4.1 Interna policyer och rutiner

Kreditinstitut och finansiella institut bör införa och upprätthålla policyer och rutiner för att uppfylla sina skyldigheter enligt artikel 13.1 a och c i direktiv (EU) 2015/849 i situationer då etableringen av en affärsförbindelse med en ny kund sker på distans. Dessa policyer och rutiner bör vara riskbaserade och åtminstone innehålla följande:

• a) En övergripande beskrivning av den lösning som kreditinstitutet och det finansiella institutet har valt för att samla in, kontrollera och registrera uppgifter under hela processen för etablering av affärsförbindelser med nya kunder på distans. Denna bör inkludera en beskrivning av lösningens egenskaper och funktionssätt.
• b) De situationer när lösningen för etablering av affärsförbindelser med nya kunder på distans kan användas, med hänsyn till de riskfaktorer som har identifierats och bedömts i enlighet med artikel 8.1 i direktiv (EU) 2015/849 och i företagets allmänna riskbedömning, med en beskrivning av de kategorier av kunder, produkter och tjänster som kan komma att bli föremål för etablering av affärsförbindelser på distans.
• c) Uppgifter om vilka åtgärder som är automatiserade och vilka åtgärder som kräver manuell hantering.
• d) Uppgifter om vilka kontroller som finns på plats för att säkerställa att den första transaktionen med en kund för vilken en affärsförbindelse nyligen har etablerats inte genomförs förrän samtliga inledande kundkännedomsåtgärder har vidtagits.
• e) En beskrivning av introduktionsprogram och fortlöpande utbildning för att säkerställa att personalen är medvetna om och har aktuella kunskaper om hur lösningen för etablering av affärsförbindelser med nya kunder på distans fungerar och dess relaterade risker samt de policyer och rutiner för etablering av affärsförbindelser med nya kunder på distans som syftar till att motverka dessa risker.

Policyerna och rutinerna bör efter att de har implementerats säkerställa att kreditinstituten och de finansiella instituten följer bestämmelserna i avsnitten 4.2–4.7 i dessa riktlinjer.

4.1.2 Styrning

Utöver vad som fastställs i avsnitt 4.2.4 i EBA:s riktlinjer för regelefterlevnadsansvariga³ bör den regelefterlevnadsansvarige för bekämpning av penningtvätt och finansiering av terrorism⁴ , som en del av sin allmänna uppgift att ta fram policyer och rutiner för efterlevnad av kraven på kundkännedom, se till att policyerna och rutinerna för etablering av affärsförbindelser med nya kunder på distans implementeras på ett effektivt sätt, ses över regelbundet och ändras när det är nödvändigt.

³ Utkast till riktlinjer i enlighet med artikel 8 och kapitel VI i direktiv (EU) 2015/849 om riktlinjer och förfaranden för efterlevnadskontroll och rollen och ansvarsområdena för den regelefterlevnadsansvarige för bekämpning av penningtvätt och finansiering av terrorism.

⁴ I enlighet med de proportionalitetskriterier som fastställs i avsnitt 4.2.2 i riktlinjerna för regelefterlevnadsansvariga.

Kreditinstitutens och de finansiella institutens ledningsorgan bör anta policyer och rutiner för etablering av affärsförbindelser med nya kunder på distans och tillse att de implementeras korrekt.

4.1.3 Bedömning av lösningen för etablering av affärsförbindelser med nya kunder på distans innan implementering

Kreditinstitut och finansiella institut som överväger att införa en ny lösning för etablering av affärsförbindelser med nya kunder på distans bör göra en bedömning av denna lösning innan implementering.

Kreditinstitut och finansiella institut bör i sina policyer och rutiner fastställa omfattningen av denna bedömning samt vilka åtgärder som ska vidtas och kraven på dokumentation. Detta bör åtminstone inbegripa

• a) en bedömning av lösningens lämplighet när det gäller att samla in fullständiga och korrekta uppgifter och dokument, samt informationskällornas tillförlitlighet och oberoende,
• b) en bedömning av hur användningen av lösningen för etablering av affärsförbindelser med nya kunder på distans påverkar de företagsövergripande riskerna, inklusive risker för penningtvätt eller finansiering av terrorism, operativa risker, ryktesrisker och legala risker,
• c) möjliga riskreducerande och korrigerande åtgärder med avseende på de risker som identifieras under bedömningen enligt led b,
• d) tester för att bedöma risker för bedrägerier, inklusive risker för identitetsmissbruk och andra risker som sammanhänger med informations- och kommunikationsteknik (IKT) och säkerhetsrisker, i enlighet med bestämmelse 43 i EBA:s riktlinjer för hantering av IKT-risker och säkerhetsrisker⁵ ,
• e) ett genomgående test av hur lösningen fungerar med inriktning på de kunder, produkter och tjänster som identifierats i policyerna och rutinerna för etablering av affärsförbindelser med nya kunder på distans.

⁵ EBA/GL/2019/04.

Kreditinstitut och finansiella institut bör anse att de kriterier som fastställs i punkt 14 a, d och e är uppfyllda om lösningen innehåller något av följande:

• a) System för elektronisk identifiering som anmälts i enlighet med artikel 9 i förordning (EU) nr 910/2014 och som uppfyller de krav för tillitsnivå ”väsentlig” eller ”hög” som fastställs i artikel 8 i den förordningen.
• b) Relevanta kvalificerade betrodda tjänster som uppfyller kraven i förordning (EU) nr 910/2014, särskilt kapitel III avsnitt 3 artikel 24.1 andra stycket led b i den förordningen.

Kreditinstitut och finansiella institut bör kunna visa för sina behöriga myndigheter vilka bedömningar de gjorde innan de implementerade lösningen för etablering av affärsförbindelser med nya kunder på distans, resultatet av dessa bedömningar och varför det är lämpligt att använda lösningen mot bakgrund av de risker för penningtvätt eller finansiering av terrorism som har identifierats för de typer av kunder, tjänster, geografiska områden och produkter som den omfattar.

Kreditinstitut och finansiella institut bör inte börja använda en lösning för etablering av affärsförbindelser med nya kunder på distans förrän de är övertygade om att den kan integreras med institutets övergripande system för intern kontroll och därigenom gör det möjligt för institutet att på ett lämpligt sätt hantera de risker för penningtvätt eller finansiering av terrorism som kan uppkomma till följd av att lösningen för etablering av affärsförbindelser med nya kunder på distans används.

4.1.4 Fortlöpande övervakning av lösningen för etablering av affärsförbindelser med nya kunder på distans

Kreditinstitut och finansiella institut bör övervaka lösningen för etablering av affärsförbindelser med nya kunder på distans fortlöpande för att säkerställa att den fungerar enligt institutens förväntningar. De bör komplettera de policyer och rutiner som avses i punkt 9 med en beskrivning som åtminstone omfattar följande:

• a) De åtgärder som instituten kommer att vidta för att förvissa sig om att de uppgifter som samlas in under processen för etablering av affärsförbindelser med nya kunder på distans fortlöpande är kvalitativa, fullständiga, korrekta och tillräckliga på ett proportionerligt sätt gentemot de risker för penningtvätt eller finansiering av terrorism som kreditinstitutet och det finansiella institutet exponeras för.
• b) Omfattningen och frekvensen hos sådana regelbundna översyner.
• c) De omständigheter som ska utlösa särskilda granskningar, vilka åtminstone ska inkludera:
• a. förändringar av kreditinstitutets och det finansiella institutets exponering för risker för penningtvätt eller finansiering av terrorism,
• b. brister i lösningens funktionssätt som har upptäckts i samband med övervakning, revision eller tillsyn,
• c. en upplevd ökning av antalet bedrägeriförsök,
• d. förändringar av den rättsliga ramen.

Kreditinstituts och finansiella instituts rutiner och processer bör innehålla korrigerande åtgärder som ska vidtas när en risk har uppkommit eller när fel har påträffats som påverkar effektiviteten och ändamålsenligheten hos lösningen för etablering av affärsförbindelser med nya kunder på distans som helhet. Dessa åtgärder bör åtminstone omfatta följande:

• a) En granskning av alla berörda affärsförbindelser i syfte att bedöma om kreditinstitutens och de finansiella institutens inledande åtgärder för kundkännedom har varit tillräckliga för att uppfylla kraven i artikel 13.1 a, b och c i penningtvättsdirektivet. Kreditinstitut och finansiella institut bör prioritera de affärsförbindelser som medför störst risk för penningtvätt eller finansiering av terrorism.
• b) En bedömning, baserad på den information som har inhämtats under den ovannämnda granskningen, av huruvida en berörd affärsförbindelse bör
• a. omfattas av kompletterande kundkännedomsåtgärder,
• b. bli föremål för begränsningar av exempelvis transaktionsvolymerna, om detta är tillåtet enligt nationell lag, till dess att en granskning har genomförts,
• c. avslutas,
• d. rapporteras till finansunderrättelseenheten (FIU),
• e. omklassificeras till en annan riskkategori.

Kreditinstitut och finansiella institut bör överväga hur de på effektivast möjliga sätt kan övervaka att deras lösningar för etablering av affärsförbindelser med nya kunder på distans förblir lämpliga och tillförlitliga. De bör till exempel överväga att använda ett eller flera av följande tillvägagångssätt:

• i. Test för kvalitetssäkring.
• ii. Automatiserade kritiska varningar och meddelanden.
• iii. Regelbundna automatiserade kvalitetsrapporter.
• iv. Stickprov.
• v. Manuella granskningar.

Detta avsnitt är också tillämpligt vid användning av helautomatiska lösningar för etablering av affärsförbindelser med nya kunder på distans, vilka i hög grad förlitar sig på automatiserade algoritmer, utan eller endast med begränsad manuell hantering.

Kreditinstitut och finansiella institut bör kunna visa för sina behöriga myndigheter vilka granskningar de har gjort och vilka korrigerande åtgärder de har vidtagit för att komma till rätta med eventuella brister som kan ha identifierats för lösningen för etablering av affärsförbindelser med nya kunder på distans under hela dess livslängd.