MiFID II och GDPR: Dokumentation av investeringstjänster
Finansiella institutioner med tillstånd från Finansinspektionen sliter med att uppfylla ett brett spektrum av globala föreskriftsmässiga och juridiska krav på dokumentation.
Genomförandet av MiFID II-direktivet har utökat dessa krav, precis som de nya kraven i Finansinspektionens föreskrifter om värdepappersrörelse avseende dokumentation av investeringstjänster (FFFS 2017:2, kap. 8).
Det krävs nu att företag har möjligheten att snabbt och exakt rekonstruera affärer, inklusive relaterad kommunikation före och efter handel (tvärs över alla elektroniska kommunikationskanaler, till exempel telefonsamtal, videomöten, e-post och chatt).
Dokumentationen ska göras så att Finansinspektionen har möjlighet att övervaka att institutet har uppfyllt kraven i enlighet med LVPM, MiFID II-förordningen och de föreskrifter som har meddelats med stöd av lagen, samt att marknadsmissbruksförordningen (MAR) följs. Institutet ska även proaktivt övervaka sina egna processer och sin egen regelefterlevnad.
- Med införandet av GDPR följer även strängare krav på personskydd. Alla uppgifter måste behandlas på ett sådant sätt att de uppfyller kraven i MiFID II, samtidigt som kraven på personskydd och datasäkerhet kring personuppgifter ska tillvaratas i enlighet med GDPR.
Många företag som påverkas av dessa nya regelverk oroar sig över sin förmåga att uppfylla de föreskrivna ändringarna samt kostnaderna för detta.
Som svar på dessa utmaningar erbjuder GuardREC® Compliance en centraliserad lösning för inspelning av telefonsamtal och lagring av elektronisk kommunikation som uppfyller kraven på dokumentation i enlighet med MiFID II och GDPR.
- Med guardREC® Compliance får du en komplett översikt över all dokumentation tvärs över alla kanaler i ett system, vilket gör det enkelt att rekonstruera dialogen runt en transaktion.
Systemet erbjuder även en rad funktioner, som är särskilt framtagna för att hjälpa compliancesansvariga i deras arbete med proaktiv övervakning av regelefterlevnad och minimering av risker.
Denna artikel visar hur GuardREC® Compliance kan hjälpa finansinstitutioner med utmaningarna i samband med de nya kraven på inspelning av telefonsamtal och lagring av elektronisk kommunikation, samt hur de kan uppfylla kraven i både MiFID II och GDPR på ett effektivt sätt.
MiFID II: Inspelning av telefonsamtal och lagring av elektronisk kommunikation
Regel: Ett värdepappersinstitut ska dokumentera all investeringsverksamhet och samtliga investeringstjänster, sidotjänster och transaktioner som det har genomfört.[1] Dokumentationen ska inbegripa inspelning av telefonsamtal och bevarande av elektronisk kommunikation som avses leda till att en transaktion genomförs eller att en sådan tillhandahålls.[2]
[1] Kap. 8, § 16, LVPM
[2] Kap. 8, § 17, LVPM
Complianceutmaningar:
- Kommunikation med kunden försiggår i flera kanaler, till exempel mobil- och fasttelefonsamtal, sms, mms, e-post, chatt och videomöten
- Kunddialog spelas in och lagras i olika format, i olika system och på olika platser
- Osäkerhet om att alla uppgifter spelas in och lagras korrekt samt om de kan hittas igen
- Osäkerhet kring förlorade inspelningar
Lösning: GuardREC® Compliance låter dig tryggt och säkert dokumentera kommunikation tvärs över alla kanaler i ett centralt system. GuardREC® Compliance introducerar avancerade funktioner som gör det möjligt att spela in i flera kanaler, vilket gör att du får en komplett översikt över all dokumentation på en plats.
Lösningen erbjuder en rad inbyggda integrationer mot andra system och tekniker. Med GuardREC® Compliance kan du göra inspelningar och dokumentera:
- Ljud (mobiltelefoner, fasttelefoner)
- Text (e-post, sms, mms)
- Video (videokonferens, webbinarium)
- Chatt (Bloomberg, Symphony, Eikon Messenger)
GDPR: Undvik inspelning och lagring av överskottsinformation
Regel: Personuppgifter som behandlas ska vara adekvata, relevanta och inte för omfattande i förhållande till ändamålet.[3] [4] Värdepappersinstitut ska undvika inspelning och lagring av icke-relevant information eller överskottsinformation.
[3] Kapitel II, artikel 5, Dataskyddsförordningen (GDPR)
[4] Kapitel V, artikel 47.2 d, Dataskyddsförordningen (GDPR)
Complianceutmaningar:
- Mäklare använder jobbtelefon och andra kommunikationsverktyg även i privata sammanhang
- Svårt att undvika inspelning av överskottsinformation
- Svårt att vitlista tvärs över kommunikationskanaler
- Vitlistning fungerar enbart på telefonnummer
Lösning: GuardREC® Compliance levereras med en kraftfull vitlistningsfunktionalitet som fungerar tvärs över kanaler. Detta gör det enkelt att definiera vilken information som ska respektive inte ska spelas in och dokumenteras.
Vitlista e-postadresser, chatt-id, telefonnummer eller anställningsnummer tvärs över kanaler för att undvika inspelning och dokumentation av överskottsinformation. GuardREC® Compliance har stöd för
- Privat vitlistning
- Global vitlistning
- Vitlistning tvärs över kommunikationskanaler
GDPR och MiFID II: Kunderna och Finansinspektionen kan begära insyn
Regel: Värdepappersinstitutet ska på begäran tillhandahålla berörda kunder dokumentationen.[5] Uppgifterna ska även bevaras i sådan form och på ett sådant sätt att Finansinspektionen utan svårighet kan komma åt uppgifterna och rekonstruera viktiga steg i hanteringen av samtliga transaktioner.[6]
[5] Kap. 8, § 20, LVPM
[6] Kap. 21, § 2, FFFS 2007:16
Complianceutmaningar:
- Fragmenterad lagring av kunddialog och inspelningar
- Inte möjligt att söka efter information tvärs över kanaler
- Resurskrävande att hitta och få tillgång till dokumentation
- Inga automiska processer för insyn
Lösning: Med guardREC® Compliance får du en komplett översikt över alla kunddialoger i ett centralt system tillsammans med kraftfull sökfunktionalitet tvärs över kanaler.
Detta ger dig möjlighet att snabbt och exakt rekonstruera en affär med relaterad kommunikation före och efter handel. När en kund eller Finansinspektionen begär tillgång till dokumentationen kan du på ett smidigt sätt samla efterfrågad dokumentation i en portfölj för effektiv insyn och delning.
GDPR och MiFID II: Begränsa tillgång till lagrade uppgifter
Regel: Personuppgifter ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse.[7] Uppgifterna ska även bevaras i en sådan form och på ett sådant sätt att det inte är möjligt att manipulera eller förändra uppgifterna på annat sätt.[8]
[7] Kapitel II, artikel 5f, Dataskyddsförordningen (GDPR)
[8] Kap. 21, § 2, FFFS 2007:16
Complianceutmaningar:
- Risk för obehörig tillgång till dokumentation
- Manuell lagring av dokumentation
- Manuell registrering av aktivitet med uppgifter
- Brist på fullständig verifieringskedja
Lösning: För att hindra obehörig tillgång till känsliga uppgifter levereras GuardREC® med konfigurerbar åtkomstkontroll, vilket gör att företaget kan säkerställa att känsliga uppgifter bara är tillgängliga för behöriga användare. Systemet dokumenterar vem som har tillgång till vad, hur uppgifterna lagras samt hur länge dessa uppgifter lagras.
Systemet omfattar även en ”Data Life Management”-funktion som säkerställer att inspelningar och uppgifter inte lagras för länge och som spårar vem som har varit inne och sett på, lyssnat på, kontrollerat eller hämtat ut uppgifter under hela livslängden.
På så sätt säkerställer systemet att du uppfyller MiFID II-kravet om en omfattande verifieringskedja och att alla uppgifter och inspelningar raderas när de är föråldrade, samtidigt som det ser till att du har kontroll över all lagrad information i enlighet med GDPR.
MiFID II: Proaktiv övervakning av regelefterlevnad
Regel: Värdepappersföretag ska införa, tillämpa och upprätthålla lämpliga riktlinjer och förfaranden som är utformade för att upptäcka alla risker för att företaget underlåter att uppfylla sina skyldigheter enligt direktiv 2014/65/EU, samt risker i samband med detta, och inrätta lämpliga åtgärder och förfaranden för att minimera dessa risker och ge de behöriga myndigheterna möjlighet att effektivt utöva sina befogenheter enligt det direktivet.[9]
[9] Artikel 22.1 i direktiv 2017/565/EU (MiFID II)
Complianceutmaningar:
- Jobba effektivt med proaktiv efterlevnad
- Krävande att dokumentera efterlevnad
- Svårt att jobba riskbaserat
- Svårt att identifiera risker
Lösning: GuardREC® Compliance erbjuder nyskapande funktionalitet för att hjälpa de regelefterlevnadsansvariga i deras arbete med att övervaka och dokumentera efterlevnad samt minimera risker.
Med inbyggda ”Risk Detections” följer en rad möjligheter för att framhäva kritisk information och därmed bidra till arbetet med att identifiera och hantera potentiella risker i ett tidigt skede, så att du kan optimera dina riskbaserade metoder.
GuardREC® Compliance introducerar även ”Smart Tags”, som gör det möjligt att tagga högrisksamtal eller specifika segment av ett samtal med konfigurerbara och sökbara smarta taggar. Lägg ner mindre tid på att hitta högrisksamtal och mer tid på att utveckla en god regelefterlevnadskultur i företaget.
För att förenkla arbetet med att dokumentera efterlevnad och skapa rapporter erbjuder GuardREC® Compliance automatiska rapporter. GuardREC® Compliances automatiska rapporteringslösning ger dig tillgång till effektiva och inbyggda rapporteringsverktyg så att du använder mindre tid på rapportering till styrelsen och Finansinspektionen.
Vill du veta mer?
Utforska hur GuardREC® Compliance kan hjälpa ditt företag att lösa utmaningarna i samband med inspelning och dokumentation av kunddialog och uppfylla de senaste regulatoriska ändringarna på ett bättre och mer effektivt sätt. Gå in på https://www.guardrec.com/compliance eller klicka på en av länkarne nedan
Källor
[1] Kap. 8, § 16, LVPM
[2] Kap. 8, § 17, LVPM
[3] Kapitel II, artikel 5, Dataskyddsförordningen (GDPR)
[4] Kapitel V, artikel 47.2 d, Dataskyddsförordningen (GDPR)
[5] Kap. 8, § 20, LVPM
[6] Kap. 21, § 2, FFFS 2007:16
[7] Kapitel II, artikel 5f, Dataskyddsförordningen (GDPR)
[8] Kap. 21, § 2, FFFS 2007:16
[9] Artikel 22.1 i direktiv 2017/565/EU (MiFID II)
