Wat is KYC-compliance? Vereisten, regelgeving en updates.

Overzicht: KYC-naleving is een wettelijke vereiste voor banken, fintechbedrijven, cryptoplatformen en andere gereguleerde bedrijven op grond van de FATF-aanbevelingen en de nationale AML-wetgeving. De belangrijkste nalevingsverplichtingen zijn het klantidentificatieprogramma (CIP), klantonderzoek (CDD), KYC-screening op basis van sancties en PEP-lijsten, en continue monitoring. Het niet naleven van de regels heeft ernstige gevolgen: de wereldwijde boetes voor witwasovertredingen bereikten alleen al in het tweede kwartaal van 2025 $2.91 miljard, een stijging van 193% ten opzichte van het voorgaande kwartaal. De updates voor 2026 omvatten de lancering van de EU AMLA, nieuwe regels voor cryptotransacties en herziene FATF-normen inzake uiteindelijke begunstigden en financiële inclusie.

Wat is KYC?

Know your Customer (KYC) KYC verwijst naar het identiteitsverificatieproces dat bedrijven gebruiken voordat ze een relatie met hun klanten aangaan. Oorspronkelijk ingevoerd in de financiële sector, zijn KYC-wetten inmiddels uitgebreid naar niet-financiële bedrijven. Afhankelijk van de sector wordt het ook wel aangeduid als Know Your Client (KYC), Know Your Patient (KYP), Know Your Business (KYB) of Know Your Transaction.

Wat houdt KYC-naleving in?

KYC-compliance is een wettelijke vereiste voor zowel financiële als niet-financiële organisaties. Dit proces omvat het verifiëren van de identiteit van een klant, het beoordelen van hun financiële activiteiten en het bepalen van het bijbehorende risiconiveau. Deze entiteiten moeten klantidentificatieprocessen implementeren en hun klanten regelmatig verifiëren, in overeenstemming met de wettelijke richtlijnen. Know Your Customer-vereisten helpen bedrijven boetes te voorkomen, fraude te bestrijden en financiële misdrijven zoals witwassen en terrorismefinanciering tegen te gaan.

Wie moet voldoen aan de KYC-regelgeving?

KYC-naleving is van toepassing op een breed scala aan bedrijven in diverse sectoren. Veelvoorkomende entiteiten die hieraan moeten voldoen zijn onder andere:

• Financiële instellingen: banken, verzekeringsmaatschappijen, effectenmakelaars en hypotheekverstrekkers
• Fintech en crypto: Cryptocurrencybeurzen, digitale portemonnees, betaalplatformen en online kredietverstrekkers. Na een gezamenlijke verklaring van FinCEN, CFTC en de SEC in 2019 worden cryptoplatformen geclassificeerd als bedrijven die financiële diensten aanbieden en zijn ze volledig onderworpen aan de KYC-regelgeving.
• Onroerend goed: makelaarskantoren en vastgoedbeheerbedrijven
• Gezondheidszorg: ziekenhuizen, apotheken en online zorgverleners
• Gamen en gokken: e-gamingplatforms, online casino's en loterijbedrijven
• Juridische en professionele diensten: advocatenkantoren en accountantskantoren
• Edelmetalen en kunsthandelaren: galerieën, juweliers en antiquairs

Klantidentiteitsverificatie wordt ook steeds vaker toegepast door niet-gereguleerde bedrijven zoals e-commerce marktplaatsen en gig economie platformen waar fraude en misbruik van accounts aanzienlijke financiële en reputatierisico's met zich meebrengen.

KYC-vereisten

KYC-vereisten specificeren welke informatie gereguleerde bedrijven moeten verzamelen, verifiëren en bewaren. Standaard KYC-vereisten omvatten:

• Het verzamelen van de volledige naam, geboortedatum en het adres van een klant tijdens het onboardingproces.
• Identiteitsverificatie met behulp van door de overheid uitgegeven documenten zoals een paspoort, rijbewijs of nationale identiteitskaart.
• KYC-screening tegen wereldwijde sanctielijsten (OFAC(VN, EU, HMT) en PEP-databases om een ​​verhoogd risico te identificeren
• Het risiconiveau van de klant inschatten en de juiste mate van zorgvuldigheid betrachten.
• Het bewaren van klantgegevens gedurende de minimale periode die vereist is door de betreffende wetgeving, doorgaans vijf tot zeven jaar.
• Het melden van verdachte transacties aan de betreffende financiële inlichtingendienst.

De KYC-vereisten variëren per rechtsgebied en sector. In de Verenigde Staten stelt de Bank Secrecy Act de minimumeisen vast voor financiële instellingen. In de EU leggen opeenvolgende antiwitwasrichtlijnen eisen op aan alle lidstaten. In Australië handhaaft AUSTRAC de vereisten op grond van de AML/CTF Act.

KYC-naleving in de banksector

Banken hebben te maken met de strengste KYC-verplichtingen van alle sectoren, omdat ze een centrale rol spelen in het financiële systeem. De KYC-vereisten voor banken gaan verder dan identiteitsverificatie bij het openen van een rekening en omvatten onder meer:

• Inzicht in de aard en het doel van elke klantrelatie.
• Het beoordelen van het risico op witwassen en terrorismefinanciering voor elke klant.
• Het uitvoeren van een uitgebreid due diligence-onderzoek bij klanten met een hoog risico, waaronder politiek prominente personen en klanten uit risicovolle rechtsgebieden
• Continue monitoring van transacties om verdachte activiteitspatronen te detecteren.
• Het indienen van meldingen van verdachte activiteiten (Suspicious Activity Reports, SARs) bij de bevoegde autoriteit wanneer verdacht gedrag wordt geconstateerd.
• Het actueel houden van klantgegevens en deze op verzoek toegankelijk maken voor toezichthouders.

In de Verenigde Staten vereist de Bank Secrecy Act dat banken klanten verifiëren en verdachte activiteiten melden aan het Financial Crimes Enforcement Network (FinCEN). In de EU moeten banken voldoen aan opeenvolgende anti-witwasrichtlijnen die betrekking hebben op klantonderzoek en openbaarmaking van uiteindelijke begunstigden.

Wereldwijde KYC-regelgeving en updates voor 2026

Hieronder vindt u de belangrijkste KYC-regelgevingskaders die wereldwijd van kracht zijn, met hun huidige status in 2026:

• FATF-aanbevelingen: De 40 aanbevelingen stellen internationale normen vast voor de bestrijding van witwassen en terrorismefinanciering in 38 lidstaten. In februari 2025 heeft de FATF de aanbevelingen 1, 10 en 15 bijgewerkt om de KYC-vereisten beter in balans te brengen met de doelstellingen van financiële inclusie.
• Verenigde Staten BSA en AML-wet van 2020: Dit vereist KYC-programma's, melding van verdachte activiteiten aan FinCEN en rapportage van uiteindelijke begunstigden onder de Corporate Transparency Act. De wet van 2020 introduceerde strengere eisen voor uiteindelijke begunstigden en breidde de handhavingsbevoegdheden van FinCEN uit.
• EU-richtlijnen inzake witwasbestrijding en de AMLA: De Europese Autoriteit voor de bestrijding van het witwassen van geld (AMLA), die medio 2025 in Frankfurt van start ging, centraliseert het toezicht op risicovolle financiële instellingen in de lidstaten en harmoniseert de vereisten voor openbaarmaking van uiteindelijke begunstigden. De bijgewerkte regelgeving inzake de overdracht van fondsen is nu van toepassing op alle overdrachten van cryptoactiva, ongeacht de waarde.
• De PCMLTFA van Canada: Onder toezicht van FINTRAC zijn KYC-programma's, meldingen van verdachte transacties en gegevens die minimaal vijf jaar worden bewaard vereist.
• De Australische wet tegen witwassen en terrorismefinanciering (AML/CTF Act): De door AUSTRAC ingevoerde regelgeving vereist dat gegevens minimaal zeven jaar worden bewaard.

KYC-naleving voor cryptovaluta

Cryptocurrencybeurzen en aanbieders van digitale activa-diensten zijn in de meeste rechtsgebieden volledig onderworpen aan KYC-regelgeving. In de Verenigde Staten hebben FinCEN, CFTC en de SEC in een gezamenlijke verklaring uit 2019 cryptoplatformen geclassificeerd als bedrijven die financiële diensten verlenen, waardoor ze volledig onder de Bank Secrecy Act vallen.

In de EU vereisen de bijgewerkte regelgevingen inzake de overdracht van fondsen dat aanbieders van cryptodiensten (CASP's) voldoen aan de KYC-vereisten voor alle overdrachten, waarmee een eerdere vrijstelling voor een bepaalde drempel is komen te vervallen. CASP's moeten zich ook registreren bij de nationale bevoegde autoriteiten en verscherpte due diligence-procedures toepassen voor transacties met een hoge waarde of een hoog risico.

Kernelementen van KYC

Er zijn drie belangrijke onderdelen van KYC die een solide basis vormen voor bescherming tegen diverse vormen van fraude en gevaarlijke transacties.

1. Klantidentificatieprogramma (CIP)

Klantidentificatieprogramma (CIP) Dit houdt in dat de meest basale identificatiegegevens van een klant worden verzameld, zoals volledige naam, geboortedatum en adres. Een belangrijk onderdeel van CIP is het verzamelen van officiële identificatiedocumenten (bijvoorbeeld paspoort, rijbewijs, nationale identiteitskaart), die per regio sterk kunnen verschillen. Deze documenten moeten op echtheid worden gecontroleerd met behulp van betrouwbare technologische oplossingen om onderscheid te maken tussen officiële en vervalste documenten.

2. Klantonderzoek (Customer Due Diligence - CDD)

Er zijn drie soorten cliëntenonderzoek Dit wordt gedaan afhankelijk van het risiconiveau dat aan de klant is verbonden.

• Vereenvoudigde Due Diligence (SDD) Dit geldt voor klanten met een laag risico op witwassen of terrorismefinanciering, waardoor de vereiste verificatie minimaal is. 
• Reguliere due diligence (RDD) Dit is de standaardaanpak voor nieuwe klanten met een normaal of onbekend risiconiveau. Deze aanpak omvat het begrijpen van het doel van de relatie en het controleren aan de hand van sanctielijsten en lijsten met politiek prominente personen (PEP's). 
• Verbeterde due diligence (EDD) EDD wordt gebruikt voor klanten die als hoog risico worden beschouwd, zoals klanten die zaken hebben gedaan in risicovolle rechtsgebieden, politiek prominente personen (PEP's) zijn of betrokken zijn geweest bij een grote of ongebruikelijke transactie. EDD omvat doorgaans een nader onderzoek van de zakelijke geschiedenis van de klant, een gedetailleerdere analyse van hun transacties en een beoordeling van hun vermogensbron.

3. Doorlopende monitoring

Zodra klanten zijn aangemeld, zijn instellingen verplicht om bepaalde taken uit te voeren. voortdurende monitoring hun transacties en activiteiten om verdacht gedrag te identificeren en te signaleren. Wanneer nieuwe risico's zich voordoen, moet het risiconiveau van de klant opnieuw en nauwkeuriger worden beoordeeld. 

Wanneer moet KYC worden uitgevoerd?

KYC-naleving is een doorlopende verplichting, geen eenmalige controle bij de onboarding. Gereguleerde bedrijven moeten KYC-procedures uitvoeren op de volgende momenten:

• Bij het openen van een rekening of voordat er een klantrelatie wordt aangegaan.
• Wanneer een klant een transactie uitvoert die boven de toepasselijke rapportagedrempel ligt
• Wanneer het bedrijf reden heeft om te twijfelen aan de juistheid van bestaande klantgegevens
• Wanneer transactiepatronen significant veranderen of er een vermoeden van financiële criminaliteit ontstaat.
• Met regelmatige tussenpozen als onderdeel van een periodieke evaluatie, gebaseerd op de risicoclassificatie van de klant.
• Wanneer de omstandigheden van een klant wezenlijk veranderen, zoals een wijziging in de uiteindelijke begunstigdenstructuur voor zakelijke klanten.

Boetes voor niet-naleving van de KYC-regels

De financiële en wettelijke gevolgen van het niet naleven van de KYC-regels zijn ernstig en nemen wereldwijd toe in frequentie en omvang. Recente voorbeelden van handhaving:

• Januari 2026: De Deense financiële toezichthouder heeft Saxo Bank een boete van 313 miljoen Deense kronen (ongeveer 49 miljoen Amerikaanse dollar) opgelegd wegens overtredingen van de Deense wet tegen witwassen. Er werd geen daadwerkelijk witwassen vastgesteld; de boete werd uitsluitend opgelegd vanwege structurele tekortkomingen in de interne controle.
• 2025: Duitsland BaFin JP Morgan SE kreeg een recordboete van €45 miljoen ($53 miljoen) opgelegd voor systematische vertragingen bij het indienen van meldingen van verdachte transacties.
• Juli 2025: Singapore's MAS Er werden boetes opgelegd van in totaal S$ 27.45 miljoen (ongeveer USD 21.64 miljoen) aan negen financiële instellingen wegens overtredingen van de AML/CFT-wetgeving, waaronder ontoereikende klantonderzoeksprocedures en het niet onderzoeken van waarschuwingssignalen.
• Q2 2025: Volgens Corlytics bedroegen de wereldwijde financiële boetes voor witwaspraktijken $2.91 miljard, een stijging van 193% ten opzichte van het vorige kwartaal.

Naast boetes kan niet-naleving leiden tot herstelmaatregelen, bedrijfsbeperkingen, intrekking van de exploitatievergunning, strafrechtelijke onderzoeken en blijvende reputatieschade bij bankpartners en investeerders.

Uitdagingen op het gebied van KYC-naleving

Complexe wereldwijde regelgeving

Internationaal opererende bedrijven worden geconfronteerd met een gefragmenteerd regelgevingslandschap waarin de KYC-compliancevereisten verschillen per land, branche en klanttype. Het actueel houden van de kennis over de vereisten in alle operationele markten en het bijwerken van complianceprogramma's wanneer de regelgeving verandert, vertegenwoordigt een aanzienlijke, doorlopende operationele investering.

Hoge operationele kosten

Handmatige KYC-complianceprocessen zijn arbeidsintensief, met name de uitgebreide due diligence-controles. De kosten lopen op naarmate bedrijven uitbreiden naar nieuwe markten met uiteenlopende eisen. Geautomatiseerde KYC-oplossingen verlagen de kosten per verificatie aanzienlijk, terwijl de compliance-normen gehandhaafd blijven.

Privacy en gegevensbescherming

KYC-complianceprogramma's verzamelen aanzienlijke hoeveelheden persoonsgegevens, waardoor bedrijven onder de reikwijdte van de wetgeving inzake gegevensbescherming vallen, waaronder GDPR in Europa en de California Consumer Privacy Act (CCPA) In de Verenigde Staten moeten KYC-aanbieders aantonen dat ze gegevens minimaliseren, rechtmatige verwerkingsgrondslagen hanteren en verwijderingsverzoeken kunnen afhandelen zonder de wettelijke verplichtingen inzake gegevensbewaring in gevaar te brengen.

Hoe Shufti KYC-naleving ondersteunt

Shufti's KYC-oplossing Het systeem omvat identiteitsverificatie, KYC-screening op basis van wereldwijde sancties en PEP-lijsten, en continue monitoring in meer dan 240 landen vanuit één eigen technologieplatform. Het omvat AI-gestuurde documentverificatie en passieve levendigheidsdetectie, gecertificeerd volgens de geldende normen. iBeta Niveau 3 (ISO/IEC 30107-3) met een foutpercentage van 0%, en monitoring van negatieve media, allemaal toegankelijk via één enkele API.

Voor bedrijven die de KYC-compliance willen automatiseren zonder extra integratiekosten, biedt Shufti de oplossing. identiteit verificatieKYC-screening en continue monitoring in een uniforme workflow, zonder afhankelijkheid van externe dataleveranciers.

Veelgestelde vragen:

Wat houdt KYC-naleving in?

KYC-naleving is een wettelijke verplichting voor bedrijven om de identiteit van klanten te verifiëren, KYC-screening uit te voeren aan de hand van sanctie- en PEP-lijsten, risico's te beoordelen en lopende activiteiten te monitoren conform de FATF-aanbevelingen en de nationale AML-wetgeving. Niet-naleving kan leiden tot aanzienlijke financiële boetes en schorsing van de vergunning.

Wat zijn de KYC-vereisten?

KYC-vereisten omvatten het verzamelen en verifiëren van de identiteit van een klant aan de hand van door de overheid uitgegeven documenten, het uitvoeren van een KYC-screening op basis van wereldwijde sanctie- en PEP-lijsten, het toekennen van een risicoclassificatie, het toepassen van de juiste mate van zorgvuldigheid en het bewaren van gegevens gedurende de minimale periode die vereist is door de betreffende jurisdictie.

Wat is KYC-screening?

KYC-screening is het proces waarbij de identiteitsgegevens van een klant worden gecontroleerd aan de hand van sanctielijsten, databases met politiek prominente personen (PEP's) en negatieve mediabronnen. Het is een verplichte stap in het klantonderzoek voor alle gereguleerde bedrijven.

Wanneer moet KYC worden uitgevoerd?

KYC moet worden uitgevoerd bij het openen van een rekening, vóór belangrijke transacties, wanneer bestaande klantgegevens wijzigen of onduidelijk zijn, en met regelmatige tussenpozen op basis van de risicoclassificatie van de klant. Het is een doorlopende nalevingsverplichting, geen eenmalige controle.

Wat zijn de sancties voor het niet naleven van de KYC-regels?

De sancties omvatten boetes van miljoenen dollars, herstelmaatregelen, bedrijfsbeperkingen en intrekking van de exploitatievergunning. In het tweede kwartaal van 2025 bereikten de wereldwijde financiële boetes voor witwaspraktijken $ 2.91 miljard, een stijging van 193% ten opzichte van het voorgaande kwartaal. Recente voorbeelden zijn een boete van 313 miljoen Deense kronen voor Saxo Bank en een boete van € 45 miljoen voor JP Morgan SE.

Is KYC-compliance verplicht voor cryptovaluta?

Ja. Cryptovalutabeurzen en aanbieders van digitale portemonnees worden in de meeste grote rechtsgebieden beschouwd als financiële dienstverleners en moeten voldoen aan alle KYC-regelgeving, waaronder identiteitsverificatie, KYC-screening en transactiemonitoring.

Wat is er veranderd in de KYC-regelgeving in 2025 en 2026?

Belangrijke updates voor 2025 en 2026 zijn onder meer: ​​de FATF heeft de aanbevelingen 1, 10 en 15 over uiteindelijke begunstigden en financiële inclusie herzien (februari 2025); de EU heeft de AMLA in Frankfurt gelanceerd om het toezicht op witwassen te centraliseren (medio 2025); de bijgewerkte EU-regelgeving inzake de overdracht van fondsen omvat nu alle overdrachten van cryptoactiva; en de Corporate Transparency Act in de VS heeft de rapportageverplichtingen voor uiteindelijke begunstigden uitgebreid.