Dnr 2025-1026

Rättslig reglering

Penningtvättslagen gäller för fysiska och juridiska personer som driver vissa i lagen uppräknade verksamheter, däribland sådan verksamhet som en auktoriserad eller godkänd revisor eller ett registrerat revisionsbolag bedriver (se 1 kap. 2 § första stycket 18). Det innebär att såväl enskilda revisorer som juridiska personer som bedriver revisionsverksamhet är skyldiga att följa lagens bestämmelser och de föreskrifter som har meddelats på området.

Ett revisionsföretag ska – såsom verksamhetsutövare i penningtvättslagens mening – enligt 2 kap. 1 § penningtvättslagen göra och dokumentera en bedömning av hur de produkter och tjänster som tillhandahålls i verksamheten kan utnyttjas för penningtvätt eller finansiering av terrorism och hur stor risken är för att detta sker (allmän riskbedömning). Enligt 2 kap. 2 § penningtvättslagen ska omfattningen av den allmänna riskbedömningen bestämmas med hänsyn till företagets storlek och art samt de risker för penningtvätt eller finansiering av terrorism som kan antas föreligga. Den allmänna riskbedömningen ska enligt samma bestämmelse utformas så att den kan ligga till grund för verksamhetsutövarens rutiner, riktlinjer och övriga åtgärder mot penningtvätt och finansiering av terrorism.

Vid den allmänna riskbedömningen ska det särskilt beaktas vilka slags produkter och tjänster som tillhandahålls, vilka kunder och distributionskanaler som finns samt vilka geografiska riskfaktorer som föreligger. Enligt 3 § Revisorsinspektionens föreskrifter (RIFS 2021:1) om åtgärder mot penningtvätt och finansiering av terrorism (penningtvättsföreskrifterna) ska den allmänna riskbedömningen innehålla en identifikation av verksamhetens tjänster och produkter, en beskrivning av de hot som är relevanta för tjänsterna och produkterna, en beskrivning av de egenskaper som kan göra revisionsföretagets verksamhet eller tjänster och produkter sårbara för försök till att utnyttjas för penningtvätt eller finansiering av terrorism och en värdering av riskerna som är förenade med de beskrivna hoten och sårbarheterna.

För att den allmänna riskbedömningen ska vara relevant, tillförlitlig och verksamhetsanpassad ska den också i möjligaste mån baseras på verkliga sårbarheter och risker (se prop. 2016/17:173 s. 510). Företaget ska därvid beakta omständigheter som har framkommit vid inrapportering av misstänkta transaktioner eller aktiviteter till polismyndigheten och information om sårbarheter, risker, kända tillvägagångssätt, kvantitativa data och andra relevanta uppgifter som tillhandahålls av de myndigheter som ansvarar för att utreda och beivra penningtvättsbrott och finansiering av terrorism (se prop. 2016/17:173 s. 208 och s. 510).

Den som bedriver revisionsverksamhet ska vidare, enligt 2 kap. 8 § penningtvättslagen, ha dokumenterade rutiner och riktlinjer avseende sina åtgärder för kundkännedom, övervakning och rapportering och för behandling av personuppgifter. Omfattningen och innehållet ska bestämmas med hänsyn till revisionsföretagets storlek, art och riskerna för penningtvätt och finansiering av terrorism som har identifierats i den allmänna riskbedömningen.

Såväl den allmänna riskbedömningen som rutinerna och riktlinjerna ska fortlöpande anpassas efter nya och förändrade risker för penningtvätt och finansiering av terrorism. I 4 § penningtvättsföreskrifterna anges att revisionsföretaget, på grundval av en riskbedömning, men minst en gång per år, ska utvärdera och vid behov uppdatera den allmänna riskbedömningen och sina rutiner och riktlinjer. Datum för utvärderingen och eventuell uppdatering ska dokumenteras.

Enligt 6 kap. 1 § penningtvättslagen ska det också finnas rutiner för intern kontroll för att se till att penningtvättslagen efterlevs, dvs. rutiner och riktlinjer för att upptäcka och korrigera brister i den egna verksamheten. Enligt 6 § penningtvättsföreskrifterna ska ett revisionsföretag därvid utföra periodiskt återkommande kontroller av revisorernas åtgärder i enskilda uppdrag för att säkerställa att penningtvättsregelverket och de interna riktlinjerna och rutinerna efterlevs. Kontrollerna ska enligt samma bestämmelse ske minst var tredje år och åtminstone omfatta åtgärder och dokumentation avseende kundkännedom, kundriskprofil och övervakning i ett avslutat uppdrag. Datum för kontrollen, eventuella upptäckta brister samt planerade och genomförda förbättringsåtgärder ska dokumenteras.

Bedömningen i detta fall

Det riskbaserade förhållningssätt som penningtvättslagen förutsätter innebär att verksamhetsutövaren ska vidta åtgärder som står i proportion till de risker för penningtvätt och finansiering av terrorism som verksamhetsutövaren är utsatt för. Det är därför avgörande att den allmänna riskbedömningen är utformad specifikt utifrån de risker som finns i den egna verksamheten för att åtgärder ska kunna vidtas för att förhindra att verksamhetsutövaren och dennes tjänster utnyttjas i illegitima syften.

I detta fall inleds revisionsföretagets allmänna riskbedömning med en generell beskrivning av företagets verksamhetsområden (revision- och redovisningsverksamhet). Det saknas dock information om verksamhetsspecifika omständigheter, såsom exempelvis företagets organisatoriska komplexitet, storlek och omsättning, antalet anställda och dessas fördelning på de olika verksamhetsområdena, antalet uppdrag och fördelningen av dessa mellan verksamhetsområdena och de tjänster som utförs. Det framgår inte heller hur dessa faktorer har beaktats vid utförandet och upprättandet av den allmänna riskbedömningen. Det går därför inte att avgöra om och i så fall hur den allmänna riskbedömningens omfattning har anpassats till revisionsföretagets verksamhet.

Syftet med den allmänna riskbedömningen ska vara att besvara frågan om och hur revisionsföretagets tjänster kan användas för att dölja eventuellt samband med brottslig verksamhet.

I bilagan där riskbedömningen har dokumenterats listas kortfattat de tjänster, kundgrupper, geografiska områden och distributionskanaler som förekommer i företagets verksamhet. Varje kategori har även tilldelats en risknivå. Det finns dock en otydlighet kring innebörden av de risknivåer som har angetts för de olika kategorierna, särskilt eftersom de risknivåer som angetts i matrisen i den allmänna riskbedömningen inte stämmer överens med de nivåer som appliceras i bilagan och risknivåerna för flera kategorier anges som ett spann, t.ex. ”låg till normal”, ”låg till hög”, eller ”normal till hög”.

Förklaringarna till hur revisionsföretaget har kommit fram till risknivåerna för de olika kategorierna är kortfattade och generella. Beskrivningarna av hur de olika tjänsterna som tillhandahålls kan utnyttjas för penningtvätt och finansiering av terrorism är allmänt hållna. Det saknas beskrivningar av vilka egenskaper som kan göra tjänsterna sårbara för försök att utnyttja dem för penningtvätt eller finansiering av terrorism.

A-son har i yttrande till Revisorsinspektionen redogjort för vilka uppgifter och resonemang som har legat till grund för de angivna risknivåerna inom de olika kategorierna. Det som han har uppgett som riskreducerande för kategorin tjänster är emellertid i allt väsentligt sådana generella omständigheter som gäller för hela revisionsbranschen och som därmed inte motiverar en lägre risk än vad som enligt den nationella riskbedömningen gäller för sektorn i stort. Till detta kommer att den analys som han har åberopat beträffande bostadsrättsföreningar och hantverksbranschen i kategorin kunder saknar förankring i allmänt tillgänglig information, såsom vägledningar, lägesbilder eller upplysningar om kända tillvägagångssätt från exempelvis brottsbekämpande myndigheter. Mot denna bakgrund framstår resonemanget som alltför generellt till sin karaktär utan konkret koppling till faktiska hot, sårbarheter och tillvägagångssätt.

Den allmänna riskbedömningen kan därmed inte heller med beaktande av vad A-son har uppgett i sina yttranden anses utgå från identifierade och verkliga sårbarheter och faktiska risker i verksamheten.

Kravet på interna rutiner och riktlinjer syftar till att säkerställa att verksamhetsutövaren och dennes anställda har tillgång till tydliga och detaljerade handlingsdirektiv så att de vet vilka åtgärder som ska vidtas i olika situationer (se prop. 2016/17:173 s. 212 f.). I detta fall saknar revisionsföretagets rutiner och riktlinjer verksamhetsanpassad vägledning för hur bedömningen ska göras av kundens riskprofil. Det finns endast en lista på omständigheter som kan motivera att risken bedöms som låg respektive hög och denna är inte anpassad till företagets specifika verksamhet utan tar upp sådana risker som verksamhetsutövare i allmänhet har att beakta.

För förenklade åtgärder vid låg risk anges bl.a. att kontroll av identitet kan göras efter det att affärsförbindelsen har etablerats och att identitetskontroll inte behöver genomföras av den som är verklig huvudman. Penningtvättslagen medger förvisso vissa lättnader när det gäller omfattningen av och tidpunkten för genomförandet av kundkännedomsåtgärder om risken i uppdraget bedömts som låg. Detta befriar emellertid inte revisorn från skyldigheten att senast vid etableringen av affärsförbindelsen skaffa sig grundläggande kännedom om den kund som han eller hon ingår en affärsrelation med. Sådan grundläggande kundkännedom inbegriper identitetskontroll av såväl kundens företrädare som kundens verkliga huvudman. De rutiner och riktlinjer som revisionsföretaget har i detta avseende strider alltså mot penningtvättslagen.

Det saknas också vägledning om hur utredningen av förekomst av verklig huvudman eller en bedömning av s.k. PEP ska göras. Det framgår inte heller hur det ska kontrolleras huruvida kunden har verksamhet som riskerar att medföra överträdelse av internationella sanktioner. Det finns inte heller någon vägledning om hur en anställd ska agera vid förekomst av en komplicerad ägarstruktur i en juridisk person, trots att detta listas som en faktor som kan medföra hög risk. De skärpta åtgärder som räknas upp för hög risk innehåller inte heller någon information eller ytterligare vägledning om vilken typ av information som behöver inhämtas från kunden eller vilka frågor som bör ställas. På flera ställen anges också åtgärder som kan vidtas men inte vilka åtgärder som ska vidtas. Mot denna bakgrund konstaterar Revisorsinspektionen att rutinerna och riktlinjerna mer har karaktären av allmänt hållen information än konkret vägledning kopplad till revisionsföretagets specifika förhållanden.

Sammantaget finner Revisorsinspektionen att varken den allmänna riskbedömningen eller rutinerna och riktlinjerna uppfyller kraven i 2 kap. penningtvättslagen.

Genom att inte säkerställa att revisionsföretaget har allmän riskbedömning och rutiner och riktlinjer som är förenliga med penningtvättslagen har A-son i egenskap av ställföreträdare för revisionsföretaget åsidosatt sina skyldigheter som revisor.

Kundkännedom

I grundakten finns en aktiebok, en bolagsordning, odaterade och ej vidimerade kopior av två körkort, ett registreringsbevis som är nedladdat den 14 februari 2024, ett uppdragsbrev för revisionsuppdrag, daterat den 20 juni 2022, samt en rapport från det digitala kundkännedomsverktyget, genererad den 25 februari 2024. I årsakten finns också två årsstämmoprotokoll, ett arbetsprogram benämnt Grundläggande upplysningar, ett dokument Grunduppgifter för räkenskapsåret 2023 som är daterat som godkänt den 8 mars 2024 samt en uppdragsbedömning och en övergripande revisionsstrategi för räkenskapsåret 2023, båda upprättade den 25 februari 2025.

Bolagsordningen, som saknar datering, anger att bolaget ska bedriva försäljning av begagnade bilar, bilverkstad, import och export av bilreservdelar och uthyrningslokal samt därmed förenlig verksamhet.

Aktieboken ser ut att vara upprättad den 21 september 2023. Den identifierar fyra personer som ägare till vardera 25 procent av aktierna. Detta överensstämmer också med uppgifterna i årsstämmoprotokollet från den 20 april 2025. De körkortskopior som finns i grundakten avser två av ägarna, varav den ena såvitt framgår av registreringsbeviset också var styrelseledamot i bolaget samt även den som har undertecknat uppdragsbrevet. Enligt registreringsbeviset var de övriga tre aktieägarna styrelsesuppleanter och firman tecknades antingen i förening eller av ledamoten eller suppleanterna var för sig.

I stämmoprotokollet från den 20 april 2025 upptas de fyra aktieägarna från aktieboken som närvarande med 125 aktier var. I det protokoll som är daterat den 21 juni 2023 upptas endast två aktieägare med vardera 50 procents ägande. I dokumentationsguiden för räkenskapsåret 2023 är även fyra aktieägare med 25 procent var angivna, varav två sägs vara verkliga huvudmän. I det dokumentet anges även att styrelsen utgjordes av de två verkliga huvudmännen (styrelseledamot respektive suppleant).

Enligt rapporten från det digitala kundkännedomsverktyget var två av aktieägarna från aktieboken verkliga huvudmän och det är dessa två personer som körkortskopiorna avser. Enligt rapporten är det också dessa två som, tillsammans med bolaget, har screenats för sanktions- och PEP-listor. I rapporten anges tre av de fyra aktieägarna enligt aktieboken och årsstämmoprotokollet som direkta ägare med 25 procent vardera. De återstående 25 procenten är inte upptagna i rapporten. Uppdragsbedömningen för räkenskapsåret 2023 innehåller ett påstående om att uppgifterna i registret över verkliga huvudmän kontrollerats och att inget tydde på att inte rätt personer var registrerade i registret över verkliga huvudmän. Detta påstående har besvarats med ”ja”, med en hänvisning till det digitala kundkännedomsverktyget.

I årsakten för räkenskapsåret 2023 finns därutöver en rapport med företagsinformation som har inhämtats från en digital informationstjänst den 25 februari 2025. Även av denna kan utläsas att företaget hade anmält två av ägarna till registret över verkliga huvudmän. Enligt rapporten var registreringsdatum för detta den 3 juni 2021. En av de anmälda personerna, styrelseledamoten, uppges också vara verkställande direktör. Rapportens kontroll mot PEP- och sanktionslistor omfattar samtliga delägare tillika styrelseledamöter respektive suppleanter. Därutöver finns en checklista i dokumentet Riskhantering: Allmänna revisionshandlingar, Penningtvätt, upprättad den 7 mars 2024, där det anges att identitetskontroll gjordes i samband med antagandet av uppdraget. Något datum för kontrollen är inte angivet. I checklistan sägs, under rubriken Sammanfattning, att kundriskprofilen bedömdes som normal.

Kundriskprofil

Den PTL-rapport från det digitala kundkännedomsverktyget som finns i grundakten innehåller en krysslista med olika påståenden avsedda att ligga till grund för en bedömning av klientens och ärendets risknivå. Inget av påståendena i listan har kryssats för. Det framgår att risknivån har bedömts som normal. Det har också antecknats att nivån enligt byråns interna dokument är medel. Detta har motiverats med att revisorn hade årlig kontakt med kunden, god kännedom om kunden och verksamheten, att ingen kontantverksamhet förekom och att verksamheten avsåg försäljning av bilar, som kunde identifieras, i Sverige.

Av uppdragsbedömningen framgår att revisionsföretaget hade haft kunden i flera år och att det inte hade förekommit några indikationer på att företagsledningen inte skulle vara hederlig och ärlig. Där anges också att det förekom ytterst få kontanta transaktioner och att försäljningen nästan uteslutande skedde genom betalning via bank utifrån inköps- och försäljningsavtal samt att styrelse/verklig huvudman hade identifierats. Vidare sägs att det under tidigare år inte hade noterats något som tydde på att det förekom oegentligheter och att den av kunden anlitade redovisningsbyrån var känd sedan tidigare. Det står också att det enligt revisionsföretagets kvalitetspolicy och allmänna riskbedömning förelåg en normal risk för penningtvätt.

I den övergripande revisionsstrategin har antecknats att bolagets kunder bestod av privatpersoner och att försäljning endast skedde mot faktura eller direktbetalning. Vidare sägs att bolaget hade bytt redovisningskonsult, eftersom ägaren inte var nöjd med den som hade skött redovisningen föregående år. Den risk som förknippas med kundrelationen (kundens riskprofil) sattes som normal.

Att kundriskprofilen var normal är också angivet under rubriken Sammanfattning i checklista för riskhantering; Allmänna revisionshandlingar, Penningtvätt i årsakten (upprättad 7 mars 2024).

Revisorns uppgifter

A-son har uppgett följande.

Identitetskontrollerna genomfördes den 19 juli 2022. De två personerna var vid detta tillfälle ägare till 50 procent vardera och verkliga huvudmän. Vid startpunkten för revisonen, när PTL-rapporten gjordes, hade han inte fått information om att det hade tagits in två delägare till. När han fick vetskap om detta gjorde han bedömningen att de två verkliga huvudmännen kunde kvarstå som sådana, eftersom det egentligen inte fanns några verkliga huvudmän när alla ägde 25 procent var. Han påtalade för styrelsen att de borde ändra i Bolagsverkets register men han gick inte in och gjorde det själv, eftersom han inte ansåg att felet var så allvarligt och en ändring skulle resultera i att bolaget inte längre hade några verkliga huvudmän registrerade.

Förekomsten av kontanter var väldigt blygsam. Ett femtontal kunder hade lämnat handpenning för fordon, som de senare slutbetalade via bank. Mot denna bakgrund, och eftersom själva intäktsredovisningen skedde via faktura där kunden även identifierade sig med e-legitimation, bedömde han risken som normal.

Rättslig reglering

Av 2 kap. 3 § penningtvättslagen följer att en revisor ska bedöma den risk för penningtvätt eller finansiering av terrorism som kan förknippas med kundrelationen (kundens riskprofil). Kundens riskprofil ska bestämmas med utgångspunkt i den allmänna riskbedömningen och revisorns kännedom om kunden.

En revisor ska vidta åtgärder för kundkännedom vid etableringen av en affärsförbindelse (se 3 kap. 4 § penningtvättslagen). I detta ingår att identifiera kunden och kontrollera kundens identitet (3 kap. 7 §) samt att utreda om kunden har en verklig huvudman (3 kap. 8 §). Om det står klart att kunden inte har en verklig huvudman – eller det finns anledning att anta att den person som har identifierats som verklig huvudman inte är den verkliga huvudmannen – ska alternativ verklig huvudman utses (3 kap. 8 § tredje stycket). En revisor ska vidare bedöma om kunden eller kundens verkliga huvudman är en person i politiskt utsatt ställning (PEP) eller är en familjemedlem eller känd medarbetare till en sådan person (3 kap. 10 §).

Revisorn ska också, enligt 3 kap. 13 §, löpande och vid behov följa upp pågående affärsförbindelser i syfte att säkerställa att kännedomen om kunden är aktuell och tillräcklig för att hantera den bedömda risken för penningtvätt eller finansiering av terrorism. Åtgärderna för kundkännedom ska, enligt 3 kap. 14 §, ha den omfattning som behövs med hänsyn till kundens riskprofil och övriga omständigheter.

Enligt 9 § penningtvättsföreskrifterna ska en revisor utvärdera kundkännedomen och kundens riskprofil minst en gång per år och vid behov uppdatera dessa. En revisor ska vidare – enligt vad som närmare utvecklas i 4 kap. 1 § penningtvättslagen – övervaka pågående affärsförbindelser och bedöma enstaka transaktioner och aktiviteter som kan antas ingå som ett led i penningtvätt eller finansiering av terrorism.

Bilbolaget

Definitionen av verklig huvudman finns i 1 kap. 3–7 §§ lagen (2017:631) om registrering av verkliga huvudmän. Där framgår att en verklig huvudman är den eller de personer som ytterst äger eller kontrollerar exempelvis ett företag eller en förening. En verklig huvudman kan också vara den eller de personer till vars förmån någon annan handlar eller som drar nytta av att någon annan agerar åt dem. Om ingen person kan identifieras enligt dessa kriterier, ska enligt 3 kap. 8 § tredje stycket penningtvättslagen i stället utses en alternativ verklig huvudman.

Av utredningen i ärendet framgår att A-sons granskning av förekomsten av verkliga huvudmän begränsades till att konstatera att samtliga delägare innehade 25 procent vardera av aktierna. Han utredde, såvitt framgår av hans dokumentation och hans yttranden till Revisorsinspektionen, inte huruvida någon utövade bestämmande inflytande över verksamheten eller dess beslutfattande på annat sätt än genom ägande, dvs. kunde anses vara verklig huvudman genom kontroll. Sådan kontroll kan föreligga exempelvis när en person, genom avtal, stadgar eller andra rättsliga eller faktiska arrangemang, har rätt att utse eller avsätta en majoritet av styrelseledamöterna, eller på annat sätt ensamt eller tillsammans med närstående kan styra bolagets strategiska beslut. Det kan inte heller utläsas av hans dokumentation eller yttranden att han vidtog åtgärder för att klarlägga vem av de fyra delägarna som utövade mest kontroll över verksamheten och som därigenom hade den största likheten med en verklig huvudman. Han kan mot denna bakgrund inte anses ha utrett frågan om verkliga huvudman tillräckligt för att ta ställning till vem som var bilbolagets faktiska eller alternativa verkliga huvudman.

Enligt 3 kap. 5 § lagen om registrering av verkliga huvudmän ska en verksamhetsutövare som anser att det finns anledning att misstänka att uppgifterna i Bolagsverkets register över verkliga huvudmän är felaktiga anmäla detta till Bolagsverket. I detta sammanhang anses en revisor som verksamhetsutövare (se 1 kap. 8 § som, vad gäller innebörden i begreppet verksamhetsutövare, hänvisar till penningtvättslagen).

Av utredningen framgår att A-son ansåg att uppgifterna i registret över verkliga huvudmän var felaktiga. Han skulle därför ha anmält detta till Bolagsverket. Att han inte bedömde felet som allvarligt saknar betydelse.

Riskerna för penningtvätt i bilbranschen har varit kända under lång tid2 och omnämns bl.a. i förarbetena till penningtvättslagen.3 Det får därmed enligt Revisorsinspektionen anses ha varit allmänt känt att branschen är förknippad med hög risk. A-son har varken i sin dokumentation eller i sina yttranden redogjort för några omständigheter som kan anses medföra att riskerna för penningtvätt var lägre i bilbolaget än för branschen i övrigt. Han hade därmed inte fog för bedömningen att den risk för penningtvätt och finansiering av terrorism som var förenad med uppdraget var normal, dvs. lägre än den nivå som är typisk för bilbranschen.

Genom att inte utreda förekomsten av verklig huvudman på det sätt som penningtvättslagen förutsätter, genom att inte anmäla misstankar om felaktiga uppgifter i registret över verkliga huvudmän till Bolagsverket och genom att sätta en felaktig risknivå i uppdraget har A-son åsidosatt sina skyldigheter enligt penningtvättsregelverket.

Guldbolaget

Guldhandel har sedan länge betraktats som en högriskverksamhet ur penningtvättsperspektiv. Riskbilden är väl etablerad i nationella riskbedömningar och myndighetsvägledningar, där handel med varor av högt värde och kontantförsäljning särskilt pekas ut som sårbara.4 Presumtionen får enligt Revisorsinspektionen därmed vara att guldbolagets kundriskprofil borde ha varit förhöjd eller hög. A-son har inte i sin dokumentation eller i sina yttranden redogjort för några omständigheter som kan anses medföra att riskerna för penningtvätt var lägre i guldbolaget än i branschen i övrigt.

I detta fall förekom det dessutom ovanliga omständigheter kopplade till bolagets affärsrelation med två guldleverantörer i Mellanöstern (se avsnitten 6.2 och 6.3), vilka enligt Revisorsinspektionen talar för förhöjd risk. Det är inte heller ovanligt att banker som en konsekvens av sin övervakning av transaktioner som skulle kunna innebära penningtvätt avslutar kunders engagemang i banken. Eftersom bolaget verkade i en bransch där det, bl.a. enligt A-sons egen bedömning, fanns en risk för exempelvis oredovisade intäkter, fanns det anledning för honom att närmare undersöka varför bolaget hade bytt bank. Han borde därvid inte ha förlitat sig enbart på bolagets uppgifter.

Revisorsinspektionen bedömer därför att A-son inte hade fog för bedömningen att den risk för penningtvätt och finansiering av terrorism som uppdraget var förenat med var normal, dvs. lägre än den nivå som är typisk för guldhandlare. Den åsatta riskprofilen var därmed felaktig. Vad A-son har anfört om kontanthandelns materialitet saknar betydelse.

A-son har genom den felaktiga bedömningen av kundens riskprofiler åsidosatt sina skyldigheter enligt penningtvättsregelverket och därigenom sina skyldigheter enligt penningtvättsregelverket.

Planering och riskbedömning

Av årsredovisningen framgår att nettoomsättningen hade ökat från 42,1 mnkr räkenskapsåret 2022 till 147,9 mnkr räkenskapsåret 2023. Antalet anställda hade ökat från tre till sju personer och personalkostnaderna från 2,0 mnkr till 2,9 mnkr.

Av dokumentationen framgår att bolagets kunder bestod av privatpersoner och att bolaget inte var beroende av några enstaka kunder. Försäljning skedde mot faktura eller mot direkt betalning. Bolaget använde ett system via en webbtjänst för kontraktshantering gällande inköp och försäljning av bilar.

A-sons bedömning var att bolagets rutiner och redovisningssystem verkade fungera väl men att han inte kunde förlita sig på bolagets interna kontroll i granskningen. Därför skulle han tillämpa substansgranskning, dvs. detaljgranskning och analytisk granskning, som granskningsmetod.

Av dokumentationen av planeringen och riskbedömningen framgår att A-son inte avvek från grundantagandet i ISA om risken för väsentliga felaktigheter i intäktsredovisningen som berodde på oegentligheter.5 Intäktsredovisningen var därför förenad med en betydande risk. När det gäller hans riskbedömning i övrigt så går det att utläsa att han bedömde att posten var väsentlig och att räkenskapspåståendena existens, förekomst och fullständighet var förknippade med både hög inneboende risk och hög kontrollrisk.

Granskningen

Av arbetsprogrammet för posten Nettoomsättning framgår att A-son rimlighetsbedömde posten genom en jämförelse med tidigare år. Han noterade därvid att omsättningen hade ökat med 251 procent och att inköpen hade ökat i samma takt. Han antecknade att bolaget nu hade ytterligare två ägare och hade anställt mer personal, vilket kunde vara en förklaring till den stora förändringen mot tidigare år. Han antecknade också att bruttovinstmarginalen hade minskat till åtta procent jämfört med 12–13 procent tidigare år. Det framgår också att han gjorde en periodiseringskontroll avseende försäljningar kring balansdagen.

A-son gjorde stickprov på några försäljningstransaktioner. För de huvudbokskonton där försäljning av bilar som träffades av vinstmarginalbeskattning bokfördes kontrollerade han december månads försäljningar. Detsamma gällde det huvudbokskonto där försäljning av bilar som träffades av vanliga mervärdesskatteregler bokfördes. Slutligen kontrollerade han att det inte var något glapp i nummerserien för försäljningsavtal i december månad och januari månad efter balansdagen.

Det framgår inte av dokumentationen om A-son utförde några fler granskningsåtgärder i syfte att granska fullständigheten och riktigheten i den samlade intäktsredovisningen. Det går inte heller att utläsa hur hans bedömning att det fanns en risk för väsentliga felaktigheter i intäktsredovisningen som berodde på oegentligheter påverkade inriktningen på och omfattningen av hans granskning.

Revisorns uppgifter

A-son har uppgett följande.

Bolaget ändrade inriktningen på vilken typ av bilar som man skulle ha i lager, från dyrare bilar till mellanklassbilar och billigare bilar. Detta gjorde att bruttovinstmarginalen blev lägre, eftersom vinsterna är lägre i det segmentet. Omsättningen ökade dock eftersom det var lättare att avyttra den typen av bilar, vilket ledde till att bolagets omsättningshastighet ökade.

Bedömningen att det fanns en risk för väsentliga felaktigheter i intäktsredovisningen som berodde på oegentligheter påverkade inriktningen på och omfattningen av granskningen genom ett ökat fokus på intäktsredovisningen. Granskningsåtgärderna utökades och var mer omfattande för att han skulle kunna upptäcka eventuella felaktigheter. Han utförde en utökad kontroll av transaktioner samt anpassade granskningsåtgärderna genom att utföra detaljerade substansgranskningstest. Det gjordes genom att han följde hela transaktionsflödet från bokföringen av intäkter mot det fordonssystem som bolaget använde och mot Transportstyrelsens fordonsregister.

Eftersom alla inköp och försäljningar registrerades i fordonssystemet, registrerades fordonen direkt mot Transportstyrelsen och transaktioner genomfördes genom signering med e-legitimation. För att kontrollera att bolaget följde denna rutin granskade revisionsteamet alla försäljningstransaktioner i december 2023 och i början av år 2024. Slutsatsen var att allt var korrekt. Hans granskning av nummerserien för försäljningsavtal i december och januari månader utfördes genom att han jämförde bokföringen mot bolagets affärssystem och mot själva försäljningsavtalen och inköpsavtalen under denna period. Inga avvikelser hittades vid denna granskning. Hans bedömning var att det efter den utförda granskningen inte fanns någon risk för väsentliga felaktigheter i intäktsredovisningen.

Revisorsinspektionens bedömning

Intäktsredovisningen är normalt ett väsentligt granskningsområde som revisorn har anledning att ägna särskild uppmärksamhet. Av A-sons dokumentation framgår dessutom att han bedömde att nettoomsättningen var en väsentlig post att granska och att det fanns betydande risker kopplade till posten.

Enligt International Standard on Auditing (ISA) 240 Revisorns ansvar avseende oegentligheter i en revision av finansiella rapporter p. 27 ska en revisor, när han eller hon identifierar och bedömer riskerna för väsentliga felaktigheter som beror på oegentligheter, på grundval av ett grundantagande om att det finns risker för oegentligheter i intäktsredovisningen, utvärdera vilka intäkter, intäktstransaktioner eller påståenden som ger upphov till sådana risker. Om grundantagandet inte avfärdas, ska risken behandlas som en betydande risk i enlighet med ISA 315 p. 12 l. ii. Detta innebär enligt ISA 315 p. A 218 bl.a. att revisorn måste identifiera sådana kontroller i bolaget som hanterar risken. Revisorn måste då också utvärdera bl.a. om kontrollerna har utformats på ett ändamålsenligt sätt enligt p. 26 a i samma ISA och om de har införts i enlighet med p. 26 d.

A-son avfärdade inte grundantagandet om risken för väsentliga felaktigheter i intäktsredovisningen som beror på oegentligheter. Det ålåg honom därför att, i enlighet med kraven i ISA 315, behandla detta som en betydande risk och vidta de åtgärder när det gäller bolagets kontroller som följer av standarden. Enligt Revisorsinspektionens bedömning visar inte dokumentationen att han vidtog tillräckliga åtgärder i detta avseende. A-son har uppgett att han följde transaktionsflödet från bokföringen av intäkter mot det fordonssystem som bolaget hade och mot Transportstyrelsens register. Han har emellertid inte angett att han identifierade några kontroller eller att han utvärderade om dessa var utformade på ett ändamålsenligt sätt, förutom att transaktioner godkändes med e-legitimation. Revisorsinspektionen drar därför slutsatsen att han inte hanterade risken för väsentliga felaktigheter i intäktsredovisningen som berodde på oegentligheter i enlighet med kraven i ISA 315. Han har därigenom åsidosatt god revisionssed.

A-son valde att helt förlita sig på substansgranskning vid granskningen av bolagets intäkter. Den fråga som Revisorsinspektionen har att bedöma är därför om hans substansgranskningsåtgärder gav honom grund att godta fullständigheten i den samlade intäktsredovisningen.

De åtgärder som framgår av A-sons dokumentation begränsar sig till rimlighetsbedömningar och jämförelser mot tidigare år, en kontroll av försäljningstransaktioner i december månad och en kontroll av att det inte förekom något glapp i nummerserien för kundfakturor i december månad och januari efterföljande räkenskapsår. Enligt Revisorsinspektionens bedömning gav dessa granskningsåtgärder honom inte tillräcklig grund för att godta fullständigheten i den samlade intäktsredovisningen. Hans yttranden till Revisorsinspektionen innehåller kompletterande information om de åtgärder som går att utläsa av dokumentationen men de innehåller inga redogörelser för några ytterligare åtgärder.

Inspektionen anser mot denna bakgrund att A-sons åtgärder för att kunna godta fullständigheten i intäktsredovisningen inte var tillräckliga. Bristerna vid granskningen var sådana att han – med hänsyn till intäkternas betydelse i bolaget – saknade grund för att tillstyrka ett fastställande av bolagets resultat- och balansräkningar. Genom att likväl göra det har han åsidosatt god revisionssed.

Planering och riskbedömning

Av A-sons dokumentation av planeringen och riskbedömningen framgår att han bedömde att bolagets rutiner och redovisningssystem var bra upplagda och att de fungerade till synes väl. Eftersom antalet personer i bolaget var få bedömde han dock att han inte skulle kunna förlita sig på den interna kontrollen i granskningen utan uteslutande tillämpa substansgranskning genom detaljgranskning och analytisk granskning. Av dokumentationen framgår också att han bedömde posten Nettoomsättning som en väsentlig post.

Det finns en kort rutinbeskrivning avseende bolagets försäljning. Försäljningen skedde framför allt genom kassaförsäljning där bokföringen utgick från de z-rapporter som skrevs ut dagligen och överlämnades till bolagets redovisningsbyrå. Månadsrapporter skrevs ut från kassaregistret och sparades i pärmar. Tidigare år hade A-son inte noterat några väsentliga avvikelser mellan underlaget från kassaregistret och bokföringen.

När det gällde risken för väsentliga felaktigheter i intäktsredovisningen som berodde på oegentligheter framgår det att A-son inte avvek från grundantagandet i ISA om förekomsten av en sådan risk. Bolaget bedrev verksamhet i en bransch som var känd för att inte redovisa samtliga intäkter samt att utbetala ”svarta” löner. Antalet ovanliga transaktioner som var väsentliga bedömdes vara få och enkla att fånga upp. Enligt A-sons bedömning fanns det inte någon indikation på en betydande risk för felaktigheter som berodde på oegentligheter men kravet i ISA gjorde att en sådan risk ändå skulle beaktas i granskningen. Detta innebar att räkenskapspåståendena existens, förekomst och fullständighet bedömdes vara förknippade med en betydande risk i granskningen. Skatteverkets krav på certifierat kassaregister och personalliggare samt det faktum att bolagets bruttovinst var på samma nivå som tidigare gjorde dock att A-son bedömde att företeelser som eventuell försäljning som inte skulle vara bokförd och svarta löner försvårades och att han inte bedömde risken som högre för bolaget än för branschen som helhet.

Granskningen

I revisionsdokumentationen finns ett arbetsprogram för posten Nettoomsättning. Av detta framgår att A-son rimlighetsbedömde intäkterna genom en jämförelse med tidigare år, att han beräknade årets bruttovinst och jämförde med tidigare år, att han granskade augusti månads z-rapporter genom att kontrollera att de stämde överens med bokföringen, att han kontrollerade att det inte fanns några glapp i z-nummerserien i augusti månad och att han stämde av den totala försäljningen för hela året enligt z-kvitton mot den totala bokförda försäljningen. I samband med den granskningen noterade han inget avvikande utan alla åtgärder angavs vara utförda utan anmärkning.

Även om det är angivet med ett kryss att granskningsåtgärderna är kopplade till en betydande risk går det inte att utläsa hur inriktningen på och omfattningen av granskningen utformades med hänsyn till förekomsten av en betydande risk för väsentliga felaktigheter i intäktsredovisningen som berodde på oegentligheter, jämfört med hur granskningen skulle ha utformats om en sådan risk inte hade lagts till grund för granskningen.

Av dokumentationen framgår, både av arbetsprogrammet för posten Nettoomsättning och av posten Förutbetalda kostnader och upplupna intäkter, att en försäljning om 1,0 mnkr som ingick i bokföringen på huvudbokskontona för intäkter under räkenskapsåret 2022/23 periodiserades på så sätt att den genom en korrigering i bokföringen i stället kom att redovisas på räkenskapsåret 2021/22. Enligt anteckningar i dokumentationen förklarades detta med att bolaget under det föregående räkenskapsåret hade sålt en del av sitt lager. Av en kopia av en faktura som finns i dokumentationen framgår att den aktuella försäljningen hade skett till en enskild firma, att försäljningen hade avsett dels månadsvisa tillverkningar och reparationer av smycken under januari–augusti 2022, dels försäljning av smycken. Fakturadatum var den 3 januari 2023, vilket innebar att fakturan avsåg arbeten som i tiden låg som längst ett år tillbaka i tiden. Det finns ingen uppgift på fakturan när de smycken som är upptagna levererades till kunden. Det går inte att utläsa av dokumentationen vilka eventuella åtgärder A-son vidtog för att kontrollera att periodiseringen var riktig, varför fakturan ställdes ut så långt i efterhand eller att det var riktigt att leverans av smycken hade skett under föregående räkenskapsår.

Revisorns uppgifter

A-son har uppgett följande.

Bedömningen att det fanns en betydande risk för väsentliga felaktigheter i intäktsredovisningen som berodde på oegentligheter ledde till ökat fokus vid granskningen på intäktsredovisningen genom utökade och mer omfattande granskningsåtgärder för att kunna upptäcka sådana felaktigheter. Det gjordes en utökad kontroll av transaktioner och ett detaljerat substanstest. Detta skedde genom att hela transaktionsflödet följdes från bokföringen av intäkterna mot z-rapport från kassaregistret. Han kontrollerade också att det inte förekom några negativa saldon i kassabokföringen under räkenskapsåret.

Han utökade kontrollen av antalet bokförda transaktioner mot z-rapporter från kassaregistret från att omfatta 15 dagar till att omfatta 30 dagar. Han kontrollerade också transaktionerna mot uppgifter från bolagets bank. Bolaget hade en intäktskälla som redovisades genom kassaregistret, med undantag för de transaktioner som hade periodiserats till föregående räkenskapsår och skedde mot faktura.

Bolaget hade utfört löpande arbeten för en enskild firma under räkenskapsåret 2021/22 och hade avyttrat 18- och 24-karats guld till samma firma. Den enskilda firman var en närstående part och detta var anledningen till att fakturan ställdes ut så sent; bolaget tyckte inte att det var så viktigt. Han fick bolaget att fakturera beloppet och att få delvis betalt innan han kunde godta föregående räkenskapsårs räkenskaper, eftersom beloppet var väsentligt.

Eftersom intäkterna i bolaget hade redovisats när bolagets prestation hade utförts samt inga felaktigheter hade identifierats vid granskningen av kassarapporter, bedömde han att han hade grund att godta fullständigheten i den samlade intäktsredovisningen.

Revisorsinspektionens bedömning

Intäktsredovisningen är normalt ett väsentligt granskningsområde som revisorn har anledning att ägna särskild uppmärksamhet. A-son bedömde också posten Nettoomsättning som en väsentlig post att granska. Dessutom angav han i sin riskbedömning att han skulle hantera risken för väsentliga felaktigheter i intäktsredovisningen som berodde på oegentligheter som en betydande risk enligt kraven i ISA, även om han bedömde att det fanns omständigheter i guldbolaget som reducerade risken för sådana felaktigheter. Han bedömde inte risken för bolaget som högre jämfört med branschen som helhet.

Revisorsinspektionen har i avsnitt 5.1 redogjort för uttalanden i ISA 240 och ISA 315 som är av betydelse vid granskning av intäktsredovisning.

Som framgår av utredningen avfärdade A-son inte grundantagandet i ISA 240 p. 27 om risken för väsentliga felaktigheter i intäktsredovisningen som beror på oegentligheter. Bolaget var verksamt i en bransch där det enligt honom generellt fanns risk bl.a. för oredovisade intäkter. Det ålåg honom därför att, i enlighet med kraven i ISA 315, behandla detta som en betydande risk och vidta de åtgärder när det gäller bolagets kontroller som följer av standarden. Av dokumentationen går inte att utläsa att han vidtog tillräckliga åtgärder i detta avseende. Han har uppgett att han följde transaktionsflödet från bokföringen av intäkter mot det kassaregister som bolaget hade men har inte angett att han identifierade några kontroller och utvärderade om dessa var utformade på ett ändamålsenligt sätt. De åtgärder han har redogjort för har mera karaktären av substansgranskning. Revisorsinspektionen bedömer därför att han inte hanterade risken för väsentliga felaktigheter i intäktsredovisningen som berodde på oegentligheter i enlighet med kraven i ISA 315. Han har därigenom åsidosatt god revisionssed.

Det faktum att bolaget inte hade fakturerat den närstående enskilda firman för utfört arbete och leveranser av varor med hänvisning till att man inte tyckte att det var så viktigt att fakturera innebar enligt Revisorsinspektionens bedömning att det fanns anledning för A-son att utgå från att det kunde finnas en hög risk för felaktigheter i intäktsredovisningen.

A-son tillämpade substansgranskning som metod vid granskningen av bolagets intäkter. Frågan är om granskningen hade en sådan inriktning och omfattning att den gav honom grund att godta fullständigheten i den samlade intäktsredovisningen.

De åtgärder som framgår av A-sons dokumentation begränsar sig till rimlighetsbedömningar och jämförelser mot tidigare år, en kontroll av augusti månads z-rapporter, en kontroll av att det inte var något glapp i rapportserien för denna månad och en kontroll av totalsumman av z-rapporter mot bokföringen. Enligt Revisorsinspektionens bedömning gav dessa åtgärder honom inte tillräcklig grund för att godta fullständigheten i den samlade intäktsredovisningen. Inspektionen konstaterar att den största delen av bolagets intäkter redovisades genom bolagets kassaregister. Enligt inspektionens uppfattning hade A-son därför anledning att granska bolagets rutiner för kassahanteringen och kassaredovisningen för att på så sätt kunna bedöma om rutinerna ledde till en fullständig intäktsredovisning i de delar där försäljningen skedde mot kontanter och betal- eller kreditkort. Några sådana åtgärder framgår dock inte av hans dokumentation. Hans yttranden till Revisorsinspektionen innehåller kompletterande information om de åtgärder som går att utläsa av dokumentationen men i yttrandena redogörs inte för några ytterligare åtgärder, förutom att han kontrollerade utvalda z-rapporter mot bankinsättningar.

Inspektionen anser mot denna bakgrund att A-sons åtgärder för att granska fullständigheten i intäktsredovisningen inte var tillräckliga. Bristerna vid granskningen var sådana att han – med hänsyn till intäkternas betydelse i bolaget – saknade grund för att tillstyrka ett fastställande av bolagets resultat- och balansräkningar. Genom att likväl göra det har han åsidosatt god revisionssed.