Riskbedömning av byråns tjänster

Denna sida i ClientFlow är utformad för att hjälpa er att genomföra en verksamhetsanpassad och juridiskt skottsäker riskbedömning av era produkter och tjänster. Detta är ett absolut krav enligt 2 kap. 1 § penningtvättslagen och utgör själva grundbulten i er Allmänna Riskbedömning (AR).

Tillsynsmyndigheterna (Länsstyrelsen) granskar numera redovisningsbyråers tjänstebedömningar under lupp. De absolut vanligaste bristerna som leder till sanktionsavgifter på hundratusentals kronor är att byråer använder intetsägande malltexter, saknar konkret analys av hur deras specifika tjänster kan utnyttjas av kriminella, eller blandar ihop sårbarheten i själva tjänsten med byråns interna rutiner.

Följ denna metodik steg för steg för att säkerställa att er analys håller högsta klass och uppfyller lagens alla krav.

Metodiken i 5 steg (Så här gör ni)

För varje enskild tjänst som ni erbjuder (t.ex. Löpande bokföring, Bokslut, Momsredovisning, Lönehantering, Rådgivning, Bolagsärenden) ska ni genomföra följande fem steg. I ClientFlow fyller ni i dessa steg direkt i fritextfälten och i S×K-matrisen.

Steg 1: Identifiera och beskriv tjänsten

Vad ska göras? Ni måste beskriva exakt vad tjänsten innebär i er specifika verksamhet.

Länsstyrelsens krav: Det räcker inte att bara skriva namnet på tjänsten. Ni måste tydligt definiera dess omfattning och vad som faktiskt utförs (t.ex. om ni utför betalningar åt kunden eller om ni enbart agerar deklarationsombud). Att utelämna eller inte definiera en tjänst ni erbjuder är ett direkt regelbrott.

Steg 2: Identifiera hot, tillvägagångssätt (Modus) och sårbarheter (Inneboende risk)

Här ska ni göra en analys av den Inneboende risken (Inherent risk) – det vill säga sårbarheten i själva tjänsten i ett vakuum, helt utan att ta hänsyn till era egna rutiner, kontroller eller BankID-verifieringar.

A. Beskriv hot och tillvägagångssätt (Modus): Hur skulle en kriminell aktör, rent hypotetiskt, kunna utnyttja just denna tjänst för att dölja brottsliga pengars ursprung (penningtvätt) eller stödja terrorism? Använd er fantasi och erfarenheter från myndigheters rapporter.

B. Beskriv sårbarheter: Vilka egenskaper i tjänsten eller ert sätt att arbeta gör det möjligt för hotet att inträffa? (T.ex. brist på fysiska möten, digital hantering, komplexa regelverk eller beroende av kundens egna underlag).

C. Terrorfinansiering (TF): Ni måste inkludera en specifik analys av risker för terrorfinansiering för varje enskild tjänst. Det räcker inte med ett allmänt stycke i slutet av dokumentet. Analysera om tjänsten kan användas för att t.ex. slussa pengar utomlands via fiktiva underlag eller Swish-flöden.

Steg 3: Värdera den Inneboende Risken med S×K-modellen

Kombinera sannolikheten för att hotet inträffar med konsekvensen av att det sker.

• Sannolikhet (S) 1–5: Hur troligt är det att kriminella försöker utnyttja denna tjänst hos er? (1 = Mycket låg, 2 = Låg, 3 = Medel, 4 = Hög, 5 = Mycket hög).
• Konsekvens (K) 1–5: Hur allvarlig skulle skadan bli för samhället och byrån om det lyckas? (1 = Obetydlig, 2 = Lindrig, 3 = Kännbar, 4 = Allvarlig, 5 = Katastrofal).

Inneboende risknivå (S × K = 1–25):

• 1–4: Låg risk
• 5–9: Normal risk (det naturliga utgångsläget för de flesta redovisningstjänster)
• 10–15: Förhöjd risk
• 16–19: Hög risk (t.ex. ROT/RUT-ansökningar, hantering av utlandsbetalningar eller komplex skatterådgivning)
• 20–25: Oacceptabel risk

Steg 4: Beskriv era riskreducerande åtgärder och kontroller

Först nu, i detta separata steg, beskriver ni hur ni faktiskt arbetar för att motverka den inneboende risken.

Vad ska göras? Dokumentera era specifika granskningar och kontroller. Hur upptäcker ni avvikelser? Hur kontrollerar ni underlag? (T.ex. stickprover i kundkonton, regelbunden matchning av utbetalningar, krav på originalfakturor, begränsning i betalningsbehörighet eller integration av modellriskhantering för AI-verktyg).

Viktigt: Beskriv hur ni följer upp och utvärderar att dessa åtgärder faktiskt fungerar i praktiken.

Steg 5: Värdera och motivera residualrisken (Restrisken)

Bedöm vilken risknivå som kvarstår efter att era kontroller har tillämpats.

Gör en ny S×K-bedömning där ni visar hur era kontroller sänker sannolikheten för att ett utnyttjande lyckas.

Skriftlig motivering: Länsstyrelsen underkänner dokument som bara visar en siffra eller matris. Ni måste i fritext skriftligen motivera varför ni anser att restrisken har sjunkit (eller varför den ligger kvar på samma nivå) och vad detta innebär för er riskaptit.

Konkret exempel

Här har byrån gjort en tydlig beskrivning av vad tjänsten innebär i deras verksamhet samt en analys av hur tjänsten skulle kunna användas för PT/TF. Man har även gjort en bedömning och motivering av hur stor sannolikheten och konsekvensen är.

Sedan har man specificerat vad byrån gör för att hantera dessa risker. Det är alltså bara här som byråns rutiner och åtgärder ska presenteras.

Slutligen – en bedömning av risken med tanke på de rutiner, åtgärder och kontroller byrån gör.

4 allvarliga fällor att undvika (lärdomar från Länsstyrelsens sanktionsbeslut)

Fällan med ”Separation av risk och åtgärd”

Felet: Att skriva ”Risken för löpande bokföring är låg eftersom vi kräver BankID på kunden och kontrollerar alla kvitton”.

Lösningen: Ni får inte nämna era kontroller när ni analyserar den inneboende risken. Skilj dem åt kirurgiskt. Inneboende risk beskriver faran i ett vakuum. Först i Steg 4 och 5 beskriver ni hur era kontroller sänker denna risk till en lägre residualrisk.

Fällan med ”Bara kryssrutor / Ingen analys” (Adners-fallet)

Felet: Att bara klicka i riskklasser (t.ex. ”Låg risk”) i en matris eller svara på korta Ja/Nej-frågor med enstaka ord.

Lösningen: Länsstyrelsen kräver skriftliga, analyserande fritextmotiveringar. Ni måste förklara varför en tjänst har en viss risknivå och hur ni har resonerat.

Fällan med ”Rent återgivande av NRA” (Elite/Noyan/One-fallen)

Felet: Att kopiera generella texter om risker direkt från den Nationella riskbedömningen (NRA) utan att koppla det till er egen byrå.

Lösningen: Förklara hur dessa branschomfattande tillvägagångssätt (modus) rent praktiskt utgör en risk i er verksamhet med era specifika kunder och system.

Fällan med ”Terrorfinansiering saknas” (JYS-fallet)

Felet: Att glömma bort finansiering av terrorism eller bara nämna det i en förbifart i inledningen.

Lösningen: Skriv ett separat litet stycke om terrorfinansiering under analysen av varje enskild tjänst. Även om risken i Sverige ofta är låg, kräver tillsynsmyndigheten att ni analyserar möjligheten (t.ex. hur fiktiva underlag eller Swish-konton i löpande bokföring kan utgöra TF-kanaler).

ClientFlow ger stöd och mallar för riskbedömningen, men det är alltid byråns ansvar att anpassa och komplettera innehållet utifrån den egna verksamheten. Inga digitala verktyg eller mallar kan garantera att alla risker är upptäckta eller hanterade — se texterna som ett stöd, inte en garanti.