Maatregelen

21.11. CASP’s dienen ervoor te zorgen dat de systemen die zij gebruiken om ML/TF-risico’s te identificeren en aan te pakken, voldoen aan de criteria van titel I van deze richtsnoeren. Met name dienen CASP’s er vanwege hun bedrijfsmodel voor te zorgen dat zij beschikken over geschikte en effectieve instrumenten voor monitoring, waaronder instrumenten voor transactiemonitoring en geavanceerde analytische instrumenten. De reikwijdte van dergelijke instrumenten wordt bepaald door de aard en het volume van de activiteiten van de CASP, waaronder het type cryptoactivum dat voor handel of wisseling beschikbaar wordt gesteld. Aanbieders van cryptoactivadiensten dienen er tevens voor te zorgen dat relevante werknemers een gespecialiseerde opleiding krijgen om een goed inzicht te krijgen in cryptoactiva en ML/TF-risico’s waaraan zij de CASP kunnen blootstellen.

Verscherpt cliëntenonderzoek

21.12. Indien het aan een zakelijke relatie of occasionele transactie verbonden risico verhoogd is, dienen CASP’s verscherpte CDD-maatregelen toe te passen overeenkomstig artikel 18 van Richtlijn (EU) 2015/849 en zoals uiteengezet in titel I van deze richtsnoeren. Daarnaast dienen CASP’s waar nodig, afhankelijk van de risicoblootstelling van de zakelijke relatie, de in onderstaande lijst opgesomde relevante verscherpte CDD-maatregelen toe te passen:

• a) verifiëren van de identiteit van de cliënt en de uiteindelijk begunstigde op basis van meer dan één betrouwbare en onafhankelijke bron;
• b) identificeren en verifiëren van de identiteit van meerderheidsaandeelhouders die niet voldoen aan de definitie van uiteindelijke begunstigde overeenkomstig artikel 3 van Richtlijn (EU) 2015/849 of van natuurlijke personen die bevoegd zijn om namens de cliënt een cryptoactiva-account of een distributed-ledger-adres te beheren of instructies te geven over de overdracht of wisseling van cryptoactiva of andere diensten met betrekking tot deze cryptoactiva;
• c) inwinnen van meer informatie over de cliënt en de aard en het doel van de zakelijke relatie om een vollediger cliëntprofiel te ontwikkelen, bijvoorbeeld door openbare bronnen of negatieve berichtgeving in de media te onderzoeken of door een derde partij opdracht te geven een inlichtingenrapport op te stellen. Voorbeelden van het type informatie dat CASP’s kunnen inwinnen, zijn:
• i. de aard van de bedrijfsactiviteit of het dienstverband van de cliënt;
• ii. de bron van het vermogen van de cliënt en de bron van zijn geldmiddelen die worden gewisseld voor cryptoactiva, om redelijke zekerheid te verkrijgen dat deze rechtmatig zijn;
• iii. de bron van de cryptoactiva van de cliënt die worden gewisseld voor officiële valuta, met inbegrip van wanneer en waar ze werden gekocht;
• iv. het doel van de transactie, daaronder begrepen de bestemming van de overmaking van cryptoactiva, voor zover van toepassing;
• v. informatie over alle banden die de cliënt mogelijk heeft met andere jurisdicties (hoofdkantoren, bedrijfseenheden, bijkantoren enz.) of de personen van wie bekend is dat ze een aanzienlijke invloed uitoefenen op de activiteiten van de cliënt;
• vi. opvragen of verkrijgen van gegevens over de cryptoactivatransacties van de cliënt en, wanneer de cliënt een CASP is, zijn handelsgeschiedenis binnen het systeem van de CASP.
• d) verkrijgen van bewijs over de bron van middelen, de bron van vermogen of de bron van cryptoactiva met betrekking tot de transacties die een hoger risico inhouden;
• e) verhogen van de frequentie van de monitoring van cryptoactivatransacties. Alle transacties dienen te worden gemonitord met het oog op onverwacht gedrag, patronen en indicatoren van verdachte activiteiten, waarbij ook rekening dient te worden gehouden met de partijen waarmee de cliënt handelt;
• f) controleren en, in voorkomend geval, bijwerken van informatie, gegevens en documentatie die vaker worden aangehouden, met name in het geval van een gebeurtenis die daartoe aanleiding geeft;
• g) indien het aan de relatie verbonden risico bijzonder hoog is, heronderzoeken CASP’s de zakelijke relatie regelmatiger;
• h) vaker of grondiger beoordelen van de activiteiten die via de cryptoactiva-account van de cliënt worden uitgevoerd door gebruik te maken van onderzoeksinstrumenten voor cryptoactiva;
• i) indien een cliënt beschikt over meerdere distributed-ledger-adressen of blockchainnetwerken, dient de CASP deze adressen aan de cliënt te koppelen;
• j) verhogen van de frequentie van het controleren van de IP-adressen van de cliënt en deze vergelijken met de IP-adressen die door andere cliënten worden gebruikt;
• k) verkrijgen van bevestiging van het niveau van kennis en begrip van cryptoactiva van de cliënt om een mate van zekerheid te verkrijgen dat de cliënt niet wordt gebruikt als geldezel;
• l) indien een patroon van opnames of terugbetalingen niet in overeenstemming is met het profiel van de cliënt of de aard en het doel van de zakelijke relatie, dient de CASP aanvullende maatregelen te nemen om ervoor te zorgen dat een opname of terugbetaling wordt gevraagd door de cliënt en niet door een derde. Dit is met name relevant voor risicovolle, oudere of meer kwetsbare cliënten;
• m) verkrijgen van bevestiging dat een zelfgehost adres, waaruit een overdracht wordt ontvangen, onder zeggenschap staat, of eigendom is, van de cliënt van de CASP.

21.13. CASP’s dienen geavanceerde analyse-instrumenten toe te passen op transacties op basis van risicogevoeligheid, in aanvulling op de standaardinstrumenten voor transactiemonitoring; CASP’s dienen geavanceerde analyse-instrumenten toe te passen om het aan transacties verbonden risico te beoordelen, met name transacties met zelfgehoste adressen, aangezien dit de CASP in staat stelt de geschiedenis van transacties te traceren en potentiële verbanden met criminele activiteiten, personen of entiteiten vast te stellen.

21.14. Ten aanzien van zakelijke relaties of transacties waarbij derde landen met een hoog risico betrokken zijn, dienen CASP’s de richtsnoeren in titel I te volgen.

Vereenvoudigd cliëntenonderzoek

21.15. In situaties met een laag risico, die als zodanig zijn geclassificeerd op basis van de ML/TF-risicobeoordeling die door de CASP is uitgevoerd in overeenstemming met deze richtsnoeren, en voor zover toegestaan door de nationale wetgeving, kunnen CASP’s SDD-maatregelen toepassen, die kunnen bestaan uit:

• a) voor cliënten die zijn onderworpen aan een verplicht vergunningen- en regelgevingsstelsel in de EU of in een derde land, het verifiëren van de identiteit op basis van bewijsmateriaal over de cliënt die onderworpen is aan dat stelsel, bijvoorbeeld door het openbaar register van de autoriteit te doorzoeken;
• b) het bijwerken van CDD-informatie, gegevens of documentatie uitsluitend in geval van specifieke triggergebeurtenissen, zoals wanneer de cliënt om een nieuw product of een product met een hoger risico vraagt, of wijzigingen in het gedrag of transactieprofiel van de cliënt die erop wijzen dat het aan de relatie verbonden risico niet langer laag is, met inachtneming van eventuele bijwerkperioden die in de nationale wetgeving zijn vastgelegd;
• c) het verlagen van de frequentie van transactiemonitoring voor producten die betrekking hebben op terugkerende transacties.

Bijhouden van gegevens

21.16. Wanneer de informatie over cliënten en transacties beschikbaar is in de distributed ledger, mogen CASP’s niet vertrouwen op de distributed ledger voor het vastleggen van gegevens, maar dienen zij stappen te ondernemen om hun verantwoordelijkheden op het gebied van het vastleggen van gegevens na te komen overeenkomstig Richtlijn (EU) 2015/849 en de richtsnoeren 5.1 en 5.2. CASP’s dienen procedures in te stellen die hen in staat stellen het distributed-ledger-adres te koppelen aan een privésleutel die wordt beheerd door een natuurlijk of rechtspersoon.

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

3. Gerelateerde standaarden

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/