Wat is KYC (Know Your Customer) en waarom hebben bedrijven het nodig?

KYC staat voor Know Your Customer ("ken je klant"): het geheel van wettelijk voorgeschreven procedures waarmee een bedrijf of website de werkelijke identiteit van zijn klanten verifieert en het risico van elke klant op witwassen, fraude en verwante misdrijven beoordeelt. Simpel gezegd betekent KYC dat een bedrijf, voordat het een gebruiker toegang geeft tot financiële of gevoelige diensten, er zeker van is dat die persoon werkelijk is wie hij zegt te zijn.

Als je ooit een account hebt geopend bij een bank, een cryptobeurs of een internationale betaaldienst en er is gevraagd om een foto van je paspoort, identiteitskaart of een nutsvoorzieningenfactuur, dan heb je een KYC-proces doorlopen. Vandaag blijft KYC niet langer beperkt tot banken: van cryptobeurzen en betaalgateways tot marktplaatsen en abonnementsdiensten — elk bedrijf dat geld van mensen verplaatst of bewaart, moet KYC in een of andere vorm uitvoeren. Deze gids legt volledig uit wat KYC precies is, waaruit het bestaat, waarom het wettelijk verplicht is en hoe het vanuit jouw perspectief als gebruiker verloopt.

Wat is KYC?

KYC is een set identiteitsverificatie- en risicobeoordelingsacties die worden uitgevoerd voordat een zakelijke relatie begint en die gedurende die relatie worden voortgezet. Het heeft drie doelen: de werkelijke identiteit van de klant bevestigen, de aard van zijn activiteiten begrijpen (waar zijn geld vandaan komt en waar het naartoe gaat) en inschatten hoe waarschijnlijk het is dat de klant betrokken zou kunnen zijn bij witwassen of terrorismefinanciering. KYC is niet zomaar een gebruik in de sector; het is een onlosmakelijk onderdeel van de anti-witwaswetgeving (AML) wereldwijd.

Het concept gaat terug tot de Amerikaanse Bank Secrecy Act van 1970, die banken verplichtte om registraties bij te houden van valutatransacties van hun klanten. Zijn moderne, wereldwijde vorm kreeg gestalte met de oprichting van de Financial Action Task Force (FATF) door de G7 in 1989. De FATF is nu 's werelds standaardzetter op het gebied van anti-witwas, en haar 40 Aanbevelingen vormen de referentie voor wetgeving in meer dan 200 landen en rechtsgebieden via haar netwerk van negen FATF-achtige regionale organen. In de Verenigde Staten maakte Section 326 van de USA PATRIOT Act (2001) een Customer Identification Program verplicht voor alle financiële instellingen, en in de Europese Unie breidt de keten van AML-richtlijnen — van de vierde (2015/849) tot de vijfde (2018/843) — die in 2024 uitmondt in het uniforme AML-pakket met de nieuwe toezichthouder AMLA, dezelfde verplichting uit naar een steeds bredere groep bedrijven.

De kernbestanddelen van een KYC-programma

Een standaard KYC-programma is opgebouwd uit meerdere complementaire onderdelen — in compliancejargon bekend als CIP, CDD en EDD — die samen met doorlopende monitoring de volledige know-your-customer-levenscyclus vormen.

Customer Identification Program (CIP)

Het Customer Identification Program is de fundamentele stap van KYC: het verzamelen van de minimale informatie die nodig is om een persoon te identificeren — volledige naam, geboortedatum, nationaal of fiscaal identificatienummer en woonadres — en het verifiëren daarvan aan een officieel document zoals een paspoort, identiteitskaart of rijbewijs. In veel rechtsstelsels zijn instellingen verplicht deze registraties gedurende een vastgestelde periode te bewaren en op verzoek aan toezichthouders te tonen.

Customer Due Diligence (CDD)

Customer Due Diligence gaat verder dan het matchen van documenten en stelt de vraag: wie is deze klant, wat zijn zijn beroep en de herkomst van zijn middelen, en welk transactievolume is te verwachten? Het resultaat van CDD is een risicoprofiel dat de risicoklasse van de klant en de diepte van de vereiste beoordeling bepaalt.

Enhanced Due Diligence (EDD)

Als een klant in een hogere risicokategorie valt — bijvoorbeeld Politically Exposed Persons (PEP's), bewoners van hoogrisicolanden of deelnemers aan gevoelige sectoren — dan geldt Enhanced Due Diligence: dieper onderzoek naar de herkomst van het vermogen, de negatieve persgeschiedenis en de eigendomsstructuren. Banken vragen op dit niveau doorgaans aanvullende documentatie en een kennismakingsgesprek.

Doorlopende monitoring

KYC is geen eenmalige gebeurtenis. Rekeningen worden continu gemonitord, zodat ongebruikelijk gedrag — een plotselinge piek in het transactievolume, stortingen die net onder de meldingsdrempels zijn gestructureerd of herhaalde overboekingen naar hoogrisicobestemmingen — wordt gemarkeerd en zo nodig gemeld. Het risicoprofiel van de klant wordt bijgewerkt naarmate de omstandigheden veranderen.

Waarom moeten bedrijven en websites KYC uitvoeren?

De redenen waarom KYC vereist is, kunnen in vijf thema's worden gegroepeerd — en elk thema afzonderlijk is al genoeg reden voor een bedrijf om het proces serieus te nemen.

Wettelijke verplichting en zware boetes: voor banken, beurzen en betaaldiensten is KYC wet, geen keuze. In november 2023 betaalde cryptobeurs Binance ongeveer 4,3 miljard dollar aan de Amerikaanse autoriteiten wegens tekortkomingen bij KYC en de bestrijding van witwassen — de grootste schikking in de geschiedenis van de sector. Eerder, in december 2022, betaalde Danske Bank ongeveer 2 miljard euro aan boetes over circa 200 miljard euro aan verdachte geldstromen die tussen 2007 en 2015 via zijn Estlandse filiale liepen.
Voorkomen van fraude en identiteitsdiefstal: KYC is de eerste verdedigingslinie tegen nepaccounts, ongeautoriseerde opnames en aankopen met andermans identiteit. Als opnames alleen mogelijk zijn voor de geverifieerde eigenaar van een account, verliezen gehackte accounts voor criminelen het grootste deel van hun waarde.
Bestrijding van witwassen en terrorismefinanciering: misdadige opbrengsten moeten "gewassen" worden, en dat wassen verloopt bijna altijd via echte maar niet-geïdentificeerde accounts. Precies die route sluit KYC af.
Naleving van internationale sancties: bedrijven mogen geen zaken doen met gesanctioneerde personen of landen; zonder identiteitsverificatie en screening tegen sanctielijsten (OFAC, de Verenigde Naties, de Europese Unie) is deze verplichting onmogelijk na te leven.
Vertrouwen en commerciële gezondheid: hoge chargeback- en fraudepercentages betekenen directe verliezen en hogere verwerkingstarieven. Een bedrijf dat zijn gebruikers verifieert, geniet van lagere fraudekosten en meer vertrouwen van financiële partners.

Welke bedrijven zijn verplicht KYC uit te voeren?

Elk bedrijf dat geld van mensen ontvangt, bewaart of verplaatst, of gevoelige activa verkoopt, valt in een of andere vorm onder KYC-verplichtingen. De belangrijkste groepen zijn: banken en kredietinstellingen; betaaldiensten en e-wallets zoals PayPal en Wise; cryptobeurzen — sinds januari 2020 expliciet gedekt door de vijfde Europese anti-witwasrichtlijn en later door de MiCA-verordening; forex- en goudmakelaars en -handelaren; verzekeringsmaatschappijen; online gok- en wedplatformen; telecomoperators en simkaartverkopers; veilinghuizen en handelaren in luxe goederen en kunst; en krediet-fintechs. Zelfs sommige marktplaatsen en SaaS-aanbieders draaien vrijwillig KYC — niet vanwege een directe wettelijke verplichting, maar om het frauderisico te verlagen en te voldoen aan de KYC-verwachtingen van hun betalingspartners.

Het KYC-proces stap voor stap, vanuit het perspectief van de gebruiker

Vanuit jouw perspectief als gebruiker verloopt een typisch KYC-proces in zes stappen; de meeste online diensten ronden de reis tegenwoordig automatisch af binnen enkele minuten.

Stap 1 — invoeren van persoonlijke gegevens: je geeft in het registratieformulier je volledige naam, geboortedatum, nationaliteit en adres op. Deze gegevens moeten overeenkomen met je officiële documenten; zelfs een kleine afwijking (zoals een omgezette geboortedatum of een weggelaten tweede voornaam) kan het proces automatisch stoppen.

Stap 2 — uploaden van een identiteitsdocument: je dient een foto of scan van je paspoort, identiteitskaart of rijbewijs in. De fotokwaliteit is erg belangrijk: het beeld moet volledig, niet bijgesneden, vrij van glans en in detail leesbaar zijn. Houd er rekening mee dat mobiele foto's verborgen Exif-metadata kunnen bevatten, zoals de locatie en het tijdstip van de opname, die sommige geautomatiseerde beoordelingssystemen analyseren.

Stap 3 — bewijs van adres: veel diensten willen ook je woonadres geverifieerd zien, meestal met een bankafschrift of een nutsvoorzieningenfactuur (elektriciteit, water, gas, internet) die op jouw eigen naam is uitgeschreven binnen de laatste drie maanden.

Stap 4 — bevestigen van live aanwezigheid: bij digitale onboarding wordt meestal om een selfie of een korte video gevraagd, zodat je gezicht kan worden vergeleken met de foto op het document en je "liveness" kan worden bevestigd via handelingen zoals je hoofd draaien of knipperen.

Stap 5 — geautomatiseerde screening: je naam wordt gecheckt tegen sanctielijsten (OFAC, de Verenigde Naties, de Europese Unie), PEP-lijsten en databases met negatieve persberichten, en de echtheid van het document (zoals het MRZ-patroon van een paspoort) wordt gevalideerd.

Stap 6 — beslissing en monitoring: het oordeel duurt op z'n best enkele minuten en enkele dagen wanneer een handmatige beoordeling komt kijken; daarna wordt je account doorlopend gemonitord, en significante veranderingen (zoals een sprong in het transactievolume) kunnen een verzoek tot KYC-vernieuwing uitlokken.

Wat is het verschil tussen KYC, AML en CDD?

Deze drie termen zijn verwant maar niet identiek. AML (Anti-Money Laundering) is de paraplu van wetten, regelgeving en controles die de internationale gemeenschap heeft ontworpen om witwassen en terrorismefinanciering in te dammen; KYC is een van de belangrijkste instrumenten om dat programma op klantniveau uit te voeren. CDD is, zoals je hebt gelezen, het onderdeel binnen KYC dat zich bezighoudt met risicobeoordeling. De relatie laat zich als volgt samenvatten: AML is het doel en het juridische kader, KYC is het operationele proces van de klant leren kennen binnen dat kader, en CDD is de diepte van de risicoanalyse in de kern van KYC.

eKYC en de toekomst van digitale identiteitsverificatie

eKYC (elektronisch KYC) is de volledig digitale, op afstand werkende versie van het proces — een versie die zonder fysiek filiaal werkt: automatisch uitlezen van documenten met OCR, het lezen van de NFC-chip van moderne paspoorten, biometrische gezichtsmatching en livenessdetectie, en koppelingen met officiële registers. Een prominent voorbeeld is het Indiase Aadhaar-systeem, waarvan meer dan een miljard registraties de persoonlijke verificatie hebben omgevormd tot een transactie van enkele seconden. Voor gebruikers ligt het voordeel van eKYC in snelheid (minuten in plaats van dagen); voor bedrijven betekent het lagere kosten en groter geografisch bereik — daarom is het inmiddels de standaard onder fintechs en online beurzen.

Wat gebeurt er als je KYC niet haalt?

KYC niet halen is niet altijd een "beveiligingsprobleem" — de meeste afwijzingen komen voort uit oplosbare kwesties: een wazige of bijgesneden foto, een verlopen document, een naam of adres die niet klopt met officiële registers, een ongeldig bestandsformaat of een adresgeschiedenis in gesanctioneerde landen. In die gevallen kun je meestal een gecorrigeerd document uploaden of de klantenservice om een handmatige beoordeling vragen. Wanneer de afwijzing voortkomt uit een screeningsresultaat (zoals een naam die overeenkomt met een sanctielijst), wordt het proces lastiger en kan het vaak niet via de gebruikelijke kanalen worden opgelost, omdat de aanbieder geen hoogrisicoklant mag aannemen. Wat je gegevensrechten betreft is je positie helder: in de Europese Unie verplicht de GDPR bedrijven om de verzamelde gegevens te beperken tot wat nodig is en om KYC-documenten alleen zo lang als nodig en voor een vastgestelde periode te bewaren — en jij hebt het recht te weten welke gegevens worden bewaard, waarom en hoe lang.

Veelgestelde vragen over KYC

Waar staat KYC voor?

KYC staat voor Know Your Customer — het geheel van processen waarmee een bedrijf de identiteit van een klant verifieert en zijn risico beoordeelt.

Is KYC wettelijk verplicht?

Ja. Voor banken, financiële instellingen, beurzen en betaaldiensten in vrijwel elk land is het uitvoeren van KYC een directe wettelijke eis, en het overslaan ervan kan leiden tot boetes van miljarden dollars. Voor sommige andere bedrijven wordt KYC indirect verplicht via hun betalingspartners of AML-wetten.

Welke documenten zijn nodig voor KYC?

Drie categorieën: een identiteitsdocument (paspoort, identiteitskaart of rijbewijs), een bewijs van adres (bankafschrift of nutsvoorzieningenfactuur op jouw eigen naam, meestal uitgeschreven binnen de laatste drie maanden) en bij digitale processen een selfie of korte video om live aanwezigheid te bevestigen.

Hoe lang duurt KYC?

Met geautomatiseerde controles op moderne diensten: van enkele minuten tot enkele uren; bij banken en in gevallen die handmatige beoordeling vereisen: doorgaans één tot vijf werkdagen. Hoogrisicogevallen die tot EDD leiden, kunnen enkele weken duren.

Is het veilig om mijn identiteitsdocumenten aan websites te geven?

Als de dienst betrouwbaar is, ja. Dergelijke bedrijven moeten documenten versleuteld bewaren, de toegang ertoe beperken en ze alleen zo lang als nodig bewaren (een GDPR-eis in Europa). Geef de voorkeur aan diensten met een transparant privacybeleid en een publiek staat van dienst, en stuur je documenten nooit via informele kanalen zoals chat of e-mail.

Wat is het verschil tussen KYC en AML?

AML is het juridische kader voor de bestrijding van witwassen; KYC is het operationele instrument daarvan op klantniveau. Met andere woorden: KYC is een onderdeel van het AML-programma van elke organisatie.

Is KYC mogelijk zonder identiteitsdocumenten?

Niet in het standaardgeval; maar alternatieve eKYC-methoden — koppeling aan een officieel identiteitsregister, het lezen van de NFC-chip van een paspoort of biometrische verificatie op bankniveau — kunnen de noodzaak om een traditioneel document te uploaden wegnemen, terwijl op de achtergrond nog steeds een digitaal identiteitsdocument ten grondslag ligt.