4.1 Interne Strategien und Verfahren

Die Kredit- und Finanzinstitute sollten Strategien und Verfahren einführen und aufrechterhalten, um ihren Verpflichtungen gemäß Artikel 13 Absatz 1 Buchstaben a und c der Richtlinie (EU) 2015/849 in Fällen nachzukommen, in denen der Kundenannahmeprozessaus der Ferne erfolgt. Diese Strategien und Verfahren sollten risikoorientiert sein und mindestens Folgendes umfassen:

• a) eine allgemeine Beschreibung der Anwendung, die die Kredit- und Finanzinstitute für die Erhebung, Überprüfung und Aufzeichnung von Informationen während des gesamten Fern-Kundenannahmeprozesses eingeführt haben. Dies sollte eine Erläuterung der Merkmale und der Funktionsweise der Anwendung umfassen;
• b) die Fälle, in denen die Anwendung für den Fern-Kundenannahmeprozess genutzt werden kann, wobei die gemäß Artikel 8 Absatz 1 der Richtlinie (EU) 2015/849 und im Zuge der unternehmensweiten Risikobewertung ermittelten und bewerteten Risikofaktoren berücksichtigt werden, einschließlich einer Beschreibung der Kategorie von Kunden, Produkten und Dienstleistungen, die für den Fern-Kundenannahmeprozess infrage kommen;
• c) welche Schritte vollständig autonomisiert sind und für welche Schritte das Eingreifen einer Person erforderlich ist;
• d) die bestehenden Kontrollen, mit denen sichergestellt wird, dass die erste Transaktion mit einem neuen Kunden erst ausgeführt wird, wenn alle anfänglichen Maßnahmen zur Erfüllung der Sorgfaltspflichten gegenüber dem Kunden durchgeführt wurden;
• e) eine Beschreibung der Einführungsschulungen und regelmäßigen Schulungsprogramme, mit denen sichergestellt wird, dass das Personal sensibilisiert ist und aktuelle Kenntnisse über die Funktionsweise der Anwendung für den Fern-Kundenannahmeprozessbesitzt sowie damit verbundenen Risiken, Strategien und Verfahren für den Fern-Kundenannahmeprozess, mit denen diese Risiken begrenzt werden sollen, besitzt.

Durch die Umsetzung der Strategien und Verfahren sollte es den Kredit- und Finanzinstituten möglich sein, die Einhaltung der Bestimmungen der Abschnitte 4.2 bis 4.7 dieser Leitlinien sicherzustellen.

4.1.2 Governance

Zusätzlich zu den Bestimmungen in Abschnitt 4.2.4 der EBA-Leitlinien bezüglich des Geldwäschebeauftragten³ sollte der Geldwäschebeauftragte⁴ im Rahmen seiner allgemeinen Pflicht zur Ausarbeitung von Strategien und Verfahren für die Erfüllung der Sorgfaltspflichten gegenüber Kunden sicherstellen, dass die Strategien und Verfahren für den Fern-Kundenannahmeprozess wirksam umgesetzt, regelmäßig überprüft und gegebenenfalls geändert werden.

³ Entwurf der Leitlinien zu Strategien und Verfahren in Bezug auf das Compliance-Management und die Rolle und Zuständigkeiten des Geldwäschebeauftragten gemäß Artikel 8 und Kapitel VI der Richtlinie (EU) 2015/849.

⁴ Im Einklang mit den Kriterien der Verhältnismäßigkeit in Abschnitt 4.2.2 der Leitlinien bezüglich des Geldwäschebeauftragten.

Das Leitungsorgan des Kredit- und Finanzinstituts sollte Strategien und Verfahren für den Fern-Kundenannahmeprozess genehmigen und ihre ordnungsgemäße Umsetzung überwachen.

4.1.3 Die Bewertung vor der Einführung der Anwendung für den Fern-Kundenannahmeprozess

Wenn die Kredit- und Finanzinstitute prüfen, ob sie eine neue Anwendung für den Fern-Kundenannahmeprozess einführen wollen, sollten sie vor der Einführung eine Bewertung der Anwendung für den Fern-Kundenannahmeprozess vornehmen.

Die Kredit- und Finanzinstitute sollten in ihren Strategien und Verfahren den Umfang, die Schritte und die Aufzeichnungsanforderungen der Bewertung vor der Einführung festlegen, die mindestens Folgendes umfassen sollte:

• a) eine Bewertung der Angemessenheit der Anwendung hinsichtlich der Vollständigkeit und Genauigkeit der zu erhebenden Daten und einzuholenden Dokumente sowie der Zuverlässigkeit und der Unabhängigkeit der verwendeten Informationsquellen;
• b) eine Bewertung der Auswirkungen der Nutzung der Anwendung für den Fern-Kundenannahmeprozess auf die unternehmensweiten Risiken, einschließlich der Risiken hinsichtlich Geldwäsche und Terrorismusfinanzierung, operationeller und rechtlicher Risiken sowie Reputationsrisiken;
• c) die Ermittlung möglicher risikomindernder Maßnahmen und Abhilfemaßnahmen für jedes Risiko, das im Zuge der Bewertung gemäß Buchstabe b festgestellt wurde;
• d) Tests zur Beurteilung von Betrugsrisiken, einschließlich des Risikos der Identitätserschleichung und anderer Risiken in Zusammenhang mit Informations- und Kommunikationstechnologien (IKT) sowie Sicherheitsrisiken, gemäß Absatz 43 der EBA-Leitlinien für das Management von IKT- und Sicherheitsrisiken⁵ ;
• e) End-to-End-Tests der Funktionsweise der Anwendung hinsichtlich Kunden-, Produkt- und Dienstleistungsstruktur(en), die in den Strategien und Verfahren für den Fern-Kundenannahmeprozess ermittelt wurde.

⁵ EBA/GL/2019/04.

Die Kredit- und Finanzinstitute sollten die in Absatz 14 Buchstaben a, d und e genannten Kriterien als erfüllt betrachten, wenn der Anwendung eine der folgenden Optionen zugrunde liegt:

• a) elektronische Identifizierungssysteme, die gemäß Artikel 9 der Verordnung (EU) Nr. 910/2014 notifiziert wurden und die Anforderungen an die Sicherheitsniveaus „substanziell“ bzw. „hoch“ gemäß Artikel 8 dieser Verordnung erfüllen;
• b) relevante qualifizierte Vertrauensdienste, die die Anforderungen der Verordnung (EU) Nr. 910/2014, insbesondere Kapitel III Abschnitt 3 und Artikel 24 Absatz 1 Unterabsatz 2 Buchstabe b der genannten Verordnung erfüllen.

Die Kredit- und Finanzinstitute sollten in der Lage sein, der für sie zuständigen Behörde nachzuweisen, welche Beurteilungen sie vor der Einführung der Anwendung für den Fern-Kundenannahmeprozess durchgeführt haben, welche Ergebnisse ihre Beurteilungen erzielt hat und ob die Anwendung das Geldwäsche- und Terrorismusfinanzierungsrisiko hinsichtlich ihrer Kunden-, Dienstleistungs-, Produktstruktur sowie bezüglich der geografischen Tätigkeitsgebiete angemessen adressiert.

Die Kredit- und Finanzinstitute sollten erst dann mit der Nutzung einer Anwendung für den Fern-Kundenannahmeprozess beginnen, wenn sie sich davon überzeugt haben, dass sie in das umfassendere interne Kontrollsystem des Instituts integriert werden kann, sodass das Institut die Risiken hinsichtlich Geldwäsche und Terrorismusfinanzierung, die sich aus der Nutzung der Anwendung für den Fern-Kundenannahmeprozess ergeben können, angemessen steuern kann.

4.1.4 Laufende Überwachung der Anwendung für den Fern-Kundenannahmeprozess

Die Kredit- und Finanzinstitute sollten die Anwendung für den Fern-Kundenannahmeprozess kontinuierlich überwachen, um sicherzustellen, dass sie entsprechend den Erwartungen der Kredit- und Finanzinstitute funktioniert. Sie sollten ihre in Absatz 9 beschriebenen Strategien und Verfahren durch eine Beschreibung mindestens folgender Elemente ergänzen:

• a) die Schritte, die sie unternehmen werden, um sich von der kontinuierlichen Qualität, Vollständigkeit, Genauigkeit und Angemessenheit der während des Verfahrens für den Fern-Kundenannahmeprozess erhobenen Daten zu überzeugen, die auf die Risiken hinsichtlich Geldwäsche und Terrorismusfinanzierung abgestimmt sein sollten, denen das Kredit- und Finanzinstitut ausgesetzt ist;
• b) Umfang und Häufigkeit dieser regelmäßigen Überprüfungen sowie
• c) die Umstände, unter denen Ad-hoc-Überprüfungen durchgeführt werden; diese sollten mindestens Folgendes einschließen:
• a. Änderungen des Risikos hinsichtlich Geldwäsche und Terrorismusfinanzierung, dem das Kredit- und Finanzinstituts ausgesetzt ist;
• b. Mängel bei der Funktionsweise der Anwendung, die im Rahmen von Überwachungs-, Prüfungs- oder Aufsichtstätigkeiten festgestellt werden;
• c. eine wahrgenommene Zunahme von Betrugsversuchen;
• d. Änderungen des Rechts- oder Aufsichtsrahmens.

Die Kredit- und Finanzinstitute sollten in ihren Verfahren und Prozessen Abhilfemaßnahmen für den Fall vorsehen, dass ein Risiko eingetreten ist oder Fehler festgestellt wurden, die sich auf die Effizienz und Wirksamkeit der allgemeinen Anwendung für den Fern-Kundenannahmeprozess auswirken. Diese Maßnahmen sollten mindestens Folgendes umfassen:

• a) eine Überprüfung aller betroffenen Geschäftsbeziehungen, um zu bewerten, ob die Kredit- und Finanzinstitute anfänglich in ausreichendem Maße ihre Sorgfaltspflicht bei der Feststellung der Kundenidentität erfüllt haben, um den Bestimmungen in Artikel 13 Absatz 1 Buchstaben a, b und c der Geldwäscherichtlinie zu entsprechen. Die Kredit- und Finanzinstitute sollten den Geschäftsbeziehungen Vorrang einräumen, die mit dem höchsten Risiko hinsichtlich Geldwäsche und Terrorismusfinanzierung verbunden sind;
• b) unter Berücksichtigung der im Rahmen der oben genannten Überprüfung eingeholten Informationen eine Bewertung, ob die betroffenen Geschäftsbeziehungen
• a. zusätzlichen Sorgfaltspflichten unterliegen sollten;
• b. Beschränkungen unterliegen sollten, wie z. B. Obergrenzen für das Transaktionsvolumen, sofern dies nach nationalem Recht zulässig ist, bis eine Überprüfung stattgefunden hat;
• c. beendet werden sollten;
• d. der FIU gemeldet werden sollten;
• e. in eine andere Risikokategorie umgestuft werden sollten.

Die Kredit- und Finanzinstitute sollten den wirksamsten Weg in Erwägung ziehen, um die dauerhafte Angemessenheit und Zuverlässigkeit der Anwendungen für den Fern-Kundenannahmeprozess zu überwachen. Sie sollten unter anderem eines oder mehrere der folgenden Instrumente in Betracht ziehen:

• i. Qualitätssicherungsprüfungen;
• ii. automatisierte kritische Warnungen und Meldungen;
• iii. regelmäßige automatisierte Qualitätsberichte;
• iv. Stichprobenprüfungen;
• v. manuelle Überprüfungen.

Dieser Abschnitt gilt auch, wenn voll automatisierte Anwendungen für den Fern-Kundenannahmeprozess eingesetzt werden, die in hohem Maße von automatisierten Algorithmen abhängig sind und die kaum oder kein menschliches Eingreifen erfordern.

Die Kredit- und Finanzinstitute sollten in der Lage sein, ihrer zuständigen Behörde nachzuweisen, welche Überprüfungen sie durchgeführt und welche Abhilfemaßnahmen sie ergriffen haben, um während der Nutzungsdauer der Anwendung für den Fern-Kundenannahmeprozess festgestellte Mängel zu beheben.