4.1 Vidaus politika ir procedūros

Kredito ir finansų įstaigos turėtų nustatyti ir taikyti politiką ir procedūras, kad įvykdytų savo prievoles pagal Direktyvos (ES) 2015/849 13 straipsnio 1 dalies a ir c punktus tais atvejais, kai kliento tapatybė nustatoma nuotoliniu būdu. Ši politika ir procedūros turėtų atitikti rizikos lygį ir jose turėtų būti nustatyta bent:

• a) bendras sprendimo, kurį kredito ir finansų įstaigos taiko, kad galėtų rinkti, tikrinti ir registruoti informaciją viso nuotolinio kliento tapatybės nustatymo proceso metu, aprašymas. Tai turėtų apimti sprendimo ypatybių ir veikimo paaiškinimą;
• b) atvejai, kai galima naudotis nuotolinio kliento tapatybės nustatymo sprendimu, atsižvelgiant į rizikos veiksnius, nustatytus ir įvertintus pagal Direktyvos (ES) 2015/849 8 straipsnio 1 dalį, ir atliekant visos veiklos rizikos vertinimą, įskaitant klientų, produktų ir paslaugų, kurie atitinka nuotolinio tapatybės nustatymo reikalavimus, kategorijos aprašymą;
• c) kurie veiksmai yra visiškai automatizuoti, o kuriems reikia žmogaus įsikišimo;
• d) kontrolės priemonės, kuriomis užtikrinama, kad pirmasis sandoris su nauju klientu būtų įvykdytas tik po to, kai buvo pritaikytos visos pradinės deramo klientų patikrinimo priemonės;
• e) įvadinių ir reguliarių mokymo programų, kuriomis užtikrinamas darbuotojų suvokimas ir aktualios žinios apie nuotolinio kliento tapatybės nustatymo sprendimo veikimą, susijusias rizikas ir nuotolinio kliento tapatybės nustatymo politiką ir procedūras, skirtas užtikrinti tokių rizikų valdymą, aprašymas.

Įgyvendinama politika ir procedūros turėtų leisti kredito ir finansų įstaigoms užtikrinti, kad būtų laikomasi šių gairių 4.2 – 4.7 skirsnių nuostatų. 4.1.2 Valdymas

Be EBI atitikties užtikrinimo pareigūno gairių 4.2.4 skirsnyje išdėstytų nuostatų³ , kovos su pinigų plovimo ir teroristų finansavimu (KPP / KTF) atitikties užtikrinimo pareigūnas⁴ , vykdydamas savo bendrąją pareigą parengti politiką ir procedūras, kad būtų laikomasi deramo klientų patikrinimo reikalavimų, turėtų užtikrinti, kad nuotolinio kliento tapatybės nustatymo politika ir procedūros būtų veiksmingai įgyvendinamos, reguliariai peržiūrimos ir prireikus atnaujinamos.

³ Gairės dėl politikos ir procedūrų, susijusių su atitikties valdymu ir KPP / KTF atitikties užtikrinimo pareigūno vaidmeniu ir pareigomis pagal Direktyvos 8 straipsnį ir VI skyrių.

⁴ Pagal Atitikties pareigūno gairių 4.2.2 skirsnyje nustatytus proporcingumo kriterijus.

Kredito ir finansų įstaigos valdymo organas turėtų patvirtinti nuotolinio kliento tapatybės nustatymo politiką ir procedūras ir prižiūrėti, kad jos būtų tinkamai įgyvendinamos.

4.1.3 Išankstinis nuotolinio kliento tapatybės nustatymo sprendimo įgyvendinimo vertinimas

Svarstydamos, ar taikyti naują nuotolinio kliento tapatybės nustatymo sprendimą, kredito ir finansų įstaigos turėtų atlikti sprendimo išankstinio įgyvendinimo vertinimą.

Kredito ir finansų įstaigos savo politikoje ir procedūrose turėtų nustatyti išankstinio įgyvendinimo vertinimo taikymo sritį, etapus ir įrašų saugojimo reikalavimus, kurie turėtų apimti bent:

• a) sprendimo tinkamumo vertinimą, susijusį su rinktinų duomenų ir dokumentų išsamumu ir tikslumu, taip pat naudojamų informacijos šaltinių patikimumu ir nepriklausomumu;
• b) nuotolinio kliento tapatybės nustatymo sprendimo naudojimo poveikio visai veiklai, įskaitant PP / TF veiklos, reputacijos ir teisinę riziką, vertinimą;
• c) galimos rizikos mažinimo priemones ir valdymo veiksmus dėl kiekvienos rizikos, nustatytos atliekant vertinimą pagal b punktą;
• d) testavimus, skirtus įvertinti sukčiavimo riziką, įskaitant su sukčiavimo apsimetant kitu asmeniu riziką bei kitą informacinių ir ryšių technologijų (IRT) ir saugumo riziką, pagal EBI IRT ir saugumo rizikos valdymo gairių 43 nuostatą⁵ ;
• e) ištisinį sprendimo veikimo testavimą, skirtą klientui (- ams), produktui (- ams) ir paslaugai (- oms), nurodytiems nuotolinio kliento tapatybės nustatymo politikoje ir procedūrose.

⁵ EBA/GL/2019/04.

Kredito ir finansų įstaigos turėtų laikyti, kad 14 punkto a, d ir e papunkčiuose nurodyti kriterijai yra įvykdyti, kai sprendime naudojama viena iš šių priemonių:

• a) elektroninės atpažinties schemos, apie kurias pranešta pagal Reglamento (ES) Nr. 910/2014 9 straipsnį ir kurios atitinka pakankamo arba aukšto saugumo užtikrinimo lygio reikalavimus pagal to reglamento 8 straipsnį;
• b) atitinkamos kvalifikuotos patikimumo užtikrinimo paslaugos, atitinkančios Reglamento (ES) Nr. 910/2014, visų pirma to reglamento III skyriaus 3 skirsnio ir 24 straipsnio 1 dalies antros pastraipos b punkto reikalavimus .

Kredito ir finansų įstaigos turėtų galėti savo kompetentingai priežiūros institucijai įrodyti, kokius vertinimus jos atliko prieš įgyvendindamos nuotolinio kliento tapatybės nustatymo sprendimą, savo vertinimo rezultatus ir tai, kodėl jo naudojimas yra tinkamas atsižvelgiant į nustatytą PP / TF riziką, susijusią su klientų tipais, paslauga (- omis), geografija ir produktu (-ais), patenkančiu (- iais) į taikymo sritį.

Kredito ir finansų įstaigos turėtų pradėti naudoti nuotolinio kliento tapatybės nustatymo sprendimą tik įsitikinusios, kad jį galima integruoti į įstaigos platesnę vidaus kontrolės sistemą, taip įstaigai sudarant sąlygas tinkamai valdyti PP / TF riziką, kuri gali kilti dėl nuotolinio kliento tapatybės nustatymo sprendimo naudojimo.

4.1.4 Nuolatinė nuotolinio kliento tapatybės nustatymo sprendimo stebėsena

Kredito ir finansų įstaigos turėtų nuolat stebėti nuotolinio kliento tapatybės nustatymo sprendimą, siekdamos užtikrinti, kad jis atitiktų kredito ir finansų įstaigų lūkesčius. Jos turėtų papildyti 9 punkte aprašytą savo politiką ir procedūras apibūdindamos bent:

• a) veiksmus, kurių jos imsis, kad įsitikintų nuolatine nuotolinio kliento tapatybės nustatymo proceso metu surinktų duomenų kokybe, išsamumu, tikslumu ir tinkamumu, ir kurie turėtų būti proporcingi kredito ir finansų įstaigai kylančiai PP / TF rizikai;
• b) tokių reguliarių peržiūrų apimtį ir dažnumą, ir
• c) aplinkybes, dėl kurių reikės atlikti ad hoc peržiūras, kurios turėtų apimti bent:
• a. kredito ir finansų įstaigai kylančios PP / TF rizikos pokyčius;
• b. sprendimo veikimo trūkumus, nustatytus vykdant stebėsenos, audito ar priežiūros veiklą;
• c. pastebėtą sukčiavimo bandymų skaičiaus padidėjimą;
• d. teisinės ar reguliavimo sistemos pakeitimus.

Kredito ir finansų įstaigos savo procedūrose ir procesuose turėtų nustatyti taisomuosius veiksmus, kai rizika pasitvirtina arba kai nustatoma klaidų, kurios daro poveikį bendro nuotolinio kliento tapatybės nustatymo sprendimo veiksmingumui ir efektyvumui. Šie veiksmai turėtų apimti bent:

• a) visų paveiktų dalykinių santykių peržiūrą, siekiant įvertinti, ar kredito ir finansų įstaigos atliko pakankamą deramą pradinį klientų patikrinimą, laikydamosi Kovos su pinigų plovimu direktyvos 13 straipsnio 1 dalies a, b ir c punktų. Kredito ir finansų įstaigos pirmenybę turėtų teikti tiems dalykiniams santykiams, dėl kurių kyla didžiausia PP / TF rizika;
• b) atsižvelgiant į pirmiau minėtos peržiūros metu gautą informaciją, vertinimą, ar:
• a. paveiktiems dalykiniams santykiams turėtų būti taikomos papildomos deramo patikrinimo priemonės;
• b. paveiktiems dalykiniams santykiams turėtų būti taikomi apribojimai, pavyzdžiui, sandorių apimties apribojimai, kai tai leidžiama pagal nacionalinę teisę, kol bus atlikta peržiūra;
• c. paveikti dalykiniai santykiai turėtų būti nutraukti;
• d. apie paveiktus dalykinius santykius turėtų būti pranešama FŽP;
• e. paveikti dalykiniai santykiai turėtų būti perklasifikuoti į kitą rizikos kategoriją.

Kredito ir finansų įstaigos turėtų apsvarstyti veiksmingiausią būdą stebėti nuolatinį nuotolinio kliento tapatybės nustatymo sprendimų tinkamumą ir patikimumą. Jos turėtų apsvarstyti vieną ar daugiau iš šių priemonių, bet jomis neapsiribojant:

• i. kokybės užtikrinimo testavimą;
• ii. automatizuotus kritinius įspėjimus ir pranešimus;
• iii. reguliarias automatizuotas kokybės užtikrinimo ataskaitas;
• iv. pavyzdžių testavimą;
• v. rankiniu būdu atliekamas peržiūras.

Šis skirsnis taip pat taikomas tais atvejais, kai naudojami visiškai automatizuoti nuotolinio kliento tapatybės nustatymo sprendimai, kurie labai priklauso nuo automatizuotų algoritmų ir vyksta be žmogaus įsikišimo arba su nedideliu jo įsikišimu.

Kredito ir finansų įstaigos turėtų galėti įrodyti savo kompetentingai institucijai, kokias peržiūras jos atliko ir kokių taisomųjų veiksmų ėmėsi, kad pašalintų visus trūkumus, nustatytus per visą nuotolinio kliento tapatybės nustatymo sprendimo naudojimo laikotarpį.