En sanktionsliste er en offentliggjort fortegnelse over personer, selskaber og organisationer, som der er indført restriktioner mod. Konsekvensen er blandt andet, at man ikke må stille midler til rådighed for dem. Sanktioner besluttes politisk, ikke af den enkelte virksomhed, og listerne ændrer sig løbende.
De to lister, dansk ret peger på
Kravene i hvidvaskloven henviser til sanktioner fra EU og FN. Det er dem, en dansk virksomhed under loven skal forholde sig til.
Om FN-listerne siger § 34 a det direkte: omfattede virksomheder skal uden ugrundet ophold indefryse midler, der tilhører de offentliggjorte navne. Ikke efter en intern vurdering, ikke ved næste kvartalsgennemgang.
Amerikanske sanktionsprogrammer er en anden diskussion. Det er ikke bekræftet, at dansk ret kræver screening mod dem, og det bør ikke behandles som en dansk pligt uden at kilden er på plads.
Tilsyn
Finanstilsynet fører tilsyn efter hvidvasklovens § 47, stk. 1, både med hvidvaskreglerne og med finansielle sanktioner. Det er de samme tilsynsbesøg, og det er de samme forretningsgange, der bliver bedt om.
De to fejl der går igen
Engangsscreening. Kunden bliver screenet ved onboarding og aldrig igen. Men listerne ændrer sig, og en kunde, der var ren i marts, kan stå på listen i oktober. Sanktionsscreening er en løbende opgave, ikke et punkt i en tilmeldingsformular.
Blind tillid til et navnematch. Navne staves forskelligt, translittereres forskelligt og deles af mange mennesker. Et match er et signal, ikke en konklusion. Det er derfor, screening normalt kobles med fødselsdato eller andre identifikatorer, og det er derfor, kvaliteten af de indtastede data betyder så meget.
Sanktionsliste er ikke det samme som PEP
De to bliver blandet sammen, fordi de ofte ligger i samme værktøj. En PEP er ikke sanktioneret og må gerne være kunde. Der skal bare føres skærpede procedurer. En person på en sanktionsliste er noget helt andet, og her handler det om at indefryse og ikke om at overvåge.
Begge dele hviler på det samme fundament som resten af KYC: at man ved, hvem kunden faktisk er. Bliver navnet indtastet af kunden selv, screener man på en oplysning, ingen har kontrolleret. Hentes det gennem et eID, er stavemåden den samme som i registret. Ved aldersverifikation er behovet det modsatte, for der skal der helst ikke være et navn at gemme.