Prinsippbasert tilsyn krever profesjonell modenhet

Prinsippbasert etterlevelse innebærer at regelverket angir overordnede krav og mål, mens virksomhetene selv gis ansvar for å forstå formålet med regelverket, inkludert struktur til å operasjonalisere de generelle kravene på en forsvarlig og etterprøvbar måte. Prinsippbasert regulering av en bransje bygger på en grunnleggende tillit til aktørenes evne til å forstå og håndtere egen risiko.

Når tilsynserfaringer over tid avdekker vedvarende og grunnleggende mangler, reises spørsmålet om forutsetningene for en slik tilnærming faktisk er til stede.

Utviklingen i advokatbransjen, både i Storbritannia og Norge, gir et illustrerende utgangspunkt for denne diskusjonen.

21. oktober i fjor annonserte den britiske regjeringen at ansvar for oppfølging og tilsyn av landets advokatforetak flyttes fra SRA (tilsvarende det norske Advokattilsynet) til Financial Conduct Authority (FCA).

Endringen er en del av en større innsats for å samordne og rydde i et historisk lappverk av regler.

I en uttalelse fra FCA ble behovet for en mer enhetlig behandling av tilsyn knyttet til anti-hvitvasking særlig fremhevet. Et av de større britiske advokathusene med spesialisering innen regulatorisk etterlevelse uttalte samtidig at advokatbransjen var preget av «widespread, persistent non-compliance».

Den endrede regulatoriske tilnærmingen i Storbritannia må forstås i lys av en bredere europeisk utvikling.

EUs nye antihvitvaskingspakke har etablert EUs anti-hvitvaskingsmyndighet (“AMLA”), med direkte tilsynsmyndighet over utvalgte foretak og en klart styrende rolle over nasjonale tilsyn.

AMLA markerer et brudd med forestillingen om at antihvitvasking primært er et nasjonalt, profesjonsnært anliggende.

I Storbritannia var de fleste i bransjen imidlertid kritiske til overføringen av myndigheten, og kom med uttalelser hvor de fryktet overgangen fra «prinsippbasert» til «regelbasert» tilsyn, og stilte spørsmål ved hvorvidt FCA har tilstrekkelig kompetanse til å forstå de særlige problemstillingene advokatforetakene står ovenfor.

Denne utviklingen er ikke begrenset til Storbritannia. Den norske arbeidsgruppen som har vurdert gjennomføringen av EUs nye antihvitvaskingspakke, peker på behovet for vesentlige endringer i dagens tilsynsmodell.

Rapporten beskriver et system i bevegelse, der krav til risikobasert tilsyn, kompetanse, metodikk og etterprøvbarhet gjør det stadig vanskeligere å opprettholde fragmenterte og profesjonsnære ordninger uten sterkere overordnet styring.

Spørsmålet fra advokatbransjen er dog legitimt. Det er noe ganske annet å være bank enn å drifte et enkeltpersonforetak som står ovenfor transaksjoner truffet av hvitvaskingsregelverket noen få ganger i året.

Å skulle pålegge alle den samme byrden knyttet til risikovurderinger, rutiner og kontroll kan føles uproporsjonalt.

Samtidig har tilsynsrapportene (og de påfølgende bøtene) fra 2025 pekt på at britiske advokatfirmaer har betydelige og grunnleggende utfordringer. Manglende risikovurderinger, både på foretaksnivå og i enkeltsaker, er gjennomgående funn.

Advokatforetakene sender også svært få meldinger om mistenkelige forhold til myndighetene. I flere saker er det avdekket at PEP-status ikke er vurdert, eller at reelle rettighetshavere ikke er identifisert. Dette er elementer som har vært del av grunnleggende risikostyring i lang tid, og mangler av denne typen vitner om svak forståelse av både risiko og ens samfunnsoppdrag.

Også i Norge er ansvaret delt mellom ulike tilsynsmyndigheter. Advokattilsynet fører tilsyn med advokatforetakene, mens Finanstilsynet følger opp banker, regnskapsførere og andre rapporteringspliktige.

En forskjell er imidlertid at Finanstilsynet som hovedregel publiserer sine tilsynsrapporter, mens rapporter knyttet til advokatforetak i stor grad er unntatt offentlighet.

Forskjeller i tilsynsmodell og grad av offentlighet er ikke bare et spørsmål om transparens, men sier også noe om hvilke mekanismer som forventes å drive etterlevelse og forbedring i ulike sektorer. Der offentliggjøring av tilsynsfunn bidrar til kollektiv læring og normdannelse, hviler mer lukkede ordninger i større grad på profesjonenes egen evne til selvregulering.

Dette står i kontrast til utviklingen på EU‑nivå, hvor offentliggjøring av tilsynserfaringer, fagfellevurderinger og tematiske gjennomganger eksplisitt skal bidra til harmonisering og normdannelse på tvers av sektorer og land.

Prinsippbasert tilsyn fremheves ofte som et uttrykk for tillit til profesjonen og rom for faglig skjønn. I sin beste form er dette riktig.

En prinsippbasert tilnærming forutsetter imidlertid at virksomhetene selv har tilstrekkelig modenhet til å forstå risiko, identifisere egne svakheter og omsette overordnede krav til praktiske, fungerende tiltak.

Der denne modenheten er til stede, kan detaljerte regler i beste fall bli overflødige, i verste fall virke mot sin hensikt.

Problemet oppstår når prinsippene blir stående alene, uten den underliggende forståelsen som gir dem innhold. Informasjon som har kommet ut blant annet i media de senere årene tyder på at mange advokatforetak har hatt vansker med nettopp dette.

Mangler i grunnleggende risikovurderinger, fravær av dokumenterte vurderinger på enkeltsaker, svak etterlevelse av sentrale kundetiltak og få meldinger til Økokrim kan vanskelig forklares med kompleksitet i regelverket alene. Snarere peker de mot en systematisk undervurdering av egen rolle og egen risiko.

I et slikt bilde blir overgangen til mer eksplisitte krav og tydeligere forventninger ikke først og fremst et uttrykk for regulatorisk overstyring, men for et behov for å gjenopprette et minimum av felles standarder.

Prinsippbasert regulering er ikke et fravær av styring, men en form for styring som forutsetter at mottakeren er i stand til å fylle rammene selv. Når dette ikke skjer, over tid og på tvers av foretak, undergraves selve begrunnelsen for modellen.

Denne asymmetrien blir særlig tydelig når man ser hen til Finanstilsynets rundskriv 3/2023, som stiller krav om egnethetsvurdering av personer i «nøkkelfunksjoner» i banker, verdipapirforetak og andre finansforetak.

Rundskrivet bygger på en erkjennelse av at enkelte funksjoner, herunder hvitvaskingsansvarlig, er så kritiske for foretakenes etterlevelse og risikostyring at det ikke er tilstrekkelig å konstatere at rollen formelt er besatt. Det forutsettes en viss kompetanse, erfaring og personlig egnethet.

For advokatforetak finnes det ikke et tilsvarende eksplisitt krav, til tross for at hvitvaskingsansvarlig også her forventes å ivareta en sentral kontroll- og styringsfunksjon.

I praksis innebærer dette at to foretak som er underlagt samme materielle hvitvaskingsregelverk, kan ha fundamentalt ulike forutsetninger for å oppfylle det, avhengig av sektor.

Når tilsynserfaringer samtidig viser vedvarende og grunnleggende svakheter i advokatforetakenes etterlevelse, er det nærliggende å spørre om dette skillet fortsatt er hensiktsmessig.

Et egnethetskrav for hvitvaskingsansvarlig i advokatforetak, tilpasset virksomhetens størrelse og risikoprofil, ville være i tråd med allerede etablerte regulatoriske prinsipper.

Snarere enn å representere en overgang til mer detaljregulering, kan et slikt grep forstås som et forsøk på å styrke forutsetningene for nettopp den prinsippbaserte tilnærmingen mange i bransjen ønsker å bevare.

I et tilsynsregime som i økende grad preges av overnasjonal harmonisering, sammenlignbarhet og ekstern etterprøvbarhet, vil slike grunnleggende forutsetninger neppe kunne forbli et spørsmål om sektorvis skjønn.

Disse spørsmålene er heller ikke begrenset til nasjonale tilsynsmodeller.

Etableringen av Anti-Money Laundering Authority bygger nettopp på erkjennelsen av at ulik modenhet og varierende etterlevelse på tvers av sektorer og land undergraver effektiv prinsippbasert regulering.

Det gjenstår å se om britenes valg om å flytte ansvar og oppfølging av landets advokatforetak til FCA vil være et hinder eller effektivt tiltak i så måte.

Uansett fordrer landskapet en styrking av nøkkelroller, og en tydeligere ansvarsbæring kan være et mer presist virkemiddel enn stadig mer detaljerte regler. Prinsipper forutsetter, også her, institusjoner som er i stand til å bære dem.