1. Avklar først om oppdraget omfattes
Advokater er rapporteringspliktige etter hvitvaskingsloven når de utfører bestemte typer bistand. Hvitvaskingsloven § 4 omfatter blant annet advokater som handler på vegne av eller for klienten ved finansielle transaksjoner eller transaksjoner som gjelder fast eiendom. Også bistand ved planlegging eller gjennomføring av nærmere angitte transaksjoner omfattes, blant annet kjøp og salg av fast eiendom eller virksomhet, forvaltning av klientmidler og opprettelse eller drift av selskaper og lignende strukturer.
Det er innholdet i bistanden, ikke sakens navn eller advokatens fagområde, som er avgjørende. Et oppdrag om å etablere en selskapsstruktur kan omfattes selv om advokaten ikke håndterer penger. Et rent prosessoppdrag faller derimot ikke automatisk inn under loven. Dersom et tvisteløsningsoppdrag også inneholder transaksjonsbistand, må denne delen vurderes særskilt.
Ved inntak bør foretaket registrere hva oppdraget gjelder, om det omfattes av loven, og begrunnelsen for vurderingen. Oppdragsendringer kan utløse behov for en ny vurdering. Spørsmålet om lovens virkeområde må dessuten holdes atskilt fra spørsmålet om bestemte opplysninger er unntatt fra rapporteringsplikten av hensyn til advokatens særlige rolle.
2. Bygg kundekontrollen på en dokumentert risikovurdering
Hvitvaskingsloven og hvitvaskingsforskriften bygger på en risikobasert tilnærming. Advokatforetak som omfattes, må ha en virksomhetsinnrettet risikovurdering og skriftlige rutiner som passer til virksomhetens størrelse og art. Vurderingen bør blant annet dekke klientgrupper, tjenester, geografiske forhold og hvordan klientkontakt og betalinger skjer. Ansvar, opplæring og intern kontroll må være tydelig plassert.
I tillegg må risikoen ved det enkelte klientforholdet vurderes. Relevante forhold kan være en uoversiktlig eierstruktur, tilknytning til høyrisikoland, uvanlige betalingsmåter, uklart økonomisk formål eller bruk av mellommenn uten en forståelig forklaring. Ett forhold er ikke nødvendigvis avgjørende, men kombinasjonen kan tilsi at det trengs mer informasjon og grundigere kontroll.
Forenklede kundetiltak kan brukes når vilkårene er oppfylt og risikoen er lav. Det betyr ikke at klienten kan unntas fra kontroll uten en vurdering. Ved høy risiko kreves forsterkede kundetiltak. Foretakets rutiner bør gjøre det klart hvilke opplysninger som skal innhentes, hvem som skal godkjenne særskilte risikoforhold, og hvordan konklusjonen skal begrunnes.
3. Identifiser klienten og de reelle rettighetshaverne
Kundetiltak innebærer å innhente identitetsopplysninger og bekrefte klientens identitet på en måte som oppfyller regelverket. For en fysisk person vil gyldig legitimasjon eller en egnet elektronisk identifikasjonsløsning være sentralt. Det er ikke tilstrekkelig at advokaten kjenner personens navn eller har hatt vedkommende som klient tidligere. Dersom noen opptrer på vegne av klienten, må også representantens identitet og rett til å representere klienten avklares.
For selskaper og andre juridiske personer må advokaten kontrollere virksomhetens identitet, forstå eier- og kontrollstrukturen og identifisere eventuelle reelle rettighetshavere. Dette er de fysiske personene som i siste instans eier eller kontrollerer klienten. For mange selskaper er eierskap eller stemmerettigheter på mer enn 25 prosent et sentralt kriterium, men kontroll kan også følge av avtaler, oppnevningsrettigheter eller andre forhold.
Registeropplysninger, organisasjonskart, aksjeeierbok og opplysninger fra klienten kan samlet gi nødvendig oversikt. Oppslag i Register over reelle rettighetshavere erstatter ikke advokatens egen vurdering. Ved flere eierledd eller utenlandske enheter kan det være nødvendig å følge strukturen videre. Dersom ingen reell rettighetshaver identifiseres, må lovens fremgangsmåte for slike situasjoner følges og undersøkelsene dokumenteres; opplysninger om ledelsen er ikke en snarvei rundt en vanskelig eierkartlegging.
4. Forstå formålet, avklar PEP-status og følg opp endringer
Advokaten skal innhente og vurdere nødvendige opplysninger om klientforholdets formål og tilsiktede art. Hva skal klienten oppnå, hvilke transaksjoner forventes, og hvilke aktører skal delta? Et oppdragsbrev kan være et utgangspunkt, men generelle formuleringer som selskapsrettslig bistand gir ikke alltid tilstrekkelig forståelse. Opplysningene må være konkrete nok til at avvik kan oppdages senere.
Det må også avklares om klienten eller en relevant person, blant annet en reell rettighetshaver, er en politisk eksponert person, ofte forkortet PEP. Dette omfatter personer med nærmere definerte fremtredende offentlige verv eller stillinger, også i Norge. Regelverket stiller særlige krav ved tilknytning til PEP, nære familiemedlemmer og kjente medarbeidere. Tiltakene omfatter blant annet godkjenning på overordnet nivå, undersøkelser av formuens og midlenes opprinnelse og forsterket løpende oppfølging.
Kundekontroll er ikke en engangsøvelse. Underveis må advokaten følge med på om bistanden og transaksjonene stemmer med kunnskapen om klienten og risikoprofilen. Nye eiere, betaling fra en ukjent tredjepart eller endret transaksjonsstruktur kan utløse nye spørsmål. Opplysninger om midlenes opprinnelse må innhentes når risikoen eller særskilte regler tilsier det; samme dokumentasjonspakke er ikke nødvendig i alle oppdrag.
5. Når kundetiltak ikke lykkes eller mistanke oppstår
Nødvendige kundetiltak skal som hovedregel gjennomføres før klientforholdet etableres eller transaksjonen utføres. Kan tiltakene ikke gjennomføres, er utgangspunktet at klientforholdet ikke skal etableres eller transaksjonen utføres, og eksisterende forhold kan måtte avvikles. Det finnes særregler og unntak for advokaters arbeid med å fastslå klientens rettsstilling og bistand i forbindelse med rettergang. Disse må vurderes konkret, ikke brukes som et generelt fritak for advokatvirksomhet.
Forhold som kan indikere hvitvasking eller terrorfinansiering, utløser undersøkelsesplikt. Eksempler er transaksjoner uten et forståelig legitimt formål, uforklarlige pengestrømmer eller opplysninger som ikke stemmer overens. Manglende dokumentasjon er ikke i seg selv bevis på kriminalitet, men kan gi grunn til nærmere undersøkelser. Undersøkelsene og konklusjonen bør dokumenteres slik at det fremgår hva som faktisk er avklart.
Dersom undersøkelsene gir grunnlag for mistanke, skal opplysninger som utgangspunkt rapporteres til Økokrim. For advokater har hvitvaskingsloven § 26 viktige unntak knyttet til opplysninger mottatt ved fastsettelse av klientens rettsstilling og bistand i forbindelse med rettergang. Grensen mot rapporteringspliktig transaksjonsbistand krever en selvstendig vurdering. Reglene om gjennomføring av mistenkelige transaksjoner og forbudet mot å avsløre undersøkelser eller rapportering må også håndteres før advokaten handler eller informerer klienten.
6. Dokumenter kontrollen og beskytt opplysningene
Dokumentasjonen bør vise både hvilke opplysninger som er innhentet, og hvilke vurderinger som er gjort. En praktisk klientmappe kan inneholde virkeområdevurdering, risikoklassifisering med begrunnelse, identitetskontroll, representasjonsrett, eierstruktur, reelle rettighetshavere, PEP-avklaring og opplysninger om formålet. Dato, kilder, utførte kontroller og nødvendige godkjenninger gjør arbeidet etterprøvbart.
Hovedregelen etter hvitvaskingsregelverket er fem års oppbevaring av opplysninger og dokumenter innhentet eller utarbeidet i forbindelse med kundetiltak, løpende oppfølging og undersøkelser. Fristen regnes fra klientforholdets avslutning eller gjennomføringen av transaksjonen. Reglene om eventuell lengre oppbevaring og etterfølgende sletting må vurderes særskilt. Foretaket bør derfor ikke legge til grunn at alt kan lagres på ubestemt tid i den ordinære saksarkiveringen.
Behandlingen må også følge personopplysningsloven og personvernforordningen. Lovpålagt kundekontroll bygger normalt på en rettslig plikt, ikke på samtykke fra klienten. Tilgangsstyring, sikker lagring og rutiner for sletting er særlig viktige fordi materialet kan inneholde identitetsdokumenter og følsomme økonomiske opplysninger. Klienten bør få forståelig informasjon om behandlingen, innenfor grensene som blant annet avsløringsforbudet setter.
7. Bruk digitale hjelpemidler med tydelig ansvarsdeling
En god arbeidsflyt skiller mellom innsamling, kontroll, vurdering og godkjenning. Digitale skjemaer kan samle inn grunnopplysninger, mens påminnelser kan sikre oppdatering ved bestemte hendelser eller intervaller. Foretaket bør samtidig ha en tydelig stoppmekanisme når nødvendig kontroll mangler, slik at oppdrag eller transaksjoner ikke går videre bare fordi den øvrige saksbehandlingen er klar.
En AI-assistent som Sakly kan støtte arbeidet ved å transkribere klientmøter og strukturere referat, faktum, tidslinjer og dokumentutkast. Et møtereferat dokumenterer likevel bare hva som er sagt, ikke at opplysningene er riktige eller at lovens kontrollkrav er oppfylt. Identitet, eierskap og risikoforhold må kontrolleres mot egnede kilder, og advokaten har alltid ansvaret for vurderingene.
Før opptak eller bruk av eksterne verktøy må foretaket avklare blant annet taushetsplikt, behandlingsgrunnlag, informasjon til deltakerne, leverandørvilkår og behov for databehandleravtale. Tilgang, lagring og eventuell overføring av personopplysninger må være forsvarlig regulert. Artikkelen gir generell informasjon; konkrete spørsmål bør vurderes opp mot gjeldende lov, forskrift og veiledning fra Advokattilsynet.