4. Muutokset

(i) Muutos ohjeiden otsikkoon

(ii) Muutokset jaksoon ”Sisältö, soveltamisala ja määritelmät”

(iii) Muutokset ohjeeseen 1: Riskiarviot: kaikkia yrityksiä koskevat keskeiset periaatteet

(iv) Muutokset ohjeeseen 2: Rahanpesun ja terrorismin rahoituksen riskitekijöiden tunnistaminen

(v) Muutokset ohjeeseen 4: Asiakkaan tuntemisvelvollisuutta koskevat toimenpiteet, joita kaikkien yritysten on sovellettava

(vi) Muutokset ohjeeseen 6: Koulutus

(vii) Muutokset ohjeeseen 8: Kirjeenvaihtajasuhteita koskeva alakohtainen ohje

(viii) Muutokset ohjeeseen 9: Alakohtainen ohje vähittäispankeille

(ix) Muutokset ohjeeseen 10: Alakohtaiset ohjeet sähköisen rahan liikkeeseenlaskijoille

(x) Muutokset ohjeeseen 15: Alakohtainen ohje sijoituspalveluyrityksille

(xi) Muutokset ohjeeseen 17: Alakohtainen ohje säännellyille joukkorahoitusalustoille

21.1. CASPien olisi otettava huomioon, että ne ovat alttiita rahanpesun ja terrorismin rahoituksen riskeille, jotka johtuvat niiden liiketoimintamallin erityisominaisuuksista ja niiden liiketoiminnassa käytettävästä teknologiasta, jonka avulla ne voivat siirtää kryptovaroja välittömästi kaikkialla maailmassa ja perustaa asiakassuhteita eri lainkäyttöalueilla. Riski kasvaa entisestään, kun ne käsittelevät tai edistävät liiketoimia tai tarjoavat tuotteita tai palveluja, jotka tarjoavat enemmän anonymiteettiä.

21.2. Tarjotessaan kryptovarapalveluja CASPien olisi noudatettava I osaston säännöksiä sekä II osaston alakohtaisia säännöksiä, siltä osin kuin niillä on merkitystä CASPin tuotetarjonnan kannalta.

Tuotteeseen, palveluihin ja liiketoimeen kytkeytyvät riskitekijät

21.3. Seuraavat tekijät voivat osaltaan lisätä riskiä :

• a) CASPin tarjoamat tuotteet tai palvelut tarjoavat korkeamman anonymiteetin
• b) tuote sallii kolmansilta osapuolilta saatavat maksut, joita ei ole liitetty tuotteeseen eikä tunnistettu ja todennettu etukäteen, kun tällaisilla maksuilla ei ole ilmeisiä taloudellisia perusteita
• c) tuote ei aseta etukäteen rajoituksia liiketoimien kokonaisvolyymille tai arvolle
• d) tuote mahdollistaa liiketoimet asiakkaan tilin ja
• i. isännöimättömän osoitteen välillä
• ii. sellaisten kryptovaratilien tai hajautetun tilikirjan osoitteiden välillä, joita hallinnoi ohjeessa 9.20 määritelty kryptovarapalvelujen tarjoaja tai johon sovelletaan rahanpesun ja terrorismin rahoituksen torjuntaa koskevaa sääntely- ja valvontajärjestelmää, joka on heikompi kuin direktiivissä (EU) 2015/849 säädetty järjestelmä
• iii. kryptovarojen vertaismarkkinapaikan tai muunlaisen hajautetun kryptovarasovelluksen välillä, jota ei valvo tai johon ei vaikuta oikeushenkilö tai luonnollinen henkilö (käytetään usein termiä ’hajautettu rahoitus’ (DeFi))
• iv. sellaisten alustojen välillä, joilla pyritään hämärtämään transaktioita ja edistämään anonymiteettiä, kuten mikseri- tai sekoittaja-alustat
• v. sellaisen laitteiston välillä, jota käytetään kryptovarojen vaihtamiseen viralliseksi valuutaksi tai päinvastoin (kuten kryptoautomaatti), johon liittyy käteisen tai sähköisen rahan käyttö, johon sovelletaan direktiivin (EU) 2015/849 12 artiklan mukaisia poikkeuksia tai joka ei kuulu EU:n sääntely- ja valvontajärjestelmän piiriin.

jakelukanavat, ja sellaisten teknologioiden käyttö, joiden osalta CASP ei voi luotettavasti arvioida rahanpesun ja terrorismin rahoituksen riskin tasoa ohjeen 1.7

• d) alakohdan mukaisesti tiedonpuutteen vuoksi
• f) kun laajamittaisen kryptovarapalvelun CASPilla on heikko määräysvalta toisen CASPin tarjoamaan sisäkkäiseen palveluun
• g) edistyneiden analyysityökalujen avulla tehdyn analyysin tulokset osoittavat, että riskitaso on kohonnut.

21.4. Seuraavat tekijät voivat osaltaan vähentää riskiä :

• a) tuotteet, joiden toiminnallisuudet ovat suppeat, kuten alhaiset transaktiomäärät tai arvot
• b) tuote mahdollistaa liiketoimet asiakkaan tilin ja
• i. sellaisten kryptovaratilien tai hajautetun tilikirjan osoitteiden välillä, jotka ovat CASPin hallussa asiakkaan nimissä
• ii. sellaisen asiakkaan nimissä olevan kryptovaratilin tai hajautetun tilikirjan osoitteen välillä, joka on muun kryptovarapalvelujen tarjoajan kuin asetuksen (EU) 2023/1114⁶ nojalla säännellyn CASPin hallussa ja jota säännellään EU:n ulkopuolella sääntelykehyksellä, joka on yhtä vankka kuin asetuksessa (EU) 2023/1114 säädetty ja johon sovelletaan yhtä vankkaa rahanpesun ja terrorismin rahoituksen torjuntaa koskevaa sääntely- ja valvontakehystä kuin direktiivissä (EU) 2015/849
• iii. sellaisen asiakkaan nimissä olevan pankkitilin välillä luottolaitoksessa, johon sovelletaan direktiivissä (EU) 2015/849 säädettyä rahanpesun ja terrorismin rahoituksen vastaisen toiminnan sääntely- ja valvontakehystä tai muuta EU:n ulkopuolista lainsäädäntökehystä, joka on yhtä vankka kuin direktiivissä (EU) 2015/849 säädetty, tai
• c) CASPin käyttämien maksukanavien tai -järjestelmien luonne ja laajuus on rajattu suljettuihin järjestelmiin tai järjestelmiin, joiden tarkoituksena on helpottaa mikromaksuja tai julkishallinnon ja yksityishenkilöiden välisiä maksuja.
• d) tuote on saatavilla vain rajatulle ja määritellylle asiakasryhmälle, kuten kryptovaroja liikkeeseen laskeneen yrityksen työntekijöille

Asiakkaaseen kytkeytyvät riskitekijät

21.5. Seuraavat tekijät voivat osaltaan lisätä riskiä :

• a) erityisesti asiakkaan luonteen osalta:
• i. voittoa tavoittelematon järjestö, joka on luotettavien ja riippumattomien lähteiden perusteella liitetty ääriliikkeisiin, ääriliikkeiden propagandaan tai terrorismin hyväksyntään ja terroritoimiin tai joka on osallistunut väärinkäytöksiin tai rikolliseen toimintaan, mukaan lukien rahanpesuun ja terrorismin rahoitukseen tai korruptioon liittyviin tapauksiin
• ii. yritys, joka on direktiivin (EU) 2015/849 3 artiklan 17 alakohdassa määritelty pöytälaatikkopankki tai muun tyyppinen pöytälaatikkoyhtiö
• iii. yritys, joka on perustettu hiljattain ja joka käsittelee suuria määriä liiketoimia
• iv. laillisesti rekisteröity yritys, joka käsittelee suuria määriä liiketoimia oltuaan jonkin aikaa poissa toiminnasta perustamisensa jälkeen
• v. yritys, joka on liikesuhteessa direktiivin (EU) 2015/849 3 artiklan 15 kohdassa määriteltyyn konserniin kuuluvan toisen yrityksen kanssa, joka tarjoaa kryptovaroihin liittyviä tuotteita ja palveluja
• vi. yritys tai henkilö, joka käyttää sellaista pimeään verkkoon liittyvää IP-osoitetta tai ohjelmistoa, joka mahdollistaa anonyymin viestinnän, mukaan lukien salatut sähköpostit, anonyymit tai väliaikaiset sähköpostipalvelut ja VPN-palvelut
• vii. haavoittuvassa asemassa oleva henkilö, joka tarkoittaa henkilöä, joka ei ole CASPin tyypillinen asiakas, tai henkilö, jolla on hyvin vähän tietoa ja ymmärrystä kryptovaroista tai niihin liittyvästä teknologiasta, mikä voidaan todeta soveltuvuus-/tietämystestin tuloksista tai muusta yhteydenpidosta asiakkaan kanssa, ja joka kuitenkin päättää tehdä usein toistuvia tai arvoltaan suuria liiketoimia, voi lisätä riskiä siitä, että asiakasta käytetään rahamuulina.
• b) Mitä tulee asiakkaan käyttäytymiseen, tilanteet, joissa asiakas:
• i. yrittää avata useita kryptovaratilejä CASPin kanssa ilman ilmeisiä taloudellisia perusteita tai liiketoimintatarkoitusta.
• ii. tai asiakkaan tosiasiallinen omistaja ja edunsaaja ei CASPin pyynnöstä ilman perusteltua syytä voi tai halua toimittaa tarvittavia asiakkaan tuntemisvelvollisuutta koskevia tietoja:

• iii. käyttää IP-osoitetta tai mobiililaitetta, joka liittyy useisiin asiakkaisiin ilman ilmeistä taloudellista syytä tai jonka tiedetään liittyvän mahdollisesti laittomaan tai rikolliseen toimintaan; tai asiakkaan kryptovaratiliä käytetään useista IP-osoitteista ilman selvää yhteyttä asiakkaaseen.
• iv. toimittaa tietoja, jotka ovat epäjohdonmukaisia, myös silloin, kun asiakkaan IP-osoite on ristiriidassa muiden asiakasta koskevien tietojen kanssa, kuten tietojen, jotka on toimitettava siirron mukana asetuksen (EU) 2023/1113 14 artiklan 1 ja 2 kohdan mukaisesti tai ristiriidassa asiakkaan tavanomaisen asuinpaikan, rekisteröinnin tai liiketoiminnan kanssa (sekä liikesuhteen alkaessa että liiketoimen aikana), ja varojen lähteitä tai kryptovarojen lähdettä koskevat tiedot ovat ristiriidassa muiden asiakkaan tunnistamistietojen tai asiakkaan kokonaisprofiilin kanssa.
• v. käyttää osoitetta, sijaintia tai IP-osoitetta, joka liittyy eri käyttäjille rekisteröityihin kryptovaratileihin, joita ylläpitää yksi tai useampi CASP.
• vi. muuttaa usein henkilötietojaan tai maksuvälineitään ilman ilmeistä syytä.
• vii. vastaanottaa tai siirtää usein isännöimättömistä osoitteista kryptovaroja niin, että summa jää hieman alle asetuksen (EU) 2023/1113 14 artiklan 5 kohdassa ja 16 artiklan 2 kohdassa määritellyn 1000 euron kynnysarvon, joka käynnistää siirronsaajan tai siirron toimeksiantajan todentamisen.
• viii. osoittaa, että tarkoituksena on sijoittaa tokenien listautumisantiin tai kryptovaroihin tai tuotteeseen, joka tarjoaa suhteettoman suuren tuoton ja jonka kotipaikka on korkean riskin lainkäyttöalueella tai johon liittyy runsaasti petoksiin liittyviä viitteitä tai jonka tueksi ei ole laadittu asetuksen (EU) 2023/1114⁷ edellyttämää kryptovaran kuvausta.
• ix. osoittaa käytöstä tai liiketoimitapoja, jotka eivät vastaa sen tyyppiseltä asiakkaalta tai riskiluokalta, johon se kuuluu, odotettuja ominaisuuksia tai jotka ovat odottamattomia niiden tietojen perusteella, jotka asiakas on antanut CASPille joko liikesuhteen alussa tai koko sen ajan. Tällaisia olosuhteita ovat esimerkiksi:
• a) asiakas lisää odottamattomasti ja ilman ilmeistä syytä merkittävästi

• b) liiketoimet, joissa kryptovaroja käytetään epätavallisen usein ja suuria

• c) liiketoimien rajan korottaminen niin suureksi, että se ei ole oikeassa

• x. asiakas osoittaa käyttäytymistä ja tapoja, jotka ovat epätavallisia, koska niihin liittyy selittämättömiä siirtoja hajautetun tilikirjan osoitteisiin tai - osoitteista tai kryptovaratileille tai -tileiltä useilla lainkäyttöalueilla ilman ilmeistä liiketoiminnallista tai laillista tarkoitusta.
• xi. vaihtaessaan kryptovaroja virallisiin valuuttoihin ja päinvastoin asiakas:
• a) käyttää useita pankki- tai maksutilejä, luottokortteja tai prepaid-kortteja

• b) käyttää pankki- tai maksutiliä tai luottokorttia eri henkilön kuin asiakkaan

• c) käyttää sellaisella lainkäyttöalueella sijaitsevaa pankki- tai maksutiliä,

• d) käyttää useita maksupalvelujen tarjoajia
• e) pyytää toistuvasti kryptovarojen vaihtamista käteisrahaan tai anonyymiin

• g) käyttää kryptoautomaatteja eri paikoissa varojen siirtämiseksi toistuvasti

• h) nostaa kryptovaroja CASPilta isännöimättömään osoitteeseen

• xii. sijoittaa tai vaihtaa kryptovaroja, jotka se on lainannut vertaislainausalustan tai muun lainausalustan kautta, joka ei kuulu asetuksen (EU) 2023/1114 soveltamisalaan eikä minkään muun asiaankuuluvan sääntelykehyksen piiriin EU:ssa tai sen ulkopuolella, ja joka on erityisesti hajautettu sovellus, joka ei ole oikeushenkilön tai luonnollisen henkilön määräysvallassa tai hallinnassa.
• xiii. vastaanottaa tai lähettää suoraan tai välillisesti pimeään verkkoon liittyviä tai laittomasta toiminnasta peräisin olevia kryptovaroja.
• xiv. sijoittaa tai vaihtaa kryptovaroja, jotka itsessään tarjoavat korkeamman anonymiteetin tai asiakas vastaanottaa kryptovaroja, joihin on kohdistettu anonymiteettiä lisääviä toimia, erityisesti prosesseja, jotka obfuskoivat liiketoimen hajautetun tilikirjan tekniikassa tai sisältävät muita samankaltaisia ominaisuuksia kuin ohjeen 21.5 a) alakohdassa luetellut.
• xv. toistuvasti vastaanottaa kryptovaroja seuraavilta kryptovaratileiltä tai lähettää kryptovaroja seuraaville kryptovaratileille:
• a) kryptovaratili sellaisen välittäjänä toimivan kryptovarapalvelujen

• b) useat isännöimättömät osoitteet tai useat kryptovaratilit saman tai eri

• c) äskettäin luotu tai aiemmin toimimaton kryptovaratili tai kolmannen

• d) isännöimättömät osoitteet hajautetuilla alustoilla, joissa käytetään

• e) kryptovaratili pian sen jälkeen, kun CASP on perustanut tiliin liittyvän

• g) kryptovaratili jakamalla liiketoimet useisiin liiketoimiin, jotka lähetetään

• xvi. asiakas näyttää hyödyntävän teknisiä häiriöitä tai vikoja omaksi edukseen.
• xvii. asiakas selittää, että CASPille siirretyt kryptovarat on saatu louhinta- tai steikkauspalkkioilla, mutta nämä palkkiot eivät näytä olevan oikeassa suhteessa tällaisella toiminnalla tuotettuihin kryptovaroihin.

21.6. Seuraavat tekijät voivat osaltaan vähentää riskiä :

• a) asiakas on noudattanut asetuksessa (EU) N:o 2023/1113 säädettyjä ja EPV:n

tiedonantovaatimuksia aiempien kryptovaroihin liittyvien liiketoimien aikana ja on toimittanut tietoja, joiden avulla asiakas voidaan tunnistaa tai jotka voidaan tarkistaa, jos epäilyksiä on

riskiprofiilia

• c) asiakas pyytää vaihtoa viralliseen valuuttaan / virallisesta valuutasta ja joko varojen alkuperä tai kohde on asiakkaan oma pankkitili luottolaitoksessa lainkäyttöalueella, jonka CASP arvioi vähäriskiseksi
• d) asiakas pyytää vaihtoa ja joko kryptovaran alkuperä tai kohde on asiakkaan oma kryptovaratili tai hajautetun tilikirjan osoite, jota ylläpitää joko asetuksella (EU) 2023/1114 säännelty CASP tai kryptovarapalvelujen tarjoaja, jota asetus 2023/1114 ei koske, mutta jota säännellään ja valvotaan EU:n ulkopuolella yhtä vankalla sääntelykehyksellä kuin asetuksessa (EU) 2023/1114 säädetään ja johon sovelletaan yhtä vankkoja rahanpesun ja terrorismin rahoituksen torjuntaa koskevia vaatimuksia kuin direktiivissä (EU) 2015/849 säädetään, ja joka on valkoisella listalla tai jonka CASP on määrittänyt muulla tavoin pieniriskiseksi
• e) asiakas pyytää vaihtoa, ja joko kryptovaran lähde tai kohde liittyy arvoltaan vähäisiin maksuihin tavaroista ja palveluista kryptovaratilille tai hajautetun tilikirjan osoitteelle / kryptovaratililtä tai hajautetun tilikirjan osoitteesta, joista ei ole saatavilla haitallisia tietoja
• f) asiakkaan siirrot kahden CASPin tai CASPin ja sellaisen muun kryptovarapalvelujen tarjoajan välillä, johon sovelletaan joko sääntelyä ja valvontaa EU:ssa tai johon muutoin sovelletaan yhtä vankkaa sääntelykehystä kuin asetuksessa (EU) 2023/1114 säädetään ja johon sovelletaan yhtä tiukkoja rahanpesun ja terrorismin rahoituksen torjuntaa koskevia vaatimuksia kuin direktiivissä (EU) 2015/849 säädetään.

Maahan tai maantieteelliseen alueeseen kytkeytyvät riskitekijät

21.7. Seuraavat tekijät voivat osaltaan lisätä riskiä :

• a) Asiakkaan varat, jotka vaihdetaan kryptovaroiksi, ovat peräisin henkilökohtaisista tai yrityksen yhteyksistä lainkäyttöalueisiin, joihin liittyy kohonnut rahanpesun ja terrorismin rahoituksen riski.
• b) Siirron toimeksiantajan tai siirronsaajan kryptovaratili tai hajautetun tilikirjan osoite on yhteydessä lainkäyttöalueeseen, joka liittyy kohonneeseen rahanpesun ja terrorismin rahoituksen riskiin, tai lainkäyttöalueisiin/alueisiin, joiden tiedetään

tekevien ryhmien tiedetään toimivan, sekä lainkäyttöalueisiin, joihin sovelletaan taloudellisia pakotteita, vientikieltoja tai toimenpiteitä, jotka liittyvät terrorismiin, terrorismin rahoitukseen tai joukkotuhoaseiden levittämiseen.

• c) Asiakas tai asiakkaan tosiasiallinen omistaja ja edunsaaja asuu tai on sijoittautunut lainkäyttöalueelle tai toimii siellä taikka hänellä on henkilökohtaisia suhteita tai liikesuhteita lainkäyttöalueella, johon liittyy kohonnut rahanpesun ja terrorismin rahoituksen riski.
• d) Liikesuhde luodaan korkean rahanpesun ja terrorismin rahoituksen riskitason alueella tai lainkäyttöalueella sijaitsevan CASPin tai kryptoautomaatin avulla.
• e) Asiakas osallistuu kryptovarojen louhintaan joko suoraan tai epäsuorasti suhteiden välityksellä kolmansien osapuolten kanssa Euroopan komission direktiivin (EU) 2015/849 9 artiklan mukaisesti määrittämällä suuririskisellä lainkäyttöalueella tai lainkäyttöalueella, johon sovelletaan rajoittavia toimenpiteitä tai kohdennettuja talouspakotteita.

21.8. Seuraava tekijä voi osaltaan vähentää riskiä :

• a) siirto tulee sellaiselta kryptovaratililtä tai sellaisesta hajautetun tilikirjan osoitteesta tai lähetetään sellaiselle tilille tai sellaisen hajautetun tilikirjan osoitteeseen, jota ylläpitää CASP tai muu kryptovarapalvelujen tarjoaja kuin CASP lainkäyttöalueella, johon liittyy alhainen rahanpesun ja terrorismin rahoituksen riski. Jakelukanavaan kytkeytyvät riskitekijät

21.9. Seuraavat tekijät voivat osaltaan lisätä riskiä :

• a) Liikesuhde luodaan käyttämällä asiakassuhteen perustamisessa etäratkaisuja, jotka eivät ole EPV:n etätunnistamisratkaisujenkäyttöä asiakassuhteen perustamisessa koskevien ohjeiden mukaisia⁹ .
• b) Rahoitusvälineeseen ei liity rajoituksia, kuten on esimerkiksi käteisen rahan, shekkien sekä direktiivin (EU) 2015/849 12 artiklan poikkeuksen piiriin kuuluvien sähköisen rahan tuotteiden kohdalla,

• d) Asiakkaan tunnistamisen ja tämän henkilöllisyyden todentamisen suorittaa

ulkoistamissopimuksen perusteella direktiivin (EU) 2015/849 29 artiklan mukaisesti.

• e) Kryptovarojen levittämiseen käytettävät uudet jakelukanavat tai uusi teknologia, joita ei ole vielä täysin testattu tai jotka aiheuttavat kohonneen rahanpesun tai terrorismin rahoituksen riskin.
• f) Liikesuhde solmitaan kryptoautomaattien kautta, mikä lisää riskiä käteisrahan käytön vuoksi.

21.10. Seuraava tekijä voi osaltaan vähentää riskiä :

• a) Jos CASP turvautuu kolmannen osapuolen soveltamiin direktiivin (EU) 2015/849 26 artiklan mukaisiin asiakkaan tuntemisvelvollisuutta koskeviin toimenpiteisiin ja jos kyseinen kolmas osapuoli sijaitsee EU:ssa.

⁶ Asetus (EU) 2023/1114 kryptovarojen markkinoista sekä asetusten (EU) N:o 1093/2010 ja (EU) N:o 1095/2010 ja direktiivien 2013/36/EU ja (EU) 2019/1937 muuttamisesta

⁷ Asetus (EU) 2023/1114 kryptovarojen markkinoista sekä asetusten (EU) N:o 1093/2010 ja (EU) N:o 1095/2010 ja direktiivien 2013/36/EU ja (EU) 2019/1937 muuttamisesta.

⁸ Ohjeet asetuksen (EU) 2023/1113 mukaisten varojen ja tiettyjen kryptovarojen siirtojen väärinkäytön estämisestä rahanpesun ja terrorismin rahoituksen tarkoituksiin [.... lisätään tähän näiden ohjeiden numero sen jälkeen, kun ne on hyväksytty, tällä hetkellä lausuntokierroksella (EBA/CP/2023/35)] (”maksun tietoja koskevat ohjeet”)

⁹ Ohjeet etätunnistamisratkaisujenkäytöstä asiakassuhteen perustamisessa direktiivin (EU) 2015/849 13 artiklan 1 kohdan mukaisesti (EBA/GL/2022/15).

21.11. CASPien olisi varmistettava, että järjestelmät, joita ne käyttävät rahanpesun ja terrorismin rahoituksen riskien tunnistamiseen ja torjumiseen, ovat näiden ohjeiden I osastossa vahvistettujen kriteerien mukaisia. CASPien liiketoimintamalleista johtuen niiden olisi erityisesti varmistettava, että niillä on käytössä asianmukaiset ja tehokkaat seurantatyökalut, mukaan lukien liiketoimien seurantatyökalut ja edistyneet analyysityökalut. Tällaisten työkalujen laajuus määräytyy CASPin toiminnan luonteen ja volyymin perusteella, mukaan lukien kaupankäyntiä tai vaihtoa varten saataville asetettujen kryptovarojen tyyppi. CASPien olisi myös varmistettava, että asianomaiset työntekijät saavat erityiskoulutusta saadakseen riittävän käsityksen kryptovaroista ja rahanpesun ja terrorismin rahoituksen riskeistä, joille he saattavat CASPin altistaa. Tehostettu asiakkaan tuntemisvelvollisuus

21.12. Jos liikesuhteeseen tai yksittäiseen liiketoimeen liittyvä riski on kohonnut, CASPien on sovellettava tehostettuja asiakkaan tuntemisvelvollisuutta koskevia toimenpiteitä direktiivin (EU) 2015/849 18 artiklan ja näiden ohjeiden I osaston mukaisesti. Lisäksi CASPien olisi tarvittaessa sovellettava seuraavassa luettelossa lueteltuja tehostettuja asiakkaan tuntemisvelvollisuutta koskevia toimenpiteitä liikesuhteen riskialtistuksen mukaan:

• a) Asiakkaan ja tosiasiallisen omistajan ja edunsaajan henkilöllisyyden todentaminen useammasta kuin yhdestä luotettavasta ja riippumattomasta lähteestä.
• b) Sellaisten enemmistöosakkaiden henkilöllisyyden tarkistaminen ja todentaminen, jotka eivät täytä direktiivin (EU) 2015/849 3 artiklan mukaista tosiasiallisten omistajien ja edunsaajien määritelmää, tai sellaisten luonnollisten henkilöiden henkilöllisyys, joilla on valtuudet käyttää kryptovaratilejä tai hajautetun tilikirjan osoitteita asiakkaan puolesta tai antaa ohjeita kryptovaraerien siirrosta tai vaihdosta tai muista näihin kryptovaraeriin liittyvistä palveluista.
• c) Lisätietojen hankkiminen asiakkaasta ja liikesuhteen luonteesta ja tarkoituksesta asiakasprofiilin täydentämiseksi, esimerkiksi etsimällä tietoa julkisista lähteistä tai kielteisestä uutisoinnista tai tilaamalla kolmannelta osapuolelta tiedusteluraportin. CASPit voivat etsiä esimerkiksi seuraavanlaisia tietoja:
• i. asiakkaan yrityksen tai työsuhteen luonne
• ii. asiakkaan varallisuuden ja kryptovaroiksi vaihdettavien varojen alkuperä, niin että se voi olla kohtuullisen vakuuttunut niiden laillisuudesta
• iii. virallisiin valuuttoihin vaihdettavien asiakkaan kryptovarojen lähde, myös se, milloin ja mistä ne on hankittu
• iv. liiketoimen tarkoitus, tarvittaessa myös asiakkaan kryptovarojen siirron kohde
• v. tiedot mahdollisista yhteyksistä, joita asiakkaalla voi olla muiden lainkäyttöalueiden kanssa (päätoimipaikka, toimintatilat, sivuliikkeet jne.) tai yksityishenkilöistä, joiden tiedetään vaikuttavan merkittävästi asiakkaan toimintaan
• vi. pyytää tai saada tietoja asiakkaan kryptovaroihin liittyvistä liiketoimista ja, jos asiakas on CASP, sen kaupankäyntihistoriasta CASPin järjestelmästä.
• d) Näytön hankkiminen varojen alkuperästä, varallisuuden lähteestä tai kryptovarojen alkuperästä sellaisten liiketoimien osalta, joihin liittyy kohonnut riski.
• e) Kryptovaraliiketoimien seurannan tiheyden lisääminen. Kaikkia liiketoimia olisi seurattava odottamattomien käyttäytymismallien, tapojen ja epäilyttävään toimintaan viittaavien indikaattoreiden varalta, ja olisi myös tarkasteltava osapuolia, joiden kanssa asiakas tekee liiketoimia.
• f) Säilytettävien tietojen ja asiakirjojen tarkistaminen ja tarvittaessa päivittäminen useammin ja erityisesti laukaisevan tapahtuman sattuessa.
• g) Jos liikesuhteeseen liittyvä riski on erityisen suuri, CASPin on arvioitava liikesuhde säännöllisesti.
• h) Asiakkaan kryptovaratilien kautta suoritettujen toimien arviointi useammin tai perusteellisemmin käyttämällä kryptovarojen tutkintatyökaluja.
• i) Jos asiakkaalla on useita hajautetun tilikirjan osoitteita tai lohkoketjuverkkoja, CASPin olisi yhdistettävä nämä osoitteet asiakkaaseen.
• j) Asiakkaan IP-osoitteiden seurantatiheyden lisääminen ja niiden vertaaminen muiden asiakkaiden käyttämiin IP-osoitteisiin.
• k) Vahvistuksen hankkiminen asiakkaan kryptovaroihin liittyvän tietämyksen ja ymmärryksen tasosta, jotta voidaan varmistaa tietyssä määrin, että asiakasta ei käytetä rahamuulina.
• l) Jos nostojen tai lunastusten malli ei ole asiakkaan profiilin tai liikesuhteen luonteen ja tarkoituksen mukainen, CASPin olisi lisättävä lisätoimenpiteitä sen varmistamiseksi, että nosto tai lunastus on asiakkaan eikä kolmannen osapuolen pyytämä. Tämä on erityisen tärkeää, kun on kyse suuririskisistä asiakkaista tai iäkkäistä tai haavoittuvammista asiakkaista.
• m) Vahvistuksen hankkiminen siitä, että isännöimätön osoite, josta siirto vastaanotetaan, on CASPin asiakkaan hallinnassa tai omistuksessa.

21.13. CASPin olisi sovellettava liiketoimiin edistyneitä analyysityökaluja riskialttiuden perusteella täydentämään vakiomuotoisia liiketoimien seurantatyökaluja. CASPin olisi käytettävä edistyneitä analyysityökaluja, joilla arvioidaan liiketoimiin liittyvää riskiä, erityisesti sellaisten liiketoimien kohdalla, joihin liittyy isännöimättömiä osoitteita, koska niiden avulla CASP voi jäljittää liiketoimien historian ja havaita mahdolliset yhteydet rikolliseen toimintaan, henkilöihin tai yhteisöihin.

21.14. Niiden liikesuhteiden tai liiketoimien osalta, joissa on mukana suuririskisiä EU:n ulkopuolisia maita, CASPin on noudatettava I osaston ohjetta.

Yksinkertaistettu asiakkaan tuntemisvelvollisuus

21.15. Matalan riskin tilanteissa, jotka on luokiteltu sellaisiksi CASPin näiden ohjeiden mukaisesti suorittaman rahanpesua ja terrorismin rahoitusta koskevan riskinarvioinnin perusteella, ja kansallisen lainsäädännön sallimissa rajoissa, CASPit voivat soveltaa yksinkertaistettuja asiakkaan tuntemisvelvollisuuden toimenpiteitä, joihin voivat kuulua

• a) asiakkaiden henkilöllisyyden todentaminen sellaisten todisteiden perusteella, jotka pohjautuvat asiakkaaseen sovellettaviin lakisääteisiin toimilupa- ja sääntelyjärjestelmiin EU:ssa tai EU:n ulkopuolisessa maassa, esimerkiksi hankkimalla todisteet sääntelyviranomaisen julkisesta rekisteristä
• b) asiakkaan tuntemistietojen tai dokumentaation päivittäminen vain tietyt ehdot täyttävissä tilanteissa, kuten jos asiakas pyytää uutta tai suuririskisempää tuotetta tai jos asiakkaan käyttäytymisessä tai liiketoimia koskevassa profiilissa tapahtuu muutoksia, jotka viittaavat liikesuhteeseen liittyvän riskin kohoamiseen, samalla kun noudatetaan kansallisessa lainsäädännössä- säädettyjä päivitysaikoja.
• c) liiketoimien seurannan tiheyden vähentäminen sellaisten tuotteiden osalta, joihin liittyy toistuvia liiketoimia.

Tietojen säilyttäminen

21.16. Jos tiedot asiakkaista ja liiketoimista ovat saatavilla hajautetussa tilikirjassa, CASPien ei pitäisi luottaa hajautettuun tilikirjaan tietojen säilyttämisessä, vaan niiden olisi toteutettava toimia tietojen kirjaamista koskevien velvoitteidensa täyttämiseksi direktiivin (EU) 2015/849 ja edellä annettujen ohjeiden 5.1 ja 5.2 mukaisesti. CASPien olisi otettava käyttöön menettelyt, joiden avulla ne voivat yhdistää hajautetun tilikirjan osoitteen luonnollisen henkilön tai oikeushenkilön hallinnassa olevaan yksityiseen avaimeen.