Úvod
Po větší část uplynulé dekády přistupovaly evropské povinné subjekty k outsourcingu ověřování identity a procesů Know Your Customer (KYC) jako k taktické vymoženosti, k něčemu, k čemu se uchýlí, když interní kapacita nestačí nebo když se konkrétní onboardingový tok ukáže jako příliš nákladný na vlastní vývoj. Ve chvíli, kdy Evropská unie vstupuje do nejvýznamnější přestavby svého rámce pro boj proti praní špinavých peněz a pro digitální identitu za celou generaci, se však tento přístup stal překonaným. V období od současnosti do roku 2027 se outsourcing posune z jedné z více možností na racionální výchozí volbu pro většinu povinných subjektů.
Tento článek vysvětluje proč. Argument stojí na třech pilířích: na rozsahu a tempu probíhající regulatorní transformace, na výslovném zlegalizování outsourcingu v novém nařízení o boji proti praní špinavých peněz a na ekonomice budování a údržby compliantního onboardingového stacku v prostředí, v němž se samotná pravidla teprve formují.
Regulatorní prostředí v přerodu
Evropský compliance perimetr je nově vymezován několika provázanými předpisy, které nabývají účinnosti v krátkém časovém okně.
Nařízení o boji proti praní špinavých peněz (nařízení (EU) 2024/1624, „AMLR“) se bude přímo používat ve všech členských státech od července 2027 a nahradí roztříštěný přístup založený na směrnicích jednotným souborem pravidel pro hloubkovou kontrolu klienta (CDD). Doprovází jej šestá směrnice o boji proti praní špinavých peněz (AMLD6), kterou musí členské státy transponovat do téhož data, a nový Evropský orgán pro boj proti praní špinavých peněz (AMLA), který bude přímo dohlížet na první skupinu systémově významných institucí a nastaví dohledový standard pro všechny ostatní.
Souběžně revidované nařízení eIDAS (nařízení (EU) 2024/1183, „eIDAS 2.0“) vyžaduje, aby každý členský stát zpřístupnil do konce roku 2026 alespoň jednu Evropskou peněženku digitální identity (EUDI Wallet), přičemž povinnost tyto peněženky akceptovat se v průběhu roku 2027 rozšíří i na regulované soukromé subjekty (mimo jiné na banky, telekomunikační operátory a poskytovatele síťových služeb). Podle AMLR a jeho návrhu regulatorních technických norem se elektronická identifikace splňující eIDAS a kvalifikovaná elektronická potvrzení atributů (QEAA) považují za rovnocenné osobnímu ověření a očekává se, že onboardingové systémy budou integrovat EUDI Wallet na úrovni záruky „vysoká“.
Praktický důsledek je jednoznačný. Každý povinný subjekt v Unii bude muset před rokem 2027 přebudovat svůj onboarding tak, aby podporoval identifikaci založenou na riziku a zohledňující kontext (článek 22 AMLR), aby akceptoval EUDI Wallet a kvalifikovaná potvrzení a aby provozoval průběžné, trvalé KYC s předepsanými intervaly přezkumu. Nejde o změnu konfigurace. Jde o strukturální redesign identitní vrstvy.
Článek 18 AMLR: outsourcing se mění ze šedé zóny na regulovanou výchozí volbu
Nejdůležitějším vývojem pro otázku outsourcingu je, že AMLR odstraňuje nejednoznačnost, která jej dříve obklopovala. Článek 18 nařízení je prvním předpisem na úrovni EU, který komplexně upravuje outsourcing úkolů v oblasti AML/CFT napříč všemi povinnými subjekty, a dává outsourcingu výslovnou zelenou, za jasně stanovených podmínek.
Dvě z těchto podmínek si zaslouží zdůraznit, protože jsou přesně tím, co činí z outsourcingu bezpečnou výchozí volbu, nikoli riziko. Zaprvé, dohledový orgán musí být informován ještě předtím, než poskytovatel začne svěřený úkol vykonávat; outsourcing bez předchozí notifikace je sám o sobě porušením, nezávisle na kvalitě odvedené práce. Zadruhé, vykonává-li poskytovatel svěřený úkol v oblasti AML/CFT, je pro tento úkol právně považován za součást povinného subjektu. Odpovědnost, vlastnictví rizika a rozhodování však nelze nikdy přenést. Ty zůstávají povinnému subjektu.
Toto rozdělení odpovědnosti zdaleka není odstrašujícím prvkem; je to právě ta vlastnost, která činí z outsourcingu zodpovědnou volbu. Povinný subjekt si ponechává plnou kontrolu nad strategií, rizikovým apetitem a konečným compliance rozhodnutím, zatímco operativní a technické provedení (ověření dokladů, biometrické kontroly, detekci živosti, integraci peněženky) deleguje na specialistu. Subjekt outsourcuje práci, nikoli odpovědnost. Přesně takové rozdělení rolí by si dobře řízená instituce měla přát.
Proč je vlastní vývoj nesprávnou výchozí volbou
V tomto kontextu se argument pro budování a údržbu identitního stacku vlastními silami značně oslabil.
Ekonomika je nepříznivá hned od počátku. Vlastní vývoj váže významné fixní inženýrské a provozní náklady ještě předtím, než je objem ověření dostatečně vysoký, aby je ospravedlnil, a tyto náklady se neustále opakují prostřednictvím údržby, bezpečnostních záplat a každoročních compliance auditů. Pro všechny instituce s výjimkou těch největších je to nejdražší cesta právě ve chvíli, kdy jsou rozpočty nejméně jisté.
Tempo regulatorních změn problém dále prohlubuje. Regulatorní technické normy, které dají AMLR provozní detail, jsou stále v konzultačním řízení a identifikační metody považované za přijatelné (národně notifikovaná eID, EUDI Wallet, kvalifikovaná potvrzení, biometrické toky) se budou nadále vyvíjet. Systém postavený na dnešním porozumění bude vyžadovat průběžné přepracování jen proto, aby zůstal compliantní.
Významná a stále specializovanější je rovněž architektonická složitost. Integrace EUDI Wallet na úrovni záruky „vysoká“, akceptace kvalifikovaných potvrzení a orchestrace onboardingu založeného na riziku jsou netriviální inženýrské úkoly. Tam, kde se uplatní biometrické porovnání obličeje nebo detekce živosti, spadá systém do působnosti pravidel aktu o umělé inteligenci pro dálkovou biometrickou identifikaci; zpracování identitních dat aktivuje plnou váhu GDPR; a vydávání kvalifikovaných potvrzení vyžaduje zapojení kvalifikovaného poskytovatele služeb vytvářejících důvěru (QTSP), náročný certifikační režim, do něhož se jen málokterá instituce pustí sama. Každá z těchto oblastí je samostatnou disciplínou a jejich udržování vlastními silami je špatným využitím inženýrské kapacity instituce.
Proč je outsourcing tou nejlepší volbou
Specializovaní poskytovatelé existují právě proto, aby tuto složitost absorbovali. Poskytovatel zaměřený primárně na identitu může dodat silný front end pro ověřování a zároveň integrovat certifikované back-end vydávání etablovaných QTSP, takže povinný subjekt získá robustní onboarding i kvalifikované potvrzení, aniž by se sám stal poskytovatelem služeb vytvářejících důvěru. Poskytovatel nese produktovou zátěž souladu s GDPR a aktem o umělé inteligenci pro své ověřovací komponenty, drží krok s vyvíjejícími se technickými normami jakožto se svým hlavním předmětem podnikání a nabízí modulární, adaptivní orchestraci onboardingu, kterou vyžaduje přístup založený na riziku podle článku 22.
To je rozhodující bod. Budoucnost evropského onboardingu není jeden pevný tok, nýbrž adaptivní architektura schopná zvládnout vše od jednoduchého prokázání totožnosti až po komplexní ověření více atributů, čerpající z peněženek, kvalifikovaných potvrzení i tradičních metod podle toho, jak velí rizikový profil. Takovou orchestraci nejefektivněji dodá specialista, jehož celý produkt je kolem ní vystavěn, a nejdráže ji vynalézá znovu povinný subjekt, pro nějž je identita jednou funkcí mezi mnoha.
Jak outsourcovat správně
Považovat outsourcing za výchozí volbu neznamená přistupovat k němu nedbale. Tentýž rámec článku 18, který outsourcing legitimizuje, rovněž předepisuje, jak jej provést správně, a povinné subjekty by k němu měly přistupovat jako k řízenému procesu:
- Informujte dohledový orgán dříve, než poskytovatel zahájí svěřený úkol.
- Ponechte si interně odpovědnost a rozhodování; zdokumentujte odůvodnění zvolených identifikačních toků tak, aby je bylo možné příslušnému orgánu obhájit jako přiměřené a compliantní.
- Proveďte skutečnou prověrku dodavatele s vědomím, že poskytovatel je pro svěřený úkol považován za součást povinného subjektu.
- Uzavřete smlouvu o zpracování osobních údajů podle GDPR, kde poskytovatel vystupuje jako zpracovatel.
- Ověřte, že poskytovatel pokrývá povinnosti podle aktu o umělé inteligenci pro biometrické komponenty a že má integraci s QTSP pro jakékoli kvalifikované vydávání.
Takto pojatý outsourcing není zkratkou obcházející compliance. Je strukturovaným prostředkem k dosažení souladu rychleji, levněji a s větší odolností, než jakou může nabídnout vlastní vývoj.
Závěr
Souběh AMLR, AMLA, eIDAS 2.0 a EUDI Wallet proměnil identitní vrstvu v pohyblivý cíl, který musí každý evropský povinný subjekt zasáhnout do roku 2027. V takovém prostředí již relevantní otázkou není, zda je outsourcing přípustný (to článek 18 řeší), nýbrž zda je budování a údržba compliantního onboardingového stacku vlastními silami obhajitelným využitím vzácných zdrojů. Pro většinu institucí není. Outsourcing prováděný za řádné správy je strategickou výchozí volbou: dodává architekturu, kterou nový rámec vyžaduje, ponechává odpovědnost tam, kde ji zákon vyžaduje, a uvolňuje povinnému subjektu ruce, aby se soustředil na rozhodnutí, která skutečně nelze delegovat.
Upozornění: Tento článek slouží pouze k obecné informaci a nepředstavuje právní poradenství. Konkrétní ujednání o outsourcingu a zpracování údajů je vhodné konzultovat s kvalifikovaným právníkem v oblasti AML a ochrany osobních údajů.