AML/CFT-Pflichten georgischer VASPs

Der vollständige Lebenszyklus der Steuerung

1. Risikobewertung legt die Kontrollarchitektur fest

Produkte, Arten von Kunden und wirtschaftlichen Eigentümern, Länder, Kanäle, Vermögenswerte, Verwahrung, Bargeld, Gegenparteien, Transaktionsverhalten und -technologie bewerten; inhärentes Risiko, Wirksamkeit der Kontrollen und Restrisiko unterscheiden; das Management sollte verbotene Tätigkeiten, eingeschränkte Tätigkeiten, Eskalationsschwellen und die zur Überwachung des akzeptierten Geschäfts erforderlichen Kapazitäten genehmigen.

Die Aktualisierung des VASP-Sektorrisikos für das Jahr 2024 der NBG gibt eine praktische Richtung vor. Sie identifiziert die Klassifizierung und Neubewertung von Kundenrisiken, präventive Maßnahmen und ungewöhnliche oder verdächtige Transaktionserkennung als Bereiche, in denen das Bewerbermaterial Schwächen gezeigt hat. Sie hebt auch die Opazität und Geschwindigkeit von virtuellen Asset-Überweisungen, selbst gehosteten Adressen, DeFi-Exposition, Bargeld und Kioske, anonymitätssteigernde Vermögenswerte, Mixer oder Tumbler und Cross-Chain-Aktivitäten hervor.

2. Onboarding muss eine nutzbare Customer Story erstellen

KYC und KYB ermitteln und verifizieren den Kunden, die rechtliche Existenz, die Vertreter, das Eigentum und die wirtschaftlichen Eigentümer. Der VASP benötigt auch Zweck, erwartete Aktivitäten, Länder, Produkte, Gegenparteien, Quelle und wirtschaftliche Gründe. Diese Fakten sind keine Verwaltungsbereiche: Sie werden zum Ausgangspunkt, an dem späteres Verhalten überwacht wird.

Verstärkte Sorgfaltspflichten sollten auf definierte Risikoauslöser folgen. Hochrisikobeziehungen erfordern eine dokumentierte Genehmigung, eine stärkere Bestätigung, geeignete Quellennachweise, Grenzen und Überprüfungshäufigkeit. Ein Kunde sollte nicht nur deshalb „niedriges Risiko bleiben, weil das Onboarding-System die Punktzahl nie wieder aufgreift.

3. Die Herkunft der Gelder und die Quelle der virtuellen Vermögenswerte sind miteinander verbunden, aber unterschiedlich

Bei Fiat kann der Nachweis Einkommen, Geschäftseinnahmen, Verkaufserlöse, Anlageaufzeichnungen oder Bankhistorie umfassen. Bei virtuellen Vermögenswerten kann der VASP auch Akquisitionsaufzeichnungen, Börsenabrechnungen, Wallet-Besitz oder -Kontrolle, Transaktionshistorie, Mining- oder Staking-Beweise und eine kohärente Erklärung darüber benötigen, wie die Vermögenswerte die entsprechende Adresse erreicht haben.

4. Sanktionen, PEP- und Negativinformationskontrollen erfordern Entscheidungen

Überprüfung von Kunden, wirtschaftlichen Eigentümern, Vertretern, relevanten Gegenparteien und Wallet-Exposition unter Verwendung aktueller Daten; Definition der True-Match-Auflösung, Eskalation, Beschränkung, Ablehnung und periodisches oder ereignisgesteuertes Rescreening; ein Matching-Tool ist nicht die Kontrolle, es sei denn, geschulte Personen können die Grundlage untersuchen, entscheiden und bewahren.

5. Blockchain-Analyse und Transaktionsüberwachung arbeiten zusammen

KYT kann die Exposition gegenüber sanktionierten oder hochriskanten Wallets, Darknet- oder Betrugstypen, Mixern, datenschutzfördernden Diensten und komplexen Bewegungen zwischen Ketten erkennen. Die Überwachung sollte direkte und indirekte Exposition unterscheiden, Daten und Clustering-Unsicherheit erkennen und Blockchain-Indikatoren mit Kundenprofil, Beträgen, Geschwindigkeit, Gegenparteien und angegebenem Zweck kombinieren.

Besondere Aufmerksamkeit kann erforderlich sein, wenn ein Kunde wiederholt mehrere Hopfen-, Ketten-Hopping- oder Cross-Chain-Brücken verwendet, um die Herkunft zu verschleiern; Vermögenswerte durch Mischer oder Zuhaltungen leitet; von unerklärten Hochrisiko-Wallets erhält; Bargeld- oder Kiosktransaktionen strukturiert oder nicht nachweisen kann, wie virtuelle Vermögenswerte erhalten wurden.

6. Warnungen werden zu Ermittlungen und nicht zum Rückstand

Jedes Szenario erfordert einen Eigentümer, eine Priorität, ein Service-Level und einen Dispositionsstandard. Die Ermittler sollten einen Kunden-, Nutzungsberechtigten-, Transaktions-, Wallet-, Geräte-, Quellen- und vorherigen Fallkontext haben. Entscheidungen zum Löschen, Anfordern von Informationen, Einschränken, Zurückweisen, Aussteigen oder Melden sollten mit der Richtlinie in Einklang stehen und in einem Audit-Trail aufbewahrt werden.

7. Berichterstattung über verdächtige Tätigkeiten und Vertraulichkeit

Der Eskalationspfad sollte die Vertraulichkeit schützen, eine rechtzeitige Prüfung durch die benannte Funktion ermöglichen und die Berichterstattung an die zuständige Behörde unterstützen, wenn die rechtlichen Kriterien erfüllt sind.

8. Aufzeichnungen und Managementinformationen zeigen die Wirksamkeit der Kontrolle

Aufbewahrung der Eingaben, Überprüfungen, Blockchain-Analysen, Korrespondenz, Entscheidungen, Genehmigungen, Berichte und Systemprotokolle, die zur Rekonstruktion der Beziehung und Transaktion erforderlich sind; Managementinformationen sollten Kunden mit hohem Risiko, erhaltene Warnungen und Alterung, Meldeentscheidungen, Überschreibungen, Beschränkungen, Ausfälle des Anbieters, falsch positive Trends, Personalkapazität, wiederholte Gegenparteien und Abhilfemaßnahmen zeigen.

9. Prüfung und Sanierung schließen den Kreislauf

Die Qualitätssicherung sollte das Risiko nicht nur ausfüllen, sondern auch Stichproben von Risikokunden, Quellenentscheidungen, Sanktionsübereinstimmungen, KYT-Warnmeldungen, Fälle verdächtiger Aktivitäten, Überweisungen mit selbstgehosteter Geldbörse und Bargeldtransaktionen; die interne Prüfung sollte Ursache, Eigentümer, Fälligkeitsdatum, Korrekturmaßnahmen und erneute Tests ermitteln; wiederholte Ausnahmen sollten die Risikobereitschaft, Schulung, Personalausstattung oder Systemkonfiguration verändern.

Was der NBG-Antrag sichtbar machen soll

• Eine spezifische organisatorische Risikobewertung für die vorgeschlagenen Dienstleistungen.
• Interne Anweisungen, die Pflichten, Entscheidungen und Eskalation erklären.
• Customer-Risk-Methodik und Neubewertungsauslöser.
• Konfigurierte Screening-, Monitoring- und Case-Workflows.
• Evidenzstandards für Quellen von Fonds und virtuelle Vermögenswerte.
• Kontrollen für Gegenparteien, selbst gehostete Wallets und erforderliche Transferinformationen.
• Managementaufsicht, Record Retrieval, Testing und Remediation.
• Eine funktionierende elektronische Systemdemonstration unter Verwendung realistischer Szenarien.