Pierwszy to aspekt regulacyjny, związany z realizacją obowiązków AML-owych wynikających z ustawy o przeciwdziałaniu praniu pieniędzy. Drugi to kwestia prywatnoprawna, związana z zabezpieczeniem interesów instytucji finansowej, możliwości wykonania umowy z klientem oraz ewentualnego dochodzenia roszczeń. Udzielenie produktu klientowi wiąże się przecież często z zaciągnięciem przez niego zobowiązań, a w przypadku podania przez niego fałszywej tożsamości, jeżeli instytucja jej nie zweryfikuje, ich egzekucja może okazać się niemożliwa. Niniejszy felieton poświęcony jest temu pierwszemu – regulacyjnemu. Można natomiast postawić tezę, że skutecznie wykonana weryfikacja tożsamości, zgodnie z wymogami AML, „załatwia” obie kwestie.

W czym tkwi problem

Sama identyfikacja tożsamości klienta polega na zebraniu zestawu danych, takich jak imię i nazwisko czy nr PESEL. Te mogą być po prostu podane przez klienta. Schody zaczynają się dopiero przy weryfikacji tych danych. Zgodnie z wymogami ustawy o przeciwdziałaniu praniu pieniędzy (art. 37) instytucje obowiązane weryfikują tożsamość klientów poprzez potwierdzenie ustalonych danych identyfikacyjnych na podstawie dokumentu stwierdzającego tożsamość osoby fizycznej, dokumentu zawierającego aktualne dane z wyciągu z właściwego rejestru lub innych dokumentów, danych lub informacji pochodzących z wiarygodnego i niezależnego źródła.

W przypadku fizycznej obecności klienta weryfikacja jego tożsamości z użyciem dokumentu tożsamości nie budzi wątpliwości. W przypadku zdalnych kanałów dystrybucji instytucje obowiązane zaprojektować muszą metody weryfikacji oparte na innej niż fizyczna weryfikacji dokumentu tożsamości lub „innych dokumentach, danych lub informacjach pochodzących z wiarygodnego i niezależnego źródła”. Przepisy milczą co do konkretnych sposobów przeprowadzenia tego procesu, pozostawiając wybór samym instytucjom. W pewnym zakresie głos zabrały jednak organy nadzoru.

Stanowiska regulatorów

Większość instytucji obowiązanych pod ustawą AML to instytucje finansowe. W ich wypadku mamy najczęściej do czynienia z podwójnym nadzorem, tj. ze strony GIIF oraz KNF. Dzięki ich aktywności w zakresie interpretacji przepisów o stosowaniu środków bezpieczeństwa finansowego przy braku fizycznej obecności klientów doczekaliśmy się stanowisk obu z nich. Najpierw GIIF, w komunikacie z 22 sierpnia ubiegłego roku, skorygowanym następnie komunikatem z 18 kwietnia tego roku, wypowiedział się na temat postępowania w takich przypadkach przez instytucje obowiązane w ogólności.

Następnie, 5 czerwca tego roku, KNF wydała stanowisko w zakresie identyfikacji klienta i weryfikacji jego tożsamości w bankach oraz oddziałach instytucji kredytowych w oparciu o metodę wideoweryfikacji. Stanowisko skierowane jest do banków i oddziałów instytucji kredytowych, gdyż jak wskazała KNF „w sektorze bankowym występują wątpliwości w zakresie właściwego doboru oraz zastosowania środków bezpieczeństwa finansowego, w szczególności w sytuacji gdy klient nie jest fizycznie obecny w celu nawiązania stosunków gospodarczych lub przeprowadzenia transakcji okazjonalnej”.

Takie wątpliwości występują jednak także w innych sektorach i kategoriach instytucji obowiązanych, być może nawet w większym zakresie niż w bankach. Zawężenie stanowiska do tak ograniczonej kategorii odbiorców nie jest zatem do końca zrozumiałe. Być może chodzi o rozwój metod opartych o wideoweryfikację głównie w obszarze sektora bankowego albo też zwiększone wymagania i oczekiwania KNF co do standardów stosowanych przez Banki i oddziały instytucji kredytowych.  Niemniej jednak, nie ograniczałbym stanowiska KNF wyłącznie do tej kategorii podmiotów i traktowałbym je raczej szerzej w kontekście całego sektora finansowego.

Wytyczne płynące z obu stanowisk stanowią istotną wskazówkę dla instytucji obowiązanych o tym w jaki sposób, w zgodzie z wymogami przepisów o przeciwdziałaniu praniu pieniędzy, budować procesy zdalnej weryfikacji tożsamości klienta. Poniżej parę najistotniejszych.

Wymóg weryfikacji dokumentu tożsamości

Zdaniem obu regulatorów, poza, być może, weryfikacją opartą na środkach identyfikacji elektronicznej wynikających z tzw. rozporządzenia eIDAS, takich jak kwalifikowany podpis elektroniczny, weryfikacja dokumentu tożsamości powinna stanowić jeden z obligatoryjnych elementów procesu weryfikacji tożsamości osoby fizycznej. Choć absolutnie nie wynika to z redakcji przepisów – w art. 37 ustawy o przeciwdziałaniu praniu pieniędzy pomiędzy „dokumentem tożsamości” a „innymi dokumentami, danymi lub informacjami pochodzącymi z wiarygodnego i niezależnego źródła” stoi spójnik „lub” – takie zachowawcze stanowisko organów nadzoru jest zrozumiałe.

Brzmienie wskazanego przepisu w teorii pozwala instytucjom obowiązanym samodzielnie zdecydować o doborze źródeł weryfikacji tożsamości klienta. Jeżeli ocenią inne niż dokument tożsamości źródło informacji za niezależne i wiarygodne, to mogą na nim oprzeć weryfikację. W praktyce jednak trudno takie źródło wskazać. Większość z nich, w aktualnym stanie technicznym i prawnym, także te wymienione w stanowisku KNF, pozwala, de facto, jedynie na potwierdzenie autentyczności uzyskanych danych identyfikacyjnych. Taką rolę pełni weryfikacja publicznych baz danych, jak CEIDG albo bazy numerów PESEL. Tego rodzaju metody nie pozwalają potwierdzić, że osoba z którą ma do czynienia instytucja obowiązana, to rzeczywiście osoba, o danych identyfikacyjnych, które podaje.

Nieco inny problem, ale sprowadzający się do tych samych konkluzji, związany jest z biometrią. Jej zastosowanie wymaga materiału „porównawczego”. Nie istnieją dzisiaj, dostępne dla instytucji finansowych, bazy danych biometrycznych, pozwalające zastosować weryfikację w oparciu o dane dostarczone przez klienta. Jakim innym źródłem materiału dysponować może zatem instytucja finansowa niż zdjęciem z dowodu tożsamości?

Niezależnie czy wideoweryfikacja, którą omawia KNF, oparta jest na metodach biometrycznych, czy nie, sprowadza się ona do podobnej weryfikacji dokumentu tożsamości, jak w przypadku fizycznej obecności klienta. Kluczowym jest sprawdzenie czy osoba widniejąca na zdjęciu w dokumencie tożsamości jest osobą, z którą instytucja nawiązuje stosunki gospodarcze. Gdyby jednak instytucja nie dysponowała takim materiałem, to w jaki inny sposób miałaby weryfikować tożsamość swojego klienta?

Wśród popularnych metod weryfikacji znajduje się także tzw. przelew weryfikacyjny. Tę metodę można określić jako pośrednią.

Skuteczność przelewu weryfikacyjnego

Przelew weryfikacyjny to bardzo popularna metoda weryfikacja tożsamości klientów. Nazwałem ją pośrednią, ponieważ łączy elementy metod związanych z potwierdzaniem autentyczności danych identyfikacyjnych oraz faktycznej weryfikacji tożsamości klienta. Przelewom obligatoryjnie „towarzyszą” niektóre informacje o nadawcy – imię i nazwisko oraz adres.

Dane te pochodzą jednocześnie od innej instytucji obowiązanej, prowadzącej dla nadawcy rachunek, która, przynajmniej zgodnie z przepisami prawa, miała wcześniej obowiązek te dane zweryfikować. Z jednej strony przelew weryfikacyjny pozwala zatem ustalić powiązanie danej osoby fizycznej z określonym adresem, a z drugiej potwierdza, że osoba fizyczna o tym imieniu i nazwisku oraz adresie złożyła dyspozycję jego wykonania na rachunek instytucji (w ramach procesu nawiązywania stosunków gospodarczych z tą instytucją).

Ta metoda weryfikacji ma jednak wady, które zdają się dostrzegać obaj regulatorzy. Zarówno GIIF, jak i KNF zgodnie wskazują, że nie może ona być stosowana jako jedyny środek weryfikacji tożsamości i może być stosowana jedynie pomocniczo do innych. Przelew zawiera zbyt mało danych, aby z całą pewnością ustalić tożsamość jego nadawcy. Dodatkowo metoda opiera się na zaufaniu do środków bezpieczeństwa finansowego wykonanych przez inną instytucję obowiązaną, które przecież mogły nie zostać wykonane poprawnie. W połączeniu z innymi narzędziami na pewno może jednak służyć jako skuteczny środek weryfikacyjny (a nawet oczekiwany, jak wskazuje KNF).

Obligatoryjne stosowanie wzmożonych środków bezpieczeństwa finansowego

Zagadnienie powstało na tle art. 43 ust. 2 pkt 7 ustawy o przeciwdziałaniu praniu pieniędzy, który wymienia fakt nawiązywania stosunków gospodarczych z klientem, bez jego fizycznej obecności, jako mogący świadczyć o wyższym ryzyku prania pieniędzy, jeżeli ryzyko to nie zostało ograniczone w inny sposób, w tym m.in. poprzez użycie kwalifikowanego podpisu elektronicznego. Wyższe ryzyko prania pieniędzy związane jest z obowiązkiem zastosowania przez instytucję finansową wzmożonych środków bezpieczeństwa finansowego, tj. o zwiększonej intensywności lub zakresie, np. poprzez weryfikację tożsamości w dodatkowych bazach lub z wykorzystaniem dodatkowych dokumentów.

Zarówno GIIF, jak i KNF stanęły na stanowisku, w zgodzie zresztą z literalnym brzmieniem przepisu, że sam fakt zdalnego nawiązywania stosunków gospodarczych nie implikuje automatycznie podwyższonego ryzyka prania pieniędzy i zastosowania wzmożonych środków bezpieczeństwa finansowego. Wiąże się on co prawda z większym ryzykiem niż kanały tradycyjne, każdorazowo instytucja powinna dokonywać jednak indywidualnej oceny klienta i zastosowanych mitygantów.

To dobra informacja, w szczególności dla tych instytucji, które swoją sprzedaż w całości opierają o kanały zdalne. Pewnym absurdem byłoby uznawać w takich okolicznościach, nie mówiąc już o zarządzaniu taką sytuacją w ramach stosowanego systemu AML, że każdy klient związany jest z podwyższonym ryzykiem prania pieniędzy, bez uwzględniania innych czynników, jak np. geograficzne. Nie zmienia to oczywiście faktu, że zdalne kanały wymagają zaprojektowania skutecznych metod weryfikacji po to, aby to ryzyko wysokie nie było. Stanowisko organów jest jak najbardziej racjonalne.

Wideoweryfikacja w ocenie nadzoru

Głównie na podstawie stanowiska KNF, chociaż także i GIIF, z całą pewnością można stwierdzić, że wideoweryfikacja, i to nie tylko z użyciem technologii biometrycznych, może stanowić skuteczne narzędzie weryfikacji tożsamości klientów instytucji obowiązanych. To istotna informacja i zielone światło dla nowoczesnych, cyfrowych instytucji finansowych. Biorąc pod uwagę, że w procesie wideoweryfikacji uwzględniany jest dokument tożsamości klienta, ale także elementy behawioralne, związane z jego zachowaniem, metoda ta jawi się właściwie jako aktualnie najskuteczniejsza spośród innych zdalnych. Stanowisko KNF stanowi także użyteczny materiał jako instrukcja właściwego wdrożenia i stosowania tego narzędzia.

Aktywność interpretacyjna organów nadzoru w obszarze zdalnych kanałów dystrybucji produktów przez instytucje obowiązane z pewnością ucieszy tych, którym zdarza się krytykować ich brak należytej inicjatywy w publicznym prezentowaniu podejścia do istotnych zagadnień regulacyjnych. W szczególności tych związanych z nowoczesnymi technologiami. Wiele pytań nadal pozostaje bez odpowiedzi, ale jesteśmy o krok dalej. Z opublikowanymi informacjami instytucjom łatwiej będzie projektować skuteczne i spełniające oczekiwania regulatorów systemy AML.