4.5. Wykrywanie brakujących informacji zgodnie z art. 7, 11, 16 i 20 rozporządzenia (UE) 2023/1113

Procedury, o których mowa w art. 7, 11, 16 i 20 rozporządzenia (UE) 2023/1113, powinny zawierać co najmniej następujące elementy:

• a) działania służące wykrywaniu brakujących, niekompletnych i pozbawionych sensu informacji lub niedopuszczalnych znaków lub danych wejściowych;
• b) połączenie praktyk monitorowania w trakcie i po dokonaniu transferu współmiernych do poziomu ryzyka prania pieniędzy lub finansowania terroryzmu, wiążącego się z danymi transferami, ustalonego zgodnie z wytycznymi EUNB w sprawie czynników ryzyka prania pieniędzy i finansowania terroryzmu; oraz
• c) kryteria, które pomagają dostawcom usług płatniczych, pośredniczącym dostawcom usług płatniczych, dostawcom usług w zakresie kryptoaktywów i pośredniczącym dostawcom usług w zakresie kryptoaktywów w identyfikacji czynników zwiększających ryzyko, opisane w pkt 52.

4.5.2. Kontrole dopuszczalnych znaków lub danych wejściowych w odniesieniu do transferów środków pieniężnych zgodnie z art. 7 ust. 1 i art. 11 ust. 1 rozporządzenia (UE) 2023/1113

Transfer środków pieniężnych

Dostawcy usług płatniczych odbiorców i pośredniczący dostawcy usług płatniczych powinni zapewnić, aby w odniesieniu do ich systemów przesyłania komunikatów lub systemów płatności i rozrachunku:

• a) rozumieli oni zasady walidacji systemu;
• b) system zawierał wszystkie pola niezbędne do uzyskania informacji wymaganych zgodnie z rozporządzeniem (UE) 2023/1113, jak określono w sekcji 4.4.;
• c) system uniemożliwiał wysyłanie lub otrzymywanie transferów w przypadku wykrycia niedopuszczalnych znaków lub danych wejściowych; oraz
• d) system oznaczał odrzucone transfery do ręcznego przeglądu i realizacji.

W przypadku gdy system przesyłania komunikatów lub system płatności i rozrachunku dostawcy usług płatniczych lub pośredniczącego dostawcy usług płatniczych nie spełnia wszystkich kryteriów przewidzianych w pkt 43, dostawca usług płatniczych lub pośredniczący dostawca usług płatniczych powinien wprowadzić środki kontroli w celu ograniczenia nieprawidłowości.

Dostawcy usług płatniczych odbiorców i pośredniczący dostawcy usług płatniczych powinni określić w swoich politykach i procedurach:

• a) w jaki sposób wykryją, czy pola odnoszące się do informacji w systemie przesyłania komunikatów lub systemie płatności i rozrachunku zostały wypełnione znakami lub danymi wejściowymi zgodnymi z konwencjami tego systemu; oraz
• b) kroki, które podejmą, gdy znaki lub dane wejściowe nie będą zgodne z konwencjami tego systemu.

4.5.3. Monitorowanie transferów zgodnie z art. 7 ust. 2, art. 11 ust. 2, art. 16 ust. 1 i art. 20 rozporządzenia (UE) 2023/1113

Transfer środków pieniężnych i kryptoaktywów

Dostawcy usług płatniczych odbiorców, pośredniczący dostawcy usług płatniczych, dostawcy usług w zakresie kryptoaktywów obsługujący beneficjenta lub pośredniczący dostawcy usług w zakresie kryptoaktywów powinni określić w swoich politykach i procedurach, w jaki sposób ustalą, które transfery będą monitorowane w trakcie lub po dokonaniu transferu zgodnie z art. 7 ust. 2, art. 11 ust. 2, art. 16 ust. 1 i art. 20 rozporządzenia (UE) 2023/1113. Dostawcy usług płatniczych, pośredniczący dostawcy usług płatniczych, dostawcy usług w zakresie kryptoaktywów i pośredniczący dostawcy usług w zakresie kryptoaktywów powinni określać co najmniej:

• a) jakie czynniki ryzyka uwzględnią w tej ocenie; oraz
• b) które czynniki zwiększające ryzyko lub kombinacje czynników zwiększających ryzyko będą zawsze prowadzić do uruchomienia monitorowania podczas transferu, a które będą powodować ukierunkowany przegląd po tym, gdy transfer już miał miejsce.

Dostawcy usług płatniczych, pośredniczący dostawcy usług płatniczych, dostawcy usług w zakresie kryptoaktywów i pośredniczący dostawcy usług w zakresie kryptoaktywów powinni określić czynniki ryzyka na podstawie czynników określonych w wytycznych EUNB w sprawie czynników ryzyka prania pieniędzy i finansowania terroryzmu, a także istotne czynniki ryzyka wynikające z ich oceny ryzyka obejmującej całą działalność oraz sektorowej lub krajowej oceny ryzyka w zakresie, w jakim jest ona dostępna. W czynnikach ryzyka należy uwzględniać co najmniej:

• a) transfery, które przekraczają określony wcześniej próg wartości, biorąc pod uwagę średnią wartość transferów, które rutynowo są realizowane, oraz to, co stanowi nietypowo duży transfer, w świetle ich konkretnego modelu biznesowego;
• b) transfery, w przypadku których płatnik, inicjator, odbiorca, beneficjent, dostawca usług płatniczych płatnika, dostawca usług w zakresie kryptoaktywów obsługujący inicjatora, dostawca usług płatniczych odbiorcy lub dostawca usług w zakresie kryptoaktywów obsługujący beneficjenta znajdują się w państwach lub na terytoriach objętych środkami ograniczającymi, w tym ukierunkowanymi sankcjami finansowymi, lub w państwach lub na terytoriach stwarzających wysokie ryzyko obejścia środków ograniczających lub ukierunkowanych sankcji finansowych;
• c) transfery, w przypadku których płatnik, inicjator, odbiorca, beneficjent, dostawca usług płatniczych płatnika, dostawca usług w zakresie kryptoaktywów obsługujący inicjatora, dostawca usług płatniczych odbiorcy lub dostawca usług w zakresie kryptoaktywów obsługujący beneficjenta mają siedzibę w państwie o wysokim ryzyku prania pieniędzy lub finansowania terroryzmu, w tym między innymi:
• i) państwach uznanych przez Komisję Europejską za państwa wysokiego ryzyka zgodnie z art. 9 dyrektywy (UE) 2015/849; oraz
• ii) państwach, których wymogi w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu według wiarygodnych źródeł, takich jak ewaluacje, wzajemne oceny, sprawozdania z oceny lub opublikowane sprawozdania z działań następczych, nie są zgodne z dyrektywą (UE) 2015/849 lub zaleceniami Grupy Specjalnej ds. Przeciwdziałania Praniu Pieniędzy, oraz państwa, które nie wdrożyły skutecznie tych wymogów;
• d) transfery, w przypadku których dostawca usług płatniczych płatnika, dostawca usług w zakresie kryptoaktywów obsługujący inicjatora, pośredniczący dostawca usług płatniczych, pośredniczący dostawca usług w zakresie kryptoaktywów, dostawca usług płatniczych odbiorcy lub dostawca usług w zakresie kryptoaktywów obsługujący beneficjenta znajdują się w państwie, które według publicznie dostępnych informacji nie wdrożyło jeszcze obowiązku uzyskiwania, przechowywania i przekazywania informacji o inicjatorze i beneficjencie podczas dokonywania transferów środków pieniężnych i transferów aktywów wirtualnych;
• e) transfery z podmiotami mającymi siedzibę w państwie trzecim, które nie posiada systemów zezwoleń lub nie reguluje działalności dostawców usług płatniczych w przypadku transferów środków pieniężnych i działalności dostawców usług w zakresie kryptoaktywów w przypadku transferów kryptoaktywów;
• f) transfery z adresami niehostowanymi;
• g) transfery z rachunków, adresów lub portfeli lub na rachunki, adresy lub do portfeli,
• o których wiadomo, że są powiązane z podejrzaną działalnością;
• h) dotychczasowe uchybienia w przestrzeganiu przepisów w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu przez poprzedniego: dostawcę usług płatniczych, pośredniczącego dostawcę usług płatniczych, dostawcę usług w zakresie kryptoaktywów lub pośredniczącego dostawcę usług w zakresie kryptoaktywów w łańcuchu transferu, co wynika z ogólnodostępnych informacji;
• i) transfery od dostawcy usług płatniczych, pośredniczącego dostawcy usług płatniczych, dostawcy usług w zakresie kryptoaktywów lub pośredniczącego dostawcy usług w zakresie kryptoaktywów, co do których stwierdzono powtarzające się nieprzekazywanie wymaganych informacji bez uzasadnionego powodu, lub od dostawcy usług płatniczych, pośredniczącego dostawcy usług płatniczych, dostawcy usług w zakresie kryptoaktywów lub pośredniczącego dostawcy usług w zakresie kryptoaktywów, w odniesieniu do których wiadomo, że kilkakrotnie nie dostarczyli wcześniej wymaganych informacji bez uzasadnionego powodu, nawet jeżeli taka sytuacja nie miała charakteru powtarzającego się;
• j) stosowanie innych technik w celu ustrukturyzowania warstw transakcji, które utrudniają śledzenie kryptoaktywów poprzez ukrywanie ścieżki wskazującej na inicjatora, w tym między innymi następujących rozwiązań:
• i) środki finansowe i kryptoaktywa otrzymywane i szybko przekazywane dalej, co sztucznie wydłuża łańcuch transferu;
• ii) techniki, produkty lub usługi zwiększające anonimowość, w tym między innymi usługi miksowania, anonimizatory protokołu internetowego (IP) i ukryte adresy.

Rozważając, czy transfer budzi podejrzenie, dostawcy usług płatniczych, pośredniczący dostawcy usług płatniczych, dostawcy usług w zakresie kryptoaktywów lub pośredniczący dostawcy usług w zakresie kryptoaktywów powinni przyjąć całościowe podejście do wszystkich czynników ryzyka prania pieniędzy i finansowania terroryzmu związanych z transferem i uznać, że brakujące lub niedopuszczalne informacje same w sobie nie dają podstaw do podejrzeń

• o pranie pieniędzy lub finansowanie terroryzmu. 4.5.4. Kontrole brakujących informacji zgodnie z art. 7 ust. 2, art. 11 ust. 2, art. 16 ust. 1 i art. 20 rozporządzenia (UE) 2023/1113

Transfer środków pieniężnych i kryptoaktywów

Dostawca usług płatniczych odbiorcy, dostawca usług w zakresie kryptoaktywów obsługujący beneficjenta, pośredniczący dostawca usług płatniczych i pośredniczący dostawca usług w zakresie kryptoaktywów powinni uznawać, że brakuje informacji, jeżeli pola pozostają puste lub jeżeli podane informacje są pozbawione sensu lub niekompletne.

Dostawca usług płatniczych odbiorcy, dostawca usług w zakresie kryptoaktywów obsługujący beneficjenta, pośredniczący dostawca usług płatniczych i pośredniczący dostawca usług w zakresie kryptoaktywów powinni uznawać za pozbawione sensu co najmniej następujące informacje:

• a) ciągi losowych lub nielogicznych znaków (takie jak „xxxxx” lub „ABCDEFG”);
• b) używanie tytułów (takich jak dr lub pani) bez imienia i nazwiska danej osoby;
• c) inne oznaczenia, które są niespójne lub niezrozumiałe (np. „inny” lub „mój klient”).

W przypadku gdy dostawcy usług płatniczych, dostawcy usług w zakresie kryptoaktywów, pośredniczący dostawcy usług płatniczych lub pośredniczący dostawcy usług w zakresie kryptoaktywów posługują się wykazem terminów powszechnie uznawanych za pozbawione sensu, powinni oni dokonywać okresowego przeglądu tego wykazu, aby zapewnić jego aktualność.