Wat is KYC? Know Your Customer uitgelegd
KYC staat voor Know Your Customer: het geheel aan maatregelen waarmee een instelling vaststelt met wie zij zakendoet, wat die cliënt van plan is en welk risico dat meebrengt. In Nederland is KYC de praktijkterm voor wat de Wwft cliëntenonderzoek noemt. Het doel is niet een compleet dossier, maar een onderbouwd oordeel: past deze cliënt bij wat wij weten, en blijft dat zo?
KYC, CDD en cliëntenonderzoek: wat is wat?
| Term | Herkomst | Gebruik |
|---|---|---|
| Cliëntenonderzoek | De Wwft zelf | De juridische term. Gebruik deze in beleid, procedures en correspondentie met de toezichthouder. |
| CDD | Internationaal, customer due diligence | De vakterm voor dezelfde reeks stappen. Gangbaar in tweedelijnsfuncties en bij systeeminrichting. |
| KYC | Internationaal, breder | Praktijkterm die ook de commerciële kant meeneemt: de klant kennen, niet alleen aan de wet voldoen. |
In gesprek maakt het niet uit welke term u gebruikt. In documentatie wel: een toezichthouder die uw beleid leest, verwacht de wettelijke term terug te zien.
De zes stappen
- Identificeren. Vaststellen wie de cliënt is: naam, geboortedatum en -plaats, adres, of bij een onderneming de rechtsvorm, statutaire zetel en inschrijving.
- Verifiëren. Die opgave controleren aan de hand van betrouwbare, onafhankelijke bronnen. Een opgave van de cliënt zelf is geen verificatie.
- Doel en aard vaststellen. Waarom wil deze cliënt deze dienst, en welk gebruik is te verwachten? Dit is de stap die het vaakst wordt overgeslagen — terwijl u zonder verwacht patroon later niet kunt beoordelen of iets afwijkt.
- UBO achterhalen. Bij rechtspersonen doorprikken tot de natuurlijke persoon die bezit of zeggenschap heeft. Zie wat is een UBO.
- Risicoprofiel bepalen. Op basis van cliënt, product, land en leveringskanaal. Screening op PEP-status en sanctielijsten hoort hierbij.
- Monitoren. Doorlopend toetsen of transacties passen bij het vastgestelde profiel, en het dossier actueel houden.
Stap 3 is het scharnierpunt. Zonder vastgelegd verwacht gebruik is transactiemonitoring een systeem dat afwijkingen zoekt van een norm die nergens staat. Dat is precies de bevinding die toezichthouders het vaakst opschrijven.
Drie niveaus van onderzoek
| Niveau | Wanneer | Wat het inhoudt |
|---|---|---|
| Vereenvoudigd | Aantoonbaar laag risico | Lichtere verificatie en minder frequente monitoring. De onderbouwing van het lage risico moet wél in het dossier — vereenvoudigd betekent niet: niets. |
| Standaard | Normaal risico | De zes stappen hierboven in volle omvang. |
| Verscherpt (EDD) | Hoog risico: PEP, hoog-risicoland, complexe structuur, ongebruikelijk patroon | Aanvullend: herkomst van vermogen en middelen, goedkeuring senior management, strakkere monitoring en kortere reviewcyclus. |
Wanneer u opnieuw kijkt
KYC is geen eenmalige handeling bij onboarding. Er zijn twee aanleidingen om een dossier te herzien:
- Periodiek, volgens de frequentie die bij het risicoprofiel hoort: bij laag risico doorgaans elke drie tot vijf jaar, bij hoog risico jaarlijks of vaker.
- Event-driven, zodra er iets gebeurt: wijziging in eigendom of zeggenschap, een afwijkend transactiepatroon, een screeningtreffer, negatief nieuws, of een melding aan FIU-Nederland.
In de praktijk loopt vooral de periodieke review achter. Zodra die achterstand een jaar oud is, groeit hij sneller dan hij weg te werken valt met eigen mensen — zie KYC-remediation.
Digitale KYC
Digitale identiteitsverificatie, identificatie via videocall en verificatie via een betaling vanaf een op naam gestelde rekening zijn alle drie toegestaan. De wet stelt geen papieren eis; hij stelt een betrouwbaarheidseis. Drie vragen bepalen of uw methode standhoudt:
- Is de bron onafhankelijk van de cliënt?
- Kunt u aantonen dat de methode fraude in redelijke mate detecteert — bijvoorbeeld deepfakes bij videoverificatie?
- Is het resultaat reproduceerbaar vastgelegd, zodat een derde later kan nagaan wat er is gecontroleerd?
Waar het in de praktijk misgaat
- Verzamelen in plaats van beoordelen. Een dossier vol documenten zonder conclusie is geen cliëntenonderzoek. De vraag is niet wat u hebt opgehaald, maar wat u ervan vindt.
- Doel en aard als vrije tekst. "Zakelijke dienstverlening" is geen verwacht patroon en dus onbruikbaar voor monitoring.
- Risicoprofiel dat nooit verandert. Als vrijwel elke cliënt op laag risico staat, meet uw model niets.
- Onboarding en monitoring gescheiden. De analist die een alert beoordeelt, ziet niet wat er bij acceptatie is afgesproken — dan is elk oordeel een gok.
- Drie keer hetzelfde uitvragen. Commercieel de duurste fout: klanten haken af, en de eerste lijn gaat het proces omzeilen.
Veelgestelde vragen
Wat betekent KYC?
KYC staat voor Know Your Customer: het geheel aan maatregelen waarmee een instelling vaststelt met wie zij zakendoet, wat die cliënt van plan is en welk risico dat oplevert. In Nederland is KYC de praktijkterm voor wat de Wwft cliëntenonderzoek noemt. De begrippen worden door elkaar gebruikt, maar cliëntenonderzoek is de juridische term.
Wat is het verschil tussen KYC en CDD?
In de praktijk vrijwel niets; formeel wel. CDD (customer due diligence) is de reeks wettelijk voorgeschreven stappen: identificeren, verifiëren, doel en aard vaststellen, UBO achterhalen, risicoprofiel bepalen en monitoren. KYC is de bredere, informele term voor het kennen van de klant, inclusief de commerciële kant ervan. Wie precies wil zijn in beleid en procedures, gebruikt CDD.
Welke stappen omvat KYC?
Zes: identificeren van de cliënt, verifiëren van die identiteit aan de hand van betrouwbare bronnen, vaststellen van doel en beoogde aard van de relatie, achterhalen en verifiëren van de UBO, bepalen van het risicoprofiel, en doorlopende monitoring van transacties en dossier. Bij hoog risico komen verscherpte maatregelen daar bovenop.
Wanneer moet KYC opnieuw worden gedaan?
Bij een periodieke review volgens de frequentie die bij het risicoprofiel hoort — bij laag risico doorgaans elke drie tot vijf jaar, bij hoog risico jaarlijks of vaker. Daarnaast altijd bij een gebeurtenis: een wijziging in eigendom of zeggenschap, een afwijkend transactiepatroon, een treffer in screening, of nieuwe informatie uit open bronnen.
Mag KYC volledig digitaal?
Ja, mits de gebruikte methode betrouwbaar is en u kunt aantonen waarom. Digitale identiteitsverificatie, videocall-identificatie en verificatie via een betaling vanaf een geverifieerde rekening zijn gangbaar. De eis is niet dat het op papier gebeurt, maar dat de bron onafhankelijk en betrouwbaar is en dat het proces reproduceerbaar in het dossier staat.
Wat kost slechte KYC?
Twee dingen tegelijk. Bij een toezichtonderzoek leiden dossiertekorten tot herstelverplichtingen, en bij ernstige gebreken tot boetes die in de miljoenen kunnen lopen. Commercieel kost het minstens zoveel: onboarding die weken duurt omdat gegevens ontbreken, en klanten die afhaken bij de derde uitvraag van hetzelfde document.
Bronnen
- Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) — wetten.overheid.nl
- Uitvoeringsregeling Wwft — wetten.overheid.nl
- Wwft — Open Boek Toezicht, De Nederlandsche Bank
- Verordening (EU) 2024/1624 (AMLR) — EUR-Lex
- Financial Action Task Force (FATF)
Lees verder
Wilt u weten of uw KYC-inrichting de toets doorstaat? Een onafhankelijke toets beoordeelt opzet, bestaan en werking — inclusief een dossiersteekproef, want daar wordt zichtbaar wat beleid alleen belooft.