4.2 AML/CFT-compliance officerens rolle og ansvarsområder

Når ledelsesorganet træffer afgørelse om, hvorvidt der skal udnævnes en AML/CFT-compliance officer i overensstemmelse med artikel 8, stk. 4, i direktiv (EU) 2015/849, bør det tage hensyn til omfanget og kompleksiteten af kredit- eller finansieringsinstituttets aktiviteter og dets risikoeksponering for ML/TF i henhold til kriterierne i afsnit 4.2.2.

AML/CFT-compliance officeren bør udnævnes på ledelsesniveau. Vedkommende bør have tilstrækkelige beføjelser til på eget initiativ over for ledelsesorganet i dets tilsyns- og ledelsesfunktion at foreslå alle nødvendige eller passende foranstaltninger til at sikre efterlevelse og effektivitet i de interne AML/CFT-foranstaltninger.

Hvis AML/CFT-compliance officeren udnævnes i overensstemmelse med artikel 8, stk. 4, i direktiv (EU) 2015/849, bør ledelsesorganet afgøre, om rollen skal varetages på fuldtidsbasis, eller om den kan varetages af en medarbejder eller leder ved siden af vedkommendes eksisterende funktioner i kredit- eller finansieringsinstituttet.

Hvis AML/CFT-compliance officerens funktioner skal tildeles en medarbejder eller leder, som har andre opgaver eller funktioner i kredit- eller finansieringsinstituttet, bør ledelsesorganet identificere og overveje mulige interessekonflikter og tage de nødvendige skridt til at undgå dem eller håndtere dem, hvis de ikke kan undgås. Ledelsesorganet bør sikre, at personen kan afsætte tilstrækkelig tid til funktionen som AML/CFT-compliance officer.

AML/CFT-compliance officeren bør efter anmodning stille sig til rådighed for den kompetente myndighed og den finansielle efterretningsenhed og bør derfor normalt være ansat og arbejde i det land, hvor kredit- eller finansieringsinstituttet er etableret.

Hvis det står i rimeligt forhold til den ML/TF-risiko, som kredit- eller finansieringsinstituttet er eksponeret for, og i det omfang det er tilladt i henhold til den nationale lovgivning, kan AML/CFT-compliance officeren være ansat og arbejde i en anden jurisdiktion. I disse tilfælde bør kredit- eller finansieringsinstituttet have de nødvendige systemer og kontroller i stand til at sikre, at AML/CFT-compliance officeren har adgang til alle de oplysninger og systemer, der er nødvendige for, at vedkommende kan udføre sine opgaver og være til rådighed for møder med den lokale finansielle efterretningsenhed og den kompetente myndighed med kort varsel. Kredit- eller finansieringsinstituttet bør også kunne godtgøre over for den kompetente myndighed, at de foranstaltninger, der er truffet i denne henseende, er tilstrækkelige og effektive.

AML/CFT-compliance officeren bør kunne tildele og uddelegere sine opgaver som fastsat i afsnit 4.2.4 til andre ledere og medarbejdere, der handler under dennes ledelse og tilsyn, forudsat at det endelige ansvar for en effektiv udførelse af opgaverne forbliver hos AML/CFT-compliance officeren.

AML/CFT-compliance officeren bør indgå i anden forsvarslinje og som sådan være en del af en uafhængig funktion, og følgende betingelser bør være opfyldt:

• a) AML/CFT-compliance officeren bør være uafhængig af de forretningsområder eller enheder, som vedkommende kontrollerer, og vedkommende kan ikke være underordnet en person, der har ansvar for ledelsen af disse forretningsområder eller enheder.
• b) Kredit- eller finansieringsinstituttet bør have indført interne procedurer for at sikre, at AML/CFT-compliance officeren til enhver tid har ubegrænset og direkte adgang til alle oplysninger, der er nødvendige for udførelsen af vedkommendes funktion. Afgørelsen om, hvilke oplysninger den pågældende skal have adgang til i den sammenhæng, bør alene træffes af AML/CFT-compliance officeren.
• c) I tilfælde af en væsentlig hændelse bør AML/CFT-compliance officeren kunne indberette den til og have direkte adgang til ledelsesorganet i dets tilsynsfunktion eller til den øverste ledelse, hvis et ledelsesorgan ikke forefindes.

4.2.2. Proportionalitetskriterier for udnævnelse af en særskilt AML/CFT-compliance officer

Et kredit- eller finansieringsinstitut bør udnævne en særskilt AML/CFT-compliance officer, medmindre det er en enkeltmandsvirksomhed, eller virksomheden har et meget begrænset antal ansatte, eller når grundene, der er anført i punkt 33, berettiger ikke-udnævnelse.

Hvis ledelsesorganet beslutter ikke at udnævne en særskilt AML/CFT-compliance officer, bør årsagerne begrundes og dokumenteres med udtrykkelig reference til mindst følgende kriterier:

• a) kredit- eller finansieringsinstituttets typer af forretningsaktiviteter og de ML/TF-risici, der er forbundet hermed, under hensyntagen til geografisk eksponering, kundegrundlag, distributionskanaler og produkter og tjenesteydelser
• b) omfanget af aktiviteterne i jurisdiktionen, antallet af kunder, antallet og omfanget af transaktioner og antallet af fuldtidsansatte
• c) det ansøgende kreditinstituts juridiske form, herunder hvorvidt kreditinstituttet er en del af en koncern

Hvis der ikke er udnævnt en særskilt AML/CFT-compliance officer, bør kredit- eller finansieringsinstituttet tilrettelægge arbejdet, så AML/CFT-compliance officerens opgaver (se afsnit 4.2.4 nedenfor om AML/CFT-compliance officerens opgaver og rolle) udføres enten af det medlem af ledelsesorganet, der er omhandlet i afsnit 4.1.3, eller af den øverste leder med ansvar for AML/CFT som omhandlet i afsnit 4.1.4, eller så de operationelle funktioner outsources som nævnt i afsnit 4.2.6 eller ved en kombination af de nævnte muligheder.

Hvis AML/CFT-compliance officeren dækker to eller flere enheder inden for koncernen eller har ansvaret for andre opgaver, bør kredit- eller finansieringsinstituttet sikre, at det med den dobbelte rolle stadig er muligt for AML/CFT-compliance officeren at udføre sine opgaver effektivt. AML/CFT-compliance officeren bør kun tildeles opgaver for forskellige enheder, hvis enhederne er en del af den samme koncern. På grund af de særlige forhold i sektoren for institutter for kollektiv investering⁵ kan AML/CFT-compliance officeren dog betjene flere fonde.

4.2.3. Egnethed, færdigheder og ekspertise

⁵ Et institut for kollektiv investering (CIU): et UCITS som defineret i artikel 1, stk. 2, i Europa-Parlamentets og Rådets direktiv 2009/65/EF af 13. juli 2009 om samordning af love og administrative bestemmelser om visse institutter for kollektiv investering i værdipapirer (investeringsinstitutter) eller en AIF som defineret i artikel 4, stk. 1, litra a), i direktiv 2011/61/EU.

Ved screening af medarbejdere som omhandlet i artikel 8, stk. 4, litra a), i direktiv (EU) 2015/849 bør kredit- eller finansieringsinstitutter forud for udnævnelsen vurdere, om AML/CFT-compliance officeren har:

• a) det omdømme, den ærlighed og den integritet, der er nødvendig for, at vedkommende kan udføre sin funktion
• b) passende færdigheder og ekspertise inden for AML/CFT, herunder viden om de gældende retlige og reguleringsmæssige rammer for AML/CFT og gennemførelsen af politikker, kontroller og procedurer vedrørende AML/CFT
• c) tilstrækkeligt kendskab til og forståelse af de ML/TF-risici, der er forbundet med kredit- eller finansieringsinstituttets forretningsmodel, til at vedkommende kan udføre sin funktion effektivt
• d) relevant erfaring med at identificere, vurdere og styre ML/TF-risici
• e) tilstrækkelig tid og erfaring til at udføre sine funktioner effektivt, uafhængigt og selvstændigt.

Kredit- eller finansieringsinstitutter bør sikre, at AML/CFT-compliancefunktionen løbende fungerer som en del af den overordnede styring af forretningskontinuiteten. Det bør tage højde for muligheden for, at AML/CFT-compliance officeren afbryder sit arbejde, og sikre, at en delegeret med passende færdigheder og ekspertise er til rådighed til at overtage opgaverne som AML/CFT-compliance officer, i tilfælde af at vedkommende er fraværende i en periode, eller at der sættes spørgsmålstegn ved AML/CFT-compliance officerens integritet.

4.2.4. AML/CFT-compliance officerens opgaver og rolle

AML/CFT-compliance officerens rolle og ansvarsområder bør være klart defineret og dokumenteret.

• a. Udvikling af rammerne for risikovurderingen

Ved identifikation og vurdering af risici, jf. artikel 8, stk. 1, i direktiv (EU) 2015/849, bør AML/CFT-compliance officeren udvikle og vedligeholde rammerne for ML/TF-risikovurderingen for virksomhedsdækkende og individuelle ML/TF-risikovurderinger i overensstemmelse med EBA's retningslinjer for ML/TF-risikofaktorer⁶ .

⁶ EBA's reviderede retningslinjer for ML/TF-risikofaktorer: EBA/GL/2021/02

AML/CFT-compliance officeren bør indberette resultaterne af den virksomhedsdækkende og individuelle ML/TF-risikovurdering til ledelsesorganet via medlemmet af ledelsesorganet eller til den øverste leder, der er ansvarlig for AML/CFT, eller direkte, hvis vedkommende finder det nødvendigt. AML/CFT-compliance officeren bør foreslå ledelsesorganet de foranstaltninger, der skal træffes for at afbøde disse risici. Lancering af et nyt produkt eller en ny tjeneste eller væsentlige ændringer af eksisterende produkter eller tjenester, udvikling af et nyt marked eller iværksættelse af nye aktiviteter bør ikke ske, før tilstrækkelige ressourcer til at afdække og styre de dermed forbundne risici er til rådighed og effektivt etableret.

• b. Udvikling af politikker og procedurer

AML/CFT-compliance officeren bør sikre, at der indføres passende politikker og procedurer, som løbende ajourføres og gennemføres effektivt. Politikkerne og procedurerne bør stå i et rimeligt forhold til de ML/TF-risici, som kredit- eller finansieringsinstituttet har afdækket. AML/CFT-compliance officeren bør som minimum:

• a) fastsætte de politikker og procedurer vedrørende AML/CFT, der skal vedtages af kredit- eller finansieringsinstituttet, samt de kontroller og systemer, der skal gennemføres i henhold til artikel 8, stk. 4, i direktiv (EU) 2015/849
• b) sikre, at politikker og procedurer vedrørende AML/CFT gennemføres effektivt af kredit- eller finansieringsinstituttet som forklaret i afsnit d om overvågning af efterlevelse
• c) sikre, at politikker og procedurer vedrørende AML/CFT revideres regelmæssigt og ændres eller ajourføres, hvis det er nødvendigt
• d) foreslå, hvordan eventuelle ændringer i retlige eller reguleringsmæssige krav eller i ML/TF-risici håndteres, og hvordan de mangler, der er konstateret gennem overvågnings- eller tilsynsaktiviteter, bedst kan afhjælpes.

De politikker, kontroller og procedurer, der er omhandlet i artikel 8, stk. 4, i direktiv (EU) 2015/849, bør som minimum omfatte følgende:

• a) den virksomhedsdækkende og individuelle ML/TF-risikovurderingsmetode
• b) kundekendskab, herunder den procedure, der er fastsat i EBA's reviderede retningslinjer for ML/TF-risikofaktorer⁷ , og en proces for kundeaccept som forklaret nedenfor i afsnit c om kunder, navnlig for højrisikokunder
• c) intern indberetning (analyse af usædvanlige transaktioner) og indgivelse af mistænkelige transaktioner til den finansielle efterretningsenhed
• d) registrering og
• e) bestemmelser om overvågning af AML/CFT-compliance som i afsnit d om overvågning af efterlevelse.
• c. Kunder, herunder højrisikokunder

⁷ Retningslinjer vedrørende kundekendskab og de faktorer, kredit- og finansieringsinstitutter bør tage i betragtning, når de vurderer risikoen for hvidvask og terrorfinansiering i forbindelse med individuelle forretningsforbindelser og lejlighedsvise transaktioner ("retningslinjerne vedrørende ML/TF-risikofaktorer") i henhold til artikel 17 og artikel 18, stk. 4, i direktiv (EU) 2015/849: EBA/GL/2021/02

AML/CFT-compliance officeren bør høres, inden den øverste ledelse træffer en endelig afgørelse om indledning af samarbejde med nye højrisikokunder eller fortsættelse af samarbejdet med eksisterende højrisikokunder i overensstemmelse med kredit- eller finansieringsinstituttets risikobaserede interne AML/CFT-politikker, herunder navnlig i situationer, hvor den øverste ledelses godkendelse udtrykkeligt er påkrævet i henhold til direktiv (EU) 2015/849. Hvis den øverste ledelse beslutter ikke at følge AML/CFT-compliance officerens rådgivning, bør den behørigt dokumentere sin afgørelse og redegøre for, hvordan den foreslår at afbøde de risici, som AML/CFT-compliance officeren har informeret om.

• d. Overvågning af compliance

Som en del af anden forsvarslinje bør AML/CFT-compliance officeren være ansvarlig for at overvåge, om de foranstaltninger, politikker, kontroller og procedurer, der gennemføres af kredit- eller finansieringsinstituttet, opfylder kredit- eller finansieringsinstituttets AML/CFT-forpligtelser. AML/CFT-compliance officeren bør også føre tilsyn med, at forretningsområder og interne enheder (første forsvarslinje) anvender AML/CFT-kontrollerne effektivt.

AML/CFT-compliance officeren bør sikre, at AML/CFT-rammerne ajourføres efter behov og under alle omstændigheder, når der konstateres mangler, opstår nye risici, eller den retlige eller reguleringsmæssige ramme ændres.

AML/CFT-compliance officeren bør anbefale ledelsesorganet korrigerende foranstaltninger til afhjælpning af identificerede svagheder i kredit- eller finansieringsinstituttets AML/CFT-rammer, herunder svagheder, der er konstateret af de kompetente myndigheder eller af interne eller eksterne revisorer.

• e. Indberetning til ledelsesorganet

AML/CFT-compliance officeren bør vejlede ledelsesorganet om foranstaltninger til sikring af efterlevelse af gældende love, regler, forskrifter og standarder, og bør vurdere den mulige virkning af eventuelle ændringer i de retlige eller reguleringsmæssige rammer for kredit- eller finansieringsinstituttets aktiviteter og compliancerammer.

AML/CFT-compliance officeren bør informere medlemmet af ledelsesorganet eller den øverste leder med ansvar for AML/CFT, om følgende:

• a) de områder, hvor AML/CFT-kontroller bør gennemføres eller forbedres
• b) de nødvendige forbedringer, der foreslås i forbindelse med litra a) ovenfor
• c) en statusindberetning om eventuelle væsentlige afhjælpende programmer mindst en gang om året som led i den i punkt 50 omhandlede aktivitetsindberetning og på ad hoc-basis eller med jævne mellemrum, afhængigt af forbedringerne, for at redegøre for graden af eksponering for ML/TF-risici og de foranstaltninger, der er truffet eller anbefalet for at reducere og effektivt styre disse risici
• d) hvorvidt de menneskelige og tekniske ressourcer, der er afsat til AML/CFT-compliancefunktionen, er utilstrækkelige og bør styrkes.

Kredit- eller finansieringsinstituttet skal være parat til at videregive en kopi af den i punkt 50 omhandlede aktivitetsindberetning til den kompetente myndighed.

AML/CFT-compliance officeren bør foretage en aktivitetsindberetning mindst en gang om året. Aktivitetsindberetningen bør stå i et rimeligt forhold til omfanget og arten af kredit- eller finansieringsinstituttets aktiviteter. Aktivitetsindberetningen kan i givet fald baseres på oplysninger, der allerede er sendt til de nationale kompetente myndigheder i form af andre indberetninger. Aktivitetsindberetningen bør som minimum indeholde følgende oplysninger:

1) Om ML/TF-risikovurderingen:

risikovurdering, jf. artikel 8 i direktiv (EU) 2015/849, hvis en sådan ajourføring er foretaget i det forløbne år, og en bekræftelse af, hvorvidt den kompetente myndighed har stillet krav om, at en sådan skulle indsendes for indberetningsåret⁸

• b) en beskrivelse af eventuelle ændringer af den metode, som kredit- eller finansieringsinstituttet anvender til at vurdere den enkelte kundes risikoprofil, med angivelse af hvordan en sådan ændring er tilpasset kredit- eller finansieringsinstituttets vurdering af den virksomhedsdækkende ML/TF-risiko
• c) klassificeringen af kunder efter risikokategori, herunder antallet af kundesager efter risikokategori, for hvilke kundekendskabsgennemgange og -ajourføringer udestår
• d) oplysninger og statistiske data om:

2) Om ressourcer:

• e) en kort beskrivelse af AML/CFT-organisationsstrukturen og, hvor det er relevant, af eventuelle væsentlige ændringer, der er foretaget i det forløbne år, samt det bagvedliggende ræsonnement
• f) en kort beskrivelse af de menneskelige og tekniske ressourcer, som kredit- eller finansieringsinstituttet har afsat til AML/CFT-compliancefunktionen
• g) hvis det er relevant, en liste over AML/CFT-processer, der er outsourcet, med en beskrivelse af det tilsyn, som kredit- eller finansieringsinstituttet udfører med disse aktiviteter.

3) Om politikker og procedurer:

• h) en oversigt over vigtige foranstaltninger, der er truffet, og de procedurer, der er vedtaget i løbet af året, herunder en kort beskrivelse af de henstillinger, problemer, mangler og uregelmæssigheder, der er konstateret i indberetningsåret
• i) en beskrivelse af de foranstaltninger til overvågning af efterlevelsen, der er gennemført for at vurdere anvendelsen af kredit- eller finansieringsinstituttets politikker, kontroller og procedurer vedrørende AML/CFT, som kreditinstituttets ansatte, agenter, distributører og tjenesteudbydere anvender, samt egnetheden af eventuelle overvågningsværktøjer, der anvendes af kredit- eller finansieringsinstituttet til AML/CFT-formål

for det efterfølgende år

• k) en plan over aktiviteter afholdt af AML/CFT-compliance officeren for det efterfølgende år
• l) konklusioner i forbindelse med interne og eksterne revisioner med relation til AML/CFT og eventuelle fremskridt, som kredit- eller finansieringsinstituttet har gjort, i forhold til disse konklusioner

overtrædelser og pålagte sanktioner, samt hvordan kredit- eller finansieringsinstituttet afhjælper de konstaterede overtrædelser, og i hvilken fase de afhjælpende foranstaltninger skal træffes, uden at dette berører eventuelle andre periodiske indberetninger, der måtte være påkrævet i tilfælde af tilsynsaktiviteter eller afhjælpende foranstaltninger.

• f. Indberetning af mistænkelige transaktioner

⁸ Der henvises til EBA's retningslinjer for ML/TF-risikofaktorer vedrørende gennemførelse af risikovurderinger (EBA/GL/2021/02).

I forbindelse med AML/CFT-compliance officerens forpligtelse i henhold til artikel 33, stk. 2, i direktiv (EU) 2015/849 til at videregive de oplysninger, der er omhandlet i stk. 1 i nævnte artikel, bør vedkommende sikre, at andre medarbejdere, som bidrager til at udføre dele af denne funktion, har den nødvendige kunnen og viden og er egnede til at bistå med opgaverne. Der bør tages behørigt hensyn til følsomheden og fortroligheden af de oplysninger, der kan blive videregivet, og de hemmeligholdelsesforpligtelser, som kredit- eller finansieringsinstitutter skal overholde.

Når AML/CFT-compliance officeren videregiver oplysninger til den finansielle efterretningsenhed i overensstemmelse med artikel 33, stk. 2, i direktiv (EU) 2015/849, bør vedkommende sikre, at oplysningerne videregives effektivt og i et format og ved hjælp af midler, der er i overensstemmelse med eventuelle retningslinjer udstedt af den nationale finansielle efterretningsenhed. Som led i sin rolle i henhold til denne bestemmelse bør AML/CFT-compliance officeren:

• a) have kendskab til transaktionsovervågningssystemets funktion og udformning, herunder omfattede scenarier vedrørende kredit- eller finansieringsinstituttets ML/TF-risici samt interne procedurer for håndtering af advarsler
• b) modtage indberetninger fra kredit- eller finansieringsinstituttets ansatte, agenter eller distributører eller indberetninger, der er genereret på anden måde via kredit- eller finansieringsinstituttets systemer, om viden eller mistanke om ML/TF, eller om, at en person kan have været, er eller kan være forbundet med ML/TF
• c) sikre, at disse indberetninger tages i betragtning omgående for at fastslå, om der er viden eller mistanke om, at midler er udbytte af kriminelle aktiviteter, herunder ML/TF, eller om en person har været, er eller kan være forbundet med ML/TF. AML/CFT-compliance officeren bør også fastlægge, dokumentere og gennemføre en prioriteringsproces for de modtagne interne indberetninger, således at interne indberetninger vedrørende særligt højrisikosituationer behandles med den nødvendige hurtighed
• d) i forbindelse med vurderingen af de modtagne indberetninger føre et register over alle de evalueringer, der er foretaget, samt alle tilbagemeldinger, der er modtaget fra den finansielle efterretningsenhed efterfølgende for at forbedre afsløringen af fremtidige mistænkelige transaktioner
• e) sikre, at viden om eller mistanke om ML/TF eller om en persons forbindelse til ML/TF straks indberettes til den finansielle efterretningsenhed, og at indberetningen omfatter de nødvendige kendsgerninger, hændelser eller oplysninger og den nødvendige dokumentation med hensyn til at underbygge en mistanke, eller eksempler, der berettiger en mistanke om ML/TF
• f) sikre et hurtigt og udtømmende svar på anmodninger om oplysninger fra den finansielle efterretningsenhed
• g) regelmæssigt overveje årsagerne til, at advarsler om usædvanlige aktiviteter eller transaktioner ikke er blevet eskaleret som interne indberetninger for at afgøre, om der er problemer, der skal løses for at sikre en effektiv afsløring af mistænkelige aktiviteter eller transaktioner.

AML/CFT-compliance officeren bør sikre, at kredit- eller finansieringsinstituttets interne kontrol muliggør overholdelse af alle vejledninger fra den finansielle efterretningsenhed.

Kredit- eller finansieringsinstitutter bør henlede lederes og medarbejderes opmærksomhed på forpligtelsen til nøje at overholde forbuddet mod at underrette kunden eller tredjemand om, at en ML/TF-analyse er i gang eller kan indledes, og mod at begrænse adgangen til disse oplysninger til de personer, der har brug for dem for at udføre deres opgaver. Uanset den interne hemmeligholdelsesforpligtelse i kredit- eller finansieringsinstituttet bør AML/CFT-compliance officeren nøje overveje, til hvem oplysninger om enten indberetninger indgivet til den finansielle efterretningsenhed eller anmodninger om oplysninger modtaget fra den finansielle efterretningsenhed videregives internt i kredit- eller finansieringsinstituttet. Indberetningsproceduren bør være fortrolig, og identiteten af de personer, der er involveret i udarbejdelsen og fremsendelsen af indberetningen, bør beskyttes i henhold til politikken for beskyttelse af privatlivets fred.

• g. Uddannelse og kendskabsopbygning

I overensstemmelse med forpligtelsen i henhold til artikel 46, stk. 1, i direktiv (EU) 2015/849 og som specificeret i EBA's reviderede retningslinjer for ML/TF-risikofaktorer⁹ bør AML/CFT-compliance officeren behørigt informere medarbejderne om de ML/TF-risici, som kredit- eller finansieringsinstituttet er eksponeret for, herunder ML/TF-metoder, -tendenser og - typologier, samt om den risikobaserede tilgang, som kredit- eller finansieringsinstituttet har indført for at afbøde disse risici. Informationen kan have forskellig form, f.eks. interne meddelelser, intranetopslag og møder.

⁹ Retningslinje 6: Uddannelse i forbindelse med EBA's reviderede retningslinjer om ML/TF-risikofaktorer: EBA/GL/2021/02

AML/CFT-compliance officeren bør føre tilsyn med udarbejdelsen og gennemførelsen af et løbende AML/CFT-uddannelsesprogram. I samarbejde med kredit- eller finansieringsinstituttets HR-afdeling bør der dokumenteres og henvises til en årlig plan for uddannelse af personalet i aktivitetsindberetning til ledelsesorganet, jf. punkt 50.

AML/CFT-compliance officeren bør sikre, at alle medarbejdere gøres bekendt med de interne indberetningsprocedurer, som kredit- eller finansieringsinstituttet har vedtaget.

Ud over den generelle uddannelse bør AML/CFT-compliance officeren med henblik på artikel 46, stk. 1, i direktiv (EU) 2015/849 vurdere de konkrete uddannelsesbehov i kredit- eller finansieringsinstituttet og sikre, at der tilbydes passende teoretisk og praktisk uddannelse til personer, der er eksponeret for forskellige niveauer af ML/FT-risici, såsom:

• a) personer, der arbejder i compliancefunktionen under AML/CFT-compliance officerens ansvar
• b) personer, der er i kontakt med kunder, eller som har til opgave at udføre kundetransaktioner (ansatte, agenter og distributører)
• c) personer med ansvar for at udarbejde procedurer eller interne værktøjer, der anvendes ved aktiviteter, der kan indebære ML/TF-risici.

Indholdet af de specifikke uddannelsesprogrammer, der leveres til personer med forskellige eksponeringsniveauer for ML/TF-risici, bør justeres på et risikofølsomt grundlag som beskrevet i EBA's reviderede retningslinjer for ML/TF-risikofaktorer.¹⁰

¹⁰ Retningslinje 6: Uddannelse i forbindelse med EBA's reviderede retningslinjer om ML/TF-risikofaktorer: EBA/GL/2021/02

AML/CFT-compliance officeren bør fastlægge vurderingsindikatorer til kontrol af effektiviteten af den uddannelse, der tilbydes.

Hvis kredit- eller finansieringsinstituttet gennemfører et uddannelses- og kendskabsopbygningsprogram, der er udviklet i udlandet, f.eks. af hovedsædet eller moderselskabet, bør AML/CFT-compliance officeren sikre, at programmet er tilpasset de love og administrative bestemmelser, der gælder på nationalt plan, samt ML/TF-typologier og kredit- eller finansieringsinstituttets specifikke aktiviteter.

Hvis udvalgte uddannelsesaktiviteter outsources til en tjenesteudbyder, bør AML/CFT-compliance officeren sikre i) at tjenesteudbyderen har den krævede viden om AML/CFT til at sikre kvaliteten af den uddannelse, der tilbydes, ii) at betingelserne for administration af outsourcingen er fastsat og overholdes, og iii) at indholdet af uddannelsen er tilpasset det pågældende kredit- eller finansieringsinstituts specifikke karakteristika.

4.2.5. Forholdet mellem AML/CFT-compliancefunktionen og andre funktioner

Både compliancefunktionen og den uafhængige AML/CFT-compliancefunktion bør være en del af kredit- og finansieringsinstitutternes anden forsvarslinje.

Hvis AML/CFT-compliancefunktionen er adskilt fra den generelle compliancefunktion, bør kredit- eller finansieringsinstitutter ud over bestemmelserne i ESA'ernes retningslinjer vedrørende intern ledelse¹¹ om en gennemsigtig og dokumenteret beslutningsproces og en klar fordeling af ansvarsområder og beføjelser inden rammerne af den interne kontrol opfylde bestemmelserne i dette afsnit.

¹¹ EBA's retningslinjer vedrørende intern ledelse i henhold til direktiv 2013/36/EU: EBA/GL/2021/05, ESMA's retningslinjer for visse aspekter af kravene til compliancefunktionen ifølge MiFID II: ESMA35-36-1946, EIOPA's retningslinjer for ledelsessystem: EIOPA-BoS-14/253 DA

Den uafhængige revisionsfunktion, der er omhandlet i artikel 8, stk. 4, litra b), i direktiv (EU) 2015/849, bør ikke slås sammen med AML/CFT-compliancefunktionen.

Hvis kredit- eller finansieringsinstituttet har en risikostyringsfunktion, og hvis et risikoudvalg er nedsat, bør risikostyringsfunktionen have adgang til relevante oplysninger og data, der er nødvendige for, at de kan udføre deres opgaver, herunder oplysninger og data fra relevante koncernfunktioner og interne kontrolfunktioner såsom AML/CFT-compliance.

Et godt samarbejde om udveksling af oplysninger bør etableres mellem lederen af risikostyringen og AML/CFT-compliance officeren. AML/CFT-compliance officeren bør samarbejde med risikofunktionen med henblik på at fastsætte AML/CFT-metoder, der er i overensstemmelse med kredit- eller finansieringsinstituttets risikostyringsstrategi.

4.2.6. Outsourcing af AML/CFT-compliance officerens operationelle funktioner

Ud over ESA'ernes retningslinjer for outsourcing¹² , alt efter hvad der er gældende, og hvis outsourcing af AML/CFT-compliance officerens operationelle funktioner er tilladt i henhold til national lovgivning, bør kredit- eller finansieringsinstitutter tage hensyn til følgende centrale principper:

• a. Kredit- eller finansieringsinstituttet har det endelige ansvar for efterlevelse af retlige og reguleringsmæssige forpligtelser, uanset om bestemte funktioner måtte være outsourcet.
• b. Kredit- eller finansieringsinstituttets og tjenesteudbyderens rettigheder og forpligtelser bør være klart fordelt og fastlagt i en skriftlig aftale.
• c. Kredit- eller finansieringsinstitutter, der benytter en outsourcingaftale, bør fortsat være ansvarlige for at overvåge og føre tilsyn med kvaliteten af den ydede tjeneste.
• d. Outsourcing internt i koncernen bør være omfattet af de samme lovgivningsmæssige rammer som outsourcing til tjenesteudbydere uden for koncernen¹³ .
• e. Outsourcing af funktioner kan ikke medføre delegering af ledelsens ansvar. Strategiske beslutninger vedrørende AML/CFT bør ikke outsources. Disse beslutninger omfatter navnlig:
• i. godkendelsen af den virksomhedsdækkende ML/TF-risikovurdering
• ii. beslutningen vedrørende den interne organisering af kredit- eller finansieringsinstituttets rammer for AML/CFT
• iii. vedtagelsen af interne politikker og procedurer for AML/CFT
• iv. godkendelsen af den metode, der anvendes til at bestemme ML/TF-risikoen ved en given forretningsforbindelse, og tildeling af risikoprofil
• v. godkendelsen af de kriterier, som kredit- eller finansieringsinstituttet skal anvende til at afsløre mistænkelige eller usædvanlige transaktioner med henblik på løbende overvågning og/eller indberetning.

Kredit- og finansieringsinstitutter har det endelige ansvar for beslutninger om at indberette mistænkelige transaktioner til den finansielle efterretningsenhed, herunder i situationer, hvor identificeringen og indberetningen af mistænkelige transaktioner er outsourcet.

¹² Se EBA's retningslinjer for outsourcing: EBA/GL/2019/02, EIOPA's retningslinjer for outsourcing til cloududbydere: EIOPA-BoS-20-002, ESMA's retningslinjer for outsourcing til cloududbydere: ESMA50-157-2403

¹³ Punkt 27 i baggrundsafsnittene i EBA's retningslinjer for outsourcingordninger af 25. februar 2019: EBA/GL/2019/02

Kredit- og finansieringsinstitutter bør følge den outsourcingproces, der er fastsat i EBA's retningslinjer for outsourcingordninger, når de outsourcer operationelle opgaver fra AML/CFT-compliancefunktionen til en tjenesteudbyder. Dette omfatter identifikationen og vurderingen af relevante risici i forbindelse med outsourcingaftalen, begrundelsen for beslutningen om at outsource på baggrund af de fastsatte målsætninger (om formålet er at sikre en optimal fordeling af AML/CFT-ressourcer i hele koncernen eller på grundlag af proportionalitetskriterier), rettidig omhu i forbindelse med den mulige tjenesteudbyder og indgåelse af outsourcingaftale.

Det kredit- eller finansieringsinstitut, der outsourcer AML/CFT-compliancefunktionens opgaver, bør give AML/CFT-compliance officeren til opgave:

• i) at overvåge tjenesteudbyderens arbejde for at sikre, at outsourcingen sætter kredit- eller finansieringsinstituttet i stand til effektivt at opfylde alle sine retlige og reguleringsmæssige forpligtelser vedrørende AML/CFT
• ii) regelmæssigt at kontrollere tjenesteyderens overholdelse af de forpligtelser, der følger af aftalen. I overensstemmelse med den dokumenterede analyse bør den regelmæssige kontrol sikre, at AML/CFT-compliancefunktionen råder over midlerne til regelmæssigt og lejlighedsvist at teste og overvåge overholdelsen af de forpligtelser, der påhviler tjenesteudbyderen. Med hensyn til kundens data bør AML/CFT-compliancefunktionen og den kompetente myndighed have adgangsrettigheder til tjenesteudbyderens systemer/databaser
• iii) indberetning om outsourcingaftalen til ledelsesorganet som led i AML/CFT-compliance officerens aktivitetsindberetning, eller når omstændighederne kræver det, navnlig således at eventuelle nødvendige afhjælpende foranstaltninger gennemføres så hurtigt som muligt.

Hvis kredit- eller finansieringsinstituttet ikke har andre egne ledere eller medarbejdere ud over et ledelsesorgan, kan det outsource AML/CFT-compliancefunktionen til en tjenesteudbyder. I sådanne tilfælde bør AML/CFT-compliance officeren være en af tjenesteudbydernes AML/CFT-compliance officers, som har erfaring med eller viden om den type af aktiviteter eller transaktioner, som kredit- eller finansieringsinstituttet udfører.

I situationer, hvor kredit- eller finansieringsinstituttet outsourcer opgaver internt i koncernen, bør det navnlig træffe de nødvendige foranstaltninger til at identificere og håndtere eventuelle interessekonflikter, der måtte opstå som følge af en sådan outsourcingaftale. Koncernens moderselskab bør:

• a) sikre, at en oversigt over outsourcing af AML/CFT-opgaver internt i koncernen udarbejdes i de berørte enheder og regelmæssigt stilles til rådighed for gennemsyn, hvoraf det fremgår, hvilke juridiske enheder de enkelte funktioner vedrører
• b) sikre, at outsourcing internt i koncernen ikke går ud over de enkelte datterselskabers, filialers eller andre virksomhedsformers efterlevelse af AML/CFT-forpligtelserne.

Outsourcing af opgaver i forbindelse med AML/CFT til tjenesteudbydere, der er etableret i tredjelande, bør være omfattet af yderligere beskyttelsesforanstaltninger for at sikre, at outsourcingen som følge af tjenesteudbyderens hjemsted ikke øger risikoen for manglende efterlevelse af de retlige og reguleringsmæssige krav eller for ineffektiv udførelse af de outsourcede opgaver eller hindrer den kompetente myndigheds evne til effektivt at udøve sine tilsynsbeføjelser over for tjenesteudbyderen.