KYC tilitoimistolle: mitä asiakkaan tunteminen tarkoittaa ja miten täytät velvoitteet?

Aloitetaan luvuista, jotka alleviivaavat aiheen tärkeyttä tilitoimistoille.

Rahanpesun selvittelykeskus vastaanotti vuonna 2025 yhteensä 36 020 ilmoitusta epäilyttävästä liiketoimesta. Kirjanpitäjien osuus tästä oli vain vaivaiset 104. Suomessa toimii yhteensä noin 5 000-6 000 tilitoimistoa.

104 ilmoitusta jaettuna näin monelle tilitoimistolle tarkoittaa käytännössä, että useimmat tilitoimistot eivät tee yhtään ilmoitusta. Koskaan.

Mitä rahanpesulaki ja KYC oikeasti vaativat tilitoimistolta ja miten velvoitteet hoidetaan käytännössä ilman, että ne kuormittavat koko toimiston arkea turhaan?

Lue myös: Mitä KYC tarkoittaa ja miksi asiakkaan tietoja kysytään?

Onko teidän KYC-velvoitteiden hoito ajan tasalla?

Jos et ole varma, täyttyvätkö teidän KYC-velvoitteet, varaa maksuton Koho KYC -etäesittely. Käydään yhdessä läpi, kuinka yksi markkinoiden edullisimmista ja helpoimmista ratkaisuista hoitaa hommat automaattisesti toimii.

Mikä KYC on ja miten se liittyy tilitoimistoihin?

KYC eli Know Your Customer ei ole oma erillinen lakinsa. Se on alalla vakiintunut termi “asiakkaan tuntemiselle”, joka on osa rahanpesulakia. Rahanpesulain toteutumista tilitoimistojen osalta valvoo Lupa- ja valvontavirasto (LVV).

Rahanpesulaki (444/2017) koostuu useasta rinnakkaisesta osasta:

• Riskiarviosta.

• Asiakkaan tuntemisesta (KYC).

• Selonotto- ja ilmoitusvelvollisuudesta.

• Tietojen säilyttämisestä.

• Valvonnasta ja seuraamuksista.

KYC on yksi osa rahanpesulakia, ja se näkyy yleensä konkreettisimmin tilitoimistojen asiakastyössä. Asiakkaan tuntemisen ja tunnistamisen vaateet määrittävät, millaista tietoa tilitoimiston tulee hankkia ja ylläpitää asiakkaisiinsa liittyen.

Miksi tilitoimistot ovat rahanpesulain piirissä?

Eihän kirjanpitäjä käsittele asiakkaan rahaa samalla tavoin kuin vaikkapa pankki tai maksupalvelu. Siksi moni tilitoimisto ei miellä itseään rahanpesulain alaiseksi toimijaksi ollenkaan.

Tilitoimiston rooli ei kuitenkaan perustu siihen, että sen omaa palvelua käytettäisiin rahanpesun välineenä. Sen sijaan kirjanpitäjällä on ainutlaatuinen mahdollisuus havaita asiakkaan liiketoiminnassa tapahtuvaa rikollisuutta, kuten pimeitä palkkoja, tekaistuja laskuja, tai esimerkiksi tulojen ja menojen epäsuhtaa. Kirjanpitäjä näkee tositteet ja rahavirrat esiripun takaa.

Tilitoimistojen kuuluminen rahanpesulain piiriin on siis hyvin perusteltua.

Näiden lisäksi tilitoimistot voivat toki havaita muutakin kuin vain rahanpesua, juurikin tämän lain velvoittamien toimenpiteiden kautta. Esimerkiksi epäsuhdat asiakasyrityksen tulojen ja menojen välillä voivat paljastaa vilpillisiä järjestelyitä, jotka eivät välttämättä liity rahanpesuun, mutta ovat muilla tavoin laittomia.

Tilitoimistojen riskiarvio mahdollistaa asiakkaan tuntemisen (KYC)

Riskiarvio on ilmoitusvelvollisen oma kirjallinen dokumentti siitä, mitä rahanpesun ja terrorismin rahoittamisen riskejä heidän toimintaan liittyy.

AVI pyysi vuonna 2022 nähtäväkseen yhteensä yli 175 riskiarviota eri aloilta (kirjanpitäjät, rahoituspalvelun tarjoajat, sijoituspalvelun oheispalvelun tarjoajat, taidekauppiaat ja yrityspalvelun tarjoajat). Valtaosa riskiarvioista arvioitiin puutteelliseksi.

Lähde: Aluehallintovirasto havaitsi puutteita rahanpesulain mukaisten riskiarvioiden lainmukaisuudessa

Riskiarvio ei ole sama asia kuin asiakkaiden riskiluokittelu. Ei siis riitä, että ajetaan ulos asiakashallinnasta riskin mukaan jaoteltua asiakaslista. Sen sijaan riskiarviossa tulee avata sanallisesti, millaisia riskejä toimintaan liittyy ja miten niihin liittyen toimitaan.

Riskiarvion tyypillisimpiä puutteita ovat:

• Riskiarvio on kopioitu mallipohjasta täydentämällä siihen vain yrityksen nimi ja toimiala, ilman että omaa toimintaa on oikeasti mietitty.

• Todetaan vain, ettei riskiä ole. “Asiakkaamme eivät pese täällä rahaa” ei täytä lain vaatimuksia riskiarviolle.

• Riskiarvio kattaa vain osan palveluista. Jos tilitoimisto tarjoaa kirjanpidon lisäksi esimerkiksi veroneuvontaa, molemmat on arvioitava erikseen.

• Riskiarvio sekoitetaan asiakasluokitteluun. Pelkkä järjestelmästä ajettu raportti asiakkaiden riskitasoista ei ole riskiarvio, vaan sen tulisi olla erillinen, perusteltu dokumentti.

Moni tilitoimisto myös tekee riskiarvion kanssa virheen, kun prosessi aloitetaan miettimällä, mitä asiakkaalta pitäisi kysyä. Oikea järjestys on päinvastainen. Ensin arvioidaan riskit ja niiden pohjalta päätetään, mitä kysytään keneltäkin.

Laadukkaan riskiarvion luomiseen on saatavilla LVV:n mallipohja, joka on hyvä lähtöpiste riskiarvion toteuttamiseen. Pohjaa saa ja kannattaa käyttää apuna, mutta se pitää aina täydentää ja muokata vastaamaan juuri oman tilitoimiston toimintaa.

Tilitoimistolle tyypilliset riskitekijät

Keskusrikospoliisin indikaattorilistalla on useita merkkejä, jotka viittaavat kohonneeseen rahanpesuriskiin nimenomaan kirjanpitäjän, tilintarkastajan tai veroasiantuntijan asiakaskunnassa. Muutama esimerkki:

• Asiakas vaihtaa toistuvasti kirjanpitäjää.

• Vastaperustetun yrityksen myynti tai liikevaihto on epätavallisen suurta heti alusta alkaen.

• Yritys on rakentanut monimutkaisia yhtiörakenteita, joilla tosiasiallisten edunsaajien selvittäminen vaikeutuu.

• Yhtiöllä ei ole työntekijöitä, vaikka toiminnan luonne edellyttäisi niitä.

• Yritys maksaa palveluista veroparatiisiyhtiöille tai -tileille.

Lisäksi tilitoimistot voivat törmätä vaikkapa käteismaksuihin, jotka on jätetty kokonaan tai osittain kassan ulkopuolelle. Näin pimeitä palkkoja tai muuta epäselvää rahaliikennettä yritetään piilottaa kirjanpidosta.

Riskitekijät tunnistettu, entä seuraavaksi?

Koho KYC kokoaa asiakkaan tunnistamisen, taustatarkistukset ja dokumentoinnin yhteen paikkaan. Varaa maksuton etäesittelu ja näet, miten se toimii käytännössä.

Esimerkki asiakkaan tuntemisesta tilitoimiston arjessa

Yritys ottaa yhteyttä ja haluaa siirtää kirjanpitonsa uudelle tilitoimistolle. Selviää, että yritys on vaihtanut kirjanpitäjää kolme kertaa vuoden aikana ja sen liikevaihto on kasvanut heti perustamisen jälkeen epätavallisen nopeasti. Kumpikin näistä on juuri KRP:n indikaattorilistalla mainittu riskitekijä.

Riskiarvion perusteella tehty tuntemismenettely ohjaa tilitoimistoa tässä tilanteessa tehostettuun tarkasteluun.

Tosiasialliset edunsaajat tulee selvittää tavallista huolellisemmin ja asiakkuutta seurata tiiviimmin ensimmäisten kuukausien ajan sen sijaan, että vaihto käsiteltäisiin rutiininomaisesti kuten mikä tahansa muu asiakkuuden siirto.

Vaikka uusi liiketoiminta on tervetullutta, lain vaatimusten täyttäminen menee aina etusijalle riskitekijöiden noustessa esiin.

Tutustu KYC:iin yleisellä tasolla: Mitä KYC eli asiakkaan tunteminen on ja miksi se on tärkeää?

Mitä tehtäviä KYC vaatii tilitoimistolta?

Riskiarviossa määritetysti tilitoimiston pitää kerätä ja säilyttää asiakkaastaan tietyt tiedot vähintään 5 vuotta asiakassuhteen päättymisestä:

• Asiakas itse (luonnollinen henkilö): nimi, henkilötunnus, syntymäaika, osoite sekä tieto siitä, onko hän poliittisesti vaikutusvaltainen henkilö (PEP).

• Asiakkaan edustaja, esimerkiksi toimitusjohtaja yhteyshenkilönä: nimi, syntymäaika, henkilötunnus.

• Hallituksen tai vastaavan päättävän elimen jäsenet: nimet, syntymäajat, kansalaisuudet.

• Tosiasialliset edunsaajat, eli henkilöt joilla on omistuksen tai määräysvallan kautta yli 25 %:n osuus yrityksestä: nimi, syntymäaika, henkilötunnus (tai kansalaisuus, jos suomalaista henkilötunnusta ei ole) sekä PEP-status. Tämä velvoite koskee organisaatiomuodosta riippumatta kaikkia asiakkaita (pl. julkiset pörssiyhtiöt).

Kaikki edellä mainitut tiedot kysytään suoraan asiakkaalta itseltään. Loput velvoitteista, kuten tietojen säilyttäminen, jatkuva seuranta ja pakotelistojen vertailu, hoidetaan sen sijaan pääosin tilitoimiston sisällä.

Vuodesta 2023 alkaen mukaan on tullut vielä yksi vaatimus: asiakkaita ja heidän tosiasiallisia edunsaajiaan on verrattava säännöllisesti pakote- ja jäädytyslistoihin. Tämä on tuore vaatimus, jota moni tilitoimisto ei ole vielä täysin sisäistänyt. Se kannattaakin hoitaa automatisoidusti työkalulla, kuten Koho KYC:llä.

Näiden lisäksi tilitoimistoja koskee selonottovelvollisuus eli jos jokin liiketoimi poikkeaa normaalista (esim. suuri käteismaksu), asiakkaalta voidaan joutua kysymään suullinen selvitys varojen alkuperästä.

Jos jokin liiketoimi vaikuttaa selvityksenkin jälkeen epäilyttävältä, siitä tehdään ilmoitus Rahanpesun selvittelykeskukselle sähköisen GoAML-ilmoitussovelluksen kautta. Kynnys ilmoitukselle on matala: tilitoimiston ei tarvitse itse todistaa rikosta, riittää että liiketoimi herättää perustellun epäilyn. Rekisteröityminen sovellukseen kannattaa tehdä etukäteen, sillä käyttöoikeuden hyväksyntä vie oman aikansa.

Miten Koho KYC auttaa tilitoimistoja?

Suuri osa edellä kuvatuista velvoitteista on manuaalisesti hoidettuna hyvin hidasta ja virhealtista. Henkilötietojen keräämistä, PEP- ja pakotelistavertailua, tietojen päivittämistä ja koko prosessin dokumentointia niin, että se kestää tarkastuksen.

Koho KYC on ECIT:n kehittämä palvelu, joka automatisoi KYC-prosessin yhdestä paikasta. Asiakkaan tunnistamisen, taustatarkistukset, riskien arvioinnin ja dokumentoinnin.

Asiakkaan ajantasainen KYC-status haetaan automaattisesti, joten tieto on aina saatavilla siellä, missä asiakkuutta muutenkin hoidetaan. Kiinteä kuukausihinta tarkoittaa, ettei tapahtumakohtaisista maksuista tarvitse huolehtia asiakasmäärän kasvaessa.

Tässä on yksi markkinoiden edullisimmista, kiinteähintaisista ratkaisuista asiakkaan tuntemisen vaatimuksiin. Tutustu tarkemmin ja varaa maksuton etäesittely!

Tilitoimistot: asiakkaan tuntemisen UKK

Onko KYC ja rahanpesulaki sama asia?

Ei. Rahanpesulaki on sääntelykehys, joka koostuu useasta osasta, mm. riskiarviosta, asiakkaan tuntemisesta (KYC) ja ilmoitusvelvollisuudesta. KYC eli asiakkaan tunteminen on tästä kehyksestä yksi osa, tarkemmin sanottuna lain kolmas luku.

Mitä tietoja tilitoimiston pitää kerätä asiakkaastaan?

Kerättävät tiedot vaihtelevat henkilön roolin mukaan. Asiakkaasta itsestään kerätään nimi, henkilötunnus, syntymäaika, osoite ja tieto PEP-statuksesta. Asiakkaan edustajasta (esim. toimitusjohtaja) kerätään suppeammin: nimi, syntymäaika ja henkilötunnus. Hallituksen tai vastaavan päättävän elimen jäsenistä kirjataan nimet, syntymäajat ja kansalaisuudet. Tosiasiallisilta edunsaajilta, eli niiltä joilla on omistuksen tai määräysvallan kautta yli 25 %:n osuus yrityksestä, kysytään nimi, syntymäaika, henkilötunnus tai kansalaisuus sekä PEP-status.

Onko PEP-status tarkistettava kaikilta asiakkailta?

Jos riskiarvion perusteella asiakassuhteeseen liittyy tavanomaista suurempi riski, PEP-asema (poliittinen vaikutusvalta) on aina selvitettävä. Muissa tilanteissa selvittäminen perustuu riskiarvioon, ja myös päätös olla selvittämättä PEP-asemaa pitää perustella huolellisesti.

Kuinka kauan tilitoimiston pitää säilyttää tuntemistietoja?

KYC:iin pohjautuvia tuntemistietoja tulee säilyttää vähintään viisi vuotta asiakassuhteen päättymisestä.

Mitä tapahtuu, jos asiakas ei anna tarvittavia tietoja?

Rahanpesulaki on tässä yksiselitteinen. Jos tilitoimisto ei pysty toteuttamaan asiakkaan tuntemiseksi vaadittuja toimia, se ei saa perustaa asiakassuhdetta, suorittaa liiketointa tai ylläpitää liikesuhdetta.

Kuinka usein tilitoimiston pitää päivittää asiakkaiden tuntemistietoja?

Laki ei aseta tarkkaa määräaikaa. Päivitys tehdään riskiperusteisesti eli mitä suurempi riski asiakkaaseen liittyy, sitä useammin tiedot on syytä tarkistaa ja päivittää.

Ota Koho KYC käyttöön tilitoimistollesi

Koho KYC on yksi markkinoiden edullisimmista ratkaisuista tilitoimistoille. Kiinteä kuukausihinta, ei yllätyskuluja.

Kun palvelu on otettu ensimmäisen kerran käyttöön, se jatkaa asiakkuuksien vaatimusten mukaista seurantaa automatisoidusti.

Haluatko hoitaa tilitoimistonne KYC-vaatimusten täyttämisen pois päiväjärjestyksestä?

_{Tämä artikkeli perustuu Lupa- ja valvontaviraston (aiemmin aluehallintoviraston) julkaisemaan koulutusaineistoon ja ohjeisiin sekä poliisin Rahanpesun selvittelykeskuksen julkaisemaan tilasto- ja indikaattorimateriaaliin. Koho ei ole itse laatinut näitä aineistoja, vaan haluaa jakaa niistä tietoa asiakkailleen. Tiedot pitävät paikkansa artikkelin julkaisuhetkellä. Ajantasaiset ja lopulliset tiedot kannattaa aina tarkistaa suoraan viranomaisten sivuilta.}