– Når noen spør hva jeg driver med, pleier jeg å si at jeg passer på at «slemme folk ikke får skumle ting». Det er en god og dekkende beskrivelse, sier Rozemarijn van der Hilst-Ytreland.
Hun er juridisk direktør i Direktoratet for eksportkontroll og sanksjoner (DEKSA), og ga denne deltakerne på et KPMG-seminar et innblikk i DEKSAs rolle.
Direktoratet har vært i drift siden 1. januar 2025, da ansvaret for eksportkontroll og sanksjoner ble flyttet ut av Utenriksdepartementet. Oppgaven er blant annet å hindre at sensitiv norsk teknologi bidrar til å bygge militær kapasitet i land Norge er bekymret for, samtidig som direktoratet forvalter sanksjoner Norge har sluttet opp om. Men van der Hilst-Ytreland understreker at samfunnsoppdraget har to sider:
– Det er selvfølgelig avgjørende at slemme folk ikke får tak i skumle ting, men det skal ikke skje på bekostning av norsk næringsliv på en unødvendig eller utilsiktet måte. Her har vi en viktig rolle, ettersom vi utsteder tillatelser, lisenser, unntak og dispensasjoner.
Skal også hjelpe næringslivet
Behovet for et eget direktorat må sees i lys av en mer krevende sikkerhetspolitisk situasjon, mer komplekse globale verdikjeder og sterk vekst i behovet for veiledning om eksportkontroll og sanksjoner. Regjeringen besluttet å etablere DEKSA i 2023.
– Disse oppgavene lå tidligere under Utenriksdepartementet, men det var nødvendig å opprette et eget direktorat for å kunne ta imot henvendelser fra næringslivet og bistå med etterlevelse av regelverket, sier van der Hilst-Ytreland.
Direktoratet driver både regelverksarbeid, saksbehandling og veiledning – mer om det senere. Samtidig samarbeider DEKSA med blant andre Politiets sikkerhetstjeneste, Etterretningstjenesten og Tolletaten.
Eksportkontrollen skal hindre at forsvarsmateriell, flerbruksvarer og annen strategisk teknologi havner i feil hender. Sanksjoner er et politisk virkemiddel som skal påvirke uønsket adferd.
– Sanksjoner er et ikke-militært, sikkerhets- og utenrikspolitisk virkemiddel for å påvirke uønsket adferd. Dette knytter seg ikke alltid direkte til en umiddelbar trussel mot norsk nasjonal sikkerhet, men om adferd internasjonalt som vi ønsker å reagere mot.
Regelverket endres nesten hver måned
For næringslivet ligger en stor del av utfordringen i omfanget og hvor frekvent det kommer endringer. Norge har gjennomført mer enn 40 ulike sanksjonsregimer, fordelt på 34 forskrifter. Russland-sanksjonene er de klart mest omfattende.
EU vedtar ikke bare større sanksjonspakker med jevne mellomrom. Personer, selskaper og fartøy kan også bli ført opp på sanksjonslister fortløpende mellom pakkene.
– Endringstakten er svært høy. Sanksjonsforskriftene i Norge endres derfor nesten hver måned, sier van der Hilst-Ytreland.
Hennes enkle råd til bedrifter som kan være eksponert, er derfor å sørge for at noen faktisk følger med:
– Det anbefales å føge med på DEKSAs og regjeringens nettsider, og i tillegg kan virksomheter sette opp varslinger, for eksempel fra Lovdata Pro.
Det er heller ikke slik at den sikreste løsningen alltid er å avstå fra en handel så snart det finnes en mulig sanksjonsrisiko. DEKSA er opptatt av såkalt «over-compliance» – at selskaper og banker stanser transaksjoner som egentlig er lovlige.
– Når selskaper eller banker utøver over-compliance ved å nekte lovlige transaksjoner av frykt for risiko, svekkes sanksjonene som presist politisk virkemiddel. Selv om myndighetene har forståelse for risikostyring i næringslivet, er uforholdsmessig overoppfyllelse ikke nødvendigvis ønskelig fra DEKSAs side.
Må kunne vise hva de har gjort
Det betyr samtidig at bedriftene må gjøre egne vurderinger. Både forsettlige og uaktsomme brudd på sanksjonsregelverket kan være straffbare. Til forskjell fra blant annet hvitvaskingsregelverket finnes det ikke detaljerte formkrav som forteller virksomheten nøyaktig hvordan internkontrollen skal bygges opp.
– Sanksjonsregelverket stiller en resultatforpliktelse. Det kreves at virksomheten utviser behørig aktsomhet, sier van der Hilst-Ytreland.
Hun sier at hvor langt virksomheten må gå, vil variere:
– Omfanget av aktsomhetsvurderingen må tilpasses virksomhetens størrelse, risikoprofil, produktportefølje og kundenettverk.
Det viktigste rådet hennes handler likevel om dokumentasjon.
– Det viktigste stikkordet er skriftlighet og etterprøvbarhet. Omgåelsesnettverkene er svært avanserte, og det er påregnelig at virksomheter kan bli forsøkt lurt.
– Dersom virksomheten skriftlig kan dokumentere hvilke undersøkelser som er gjort, hvilke kilder som er sjekket og hvordan risikoen er vurdert, står man i en helt annen stilling ved en eventuell etterforskning fra PST, sier hun.
En EU-kunde er ikke nødvendigvis nok
Kundekontrollen kan også måtte gå lenger enn til den bedriften man faktisk sender fakturaen til. DEKSA ser risiko for at varer går gjennom mellommenn før de havner hos en sluttbruker som ikke skulle hatt dem.
– Omgåelse skjer ofte via mellommenn, før varene reeksporteres til land som Kasakhstan eller Vietnam. Man kan ikke legge til grunn at en transaksjon er trygg fordi motparten befinner seg i EU. Undersøkelsen må ofte gå flere ledd videre, sier hun.
Det trenger heller ikke alltid innebære avansert etterretningsarbeid. Van der Hilst-Ytreland peker på at åpne kilder kan gi nyttige signaler, eksempelvis dersom en kunde oppgir en adresse som viser seg å være registrert på et stort antall skallselskaper.
Også selve handelen kan avsløre at noe ikke stemmer, sier hun:
– Unødig kompliserte transportruter, uoppnåelige kontaktpersoner eller motparter som er villige til å betale uvanlig høy overpris, utgjør klare objektive røde flagg.
På produktsiden må virksomheten blant annet avklare om varen omfattes av eksportkontroll eller sanksjoner. DEKSA kan gjøre produktvurderinger innen eksportkontroll, mens fastsettelse av HS-kode hører til Tolletaten.
DEKSA gjør ikke jobben for selskapet
Van der Hilst-Ytreland oppsummerer rådene til virksomhetene i en ganske klar arbeidsdeling: Sett dere inn i regelverket og følg endringene, kartlegg egen risiko, kjenn kundene og etabler tiltak som kan dokumenteres. Og, ikke start med å sende hele problemstillingen til direktoratet:
– Gjør egne vurderinger før dere søker dialog med myndighetene.
DEKSA kan bistå med generell regelverkstolkning, behandle lisenser, dispensasjoner og unntak og møte virksomheter som trenger veiledning. Direktoratet har taushetsplikt, og van der Hilst-Ytreland understreker at kontakten også gir myndighetene verdifull kunnskap.
– Henvendelser fra bransjen gir oss nyttig informasjon om markedstrender.
Men direktoratet skal ikke være bedriftens eksterne compliance-avdeling.
– Vi kan ikke gjennomføre eller forhåndsgodkjenne virksomheters due diligence-analyser, utstede comfort letters eller ta juridisk ansvar for virksomhetens egne unntaksvurderinger, sier hun.
