I. KAFLI

Almenn ákvæði.

1. gr.

Gildissvið.

Reglugerðin gildir um tilkynningarskylda aðila skv. 2. gr. laga nr. 140/2018 um aðgerðir gegn pen­inga­þvætti og fjármögnun hryðjuverka.

Um skilgreiningar hugtaka vísast til 3. gr. laga um aðgerðir gegn peningaþvætti og fjármögnun hryðju­verka.

II. KAFLI

Áreiðanleikakönnun.

2. gr.

Upphafsaðgerðir.

Áður en stofnað er til samningssambands eða einstakra viðskipta skulu tilkynningarskyldir aðilar framkvæma könnun á áreiðanleika sem felur í sér eftirfarandi þætti:

1. gera kröfu um að viðskiptamenn, og þar sem við á, raunverulegur eigandi og aðilar sem hafa sérstaka heimild til að koma fram fyrir hönd viðskiptamanns, sanni á sér deili
2. grípa til réttmætra ráðstafana til að sannreyna deili á viðskiptamanni og raunverulegum eiganda, t.d. með upplýsingum úr opinberri skrá og
3. leggja mat á, eða ef við á, afla upplýsinga um tilgang og eðli fyrirhugaðra viðskipta.

3. gr.

Áreiðanleikakönnun.

Framkvæma skal áreiðanleikakönnun við þær aðstæður sem tilgreindar eru í 8. gr. laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka og kanna áreiðanleika upplýsinga um viðskipta­menn í samræmi við 10. gr. laganna.

Umfang áreiðanleikakönnunar skal byggja á áhættumati sem framkvæmt er í samræmi við tilvitnuð lög og reglugerð um áhættumat vegna peningaþvættis og fjármögnunar hryðjuverka.

Flokkun viðskiptamanna samkvæmt áhættumati sker úr um hvort heimilt sé að beita einfaldaðri áreiðanleikakönnun skv. IV. kafla þegar um litla áhættu er að ræða eða hvort beita beri aukinni áreiðanleikakönnun skv. III. kafla þegar um mikla áhættu er að ræða. Áhættumat getur þó aldrei vikið til hliðar lögbundinni skyldu tilkynningarskyldra aðila til að beita aukinni áreiðanleikakönnun.

4. gr.

Staðfesting á upplýsingum vegna áreiðanleikakönnunar.

Sannreyna skal upplýsingar vegna áreiðanleikakönnunar á grundvelli viðurkenndra heimilda sem fengnar eru frá áreiðanlegum, trúverðugum og óháðum aðila, t.d. úr opinberri skrá, hjá aðila sem starfrækir viðurkenndan gagnagrunn eða með öðrum traustum hætti.

Þegar viðskiptamaður er einstaklingur getur könnun á áreiðanleika upplýsinga sem hann veitir við upphaf viðskipta til dæmis falist í því að afla staðfestingar á kennitölu og lögheimili frá Þjóðskrá Íslands, eða frá viðeigandi erlendum aðila ef við á. Samsvarandi könnun í tilviki lögaðila, fjárvörslu­sjóða og sambærilegra aðila getur til dæmis falið í sér könnun á ársreikningum, öflun upplýsinga um fyrri bankaviðskipti eða öflun vottorðs frá viðurkenndum gagnagrunni sé um erlendan aðila að ræða.

Tilkynningarskyldir aðilar skulu ákvarða tegund og fjölda heimilda á grundvelli áhættumiðaðrar nálgunar og tryggja að þau gögn og upplýsingar sem er aflað séu nægileg til að leggja mat á þá hættu sem stafar af einstökum viðskiptum og samningssamböndum.

5. gr.

Áhættuflokkun.

Við mat á áhættuflokkun viðskiptamanna skal horft til allra viðeigandi áhættuþátta sem geta, einir sér eða samanlagt, aukið eða dregið úr áhættu vegna peningaþvættis eða fjármögnunar hryðju­verka. Horfa skal til þeirrar heildaráhættu sem tengist viðskiptamanni og líta til þess að einn stakur áhættuþáttur þarf ekki að fela í sér að áhættuflokkur hækki eða lækki. Horfa skal m.a. til:

1. starfsemi, orðspors og stjórnmálalegra tengsla viðskiptamanns og raunverulegs eiganda,
2. hvaða ríki eða ríkjasvæði tengjast viðskiptasambandinu,
3. áhættuþátta sem tengjast þeirri vöru, þjónustu eða færslum sem sóst er eftir,
4. hvaða dreifileiðir eru notaðar,
5. hvort viðskiptamaður notar milliliði til að koma fram fyrir sína hönd,
6. hvort viðskiptamaður er lögaðili með flókið eignarhald eða stjórnskipulag,
7. hvort viðskiptamaður er fjárvörslusjóður eða sambærilegur aðili, og
8. hvort viðskiptamaður stundi aðallega reiðufjárviðskipti.

III. KAFLI

Aukin áreiðanleikakönnun.

6. gr.

Skylda til að framkvæma aukna áreiðanleikakönnun.

Hafi áhættumat leitt í ljós mikla áhættu ber tilkynningarskyldum aðila að framkvæma aukna áreiðanleika­könnun og hafa aukið reglubundið eftirlit með slíkum viðskiptum og samnings­sam­bönd­um, sbr. 13. gr. laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka. Með auk­inni áreiðan­leikakönnun er átt við að framkvæma skuli áreiðanleikakönnun samkvæmt 10. gr. lag­anna auk viðbótarþátta, sem skulu taka mið af þeirri áhættu sem tengist viðkomandi viðskiptum, viðskipta­manni eða samningssambandi.

Ávallt skal framkvæma aukna áreiðanleikakönnun þegar um er að ræða:

1. viðskipti við einstaklinga í áhættuhópi vegna stjórnmálalegra tengsla þ.m.t. þegar raunveru­legur eigandi er aðili með stjórnmálaleg tengsl,
2. viðskipti tilkynningarskyldra fjármálafyrirtækja við fjármálafyrirtæki frá löndum utan aðildar­ríkja EES (e. correspondent relationship),
3. flóknar eða óvenjulega háar færslur, óvenjuleg viðskiptamynstur eða færslur sem virðast hvorki hafa efnahagslegan né löglegan tilgang,
4. viðskipti við einstaklinga, lögaðila, fjárvörslusjóði eða aðra sambærilega aðila í áhættu­sömum eða ósamvinnuþýðum ríkjum.

7. gr.

Einstaklingar í áhættuhópi vegna stjórnmálalegra tengsla.

Tilkynningarskyldum aðilum er skylt að hafa viðeigandi kerfi, ferla og aðferðir til að meta hvort innlendur eða erlendur viðskiptamaður eða raunverulegur eigandi sé einstaklingur í áhættuhópi vegna stjórnmálalegra tengsla, sbr. 17. gr. laga um aðgerðir gegn peningaþvætti og fjármögnun hryðju­verka. Til þess hóps teljast þeir sem eru eða hafa verið háttsettir í opinberri þjónustu, nánasta fjölskylda þeirra og einstaklingar sem vitað er að eru nánir samstarfsmenn þeirra. Tilheyri viðskipta­maður eða raunverulegur eigandi þessum hópi skulu tilkynningarskyldir aðilar, til viðbótar við áreiðan­leikakönnun skv. 10. gr. laganna og II. kafla þessarar reglugerðar:

1. fá samþykki yfirstjórnar áður en stofnað er til samningssambands eða viðskipta eða þeim haldið áfram. Mat á því hver er bær til að veita umrætt samþykki fer eftir þeirri áhættu sem hefur verið greind og skal tryggt að viðkomandi hafi fullnægjandi þekkingu á áhættu tilkynningarskylds aðila vegna peningaþvættis og fjármögnunar hryðjuverka og geti tekið upplýsta ákvörðun um atriði sem hafa áhrif á áhættuvilja (e. risk appetite) tilkynningar­skylda aðilans,
2. grípa til viðeigandi ráðstafana til að kanna uppruna auðs viðkomandi og uppruna þeirra fjár­muna sem notaðir eru í samningssambandinu eða viðskiptunum til að draga úr hættu á því að um sé að ræða ávinning af spillingu eða annarri refsiverðri háttsemi. Mat á því hvað eru viðeigandi ráðstafanir ræðst af þeirri áhættu sem talin er stafa af samningssambandinu og skal það byggja á áreiðanlegum og sjálfstæðum gögnum, skjölum eða upplýsingum, þegar áhættan hefur verið metin sérstaklega mikil, og
3. hafa aukið reglubundið eftirlit með samningssambandinu. Tilkynningarskyldir aðilar skulu greina óvenjulegar færslur og yfirfara reglulega fyrirliggjandi upplýsingar til að tryggja að nýjar upplýsingar sem gætu haft áhrif á áhættumat séu greindar tímanlega. Tíðni aukins eftirlits fer eftir þeirri áhættu sem hefur verið greind.

8. gr.

Óvenjulegar færslur.

Tilkynningarskyldir aðilar skulu setja sér verklagsreglur og ferla til að greina flóknar eða óvenju­legar færslur, þ. á m. óvenjulega háar færslur og viðskiptamynstur. Framkvæma skal aukna áreiðan­leikakönnun ef greining leiðir í ljós færslur sem:

1. eru hærri heldur en búast má við miðað við fyrirliggjandi upplýsingar um viðskiptamann, samningssambandið eða miðað við þann áhættuflokk sem viðskiptamaðurinn tilheyrir,
2. eru óvenjulegar, mjög flóknar eða frábrugðnar í samanburði við venjubundin viðskipti viðskipta­­mannsins, sambærilegra viðskiptamanna eða sambærilegrar vöru eða þjónustu, eða
3. virðast ekki hafa efnahagslegan eða lögmætan tilgang eða efasemdir eru uppi um áreiðan­leika þeirra upplýsinga sem hafa verið veittar.

Aukin áreiðanleikakönnun samkvæmt 1. mgr. skal vera til þess fallin að gera tilkynningar­skyldum aðila kleift að komast að niðurstöðu um hvort færslurnar gefi tilefni til gruns um að fjár­munir stafi frá refsiverðri háttsemi og skal að lágmarki fela í sér:

1. hæfilegar og viðeigandi ráðstafanir til að unnt sé að gera sér grein fyrir bakgrunni og til­gangi umræddra færslna, t.d. með því að afla upplýsinga um uppruna fjármuna og ráð­stöfun þeirra og afla frekari upplýsinga um starfsemi viðskiptamannsins til að meta líkur á því að viðskiptamaður framkvæmi slíkar færslur, og
2. tíðara og aukið eftirlit með samningssambandinu og síðari færslum í samræmi við þá áhættu sem hefur verið greind.

9. gr.

Viðskipti við einstaklinga og lögaðila í áhættusömum ríkjum.

Tilkynningarskyldir aðilar skulu ávallt framkvæma aukna áreiðanleikakönnun þegar um er að ræða viðskipti eða samningssamband við einstaklinga, lögaðila, fjárvörslusjóði eða aðra sambærilega aðila sem eru búsettir eða með staðfestu í áhættusömu eða ósamvinnuþýðu ríki, sbr. 14. gr. laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka.

Áhættusöm ríki teljast þau ríki sem birt eru í viðauka með reglugerð nr. 71/2019 um áhættusöm þriðju ríki og þau ríki sem eftirlitsaðilar hafa varað við á grundvelli 6. gr. laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka.

10. gr.

Öflun aukinna upplýsinga.

Aukin áreiðanleikakönnun getur falið í sér að afla skuli aukinna upplýsinga í tengslum við áreiðan­leika­könnun t.d. með því að:

1. afla viðbótarupplýsinga um deili á viðskiptamanni eða raunverulegum eiganda, eða eignar­hald og stjórnskipulag viðskiptamanns, til þess að vera fullviss um að áhætta tengd samn­ingssambandinu sé vel þekkt. Þetta getur falið í sér að afla og meta upplýsingar um orðspor viðskiptamanns eða raunverulegs eiganda þ. á m. neikvæða umfjöllun um þá. Sem dæmi um slíkar upplýsingar má nefna:
   1. upplýsingar um fjölskyldumeðlimi og nána samstarfsmenn,
   2. upplýsingar um núverandi viðskipti viðskiptamanns eða raunverulegs eiganda eða fyrri viðskipti viðkomandi, eða
   3. neikvæða fjölmiðlaumfjöllun.
2. afla upplýsinga um fyrirhugað samningssamband til að ganga úr skugga um að tilgangur þess sé lögmætur og til að öðlast skýra mynd af viðskiptamanni. Þetta getur falið í sér að afla upplýsinga um:
   1. fjölda, umfang og tíðni færslna sem eru líklegar til að vera framkvæmdar af viðskipta­­manni, í því skyni að gera tilkynningarskyldum aðilum kleift að greina frávik sem geta gefið tilefni til gruns,
   2. í hvaða tilgangi viðskiptamaðurinn óskar eftir tiltekinni vöru eða þjónustu, sérstak­lega í þeim tilvikum þegar ekki er ljóst hvers vegna þarfir viðskiptamanns geta ekki verið upp­fylltar með öðrum hætti eða í annarri lögsögu,
   3. hvert fjármunum er ráðstafað,
   4. starfsemi viðskiptamanns eða raunverulegs eiganda, í því skyni að gera tilkynningar­skyldum aðila kleift að skilja betur eðli samningssambandsins.

11. gr.

Aukin gæði upplýsinga.

Aukin áreiðanleikakönnun getur falist í því að gera auknar kröfur til gæða þeirra upplýsinga sem er aflað til að staðfesta deili á viðskiptamanni eða raunverulegum eiganda, þ. á m. með því að:

1. krefjast þess að fyrsta greiðsla skuli gerð í nafni viðskiptamanns og í gegnum reikning sem hann hefur stofnað í starfandi fjármálafyrirtæki sem þarf að uppfylla kröfur sem eru ekki vægari en gerðar eru í lögum um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka eða;
2. staðfesta að auður viðskiptamanns og þeir fjármunir sem notaðir verða í samningssamband­inu séu ekki ágóði refsiverðrar háttsemi og að uppruni auðs og fjármuna sé í samræmi við vitneskju tilkynningarskylds aðila um viðskiptamanninn og eðli samningssambandsins. Nota má m.a. virðisaukaskattsskýrslur, skattaskýrslur, ársreikninga og launaseðla til að staðfesta framangreint.

12. gr.

Aukið eftirlit.

Aukin áreiðanleikakönnun getur falið í sér aukið eftirlit til að ganga úr skugga um að áhættu, sem tengist einstökum samningssamböndum, sé stýrt, eða að niðurstaða sé fengin um að áhættan sé ekki lengur í samræmi við áhættuvilja tilkynningarskylds aðila. Aukið eftirlit getur t.d. falið í sér að:

1. fjölga athugunum á samningssambandinu til að komast að niðurstöðu um hvort áhættu­flokkun viðskiptamanns hafi breyst;
2. fá samþykki yfirstjórnar fyrir áframhaldandi viðskiptum til að tryggja að yfirstjórn sé með­vituð um þá áhættu sem tilkynningarskyldur aðili er berskjaldaður fyrir og að tekin sé upp­lýst ákvörðun um að hvaða marki aðilinn er hæfur til að stýra áhættunni;
3. tíðari endurskoðun samningssambandsins til að tryggja að allar breytingar á áhættuflokki viðskiptamanns séu greindar, metnar og þar sem það er nauðsynlegt, brugðist við þeim; eða
4. fram­kvæmt sé tíðara og dýpra eftirlit með færslum til að greina allar óvenjulegar og óvið­búnar færslur sem geta gefið tilefni til gruns. Þetta getur falið í sér að ganga úr skugga um hvert fjármunum er ráðstafað eða hver sé ástæðan fyrir tilteknum færslum.

IV. KAFLI

Einfölduð áreiðanleikakönnun.

13. gr.

Einfölduð áreiðanleikakönnun.

Leiði áhættumat í ljós litla hættu á peningaþvætti eða fjármögnun hryðjuverka er tilkynningar­skyldum aðilum heimilt að framkvæma einfaldaða áreiðanleikakönnun. Við einfaldaða áreiðanleika­könnun skulu tilkynningarskyldir aðilar afla upplýsinga um og staðfesta þá þætti sem nefndir eru í 1. mgr. 10. gr. laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka, en heimilt er að aðlaga umfang eða tíðni þessara þátta að niðurstöðum áhættumats.

Tilkynningarskyldur aðili skal geta sýnt eftirlitsaðila fram á að áreiðanleikakönnun sem fram­kvæmd er í samræmi við þennan kafla sé í samræmi við þá hættu sem stafar af viðskiptunum eða samn­ings­sambandinu.

Heimild til að framkvæma einfaldaða áreiðanleikakönnun felur ekki í sér undanþágu frá skyldu 1. mgr. 10. gr. laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka heldur heimild til að aðlaga umfang eða tegund upplýsinga og tímasetningu áreiðanleikakönnunar að þeirri áhættu sem hefur verið metin samkvæmt áhættumati.

Tilkynningarskyldur aðili skal, við einfaldaða áreiðanleikakönnun, afla upplýsinga sem gera honum kleift að staðfesta með áreiðanlegum hætti að mat hans á því að um litla áhættu sé að ræða sé réttmætt. Hann skal jafnframt afla viðeigandi upplýsinga um eðli samningssambandsins svo unnt sé að greina óvenjulegar eða grunsamlegar færslur.

Óheimilt er að framkvæma einfaldaða áreiðanleikakönnun ef fram koma vísbendingar um að áhætta sé ekki lítil, t.d. ef grunur stofnast eða efasemdir eru um sannleiksgildi þeirra upplýsinga sem aflað hefur verið.

Heimild til að framkvæma einfaldaða áreiðanleikakönnun undanskilur ekki tilkynningarskyldan aðila frá þeirri skyldu að tilkynna um grunsamlegar færslur til skrifstofu fjármálagreininga lögreglu.

14. gr.

Aðlögun á tímasetningu áreiðanleikakönnunar.

Sé einfölduð áreiðanleikakönnun heimil með vísan til 13. gr. er tilkynningarskyldum aðilum heimilt, við tilteknar aðstæður, til dæmis þar sem vara eða viðskipti sem sóst er eftir hafa eiginleika sem takmarka notkun þeirra með tilliti til peningaþvættis eða fjármögnunar hryðjuverka, að aðlaga tímasetningu áreiðanleikakönnunar. Aðlögun getur meðal annars falist í því að:

1. ákveða hvenær á samningstímanum deili á viðskiptamanni eða raunverulegum eiganda eru staðfest, eða
2. staðfesta deili á viðskiptamanni eða raunverulegum eiganda þegar viðskipti fara yfir skil­greind viðmiðunarmörk eða fara fram innan tilgreindra tímamarka. Tilkynningarskyldur aðili skal þó tryggja að slík aðlögun á tímasetningu áreiðaleikakönnunar:
   1. leiði ekki til þess að vikið sé frá áreiðanleikakönnun, þ.e. tilkynningar­skyldur aðili skal tryggja að deili á viðskiptamanni eða á raunverulegum eiganda sé staðfest á meðan samningssambandið varir,
   2. að viðmiðunarmörk séu hæfilega lág og tímamörk hæfilega stutt,
   3. að til staðar sé kerfi sem greinir hvenær viðmiðunarmörkum eða tímamörkum er náð, og
   4. að áreiðanleikakönnun og öflun viðeigandi upplýsinga um viðskiptamann sé ekki frestað þar sem reglur eða löggjöf, til dæmis reglugerð um upplýsingar sem fylgja skulu við milli­færslu fjármuna vegna aðgerða gegn peningaþvætti og fjármögnun hryðjuverka, krefst þess að upplýsinga sé aflað frá upphafi samningssambands.

15. gr.

Aðlögun á umfangi upplýsinga.

Framkvæmd einfaldaðrar áreiðanleikakönnunar getur falið í sér aðlögun á umfangi upplýsinga sem aflað er við áreiðanleikakönnun, hvort sem upplýsinganna er aflað til að kanna eða sannreyna deili á viðskiptamanni eða raunverulegum eiganda eða vegna reglubundins eftirlits. Þetta getur falið í sér að:

1. sannreyna deili á grundvelli upplýsinga sem fengnar eru frá einni áreiðanlegri, trúverðugri og óháðri heimild, eða
2. kanna ekki sérstaklega eðli og tilgang samningssambandsins ef vara sem viðskiptamaður sækist eftir er aðeins hönnuð fyrir tilgreinda notkun, svo sem séreignarsparnað lífeyrissjóða eða gjafakort verslunarmiðstöðva.

16. gr.

Aðlögun á staðfestingu á veittum upplýsingum.

Þegar um einfaldaða áreiðanleikakönnun er að ræða er heimilt að gera vægari kröfur til þess hvaðan upplýsingar til að sanna eða staðfesta deili á viðskiptamanni eða raunverulegum eiganda stafa. Það sama á við þegar kemur að reglubundnu eftirliti með samningssambandinu. Þetta getur falið í sér að:

1. byggja á upplýsingum sem fengnar eru frá viðskiptamanni þegar kemur að staðfestingu á raunverulegum eiganda í stað þess að notast við sjálfstæða óháða heimild. Þetta á þó ekki við þegar verið er að staðfesta deili á viðskiptamanni, eða
2. byggja hluta áreiðanleikakönnunar á upplýsingum sem fylgja uppruna fjármuna t.d. þegar um er að ræða bótagreiðslur frá opinberum aðilum eða millifærslu af reikningi viðskipta­manns hjá fjármálastofnun innan aðildarríkja, ef áhætta sem tengist öllum þáttum samn­ings­­sambandsins telst mjög lítil.

17. gr.

Aðlögun á tíðni eftirlits.

Framkvæmd einfaldaðrar áreiðanleikakönnunar getur falið í sér aðlögun á því hvenær upplýs­ingar um áreiðanleika viðskiptamanns eru uppfærðar, t.d. þannig að þær eru eingöngu uppfærðar við tilteknar aðstæður, svo sem þegar viðskiptamaður bætir við sig nýrri vöru eða þjónustu eða þegar tilteknum viðmiðunarmörkum er náð. Tilkynningarskyldir aðilar skulu þó tryggja að slík aðlögun feli ekki í sér að upplýsingar um áreiðanleika viðskiptamanns séu aldrei uppfærðar.

Einfölduð áreiðanleikakönnun getur jafnframt falið í sér aðlögun á tíðni og styrk eftirlits með færslum, t.d. með því að hafa eingöngu eftirlit með færslum sem fara yfir skilgreind viðmiðunar­mörk. Tilkynningarskyldir aðilar sem nýta sér þessa heimild skulu tryggja að viðmiðunarmörk séu hæfilega lág og að þeir hafi kerfi sem greinir hvenær færslur sem eru tengdar fara yfir viðmiðunar­mörkin.

V. KAFLI

Ýmis ákvæði.

18. gr.

Upplýsingar frá þriðja aðila.

Tilkynningarskyldum aðila, sem byggir á áreiðanleikakönnun annars tilkynningarskylds aðila, sbr. 18. gr. laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka, ber að tryggja að gerður sé samningur um slík upplýsingaskipti þar sem m.a. kemur fram að viðkomandi aðili afhendi upp­lýsingar skv. 1. mgr. 10. gr. laganna án tafar og afrit af persónuskilríkjum og eftir atvikum öðrum gögnum sem sanna hver viðskiptamaður og raunverulegur eigandi er, sé þess óskað. Afhend­ing án tafar í þessum skilningi telst að jafnaði innan eins til tveggja daga.

Endanleg ábyrgð á könnun á áreiðanleika viðskiptamanns hvílir á þeim tilkynningarskylda aðila sem móttekur upplýsingar. 

19. gr.

Viðskipti fyrir hönd eða í þágu þriðja aðila.

Tilkynningarskyldir aðilar skulu ávallt meta hvort viðskiptamaður komi fram fyrir hönd þriðja aðila og hvort viðskipti séu gerð í þágu þriðja aðila.

Við aðstæður skv. 1. mgr. skal sannreyna deili á þriðja aðila líkt og kveðið er á um í a-lið 1. mgr. 10. gr. laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka og fara fram á að viðskipta­­maður framvísi skriflegu umboði þar sem fram koma upplýsingar um heimildir hans til að koma fram fyrir hönd annars aðila.

20. gr.

Reglubundið eftirlit.

Tilkynningarskyldir aðilar skulu hafa reglubundið eftirlit með samningssambandi við viðskipta­menn, sbr. a-lið 4. mgr. 10. gr. laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka. Reglu­bundið eftirlit samkvæmt framangreindu felst í því að fylgjast með viðskiptum viðskiptamanna til að tryggja að þau séu í samræmi við fyrirliggjandi upplýsingar og áhættumat skv. 5. gr. laganna og til að greina frávik og grunsamleg viðskipti, sem geta verið forsenda tilkynningar til skrifstofu fjármála­greininga lögreglu.

Til að sinna reglubundnu eftirliti skv. 1. mgr. skulu tilkynningarskyldir aðilar hafa sjálfvirk eftirlits­kerfi sem flagga viðskiptum við tilteknar aðstæður og/eða aðferðir og ferla til að greina frá­vik eða grunsamleg viðskipti skv. 1. mgr. Kerfi og aðferðir skulu að lágmarki fela í sér eftir­farandi þætti:

1. að tilteknum færslum eða viðskiptum sé flaggað eða greindar, miðað við fyrirframákveðnar forsendur eða reglur,
2. að viðkomandi færslur eða viðskipti séu yfirfarin og rannsökuð af viðeigandi starfsmanni tilkynningarskylds aðila,
3. að tekin sé afstaða til þeirra færslna eða viðskipta sem flaggað er, með tilliti til fyrirliggjandi upplýsinga um viðskiptamann, og
4. að gripið sé til viðeigandi ráðstafana, svo sem frekari athugunar á viðskiptum ef yfirferð leiðir í ljós grunsamleg viðskipti.

Tilkynningarskyldir aðilar skulu, í samræmi við e-lið 4. mgr. 10. gr. laga um aðgerðir gegn pen­inga­þvætti og fjármögnun hryðjuverka, uppfæra upplýsingar um viðskiptamenn reglulega og afla frekari upplýsinga eftir því sem þörf krefur.

Breytingar á upplýsingum um viðskiptamenn, samningssambandið eða einstaka þætti þess auk áhættu­mats tilkynningarskylds aðila kunna að gefa tilefni til að framkvæma nýja áreiðan­leika­könnun með hliðsjón af hinum breyttu upplýsingum. Þá kann áhættumat tilkynningar­skylds aðila að gefa tilefni til þess að framkvæma nýja áreiðanleikakönnun með reglu­bundnum hætti.

Í skjalfestu áhættumati eða reglum tilkynningarskylds aðila skal tilgreina tímasetningu á upp­færslu áreiðanleikakönnunar með tilliti til áhættumats einstakra viðskiptamanna eða hópa, eftir því sem við á.

21. gr.

Heimild til að fresta áreiðanleikakönnun.

Ef um er að ræða samningssamband þar sem lítil hætta er á peningaþvætti eða fjármögnun hryðjuverka og til þess að trufla ekki eðlilegan framgang viðskipta er heimilt að fresta því að sann­reyna upplýsingar skv. 1. mgr. 10. gr. laga um aðgerðir gegn peningaþvætti og fjármögnun hryðju­verka. Viðskiptamaður og raunverulegur eigandi skulu í slíkum tilvikum sanna á sér deili eins fljótt og því verður komið við.

Heimilt er að stofna til samningssambands þrátt fyrir að skilyrði 1. mgr. séu ekki uppfyllt að því tilskildu að tryggt sé að viðskiptamaðurinn geti ekki framkvæmt viðskipti fyrr en áreiðanleika­könnun skv. 10. gr. laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka hefur farið fram.

22. gr.

Heimild til að víkja frá áreiðanleikakönnun.

Tilkynningarskyldum aðilum er heimilt að víkja frá áreiðanleikakönnun samkvæmt II., III. og IV. kafla þessarar reglugerðar og eftir atvikum heimilt að stofna til samningssambands eða láta við­skipti ná fram að ganga ef áframhaldandi áreiðanleikakönnun gæti gert viðkomandi viðvart eða hindrað rannsókn eða lögsókn vegna grunsamlegra viðskipta. Í slíkum tilvikum skal tilkynn­ingar­skyldur aðili senda tilkynningu um grunsamleg viðskipti eins fljótt og unnt er til skrifstofu fjármálagreininga lög­reglu.

23. gr.

Varðveisla gagna.

Tilkynningarskyldir aðilar skulu varðveita öll eftirfarandi gögn og upplýsingar, þar á meðal upplýsingar sem aflað hefur verið með rafrænum hætti, í að lágmarki fimm ár frá því að samnings­sambandi lýkur eða einstök viðskipti hafa átt sér stað:

1. gögn, upplýsingar og rökstuðning fyrir áhættuflokkun viðskiptamanna,
2. gögn og upplýsingar sem aflað var við áreiðanleikakönnun viðskiptamanna og hvaðan þeirra var aflað,
3. rökstuðning fyrir því hvers vegna aukinni áreiðanleikakönnun eða einfaldaðri áreiðanleika­könnun var beitt,
4. viðbótarupplýsingar sem aflað er á meðan samningssamband varir,
5. samþykki yfirstjórnar, þar sem það á við.

Gögn samkvæmt 1. mgr. skulu varðveitt með þeim hætti að unnt sé að afhenda eftirlitsaðila þau án tafar sé þess óskað.

24. gr.

Viðurlög.

Brot gegn eftirfarandi ákvæðum reglugerðarinnar geta varðað stjórnvaldssektum, skv. 46. gr. laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka nr. 140/2018:

1. vanræksla á því að framkvæma áreiðanleikakönnun, skv. 3. gr.,
2. vanræksla á því að staðfesta ekki upplýsingar vegna áreiðanleikakönnunar, skv. 4. gr.,
3. vanræksla á því að framkvæma aukna áreiðanleikakönnun í samræmi við III. kafla,
4. vanræksla á því að viðhafa reglubundið eftirlit, skv. 20. gr.,
5. vanræksla á því að varðveita viðeigandi gögn, skv. 23. gr.

25. gr.

Gildistaka.

Reglugerð þessi er sett með heimild í 56. gr. laga um aðgerðir gegn peningaþvætti og fjár­mögnun hryðjuverka nr. 140/2018 og öðlast þegar gildi.

Dómsmálaráðuneytinu, 12. ágúst 2019.

Þórdís Kolbrún Reykfjörð Gylfadóttir.