Finanstilsynet: sparebanks kontant-hvitvaskingsvern svikter på bred front

Finanstilsynet har publisert en tilsynsrapport om Marker og Eidsberg SparebankFinanstilsynet (ref. 26/3661, 7. oktober 2026) med flere mangler i bankens etterlevelse av hvitvaskingsregelverket for kontanthåndteringFinanstilsynet. Tilsynet, avgrenset til kontantrisiko, omfattet et møte 28. mai 2026 og bygger på foreløpig rapport av 18. august 2026 med styrets kommentar av 9. september 2026. Banken bes sende kopi av rapporten til revisor.

Risikovurderingen pekte på kontanter som et område med høy iboende risikoFinanstilsynet — anonyme, vanskelige å spore, utbredt i kriminelle miljøer — men vurderte terrorfinansieringsrisikoen mangelfulltFinanstilsynet: den viste gjennomgående til hvitvaskingsrisikoen, slik at leseren måtte inn i den underliggende risikomatrisen for å finne terrorfinansieringseksponeringen, og matrisen beskrev iboende kontantrisiko uten en selvstendig terrorfinansieringsvurdering selv om de to ikke nødvendigvis sammenfallerFinanstilsynet. Kundegruppevurderingen var ikke tilstrekkelig virksomhetsinnrettet: det var vanskelig å utlede hvilke kundegrupper som brukte hvilke kontantprodukter (innskuddsautomat, minibank, Kontant i butikk, kassetjenester) og hva den faktiske risikoen mot dem var. Matrisen var ufullstendig utfylt — herunder modus-kolonnen — og banken overvurderte gjentatte ganger effekten av egne tiltak, for eksempel ved å behandle en risikoklassifiseringsmodell den selv mente var svak, som risikoreduserende, slik at restrisikoen ble for lavFinanstilsynet.

Rutinene for hvitvaskingsloven §§ 24 andre ledd, 25 og 26 ga de ansatte for lite operasjonell veiledning, særlig om alarmer: terskelen for ny MF-melding ved vedvarende mistanke var vagt beskrevet («forhold som avdekker nye opplysninger i saken» uten å si hva som er nytt), ingen veiledning sa når en alarm utløser hendelsesbaserte kundetiltak etter § 24 andre ledd — slik at alarmer risikerte vurdering bare etter § 25 — og «store kontanttransaksjoner» ble eksemplifisert uten å si hva ansatte skal regne som stort eller hvilke vurderinger som avgjør videre undersøkelse.

Risikoklassifiseringen bygget hovedsakelig på kundenes egenoppgitte forventede kontantbruk i KYC-skjemaer fremfor faktisk kontantatferdFinanstilsynet, med svakt begrunnede terskler og kombinasjonsrisikoveiing som sjelden løftet kontantaktive kunder til forsterket kontroll — selv om bankens egen vurdering kalte kontanter høyrisiko. Den elektroniske overvåkingen var for generell til å fange strukturering, pengemuldyr, rask videreoverføring og minibank/KIB-integrering som banken selv hadde identifisertFinanstilsynet; særskilte i-flagg-regler for personmarkedet var deaktivertFinanstilsynet, og bedriftsmarkedsovervåkingen gjenbrukte i stor grad personmarkedsreglene med høyere terskler.

Stikkprøver av 20 kundeforhold viste svikt i forsterkede tiltak og løpende oppfølging i praksisFinanstilsynet: forklaringers troverdighet ikke vurdert, avvik mellom oppgitt og faktisk kontantbruk uten oppdaterte tiltak eller ny risikovurdering, og dokumentasjon av midlenes opprinnelse manglet for kunder med forsterkede tiltak. Undersøkelse og rapportering til Økokrim hadde vesentlige svakheterFinanstilsynet: forklaringer lagt til grunn uten troverdighetsvurdering, oppdatering av kundedata som erstatning for undersøkelser, og — mest spisset — vedvarende mistenkelig aktivitet i over ett år etter MF-melding uten ny melding eller dokumentert vurderingFinanstilsynet, herunder én kunde med over 50 kontantalarmer etter en melding i januar 2025Finanstilsynet. Tidligere rapportering fritar ikke banken fra å vurdere ny rapportering når aktiviteten fortsetter, endrer karakter eller øker i omfang.Finanstilsynet

Rettslig grunnlag: hvitvaskingsloven §§ 7–9 (risikovurdering, rutiner, risikotilpassede tiltak), 24 (løpende oppfølging), 25–26 (undersøkelse og rapportering til Økokrim) og 38 (elektronisk overvåking), jf. hvitvaskingsforskriften § 7-3 og Finanstilsynets rundskriv 4/2022.