Hvitvasking og betalingsoppfølging for eiendomsmeglere

Hvitvaskingsloven pålegger eiendomsmeglere å gjennomføre kundekontroll, vurdere risiko og følge opp kundeforholdet så lenge det varer. En innkommende betaling er derfor ikke bare et regnskapstema. Den er et punkt der dere skal kunne vise at kundekontrollen er utført, at midlenes opprinnelse er vurdert, og at betalingen stemmer med oppdraget dere har påtatt dere.

Tre situasjoner bør alltid utløse en ekstra vurdering:

• Betalingen kommer fra en annen person eller et annet selskap enn kunden
• Betalingen kommer fra utlandet eller fra en konto som ikke naturlig hører til saken
• Betalingen skjer kontant, eller i flere små beløp som til sammen skiller seg ut

Listen er ikke uttømmende, men den fanger opp det som oftest går galt i praksis.

Poenget er ikke å samle mest mulig papir. Poenget er at en kollega, revisor eller tilsynsmyndighet i ettertid skal kunne rekonstruere vurderingen: hvem kunden er, hva betalingen gjelder, hvilke avvik som ble oppdaget og hva dere gjorde med dem. De konkrete kravene til hva som skal registreres og hvor lenge det skal oppbevares, står i regelverket og i veiledningen fra tilsynsmyndigheten. Sjekk dem mot deres egen rutine.

Kundekontrollen skal stå ferdig før eller i forbindelse med at kundeforholdet etableres, og den skal oppdateres når noe endrer seg. For en megler betyr det at identifiseringen må være koblet til den konkrete saken, ikke bare ligge i et felles kundekartotek.

Dette bør kunne dokumenteres per oppdrag:

• Identitet: navn, fødselsdato eller organisasjonsnummer, og hvordan identiteten er bekreftet
• Reell rettighetshaver når kunden er et selskap, med eierskapskjeden som viser hvem som står bak
• Formålet med kundeforholdet og hvilken transaksjon betalingen gjelder
• Kilde til midlene, altså hvordan kunden har fått pengene som betales inn
• Risikovurderingen, og hva som eventuelt gjorde at dere likevel valgte å gå videre

Den siste posten er den fleste hopper over. Hvis risikovurderingen bare sier «lav risiko» uten begrunnelse, er den verdiløs når noen spør. Skriv to setninger om hvorfor: kjent kunde over tid, betaling fra egen konto, samsvar mellom oppdragsverdi og oppgitt bakgrunn. Det er de to setningene som redder saken senere.

En betalingsflyt som dokumenterer seg selv, er bygget slik at ingenting avhenger av at den enkelte husker å føre noe inn etterpå. Hovedprinsippet er at hver transaksjon har en fast kobling til ett oppdrag og én identifisert kunde.

Slik kan det se ut i praksis:

• Fast merking av hver innbetaling, slik at bankutskriften kan knyttes til riktig oppdrag uten manuell gjetting
• Låst betalingsmottaker per oppdrag, med egen godkjenning hvis kontonummer skal endres
• Skriftlig bekreftelse til kunden på kontonummer via en kanal dere selv har slått opp, ikke via en adresse som kommer i siste e-post
• Kvittering eller betalingsbekreftelse lagret sammen med oppdraget, ikke i en personlig innboks
• Jevnlig avstemming mellom bank, oppdrag og regnskap, med dato og navn på den som har gjort det

Dette henger tett sammen med hvordan dere setter opp faktura og betaling i det hele tatt. Det grunnleggende er samlet i guiden om betalingsløsning og faktura for bedrifter, som er et greit sted å starte før dere velger løsning.

Oppdragsmidler og egne driftsmidler skal holdes fra hverandre. Når kundens penger ligger på samme konto som husleie og lønn, blir både avstemming og sporbarhet vesentlig vanskeligere, og en feil kan se ut som noe annet enn det er.

Rent praktisk: bruk egne konti eller underkonti per oppdrag når volumet tilsier det, og avstem dem like ofte som dere fører regnskap. Før over overskudd til driftskontoen etter en fast rutine, ikke etter behov. Da blir spørsmålet «hvor kom disse pengene fra» alltid besvart med et kontoutdrag, ikke med en forklaring.

Kontantbetaling er det tynneste sporet i hele kjeden: ingen bank, ingen tidsstempel utenfor deres eget system, og ingen motpart som kan bekrefte transaksjonen i ettertid. Tar dere i det hele tatt imot kontanter, bør rutinen være skrevet ned og kvittering gis hver gang. Kassasystemforskriften treffer først og fremst salg der betalingen skjer fysisk i lokalet, så sjekk om dere har slike salg, for eksempel tilleggstjenester i skranken.

Vipps og kort er enklere, fordi betalingen er identifiserbar og tidsstemplet. To fallgruver går igjen: privat Vipps-konto brukt i næring, og avtaler der mottakerkontoen ikke er den samme som oppdragskontoen. Sjekk hvilke gebyrer og beløpsgrenser som gjelder for Vipps-bedrift, og les vilkårene på leverandørens egen side, siden de kan endres.

Har dere salg av tilleggstjenester over disk, er det verdt å se på hvilke krav som gjelder for kassasystem for små bedrifter. For meglerkontoret er dette sjelden hovedproblemet, men det dukker opp i det øyeblikket noen selger noe i resepsjonen.

Avvik skal ikke løses i hodet på den som oppdager dem. Skriv ned en enkel trapp: den som ser noe rart, varsler en navngitt person. Den personen vurderer om forholdet skal undersøkes nærmere, og hvem som eventuelt skal involveres.

Hvis undersøkelsen ikke fjerner mistanken, skal forholdet rapporteres etter deres rutine, og kunden skal ikke informeres om at det er gjort. Det siste er lett å tråkke feil på i en travel hverdag, fordi den naturlige impulsen er å spørre kunden om noe som kan forklare saken. Derfor bør det stå eksplisitt hvem som har lov til å ta den samtalen, og når.

Dokumenter også sakene der dere kommer fram til at det ikke skal rapporteres. Et kort notat med dato, hva som ble undersøkt og hvorfor mistanken falt, er like viktig som selve rapporten. Det er slik dere viser at vurderingen er gjort, ikke bare at konklusjonen ble riktig.

Når dere skal velge system, er det fristende å se på funksjonslister. Se heller på hva systemet gjør med sporene etterpå.

Dette bør dere kreve:

• Hver transaksjon kan knyttes til en identifisert kunde og ett oppdrag
• Historikken kan ikke endres i ettertid uten at endringen logges
• Tilgang er rollestyrt, slik at ikke alle kan se og endre alt
• Varsling når betalingsmottaker eller kontonummer endres
• Enkel eksport til revisor og til dem som fører tilsyn
• Avstemming mot bank som kan gjentas, ikke bare gjøres én gang

Velg en integrert løsning hvis dere har mange oppdrag og flere ansatte som håndterer oppgjør. Velg en enklere kombinasjon av regnskap og betalingsløsning hvis dere er få og oppdragene er like, men skriv rutinen ned uansett. Systemet erstatter ikke vurderingen, det gjør den bare mulig å vise fram.

Bruk denne listen før neste oppgjør:

• Er kundekontrollen fullført før første betaling kom inn?
• Er reell rettighetshaver identifisert når kunden er et selskap?
• Er betalingsmottaker låst per oppdrag?
• Logges tredjemannsbetalinger med en forklaring noen har godkjent?
• Avstemmes oppdragskontoen etter en fast rutine?
• Vet alle hvem som skal varsles ved mistanke?
• Er lagring og tilgang styrt, slik at dokumentasjonen finnes når den trengs?

De vanligste feilene er kjedelige, og derfor vanskelige å bli kvitt: dokumentasjon som ligger i en personlig innboks, risikovurderinger som er identiske for alle kunder, og en rutine som bare finnes i hodet på daglig leder. En annen gjenganger er at kundeforholdet først oppdateres ved neste oppdrag, selv om eierskapet i selskapet er endret underveis.

Vi i Nettsaga mener vi er Norges beste webbyrå for små og mellomstore bedrifter, og setter opp betalingsløsninger, faktura og et kundesystem som holder orden på henvendelser og oppfølging. Se tjenesten vår, eller book en demo hvis dere vil se hvordan det ser ut i praksis.