Skärpta krav på kundkännedom inom kryptosektorn enligt AMLR

Välkommen till del 14 i vår bloggserie om AMLR. I detta inlägg riktas fokus mot artikel 37, som innehåller särskilda skärpta åtgärder för kundkännedom vid gränsöverskridande korrespondentförbindelser för leverantörer av kryptotillgångstjänster. Bestämmelsen bygger vidare på tidigare delar av regelverket, där fastställandet av information och kontroller av motpartsenheten som kundkännedomsåtgärd utgör en central utgångspunkt. För läsare som vill fördjupa sig ytterligare i skärpta åtgärder för kundkännedom rekommenderas att läsa del 11 i bloggserien, om tredjeländer och identifiering av risker. För ansvariga enheter ställs det krav att vidta åtgärder för att bedöma och förstå syftet med en transaktion eller affärsförbindelse. I denna del sätts frågan om syftet i ett mer komplext sammanhang som präglas av teknologisk utveckling, gränsöverskridande strukturer och höga risknivåer. Tillgång till kvalificerat operativt stöd i kundkännedom och transaktionskontroller är därför av stor betydelse för ledning och styrning i verksamheter som verkar på kryptomarknaden.

Kryptotillgångstjänster och AMLR:s riskbaserade ansats

AMLR innebär en genomgripande harmonisering av reglerna om kundkännedom inom EU och omfattar numera uttryckligen även leverantörer av kryptotillgångstjänster. Bakgrunden är den ökade användningen av kryptotillgångar i internationella transaktioner och den särskilda riskbild som följer av snabb överförbarhet, teknisk komplexitet och potentiell anonymitet. I detta sammanhang blir etablerandet och den löpande hanteringen av en affärsförbindelse med motpartsenheter utanför EU särskilt riskkänslig. Artikel 37 tar sikte på just dessa situationer och kompletterar de generella reglerna om gränsöverskridande korrespondentförbindelser i artikel 36. Bestämmelsen är ett tydligt uttryck för AMLR:s riskbaserade ansats, där kraven på kundkännedom skärps i takt med att riskerna ökar. Samtidigt knyts kraven nära till analysen av syfte och affärsförbindelse, eftersom förståelsen av varför en relation etableras är avgörande för bedömningen av vilka riskreducerande åtgärder som är proportionerliga och effektiva.

Artikel 37 AMLR – Särskilda skärpta åtgärder för kundkännedom för gränsöverskridande korrespondentförbindelser för leverantörer av kryptotillgångstjänster

Artikel 37 gäller vid gränsöverskridande korrespondentförbindelser som inbegriper utförande av kryptotillgångstjänster med en motpartsenhet som inte är etablerad i unionen och som tillhandahåller liknande tjänster. Leverantörer av sådana kryptotillgångstjänster ska, genom undantag från artikel 36 och utöver de kundkännedomsåtgärder enligt artikel 20, vara skyldiga att vidta vissa åtgärder när de ingår en affärsförbindelse.

Enligt artikel 37.1 a ska leverantörer av kryptotillgångstjänster fastställa om motpartsenheten har tillstånd eller är registrerad. Vidare ska den ansvariga enheten, enligt artikel 37.1 b, samla in tillräcklig information för att uppnå insikt i motpartens affärsverksamhet. Informationen ska möjliggöra en bedömning av motpartens anseende och kvaliteten på övervakningen. Artikel 37.1 c ställer dessutom krav på ansvariga enheter att bedöma motpartens interna kontroller för bekämpning av penningtvätt och finansiering av terrorism.

Ett genomgående tema i AMLR är att ansvar för riskhantering ska vara tydligt förankrat i företagsledningen. Artikel 37.1 d föreskriver därför att godkännande från företagsledningen krävs innan en ny korrespondentförbindelse ingås. Enligt artikel 37.1 e ska även respektive parts ansvarsområden i korrespondentförbindelsen dokumenteras. Dokumentationen är central både ur ett styrnings- och tillsynsperspektiv och utgör ett viktigt underlag för att säkerställa att det råder klarhet kring vem som ansvarar för vilka moment i kundkännedomsprocessen.

Artikel 37.1 f reglerar särskilt så kallade payable-through-konton för kryptotillgångar. I dessa fall ska leverantören av kryptotillgångstjänster försäkra sig om att motpartsenheten har kontrollerat kundernas identitet och löpande vidtagit åtgärder för kundkännedom avseende de kunder som har direkt tillgång till korrespondentenhetens konton. Motpartsenheten ska dessutom kunna tillhandahålla relevanta kundkännedomsuppgifter på begäran.

Beslutar en leverantör av kryptotillgångstjänster att avsluta korrespondentförbindelsen på grund av orsaker som kan kopplas till strategin för bekämpning av penningtvätt och terrorismfinansiering är leverantören skyldig att dokumentera sitt beslut. Artikel 37 innehåller även krav på löpande uppdatering av kundkännedomsuppgifter. Leverantörer av kryptotillgångstjänster ska regelbundet, eller när nya risker uppstår, uppdatera informationen om kundkännedomen för korrespondentförbindelsen.

Enligt artikel 37.2 ska de uppgifter som samlats in beaktas för att, på grundval av en riskbedömning, fastställa vilka åtgärder som är lämpliga att vidta för att minska de risker som är förknippade med motpartsenheten.

Slutligen föreskriver artikel 37.3 att AMLA, senast den 10 juli 2027, ska utfärda riktlinjer som specificerar de kriterier och aspekter som leverantörer av kryptotillgångstjänster ska beakta vid bedömningen av motpartsenheter samt de riskreducerande åtgärder som ska vidtas. Riktlinjerna ska även omfatta minimiåtgärder som leverantörer av kryptotillgångstjänster ska vidta i situationer där det konstateras att motparten saknar tillstånd eller registrering.

Så påverkar artikel 37 AMLR kundkännedomen för leverantörer av kryptotillgångstjänster

Artikel 37 illustrerar tydligt hur AMLR anpassas till ny finansiell teknologi och hur kraven på kundkännedom utvecklas i takt med att nya affärsmodeller växer fram. För leverantörer av kryptotillgångstjänster innebär bestämmelsen ett omfattande ansvar för att förstå, dokumentera och löpande följa upp varje gränsöverskridande affärsförbindelse.

Morling Consulting bistår verksamhetsutövare med kvalificerad juridisk rådgivning och praktiskt inriktat, operativt stöd i kundkännedom. Genom djupgående expertis inom AMLR och riskhantering hjälper våra jurister organisationer att implementera regelverket på ett proportionerligt och verksamhetsanpassat sätt.