Die Bangko Sentral ng Pilipinas (BSP) fordert von ihren beaufsichtigten Institutionen (BSIs) strengere risikobasierte Kontrollen, um die Sicherheit und Integrität des nationalen Zahlungssystems zu stärken.

In einem Entwurf eines Rundschreibens hat die Zentralbank Änderungen des Manual of Regulations for Payment Systems (MORPS) vorgeschlagen, die von den BSIs die Einrichtung von Mechanismen verlangen, welche die Kontrollen über ihre Zahlungstätigkeiten verstärken. Der Schritt ist Teil des umfassenderen Aufsichtsmandats der BSP über das nationale Zahlungssystem, auf das die Zentralbank zunehmend zurückgreift, da digitale Zahlungen und QR-basierte Transaktionen im ganzen Land zunehmen.

„BSP-Supervised Institutions, einschließlich Operators of Payment Systems (OPS) und Payment Service Providers (PSPs) sowie anderer relevanter Teilnehmer am nationalen Zahlungssystem, haben risikobasierte Kontrollen einzurichten und aufrechtzuerhalten, die ausreichende, genaue, aktuelle und zeitnahe Sichtbarkeit über die an der Zahlungstätigkeit beteiligten Personen, Händler, Vermittler, Konten, Zahlungskanäle, Transaktionen und Abwicklungsströme bieten, entsprechend ihrer jeweiligen Rollen“, so die Zentralbank.

Strengere Sorgfaltsprüfung und Risikoklassifizierung

Die vorgeschlagenen Regeln würden die BSIs verpflichten, strikte Sorgfaltsprüfungen durchzuführen, Risikobewertungen vorzunehmen und Berichtsrahmen für ihre Zahlungstätigkeiten einschließlich ihrer Händlervereinbarungen einzurichten.

„In ihrer Risikobewertung hat eine OPS-MAL (Merchant Acquisition License) oder eine BSFI (BSP-supervised financial institution), die zum Betrieb von Händlerakquise befugt ist, eine Risikoklassifizierung zuzuweisen, die die Risiken aus dem Händler und den letztbegünstigten widerspiegelt, deren Transaktionen im Rahmen der Vereinbarung verarbeitet werden“, erklärte die BSP.

„Beispielsweise würde ein Händler nicht als geringriskant eingestuft, wenn sein letztbegünstigter als hochriskant eingestuft wäre.“

Die Zentralbank untersagt den BSIs die Mitwirkung an Zahlungsvereinbarungen, die Identitäten verschleiern, die Verantwortlichkeit aufheben, die Rekonstruktion von Transaktionen verhindern oder die Aufdeckung, Untersuchung oder Meldung von Finanzstraftaten beeinträchtigen.

Bei direkten Händlervereinbarungen wäre es den BSIs untersagt, Händler mit Verbindungen zu illegalen Aktivitäten an Bord zu holen. Hochriskante Händler könnten nur nach verstärkter Sorgfaltsprüfung, verstärkter Überwachung und der Festlegung von Transaktionslimits aufgenommen werden.

Der Entwurf des Rundschreibens führt als hochriskante Händler oder Tätigkeiten solche auf, die mit Kasinos und Online-Glücksspielanbietern, Administratoren und Plattformbetreibern von Glücksspielsystemen, legalen Anbietern von Inhalte oder Waren für Erwachsene, lizenzierten Anbietern von Dienstleistungen für virtuelle Vermögenswerte sowie Geldtransferdienstleistern in Verbindung stehen.

Eine direkte Händlervereinbarung ist gemäß dem Entwurf des Rundschreibens ein Zahlungsakzeptanzmodell, bei dem eine befugte BSI eine direkte Beziehung zum Händler unterhält und dadurch sicherstellt, dass kein Vermittler in ihrem Namen Zahlungen annimmt, verarbeitet, einzieht, erhält, zuteilt oder abwickelt.

Für ausländische Händler und Vermittler müssten die BSIs die rechtliche Existenz, jurisdiktionelle Risiken, die Legitimität der Website und die Sanktionsbelastung überprüfen und sicherstellen, dass Unterlagen vor der Aufnahme ohne Hindernisse abrufbar sind.

Neue Regeln für geschichtete Händlervereinbarungen

Die Zentralbank führt zudem Regeln für geschichtete Händlervereinbarungen ein – Modelle, bei denen ein oder mehrere Vermittler zwischen der akquirierenden BSI und dem zugrunde liegenden Händler eingesetzt werden, um Zahlungsabwicklung, -weiterleitung, -einziehung oder -abrechnung zu unterstützen.

BSIs dürfen derartige Vereinbarungen nur eingehen, wenn die beteiligten Vermittler ordnungsgemäß befugt sind, die Rollen aller Parteien klar zugewiesen sind und die Zahlungsflüsse vom ursprünglichen Konto bis zum zugrunde liegenden Händler und dem letztbegünstigten vollständig nachvollziehbar bleiben.

Diese Vereinbarungen müssen zudem durch eine belastbare Rahmenvereinbarung abgesichert sein, die der akquirierenden Institution den zeitnahen Zugang zu umfassenden Transaktionsdaten sowie durchsetzbare Rechte zur Prüfung, Überwachung und Einschränkung von Aktivitäten garantiert, um jede Beeinträchtigung von Sichtbarkeit oder Verantwortlichkeit zu verhindern.

Nach Abschluss der Übergangsfristen müssten BSIs mit geschichteten Händlervereinbarungen vierteljährlich ihr Bestandsverzeichnis sowie eine Liste eingeschränkter, suspendierter oder beendeter zugrunde liegender Händler und Vermittler einreichen.

Zudem müssten sie eine Anzeige wesentlicher Änderungen ihrer Vereinbarung mindestens 30 Geschäftstage vor deren Wirksamkeit einreichen und ihre jährliche Überprüfung bzw. ihren unabhängigen Assurance-Bericht jährlich innerhalb von 120 Tagen nach Ende ihres Kalender- oder Geschäftsjahres vorlegen.

Zentrale QR-Code-Händlerdatenbank

Darüber hinaus möchte die BSP eine zentrale nationale Datenbank für Händler mit Quick-Response-Codes (QR) einrichten, um die Betrugsprävention des Landes zu stärken und QR-basierte Transaktionen abzusichern. QR-Zahlungen sind in den Philippinen zu einem häufigen Kanal für Betrugsmaschen geworden; die vorgeschlagene Datenbank soll Zahlungsdienstleistern eine gemeinsame, verbindliche Aufzeichnung legitimer Händler liefern, die in Echtzeit abgefragt werden kann.

Die Datenbank muss innerhalb von 90 Tagen gestartet und spätestens ein Jahr nach Inkrafttreten der einschlägigen MORPS-Änderungen vollständig betriebsbereit sein.

Für die Datenbank müssten Payment Service Provider ihre Kerngeschäftsprofile einreichen und aktuell halten, einschließlich eindeutiger Händler- und QR-Zugangsdaten, registrierter Firmen- und Geschäftsnamen, Geschäftsklassifizierungen, Lizenzangaben sowie physischer oder digitaler Geschäftsadressen.

Händler wiederum müssen in der Datenbank Unterlagen zu ihren zugehörigen PSPs, Abwicklungskonten, den genutzten Geräten, Terminals oder Kanälen, den Strukturen der wirtschaftlichen Berechtigung sowie ihrem Aufnahmedatum, ihrer Echtzeit-Risikoklassifizierung und ihrem Sanktions-Prüfstatus hinterlegen, unter anderem.

Die BSP würde zudem verlangen, dass alle aktiven Händlerdaten spätestens 15 Monate nach Inkrafttreten der Regeln vollständig in die Datenbank migriert und validiert werden.

Die Datenbank würde alle teilnehmenden PSPs in Echtzeit über Änderungen des Händlerstatus informieren – etwa über Suspendierungen oder Beendigungen aufgrund von Betrug –, wobei die BSP von betroffenen Parteien sofortige Risikountersuchungen verlangt.

Innerhalb von sechs Monaten muss das Payment System Management Body (PSMB) der BSP zur Genehmigung den vollständigen Governance-Rahmen, die Datenstandards, die Spezifikationen der Programmierschnittstellen (APIs), die Sicherheitsanforderungen und den Umsetzungsplan für die Datenbank vorlegen.

Mit Inkrafttreten des Rundschreibens wird die BSP zudem die Annahme und Verarbeitung aller neuen OPS-Registrierungen für ein Jahr aussetzen, während sie eine umfassende Überprüfung ihrer Lizenzierungs- und Taxonomierahmen durchführt. — Katherine K. Chan