Kort om KYC og hvorfor oppbevaringsplikten betyr noe
Virksomheter som omfattes av hvitvaskingsreglene må både innhente, oppdatere og kunne dokumentere kundekontroll (KYC). Når det gjelder oppbevaring av kyc-dokumentasjon frister, er kjernen å lagre så lenge regelverket krever og så kort som mulig utover dette – og å kunne slette på en trygg og dokumenterbar måte.
I praksis må du balansere kravene fra hvitvaskingslovgivningen (AML/KYC) mot personvernreglene (GDPR): lagre lenge nok til å oppfylle lovpålagte plikter, men ikke lenger enn nødvendig. En gjennomtenkt sletteplan gjør tilsyn, internkontroll og kundehåndtering betydelig enklere.
Hva menes med KYC-dokumentasjon?
KYC-dokumentasjon er all informasjon du innhenter og bruker for å bekrefte identitet og forstå kunden, formålet med kundeforholdet og tilknyttede risikoer. Dette inkluderer vanligvis:
- Identitetsunderlag: kopi/referanse til gyldig legitimasjon, verifikasjonslogger og treffkontroller.
- Eier- og kontrollstruktur: reelle rettighetshavere, organisasjonsdata og fullmakter.
- Formål og tilsiktet bruk: beskrivelse av tjenester/produkter kunden skal bruke.
- Risikoklassifisering: vurderinger, PEP-/sanksjonsscreening og eventuelle forsterkede tiltak.
- Løpende oppfølging: oppdateringer, transaksjonsbasert oppfølging og avvikshåndtering.
- Kommunikasjon knyttet til kundetiltak: forespørsler, svar, varsler og «tipping off»-vurderinger.
For enkelte bransjer kan også bransjespesifikke dokumenter regnes som KYC, eksempelvis kundeprofilskjemaer, risikoscore-eksporter eller bekreftelser fra eksterne databaser.
Hvilke regler styrer oppbevaringen?
Oppbevaring av KYC bygger normalt på to hovedpilarer: hvitvaskingsregelverket (som pålegger innhenting, oppbevaring og sporbarhet) og personvernregelverket (som krever at oppbevaring er nødvendig, forholdsmessig og tidsavgrenset). I tillegg kan annet regelverk – som bokføringsregler eller tilsynskrav – spille inn for spesifikke dokumenter.
- Hvitvaskingsregler: Pålegger oppbevaring av kundetiltak og verifikasjoner i en tidsperiode som ofte regnes fra opphør av kundeforhold eller fra en enkeltstående transaksjon.
- GDPR: Prinsippet om lagringsbegrensning betyr at dere ikke skal lagre lenger enn nødvendig for formålet, og at sletting/anonymisering må planlegges og gjennomføres.
- Bokførings-/annet regelverk: Enkelte dokumenter kan ha egne oppbevaringskrav av andre grunner (for eksempel avtalebevis), uavhengig av at formålet som KYC er utløpt. Skilting av formålene er derfor viktig.
Frister kan være uttrykt i år og variere med bransje og tilsynsmyndighet. Mange virksomheter følger veiledning fra sin tilsynsmyndighet eller bransjestandarder, og har en intern policy som konkretiserer dette.
Fastsett konkrete frister i virksomhetens rutiner
For å håndtere oppbevaring av kyc-dokumentasjon frister på en trygg og effektiv måte, anbefales en tydelig og praktisk slette- og oppbevaringspolicy. Den bør være enkel nok til daglig bruk, men presis nok til å tåle tilsyn.
- Definer startpunkt for hver dokumenttype: Ved avsluttet kundeforhold eller etter enkelttransaksjon uten kundeforhold.
- Angi varighet som oppfyller relevante krav: Følg lovkrav og eventuell veiledning fra tilsynsmyndighet/bransje, og legg inn nødvendig sikkerhetsmargin.
- Etabler tidsstyrt sletting/anonymisering: Automatiser så lenge det er forsvarlig, med manuell kontroll for unntak.
- Legal hold-prosess: En enkel prosedyre for å stanse sletting ved tvister, mistanke om hvitvasking eller forespørsel fra myndigheter.
- Loggføring og bevis: Dokumentér når noe ble slettet eller anonymisert, og på hvilket rettsgrunnlag.
- Roller og ansvar: Hvem eier KYC-arkivet? Hvem godkjenner sletting? Hvem reviderer rutinen årlig?
Slik definerer du når kundeforholdet faktisk er «avsluttet»
Det er avgjørende å vite nøyaktig når fristen starter å løpe. Vurder å beskrive dette eksplisitt i rutinene for ulike tjenester/produkter:
- Løpende kundeforhold: Når siste aktive avtale er sagt opp og alle tilganger er stengt.
- Per transaksjon: Når transaksjonen er gjennomført og avstemt, der det aldri ble etablert et løpende kundeforhold.
- Prosjektbaserte leveranser: Når leveransen er akseptert, sluttoppgjør er foretatt og eventuelle forbehold er avklart.
Dokumentér dette i kundesystemet for sporbarhet, og knytt gjerne fristen til en maskinlesbar hendelse («status = avsluttet»).
Praktiske eksempler uten å binde dere til tall
Det finnes variasjoner mellom bransjer og tilsyn. Nedenfor er eksempler på hvordan dere kan tenke, uten å angi konkrete årstall:
- Enkeltstående transaksjon for ikke-fast kunde: Start frist fra gjennomført transaksjon. Behold kun det som er nødvendig for å dokumentere kundekontroll og vurderinger.
- Langvarig kundeforhold: Start frist fra faktisk avslutning av siste aktive produkt/avtale. Skil KYC-grunnlag fra den løpende forretningsdokumentasjonen.
- Høyere risikokunde (f.eks. PEP eller komplekse strukturer): Samme startpunkt, men sørg for at innholdet i KYC-arkivet viser hvorfor tiltakene var forsterket. Eventuelle utvidede oppbevaringskrav følger av lov, veiledning eller pålegg.
Uansett scenario: Sørg for at det er lett å forstå hva som er lagret, hvorfor, når fristen begynner å løpe og hvordan sletting dokumenteres.
Dokumenttyper og tydelige startpunkter for fristene
Mange oppbevaringsbrudd skyldes at startpunktet er uklart. Eksempler på tydelige koblinger mellom dokumenttype og startpunkt:
- Kopi/referanse til legitimasjon: Start ved avsluttet kundeforhold eller etter enkelttransaksjon.
- Reelle rettighetshavere og eierstruktur: Start ved avsluttet kundeforhold.
- Risikoklassifisering, PEP-/sanksjonsscreening: Start ved avsluttet kundeforhold, med egne logger for løpende oppfølging.
- Formål/bruk og forventet transaksjonsmønster: Start ved avsluttet kundeforhold.
- Løpende oppfølging/avviksnotater: Start ved avsluttet kundeforhold eller hendelsesbasert ved enkeltsaker.
- Kommunikasjon som underbygger kundetiltak: Start ved avsluttet kundeforhold eller etter oppført transaksjon/hendelse.
Hvis enkelte dokumenter også dekkes av annet regelverk (for eksempel avtaler som må oppbevares av andre grunner), bør dere registrere begge formålene og styre sletting for hvert formål separat.
Sikker lagring, tilgangsstyring og sletting
KYC-opplysninger er ofte sensitive. God praksis er å minimere hvem som har tilgang, og holde høy standard på sikkerhet og etterprøvbarhet.
- Tilgangsstyring: «Need to know» og rollebasert tilgang (RBAC). Egen tilgangsgruppe for KYC.
- Sikker lagring: Kryptering i ro og i transitt, sikkerhetskopi med samme sletteplan.
- Sporbarhet: Revisor- og tilsynslogg for visninger, endringer og slettinger.
- Leverandører: Databehandleravtaler som beskriver oppbevaring, sikkerhet og sletting.
- Geografi: Kartlegg overføring utenfor EØS, vurder rettslig grunnlag og risiko.
- Sletting i praksis: Slett eller anonymiser ved fristutløp. Pass på at kopier i arkiv/backup håndteres i tråd med policy.
Når må eller kan lagring forlenges?
Selv om hovedregelen er tidsavgrenset lagring, finnes situasjoner hvor dere må holde på data lenger enn planlagt:
- Pålegg fra myndigheter eller tilsyn.
- Varslede eller pågående kontroller, granskninger og tvister.
- Mistanke om hvitvasking/terrorfinansiering, der dokumentasjon må holdes tilgjengelig for etterforskning.
- Andre lovpålagte hensyn som krever lenger oppbevaring for bestemte dokumenttyper.
Innfør en «legal hold»-prosess som automatisk stopper sletting i slike saker, og krev dokumentert beslutning før sletting starter igjen.
Hvordan dokumentere etterlevelse internt
God dokumentasjon er nøkkelen når du skal vise etterlevelse. En kort, men presis beskrivelse tåler ofte best revisjon og tilsyn:
- Oppbevarings- og slettepolicy: Formål, startpunkter, varighet, ansvar og unntak.
- Datakart: Hvilke systemer inneholder KYC? Hvem har tilgang?
- Prosedyrer: Hvordan slettes/anonymiseres data, og hvordan håndteres «legal hold»?
- Kontrollrutiner: Årlig egenvurdering, stikkprøver og revisjonsspor av slettejobber.
- Opplæring: Kortfattet veiledning for saksbehandlere om hva som skal lagres hvor, og hvor lenge.
Typiske feil og hvordan unngå dem
- Uklare startpunkter: Fristene starter ikke likt fra sak til sak. Løsning: Definer hendelser i systemet.
- Blanding av formål: KYC havner i regnskapsarkivet. Løsning: Separate arkiver og etiketter.
- Manglende «legal hold»: Sletting fortsetter under tvist. Løsning: Tekniske sperrer og enkel varslingsprosess.
- Ingen logging av sletting: Vanskelig å bevise etterlevelse. Løsning: Logg og godkjenning.
- Utdatert policy: Nye systemer og datafangst uten oppdatert sletteplan. Løsning: Årlig revisjon og endringsstyring.
Slik påvirker dette kjøp av hylleselskap
Ved kjøp av et hylleselskap (eller et aktivt selskap) kan det følge med historisk KYC-dokumentasjon fra etableringstidspunktet eller fra tidligere eierforhold. Kjøper bør forsikre seg om at dokumentasjonen er fullstendig, korrekt og oppbevart i tråd med gjeldende rutiner, og at frister er tydelig angitt. Dette er særlig relevant for tilbydere av selskaps- og stiftelsestjenester, som selv kan være rapporteringspliktige etter AML/KYC.
- Be om innsyn i KYC-policy og slettelogger for selskapet dere kjøper.
- Avklar hva som skal overføres til dere, hva som skal slettes, og på hvilket rettsgrunnlag.
- Verifiser hvem som er reelle rettighetshavere og om opplysningene er oppdaterte.
Hvis du er i en tidlig vurderingsfase, kan det være nyttig å sammenligne hylleselskaper for å forstå hvilke aktører som leverer god dokumentasjon og ryddige prosesser.
Som hovedlinje bør kjøpsavtalen omtale hvordan KYC-dokumentasjon håndteres ved overtakelse, herunder frister, tilgang, lagringssted, eventuelle «legal hold»-forbehold og sletteansvar.
Klar anbefaling for frister og sletting
Sett en moderat og etterprøvbar frist i tråd med lovkrav og bransjepraksis, og legg inn en kontrollert sletteprosess ved fristutløp. Unngå åpne formuleringer; skriv konkret hva som skjer når fristen er nådd, hvordan unntak besluttes og logges, og hvordan dere sikrer at kopier/backup følger samme regler. På den måten svarer dere tydelig på spørsmålet om oppbevaring av kyc-dokumentasjon frister – uten å lagre unødvendig lenge.