Wie schrijft over de kloof tussen KYC, KYB en doorlopende monitoring, gaat al snel uit van een aanname die je in veel leverancierscontent terugvindt: dat “doorlopende monitoring” bij identiteitsproducten neerkomt op periodieke sanctiescreening, en verder weinig.
Dat klopt niet. Tools voor doorlopende AML-monitoring kunnen sanctielijsten, watchlists, PEP’s en negatieve media afdekken, voor zowel personen als rechtspersonen. Ze putten uit duizenden mediabronnen, met contextuele filtering en verversingscycli van enkele uren tot een maand, afhankelijk van de gegevensstroom. Het is een volwaardig product dat belangrijk werk doet, en dat geldt in grote lijnen ook voor de voornaamste concurrenten.
De kloof zit dus niet waar ik dacht. Ze zit ergens interessanters, en zodra je het ziet, kun je er niet meer omheen.
De kloof zit niet in de dekking. Ze zit in de vraag.
KYC vraagt of iemand is wie die beweert te zijn
Documentverificatie, livenessdetectie, biometrische vergelijking, adresvalidatie en screening tegen sanctie- en PEP-lijsten bij aanmelding.
De technologie hiervoor is inmiddels uitstekend. Een goed ingericht proces verifieert een persoon binnen een minuut. Moderne livenessdetectie is zo goed dat de meeste aanvallers hun aandacht naar andere onderdelen van het traject hebben verlegd.
Het beantwoordt een identiteitsvraag, en doet dat goed. Wat het je niet vertelt, is wat die persoon doet of hoe die zich ontwikkelt. Dat is geen kritiek. Het is een afbakening, waar leveranciers duidelijk over zijn.
KYB, een aanzienlijk moeilijker vraagstuk
KYB vraagt of een bedrijf echt bestaat en wie er daadwerkelijk eigenaar van is en zeggenschap over heeft. De meeste uitleg behandelt dit vluchtig in één alinea, en doet het daarmee tekort.
De moeilijkheid zit in de structuur, en dat bedoel ik letterlijk. Een persoon heeft een identiteit. Een bedrijf heeft een structuur, en structuren worden door mensen opgezet, soms door mensen die liever niet hebben dat die structuur te doorgronden is.
Een degelijke KYB-controle doorloopt daarom verschillende lagen. Verificatie van de entiteit aan de hand van een handelsregister. Identificatie van bestuurders en andere functionarissen. En vaststelling van het uiteindelijk belang: achterhalen welke mensen daadwerkelijk achter de entiteit zitten. Meestal gaat het om iedereen met een belang van vijfentwintig procent of meer, al verschilt die drempel per rechtsgebied en is die, laten we eerlijk zijn, vrij eenvoudig te omzeilen voor wie dat echt wil. FinCEN en de AML-richtlijnen van de EU leggen de grens op enigszins verschillende plaatsen.
Dan is er nog de eigendomsketen. Bedrijf A is in handen van Holding B, geregistreerd in een land met een summier register. Die holding is eigendom van twee entiteiten in een derde land, waarvan er één een trust is. Ergens achter die hele keten zitten mensen. Die vinden, dat is de opdracht.
De kwaliteit van registers verschilt enorm, iets wat bijna niemand benoemt. Sommige rechtsgebieden publiceren gegevens over uiteindelijk belanghebbenden openbaar. Andere publiceren alleen oprichtingsgegevens. Weer andere publiceren een naam en een datum, en behandelen de rest als bedrijfsvertrouwelijk. Een KYB-aanbieder is nooit beter dan de registers waartoe die toegang heeft. Geen enkele aanbieder kan gegevens tevoorschijn toveren die een overheid niet heeft willen verzamelen. OpenCorporates laat goed zien hoe ongelijkmatig dat onderliggende beeld werkelijk is.
Kortom, KYB is moeilijk, goede aanbieders doen het goed en het is meer waard dan de meeste kopers beseffen.
Maar er is één aspect dat er volgens mij het meest toe doet, en dat ik nog nergens op schrift heb gezien.
Een KYB-controle is een momentopname van een structuur die juist bedoeld is om te kunnen veranderen.
Daar zijn bedrijfsstructuren voor. Bedrijven verplaatsen hun statutaire zetel. Bestuurders worden benoemd en treden af. Aandelen wisselen van eigenaar. Dochterondernemingen verschijnen in nieuwe rechtsgebieden. Dat is allemaal geen verdacht gedrag. Het hoort bij de normale bedrijfsvoering en gebeurt voortdurend.
Daardoor is een KYB-verificatie veel korter houdbaar dan een KYC-verificatie. De identiteit van een persoon is redelijk stabiel. De structuur van een bedrijf is dat niet, en vrijwel niemand maakt dat onderscheid.
Wat doorlopende monitoring eigenlijk betekent
Dan de term die voor verwarring zorgt. Ik wil hier zorgvuldig zijn, want een verkeerde voorstelling zou zowel oneerlijk als contraproductief zijn.
Als een leverancier van identiteitsverificatie “doorlopende monitoring” zegt, bedoelt die doorlopende AML-monitoring. Dat is een echt product, geen marketinggebaar.
Neem het duidelijkste voorbeeld. Sommige soorten software werken profielen van aanvragers en entiteiten voortdurend bij op basis van veranderingen in sanctielijsten, watchlists en negatieve media wereldwijd. Dat geldt voor rechtspersonen én personen. De software doorzoekt een zeer groot aantal mediabronnen, deelt treffers in naar type en gebruikt een taalmodel om analisten te helpen bij de eerste beoordeling.
Dat is bepaald geen beperkte functionaliteit. Elk bedrijf dat verantwoordelijkheid draagt voor zijn klanten, zou zoiets moeten hebben draaien.
Twee praktische details zijn het weten waard. Ze staan in de documentatie, niet in de marketing. Meestal is het een aanvullende module en geen standaardonderdeel. En doorgaans begint de monitoring pas wanneer je die inschakelt. Entiteiten die vóór de aanschaf zijn goedgekeurd, moeten dus opnieuw worden gescreend om überhaupt in de monitoring te worden opgenomen.
Geen van beide is een truc. Beide zijn wel heel belangrijk als je aannam dat monitoring inbegrepen was en ook met terugwerkende kracht werkte, zoals veel kopers doen.
Waar zit de kloof dan?
Dit is waar ik op uitkwam, nadat ik het eerst verkeerd had.
Doorlopende AML-monitoring is gebouwd om één vraag te beantwoorden, en doet dat goed. Vormt deze klant een risico op financiële criminaliteit?
Dat is precies de juiste vraag als je een bank, betalingsverwerker, handelsplatform, kredietverstrekker of kansspelaanbieder bent. Je hebt klanten. Er loopt namens hen geld via jouw organisatie. Als een van hen geld witwast, is dat voor jou een probleem met de toezichthouder. Je moet dus direct weten wanneer hun risicoprofiel verandert.
Denk nu eens aan een fonds.
Je hebt geen klanten. Je hebt portfoliobedrijven. Je maakt één keer geld naar ze over, houdt de positie zeven of acht jaar aan en er loopt helemaal geen geld namens hen via jou.
Jouw vraag is niet of deze entiteit voor jou een risico op financiële criminaliteit vormt. Jouw vraag is of dit bedrijf is veranderd op een manier die gevolgen heeft voor je positie.
En de meeste antwoorden op die vraag zijn simpelweg geen AML-signalen.
Vier zaken die nooit een AML-treffer opleveren
Ga na wat er daadwerkelijk misgaat binnen een portefeuille en vraag je af wat daarvan een melding zou veroorzaken in een monitoringsysteem voor financiële criminaliteit.
Een portfoliobedrijf verplaatst zijn statutaire zetel van Delaware naar de BVI en benoemt twee nieuwe bestuurders. Dat is een registerwijziging. Het is geen sanctietreffer. Het is geen PEP-treffer. Tenzij een journalist er toevallig over schrijft, is er ook geen sprake van negatieve media. Het levert helemaal geen AML-signaal op, omdat er niets strafbaars aan is. Het is simpelweg een feit over een bedrijf waarvan je mede-eigenaar bent, en het kan je positie tegenover wet- en regelgeving aanzienlijk hebben veranderd.
De grootste aandeelhouder van het handelsplatform waar een portfoliobedrijf transacties afwikkelt, wordt op een sanctielijst geplaatst. Jouw bedrijf loopt nu risico. Maar de sanctieaanwijzing betreft een entiteit die niet jouw aanvrager of klant is, en ook geen tegenpartij bij een van jouw transacties. Het is een indirecte blootstelling, die buiten het bereik valt van een systeem dat rond jouw directe relaties is gebouwd.
Elf nepkanalen op Telegram doen zich voor als de helpdesk van een portfoliobedrijf en plunderen de rekeningen van zijn gebruikers. Een AML-systeem signaleert dit nergens. Er bestaat geen watchlist van partijen die zich als een ander voordoen. Dit is geen financiële criminaliteit door je portfoliobedrijf. Het is financiële criminaliteit tégen dat bedrijf, en het hele model kijkt de andere kant op.
Een oprichter wordt persoonlijk genoemd als gedaagde in een civiele procedure in een rechtsgebied waarvan de processtukken in geen enkele commerciële database staan. Misschien komt dit uiteindelijk via negatieve media aan het licht, als een publicatie het oppikt. Misschien ook niet.
Dit zijn geen tekortkomingen van de AML-producten. Al deze situaties vallen buiten de vraag waarvoor die producten zijn gebouwd.
Het aanvragersmodel en waarom het niet werkt voor fondsen
Hierachter zit een architectuurkeuze die verklaart waarom fondsen moeite hebben om identiteitsplatforms passend te maken. Die verdient een nadere uitleg.
Kijk hoe deze systemen zijn opgebouwd. Er is een aanvrager. De aanvrager wordt geverifieerd. De aanvrager wordt goedgekeurd, afgewezen of apart gezet voor beoordeling. Goedgekeurde aanvragers kunnen vervolgens worden gemonitord. Er zijn verificatieniveaus, tools om workflows te bouwen, goedkeuringsknoppen en afwijzingsstatussen.
Het is een trechter. Die is ontworpen rond onboarding, want onboarding is waar de klanten van deze producten de hele dag mee bezig zijn.
Een fonds heeft geen trechter. Het heeft achtendertig bedrijven waarvan het al mede-eigenaar is en waarvan het niet zomaar afstand kan doen. Het heeft ze niet goedgekeurd, maar erin geïnvesteerd. En als er een signaal binnenkomt, wordt de relatie niet beëindigd. De positie is immers illiquide en wordt hoe dan ook jarenlang aangehouden.
Je kunt een portefeuille aan een systeem voor aanvragers vastknopen, en bedrijven doen dat ook. Maar je blijft tegen het model vechten, omdat je een onboardingproduct gebruikt om een deelneming te beheren.
Vier vragen, geen drie niveaus
Het meest voorkomende misverstand is dat dit oplopende niveaus van grondigheid zijn. KYC is de basis, KYB is grondig en monitoring is het geavanceerde niveau. Dat beeld klopt niet en verklaart waarom kopers uiteindelijk niet goed begrijpen wat ze hebben gekocht.
Het zijn geen niveaus. Het zijn verschillende vragen, en als je het “hoogste” koopt, krijg je de andere er niet bij.
| KYC | KYB | Doorlopende AML-monitoring | Risk intelligence over entiteiten | |
| De vraag | Bestaat deze persoon echt? | Bestaat dit bedrijf echt en wie heeft er zeggenschap over? | Is deze klant een risico op financiële criminaliteit geworden? | Wat is er veranderd bij deze entiteit? |
| Wat het volgt | Een persoon | Een entiteit en haar eigendomsketen | Sancties, PEP’s, watchlists, negatieve media | Registers, bestuurders, tegenpartijen, socialmediakanalen, media |
| Wanneer | Bij onboarding | Bij onboarding | Doorlopend, vanaf activering | Doorlopend, zolang je de positie aanhoudt |
| Gebouwd voor | Klanten | Klanten | Klanten | Entiteiten waarbij je risico loopt, maar waarmee je geen transacties uitvoert |
Wie heeft wat nodig, en in welke combinatie?
Zodra je de vragen uit elkaar haalt, wordt het antwoord vrij duidelijk.
Als je op grote schaal personen onboardt, bijvoorbeeld als fintech voor consumenten, handelsplatform of marktplaats, heb je KYC nodig. Schaf het aan: het werkt en je bent sneller live dan je verwacht.
Als je bedrijven onboardt, heb je degelijk uitgevoerde KYB nodig, met goede registerdekking en daadwerkelijke vaststelling van uiteindelijk belanghebbenden. Dat is moeilijker dan het lijkt en het geld waard.
Als je verantwoordelijk bent voor het risico op financiële criminaliteit van je klanten, heb je boven op beide doorlopende AML-monitoring nodig. In de meeste relevante rechtsgebieden is dit niet optioneel. FATF-aanbeveling 10 verlangt namelijk doorlopende due diligence bij zakelijke relaties, geen eenmalige controle aan de poort.
En als je risico betrekking heeft op entiteiten waarin je hebt geïnvesteerd in plaats van klanten die je hebt geonboard, zoals bij een VC-fonds, cryptofonds, family office of een team voor bedrijfsontwikkeling met minderheidsbelangen, dan dekken de eerste drie het begin van de relatie af. Geen ervan dekt de zeven jaar daarna.
Dat is de vierde vraag. Daar hoort een ander product bij, en de meeste bedrijven weten niet dat het bestaat.
Veelgestelde vragen
KYC vraagt of iemand is wie die beweert te zijn: documentverificatie, liveness- en biometrische controles, adresvalidatie en screening tegen sanctie- en PEP-lijsten. KYB vraagt of een bedrijf echt bestaat en wie er daadwerkelijk eigenaar van is en zeggenschap over heeft. Dat is een aanzienlijk moeilijker vraagstuk, omdat eigendom via meerdere lagen over rechtsgebieden is verspreid en registers elkaar tegenspreken.
Een persoon heeft één identiteit en een document om die te bewijzen. Een bedrijf heeft registraties op meerdere plaatsen, wisselende bestuurders en uiteindelijk belanghebbenden die meerdere entiteiten hoger in de keten kunnen zitten. De mensen achter de structuur vinden vormt het grootste deel van het werk. Juist dat deel slaan oppervlakkige toelichtingen over.
Het is de term die voor de meeste verwarring zorgt, omdat die voor twee verschillende dingen wordt gebruikt. Het ene is een bestaande klant volgens een vast schema opnieuw screenen tegen lijsten. Het andere is veranderingen in de echte wereld volgen, zoals registerinschrijvingen, rechtszaken, handhavingsmaatregelen en negatieve media, die nooit op een lijst zullen staan.
In alles wat nooit een AML-treffer oplevert. Veel van wat er daadwerkelijk misgaat binnen een portefeuille, zoals eigendom dat stilletjes van hand wisselt, een bestuurder die aftreedt, een nieuwe rechtszaak of een bedrijf dat in handhavingsdossiers opduikt, veroorzaakt geen melding in een screeningplatform. Die platforms zijn namelijk gebouwd om namen met lijsten te vergelijken.
Omdat die platforms rond het aanvragersmodel zijn gebouwd: iemand meldt zich, wordt geverifieerd, wordt klant en het dossier is compleet. De risicoblootstelling van een fonds werkt anders. De relatie begint bij de overboeking en loopt jarenlang door, zonder dat iemand opnieuw een aanvraag indient.
Het zijn geen drie niveaus van hetzelfde, al is dat het meest voorkomende misverstand. Ze beantwoorden verschillende vragen: wie is deze persoon, wat is dit bedrijf en wie heeft er zeggenschap over, en wat is er veranderd sinds de vorige controle? Daaronder ligt nog een vierde vraag: zouden we vandaag nog dezelfde beslissing nemen? Niets in de gebruikelijke combinatie van tools beantwoordt die.
Conclusie
Het is geen ladder. Dat misverstand verdient correctie, want daardoor denken zoveel bedrijven dat ze iets hebben gekocht wat ze helemaal niet hebben.
KYC verifieert een persoon. KYB verifieert een structuur, doet dat goed en doet dat eenmalig. Doorlopende AML-monitoring bewaakt het risico op financiële criminaliteit bij je klanten, uitgebreid en met gegevens van goede kwaliteit.
De vraag wat er is veranderd bij een entiteit waarbij je risico loopt, zoals haar bestuurders, rechtsgebied, tegenpartijen, publieke aanwezigheid en eigendom, is iets heel anders. De meeste fondsen hebben daarvoor helemaal niets draaien.
We hebben hier uitgebreid beschreven waarom die kloof bestaat en hier het hele leverancierslandschap in kaart gebracht, voor als je eerst wilt zien waar alles thuishoort voordat je een beslissing neemt.
Als je het liever direct bekijkt: Beady AI monitort doorlopend de entiteiten waarbij je risico loopt, zoals portfoliobedrijven, oprichters en tegenpartijen, op sancties, negatieve media, handelsregisters en identiteitsmisbruik. Elk signaal is gekoppeld aan de primaire bron. Plan een sessie en we passen het toe op je werkelijke deelnemingen. Het duurt ongeveer twintig minuten, en binnen één minuut weet je of die vierde vraag ook bij jou speelt.
