Regeling CDD kredietinstellingen en verzekeraars

Regeling van De Nederlandsche Bank N.V. en de Pensioen- & Verzekeringskamer ingevolge de artikelen 22a en 30ca Wet toezicht kredietwezen 1992, de artikelen 70a en 98a Wet toezicht verzekeringsbedrijf 1993 en artikel 31a Wet toezicht natura-uitvaartverzekeringsbedrijf in verband met artikel 5, tweede lid, en artikel 3, derde lid jo. eerste lid, onder c, van het Besluit van 10 oktober 2003 (Besluit integere bedrijfsvoering kredietinstellingen en verzekeraars), Stb. 2003, 396, met betrekking tot het opstellen en onderhouden van `ken uw cliënt'-procedures.

De Nederlandsche Bank N.V. en de Pensioen- & Verzekeringskamer,

Gelet op de artikelen 22a en 30ca Wet toezicht kredietwezen 1992, de artikelen 70a en 98a Wet toezicht verzekeringsbedrijf 1993 en artikel 31a Wet toezicht natura-uitvaartverzekeringsbedrijf in verband met artikel 5, tweede lid en artikel 3, derde lid jo. artikel 3, eerste lid onder c van het Besluit integere bedrijfsvoering kredietinstellingen en verzekeraars;

Na overleg met de betrokken representatieve organisaties;

Besluiten:

Artikel 1 Definities

In deze regeling wordt verstaan onder:

a. cliënt: de natuurlijke persoon of rechtspersoon als bedoeld in de in artikel 2 van deze regeling bedoelde norm;

b. Besluit: Besluit van 10 oktober 2003, houdende regels ter zake van een integere bedrijfsvoering door kredietinstellingen en verzekeraars alsmede tot wijziging van enkele koninklijke besluiten in verband met de Wet Actualisering en harmonisatie financiële toezichtwetten (Besluit integere bedrijfsvoering kredietinstellingen en verzekeraars), Stb. 2003, 396;

c. instelling: een kredietinstelling of een verzekeraar;

d. kredietinstelling: een kredietinstelling zoals bedoeld in artikel 1, eerste lid, onder a, Wet toezicht kredietwezen 1992 en ingeschreven in het register, bedoeld in artikel 52, tweede lid, onder a, b en e, van de Wet toezicht kredietwezen 1992;

e. verzekeraar: de verzekeraar die in het bezit is van een vergunning hem door de Pensioen- & Verzekeringskamer verleend op grond van de Wet toezicht verzekeringsbedrijf 1993 of de Wet toezicht natura-uitvaartverzekeringsbedrijf dan wel de verzekeraar waarvan deze vergunning is ingetrokken of vervallen.

Artikel 2 Normstelling

1. De kredietinstelling hanteert de norm zoals die is verwoord in het rapport `Customer Due Diligence for banks' van het Basel Committee on Banking Supervision (het Bazelse Comité)¹ als uitganspunt waaraan het beleid en de organisatorische en administratieve procedures en maatregelen ter zake van de identiteit, de aard en de achtergrond van de cliënten ten minste moeten voldoen.

2. De verzekeraar hanteert als norm de algemeen aanvaarde principes met betrekking tot customer due diligence zoals deze zijn verwoord in de Anti-Money Laundering Guidance Notes van de International Association of Insurance Supervisors² en in de veertig aanbevelingen van de Financial Action Task Force (FATF)³ als uitgangspunt waaraan het beleid en de organisatorische en administratieve procedures en maatregelen ter zake van de identiteit, de aard en de achtergrond van de cliënten ten minste moeten voldoen.

Artikel 3 Acceptatie van cliënten

1. De instelling stelt beleid vast ter zake van de acceptatie van cliënten, dat ten minste voldoet aan de in artikel 2 bedoelde norm, waaronder het maken van onderscheid in risico's, die betrekking hebben op de identiteit, aard en achtergrond van de cliënt en op de risico's die afgenomen producten of diensten met zich meebrengen.

2. Onverminderd het bepaalde bij en krachtens de Wet identificatie bij dienstverlening vindt het beleid zijn neerslag in organisatorische en administratieve procedures en maatregelen, waaronder interne voorschriften ter zake van het vaststellen van de identiteit, de aard en de achtergrond van de cliënten van de instelling.

3. De instelling beschikt over organisatorische en administratieve procedures en maatregelen, die betrekking hebben op risicoclassificaties ten aanzien van cliënten, producten of diensten. De instelling hanteert objectieve, kenbare criteria ten aanzien van de risicoclassificaties.

4. De instelling accepteert geen cliënt indien zij de identiteit, aard en achtergrond van de cliënt niet afdoende heeft vastgesteld conform de organisatorische en administratieve procedures en maatregelen als bedoeld in het tweede lid.

Artikel 4 Identificatie van cliënten en verificatie

Onverminderd het bepaalde bij en krachtens de Wet identificatie bij dienstverlening beschikt de instelling over organisatorische en administratieve procedures en maatregelen ter zake van de identificatie van cliënten en van de verificatie daarvan.

Artikel 5 Monitoring en review van cliënten, rekeningen en transacties

De instelling beschikt over organisatorische en administratieve procedures en maatregelen ter zake van de analyse van gegevens van cliënten, mede in relatie tot de door de cliënt afgenomen producten of diensten, en ter zake van de detectie van afwijkende transactiepatronen.

Artikel 6 Eisen aan procedures en maatregelen

De organisatorische en administratieve procedures en maatregelen als bedoeld in de artikelen 2 tot en met 5 voldoen ten minste aan de in artikel 2 bedoelde norm en zijn toegesneden op de onderscheiden risico's waarbij geldt dat bij een hoger risico strengere procedures en maatregelen van kracht zijn.

Artikel 7 Risicomanagement

1. De instelling draagt zorg voor uitvoering en periodieke toetsing van het beleid, de organisatorische en administratieve procedures en maatregelen alsmede de interne voorschriften als bedoeld in de artikelen 2 tot en met 6. Dit omvat mede de documentatie ter zake van de acceptatie en indeling van cliënten en de bewaking van het handelen van cliënten van de instelling.

2. De uitvoering behelst ten minste een opleiding die is toegesneden op de binnen de instelling aanwezige functies. De opleiding maakt deel uit van het opleidingsprogramma van de betreffende personeelsleden.

Artikel 8 Inwerkingtreding en overgangsbepaling

1. Deze regeling treedt in werking met ingang van de tweede dag na de datum van uitgifte van de Staatscourant waarin zij wordt geplaatst dan wel, indien deze datum voor 1 januari 2004 ligt, op 1 januari 2004.

2. Een instelling die op datum van inwerkingtreding van deze regeling werkzaam is, voldoet op 1 juli 2004 aan het bepaalde in deze regeling.

Artikel 9 Citeertitel

Deze regeling wordt aangehaald als: Regeling CDD kredietinstellingen en verzekeraars.

Deze regeling zal met de toelichting in de Staatscourant worden geplaatst.

Toelichting

Algemeen

Op grond van de artikelen 22a en 30ca Wet toezicht kredietwezen 1992, de artikelen 70a en 98a Wet toezicht verzekeringsbedrijf 1993 en artikel 31a Wet toezicht natura-uitvaartverzekeringbedrijf in verband met artikel 5, tweede lid, en artikel 3, derde lid jo. artikel 3, eerste lid, onder c, van het Besluit van 10 oktober 2003 (Besluit integere bedrijfsvoering kredietinstellingen en verzekeraars) hebben De Nederlandsche Bank NV (hierna: DNB) en de Pensioen- & Verzekeringskamer (hierna: PVK) de opdracht om regelgeving uit te vaardigen met betrekking tot de identiteit, de aard en de achtergrond van de cliënten van instellingen. Deze regeling geeft daar invulling aan.

Het uitgangspunt van deze regeling is, voor kredietinstellingen, naast de uitgangspunten die de wet en het Besluit aanreiken, de norm zoals deze onder meer is verwoord in het rapport `Customer Due Diligence for banks' (CDD) en de `General Guide to Account Opening and Customer Identification' van het Basel Committee on Bank Supervision (het Bazelse Comité)⁴ en die in de veertig aanbevelingen van de Financial Action Task Force (FATF) geadopteerd wordt voor het financiële stelsel.⁵ De uitgangspunten van deze regeling voor verzekeraars zijn, naast de uitgangspunten die de wet en het Besluit aanreiken, de Customer due diligence (CDD)-principles zoals deze zijn verwoord in de International Association of Insurance Supervisors Anti-Money Laundering Guidance Notes⁶ en in de veertig aanbevelingen van de Financial Action Task Force (FATF). Onderhavige regeling voorziet de normen voor respectievelijk banken en verzekeraars van een juridische basis. In artikel 2 van de regeling wordt op deze normen aangesloten.

De uitvoering van de onderhavige regeling betekent dat er verwerking van persoonsgegevens zal plaatsvinden door de betrokken instellingen. Dat betekent dat de Wet Bescherming Persoonsgegevens (WBP) van toepassing zal zijn. Het is de verantwoordelijkheid van de afzonderlijke instellingen om de volgens de WBP vereiste formaliteiten te verrichten.

Customer Due Diligence (CDD)

De norm als bedoeld in artikel 2 van onderhavige regeling heeft ten eerste betrekking op het vormgeven van beleid binnen instellingen op het gebied van het verkrijgen van inzicht in de cliënten (`ken uw cliënt', hierna: customer due diligence, CDD). De norm zal vanuit een door de instelling vorm te geven risicobenadering bijdragen aan een adequaat inzicht in de relevante aspecten van de cliënten waar men zaken mee doet. Het beleid bepaalt daarbij binnen welke kaders de instelling zal opereren. Het beleid vindt zijn neerslag in organisatorische en administratieve procedures en maatregelen.

Het niet of onvoldoende aanwezig zijn van CDD-beleid en procedures kan leiden tot het optreden van de volgende risico's.

- Reputatierisico: het risico dat door nadelige publiciteit kan ontstaan.

- Operationeel risico: het risico van schade als gevolg van het feit dat niet volgens procedures wordt gehandeld.

- Juridisch risico: het risico van rechtszaken, strafvervolging, en de daarmee gepaard gaande boetes, schadevergoedingen en sancties die een bedreiging kunnen vormen voor de continuïteit van de bedrijfsvoering.

- Concentratierisico: het risico dat er (onbewust) teveel zaken worden gedaan met personen of ondernemingen die uiteindelijk tot hetzelfde conglomeraat behoren.

Deze risico's - al dan niet in samenhang - kunnen een groot afbreukrisico vormen en tot forse directe en indirecte schade leiden, zowel materieel (verliezen) als immaterieel (reputatieschade). DNB en PVK achten dan ook adequate invulling door banken en verzekeraars van groot belang, waarbij het uitgangspunt een risk-based benadering is. Dat betekent dat een instelling zelf een inschatting moet maken van de risico's die een bepaalde cliënt of een bepaald product met zich meebrengt (risicoanalyse). Teneinde de geïdentificeerde risico's te mitigeren treft de instelling beheersmaatregelen.

Procedures moeten op de risico's zijn afgestemd. De eerste stap bij de implementatie van CDD-procedures is dan ook een inventarisatie van cliënten in combinatie met producten en/of diensten. Met betrekking tot cliënten kan dan bijvoorbeeld een onderscheid worden gemaakt tussen:

- voor kredietinstellingen: cliënten met een inkomen uit arbeid, cliënten met een inkomen uit vermogen, rechtspersonen midden- en kleinbedrijf, grote ondernemingen, stichtingen en verenigingen;

- voor verzekeraars: cliënten die een schadeverzekering afsluiten, cliënten die een levensverzekering afsluiten, financieel belang per verzekering;

- voor alle instellingen: ingezetenen of niet-ingezetenen, inwoners van een land buiten bijvoorbeeld de EU of de OECD of een land dat door de FATF is aangemerkt als een niet-meewerkend land (NCCT).

Maatregelen voor vergelijkbare risico's, ook als deze zich binnen een andere businessline voordoen, dienen gelijkwaardig te zijn. Bij het formuleren van procedures moet telkens worden aangegeven voor welke risicoclassificatie de procedure is geformuleerd.

De beheersing van risico's leidt in ieder geval tot procedures ten aanzien van:

- de acceptatie van cliënten;

- de identificatie van cliënten;

- de bewaking van cliënten, rekeningen en transacties met een hoger risico.

Binnen de instellingen dient een en ander op adequate wijze te worden belegd. Daarnaast dient aandacht te worden besteed aan aspecten van risicomanagement, compliance, interne controle en opleidingen.

De positie van deze regeling

Er is onderscheid te maken in de mate van uitwerking van de norm voor de verschillende instellingen, banken enerzijds en verzekeraars anderzijds.

Tot dusverre is door DNB en de representatieve organisaties van het bankwezen aan het onderwerp CDD in gezamenlijk overleg invulling gegeven op basis van de norm zoals deze onder meer is verwoord in het rapport `Customer Due Diligence for banks' (CDD) van het Bazelse Comité.⁷ Dit heeft geleid tot het besluit dat DNB voorshands terzake geen eigen nadere regelgeving uitvaardigt (zie de circulaire van DNB d.d. 7 juni 2002). Wel zijn er afspraken gemaakt tussen DNB en de representatieve organisaties die het volgende vastleggen.

- In de eerste plaats komen kredietinstellingen tot een benchmarking van de aanwezige procedures en richtlijnen met betrekking tot customer due diligence en de aanbevelingen van Bazel. De uitkomst van deze analyse en het op basis daarvan verkregen inzicht in de te verrichten activiteiten om met de Bazelse aanbeveling compliant te worden, moesten vóór 1 januari 2003 door DNB ontvangen zijn, met een aanduiding van prioriteiten en daarbij passende tijdschema's.

- Kredietinstellingen dienen aanvullend beleid te formuleren met het oog op de mogelijke risico's en dit in te bedden in de organisatie. Dit behelst onder meer het formuleren van customer acceptance policies. Een en ander zal door DNB beoordeeld worden in het licht van de Bazelse aanbevelingen en de specifieke activiteiten van de instelling

De onderhavige regeling verschaft een juridische basis voor de in artikel 2 bedoelde norm en zet de eerder gemaakte afspraken met de kredietinstellingen voort. De afspraak tussen de representatieve organisaties van het bankwezen en DNB dat op specifieke onderwerpen gekomen wordt met een nadere toelichting die in een gezamenlijke inspanning tot stand komt, blijft staan. Met verzekeraars zijn nog geen afspraken gemaakt inzake de invulling van de norm als verwoord in artikel 2. Nader overleg met de verzekeraars over de invulling van de norm kan naar aanleiding van deze regeling plaatsvinden. De regeling schept een kader waaraan instellingen zelf, op basis van een gedifferentieerde risicobenadering, een nadere invulling dienen te geven. De maatregelen dienen binnen de instellingen in alle voorkomende bedrijfsprocessen ingevoerd te worden. Voor zover de instelling buiten Nederland actief is (door middel van dochtermaatschappijen, bijkantoren of in relatie tot of door middel van correspondent-banken) is deze regeling tevens op die activiteiten gericht.

De toezichthouders zijn zich ervan bewust dat beleid, procedures en maatregelen met betrekking tot CDD voor veel instellingen nog nieuwe elementen kent. De toezichthouders zullen, in overleg met de representatieve organisaties, de feitelijke uitwerking van de regeling volgen en evalueren, waarbij ook de administratieve lasten zullen worden meegewogen.

Artikelsgewijze toelichting

Artikel 2 Normstelling

Dit is in het algemene deel van de toelichting besproken.

Artikel 3 Acceptatie van cliënten

Artikel 3 handelt in zijn algemeenheid over de acceptatie van cliënten. Van een instelling wordt een adequaat beleid verwacht ter zake van de acceptatie van cliënten. Dit beleid voldoet ten minste aan de norm als bedoeld in artikel 2. Belangrijk hierin is de verdeling van het cliëntenbestand in risicocategorieën op basis van risico's die met de cliënt in kwestie samenhangen en op basis van de risico's die met de producten of diensten samenhangen, en het opstellen van procedures per categorie. Het beleid moet daadwerkelijk zijn vertaald naar het handelen van de instelling in alle geledingen. De instelling moet op basis van de norm zelf een inschatting maken van de risico's die een bepaalde cliënt of een bepaald product met zich meebrengen. Dit leidt uiteindelijk tot een verdeling in risicogroepen. Ook moet de instelling beschikken over procedures en maatregelen om cliënten in te delen in risicogroepen, waarbij zij objectieve en kenbare criteria dient te hanteren.

Onderdeel van de organisatorische en administratieve procedures en maatregelen is dat ze vastleggen op welke wijze informatie wordt vergaard over de cliënt en de producten of diensten. Een instelling gaat niet tot acceptatie van een cliënt over wanneer de identiteit, aard en achtergrond van de cliënt niet afdoende zijn vastgesteld conform de organisatorische en administratieve procedures en maatregelen. Dit geldt niet alleen de acceptatie aan het begin van de cliëntrelatie, maar het gaat hier om een afweging die voortdurend gemaakt moet worden. Zie voor dit laatste aspect ook artikel 5.

Artikel 4 Identificatie van cliënten en verificatie

Artikel 4 ziet op identificatie van cliënten van de instelling en op de verificatie daarvan. Identificatie is het door de instelling kennen van de cliënt (inclusief vertegenwoordigers en rechthebbenden). Verificatie is het controleren van de identiteit van de cliënt. De Wet identificatie bij dienstverlening (Wid) geldt hier⁸. In het kader van CDD verlangt onderhavige regeling daarnaast een risicobenadering, waarbij bij verhoogd-risicocliënten een zwaardere inspanningsverplichting geldt voor het vaststellen van de uiteindelijk rechthebbende.

Artikel 5 Monitoring en review van cliënten, rekeningen en transacties

Het is van belang dat de instelling periodiek toetst of de cliënt nog steeds aan het risicoprofiel voldoet. Uitgangspunt is dat frequentie en diepgang van de review afhankelijk is van de risicosituatie van de cliënt. Voor een kredietinstelling kunnen eventuele signalen over rekeninggebruik en transacties aanleiding zijn voor passende maatregelen, bijvoorbeeld herziening van het risicoprofiel van de cliënt. Voor een verzekeraar kunnen bijvoorbeeld signalen over transacties zoals het op grote schaal afkopen van verzekeringen aanleiding zijn voor een review, dat wil zeggen een herziening van het risicoprofiel van de cliënt. Van belang is dat er binnen de instelling een integraal, geconsolideerd inzicht bestaat in de situatie van de cliënt. Veel cliënten hebben meerdere rekeningen bij dezelfde instelling. Geaggregeerde informatie op cliëntniveau is dan ook noodzakelijk. De instelling zal in ieder geval systematisch moeten kunnen controleren of er sprake is van patronen of activiteiten die afwijken van het profiel van de cliënt.

Artikel 6 Eisen aan procedures en maatregelen

Het is van belang dat procedures en maatregelen zijn toegesneden op de onderscheiden risicogroepen én dat bij een groep met een hoger risico meer dan wel scherpere procedures en maatregelen van kracht zijn dan bij een groep met een lager risico.

Artikel 7 Risicomanagement

Een goede implementatie van CDD in de organisatie van de instelling is essentieel. Als sluitstuk van effectieve cliëntacceptatie en cliëntprocedures dient de instelling duidelijke voorschriften ten behoeve van alle personeelsleden op te stellen. In het belang van de continuïteit van het bedrijf is uitgangspunt van de CDD-procedures dat de leiding tot beleid maakt dat naast de commerciële risico's ook andere (immateriële) en cliëntenrisico's worden meegewogen. De cliëntacceptatie/-identificatieprocedures sluiten als zodanig naadloos aan op (Operational Risk)-activiteiten, waarbij de instelling in de volle breedte bekend moet zijn met huidige en toekomstige risico's rondom de cliënt. Uiteraard is daarbij periodieke toetsing nodig van het beleid en van de organisatorische en administratieve procedures en maatregelen alsmede de interne voorschriften ter zake van de identiteit, de aard en de achtergrond van de cliënten van de instelling aan de norm als bedoeld in artikel 2.

In het beleid betreffende CDD dient de instelling de nodige aandacht te besteden aan het vastleggen van het besluitvormingsproces aangaande de cliëntacceptatie, alsmede de voortdurende bewaking van de cliënt en zijn transacties (historieopbouw en dossiervorming). Gegevens dienen minimaal vijf jaar bewaard te worden na de dienstverlening of beëindiging van de cliëntrelatie. De wijze van vastlegging dient zodanig te zijn ingericht dat kan worden nagegaan welke functionaris op grond van welke overwegingen en welke documenten/feiten tot zijn besluit is gekomen. De vastlegging dient op eenduidige en toegankelijke wijze te geschieden. Ook tot risicobeheersing behoort periodieke controle en evaluatie van het beleid, de procedures en voorschriften. Aan de hand van gebeurtenissen binnen of buiten het bedrijf dient periodieke ijking plaats te vinden. Intern toezicht vervult hierbij een belangrijke taak.

¹ Basel Committee on Banking Supervision, Customer due diligence for banks, oktober 2001.

² International Association of Insurance Supervisors, Anti-Money Laundering Guidance Notes for Insurance Supervisors and Insurance Entities, januari 2002.

³ In juni 2003 heeft de FATF de herziene veertig aanbevelingen uitgegeven (The Forty Recommendations). Dit rapport van de FATF bevat ook Eight Special Recommendations on Terrorist Financing.

⁴ Basel Committee on Banking Supervision, Customer due diligence for banks, oktober 2001. In oktober 2001 heeft het Bazelse Comité het rapport `Customer Due Diligence for banks' (CDD) uitgebracht. Met de circulaire van 7 juni 2002 is door DNB het rapport aan de instellingen toegezonden. Verder is door DNB en door de Nederlandse Vereniging van Banken (NVB) een gezamenlijke toelichting d.d. 8 mei 2003 gegeven op het rapport. Het rapport en de circulaire vormen gezamenlijk het kader waarbinnen de instellingen hun inspanningen op het gebied van kennis van de cliënt (CDD) zelf vormgeven. Voor een uitgebreide toelichting wordt verwezen naar het rapport van het Bazelse Comité, naar de circulaire van DNB d.d. 7 juni 2002 en naar de gezamenlijke toelichting van DNB en de NVB d.d. 8 mei 2003.

⁵ In juni 2003 heeft de FATF de herziene veertig aanbevelingen uitgegeven (The Forty Recommendations). Dit rapport van de FATF bevat ook Eight Special Recommendations on Terrorist Financing.

⁶ International Association of Insurance Supervisors, Anti-Money Laundering Guidance Notes, januari 2002.

⁷ De Bazelse norm is ook overgenomen in de herziene aanbevelingen van de FATF van juni 2003.

⁸ Waar de Wid een anti-witwasperspectief heeft en ook de FATF met name hierop (en op financiering van terrorisme) is gericht, ziet de norm van artikel 2 op een breder prudentieel perspectief. Het gaat hier ook om het voorkomen van betrokkenheid van de instelling bij (het gewild of ongewild faciliteren van) onder meer fraude, fiscale fraude, benadeling (van derden), handel met voorkennis, marktmanipulatie, corruptie, smokkel, illegale wapenhandel, heling, milieudelicten.