4.1 Interne gedragslijnen en procedures

Kredietinstellingen en financiële instellingen dienen gedragslijnen en procedures in te voeren en bij te houden om te voldoen aan hun verplichtingen uit hoofde van artikel 13, lid 1, punten a) en c), van Richtlijn (EU) 2015/849 in situaties waarin de acceptatie van de cliënt op afstand plaatsvindt. Deze gedragslijnen en procedures moeten risicogevoelig zijn en ten minste het volgende omvatten:

• a) een algemene beschrijving van de oplossing die kredietinstellingen en financiële instellingen hebben ingevoerd om informatie te verzamelen, te verifiëren en te registreren gedurende het hele proces van de acceptatie van cliënten op afstand, met inbegrip van een uitleg over de kenmerken en de werking van de oplossing;
• b) de situaties waarin de oplossing voor de acceptatie van cliënten op afstand kan worden gebruikt, rekening houdend met de risicofactoren die zijn vastgesteld en beoordeeld overeenkomstig artikel 8, lid 1, van Richtlijn (EU) 2015/849 en in de risicobeoordeling voor het gehele bedrijf, met inbegrip van een beschrijving van de categorie cliënten, producten en diensten die in aanmerking komt voor acceptatie op afstand;
• c) een indicatie welke stappen volledig autonoom verlopen en bij welke stappen menselijke tussenkomst vereist is;
• d) de controlemaatregelen om ervoor te zorgen dat de eerste transactie met een nieuwe cliënt pas wordt uitgevoerd nadat alle initiële cliëntenonderzoeksmaatregelen zijn verricht;
• e) een beschrijving van de introductie- en reguliere opleidingsprogramma’s om ervoor te zorgen dat het personeel zich bewust is en actuele kennis heeft van de werking van de oplossing voor de acceptatie van cliënten op afstand, de daaraan verbonden risico’s, en de gedragslijnen en procedures voor de acceptatie van cliënten op afstand die erop gericht zijn dergelijke risico’s te beperken.

De gedragslijnen en procedures dienen, wanneer zij worden toegepast, kredietinstellingen en financiële instellingen in staat te stellen om te waarborgen dat de bepalingen in de delen 4.2 tot en met 4.7 van deze richtsnoeren worden nageleefd.

4.1.2 Governance

In aanvulling op het bepaalde in afdeling 4.2.4 van de EBA-richtsnoeren voor de nalevingsfunctionaris³ dient de AML/CFT-nalevingsfunctionaris⁴ ervoor te zorgen, als onderdeel van zijn algemene taak om gedragslijnen en procedures op te stellen om te voldoen aan de vereisten met betrekking tot cliëntenonderzoek, dat de gedragslijnen en procedures voor de acceptatie van cliënten op afstand effectief worden ingevoerd, regelmatig worden getoetst en indien nodig worden herzien.

³ Ontwerprichtsnoeren inzake gedragslijnen en procedures betreffende nalevingsbeheer en de rol en verantwoordelijkheden van de AML/CFT-nalevingsfunctionaris uit hoofde van artikel 8 en hoofdstuk VI van Richtlijn (EU) 2015/849.

⁴ In overeenstemming met de evenredigheidscriteria van afdeling 4.2.2 van de richtsnoeren voor de nalevingsfunctionaris.

Het leidinggevend orgaan van de kredietinstelling of financiële instelling keurt de gedragslijnen en procedures voor de acceptatie van cliënten op afstand goed en ziet toe op de correcte uitvoering ervan.

4.1.3 Beoordeling van de oplossing voor de acceptatie van cliënten op afstand voorafgaand aan de invoering daarvan

Wanneer kredietinstellingen en financiële instellingen overwegen een nieuwe oplossing voor de acceptatie van cliënten op afstand in te voeren, moeten zij deze oplossing vooraf beoordelen.

Kredietinstellingen en financiële instellingen dienen het toepassingsgebied, de stappen en de vereisten inzake de vastlegging van gegevens van de aan de invoering voorafgaande beoordeling in hun gedragslijnen en procedures vast te leggen. Deze omvatten ten minste het volgende:

• a) een beoordeling van de toereikendheid van de oplossing met betrekking tot de volledigheid en nauwkeurigheid van de te verzamelen gegevens en documenten, alsmede van de betrouwbaarheid en onafhankelijkheid van de informatiebronnen die worden gebruikt;
• b) een beoordeling van het effect van het gebruik van de oplossing voor de acceptatie van cliënten op afstand op de bedrijfsbrede risico’s, waaronder ML/TF-gerelateerde, operationele, reputatiegebonden en juridische risico’s;
• c) de vaststelling van mogelijke risicobeperkende maatregelen en corrigerende maatregelen voor elk risico dat in de beoordeling onder b) is vastgesteld;
• d) tests voor de beoordeling van frauderisico’s, met inbegrip van imitatiefrauderisico’s en andere informatie- en communicatietechnologierisico’s en beveiligingsrisico’s, in overeenstemming met bepaling 43 van de EBA-richtsnoeren inzake ICT en risicobeheer op het gebied van veiligheid⁵ ;
• e) end-to-endtests van de werking van de oplossing, gericht op cliënt(en), product(en) en dienst(en) die in de gedragslijnen en procedures voor de acceptatie van cliënten op afstand zijn vastgesteld.

⁵ EBA/GL/2019/04.

Kredietinstellingen en financiële instellingen kunnen ervan uitgaan dat aan de criteria van punt 14, onder a), d) en e), is voldaan wanneer de oplossing een van de volgende methoden gebruikt:

• a) stelsels voor elektronische identificatie die overeenkomstig artikel 9 van Verordening (EU) nr. 910/2014 zijn aangemeld en voldoen aan de vereisten van de betrouwbaarheidsniveaus “substantieel” of “hoog” overeenkomstig artikel 8 van die verordening;
• b) relevante gekwalificeerde vertrouwensdiensten die voldoen aan de vereisten van Verordening (EU) nr. 910/2014, met name hoofdstuk III, afdeling 3, en artikel 24, lid 1, tweede alinea, punt b), van die verordening.

Kredietinstellingen en financiële instellingen moeten aan hun bevoegde autoriteit kunnen aantonen welke beoordelingen zij hebben uitgevoerd voorafgaand aan de invoering van de oplossing voor de acceptatie van cliënten op afstand, wat de uitkomst is van hun beoordeling en hoe het gebruik ervan passend is in het licht van de ML/TF-risico’s die zijn vastgesteld voor de soorten cliënt(en), dienst(en), geografische gebieden en product(en) die binnen het toepassingsgebied ervan vallen.

Kredietinstellingen en financiële instellingen mogen pas gebruikmaken van een oplossing voor de acceptatie van cliënten op afstand wanneer zij ervan overtuigd zijn dat deze in het bredere internecontrolesysteem van de instelling kan worden geïntegreerd, zodat de instelling de ML/TF-risico’s die kunnen voortvloeien uit het gebruik van de oplossing voor de acceptatie van cliënten op afstand, adequaat kan beheersen. 4.1.4 Voortdurende monitoring van de oplossing voor de acceptatie van cliënten op afstand

Kredietinstellingen en financiële instellingen dienen de oplossing voor de acceptatie van cliënten op afstand voortdurend te monitoren om ervoor te zorgen dat deze in overeenstemming met de verwachtingen van de kredietinstellingen en financiële instellingen functioneert. Zij moeten hun in punt 9 beschreven gedragslijnen en procedures aanvullen met een beschrijving van ten minste:

• a) de stappen die zij zullen ondernemen om zichzelf te verzekeren van de voortdurende kwaliteit, volledigheid, nauwkeurigheid en toereikendheid van de gegevens die worden verzameld tijdens het proces van acceptatie van cliënten op afstand; deze stappen dienen in verhouding te staan tot de ML/TF-risico’s waaraan de kredietinstelling of financiële instelling zijn blootgesteld;
• b) de reikwijdte en de frequentie van deze regelmatige toetsingen, en
• c) de omstandigheden die aanleiding geven tot ad-hoctoetsingen – hiertoe behoort ten minste het volgende:
• a. wijzigingen in de ML/TF-risicoblootstelling van de kredietinstelling of financiële instelling,
• b. tekortkomingen in de werking van de oplossing die tijdens monitoring-, audit- of toezichtactiviteiten aan het licht zijn gekomen,
• c. een waargenomen toename van het aantal pogingen tot fraude,
• d. wijzigingen in het wet- of regelgevingskader.

Kredietinstellingen en financiële instellingen dienen in hun procedures en processen aan te geven welke corrigerende maatregelen er worden genomen wanneer een risico materialiseert of wanneer fouten worden vastgesteld die van invloed zijn op de efficiëntie en effectiviteit van de algemene oplossing voor de acceptatie van cliënten op afstand. Deze maatregelen dienen ten minste het volgende te omvatten:

• a) een toetsing van alle betrokken zakelijke relaties, om te beoordelen of de kredietinstellingen en financiële instellingen voldoende initieel cliëntenonderzoek hebben uitgevoerd met het oog op de naleving van artikel 13, lid 1, punten a), b) en c), van de antiwitwasrichtlijn – kredietinstellingen en financiële instellingen dienen daarbij voorrang te geven aan de zakelijke relaties met het hoogste ML/TF-risico;
• b) rekening houdend met de informatie die in het kader van bovengenoemde toetsing is verkregen, een beoordeling of een betrokken zakelijke relatie:
• a. dient te worden onderworpen aan aanvullende cliëntenonderzoeksmaatregelen,
• b. dient te worden onderworpen aan beperkingen, zoals beperkingen van het transactievolume, indien het nationale recht dit toestaat, totdat een evaluatie heeft plaatsgevonden,
• c. dient te worden beëindigd,
• d. dient te worden gemeld aan de FIE,
• e. in een andere risicocategorie dient te worden ingedeeld.

Kredietinstellingen en financiële instellingen dienen te overwegen wat de meest doeltreffende manier is om de voortdurende adequaatheid en betrouwbaarheid van de oplossingen voor de acceptatie van cliënten op afstand te monitoren. Zij dienen één of meer van de volgende middelen in overweging te nemen (zonder daar evenwel toe beperkt te zijn):

• i. kwaliteitsborgingstests;
• ii. geautomatiseerde kritische waarschuwingen en kennisgevingen;
• iii. regelmatige geautomatiseerde kwaliteitsverslagen;
• iv. het steekproefsgewijs testen;
• v. handmatige toetsingen.

Deze afdeling is ook van toepassing wanneer volledig geautomatiseerde oplossingen voor de acceptatie van cliënten op afstand worden gebruikt die sterk afhankelijk zijn van geautomatiseerde algoritmen, zonder of met weinig menselijke tussenkomst.

Kredietinstellingen en financiële instellingen dienen aan hun bevoegde autoriteit te kunnen aantonen welke beoordelingen zij hebben uitgevoerd en welke corrigerende maatregelen zij hebben genomen om eventuele tekortkomingen te verhelpen die tijdens de levensduur van de oplossing voor de acceptatie van cliënten op afstand zijn vastgesteld.