Een klant doorloopt bij de onboarding de KYC-controle. De identiteit klopt, de klant staat op geen enkele sanctielijst, het dossier is in orde en je opent de rekening. Op dat moment klopt alles.
Achttien maanden later wordt diezelfde klant op een sanctielijst geplaatst. Of wordt die een politiek prominente persoon. Of wordt de klant genoemd in een fraudeonderzoek waar de lokale pers uitgebreid over bericht. En de volgende geplande KYC-beoordeling van deze klant vindt pas over een jaar plaats. Gedurende die hele periode bedien je een klant die je vandaag zou weigeren, terwijl je proces nergens voorziet in een melding daarover.
Dit is geen uitzonderingssituatie. Zo werkt periodieke KYC nu eenmaal. Stel dat een klant in de derde maand van een beoordelingscyclus van twaalf maanden geld begint te verplaatsen volgens verdachte patronen. Bij een kalendergestuurd model kijkt tussen de beoordelingen niemand actief mee. Het gedrag wordt dus pas in maand twaalf gesignaleerd en de melding van verdachte activiteiten die je uiteindelijk indient, berust op informatie die negen maanden oud is. Tegen de tijd dat je ingrijpt, is de kans om de schade te voorkomen voorbij en kun je die alleen nog vastleggen.
Het probleem is niet dat iemand de KYC-controle verkeerd heeft uitgevoerd. Het probleem is dat een eenmalige KYC-controle de verkeerde vraag beantwoordt. Als je een klant bij de onboarding verifieert, stel je vast wie die op de eerste dag is. Wat je daarna elke dag moet weten, is of je nog steeds veilig zaken met die klant kunt doen. Dat vraagt om een verschuiving van verificatie op één moment naar doorlopende zekerheid. Precies dat maakt het verschil tussen een vinkje zetten en daadwerkelijk risico’s beheersen. En zoals steeds duidelijker zal worden, is het ook het verschil tussen je wettelijke verplichtingen nakomen en alleen de indruk wekken dat je dat doet.
KYC controleert één moment, terwijl risico’s blijven veranderen.
Het KYC-proces bij onboarding is in wezen een momentopname. Je legt vast wie de klant is, waar die vandaan komt en of die op de dag van de controle een bekend risico vormt. Zo’n momentopname is noodzakelijk en in de meeste gevallen wettelijk verplicht. Maar een wettelijke verplichting vervullen betekent niet automatisch dat je voldoende doet. Juist bij KYC beginnen de wettelijke vereisten en wat werkelijk toereikend is vanaf de dag na de onboarding geleidelijk uiteen te lopen. De momentopname begint namelijk te verouderen zodra je die maakt: een klant blijft na de verificatie niet onveranderd.
Voor ondernemingen waarin wordt geïnvesteerd en portefeuillebedrijven hebben we een vergelijkbare redenering uitgewerkt in Voorbij onboarding. Hier ligt de nadruk op je klanten, maar de logica is dezelfde: eenmalige due diligence bestrijkt alleen het verleden, terwijl risico’s zich in het heden voordoen. Het doel is geen betere momentopname, maar een actueel beeld. De vraag die onboarding beantwoordt — wie is dit — verschilt van de vraag die je op langere termijn beschermt: is dit nog steeds de klant die je dacht te kennen en kun je die nog steeds veilig bedienen?
Wat er na de onboarding daadwerkelijk verandert
Het helpt om concreet te maken wat een eenmalige controle niet kan zien. Dat ‘risico’s veranderen’ klinkt vanzelfsprekend, maar de gevolgen daarvan worden gemakkelijk onderschat.
Een klant kan door een nieuwe benoeming een politiek prominente persoon worden. De klant kan rechtstreeks op een sanctielijst terechtkomen, of via een van de entiteiten waarover die zeggenschap heeft. Ook kunnen negatieve media, een onderzoek, een strafrechtelijke aanklacht of een beschuldiging van fraude opduiken die bij de oorspronkelijke onboarding nog niet bestonden. De uiteindelijk belanghebbenden (UBO’s) van een zakelijke klant kunnen veranderen, waardoor de eerder goedgekeurde personen niet langer de zeggenschap hebben. De onderneming kan activiteiten gaan uitvoeren of actief worden in rechtsgebieden met een hoger risico. Bovendien kunnen transacties een ander beeld gaan geven dan het klantprofiel bij onboarding deed verwachten. Geen van deze situaties wordt zichtbaar door een controle die je één keer uitvoert en vervolgens archiveert. Elk ervan kan van een klant die je terecht hebt geaccepteerd een klant maken die je nu zou weigeren. Een veelvoorkomend en pijnlijk voorbeeld is een klant die oorspronkelijk als gewone particulier is geaccepteerd en later in een openbaar ambt wordt benoemd. Die wordt daarmee ineens een politiek prominente persoon, terwijl je dossier nog steeds de rekening met een laag risico toont die je twee jaar eerder hebt geopend.
Een blinde vlek in slow motion
Het helpt om stap voor stap te bekijken hoe deze leemte schade veroorzaakt, omdat het falen op het moment zelf meestal niet opvalt. Een betaaldienstverlener accepteert bijvoorbeeld een zakelijke klant. De bestuurders worden gecontroleerd en er zijn geen bezwaren, de uiteindelijk belanghebbenden leveren geen problemen op en er zijn geen sanctiematches. De rekening krijgt een gemiddeld risiconiveau en een beoordelingstermijn van twee jaar. Alle noodzakelijke stappen zijn correct uitgevoerd.
Na vier maanden wordt een van de uiteindelijk belanghebbenden ongemerkt op een sanctielijst geplaatst, nadat voor diens thuisland een nieuw sanctieregime is ingevoerd. Het proces van de betaaldienstverlener bewaakt dit niet, dus de rekening blijft normaal functioneren. Betalingen blijven doorgaan. Sommige blijken later verband te houden met de gesanctioneerde partij. De betaaldienstverlener negeert geen waarschuwing. Er is simpelweg nooit een waarschuwing gekomen, omdat er tussen de beoordelingen niet werd gekeken.
Achttien maanden later vindt de geplande beoordeling plaats en worden de sancties eindelijk toegepast. Op dat moment heeft de betaaldienstverlener al zestien maanden aan transacties verwerkt die niet verwerkt hadden mogen worden. Er volgt een herstelprogramma, er moet met terugwerkende kracht een melding van verdachte activiteiten worden afgehandeld en de toezichthouder wil weten waarom het bijna twee jaar duurde om iets op te merken dat binnen enkele dagen bekend was. Elke afzonderlijke handeling was te verdedigen. Toch was het resultaat een ernstige tekortkoming, met als enige gebrek dat niemand tussentijds toezicht hield. Juist in dat doorlopende toezicht had de betaaldienstverlener niet voorzien, omdat de beoordelingsplanning de indruk had gewekt dat dit toezicht al was geregeld.
De periodieke beoordeling was altijd een compromis
Als eenmalige KYC duidelijk niet volstaat, is de gebruikelijke vangnetoplossing de periodieke beoordeling: controleer elke klant opnieuw om de één tot vijf jaar, en klanten met een hoger risico vaker. Dat is beter dan niets. Lange tijd was het ook de enige praktische mogelijkheid, omdat elke controle handmatig werd uitgevoerd en je onmogelijk iedereen voortdurend kon controleren.
Maar de blinde vlek zit ingebouwd in het periodieke model. Tussen beoordelingen kijkt per definitie niemand mee. Een verandering in de maand na een beoordeling blijft daardoor onopgemerkt tot de volgende, die jaren later kan plaatsvinden. De beoordelingen zelf behoren tot het meest arbeidsintensieve en kostbare werk binnen compliance. Ze komen vaak neer op een golf van algemene verzoeken om alle documentatie opnieuw aan te leveren. Daarmee erger je juist de trouwe klanten met een laag risico die je het liefst tevreden houdt. Een traag, duur en omslachtig proces dat bovendien lange perioden zonder zicht op risico’s laat bestaan, zou vandaag niemand vanaf nul ontwerpen. Het brengt complianceteams ook in de lastige positie dat ze bij elke beoordeling een klant moeten goedkeuren naar wie ze sinds de vorige beoordeling niet meer hebben gekeken.
Toezichthouders verwachten al meer dan een vinkje
Dit is het doorslaggevende punt. Doorlopende monitoring is geen handige extra die vooruitstrevende bedrijven als eerste invoeren. Het wordt al verwacht. FATF-aanbeveling 10 schrijft doorlopende due diligence en het actueel houden van informatie uit het cliëntenonderzoek voor, niet alleen een controle bij onboarding. In het Verenigd Koninkrijk verplicht artikel 28(11) van de Money Laundering Regulations 2017 tot doorlopende monitoring van de zakelijke relatie en het actueel houden van CDD-dossiers. De FCA behandelt doorlopende monitoring als een afzonderlijke, inhoudelijke verplichting naast onboarding. Amerikaanse toezichthouders volgen dezelfde lijn: de regels voor cliëntenonderzoek van FinCEN bevatten een onderdeel voor doorlopende monitoring. De aankomende Anti-Money Laundering Regulation van de EU gaat nog verder, met een geharmoniseerd kader dat vanaf 2027 sterk steunt op voortdurend bijgewerkte klantrisicoprofielen in plaats van statische dossiers.
Hier is één punt van belang, omdat er over dit onderwerp vaak onnauwkeurig wordt geschreven. De term ‘perpetual KYC’, die de sector gebruikt voor doorlopende herscreening naar aanleiding van gebeurtenissen, wordt op zichzelf door geen enkele regeling voorgeschreven. Wat de regels wel voorschrijven, is de verplichting om het cliëntenonderzoek actueel te houden. Doorlopende of perpetual KYC is slechts de manier waarop bedrijven die verplichting in de praktijk invullen. De werkelijke vraag was daarom nooit óf je klanten doorlopend moet monitoren, maar hoe je dat doet. Zo bezien is doorlopende KYC geen verbetering voor voorlopers, maar een voor de hand liggende uitleg van de bestaande regels.
Van verificatie naar zekerheid: zo werkt doorlopende KYC
Bij doorlopende KYC maakt de kalender plaats voor gebeurtenissen. Je controleert niet periodiek alle personen op mogelijke veranderingen, maar bewaakt de veranderingen die ertoe doen en voert een nieuwe beoordeling uit zodra zo’n verandering plaatsvindt.
In de praktijk werken daarvoor verschillende maatregelen samen. Je controleert je klanten en de aan hen verbonden personen doorlopend aan de hand van sanctielijsten, PEP-lijsten, negatieve media en watchlists, zodat nieuwe matches worden ontdekt zodra ze ontstaan. Je volgt veranderingen in de uiteindelijk belanghebbenden, zodat je weet wanneer de personen met zeggenschap veranderen. Je stemt de diepgang van de controles af op het risico: klanten met een laag risico worden regelmatig op de achtergrond gecontroleerd, terwijl elke wezenlijke verandering bij een klant met een hoog risico direct wordt geëscaleerd. Bovendien moet elke beslissing om een klant goed te keuren, informatie bij te werken of een dossier te escaleren berusten op controleerbaar bewijs dat aan de bron is gekoppeld en klaarstaat voor beoordeling door een toezichthouder. Klantrisicobeoordelingen zijn daardoor geen inschattingen op één moment meer, maar vormen veel meer een dynamisch dossier.
Het is belangrijk om duidelijk te maken wat ‘perpetual’ niet inhoudt, omdat de term een verkeerd beeld oproept. Het betekent niet dat je elke klant elke dag aan elke controle onderwerpt of je team overspoelt met een onophoudelijke stroom meldingen. Het betekent dat echte gebeurtenissen het systeem activeren, in plaats van de kalender. Goed uitgevoerd levert dat minder werk op, omdat je geen tijd meer besteedt aan beoordelingen als er niets is veranderd. De kalender dient dan als vangnet voor de incidentele klant bij wie zich geen gebeurtenissen voordoen, in plaats van als belangrijkste methode voor alle klanten.
Hoe een goede set triggers eruitziet
Het slagen of falen van doorlopende KYC hangt volledig af van de triggers: de gebeurtenissen op basis waarvan het systeem bepaalt dat een klant nader onderzoek verdient. Met goed ingestelde triggers werkt het systeem soepel op de achtergrond. Zijn ze verkeerd ingesteld, dan mis je veranderingen of raak je overspoeld. Een paar categorieën zijn het belangrijkst.
Screeningtriggers liggen voor de hand: een nieuwe sanctie- of PEP-match, of recente negatieve media waarin de klant of iemand achter de klant wordt genoemd. Eigendomstriggers worden geactiveerd wanneer de uiteindelijk belanghebbenden of personen met zeggenschap van een zakelijke klant veranderen. De personen die je hebt goedgekeurd, zijn immers mogelijk niet meer degenen die de leiding hebben. Gedragstriggers komen voort uit de activiteiten van de klant zelf: transacties die niet passen bij het profiel bij onboarding, een plotselinge verandering in volume of tegenpartijen die op onverwachte plaatsen opduiken. Geografische triggers en statustriggers signaleren wanneer een klant of diens onderneming actief wordt in een rechtsgebied of sector met een hoger risico. Relatietriggers reageren op structurele gebeurtenissen: een bestuurswisseling, een fusie of een nieuwe tekenbevoegde.
Het gaat erom welke actie elke trigger in gang zet. Niet elke gebeurtenis hoeft tot een volledige herbeoordeling te leiden. Een doeltreffend systeem verwerkt kleine veranderingen via een stille update op de achtergrond, stuurt wezenlijke veranderingen door voor een gerichte controle en legt ernstige gevallen — zoals een actuele sanctiematch — direct aan een menselijke beoordelaar voor, met het relevante bewijs al bijgevoegd. De reactie moet passen bij de ernst van het geval. Alleen zo voorkom je dat doorlopende KYC een constante stroom ruis wordt. De ernst van het geval moet de reactie bepalen, niet alleen het feit dat er iets is gebeurd.
Niet alleen de rekeninghouder verandert
Zowel periodieke beoordelingen als eenmalige controles besteden vaak te weinig aandacht aan de personen rondom de klant. Een zakelijke rekening omvat meer dan alleen de rechtspersoon. Daarachter staan uiteindelijk belanghebbenden, bestuurders, tekenbevoegden en soms een netwerk van verbonden ondernemingen. Elk van hen kan na de onboarding een risico gaan vormen. Dat risico werkt dan door naar de rekening, ook als de entiteit zelf niets heeft gedaan.
Als een uiteindelijk belanghebbende een politiek prominente persoon wordt, verandert het risico voor elke onderneming waarover die zeggenschap heeft. Wordt een bestuurder genoemd in een fraudezaak, dan komt het risico de bestuurskamer binnen. Een tekenbevoegde die tijdens de onboarding ongemerkt wordt toegevoegd, kan bij de eerste screening over het hoofd zijn gezien. Doorlopende zekerheid moet ook deze personen omvatten, niet alleen de naam op de rekening. Juist bij hen treden vaak veranderingen op, en juist die veranderingen zal een jaarlijkse beoordeling van de entiteit waarschijnlijk niet oppikken.
De opbrengst gaat verder dan compliance
Je zou dit alles gemakkelijk kunnen zien als een vinkje dat je vaker moet zetten. In werkelijkheid is de overstap van periodieke naar doorlopende KYC vaak een van de zeldzame veranderingen die meerdere zaken tegelijk verbeteren.
Je herkent risico’s in realtime: als een klant in de derde maand transacties begint op te splitsen om controles te omzeilen, wordt die in dezelfde maand gesignaleerd in plaats van pas bij de volgende beoordeling. De meldingen van verdachte activiteiten (SAR’s) die je indient, zijn gebaseerd op actuele informatie in plaats van verouderde dossiergegevens. Je vraagt tevreden klanten niet langer om alle documentatie opnieuw aan te leveren. Dat verbetert hun ervaring en het klantbehoud merkbaar. Het kost bovendien minder. Bedrijven die overstappen op doorlopende KYC op basis van gebeurtenissen merken doorgaans dat het grootste deel van hun werk aan periodieke beoordelingen vervalt. Het handmatige werk verschuift van geplande perioden waarin teams duizenden ongewijzigde klanten opnieuw moeten onderzoeken naar de daadwerkelijke uitzonderingen die aandacht vragen. Dat een aanpak tegelijk veiliger en goedkoper is en minder wrijving veroorzaakt, is binnen compliance nog niet eerder aangeboden. Het loont om te begrijpen waarom, omdat het tegen het gebruikelijke gevoel ingaat: de besparing ontstaat doordat je je duurste capaciteit, deskundige analisten, niet langer hoeft in te zetten om bij grote aantallen klanten vast te stellen dat er inderdaad niets is veranderd. De meeste complianceverantwoordelijken hebben hun hele loopbaan gehoord dat meer veiligheid altijd hogere kosten meebrengt. Dit is een van de zeldzame gevallen waarin dat niet zo is.
Levert dit niet een overweldigend aantal meldingen op?
Dat is het eerste bezwaar dat mensen noemen, en het is terecht. Complianceteams zijn al overbelast en ‘doorlopende monitoring’ klinkt inderdaad als een belofte van constante ruis. Het bezwaar zou ook kloppen als doorlopende KYC betekende dat elke controle voortdurend voor elke klant wordt herhaald en alle uitkomsten naar een medewerker gaan.
Zo werkt goede doorlopende KYC niet, en precies daar zit de kern. Omdat gebeurtenissen de controles aansturen, leveren de meeste klanten op de meeste dagen geen meldingen op: bij de meeste klanten verandert immers niets. Dankzij de risicogebaseerde aanpak worden routinematige updates voor klanten met een laag risico stil op de achtergrond verwerkt en komen alleen wezenlijke veranderingen naar voren. En doordat het systeem identiteiten correct vaststelt, signaleert het niet elke klant die toevallig dezelfde naam heeft als iemand op een lijst. Daardoor levert doorlopende KYC doorgaans minder zaken op die een medewerker moet beoordelen dan een periodiek model met zijn uitgebreide beoordelingen. De zaken die wel naar voren komen, zijn daadwerkelijk relevant.
Het echte probleem is niet het aantal meldingen. Het is een slecht ingericht systeem dat veel fout-positieven oplevert. Dat is een wezenlijke tekortkoming die je moet voorkomen door entiteiten correct te identificeren, risicoklassen te gebruiken en goedkeuringen aan broninformatie te koppelen. Dat verdient een zorgvuldige aanpak. Het is echter een argument om een goed doorlopend KYC-systeem in te richten, geen reden om vast te houden aan een periodiek model dat je tussen beoordelingen geen zicht geeft op wat er gebeurt. Eenvoudig gezegd gaat de zorg over het aantal meldingen eigenlijk over de kwaliteit van het systeem.
De overstap maken
De overstap van een periodiek naar een doorlopend model vraagt vooral om een paar bewuste keuzes.
- Bepaal welke gebeurtenissen een herbeoordeling moeten uitlokken, zoals een sanctie- of PEP-match, negatieve media, een verandering in eigendom of veranderd transactiegedrag.
- Screen doorlopend aan de hand van de juiste bronnen, in plaats van alleen bij onboarding en op vaste momenten.
- Deel klanten in risicoklassen in, zodat de intensiteit van de monitoring past bij het risico van elke klant en je niet je hele klantenbestand hetzelfde behandelt.
- Keur gevallen met een laag risico zonder veranderingen automatisch goed en leg alleen gevallen met daadwerkelijke veranderingen aan een medewerker voor, zodat je team tijd kan besteden aan belangrijke zaken.
- Bewaar de vastlegging van elke herbeoordeling samen met de relevante broninformatie, zodat het programma controleerbaar is en je alle beslissingen kunt uitleggen.
- Zorg dat je schriftelijke procedures de praktijk weerspiegelen. Als je beleid nog spreekt over een periodieke beoordelingsplanning terwijl je doorlopende monitoring uitvoert, beschrijf je een ander proces dan het proces dat je daadwerkelijk volgt.
Je hoeft je onboardingproces helemaal niet ingrijpend te veranderen. De verificatie bij onboarding blijft haar functie vervullen. Doorlopende KYC zorgt ervoor dat die verificatie geldig blijft zolang de klant bij je blijft. Het onboardingteam heeft vastgesteld wie er binnenkwam; doorlopende KYC zorgt ervoor dat je die klant ook vandaag nog zou goedkeuren.
Hoe je vaststelt of het werkt
Meet de resultaten als je de overstap maakt. De verbetering moet zichtbaar zijn in cijfers, niet alleen op papier. Een paar meetpunten verdienen aandacht.
De tijd die nodig is om een verandering te ontdekken is het belangrijkst: hoeveel tijd verstrijkt er gemiddeld tussen een verandering in de status van een klant en het moment waarop je bedrijf daarvan weet? Bij een periodiek model meet je die tussenperiode in maanden. Het hele idee achter doorlopende KYC is om die terug te brengen tot dagen. Daarnaast is er je beoordelingsachterstand. Die zou moeten afnemen wanneer geplande massale beoordelingen plaatsmaken voor controles naar aanleiding van gebeurtenissen. Dan is er het aandeel periodieke beoordelingen waarbij geen veranderingen zijn gevonden. Een hoog percentage laat direct zien hoeveel werk je onnodig hebt verricht. Tot slot is er de actualiteit van je meldingen van verdachte activiteiten. Die zou moeten verbeteren doordat je gedrag ontdekt zodra het zich voordoet, in plaats van te wachten op de volgende beoordeling. Samen laten deze vier cijfers zien of je daadwerkelijk bent overgestapt van een planning naar een systeem.
Als de cijfers niet veranderen, heeft de verandering in de praktijk niet plaatsgevonden, wat het dashboard van de leverancier ook aangeeft.
Veelgestelde vragen
Zorg dat de verificatie geldig blijft
Een KYC-controle zonder bevindingen bij onboarding betekent dat je de klant op de eerste dag veilig kon bedienen. Die zegt niets over dag vijfhonderd. Bedrijven die in de problemen komen, hadden bij de onboarding meestal geen ernstige problemen. Ze stopten simpelweg met monitoren, terwijl de klant in die periode veranderde. Doorlopende zekerheid is er precies om die leemte te dichten. Een verandering in week één ontdekken is goedkoper dan die in jaar twee moeten afhandelen.
Beady is ontworpen om die extra laag te bieden. Het monitort je klanten en de aan hen verbonden personen doorlopend aan de hand van sanctielijsten, PEP-aanwijzingen, negatieve media en juridische en toezichtsgegevens. Zo hoor je het zodra het risico van je klant verandert, in plaats van pas bij de volgende geplande beoordeling. Elke bevinding is terug te voeren op de oorspronkelijke bron. Daardoor kun je die verifiëren en een toezichthouder precies laten zien wat je wist en wanneer. Het onboardingproces vertelt je wie een klant is; Beady blijft je vertellen wie die klant inmiddels is geworden.
Wil je zien wat doorlopende zekerheid voor je huidige klantenbestand zou opleveren? Vraag een demo aan, dan nemen we dat samen met je door.
