Finanstilsynet har offentliggjort en endelig vejledning om brugen af MitID som kontrolkilde i kundekendskabsprocedurer efter hvidvaskloven. Vejledningen åbner for, at MitID i vidt omfang kan erstatte kopi af pas eller kørekort, når kunden ikke er forbundet med høj risiko, og der ikke gennemføres skærpede procedurer. Dokumentet præciserer desuden betydningen af formuleringerne “som hovedregel”, “bør” og “skal” samt angiver, at MitID som udgangspunkt også kan anvendes over for reelle ejere og personer, der handler på vegne af kunden, når forholdet ikke kræver skærpede foranstaltninger. Vejledningen kan læses hos Finanstilsynet.
MitID som kontrolkilde
Efter hvidvasklovens § 11, stk. 1, skal forpligtede virksomheder indhente identitetsoplysninger og kontrollere dem på grundlag af en pålidelig og uafhængig kilde. I praksis har dette ofte medført indhentelse af kopi af pas eller kørekort, særligt ved distancekunder. Med vejledningen kan selve kundens bekræftelse med MitID fremover i mange tilfælde udgøre den krævede kontrolkilde.
Ifølge vejledningen er MitID som udgangspunkt tilstrækkeligt ved kunder med lav eller middel risiko. For højrisikokunder gælder fortsat, at der skal gennemføres skærpede kundekendskabsprocedurer, hvor MitID normalt ikke kan stå alene, og hvor yderligere dokumentation typisk vil omfatte myndighedsudstedte ID-dokumenter.
Risikobaseret anvendelse og afgrænsning
Vejledningen ændrer ikke på, at kundekendskab er risikobaseret. Den enkelte virksomhed skal fortsat vurdere, om MitID alene giver tilstrækkelig sikkerhed til at fastslå identiteten i den konkrete sag. Den sproglige præcisering af “som hovedregel”, “bør” og “skal” hjælper med at afkode vejledningens bindende styrke og forventede praksis i tilsynet.
Finanstilsynet anfører, at MitID som udgangspunkt også kan anvendes som kontrolkilde for reelle ejere og for personer, der handler på vegne af kunden. Denne brug forudsætter, at forholdet ikke er underlagt skærpede procedurer. Samtidig begrunder tilsynet den udvidede anvendelse med, at MitID adresserer flere sikkerhedsmæssige svagheder ved NemID, herunder skærpet identitetskontrol ved onboarding og et højere generelt sikkerhedsniveau.
Praktiske konsekvenser og næste skridt
Forpligtede virksomheder kan forvente reduceret administrativ byrde ved identitetskontrol, særligt i fjernkundeforhold, når MitID kan erstatte kopi af pas eller kørekort. Alle øvrige KYC-elementer – såsom formålsafklaring, løbende overvågning og screening – består uændret.
Det er hensigtsmæssigt at opdatere governance og procedurer i lyset af vejledningen. Følgende tiltag er typisk relevante:
- Tilpasning af politikker og forretningsgange for at indarbejde MitID som kontrolkilde.
- Systematisk dokumentation af risikovurderinger og beslutning om, hvornår MitID kan stå alene.
- Sikring af logning og bevis for MitID-bekræftelser i sagsakter.
- Beskrivelse af undtagelser, hvor supplerende ID-dokumentation kræves.
- Træning af medarbejdere i den opdaterede praksis og terminologi.
Udkast og høringsbrev kan fortsat konsulteres på Høringsportalen. Bemærk, at vejledningen ikke eliminerer behovet for en konkret risikovurdering og skærpede foranstaltninger, hvor det er påkrævet, men giver et klarere grundlag for at anvende MitID som tilstrækkelig kontrolkilde i almindelige og lempede kundekendskabssituationer.
