4. Wijzigingen

1. Overzicht

(i) Wijziging van de titel van de richtsnoeren

(ii) Wijzigingen in onderwerp, toepassingsgebied en definities

(iii) Wijzigingen in richtsnoer 1: Risicobeoordelingen: kernbeginselen voor alle ondernemingen

(iv) Wijzigingen in richtsnoer 2: ML/TF-risicofactoren identificeren

(v) Wijzigingen in richtsnoer 4: CDD-maatregelen die door alle ondernemingen worden toegepast

(vi) Wijzigingen in richtsnoer 6: Opleiding

(vii) Wijzigingen in richtsnoer 8: Sectoraal richtsnoer voor correspondentrelaties

(viii) Wijzigingen in richtsnoer 9: Sectoraal richtsnoer voor retailbanken

(ix) Wijzigingen in richtsnoer 10: Sectoraal richtsnoer voor uitgevers van elektronisch geld

(x) Wijzigingen in richtsnoer 15: Sectoraal richtsnoer voor beleggingsondernemingen

(xi) Wijzigingen in richtsnoer 17: Sectoraal richtsnoer voor gereglementeerde crowdfundingplatforms

(xii) “Richtsnoer 21: Sectoraal richtsnoer voor aanbieders van cryptoactivadiensten (CASP’s)

21.1. CASP’s dienen zich ervan bewust te zijn dat zij zijn blootgesteld aan ML/TF-risico’s als gevolg van specifieke kenmerken van hun bedrijfsmodel en de technologie die in het kader van hun onderneming wordt gebruikt, waardoor zij cryptoactiva onmiddellijk over de hele wereld kunnen overmaken en cliënten in verschillende jurisdicties kunnen accepteren. Het risico wordt verder verhoogd wanneer zij transacties verwerken of faciliteren of producten of diensten aanbieden die een hogere mate van anonimiteit bieden. 21.2. Bij het aanbieden van cryptoactivadiensten dienen CASP’s te voldoen aan de bepalingen van titel I en aan de sectorspecifieke bepalingen van titel II indien deze relevant zijn voor het productaanbod van de CASP’s.

Risicofactoren

Product-, dienst- en transactiegebonden risicofactoren

21.3. De volgende factoren kunnen bijdragen tot een hoger risico :

a) de door een CASP geleverde producten of diensten bieden een hogere mate van anonimiteit;
b) het product staat betalingen toe van derden die geen verband houden met het product, noch van tevoren zijn geïdentificeerd en geverifieerd, daar waar dergelijke betalingen geen duidelijke economische reden hebben;
c) het product legt van te voren geen beperkingen op aan het totale volume of de totale waarde van de transacties;
d) het product staat transacties toe tussen de account van de cliënt en:
i. zelfgehoste adressen;
ii. cryptoactiva-accountsof distributed-ledger-adressen die worden beheerd door een aanbieder van cryptoactivadiensten als bedoeld in richtsnoer 9.20 of die onderworpen is aan het AML/CFT-regelgevings- en toezichtstelsel dat minder robuust is dan het stelsel waarin Richtlijn (EU) 2015/849 voorziet;
iii. een peer-to-peer-wisselplatform voor cryptovaluta of een ander type toepassing voor gedecentraliseerde of gedistribueerde cryptoactiva, die niet wordt gecontroleerd of beïnvloed door een rechtspersoon of natuurlijk persoon (vaak aangeduid als “decentralised finance” (DeFi));
iv. platforms die tot doel hebben transacties te verhullen en anonimiteit te vergemakkelijken, zoals mixer- of tumbler-platforms;
v. hardware die wordt gebruikt voor het wisselen van cryptoactiva naar officiële valuta of omgekeerd (zoals cryptogeldautomaten), waarbij contant geld of elektronisch geld wordt gebruikt, die in aanmerking komt voor vrijstellingen op grond van artikel 12 van Richtlijn (EU) 2015/849 of die niet valt onder het regelgevings- en toezichtstelsel in de EU.
e) producten waarbij nieuwe handelspraktijken zijn betrokken, waaronder nieuwe leveringskanalen, en het gebruik van technologieën waarbij het niveau van het ML/TF-risico niet betrouwbaar kan worden beoordeeld door de CASP overeenkomstig richtsnoer 1.7, punt d), vanwege het gebrek aan informatie;
f) wanneer de wholesale-CASP een zwakke controle uitoefent over de nested service die wordt geleverd door een andere CASP;
g) de resultaten van een analyse met geavanceerde analytische instrumenten wijzen op een verhoogd risiconiveau.

21.4. De volgende factoren kunnen bijdragen tot een lager risico:

a) producten met verminderde functionaliteit, zoals lage transactievolumes of - waarden;
b) het product staat transacties toe tussen de account van de cliënt en
i. cryptoactiva-accounts of distributed-ledger-adressen op naam van de cliënt die worden aangehouden door een CASP;
ii. een cryptoactiva-account of distributed-ledger-adres op naam van de cliënt, die wordt aangehouden door een aanbieder van cryptoactivadiensten, niet zijnde een bij Verordening (EU) 2023/1114⁶ gereguleerde CASP, die buiten de EU gereguleerd is volgens het regelgevingskader dat even robuust is als dat waarin Verordening (EU) 2023/1114 voorziet en onderworpen is aan een AML/CTF-regelgevings- en toezichtkader dat even robuust is als dat waarin Richtlijn (EU) 2015/849 voorziet;
iii. een op naam van de cliënt gestelde bankrekening bij een kredietinstelling die onderworpen is aan het AML/CFT-regelgevings- en toezichtkader zoals uiteengezet in Richtlijn (EU) 2015/849 of een ander wetgevingskader buiten de EU dat even robuust is als dat waarin Richtlijn (EU) 2015/849 voorziet; of
c) de aard en het toepassingsgebied van de betalingskanalen of -systemen die door de CASP worden gebruikt, zijn beperkt tot closed-loopsystemen of systemen die bedoeld zijn om microbetalingen of betalingen van overheden aan personen of van personen aan overheden te vergemakkelijken;
d) het product is uitsluitend beschikbaar voor een beperkte en gedefinieerde groep cliënten, zoals werknemers van een onderneming die een cryptoactivum heeft uitgegeven;

Cliëntgebonden risicofactoren

21.5. De volgende factoren kunnen bijdragen tot een hoger risico :

a) met betrekking tot de aard van de cliënt , met name:
i. een organisatie zonder winstoogmerk die op basis van betrouwbare en onafhankelijke bronnen in verband is gebracht met extremisme, extremistische propaganda of terroristische sympathieën en activiteiten, of die betrokken is geweest bij wangedrag of criminele activiteiten, waaronder ML/TF- of corruptie-gerelateerde zaken;
ii. een onderneming die een shell bank is, zoals bedoeld in artikel 3, lid 17, van Richtlijn (EU) 2015/849, of een andere soort lege vennootschap;
iii. een onderneming die onlangs is opgericht en grote hoeveelheden transacties verwerkt;
iv. een wettelijk geregistreerde onderneming die na een periode van inactiviteit sinds de oprichting ervan grote hoeveelheden transacties verwerkt;
v. een onderneming die een zakelijke relatie heeft met (een) andere onderneming(en) binnen de groep zoals bedoeld in artikel 3, lid 15, van Richtlijn (EU) 2015/849, die producten en diensten aanbiedt die verband houden met cryptoactiva;
vi. een onderneming of persoon die gebruikmaakt van een IP-adres dat is verbonden aan een darknet of software waarmee anoniem kan worden gecommuniceerd, met inbegrip van versleutelde e-mails, anonieme of tijdelijke e-maildiensten en VPN’s;
vii. een kwetsbare persoon, d.w.z. een persoon die waarschijnlijk geen typische cliënt van een CASP is, of een persoon die zeer weinig kennis van en inzicht in cryptoactiva of gerelateerde technologie heeft, wat kan blijken uit de resultaten van een geschiktheids-/kennistest of andere contacten met de cliënt, en die er niettemin voor kiest om frequente of hoogwaardige transacties te verrichten, kan het risico verhogen dat de cliënt wordt gebruikt als geldezel.
b) met betrekking tot het gedrag van de cliënt, situaties waarin de cliënt:
i. zonder duidelijke economische onderbouwing of bedrijfsdoelstelling meerdere cryptoactiva-accounts probeert te openen bij de CASP;
ii. of de uiteindelijk begunstigde van de cliënt, niet in staat of niet bereid is de nodige CDD-informatie te verstrekken wanneer daarom wordt verzocht door de CASP, zonder dat daar een legitieme reden voor is, door:
a) opzettelijk rechtstreeks contact met een CASP te vermijden, hetzij

persoonlijk, hetzij op afstand;

b) te proberen de uiteindelijk begunstigde van de middelen te verhullen

door agenten of geassocieerde personen, zoals aanbieders of trustdienstverleners of zakelijke dienstverleners, bij de zakelijke relatie of transacties in te schakelen;

c) te zwijgen of proberen de CASP te misleiden over de bron van

geldmiddelen of de bron van cryptoactiva die worden gebruikt om cryptoactiva te verkrijgen of over het doel van de transacties;

iii. een IP-adres of een mobiel apparaat gebruikt dat gekoppeld is aan meerdere cliënten, zonder duidelijke economische reden, of waarvan bekend is dat het gekoppeld is aan mogelijk illegale of criminele activiteiten; of de cryptoactiva-account van de cliënt wordt benaderd vanaf meerdere IP-adressen zonder dat er een duidelijk verband is met de cliënt;
iv. informatie verstrekt die inconsistent is, bijvoorbeeld wanneer het IP-adres van de cliënt niet overeenkomt met andere informatie over de cliënt, zoals de informatie die bij een overdracht moet worden gevoegd overeenkomstig artikel 14, leden 1 en 2, van Verordening (EU) 2023/1113, of de gebruikelijke verblijfplaats, registratie of zakelijke activiteit van de cliënt (zowel op het moment van het aangaan van de zakelijke relatie als op het moment van de transactie); informatie verstrekt over de bronnen van geldmiddelen of de bron van cryptoactiva die niet overeenkomt met andere CDD-informatie of het algehele profiel van de cliënt;
v. gebruikmaakt van een adres, locatie of IP-adres dat gekoppeld is aan cryptoactiva-accounts die zijn geregistreerd bij verschillende gebruikers en die bij één enkele CASP of bij meerdere CASP’s worden aangehouden;
vi. vaak zijn of haar persoonlijke gegevens of betaalinstrumenten wijzigt zonder duidelijke reden;
vii. regelmatig bedragen aan cryptoactiva ontvangt of overmaakt van of naar zelfgehoste adressen, welke net onder de in artikel 14, lid 5, en artikel 16, lid 2, van Verordening (EU) 2023/1113 gedefinieerde drempel van 1 000 EUR liggen, wat de verificatie van de begunstigde of de opdrachtgever in gang zou zetten;
viii. aangeeft dat het de bedoeling is om te beleggen in een initial public offering van tokens of in een cryptoactivum of product dat een onevenredig hoog rendement biedt en gevestigd is in een hoogrisicoland of gepaard gaat met duidelijke aanwijzingen voor fraude of dat niet ondersteund wordt door een witboek dat vereist is volgens de Verordening (EU) 2023/1114⁷ ;
ix. gedragingen of transactiepatronen vertoont die niet overeenkomen met wat verwacht wordt van het type cliënt of de risicocategorie waartoe hij behoort, of die onverwacht zijn op basis van de informatie die de cliënt aan de CASP heeft verstrekt, hetzij aan het begin, hetzij gedurende de zakelijke relatie. Dergelijke omstandigheden zijn onder meer dat de cliënt:
a) onverwacht en zonder duidelijke reden het volume of de waarde van een

overmaking van cryptoactiva of gecombineerde overdrachten na een periode van inactiviteit aanzienlijk verhoogt; transacties verricht met een ongebruikelijk hoge frequentie en een ongebruikelijk hoog volume van cryptoactiva, die niet consistent zijn met het doel en de aard van de zakelijke relatie en zonder een duidelijk economisch doel;

c) de transactiegrens verhoogt in een mate die niet in verhouding staat tot

de opgegeven inkomsten van de cliënt of anderszins groter is dan de verwachte omvang van de activiteit;

x. gedragingen en patronen vertoont die ongebruikelijk zijn omdat het gaat om onverklaarde overdrachten naar/uit distributed-ledger-adressen of cryptoactiva-accounts in meerdere jurisdicties zonder duidelijk zakelijk of rechtmatig doel.
xi. bij het omwisselen van cryptoactiva naar officiële valuta en omgekeerd:
a) meerdere bank- of betaalrekeningen, kredietkaarten of prepaidkaarten

gebruikt voor de financiering van de cryptoactiva-account;

b) een bank- of betaalrekening, kredietkaart op naam van een andere

persoon dan de cliënt gebruikt, zonder duidelijke banden met die persoon te hebben;

c) een bank- of betaalrekening gebruikt in een jurisdictie die niet

overeenkomt met het opgegeven adres of de locatie van de cliënt;

d) meerdere aanbieders van betalingsdiensten gebruikt;
e) herhaaldelijk vraagt om wisseling van cryptoactiva naar of van contant

f)	geld of anoniem elektronisch geld; protocollen gebruikt die twee blockchains verbinden voor het wisselen van cryptoactiva naar andere cryptoactiva op een ander netwerk, zoals Monero, Zcash of vergelijkbaar;

g) cryptogeldautomaten gebruikt op verschillende locaties om herhaaldelijk

geld over te maken naar een bankrekening;

h) cryptoactiva opneemt van een CASP naar een zelfgehost adres

onmiddellijk na het storten van cryptoactiva of het omwisselen voor verschillende cryptoactiva bij een CASP;

xii. cryptoactiva belegt of wisselt die hij heeft geleend via een peer-to-peer- of ander leenplatform dat niet valt onder het toepassingsgebied van Verordening (EU) 2023/1114 of onder enig ander relevant regelgevingskader binnen of buiten de EU en dat met name een gedecentraliseerde of gedistribueerde toepassing is zonder dat een rechtspersoon of natuurlijke persoon er zeggenschap of invloed over heeft;
xiii. direct of indirect cryptoactiva ontvangt of verzendt die verband houden met het darknet of die het resultaat zijn van illegale activiteiten;
xiv. cryptoactiva belegt of wisselt, die zelf een hogere mate van anonimiteit bieden, of situaties waarin de cliënt cryptoactiva ontvangt die onderworpen zijn geweest aan anonimiteit-verhogende activiteiten, met processen die de transactie op de ledger-technologie versluieren of andere kenmerken bevatten die vergelijkbaar zijn met de in punt a) van richtsnoer 21.5 genoemde kenmerken;
xv. herhaaldelijk cryptoactiva ontvangt van of verzendt naar:
a) een cryptoactiva-account via een intermediaire aanbieder van

cryptoactivadiensten, die niet valt onder het toepassingsgebied van Verordening (EU) 2023/1114 of onder een ander relevant regelgevingskader binnen of buiten de EU; of die onderworpen is aan een AML/CTF-regelgevings- en toezichtkader dat minder robuust is dan dat waarin Richtlijn (EU) 2015/849 voorziet;

b) meerdere zelfgehoste adressen of meerdere cryptoactiva-accounts die

door dezelfde of verschillende CASP’s worden aangehouden zonder dat daarvoor een duidelijke economische reden bestaat;

c) een nieuw aangemaakte of eerder inactieve cryptoactiva-account of een

distributed-ledger-adres aangehouden door een derde partij;

d) zelfgehoste adressen op gedecentraliseerde platforms, waarbij gebruik

wordt gemaakt van mixers, tumblers en andere privacybevorderende technologieën die de financiële geschiedenis van het distributed-ledger-adres en de bron van middelen voor de transactie kunnen verhullen, waardoor het vermogen van de CASP om zijn cliënten te kennen en doeltreffende AML/CTF-systemen en -controles toe te passen, wordt ondermijnd;

e) een cryptoactiva-account kort nadat hij door de CASP is geaccepteerd,

waarna in korte tijd een opname of overdracht van een dergelijke rekening volgt zonder dat er daarvoor sprake is van een duidelijke economische reden; een cryptoactiva-account die vaak onder een bepaalde drempel ligt of, in het geval van overdrachten naar een zelfgehost adres, onder de drempel van 1 000 EUR als bedoeld in artikel 14, lid 5, en artikel 16, lid 2, van Verordening (EU) 2023/1113;

g) een cryptoactiva-account door de transacties op te splitsen in meerdere

transacties die naar meerdere distributed-ledger-adressen worden gestuurd met behulp van “smurfing”-technieken.

xvi. gebruik lijkt te maken van technologische fouten of storingen in zijn voordeel;
xvii. uitlegt dat de aan de CASP overgedragen cryptoactiva zijn verkregen door middel van mining- of stakingbeloningen, maar dat deze beloningen niet in verhouding lijken te staan tot de cryptoactiva die door middel van dergelijke activiteiten zijn gegenereerd.

21.6. De volgende factoren kunnen bijdragen tot een lager risico wanneer:

a) de cliënt tijdens eerdere transacties in cryptoactiva heeft voldaan aan de informatievereisten van Verordening (EU) 2023/1113 en zoals nader bepaald in deel 4 van de EBA-richtsnoeren inzake reisvoorschriften⁸ , en informatie heeft verstrekt die de identificatie van een cliënt of het vermogen om deze te controleren bij twijfel of verdenking mogelijk maakt;
b) eerdere transacties van de cliënt in cryptoactiva geen aanleiding tot verdenking of bezorgdheid hebben gegeven, en het verlangde product of de verlangde dienst in overeenstemming is met het risicoprofiel van de cliënt;
c) de cliënt om wisseling van of naar een officiële valuta vraagt, en ofwel de bron, ofwel bestemming van de geldmiddelen de eigen bankrekening van de cliënt is bij een kredietinstelling in een land dat door de CASP als laagrisicoland wordt aangemerkt;
d) de cliënt om wisseling vraagt, en ofwel de bron, ofwel de bestemming van het cryptoactief de eigen cryptoactiva-account of een distributed-ledger-adres van de cliënt is, die of dat wordt gehost door een bij Verordening (EU) 2023/1114 gereguleerde CASP of door een aanbieder van cryptoactivadiensten, niet zijnde een bij Verordening (EU) 2023/1114 gereguleerde CASP, die buiten de EU wordt gereguleerd en onder toezicht staat op grond van het regelgevingskader dat even robuust is als dat waarin Verordening (EU) 2023/1114 voorziet en onderworpen is aan AML/CFT-vereisten die even robuust zijn als die waarin Richtlijn (EU) 2015/849 voorziet, die door de CASP op de witte lijst is geplaatst of anderszins is aangemerkt als laag risico;
e) de cliënt om wisseling vraagt, en ofwel de bron, ofwel de bestemming van het cryptoactivum betrekking heeft op betalingen van lage waarde voor goederen en diensten van/naar een cryptoactiva-account of een distributed-ledger-adres waarover geen negatieve informatie beschikbaar is;
f) de cliënt overdrachten verricht tussen twee CASP’s of een CASP en een aanbieder van cryptoactivadiensten, niet zijnde een bij Verordening (EU) 2023/1114 gereguleerde CASP, die ofwel binnen de EU onderworpen is aan regelgeving en toezicht of anderszins onderworpen is aan een regelgevingskader dat even robuust is als dat waarin Verordening (EU) 2023/1114 voorziet en onderworpen is aan AML/CFT-vereisten die even robuust zijn als die waarin Richtlijn (EU) 2015/849 voorziet.

Landgebonden of geografische risicofactoren

21.7. De volgende factoren kunnen bijdragen tot een hoger risico:

a) de geldmiddelen van de cliënt die worden gewisseld naar cryptoactiva zijn afkomstig van persoonlijke of zakelijke relaties waarbij jurisdicties betrokken zijn waar sprake is van een hoger ML/TF-risico;
b) de oorspronkelijke of begunstigde cryptoactiva-account of een distributed-ledger-adres is verbonden aan een jurisdictie waar sprake is van een hoger ML/TF-risico, aan juridicties/regio’s waarvan bekend is dat ze financiering of ondersteuning bieden voor terroristische activiteiten of waarvan bekend is dat er groepen opereren die terroristische misdrijven plegen, en aan jurisdicties die onderworpen

zijn aan

financiële sancties, embargo’s of maatregelen die verband houden met

terrorisme, financiering van terrorisme of proliferatie;

c) de cliënt of de uiteindelijke begunstigde van de cliënt is ingezetene van, gevestigd in, opereert in of heeft persoonlijke of zakelijke relaties met een jurisdictie die wordt geassocieerd met een verhoogd ML/TF-risico;
d) de zakelijke relatie wordt tot stand gebracht via een CASP of een cryptogeldautomaat, die zich bevindt in een regio of jurisdictie waar sprake is van een hoog ML/TF-risico;
e) de cliënt is betrokken bij activiteiten op het gebied van cryptoactivamining, hetzij direct, hetzij indirect via relaties met derden, die plaatsvinden in een hoogrisicoland dat door de Europese Commissie is geïdentificeerd overeenkomstig artikel 9 van

Richtlijn

(EU) 2015/849, of in een jurisdictie waarop beperkende maatregelen of

gerichte financiële sancties van toepassing zijn.

21.8. De volgende factor kan bijdragen tot een lager risico:

a) indien de overdracht afkomstig is van of verzonden wordt naar een cryptoactiva-account die of een distributed-ledger-adres dat wordt gehost door een CASP of een aanbieder van cryptoactivadiensten, niet zijnde een bij Verordening (EU) 2023/1114 gereguleerde CASP, in een jurisdictie waar sprake is van een laag ML/TF-risico.

Distributiekanaalgebonden risicofactoren

21.9. De volgende factoren kunnen bijdragen tot een hoger risico:

a) de zakelijke relatie komt tot stand door gebruik te maken van oplossingen voor de acceptatie van cliënten op afstand, die niet voldoen aan de EBA-richtsnoeren voor de acceptatie van cliënten op afstand⁹ ;
b) er zijn geen beperkingen gesteld aan het financieringsinstrument, bijvoorbeeld in het geval van contanten, cheques of elektronischgeldproducten die profiteren van de vrijstelling van artikel 12 van Richtlijn (EU) 2015/849;
c) de zakelijke relatie tussen de CASP en de cliënt wordt tot stand gebracht via een intermediaire aanbieder van cryptoactivadiensten zoals bedoeld in richtsnoer 9.20;
d) de identificatie en verificatie van een cliënt wordt uitgevoerd door een aanbieder van cryptoactivadiensten die gevestigd is in een hoogrisicoland op basis van een uitbestedingsovereenkomst, overeenkomstig artikel 29 van Richtlijn (EU) 2015/849;

e) nieuwe

distributiekanalen of nieuwe technologie worden gebruikt voor de

distributie van cryptoactiva die nog niet volledig zijn getest of die een verhoogd ML/TF-risico inhouden;

f) de zakelijke relatie wordt aangegaan via cryptogeldautomaten, waardoor het risico als gevolg van het gebruik van contanten toeneemt.

21.10. De volgende factor kan bijdragen tot een lager risico :

a) wanneer de CASP vertrouwen stelt in CDD-maatregelen die overeenkomstig artikel 26 van Richtlijn (EU) 2015/849 door een derde worden toegepast en wanneer die derde in de EU is gevestigd.

⁶ Verordening (EU) 2023/1114 betreffende cryptoactivamarkten en tot wijziging van Verordeningen (EU) nr. 1093/2010 en (EU) nr. 1095/2010 en Richtlijnen 2013/36/EU en (EU) 2019/1937

⁷ Verordening (EU) 2023/1114 betreffende cryptoactivamarkten en tot wijziging van Verordeningen (EU) nr. 1093/2010 en (EU) nr. 1095/2010 en Richtlijnen 2013/36/EU en (EU) 2019/1937.

⁸ Richtsnoeren voor het voorkomen van misbruik van geldmiddelen en bepaalde overmakingen van cryptoactiva voor doeleinden van witwassen en terrorismefinanciering op grond van Verordening (EU) 2023/1113, [.... gelieve hier het nummer van deze richtsnoeren in te voegen zodra deze richtsnoeren zijn vastgesteld”, momenteel in het kader van raadpleging (EBA/CP/2023/35)] (“Richtsnoeren betreffende reisregels”)

⁹ EBA-richtsnoeren voor het gebruik van oplossingen voor de acceptatie van cliënten op afstand overeenkomstig artikel 13, lid 1, van Richtlijn (EU) 2015/849 (EBA/GL/2022/15).

Maatregelen

21.11. CASP’s dienen ervoor te zorgen dat de systemen die zij gebruiken om ML/TF-risico’s te identificeren en aan te pakken, voldoen aan de criteria van titel I van deze richtsnoeren. Met name dienen CASP’s er vanwege hun bedrijfsmodel voor te zorgen dat zij beschikken over geschikte en effectieve instrumenten voor monitoring, waaronder instrumenten voor transactiemonitoring en geavanceerde analytische instrumenten. De reikwijdte van dergelijke instrumenten wordt bepaald door de aard en het volume van de activiteiten van de CASP, waaronder het type cryptoactivum dat voor handel of wisseling beschikbaar wordt gesteld. Aanbieders van cryptoactivadiensten dienen er tevens voor te zorgen dat relevante werknemers een gespecialiseerde opleiding krijgen om een goed inzicht te krijgen in cryptoactiva en ML/TF-risico’s waaraan zij de CASP kunnen blootstellen.

Verscherpt cliëntenonderzoek

21.12. Indien het aan een zakelijke relatie of occasionele transactie verbonden risico verhoogd is, dienen CASP’s verscherpte CDD-maatregelen toe te passen overeenkomstig artikel 18 van Richtlijn (EU) 2015/849 en zoals uiteengezet in titel I van deze richtsnoeren. Daarnaast dienen CASP’s waar nodig, afhankelijk van de risicoblootstelling van de zakelijke relatie, de in onderstaande lijst opgesomde relevante verscherpte CDD-maatregelen toe te passen:

a) verifiëren van de identiteit van de cliënt en de uiteindelijk begunstigde op basis van meer dan één betrouwbare en onafhankelijke bron;
b) identificeren en verifiëren van de identiteit van meerderheidsaandeelhouders die niet voldoen aan de definitie van uiteindelijke begunstigde overeenkomstig artikel 3 van Richtlijn (EU) 2015/849 of van natuurlijke personen die bevoegd zijn om namens de cliënt een cryptoactiva-account of een distributed-ledger-adres te beheren of instructies te geven over de overdracht of wisseling van cryptoactiva of andere diensten met betrekking tot deze cryptoactiva;
c) inwinnen van meer informatie over de cliënt en de aard en het doel van de zakelijke relatie om een vollediger cliëntprofiel te ontwikkelen, bijvoorbeeld door openbare bronnen of negatieve berichtgeving in de media te onderzoeken of door een derde partij opdracht te geven een inlichtingenrapport op te stellen. Voorbeelden van het type informatie dat CASP’s kunnen inwinnen, zijn:
i. de aard van de bedrijfsactiviteit of het dienstverband van de cliënt;
ii. de bron van het vermogen van de cliënt en de bron van zijn geldmiddelen die worden gewisseld voor cryptoactiva, om redelijke zekerheid te verkrijgen dat deze rechtmatig zijn;
iii. de bron van de cryptoactiva van de cliënt die worden gewisseld voor officiële valuta, met inbegrip van wanneer en waar ze werden gekocht;
iv. het doel van de transactie, daaronder begrepen de bestemming van de overmaking van cryptoactiva, voor zover van toepassing;
v. informatie over alle banden die de cliënt mogelijk heeft met andere jurisdicties (hoofdkantoren, bedrijfseenheden, bijkantoren enz.) of de personen van wie bekend is dat ze een aanzienlijke invloed uitoefenen op de activiteiten van de cliënt;
vi. opvragen of verkrijgen van gegevens over de cryptoactivatransacties van de cliënt en, wanneer de cliënt een CASP is, zijn handelsgeschiedenis binnen het systeem van de CASP.
d) verkrijgen van bewijs over de bron van middelen, de bron van vermogen of de bron van cryptoactiva met betrekking tot de transacties die een hoger risico inhouden;
e) verhogen van de frequentie van de monitoring van cryptoactivatransacties. Alle transacties dienen te worden gemonitord met het oog op onverwacht gedrag, patronen en indicatoren van verdachte activiteiten, waarbij ook rekening dient te worden gehouden met de partijen waarmee de cliënt handelt;
f) controleren en, in voorkomend geval, bijwerken van informatie, gegevens en documentatie die vaker worden aangehouden, met name in het geval van een gebeurtenis die daartoe aanleiding geeft;
g) indien het aan de relatie verbonden risico bijzonder hoog is, heronderzoeken CASP’s de zakelijke relatie regelmatiger;
h) vaker of grondiger beoordelen van de activiteiten die via de cryptoactiva-account van de cliënt worden uitgevoerd door gebruik te maken van onderzoeksinstrumenten voor cryptoactiva;
i) indien een cliënt beschikt over meerdere distributed-ledger-adressen of blockchainnetwerken, dient de CASP deze adressen aan de cliënt te koppelen;
j) verhogen van de frequentie van het controleren van de IP-adressen van de cliënt en deze vergelijken met de IP-adressen die door andere cliënten worden gebruikt;
k) verkrijgen van bevestiging van het niveau van kennis en begrip van cryptoactiva van de cliënt om een mate van zekerheid te verkrijgen dat de cliënt niet wordt gebruikt als geldezel;
l) indien een patroon van opnames of terugbetalingen niet in overeenstemming is met het profiel van de cliënt of de aard en het doel van de zakelijke relatie, dient de CASP aanvullende maatregelen te nemen om ervoor te zorgen dat een opname of terugbetaling wordt gevraagd door de cliënt en niet door een derde. Dit is met name relevant voor risicovolle, oudere of meer kwetsbare cliënten;
m) verkrijgen van bevestiging dat een zelfgehost adres, waaruit een overdracht wordt ontvangen, onder zeggenschap staat, of eigendom is, van de cliënt van de CASP.

21.13. CASP’s dienen geavanceerde analyse-instrumenten toe te passen op transacties op basis van risicogevoeligheid, in aanvulling op de standaardinstrumenten voor transactiemonitoring; CASP’s dienen geavanceerde analyse-instrumenten toe te passen om het aan transacties verbonden risico te beoordelen, met name transacties met zelfgehoste adressen, aangezien dit de CASP in staat stelt de geschiedenis van transacties te traceren en potentiële verbanden met criminele activiteiten, personen of entiteiten vast te stellen.

21.14. Ten aanzien van zakelijke relaties of transacties waarbij derde landen met een hoog risico betrokken zijn, dienen CASP’s de richtsnoeren in titel I te volgen.

Vereenvoudigd cliëntenonderzoek

21.15. In situaties met een laag risico, die als zodanig zijn geclassificeerd op basis van de ML/TF-risicobeoordeling die door de CASP is uitgevoerd in overeenstemming met deze richtsnoeren, en voor zover toegestaan door de nationale wetgeving, kunnen CASP’s SDD-maatregelen toepassen, die kunnen bestaan uit:

a) voor cliënten die zijn onderworpen aan een verplicht vergunningen- en regelgevingsstelsel in de EU of in een derde land, het verifiëren van de identiteit op basis van bewijsmateriaal over de cliënt die onderworpen is aan dat stelsel, bijvoorbeeld door het openbaar register van de autoriteit te doorzoeken;
b) het bijwerken van CDD-informatie, gegevens of documentatie uitsluitend in geval van specifieke triggergebeurtenissen, zoals wanneer de cliënt om een nieuw product of een product met een hoger risico vraagt, of wijzigingen in het gedrag of transactieprofiel van de cliënt die erop wijzen dat het aan de relatie verbonden risico niet langer laag is, met inachtneming van eventuele bijwerkperioden die in de nationale wetgeving zijn vastgelegd;
c) het verlagen van de frequentie van transactiemonitoring voor producten die betrekking hebben op terugkerende transacties.

Bijhouden van gegevens

21.16. Wanneer de informatie over cliënten en transacties beschikbaar is in de distributed ledger, mogen CASP’s niet vertrouwen op de distributed ledger voor het vastleggen van gegevens, maar dienen zij stappen te ondernemen om hun verantwoordelijkheden op het gebied van het vastleggen van gegevens na te komen overeenkomstig Richtlijn (EU) 2015/849 en de richtsnoeren 5.1 en 5.2. CASP’s dienen procedures in te stellen die hen in staat stellen het distributed-ledger-adres te koppelen aan een privésleutel die wordt beheerd door een natuurlijk of rechtspersoon.

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

Eisen
Bron	Eis

3. Gerelateerde standaarden

Standaarden
Bron	Eis

EBA - Published by the European Banking Authority at https://www.eba.europa.eu/