Concept Q&A over sanctiescreening bij transactie met crypto’s

Deze consultatie loopt vier weken. U kunt tot en met 17 december reageren via consultatie@dnb.nl. Na de consultatiefase publiceert DNB een feedbackstatement waarin eventuele nadere aanpassingen worden toegelicht.

Op grond van de Sw en de RtSw worden door aanbieders van cryptodiensten maatregelen getroffen die ten minste zien op een adequate controle van hun administratie op het overeenkomen van de identiteit van een relatie met een (rechts)persoon of entiteit, als bedoeld in de sanctieregelgeving.

De RtSw definieert de term relatie als een ieder die betrokken is bij een financiële dienst of een financiële transactie. Uit de toelichting bij de RtSw volgt dat met de term relatie niet enkel de cliënten van een instelling worden bedoeld, maar onder andere ook de tegenpartijen bij transacties en de begunstigden van transacties. De begunstigden van een uitgaande crypto (wissel)transactie of een uitgaande transactie ten behoeve van de wallet kunnen cliënten van de aanbieder van de cryptodienst zijn, andere aanbieders van cryptodiensten of derde (rechts)personen of entiteiten. Een inkomende crypto(wissel)transactie of inkomende transactie ten behoeve van de wallet kan afkomstig zijn van eigen cliënten, andere aanbieders van cryptodiensten of derde (rechts)personen of entiteiten. Derhalve vallen dus naast de cliënten van aanbieders van cryptodiensten ook de bij de transactie betrokken andere aanbieders van cryptodiensten en derde (rechts) personen of entiteiten onder de reikwijdte van het begrip ‘relatie’.

De identiteit van alle relaties van aanbieders van cryptodiensten wordt gecontroleerd op sancties (gescreend). Dit betekent dat de bij de transacties betrokken cliënten van aanbieders van cryptodiensten én de bij de transacties betrokken tegenpartij en/of begunstigde worden gescreend. De maatregelen omtrent het vaststellen of de identiteit van een tegenpartij en/of begunstigde overeenkomt met de identiteit van in de sanctieregelgeving genoemde (rechts)personen of entiteiten kunnen door de aanbieder risicogeoriënteerd worden ingevuld. De aanbieder bepaalt zelf op welke wijze zij die controle uitvoert en wat daarvoor nodig is, zolang hiermee het doel van de sanctieregelgeving bereikt wordt.

Adequate maatregelen om de tegenpartij en/of begunstigde effectief te kunnen screenen

Bij een transactie van of naar een niet door de aanbieder beheerd (extern) cryptoadres, kan de houder van dat cryptoadres zowel de eigen cliënt zijn als een andere aanbieder van cryptodiensten, of een derde (rechts)persoon of entiteit. Bij transacties van en naar externe cryptoadressen dienen aanbieders van cryptodiensten met behulp van adequate maatregelen ook in staat te zijn effectief te screenen op het overeenkomen van de identiteit van de betrokken tegenpartij en/of begunstigde met een (rechts)persoon of entiteit als bedoeld in de sanctieregelgeving.

Dit impliceert dat er voldoende informatie over de tegenpartij en/of begunstigde wordt opgevraagd om effectief te kunnen screenen, zoals bijvoorbeeld naam, geboortedatum, woonplaats en vestigingsadres.

Een ander onderdeel hiervan is dat de aanbieder adequate maatregelen treft om vast te stellen dat de door de cliënt opgegeven tegenpartij en/of begunstigde ook daadwerkelijk de ontvanger of verzender is, indien de aanbieder het risico groter dan minimaal acht dat de identiteit van een tegenpartij en/of begunstigde niet overeenkomt met de opgegeven identiteit. Hierbij kan sprake zijn van identiteitsfraude (de tegenpartij en/of begunstigde gebruikt de identiteit van iemand anders), maar het kan ook voorkomen dat iemand anders dan de opgegeven tegenpartij en/of begunstigde beschikking heeft over het opgegeven cryptoadres.

De maatregelen om een adequate screening uit te voeren kunnen risicogeoriënteerd worden ingevuld. Risicogeoriënteerd houdt in dat een aanbieder, bij relaties die gegeven alle relevante factoren als hoger risico worden aangeduid, verdergaande maatregelen neemt dan bij relaties die als laag risico worden aangeduid. Aanbieders van cryptodiensten maken een risicoanalyse en implementeren op basis daarvan passende maatregelen. De risicogebaseerde benadering wordt beoordeeld in de context van het geheel aan maatregelen binnen de onderneming, zie ook de DNB Q&As en Good Practices Wwft. De toelichting bij de RtSw stelt daarover: ‘Daarbij dient ze zich telkens ervan te vergewissen dat het risico minimaal is dat bij een financiële dienst of transactie financiële middelen naar één van de (rechts)personen en entiteiten, genoemd in de sanctieregelgeving, gaan.’

Als een aanbieder het risico groter dan minimaal acht dat de identiteit van een tegenpartij en/of begunstigde niet overeenkomt met de identiteit die is opgegeven, treft zij maatregelen om de daadwerkelijke identiteit van een tegenpartij en/of begunstigde vast te kunnen stellen, teneinde een effectieve screening uit te kunnen voeren. De Leidraad Financiele Sanctieregelgeving van het Ministerie van Financiën stelt: ‘Als er geen maatregelen tegenover te zetten zijn, als maatregelen teveel inspanning vergen of teveel rest-risico met zich meebrengen dan wordt het risico niet aangegaan. Bij sanctiemaatregelen geldt dat er eigenlijk vrijwel geen sprake kan zijn van een acceptabel niveau aan restrisico’s omdat de materiële verbodsbepalingen van sanctieregelgeving dienen te worden nageleefd.’

De aanbieder is zich ervan bewust dat hij een risicogebaseerde benadering kan hanteren ten aanzien van het treffen van maatregelen, maar dat ten aanzien van de vervolgacties (het melden van een hit en het bevriezen van tegoeden) sprake is van een resultaatsverplichting.

Hoe aanbieders de identiteit van de tegenpartijen en/of begunstigden bij een transactie vaststellen, en of deze daadwerkelijk de ontvanger of verzender is, is vormvrij. De wet schrijft geen specifieke maatregel voor, mits de getroffen maatregel maar adequate waarborgen biedt om relaties te kunnen screenen (zie onder voor good practices).

Risico’s die in de analyse meegewogen kunnen worden zijn bijvoorbeeld de risico’s van het specifieke bedrijfsmodel, de cliënten waar de aanbieder zich op richt, de betaal- en uitkeringsmogelijkheden voor fiat geld, het risico- en het transactieprofiel van de klant, geografische risico’s, relevante meta-data (waaronder IP-adres) en de mogelijkheid om crypto’s van of naar derde (rechts)personen of entiteiten te sturen. Ten aanzien van crypto’s kan in het algemeen worden opgemerkt dat deze producten vanwege kenmerken die anonomiteit bevorderen een hoger risico met zich brengen op overtreding van sanctieregelgeving. De kenmerken van de specifieke crypto’s worden ook mee genomen in de risicoanalyse. Deze lijst is niet limitatief.

Voorbeeld laag risico

In het geval van een gesloten omgeving, waarbij cliënten geen transacties kunnen uitvoeren anders dan met de aanbieder zelf, is het risico op overtreding van de sanctieregelgeving laag als een aanbieder zich ook houdt aan de (Wwft) verplichtingen van het cliëntenonderzoek.

Voorbeeld hoog risico

Een aanbieder van cryptodiensten mag transacties van en naar derden (niet zijnde de eigen client) faciliteren, mits de aanbieder passende maatregelen heeft genomen om de tegenpartij en/of begunstigde te kunnen screenen tegen de sanctielijsten. Het risico van overtreding van de sanctieregelgeving is hoog bij transacties van en naar derden, omdat uit het (externe) cryptoadres niet blijkt aan wie dit (externe) cryptoadres toebehoort. Bij cryptotransacties van of naar derden speelt daarom het risico dat crypto’s worden overgemaakt naar, of worden ontvangen van, een (rechts)persoon of entiteit als bedoeld in de sanctieregelgeving. Een aanbieder zal dan ook adequate maatregelen moeten treffen om dit risico te minimaliseren.

Wettelijke bepalingen

• Art. 10 Sanctiewet
• Art. 1, aanhef en onderdeel b, van de RtSw
• Art. 2 RtSw