4 Digital sårbarhet og operasjonell risiko

4.1 Innledning

Det norske finansielle systemet er blant det mest digitaliserte i verden, og innovasjonstakten innenfor finansielle tjenester er høy. Digitaliseringen gir store fordeler både for finansforetakene, kundene og samfunnet ellers, men innebærer også nye risikoer og sårbarheter. For eksempel kan alvorlig svikt i IKT-systemer i verste fall true den finansielle stabiliteten og påvirke samfunnssikkerheten, enten svikten forårsakes av operasjonelle avvik, vinningskriminalitet eller målrettede angrep. Mulighetene som fremveksten av nye betalingssystemer gir, kan også misbrukes av kriminelle for å raskt og fordekt flytte verdier over landegrenser uten kontrollmekanismene som de regulerte finansmarkedene har. For regjeringen er det viktig å legge til rette for digitalisering og innovasjon, samtidig som sikkerhet, forbrukervern og hensynet til finansiell stabilitet og kriminalitetsforebygging ivaretas.

I dette kapitlet omtales risikoer ved digital sårbarhet, både i den finansielle infrastrukturen og for den enkelte i form av kriminalitet og svindel, pågående utredninger av endringer i betalingssystemet, markeder for kryptoaktiva og arbeidet mot hvitvasking og terrorfinansiering.

4.2 Digital sårbarhet

4.2.1 Utviklingstrekk

Det er flere utviklingstrekk som kan bidra til digitale sårbarheter som finansforetakene og myndigheter må være oppmerksomme på. Høy innovasjonstakt og regulering som legger til rette for nye tjenester, økt konkurranse og nye aktører, gir større sårbarhetsflater. IKT-driften i finanssektoren er i betydelig grad utkontraktert til underleverandører, og det kan bidra til mer komplekse og lengre leverandørkjeder som er sårbare for angrep eller operasjonell svikt. Videre er tilgang på egen IKT-kompetanse en utfordring for finansnæringen.1 Uten tilstrekkelig teknisk kompetanse er det en risiko for at foretakene ikke i tilstrekkelig grad evner å definere sine behov, forstå kompleksitet og risiko, samt stille krav til og følge opp underleverandører.

Utkontrakteringen i finanssektoren skjer dessuten til et relativt lite antall sentrale tjenesteleverandører og datasentre, som også leverer viktige tjenester til andre sektorer. For det enkelte finansforetak kan det også være rasjonelt å minimere antall plattformer og verktøy f.eks. ved bruk av brede skytjenester, som kan redusere behovet for spesialistkompetanse i foretaket. Større tjenesteleverandører kan samtidig ha mer ressurser og kompetanse til å utvikle robuste løsninger enn mindre aktører og finansforetakene selv. Utviklingen kan bidra til å redusere foretakenes kostnader og eksponering for tekniske feil og angrep, men gir samtidig større konsentrasjonsrisiko. Hvis det oppstår problemer hos en sentral tjenesteleverandør, kan det raskt få ringvirkninger til store deler av finanssystemet og andre viktige samfunnsfunksjoner i Norge.

Trusselbildet for finansiell sektor er i stadig endring, også som følge av krigen i Ukraina og en mer uforutsigbar sikkerhetspolitisk situasjon. I Finansielt utsyn desember 2022 skriver Finanstilsynet at faren for større cyberhendelser med alvorlige konsekvenser har økt. Slike hendelser kan ha store konsekvenser for finansiell infrastruktur, særlig dersom kritiske funksjoner rammes. Tette koblinger i det finansielle systemet øker faren for at enkelthendelser sprer seg og rammer flere aktører og tjenester.

Den norske finansielle infrastrukturen vurderes jevnt over som robust, sikker og effektiv, se f.eks. Norges Banks rapport Finansiell infrastruktur 2022 og Finanstilsynets Risiko- og sårbarhetsanalyse 2022. Både finansforetakene og de sentrale infrastrukturforetakene i finanssektoren har opprettholdt normal drift og hatt god beredskap under koronapandemien og krigen i Ukraina. Foretakene i finanssektoren rapporterer alvorlige operasjonelle hendelser, som teknisk svikt, og sikkerhetshendelser, som cyberangrep eller andre ondsinnede angrep, til Finanstilsynet. I 2022 ble det rapportert 287 slike hendelser, som er på samme nivå som i 2021, se figur 4.1. Av disse var 21 sikkerhetshendelser og 266 operasjonelle hendelser. Det var ingen sikkerhetshendelser i 2022 som påvirket den finansielle stabiliteten.

Dynamisk visningTabellLast ned CSV

Kilde: Finanstilsynet.

Digitalisering og teknologisk utvikling øker også handlingsrommet til kriminelle aktører. Finansnæringen legger store ressurser i å beskytte seg selv og sine kunder mot svindelforsøk, samtidig som kriminelle aktører utvikler sine metoder. Ifølge Økokrim rapporterte bankene i 2022 om en betydelig økning i antallet bedragerier.2 Finansforetakenes rapportering til Finanstilsynet viser at svindel gjennom sosial manipulering ser ut til å være den mest lønnsomme metoden for kriminelle. Samtidig forhindrer bankene en stadig større andel av svindelforsøkene.3 Den nye finansavtaleloven, som trådte i kraft 1. januar 2023, skal sikre at forbrukere som blir utsatt for svindel, i større grad enn tidligere er skjermet mot tap.

4.2.2 Samarbeid og beredskap

Det er et godt samarbeid om IKT-sikkerhet og finansiell infrastruktur i Norge, både innad i finanssektoren og mellom sektoren og myndigheter. Norske finansforetak har lenge samarbeidet om fellesløsninger, som avregningssystemet NICS, debetkortsystemet BankAxept og identifikasjons- og signeringssystemet BankID. Det legger til rette for utstrakt samarbeid også om sikkerhet og beredskap. Beredskapskapasiteten i BankAxept-systemet har nylig blitt forbedret, se boks 4.2. Siden 2018 har bankene et krav om å tilpasse sine kontantløsninger til den elektroniske beredskapen og risikoen for økt etterspørsel etter kontanter. De siste par årene har bankene dessuten bygget ut fellesløsningen for å sette inn og ta ut kontanter i dagligvarebutikker («Kontanttjenester i butikk»), se også kapittel 3.5.3. Tjenesten gir kundene mulighet til å ta ut kontanter over hele landet. Finanstilsynet og Økokrim har imidlertid pekt på at tjenesten kan misbrukes til hvitvasking og terrorfinansiering, og Finanstilsynet har understreket at brukersteds- og kontobankene forventes å iverksette tiltak for bl.a. å etterleve hvitvaskingsregelverket.4^, 5

Gjennom Nordic Financial CERT (NFCERT), som er etablert av den nordiske finanssektoren for å bistå foretakene i håndteringen av digitale angrep, er samhandlingen mellom finansforetakene forbedret og forsvarsverkene styrket. Finans Norge er dessuten medlem i Næringslivets sikkerhetsråd (NSR), som legger til rette for samarbeid på tvers av sektorer og bransjer for å kartlegge, forebygge og hindre sikkerhetstrusler. NSR er partner i Nasjonalt Cybersikkerhetssenter (NCSC), som er en del av Nasjonal sikkerhetsmyndighet (NSM). NCSC jobber for å beskytte samfunnet mot cyberangrep.

Finanstilsynet er også partner i NCSC, og deltar videre sammen med Norges Bank i NSMs samarbeidsforum for tilsynsmyndigheter på IKT-sikkerhetsområdet. Finanstilsynet er sektorvist responsmiljø (SRM) for håndtering av IKT-sikkerhetshendelser i finansmarkedene, jf. NSMs rammeverk for håndtering av sikkerhetshendelser. Finanstilsynet utøver rollen i samarbeid med NFCERT, og hadde gjennom 2022 månedlige møter med NFCERT som del av dette arbeidet.

Beredskapsutvalget for finansiell infrastruktur (BFI) har en viktig rolle i å samordne beredskapstiltak i den norske infrastrukturen. BFI ledes av Finanstilsynet, og har medlemmer fra de mest sentrale aktørene i den finansielle infrastrukturen. BFI-møtene er også en arena for Finanstilsynet og Norges Bank til å holde kontakt med aktørene, og i tillegg deltar bl.a. Finansdepartementet, NSM, Nkom og NVE som observatører.6 BFI skal komme frem til og koordinere tiltak for å forebygge og løse kriser og andre situasjoner som kan resultere i store forstyrrelser. BFI har normalt tre faste møter i året, men møtes hyppigere ved behov, som under koronapandemien og i forbindelse med krigen i Ukraina.

Norges Bank og Finanstilsynet har etablert et rammeverk for testing av cybersikkerhet i finansiell sektor, kalt TIBER-NO.7 Dette er en nasjonal tilpasning av TIBER-EU-rammeverket fra Den europeiske sentralbanken (ESB). TIBER-tester ligner reelle angrep, og skal gi innsikt i sårbarheter både for det enkelte foretak og for finansiell stabilitet. Testing etter TIBER-NO er frivillig, og de første foretakene startet opp testarbeidet i fjerde kvartal 2022.

Sikkerhetsloven skal bidra til å trygge nasjonale sikkerhetsinteresser gjennom å ivareta grunnleggende nasjonale funksjoner (GNF). GNF-er er tjenester, produksjon og andre former for virksomhet som er av en slik betydning at et helt eller delvis bortfall av funksjonen vil få konsekvenser for statens evne til å ivareta nasjonale sikkerhetsinteresser. Hvert departement skal identifisere og holde oversikt over GNF-er i sin sektor. Loven gjelder uansett for statlige, fylkeskommunale og kommunale organer, og dersom en privat virksomhet er av avgjørende betydning for en GNF, skal det ansvarlige departementet underlegge virksomheten sikkerhetsloven. Dette gjelder også dersom en privat virksomhet ikke direkte er avgjørende for en GNF, men av andre årsaker har behov for å behandle sikkerhetsgradert informasjon. Finansdepartementet har definert tre GNF-er i egen sektor, herunder «Sikre samfunnets evne til å formidle finansielle tjenester». Departementet har utpekt skjermingsverdige objekter og infrastruktur som understøtter denne GNF-en, og arbeider sammen med Finanstilsynet og Norges Bank med å identifisere ytterligere skjermingsverdige verdier i sektoren.

Innsats på tvers av sektorer vil også ha betydning for sikkerhet og beredskap i den finansielle infrastrukturen. Blant annet oppnevnte Nærings- og fiskeridepartementet i oktober 2022 Eierskapskontrollutvalget, som innen 1. desember 2023 skal utrede behovet for ytterligere kontroll med eierskap i virksomheter som ikke er underlagt sikkerhetsloven, og foreslå eventuelle tiltak. Kommunal- og distriktsdepartementet har hatt på høring forslag til ny datasenterregulering, som bl.a. omfatter krav om forsvarlig sikkerhet og beredskap for datasentertjenester og registreringsplikt for datasenteraktører, og regjeringen skal i tillegg kartlegge hvilke datasentre som leverer tjenester av betydning for kritiske samfunnsfunksjoner.8 Kommunal- og distriktsdepartementet har også varslet at det skal settes ned et ekspertutvalg for nasjonal kontroll med digital infrastruktur, herunder mobil- og bredbåndsnett og datasentre.9

4.2.3 Internasjonal koordinering

Større grad av internasjonalisering og sammenkobling over landegrensene stiller nye krav til samarbeid. I EU ble det i desember 2022 vedtatt en forordning om digital operasjonell motstandsdyktighet («Digital Operational Resilience Act», DORA), se boks 4.3. Målet med forordningen er å sikre at alle deltakere i det finansielle systemet har nødvendige tiltak på plass for å håndtere cyberangrep og andre risikoer, og stiller bl.a. krav om tilsyn med sentrale IKT-tjenesteleverandører og om rapportering av alvorlige IKT-hendelser til nasjonale myndigheter og til de felleseuropeiske tilsynsmyndighetene. Forordningen er EØS-relevant, og Finansdepartementet vurderer nå hvordan regelverket kan gjennomføres i norsk rett. I EU skal regelverket gjelde fra 17. januar 2025.

Det europeiske systemrisikorådet (ESRB) har anbefalt de felleseuropeiske tilsynsmyndighetene, ESB og nasjonale myndigheter å opprette et rammeverk for koordinering ved systemiske cyberhendelser («pan-European systemic cyber incident coordination framework», EU-SCICF). Målet er å muliggjøre rask kommunikasjon og koordinering mellom tilsyn og andre relevante myndigheter for å unngå koordineringssvikt. Rammeverket vil bli utviklet som en del av innføringen av DORA, og arbeidet startet i slutten av 2022.

4.3 Utredninger av endringer i betalingssystemet

Betalingslandskapet er i endring og preges av bl.a. internasjonalisering, nye aktører, betalingsmåter og -instrumenter, samtidig som bruken av kontanter har falt over mange år, se figur 4.2. Utviklingen gir behov for å vurdere om det bør gjennomføres endringer i betalingssystemet for å sikre at det fungerer godt også i fremtiden.

Dynamisk visningTabellLast ned CSV

Kilde: Norges Bank.

Norges Bank skal etter sentralbankloven fremme et effektivt og sikkert betalingssystem, og i sentralbankens strategi for 2023–25 er det å utrede og forme fremtidens betalingssystem ett av tre særskilte satsningsområder. Herunder fortsetter Norges Bank utredningen av digitale sentralbankpenger (DSP), se boks 4.4. Norges Banks utredning er i sin fjerde fase, der det bl.a. gjennomføres eksperimentell testing av tekniske løsninger. For Norges Bank er det overordnede spørsmålet knyttet til innføring av DSP om det vil være hensiktsmessig tiltak for å fremme et effektivt og sikkert betalingssystem og sikre tillit til pengevesenet. En eventuell innføring av DSP i Norge vil ligge et stykke frem i tid, og vil kreve lovendringer.10 Departementet følger Norges Banks utredningsarbeid nøye.

Norges Bank ser også på mulighetene for forbedringer av infrastrukturen for såkalte realtidsbetalinger, det vil si betalinger der mottaker får penger på konto sekunder etter at betalingen er satt i gang. Norges Bank mener at etablering av effektive, fremtidsrettede tjenester for betaling i sanntid bl.a. kan redusere risikoen for at internasjonale betalingsaktører etablerer betalingsløsninger basert på alternative betalingsmidler, eller på annen måte blir så dominerende at norske myndigheters reelle styring og kontroll med viktige deler av betalingssystemet svekkes. I 2021 besluttet Norges Bank å innlede forhandlinger med ESB om mulig deltakelse i Eurosystemets infrastruktur for realtidsbetalinger, TIPS («Target Instant Payment Settlement»). Flere nordiske land deltar allerede, eller planlegger å delta, i TIPS. Finlands Bank er del av eurosystemet, og vil gjennom det delta i TIPS. Siden mai 2022 har oppgjør av realtidsbetalinger i Sverige gått gjennom TIPS. Danmarks Nationalbank har offentliggjort at realtidsbetalinger i danske kroner skal kunne gjøres opp i TIPS fra 2024/25. En eventuell beslutning om norsk deltakelse i TIPS vil fattes etter forhandlingene, og forutsetter bl.a. tilfredsstillende løsninger for sikkerhets- og likviditetsstyring.

Regjeringen vil om kort tid oppnevne et utvalg som skal utrede trygge og enkle betalinger for alle, herunder kontantenes rolle i samfunnet fremover. Dette er en oppfølging av Stortingets anmodningsvedtak 9. juni 2021 nr. 1174 der «Stortinget ber regjeringen nedsette et offentlig utvalg som skal vurdere kontantenes rolle i samfunnet fremover».

4.4 Markeder for kryptoaktiva

4.4.1 Muligheter og risiko

Siden Bitcoin ble lansert i 2009, har markedet for kryptoaktiva og andre virtuelle eiendeler vokst kraftig. Markedet består i dag av et stort antall kryptovalutaer og andre typer eiendeler som har til felles at de er basert på blokkjedeteknologi. Én Bitcoin var ved utgangen av 2022 verdt omtrent 16 500 USD, og den totale markedsverdien for kryptovaluta var på samme tid omtrent 760 mrd. USD, ifølge plattformen Tradingview. De siste årene har prisene i markedet vært preget av høy volatilitet, se figur 4.3.

Dynamisk visningTabellLast ned CSV

Kilde: Tradingview.

Fremveksten av kryptovaluta og andre former for desentralisert finans, altså produkter og tjenester som benytter desentralisert teknolgi, og ikke er avhengig av en sentralisert tredjepart, kan potensielt bidra til en mer effektiv finanssektor og til finansiell innovasjon, men er også forbundet med risiko. Sentralbankorganet BIS peker i sin årsrapport fra juni 2022 på at kryptoaktiva har strukturelle svakheter som hindrer det fra å kunne ha den stabiliteten, effektiviteten og integriteten som et pengesystem trenger. Kryptoaktiva reiser videre problemstillinger knyttet til bl.a. forbruker- og investorbeskyttelse og hvitvasking, terrorfinansiering og sanksjonsomgåelser, og kan over tid også få implikasjoner for finansiell stabilitet. I en annen publikasjon fra BIS i 2023 vises det til at kryptomarkedet har vært gjennom en bemerkelsesverdig mengde opp- og nedturer, som ofte har påført investorer store tap.11 Forfatterne bemerker at selv om negative hendelser i kryptomarkedet så langt ikke har spredt seg til det tradisjonelle finanssystemet, er det ikke noen garanti for at det ikke vil skje i fremtiden når det blir stadig tettere sammenkoblinger mellom desentralisert og tradisjonell finans.

I Norge har risikoen for misbruk av kryptoaktiva blitt påpekt i flere trussel- og risikovurderinger over flere år. I Nasjonal risikovurdering – hvitvasking og terrorfinansiering 2022 fra Økokrim og PST vises det til at manglende beløpsgrenser, global dekning, såkalte miksetjenester12, useriøse vekslingstjenester og desentralisering gjør kryptovaluta egnet for kriminelle, og at kombinasjonen av dette og hopping mellom blokkjeder er noe som brukes bevisst og i økende grad av mer avanserte aktører. I rapporten trekkes utenlandske kryptovalutavekslere frem som aktører med høy risiko for å brukes til hvitvasking. Kripos viser i rapporten Politiets trusselvurdering 2022 til at nordmenn anslagsvis sender 50 mill. kroner ut av landet i bedrageri knyttet til det som fremstår som investering i kryptoaktiva. Det vises også til at flere nordmenn har betalt med kryptovaluta for å få tilgang til overgrepsmateriale på nett.

Utviklingen av internasjonale handelsplattformer for kryptoaktiva og ulike betalings- og investeringsapplikasjoner rettet mot massemarkedet har gjort det enklere for ikke-profesjonelle investorer å handle i kryptoaktiva de siste årene. En undersøkelse gjennomført av Arcane Research og EY fant at 420 000 nordmenn eide kryptovaluta i mars 2022.13 I tillegg har store og etablerte finans- og teknologiaktører begynt å involvere seg mer i markedet for kryptoaktiva.

Norges Bank peker i rapporten Finansiell stabilitet 2022 på at institusjonelle investorers og finansinstitusjoners økte eksponering mot kryptoaktiva kan bli en kilde til systemrisiko. Brå og kraftige verdifall i kryptoaktiva kan gi store tap, og dersom omfanget av kryptoaktiva er stort, kan hastesalg av andre aktiva for å dekke belånte posisjoner føre til finansiell ustabilitet. Det er imidlertid ikke tegn på at norske banker direkte eller indirekte har store eksponeringer mot kryptoaktiva. Norges Bank peker også på at såkalte stablecoins14 og deres sikringsmekanismer er en mulig kilde til systemrisiko dersom de får en vesentlig rolle i betalingssystemet. Et system med høy utbredelse av stablecoins vil kunne være sårbart for svikt som følge av svindel, manipulasjon eller av tekniske grunner. Dette kan medføre at brukere mister betalingsmidlene sine eller ikke får gjennomført betalinger. En effekt av dette kan bli verdifall i aktivaene som holdes, og smitteeffekter i finansiell sektor som kan føre til finansiell ustabilitet.

4.4.2 Regulering

Den generelle finansmarkedsreguleringen har til nå i liten grad blitt anvendt på kryptoaktivamarkeder og relaterte tjenester. I USA har imidlertid finansmyndighetene i økende grad tatt i bruk verdipapirregelverket. Tilbydere av vekslingstjenester og oppbevaringstjenester for kryptovaluta er omfattet av antihvitvaskingsregelverket, i tillegg til at generelle regler om straffansvar for hvitvasking, terrorfinansiering, bedrageri mv. gjelder dersom kryptovaluta inngår i kriminelle handlinger. I kjølvannet av at aktører og systemer har feilet gjennom 2022, ofte som følge av bedrageriliknende aktiviteter, har myndigheter internasjonalt blant annet sett på muligheten for å anvende generelle bedrageribestemmelser.

EU-kommisjonen la i september 2020 frem forslag til en reguleringspakke for å fremme digital finans i EU, inkludert et forslag til regelverk for kryptoaktivamarkeder («Markets in Crypto-Assets», MiCA). Målet er bl.a. å sikre forbruker- og investorbeskyttelse og håndtere trusler mot finansiell stabilitet, og samtidig tilrettelegge for innovasjon og like konkurransevilkår. Regelverket retter seg også mot risiko knyttet til stablecoins, bl.a. gjennom å stille krav til at utstedere må holde likviditetsreserver. Det er oppnådd foreløpig enighet mellom EU-parlamentet og Rådet om MiCA, og det forventes endelig vedtatt våren 2023. Regelverket ventes å tre i kraft i EU i 2025. Forslaget vurderes som EØS-relevant, og departementet vil vurdere norsk gjennomføring når regelverket er vedtatt.

Baselkomiteen publiserte i desember 2022 et sett med nye standarder for kapitalkrav for banker som anbefales innført innen 1. januar 2025.15 Standardene innebærer at bankene skal oppfylle strenge kapitalkrav ved eksponeringer mot kryptoaktiva som er ansett som særskilt risikofylte, herunder Bitcoin. I praksis må bankene holde egenkapital som tilsvarer hele verdien på deres eksponering mot spesielt risikofylte kryptoaktiva. Baselkomiteen uttalte i en pressemelding at standarden gir et robust og forsvarlig globalt regulatorisk rammeverk for internasjonalt aktive bankers eksponeringer mot kryptoaktiva som bidrar til ansvarlig innovasjon mens det opprettholder finansiell stabilitet.

EU-kommisjonen la i juli 2021 frem en pakke med regelverksforslag på antihvitvaskingsområdet, jf. også omtale i avsnitt 4.5. Ett av forslagene gjelder utvidelse av EU-forordningen om sporbarhet i elektroniske betalinger til også å gjelde overføringer av kryptoaktiva. Den gjeldende forordningen er i Norge gjennomført i hvitvaskingsforskriften.

4.5 Antihvitvasking og -terrorfinansiering

4.5.1 Finansforetakenes ansvar og risiko

Hvitvasking er handlinger som bidrar til å få utbytte fra straffbare handlinger, som skatteunndragelse, narkotikakriminalitet, bedrageri og annen økonomisk kriminalitet, til å fremstå som lovlig utbytte. Terrorfinansiering er økonomisk støtte til, eller innsamling av penger på vegne av, personer eller grupper som begår eller har til hensikt å begå terrorhandlinger. Hvitvaskingsloven er det sentrale regelverket i Norge for å forebygge og avdekke at finansmarkedsaktører misbrukes til hvitvasking mv., se boks 4.5.

Finansforetakene har en viktig rolle i å avdekke og stanse hvitvasking av midler som stammer fra kriminalitet. Manglende tiltak mot hvitvasking kan påvirke risikoen for ulike typer bedrageri og svindel. Gjennom innsatsen mot hvitvasking og terrorfinansiering reduseres insentivene og mulighetene for kriminelle til å misbruke legitime aktører til illegitime formål.

Ved mangelfull innsats kan transaksjoner fra Norge bli møtt med mistenksomhet, og tilliten til det norske finanssystemet som helhet kan svekkes. For finansforetak er hvitvasking en operasjonell risiko, og manglende etterlevelse av hvitvaskingsloven kan føre til store bøter, tap av omdømme og i ytterste fall tap av konsesjon. Det er flere eksempler på at banker, herunder i Norge, har fått store bøter på grunn av manglende etterlevelse av anti-hvitvaskingsregler.

I Nasjonal risikovurdering – hvitvasking og terrorfinansiering (NRA) 2022, som utarbeides av Økokrim og PST, pekes det bl.a. på sårbarheter knyttet til manglende deling av informasjon på tvers av rapporteringspliktige sektorer (som følge av økt bruk av tredjepartsaktører i betalingstransaksjoner), kjøp av antihvitvaskingsprodukter og -tjenester som hyllevare (som sjelden er tilpasset den enkelte virksomheten) og manglende transparens om reelle rettighetshavere.

4.5.2 Myndigheter og internasjonalt samarbeid

Norske myndigheter jobber bredt for å forebygge, avdekke og bekjempe hvitvasking, terrorfinansiering og tilknyttet kriminalitet. Finansdepartementet har ansvar for antihvitvaskingsregelverket, mens Utenriksdepartementet har ansvar for implementering av internasjonale finansielle sanksjoner vedtatt av bl.a. FNs sikkerhetsråd. Justis- og beredskapsdepartementet har ansvar for rettergangsregelverket og politi- og påtalemyndigheten. Nærings- og fiskeridepartementet har ansvar for selskapsretten og regler for registrering av selskapsinformasjon, som er vesentlig for å begrense misbruk av selskaper til ulike illegitime formål.

Finanstilsynet har trappet opp innsatsen på hvitvaskingsområdet, særlig etter 2016. Tilsynsaktiviteten har bl.a. resultert i tilbakekall av tillatelser, pålegg om stans av virksomhet og pålegg om retting, og Finanstilsynet har ilagt betydelige overtredelsesgebyr. Tilsynserfaringer viser at flere rapporteringspliktige har økt innsatsen mot hvitvasking og terrorfinansiering, men også at etterlevelsen er mangelfull i mange tilfeller. Finanstilsynet har på flere tilsynsområder pekt på manglende risikoforståelse, for liten kapasitet til å følge opp risikoer, og mangelfulle rutiner. Etterlevelse av hvitvaskingsregelverket er blant særlig prioriterte tilsynsområder for Finanstilsynet i strategiperioden 2023–2026.

Finanstilsynet deltar i flere samarbeid om bekjempelse av hvitvasking og terrorfinansiering, bl.a. i Kontaktforum der flere etater møtes for å sikre en koordinert innsats. Finanstilsynet deltar også som observatør i styringsgruppen for offentlig-privat samarbeid mot hvitvasking og terrorfinansiering (OPS-AT), etablert av Finans Norge i 2021, der også Skatteetaten, NAV, Økokrim og PST deltar. I tillegg samarbeider Finanstilsynet med andre offentlige myndigheter om flere enkeltsaker, særlig Økokrim, flere politidistrikt, Tolletaten, Kripos og Skatteetaten. I Økokrim er det Enheten for finansiell etterretning (EFE) som behandler meldinger om mistenkelige transaksjoner, som videreformidles til politiet, forvaltningsorganer med kontrolloppgaver og andre lands kontrollorganer.

Den internasjonale standardsetteren Financial Action Task Force (FATF) er en sentral premissleverandør for det internasjonale arbeidet for å bekjempe hvitvasking og terrorfinansiering og finansiering av spredning av masseødeleggelsesvåpen. Dette er en samarbeidsgruppe med 39 medlemsland herunder Norge. I tillegg deltar mange land og organisasjoner som observatører. FATF gjennomfører blant annet kontinuerlige landevalueringer og produserer detaljerte rapporter av landenes etterlevelse av standardene. Den foreløpig siste oppfølgingsrapporten om Norge når det gjelder teknisk implementering av standardene ble publisert i februar 2023. Siden både EU-kommisjonen og en rekke EU-land er medlem av FATF, påvirker FATFs standarder EUs hvitvaskingsregelverk. Dermed kan FATFs standarder bli bindende for Norge, gitt at disse er gjennomført i EU-rettsakter som tas inn i EØS-avtalen.

Norge deltar videre i et nordisk-baltisk samarbeid i regi av Det internasjonale pengefondet (IMF) som har til formål å analysere nasjonalt og regionalt antihvitvaskingsarbeid, finansiell stabilitet og pengestrømmer. Den endelige rapporten er forventet å foreligge i første kvartal 2023.

Regjeringen vil trappe opp kampen mot økonomisk kriminalitet, og vil legge frem en stortingsmelding om temaet. Et overordnet mål for stortingsmeldingen er å legge til rette for en kunnskapsbasert politikkutvikling og sikre at politiet i fremtiden har nødvendig kompetanse, kapasitet og hjemler til å kunne prioritere og behandle de mest alvorlige sakene om økonomisk kriminalitet på en effektiv måte, slik at disse sakene kan møtes med en riktig straffereaksjon og at utbyttet inndras. Meldingen vil blant annet omtale innsatsen mot hvitvasking og terrorfinansiering, herunder privat sektors rolle, og se nærmere på samarbeid og saksfordeling mellom politiet og kontrolletatene når det gjelder bekjempelse av økonomisk kriminalitet.

4.5.3 Register over reelle rettighetshavere

Lov om register over reelle rettighetshavere med forskrift er et supplement til hvitvaskingsloven. Forskriften ble ferdigstilt i juni 2021. Etableringen av registeret følger opp forpliktelser i EUs hvitvaskingsdirektiv, som bygger på FATF-standardene om transparens for reelle rettighetshavere. Registeret skal gi tilgang til opplysninger om de fysiske personene som i siste instans eier eller kontrollerer f. eks. selskaper. Formålet er særlig å forebygge at selskaper og andre juridiske konstruksjoner kan misbrukes til å skjule hvitvasking, terrorfinansiering og annen kriminalitet.

I november 2022 avsa EU-domstolen en avgjørelse (forente saker C-37/20 og C-601/20), hvor den kjente ugyldig en direktivbestemmelse i femte hvitvaskingsdirektiv som stiller krav om at opplysninger i register over reelle rettighetshavere skal gjøres tilgjengelig for allmennheten uten nærmere vilkår. Direktivbestemmelsen ble ansett å være i strid med retten til vern av privatliv og retten til vern om personopplysninger i EU-pakten artikkel 7 og 8. I lov om register over reelle rettighetshavere er det i utgangspunktet lagt opp til at de registrerte opplysningene skal være åpne for innsyn for allmennheten. Åpenhet har vært vurdert som et sentralt virkemiddel for å motvirke hvitvasking. Norske myndigheter har sett det som nødvendig å gjøre en nærmere vurdering av dommens betydning før det norske registeret tas i bruk.