4.1 Interne politikker og procedurer

Kredit- og finansieringsinstitutterne bør indføre og opretholde politikker og procedurer for at opfylde deres forpligtelser i henhold til artikel 13, stk. 1, litra a) og c), i direktiv (EU) 2015/849 i situationer, hvor kunden identificeres via en fjernløsning. Disse politikker og procedurer bør være risikofølsomme og som minimum omfatte:

• a) en generel beskrivelse af den løsning, som kredit- og finansieringsinstitutterne har indført for at indsamle, verificere og registrere oplysninger under hele processen vedrørende fjernidentificering af kunder. Dette bør omfatte en redegørelse for løsningens karakteristika og funktionsmåde
• b) de situationer, hvor løsningen med fjernidentificering af kunder kan anvendes under hensyntagen til de risikofaktorer, der er identificeret og vurderet i overensstemmelse med artikel 8, stk. 1, i direktiv (EU) 2015/849 og i risikovurderingen for hele virksomheden, herunder en beskrivelse af den kategori af kunder, produkter og tjenesteydelser, der er egnede til fjernidentificering
• c) hvilke skridt, der er fuldt automatiserede, og hvilke skridt, der kræver menneskelig indgriben
• d) de kontroller, der er indført for at sikre, at den første transaktion med en ny kunde først gennemføres, når alle de indledende foranstaltninger vedrørende kundekendskab (CDD) er blevet gennemført
• e) en beskrivelse af introduktionsprogrammerne og de regelmæssige uddannelsesprogrammer, der skal sikre, at personalet har kendskab til løsningen med fjernidentificering af kunder og har ajourført viden om, hvordan den fungerer, hvilke risici, der er forbundet hermed, samt de politikker og procedurer der skal mindske sådanne risici.

Disse politikker og procedurer bør, når de er gennemført, sætte kredit- og finansieringsinstitutterne i stand til at sikre efterlevelsen af bestemmelserne i afsnit 4.2-4.7 i disse retningslinjer.

4.1.2 Ledelse

Ud over bestemmelserne i afsnit 4.2.4 i EBA's retningslinjer for compliance officers³ bør complianceofficers, der har ansvar for bekæmpelse af hvidvaskning af penge og finansiering af terrorisme⁴ som led i deres generelle forpligtelse til at udarbejde politikker og procedurer med henblik på at opfylde kundekendskabs-kravene sikre, at politikker og procedurer for fjernidentificering af kunder gennemføres effektivt, revideres regelmæssigt og om nødvendigt ændres.

³ Udkast til retningslinjer vedrørende politikker og procedurer i forbindelse med kontrol med overholdelse og den udnævnte compliance officers rolle og ansvarsområder i henhold til artikel 8 og kapitel VI i direktiv

⁴ I overensstemmelse med proportionalitetskriterierne i afsnit 4.2.2 i retningslinjerne for den compliance officer.

Kredit- og finansieringsinstituttets ledelsesorgan bør godkende politikkerne og -procedurerne for fjernidentificering af kunder og føre tilsyn med, at de gennemføres korrekt.

4.1.3 Vurdering af løsningen med fjernidentificering, inden den gennemføres

Når kredit- og finansieringsinstitutterne overvejer, om de skal indføre en ny løsning til fjernidentificering af kunder, bør de foretage en vurdering forud for gennemførelsen af denne løsning.

Kredit- og finansieringsinstitutterne bør i deres politikker og procedurer fastsætte omfanget af denne forundersøgelse, hvilke tiltag, der skal træffes, og kravene til dokumentation, hvilket mindst skal omfatte:

• a) en vurdering af løsningens tilstrækkelighed med hensyn til at indsamle fuldstændige og nøjagtige data og dokumenter samt af informationskildernes pålidelighed og uafhængighed
• b) en vurdering af, hvordan løsningen med fjernidentificering af nye kunder påvirker risici for hele virksomheden, herunder risici for hvidvask af penge eller finansiering af terrorisme og operationelle, omdømmemæssige og juridiske risici
• c) mulige foranstaltninger for at mindske de risici, der er identificeret i vurderingen i henhold til litra b)
• d) test til vurdering af risikoen for lookalike-svindel, herunder risici for identitetssvindel og andre risici i forbindelse med informations- og kommunikationsteknologi ("IKT") og sikkerhedsrisici, i overensstemmelse med punkt 43 i EBA's retningslinjer for styring af IKT-risici og sikkerhedsrisici⁵
• e) en end-to-end-test af løsningens funktionsmåde rettet mod kunder, produkter og tjenesteydelser, der er identificeret i politikkerne og procedurerne for fjernidentificering af kunder.

⁵ EBA/GL/2019/04

Kredit- og finansieringsinstitutterne bør anse kriterierne i stk. 14, litra a), d) og e), for at være opfyldt, hvis løsningen indeholder:

• a) elektroniske identifikationsordninger, der er anmeldt i overensstemmelse med artikel 9 i forordning (EU) nr. 910/2014, og som opfylder kravene til sikringsniveauerne "betydelig" eller "høj" i overensstemmelse med artikel 8 i nævnte forordning
• b) relevante kvalificerede tillidstjenester, der opfylder kravene i forordning (EU) nr. 910/2014, navnlig kapitel III, afdeling 3, og artikel 24, stk. 1, afsnit 2, litra b), i nævnte forordning.

Kredit- og finansieringsinstitutterne bør over for deres kompetente myndighed kunne dokumentere, hvilke vurderinger de har foretaget inden gennemførelsen af løsningen til fjernidentificering af kunder, resultatet af deres vurdering, og hvordan anvendelsen heraf er hensigtsmæssig i lyset af de risici for hvidvask af penge og finansiering af terrorisme, der er identificeret for de typer kunder, tjenesteydelser, geografiske områder og produkter, der er omfattet heraf.

Kredit- og finansieringsinstitutterne bør først begynde at anvende en løsning med fjernidentificering, når de er overbevist om, at den kan integreres i instituttets bredere interne kontrolsystem, hvorved instituttet får mulighed for på passende vis at styre de risici for hvidvask af penge og finansiering af terrorisme, der kan opstå som følge af anvendelsen af løsningen med fjernidentificering af kunder.

4.1.4 Løbende overvågning af løsningen med fjernidentificering af kunder

Kredit- og finansieringsinstitutterne bør løbende overvåge løsningen med fjernidentificering af kunder for at sikre, at den fungerer i overensstemmelse med kredit- og finansieringsinstitutternes forventninger. De bør supplere deres politikker og procedurer som beskrevet i punkt 9 med en beskrivelse af som minimum:

• a) de foranstaltninger, de vil træffe for at sikre, at de oplysninger, der indsamles under processen med fjernindentificering af kunder løbende holder en kvalitet, en grad af fuldstændighed, nøjagtighed og tilstrækkelighed, der står i et rimeligt forhold til de risici for hvidvask af penge eller finansiering af terrorisme, som kredit- og finansieringsinstituttet er eksponeret for
• b) omfanget og hyppigheden af sådanne regelmæssige revisioner
• c) de omstændigheder, der vil udløse ad hoc-revisioner, som mindst bør omfatte:
• a. ændringer af kredit- og finansieringsinstituttets risikoeksponering for hvidvask af penge og finansiering af terrorisme
• b. mangler med hensyn til hvordan løsningen fungerer, som opdages i forbindelse med overvågnings-, revisions- eller tilsynsaktiviteter
• c. en formodet stigning i antallet af forsøg på svig
• d. ændringer af de retlige eller reguleringsmæssige rammer.

Kredit- og finansieringsinstitutterne bør i deres procedurer og processer fastsætte afhjælpende foranstaltninger, hvis der er opstået en risiko, eller hvis der er konstateret fejl, som har indvirkning på effektiviteten af den generelle fjernidentificering af kunder. Disse foranstaltninger bør som minimum omfatte:

• a) en gennemgang af alle berørte forretningsforbindelser for at vurdere, om kredit- og finansieringsinstitutterne har anvendt tilstrækkelige indledende kundekendskabsprocedurer med henblik på at overholde artikel 13, stk. 1, litra a), b) og c), i hvidvasksdirektivet. Kredit- og finansieringsinstitutterne bør prioritere de forretningsforbindelser, der indebærer den største risiko for hvidvask af penge og finansiering af terrorisme
• b) under hensyntagen til de oplysninger, der er indhentet i forbindelse med ovennævnte gennemgang, en vurdering af, om en berørt forretningsforbindelse bør:
• a. underlægges yderligere due diligence-foranstaltninger
• b. pålægges begrænsninger såsom begrænsninger af transaktionernes omfang, hvis det er tilladt i henhold til national ret, indtil der er gennemført en undersøgelse heraf
• c. afsluttes
• d. indberettes til FIU'en
• e. omklassificeres til en anden risikokategori.

Kredit- og finansieringsinstitutterne bør overveje hvilken metode, der er den mest effektive til at overvåge, at deres løsning med fjernidentificering af kunder stadig er tilstrækkelig og pålidelig. De bør overveje at anvende en eller flere af følgende metoder:

• i. kvalitetssikringstest
• ii. automatiske sikkerhedsvarslinger og -underretninger
• iii. regelmæssige automatiske kvalitetsrapporter
• iv. stikprøvekontrol
• v. manuelle gennemgange.

Dette afsnit finder også anvendelse, når der anvendes fuldautomatiske løsninger med fjernidentificering, som i høj grad baserer sig på automatiserede algoritmer, uden eller med begrænset menneskelig indgriben.

Kredit- og finansieringsinstitutterne bør over for deres kompetente myndighed kunne godtgøre, hvilke undersøgelser de har foretaget, og hvilke afhjælpende foranstaltninger de har truffet for at afhjælpe eventuelle mangler, der er konstateret i hele varighedsperioden med løsningen med fjernidentificering.