4.1 Notranje politike in postopki

Kreditne in finančne institucije bi morale uvesti in vzdrževati politike in postopke za izpolnjevanje svojih obveznosti iz člena 13(1)(a) in (c) Direktive (EU) 2015/849 v primerih, ko se poslovno razmerje s strank o sklene na daljavo. Te politike in postopki morajo ob upoštevanju tveganja določati vsaj:

• a) splošen opis rešitve, ki so jo vzpostavile kreditne in finančne institucije za zbiranje, preverjanje in beleženje informacij v celotnem postopku sklepanja poslovnega razmerja s strank o na daljavo. To naj vključuje razlago funkcij in delovanja rešitve;
• b) situacije, v katerih se lahko uporabi rešitev za sklepanje poslovnega razmerja s strank o na daljavo, ob upoštevanju dejavnikov tveganja, opredeljenih in ocenjenih v skladu s členom 8(1) Direktive (EU) 2015/849 in v oceni tveganja za celotno podjetje, vključno z opisom kategorije strank, produktov in storitev, ki so upravičeni do sklepanja poslovnega razmerja na daljavo;
• c) kateri koraki so popolnoma avtonomni in kateri koraki zahtevajo človekovo posredovanje;
• d) vzpostavljene kontrole za zagotovitev, da se prva transakcija s stranko, s katero je bilo sklenjeno novo poslovno razmerje, izvede šele, ko so bili uporabljeni vsi začetni ukrepi skrbnega preverjanja stranke (CDD);
• e) opis programov uvajanja in rednega usposabljanja za zagotavljanje ozaveščenosti osebja in najnovejšega znanja o delovanju rešitve za sklepanje poslovnega razmerja s strank o na daljavo, povezanih tveganjih ter politikah in postopkih za sklepanje poslovnega razmerja s strank o na daljavo, namenjenih ublažitvi takih tveganj.

Politike in postopki morajo, ko se izvajajo, kreditnim in finančnim institucijam omogočiti zagotovitev skladnosti z določbami v oddelkih 4.2 do 4.7 teh smernic. 4.1.2 Upravljanje

Poleg določb, navedenih v oddelku 4.2.4 Smernic EBA o vlogi in odgovornosti pooblaščenca za PPDFT³ , bi moral pooblaščenec za PPDFT⁴ , kot del svoje splošne dolžnosti, pripraviti politike in postopke za izpolnjevanje zahtev za skrbno preverjanje strank, ter zagotoviti, da se politike in postopki za sklepanje poslovnega razmerja s stranko na daljavo učinkovito izvajajo, redno pregledujejo in po potrebi spreminjajo.

³ Osnutek smernic o politikah in postopkih v zvezi z upravljanjem skladnosti ter vlogi in odgovornostih pooblaščenca za PPDFT v skladu s členom 8 in poglavjem VI Direktive

⁴ V skladu z načeli sorazmernosti, določenimi v oddelku 4.2.2 Smernic odgovorne osebe za varovanje zakonitosti poslovanja

Vodstveni organ kreditne in finančne institucije bi moral odobriti politike in postopke za sklepanje poslovnega razmerja s stranko na daljavo ter nadzorovati njihovo pravilno izvajanje.

4.1.3 Ocena pred uvedbo rešitve za sklepanj e poslovnega razmerja s strank o na daljavo

Kreditne in finančne institucije bi morale v procesu odločanja, ali naj sprejmejo novo rešitev za sklepanje poslovnega razmerja s strank o na daljavo, izvesti oceno pred uvedbo rešitve za sklepanje poslovnega razmerja s strank o na daljavo.

Kreditne in finančne institucije bi morale v svojih politikah in postopkih določiti obseg, korake in zahteve glede vodenja evidenc o oceni pred izvedbo, ki bi morale vključevati vsaj:

• a) oceno ustreznosti rešitve glede popolnosti in točnosti podatkov in dokumentov, ki se zbirajo, ter zanesljivosti in neodvisnosti virov informacij, ki jih uporabljajo;
• b) oceno vpliva uporabe rešitve za sklepanje poslovnega razmerja s strank o na daljavo na tveganje za celotno podjetje, vključno s tveganjem pranja denarja in financiranja terorizma (v nadaljevanju: PD/FT), operativnimi tveganji, tveganjem izgube ugleda in pravnimi tveganji;
• c) opredelitev možnih blažilnih ukrepov in sanacijskih ukrepov za vsako tveganje, opredeljeno v oceni pod točko b);
• d) teste za ocenjevanje tveganj prevar, vključno s tveganji prevar zaradi lažnega predstavljanja in tveganji druge informacijske in komunikacijske tehnologije (»IKT«) ter varnostnimi tveganji, v skladu z določbo 43 Smernic EBA o IKT in obvladovanju varnostnih tveganj⁵ ;
• e) celovito testiranje delovanja rešitve, ki cilja na stranko( - e), izdelek( - e) in storitev( - e), opredeljene v pravilnikih in postopkih za sklepanje poslovnega razmerja s strank o na daljavo.

⁵ EBA/GL/2019/04

Kreditne in finančne institucije bi morale upoštevati, da so merila iz odstavka 14 (a) (d) in (e) izpolnjena, kadar rešitev uporablja eno od sledečih:

• a) sheme elektronske identifikacije, priglašene v skladu s členom 9 Uredbe (EU) št. 910/2014 in izpolnitev zahteve glede stopenj zanesljivosti „srednja“ ali „visoka“ v skladu s členom 8 navedene uredbe;
• b) ustrezne kvalificirane storitve zaupanja, ki izpolnjujejo zahteve Uredbe (EU) št. 910/2014, zlasti oddelka3 poglavja III in točke (b) pododstavka 2 člena 24(1) navedene uredbe.

Kreditne in finančne institucije bi morale imeti možnost dokazati svojemu pristojnemu organu, katere ocene so izvedle pred uvedbo rešitve za sklepanje poslovnega razmerja s strank o na daljavo, rezultat njihove ocene in kako je njena uporaba primerna glede tveganj PD/FT, ugotovljenih za vrste strank, storitev, geografskih območij in izdelkov v svojem obsegu.

Kreditne in finančne institucije bi morale začeti uporabljati rešitev za sklepanje poslovnega razmerja s strank o na daljavo šele, ko so gotove, da jo je mogoče integrirati v širši sistem notranjega nadzora institucije, s čimer bi instituciji omogočili ustrezno obvladovanje tveganj PD/FT, ki lahko nastanejo zaradi uporabe rešitev za sklepanje poslovnega razmerja s strank o na daljavo.

4.1.4 Stalno spremljanje rešitve za sklepanje poslovnega razmerja s strank o na daljavo

Kreditne in finančne institucije bi morale stalno spremljati rešitev za sklepanje poslovnega razmerja s stran ko na daljavo, da zagotovijo, da le ta deluje v skladu s pričakovanji kreditnih in finančnih institucij. Politike in postopke, opisane v odstavku 9, morajo dopolniti z opisom vsaj:

• a) korakov, ki jih bodo sprejeli, da bodo zagotovili stalno kakovost, popolnost, točnost in ustreznost podatkov, zbranih med postopkom sklepanja poslovnega razmerja s stranko na daljavo, ki bi morali biti sorazmerni s tveganji PD/FT, ki jim je kreditna in finančna institucija izpostavljena;
• b) obsega in pogostosti teh rednih pregledov; in
• c) okoliščin, ki bodo sprožile priložnostne preglede, ki morajo vključevati vsaj:
• a. spremembe izpostavljenosti kreditne in finančne institucije tveganju PD/FT;
• b. pomanjkljivosti v delovanju rešitve, odkrite v okviru spremljanja, revizije ali nadzora;
• c. zaznan porast poskusov goljufij;
• d. spremembe zakonodajnega ali regulatornega okvira.

Kreditne in finančne institucije bi morale v svojih postopkih in procesih določiti ukrepe za odpravo pomanjkljivosti, v primerih, ko se je tveganje uresničilo ali če so bile ugotovljene napake, ki vplivajo na učinkovitost in uspešnost splošne rešitve za sklepanje poslovnega razmerja s strank o na daljavo. Ti ukrepi morajo vključevati vsaj:

• a) pregled vseh poslovnih odnosov, na katere je odkrita pomanjkljivost vplivala, da se oceni, ali so kreditne in finančne institucije izvedle zadostno začetno preverjanje stranke, da bi izpolnile člen 13(1), (a), (b) in (c) AMLD. Kreditne in finančne institucije bi morale dati prednost tistim poslovnim odnosom, ki predstavljajo največje tveganje PD/FT;
• b) o b upoštevanju informacij, pridobljenih v zgoraj omenjenem pregledu, je treba oceniti, ali morajo biti poslovna razmerja, na katere je odkrita pomanjkljivost vplivala,:
• a. predmet dodatnih ukrepov skrbnega pregleda;
• b. predmet omejitev, kot so omejitve obsega transakcij, kadar je to dovoljeno v skladu z nacionalno zakonodajo, do trenutka, ko se opravi pregled;
• c. prekinjena;
• d. poročana finančno obveščevalni enoti;
• e. prerazvrščena v drugo kategorijo tveganja.

Kreditne in finančne institucije bi morale razmisliti o najučinkovitejšem načinu spremljanja stalne ustreznosti in zanesljivosti rešitev za sklepanje poslovnega razmerja s strank o na daljavo. Razmisliti bi morali o enem ali več naslednjih načinov, vendar ne samo o njih:

• i. testiranje zagotavljanja kakovosti;
• ii. avtomatizirana opozorila o kritičnem stanju in obvestila;
• iii. redna avtomatizirana poročila o kakovosti;
• iv. vzorčno testiranje;
• v. ročni pregledi.

Ta razdelek velja tudi, kadar se uporabljajo popolnoma avtomatizirane rešitve za sklepanje poslovnega razmerja s strank o na daljavo, ki so zelo odvisne od avtomatiziranih algoritmov, brez ali z malo človekovega posredovanja.

Kreditne in finančne institucije bi morale biti sposobne svojemu pristojnemu organu dokazati, katere preglede so izvedle in katere ukrepe za odpravo kakršnih koli pomanjkljivosti, ugotovljenih v času uvedbe rešitve za sklepanje poslovnega razmerja s strank o na daljavo, so sprejele.