Ken uw klant (KYC): Wereldwijd regelgevingslandschap en nalevingsnormen

Know your Customer (KYC) KYC is een due diligence-proces dat door bedrijven, met name in de bank-, fintech- en financiële dienstverleningssector, wordt geïmplementeerd om de identiteit van hun klanten te verifiëren, de legitimiteit van hun vermogen te beoordelen en hun algehele risicoprofiel te evalueren. Dit gebeurt door het verzamelen en valideren van belangrijke informatie, zoals identiteitsbewijzen, adresbewijs, financiële overzichten en soms de herkomst van hun vermogen. KYC gaat verder dan alleen het onboarden van klanten en omvat ook continue monitoring van financiële transacties en periodieke beoordeling van het klantrisico, zodat verdacht gedrag vroegtijdig kan worden gesignaleerd en passende maatregelen kunnen worden genomen.

KYC is de hoeksteen van de wereldwijde bestrijding van witwassen (AML) en terrorismebestrijding. 

Financieringsinspanningen (CTF) stellen bedrijven in staat om misbruik van hun platforms te voorkomen en te voldoen aan nationale en internationale regelgeving van organisaties zoals de Financial Action Task Force (FATF). Het niet implementeren van de juiste KYC-procedures kan instellingen kwetsbaar maken voor sancties van de toezichthouder, reputatieschade en een aanzienlijk verlies aan consumentenvertrouwen.

Hoewel het implementeren van KYC-conforme procedures complex en arbeidsintensief kan zijn, is het essentieel voor duurzame groei, zowel nationaal als internationaal. Goed geïmplementeerde KYC-praktijken kunnen fraude voorkomen en klantgegevens beschermen, wat leidt tot meer gepersonaliseerde diensten en sterkere zakelijke relaties. Naarmate de wereld digitaal steeds meer met elkaar verbonden raakt, worden innovaties zoals e-KYC, biometrische verificatie en AI-gestuurde risicoscoring steeds vaker ingezet om de naleving te stroomlijnen en de klantervaring te verbeteren. Hierdoor is KYC niet alleen een wettelijke vereiste, maar ook een concurrentievoordeel!

Regelgevingskader voor KYC

Het kader voor KYC-naleving wordt grotendeels bepaald door de Financial Action Task Force (FATF), een intergouvernementele organisatie die in 1989 is opgericht en wereldwijd AML- en CTF-normen vaststelt. Meer dan 200 landen hebben de 40 aanbevelingen van de FATF overgenomen, die in de loop der jaren voortdurend zijn bijgewerkt en op nationaal niveau verder zijn uitgewerkt.

De organisatie voert wederzijdse evaluaties uit om de lidstaten te beoordelen op zowel de technische naleving van hun AML/CTF-wetgeving als de effectiviteit van de implementatie ervan. Landen die niet slagen voor deze evaluaties kunnen op de grijze of zwarte lijst van de FATF worden geplaatst, waardoor hun toegang tot internationale financiële markten ernstig wordt beperkt. Op deze lijsten staan ​​kan een enorme impact hebben op het financiële welzijn van een regio, wat landen ertoe aanzet relevante wetgeving aan te nemen en te handhaven.

Hoewel sommige overkoepelende principes universeel zijn, zoals klantonderzoek (CDD), uitgebreid onderzoek (EDD) voor risicovolle klanten en continue monitoring, kunnen de specifieke regels per land aanzienlijk verschillen. Nationale regelgeving kan de FATF-richtlijnen interpreteren aan de hand van lokale risicobeoordelingen, de volwassenheid van de financiële sector en de handhavingscapaciteiten. De meeste rechtsgebieden hebben speciale toezichthoudende instanties die de naleving van KYC- en AML-regels handhaven en boetes kunnen opleggen of hervormingen kunnen afdwingen wanneer tekortkomingen worden geconstateerd.

Door de digitale aard van het moderne financiële systeem worden er internationaal nieuwe bepalingen ingevoerd rondom onboarding op afstand, digitale identiteitsverificatie en geautomatiseerde transactiemonitoring. In sommige delen van de wereld is het regelgevingsgebied ook uitgebreid naar niet-bancaire instellingen, zoals aanbieders van virtuele activa (VASP's), fintech-startups, cryptobeursen, vastgoedprofessionals en zelfs advocaten en accountants. Dit weerspiegelt een groeiend besef dat witwassen en fraude zich niet langer beperken tot traditionele financiële kanalen. 

Hieronder volgt een overzicht per rechtsgebied van de belangrijkste KYC-regelgevers, nationale handhavingstrends en spraakmakende nalevingsacties van de afgelopen jaren, waarbij wordt benadrukt hoe mondiale principes in lokale contexten worden toegepast.

De Verenigde Staten beschikken over een van de grootste en meest uitgebreide systemen voor KYC- en AML-naleving. Dit systeem is gebaseerd op de Bank Secrecy Act (BSA) van 1970, die in de loop der jaren aanzienlijk is geëvolueerd om de toenemende complexiteit van financiële misdrijven aan te pakken. Voorbeelden hiervan zijn de USA PATRIOT Act uit 2001 en de Anti-Money Laundering Act van 2020.

FinCEN (netwerk voor handhaving van financiële misdrijven)

FinCEN is een bureau van het Amerikaanse ministerie van Financiën dat de Bank Secrecy Act (BSA) handhaaft en toezicht houdt op de naleving van de KYC/AML-regelgeving voor bedrijven zoals banken, geldwisselkantoren, casino's, effectenbedrijven en een groeiend aantal fintech- en virtuele-activa-dienstverleners (VASP's). Het houdt ook toezicht op de indiening van meldingen van verdachte transacties (Suspicious Activity Reports, SAR's), de verplichtingen inzake klantonderzoek (Customer Due Diligence, CDD) en de transparantie van uiteindelijke begunstigden zoals vastgelegd in de Corporate Transparency Act van 2024.

OFAC (Bureau voor Controle van Buitenlandse Activa)

OFAC beheert en handhaaft Amerikaanse economische en handelssancties die zijn afgestemd op de nationale veiligheid en het buitenlands beleid, zoals bepaald door de president en vastgesteld door wetten van het Congres. Als onderdeel van de KYC-verplichtingen moeten instellingen hun cliënten screenen aan de hand van de lijst met Specially Designated Nationals (SDN) en de lijst met geblokkeerde personen van OFAC. 

Recente handhaving 

TD Bank (oktober 2024)

In een van de grootste AML-handhavingsacties van de afgelopen tijd heeft TD Bank schuld bekend aan overtredingen van de BSA (Bank Secrecy Act) en ingestemd met een boete van 3 miljard dollar. Dit was het gevolg van het feit dat TD er niet in was geslaagd om meer dan 670 miljoen dollar aan verdachte transacties, verspreid over meerdere jaren, adequaat te monitoren en te rapporteren. Dit wees op systematische tekortkomingen in de interne controles, transactiemonitoring en het indienen van verdachte transactierapporten (SAR's). Als onderdeel van de schikking moest TD Bank een onafhankelijke compliance-toezichthouder aanstellen om de AML-maatregelen gedurende een periode van drie jaar te controleren. 

Verenigd Koninkrijk

Sinds het verlaten van de Europese Unie heeft het Verenigd Koninkrijk zijn eigen AML- en CTF-mandaten gehandhaafd en uitgebreid, grotendeels in lijn met de Money Laundering Regulations van 2017, en waar nodig aangepast.

Financiële Gedragsautoriteit (FCA)

De FCA heeft ruime bevoegdheden om financiële dienstverleners te controleren en de AML/KYC-vereisten te handhaven. Ze beoordelen hoe deze bedrijven omgaan met risico's op financiële criminaliteit, waaronder hoe ze klantidentiteitscontroles uitvoeren, due diligence-controles verrichten en transacties monitoren. De FCA heeft ook de bevoegdheid om boetes op te leggen, bedrijfsactiviteiten te beperken of, in extreme gevallen, vergunningen in te trekken. 

Recente handhaving 

Equifax Limited (oktober 2023)

Equifax Limited heeft onlangs een boete van £11.16 miljoen gekregen van de Financial Conduct Authority (FCA) vanwege ernstige tekortkomingen in de afhandeling van een cyberaanval in 2017 die het Amerikaanse moederbedrijf trof en leidde tot de blootstelling van de persoonsgegevens van 14 miljoen Britse klanten. De FCA oordeelde dat Equifax UK onvoldoende toezicht had gehouden op de manier waarop het moederbedrijf omging met gevoelige persoonsgegevens en dat Equifax Limited, ondanks dat het proces in het buitenland plaatsvond, verantwoordelijk bleef onder de Britse regelgeving. De FCA wees op zwakke punten in het risicomanagement, de beveiligingsmaatregelen en de governanceprocedures van Equifax, factoren die direct hebben bijgedragen aan de impact van het datalek op Britse klanten.

Europese Unie (EU)

De Europese Unie heeft gekozen voor een progressieve, gelaagde aanpak in de strijd tegen financiële criminaliteit, waarbij de nadruk ligt op grensoverschrijdende consistentie in de manier waarop instellingen cliënten identificeren, risico's inschatten en verdachte activiteiten melden.  

AML-richtlijnen (AMLD's)

De antiwitwasrichtlijnen, die in 1991 zijn opgesteld, hebben elk tot doel de nalevingseisen in heel Europa te verfijnen en te versterken. De vierde antiwitwasrichtlijn (2015) stelde minimale KYC- en due diligence-vereisten vast voor banken, makelaars, accountants en andere financiële dienstverleners, terwijl de vijfde antiwitwasrichtlijn (2018) het toepassingsgebied uitbreidde naar cryptovalutaplatformen en uitgevers van prepaidkaarten. 

Recentelijk heeft de zesde AML-richtlijn (2021) de strafrechtelijke aansprakelijkheid voor witwasgerelateerde misdrijven uitgebreid tot rechtspersonen, wat betekent dat bedrijven zelf verantwoordelijk kunnen worden gehouden voor AML-schendingen begaan door hun werknemers.

Recente handhaving 

Euram Bank (oktober 2024)

In oktober 2024 heeft de Oostenrijkse financiële toezichthouder (FMA) de Europese Amerikaanse investeringsbank AG (Euram Bank) bevolen haar activiteiten per direct te staken vanwege gebrekkige anti-witwasmaatregelen. De FMA had Euram Bank eerder dat jaar al gewaarschuwd om te voldoen aan de anti-witwasrichtlijnen ter voorkoming van witwassen, maar de bank bleek deze problemen niet adequaat te hebben aangepakt.

China

China hanteert een duale regelgevingsstructuur voor het nationale financiële toezicht en de handhaving van de anti-witwaswetgeving, waarbij de verantwoordelijkheden verdeeld zijn tussen de centrale bank en een aangewezen financiële toezichthoudende autoriteit. De afgelopen jaren heeft China zich steeds meer gericht op het afstemmen van binnenlandse inspanningen op internationale standaarden, terwijl tegelijkertijd unieke binnenlandse uitdagingen zoals grootschalige contante transacties en illegale banknetwerken worden aangepakt.

Volksbank van China (PBC)

Volgens de antiwitwaswetgeving van de Volksrepubliek China is de Chinese centrale bank (PBC) verantwoordelijk voor het opstellen van AML-beleid, het vaststellen van wettelijke vereisten voor klantidentificatie en het onderzoeken van financiële instellingen die verdacht worden van het niet naleven van de wet. De PBC houdt ook toezicht op het China Anti-Money Laundering Monitoring and Analysis Center (CAMLMAC), dat net als andere financiële inlichtingendiensten transactiegegevens verzamelt en analyseert om verdacht gedrag in het financiële systeem op te sporen.

China Banken- en Verzekeringsregelgevende Commissie (CBIRC)

De CBIRC ziet erop toe dat instellingen de door de PBC vastgestelde AML-normen correct implementeren door interne controlemechanismen, onboardingprocedures en doorlopende due diligence-inspanningen te beoordelen. Sinds de oprichting in 2018 heeft de CBIRC bijgedragen aan de verbetering van de KYC-protocollen in China, met name bij staatsbedrijven en financiële instellingen op het platteland die historisch gezien achterliepen op het gebied van compliance.

Recente handhaving

Mierengroep (juli 2023)

Na afronding van een meerjarig onderzoek heeft de PBC een boete opgelegd van Een boete van 7.123 miljard yuan (ongeveer 984 miljoen dollar) werd opgelegd aan Ant Group voor een reeks overtredingen, waaronder het niet naleven van de anti-witwaswetgeving, lakse consumentenbescherming en ontoereikend ondernemingsbestuur. Met deze boete gaven toezichthouders een duidelijk signaal af dat fintechbedrijven, ongeacht hun omvang of invloed, zich in dezelfde mate aan de KYC-regelgeving moeten houden als traditionele banken om misbruik van hun financiële producten te voorkomen. 

India

De belangrijkste wetgeving in India op het gebied van anti-witwaspraktijken is de Prevention of Money Laundering Act, die in 2002 is aangenomen en de juridische basis vormt voor een breed scala aan nalevingsverplichtingen die de afgelopen twee decennia zijn ingevoerd.

Reserve Bank of India (RBI)

De RBI, de centrale bank van India, publiceert algemene richtlijnen en periodieke updates waarin wordt gespecificeerd hoe financiële instellingen de identiteit van klanten moeten verifiëren, gegevens moeten bijhouden en risico's moeten beoordelen. Naast het opstellen van regelgeving voert de RBI ook audits, inspecties ter plaatse en thematische evaluaties uit om ervoor te zorgen dat instellingen niet alleen de juiste beleidsregels op papier hebben, maar deze ook daadwerkelijk implementeren. Hun handhavingsbevoegdheid omvat het opleggen van boetes en beperkingen op de bedrijfsvoering bij aanhoudende niet-naleving.

Financiële Inlichtingeneenheid (FIU-IND)

De FIU-IND fungeert als het centrale agentschap van India voor het ontvangen, verwerken en analyseren van meldingen van verdachte transacties (STR's) die worden ingediend door meldende entiteiten. Het agentschap bevordert de samenwerking tussen verschillende instanties en ondersteunt rechtshandhavingsonderzoeken. De afgelopen jaren heeft de FIU-IND steeds meer de nadruk gelegd op datagestuurde monitoring, het delen van inlichtingen tussen verschillende sectoren en een snellere afhandeling van tekortkomingen in de naleving van regelgeving (met name nu de financiële dienstverlening steeds digitaler wordt).

Recente handhaving

HDFC Bank en Punjab & Sind Bank (maart 2025)

In maart 2025 legde de RBI boetes op van respectievelijk ₹75 lakh (ongeveer $87,000 USD) en ₹68.20 lakh (ongeveer $80,000 USD) aan HDFC Bank en Punjab & Sind Bank. Deze boetes waren het gevolg van tekortkomingen in de klantidentificatieprocedures en het niet consequent hanteren van risicoclassificatieprotocollen. Hoewel de toezichthouders opmerkten dat deze boetes het gevolg waren van procedurele lacunes en niet van opzettelijk wangedrag, benadrukten ze wel het belang van strikt toezicht, met name gezien de toenemende populariteit van digitale onboarding.