Stanowisko UKNF dot. wideoweryfikacji klienta instytucjonalnego

W dniu 3 marca 2022 roku Urząd Komisji Nadzoru Finansowego (dalej: “UKNF”) opublikował istotne Stanowisko dotyczące identyfikacji klienta instytucjonalnego i weryfikacji jego tożsamości w sektorze finansowym podlegającym nadzorowi Komisji Nadzoru Finansowego w oparciu o metodę wideoweryfikacji (dalej: “Stanowisko”)[i]. Stanowisko stanowi uzupełnienie Stanowiska dotyczącego identyfikacji klienta i weryfikacji jego tożsamości w bankach oraz oddziałach instytucji kredytowych w oparciu o metodę wideoweryfikacji[ii] opublikowanego w dniu 5 czerwca 2019 roku. 

Stanowisko wskazuje dobre praktyki w zakresie identyfikacji i weryfikacji tożsamości klienta instytucjonalnego (np. osoby fizycznej prowadzącej działalność gospodarczą lub osoby prawnej), które powinny być stosowane przez instytucję obowiązaną (w rozumieniu przepisów ustawy AML/CFT), która stosuje metodę wideoweryfikacji i podlega nadzorowi KNF (dalej: “Podmiot nadzorowany”). Stanowisko stanowi zatem cenne źródło informacji w jaki sposób należy dokonywać procesu identyfikacji i weryfikacji tożsamości przy użyciu tej metody. Podkreślić należy, iż UKNF oczekuje, że Podmioty nadzorowane będą stosowały dobre praktyki związane z oferowaniem usługi wideoweryfikacji, które są wskazane w Stanowisku. Warto zatem, aby Podmioty nadzorowane zweryfikowały wewnętrzne procesy i procedury oraz wdrożyły odpowiednie modyfikacje w celu zapewnienia zgodności.

Mechanizmy kontrolne ograniczające ryzyko

Jak słusznie zauważa UKNF, z stosowaniem przed Podmiot nadzorowany metody wideoweryfikacji wiąże się ryzyko nieprawidłowej identyfikacji i weryfikacji tożsamości klienta oraz osób upoważnionych do działania w jego imieniu (w związku z brakiem ich fizycznej obecności np. w procesie nawiązywania stosunków gospodarczych). Ryzyko to należy ograniczyć poprzez przyjęcie odpowiednich środków ograniczających. W związku z tym, UKNF wskazuje na następujące przykładowe mechanizmy kontrolne, które mają ograniczać ryzyko nieprawidłowej identyfikacji i weryfikacji:

1. Przed wprowadzeniem do stosowania metody wideoweryfikacji Podmiot nadzorowany powinien przeprowadzić gruntowną analizę ryzyka związaną z stosowaniem procesu wideoweryfikacji. Analizie powinien towarzyszyć proces opiniowania i wewnętrznych konsultacjami w aspekcie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu (AML/CFT) (np. poprzez uzyskanie opinii AML Officera).

2. Podmiot nadzorowany powinien opracować i przyjąć do stosowania wewnętrzną procedurę regulującą proces wideoweryfikacji. Zgodnie z Stanowiskiem, wewnętrzna procedura powinna uwzględniać takie aspekty jak:

• określenie podmiotowych mitygantów ryzyka np. poprzez:
  • ograniczenie metody wideoweryfikacji wyłącznie do obywateli i podmiotów polskich czy rezydentów EOG,
  • wyłączenie stosowania tej metody wobec podmiotów zarejestrowanych w krajach wysokiego ryzyka,
  • odesłanie do osobistego nawiązania relacji z Podmiotem nadzorowanym m.in. w przypadku nietypowej formy prawnej klienta czy cech klienta, które wskazują na korzystanie z określonych usług niezgodnie z jego profilem;
  • określenie przedmiotowych mitygantów ryzyka wobec klienta, który przeszedł proces wideoweryfikacji np. poprzez czasowe ograniczenie oferty do wybranych produktów, wykluczenie możliwości udzielenia kredytu, nałożenie kwotowych limitów przeprowadzanych operacji (dziennych lub miesięcznych) czy wyłączenie możliwości przeprowadzania transakcji gotówkowych,
  • dokładne określenie sposobu weryfikacji tożsamości klienta oraz osoby upoważnionej do działania w jego imieniu, polegającego m.in. na:
  • zebraniu i potwierdzeniu dokumentów służących do identyfikacji i weryfikacji tożsamości (np. dowodu osobistego),
  • sprawdzeniu klienta i osoby upoważnionej do działania w imieniu klienta oraz osób reprezentujących klienta na listach sankcyjnych i listach PEP,
  • ocenie czy dane beneficjenta rzeczywistego są zgodne z zebranymi informacjami, czy beneficjent posiada status PEP lub czy znajduje się na listach sankcyjnych,
  • dokonywanie innych działań weryfikacyjnych, np. dostępnych w ramach serwisów informacyjnych (np. PAP, Reuters, Bloomberg), na stronach internetowych klientów, w komercyjnych bazach danych (dotyczących informacji gospodarczych).
• określenie warunków odmowy nawiązania relacji z klientem przy pomocy wideoweryfikacji lub wezwania go do bezpośredniego spotkania w siedzibie albo placówce Podmiotu nadzorowanego,
• określenie wymogów sprzętowych po stronie klienta (określenie minimalnych wymogów jakościowych sprzętu, np. rozdzielczości kamery) oraz wymaganych narzędzi (np. stacja robocza czy tablet),
• wymóg bieżącego monitorowania portfela klienta pozyskanego za pomocą wideoweryfikacji w aspekcie wykorzystania rachunków do prania pieniędzy lub innych działań niezgodnych z prawem, w tym również w zakresie obserwacji przepływów środków przez rachunek klienta oraz kierunków geograficznych transferów pieniężnych (zwłaszcza pod kątem krajów wysokiego ryzyka, krajów podlegających sankcjom), wykorzystywanych walut transakcji,
• wymóg dokonywania przeglądu i ewentualnego dostosowania treści procedury (z odpowiednią częstotliwością), w tym pod kątem skuteczności przyjętych kryteriów oceny ryzyka i stosowanych środków bezpieczeństwa finansowego,
• wymóg archiwizowania zapisów wideo (zarówno dźwięku jak i obrazu) z rozmowy z klientem czy osobą upoważnioną do działania w imieniu klienta. Okres przechowywania nagrań powinien spełniać wymogi ustawy AML/CFT.

4. Dokonywanie przez właściwe komórki organizacyjne Podmiotu nadzorowanego okresowych analiz poziomu ryzyka związanego z wykorzystaniem metody wideoweryfikacji oraz przekazywanie ich wyników do odpowiednich szczebli zarządczych i decyzyjnych.

5. Prowadzenie szkoleń dla pracowników operacyjnych Podmiotu nadzorowanego.

6. Objęcie rozwiązań w zakresie wideoweryfikacji systemem kontroli wewnętrznej oraz systemem informacji zarządczej.

Wzmożone środki bezpieczeństwa finansowego przy wideoweryfikacji

Zgodnie z Stanowiskiem, w przypadku wdrożenia metody wideoweryfikacji, Podmiot nadzorowany powinien rozważyć zastosowanie wzmożonych środków bezpieczeństwa finansowego minimalizujących ryzyko błędnej weryfikacji tożsamości klienta czy osoby upoważnionej do działania w jego imieniu. W przypadku stosowania metody wideoweryfikacji, za wzmożone środki bezpieczeństwa finansowego należy uznać sprawdzenie klienta, w tym informacji zawartych w jego dokumencie stwierdzającym tożsamość, czy osoby upoważnionej do działania w imieniu klienta oraz informacji zawartych w jej dokumencie stwierdzającym tożsamość w bazach danych takich jak np.:

• Baza Dokumentów Zastrzeżonych,
• Rejestr Dowodów Osobistych,
• PRADO (Publiczny rejestr on-line autentycznych dokumentów tożsamości i dokumentów podróży),
• Biuro Informacji Kredytowej,
• Baza Numerów PESEL,
• wewnętrzne czarne listy.

Uzupełniające techniki w przypadku stosowania metody wideoweryfikacji

UKNF wskazuje, iż w przypadku stosowania metody wideoweryfikacji Podmiot nadzorowany powinien wdrożyć uzupełniające techniki, które pozwolą wykazać należytą staranność przy ograniczaniu ryzyka nieprawidłowej identyfikacji i weryfikacji tożsamości, takie jak np.:  

1. wykorzystanie geolokalizacji za zgodą rozmówcy,
2. ocena zgodności rodzaju stosowanej na urządzeniu mobilnym aplikacji z aplikacjami używanymi w kraju zamieszkania rozmówcy,
3. ocenę szybkości czy sprawności obsługi aplikacji klienta oraz aplikacji Podmiotu nadzorowanego.

[i]https://www.knf.gov.pl/knf/pl/komponenty/img/Stanowisko_UKNF_dot_wideoweryfikacji_klientow_instytucjonalnych.pdf

[ii]https://www.knf.gov.pl/knf/pl/komponenty/img/Stanowisko_UKNF_dot_identyfikacji_klienta_i_weryfikacji_jego_tozsamosci_w_bankach_oraz_oddzialach_instytucji_kredytowych_w_oparciu_o_metode_wideoweryfikacji_66066.pdf