Verbeterde due diligence: het waarborgen van KYC en toezicht door regelgevende instanties

Verbeterde due diligence: Het implementeren van innovatieve oplossingen in het bedrijfsleven mag tegenwoordig niet uitsluitend gericht zijn op winstmaximalisatie. Een bredere visie is vereist, waarbij abstract gekeken wordt naar de secundaire factoren die van invloed kunnen zijn op een bedrijf. Deze factoren variëren van diensten en bedrijven van derden tot de bijbehorende regelgeving en compliance-eisen. In plaats van de focus te beperken tot het genereren van bedrijfsomzet, moet ook kennis van lokale wet- en regelgeving worden gewaarborgd. 

Klantidentificatie en -verificatie worden een cruciale stap voor bedrijven om aan de eisen te voldoen. Know your Customer (KYC) richtlijnen. Bij samenwerking met derden en bedrijven, met name financiële instellingen en de banksector die veel te maken hebben met diverse andere sectoren, is het essentieel om deze partijen volledig te kennen. Dit is de eerste stap om het risico op zware sancties en boetes van lokale toezichthouders te beperken.

A recent Uit onderzoek blijkt dat de boetes van regelgevende instanties in de EU kunnen oplopen tot... €20 miljoen. Dit komt neer op ongeveer 4% van de jaarlijkse omzet van het bedrijf. In landen als Australië en Brazilië kost een overtreding ongeveer $1,000,000. KYC-conformiteit Dit is een stap die het risico op zulke enorme financiële verliezen kan beperken. Banken moeten bij het openen van nieuwe rekeningen voor gebruikers een klantonderzoek (Customer Due Diligence, CDD) uitvoeren. Dit proces waarborgt de identiteit van de gebruiker aan de hand van bepaalde KYC-parameters. Het omvat achtergrondcontroles in het kader van de bestrijding van witwassen (Anti-Money Laundering, AML), controles op terrorismefinanciering en controles op politiek prominente personen (Politically Exposed Persons, PEP's) om te voorkomen dat verboden entiteiten deel uitmaken van legitieme bedrijfsactiviteiten.

Enhanced Due Diligence (EDD) is een geavanceerd concept van CDD. EDD omvat de beveiligingsaspecten en -richtlijnen die CDD niet dekt. ​​Het garandeert een hoog niveau van potentiële beveiliging dat de onderneming direct of indirect kan beïnvloeden. Verborgen beveiligingsuitdagingen, identiteitsverificatie, risicobeoordelingen en evaluaties maken deel uit van EDD. Door naleving van EDD op organisatieniveau worden ernstige privacy- en beveiligingsrisico's weggenomen. Het monitoren en screenen van entiteiten en transacties verkleint de kans op online fraude en betalingsfraude. Bovendien zorgt het voor meer degelijkheid en betrouwbaarheid binnen de onderneming.

Het snijvlak van uitgebreid due diligence-onderzoek en KYC.

Zowel EDD als KYC dienen het doel van klantauthenticatie. EDD-beleid overlapt met KYC en zorgt voor een rigoureus onboardingproces voor eindgebruikers. De gegevens moeten op verantwoorde wijze worden verzameld, onderzocht en verwerkt, en er moeten gedetailleerde audits worden uitgevoerd om de activiteiten in het systeem te volgen. Gecontroleerde gegevenstoegang moet worden toegepast om het aantal gebruikers dat toegang heeft tot gevoelige gebruikersgegevens te beperken. Op deze manier wordt de kans op verstoring van de gegevensintegriteit verkleind. EDD-vereisten garanderen tevens de veiligheid van de gegevens. KYC De risico's die verbonden zijn aan elk verificatieproces, moeten individueel worden berekend en gecontroleerd voordat de verwerking verdergaat. Daarnaast moeten identiteiten worden geverifieerd aan de hand van controles op witwassen en terrorismebestrijding om te garanderen dat er sprake is van eerlijke handel. 

Onder de noemer van lokale wet- en regelgeving waarborgt EDD de rechten op gegevensbescherming van de gebruiker. Deze rechten omvatten onder andere het doel waarvoor gegevens worden verzameld, geanalyseerd en verwerkt. Ook wordt er rekening gehouden met de bewaartermijn van gegevens in de database en de doeleinden waarvoor de gegevens worden gebruikt. Organisaties die zich niet aan deze wetgeving houden, kunnen zware rechtszaken verwachten.

Reglementaire sancties wereldwijd

Er is een vergelijking gemaakt van de gegevensbeschermingsregelgeving wereldwijd, waaruit blijkt dat ongeveer 65% van de landen hun beleid hebben aangepast of de GDPR-vereisten hebben overgenomen toen deze werd aangekondigd. Sancties kunnen worden opgelegd op basis van de naleving van de lokale regelgeving door de landen zelf. Deze afstemming van rechtszaken kan zich uitbreiden in geval van niet-naleving. De boetes zijn niet alleen van toepassing op degenen die slachtoffer worden van een cyberaanval of datalek, maar kunnen worden opgelegd aan elk individueel bedrijf dat zich niet aan de lokale regelgeving houdt. Hieronder staan ​​enkele landen en bedrijven die recentelijk een boete hebben gekregen:

Duitsland: De eerste boete die Duitsland kreeg, dateert van juli 2018. Het Duitse sociale medianetwerk Knuddles werd gehackt, waardoor de gegevens van meer dan 330,000 gebruikers, waaronder 808,000 e-mailadressen en bijbehorende wachtwoorden, in gevaar kwamen. De reden dat deze gegevens werden gehackt, was dat Knuddles de gebruikersinformatie in platte tekst had opgeslagen, wat volledig in strijd is met de AVG-wetgeving. Het bedrijf ontdekte de inbreuk in september, blokkeerde alle getroffen gebruikersaccounts en informeerde de gebruikers hierover. Vanwege dit datalek kreeg Knuddles een kleine boete opgelegd. €20,000, een bedrag dat door velen werd bediscussieerd. Lokale toezichthouders vonden het echter volkomen in verhouding tot het verlies dat het bedrijf had geleden als gevolg van het datalek. Hierna heeft het bedrijf strenge beveiligingsmaatregelen getroffen om hun systeem te beschermen tegen soortgelijke en toekomstige datalekken.

Polen: De Poolse gegevensbeschermingsautoriteit (DPA) heeft op 1 april 2019 een boete van € 220,000 opgelegd aan het digitale marketingbureau Bisnode. Bisnode voldeed niet aan de eisen van de AVG (Algemene Verordening Gegevensbescherming). Bisnode verzamelde en verwerkte gegevens zonder de betrokkenen hiervan op de hoogte te stellen, wat leidde tot een hoge boete. Volgens de AVG mogen gebruikersgegevens immers niet zonder toestemming van de betrokkenen worden gebruikt. Daarnaast moest Bisnode in de daaropvolgende drie maanden 6 miljoen mensen mailen, wat het bedrijf nog eens € 8 miljoen extra kostte. Als het bedrijf zijn eindgebruikers vooraf had geïnformeerd, had het dit grote risico kunnen vermijden. 

Google: In januari 2019 kreeg Google een forse boete van € 50 miljoen opgelegd. De schending van de AVG (Algemene Verordening Gegevensbescherming) kwam aan het licht nadat betrokkenen hadden geklaagd over de ongepaste manier waarop Google toestemming van hen vroeg. Het gebrek aan transparantie is een van de belangrijkste punten van de AVG waaraan niet werd voldaan. Volgens de AVG moet toestemming vrijwillig, geïnformeerd en gedetailleerd zijn en een actieve handeling vereisen. Google voldeed echter niet aan al deze eisen, omdat de vakjes voor toestemming vooraf waren aangevinkt, wat niet als geldige toestemming wordt beschouwd.

Hoe helpt uitgebreid due diligence-onderzoek boetes te voorkomen?

Een van de grootste uitdagingen bij EDD (Electronic Due Diligence) is bepalen hoeveel informatie van een klant nodig is om de identiteit te verifiëren. Financiële instellingen implementeren elektronische controles die de verificatie van identiteiten automatiseren om witwaspraktijken en terrorismefinanciering tegen te gaan. Deze controles worden automatisch uitgevoerd, waarbij wordt bijgehouden welke entiteiten het systeem binnenkomen en verlaten en aan meerdere controles worden onderworpen. Hun activiteiten worden continu gemonitord om te voorkomen dat kwaadwillenden toegang krijgen tot het systeem.

Online identiteitsverificatie

Verifieer de nieuwe klanten aan de hand van een reeks noodzakelijke gegevens, waaronder persoonlijke informatie zoals naam, geboortedatum, adres, leeftijd, enz. (dit varieert afhankelijk van de branche). Dit kan het risico op online fraude, die regelmatig met meerdere identiteiten plaatsvindt, verkleinen.

Voorkom financiële criminaliteit

Met EDD kan witwaspraktijken worden tegengehouden, waaronder geld afkomstig van politiek prominente personen (PEP's), terroristen en witwassers. De noodzakelijke veiligheidsmaatregelen worden door EDD gedekt, waardoor de degelijkheid en transparantie van het systeem worden gewaarborgd en de risico's op financiële criminaliteit worden verminderd.

Duidelijke nalevingsgegevens

De nalevingsdetails van het bedrijf moeten duidelijk zijn. Het is niet nodig dat een datalek expliciet aantoont hoe veilig uw software is, maar de belangrijkste stap is het voldoen aan lokale regelgeving en privacyprogramma's. In het bedrijfsbeleid moet alle documentatie die aan de regelgeving voldoet, duidelijk de wetten vermelden die van toepassing zijn op uw specifieke branche.