Et stedlig tilsyn fra Finanstilsynet varsles normalt rundt tre uker i forveien. Det er all tiden du får, og den ubehagelige erkjennelsen er at tre uker ikke er nok til å bygge dokumentasjon du skulle hatt i to år.
Et tilsyn handler i mindre grad om hva byrået faktisk gjør, og i større grad om hva du kan vise at du har gjort. Finanstilsynet er tydelig på dette: regnskapsførerens arbeid må være dokumentert slik at det er etterprøvbart, og muntlige forklaringer under tilsynet oppfyller ikke lovkravet. Du kan altså ha gjort alt riktig og likevel få merknad, fordi sporet ikke finnes.
Artikkelen er en generell gjennomgang av hvordan Finanstilsynet arbeider, ikke en vurdering av det enkelte byrås etterlevelse. Ved tvil om hvordan kravene slår ut for din portefølje gjelder regnskapsførerloven, hvitvaskingsloven og Finanstilsynets egen veiledning foran denne teksten.
Hvordan byråer blir plukket ut
De fleste tror tilsyn er tilfeldig. Det er det ikke. Finanstilsynet gjennomfører tilsyn på bakgrunn av egne risikovurderinger, innrapporteringer og andre signaler — for eksempel medieoppslag.
Én utvelgelseskanal er verdt å merke seg spesielt: innrapporteringer fra Regnskap Norge og Den norske Revisorforening etter retningslinjene for samarbeid fører som hovedregel til stedlig tilsyn. Regnskap Norge gjennomfører kvalitetskontroll av regnskapsforetak minst hvert sjuende år, og finner de forhold som kan gi grunnlag for tilbakekall av godkjenning, oversendes saken til Finanstilsynet. Bransjeforeningens kontroll er dermed ikke et alternativ til tilsyn — den kan være inngangen til det.
Finanstilsynet opererer med fire ulike tilsynsformer:
Stedlig tilsyn — to eller flere inspektører, normalt over én til to dager, varslet rundt tre uker i forveien.
Kontorbasert tilsyn — oppfølging av et enkeltsignal uten besøk, hovedsakelig meldinger om at egen skattemelding eller eget årsregnskap ikke er levert i tide.
Dokumentbasert tilsyn — egenmelding i Altinn hvert annet eller tredje år for alle i Regnskapsførerregisteret. Manglende besvarelse kan få betydning for godkjenningen.
Tematilsyn — kartlegging av én avgrenset problemstilling på tvers av bransjen, oppsummert i offentlig fellesrapport.
Får du et orienteringsbrev om et signal som ikke følges opp med tilsyn, er ikke saken ute av verden. Vurderingen din av forholdet skal oppbevares som en del av oppdragsdokumentasjonen, nettopp fordi Finanstilsynet kan kontrollere den ved et senere stedlig tilsyn.
Hva inspektørene faktisk ber om
Et stedlig tilsyn treffer tre nivåer samtidig.
Foretaksnivå. Finanstilsynet ser på om sentrale risikoer er håndtert i samsvar med risikostyringsforskriften, herunder om det er etablert forsvarlige rutiner for at oppdragene utføres i tråd med regnskapsførerloven, og om pliktige kontrolltiltak er iverksatt. Kravet til forsvarlig kvalitetsstyring følger av regnskapsførerloven § 4-1 andre ledd: retningslinjer og rutiner som sikrer at oppdragene utføres og dokumenteres etter kapittel 5, at foretaket ser til at styringen virket etter hensikten, og at svakheter utbedres. I tillegg vurderes håndteringen av IKT-risiko, taushetsbelagt informasjon og pliktene etter hvitvaskingsregelverket — og om byrået oppfyller sine egne plikter etter bokføringsloven, regnskapsloven og skatte- og avgiftslovgivningen.
Oppdragsnivå. Kontroll av utvalgte enkeltoppdrag: oppdragsavtale, fullmaktsforhold, og om arbeid utført av medarbeidere som ikke er statsautoriserte er kontrollert av oppdragsansvarlig eller en annen statsautorisert regnskapsfører.
Personnivå. Etterutdanning for oppdragsansvarlige. Etter regnskapsførerloven § 3-4 skal en statsautorisert regnskapsfører ved hvert årsskifte kunne dokumentere minst 80 etterutdanningstimer de siste tre kalenderårene, hvorav minst 60 timer strukturert opplæring. Oversikten skal vise type opplæring, antall timer og fordeling på fagemner, og oppbevares i fem år etter utløpet av kalenderåret opplæringen ble gjennomført.
Der byråene typisk faller igjennom
Mønstrene går igjen i tilsynsrapportene, og de handler nesten alltid om det samme: kontrollen er gjennomført, men ikke sporbar. Eksemplene under er hentet fra et tilbakekallsvedtak Finanstilsynet fattet 4. mars 2026.
Kvalitetssikring som avkryssing. Foretaket hadde fremlagt utfylte kvalitetskontrollskjemaer for samtlige oppdrag, og oppdragsansvarlig hadde bekreftet at kontrollene var gjennomført. Skjemaene for regnskapsåret 2023 var fylt ut i perioden 15. april til 5. juni 2024, uten kommentarer i noen av oppdragene. Finanstilsynet konkluderte med at kvalitetssikringen ikke var gjennomført på en fullstendig og systematisk måte. Et skjema uten spor av vurdering dokumenterer ikke at en vurdering er gjort.
Vurdering av oppdragsgivers interne rutiner. Plikten følger av regnskapsførerloven § 5-4, og den er reell. I den nevnte saken var det for samtlige oppdrag bekreftet at oppdragsgiver «sender nødvendig dokumentasjon til regnskapsforetaket for bokføringsgrunnlag». Finanstilsynet slo fast at dette ikke er tilstrekkelige vurderinger av oppdragsgivers rutiner. Er vurderingen utført av en medarbeider, må det fremgå at oppdragsansvarlig har gjennomgått og kontrollert den. I flere av oppdragene manglet nettopp det.
Avvik som ikke er tatt opp skriftlig. Avdekker regnskapsfører svakheter ved oppdragsgivers interne rutiner, skal svakhetene rapporteres — og vesentlige svakheter skal rapporteres skriftlig. Dokumentasjonen av oppdraget skal etter regnskapsførerloven kapittel 5 oppbevares i fem år etter regnskapsårets slutt, mens kommunikasjon der lovbrudd er tatt opp skriftlig med oppdragsgiver skal oppbevares i ti år. At forholdet ble diskutert i et møte hjelper deg ikke i ettertid — muntlig kommunikasjon må uansett følges opp skriftlig for å sikre dokumentasjon og notoritet.
Hvitvaskingspliktene på oppdragsnivå. Finanstilsynets tematilsyn på området, med rapport datert 21. desember 2021, omfattet 22 foretak — elleve regnskapsforetak og elleve revisjonsforetak — og en gjennomgang av 121 oppdrag. Ingen av de 22 foretakene hadde dokumentert en virksomhetsinnrettet risikovurdering som oppfylte lovkravet fullt ut. I 114 av 121 oppdrag var PEP-spørsmålet ikke dokumentert vurdert, i 109 oppdrag manglet dokumentert løpende oppfølging, og 50 oppdrag var ikke risikoklassifisert i tråd med loven. 19 av foretakene ble ilagt overtredelsesgebyr, fra om lag 100 000 til 400 000 kroner. Finanstilsynet var uttrykkelig på ett punkt: flere foretak hadde bare skrevet ut standardmaler fra bransjeforeningene uten å tilpasse dem til egen virksomhet, og lovkravet kan ikke oppfylles på den måten.
Undersøkelsesplikten. I tilbakekallssaken fra mars 2026 var det for ett oppdrag gjort minst 89 minibankuttak på til sammen 215 700 kroner i løpet av 2023, de fleste på 2 000–3 000 kroner, flere samme dag. I et annet oppdrag var det overført 118 606 kroner til utlandet uten dokumentasjon. Dette er forhold hvor hvitvaskingsloven § 25 krever nærmere undersøkelser — og hvor undersøkelsen må være dokumentert, ikke bare utført. Gjentatte minibankuttak med små beløp er et typisk trekk hos virksomheter med svart omsetning eller som vil skjule pengestrømmen sin.
Sjekkliste før tilsyn fra Finanstilsynet
Bruk denne nå, ikke når varselet kommer.
Kvalitetsstyringen finnes skriftlig og er tilpasset byrået. Kan du vise at den er egnet til å oppfylle kravene i regnskapsførerloven kapittel 5 — ikke bare at dokumentet eksisterer?
Kvalitetsstyringsansvarlig er utpekt og rapportert (se KRT-3006 under).
Oppdragsansvarlig er utpekt for hvert eneste oppdrag, og du kontrollerer løpende at vedkommende fortsatt har gyldig godkjenning — for eksempel ved oppslag i virksomhetsregisteret. En godkjenning som er falt bort uten at noen oppdaget det, er en merknad i seg selv.
Skriftlig oppdragsavtale for hvert oppdrag, med spesifiserte oppgaver og varighet.
Fullmaktsoversikt per oppdrag som viser hvilke fullmakter byrået har og hvilke fysiske personer som kan bruke dem — og at retten tilbakekalles når noen slutter eller bytter oppdrag.
Dokumentert vurdering av oppdragsgivers interne rutiner, med konkret innhold og spor av oppdragsansvarliges gjennomgang.
Skriftlig kommunikasjon om vesentlige avvik, arkivert og gjenfinnbar per oppdrag.
Virksomhetsinnrettet risikovurdering etter hvitvaskingsloven § 7, dokumentert vedtatt i foretakets øverste ledelse.
Risikoklassifisering per oppdrag med begrunnelse — særlig der en kunde i en risikobransje likevel er satt til normal eller lav risiko.
Etterutdanningsoversikt per oppdragsansvarlig, fordelt på fagemner og oppbevart i fem år.
Nytt i 2026
Ett nytt formelt krav er verdt å sjekke av med en gang: alle regnskapsforetak skal rapportere hvem som til enhver tid er kvalitetsstyringsansvarlig, via Altinn-skjema KRT-3006. Kravet henger sammen med regnskapsførerloven § 4-1 tredje ledd, som krever at en statsautorisert regnskapsfører har ansvar for kvalitetsstyringen.
Foretak som sto i Regnskapsførerregisteret per 28. januar 2026 hadde frist 20. februar 2026 for førstegangsrapportering. Nye foretak har tre uker fra datoen på vedtaksbrevet. Endringer skal rapporteres løpende — det er ikke en engangsjobb.
Retningen ellers er tydelig. I prioriteringene for 2026 varsler Finanstilsynet at bekjempelsen av økonomisk kriminalitet styrkes, blant annet ved å fullføre etableringen av det nye kontoret i Hamar og ved å styrke oppfølgingen av regelverket mot hvitvasking og terrorfinansiering. Kontoret på Hamar, som åpnet 19. januar 2026, arbeider blant annet med antihvitvasking, regnskapsføring og revisjon. For regnskapsbyråer betyr det at hvitvaskingsdokumentasjonen på oppdragsnivå med rimelighet kan forventes å bli sett grundigere på, ikke mindre grundig.
Kvalitetsstyring som lar seg vise fram
Det gjennomgående i tilsynsrapportene er ikke at byråene er uærlige. Det er at kontrollene faktisk gjøres, men i hoder, e-poster og regneark — og at de derfor ikke kan gjenfinnes to år senere når noen spør.
Det er dette AdminFlow Byrå er bygget rundt. Kvalitetssystemet samler rutiner, avvik og kontroller ett sted, og medarbeiderkontrollen gir en sporbar godkjenningslogg per oppdrag med bruker og tidspunkt — akkurat det punktet inspektørene ser etter når arbeid er utført av medarbeidere uten godkjenning. AML- og KYC-modulen dekker risikovurdering, kundekontroll med PEP-kontroll og løpende oppfølging med dokumentasjon. Kundekommunikasjon i kundeportalen gir skriftlighet på avviksdialogen uten at den forsvinner i en personlig innboks.
Vi skal være ærlige om hva et system ikke gjør: det erstatter ikke faglig vurdering, og det gjør ikke en tom risikovurdering gyldig. Finanstilsynet avviste bransjemaler nettopp fordi de var utfylt uten reelt innhold. Et godt kvalitetssystem gjør vurderingen enklere å gjennomføre og vanskeligere å miste — resten er fortsatt fagarbeid.
Gå gjennom de ti punktene over på ditt eget byrå denne uken. Finner du to eller flere du ikke kan dokumentere i dag, er det verdt en halvtime: book en demo av kvalitetssystemet, så viser vi hvordan kontrollsporet ser ut i praksis.
