Volgens gegevens uit 2024 van de uitvoerende dienst van de Commissie voor de Preventie van Witwassen en Monetaire Overtredingen (SEPBLAC) werden meer dan 24.000 waarschuwingen voor verdachte transacties ontdekt als gevolg van verplichte verificaties van ken-je-klant (KYC) in Spanje. De meeste waarschuwingen kwamen van financiële instellingen (86%), gevolgd door niet-financiële instellingen (11,6%) en andere soorten entiteiten (2,6%).

In Spanje zijn specifieke bedrijfsentiteiten wettelijk verplicht om ken-je-klant-controles uit te voeren. Elk bedrijf dat de opsporing en preventie van fraude wil verbeteren, kan dit echter ook vrijwillig doen. Of ken-je-klant nu wel of niet verplicht is voor jouw bedrijf, het is belangrijk om te weten hoe je het implementeert. In dit artikel leggen we ken-je-klant uit, inclusief het doel en de procedures.

Wat staat er in dit artikel?

• Wat betekent ken-je-klant (KYC)?
  
• Wat zijn de voordelen van ken-je-klant?
  
• Wie is verplicht om ken-je-klant-procedures te implementeren in Spanje?
  
• Wettelijke vereisten voor ken-je-klant-procedures in Spanje
  
• Voorbeeld van een ken-je-klant-procedure in Spanje
  
• Hoe Stripe Identity ken-je-klant-procedures vereenvoudigt
  
• Veelgestelde vragen over ken-je-klant in Spanje
  

Wat betekent ken-je-klant (KYC)?

Een ken-je-klant-procedure is ontworpen om de identiteit van klanten te verifiëren voordat ze diensten aangaan of online aankopen doen. Het doel is om het risico op fraude en andere financiële misdrijven, zoals het witwassen van geld, te verminderen.

Om de identiteit van klanten te verifiëren en bedreigingen voor de veiligheid, inclusief identiteitsdiefstal en diefstal van persoonlijke gegevens, te beperken, kunnen bedrijven mechanismen gebruiken zoals tweefactorauthenticatie en digitale handtekeningen.

Wat zijn de voordelen van ken-je-klant?

Naast het feit dat ken-je-klant in sommige sectoren verplicht is, biedt de implementatie van ken-je-klant voordelen op operationeel en strategisch niveau voor bedrijven die in digitale omgevingen werken. Dit zijn de belangrijkste voordelen van het integreren van ken-je-klant-procedures:

• Fraudebescherming
  Het verifiëren van de identiteit van klanten maakt het moeilijker voor frauduleuze actoren om toegang te krijgen. Ken-je-klant is de eerste barrière die elke klant verifieert. Dit is vooral belangrijk in een digitale omgeving waar gevallen van identiteitsdiefstal goed zijn voor 14% van de vragen aan het National Cybersecurity Institute (INCIBE).
  
• Operationele stabiliteit
  Strikte compliance met de Wet ter voorkoming van witwassen is belangrijk om bedrijfscontinuïteit te garanderen. Naast financiële sancties kan een gebrekkig ken-je-klant-systeem leiden tot opschorting van bedrijfsactiviteiten of ontzetting van bestuurders.
  
• Automatisering en nauwkeurigheid in gegevensverwerking
  De meeste moderne ken-je-klant-oplossingen maken gebruik van optische tekenherkenning (OCR) en kunstmatige intelligentie (AI) om met hoge nauwkeurigheid informatie uit documenten te halen. Doordat gegevens niet handmatig hoeven te worden ingevoerd, minimaliseren deze ken-je-klant-oplossingen menselijke fouten. Dit kan resulteren in betrouwbare en gestandaardiseerde klantendossiers.
  
• Snelle ingebruikname
  Een van de belangrijkste redenen voor afhaken tijdens het registratieproces is een trage of complexe onboarding. De integratie van een flexibel ken-je-klant-systeem kan deze ervaring transformeren. Een proces dat voorheen fysieke documentatie en lange wachttijden vereiste, kan nu bijvoorbeeld binnen enkele seconden worden voltooid. Bovendien zijn sommige ken-je-klant-oplossingen compatibel met identiteitsdocumenten uit tientallen landen, waardoor ze eenvoudiger te lanceren zijn in nieuwe markten.
  

Wie is verplicht om ken-je-klant-procedures te implementeren in Spanje?

Verordening (EU) 2024/1624 stelt het regelgevend kader vast dat de toepassing van ken-je-klant-beleid en -procedures in de EU regelt. Elke lidstaat heeft echter de bevoegdheid om zijn eigen juridische nuances aan te brengen.

In Spanje regelt Wet 10/2010 ter voorkoming van het witwassen van geld en de financiering van terrorisme voornamelijk het ken-je-klant-systeem. Hieronder geven we een lijst van entiteiten die wettelijk verplicht zijn om identificerende informatie te verzamelen en te verifiëren wanneer ze een commerciële relatie aangaan of onderhouden in Spanje.

Financiële instellingen

Financiële instellingen lopen een groter risico op frauduleuze transacties omdat ze zich richten op het beheer van de financiële middelen van klanten. Dit blijkt uit gegevens van SEPBLAC, waaruit blijkt dat banken, spaarbanken, betalingsinstellingen en andere kredietinstellingen het grootste aantal op aanwijzingen gebaseerde meldingen hadden in 2024. Hier is een volledige lijst van financiële instellingen die verplicht zijn om ken-je-klant-procedures te implementeren:

• Kredietinstellingen
  
• Levens- of beleggingsverzekeringsmaatschappijen
  
• Bedrijven voor beleggingsdiensten
  
• Beheerders en bedrijven van beleggingsfondsen
  
• Beheerders van pensioenfondsen
  
• Durfkapitaalbeheerders en -maatschappijen
  
• Onderlinge waarborgmaatschappijen (d.w.z. non-profitorganisaties die Spaanse [kleine en middelgrote ondernemingen] financieren en vallen onder Wet 1/1994).
  
• Instellingen voor elektronisch geld en betalingen
  
• Professionele wisselkantoren
  
• Dienstverleners op het gebied van cryptovaluta
  

Niet-financiële instellingen

Sommige entiteiten buiten de financiële sector zijn ook betrokken bij transacties met een hoog risico. Loterijbeheerders, registratiehouders en notarissen registreerden het grootste aantal meldingen op basis van indicaties in 2024, volgens SEPBLAC. De volgende niet-financiële instellingen moeten ken-je-klant-procedures implementeren:

• Aanbieders van postwisseldiensten, zolang hun hoofdactiviteiten logistiek betreffen en niet die van betalingsinstellingen
  
• Kredietmakelaars en kredietverstrekkers die opereren zonder bankvergunning en wettelijk niet worden beschouwd als kredietinstellingen of financiële kredietinstellingen
  
• Projectontwikkelaars en makelaars met verhuurtransacties gelijk aan of groter dan € 10.000 per maand of € 120.000 per jaar
  
• Accountants, externe accountants en belastingadviseurs
  
• Notarissen en kadastrale ambtenaren, ambtenaren van het register van roerende goederen en ambtenaren van het handelsregister
  
• Advocaten en notarissen bij bepaalde transacties namens klanten, zoals financiële of onroerend goed transacties
  
• Professionals die diensten verlenen aan bedrijven en trusts
  
• Casino's
  
• Handelaren in juwelen, edelstenen of edele metalen
  
• Kunst- of antiekhandelaren of -makelaars
  
• Verkopers van goederen met terugkoopaanbiedingen
  
• Loterij- en gokexploitanten bij het uitbetalen van winsten
  
• Verkopers van goederen met aankopen door niet-ingezetenen van Spanje met een waarde van meer dan € 10.000 en betaald met betaalmethoden met een hoog risico, zoals contant geld
  
• Stichtingen en verenigingen wanneer zij geld bijdragen of ontvangen
  
• Beheerders van effectenvereffenings- en betalingssystemen
  

Zelfs als een bedrijf niet wettelijk verplicht is om een ken-je-klant-systeem in te voeren, wordt de implementatie ervan aanbevolen om het frauderisicobeheer te verbeteren. Omdat ken-je-klant inhoudt dat de identiteit en financiële activiteiten van klanten worden geverifieerd, kan dit proces bedreigingen zoals identiteitsdiefstal helpen beperken.

Wettelijke vereisten voor ken-je-klant-procedures in Spanje

Wet 10/2010 stelt ook de vereisten vast waaraan alle entiteiten moeten voldoen die ken-je-klant-procedures moeten implementeren. De vereisten zijn onderverdeeld in eisen op het gebied van due diligence en controlemaatregelen. We beschrijven de belangrijkste van deze vereisten hieronder.

Due diligence

Due diligence omvat het verzamelen van informatie over de identiteit en economische activiteiten van klanten. Due diligence maatregelen worden toegepast in verhouding tot het niveau van het klantrisico, het type product of de aard van de transactie. Deze risicoanalyse moet vooraf schriftelijk worden geformaliseerd om het risicoprofiel en uiteindelijk de toepasselijke vereisten te bepalen.

Zorgvuldigheidseisen voor profielen met een laag risico

In gevallen waarin uit de analyse blijkt dat het risicoprofiel laag is, staat de regelgeving de toepassing van vereenvoudigde due diligence-maatregelen toe. Dit vereenvoudigt de procedures zonder de compliance met de regelgeving in gevaar te brengen. De belangrijkste vereisten worden hieronder beschreven:

• Identificeer de klant
  De eerste stap voor bedrijven of professionals die ken-je-klant-procedures implementeren, is het formeel identificeren van de klant. Als het om een juridische entiteit gaat (bijv. een bedrijf dat een kantoor wil kopen), moet de uiteindelijke belanghebbende worden geïdentificeerd (d.w.z. de persoon die meer dan 25% bezit of het bedrijf controleert).
  
• Verifieer de beroeps- of bedrijfsactiviteit
  De entiteit die verantwoordelijk is voor de ken-je-klant-procedure moet verifiëren of de beroeps- of bedrijfsactiviteit van de klant waarheidsgetrouw is (bijv. aan de hand van de loonlijst of bedrijfswinsten). Deze verificatie moet redelijk zijn (d.w.z. in verhouding tot het risiconiveau van de transactie).
  
• Bepaal het doel van de transactie
  Vervolgens moet het doel van de klant voor de financiële transactie worden achterhaald. Dit moet overeenkomen met de eerder geverifieerde professionele of zakelijke activiteit. Als het doel van de transactie bijvoorbeeld is om een deel van het spaargeld van de entiteit te gebruiken om te investeren in cryptocurrencies, kan een aankoop van €500.000 in bitcoin redelijk zijn als het bedrijf een jaaromzet van enkele miljoenen heeft. Het zou echter niet redelijk zijn voor een individu met een maandsalaris van €1.500.
  
• Implementeer voortdurende controle
  Het ken-je-klant-systeem is niet beperkt tot het begin van de zakelijke relatie. In plaats daarvan gaat het om voortdurende controle. Als een klant bijvoorbeeld een salaris van € 2.900 verdiende toen hij in een fonds investeerde, maar nu werkloos is en geen inkomen heeft, is het belangrijk voor de financiële instelling om die informatie te weten. Daarom is het belangrijk om klantgegevens bij te werken als er belangrijke veranderingen optreden in hun profiel.
  

Due diligence vereisten voor profielen met een hoog risico

Als uit de analyse blijkt dat het klantprofiel, de transactie of het aangekochte activum een hoog risico inhoudt, worden er verscherpte due diligence maatregelen toegepast. Deze komen bovenop de vereisten voor profielen met een laag risico. Hieronder leggen we enkele van de meest voorkomende maatregelen in Spanje uit:

• Lokaliseer de herkomst van de fondsen
  Deze versterkte maatregel is bijvoorbeeld van toepassing als de klant een positie met publieke verantwoordelijkheid bekleedt, zoals een minister of een hoge leider van een politieke partij met vertegenwoordigers in het parlement.
  
• Eisen van een elektronische handtekening
  Als de transactie elektronisch plaatsvindt, moet de entiteit de identiteit van de klant verifiëren met een elektronische handtekening die voldoet aan de eisen van Verordening (EU) 910/2014.
  
• Verkrijg uitdrukkelijke machtiging
  Bij bepaalde grensoverschrijdende betalingen van een Spaanse bank naar een buitenlandse bank is uitdrukkelijke toestemming van de directie vereist voordat de geldoverboeking wordt uitgevoerd.
  

Controle- en informatiemaatregelen

Als de resultaten van due diligence wijzen op mogelijke illegale activiteiten, moet het bedrijf dat verantwoordelijk is voor de ken-je-klant-procedure de volgende controle- en informatiemaatregelen nemen:

• Speciaal onderzoek
  De entiteit moet haar interne controleprotocollen toepassen om het specifieke geval te onderzoeken en een rapport op te stellen waarin de redenen voor het vermoeden en de getrokken conclusies in detail worden beschreven.
  
• Op aanwijzingen gebaseerde of systematische rapportage
  Als de conclusie van het speciale onderzoek het aanvankelijke vermoeden bevestigt of versterkt, moet het bedrijf een rapport sturen naar SEPBLAC waarin de identiteit van de klant, de activiteit en de verdachte transactie worden beschreven. Zelfs als er geen bewijs van verdenking is, is het verplicht om een systematische melding te sturen van die transacties die hun oorsprong of bestemming hebben in landen met een hoog witwasrisico.
  
• Uitschakeling van transacties
  Het bedrijf moet afzien van het uitvoeren van de transactie, tenzij dit onmogelijk is of het verloop van het onderzoek zou kunnen belemmeren.
  
• Verbod tot openbaarmaking
  Het is de entiteit verboden om de klant of derden te informeren over de melding aan SEPBLAC, ongeacht of de melding indicatief of systematisch is.
  
• Samenwerken met autoriteiten
  Als de relevante autoriteiten om aanvullende informatie vragen, moet de entiteit deze snel en nauwkeurig verstrekken om het onderzoek te vergemakkelijken.
  
• Documentbewaring
  Het bedrijf moet gedurende 10 jaar alle documentatie bewaren die de naleving van de wettelijke vereisten voor ken-je-klant-procedures in Spanje bewijst.
  

Voorbeeld van een ken-je-klant-procedure in Spanje

Hoewel customer due diligence verificaties variëren afhankelijk van het risicoprofiel en het type bedrijf, zijn de fundamentele stappen in de meeste gevallen vergelijkbaar. Hier is een voorbeeld van een ken-je-klant-procedure in Spanje:

• Toegang tot het formulier
  Booking.com is het meest gebruikte boekingssysteem voor accommodatie in de B2C-omgeving in Spanje, zelfs vóór directe boekingen bij hotels. Het management van een traditioneel hotel besluit een zakelijke relatie aan te gaan met dit online reisbureau als onderdeel van zijn digitale transformatie strategie. Om op het platform te kunnen werken, moet het eerst het ken-je-klant-formulier van Booking.com invullen.
  
• Bepaal het type entiteit
  Booking.com hanteert verschillende vereisten, afhankelijk van het type entiteit. Zelfstandigen hoeven bijvoorbeeld alleen hun persoonlijke gegevens en bankrekeninggegevens in te vullen. Het hotel is echter geregistreerd in het Commercieel Register als een besloten vennootschap met beperkte aansprakelijkheid (SL), dus de hotelmanagers selecteren de optie “Bedrijfsentiteit”.
  
• Vul het formulier in
  De vertegenwoordiger vult het formulier in namens de SL. Om als partnerbedrijf te werken, vraagt Booking.com om informatie, zoals de bedrijfsnaam, de oprichtingsdatum en het internationaal bankrekeningnummer (IBAN) voor de bankrekening van het bedrijf.
  
• Verifieer de informatie en analyseer het risico
  Na ontvangst van het formulier voert Booking.com het verificatieproces uit, dat uit verschillende stappen bestaat, zoals het identificeren van de eigenaren van de SL en het controleren of de informatie overeenkomt met de gegevens in het handelsregister. Vervolgens wordt een risicoanalyse uitgevoerd en, indien de uitkomst gunstig is, wordt een zakelijke relatie met het hotel aangegaan.
  
• Implementeer een ken-je-klant-procedure voor boekingen
  Het is gebruikelijk dat platforms zoals Booking.com deze procedure uitbreiden naar klanten die hotelboekingen maken om hun ken-je-klant-protocollen te versterken. In deze video demonstreren we het identiteitsverificatieproces met Stripe Identity en de stappen die klanten moeten doorlopen tijdens het boekingsproces.
  

Hoe Stripe Identity ken-je-klant-procedures vereenvoudigt

Als je wettelijk verplicht bent om een ken-je-klant-systeem in Spanje te implementeren, moet je ervoor zorgen dat de procedures voor het verzamelen van informatie voldoen aan de Algemene Verordening Gegevensbescherming (AVG). Stripe Identity vergemakkelijkt deze taak door identiteitsverificatie tijdens het onboardingproces te vereenvoudigen en te voldoen aan de Spaanse ken-je-klant-regelgeving.

Met Identity kun je de identiteit van je klanten verifiëren en het risico op het lekken van vertrouwelijke gegevens verkleinen. Bovendien vereenvoudigt het de werkdruk van fraudeteams door handmatige taken te verminderen, terwijl legitieme klanten profiteren van snellere en eenvoudigere verificatieprocessen.

Bovendien kan de combinatie van Stripe Payments – het online betaalplatform van Stripe – met Stripe Radar – de fraudetool – helpen frauduleuze aanvallen te voorkomen. Dit komt door de beveiligingsmaatregelen van deze systemen en de preventie van valse positieven die de conversie kunnen beïnvloeden.

Voor platforms en marktplaatsen kan Stripe Connect de ken-je-klant-procedures voor meerpartijenbetalingen vereenvoudigen. Het integreert ken-je-klant-verificaties voor klanten, naast verificaties voor bedrijven en professionals die hun producten en diensten aanbieden op je website.

Veelgestelde vragen over ken-je-klant in Spanje

Is het verplicht om ken-je-klant-procedures uit te voeren voor alle transacties?

Of ken-je-klant-procedures verplicht zijn, hangt af van het type entiteit. Financiële instellingen (bijv. kredietinstellingen en aanbieders van cryptovalutadiensten) moeten ken-je-klant-procedures toepassen op alle transacties. Sommige niet-financiële entiteiten hoeven deze verificaties echter alleen in specifieke gevallen uit te voeren. Winkels en professionals moeten bijvoorbeeld de ken-je-klant-procedure uitvoeren bij transacties aan niet-ingezetenen voor bedragen van meer dan €10.000 die worden betaald met betaalmethoden met een hoog risico.

Wat gebeurt er als de ken-je-klant-procedure niet wordt uitgevoerd ondanks dat het verplicht is?

Als een bedrijf niet voldoet aan de verplichting om ken-je-klant-procedures te implementeren, zal het de toepasselijke boetes moeten accepteren. Kleine overtredingen - zoals het niet identificeren van een klant bij een enkele transactie - kunnen resulteren in privé berispingen of boetes tot €60.000,-. In het geval van een ernstige overtreding - zoals het niet identificeren van de klant wanneer er aanwijzingen of zekerheid zijn van witwassen of financiering van terrorisme - is de minimumboete €60.000. Voor zeer ernstige overtredingen - inclusief recidive - is de minimumboete €150.000. Naast boetes kunnen ernstige en zeer ernstige overtredingen leiden tot andere gevolgen, zoals tijdelijke opschorting van de administratieve vergunning om te werken en ontzetting uit het recht van leidinggevenden.

Is het raadzaam om ken-je-klant-procedures te implementeren in een e-commercebedrijf?

Hoewel e-commercebedrijven niet wettelijk verplicht zijn om een ken-je-klant-systeem te implementeren, wordt het aanbevolen voor het opsporen en voorkomen van fraude in e-commerce. Door informatie te verzamelen over klanten en hun economische activiteiten, kun je het risiconiveau in zakelijke relaties bepalen en, indien nodig, extra voorzorgsmaatregelen nemen om bedreigingen zoals identiteitsdiefstal te voorkomen. Het implementeren van de ken-je-klant-procedure zonder dat dit verplicht is, is vooral aan te raden voor bedrijven die risicovollere betaalmethoden accepteren, zoals e-commercebedrijven die cryptovalutabetalingen of termijnbetalingen accepteren.