4.4 Matchen van de identiteit van de cliënt als onderdeel van het verificatieproces

Door kredietinstellingen en financiële instellingen toegepaste oplossingen voor de acceptatie van cliënten op afstand dienen ten minste het volgende te controleren als onderdeel van hun verificatieproces:

• a) dat de zichtbare informatie van de natuurlijke persoon overeenstemt met de verstrekte documentatie;
• b) indien de cliënt een rechtspersoon is, dat deze openbaar geregistreerd is, indien van toepassing;
• c) indien de cliënt een rechtspersoon is, dat de natuurlijke persoon die hem vertegenwoordigt bevoegd is namens hem op te treden.

Wanneer de oplossing voor de acceptatie van cliënten op afstand het gebruik van biometrische gegevens omvat om de identiteit van de cliënt te verifiëren, dienen kredietinstellingen en financiële instellingen ervoor te zorgen dat de biometrische gegevens voldoende uniek zijn om eenduidig gekoppeld te zijn aan één natuurlijke persoon. Kredietinstellingen en financiële instellingen dienen sterke en betrouwbare algoritmen te gebruiken om de overeenstemming te verifiëren tussen de biometrische gegevens op het ingediende identiteitsdocument en de cliënt die zij willen accepteren. In situaties waarin de oplossing niet het vereiste betrouwbaarheidsniveau biedt, moeten aanvullende controles worden toegepast.

Ingeval de kwaliteit van het verstrekte bewijs ontoereikend is, met onduidelijkheid of onzekerheid als gevolg die van invloed is op de uitvoering van controles op afstand, dient het proces van acceptatie van de individuele cliënt op afstand te worden onderbroken en opnieuw gestart of dient te worden overgeschakeld op face-to-faceverificatie.

Wanneer kredietinstellingen en financiële instellingen acceptatieoplossingen zonder menselijke tussenkomst gebruiken waarbij de cliënt voor de uitvoering van het verificatieproces niet in contact treedt met een werknemer, dienen zij:

• a) ervoor te zorgen dat alle foto’s of video’s onder adequate belichtingsomstandigheden worden gemaakt en dat de vereiste kenmerken duidelijk genoeg worden vastgelegd om een adequate verificatie van de identiteit van de cliënt mogelijk te maken;
• b) te waarborgen dat alle foto’s of video’s worden gemaakt op het moment dat de cliënt het verificatieproces uitvoert;
• c) “liveness”-detectieverificaties uit te voeren, die procedures kunnen omvatten waarbij een specifieke actie van de cliënt vereist is om na te gaan of hij/zij aanwezig is bij de communicatiesessie of die gebaseerd kunnen zijn op de analyse van de ontvangen gegevens zonder dat daarbij een specifieke actie van de cliënt vereist is;
• d) sterke en betrouwbare algoritmen te gebruiken om na te gaan of de eventueel gemaakte foto’s of video’s overeenkomen met het beeldmateriaal in de officiële documentatie van de cliënt.

Wanneer kredietinstellingen en financiële instellingen gebruikmaken van oplossingen voor de acceptatie van cliënten op afstand waarbij de cliënt contact heeft met een werknemer om het verificatieproces te doorlopen, dienen zij:

• a) ervoor te zorgen dat de kwaliteit van het beeld en het geluid toereikend is om de identiteit van de cliënt naar behoren te kunnen verifiëren en dat betrouwbare technologische systemen worden gebruikt;
• b) te waarborgen dat hieraan een werknemer deelneemt die voldoende kennis heeft van de toepasselijke AML/CFT-regelgeving en veiligheidsaspecten van verificatie op afstand, en die voldoende opleiding heeft gevolgd om te anticiperen op opzettelijk of bewust gebruik van misleidingstechnieken in verband met verificatie op afstand en dergelijke situaties te voorkomen dan wel – als zij toch voorvallen – te herkennen en erop te reageren;
• c) een interviewgids op te stellen waarin de opeenvolgende stappen van het verificatieproces op afstand en de van de werknemer vereiste acties worden omschreven. De gespreksgids moet richtsnoeren bevatten voor het observeren en identificeren van psychologische factoren of andere mogelijke kenmerken van verdacht gedrag tijdens verificatie op afstand.

Indien mogelijk dienen kredietinstellingen en financiële instellingen voor verificatiedoeleinden gebruik te maken van oplossingen voor de acceptatie van cliënten op afstand waarbij de volgorde van de door de cliënt uit te voeren handelingen willekeurig is, teneinde zich te beschermen tegen risico’s zoals het gebruik van synthetische identiteiten of dwang. Waar mogelijk dienen kredietinstellingen en financiële instellingen ook willekeurige opdrachten toe te wijzen aan de werknemer die verantwoordelijk is voor het verificatieproces op afstand, om samenspanning tussen de cliënt en de verantwoordelijke werknemer te voorkomen.

In aanvulling op het bovenstaande en voor zover dit in verhouding staat tot het ML/TF-risico dat verbonden is met de zakelijke relatie, dienen kredietinstellingen en financiële instellingen één of meer van de volgende controles of soortgelijke maatregelen te hanteren om de betrouwbaarheid van het verificatieproces te vergroten. Deze controles of maatregelen kunnen, zonder daartoe te zijn beperkt, het volgende omvatten:

• a) opname van de eerste betaling van een betaalrekening die uitsluitend of mede op naam van de cliënt staat bij een gereglementeerde kredietinstelling of financiële instelling in de EER of een gereglementeerde kredietinstelling of financiële instelling in een derde land met vereisten inzake AML/CFT die niet minder robuust zijn dan de vereisten van Richtlijn (EU) 2015/849;
• b) verzending van een willekeurig gegenereerde code naar de cliënt om de aanwezigheid tijdens het verificatieproces op afstand te bevestigen – deze code moet voor eenmalig gebruik bedoeld zijn en in de tijd beperkt gelden;
• c) vergaring van biometrische gegevens om deze te vergelijken met de gegevens die zijn verzameld uit andere onafhankelijke en betrouwbare bronnen;
• d) telefoongesprekken met de cliënt;
• e) rechtstreekse verzending van berichten (zowel elektronisch als per post) aan de cliënt.

Kredietinstellingen en financiële instellingen kunnen ervan uitgaan dat aan de criteria van de punten 38 tot en met 43 is voldaan wanneer de oplossing gebruikmaakt van een van de volgende elementen:

• a) stelsels voor elektronische identificatie die overeenkomstig artikel 9 van Verordening (EU) nr. 910/2014 zijn aangemeld en voldoen aan de vereisten van de betrouwbaarheidsniveaus “substantieel” of “hoog” overeenkomstig artikel 8 van die verordening;
• b) relevante gekwalificeerde vertrouwensdiensten die voldoen aan de vereisten van Verordening (EU) nr. 910/2014, met name hoofdstuk III, afdeling 3, en artikel 24, lid 1, tweede alinea, punt b), van die verordening.