Klant identificatie programma

Financiële instellingen die actief zijn in de Verenigde Staten zijn wettelijk verplicht de identiteit te verifiëren van hun klanten die toegang willen tot financiële producten of diensten. Klantidentificatieprogramma's (CIP's), geïntroduceerd als onderdeel van Sectie 326 van de Patriot Act, zijn verplicht en hebben tot doel de verdediging van het Amerikaanse financiële systeem tegen terrorismefinanciering en andere financiële misdrijven te versterken. CIP's zijn niet beperkt tot traditionele banken; ze worden ook toegepast op instellingen zoals kredietunies, effectenbedrijven, geldwisselkantoren, fintechplatforms en, meer recentelijk, cryptobeursen en aanbieders van digitale portemonnees. 

CIP fungeert als een eerste verdedigingslinie in de due diligence-inspanningen van een financiële instelling en zorgt ervoor dat entiteiten die het financiële ecosysteem betreden, correct worden geïdentificeerd, gescreend en gecontroleerd. Door de basis te vormen voor meer geavanceerde processen, wordt CIP geïmplementeerd. KYC Procedures zoals klantonderzoek (Customer Due Diligence, CDD) en uitgebreid klantonderzoek (Enhanced Due Diligence, EDD) zijn essentieel voor het waarborgen van transparantie in financiële transacties, het tegengaan van identiteitsfraude en het voorkomen van financiële misdrijven zoals witwassen en terrorismefinanciering.

Wat is een klantidentificatieprogramma?

Een klantidentificatieprogramma is een geformaliseerde, gestandaardiseerde aanpak voor identiteitsverificatie tijdens het onboardingproces voor personen of entiteiten die zaken willen doen met financiële instellingen. Deze programma's zijn ingesteld onder de Bank Secrecy Act (BSA) en worden gehandhaafd door het Financial Crimes Enforcement Network (FinCEN). Instellingen zijn verplicht om persoonsgegevens (naam en geboortedatum) en andere essentiële gegevens (adressen en overheidsidentificatienummers) te verzamelen, te verifiëren en te bewaren. Deze informatie wordt vervolgens gevalideerd aan de hand van documenten of niet-documentaire methoden (paspoorten/rijbewijzen of databasecontroles/kredietrapporten).

CIP's hanteren geen uniforme verificatiemethode, maar kiezen in plaats daarvan voor een risicogebaseerde aanpak die rekening houdt met het type rekening, de betrokken transacties en het algehele risicoprofiel van de klant. Met behulp van machine learning, AI en realtime datavalidatie kunnen CIP's met een laag risico eenvoudig worden geautomatiseerd, zodat compliance-medewerkers zich meer kunnen richten op zaken met een hoger risico. 

Waarom is CIP belangrijk?

Hoewel CIP in 2003 werd ingevoerd om specifiek de financiering van terrorisme te bestrijden, reikt het belang ervan verder dan de oorsprong en vormt het nu de basis voor een breed scala aan strategieën ter voorkoming van financiële criminaliteit. 

Concreet gaat het om CIP:

• Spoort financiële misdrijven op en voorkomt ze. Voordat ze zich überhaupt voordoen, wordt anonieme toegang tot het financiële systeem geblokkeerd. Dit is een essentiële tactiek die wordt gebruikt bij witwaspraktijken, fraude en het ontduiken van sancties.
• Creëert een basislijn voor risicoprofilering en continue monitoring. zodat instellingen potentiële accountovernames kunnen identificeren en diepgaandere controles kunnen uitvoeren op klanten met een hoog risico op basis van significante veranderingen in hun activiteiten.
• Stelt instellingen in staat een verdedigbare positie op te bouwen. In het geval van een juridisch onderzoek kunnen zij aantonen dat zij de juiste stappen hebben genomen om hun klanten te screenen.
• Helpt financiële dienstverleners zich aan te passen In het nieuwe en steeds veranderende digitale financiële landschap is het nog nooit zo eenvoudig geweest om wereldwijd activa te verplaatsen, wat echter gepaard gaat met tal van potentiële risico's.
• Versterkt de wereldwijde samenwerking en de financiële stabiliteit. door te werken aan de harmonisatie van AML/CTF-normen in verschillende rechtsgebieden, zodat kwaadwillenden beperkter worden in waar ze actief kunnen zijn.

Naarmate financiële producten toegankelijker, sneller en complexer worden, is een goed ontworpen CIP de eerste en meest cruciale beschermingslaag.

CIP-vereisten

Voor nieuwe particuliere klanten

Bij het onboarden van nieuwe klanten moeten financiële instellingen een basisset aan identiteitskenmerken verzamelen om een ​​minimaal klantprofiel op te stellen, waaronder:

• Volledige wettelijke naam
• Geboortedatum
• Woon- of bedrijfsadres
• Identificatienummer (bijvoorbeeld een burgerservicenummer (BSN), een individueel belastingnummer (ITIN) of een buitenlands paspoortnummer voor niet-Amerikaanse personen)

Instellingen moeten vervolgens de juistheid en legitimiteit van deze informatie verifiëren, wat kan gebeuren door middel van:

• Een door de overheid uitgegeven identiteitsbewijs met foto (bijv. paspoort, rijbewijs, militaire identiteitskaart)
• Adresbewijs (bijv. huurcontract, energierekening)
• Elektronische databases (bijv. kredietbureaus, openbare registers)

In een digitale onboardingomgeving kunnen instellingen ook gebruikmaken van biometrische verificatie, geolocatie- en IP-analyse en apparaatvingerafdrukken. Deze maatregelen zijn vooral belangrijk bij het op afstand en snel aanmaken van accounts, waar geen persoonlijk contact mogelijk is.

Voor nieuwe zakelijke klanten

Het onboarden van zakelijke klanten vereist een diepgaander en complexer verificatieproces, met als doel de legitimiteit van de entiteit te bevestigen en te achterhalen wie uiteindelijk de eigenaar of beheerder ervan is. Belangrijke informatie omvat:

• De officiële bedrijfsnaam
• Hoofdvestigingsadres en operationele locatie
• Oprichtingsdatum en rechtsgebied
• Werkgeversidentificatienummer (EIN) of een equivalent daarvan
• Gegevens over de uiteindelijke begunstigde (UBO)—waarbij doorgaans elke persoon wordt geïdentificeerd die 25% of meer van de entiteit bezit, of die anderszins aanzienlijke zeggenschap uitoefent.

De verificatiemethoden voor CIP omvatten doorgaans:

• Een oprichtingsakte of andere documenten ter verificatie van het bestaan ​​en de goede werking van het bedrijf.
• Bedrijfsvergunningen of wettelijke registraties, ter bevestiging dat het bedrijf bevoegd is om te opereren.
• Een door de IRS afgegeven EIN-bevestigingsbrief, die de fiscale identiteit van het bedrijf bevestigt.
• De statuten of beheersovereenkomst van een onderneming, ter verduidelijking van de eigendomsstructuur en de beslissingsbevoegdheid.

Instellingen vragen vaak om periodieke updates, met name bij wijzigingen in de bedrijfsstructuur, het eigenaarschap of de bedrijfsvoering.

Het is belangrijk dat instellingen interne CIP-richtlijnen opstellen waarin wordt vastgelegd welke documenten of bronnen acceptabel zijn, hoe met uitzonderingen wordt omgegaan en welke aanvullende verificatiestappen indien nodig kunnen worden toegevoegd, aangezien elke klant anders is en sommige een groter risico vormen dan andere.

Belangrijkste onderdelen van een effectief CIP

1. Risicogebaseerde beoordeling 

Het is van cruciaal belang om risicogebaseerde methoden te gebruiken om identiteitsverificatie af te stemmen op de specifieke risico's van elke klant, zodat deze zo efficiënt en effectief mogelijk verloopt. 

Belangrijke risicofactoren zijn onder meer:

• Klanttype: Of de klant nu een particulier, een klein bedrijf, een grote onderneming, een trust of een buitenlandse entiteit is – elk type klant brengt zijn eigen risico's met zich mee.
• Aard en volume van de transacties: Transacties met een hoge waarde, frequente transacties of grensoverschrijdende transacties vereisen doorgaans strengere verificatie-eisen.
• Geografisch risico: Klanten afkomstig uit rechtsgebieden die door de FATF als hoogrisicogebieden zijn aangemerkt, vereisen extra controle.
• Onboardingkanaal: Verificaties die online plaatsvinden, met name die zonder persoonlijk contact, vereisen strengere digitale verificatiemaatregelen.

De CIP-regels moeten de risicodrempels duidelijk definiëren, aangeven wanneer EDD (Enhanced Due Diligence) wordt geactiveerd en gelaagde procedures vaststellen voor het omgaan met verschillende niveaus van klantrisico.

2. Verificatiemethoden

Het verificatieproces moet flexibel en gelaagd zijn, zodat instellingen zo nauwkeurig mogelijk kunnen inspelen op de context van de klant. 

Methoden voor documentverificatie omvatten:

• Fysiek, door de overheid uitgegeven identiteitsbewijs met foto
• Bedrijfsoprichtingscertificaten
• Regelgevende vergunningen voor professionele entiteiten 

Niet-documentaire verificatiemethoden omvatten:

• Elektronische identiteitsdatabases (bijv. kredietbureaus, openbare registers)
• Biometrische authenticatie (bijv. gezichtsherkenning, stemafdrukken, vingerafdrukken)
• Apparaatintelligentie en IP-analyse 
• E-mail- of telefoonnummerverificatie

Er is een groeiende trend om AI en machine learning te gebruiken om verificatiestappen dynamisch en in realtime aan te passen op basis van risicosignalen tijdens het onboardingproces.

3. Continue monitoring en uitgebreid due diligence-onderzoek (EDD)

CIP is geen eenmalige gebeurtenis en het is cruciaal om periodieke herverificatie in te voeren voor klanten die een verhoogd risico vormen. 

Een uitgebreid due diligence-onderzoek kan het volgende omvatten:

• Sanctie- en observatielijstcontroles, inclusief controles aan de hand van VN-, OFAC- en PEP-databases.
• Negatieve media-analyse om reputatie- of juridische risico's aan het licht te brengen.
• Realtime transactiemonitoring om ongebruikelijke patronen te identificeren die niet overeenkomen met het bekende klantgedrag.
• Herbevestiging van de UBO, met name na fusies, overnames of eigendomswijzigingen.

4. Registratie en bewaring van gegevens

Instellingen moeten kunnen aantonen dat ze voldoen aan de regelgeving en, indien gevraagd, meewerken aan onderzoeken.

Regelgeving vereist doorgaans:

• Identificatiegegevens en verificatiegegevens moeten ten minste vijf jaar na opening van de rekening worden bewaard.
• Transactiegegevens worden vijf jaar na sluiting van de rekening bewaard.

Instellingen moeten ervoor zorgen dat de documenten:

• Veilig opgeslagen en beschikbaar voor audits of wettelijke controles.
• Georganiseerd en doorzoekbaar
• Geschikt voor het vastleggen van auditsporen met tijdstempels, inclusief aantekeningen over risicobeoordelingen, verificatieresultaten en nalevingsbeslissingen.

Bedrijven die een gedegen administratie voeren, kunnen zich beter beschermen tegen fraude en juridische aansprakelijkheid.

5. Interne controles en audits

Hoewel het opzetten van klantidentificatieprocedures belangrijk is, helpen interne governance en robuuste interne controles om een ​​consistente implementatie te waarborgen, afwijkingen van procedures te signaleren en snel te reageren op wijzigingen in de regelgeving.

De belangrijkste besturingsmechanismen omvatten:

• Het aanstellen van een aangewezen compliance officer om het CIP-raamwerk te beheren en de afstemming van het AML/CTF-beleid te waarborgen.
• Het opstellen van schriftelijke beleidsregels en procedures die regelmatig worden bijgewerkt en verspreid onder de relevante medewerkers.
• Trainingsprogramma's om consistentie te waarborgen en het bewustzijn van regelgeving te vergroten.
• Doorlopende controle-evaluaties om de effectiviteit van verificatietools, datakwaliteit en procesprestaties te waarborgen.
• Gap-analyse om tekortkomingen in de nalevingsgereedheid te identificeren en aan te pakken.

Goed bestuur verkleint tegelijkertijd het risico op overtredingen van de regelgeving en toont proactief risicomanagement aan (een belangrijke overweging voor investeerders, klanten en toezichthouders).

Recente ontwikkelingen

Crypto en fintech-integratie

Het regelgevingslandschap wordt nu krapper voor digitale vermogensbeheerders, met name in de crypto-industrie waarbij nieuwe maatregelen tot doel hebben blinde vlekken in cryptotransacties te elimineren door voorheen niet-gereguleerde spelers onder formele nalevingsmaatregelen te brengen. Wanneer deze maatregelen volledig zijn geïmplementeerd, zullen aanbieders van virtuele activa (VASP's) robuuste CIP-procedures moeten implementeren die vergelijkbaar zijn met die van traditionele financiële instellingen, zoals de Markets in Crypto Assets Regulations (MiCA) in de EU.

Uitbreiding van de FATF-reisregel

Om te voldoen aan de bijgewerkte richtlijnen van de FATF, hanteert de VS nu strengere eisen met betrekking tot de Travel Rule. Deze regel vereist dat VASP's informatie over de afzender en ontvanger uitwisselen bij overboekingen van meer dan $ 1,000. Door de aangescherpte handhaving moeten CIP-gegevens nu dynamisch worden verzameld en gevalideerd op het moment van de overboeking, evenals bij het aanmaken van een account. Dit verhoogt de lat voor realtime compliance bij peer-to-peer- en platformoverschrijdende overboekingen.

Richtlijnen voor digitale identiteit 

Federale instanties promoten steeds vaker digitale identificatiekaders die de nadruk leggen op risicogebaseerde digitale identiteitsverificatie en continue authenticatiemechanismen om de effectiviteit van CIP (Customer Identification Program) voor onboarding op afstand te verbeteren. Bedrijven worden aangemoedigd om door de federale overheid erkende aanbieders van digitale identiteit, biometrische verificatoren en gedecentraliseerde ID-modellen te integreren om de klantacquisitie te stroomlijnen en tegelijkertijd de beveiliging en naleving van regelgeving te waarborgen.

Verbeterde regels voor uiteindelijke begunstigden

 De Corporate Transparency Act (CTA) vereist nu dat de meeste vennootschappen, LLC's en vergelijkbare entiteiten hun informatie over de uiteindelijke begunstigden (beneficial ownership information, BOI) rapporteren aan FinCEN. Het integreren van BOI-gegevens in het CIP-proces en het vergelijken van de rapporten met interne gegevens draagt ​​bij aan een beter institutioneel toezicht op lege vennootschappen en onduidelijke eigendomsstructuren, met name in risicovolle sectoren of regio's.

Conclusie

Naarmate financiële systemen zich blijven ontwikkelen, blijft het Customer Identity Program (CIP) een fundamenteel onderdeel van de naleving van regelgeving en het institutioneel risicomanagement. Met de nadruk op accurate identiteitsverificatie, risicogebaseerde besluitvorming en continu toezicht voldoet CIP niet alleen aan wettelijke verplichtingen, maar versterkt het ook het bredere financiële landschap. Het fungeert als een eerstelijnscontrole die instellingen in staat stelt ongeautoriseerde toegang te voorkomen, de blootstelling aan financiële criminaliteit te verminderen en het vertrouwen van toezichthouders en belanghebbenden te behouden. 

CIP is nu meer dan alleen een wettelijke verplichting; het is een strategische troef. Bedrijven die dynamische, op intelligentie gebaseerde frameworks implementeren, zullen beter gepositioneerd zijn om te floreren in een omgeving die wordt gekenmerkt door innovatie, streng toezicht van regelgevende instanties en toenemende wereldwijde onderlinge verbondenheid.