2020年8月14日 / 金融与银行业
申请授权以通过非面对面方式使用设备签订合同及 通过非面对面设备进行合同签订及业务操作的授权申请
上周三（7月29日），国家银行与证券委员会（“CNBV”），旨在落实国际反洗钱金融行动特别工作组（“金融行动特别工作组”) 关于金融机构识别和评估洗钱风险的必要性（“LD”) 以及《反恐融资法》（“《金融时报》”) 可能因使用新技术或正在研发中的技术而产生的问题，通过“SITI PLD/FT“该” “针对拟申请授权通过非面对面方式签订合同及开展业务的未受监管的综合金融公司、投资顾问及汇款机构的指南” (“指南”）。
鉴于上述情况， 本简报旨在概述该指南中规定的关键信息，该指南可为非受监管的综合业务公司、投资顾问及汇款机构（“义务主体”）提供支持，使其能够考虑利用新技术及电子媒介来应对当前面临的局面，从而 各机构能够继续提供服务并开展业务，同时避免触犯反洗钱和反恐怖融资相关罪行。
需要强调的是，本指南的主要目的是为有意获得墨西哥国家银行监管委员会（CNBV）批准、通过非面对面方式签订合同或开展业务的义务主体提供支持，确保其在提交书面申请时满足最低要求。
A. 关于批准申请。
义务主体在向CNBV提交关于通过非面对面方式使用设备识别客户、潜在客户或用户的审批申请时，应考虑 义务主体为遵守《信贷机构法》第115条所指的《一般性规定》而制定的准则，该规定涉及《信贷辅助组织与活动总则》第87-D条及该法第95-Bis条，适用于多业务金融公司， 《信用机构法》第95-Bis条所指、适用于该法第81-A-Bis条所指汇款人的《一般性规定》，以及《证券市场法》第226-Bis条所指、适用于投资顾问的《一般性规定》（“规定”）， 视具体情况而定，并规定上述义务主体在进行非面对面身份识别时应采取的方法、措施或流程。
同样，需要指出的是，前一段所述的非面对面身份识别流程，应通过视听方式（即同时利用听觉和视觉，且能够实时感知）来实施，此处所列方式仅为示例，并不限于此。
B. 申请书须附带的文件。
该文件应提交至墨西哥国家银行监管委员会（CNBV）的文书受理处，地址为：墨西哥城阿尔瓦罗·奥布雷贡区瓜达卢佩·因社区Insurgentes Sur街1971号，邮编01020。
该文件须以西班牙语撰写，并提交一份正本及两份副本，其中至少应包含以下内容：
- 应提交至规范事务副主席办公室下属的专项许可总局；
- 须包含名称或商号，以及CASFIM编号，或在适用情况下，义务主体的注册编号；
- 在境内指定一个用于接收通知的地址，以及至少一名代表；
- 远程身份验证流程概述；
- 请愿要点，其中应明确提出经充分论证并说明理由的请求，即允许以非面对面方式签订合同或开展业务；
- 须由法定代表人及/或总经理签署，并应附上证明其身份的公证书副本一份。
C. 实体的非现场身份验证流程。
义务主体应详细制定其将实施的非面对面身份识别流程，该流程应体现《规定》中确立的所有标准、程序、控制措施、相关措施及技术基础设施。
此外，该指南建议义务主体在提交书面申请时将相关文件作为附件一并提交，因为这些文件可作为证据，有助于墨西哥国家银行监管委员会（CNBV）更好地分析申请，从而避免产生任何疑义。
此外，关于必须由风险负责人或其等同职位人员签署的文件，或在无此类人员的情况下由受监管主体的审计委员会、董事会或唯一管理者签署的文件，可通过出示一份载有上述人员明确指定风险负责人的文件来满足此要求。
最后，建议义务主体附上并参考《指南》中所含合规表格中规定的标准，因为这些表格已根据相关规定进行了调整。
D. 技术风险
鉴于义务主体采用新技术进行非面对面客户身份识别，这些主体必须注意：根据所采用的技术，应说明各项流程及服务的具体实施地点，以及信息存储和处理的详细位置。 此外，义务主体还应描述所用技术的架构，即云类型（公有云、私有云或混合云）及供应商名称、信息存储与处理的具体地点，以及合同草案。
此外，作为预防洗钱和恐怖主义融资犯罪措施的一部分，墨西哥国家银行监管委员会（CNBV）要求受监管机构提交电信系统图，并说明用于处理和传输信息、数据及文件的手段，以确保其完整性；同时需描述该机构及参与方的业务连续性策略，即所谓的“业务连续性计划”（Business Continuity Plan）。 相关实体应注意，若发生突发事件、技术故障或中断，必须对信息、数据和文件进行备份，并说明该备份在所用平台上的存储位置。
同样，作为另一项预防措施，所采用的技术必须获得风险负责人或其等同职位的批准；若无此类负责人，则须经审计委员会、董事会或唯一管理人批准。此外，该技术中应明确描述用于提供可靠性参数的验证机制，以便据此对申请人的面部进行识别。
E. 信息安全
义务主体应说明信息安全存储机制、通信渠道的安全保障措施，以及用于管理非现场身份识别过程中所用系统访问权限的机制；同时应描述将实施的信息安全事件管理流程，以及针对此类事件的政策和程序。
义务主体应注意，一旦项目获得批准，实施阶段将立即启动，届时义务主体须向墨西哥国家银行监管委员会（CNBV）提供以下材料：
a.旨在检测漏洞和威胁的测试结果，以及针对该流程中所用技术基础设施各组件（无论自有还是第三方）进行的渗透测试结果。此外，还应提供在测试中发现的该机构漏洞已得到缓解的证据。
b.对用于人脸识别或验证任何其他生物特征的机制进行校准测试。