alkuperäiset lähteet on koottu alle.
Lähteet
Lupa- ja valvontavirasto: Rahanpesulain valvonta
Lupa- ja valvontavirasto: Riskiarvion laatiminen – ohje ilmoitusvelvollisille
Valtiovarainministeriö: Aluehallintovirasto havaitsi puutteita rahanpesulain mukaisten riskiarvioiden lainmukaisuudessa vuonna 2022, tiedote 23.5.2023
Valtioneuvosto: Kansallinen rahanpesun ja terrorismin rahoittamisen riskiarvio, hanke VM124:00/2022
Laki rahanpesun ja terrorismin rahoittamisen estämisestä 444/2017
Finanssivalvonta: Rahanpesun ja terrorismin rahoittamisen estäminen, Määräykset ja ohjeet 2/2023