Compliance: AML, KYC en sancties

De meeste nieuwe banken worden voor het eerst geconfronteerd met ernstige toezichtbevindingen op het gebied van financiële criminaliteit, en dit is ook het gebied dat door correspondentbanken nauwlettend wordt onderzocht alvorens rekeningen te openen. Een bank met een gezond kapitaalplan maar zwakke antiwitwascontroles zal moeite hebben om een vergunning te verkrijgen en, zodra ze een vergunning heeft gekregen, aan te sluiten op het internationale betalingssysteem.

De wereldwijde standaard: FATF

De Financial Action Task Force stelt de internationale standaard in haar 40 aanbevelingen. De huidige tekst, aangenomen in 2012, werd voor het laatst bijgewerkt in oktober 2025. Landen implementeren de Aanbevelingen door middel van wetgeving, en de FATF en haar regionale organen beoordelen elk land via wederzijdse evaluaties.

De aanbevelingen die het meest relevant zijn voor banken worden hieronder vermeld.

Aanbeveling	Onderwerp
R.1	Risico’s beoordelen en een risicogebaseerde aanpak toepassen
R.6 en R.7	Gerichte financiële sancties tegen terrorisme en proliferatie
R.10	Klant due diligence
R.11	Registreren
R.12	Politisch exponeerde personen
R.13	Correspondentbankieren
R.15	Nieuwe technologieën, inclusief virtuele assets
R.16	Betalingstransparantie, voorheen overschrijvingen
R.17 tot en met R.19	Vertrouwen op derden, interne controles, landen met een hoger risico
R.20 en R.21	Verdachte transacties melden en tippen
R.24 en R.25	Uiteindelijk gerechtigde van rechtspersonen en constructies

De basis is de risicogebaseerde aanpak in R.1. Maatregelen moeten evenredig zijn aan de vastgestelde risico's, wat betekent dat klanten en producten met een hoger risico nauwkeuriger worden gecontroleerd en vereenvoudigde maatregelen worden genomen wanneer het risico aantoonbaar lager is.

Ken uw klant en doe due diligence

Aanbeveling 10 De CDD is verplicht bij het aangaan van een zakelijke relatie, voor incidentele transacties boven USD/EUR 15.000, wanneer er een vermoeden bestaat van witwassen of financiering van terrorisme en wanneer de instelling twijfelt aan eerder verkregen identificatiegegevens.

De CDD-maatregelen zijn:

1. Het identificeren van de klant en het verifiëren van de identiteit met behulp van betrouwbare, onafhankelijke brondocumenten, gegevens of informatie.
2. Het identificeren van de uiteindelijk begunstigde en het nemen van redelijke maatregelen om de identiteit te verifiëren, met inbegrip van een goed begrip van de eigendoms- en controlestructuur van rechtspersonen en constructies.
3. Het begrijpen en, indien van toepassing, het verkrijgen van informatie over het doel en de beoogde aard van de relatie.
4. Doorlopende due diligence en controle van transacties om ervoor te zorgen dat deze overeenstemmen met de kennis die de instelling heeft van de klant, waaronder, indien nodig, de bron van de gelden.

Als een instelling de CDD niet kan voltooien, moet zij de rekening niet openen of de relatie beëindigen en moet zij overwegen een melding van verdachte transacties in te dienen. R.11, moeten transactie- en CDD-gegevens ten minste vijf jaar worden bewaard.

Verbeterde due diligence

Verbeterde due diligence (EDD) is van toepassing waar het risico hoger is. Typische triggers zijn complexe eigendomsstructuren, cash-intensieve bedrijven, klanten die verbonden zijn aan landen met een hoger risico, private banking en niet-face-to-face relaties zonder sterke verificatie.

Uiteindelijk eigenaar

Een uiteindelijke begunstigde is de natuurlijke persoon die uiteindelijk eigenaar is van of zeggenschap heeft over een klant. R.24 vereist dat landen ervoor zorgen dat adequate, nauwkeurige en actuele informatie over de uiteindelijke begunstigden beschikbaar is voor autoriteiten, via een register of een alternatief mechanisme.

De EU stelt een gemeenschappelijke drempel vast. AntiwitwasverordeningEen eigendomsbelang is het directe of indirecte bezit van 25% of meer van de aandelen, stemrechten of andere belangen in een rechtspersoon. Controle via andere middelen kan ook een persoon tot uiteindelijk begunstigde maken. Een drempel van 25% neemt niet weg dat de volledige structuur moet worden begrepen.

Politisch exponeerde personen

Een PEP is iemand aan wie een prominente publieke functie is toevertrouwd, zoals een staatshoofd, hooggeplaatst politicus, hoge rechter of hoge ambtenaar van een overheidsbedrijf; ook familieleden en naaste medewerkers zijn gedekt.

Voor buitenlandse PEP's vereist R.12 dat instellingen:

1. Risicobeheersystemen hebben om te bepalen of een klant of uiteindelijk begunstigde een PEP is.
2. Verkrijg goedkeuring van het senior management om de relatie aan te gaan of voort te zetten.
3. Neem redelijke maatregelen om de bron van rijkdom en de bron van fondsen vast te stellen.
4. Voer verbeterde voortdurende monitoring uit.

Voor binnenlandse PEP’s en personen met prominente functies bij internationale organisaties gelden deze maatregelen waar de relatie een hoger risico inhoudt.

Sanctiescreening

Sancties zijn wettelijke verboden, geen risico-oordelen. Onder R.6, moeten landen “onverwijld” de tegoeden bevriezen van personen die door de VN-Veiligheidsraad zijn aangewezen voor terrorisme, en R.7 past dezelfde logica toe op proliferatiefinanciering.

Banken passen ook de autonome sancties toe van de jurisdicties waar ze actief zijn, in de EU zijn dat verordeningen van de Raad. Banken die betalingen doen in andere valuta’s moeten ook rekening houden met de sanctieregelingen die hun correspondentbanken hanteren, omdat een betaling die deze regimes overtreedt in de keten wordt gestopt.

Een sanctieprogramma omvat:

1. Het screenen van klanten, uiteindelijke begunstigden en verbonden partijen bij onboarding en wanneer lijsten veranderen.
2. Screening van betalingen, inclusief namen van partijen, banken, schepen en locaties, in realtime voorafgaand aan de uitvoering.
3. Waarschuwingen beheren met gedocumenteerde beslissingen, waardoor zowel vals comfort als overmatige blokkering wordt vermeden.
4. Het bevriezen en rapporteren van wedstrijden aan de bevoegde autoriteit.
5. Controles tegen ontduiking, zoals strippen of wijzigen van betalingsinformatie.

Transactiemonitoring en rapporten over verdachte activiteiten

Transactiemonitoring vergelijkt de klantactiviteit met het verwachte profiel en met bekende typologieën.De monitoring is meestal geautomatiseerd, met scenario's en drempelwaarden die zijn afgestemd op het eigen klantenbestand van de bank en worden beoordeeld door getrainde analisten.

Onder R.20, moet een instelling die “vermoedt of redelijke gronden heeft om te vermoeden” dat fondsen de opbrengsten van misdrijven zijn of gerelateerd zijn aan terrorismefinanciering, dit onmiddellijk melden aan de financiële-inlichtingeneenheid.Deze rapporten worden verdachte transactierapporten of verdachte activiteitenrapporten genoemd, afhankelijk van het rechtsgebied.

R.21 beschermt medewerkers die te goeder trouw een melding doen en verbiedt tipping-off, dat wil zeggen het onthullen aan de klant of anderen dat er een melding is gedaan; een bank moet daarom na het indienen van de melding zorgvuldig omgaan met de klantrelatie zonder de melding bekend te maken.

Het EU AML pakket en AMLA

De EU heeft in 2024 een pakket aangenomen dat de meeste regels van richtlijnen naar een rechtstreeks toepasselijke verordening verplaatst en een EU-autoriteit creëert.

Instrument	Wat het doet	Sleuteldatum
Verordening (EU) 2024/1624 (AMLR)	Eén regelboek voor meldingsplichtige entiteiten: CDD, uiteindelijk begunstigde, PEP's, rapportage, een EU-brede limiet van EUR 10,000 voor contante betalingen door handelaren in goederen en diensten	Van toepassing vanaf 10 juli 2027, met een latere datum voor bepaalde entiteiten
Directive (EU) 2024/1640 (AMLD6)	Nationale toezichthouders, FIE's, registers van uiteindelijk begunstigden, bankrekeningregisters	Algemene omzetting tegen 10 juli 2027, met eerdere data voor sommige artikelen
Verordening (EU) 2024/1620 (AMLA)	Oprichting van de Anti-Money Laundering Authority, gevestigd in Frankfurt am Main	Geldt vanaf 1 juli 2025, met sommige artikelen eerder

AMLA zal rechtstreeks toezicht houden op een beperkt aantal kredietinstellingen en financiële instellingen met een hoog risico die actief zijn in ten minste zes lidstaten. De verordening vereist dat het eerste selectieproces begint in 1 juli 2027, en stelt dat het directe toezicht op geselecteerde entiteiten moet beginnen in 2028. Indien meer dan 40 entiteiten zich in de eerste ronde kwalificeren, houdt AMLA toezicht op de 40 die actief is in het hoogste aantal lidstaten.

Voor andere instellingen blijven nationale toezichthouders verantwoordelijk, met AMLA coördinatie en het vaststellen van technische standaarden.

De reisregel

De reisregel vereist betalingsinformatie over de initiator en begunstigde om een overschrijving door de betalingsketen te begeleiden.Het is afgeleid van FATF R.16.

In de EU, Verordening (EU) 2023/1113 De verordening is vanaf 30 december 2024 van toepassing op geldovermakingen en crypto-activa. Voor geldovermakingen zijn volledige informatie over betaler en begunstigde vereist boven EUR 1.000, met lichtere eisen voor kleinere overboekingen die niet gekoppeld zijn.Voor crypto-activa zijn dezelfde eisen van toepassing “ongeacht het bedrag ervan en of het om binnenlandse of grensoverschrijdende overschrijvingen gaat”.

De FATF heeft R.16 en zijn interpretatieve nota in juni 2025 herzien, onder de nieuwe naam betalingstransparentie. Volgens de samenvatting van CSSF standaardiseren de wijzigingen de informatie die vereist is in betalingsberichten, verduidelijken ze verantwoordelijkheden langs de betalingsketen, voegen ze maatregelen toe tegen fraude, verkeerde routes en fouten zoals verificatie van begunstigden, en moeten ze eind 2030 van kracht worden.

Landenrisico en openbare lijsten

De FATF Tijdens de plenaire vergadering van juni 2026, zoals samengevat door de Commissie, zal het Comité twee lijsten publiceren. De FIE van MaltaDe Democratische Volksrepubliek Korea, Iran en Myanmar bleven rechtsgebieden met een hoog risico waarvoor een oproep tot actie werd gedaan; Bosnië-Herzegovina en Irak werden toegevoegd aan de lijst van rechtsgebieden die onder strenger toezicht staan en Algerije en Namibië werden geschrapt.

De EU houdt een eigen lijst bij van derde landen met een hoog risico. De Europese Commissie In december 2025 heeft de Commissie wijzigingen aangenomen die Rusland, Bolivia en de Britse Maagdeneilanden vanaf 29 januari 2026 aan de lijst toevoegen.EU-meldingsplichtige entiteiten moeten een verhoogde due diligence toepassen op relaties en transacties waarbij vermelde landen betrokken zijn.

Wat toezichthouders verwachten van een nieuwe bank

1. Een bedrijfsbrede risicobeoordeling De door de raad goedgekeurde strategie voor klanten, producten, kanalen en landen.
2. Een witwasmeldfunctionaris met bevoegdheid, middelen en directe toegang tot het bestuur.
3. Geschreven beleid en procedures die overeenkomen met de werkelijke onboarding- en monitoringsystemen.
4. De geteste systemen Voor identiteitscontrole, screening en monitoring met gedocumenteerde afstemming.
5. Opleiding Voor alle medewerkers, met gespecialiseerde training voor front office en compliance.
6. Onafhankelijk testen door interne audit of een externe reviewer.
7. Consistentie met het businessplan. Toezichthouders vergelijken de AML Het kader met de doelklanten en landen in de toepassing, en uitdagingsgaten.

In het volgende artikel wordt gekeken naar correspondentbankieren, waarbij deze controles worden getest door andere banken en toezichthouders.