4.1 Sisäiset toimintalinjat ja menettelyt

Luotto- ja finanssilaitosten olisi otettava käyttöön ja ylläpidettävä toimintaperiaatteita ja menettelyjä direktiivin (EU) 2015/849 13 artiklan 1 kohdan a ja c alakohdan mukaisten velvoitteidensa noudattamiseksi tilanteissa, joissa asiakassuhde perustetaan etätunnistamisen avulla. Näissä toimintaperiaatteissa ja menettelyissä olisi otettava huomioon riskit, ja niissä olisi esitettävä vähintään seuraavat seikat:

• a) yleinen kuvaus ratkaisusta, jonka luotto- ja finanssilaitokset ovat ottaneet käyttöön tietojen keräämiseksi, todentamiseksi ja tallentamiseksi etätunnistamisella toteutettavan asiakassuhteen koko perustamisprosessin ajan. Tähän olisi sisällyttävä selvitys ratkaisun ominaisuuksista ja toiminnasta
• b) tilanteet, joissa etätunnistamista voidaan käyttää asiakassuhteen perustamisessa, ottaen huomioon direktiivin (EU) 2015/849 8 artiklan 1 kohdan mukaisesti tunnistetut ja arvioidut sekä liiketoiminnan laajuisessa riskinarvioinnissa todetut riskitekijät, mukaan lukien kuvaus asiakas-, tuote- ja palveluryhmästä, johon voidaan soveltaa etätunnistamista
• c) mitkä vaiheet ovat täysin automaattisia ja mitkä toimet edellyttävät ihmisen toimia
• d) käytössä olevat valvontatoimet, joilla varmistetaan, että ensimmäinen liiketapahtuma uuden asiakkaan kanssa toteutetaan vasta sen jälkeen, kun kaikki ensimmäisen vaiheen asiakkaan tuntemisvelvollisuutta koskevat toimenpiteet on toteutettu
• e) kuvaus perehdytyksestä ja säännöllisistä koulutusohjelmista, joilla varmistetaan henkilöstön tietoisuus ja ajan tasalla oleva tietämys asiakassuhteen perustamisessa käytettävän etätunnistamisratkaisun toiminnasta, siihen liittyvistä riskeistä sekä etätunnistamisella toteutettavaa asiakassuhteen perustamista koskevista toimintaperiaatteista ja menettelyistä, joilla pyritään lieventämään tällaisia riskejä.

Kun toimintaperiaatteet ja menettelyt pannaan täytäntöön, niiden olisi mahdollistettava se, että luotto- ja finanssilaitokset voivat varmistaa näiden ohjeiden 4.2–4.7 jakson säännösten noudattamisen.

4.1.2 Hallinto

Sen lisäksi, mitä rahanpesun ja terrorismin rahoituksen torjuntaa koskevien vaatimusten noudattamista valvovan toimihenkilön tehtävästä annettujen EPV:n ohjeiden³ 4.2.4 kohdassa säädetään, rahanpesun ja terrorismin rahoituksen torjunnasta vastaavan toimihenkilön⁴ olisi osana yleistä velvollisuuttaan laatia toimintaperiaatteet ja menettelyt asiakkaan tuntemisvelvollisuutta koskevien vaatimusten noudattamiseksi varmistettava, että etätunnistamisella toteutettavaa asiakassuhteen perustamista koskevat toimintaperiaatteet ja menettelyt pannaan tehokkaasti täytäntöön, niitä tarkistetaan säännöllisesti ja niitä muutetaan tarvittaessa.

³ Luonnos ohjeiksi direktiivin (EU) 2015/849 8 artiklan ja VI luvun mukaisista vaatimustenmukaisuuden hallintaan liittyvistä toimintaperiaatteista ja menettelytavoista sekä rahanpesun ja terrorismin rahoituksen torjuntaa koskevien vaatimusten noudattamista valvovan toimihenkilön tehtävästä ja vastuista

⁴ Rahanpesun ja terrorismin rahoituksen torjuntaa koskevien vaatimusten noudattamista valvovan toimihenkilön tehtäviä koskevien ohjeiden kohdassa 4.2.2 esitettyjen suhteellisuuskriteerien mukaisesti.

Luotto- ja finanssilaitoksen ylimmän hallintoelimen tulee hyväksyä etätunnistamisella toteutettavaa asiakassuhteen perustamista koskevat periaatteet ja menettelyt ja valvoa niiden asianmukaista täytäntöönpanoa.

4.1.3 Asiakassuhteen perustamisessa käytettävän etätunnistamisratkaisun käyttöönottoa edeltävä arviointi

Harkitessaan asiakassuhteen perustamisessa käytettävän uuden etätunnistamisratkaisun käyttöönottoa luotto- ja finanssilaitosten tulisi tehdä siitä ennakkoarviointi.

Luotto- ja finanssilaitosten tulisi esittää toimintaperiaatteissaan ja menettelyissään käyttöönottoa edeltävän arvioinnin soveltamisala, vaiheet ja kirjaamisvaatimukset, joihin olisi sisällyttävä ainakin seuraavat:

• a) arvio ratkaisun riittävyydestä kerättävien tietojen ja asiakirjojen täydellisyyden ja oikeellisuuden osalta sekä sen käyttämien tietolähteiden luotettavuudesta ja riippumattomuudesta
• b) arvio asiakassuhteen perustamisessa käytettävän etätunnistamisratkaisun vaikutuksista yhtiön liiketoiminnan laajuisiin riskeihin, mukaan lukien rahanpesun ja terrorismin rahoituksen riskit sekä operatiiviset, maineeseen liittyvät ja oikeudelliset riskit
• c) mahdollisten lieventävien ja korjaavien toimenpiteiden yksilöinti kunkin b alakohdan mukaisessa arvioinnissa yksilöidyn riskin osalta
• d) testit, joilla arvioidaan petosriskit, mukaan lukien toisena henkilönä esiintymällä tehdyn petoksen riskit, sekä muut tieto- ja viestintätekniikkaan liittyvät riskit ja turvallisuusriskit EPV:n tieto- ja viestintätekniikan ja turvallisuusriskien hallintaa koskevien ohjeiden⁵ 43 kohdan mukaisesti
• e) ratkaisun toiminnan kokonaisvaltainen testaus, joka kohdistetaan etätunnistamisella toteutettavaan asiakassuhteen perustamiseen sovellettavissa periaatteissa ja menettelyissä yksilöityihin asiakkaisiin, tuotteisiin ja palveluihin.

⁵ EBA/GL/2019/04

Luotto- ja finanssilaitosten on katsottava, että 14 kohdan a, d ja e alakohdan kriteerit täyttyvät, jos ratkaisussa käytetään jotakin seuraavista:

• a) sähköisen tunnistamisen järjestelmät, joista on ilmoitettu asetuksen (EU) N:o 910/2014 9 artiklan mukaisesti ja jotka täyttävät mainitun asetuksen 8 artiklan mukaiset korotetun tai korkean varmuustason kriteerit
• b) asiaankuuluvat hyväksytyt luottamuspalvelut, jotka täyttävät asetuksen (EU) N:o 910/2014 ja erityisesti sen III luvun 3 jakson ja 24 artiklan 1 kohdan toisen kappaleen b alakohdan vaatimukset.

Luotto- ja finanssilaitosten tulisi voida osoittaa toimivaltaiselle viranomaiselleen, mitkä arvioinnit ne suorittivat ennen asiakassuhteen perustamisessa käytettävän etätunnistamisratkaisun käyttöönottoa, arvioinnin tulokset ja miten sen käyttö on asianmukaista ottaen huomioon rahanpesuun ja terrorismin rahoitukseen liittyvät riskit, jotka on yksilöity sen soveltamisalaan kuuluville asiakastyypeille, palveluille, maantieteellisille alueille ja tuotteille.

Luotto- ja finanssilaitosten tulisi ryhtyä käyttämään etätunnistamista asiakassuhteen perustamisessa vasta sitten, kun ne ovat vakuuttuneita siitä, että se voidaan integroida laitoksen laajempaan sisäisen valvonnan järjestelmään, jolloin laitos voi hallita asianmukaisesti rahanpesun ja terrorismin rahoituksen riskejä, joita saattaa aiheutua asiakassuhteen perustamiseen sovellettavan etätunnistamisratkaisun käytöstä.

4.1.4 Asiakassuhteen perustamisessa käytettävän etätunnistamisratkaisun jatkuva seuranta

Luotto- ja finanssilaitosten olisi seurattava jatkuvasti asiakassuhteen perustamisessa käytettävää etätunnistamisratkaisua varmistaakseen, että se toimii luotto- ja finanssilaitosten odotusten mukaisesti. Niiden olisi täydennettävä 9 kohdassa kuvattuja toimintaperiaatteitaan ja menettelyjään kuvauksella vähintään seuraavista:

• a) toimet, joita ne toteuttavat varmistuakseen, että etätunnistamisella toteutettavan asiakassuhteen perustamisprosessin aikana kerätyt tiedot ovat jatkuvasti laadukkaita, täydellisiä, tarkkoja ja riittäviä, ja että ne ovat oikeassa suhteessa rahanpesun ja terrorismin rahoituksen riskeihin, joille luotto- ja finanssilaitos altistuu
• b) tällaisten säännöllisten tarkastelujen laajuus ja tiheys sekä
• c) olosuhteet, jotka käynnistävät tapauskohtaiset tarkastelut, joihin olisi sisällyttävä ainakin seuraavat:
• a. luotto- ja finanssilaitoksen rahanpesun ja terrorismin rahoituksen riskin muutokset
• b. seuranta-, tarkastus- tai valvontatoimien aikana havaitut puutteet ratkaisun toimivuudessa
• c. petosyritysten havaittu lisääntyminen
• d. oikeudellisen kehyksen tai sääntelykehyksen muutokset.

Luotto- ja finanssilaitosten tulisi toteuttaa menettelyissään ja prosesseissaan korjaavia toimenpiteitä, jos riski on toteutunut tai jos on havaittu virheitä, jotka vaikuttavat asiakassuhteen perustamisessa käytettävän yleisen etätunnistamisratkaisun tehokkuuteen ja vaikuttavuuteen. Näiden toimenpiteiden tulisi sisältää vähintään

• a) kaikkien asianomaisten liikesuhteiden tarkastelu sen arvioimiseksi, ovatko luotto- ja finanssilaitokset soveltaneet riittävästi asiakkaan tuntemisvelvollisuutta rahanpesun torjunnasta annetun direktiivin 13 artiklan 1 kohdan a, b ja c alakohdan noudattamiseksi. Luotto- ja finanssilaitosten tulisi tarkastelussa asettaa etusijalle liikesuhteet, joihin liittyy suurin rahanpesun ja terrorismin rahoituksen riski
• b) ottaen huomioon edellä mainitun tarkastelun yhteydessä saadut tiedot tulisi arvioida liikesuhteita, joihin vaikutukset kohdistuvat, seuraavasti:
• a. onko niihin sovellettava muita asiakkaan tuntemisvelvoitteen mukaisia toimenpiteitä
• b. onko niihin sovellettava rajoituksia, esimerkiksi rajattava transaktioiden suuruutta, jos tämä sallitaan kansallisessa lainsäädännössä, kunnes uudelleentarkastelu on suoritettu
• c. onko ne päätettävä
• d. onko niistä ilmoitettava rahanpesun selvittelykeskukselle
• e. onko ne luokiteltava uudelleen eri riskiluokkaan.

Luotto- ja finanssilaitosten olisi pohdittava tehokkainta tapaa seurata asiakassuhteen perustamisessa käytettävien etätunnistamisratkaisujen jatkuvaa riittävyyttä ja luotettavuutta. Niiden olisi harkittava muiden ohella yhtä tai useampaa seuraavista keinoista:

• i. laadunvarmistuksen testaus
• ii. automaattiset kriittiset hälytykset ja ilmoitukset
• iii. säännölliset automatisoidut laaturaportit
• iv. pistokokeet
• v. manuaaliset tarkastelut.

Tätä jaksoa sovelletaan myös silloin, kun asiakassuhteen perustamisessa käytetään täysin automatisoituja etätunnistamisratkaisuja, jotka ovat erittäin riippuvaisia automatisoiduista algoritmeista ja joihin sisältyy vain vähän tai ei lainkaan inhimillistä harkintaa.

Luotto- ja finanssilaitosten olisi voitava osoittaa toimivaltaiselle viranomaiselleen, millaisia tarkastuksia ne ovat tehneet ja millaisia korjaavia toimenpiteitä ne ovat toteuttaneet korjatakseen mahdolliset puutteet, joita on havaittu asiakassuhteen perustamisessa käytettävän etätunnistamisratkaisun elinkaaren aikana.