Una investigació KYC és la investigació del client que els bancs, les entitats de pagament, els proveïdors de serveis de criptoactius, els notaris, els comptables i els bufets d'advocats dels Països Baixos han de dur a terme en virtut de la Llei de prevenció del blanqueig de capitals i del finançament del terrorisme (Wwft). Té tres components fixos: establir i verificar qui és el client, comprendre la propietat, la finalitat de la relació i el risc que comporta, i supervisar la relació mentre duri. La profunditat de cada component es basa en el risc, de manera que no hi ha una plantilla única que s'adapti a tots els clients. Un fitxer que no es manté no és un problema de paperassa: exposa la institució a l'aplicació de la supervisió i, en casos greus, a la responsabilitat penal.
Què és una investigació KYC segons la legislació neerlandesa
La legislació neerlandesa no utilitza l'abreviatura anglesa. La Wwft parla de clientenonderzoek, diligència deguda del client, i estableix en una disposició què ha d'aconseguir aquesta investigació. La institució ha d'identificar el client i verificar aquesta identitat, identificar el beneficiari final i prendre mesures raonables per verificar qui és aquesta persona, establir la finalitat i la naturalesa prevista de la relació comercial, comprovar si la persona que actua en nom del client està autoritzada a fer-ho i supervisar la relació i les transaccions que s'hi duen a terme de manera contínua. Aquests cinc elements són l'eix vertebrador de tota investigació KYC, independentment del programari que la institució utilitzi per executar-la.
El segon principi organitzador és la proporcionalitat. El Wwft prescriu un enfocament basat en el risc: la institució decideix fins on anar, però ha de ser capaç d'explicar aquesta decisió. Un consumidor neerlandès assalariat que obre un compte d'estalvis no representa el mateix risc que una estructura de cartera offshore amb un director nominat, i l'expedient hauria de mostrar aquesta diferència. Els supervisors poques vegades multen les institucions per fer massa poques preguntes en abstracte; les multen per no tenir cap raó defensable per a la profunditat que van triar.
Com es relaciona KYC amb la lluita contra el blanqueig de capitals en general
KYC és la capa a nivell de client d'un marc més ampli contra el blanqueig de capitals . El marc també inclou la supervisió de transaccions, la formació del personal, la governança, el manteniment de registres i el deure d'informació. Val la pena mantenir separats dos corpus legals. El Wwft imposa deures preventius als guardians i l'apliquen principalment els supervisors administratius. El blanqueig de capitals en si mateix és un delicte penal i es defineix als articles 420bis a 420quater del Wetboek van Strafrecht (Codi Penal neerlandès), no al Wwft. Per tant, una institució pot incomplir el Wwft sense que ningú hagi blanquejat ni un cèntim, i un client pot cometre blanqueig de capitals encara que l'arxiu de la institució fos impecable.
La conseqüència pràctica és que una investigació KYC serveix a dos amos. Ha de convèncer el supervisor que la institució ha fet el que demana el Wwft i ha de donar a la institució prou informació per adonar-se quan alguna cosa està realment malament. Els fitxers creats només per al primer propòsit tendeixen a fallar en el segon.
Quines empreses han de dur a terme una investigació KYC
La Wwft s'aplica a una llista definida d'institucions en lloc de les empreses en general. Cobreix bancs, proveïdors de serveis de pagament i institucions de diners electrònics, asseguradores de vida, empreses d'inversió i gestors de fons, proveïdors de serveis de criptoactius, oficines fiduciaries, notaris i notaris de dret civil, advocats, comptables, assessors fiscals i oficines d'administració, agents immobiliaris i taxadors de propietats, comerciants de béns que accepten pagaments en efectiu per sobre del llindar establert a la Llei, comerciants d'art i prestadors. Els proveïdors de jocs d'atzar també hi estan coberts. Si la vostra organització apareix a aquesta llista, la investigació del client no és opcional i no es pot externalitzar: una institució pot confiar en un tercer per a parts del treball, però continua sent responsable del resultat. La nostra visió general de les obligacions KYC que s'apliquen a les empreses neerlandeses estableix els deures per categoria amb més detall.
Per als bufets d'advocats, l'abast és més reduït del que molts clients suposen, i el matís importa. Un advocat neerlandès només és una institució obligada quan assessora o actua en un conjunt definit de serveis, en general la compra i venda de béns immobles o negocis, la gestió de diners o valors, la creació o gestió d'empreses i treballs transaccionals comparables. L'assessorament sobre la situació legal d'un client i la representació en procediments legals queden fora del deure d'informació, que és com es preserva el secret professional dels advocats. Les empreses que confonen els dos o bé informen del que no haurien de fer o bé no informen del que han de fer.
El marc legal: Wwft, la Llei de sancions i el codi normatiu únic de la UE
Tres conjunts de normes se superposen, i confondre-les és l'error estructural més comú en els fitxers de compliment normatiu neerlandesos. La Wwft regula la investigació dels clients i la notificació de transaccions inusuals. La Sanctiewet de 1977 (Llei de sancions) regula la verificació de les llistes de sancions i la congelació d'actius. Les regulacions de la UE se situen per sobre de totes dues, i a partir del 2027 assumeixen gran part del detall.
Què requereix el Wwft
El Wwft és la implementació neerlandesa de les directives europees contra el blanqueig de capitals. Obliga a cada institució a dur a terme la seva pròpia avaluació de riscos documentada, a traduir aquesta avaluació en polítiques, procediments i mesures escrites, a dur a terme la investigació del client abans d'establir una relació comercial o dur a terme una transacció ocasional per sobre del llindar legal, i a informar de transaccions inusuals a la FIU-Nederland. També exigeix que la institució conservi l'expedient durant cinc anys després de la finalització de la relació o després de la transacció, i que el faci accessible al supervisor si ho sol·licita. De vegades es defensa una retenció més llarga per motius fiscals, però el període del Wwft en si és de cinc anys, i conservar les dades personals més temps del necessari és un problema segons el RGPD en lloc d'un predeterminat segur.
El control de sancions és una tasca independent
L'examen d'un client segons les llistes de sancions de la UE no forma part de la investigació del Wwft; es deriva de la Sanctiewet de 1977 i dels reglaments de la UE directament aplicables, i s'aplica a un grup d'empreses molt més ampli. La prova també és diferent i la diferència és costosa. Una empresa queda atrapada en una congelació d'actius quan una persona o entitat designada té el cinquanta per cent o més de les accions o els drets de vot, o exerceix el control sobre ella. Aquesta prova de propietat i control del cinquanta per cent no té res a veure amb el llindar del vint-i-cinc per cent utilitzat per identificar un beneficiari final segons el Wwft. Les institucions que només examinen al vint-i-cinc per cent, o que assumeixen que una comprovació UBO també funciona com a comprovació de sancions, normalment passen per alt les contraparts congelades. La nostra guia separada sobre el compliment de les sancions per a les empreses estableix com s'ha d'organitzar aquest examen.
Què canvia a partir del 10 de juliol de 2027
El 2024, la Unió Europea va substituir el sistema basat en directives per un paquet que s'aplicarà de manera molt més uniforme. El Reglament (UE) 2024/1624, el Reglament AML, conté les normes substantives de diligència deguda amb el client i s'aplica a partir del 10 de juliol de 2027. La Directiva (UE) 2024/1640 cobreix la supervisió, els registres i les unitats d'intel·ligència financera i s'ha de transposar abans de la mateixa data. El Reglament (UE) 2024/1620 va crear l'Autoritat de Lluita contra el Blanqueig de Capitals, AMLA, que té la seu a Frankfurt i va entrar en funcionament el 2025; redactarà les normes tècniques i, finalment, supervisarà directament un grup seleccionat d'institucions transfrontereres d'alt risc.
Com que el Reglament AML és un reglament, gran part del que ara es troba al Wwft s'aplicarà directament des de Brussel·les, i el marge d'interpretació nacional es reduirà. Les institucions que han basat els seus procediments únicament en les directrius de supervisió neerlandeses haurien de començar a comparar-los amb el reglament ara, en lloc de fer-ho a la primavera del 2027. Fins a aquesta data, però, el Wwft tal com està actualment és la llei vigent, i una investigació KYC es jutja en funció d'ella.
Acceptació, identificació i verificació del client
La investigació comença abans que es sol·liciti cap document, amb la qüestió de quins clients està disposada a acceptar la institució.
Avaluació de riscos pròpia de la institució
El Wwft requereix una avaluació sistemàtica del risc d'integritat que cobreixi els productes oferts, els canals de lliurament utilitzats, els països implicats i els tipus de clients als quals s'atenen. Aquesta avaluació és el document que els supervisors demanen primer, perquè se suposa que tot el demés se'n deriva. Hauria de produir una política d'acceptació escrita que estableixi clarament quines relacions es rebutgen directament, quines només es permeten amb una diligència deguda reforçada i l'aprovació sènior, i quines segueixen la ruta estàndard. Els comptes anònims i les relacions amb bancs pantalla estan prohibits per llei; més enllà d'això, el límit és una decisió comercial que la institució ha de poder justificar.
Una política d'acceptació viable també protegeix el costat comercial del negoci. Si els criteris estan escrits, un gestor de relacions sap abans de la presentació que un client potencial amb un ús intensiu de diners en una jurisdicció d'alt risc trigarà setmanes en lloc de dies, i el compliment no es presenta com el departament que atura els acords a l'últim moment.
Identificació i verificació d'individus
Per a les persones físiques, la identitat s'estableix a partir d'un document d'identitat vàlid i es verifica amb aquest. La incorporació remota és ara la norma i s'accepta, sempre que el mètode sigui fiable: lectura del xip d'un passaport o document d'identitat, un flux iDIN o DigiD verificat, una identificació electrònica qualificada segons el Reglament eIDAS o un primer pagament des d'un compte a nom del client en un banc europeu. Sigui quina sigui la via escollida, la institució ha de poder explicar per què és prou fiable per al risc que comporta.
La protecció de dades va al costat. Una còpia d'un document d'identitat conté més informació de la que la institució necessita, i el principi de minimització de dades del RGPD s'aplica amb tota la seva força. Conservar el que exigeix el Wwft, restringir l'accés a aquells que ho necessiten, registrar les consultes i suprimir-les a temps. La pressió supervisora per conservar més i la pressió de la llei de privadesa per conservar-ne menys són reals, i l'expedient hauria de mostrar una elecció deliberada entre elles.
Identificació d'entitats jurídiques
Per a les empreses i altres persones jurídiques, el punt de partida és un extracte recent del registre mercantil de la Cambra de Comerç , avalat pels estatuts socials i, si escau, pel registre d'accionistes. L'extracte mostra els administradors estatutaris i els límits de la seva autoritat per representar l'empresa, que és el punt que sovint es passa per alt: un contracte signat per algú que està autoritzat només conjuntament no vincula ningú. Per a les entitats estrangeres, es necessiten els documents de registre equivalents, i pot ser que es requereixi la legalització o la traducció certificada abans que es puguin utilitzar.
Diligència deguda, beneficiaris finals i diligència deguda reforçada
Un cop fixada la identitat, la investigació KYC es centra en la qüestió que realment comporta el risc: qui hi ha darrere del client i té sentit l'activitat prevista.
Trobar el beneficiari final
Un beneficiari efectiu final és la persona física que, en última instància, posseeix o controla l'entitat. Per a la majoria d'empreses, la prova és una possessió directa o indirecta de més del vint-i-cinc per cent de les accions o drets de vot, o control per altres mitjans, per exemple, a través d'un dret contractual a nomenar el consell. Si no es pot identificar cap persona d'aquest tipus després d'esgotar tots els mitjans raonables, els administradors estatutaris es registren com a pseudo-UBO. Aquesta alternativa es pretén excepcional; un expedient que la busca immediatament convida a preguntes.
El registre UBO neerlandès de la Cambra de Comerç ja no és d'accés públic. Després de la sentència del Tribunal de Justícia de la Unió Europea del 22 de novembre de 2022, que va anul·lar l'accés públic general per una interferència desproporcionada amb la privadesa, els Països Baixos van tancar la part pública del registre. L'accés ara és escalonat: les autoritats competents i la FIU-Nederland obtenen totes les dades, mentre que les institucions Wwft poden consultar un conjunt limitat per a la seva pròpia investigació de clients, i l'accés per a les parts amb un interès legítim s'està organitzant per decret. Segueixen dos punts pràctics. El registre és un control, no una font: una institució no es pot basar només en ell i ha de formar-se la seva pròpia visió de l'estructura de propietat. I quan el registre i les pròpies conclusions de la institució difereixen, la institució ha d'informar de la discrepància a la Cambra de Comerç.
Persones políticament exposades i països d'alt risc
La diligència deguda reforçada és obligatòria en diverses situacions, no només aconsellable. S'aplica quan el client o el beneficiari efectiu és una persona políticament exposada, o un membre de la seva família immediata o un soci proper; l'estatus continua durant un període després que la persona deixi el càrrec. En aquests casos, el Wwft requereix l'aprovació de l'alta direcció abans que la relació comenci o continuï, mesures per establir l'origen del patrimoni i l'origen dels fons implicats, i una intensificació del seguiment continu. La diligència deguda reforçada també és obligatòria quan el client està establert en, o la transacció es realitza a través d'un país que la Comissió Europea ha designat com d'alt risc, i quan la relació és inusualment complexa o la transacció no té cap finalitat econòmica o legal aparent.
A l'altre extrem de l'escala existeix la diligència deguda simplificada, però no és una excepció. Permet una verificació més lleugera i una revisió menys freqüent per a situacions de risc demostrablement baix. Fins i tot en aquest cas, la institució ha d'identificar el client, supervisar la relació i ser capaç de demostrar per què es justificava la classificació de baix risc.
Font de finançament i font de riquesa
Sovint s'utilitzen indistintament els dos termes i no s'haurien de fer. L'origen dels fons fa referència als diners utilitzats en una transacció concreta; l'origen de la riquesa fa referència a com es van acumular els actius generals del client. Un client pot explicar perfectament l'origen d'un pagament únic mentre que la fortuna subjacent roman inexplicable, i normalment és la segona bretxa la que es converteix en una conclusió d'execució. Les proves han de ser documentals quan el risc ho justifiqui: contractes de compravenda, declaracions d'impostos, comptes auditats, documents d'herència. Una nota que consti que el client va dir que els diners provenien d'una venda d'immobles no és una prova de l'origen dels fons.
Seguiment continu i deure de denunciar transaccions inusuals
Un client aprovat avui es pot convertir en un problema demà, i per això el seguiment és un element legal de la investigació del client i no pas un complement opcional. La institució ha de mantenir la relació sota revisió, assegurar-se que les transaccions realitzades siguin coherents amb el perfil que ha creat i actualitzar l'expedient quan la situació canviï: un nou beneficiari efectiu, un canvi de model de negoci, mitjans de comunicació adversos, un canvi en els països pels quals es mouen els diners.
Quan una transacció esdevé inusual
La legislació neerlandesa treballa amb transaccions inusuals, no amb el concepte internacional de transaccions sospitoses, i la diferència és deliberada. Els indicadors s'estableixen a la Uitvoeringsbesluit Wwft 2018. Alguns són objectius: situacions i llindars fixos on es requereix un informe automàticament, sense cap avaluació del client. Un és subjectiu i obert, i cobreix totes les transaccions en què la institució té motius per suposar que poden estar relacionades amb el blanqueig de capitals o el finançament del terrorisme. L'indicador subjectiu és on resideix el judici i on es proven els fitxers posteriorment. El nostre article sobre la diferència entre el blanqueig de capitals i les transaccions inusuals explica com interactuen els dos conceptes.
Com i quan informar
Una transacció inusual s'ha de notificar a FIU-Nederland sense demora, a través del portal goAML. No hi ha un nombre fix de dies: l'obligació és notificar-ho tan aviat com sigui raonablement possible, i el rellotge comença quan la institució té coneixement del caràcter inusual, cosa que pot ser molt després de la transacció mateixa. Les transaccions intentades i previstes també estan cobertes, de manera que un pagament que la institució es nega a executar encara pot ser notificable. FIU-Nederland decideix llavors si la transacció es declara sospitosa i es transmet als serveis d'investigació i fiscalia; aquesta decisió no correspon a la institució.
El deure de denunciar inclou dues proteccions i una prohibició. Una denúncia feta de bona fe no exposa la institució ni els seus empleats a responsabilitat civil, i les dades subministrades no es poden utilitzar contra la institució denunciant en un processament pel delicte subjacent. La prohibició és sobre la denúncia: la institució no pot informar al client, ni a cap tercer, que s'ha fet o s'està considerant una denúncia. Informar un client que el seu pagament ha estat denunciat és en si mateix una infracció.
Quan la investigació no es pot completar
Si la investigació del client no produeix el resultat requerit, la conseqüència és prescrita en lloc de discrecional. La institució no pot iniciar la relació comercial, no pot dur a terme la transacció i ha de rescindir una relació existent. També ha de considerar si les circumstàncies en si mateixes justifiquen un informe a la FIU-Nederland. Continuar servint un client l'estructura de propietat del qual mai es va resoldre, sobre la base que l'expedient es completarà més tard, és una de les fallades més freqüentment penalitzades en la pràctica supervisora neerlandesa.
Supervisió, multes i responsabilitat penal
La supervisió de Wwft als Països Baixos es divideix per sectors en lloc de concentrar-se en una sola autoritat, i la primera pregunta en qualsevol expedient d'aplicació és quin supervisor és competent. De Nederlandsche Bank supervisa bancs, institucions de pagament i diners electrònics, asseguradores, oficines fiduciaris i proveïdors de serveis de criptoactius. L'Autoriteit Financiele Markten supervisa empreses d'inversió, gestors de fons i proveïdors de serveis financers. El Bureau Financieel Toezicht supervisa notaris, comptables i assessors fiscals. El Bureau Toezicht Wwft, que forma part de l'Administració Tributària, supervisa comerciants, agents immobiliaris i prestadors, la Kansspelautoriteit supervisa proveïdors de jocs d'atzar i el deken local supervisa advocats. Cadascuna publica les seves pròpies directrius, i aquesta guia és com les normes obertes de la Llei es donen contingut a la pràctica.
L'escala d'aplicació va des d'una conversa informal de transferència de normes, passant per una instrucció formal i una ordre subjecta a un pagament de multa, fins a una multa administrativa. El Wwft assigna les infraccions a categories de multes, i el màxim per a la categoria més greu l'estableix la llei i el sector financer Besluit bestuurlijke boetes; per a les empreses financeres es pot aplicar un màxim relacionat amb la facturació. Com que aquestes xifres es modifiquen de tant en tant, el punt a planificar no és la xifra principal, sinó el fet que les decisions de multes es publiquin, inclòs el nom de la institució. Per a la majoria d'empreses, la publicació fa més mal que el pagament.
Més enllà de l'aplicació administrativa, l'incompliment intencionat de les funcions bàsiques de Wwft és un delicte econòmic i pot ser perseguit. El Servei Fiscal ha conclòs acords penals amb diverses grans institucions financeres neerlandeses per fallades en el seu paper de control, i aquests casos van establir que la inversió insuficient persistent i estructural en la diligència deguda del client es tracta com a conducta criminal en lloc de com a una deficiència de compliment. Les persones també hi estan exposades: els responsables polítics i els gestors diaris poden ser processats personalment, i per a les empreses regulades, una fallada de Wwft desencadena regularment una nova avaluació d'idoneïtat i integritat dels membres del consell implicats. Si un supervisor o el Servei Fiscal obre un expedient, la institució hauria de demanar assessorament legal abans de la primera entrevista, no després.
On les investigacions KYC fallen a la pràctica
La majoria dels problemes que veiem no són exòtics. Es repeteixen en tots els sectors i són solucionables.
La primera és documentació tècnicament present però substancialment buida. Els fitxers contenen documents d'identitat, captures de pantalla i una puntuació de risc, però res no explica per què l'activitat del client té sentit comercial ni com l'analista va arribar a la conclusió. Els supervisors llegeixen el raonament, no els fitxers adjunts. Una breu narrativa escrita, signada per un segon parell d'ulls, val més que una altra còpia certificada.
El segon és la fricció amb el costat comercial i el reflex de reducció del risc que produeix. Rebutjar o rescindir una relació perquè un fitxer és difícil en lloc de perquè el risc és inacceptable no és una opció neutral. Els tribunals neerlandesos han sostingut repetidament que la llibertat d'un banc per rebutjar o rescindir una relació està limitada pel seu deure de diligència i pels estàndards de raonabilitat i equitat, sobretot quan el client, en efecte, quedaria completament exclòs del trànsit de pagaments. Una rescissió defensable es basa en una avaluació de riscos documentada, una oportunitat real perquè el client proporcioni la informació que falta i un període de preavís raonable.
El tercer és la complexitat transfronterera. Una entitat de pagament neerlandesa que serveix un client espanyol a través d'una holding luxemburguesa i un fideïcomís en un tercer país s'enfronta a conjunts de normes superposades que poques vegades s'alineen perfectament. La resposta viable és aplicar l'estàndard més estricte aplicable i registrar el perquè, en lloc de litigar el conflicte de lleis en cada expedient. Quan l'estructura en si mateixa es resisteix a l'explicació, això és informació sobre el client, no només un obstacle administratiu.
La quarta és tractar les llistes de selecció i les classificacions de països com a estàtiques. Les designacions de sancions canvien amb poca antelació, i la llista de països d'alt risc de la Comissió Europea es modifica mitjançant un reglament delegat. La selecció que només s'executa en el moment de la incorporació no inclourà un client que sigui designat tres mesos després. Tornar a examinar la cartera amb les llistes actualitzades i registrar quan va passar això tanca una bretxa que els supervisors busquen específicament.
La cinquena és la suposició que la tecnologia resol la qüestió. La verificació automatitzada d'identitat, el cribratge de noms i el seguiment de transaccions redueixen realment l'error i el cost, i produeixen el rastre d'auditoria que vol el supervisor. També produeixen falsos positius en gran quantitat, i una alerta tancada sense raonament és pitjor que cap alerta. Els models de seguiment perpetu, en què els canvis de registre i les actualitzacions de la llista alimenten una puntuació de risc dinàmica en lloc d'una actualització quinquennal, s'estan convertint en l'estàndard per a les institucions més grans, i els moneders d'identitat digital europeus amb el temps faran que la verificació sigui encara més barata. Cap de les dues coses elimina l'obligació de pensar en el client que tens al davant.
Posar en ordre el vostre marc KYC
Una investigació KYC que es manté es basa en quatre coses: una avaluació de riscos en què la institució realment creu, una política d'acceptació que se'n deriva, fitxers que registren el raonament en lloc de només documents i un seguiment que continua després de la incorporació. Tota la resta, inclòs el programari, és implementació. Amb el codi normatiu únic europeu aplicant-se a partir del 10 de juliol de 2027, la seqüència sensata és corregir el raonament ara i ajustar els detalls a mesura que apareixen els estàndards tècnics.
Law & More Assessora institucions financeres, proveïdors de serveis de criptoactius, oficines fiduciaries, empreses de serveis professionals i els seus directors sobre el compliment de Wwft i les sancions. Redactem i revisem avaluacions de riscos i polítiques d'acceptació de clients, realitzem la remediació d'expedients, assessorem sobre qüestions individuals d'UBO i sancions, i representem institucions i membres del consell en investigacions de supervisió, procediments d'execució i investigacions penals. Expliqueu-nos la vostra situació. Us informarem de les vostres opcions en el termini d'un dia laborable.
Com Law & More us pot ajudar amb això s'explica al nostre advocat corporatiu
