KYC (ken uw klant)

KYC, kort voor Know Your Customer, is het gereguleerde proces dat financiële instellingen gebruiken om te verifiëren wie hun cliënten zijn, het doel van de relatie te begrijpen en in te schatten welk risico de cliënt vormt. Het is een wettelijke verplichting in de meeste rechtsgebieden en geldt voordat een rekening wordt geopend en daarna doorlopend.

KYC bestaat om te voorkomen dat financiële instellingen worden gebruikt — bewust of onbewust — voor witwassen, terrorismefinanciering, fraude, sanctieontduiking en belastingontduiking. Het is het klantgerichte onderdeel van een breder antiwitwas (AML) complianceprogramma.

De verplichting reikt veel verder dan banken. Ze geldt doorgaans voor microfinancieringsinstellingen, kredietunies en SACCO's, betaaldienstverleners, aanbieders van mobiel geld, verzekeraars, effectenbedrijven, cryptoactiva-dienstverleners en, in veel rechtsgebieden, voor advocaten, accountants, vastgoedmakelaars en handelaren in edelmetalen.

Waarom KYC bestaat

De internationale normsteller is de Financial Action Task Force (FATF), een intergouvernementeel orgaan dat in 1989 is opgericht en waarvan de aanbevelingen de basis vormen van de meeste nationale AML-wetgeving. Aanbeveling 10 van de FATF beschrijft de verplichtingen inzake cliëntenonderzoek, en de lidstaten zetten deze om in nationale wetgeving en richtsnoeren van toezichthouders.

Omdat de uitvoering nationaal is, verschillen de specifieke documenten, drempels en termijnen per rechtsgebied — maar de onderliggende structuur is vrijwel overal hetzelfde: identificeer de cliënt, verifieer de identiteit, begrijp de relatie, beoordeel het risico en monitor de cliënt doorlopend.

De vier pijlers van KYC

1. Cliëntidentificatieprogramma (CIP)

Het verzamelen van identificatiegegevens en het verifiëren daarvan aan de hand van betrouwbare, onafhankelijke bronnen. Voor een natuurlijke persoon gaat het doorgaans om volledige naam, geboortedatum, woonadres en een door de overheid afgegeven identificatienummer. Verificatie kan documentair zijn (een identiteitsbewijs plus een adresbewijs) of niet-documentair (het afstemmen van gegevens op een nationale ID-database, kredietbureau of telecomregistratie).

2. Cliëntenonderzoek (CDD)

Hierbij wordt verder gekeken dan de identiteit om de cliënt te begrijpen: de aard en het doel van de relatie, de verwachte herkomst van middelen, het verwachte transactiepatroon en — voor entiteiten — de eigendoms- en zeggenschapsstructuur. CDD vormt de basis waartegen toekomstige activiteit wordt beoordeeld.

3. Verscherpt cliëntenonderzoek (EDD)

Extra controle voor cliënten met een hoger risico. Verscherpt cliëntenonderzoek vereist doorgaans goedkeuring van het senior management om de cliënt te onboarden, gedocumenteerd bewijs van zowel de herkomst van vermogen als de herkomst van middelen, en een frequentere beoordeling. Triggers zijn onder meer:

• Politiek prominente personen (PEP's) — natuurlijke personen die een prominente openbare functie bekleden, plus hun familieleden en naaste geassocieerden
• Cliënten die gevestigd zijn in of transacties verrichten met hoogrisico- of gesanctioneerde rechtsgebieden
• Complexe eigendomsstructuren, trusts of entiteiten met aandelen aan toonder
• Cashintensieve bedrijven, geldtransactiekantoren en andere hoogrisicosectoren
• Negatieve mediaberichten of onverklaarbaar vermogen

4. Doorlopende monitoring

KYC is geen eenmalige controle. Instellingen moeten transacties monitoren aan de hand van het verwachte profiel, cliënten doorlopend screenen tegen sanctie- en PEP-lijsten, cliëntgegevens periodiek actualiseren en verdachte activiteiten onderzoeken en melden bij de nationale financiële inlichtingeneenheid.

Het KYC-proces stap voor stap

1. Verzamel identificatiegegevens en vereiste documenten bij de onboarding.
2. Verifieer de informatie aan de hand van onafhankelijke bronnen — een nationaal identiteitsregister, een handelsregister, een kredietbureau of een documentauthenticatie- en biometrische controle.
3. Screen de cliënt tegen sanctielijsten, PEP-databases en negatieve mediaberichten.
4. Identificeer de uiteindelijk belanghebbenden voor juridische entiteiten — de natuurlijke personen die uiteindelijk eigenaar zijn van of zeggenschap hebben over de cliënt. Veel rechtsgebieden hanteren een eigendomsdrempel van 25% als trigger, naast een afzonderlijke zeggenschapstoets.
5. Risicoclassificeer de klant, doorgaans in lage, gemiddelde en hoge risicobanden, op basis van geografie, product, kanaal, beroep of sector en het verwachte transactieprofiel.
6. Keur goed of escaleer. Klanten met een laag risico kunnen in aanmerking komen voor vereenvoudigde due diligence; klanten met een hoog risico vereisen EDD en goedkeuring door senior management.
7. Monitoren en actualiseren. Transactiemonitoring loopt continu; periodieke beoordelingscycli zijn doorgaans jaarlijks voor hoog risico en elke twee tot vijf jaar voor lager risico, met tussentijdse beoordelingen wanneer er iets verandert.

Veelvoorkomende KYC-documenten

Particulieren

• Door de overheid afgegeven legitimatiebewijs met foto — nationale identiteitskaart, paspoort, rijbewijs
• Adresbewijs — nutsrekening, bankafschrift, huurovereenkomst of een brief van een erkende autoriteit
• Fiscaal of nationaal identificatienummer indien van toepassing
• Een foto of livenesscheck bij digitale onboarding

Bedrijven (Know Your Business, oftewel KYB)

• Oprichtingsakte of bewijs van ondernemingsregistratie
• Statuten en oprichtingsakte, of gelijkwaardige statutaire documenten
• Register van bestuurders en aandeelhouders
• Bewijs van het geregistreerde bedrijfsadres
• Bestuursbesluit of mandaat waaruit de bevoegde ondertekenaars blijken
• Identificatiedocumenten van bestuurders, bevoegde ondertekenaars en uiteindelijk begunstigden
• Belastingregistratie en, waar relevant, een handels- of exploitatievergunning

eKYC en digitale verificatie

eKYC is de elektronische uitvoering van dezelfde verplichtingen. In plaats van papieren documenten te verzamelen, verifieert de instelling de identiteit via digitale middelen:

• Documentopname met geautomatiseerde authenticiteitscontroles
• Biometrische matching — een selfie of livenesscheck die wordt vergeleken met de foto op het identiteitsbewijs
• Rechtstreekse verificatie bij nationale identiteitsdatabases of registers
• Matching met gegevens van mobiele netwerkoperators en kredietbureaus
• Elektronische handtekening en vastlegging van toestemming met audittrail

eKYC verkort onboarding van dagen tot minuten en neemt de afhankelijkheid van fysieke filialen weg. Het concentreert ook risico's: presentatie-aanvallen, synthetische identiteiten en documentvervalsing richten zich allemaal op de geautomatiseerde controle, dus de meeste instellingen behouden handmatige beoordeling voor uitzonderingen en klanten met een hoger risicoprofiel.

KYC versus AML versus CDD versus KYB

• AML (antiwitwassen): Het volledige complianceprogramma — beleid, controles, monitoring, rapportage, training en audit.
• KYC (ken uw klant): Het klantgerichte deel van AML — klanten identificeren, verifiëren en risicoclassificeren.
• CDD (klantonderzoek): Het due diligence-onderzoek binnen KYC — inzicht in het doel, de herkomst van de middelen en de eigendomsstructuur.
• KYB (ken uw bedrijf): KYC toegepast op zakelijke klanten, inclusief het identificeren van uiteindelijk begunstigden.
• EDD (verscherpte due diligence): De aangescherpte versie van CDD voor klanten met een hoger risico.

Kortom: CDD en EDD zijn onderdelen van KYC, KYC is een onderdeel van AML en KYB is KYC voor entiteiten.

Kosten, frictie en financiële inclusie

KYC brengt reële kosten met zich mee voor beide kanten van de relatie.

Voor instellingen betekent het verificatie-infrastructuur, screeningsabonnementen, compliancemedewerkers, monitoringssystemen en periodieke vernieuwingscampagnes — grotendeels vaste kosten die zwaar drukken op portefeuilles met kleine bedragen en hoge volumes waar de opbrengst per klant laag is.

Voor klanten kunnen documentvereisten een drempel zijn. Adresbewijs is lastig waar adressystemen informeel zijn; identiteitsdocumenten zijn niet universeel; registratiepapieren van bedrijven kunnen verouderd of niet beschikbaar zijn voor kleine handelaren. Daarom onderschrijven FATF en nationale toezichthouders uitdrukkelijk een risicogebaseerde aanpak: het toepassen van vereenvoudigde due diligence op producten met een aantoonbaar laag risico — rekeningen met een laag saldo, mobiele portemonnees met een limiet en krediet met een klein bedrag — zodat compliance de klanten die financiële systemen geacht worden te bereiken, niet uitsluit.

Er is ook een voortdurende spanning met de wetgeving inzake gegevensbescherming. KYC dwingt tot het verzamelen en bewaren van aanzienlijke hoeveelheden persoonsgegevens, terwijl privacyregimes dataminimalisatie, doelbinding, beveiliging en vastgestelde bewaartermijnen vereisen. Instellingen moeten aan beide voldoen: verzamel wat de AML-regels vereisen, bewaar de gegevens gedurende de voorgeschreven bewaartermijn, bescherm ze en verwijder ze wanneer geen van beide verplichtingen van toepassing is.

Gevolgen van zwakke KYC

Handhaving is aanzienlijk en openbaar. Toezichthouders hebben instellingen zeer hoge boetes opgelegd voor systemische tekortkomingen op het gebied van KYC en AML, en de gevolgen reiken verder dan boetes: herstelbevelen, beperkingen op bedrijfsactiviteiten, schikkingen met uitgestelde vervolging, persoonlijke aansprakelijkheid voor compliancefunctionarissen, vergunningvoorwaarden en intrekking van de vergunning. Toegang tot correspondentbankieren — de mogelijkheid om internationaal geld over te maken — is vaak het eerste slachtoffer, wat voor een kleine instelling existentieel kan zijn.