Wat is KYC? Betekenis, proces en aanbieders

KYC staat voor Know Your Customer. Het is het proces waarbij een organisatie de identiteit van haar klant vaststelt, het risicoprofiel beoordeelt en deze informatie vastlegt. KYC is bedoeld om witwassen, fraude en terrorismefinanciering te voorkomen.

Voor veel organisaties is KYC geen losse stap. Het bepaalt hoe snel iemand door onboarding komt en hoe goed je later kunt onderbouwen waarom een klant is geaccepteerd. Hieronder lees je wat KYC betekent, hoe het proces werkt, wat er per land verschilt, welke partijen deze verificaties aanbieden en waar het in de praktijk misgaat.

Inhoudsopgave

• Wat betekent KYC
• De KYC-procedure in vijf stappen
• Wanneer KYC verplicht is
• KYC in Nederland, Duitsland, België en het VK
• KYC, CDD, AML en Wwft naast elkaar
• Waarom je bank om KYC-gegevens vraagt
• Zeven aanbieders van KYC-verificatie in Europa
• Waar KYC in de praktijk vastloopt
• Hoe DataChecker helpt

Wat betekent KYC

KYC is de afkorting van Know Your Customer. In het Nederlands hoor je ‘ken uw klant’, maar in de wet heet het cliëntenonderzoek.

Het begrip komt uit de bankwereld. Banken moesten hun klanten beter leren kennen om witwassen tegen te gaan. Inmiddels is het veel breder verspreid. Accountants, notarissen, advocaten, makelaars, trustkantoren en cryptodienstverleners doen het ook.

KYC bestaat uit drie onderdelen:

• Identificatie. Wie zegt de klant te zijn?
• Verificatie. Klopt dat?
• Risicobeoordeling. Welk risico brengt deze klant met zich mee?

Veel organisaties gebruiken KYC als synoniem voor een ID-check. Dat is het niet. Met een ID-check stel je vast wie iemand is. Met KYC stel je bovendien vast of je met deze partij zaken wilt doen, waarom, en of dat over een jaar nog steeds klopt. Een geldig paspoort zegt niets over de herkomst van iemands geld.

De KYC-procedure in vijf stappen

De volgorde is bij vrijwel elke organisatie hetzelfde. Hoe diep je per stap gaat, hangt af van het risico.

1. Identificatie

Verzamel de basisgegevens. Bij particulieren gaat het om naam, geboortedatum en adres. Bij zakelijke klanten om het KvK-nummer, de statutaire gegevens en de eigendomsstructuur.

Vraag niet standaard om het BSN. Veel organisaties denken dat dat bij een Wwft-cliëntenonderzoek hoort, maar de Wwft schrijft het BSN nergens voor. De wet kent een identificatieplicht en staat toe dat je een kopie van het identiteitsdocument bewaart, waar het nummer nu eenmaal op staat. Dat is iets anders dan erom vragen. Artikel 46 van de Uitvoeringswet AVG bepaalt dat een bij wet voorgeschreven identificatienummer alleen gebruikt mag worden ter uitvoering van die wet. Heb je geen andere wettelijke grondslag, dan mag je er dus niet naar vragen. Toestemming van de klant helpt daarbij niet.

2. Verificatie

Controleer of het klopt. Bij online onboarding wordt het identiteitsdocument gecontroleerd op echtheid, waarbij onder meer de chip, de machineleesbare zone en de veiligheidskenmerken worden bekeken. Daarna wordt via biometrische verificatie vastgesteld dat de persoon voor de camera dezelfde is als op het document, en dat het om een levend persoon gaat.

3. Risicobeoordeling

Bepaal het risicoprofiel. Bij laag risico volstaat een lichtere controle, bij hoog risico is verscherpt onderzoek nodig naar bijvoorbeeld de herkomst van middelen. Hoe je die niveaus kiest, staat uitgebreid in het artikel over customer due diligence.

4. Onderzoek naar de eigenaren

Bij zakelijke klanten breng je in kaart wie er uiteindelijk aan de knoppen zit, de zogenoemde UBO. Dat is de persoon die direct of indirect méér dan 25 procent van de aandelen, stemrechten of het eigendomsbelang houdt. Let op dat woordje meer: bij precies 25 procent is iemand geen UBO. Bij complexe holdingstructuren kost deze stap meestal de meeste tijd.

5. Doorlopende monitoring

KYC stopt niet bij onboarding. Je houdt transacties in de gaten, herbeoordeelt de relatie op basis van risico en meldt ongebruikelijke transacties bij FIU-Nederland. Het dossier bewaar je vijf jaar na het einde van de relatie. Een vaste jaarlijkse herbeoordeling is gangbare praktijk, maar geen wettelijke termijn. De wet vraagt om een risicogebaseerde aanpak, niet om een kalender.

Tip: leg bij elke stap niet alleen de uitkomst vast, maar ook waaróp je die hebt gebaseerd. Bij een audit is de vraag zelden of je hebt gecontroleerd, maar of je kunt laten zien hoe.

Wanneer KYC verplicht is

De verplichting komt uit de Wet ter voorkoming van witwassen en financieren van terrorisme, kortweg de Wwft. Artikel 3 van die wet schrijft voor dat een instelling cliëntenonderzoek verricht en benoemt wat dat moet opleveren: de klant identificeren en verifiëren, de uiteindelijk belanghebbende vaststellen, het doel van de relatie bepalen en die relatie blijven controleren.

Het gaat onder meer om:

• banken, verzekeraars en betaaldienstverleners;
• accountants, belastingadviseurs en administratiekantoren;
• notarissen, advocaten en trustkantoren;
• makelaars en vastgoedbemiddelaars;
• aanbieders van cryptodiensten.

Volgens de Rijksoverheid geldt de wet voor partijen die burgers toegang geven tot het financiële stelsel. Dat is de logica erachter. Wie de deur openzet, controleert wie er binnenkomt.

Kijk daarbij niet naar je branche maar naar je dienst. Eén activiteit, zoals bemiddelen bij een vastgoedtransactie, kan je al Wwft-plichtig maken terwijl de rest van je bedrijf dat niet is.

Val je er niet onder, dan mag je nog steeds KYC doen. Veel bedrijven kiezen daar bewust voor, omdat investeerders, opdrachtgevers en verzekeraars steeds vaker vragen hoe klantacceptatie is ingericht.

KYC in Nederland, Duitsland, België en het VK

Werk je over de grens, dan is KYC niet één proces maar vier. De onderliggende Europese afspraken zijn hetzelfde, maar de wet waar je je aan houdt en de toezichthouder die erop let verschillen per land.

In het Engels heten die vier stuk voor stuk AML-wetgeving. Dat is precies waar de verwarring ontstaat, want het is vier keer een andere wet. De AFM noemt de Wwft op haar Engelstalige site de Dutch Anti-Money Laundering and Anti-Terrorist Financing Act. BaFin noemt het Geldwäschegesetz in het Engels de Anti-Money Laundering Act. Zelfde term, andere wet, andere artikelen.

Wat dat verder betekent voor wie in meerdere van deze landen actief is:

• Documenten verschillen. Een Duitse Personalausweis, een Belgische eID en een Brits paspoort hebben elk hun eigen opbouw en veiligheidskenmerken. Een verificatieproces dat alleen op Nederlandse documenten is getraind, loopt over de grens vast.
• Het Verenigd Koninkrijk staat los van de EU. Na de Brexit volgt het VK eigen regels en een eigen certificeringskader voor digitale identiteitsdiensten. Wat in Nederland volstaat, is daar niet automatisch geaccepteerd.
• De AVG geldt niet overal hetzelfde. Binnen de EU is dat één kader, richting het VK gelden aanvullende afspraken over doorgifte van persoonsgegevens.
• Rapportage loopt uiteen. Vier landen betekent vier meldkanalen en vier bewaarregimes.

De meeste organisaties lossen dit op door één verificatiepartner te kiezen die alle vier de markten kent, in plaats van per land een aparte leverancier. Dat scheelt niet alleen inkoop, maar vooral discussie over waarom een dossier in het ene land wel en in het andere niet compleet is.

KYC, CDD, AML en Wwft naast elkaar

Deze vier termen worden door elkaar gebruikt. Ze zitten op verschillende niveaus.

Kort gezegd: AML is het waarom, de Wwft is het moet, CDD is het wat en KYC is het hoe.

Praat je in het Engels met een Britse of Duitse relatie over je Nederlandse verplichtingen, dan zeg je AML en begrijpt iedereen dat je de Wwft bedoelt. Dat is prima. Maar AML in Londen betekent de Money Laundering Regulations 2017 en AML in Frankfurt het Geldwäschegesetz. Wie in meerdere markten werkt, kan die twee niet door elkaar halen.

In de praktijk gebruiken de meeste organisaties KYC en CDD wél als synoniem. Dat is meestal geen probleem, zolang je dossier maar laat zien dat je ook de risicoafweging hebt gemaakt. Witwassen voorkom je niet met een paspoortscan.

Waarom je bank om KYC-gegevens vraagt

Als ondernemer krijg je op enig moment een vragenlijst van je bank. Wat voor omzet verwacht je, waar komen je klanten vandaan, waarom staat er ineens een groter bedrag op de rekening.

Dat voelt als wantrouwen, maar de bank voert haar eigen wettelijke plicht uit. Banken moeten hun klanten doorlopend blijven kennen, niet alleen op het moment dat je klant werd.

De vragen worden zwaarder naarmate je profiel als risicovoller wordt gezien. Contant geld, internationale betalingen en complexe structuren leiden vrijwel altijd tot extra vragen. Reageer je niet, dan kan de bank de relatie beëindigen. Dat is geen dreigement maar een gevolg. Zonder afgerond cliëntenonderzoek mag de bank de dienstverlening niet voortzetten.

Zeven aanbieders van KYC-verificatie in Europa

De meeste organisaties voeren KYC niet volledig zelf uit. Ze kopen de verificatie in bij een gespecialiseerde partij en houden de beoordeling zelf in huis.

De markt is internationaal en behoorlijk verdeeld. Amerikaanse aanbieders zijn groot geworden in de eigen thuismarkt, Europese partijen zijn gebouwd rond Europese regelgeving en Europese documenten. Dat verschil merk je in de praktijk: bij wat een aanbieder standaard controleert, waar hij data opslaat, en hoe goed hij overweg kan met een Belgische eID of een Duitse Personalausweis.

Zeven partijen die je in Europa regelmatig tegenkomt, in alfabetische volgorde:

Dit is geen ranglijst en geen volledig overzicht. Er zijn ook partijen die vooral op de Amerikaanse markt of op databaseverificatie zijn gericht en die je in Europa zelden in een aanbesteding tegenkomt. Welke partij past hangt af van waar je klanten vandaan komen, onder welk toezicht je valt en hoeveel je zelf wilt beoordelen.

Vier vragen die het verschil maken bij het kiezen:

• Waar staan de gegevens? Verificatiegegevens zijn persoonsgegevens. Opslag buiten de EU maakt je AVG-verhaal ingewikkelder dan nodig.
• Wie kijkt er als de automatische controle twijfelt? Sommige aanbieders sturen twijfelgevallen terug naar jou. Andere hebben zelf een team dat het document beoordeelt.
• Kent de aanbieder jouw markten? Een platform dat wereldwijd sterk is, is niet automatisch sterk op Nederlandse verblijfsdocumenten, Belgische eID’s of Britse Right to Work-controles.
• Wat krijg je terug voor je dossier? Een groen vinkje is geen audittrail. Je wilt kunnen laten zien wat er is gecontroleerd en waarom de uitkomst is wat hij is.

In het kort: de meeste aanbieders doen ongeveer hetzelfde bij een schoon paspoort. Het verschil zit in wat er gebeurt bij het document dat er nét niet klopt, en in wat je daarna in je dossier terugvindt.

Waar KYC in de praktijk vastloopt

De theorie is helder. De uitvoering vaak niet.

Veel organisaties werken nog met losse documenten, e-mail en handmatige controles. Daardoor hangt het proces aan individuele acties in plaats van aan een vaste route. Dat zie je terug in:

• onvolledige dossiers, waarbij een document ontbreekt of een verificatie niet is vastgelegd;
• inconsistente beoordelingen, waarbij de ene collega strenger is dan de andere;
• trage klantacceptatie, waarbij onboarding dagen of weken duurt;
• een dunne audittrail, waardoor je achteraf niet kunt reconstrueren wat er is beoordeeld en waarom;
• verschillen per land, waarbij het Duitse team iets anders vastlegt dan het Nederlandse en niemand weet welke versie klopt;
• AVG-risico’s, doordat identiteitsdocumenten in mailboxen blijven rondslingeren.

Het probleem zit dus niet in wát er moet gebeuren. Het zit in hoe.

Hoe DataChecker helpt

DataChecker automatiseert het controleerbare deel van KYC. Identiteitsdocumenten worden gecontroleerd op echtheid via ID Verificatie, de persoon wordt aan het document gekoppeld met biometrie en liveness, en de uitkomst komt vastgelegd in één dossier terecht in plaats van in vijf mailboxen.

Twijfelt de automatische controle, dan komt het document bij een specialist terecht die weet hoe vervalsing er in werkelijkheid uitziet. Dat is bewust zo ingericht. Bij het document dat er nét niet klopt is een menselijk oordeel nog altijd het scherpst.

Documenten uit vrijwel elk land worden herkend en gecontroleerd. Het zwaartepunt van de dienstverlening ligt in Nederland, Duitsland, België en het Verenigd Koninkrijk. Werk je in meerdere van die markten, dan gebruik je één proces en één dossiervorm, terwijl de controle zich aanpast aan het document en de regels van het land waar de klant vandaan komt.

Daarnaast kun je het onderzoek uitbreiden met aanvullende checks, afgestemd op het risicoprofiel van de klant. Zo blijft het cliëntenonderzoek proportioneel. Licht waar het licht mag, zwaar waar het zwaar moet.

Wat je overhoudt is een dossier dat laat zien wat er is gecontroleerd, wanneer, en op welke grond de klant is geaccepteerd. In elk land op dezelfde manier.

Plan een demo en ontdek hoe je grip krijgt op je KYC-proces.

Laatst bijgewerkt: augustus 2026.