4.1 Políticas e procedimentos internos

As instituições de crédito e as instituições financeiras devem implementar e manter políticas e procedimentos que visem cumprir as suas obrigações nos termos do artigo 13.º, n.º 1, alínea a) e c) da Diretiva (UE) 2015/849 nas situações em que o cliente é integrado ( onboarded ) à distância. Estas políticas e procedimentos devem ser baseados no risco e incluir/definir, pelo menos:

• a) uma descrição geral da solução adotada pelas instituições de crédito e financeiras para recolher, verificar e registar informações ao longo de todo o processo de integração de clientes à distância. Tal deve incluir uma explicação das características e do funcionamento da solução;
• b) as situações em que a solução de integração de clientes à distância pode ser utilizada, tendo em conta os fatores de risco identificados e avaliados em conformidade com
• o artigo 8.º, n.º 1, da Diretiva (UE) 2015/849 e a avaliação do risco ao nível do negócio, incluindo uma descrição da categoria de clientes, produtos e serviços elegíveis para a integração à distância;
• c) que etapas são totalmente autónomas e que etapas exigem intervenção humana;
• d) os controlos em vigor para assegurar que a primeira transação com um novo cliente é executada apenas depois de aplicadas todas as medidas iniciais de diligência quanto à clientela (CDD);
• e) uma descrição dos programas de formação inicial e regular que visem assegurar a sensibilização dos colaboradores e o seu conhecimento atualizado do funcionamento da solução de integração de clientes à distância, dos riscos que lhe estão associados e das políticas e procedimentos de integração de clientes à distância destinados a atenuar esses riscos.

As políticas e os procedimentos, uma vez implementados, devem permitir que as instituições de crédito e as instituições financeiras assegurem o cumprimento do disposto nas secções 4.2 a 4.7 das presentes orientações.

4.1.2 Governo interno

Além das disposições estabelecidas na secção 4.2.4 das Orientações da EBA relativas ao responsável pela conformidade³ , o Responsável pela Conformidade ABC/CFT⁴ deve, no âmbito do seu dever geral de elaborar políticas e procedimentos aplicáveis ao cumprimento das obrigações de CDD, assegurar que as políticas e os procedimentos de integração de clientes à distância são aplicados de forma eficaz, revistos regularmente e alterados sempre que necessário.

³ Projeto de orientações relativas às políticas e procedimentos em matéria de gestão da conformidade e ao papel e responsabilidades do responsável pela conformidade em matéria de ABC/CFT nos termos do artigo 8.º e do capítulo VI da Diretiva (UE) 2015/849

⁴ Em conformidade com os critérios de proporcionalidade estabelecidos na secção 4.2.2 das orientações para o responsável pela conformidade

O órgão de administração da instituição de crédito e financeira deve aprovar políticas e procedimentos de integração de clientes à distância e supervisionar a sua correta aplicação.

4.1.3 A avaliação prévia à implementação da solução de integração de clientes à distância

Ao ponderarem a adoção de uma nova solução de integração de clientes à distância, as instituições de crédito e financeiras devem realizar uma avaliação prévia à implementação dessa solução de integração de clientes à distância.

As instituições de crédito e as instituições financeiras devem definir nas suas políticas e procedimentos o âmbito, as etapas e os requisitos de manutenção de registos da avaliação prévia à implementação, que deve incluir, pelo menos:

• a) uma avaliação da adequação da solução no que respeita à exaustividade e exatidão dos dados e documentos a recolher, bem como da fiabilidade e da independência das fontes de informação que utiliza;
• b) uma avaliação do impacto da utilização da solução de integração de clientes à distância nos seus riscos ao nível do negócio, incluindo BC/FT, riscos operacionais, reputacionais e jurídicos;
• c) a identificação de possíveis medidas de mitigação e de medidas corretivas para cada risco identificado na avaliação prevista na alínea b);
• d) a realização de testes para avaliar os riscos de fraude, incluindo os riscos de fraude de usurpação de identidade e outros riscos de tecnologias da informação e de comunicação («TIC») e os riscos de segurança, em conformidade com a disposição 43 das Orientações da EBA relativas à gestão dos riscos associados às TIC e à segurança⁵ ;
• e) testes end-to-end ao funcionamento da solução, que visem o(s) cliente(s), o(s) produto(s) e o(s) serviço(s) identificado(s) nas políticas e procedimentos de integração de clientes à distância.

⁵ EBA/GL/2019/04

As instituições de crédito e as instituições financeiras devem considerar cumpridos os critérios do parágrafo 14, alíneas a), d) e e), quando a solução implementada recorra a um dos seguintes meios:

• a) sistemas de identificação eletrónica notificados em conformidade com o artigo 9.º do Regulamento (UE) n.º 910/2014 e que cumpram os requisitos dos níveis de garantia «substancial» ou «elevado», em conformidade com o artigo 8.º do mesmo regulamento;
• b) serviços de confiança qualificados relevantes que cumpram os requisitos do Regulamento (UE) n.º 910/2014, em particular o capítulo III, secção 3, e o artigo 24.º, n.º 1, parágrafo 2, alínea b), desse regulamento.

As instituições de crédito e financeiras devem conseguir demonstrar à respetiva autoridade competente quais as avaliações que realizaram antes da implementação da solução de integração de clientes à distância, o resultado da sua avaliação e de que forma a utilização desta solução é adequada à luz dos riscos de BC/FT identificados para o(s) tipo(s) de cliente(s), serviço(s), geografias e produtos abrangidos pelo seu respetivo âmbito de aplicação.

As instituições de crédito e financeiras só devem começar a utilizar uma solução de integração de clientes à distância depois de comprovarem que a mesma pode ser integrada no sistema de controlo interno mais vasto da instituição, permitindo-lhe assim gerir adequadamente os riscos de BC/FT que possam decorrer da utilização dessa solução de integração de clientes à distância.

4.1.4 Monitorização contínua da solução de integração de clientes à distância

As instituições de crédito e financeiras devem monitorizar continuamente a solução de integração de clientes à distância, a fim de assegurar que esta funciona em conformidade com as suas expectativas. Devem complementar as suas políticas e procedimentos descritos no parágrafo9 com uma descrição de, pelo menos:

• a) as medidas que tomarão para se certificarem da qualidade , exaustividade, exatidão e adequação, ao longo do tempo, dos dados recolhidos durante o processo de integração de clientes à distância, que devem ser proporcionais aos riscos de BC/FT a que a instituição de crédito ou financeira está exposta;
• b) o âmbito e a frequência dessas revisões periódicas e
• c) as circunstâncias que desencadearão revisões ad hoc, que devem incluir, pelo menos:
• a. alterações da exposição ao risco de BC/FT da instituição de crédito ou financeira;
• b. deficiências no funcionamento da solução detetadas no decurso das atividades de monitorização, auditoria ou supervisão;
• c. Perceção de um aumento das tentativas de fraude;
• d. alterações do quadro legal ou regulamentar.

As instituições de crédito e financeiras devem estabelecer medidas corretivas nos seus procedimentos e processos, caso se tenha concretizado um risco ou sempre que tenham sido identificados erros que tenham impacto na eficiência e eficácia da solução geral de integração de clientes à distância. Estas medidas devem incluir, no mínimo:

• a) uma revisão de todas as relações de negócio afetadas, a fim de avaliar se as instituições de crédito e as instituições financeiras realizaram uma CDD inicial em termos suficientes para cumprir com o disposto no artigo 13.º, n.º 1, alíneas a), b) e c), da AMLD. As instituições de crédito e as instituições financeiras devem dar prioridade às relações de negócio que comportam o maior risco de BC/FT;
• b) com base nas informações obtidas na análise acima referida, a realização de uma avaliação para determinar se uma relação de negócio afetada deve ser:
• a. sujeita a medidas de diligência adicionais;
• b. sujeita a limitações, tais como limites ao volume de transações, quando tal seja permitido pela legislação nacional, até que seja sujeita a revisão;
• c. terminada;
• d. comunicada à UIF;
• e. reclassificada numa categoria de risco diferente.

As instituições de crédito e financeiras devem considerar a forma mais eficaz de controlar a adequação e a fiabilidade, ao longo do tempo, das soluções de integração de clientes à distância. Devem considerar um ou mais dos seguintes meios, mas não exclusivamente:

• i. testes de garantia da qualidade;
• ii. alertas críticos e notificações automatizados;
• iii. relatórios de qualidade automatizados regulares;
• iv. testes por amostragem;
• v. análises manuais.

A presente secção também se aplica quando são utilizadas soluções de integração de clientes à distância totalmente automatizadas, que dependem fortemente de algoritmos automatizados, sem ou com pouca intervenção humana.

As instituições de crédito e as instituições financeiras devem conseguir demonstrar à respetiva autoridade competente as análises que efetuaram e as medidas corretivas que tomaram para corrigir eventuais deficiências identificadas ao longo da vida da solução de integração de clientes à distância.