Vejledning om anvendelse af MitID som kontrolkilde i kunde-kendskabsprocedurer

Vejledning om anvendelse af MitID som kontrolkilde i kunde-kendskabsprocedurer

Indledning

Når der under de enkelte punkter nedenfor er anført ”som hovedregel” eller ”bør”, indebærer det, at virksomheder eller personer (herefter virksomheder) kan vælge andre former for tiltag som led i deres kundekendskabsprocedurer.

Vejledningen er således ikke udtømmende.

Det betyder, at en virksomhed kan handle indenfor lovgivningen, selvom det er udenfor rammerne af en vejledning.

I disse tilfælde vil Finanstilsynet bede virksomheden om at forklare, hvordan de holder sig inden for grænserne i lovgivningen.

Når der i denne vejledning er anført ”skal”, indebærer det, at virksomhederne skal gøre som beskrevet, fordi det følger af hvidvaskloven.

Sammenfatning

Det er Finanstilsynet vurdering, at sikkerhedsniveauet i MitID-løsningen tillader, at MitID ud fra virksomhedernes konkrete vurdering af det enkelte kundeforhold i mange tilfælde kan stå alene som kontrolkilde til at fastslå kunders identitet, der ikke er underlagt skærpede kundekendskabsprocedurer.

Det gælder også i forhold til distancekunder.

Virksomhederne skal dog altid forholde sig til risikoen ved den konkrete kunde og være opmærksomme på, om der kan være forhold, der nødvendiggør, at anvendelsen af MitID skal suppleres med andre kontrolkilder for at sikre bekræftelsen af kundens identitet.

Finanstilsynet bemærker også, at MitID som kontrolkilde til identifikation udelukkende relaterer sig til kontrollen af en given identitet.

Virksomhederne er fortsat forpligtede til at gennemføre øvrige elementer af kundekendskabsprocedurerne, f.eks. vurdere formålet med og den tilsigtede beskaffenhed af kundeforholdet.

Finanstilsynet forventer i løbet af 2024 at foretage en vurdering af behovet for en eventuel revision af vejledningen.

På dette tidspunkt forventes såvel myndigheder som virksomheder at have opnået erfaringer med anvendelsen af MitID som led i kundekendskabsprocedurerne.

Baggrund

Hvidvaskloven fastsætter krav om, at virksomheder og personer (herefter ”virksomheder”), der er omfattet af hvidvaskloven, skal have et tilstrækkeligt kendskab til deres kunder.

For at kende deres kunder skal virksomhederne gennemføre kundekendskabsprocedurer, som bl.a. indebærer, at de skal identificere og kontrollere deres kunders identitet.

Identifikation af kunderne indebærer, at virksomheden – såfremt kunden er en fysisk person – indhenter navn og CPR-nummer eller lignende.

Hvis den pågældende kunde ikke har et CPR-nummer eller lignende, skal identitetsoplysningerne omfatte navn og fødselsdato.

De identifikationsoplysninger, som virksomhederne indhenter fra en kunde, skal herefter kontrolleres ved hjælp af dokumenter, data eller oplysninger, der er indhentet fra en pålidelig og uafhængig kilde.

Det betyder, at kontrollen af identitetsoplysningerne skal ske gennem en anden kilde end kunden selv.

Mange virksomheder har i dag udelukkende en digital relation med deres kunder – såkaldte distancekunder – hvor identifikationen af kunderne sker gennem digitale kanaler.

Disse virksomheder kan anvende forskellige metoder, når de skal kontrollere identiteten på kunderne.

En af de meget anvendte kontrolkilder i relation til distancekunder har været NemID.

Hidtil har praksis været at, NemID kun har kunne stå alene som kontrolkilde, såfremt risikoen ved kundeforholdet, vurderes at være lav.

Vurderes kundens risiko at være mellem eller høj, vil virksomhederne være forpligtede til at indhente yderligere dokumentation, såsom pas eller kørekort.

Det skyldes bl.a., at processen for kontrol af identiteter ved onboarding til NemID-løsningen historisk ikke har været tilstrækkelig i forhold til hvidvasklovens krav.

Samtidig er sikkerheden ved nøglekortet lav.

Det er eksempelvis relativt let at kopiere eller videregive sammen med andre relevante oplysninger til kriminelle aktører, så en identitet kan misbruges til hvidvask eller terrorfinansiering.

Den nye identitetsløsning MitID

erstatter NemID.

MitID løser en række af de sikkerhedsmæssige udfordringer, der ligger i NemID.

Der er bl.a. sket et løft af sikkerheden, når personer onboardes til MitID, ligesom den overordnede sikkerhed i løsningen er løftet.

Virksomheder omfattet af hvidvaskloven har udtrykt ønske om, at digitale identitetsløsninger i større omfang kan anvendes som kontrolkilder på lige fod med fysiske identitetspapirer, bl.a. grundet en større mængde distancekunder, og at teknologien er blevet mere sikker.

Finanstilsynet har på den baggrund foretaget en vurdering af, hvorvidt MitID vil kunne anvendes som kontrolkilde i større omfang, end NemID hidtil har kunne anvendes.

Grundlaget for Finanstilsynets vurdering af anvendelsesområdet for MitID til identifikation af kunder bygger overordnet på to forhold.

For det første er tilgangen til distancekunder og elektroniske identitetsløsninger blevet ændret med 4. hvidvaskdirektiv.

Samtidig er sikkerheden ved MitID højere end ved NemID, særligt i relation til oprettelse af nye kundeforhold.

Historisk har det ligget i hvidvaskreglerne, at etablering af kundeforhold med distancekunder per definition er forbundet med øget risiko for hvidvask og terrorfinansiering.

Dette specifikke forhold bortfaldt med implementeringen af det fjerde hvidvaskdirektiv

.

Den reviderede udgave af 4. hvidvaskdirektiv fra 2018

(5. hvidvaskdirektiv) understreger videre, at reguleringen bør være teknologineutral, at den teknologiske udvikling muliggør sikker fjernidentifikation eller elektronisk identifikation, og at der i lyset af eIDAS-forordningen

bør tages hensyn til brugen af sådanne identifikationsmidler.

Denne ændrede fortolkning af teknologiens anvendelsesområde er også understøttet af EBA guidelines fra 2021

.

Det er på nuværende tidspunkt Finanstilsynets vurdering, at MitID på sikkerhedsniveau betydelig (jf. eIDAS)

kan anvendes til elektronisk identifikation af kunder, herunder personer der handler på vegne af en kunde og en kundes reelle ejere, der ikke er underlagt skærpede kundekendskabsprocedurer.

Det skyldes primært den høje sikkerhed i onboardingprocessen til MitID.

Identifikationsprocessen ved udstedelse af MitID indebærer, at kunden møder fysisk op med et pas eller andet identifikationsdokument.

Identifikationsprocessen kan også ske ved, at MitID oprettes via en pasfunktion i MitID-app’en, eller at brugeren migreres over til MitID ved brug af NemID.

Derudover sammenholdes de angivne oplysninger også med CPR-registeret ved alle tre processer

.

Dertil kommer, at sikkerhedsniveauet ved identifikationsmidlerne i MitID-løsningen er højere end i NemID-løsningen.

Det skyldes især afskaffelsen af nøglekortet, og at al godkendelse herefter som udgangspunkt sker gennem MitID-app’en.

Finanstilsynet vurderer på den baggrund, at MitID i højere grad kan stå alene som kontrolkilde, end det er tilfældet med NemID.

Finanstilsynet vurderer derfor også, at MitID kan stå alene som kontrolkilde for identifikation af distancekunder, der ikke er underlagt skærpede kundekendskabsprocedurer.

Som nævnt ovenfor vil Finanstilsynet i øvrigt følge udviklingen og anvendelsen af MitID som kontrolkilde og i 2024 vurdere, om der er anledning til at revidere vejledningen.

Finanstilsynet henviser i øvrigt til EBA’s retningslinjer til hvidvaskdirektiverne.

Retningslinjerne fokuserer på virksomhedernes kundekendskabsprocedurer, herunder hvilke risikofaktorer virksomheder skal være opmærksomme på i forbindelse med risikovurderingen og risikoklassificeringen af kundeforholdet.

Hvornår kan MitID bruges som en kontrolkilde til identifikation, og hvilken betydning har det?

Hidtil har indhentelse af identitetsoplysninger og kontrol heraf i forhold til en mellemrisikokunde f.eks. kunne gennemføres således

I det opstillede eksempel på en tilstrækkelig identifikationsproces kontrolleres identiteten først og fremmest ved brug af NemID og CPR-registret.

Virksomheden har dog også skulle gennemføre en ekstra kontrol ved at indhente en kopi af kundens pas eller kørekort.

Fremover vil en virksomhed som udgangspunkt kunne indhente identitetsoplysninger og foretage kontrol heraf i forhold til lav- og mellemrisikokunder – men ikke højrisikokunder – på f.eks. følgende måde

Virksomhederne skal i sagens natur altid forholde sig til risikoen ved den konkrete kunde og i den forbindelse vurdere, om ovenstående proces er tilstrækkelig til at fastslå kundens identitet.

Hvis du vil vide mere

Du kan læse mere om Finanstilsynet vurdering, herunder kravene i eIDAS-forordning og EBAs retningslinjer, i Finanstilsynet AML/TEK rapport afsnit 6.

Link: Rapport om projekt AML/TEK

1)

MitID er resultatet af et samarbejde mellem det offentlige, der repræsenteres af Digitaliseringsstyrelsen og pengeinstitutterne, der repræsenteres ved FR I – et datterselskab til Finans Danmark.

Digitaliseringsstyrelsen og Finans Danmark (MitID Partnerskabet) står i samarbejde for udviklingen og driften af MitID-løsningen.

2)

Europa-Parlamentets og Rådets Direktiv (EU) 2015/849 af 20. maj 2015.

3)

Europa-Parlamentets og Rådets Direktiv (EU) 2018/843 af 30. maj 2018.

4)

Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014.

I henhold til forordningens artikel 8, stk. 1, skal en elektronisk identifikationsordning, der er anmeldt i henhold til ar-tikel 9, stk. 1, angive sikringsniveauerne »lav«, »betydelig« og/eller »høj« for de elektroni-ske identifikationsmidler, der er udstedt under den pågældende ordning.

5)

EBA guidelines (EBA/GL20221/02) af 1. marts 2021 om kundekendskab og de faktorer, som kredit- og finansieringsinstitutter bør tage i betragtning ved vurderingen af ml/tf-risikoen i forbindelse med individuelle forretningsforbindelser og lejlighedsvise transaktioner (https://www.eba.europa.eu/regulation-and-policy/anti-money-laundering-and-e-money/revised-guidelines-on-ml-tf-risk-factors).

6)

MitID er anmeldt på sikkerhedsniveau betydelig og høj.

Det sikringsniveau, der kan op-nås, afhænger af, hvilken identitetssikringsproces og hvilke identifikationsmiddelkombina-tioner der benyttes.

MitID-appen opnår som standard sikkerhedsniveau betydelig, men kan løftes til sikringsniveau høj via en særlig indrulleringsproces, forudsat at en række betin-gelser er opfyldt.

Niveau høj anvendelse kræver, at identitetssikringsprocessen også er på høj.

MitID Chip, kombineret med password, opnår både sikkerhedsniveau betydelig og høj.

7)

Undtagelsesvist er det muligt at få udstedt MitID uden CPR-nummer.

1.

Kunden oplyser navn og CPR-nummer.

2.

Kunden underskriver med et OCES-certificeret NemID, og CPR-nummeret sammenholdes med CPR-registret.

3.

Der indhentes kontroldokumenter, eksempelvis i form af kopi af pas eller kørekort.

1.

Kunden oplyser navn og CPR-nummer.

2.

Kunden bekræfter sin identitet ved brug af MitID.