AMLR ja digitaalinen identiteetti
Asiakirjan hankkiminen oli helppoa.
Vuosien ajan henkilöllisyyden todentaminen kiinteistöalalla on usein alkanut – ja joskus melkein päättynytkin – tutulla pyynnöllä:
”Lähettäkää meille kopio passistanne tai henkilökortistanne.”
Asiakirja ladataan järjestelmään. Nimi täsmää. Voimassaoloaika tarkistetaan. Kopio lisätään rahanpesun torjunnan asiakirjoihin.
Mutta tässä on ilmeinen ongelma:
Aito henkilöllisyystodistus ei välttämättä tarkoita, että sen esittäjä on sama henkilö, jolle se kuuluu.
Passi voi olla täysin aito ja silti sitä voidaan käyttää petollisesti.
Kun EU siirtyy kohti uutta rahanpesun torjunta-asetusta (AMLR), joka tulee voimaan 10. heinäkuuta 2027, kiinteistöalan ammattilaisten tulisi ajatella pidemmälle kuin pelkkä henkilöllisyysasiakirjojen kerääminen ja suuntautua todistettavaan henkilöllisyyden todentamiseen.
Eikä ole mitään hyvää syytä odottaa vuoteen 2027 asti aloittaakseen tämän.
AMLR erottaa tunnistamisen todentamisesta
Tämä ero on perustavanlaatuinen.
AMLR:n 20 artiklan mukaan asiakkaan tuntemisvelvollisuus edellyttää, että velvolliset tahot tunnistavat asiakkaan ja vahvistavat tämän henkilöllisyyden. AMLR edellyttää myös, että ne pystyvät osoittamaan valvontaviranomaisille, että niiden soveltamat toimenpiteet olivat tunnistettujen riskien kannalta asianmukaisia. EUR-Lex
Nämä eivät ole sama asia.
Tunnistamisessa kysytään:
Kuka tämä henkilö väittää olevansa?
Vahvistuksessa kysytään:
Minkä luotettavan todisteen avulla voimme olla riittävän varmoja siitä, että tämä henkilö todella on se, kuka hän väittää olevansa?
Passin lataaminen auttaa vastaamaan ensimmäiseen kysymykseen.
Asianmukaisen todentamisprosessin on vastattava toiseen kysymykseen.
AMLR tunnustaa nimenomaisesti digitaalisen identiteetin
AMLR:n 22 artiklassa esitetään kaksi pääasiallista tapaa todentamiseen.
Henkilöllisyys voidaan todentaa henkilöllisyystodistuksella, passilla tai vastaavalla asiakirjalla, jota tarvittaessa täydennetään luotettavista ja riippumattomista lähteistä peräisin olevilla tiedoilla.
AMLR tunnustaa kuitenkin nimenomaisesti myös sähköiset tunnistusmenetelmät, jotka täyttävät EU:n eIDAS-sääntelykehyksen vaatimukset varmuustasolla ”merkittävä” tai ”korkea”, yhdessä asiaankuuluvien pätevien luottamuspalveluiden kanssa. EUR-Lex
Tällä on valtava merkitys kiinteistöalalla.
Asiakkaat ovat yhä useammin etäasiakkaita.
Tukholmassa asuva ostaja ostaa kiinteistön Espanjasta.
Belgiassa asuva myyjä myy kiinteistön Ranskassa.
Yritysostajan todellinen omistaja (UBO) voi asua toisessa jäsenvaltiossa – tai jopa kokonaan EU:n ulkopuolella.
Etäasiakkaan rekisteröinti ei ole enää poikkeus.
Se on normaalia kiinteistökauppaa.
Skannattu passi ei ole digitaalinen henkilöllisyyden todentaminen
Tämä ero on tärkeä.
Passin PDF-tiedoston tai valokuvan vastaanottaminen sähköisesti ei sinänsä tee todentamisesta digitaalista.
Todellinen kysymys on todentamisprosessin luotettavuus.
Ajattele seuraavaa:
Asiakas A
lataa passin valokuvan.
Virasto tallentaa sen.
Valmis.
Vertaa nyt tätä seuraavaan:
Asiakas B
toimittaa henkilöllisyystiedot asianmukaisen todentamisprosessin kautta.
Menettelyssä vahvistetaan käytetyt henkilöllisyystodisteet, tarkistetaan asiaankuuluvat tiedot, kirjataan todentamisajankohta ja säilytetään tuloksen osoittamiseen tarvittavat todisteet.
Molemmilla virastoilla voi olla hallussaan passikuva.
Mutta niiden kyky osoittaa, miksi ne katsoivat henkilöllisyyden riittävän vahvistetuksi, voi olla hyvin erilainen.
Tässä kohdin AMLR muuttaa keskustelun suuntaa
AMLR:n 20 artiklan 4 kohdassa on yllättävän tärkeä vaatimus:
Velvollisten tahojen on kyettävä milloin tahansa osoittamaan valvontaviranomaisilleen, että toteutetut toimenpiteet ovat asianmukaisia tunnistettujen rahanpesu- ja terrorisminrahoitusriskien kannalta. EUR-Lex
Tämä muuttaa sääntöjen noudattamista koskevan kysymyksen muotoa:
”Onko meillä henkilöllisyystodistus?”
muotoon:
”Miten olemme varmistaneet tämän henkilöllisyyden, mihin todisteisiin olemme tukeutuneet ja oliko kyseinen menetelmä riskiin nähden asianmukainen?”
Tämä on huomattavasti vahvempi sääntöjen noudattamisen näkökulma.
Etäasiakkaan rekisteröintiin tarvitaan todisteketju
Kiinteistöalalla digitaalisen identiteetin vahvistamisprosessin tulisi siksi jättää jälkeensä jäsennelty kirjanpito.
Ei pelkästään:
Passport.pdf ✓
Vaan jotain tämän kaltaista:
Henkilöllisyys vahvistettu
↓
Henkilöllisyystiedot kerätty
↓
Todentamismenetelmä kirjattu
↓
Käytetyt todisteet/lähteet
↓
Varmennuksen tulos
↓
Päivämäärä ja vastuussa oleva prosessi/henkilö
↓
Riskinarviointi
↓
CDD-päätös
↓
Jatkuva seuranta
Myös tuo viimeinen tekijä on tärkeä.
Tunnistaminen ei välttämättä ole kertaluonteinen tapahtuma.
Koska asiakkaat eivät pysy muuttumattomina
Kuvitellaan, että asiakkaan henkilöllisyys on tänään todennettu oikein.
Kuusi kuukautta myöhemmin:
asiakas antaa erilaiset henkilötiedot;
valtuutettu edustaja vaihtuu;
yrityksen omistussuhteet muuttuvat;
uusi todellinen omistaja ilmestyy;
asiakirjojen voimassaolo päättyy;
tiedot ovat ristiriitaisia;
asiakkaan riskiprofiiliin vaikuttavat olosuhteet muuttuvat.
Rahanpesun torjunnan vaatimustenmukaisuudessa ei voi yksinkertaisesti todeta:
”KYC-tarkastus suoritettiin kuusi kuukautta sitten ✓.”
AMLR edellyttää liiketoimintasuhteiden jatkuvaa seurantaa ja vaatii, että asiakkaan tuntemista (CDD) koskevat tiedot pidetään ajantasaisina. Asetuksen mukaan asiakkaan tunteminen on osa jatkuvaa riskilähtöistä prosessia eikä kertaluonteista asiakirjojen keräämistä. EUR-Lex
Parempi kysymys onkin:
Voimmeko edelleen luottaa kohtuullisesti niihin asiakastietoihin, joihin noudattamispäätöksemme perustuu?
Kiinteistöalalla on toinenkin tärkeä AMLR-sääntö
AMLR asettaa kiinteistönvälittäjille erityisen aikataulua koskevan vaatimuksen.
Kiinteistönvälittäjien on suoritettava henkilöllisyyden todentaminen sen jälkeen, kun myyjä tai vuokranantaja on hyväksynyt tarjouksen, ja joka tapauksessa ennen varojen tai kiinteistön luovuttamista. EUR-Lex
Tämä tarkoittaa, että henkilöllisyyden todentaminen ei voi olla pelkkä hallinnollinen toimenpide, joka suoritetaan milloin tahansa kaupan jälkeen.
Sen on sijoituttava oikeaan kohtaan kaupan työnkulussa.
AMLR-säännöissä myös kiinteistökauppojen molemmat osapuolet katsotaan asiakkaiksi asiakkaan tuntemista (CDD) koskevissa yhteyksissä.
Tämän vaikutus kiinteistöteknologiaan on merkittävä.
Henkilöllisyyden todentamisen tulisi olla liitetty kauppatiedostoon, eikä se saisi sijaita erillisenä yleisessä CRM-yhteystietorekisterissä.
Digitaalinen identiteetti on edelleen vain yksi osa asiakkaan tuntemista (CDD)
Tässä piilee toinenkin ansa.
Manuaalisen passikuvien lataamisen korvaaminen kehittyneellä digitaalisella henkilöllisyyden todentamisella ei vielä tee yrityksestä rahanpesun torjunnan vaatimusten mukaista.
Henkilöllisyyden todentaminen on yksi osa kokonaisuutta.
Kiinteistöalan rahanpesun torjuntaprosessiin voi kuulua myös:
Koko yrityksen kattava riskinarviointi
KYC
Todellisen omistajan (UBO) tunnistaminen ja todentaminen
PEP-arviointi
Kohdennetut taloudellisten pakotteiden valvontatoimenpiteet
Asiakkaan riskinarviointi
Suhteen tai liiketoimen tarkoitus ja luonne
CDD / EDD
Tunne transaktiosi
Varojen alkuperä tarvittaessa
Varallisuuden alkuperä, mikäli vaaditaan
Jatkuva seuranta
Epäilyttävien tapahtumien raportointi
Koulutus
Kirjanpito
Todistettavat päätökset ja kirjausketjut
Siksi edistyksellinen henkilöllisyyden todentamispalveluntarjoaja ei vieläkään ole rahanpesun torjunnan vaatimustenmukaisuusjärjestelmä.
Se ratkaisee tärkeän palan palapelistä.
Ei koko palapeliä.
AMLA tarkentaa yksityiskohtia
Tämä kehitys jatkuu edelleen.
AMLA on laatinut AMLR:n 28 artiklan mukaisia sääntelyteknisiä standardeja, joissa täsmennetään, miten asiakkaan tuntemisvelvollisuus (CDD) tulisi toteuttaa käytännössä, mukaan lukien tiedot ja asiakirjat, jotka velvollisten tahojen tulisi kerätä.
AMLA:n vuonna 2026 järjestämässä kuulemisessa käsitellään nimenomaisesti sitä, miten velvollisten tahojen tulisi todentaa asiakkaan henkilöllisyys ja suorittaa jatkuvaa seurantaa riskilähtöisesti ja oikeasuhteisesti. Standardien on tarkoitus toimia sekä rahoitus- että muilla aloilla. AML/CTF-viranomainen
Tämä on toinen syy, miksi kiinteistöalan yritysten ei tulisi suunnitella tulevaa rahanpesun torjuntaprosessiaan täyteen ladattujen asiakirjojen kansion varaan.
Suunta on selvä: jäsennelty, riskipohjainen ja todistettavissa oleva asiakkaan tunteminen (CDD).
Miksi (ei) odottaa vuoteen 2027 asti?
Tämä saattaa olla tärkein seikka.
Asiakkaan tunnistaminen ja todentaminen eivät ole uusia velvoitteita, jotka AMLR olisi tuonut mukanaan.
Kiinteistöalan ammattilaiset ovat jo nykyisen lainsäädännön puitteissa velvollisia noudattamaan rahanpesun torjuntavaatimuksia.
AMLR muuttaa ja yhdenmukaistaa sääntelykehystä, mutta perustavanlaatuinen tarve tuntea ja todentaa asiakkaasi on jo olemassa.
Miksi siis jatkaa heikkoa menettelyä vielä yhdeksän kuukautta pelkästään siksi, että AMLR tulee voimaan heinäkuussa 2027?
Parempi lähestymistapa on siirtyä jo nyt:
asiakirjojen keräämisestä henkilöllisyyden todentamiseen
ja lopulta: todistettavissa olevaan asiakkaan tuntemiseen.
Missä Immosurance sopii kuvaan
Juuri tämä ero on Immosurancen suunnittelun perustana.
Tavoitteena ei ole pelkästään:
”Lataa henkilöllisyystodistus.”
Tavoitteena on integroida henkilöllisyyden todentaminen laajempaan rahanpesun torjunnan (AML) vaatimustenmukaisuusprosessiin:
Tunnistaminen → Vahvistaminen → Seulonta → Riskin arviointi → CDD/EDD → Tapahtuman arviointi → Seuranta → Dokumentointi → Todentaminen
Henkilöllisyystodisteet tulevat siten osaksi asiakkaan ja transaktion rahanpesun torjunnan asiakirja-aineistoa yhdessä niihin liittyvien perustelujen, tarkastusten, päätösten ja todisteiden kanssa.
Sillä kun valvontaviranomainen lopulta kysyy:
”Miten varmistitte, että tämä asiakas on tunnistettu ja todennettu asianmukaisesti?”,
vastauksen ei pitäisi olla:
”Asiakirjoissa on jossain passi.”
Vastauksen tulisi olla:
”Tässä on tarkka kuvaus siitä, miten varmistimme sen.”
AMLR vie meidät asiakirjojen keräämisen ulkopuolelle.
Eikä kiinteistöalan yritysten tarvitse odottaa 10. heinäkuuta 2027 asti päästäkseen sinne.
Immosurance — kiinteistöalalle räätälöity sääntöjen noudattamisen hallinta.