4.1 Políticas y procedimientos internos

Las entidades de crédito y financieras deberán establecer y mantener políticas y procedimientos para cumplir sus obligaciones en virtud del artículo 13, apartado 1, letras a) y c), de la Directiva (UE) 2015/849 en situaciones en las que el cliente sea dado de alta a distancia. Dichas políticas y procedimientos deberán basarse en el riesgo y establecer al menos:

• a) una descripción general de la solución que las entidades de crédito y financieras han puesto en marcha para recopilar, verificar y conservar la información durante el proceso de alta de clientes a distancia. Deberá incluir una explicación de las características y el funcionamiento de la solución;
• b) las situaciones en las que puede utilizarse la solución de alta de clientes a distancia, teniendo en cuenta los factores de riesgo identificados y evaluados de conformidad con el artículo 8, apartado 1, de la Directiva (UE) 2015/849 y en la evaluación del riesgo de toda la actividad de negocio, incluida una descripción de las categorías de clientes, productos y servicios que pueden optar al alta a distancia;
• c) qué pasos están totalmente automatizados y cuáles requieren la intervención humana;
• d) los controles implementados para garantizar que la primera transacción con un nuevo cliente se ejecute solo una vez que se hayan aplicado todas las medidas iniciales de diligencia debida con respecto al cliente (DDC);
• e) una descripción de los programas de introducción y formación periódica para garantizar que el personal tiene un conocimiento actualizado del funcionamiento de la solución de alta de clientes a distancia, de los riesgos asociados y de las políticas y procedimientos de alta de clientes a distancia destinados a mitigar dichos riesgos.

Cuando se apliquen, las políticas y los procedimientos deberán permitir a las entidades de crédito y financieras garantizar el cumplimiento de las disposiciones de las secciones 4.2 a 4.7 de estas directrices.

4.1.2 Gobernanza

Además de las disposiciones establecidas en la sección 4.2.4 de las Directrices de la ABE para el responsable del cumplimiento de la PBC/FT³ , el responsable del cumplimiento de PBC/FT⁴ se asegurará, como parte de su deber general de preparar políticas y procedimientos para cumplir los requisitos de la DDC, de que las políticas y procedimientos de alta de clientes a distancia se implementen de manera efectiva, se revisen periódicamente y se modifiquen cuando sea necesario.

³ Proyecto de directrices sobre políticas y procedimientos en relación con la gestión del cumplimiento y sobre el papel y las responsabilidades del responsable de cumplimiento de la PBC/FT con arreglo al artículo 8 y al capítulo VI de la Directiva.

⁴ De conformidad con los criterios de proporcionalidad establecidos en la sección 4.2.2 de las Directrices para el responsable de cumplimiento de la PBC/FT.

El órgano de administración de la entidad de crédito y financiera deberá aprobar las políticas y procedimientos de alta de clientes a distancia y supervisar su correcta implementación.

4.1.3 La evaluación previa a la implementación de la solución de alta de clientes a distancia

Cuando se valore la adopción de una nueva solución de alta de clientes a distancia, las entidades de crédito y financieras realizarán una evaluación previa a la implementación de dicha solución.

Las entidades de crédito y financieras establecerán el alcance, los pasos y los requisitos de conservación de la información de la evaluación previa en sus políticas y procedimientos, que incluirán al menos:

• a) una evaluación de la idoneidad de la solución en lo que respecta a la integridad y exactitud de los datos y los documentos que se incluyan, así como de la fiabilidad e independencia de las fuentes de información utilizadas;
• b) una evaluación del impacto del uso de la solución de alta de clientes a distancia en los riesgos de toda la actividad de negocio, incluidos los riesgos de BC/FT, operacional, reputacional y legal;
• c) la identificación de posibles medidas de mitigación y acciones de remediación para cada riesgo identificado en la evaluación con arreglo a la letra b);
• d) pruebas para evaluar los riesgos de fraude, incluidos los riesgos de fraude basado en la suplantación de identidad y otros riesgos de tecnologías de la información y de las comunicaciones («TIC») y de seguridad, de conformidad con la disposición 43 de las Directrices de la ABE sobre gestión de riesgos de TIC y de seguridad⁵ ;
• e) una prueba de extremo a extremo del funcionamiento de la solución dirigida a los clientes, productos y servicios identificados en las políticas y procedimientos de alta de clientes a distancia.

⁵ EBA/GL/2019/04.

Las entidades de crédito y financieras considerarán que se cumplen los criterios del apartado 14, letras a), d) y e), cuando la solución utilice uno de los siguientes elementos:

• a) sistemas de identificación electrónica notificados de conformidad con el artículo 9 del Reglamento (UE) n.º 910/2014 y que cumplan los requisitos de los niveles de seguridad «sustancial» o «alto» de conformidad con el artículo 8 de dicho Reglamento;
• b) servicios de confianza cualificados pertinentes que cumplan los requisitos del Reglamento (UE) n.º 910/2014, en particular la sección 3 del capítulo III y el artículo 24, apartado 1, párrafo 2, letra b), de dicho Reglamento.

Las entidades de crédito y financieras deberán ser capaces de demostrar a su autoridad competente qué evaluaciones realizaron antes de la implementación de la solución de alta de clientes a distancia, el resultado de su evaluación y por qué es apropiado su uso a la luz de los riesgos de BC/FT identificados para los tipos de clientes, servicios, territorios y productos en su ámbito de aplicación.

Las entidades de crédito y financieras solo deberán empezar a utilizar una solución de alta de clientes a distancia cuando consideren que puede integrarse en el sistema de control interno general de la entidad, permitiendo así que la misma gestione adecuadamente los riesgos de BC/FT que puedan derivarse del uso de la solución de alta de clientes a distancia.

4.1.4 Supervisión continua de la solución de alta de clientes a distancia

Las entidades de crédito y financieras supervisarán la solución de alta de clientes a distancia de un modo continuo para garantizar que funciona de acuerdo con sus expectativas. Deberán complementar las políticas y procedimientos descritos en el apartado 9 con una descripción de al menos:

• a) los pasos que darán para quedar satisfechas con la calidad, integridad, exactitud e idoneidad actualizadas de los datos recogidos durante el proceso de alta de clientes a distancia, que deberán ser acordes con los riesgos de BC/FT a los que están expuestas las entidades de crédito y financieras;
• b) el alcance y la frecuencia de tales revisiones periódicas; y
• c) las circunstancias que darán lugar a revisiones ad hoc que deberán incluir al menos:
• a. cambios en la exposición al riesgo de BC/FT de la entidad de crédito y financiera;
• b. deficiencias en el funcionamiento de la solución detectadas durante las actividades de control, auditoría o supervisión;
• c. la observación de un aumento de los intentos de fraude;
• d. cambios en el marco legal o normativo.

Las entidades de crédito y financieras incluirán en sus procedimientos y procesos las medidas de remediación cuando se haya materializado un riesgo o se hayan identificado errores que afecten a la eficiencia y eficacia de la solución general de alta de clientes a distancia. Estas medidas incluirán al menos:

• a) una revisión de todas las relaciones de negocios afectadas, para evaluar si la DDC inicial aplicada por las entidades de crédito o financieras ha sido suficiente para cumplir con el artículo 13, apartados 1 a), b) y c), de la Directiva (UE) 2015/849. Las entidades de crédito y financieras priorizarán las relaciones de negocios que conlleven el mayor riesgo de BC/FT;
• b) teniendo en cuenta la información obtenida en la revisión antes mencionada, una evaluación de si una relación de negocios que se ve afectada deberá:
• a. someterse a medidas adicionales de diligencia debida;
• b. someterse a limitaciones, como límites al volumen de operaciones, cuando lo permita la legislación nacional, hasta el momento en que se haya producido una revisión;
• c. resolverse;
• d. comunicarse a la UIF;
• e. reclasificarse en una categoría de riesgo diferente.

Las entidades de crédito y financieras considerarán la forma más eficaz de supervisar de un modo continuo la adecuación y la fiabilidad de las soluciones de alta de clientes a distancia. Deberán considerar uno o más de los siguientes medios, entre otros:

• i. pruebas de garantía de calidad;
• ii. alertas y notificaciones críticas automatizadas;
• iii. informes periódicos automatizados de calidad;
• iv. análisis de muestras;
• v. revisiones de manuales.

Esta sección también se aplica cuando se utilizan soluciones de alta de clientes a distancia totalmente automatizadas que dependen en gran medida de algoritmos automatizados, con escasa o nula intervención humana.

Las entidades de crédito y financieras deberán ser capaces de demostrar a su autoridad competente qué revisiones han realizado y las medidas de remediación que han adoptado para subsanar las deficiencias detectadas durante la vida útil de la solución de alta de clientes a distancia.