4.4 Matchning av kundens identitet under verifieringsprocessen

Lösningar för etablering av affärsförbindelser med nya kunder på distans som kreditinstitut och finansiella institut inför bör åtminstone innehålla verifieringsprocesser som utvisar

• a) att den iakttagbara informationen om den fysiska personen och den tillhandahållna dokumentationen stämmer överens,
• b) att kunder som är juridiska personer i tillämpliga fall är registrerade i ett offentligt bolagsregister,
• c) att en fysisk person som företräder en juridisk person är behörig att göra detta (när kunden är en juridisk person).

Om lösningen för etablering av affärsförbindelser med nya kunder på distans innefattar att biometriska uppgifter används för att kontrollera kundens identitet bör kreditinstitut och finansiella institut tillse att de biometriska uppgifterna är så unika att de otvetydigt kan kopplas till en enda fysisk person. Kreditinstitut och finansiella institut bör använda starka och tillförlitliga algoritmer för att verifiera att de biometriska uppgifter som lämnas i den tillhandahållna identitetshandlingen tillhör den nya kunden i fråga. I situationer där lösningen inte ger den grad av tillförlitlighet som krävs bör ytterligare kontroller genomföras.

I situationer där den tillhandahållna bevisningen är av otillräcklig kvalitet, vilket medför tvetydighet eller osäkerhet som påverkar genomförandet av kontroller på distans, bör processen för etablering av affärsförbindelser med nya kunder på distans avbrytas och startas om eller omdirigeras till verifiering genom fysiskt möte.

Kreditinstitut och finansiella institut som använder lösningar för etablering av affärsförbindelser på distans där kunden inte interagerar med en medarbetare under verifieringsprocessen, bör

• a) säkerställa att fotografier eller videoinspelningar har framställts under tillräckligt goda ljusförhållanden och att de egenskaper som ska kontrolleras framgår så tydligt att kundens identitet kan verifieras med säkerhet,
• b) säkerställa att fotografier eller videoinspelningar har framställts vid den tidpunkt då kunden genomförde verifieringsprocessen,
• c) genomföra kontroller av att den biometriska informationen kommer från en levande person, vilka kan inkludera förfaranden som innebär att kunden måste utföra en viss handling för att visa att han eller hon är närvarande under kommunikationen eller som i stället baserar sig på en analys av mottagna uppgifter,
• d) använda starka och tillförlitliga algoritmer för att verifiera att fotot eller videon stämmer överens med bilden eller bilderna på kundens officiella dokument.

Kreditinstitut och finansiella institut som använder lösningar för etablering av affärsförbindelser på distans där kunden interagerar med en medarbetare under verifieringsprocessen, bör

• a) säkerställa att bild och ljud håller sådan kvalitet att kundens identitet säkert kan verifieras och att tillförlitliga tekniska system används,
• b) tillse att den medarbetare som medverkar har tillräckliga kunskaper om tillämpliga regelverk om bekämpning av penningtvätt och finansiering av terrorism liksom om säkerhetsaspekter av verifiering på distans samt har den utbildning som krävs för att kunna förutse och förhindra avsiktlig och överlagd användning av bedrägliga metoder i samband med verifiering på distans och kan upptäcka att sådana används och reagera på detta,
• c) utarbeta en intervjuhandledning i vilken de olika stegen i processen för verifiering på distans fastställs, liksom de åtgärder som medarbetaren ska vidta. Denna handledning bör innehålla vägledning om att observera och identifiera psykologiska faktorer eller andra möjliga kännetecken på misstänkt beteende under verifieringen på distans.

Kreditinstitut och finansiella institut bör om möjligt använda lösningar för etablering av affärsförbindelser med nya kunder på distans som inbegriper att kunden ska vidta verifieringsåtgärder i slumpmässig ordning, för att motverka risker för till exempel användning av artificiella identiteter eller tvång. När så är möjligt bör kreditinstitut och finansiella institut dessutom ge den medarbetare som ansvarar för verifieringen på distans slumpmässiga uppdrag, för att motverka otillåten samverkan mellan kunden och medarbetaren.

Vid sidan av ovanstående bör kreditinstitut och finansiella institut när det står i proportion till den risk för penningtvätt eller finansiering av terrorism som förknippas med affärsförbindelsen genomföra en eller flera av följande kontroller eller vidta liknande åtgärder för att göra verifieringsprocessen mer tillförlitlig:

• a) Den första betalningen ska göras från ett konto där kunden är ensam eller delad kontohavare hos ett kreditinstitut eller finansiellt institut som omfattas av regelverket inom EES eller hos ett kreditinstitut eller finansiellt institut i ett tredjeland vars krav i fråga om bekämpning av penningtvätt och finansiering av terrorism inte är mindre stränga än dem som föreskrivs i direktiv (EU) 2015/849.
• b) Skicka ett slumpmässigt genererat lösenord till kunden med vilket denna ska bekräfta sin närvaro under verifieringsprocessen på distans. Detta lösenord ska bara kunna användas en gång och under en begränsad tid.
• c) Samla in biometriska uppgifter och jämföra dessa med data som har inhämtats från andra oberoende och tillförlitliga källor.
• d) Ha telefonkontakt med kunden.
• e) Skicka meddelanden direkt till kunden (både på elektronisk väg och med post).

Kreditinstitut och finansiella institut bör anse att de kriterier som fastställs i punkterna 38–43 är uppfyllda om lösningen innehåller något av följande:

• a) System för elektronisk identifiering som anmälts i enlighet med artikel 9 i förordning (EU) nr 910/2014 och som uppfyller de krav för tillitsnivå ”väsentlig” eller ”hög” som fastställs i artikel 8 i den förordningen.
• b) Relevanta kvalificerade betrodda tjänster som uppfyller kraven i förordning (EU) nr 910/2014, särskilt kapitel III avsnitt 3 artikel 24.1 andra stycket led b i den förordningen.