Detekce společnosti Shell v KYC: Co FATF očekává od webového due diligence?

Banky, které provádějí hloubkovou kontrolu klienta (CDD) prostřednictvím automatizovaných webových procesů, čelí strukturálnímu rozporu: doporučení FATF č. 24 (revize z března 2022) vyžaduje přesné a aktuální informace o skutečných majitelích, avšak většina komerčních platforem pro ověřování totožnosti klientů (KYC) se opírá o údaje z registrů, které jsou ze své podstaty zastaralé, v jednotlivých jurisdikcích neúplné a v případě přeshraničního vymáhání právně nezávazné. Právě v rozporu mezi regulatorními očekáváními a technickou realitou se skrývá riziko spojené s fiktivními společnostmi.

Co doporučení FATF č. 24 ve skutečnosti vyžaduje

Revidované doporučení 24 výslovně přechází od modelu spoléhání se na registry k modelu ověřování z více zdrojů. Odstavec 10(b) vyžaduje, aby příslušné orgány mohly získat informace o skutečném vlastníkovi prostřednictvím „alespoň jednoho“ z následujících mechanismů: centrálního registru, záznamů vedených společností nebo záznamů finančních institucí. Klíčovým slovem je získat – nikoli pouze nahlížet. Pro banky to znamená povinnost podle jejich vnitrostátních právních předpisů v oblasti boje proti praní peněz (např. § 15 GwG v Německu, nařízení 5 britského MLR 2017) ověřovat, a nikoli pouze shromažďovat, prohlášení o skutečném vlastníkovi.

Pokyny FATF k skutečnému vlastnictví u právnických osob (březen 2023) dále objasňují, že nominální ujednání, víceúrovňové holdingové struktury a nástroje na doručitele vyžadují zvýšenou kontrolu, kterou nemůže uspokojit jediné volání API do Companies House nebo Transparenzregister. Webové nástroje KYC, které považují vyhledávání v registrech za ověření – spíše než za jeden datový bod vyžadující potvrzení – nejsou v souladu se záměrem R.24.

Technická architektura webového KYC a jeho slepá místa

Většina podnikových platforem KYC funguje prostřednictvím REST API: dotazují se na komerční agregátory dat (Dun & Bradstreet, Bureau van Dijk Orbis, LexisNexis RiskNarrative), které samy ukládají data z registrů do mezipaměti. Zpoždění mezi aktualizací registru a jejím zobrazením v databázi agregátora obvykle trvá 30–180 dní. Během tohoto období je čerstvě restrukturalizovaná shellová společnost s nově vloženým nominálním ředitelem pro automatickou kontrolu neviditelná.

Pozornost si zaslouží tři konkrétní technické slepé skvrny:

1. Korelace WHOIS/DNS pro digitální stopu společnosti: Shellová společnost založená před šesti týdny bude typicky vykazovat doménu zaregistrovanou ve stejnou dobu, s povoleným soukromím WHOIS, záznamy NS směřujícími k registrátorům zachovávajícím soukromí, jako je Njalla, a bez záznamů MX naznačujících aktivní obchodní činnost. Křížová kontrola RDAP odpovědí (Registration Data Access Protocol, nástupce WHOIS) s daty registrace společnosti je nenákladný signál, který většina platforem KYC zcela ignoruje.
2. Protokoly transparentnosti certifikátů TLS: Protokoly transparentnosti certifikátů (CT) podle RFC 6962 jsou veřejně prohledávatelné přes crt.sh. Společnost, která tvrdí, že má 10 let obchodní historie, ale její certifikát TLS byl poprvé zaznamenán před 60 dny, představuje okamžitou nesrovnalost. Automatizované dotazy na protokoly CT by měly být standardním krokem obohacení v jakémkoli webovém procesu due diligence.
3. Analýza hlaviček HTTP odpovědí: Legitimní fungující podniky zanechávají specifické otisky na straně serveru. Firemní webová stránka vracující Server: cloudflare s cf-ray hlavičkou, ale bez Set-Cookie nebo hlavičkami pro správu relace naznačuje statickou fasádu — což odpovídá strategii minimální webové přítomnosti shellové společnosti. Ačkoli to není rozhodující, přispívá to k pravděpodobnostnímu skóre rizika.

Mezery v registrech specifické pro jednotlivé jurisdikce, které podkopávají automatizovanou CDD

Pátá a šestá směrnice EU proti praní špinavých peněz (5AMLD čl. 30, 6AMLD) nařídily propojení registrů skutečných majitelů prostřednictvím systému propojení obchodních rejstříků (BRIS). Rozhodnutí Soudního dvora EU ve spojených věcech C-37/20 a C-601/20 (WM a Sovim SA proti Luxembourg Business Registers, listopad 2022) však zrušilo požadavek na veřejný přístup k registrům skutečných majitelů jako neslučitelný s články 7 a 8 Listiny základních práv EU. Několik členských států – včetně Lucemburska, Německa (§ 23a GwG) a Nizozemska – následně omezilo přístup k veřejným registrům.

To vytváří přímý paradox v oblasti dodržování předpisů: banky musí provádět zvýšenou hloubkovou kontrolu u vysoce rizikových zákazníků (čl. 18 4AMLD, nyní implementovaný prostřednictvím vnitrostátního práva) s využitím údajů o skutečných majitelích, k nimž registry ze zákona omezují přístup. Praktickým důsledkem je, že žádosti o přístup k národním registrům skutečných majitelů na základě oprávněného zájmu musí být nyní procedurálně zdokumentovány pro každý spis vysoce rizikového zákazníka – což je manuální krok, který automatizované procesy KYC nemohou nahradit.

Signály pro odhalení fiktivních společností nad rámec údajů z registrů

Zpráva FATF z června 2023 o utajování skutečného vlastnictví identifikuje sedm strukturálních varovných signálů, které mohou webové nástroje zprovoznit s využitím stávajících datových zdrojů:

• Koncentrace registrovaných agentů: Pokud se registrovaná adresa shoduje se známým agentem pro hromadné zakládání společností (křížová reference s databází ICIJ Offshore Leaks prostřednictvím API), měla by se automaticky zvýšit úroveň rizika.
• Analýza sítě ředitelů: Grafická analýza překrývání ředitelů — dostupná prostřednictvím API OpenCorporates — může identifikovat osoby, které působí jako ředitelé ve statisticky neobvyklém počtu společností napříč několika jurisdikcemi.
• Rychlost mezi založením a transakcí: Společnost založená méně než 180 dní před zahájením významné transakce vyžaduje automatickou rozšířenou hloubkovou kontrolu (EDD) v rámci jakéhokoli přístupu založeného na riziku v souladu s metodikou FATF, odst. 10.3.
• Nesrovnalost kódu SIC/NACE: Společnost registrovaná jako květinářství, která se pokouší zpracovat transakce v oblasti financování obchodu s komoditami, vytváří nesoulad obchodního účelu, který by měl vyvolat vyhodnocení podezřelé činnosti (SAR) bez ohledu na čistý stav registru.

Omezení EDPB týkající se přeshraničního obohacování dat

Webová hloubková kontrola nevyhnutelně zahrnuje přenos osobních údajů (jména skutečných majitelů, adresy, skeny dokladů totožnosti) zpracovatelům údajů ze třetích zemí – typicky dodavatelům KYC se sídlem v USA. Po rozsudku ve věci Schrems II (C-311/18) to vyžaduje buď spoléhání se na rámec pro ochranu osobních údajů mezi EU a USA (rozhodnutí o přiměřenosti z července 2023, proti kterému již podala právní námitku organizace noyb), nebo na standardní smluvní doložky (SCC, rozhodnutí Komise 2021/914) doplněné zdokumentovaným posouzením dopadu přenosu (TIA).

Pokyny EDPB 05/2021 týkající se SCC stanoví, že TIA musí posoudit právní rámec přijímající země, včetně zákonů o sledování. Banky využívající americké dodavatele KYC musí zdokumentovat svůj závěr TIA, že přístup podle § 702 zákona FISA nenarušuje ochranu SCC – což je závěr, který je z právního hlediska obtížně obhajitelný vzhledem k zdokumentovanému rozsahu programu PRISM. Úředníci pro ochranu osobních údajů by měli zajistit, aby smlouvy s dodavateli KYC obsahovaly podmínky DPA v souladu s článkem 28 GDPR, výslovné seznamy subzpracovatelů s oznamovacími povinnostmi a doložky o minimalizaci údajů omezující rozsah obohacování na pole relevantní pro účely AML.

Doporučení k realizaci

1. Zavést ověřování UBO z více zdrojů: údaje z registru plus kontrola protokolů CT plus dotaz RDAP plus analýza grafu sítě ředitelů – všechny čtyři považovat za povinná pole před označením CDD jako dokončené, nikoli za volitelné obohacení.
2. Zavést postup pro přístup na základě oprávněného zájmu: U vysoce rizikových zákazníků po WM a Sovim vypracujte standardizovanou šablonu žádosti o přístup na základě oprávněného zájmu pro každý příslušný registr UBO členského státu a zdokumentujte ji v zákaznické složce.
3. Zabudujte do své platformy KYC sledovatelnost podle FATF R.24: Každý datový bod použitý k dosažení závěru o UBO by měl obsahovat časové razítko a označení zdroje. Dozorové orgány (BaFin, FCA, DNB) stále častěji vyžadují auditní stopy prokazující, že skutečné vlastnictví bylo ověřeno, a ne pouze deklarováno.
4. Každoročně přehodnocujte smlouvy o poskytování služeb (TIA) s dodavateli KYC: Vzhledem k probíhajícím právním sporům ohledně DPF a vyvíjejícím se pokynům EDPB by měly být smlouvy TIA považovány za živé dokumenty, nikoli za jednorázová schválení. Nastavte si v kalendáři připomenutí k přezkoumání na základě jakéhokoli stanoviska EDPB ohledně stability DPF.
5. Přímá integrace API ICIJ a OpenCorporates: Namísto spoléhání se na agregátory k vyhledávání negativních mediálních zpráv dotazujte přímo otevřené strukturované datové sady, abyste eliminovali zpoždění agregátorů a zachovali nezávislý ověřovací řetězec.

Regulační směr je jednoznačný: metodika 4. kola vzájemného hodnocení FATF hodnotí země – a v širším smyslu i jejich dohlížené instituce – podle účinnosti ověřování skutečných majitelů, nikoli pouze podle technického dodržování povinností shromažďování údajů. Banky, jejichž webové KYC procesy nemohou prokázat ověření údajů o skutečných majitelích z více zdrojů, budou čelit stále častějším zjištěním jak při dohledových kontrolách, tak při rozhodování o snižování rizik v korespondenčním bankovnictví.