Program identyfikacji klienta

Instytucje finansowe działające w Stanach Zjednoczonych są prawnie zobowiązane do weryfikacji tożsamości swoich klientów, którzy chcą uzyskać dostęp do produktów lub usług finansowych. Wprowadzone w ramach sekcji 326 ustawy Patriot Act, programy identyfikacji klienta (CIP) są obowiązkowe i mają na celu wzmocnienie ochrony amerykańskiego systemu finansowego przed finansowaniem terroryzmu i innymi przestępstwami finansowymi. Programy CIP nie ograniczają się do tradycyjnych banków – są one również stosowane w instytucjach takich jak spółdzielnie kredytowe, firmy maklerskie, firmy świadczące usługi finansowe, platformy fintech, a ostatnio także w przypadku giełd kryptowalut i dostawców portfeli. 

CIP stanowi pierwszą linię obrony w procesie due diligence instytucji finansowej, zapewniając prawidłową identyfikację, weryfikację i kontrolę podmiotów wchodzących do ekosystemu finansowego. Stanowiąc podstawę bardziej zaawansowanych KYC Procedury takie jak należyta staranność wobec klienta (CDD) i należyta staranność wzmocniona (EDD) – CIP mają kluczowe znaczenie dla zapewnienia przejrzystości transakcji finansowych, zapobiegania oszustwom tożsamości i przestępstwom finansowym, takim jak pranie pieniędzy i finansowanie terroryzmu.

Czym jest program identyfikacji klienta?

Program Identyfikacji Klienta to sformalizowane, ujednolicone podejście do weryfikacji tożsamości w procesie rejestracji klienta dla osób fizycznych lub podmiotów zainteresowanych współpracą z instytucjami finansowymi. Ustanowiony na mocy ustawy o tajemnicy bankowej (Bank Secrecy Act, BSA) i egzekwowany przez Sieć ds. Zwalczania Przestępstw Finansowych (Financial Crimes Enforcement Network, FinCEN), program ten jest zobowiązany do gromadzenia, weryfikacji i przechowywania danych osobowych (imienia i nazwiska oraz daty urodzenia), a także danych krytycznych (adresów i numerów identyfikacyjnych). Informacje te są następnie weryfikowane za pomocą metod dokumentacyjnych lub niedokumentacyjnych (paszportów/praw jazdy lub kontroli baz danych/raportów z biur informacji kredytowej).

CIP-y nie stosują uniwersalnego podejścia do weryfikacji, lecz wybierają metodę opartą na ryzyku, która uwzględnia rodzaj konta, rodzaje transakcji oraz ogólny profil ryzyka klienta. Dzięki uczeniu maszynowemu, sztucznej inteligencji i walidacji danych w czasie rzeczywistym, CIP-y o niskim ryzyku można łatwo zautomatyzować, dzięki czemu specjaliści ds. zgodności mogą skupić się bardziej na przypadkach o wyższym ryzyku. 

Dlaczego CIP jest ważny?

Chociaż program CIP wprowadzono w 2003 r. w celu zwalczania finansowania terroryzmu, jego znaczenie wykracza poza jego pierwotne przeznaczenie i obecnie stanowi podstawę szerokiego spektrum strategii zapobiegania przestępstwom finansowym. 

Konkretnie CIP:

• Wykrywa i zapobiega przestępstwom finansowym zanim w ogóle dojdzie do incydentów, uniemożliwiając anonimowy dostęp do systemu finansowego, co jest podstawową taktyką stosowaną w przypadku prania pieniędzy, oszustw i unikania sankcji.
• Tworzy bazę do profilowania ryzyka i bieżącego monitorowania dzięki czemu instytucje mogą identyfikować potencjalne przejęcia rachunków, a także przeprowadzać dokładniejsze przeglądy klientów wysokiego ryzyka na podstawie znaczących zmian w ich aktywności.
• Umożliwia instytucjom zbudowanie obronnej pozycji w przypadku dochodzenia prawnego, udowadniając, że podjęli odpowiednie kroki w celu weryfikacji swoich klientów.
• Pomaga usługom finansowym dostosować się do nowego i ciągle zmieniającego się cyfrowego krajobrazu finansowego, ponieważ nigdy wcześniej nie było tak łatwo przemieszczać aktywa na całym świecie, co wiąże się z wieloma potencjalnymi ryzykami.
• Wzmacnia globalną współpracę i stabilność finansową poprzez podjęcie działań mających na celu ujednolicenie standardów AML/CTF w różnych jurysdykcjach, tak aby podmioty naruszające przepisy miały mniejsze możliwości działania na określonych obszarach.

W miarę jak produkty finansowe stają się coraz bardziej dostępne, szybsze i bardziej złożone, dobrze zaprojektowany CIP stanowi pierwszą i najważniejszą warstwę ochrony.

Wymagania CIP

Dla nowych klientów indywidualnych

Podczas przyjmowania nowych klientów instytucje finansowe muszą zebrać podstawowy zestaw cech tożsamości, aby ustalić minimalny profil klienta, obejmujący:

• Pełna nazwa prawna
• Data urodzenia
• Adres zamieszkania lub firmy
• Numer identyfikacyjny (np. numer ubezpieczenia społecznego [SSN], indywidualny numer identyfikacyjny podatnika [ITIN] lub numer paszportu wydanego za granicą w przypadku osób spoza USA)

Następnie instytucje muszą zweryfikować dokładność i legalność tych informacji, co może nastąpić poprzez:

• Dokument tożsamości ze zdjęciem wydany przez organ rządowy (np. paszport, prawo jazdy, dowód wojskowy)
• Dowód adresu (np. umowa najmu, rachunek za media)
• Elektroniczna baza danych (np. biura informacji kredytowej, rejestry publiczne)

W cyfrowym środowisku onboardingu instytucje mogą również korzystać z weryfikacji biometrycznej, geolokalizacji i analizy IP oraz odcisków palców urządzeń. Środki te są szczególnie ważne w przypadku zdalnych i szybkich konfiguracji kont, gdzie nie ma interakcji twarzą w twarz.

Dla nowych klientów biznesowych

Wdrażanie klientów korporacyjnych wymaga głębszego i bardziej złożonego procesu weryfikacji, którego celem jest potwierdzenie legalności podmiotu i zrozumienie, kto jest jego ostatecznym właścicielem lub sprawuje nad nim kontrolę. Kluczowe informacje obejmują:

• Nazwa prawna firmy
• Główny adres firmy i miejsce prowadzenia działalności
• Data założenia i jurysdykcja
• Numer identyfikacyjny pracodawcy (EIN) lub równoważny
• Dane dotyczące rzeczywistego właściciela rzeczywistego (UBO) – zazwyczaj identyfikujące każdą osobę posiadającą 25% lub więcej udziałów w podmiocie lub w inny sposób sprawującą znaczną kontrolę

Metody weryfikacji CIP obejmują zazwyczaj:

• Zaświadczenie o założeniu firmy lub dokumenty rejestracyjne, w celu potwierdzenia istnienia firmy i jej dobrej kondycji finansowej
• Licencje biznesowe lub rejestracje regulacyjne, potwierdzające, że firma jest upoważniona do prowadzenia działalności
• List potwierdzający numer EIN wydany przez IRS, potwierdzający tożsamość podatkową firmy
• Statut spółki lub umowa operacyjna w celu wyjaśnienia struktury własnościowej i uprawnień decyzyjnych

Instytucje często domagają się okresowych aktualizacji, zwłaszcza jeśli zachodzą zmiany w strukturze, własności lub działalności przedsiębiorstwa.

Ważne jest, aby instytucje ustaliły wewnętrzne zasady CIP, które określą, jakie dokumenty lub źródła są akceptowalne, w jaki sposób obsługiwane są wyjątki i jakie dodatkowe kroki weryfikacji można dodać w razie potrzeby, ponieważ wszyscy klienci są różni, a niektórzy stanowią większe ryzyko niż inni.

Kluczowe elementy skutecznego CIP

1. Ocena oparta na ryzyku 

Istotne jest stosowanie metodologii opartych na ryzyku w celu dostosowania weryfikacji tożsamości do konkretnego ryzyka każdego klienta, tak aby zapewnić jej jak największą wydajność i skuteczność. 

Do kluczowych czynników ryzyka należą:

• Typ klienta: Czy klientem jest osoba fizyczna, mała firma, duża korporacja, fundacja czy podmiot zagraniczny — każdy z nich niesie ze sobą własne ryzyko
• Charakter i wolumen transakcji: Transakcje o dużej wartości, częste lub transgraniczne zazwyczaj wymagają spełnienia bardziej rygorystycznych wymogów weryfikacyjnych
• Ryzyko geograficzne: Klienci pochodzący z jurysdykcji, które FATF określiła jako wysokiego ryzyka, wymagają wzmożonej kontroli
• Kanał rejestracji: Weryfikacje odbywające się online, zwłaszcza te bez osobistej interakcji, wymagają silniejszych kontroli weryfikacji cyfrowej

Zasady CIP powinny jasno określać progi ryzyka, wskazywać moment uruchomienia EDD i ustanawiać procedury wielopoziomowe w celu obsługi różnych poziomów ryzyka klienta.

2. Metody weryfikacji

Proces weryfikacji powinien być elastyczny i wielowarstwowy, aby umożliwić instytucjom jak najdokładniejsze reagowanie na potrzeby klienta. 

Metody weryfikacji dokumentów obejmują:

• Fizyczny dokument tożsamości ze zdjęciem wydany przez organ rządowy
• Certyfikaty rejestracji działalności gospodarczej
• Licencje regulacyjne dla podmiotów profesjonalnych 

Do metod weryfikacji nieopartych na dokumentach zalicza się:

• Bazy danych tożsamości elektronicznej (np. biura informacji kredytowej, rejestry publiczne)
• Uwierzytelnianie biometryczne (np. rozpoznawanie twarzy, odciski głosu, odciski palców)
• Inteligencja urządzeń i analiza IP 
• Weryfikacja adresu e-mail lub numeru telefonu

Coraz popularniejsze staje się wykorzystywanie sztucznej inteligencji i uczenia maszynowego do dynamicznego dostosowywania kroków weryfikacji w czasie rzeczywistym na podstawie sygnałów ryzyka podczas wdrażania.

3. Ciągły monitoring i rozszerzona należyta staranność (EDD)

CIP nie jest zdarzeniem jednorazowym i niezwykle ważne jest przeprowadzanie okresowej ponownej weryfikacji klientów, którzy stanowią podwyższone ryzyko. 

Rozszerzona należyta staranność może obejmować:

• Kontrole sankcji i list obserwacyjnych, w tym kontrole w bazach danych ONZ, OFAC i PEP
• Analiza negatywnych mediów w celu uwidocznienia ryzyka związanego z reputacją lub ryzykiem prawnym
• Monitorowanie transakcji w czasie rzeczywistym w celu identyfikacji nietypowych wzorców, które są niezgodne ze znanym zachowaniem klientów
• Ponowna walidacja UBO, zwłaszcza po fuzjach, przejęciach lub zmianach własnościowych

4. Prowadzenie i przechowywanie dokumentacji

Instytucje muszą być w stanie wykazać przestrzeganie przepisów i udzielić wsparcia w prowadzeniu dochodzeń, jeśli zostaną o to poproszone.

Normy regulacyjne zazwyczaj wymagają:

• Przechowywanie danych identyfikacyjnych i danych weryfikacyjnych przez co najmniej pięć lat od otwarcia konta
• Przechowywanie danych dotyczących transakcji przez pięć lat od zamknięcia konta

Instytucje muszą zapewnić, że dokumentacja jest:

• Bezpiecznie przechowywane i dostępne na potrzeby audytów lub przeglądów regulacyjnych
• Zorganizowane i przeszukiwalne
• Możliwość obsługi śladów audytu z sygnaturą czasową, w tym notatek dotyczących ocen ryzyka, wyników weryfikacji i decyzji dotyczących zgodności

Firmy, które prowadzą rzetelne procedury ewidencjonowania, są w stanie lepiej bronić się przed oszustwami, a także zabezpieczyć się przed odpowiedzialnością prawną.

5. Kontrola wewnętrzna i audyty

O ile ustanowienie procedur identyfikacji klienta ma duże znaczenie, o tyle wewnętrzne zarządzanie i solidne kontrole wewnętrzne pomagają zapewnić spójne wdrażanie, monitorować odchylenia od procedur i szybko reagować na zmiany w przepisach.

Podstawowe mechanizmy kontroli obejmują:

• Wyznaczenie Specjalisty ds. Zgodności, który będzie zarządzał strukturą CIP i zapewni zgodność z polityką AML/CTF
• Opracowywanie pisemnych zasad i procedur, które będą regularnie aktualizowane i rozpowszechniane wśród odpowiednich pracowników
• Programy szkoleniowe mające na celu utrzymanie spójności i świadomości regulacyjnej
• Ciągłe oceny kontroli w celu zapewnienia skuteczności narzędzi weryfikacyjnych, jakości danych i wydajności procesów
• Analiza luk mająca na celu identyfikację i rozwiązanie niedociągnięć w zakresie gotowości do przestrzegania przepisów

Silne zarządzanie jednocześnie zmniejsza ryzyko naruszenia przepisów przez firmę, a jednocześnie stanowi przykład proaktywnego zarządzania ryzykiem (co jest ważnym czynnikiem dla inwestorów, klientów i organów regulacyjnych).

Ostatnie zmiany

Włączenie kryptowalut i technologii finansowych

Przepisy dotyczące krajobrazu są obecnie zaostrzane dla firm zarządzających aktywami cyfrowymi, zwłaszcza w przemysł kryptograficzny Nowe środki mają na celu wyeliminowanie luk w transakcjach kryptowalutowych poprzez objęcie dotychczas nieuregulowanych podmiotów formalnymi procedurami zgodności. Po pełnym wdrożeniu, dostawcy usług aktywów wirtualnych (VASP) będą musieli wdrożyć solidne procedury CIP, odzwierciedlające tradycyjne instytucje finansowe, podobne do przepisów UE dotyczących rynków aktywów kryptograficznych (MiCA).

Rozszerzenie zasad dotyczących podróży FATF

Aby dostosować się do zaktualizowanych wytycznych FATF, w USA obowiązują teraz bardziej rygorystyczne wymogi dotyczące przepisów dotyczących podróży, wymagające od dostawców usług finansowych (VASP) wymiany informacji o nadawcy i odbiorcy w przypadku przelewów powyżej 1,000 USD. Rozszerzając zakres egzekwowania przepisów, dane CIP muszą być teraz gromadzone i weryfikowane dynamicznie w momencie przelewu, a także podczas tworzenia konta, co podnosi poprzeczkę dla zgodności w czasie rzeczywistym w przypadku przelewów peer-to-peer i międzyplatformowych.

Wskazówki dotyczące tożsamości cyfrowej 

Agencje federalne coraz częściej promują ramy identyfikacji cyfrowej, które kładą nacisk na weryfikację tożsamości cyfrowej opartą na ryzyku oraz mechanizmy ciągłego uwierzytelniania, aby zwiększyć skuteczność CIP w przypadku zdalnego wdrażania. Firmy są zachęcane do integracji uznanych przez rząd federalny dostawców tożsamości cyfrowej, weryfikatorów biometrycznych i zdecentralizowanych modeli identyfikacji, aby usprawnić pozyskiwanie klientów przy jednoczesnym zachowaniu bezpieczeństwa i zgodności z przepisami.

Zaostrzone zasady dotyczące rzeczywistego właściciela

 Ustawa o przejrzystości korporacyjnej (Corporate Transparency Act, CTA) nakłada obecnie na większość korporacji, spółek LLC i podobnych podmiotów obowiązek raportowania informacji o beneficjentach rzeczywistych (BOI) do FinCEN. Włączenie danych BOI do procesu CIP i powiązanie zgłoszeń z wewnętrznymi rejestrami pomaga wzmocnić nadzór instytucjonalny nad spółkami-słupkami i ukrytymi strukturami własnościowymi, szczególnie w sektorach lub regionach wysokiego ryzyka.

Wniosek

W miarę rozwoju systemów finansowych, Program Tożsamości Klienta pozostaje fundamentalnym elementem zgodności z przepisami i zarządzania ryzykiem instytucjonalnym. Kładąc nacisk na precyzyjną weryfikację tożsamości, podejmowanie decyzji w oparciu o ryzyko i stały nadzór, CIP nie tylko spełnia wymogi prawne, ale także wzmacnia szerszy kontekst finansowy. Stanowi on podstawową kontrolę, która umożliwia instytucjom zapobieganie nieautoryzowanemu dostępowi, ograniczanie narażenia na przestępstwa finansowe i utrzymanie zaufania zarówno ze strony organów regulacyjnych, jak i interesariuszy. 

CIP to dziś coś więcej niż tylko konieczność regulacyjna, to atut strategiczny. Firmy, które wdrożą dynamiczne, oparte na inteligencji struktury, będą lepiej przygotowane do rozwoju w otoczeniu zdominowanym przez innowacyjność, kontrolę regulacyjną i rosnącą globalną sieć powiązań.