AML/KYC nõuded fintech-ettevõttele: programm, mis läbib auditi

AML ehk rahapesu tõkestamine on kogu kontrollide programm, mida ettevõte rakendab rahapesu ja terrorismi rahastamise avastamiseks ja ärahoidmiseks. KYC ehk tunne oma klienti on selle programmi isikusamasuse ja hoolsusmeetmete osa: selle kontrollimine, kes klient on ning kes lõppkokkuvõttes teda omab või kontrollib. KYC on osa AMList, mitte sünonüüm.

See eristus on auditil oluline. Järelevalveasutus ei küsi üksnes, kas te kontrollite klientide isikusamasust; ta küsib, kas isikusamasuse kontroll asub dokumenteeritud, riskipõhise süsteemi sees, mille ümber on juhtimine, seire, teatamine ja testimine. Ettevõte, kes ajab hea kliendi vastuvõtu (onboarding) segi tervikliku AML-programmiga, on see ettevõte, kes auditi läbi kukub.

2024. aastal võttis EL vastu ühtse, ühtlustatud AML-paketi, mis muudab vastavuse lähtetaset oluliselt. Selle teadmine, milline instrument mida teeb ja millal seda kohaldatakse, on programmi õigeks ajastamiseks hädavajalik.

Praktiline raamistus on järgmine: ettevõtted täidavad täna nõudeid kehtivate AML-direktiivide alusel ja lähevad vahetult kohaldatavale AMLRi reeglistikule üle alates 10. juulist 2027. Praegu üles ehitatud programm peaks juba AMLRi ette nägema, mitte hiljem selle jaoks ümber ehitatama.

• AMLR – määrus (EL) 2024/1624: ühtne, vahetult kohaldatav AML-reeglistik, mis hõlmab kliendi hoolsusmeetmeid, tegelikku kasusaamist, tugevdatud hoolsusmeetmeid ja teatamist; enamikku sätteid kohaldatakse alates 10. juulist 2027.
• AMLD6 – direktiiv (EL) 2024/1640: juhtimine ja järelevalve, rahapesu andmebürood ning tegelike kasusaajate registrid, üle võetud riigisisesesse õigusesse.
• AMLA – määrus (EL) 2024/1620: asutab Rahapesu ja Terrorismi Rahastamise Tõkestamise Ameti (AMLA), mis asub Frankfurdis ja on tegutsenud alates 2025. aasta keskpaigast, andes välja tehnilisi standardeid ja alustades teatud kõrge riskiga piiriüleste üksuste otsest järelevalvet.

AML-kohustused langevad nendele, keda ELi õigus nimetab kohustatud isikuteks. Krediidi- ja finantseerimisasutused kuuluvad selgelt kohaldamisalasse ning fintech-sektori jaoks hõlmab see sõnaselgelt makseasutusi, e-raha asutusi, neopanku ja krüptovarateenuse osutajaid.

Teisisõnu, kui teil on makse-, e-raha või MiCA tegevusluba, ei ole täielik AML/CFT programm valikuline ega meeldiv lisaväärtus. See on tegevusloa tingimus ja järelevalveasutused käsitlevad AML-nõrkust üha enam põhjusena tegevusloa andmist juba algselt edasi lükata või sellest keelduda.

Kliendi hoolsusmeetmed (CDD) on kontrollide kogum, mida ettevõte rakendab, et oma kliente tunda ja nende riski hinnata. Need on alati nõutavad ärisuhte loomisel, rahapesu või terrorismi rahastamise kahtluse korral või kui on kahtlusi varem saadud isikusamasuse andmete suhtes. Ühekordsete tehingute puhul käivitavad hoolsusmeetmed ka fikseeritud rahalised läved.

Läved muutuvad, seega tuleb praegused ja tulevased näitajad esitada koos. Juhutehingute puhul liigub ELi lävi tänaselt 15 000 eurolt 10 000 eurole AMLRi kohaselt alates 10. juulist 2027. Krüptot koheldakse rangemalt: CASPid peavad rakendama hoolsusmeetmeid juhuslike krüptoülekannete suhtes üle 1000 euro. AMLR kehtestab ka kogu ELi hõlmava sularahamakse ülempiiri 10 000 eurot, ehkki madalamad riigisisesed ülempiirid võivad kehtima jääda.

• Alati: ärisuhte loomisel, rahapesu/terrorismi rahastamise kahtluse korral või kahtluste korral varasemate isikusamasuse andmete suhtes.
• Juhutehingud: kliendi hoolsusmeetmed alates 15 000 eurost täna, liikudes 10 000 eurole AMLRi kohaselt alates 10. juulist 2027.
• Krüptoülekanded: CASPid rakendavad hoolsusmeetmeid juhuslike ülekannete suhtes üle 1000 euro.
• Sularaha: kogu ELi hõlmav sularahamakse ülempiir 10 000 eurot AMLRi kohaselt, võimalike madalamate riigisiseste ülempiiridega.

Tugevdatud hoolsusmeetmed (EDD) kohalduvad kõrgema riskiga olukordades ja tähendavad rohkem teavet, kõrgema juhtkonna heakskiitu ja tihedamat jooksvat seiret. Need on nõutavad riikliku taustaga isikute (PEPide), kõrge riskiga kolmandate riikidega seotud klientide ning keerukate või ebatavaliselt suurte tehingute puhul, millel puudub ilmselge majanduslik eesmärk. AMLRi kohaselt kohaldatakse tugevdatud hoolsusmeetmeid ka väga suure väärtusega suhted, näiteks jõukad kliendid üle määratletud varaläve.

Tegelik kasusaamine on teine sammas, mida audiitorid tugevalt uurivad. Tegelik kasusaaja (UBO) on füüsiline isik, kes lõppkokkuvõttes omab või kontrollib klienti. AMLR muudab osaluse läve enam kui 25%-lt 25%-le või rohkemale osadest, aktsiatest, hääleõigustest või muust omandiosalusest (artikkel 52) ja kohustab ELi-väliseid üksusi, millel on ELi seosed, registreerima oma tegelikud kasusaajad (artikkel 67); AMLD6 nõuab üksikasjalikumaid, ELi-üleselt ühendatud keskregistreid, kus neid andmeid hoitakse. Kuni AMLRi kohaldamise alguseni 10. juulil 2027 jääb Eesti õiguses kehtima üle 25% kriteerium (RahaPTS § 9 lg 2), seega peaks programm seda täna rakendama ja olema valmis sellel kuupäeval üle minema.

Kliendi tundmisest vastuvõtul ei piisa; ettevõte peab suhet pidevalt jälgima. Jooksev ja tehingute seire kontrollib tegevust kliendi oodatava profiili ning sanktsioonide, riikliku taustaga isikute ja negatiivse meedia loendite vastu ning märgib anomaaliad ülevaatamiseks. See on mootor, mis muudab staatilised KYC-andmed elavaks riskijuhtimiseks.

Krüptoettevõtete jaoks on lisaks konkreetne kohustus, mida tuntakse reisireeglina (travel rule). Rahaülekannete määruse ehk määruse (EL) 2023/1113 kohaselt peab teenuseosutajate vaheliste krüptovara ülekannetega sõltumata summast kaasnema algataja ja saaja teave. Ülekanded isehallatavatesse rahakottidesse või neist üle 1000 euro käivitavad täiendava kontrolli, et klient rahakotti kontrollib.

Järelevalveasutused kontrollivad dokumente ja otsuseid, mitte häid kavatsusi. Programm läbib auditi, kui iga järgnev ehitusplokk on olemas, kirja pandud, ettevõtte riskiga proportsionaalne ja tõendatavalt praktikas toimiv. Averium nõustab programmi ja selle õigusliku piisavuse osas tarnijaneutraalselt, nii et raamistik on ehitatud järelevalveasutusele vastu pidama, mitte konkreetse tööriista järgi.

• Kogu ettevõtet hõlmav AML/CFT riskihinnang, dokumenteeritud ja ajakohastatud.
• Sisemised poliitikad, kontrollid ja menetlused, mis on proportsionaalsed selle riskiga.
• Määratud vastavuskontrolli või rahapesu tõkestamise eest vastutav isik (MLRO), kes vastutab kõrgema juhtkonna ees.
• Kliendi hoolsusmeetmed ja KYC vastuvõtul, sealhulgas isikusamasuse kontroll, tegeliku kasusaaja tuvastamine ja suhte eesmärk, ning riskipõhised tugevdatud hoolsusmeetmed.
• Jooksev seire ja tehingute seire koos sanktsioonide, riikliku taustaga isikute ja negatiivse meedia kontrolliga.
• Kahtlastest tehingutest ja tegevustest teatamine (STR/SAR) riiklikule rahapesu andmebüroole.
• Andmete säilitamine, mida reeglina hoitakse ELi AML-õiguse alusel viis aastat.
• Personali koolitus ning programmi sõltumatu audit või testimine.