Nach zwei Jahren hat die FINMA das Rundschreiben für die Video- und Online-Identifizierung teilrevidiert. Die Sorgfaltspflichten bei der Aufnahme von Geschäftsbeziehungen über digitale Kanäle wurden somit angepasst.

Das Rundschreiben wurde revidiert, wohl auch um der raschen technologischen Entwicklung und gemachten Erfahrungen Rechnung zu tragen. Struktur und Themen (Video-, Online-Identifizierung, wirtschaftliche Berechtigung, Beizug Dritter, Techonologieneutralität) bleiben grösstenteils unverändert, dennoch sind folgende Änderungen relevant:

Die Echtheit der Identifizierungsdokumente ist weiterhin durch maschinelles Auslesen und Entschlüsseln der Informationen in der Machine Readable Zone („MRZ“) zu überprüfen. Neu sind aber auch zwei ausgewählte Sicherheitsmerkmale des Identifizierungsdokuments (bspw. Kinegramm) in die Überprüfung einzubeziehen.

Der Finanzintermediär hat neu das Identifizierungsdokument (sofern nicht vertraut mit diesem) mit Referenzen aus einer Ausweisdatenbank in Bezug auf Sicherheitsmerkmale, Zeichenart/-grösse und Layout zu vergleichen.

Nicht mehr erforderlich ist, die Identität der Vertragspartei mittels einer TAN (Einmalkennwort) oder ähnlichen Methode zu verifizieren. Dies dürfte durch die erhöhten Anforderungen bezüglich der Überprüfung des Identifizierungsdokumentes (optische Sicherheitsmerkmale, Ausweisdatenbank) kompensiert werden.

Die FINMA hat das Erfordernis, den Online- und Video Identifizierungsvorgang im Fall von Hinweisen auf erhöhte Risiken abzubrechen, aufgehoben. Gerade bei der Auslagerung der Video- und Onlineidentifizierung hat diese Vorgabe in der Praxis zu erheblichen Unsicherheiten geführt. Liegen nun Hinweise auf erhöhte Risiken vor, darf der Identifizierungsvorgang fortgeführt werden. Zu beachten sind die einschlägigen Bestimmungen gemäss Art. 18 GwV-FINMA, wonach die Geschäftsbeziehung erst aufgenommen wird, wenn die erforderliche Zustimmung einer vorgesetzten Person vorliegt.

Bisher war es für die Überprüfung der Identität erforderlich, dass sich der Finanzintermediär von der Vertragspartei Geld von einem Bankkonto in der Schweiz (lautend auf den Namen der Vertragspartei) hat überweisen lassen. Nun kann die Vertragspartei aber sein/ihr Bankkonto in einem Mitgliedstaat der Financial Action Task Force („FATF“) benutzen, sofern gewisse FATF Standards aufgrund der FATF-Länderprüfung eingehalten werden.

Das explizite Erfordernis, dass anerkannte aufsichtsrechtliche Prüfgesellschaften die Einhaltung des Rundschreibens zu prüfen haben und Bericht darüber erstatten, wurde aus dem Rundschreiben entfernt. Das Prüfungserfordernis, abhängig von der Risikoeinschätzung und Prüfstrategie, bleibt weiterhin bestehen.

Die FINMA räumt den Marktteilnehmern eine Übergangsfrist bis zum 1. Januar 2020 ein, um die erforerlichen Prozessanpassungen vorzunehmen. Bis dahin haben sie die Wahl, sich an die bisherigen Vorgaben oder bereits teilrevidierte Fassung des Rundschreibens zu halten. Das Rundschreiben tritt am 1. August 2018 in Kraft.

• Optische Sicherheitsmerkmale sind während der Video-Identifizierung zu überprüfen. Dafür muss das Personal geschult, Prozesse und Kontrollen angepasst und eine genügend hohe Bildauflösung und Bandbreite/Übertragungsgeschwindigkeit auf Seiten der Vertragspartei und des Finanzintermediars sichergestellt werden. Hier zeigt sich, dass sich bspw. die Entwicklung im Smartphone Bereich (Bandpreite, Bild/Kameraauflösung) positiv auf den Einsatz technologischer Lösungen und Prozesse auswirkt.

• Der Vergleich des Identifizierungsdokumentes mit einer Ausweisdatenbank erfordert entsprechende Vorkehrungen. Eine Ausweisdatenbank muss erstellt oder über einen Drittanbieter bezogen und das Personal geschult werden, um Zugriff und Handhabung regelkonform durchführen zu können.

• Die Online- und Video-Identifizierung entbindet nicht von den Geldwäschereipflichten. Im Gegenteil ist nun explizit festgehalten, dass erhöhte Risiken von einer vorgesetzten Stelle bewilligt werden müssen – selbstredend sind die damit einhergehenden Abklärungspflichten.

• Der Finanzintermediär muss sicherstellen, dass bei ausgelagerter Video- und/oder Online-Identifizierung der Dienstleistungserbringer Prozesse, Kontrollen und Schulung rechtzeitig in Angriff nimmt und umsetzt. Die Änderungen des Rundschreibens sollten frühzeitig mit den Dienstleistungserbringern besprochen werden. Allfälliger Anpassungsbedarf bei Attestierungsberichten der Prozesse/Kontrollen beim Dienstleistungserbringer (bspw. ISAE 3000) ist entsprechend in die Wege zu leiten.