AML/KYC vastavus fintech-ettevõtetele: programm, mis läbib auditid

AML ehk rahapesu tõkestamine on kogu kontrollide programm, mida ettevõte käitab rahapesu ja terrorismi rahastamise avastamiseks ja ärahoidmiseks. KYC ehk tunne oma klienti on selle programmi isikusamasuse ja hoolsusmeetmete osa: selle kontrollimine, kes klient on ning kes lõppkokkuvõttes teda omab või kontrollib. KYC on osa AMList, mitte sünonüüm.

See eristus on auditil oluline. Järelevalveasutus ei küsi üksnes, kas sa kontrollid isikusamasusi; ta küsib, kas isikusamasuse kontroll asub dokumenteeritud, riskipõhise süsteemi sees, mille ümber on juhtimine, seire, teatamine ja testimine. Ettevõte, kes ajab hea kliendi vastuvõtu (onboarding) segi tervikliku AML-programmiga, on see ettevõte, kes auditi läbi kukub.

2024. aastal võttis EL vastu ühtse, ühtlustatud AML-paketi, mis muudab vastavuse lähtetaset oluliselt. Selle teadmine, milline instrument mida teeb ja millal seda kohaldatakse, on programmi õigeks dateerimiseks hädavajalik.

Praktiline raamistus on järgmine: ettevõtted täidavad täna nõudeid kehtivate AML-direktiivide alusel ja lähevad vahetult kohaldatavale AMLRi reeglistikule üle alates 10. juulist 2027. Praegu üles ehitatud programm peaks juba AMLRi ette nägema, mitte hiljem selle jaoks ümber ehitatama.

AML-kohustused langevad nendele, keda ELi õigus nimetab kohustatud isikuteks. Krediidi- ja finantseerimisasutused kuuluvad selgelt kohaldamisalasse ning fintech-sektori jaoks hõlmab see sõnaselgelt makseasutusi, e-raha asutusi, neopanku ja krüptovarateenuse osutajaid.

Teisisõnu, kui sul on makse-, e-raha või MiCA litsents, ei ole täielik AML/CFT programm valikuline ega meeldiv lisaväärtus. See on litsentsi tingimus ja järelevalveasutused käsitlevad AML-nõrkust üha enam põhjusena tegevusloa andmist juba algselt edasi lükata või sellest keelduda.

Kliendi suhtes rakendatavad hoolsusmeetmed (CDD) on kontrollide kogum, mida ettevõte käitab, et oma kliente tunda ja riskile hinnata. CDD on alati nõutav ärisuhte loomisel, rahapesu või terrorismi rahastamise kahtluse korral või kui on kahtlusi varem saadud isikusamasuse andmete suhtes. Ühekordsete tehingute puhul käivitavad CDD ka fikseeritud rahalised läved.

Läved muutuvad, seega märgi praegused ja tulevased näitajad koos. Juhutehingute puhul liigub ELi lävi tänaselt 15 000 eurolt 10 000 eurole AMLRi kohaselt alates 10. juulist 2027. Krüptot koheldakse rangemalt: CASPid peavad rakendama hoolsusmeetmeid juhuslike krüptoülekannete suhtes üle 1000 euro. AMLR kehtestab ka kogu ELi hõlmava sularahamakse ülempiiri 10 000 eurot, ehkki madalamad riigisisesed ülempiirid võivad kehtima jääda.

Tugevdatud hoolsusmeetmed (EDD) kohalduvad kõrgema riskiga olukordades ja tähendavad rohkem teavet, kõrgema juhtkonna heakskiitu ja tihedamat jooksvat seiret. Need on nõutavad riikliku taustaga isikute (PEPide), kõrge riskiga kolmandate riikidega seotud klientide ning keerukate või ebatavaliselt suurte tehingute puhul, millel puudub ilmselge majanduslik eesmärk. AMLRi kohaselt tuuakse EDD võrku ka väga suure väärtusega suhted, näiteks jõukad kliendid üle määratletud varaläve.

Tegelik kasusaamine on teine sammas, mida audiitorid tugevalt uurivad. Tegelik kasusaaja (UBO) on füüsiline isik, kes lõppkokkuvõttes omab või kontrollib klienti. AMLD6 alandab tuvastamise läve enam kui 25%-lt 25%-le või rohkemale osakutest või hääleõigustest ja nõuab üksikasjalikumaid, ELi-üleselt ühendatud keskregistreid, sealhulgas ELi-väliste üksuste kohta, millel on ELi seosed. Programm, mis ikka veel rakendab vana üle-25% kriteeriumi, on uue standardiga juba kooskõlast väljas.

Kliendi tundmisest vastuvõtul ei piisa; ettevõte peab suhet pidevalt jälgima. Jooksev ja tehingute seire kontrollib tegevust kliendi oodatava profiili ning sanktsioonide, PEPide ja negatiivse meedia loendite vastu ning märgib anomaaliad ülevaatamiseks. See on mootor, mis muudab staatilised KYC-andmed elavaks riskijuhtimiseks.

Krüptoettevõtete jaoks on lisaks konkreetne kohustus, mida tuntakse reisireeglina (travel rule). Rahaülekannete määruse, määruse (EL) 2023/1113 kohaselt peab maksja ja saaja teave saatma krüptovara ülekandeid teenuseosutajate vahel, sõltumata summast. Ülekanded ise-majutatud rahakottidesse või neist üle 1000 euro käivitavad täiendava kontrolli, et klient rahakotti kontrollib.

Järelevalveasutused kontrollivad dokumente ja otsuseid, mitte häid kavatsusi. Programm läbib auditi, kui iga järgnev ehitusplokk on olemas, kirja pandud, ettevõtte riskiga proportsionaalne ja tõendatavalt praktikas toimiv. Averium nõustab programmi ja selle õigusliku piisavuse osas tarnijaneutraalselt, nii et raamistik on ehitatud järelevalveasutusele vastu pidama, mitte konkreetse tööriista järgi.