FATF-reisregel: Wat VASP's moeten weten in 2026

Compliancefunctionarissen bij cryptobeurzen ontdekken vaak dat hun Travel Rule-workflows jaren verouderd zijn wanneer een auditor om documentatie vraagt. De regel zelf is gebaseerd op... FATF Aanbeveling 16 bestaat al sinds 2019, maar een belangrijke herziening in juni 2025 heeft de reikwijdte ervan uitgebreid naar fraudepreventie en proliferatiefinanciering. Voor veel VASP's is de oude checklist voor naleving daardoor niet langer relevant. Hieronder wordt uitgelegd wat de Travel Rule vereist, hoe de verplichtingen per rechtsgebied verschillen en wat de wijzigingen van 2025 betekenen voor uw activiteiten dit jaar.

De FATF Travel Rule is een wereldwijde standaard die Virtual Asset Service Providers (VASP's) verplicht om identificerende informatie over de initiatiefnemer en de begunstigde van een virtuele activa-overdracht te verzamelen, te verifiëren en door te geven aan de ontvangende VASP vóór of tijdens de transactie.

De jurisdictie waarin uw VASP gevestigd is, bepaalt hoe de regel van toepassing is, maar de kernverwachting is in alle markten hetzelfde. Geld mag niet worden verplaatst zonder dat er een traceerbare identiteit aan is gekoppeld.

Wat is de FATF-reisregel?

FATF-aanbeveling 16, beter bekend als de Travel Rule, breidt de standaarden voor elektronische overboekingen die banken al decennia hanteren uit naar virtuele activa. Wanneer een VASP (Virtual Asset Service Provider) namens een klant virtuele activa verzendt, moet deze de gegevens van de afzender en de begunstigde samen met de transactie doorgeven aan de ontvangende instelling. De term is afkomstig uit de Amerikaanse financiële regelgeving, waar historisch gezien werd vereist dat identificerende gegevens met de fondsen meereisden.

Het mechanisme voor het delen van die gegevens tussen VASP-paren is gebaseerd op de IVMS101-berichtenstandaard, een interoperabiliteitsprotocol dat de velden voor afzender en ontvanger structureert in een formaat dat tegenpartijsystemen automatisch kunnen valideren. De toepassing van IVMS101 is sinds 2022 aanzienlijk toegenomen, hoewel er in snelgroeiende markten nog steeds implementatiekloven bestaan.

In juni 2025 had 73% van de respondenten, namelijk 85 van de 117, wetgeving aangenomen ter implementatie van de Travel Rule, een stijging ten opzichte van 65 landen het jaar ervoor. Dat aantal blijft stijgen en is van belang voor elke VASP die klanten aanneemt of grensoverschrijdende transacties uitvoert.

Welke gegevens moeten VASP's verzamelen en delen?

VASP's aan beide zijden van een overdracht moeten specifieke gegevens over de initiatiefnemer en de begunstigde verzamelen, hoewel de transactiedrempel die deze verplichting activeert, per rechtsgebied verschilt. De vereiste gegevens zijn in de meeste belangrijke rechtsstelsels grotendeels consistent.

Informatie over de initiatiefnemer die uw VASP moet verkrijgen en bewaren:

• Volledige wettelijke naam

• Rekening- of portemonneenummer

• Fysiek adres, nationaal identiteitsnummer of geboortedatum en -plaats (ten minste één van deze)

• Naam en identificatie van de instelling die de aanvraag heeft ingediend

Gegevens van begunstigden die uw VASP moet verkrijgen en doorgeven:

• Volledige wettelijke naam

• Rekening- of portemonneenummer

• Naam van de ontvangende VASP

De oorspronkelijke VASP moet deze gegevens onmiddellijk en veilig verzenden en beschikbaar houden voor inspectie door de toezichthouder op verzoek. VASP's moeten ook de tegenpartijinstellingen screenen voordat ze transacties met hen uitvoeren. Het accepteren van overboekingen van een VASP zonder vergunning of een VASP die onder sancties valt, brengt directe risico's met zich mee op het gebied van regelgeving.

Hoe verschillen de transactiedrempels per rechtsgebied?

De FATF-norm adviseert een drempel van 1,000 USD/EUR, maar nationale toezichthouders hanteren verschillende grenzen.

De EU-drempel is de strengste. EU-verordening inzake de overdracht van gelden (Verordening 2023/1113) De nieuwe regelgeving is op 30 december 2024 van kracht geworden en vereist dat aanbieders van cryptodiensten volledige gegevens van de opdrachtgever en begunstigde bij elke overdracht vermelden, ongeacht het bedrag. Aanbieders van virtuele activa (VASP's) die actief zijn in de EU of transacties uitvoeren met EU-tegenpartijen, hadden hun workflows vóór eind 2024 moeten bijwerken. Aanbieders die nog steeds drempelwaarden hanteren voor transacties binnen de EU voldoen al niet meer aan de regelgeving.

De VS passen de Travel Rule toe via de Bank Secrecy Act, met FinCEN De drempel voor bedrijven die virtuele activa verwerken, is vastgesteld op 3,000 dollar. In de EU gelden de MiCA-nalevingsverplichtingen en de Travel Rule-vereisten nu parallel voor gelicentieerde aanbieders van crypto-activa.

Wat is er veranderd met de herziening van de FATF in juni 2025?

De Herziening van aanbeveling 16 in juni 2025 Dit is de meest ingrijpende update sinds de regel in 2019 werd uitgebreid naar virtuele activa. Drie veranderingen springen eruit.

Fraudepreventie is nu een expliciet doel.

De vorige Aanbeveling 16 richtte zich op witwassen en terrorismefinanciering. De versie van 2025 voegt fraudepreventie en financiering van proliferatie toe aan de genoemde doelen. VASP's kunnen de Travel Rule niet langer puur als een AML-mechanismeEn het delen van gegevens tussen tegenpartijen moet nu rechtstreeks worden beoordeeld op het risico op fraude.

Bevestiging van de begunstigde is nu verplicht.

De herziene norm vereist dat VASP's controleren of de door de aanvrager verstrekte begunstigdeninformatie overeenkomt met de gegevens die de ontvangende instelling bezit. Dit is een actieve controle, geen passieve gegevensoverdracht. Systemen die gegevens simpelweg doorsturen zonder deze aan de ontvangende kant te valideren, zullen opnieuw ontworpen moeten worden.

Er wordt verwacht dat de ISO 20022-conformiteit wordt bereikt.

De FATF heeft verduidelijkt dat de gegevens van de afzender en de begunstigde, waar mogelijk, zodanig gestructureerd moeten zijn dat ze voldoen aan de ISO 20022-berichtenstandaarden. VASP's die IVMS101 gebruiken, moeten controleren of hun berichtenindeling correct overeenkomt met de gegevensvelden van ISO 20022.

De herziene eisen treden eind 2030 op nationaal niveau in werking. De EU-richtlijn inzake totale brandstofrestricties (TFR) en de bestaande nationale kaders leggen reeds strengere voorwaarden op, waardoor de datum van 2030 fungeert als een wereldwijde ondergrens, niet als een bovengrens.

Hoe kunnen VASP's de reisregel in de praktijk implementeren?

De naleving van de reisregelgeving komt voor de meeste VASP's neer op vijf operationele vereisten.

1. VASP-identificatie

Controleer vóór het overmaken van virtuele activa of de ontvangende instelling een geregistreerde of gelicentieerde VASP (Virtual Asset Service Provider) is in haar thuisland. Slechts 33% van de onderzochte rechtsgebieden vereist een VASP-licentie, wat betekent dat lijsten met wettelijke bepalingen alleen niet voldoende zijn. Het screenen van de tegenpartij aan de hand van sanctiedatabases en negatieve mediabronnen biedt een extra praktische zekerheid.

2. Gegevensverzameling tijdens de onboarding

De vereiste velden (volledige naam, walletadres, identificatiegegevens) moeten van klanten worden vastgelegd voordat zij transacties uitvoeren die de toepasselijke drempelwaarde bereiken of overschrijden. Het integreren van gegevensverzameling in het onboardingproces is veel efficiënter dan het achteraf als een controle tijdens de transactie in te voeren.

3. Veilige gegevensoverdracht

Gebruik IVMS101-conforme berichten om gegevens van de afzender en de begunstigde naar de ontvangende VASP te verzenden. Bewaar een kopie van elke verzending en stel deze op verzoek beschikbaar aan uw toezichthouder.

4. Sanctiescreening van tegenpartijen

Controleer de ontvangende VASP en diens klanten aan de hand van relevante sanctielijsten voordat een overdracht wordt voltooid. De screening van betalingen voor virtuele activa-overdrachten moet zowel de transactiepartijen als de tegenpartij zelf omvatten.

5. Bevestiging van cheques aan de begunstigde

VASP's die zich voorbereiden op de herziening van 2025, moeten een validatiestap inbouwen die de gegevens van de begunstigde vergelijkt met de gegevens van de ontvangende instelling voordat de overdracht wordt vrijgegeven. Dit is nu onderdeel van de FATF-standaard.

Herziening AML-naleving in 2025 Daarnaast is het de moeite waard om dit te doen, aangezien de twee raamwerken elkaar overlappen op het gebied van sanctiescreening, PEP-controles en transactiemonitoring.