4.1 Εσωτερικές πολιτικές και διαδικασίες

Τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να εφαρμόζουν και να τηρούν πολιτικές και διαδικασίες για τη συμμόρφωσή τους προς τις υποχρεώσεις που υπέχουν σύμφωνα με το άρθρο 13 παράγραφος 1 στοιχεία α), β) και γ) της οδηγίας (ΕΕ) 20 15/849 σε περιπτώσεις εξ αποστάσεως ταυτοποίησης πελατών. Οι εν λόγω πολιτικές και διαδικασίες θα πρέπει να προβλέπουν μέτρα ανάλογα με τον βαθμό κινδύνου και να καθορίζουν τουλάχιστον:

• α) γενική περιγραφή της λύσης που εφαρμόζουν τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί για τη συλλογή, την επαλήθευση και την αρχειοθέτηση πληροφοριών που αφορούν το σύνολο της διαδικασίας εξ αποστάσεως ταυτοποίησης πελατών. Η περιγραφή αυτή θα πρέπει να περιλαμβάνει επεξήγηση των χαρακτηριστικών και της λειτουργίας της λύσης·
• β) τις περιπτώσεις στις οποίες μπορεί να χρησιμοποιηθεί η λύση της εξ αποστάσεως ταυτοποίησης πελατών, λαμβανομένων υπόψη των παραγόντων κινδύνου που προσδιορίζονται και αξιολογούνται σύμφωνα με το άρθρο 8 παράγραφος 1 της οδηγίας (ΕΕ) 2015/84 9 και της συνολικής εκτίμησης κινδύνου για ολόκληρη την επιχείρηση, συμπεριλαμβανομένης της περιγραφής της κατηγορίας πελατών, προϊόντων και υπηρεσιών που είναι επιλέξιμη για εξ αποστάσεως ταυτοποίηση·
• γ) ποια στάδια είναι πλήρως αυτόνομα και ποια απαιτούν ανθρώπινη παρέμβαση·
• δ) τους ελέγχους που εφαρμόζονται για να διασφαλίζεται ότι η πρώτη συναλλαγή με εξ αποστάσεως ενταγμένο νέο πελάτη εκτελείται μόνον αφού θα έχουν εφαρμοστεί όλα τα αρχικά μέτρα δέουσας επιμέλειας ως προς τον πελάτη (ΔΕΠ)·
• ε) περιγραφή της εισαγωγικής εκπαίδευσης και των προγραμμάτων τακτικής κατάρτισης που διασφαλίζουν την ευαισθητοποίηση του προσωπικού και την επικαιροποίηση των γνώσεών του όσον αφορά τη λειτουργία της λύσης εξ αποστάσεως ταυτοποίησης πελατών, τους συναφείς κινδύνους, καθώς και τις πολιτικές και τις διαδικασίες που αποσκοπούν στον μετριασμό αυτών των κινδύνων κατά την εξ αποστάσεως ταυτοποίηση πελατών.

Η εφαρμογή αυτών των πολιτικών και διαδικασιών θα πρέπει να διασφαλίζει τη συμμόρφωση των πιστωτικών ιδρυμάτων και των χρηματοπιστωτικών οργανισμών προς τις διατάξεις της ενότητας 4.2 έως 4.7 των παρουσών κατευθυντηρίων γραμμών.

4.1.2 Διακυβέρνηση

Επιπλέον των διατάξεων που θεσπίζονται στην ενότητα 4.2.4 των κατευθυντήριων γραμμών της ΕΑΤ σχετικά με τον υπεύθυνο συμμόρφωσης³ , ο υπεύθυνος συμμόρφωσης σε θέματα ΚΞΧ/ΧΤ⁴ θα πρέπει, στο πλαίσιο του γενικού καθήκοντός του να προετοιμάζει πολιτικές και διαδικασίες που θα συμμορφώνονται προς τις απαιτήσεις ΔΕΠ, να διασφαλίζει την αποτελεσματική εφαρμογή, την τακτική επανεξέταση και την κατά περίπτωση τροποποίηση των πολιτικών και των διαδικασιών για την εξ αποστάσεως ταυτοποίηση πελατών.

³ Σχέδιο κατευθυντήριων γραμμών για τις πολιτικές και τις διαδικασίες σε σχέση με τη διαχείριση της συμμόρφωσης και τον ρόλο και τις αρμοδιότητες του υπευθύνου συμμόρφωσης με τις απαιτήσεις σε θέματα ΚΞΧ/ΧΤ σύμφωνα με το άρθρο 8 και το κεφάλαιο VI της οδηγίας (ΕΕ) 2015/849.

⁴ Σύμφωνα με τα κριτήρια αναλογικότητας που καθορίζονται στην ενότητα 4.2.2 των κατευθυντηρίων γραμμών σχετικά με τον υπεύθυνο συμμόρφωσης.

Το διοικητικό όργανο του πιστωτικού ιδρύματος ή και του χρηματοπιστωτικού οργανισμού θα πρέπει να εγκρίνει τις πολιτικές και τις διαδικασίες για την εξ αποστάσεως ταυτοποίηση πελατών και να εποπτεύει την ορθή εφαρμογή τους.

4.1.3 Η προ της εφαρμογής αξιολόγηση της λύσης εξ αποστάσεως ταυτοποίησης πελατών

Κατά την εξέταση σκοπιμότητας της υιοθέτησης νέας λύσης εξ αποστάσεως ταυτοποίησης πελατών, τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να διενεργούν αξιολόγηση της λύσης εξ αποστάσεως ταυτοποίησης πελατών πριν από την υλοποίηση της.

Τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να καθορίζουν το πεδίο εφαρμογής, τα στάδια και τις απαιτήσεις τήρησης αρχείων της προ της εφαρμογής αξιολόγησης στις πολιτικές και τις διαδικασίες τους, οι οποίες θα πρέπει να περιλαμβάνουν τουλάχιστον:

• α) αξιολόγηση της επάρκειας της λύσης όσον αφορά την πληρότητα και την ακρίβεια των στοιχείων και των εγγράφων που πρόκειται να συλλεχθούν, καθώς και την αξιοπιστία και την ανεξαρτησία των χρησιμοποιούμενων πηγών πληροφοριών·
• β) αξιολόγηση της επίπτωσης της χρήσης της λύσης εξ αποστάσεως ταυτοποίησης πελατών στους κινδύνους για ολόκληρη την επιχείρηση, συμπεριλαμβανομένων των κινδύνων ΞΧ/ΧΤ, των επιχειρησιακών κινδύνων, των κινδύνων φήμης και των νομικών κινδύνων·
• γ) προσδιορισμό των πιθανών μέτρων μετριασμού και διορθωτικών ενεργειών για κάθε κίνδυνο που εντοπίζεται στο πλαίσιο της αξιολόγησης βάσει του στοιχείου β)·
• δ) ελέγχους εκτίμησης κινδύνων απάτης, συμπεριλαμβανομένων των κινδύνων πλαστοπροσωπίας και άλλων κινδύνων των τεχνολογιών πληροφοριών και επικοινωνιών («ΤΠΕ») και κινδύνων ασφάλειας, σύμφωνα με τη διάταξη 43 των κατευθυντηρίων γραμμών της ΕΑΤ σχετικά με τη διαχείριση κινδύνων ΤΠΕ και ασφάλειας⁵ .
• ε) ελέγχους από άκρο σε άκρο σχετικά με τη λειτουργία της λύσης που εστιάζει σε πελάτη/ - ες, προϊόν/ - τα και υπηρεσία/ - ες που προσδιορίζεται/ - ονται στις πολιτικές και τις διαδικασίες για την εξ αποστάσεως ταυτοποίηση πελατών.

⁵ EBA/GL/2019/04

Τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να μεριμνούν ώστε να πληρούνται τα κριτήρια της παραγράφου 14 στοιχεία α), δ) και ε) όταν η λύση χρησιμοποιεί κάποιο από τα ακόλουθα μέσα:

• α) συστήματα ηλεκτρονικής ταυτοποίησης που κοινοποιούνται σύμφωνα με το άρθρο 9 του κανονισμού (ΕΕ) αριθ. 910/2014 και πληρούν τις απαιτήσεις επιπέδου διασφάλισης «βασικό» ή «υψηλό» σύμφωνα με το άρθρο 8 του κανονισμού αυτού·
• β) εγκεκριμένες υπηρεσίες εμπιστοσύνης που πληρούν τις απαιτήσεις του κανονισμού (ΕΕ) αριθ. 910/2014, ειδικότερα τις απαιτήσεις του κεφαλαίου ΙΙΙ, τμήμα 3 και του άρθρου 24 παράγραφος 1, εδάφιο 2, στοιχείο β) του εν λόγω κανονισμού.

Τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να είναι σε θέση να αποδείξουν στην οικεία αρμόδια αρχή ποιες αξιολογήσεις διενήργησαν πριν από την εφαρμογή της λύσης εξ αποστάσεως ταυτοποίησης πελατών, το αποτέλεσμα της αξιολόγησής τους και την καταλληλότητα της χρήσης της υπό το πρίσμα των κινδύνων ΞΧ/ΧΤ που προσδιορίστηκαν για τους τύπους πελάτη/ - ών, υπηρεσίας/ - ών, γεωγραφικών περιοχών και προϊόντος/ - ων που εμπίπτουν στο πεδίο εφαρμογής της.

Τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να θέσουν σε εφαρμογή τη λύση εξ αποστάσεως ταυτοποίησης πελατών μόνον αφού θα έχουν βεβαιωθεί ότι μπορεί να ενσωματωθεί στο ευρύτερο σύστημα εσωτερικού ελέγχου του πιστωτικού ιδρύματος και του χρηματοπιστωτικού οργανισμού, ώστε το πιστωτικό ίδρυμα και ο χρηματοπιστωτικός οργανισμός να δύναται να διαχειριστεί επαρκώς τους κινδύνους ΞΧ/ΧΤ που ενδέχεται να προκύψουν από τη χρήση της λύσης εξ αποστάσεως ταυτοποίησης πελατών. 4.1.4 Συνεχής παρακολούθηση της λύσης εξ αποστάσεως ταυτοποίησης πελατών

Τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να παρακολουθούν τη λύση εξ αποστάσεως ταυτοποίησης πελατών σε συνεχή βάση για να διασφαλίζουν ότι η εφαρμογή της συνάδει με τις προσδοκίες των πιστωτικών ιδρυμάτων και των χρηματοπιστωτικών οργανισμών. Θα πρέπει να συμπληρώνουν τις πολιτικές και τις διαδικασίες τους που περιγράφονται στην παράγραφο 9 με περιγραφή που θα αφορά τουλάχιστον τα ακόλουθα σημεία:

• α) τα μέτρα που θα λάβουν για να διασφαλίσουν τη συνεχιζόμενη ποιότητα, την πληρότητα, την ακρίβεια και την επάρκεια των στοιχείων που συλλέγονται στο πλαίσιο της διαδικασίας εξ αποστάσεως ταυτοποίησης πελατών, τα οποία θα πρέπει να είναι ανάλογα των κινδύνων ΞΧ/ΧΤ στους οποίους εκτίθεται το πιστωτικό ίδρυμα και ο χρηματοπιστωτικός οργανισμός·
• β) το πεδίο εφαρμογής και τη συχνότητα αυτών των τακτικών ελέγχων· και
• γ) τις περιστάσεις που οδηγούν σε ad hoc επανεξέταση, μεταξύ των οποίων θα πρέπει να περιλαμβάνονται τουλάχιστον οι εξής:
• α. αλλαγές όσον αφορά την έκθεση του πιστωτικού ιδρύματος και του χρηματοπιστωτικού οργανισμού στον κίνδυνο ΞΧ/ΧΤ·
• β. ελλείψεις που εντοπίστηκαν κατά τη λειτουργία της λύσης στο πλαίσιο της παρακολούθησης, του ελέγχου ή των εποπτικών δραστηριοτήτων·
• γ. εικαζόμενη αύξηση των αποπειρών απάτης·
• δ. μεταβολές στο νομικό ή το κανονιστικό πλαίσιο.

Τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να καθορίζουν στις οικείες διαδικασίες και διεργασίες διορθωτικά μέτρα που λαμβάνονται σε περίπτωση επέλευσης του κινδύνου ή σε περιπτώσεις εντοπισμού σφαλμάτων με αντίκτυπο στην αποδοτικότητα και την αποτελεσματικότητα της γενικής λύσης εξ αποστάσεως ταυτοποίησης πελατών. Μεταξύ των μέτρων αυτών θα πρέπει να περιλαμβάνονται τουλάχιστον:

• α) επανεξέταση όλων των επιχειρηματικών σχέσεων που επηρεάζονται, προκειμένου να αξιολογηθεί κατά πόσον η αρχική ΔΕΠ που εφαρμόστηκε από τα πιστωτικά ιδρύματα και τους χρηματοπιστωτικούς οργανισμούς ήταν επαρκής στο πλαίσιο της συμμόρφωσής τους προς το άρθρο 13 παράγραφος 1 στοιχεία α), β) και γ) της οδηγίας (ΕΕ) 2015/849. Τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να εξετάζουν κατά προτεραιότητα τις επιχειρηματικές σχέσεις που ενέχουν τον υψηλότερο κίνδυνο ΞΧ/ΧΤ·
• β) λαμβανομένων υπόψη των πληροφοριών που συλλέγονται στο πλαίσιο της προαναφερθείσας επανεξέτασης, αξιολόγηση του κατά πόσον οι επιχειρηματικές σχέσεις που επηρεάζονται θα πρέπει:
• α. να υπόκεινται σε πρόσθετα μέτρα δέουσας επιμέλειας·
• β. να υπόκεινται σε περιορισμούς, π.χ. σε όρια ως προς τον όγκο της συναλλαγής, εφόσον επιτρέπονται από το εθνικό δίκαιο, έως ότου διενεργηθεί ή εν λόγω επανεξέταση·
• γ. να τερματίζονται·
• δ. να αναφέρονται στη μονάδα χρηματοοικονομικών πληροφοριών (ΜΧΠ)·
• ε. να αναταξινομούνται σε διαφορετική κατηγορία κινδύνου.

Τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να αναζητούν τον πλέον αποτελεσματικό τρόπο διαρκούς παρακολούθησης της επάρκειας και αξιοπιστίας των λύσεων εξ αποστάσεως ταυτοποίησης πελατών. Θα πρέπει να εξετάζουν ένα ή περισσότερα από τα, ενδεικτικώς αναφερόμενα, παρακάτω μέσα:

• i. δοκιμές διασφάλισης ποιότητας·
• ii. αυτόματες κρίσιμες προειδοποιήσεις και κοινοποιήσεις
• iii. τακτικές αυτόματες εκθέσεις για θέματα ποιότητας·
• iv. δειγματοληπτικές δοκιμές·
• v. μη αυτόματες επανεξετάσεις.

Η ενότητα αυτή εφαρμόζεται επίσης όταν χρησιμοποιούνται πλήρως αυτόματες λύσεις εξ αποστάσεως ταυτοποίησης πελατών οι οποίες εξαρτώνται σε πολύ σημαντικό βαθμό από αυτόματους αλγόριθμους, χωρίς ή με ελάχιστη ανθρώπινη παρέμβαση.

Τα πιστωτικά ιδρύματα και οι χρηματοπιστωτικοί οργανισμοί θα πρέπει να είναι σε θέση να αποδείξουν στην οικεία αρμόδια αρχή ποιες επανεξετάσεις διενήργησαν και ποια διορθωτικά μέτρα εφάρμοσαν για να θεραπεύσουν τυχόν ελλείψεις που εντοπίστηκαν καθ’ όλη τη διάρκεια ζωής της λύσης της εξ αποστάσεως ταυτοποίησης πελατών.