Ofte stilte spørsmål

BankID AML

Er BankID godkjent som legitimasjon ihht. Hvitvaskingsloven?

Ja. Legitimering ved bruk av BankID er likestilt med personlig fremmøte og fremvisning av gyldig legitimasjonsdokument.

Rapporteringspliktige skal som utgangspunkt innhente og bekrefte kundens identitet ved personlig fremmøte og fremvisning av gyldig legitimasjon. Elektronisk legitimasjon, som angitt i hvitvaskingsforskriften § 4-3 fjerde ledd, anses likestilt med personlig fremmøte og fremvisning av gyldig legitimasjon i original ved etablering av kundeforhold.

"Pr. 1. juni 2019 er det kun BankID som oppfyller kravene i hvitvaskingsforskriften § 4-3" ref Finanstilsynet 31.05.2019.

BankID tilfredsstiller kravene som er satt for Elektronisk signatur som gyldig legitimasjon. Kravene er gitt i forskrift av 21. november 2005 nr. 1296 om frivillige selvdeklarasjonsordninger for sertifikatutstedere § 3, og krav om oppføring på publisert liste i henhold til § 11 første ledd.
Vil BankID AML kunne bidra med bistand til vår interne risikovurdering?

Nei. BankID AML leverer data og tilgang til lister for bruk i kundetiltak og data som kan benyttes som et supplement til å bestemme risikoprofil på kundenivå.

Kunder av BankID AML har likevel tilgang på de relevante nasjonale og bransjemessige risikoanalyser som tilsynene forventer at man kjenner og refererer til i sitt interne arbeid med overordnet risikoanalyse.
Vil tjenesten gi oss noe form for "bevis" for de screeningene som er utført?

Ja. I tillegg til respons levert som JSON vil dere kunne be om å få en PDF-rapport som viser hvem som har utført søket, når søket ble gjennomført og hvilke data som ble benyttet til å gjennomføre søket. Rapporten viser hvilke data som ble hentet ut, samt hvilke lister det ble screenet mot og resultatet av disse screeningene.

Dersom det ikke gjøres treff mot noen lister vil rapporten dokumentere hvilke lister det ble screenet mot på det gitte tidspunkt. Rapporten vil være "stemplet" av BankID og kan f.eks. benyttes til å bevise utførte screeninger og resultatet av disse.
Hvilke land dekkes av PEP-screeningen i tjenesten?

Norge, Sverige, Finland og Danmark. Det jobbes med å inkludere internasjonale PEP-lister i tillegg.

Når man screener et selskap (org. nummer) så utføres ikke PEP-screening av personer som har en rolle i selskapet automatisk, hvorfor ikke?
Når man screener et selskap (org. nummer) så utføres ikke Sanskjonsscreening av personer med roller i selskapet automatisk, hvorfor ikke?

Dette er et produktvalg fra vår side, for å ikke oppmuntre til en praksis der man rått godtar data fra kilder som ikke er oppdatert til enhver tid.

Aksjonærregisteret, som beregningene gjøres ut fra, oppdateres ikke daglig og endringer i eierstrukturer og roller er vesentlig i denne sammenhengen.

Det kan være kommet nye eiere etter siste oppdatering av aksjonærregisteret, og dette er svært vesentlig dersom den den nye eieren f.eks. er sanksjonert eller PEP.

Det kan også være slik at personer som fortsatt står i aksjonærregisteret i realiteten har solgt eierandelen sin. I disse tilfellene har man ikke behandlingsgrunnlag for å innhente opplysninger om dem / screene dem.

Det er også slik at det finnes ulike fortolkninger av hvilke rolleinnehavere i en bedrift som bør screenes.

Den enkelte rapporteringspliktige må derfor ha et aktivt og selvstendig bilde av egen risikoprofil og regelsett for kundetiltak og skal derfor selv velge hvilke personer som skal screenes og ta stilling til usikkerheten i kildene.

Mange kunder bruker oppslagene på reelle rettighetshavere til å forhåndsutfylle et egenerklæringsskjema som kunden korrigerer før screeningen av personer blir foretatt.
Hvor mange ledd i selskapets eierstruktur viser tjenesten?

Tjenesten viser direkte eiere (både bedrifter og personer) samt datterselskaper. Et ledd opp og et ledd ned.

Det jobbes med å kunne vise mer komplette eierstrukturer (ev. kunne fortelle om en struktur er kompleks; da f. eks. bestående av mange noder/eiere og mange ledd, samt sirkulære eierforhold mm).
Kan vi få med fødselsnummer (11 siffer) på reelle rettighetshavere (og andre roller)?

Nei. Brønnøysund tillater ikke deling av fødselsnummer på disse rollene til kundene våre (i utgangspunktet er det kun offentlige aktører og kredittforetak som får dette), og Datatilsynet er svært skeptisk til fnr.-bruk i "tide og utide".

Det som er gjengs som "tilstrekkelig identifisering av "RRH" er; Navn, f.dato og adresse (dette er data som leveres i tjenesten).

Hvor mange ledd bakover i eierstrukturen går tjenesten, for å finne en RRH?
Hvorfor får vi presentert en Reell rettighetshaver med "percentageControl" = 100% uten at det presenteres noen aksjeeiere (shareholders)?
Vil man kunne hente ut firmaattest i tjenesten?

Ja. Som en del av Org.-søket vil man kunne hente ut firmaattest.
Fuzzy søk gir noen ganger veldig mange treff - hvorfor?

Ethvert søk i BankID AML krever treff på navn for å gi en match. Fuzzy søk er derfor en innstilling som kan velges for å ta høyde for ev. skrivefeil, eller manglende kunnskap om hvordan navnet til personen staves korrekt.

BankID AML leverer alle "treff" hvor navnelikhetsverdien er >0.6 (på en skala fra 0 - 1,0). Verdiene 0.6-0.7 slipper igjennom navn med betydelige ulikheter fra navnet benyttet i søket, spesielt dersom navnet kun består av to navn (man bør ikke benytte fuzzysøk om man kun har et navn). Funksjonaliteten bør alltid benyttes sammen med vurdering av treff på f.dato og man må selv vurdere hvor man setter en "cut off" på navnelikhetsverdiene. Se forøvrig eget veiledingsdokument om hvordan tolke matchverdiene som leveres i tjenesten.
Hvilken rett/begrensninger har vi til å behandle personopplysninger ved kundetiltak?

Behandling av personopplysninger er nødvendig for at rapporteringspliktige skal kunne oppfylle sine plikter etter Hvitvaskingsregelverket.

Hvitvaskingsloven gir enkelte særskilte, utvidede og presiserende regler om behandling av personopplysninger. F.eks. gir loven det juridiske grunnlaget for å behandle personopplysninger, også særlige kategorier av personopplysninger. Den gir også grunnlag for å oppbevare informasjon om kunder og transaksjoner i fem år etter at transaksjonen har funnet sted. Loven gir også pålegg om å «ha systemer som muliggjør raske og fullstendige svar på forespørsler fra Økokrim, tilsynsmyndighetene..."

MERK at Hvitvaskingsloven ikke innebærer noe generelt unntak fra personvernforordningen (GDPR). Det vil fremdeles stilles strenge krav til dataminimering og at opplysninger som oppbevares skal være nødvendige for formålet som virksomheten har som ledd i oppfyllelse av Hvitvaskingslovens krav.

Husk også personopplysningsregelverkets krav om at opplysningene som benyttes og lagres skal være relevante, oppdaterte og korrekte.

Se gjerne kapittel 6 i Hvitvaskingsloven om behandling av personopplysninger.
"Control" handler ikke kun om hvor mange aksjer man eier. F.eks. vil det i et ENKeltmannsforetak ikke finnes aksjer, og da ingen som formelt eier aksjer i selskapet.

Derfor er det ingen «shareholders» som vises, men det vil allikevel kunne finnes en RRH som kontrollerer selskapet (typisk innehaveren av ENK).

Husk at definisjonen av en RRH er en fysisk person som i siste instans eier eller kontrollerer kunden.
Det er ingen begrensning i antall ledd bakover og tjenesten leter helt til ev. første utenlandske selskap (og stopper der).

Husk at tjenesten pr. november 2019 regner prosent av prosent bakover i kjeden og vil da ikke vise en person som i en slik beregning kontrollerer mindre enn 25 % av aksjene.
Tjenesten viser Direkte eiere under "shareholders" (aksjonærer).

Dersom den RRH som er presentert under "ownership" / "beneficial" ikke står oppført i "shareholders"-listen, så er personen en Indirekte eier i selskapet og den prosentvise kontrollen som vises er da den beregnede kontrollen bakover i kjeden.
Tjenesten gjør en beregning på informasjon som ligger i aksjonærregisteret, rolleregisteret, noter fra regnskap etc.

Flere av hovedkildene er i seg selv ikke daglig oppdatert og det vil være situasjoner der eierskapsforholdet har endret seg siden siste innrapportering. Vi anbefaler derfor alltid at kunden er hovedkilde til identifisering av RRH.

Mange av kundene våre velger ulike strategier for å møte denne risikoen. Det vanligste er å ikke akseptere informasjonen «rått», men å spørre kunden, gjerne i form av et forhåndsutfylt skjema med data fra BankID AML, hvor kunden kan korrigere RRH.

Dette tar ned friksjonen for kunden, sammenlignet med et «statisk» tomt skjema.
RRH-tjenesten bruker blant annet Aksjonærregisteret for å beregne hvem som er RRH. Dette registeret oppdateres kun årlig og selv om personen f. eks. er fjernet fra Foretak/enhetsregisteret (om personen har roller i det forespurte selskapet), vil personen kunne fremkomme som RRH.

Dersom dere har tilgang til DSF-data (Det sentrale folkeregister) i tjenesten, vil dere få med opplysning om at personen er død samt også hvilken dato personen døde dersom det benyttes onlineoppslag mot DSF (1:1 søk).
Rapporten bygger på Aksjonærlisten som er hentet fra årsregnskapet (som er det bedriften rapporterer inn til aksjonærregisteret).

Ved utarbeidelse av årsregnskap skal selskapet som hovedregel opplyse om selskapets 20 største aksjonærer, men aksjonærer som har mindre enn 1 % eierandel kan utelates – det har f.eks. Equinor gjort og det er da veldig få aksjonærer med mer enn 1 % eierandel -og derfor er listen over aksjonærer kort i det eksemplet.

I andre tilfeller vil også aksjonærer med mindre enn 1 % eierskap vises om de er blant de 20 største og bedriften har rapportert inn disse (dvs. tjenesten viser det bedriften har rapportert).
Da Norge er forpliktet til å gjennomføre sanksjoner vedtatt av FN og restriktive tiltak fra EU er disse to Sanksjonslister valgt «by default». Ønsker man OFAC kan denne listen velges som et tillegg. Se teknisk dokumentasjon for tilgang, ev. ta kontakt med oss.
EU og FN listen er "by default" inkludert i tjenesten. OFAC kan velges som tillegg.
HM treasury er også tilgjengelig på forespørsel - ta kontakt med oss.
Dette kommer an på hvilken innstilling dere bruker.

Det er to moduser for søk på navn; "Exact" og "fuzzy".

I Exact-modus må alle navn som benyttes i søket være eksakt likt slik personens navn er oppført i listen. "Ola Nordman" vil allikevel treffe mot "Per Ola Nordman" da begge navn benyttet i søket treffer med oppførte navn i listen. Rekkefølgen av navnene i søket er heller ikke av betydning. "Ola Norman" vil derimot IKKE treffe da "Norman" og Nordman" er forskjellig skrevet.

Dersom man bruker "fuzzy"-modus i dette søket vil det allikevel genereres et treff. Inngående veiledning om hvordan bruke disse modusene og tolke verdiene finnes tilgjengelig. Bruk av fuzzy-modus vil føre til flere falske positiver.
OFAC-listen er en sanksjonsliste som ikke er "tatt inn" i norsk lov, men listen er ofte et forretningsmessig krav for selskaper som gjør handel med/i USA. OFAC listen inneholder selskaper og personer som ikke får gjøre business med USA. Dersom man skal kjøpe Bolig i USA og bruker en Norsk megler til dette så vil denne megleren kunne ha et forretningsmessig krav om å screene mot OFAC. Dette er så klart mer vanlig for Banker som bistår med pengetransaksjoner til/fra USA.
Det er tilnærmet 100% dekning. De roller som er definert som PEP i lovverket er tilnærmet 100 % dekket med fødselsdato og/eller SSN (Sverige). Merk likevel at det ved større endringer (som ved stortingsvalg o.l.) kan gå noe tid før listene er oppdaterte da disse oppdateres manuelt av en egen administrasjon.
Meget god. Listene oppdateres daglig og for at Trapets skal oppføre familiemedlemmer i listen kreves etablerte og bekreftede linker mellom PEP-en og den aktuelle personen. Til dette benytter man offentlig tilgjengelige kilder, men Trapets har ikke tilgang til DSF (folkeregisteret) for å kunne utføre denne oppgaven. For å unngå for mange falske treff oppføres med andre ord kun de personer som Trapets bedømmer at de har nok informasjon om til å kunne bekrefte en familiær sammenheng ihht. Hvitvaskingsloven.
Meget sikker!

Siden PEP-listen vi benyttet i BankID AML har tilnærmet 100 % dekning med personenes fødselsdato (og SSN for Svenske PEP) vil man, ved å inkludere personens fødselsdato i søket, være ganske sikker på at samsvar som oppstår er riktig. Ytterligere info i tjenesten, som f. eks. adresseinformasjon o.l. vil avhjelpe å avgjøre evt. tvilstilfeller.
Ja, denne listen er inkludert.

I tillegg har Trapets tatt inn utenlandske ambassadører i Danmark og man tar inn danske familiemedlemmer og nære medarbeidere (som Finanstilsynet i DK ikke har satt som krav i den offentlige listen).
I 20 år. Datoen for når personen fratrådte rollen som definerte han/hun som en PEP vil også fremkomme som "expired"-dato i tjenesten.

Man vil således kunne endre risikoprofil på kunden 12 måneder etter expired-dato dersom den overordnede risikovurdering tillater dette (Ref Finanstilsynets veileder).
Når en person fratrer den rolle som definerte personen til å være en PEP vil denne fratredelsesdato (angitt som "expired dato") fremkomme av responsen i feltet "comment" (både i JSON- og i PDF-rapporten).

Det må være opp til kunden å lage logikk på hvordan man benytter denne datoen.

Merk at det kan være personer som f.eks. var PEP i perioden 2010-2012, som ikke er lagt inn i listen, mens alle som var/er reg som PEP (etter 15.10.2018 - ny Hvitvaskingslov) og som ligger i listen i dag vil bli liggende i 20 år etter en evt. expired dato.
Nei. Finans Norge har utfordret Finanstilsynet for å se på mulighetene for å etablere en slik liste.

EU`s 5. direktiv pålegger medlemsstatene å etablere nasjonale PEP-registere, men Norge har enn så lenge ikke avgjort om man også skal gjøre dette.
Nei.

Vi har enn så lenge vært forsiktige med å etablere dataleveranser med flagging da den enkelte rapporteringspliktige må ha et aktivt og selvstendig bilde av egen risikoproifil og regelsett for kundetiltak. Kunder av BankID AML har tilgang til produktlitteratur hvor vi har linket til de relevant lister over risikoland, korrupsjonsindiaktorer og skatteparadis som referert til i lov og av Finanstilsynet.
Gyldig legitimasjon for juridiske personer er etter hvitvaskingsforskriften § 7 blant annet;
Firmaattest som ikke er eldre enn 3 måneder.
BankID AML tilbyr firmaattest som en del av org.søket.
Identiteten til et selskap under stiftelse skjer når firmaattest foreligger.
Etteretningsinformasjon som ligger i Sanksjonslistene er ofte på engelsk og vi har valgt å ikke oversette denne informasjon for å unngå evt. feiloversettelser, og samtidig sørge for å gjengi dataene slik de forekommer i hovedkilden.
Enkelte kilder har kun tekst på norsk. F. eks. vil "Vedtektfestet formål", som hentes fra Brønnøysundsregisteret kun levers i det språk som ble benyttet da selskapet la inn denne friteksten ved registrering. Vi har valgt å ikke oversette disse tekstene slik at vi gjengir dataene slik de forekommer i hovedkilden.
De angir styrken av treffet. Mer inngående informasjon om disse tallverdiene kan dere få om dere velger "add attachment to report" Da vil dere få med et vedlegg til PDF-rapporten som beskriver disse tallverdiene mer inngående.
Norsk og engelsk.
Firmaattesten er inkludert i Org. søket (ingen ekstra kostnader).
Firmaattesten i BankID AML dekker lovpålagt informasjon til firmaattest i tillegg til noe annen relevant data og er en standardisert utskrift fra Foretaksregisterets database.