4.1 Polityka i procedury wewnętrzne

Instytucje kredytowe i finansowe powinny wprowadzić i utrzymywać dokumenty polityki i procedury pozwalające im wypełnić obowiązki wynikające z art. 13 ust. 1 lit. a) i c) dyrektywy (UE) 2015/849 w sytuacjach zdalnego nawiązywania relacji z klientami. Takie dokumenty polityki i procedury powinny uwzględniać ryzyko i przedstawiać co najmniej:

• a) ogólny opis rozwiązania przyjętego przez instytucje kredytowe i finansowe w celu gromadzenia, weryfikowania i rejestrowania informacji w całym procesie zdalnego nawiązywania relacji z klient ami . Powinn y one obejmować wyjaśnienie cech i sposobu działania tego rozwiązania;
• b) sytuacje, w których można zastosować rozwiązanie w zakresie zdalnego nawiązywania relacji z klient ami , z uwzględnieniem czynników ryzyka zidentyfikowanych i ocenionych zgodnie z art. 8 ust. 1 dyrektywy (UE) 2015/849 oraz w ramach oceny ryzyka dla ogółu działalności, w tym opis kategorii klientów, produktów i usług, które kwalifikują się do zdalnego nawiązania relacji z klient ami ;
• c) które czynności są w pełni zautomaty zowane, a które wymagają interwencji człowieka;
• d) środki kontroli wprowadzone w celu zapewnienia, aby pierwsza transakcja z now ym klientem została zrealizowana dopiero po zastosowaniu wszystkich wstępnych środków należytej staranności wobec tego klienta;
• e) opis programów wprowadzających i regularnych szkoleń mających na celu podniesienie poziomu świadomości pracowników i przekazanie im aktualnej wiedzy na temat funkcjonowania rozwiązania w zakresie zdalnego nawiązywania relacji z klient ami , ryzyka związanego z tym rozwiązaniem oraz dokumentów polityki i procedur dotyczących zdalnego nawiązywania relacji z klient ami i mających na celu ograniczenie tego ryzyka.

Dokumenty polityki i procedury, o ile zostaną wdrożone, powinny umożliwić instytucjom kredytowym i finansowym zapewnienie zgodności z przepisami sekcji 4.2 – 4.7 niniejszych wytycznych.

4.1.2 Zarządzanie

Oprócz przepisów określonych w sekcji 4.2.4 wytycznych EUNB dotyczących pracowników ds. zgodności z przepisami³ pracownik ds. zgodności z przepisami AML/CFT⁴ powinien – w ramach swojego ogólnego obowiązku przygotowywania strategii i procedur w celu spełnienia wymogów należytej staranności wobec klienta – zapewnić skuteczne wdrażanie dokumentów polityki i procedur dotyczących zdalnego nawiązywania relacji z kli entami , regularnie poddawać je przeglądowi i w razie potrzeby zmieniać.

³ Projekt wytycznych w sprawie strategii i procedur zarządzania zgodnością z przepisami oraz roli i obowiązków pracownika ds. zgodności z przepisami AML/CFT wydane na podstawie art. 8 i rozdziału VI dyrektywy .

⁴ Zgodnie z kryteriami proporcjonalności określonymi w sekcji 4.2.2 wytycznych dotyczących pracowników ds. zgodności z przepisami.

Organ zarządzający instytucji kredytowej i finansowej powinien zatwierdzać dokumenty polityki i procedury zdalnego nawiązywania relacji z klient ami oraz nadzorować ich prawidłowe wdrażanie.

4.1.3 Ocena rozwiązania w zakresie zdalnego nawiązywania relacji z klientami poprzedzająca jego wdrożenie

Rozważając przyjęcie nowe go rozwiązani a w zakresie zdalnego nawiązywania relacji z klient ami , instytucje kredytowe i finansowe powinny przeprowadzić ocenę takiego rozwiązania przed jego wdrożeniem .

Instytucje kredytowe i finansowe powinny określić w swoich dokumentach polityki i procedurach zakres, etapy i wymogi dotyczące prowadzenia dokumentacji na potrzeby oceny poprzedzającej wdrożenie, które powinny obejmować co najmniej:

• a) ocenę adekwatności rozwiązania pod względem kompletności i dokładności gromadzonych danych i dokumentów, a także wiarygodności i niezależności źródeł informacji wykorzystywanych w ramach danego rozwiązania;
• b) ocenę wpływu stosowania rozwiązania w zakresie zdalnego nawiązywania relacji z klient ami na ryzy ko dla ogółu działalności, w tym ryzyko prania pieniędzy i finansowania terroryzmu, ryzyko operacyjne, ryzyko utraty reputacji i ryzyko prawne;
• c) określenie możliwych środków ogranicza nia ryzyk a i działań naprawczych w odniesieniu do każdego rodzaju ryzyka zidentyfikowanego w ocenie dokonanej na podstawie lit. b);
• d) testy służące ocenie ryzyka nadużyć finansowych, w tym ryzyka oszustw opartych na podszywaniu się pod inną osobę, oraz innego rodzaju ryzyka związanego z technologią informacyjno - komunikacyjną („ICT”) i bezpieczeństwem, zgodnie z ust. 43 wytycznych EUNB w sprawie zarządzania ryzykiem związanym z technologiami i bezpieczeństwem ICT⁵ ;
• e) kompleksowe badanie funkcjonowania rozwiązania ukierunkowanego na klientów, produkty i usługi, o których mowa w polityce i procedurach dotyczących zdalnego nawiązywania relacji z klient ami.

⁵ EBA/GL/2019/04 .

Instytucje kredytowe i finansowe powinny uznać kryteria określone w ust. 14 lit. a), d) i e) za spełnione, jeżeli w ramach danego rozwiązania stosuje się jedno z poniższych:

• a) systemy identyfikacji elektronicznej notyfikowane zgodnie z art. 9 rozporządzenia (UE) nr 910/2014 i spełniające wymogi „średniego” lub „wysokiego” poziomu bezpieczeństwa zgodnie z art. 8 tego rozporządzenia;
• b) odpowiednie kwalifikowane usługi zaufania, które spełniają wymogi rozporządzenia (UE) nr 910/2014, w szczególności rozdziału III sekcj i 3 i art. 24 ust. 1 akapit u drugiego lit. b) tego rozporządzenia.

Instytucje kredytowe i finansowe powinny być w stanie wykazać właściwemu organowi, jakie oceny przepro wadziły przed wdrożeniem rozwiązania w zakresie zdalnego nawiązywania relacji z klient ami , rezultaty swojej oceny, jak również wyjaśnić, w jaki sposób stosowanie danego rozwiązania jest odpowiednie w świetle ryzyka prania pieniędzy lub finansowania terrory zmu, które to ryzyko zidentyfikowano w odniesieniu do rodzajów klientów, usług, terytorium i produktów objętych zakresem rozwiązania.

Instytucje kredytowe i finansowe powinny zacząć korzystać z rozwiązania w zakresie zdalnego nawiązywania relacji z klient ami dopiero po upewnieniu się, czy może ono zostać włączone do szerszego systemu kontroli wewnętrznej instytucji, co umożliwi instytucj i odpowiednie zarządzanie ryzykiem prania pieniędzy lub finansowania terroryzmu, które to ryzyko może wynikać z zastosowania rozwiązania w zakresie zdalnego nawiązywania relacji z klient ami.

4.1.4 Bieżące monitorowanie rozwiązania w zakresie zdalnego nawiązywani a relacji z klientami

Instytucje kredytowe i finansowe powinny na bieżąco monitorować rozwiązanie w zakresie zdalnego nawiązywania relacji z klient ami , aby zapewnić jego funkcjonowanie zgodne z oczekiwaniami instytucji kredytowych i finansowych. Powinny one uzupełniać swoją politykę i procedury opisane w ust. 9 o opis co najmniej:

• a) czynności, jakie podejmą w celu upewnienia się co do bieżącej jakości, kompletności, dokładności i adekwatności danych zgromadzonych w trakcie zdalnego nawiązywania relacji z kli entami , przy czym czynności te powinny być współmierne do ryzyka prania pieniędzy lub finansowania terroryzmu, na jakie narażona jest instytucja kredytowa i finansowa;
• b) zakresu i częstotliwości taki ego regularn ego przeglądu danych; oraz
• c) okoliczności, które wymagają przeprowadzenia przegląd u ad hoc , wśród których powinny znaleźć się co najmniej:
• a. zmiany w ekspozycji instytucji kredytowej i finansowej na ryzyko prania pieniędzy lub finansowania terroryzmu;
• b. niedociągnięcia w funkcjonowaniu rozwiązania wykryte w trakcie jego monitorowania, działań audytowych lub nadzorczych;
• c. zauważalny wzrost liczby prób popełnienia oszustwa;
• d. zmiany ram prawnych lub regulacyjnych.

Instytucje kredytowe i finansowe powinny określić w swoich procedurach i procesach działania naprawcze na wypadek urzeczywistnienia się ryzyka lub na wypadek wykrycia błędów, które mają wpływ na wydajność i skuteczność ogólnego rozwiązania w zakresie nawiązywania relacji z klient ami. Działania te powinny obejmować co najmniej:

• a) przegląd wszystkich stosunków gospodarczych, których to dotyczy, w celu ustalenia, czy instytucje kredytowe i finansowe podjęły wystarczające wstępne środki należytej staranności wobec klienta w celu spełnienia wymogów wynikających z art. 13 ust. 1 lit. a), b) i c) dyrektywy w sprawie przeciwdziałania praniu pieniędzy. Instytucje kredytowe i finansowe powinny priorytetowo traktować te stosunki gospodarcze, które wiążą się z najwyższym poziomem ryzyka prania pieniędzy lub finansowania terroryzmu;
• b) uwzględniając informacje uzyskane w ramach wyżej w spomnianego przeglądu – ocenę, czy dany stosunek gospodarczy, któr ego dotyczy, powinien:
• a. podlegać dodatkowym środkom należytej staranności;
• b. podlegać ograniczeniom, takim jak ograniczenia wielkości transakcji, w przypadkach dopuszczalnych na mocy prawa krajowego, do czasu przeprowadzenia przeglądu,;
• c. zostać zakończony;
• d. zostać zgłoszony jednostce analityki finansowej;
• e. zostać uwzględniony w innej kategorii ryzyka.

Instytucje kredytowe i finansowe powinny rozważyć najskuteczniejszy sposób monitorowania bieżącej adekwatności i niezawodności rozwiązań w zakresie zdalnego nawiązywania relacji z klien tami . Powinny one rozważyć między innymi co najmniej jeden z następujących środków:

• i. test zapewnienia jakości;
• ii. zautomatyzowane ostrzeżenia (alerty) i powiadomienia o krytycznym znaczeniu;
• iii. regularne zautomatyzowane sprawozdania dotyczące jakości;
• iv. testowanie wyrywkowe;
• v. przeglądy manualne.

Niniejsza sekcja ma również zastosowanie w przypadku, gdy wykorzystuje się w pełni zautomatyzowane rozwiązania w zakresie nawiązywania relacji z klient ami , które są w dużym stopniu zależne od zautomatyzowanych algorytmów i prowadzone bez udziału człowieka lub przy niewielkim udziale człowieka.

Instytucje kredytowe i finansowe powinny być w stanie wykazać właściwym organ om , jakie przeglądy przeprowadziły, a także jakie działania naprawcze podjęły, aby wyeliminować wszelkie niedociągnięcia stwierdzone w cały m okres ie funkcjonowania rozwiązania w zakresie zdalnego nawiązywania relacji z klient ami.