4. Ændringer

(i) Ændring af retningslinjernes titel

(ii) Ændringer til "Genstand, anvendelsesområde og definitioner"

(iii) Ændringer til retningslinje 4.1: Risikovurderinger – nøgleprincipper for alle selskaber

(iv) Ændringer til retningslinje 2: Identifikation af ML/TF-risikofaktorer

(v) Ændringer til retningslinje 4: Kundekendskabsforanstaltninger, der skal anvendes af alle selskaber

(vi) Ændringer til retningslinje 6: Uddannelse

(vii) Ændringer til retningslinje 8: Sektorretningslinje for korrespondentforbindelser

(viii) Ændringer til retningslinje 9: Sektorretningslinje for detailbanker

(ix) Ændringer til retningslinje 10: Sektorretningslinje for udstedere af elektroniske penge

(x) Ændringer til retningslinje 15: Sektorretningslinje for investeringsselskaber

(xi) Ændringer til retningslinje 17: Sektorretningslinje for regulerede crowdfundingplatforme

21.1. CASP'er bør være opmærksomme på, at de er eksponeret for ML/TF-risici på grund af specifikke egenskaber ved deres forretningsmodel og den teknologi, de anvender som en del af deres forretningsaktiviteter, og som gør det muligt for dem umiddelbart at overføre kryptoaktiver på tværs af landegrænser og etablere forretningsforbindelse med nye kunder i forskellige jurisdiktioner. Risikoen øges yderligere, når de behandler eller medvirker til transaktioner eller tilbyder produkter eller tjenester, der giver mulighed for en højere grad af anonymitet.

21.2. Når CASP'er udbyder kryptoaktivtjenester, bør de overholde bestemmelserne i afsnit I samt sektorspecifikke bestemmelser i afsnit II, hvis disse er relevante for CASP'ens udbud af produkter.

Risikofaktorer vedrørende produkter, tjenesteydelser og transaktioner

21.3. Følgende faktorer kan bidrage til at øge risikoen :

• a) De produkter eller tjenester, der leveres af en CASP, giver en højere grad af anonymitet
• b) Produktet muliggør betalinger fra tredjeparter, der hverken er tilknyttet produktet, eller identificeret og verificeret på forhånd, og der tydeligvis ingen økonomisk begrundelse er for sådanne betalinger
• c) Produktet er ikke på forhånd omfattet af begrænsninger for transaktionernes samlede omfang eller værdi
• d) Produktet muliggør transaktioner mellem kundens konto og:
• i. selvhostede adresser
• ii. konti for kryptoaktiver eller distributed ledger-adresser, der forvaltes af en udbyder af kryptoaktivtjenester inden for rammerne af retningslinje 9.20, eller som er omfattet af en AML/CTF-regulerings- og tilsynsordning, som er mindre robust end den ordning, der er fastsat i direktiv (EU) 2015/849
• iii. en peer-to-peer platform til udveksling af kryptovaluta eller en anden type decentraliseret eller distribueret anvendelse af kryptoaktiver, som ikke kontrolleres eller påvirkes af en juridisk eller fysisk person (ofte kaldet "decentraliseret finansiering" (DeFi)
• iv. platforme, der har til formål at sløre transaktioner og fremme anonymitet, f.eks. platforme for kryptomiksere eller kryptotumblere
• v. hardware, der anvendes til at veksle kryptoaktiver til officielle valutaer eller vice versa (f.eks. kryptoautomater), og som involverer anvendelse af kontanter eller elektroniske penge, der er omfattet af undtagelser i henhold til artikel 12 i direktiv (EU) 2015/849, eller som ikke er omfattet af regulerings- og tilsynsordningen i EU.
• e) produkter, der involverer nye forretningsmetoder, herunder nye leveringskanaler,

ikke kan vurderes pålideligt af CASP'en, jf. retningslinje 1.7, litra d)

• f) hvis en udbyder af kryptoaktivtjenester i engosleddet fører begrænset kontrol med den indlejrede tjeneste, der leveres af en anden CASP
• g) resultaterne af en analyse udført med avancerede analyseværktøjer tyder på en øget risiko.

21.4. Følgende faktorer kan bidrage til at mindske risikoen:

• a) produkter med mindsket funktionalitet, såsom lave transaktionsmængder eller - værdier;
• b) produktet muliggør transaktioner mellem kundens konto og
• i. kryptoaktivkonti eller distributed ledger-adresser i kundens navn, som ejes af en CASP
• ii. en konto for kryptoaktiver eller en distributed ledger-adresse i kundens navn, som ejes af en udbyder af kryptoaktivtjenester, der ikke er en CASP i henhold til forordning (EU) 2023/1114⁶ , og som reguleres uden for EU inden for en lovgivningsramme, der er lige så robust som den, der er fastsat i forordning (EU) 2023/1114, og som er omfattet af en AML/CTF-regulerings- og tilsynsordning, der er lige så robust som den, der er fastsat i direktiv (EU) 2015/849
• iii. en bankkonto i kundens navn i et kreditinstitut, der er omfattet af en AML/CTF-regulerings- og tilsynsordning, der er fastsat i direktiv (EU) 2015/849, eller en anden lovgivningsramme uden for EU, der er lige så robust som den, der er fastsat i direktiv (EU) 2015/849, eller
• c) arten og omfanget af de betalingskanaler eller -systemer, der anvendes af CASP'en, er begrænset til lukkede systemer eller systemer, der har til formål at lette mikrobetalinger eller betalinger fra offentlige myndigheder til personer eller fra personer til offentlige myndigheder
• d) produktet er kun tilgængeligt for en begrænset og defineret gruppe af kunder, f.eks. ansatte i en virksomhed, der har udstedt et kryptoaktiv

Risikofaktorer vedrørende kunden

21.5. Følgende faktorer kan bidrage til at øge risikoen:

• a) Med hensyn til kundens art , navnlig:
• i. en nonprofitorganisation, der ifølge pålidelige og uafhængige kilder har været knyttet til ekstremisme, ekstremistisk propaganda eller terrorsympati og -aktiviteter, eller involveret i uregelmæssigheder eller kriminelle handlinger, herunder sager, der vedrører hvidvask, finansiering af terrorisme elle korruption.
• ii. et selskab, der i virkeligheden er et tomt bankselskab (shell bank), jf. artikel 3, nr. 17, i direktiv (EU) 2015/849, eller en anden form for tomt bankselskab
• iii. et selskab, der er etableret for nylig, og som behandler store transaktionsmængder
• iv. et lovligt registreret selskab, der behandler store transaktionsmængder efter en periode uden aktivitet siden dets etablering
• v. en virksomhed, der har en forretningsforbindelse med en eller flere virksomheder inden for koncernen, som defineret i artikel 3, stk. 15, i direktiv (EU) 2015/849, og som leverer produkter og tjenester vedrørende kryptoaktiver
• vi. en virksomhed eller en person, der bruger en IP-adresse, der er forbundet med et darknet eller en software, der muliggør anonym kommunikation, herunder krypterede e-mails, anonyme eller midlertidige e-mailtjenester og VPN'er
• vii. en sårbar person, dvs. en person, der sandsynligvis ikke er en typisk kunde hos en udbyder af kryptoaktivtjenester, eller en person, der har meget lidt viden om og kendskab til kryptoaktiver og den underliggende teknologi, hvilket kan bekræftes gennem resultaterne af en hensigtsmæssigheds-/videnstest eller anden interaktion med kunden, og som alligevel vælger at foretage hyppige transaktioner eller transaktioner af høj værdi, kan indebære en øget risiko for, at kunden anvendes som muldyr.
• b) Med hensyn til kundens adfærd vær opmærksom på følgende situationer :
• i. Kunden forsøger at åbne flere kryptoaktivkonti hos CASP'en uden en åbenbar økonomisk begrundelse eller forretningsformål.
• ii. Når CASP'en anmoder om de nødvendige kundekendskabsoplysninger, er kundens reelle ejer ude af stand til eller tilbageholdende med at levere oplysningerne, uden nogen lovlig grund til det, ved:
• a) bevidst at undgå direkte kontakt med en CASP, enten personlig eller

• iii. Anvender en IP-adresse eller mobil enhed, der er knyttet til flere kunder, uden nogen åbenbar økonomisk begrundelse, eller har en kendt tilknytning til potentielt ulovlige eller kriminelle aktiviteter; eller kundens kryptoaktivkonto forvaltes fra flere IP-adresser uden nogen åbenbar forbindelse til kunden.
• iv. Giver oplysninger, der er modstridende, herunder når kundens IP-adresse ikke stemmer overens med andre oplysninger om kunden, såsom de oplysninger, der skal til for at foretage en overførsel i henhold til artikel 14, stk. 1, og 14, stk. 2, i forordning (EU) 2023/1113, kundens sædvanlige opholdssted, registrering eller forretningsaktiviteter (både på tidspunktet for etableringen af forretningsforbindelsen og på tidspunktet for transaktionen), og oplysningerne om kildernes oprindelse eller kilden til kryptoaktiverne ikke stemmer overens med andre kundekendskabsoplysninger eller kundens overordnede profil.
• v. Anvender en adresse, en lokalitet eller en IP-adresse, der er knyttet til kryptoaktivkonti, som er registreret med forskellige brugere hos en enkelt udbyder af kryptoaktivtjenester eller hos flere udbydere af kryptoaktivtjenester.
• vi. Ofte ændrer sine personlige oplysninger eller sine betalingsinstrumenter uden åbenbar grund.
• vii. Ofte modtager eller overfører beløb for kryptoaktiver fra selvhostede adresser, som ligger lige under den tærskel på 1 000 EUR, som udløser kontrol af ordremodtageren eller ordregiveren, jf. artikel 14, stk. 5, og artikel 16, stk. 2, i forordning (EU) 2023/1113.
• viii. Angiver, at formålet er at investere i en børsintroduktion af token eller et kryptoaktiv eller et produkt, der giver et uforholdsmæssigt højt afkast, og som befinder sig i en højrisikojurisdiktion, eller kendetegnes ved en høj risiko for svig, eller som ikke er understøttet af en hvidbog, sådan som det kræves i henhold til forordning (EU) 2023/1114⁷ .
• ix. Udviser adfærd eller transaktionsmønstre, som ikke er i overensstemmelse med det, der forventes af den kundetype eller risikokategori, som kunden tilhører, eller som er uventet på grund af de oplysninger, kunden har givet CASP'en, enten ved etableringen af eller under forretningsrelationen. Sådanne omstændigheder indebærer blandt andet, at kunden:
• a) uventet og uden åbenbar grund markant øger mængden eller værdien af

• b) gennemfører usædvanlig mange og store mængder kryptoaktiver, hvilket

• c) øger transaktionsgrænsen i et omfang, der ikke står i et rimeligt forhold

• x. udviser adfærd og mønstre, som er usædvanlige, fordi de involverer uforklarlige overførsler til/fra distributed ledger-adresser eller konti med kryptoaktiver i flere jurisdiktioner uden noget åbenbart forretningsmæssigt eller lovligt formål.
• xi. Når kunden ved veksling af kryptoaktiver til officielle valutaer og vice versa f.eks.:
• a) anvender flere bank- eller betalingskonti, kreditkort eller forudbetalte

• c) anvender en bankkonto eller en betalingskonto, der er placeret i en

• d) anvender flere udbydere af betalingstjenester
• e) gentagne gange anmoder om veksling af kryptoaktiver til eller fra

• g) anvender kryptohæveautomater på forskellige steder for gentagne gange

• h) trækker kryptoaktiver ud fra en udbyder af kryptoaktivtjenester og

• xii. investerer eller veksler kryptoaktiver, som er lånt via en peer-to-peer-platform eller anden låneplatform, der ikke er omfattet af anvendelsesområdet for forordning (EU) 2023/1114 eller anden relevant lovgivningsramme i eller uden for EU, og som navnlig er en decentraliseret eller distribueret anvendelse, som ingen juridisk eller fysisk person har kontrol med eller indflydelse på.
• xiii. direkte eller indirekte modtager eller sender kryptoaktiver, der er knyttet til det mørke net, eller som er resultatet af ulovlige aktiviteter.
• xiv. investerer eller udveksler kryptoaktiver, som i sig selv tilbyder en højere grad af anonymitet, eller modtager kryptoaktiver, som har været genstand for anonymisering, især processer, som slører transaktionen via ledger-teknologi, eller har andre egenskaber, der ligner dem, der er anført i litra a) i retningslinje 21.5.
• xv. gentagne gange modtager kryptoaktiver fra eller sender kryptoaktiver til:
• a) en kryptoaktivkonto gennem en mellemudbyder af kryptoaktivtjenester,

• c) en nyoprettet eller tidligere inaktiv konto for kryptoaktiver eller en

• d) selvhostede adresser på decentrale platforme, som indebærer brug af

• e) en kryptoaktivkonto kort tid efter at kunden har indledt

• g) en kryptokonto ved at opdele transaktionerne i flere transaktioner, som

• xvi. Kunden ser ud til at udnytte teknologiske svagheder eller fejl til sin fordel.
• xvii. Kunden forklarer, at de kryptoaktiver, der er overført til CASP'en, er opnået gennem mining eller staking, men beløbets størrelse ser ikke ud til at være proportionel med de kryptogevinster, der almindeligvis kan opnås gennem sådanne aktiviteter.

21.6. Følgende faktorer kan bidrage til at mindske risikoen , hvis:

• a) Kunden har opfyldt oplysningskravene, i henhold til forordning (EU) 2023/1113 og som yderligere præciseret i afsnit 4 i EBA's retningslinjer for "overførselsregler"⁸ , i forbindelse med tidligere transaktioner med kryptoaktiver og har givet oplysninger, der gør det muligt at identificere kunden og foretage et kontroltjek, hvis der opstår tvivl eller mistanke.
• b) Kundens transaktioner i kryptoativer har ikke tidligere givet anledning til mistanke eller bekymring, og det produkt eller den tjenesteydelse, der efterspørges, er i overensstemmelse med kundens risikoprofil.

destinationen for midlerne er kundens egen bankkonto hos et kreditinstitut i en jurisdiktion, der af udbyderen af kryptoaktivtjenester vurderes som forbundet med en lav risiko

• d) kunden anmoder om veksling, og kryptoaktivets kilde eller destination er kundens egen kryptoaktivkonto eller en adresse i distributed ledger, som enten hostes af en CASP, der er reguleret i henhold til forordning (EU) 2023/1114, eller en udbyder af kryptoaktivatjenester, som ikke er en CASP, og som er reguleret og underlagt tilsyn uden for EU i henhold til en lovgivningsramme, der er lige så robust som den, der er fastsat i forordning (EU) 2023/1114, og som er underlagt AML/CFT-krav, der er lige så robuste som dem, der er fastsat i direktiv (EU) 2015/849, og som er optaget på en positivliste eller på anden måde vurderet af CASP'en til at være forbundet med en lav risiko
• e) kunden anmoder om veksling, og enten kryptoaktivets kilde eller destination vedrører betalinger af lav værdi for varer og tjenester til/fra en kryptoaktivkonto eller en distributed ledger-adresse, som der ikke findes nogen negative informationer om
• f) kundeoverførsler mellem to CASP'er eller en CASP og en udbyder af kryptoaktivtjenester, som ikke er en CASP, og som enten er underlagt regulering og tilsyn i EU eller på anden måde er underlagt en lovgivningsramme, der er lige så robust som den, der er fastsat i forordning (EU) 2023/1114, og som er omfattet af AML/CFT-krav, der er lige så robuste som dem, der er fastsat i direktiv (EU) 2015/849.

Landespecifikke eller geografiske risikofaktorer

21.7. Følgende faktorer kan bidrage til at øge risikoen:

• a) Kundens midler, som er vekslet til kryptoaktiver, stammer fra personlige eller forretningsmæssige forbindelser til jurisdiktioner, der er forbundet med en højere ML/TF-risiko.
• b) Kryptoaktivkontoen eller distributed ledger-adressen, som tilhører ordregiveren eller modtageren, er knyttet til en jurisdiktion, der er forbundet med en højere ML/TF-risiko, eller jurisdiktioner/regioner, som vides at sikre finansiering eller støtte til terrorvirksomhed, eller hvor det vides, at grupper, der begår terrorhandlinger, operer, samt jurisdiktioner, der er genstand for finansielle sanktioner, embargoer eller foranstaltninger vedrørende terrorisme, finansiering af terrorisme eller finansiering af spredning af masseødelæggelsesvåben.
• c) Kunden eller kundens reelle ejer er bosiddende, etableret, opererer i eller har personlige eller forretningsmæssige forbindelser, der involverer en jurisdiktion, der er forbundet med en øget risiko for hvidvask eller finansiering af terrorisme.
• d) Forretningsforbindelsen er etableret gennem en CASP eller en kryptohæveautomat, som er placeret i en region eller en jurisdiktion, der er forbundet med en høj ML/TF-risiko.
• e) Kunden er involveret i mining af kryptoaktiver, enten direkte eller indirekte gennem tredjeparter, i en jurisdiktion, som Europa-Kommissionen har identificeret som højrisikojurisdiktion i overensstemmelse med artikel 9 i direktiv (EU) 2015/849, eller i en jurisdiktion, der er omfattet af restriktive foranstaltninger eller målrettede finansielle sanktioner.

21.8. Faktor, der kan bidrage til at mindske risikoen:

• a) hvis overførslen kommer fra eller sendes til en kryptoaktivkonto eller en distributed ledger-adresse, der hostes af en CASP eller en udbyder af kryptoaktiver, som ikke er en CASP, i en jurisdiktion, der er forbundet med en lav ML/TF-risiko.

Risikofaktorer i forbindelse med distributionskanaler

21.9. Følgende faktorer kan bidrage til at øge risikoen:

• a) Forretningsforbindelsen etableres ved at anvende løsninger til fjernidentificering af

fjernidentificering af kunder⁹ .

• b) Der er ingen restriktioner med hensyn til finansieringsinstrumentet, f.eks. i tilfælde af kontanter, checks eller e-pengeprodukter, der er omfattet af undtagelsen i artikel 12 i direktiv (EU) 2015/849.
• c) Forretningsforbindelsen mellem CASP'en og kunden etableres gennem en udbyder af kryptoaktivtjenester som mellemled, jf. retningslinje 9.20 ovenfor.
• d) Identificeringen og kontrollen af kunden udføres af en udbyder af kryptoaktivtjenester, der er beliggende i en højrisikojurisdiktion, på grundlag af en outsourcingaftale i overensstemmelse med artikel 29 i direktiv (EU) 2015/849.
• e) Nye distributionskanaler eller ny teknologi, der anvendes til at distribuere kryptoaktiver, som endnu ikke er blevet testet fuldt ud, eller som udgør en øget ML/TF-risiko.
• f) Forretningsforbindelsen etableres via kryptohæveautomater, hvilket øger risikoen på grund af anvendelsen af kontanter. 21.10. Faktor, der kan bidrage til at mindske risikoen:
• a) Hvis CASP'en anvender kundekendskabsprocedurer, der anvendes af en tredjepart i overensstemmelse med artikel 26 i direktiv (EU) 2015/849, og den pågældende tredjepart er beliggende i EU.

⁶ Forordning (EU) 2023/1114 om markeder for kryptoaktiver og om ændring af forordning (EU) nr. 1093/2010 og (EU) nr. 1095/2010 samt direktiv 2013/36/EU og (EU) 2019/1937

⁷ Forordning (EU) 2023/1114 om markeder for kryptoaktiver og om ændring af forordning (EU) nr. 1093/2010 og (EU) nr. 1095/2010 samt direktiv 2013/36/EU og (EU) 2019/1937.

⁸ Retningslinjer for forebyggelse af misbrug af pengemidler og visse overførsler af kryptoaktiver til hvidvask af penge og finansiering af terrorisme i henhold til forordning (EU) 2023/1113, [.... indsæt venligst nummeret på disse retningslinjer, som i øjeblikket er under høring, når de er vedtaget (EBA/CP/2023/35)] (" Retningslinjer for overførselsregler")

⁹ Retningslinjer for anvendelsen af løsninger med fjernidentificering af kunder i henhold til artikel 13, stk. 1, i direktiv (EU) 2015/849 (EBA/GL/2022/15).

21.11. CASP'er bør sikre, at de systemer, de anvender til at identificere og håndtere ML/TF-risici, opfylder de kriterier, der er fastsat i afsnit I i disse retningslinjer. CASP'er bør navnlig gennem deres forretningsmodeller sikre, at de har passende og effektive overvågningsværktøjer på plads, herunder værktøjer til overvågning af transaktioner og avancerede analyseværktøjer. I hvilket omfang sådanne værktøjer bør anvendes, afhænger af arten og omfanget af CASP'ens aktiviteter, herunder typen af kryptoaktiver, der gøres tilgængelige for handel eller veksling. CASP'er bør også sikre, at relevante medarbejdere modtager specialiseret uddannelse for at få et godt kendskab til kryptoaktiver og ML/TF-risici, som de kan udsætte CASP'en for.

Skærpede kundekendskabskrav

21.12. Hvis den risiko, der er forbundet med en forretningsforbindelse eller en lejlighedsvis transaktion, øges, skal CASP'er anvende skærpede kundekendskabsforanstaltninger i henhold til artikel 18 i direktiv (EU) 2015/849 og som fastsat i afsnit I i disse retningslinjer. Desuden bør CASP'er efter behov træffe relevante skærpede kundekendskabsforanstaltninger, jf. nedenstående liste, og afhængigt af forretningsforbindelsens risikoeksponering:

• a) Kontrollere kundens og den reelle ejers identitet på grundlag af mere end én pålidelig og uafhængig kilde.
• b) Identificere og kontrollere identiteten af majoritetsaktionærer, der ikke opfylder definitionen på reelle ejere i henhold til artikel 3 i direktiv (EU) 2015/849, eller fysiske personer, der har beføjelse til at forvalte en kryptoaktivkonto eller en distributed ledger-adresse på kundens vegne, eller give instrukser om overførsel eller veksling af kryptoaktiver eller andre tjenester i forbindelse med disse kryptoaktiver.
• c) Indhente flere oplysninger om kunden og forretningsforbindelsens art og formål med henblik på at opbygge en mere fuldstændig kundeprofil, f.eks. ved at foretage søgninger i åbne kilder eller adverse media eller bestille en tredjemands efterretningsrapport. Eksempler på den type oplysninger, som CASP'er kan søge:
• i. arten af kundens virksomhed eller beskæftigelse
• ii. kilden til kundens formue og oprindelsen af kundens midler, der veksles til kryptoaktiver, for at få rimelig sikkerhed for, at disse er lovlige
• iii. kilden til kundens kryptoaktiver, som veksles til officielle valutaer, herunder hvornår og hvor de blev købt
• iv. formålet med transaktionen, herunder, hvor det er relevant, destinationen for kryptooverførslen
• v. oplysninger om kundens eventuelle forbindelser til andre jurisdiktioner (hovedkvarter, driftsfaciliteter, filialer osv.) eller personer, som i betydelig grad kan påvirke kundens aktiviteter
• vi. oplysninger om kundens transaktioner med kryptoaktiver og, hvis kunden er en CASP, oplysninger om dennes handelshistorik fra CASP'ens eget system.
• d) Indhente dokumentation om kilden til midlerne, oprindelsen af formuen eller kryptoaktiverne i forbindelse med de transaktioner, der udgør en højere risiko.
• e) Øge hyppigheden af overvågningen af transaktioner med kryptoaktiver. Alle transaktioner bør overvåges for uventet adfærd, uventede mønstre og indikatorer for mistænkelig aktivitet og bør også tage hensyn til de parter, som kunden handler med.
• f) Gennemgå og om nødvendigt opdatere oplysninger, data og dokumentation oftere og især i tilfælde af en udløsende hændelse.
• g) Hvis den risiko, der er forbundet med forretningsforbindelsen, er særlig høj, bør CASP'er regelmæssigt tage forretningsforbindelsen op til fornyet overvejelse.
• h) Hyppigere eller mere indgående vurdere de aktiviteter, der udføres via kundens kryptoaktivkonti, ved hjælp af værktøjer til undersøgelse af kryptoaktiver.
• i) Hvis en kunde har flere distributed ledger-adresser eller blockchain-netværk, bør CASP'erne koble disse adresser til kunden.
• j) Øge hyppigheden af overvågningen af kundens IP-adresser og kontrollere dem i forhold til de IP-adresser, der anvendes af andre kunder.
• k) Få bekræftet at kunden har tilstrækkelig viden om og kendskab til kryptoaktiver for at skaffe større sikkerhed for, at kunden ikke anvendes som muldyr.
• l) Hvis der tegner sig et mønster for hævninger eller indløsninger, der ikke er i overensstemmelse med kundens profil eller forretningsforbindelsens art og formål, bør CASP'en træffe yderligere foranstaltninger for at sikre, at det er kunden og ikke en tredjepart, der anmoder om en hævning eller indløsning. Dette er særlig relevant for højrisikokunder eller ældre eller mere sårbare kunder.
• m) Få bekræftet at en selvhostet adresse, hvorfra der modtages en overførsel, kontrolleres eller ejes af CASP'ens kunde.

21.13. CASP'er bør anvende en riskobaseret tilgang for at vurdere, hvilke transaktioner der skal være genstand for avancerede anlyseværktøjer som et supplement til standardværktøjer til transaktionsovervågning. CASP'er bør anvende avancerede analyseværktøjer til at vurdere den risiko, der er forbundet med transaktioner, navnlig transaktioner, der involverer selvhostede adresser, da det gør det muligt for CASP'en at spore transaktionshistorikken og identificere potentielle forbindelser med kriminelle aktiviteter, personer eller enheder.

21.14. For så vidt angår forretningsforbindelser eller transaktioner, der involverer højrisikotredjelande, bør CASP'er følge retningslinjerne i afsnit I.

Lempede kundekendskabskrav

21.15. I situationer, der vurderes til at have en lav risiko som følge af den ML/TF-risikovurdering, der er udført af CASP'en i overensstemmelse med disse retningslinjer, og i det omfang det er tilladt i henhold til national lovgivning, kan CASP'en anvende lempede kundekendskabsforanstaltninger, som blandt andet kan omfatte følgende:

• a) for kunder, der er omfattet af en lovbestemt licens- og reguleringsordning i et land i eller uden for EU, kontrollere identiteten på grundlag af dokumentation for, at kunden er omfattet af denne ordning, f.eks. gennem en søgning i tilsynsmyndighedens offentlige register
• b) kun opdatere kundekendskabsinformation, -data eller -dokumentation, hvis der er specifikke udløsende hændelser, f.eks. en anmodning fra kunden om et nyt eller højere risikoprodukt eller ændringer i kundens adfærd eller transaktionsprofil, der tyder på, at den risiko, der er forbundet med forretningsforbindelsen, ikke længere er lav, samtidig med at eventuelle opdateringsperioder i den nationale lovgivning overholdes.
• c) mindske frekvensen for transaktionsovervågning af produkter, der involverer tilbagevendende transaktioner.

Opbevaring af optegnelser

21.16. Hvis oplysningerne om kunder og transaktioner er tilgængelige i distributed ledger, bør CASP'er ikke benytte distribueret ledger til registrering, men bør tage skridt til at opfylde deres registreringsforpligtelser i overensstemmelse med direktiv (EU) 2015/849 og retningslinje 5.1 og 5.2 ovenfor. CASP'er bør indføre procedurer, der gør det muligt for dem at koble distributed ledger-adressen til en privat nøgle, der kontrolleres af en fysisk eller juridisk person.