Foranstaltninger

21.11. CASP'er bør sikre, at de systemer, de anvender til at identificere og håndtere ML/TF-risici, opfylder de kriterier, der er fastsat i afsnit I i disse retningslinjer. CASP'er bør navnlig gennem deres forretningsmodeller sikre, at de har passende og effektive overvågningsværktøjer på plads, herunder værktøjer til overvågning af transaktioner og avancerede analyseværktøjer. I hvilket omfang sådanne værktøjer bør anvendes, afhænger af arten og omfanget af CASP'ens aktiviteter, herunder typen af kryptoaktiver, der gøres tilgængelige for handel eller veksling. CASP'er bør også sikre, at relevante medarbejdere modtager specialiseret uddannelse for at få et godt kendskab til kryptoaktiver og ML/TF-risici, som de kan udsætte CASP'en for.

Skærpede kundekendskabskrav

21.12. Hvis den risiko, der er forbundet med en forretningsforbindelse eller en lejlighedsvis transaktion, øges, skal CASP'er anvende skærpede kundekendskabsforanstaltninger i henhold til artikel 18 i direktiv (EU) 2015/849 og som fastsat i afsnit I i disse retningslinjer. Desuden bør CASP'er efter behov træffe relevante skærpede kundekendskabsforanstaltninger, jf. nedenstående liste, og afhængigt af forretningsforbindelsens risikoeksponering:

• a) Kontrollere kundens og den reelle ejers identitet på grundlag af mere end én pålidelig og uafhængig kilde.
• b) Identificere og kontrollere identiteten af majoritetsaktionærer, der ikke opfylder definitionen på reelle ejere i henhold til artikel 3 i direktiv (EU) 2015/849, eller fysiske personer, der har beføjelse til at forvalte en kryptoaktivkonto eller en distributed ledger-adresse på kundens vegne, eller give instrukser om overførsel eller veksling af kryptoaktiver eller andre tjenester i forbindelse med disse kryptoaktiver.
• c) Indhente flere oplysninger om kunden og forretningsforbindelsens art og formål med henblik på at opbygge en mere fuldstændig kundeprofil, f.eks. ved at foretage søgninger i åbne kilder eller adverse media eller bestille en tredjemands efterretningsrapport. Eksempler på den type oplysninger, som CASP'er kan søge:
• i. arten af kundens virksomhed eller beskæftigelse
• ii. kilden til kundens formue og oprindelsen af kundens midler, der veksles til kryptoaktiver, for at få rimelig sikkerhed for, at disse er lovlige
• iii. kilden til kundens kryptoaktiver, som veksles til officielle valutaer, herunder hvornår og hvor de blev købt
• iv. formålet med transaktionen, herunder, hvor det er relevant, destinationen for kryptooverførslen
• v. oplysninger om kundens eventuelle forbindelser til andre jurisdiktioner (hovedkvarter, driftsfaciliteter, filialer osv.) eller personer, som i betydelig grad kan påvirke kundens aktiviteter
• vi. oplysninger om kundens transaktioner med kryptoaktiver og, hvis kunden er en CASP, oplysninger om dennes handelshistorik fra CASP'ens eget system.
• d) Indhente dokumentation om kilden til midlerne, oprindelsen af formuen eller kryptoaktiverne i forbindelse med de transaktioner, der udgør en højere risiko.
• e) Øge hyppigheden af overvågningen af transaktioner med kryptoaktiver. Alle transaktioner bør overvåges for uventet adfærd, uventede mønstre og indikatorer for mistænkelig aktivitet og bør også tage hensyn til de parter, som kunden handler med.
• f) Gennemgå og om nødvendigt opdatere oplysninger, data og dokumentation oftere og især i tilfælde af en udløsende hændelse.
• g) Hvis den risiko, der er forbundet med forretningsforbindelsen, er særlig høj, bør CASP'er regelmæssigt tage forretningsforbindelsen op til fornyet overvejelse.
• h) Hyppigere eller mere indgående vurdere de aktiviteter, der udføres via kundens kryptoaktivkonti, ved hjælp af værktøjer til undersøgelse af kryptoaktiver.
• i) Hvis en kunde har flere distributed ledger-adresser eller blockchain-netværk, bør CASP'erne koble disse adresser til kunden.
• j) Øge hyppigheden af overvågningen af kundens IP-adresser og kontrollere dem i forhold til de IP-adresser, der anvendes af andre kunder.
• k) Få bekræftet at kunden har tilstrækkelig viden om og kendskab til kryptoaktiver for at skaffe større sikkerhed for, at kunden ikke anvendes som muldyr.
• l) Hvis der tegner sig et mønster for hævninger eller indløsninger, der ikke er i overensstemmelse med kundens profil eller forretningsforbindelsens art og formål, bør CASP'en træffe yderligere foranstaltninger for at sikre, at det er kunden og ikke en tredjepart, der anmoder om en hævning eller indløsning. Dette er særlig relevant for højrisikokunder eller ældre eller mere sårbare kunder.
• m) Få bekræftet at en selvhostet adresse, hvorfra der modtages en overførsel, kontrolleres eller ejes af CASP'ens kunde.

21.13. CASP'er bør anvende en riskobaseret tilgang for at vurdere, hvilke transaktioner der skal være genstand for avancerede anlyseværktøjer som et supplement til standardværktøjer til transaktionsovervågning. CASP'er bør anvende avancerede analyseværktøjer til at vurdere den risiko, der er forbundet med transaktioner, navnlig transaktioner, der involverer selvhostede adresser, da det gør det muligt for CASP'en at spore transaktionshistorikken og identificere potentielle forbindelser med kriminelle aktiviteter, personer eller enheder.

21.14. For så vidt angår forretningsforbindelser eller transaktioner, der involverer højrisikotredjelande, bør CASP'er følge retningslinjerne i afsnit I.

Lempede kundekendskabskrav

21.15. I situationer, der vurderes til at have en lav risiko som følge af den ML/TF-risikovurdering, der er udført af CASP'en i overensstemmelse med disse retningslinjer, og i det omfang det er tilladt i henhold til national lovgivning, kan CASP'en anvende lempede kundekendskabsforanstaltninger, som blandt andet kan omfatte følgende:

• a) for kunder, der er omfattet af en lovbestemt licens- og reguleringsordning i et land i eller uden for EU, kontrollere identiteten på grundlag af dokumentation for, at kunden er omfattet af denne ordning, f.eks. gennem en søgning i tilsynsmyndighedens offentlige register
• b) kun opdatere kundekendskabsinformation, -data eller -dokumentation, hvis der er specifikke udløsende hændelser, f.eks. en anmodning fra kunden om et nyt eller højere risikoprodukt eller ændringer i kundens adfærd eller transaktionsprofil, der tyder på, at den risiko, der er forbundet med forretningsforbindelsen, ikke længere er lav, samtidig med at eventuelle opdateringsperioder i den nationale lovgivning overholdes.
• c) mindske frekvensen for transaktionsovervågning af produkter, der involverer tilbagevendende transaktioner.

Opbevaring af optegnelser

21.16. Hvis oplysningerne om kunder og transaktioner er tilgængelige i distributed ledger, bør CASP'er ikke benytte distribueret ledger til registrering, men bør tage skridt til at opfylde deres registreringsforpligtelser i overensstemmelse med direktiv (EU) 2015/849 og retningslinje 5.1 og 5.2 ovenfor. CASP'er bør indføre procedurer, der gør det muligt for dem at koble distributed ledger-adressen til en privat nøgle, der kontrolleres af en fysisk eller juridisk person.

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede standarder

2. Identificerede krav

3. Relaterede standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/