Antwoord schriftelijke vragen : Antwoord op vragen van de leden Nijboer en Kuiken over het plegen van identiteitsfraude

Antwoord van Minister Hoekstra (Financiën) (ontvangen 7 maart 2019).

Vraag 1

Bent u bekend met de uitzending van Rambam van 10 januari 2019?1

Antwoord 1

Ja.

Vraag 2

Welke gegevens moeten banken verifiëren voor zij overgaan tot het openen van een rekening?

Welke methoden van verificatie zijn toegestaan?

Antwoord 2

Op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft)
hebben banken de verplichting om, voordat de zakelijke relatie ontstaat en de dienstverlening
aanvangt, onderzoek te verrichten naar hun cliënten. Dit cliëntenonderzoek stelt de
instelling in staat om de cliënt te identificeren en zijn of haar identiteit te verifiëren.
Bij het identificeren verstrekt de cliënt gegevens over zijn identiteit. Bij het verifiëren
van de identiteit dient de bank vast te stellen of de opgegeven identiteit overeenkomt
met de werkelijke identiteit. De Wwft vereist dat de verificatie plaatsvindt aan de
hand van documenten, gegevens of inlichtingen uit betrouwbare en onafhankelijke bron.
De Uitvoeringsregeling Wwft bevat een niet limitatieve lijst van documenten die hiervoor
gebruikt kunnen worden. Dat zijn, indien de cliënt een natuurlijk persoon is, een
geldig paspoort, een geldig(e) Nederlandse identiteitskaart of Nederlands rijbewijs,
een geldig identiteitsbewijs of rijbewijs dat is afgegeven door het gezag in een andere
lidstaat en dat is voorzien van een pasfoto en de naam van de houder, reisdocumenten
voor vluchtelingen en vreemdelingen en vreemdelingendocumenten die zijn afgegeven
op grond van de Vreemdelingenwet 2000. Een bank kan andere documenten, inlichtingen
of gegevens accepteren ten behoeve van de verificatie van de identiteit van een natuurlijk
persoon, mits deze afkomstig zijn uit een betrouwbare en onafhankelijke bron. Als
het documenten betreft die niet afkomstig zijn van overheidsinstanties of rechterlijke
instanties, moet de bank zich afvragen of de documenten wel voldoende betrouwbaar
zijn. Documenten waarvan niet vaststaat dat daaraan een adequate identificatie en
verificatie vooraf is gegaan, zoals studentenpassen, volstaan over het algemeen niet
om de identiteit te verifiëren. Of een bepaald document kan volstaan ter verificatie
is uiteindelijk aan de bank zelf om te beoordelen. Dit is afhankelijk van het risico
dat de cliënt met zich brengt. Een bank moet vastleggen welke documenten, inlichtingen
of gegevens acceptabel zijn en waarom.

Identificatie en verificatie dienen te zijn afgerond voordat de zakelijke relatie
wordt aangegaan met of dienstverlening wordt verleend aan de cliënt. Voor banken geldt
dat de verificatie van de cliënt kan plaatsvinden nadat de rekening is geopend, als
de bank er in de tussentijd voor zorgt dat de rekening niet gebruikt kan worden. Het
is mogelijk en toegestaan om het cliëntenonderzoek niet in persoon maar op afstand
te verrichten. In deze gevallen geldt eveneens dat verificatie plaats dient te vinden
aan de hand van documenten, gegevens of inlichtingen uit betrouwbare en onafhankelijke
bron. Het cliëntenonderzoek op afstand brengt meer risico’s met zich dan een cliëntenonderzoek
in persoon. De bank is verplicht om deze risico’s te mitigeren. Dit betekent dat de
bank meer inspanningen moet verrichten om er zeker van te zijn dat de opgegeven identiteit
correct is, bijvoorbeeld door gebruik te maken van aanvullende gegevens uit betrouwbare
en onafhankelijke bron. Cliëntenonderzoek op afstand kan bijvoorbeeld plaatsvinden
doordat degene die een bankrekening wil openen zijn paspoort of identiteitskaart inscant,
waarna er identificatie en verificatie van de identiteit kan plaatsvinden met behulp
van een (live) videoverbinding. Tijdens deze videoverbinding kunnen er eventueel nog
aanvullende vragen worden gesteld. Voor de identificatie en verificatie van de cliënt
geldt een resultaatsverplichting. Dit betekent dat als de bank één van deze elementen
van het cliëntenonderzoek niet kan verrichten, of het cliëntenonderzoek niet leidt
tot het juiste resultaat, de zakelijke relatie niet kan worden aangegaan. Dat is bijvoorbeeld
het geval als een cliënt een te hoog risico vormt en de bank deze risico’s onvoldoende
kan mitigeren, of als de bank het cliëntenonderzoek niet kan afronden omdat noodzakelijke
informatie ontbreekt en de bank daardoor niet kan vaststellen wie de cliënt is. DNB
houdt toezicht op bovenstaande verplichtingen van banken.

Vraag 3

Gelden voor binnenlandse en buitenlandse banken dezelfde regels?

Antwoord 3

De lidstaten zijn gehouden aan de bepalingen uit de vierde anti-witwasrichtlijn. Deze
richtlijn verplicht tot minimumharmonisatie; het is lidstaten dus toegestaan om verdergaande
eisen te stellen aan het cliëntenonderzoek. De eisen aan het cliëntenonderzoek die
zijn beschreven in het antwoord op vraag 2, vallen binnen het minimale kader dat de
richtlijn voorschrijft. Deze eisen gelden dus voor alle lidstaten. Voor een groot
aantal derde landen buiten de Europese Unie geldt dat zij over een soortgelijk regelgevend
kader beschikken op basis van internationale standaarden, zoals de standaarden van
de Financial Action Task Force (FATF). Zowel de FATF als de Europese Commissie stellen
een lijst op van derde landen die een hoog risico vormen. Dat zijn landen met strategische
tekortkomingen in hun nationale regelgeving ter voorkoming van witwassen en financieren
van terrorisme. Deze risico’s dienen door een bank voldoende te worden gemitigeerd.
Als een bank te maken krijgt met een cliënt die woonachtig is in een derde-hoogrisicoland,
moet een bank daarom verscherpt cliëntenonderzoek toepassen. Een element van het verscherpt
cliëntenonderzoek is bijvoorbeeld dat de bank aanvullende informatie vergaart over
de cliënt. De bank dient niet alleen bij derde-hoogrisicolanden verscherpt cliëntenonderzoek
toe te passen, maar bijvoorbeeld ook als de zakelijke relatie onder ongebruikelijke
omstandigheden wordt aangegaan. Een bank dient in ieder geval verscherpt cliëntenonderzoek
te verrichten indien de bank aanleiding heeft om te veronderstellen dat een zakelijke
relatie of transactie naar haar aard een hoger risico op witwassen en terrorismefinanciering
met zich brengt. Deze verplichtingen met betrekking tot het verscherpt cliëntenonderzoek
gelden voor alle lidstaten. De internationale standaarden van de FATF bevatten eveneens
soortgelijke voorschriften.

Vraag 4

Hoe wordt gecontroleerd of banken hun taak ter identificatie van personen serieus
nemen?

Antwoord 4

Op grond van de Wwft geldt dat een bank niet alleen de identiteit van een cliënt moet
vaststellen en moet verifiëren, maar ook dat de bank over alle identificatie- en verificatiegegevens
en overige gegevens moet beschikken inzake de identiteit van de cliënt. Daarom moet,
zoals ook in het antwoord op vraag 2 is aangeven, een bank vastleggen welke procedures
worden gevolgd bij het toepassen van cliëntenonderzoek. De Nederlandsche Bank (DNB)
houdt toezicht op de naleving van de Wwft door banken, en heeft het voorkomen van
betrokkenheid van instellingen bij financieel-economische criminaliteit benoemd als
speerpunt van haar toezicht. DNB heeft aangegeven dat bij de uitoefening van het toezicht
nadrukkelijk wordt gekeken naar het cliëntenonderzoek dat door de banken wordt verricht.
Zij controleert daarbij onder andere of de bank over beleid en procedures beschikt
en of dit beleid en deze procedures in overeenstemming zijn met de Wwft. Ook wordt
gekeken of de bank intern het beleid en de procedures op een juiste manier naleeft.
DNB beoordeelt daarnaast of de cliëntendossiers waarover de bank beschikt in overeenstemming
zijn met de Wwft. Als een bank niet in staat is om de juiste of voldoende identificatie-
en verificatiegegevens en overige gegevens inzake de identiteit van de cliënt te overleggen,
vormt dit aanleiding voor het nemen van handhavingsmaatregelen.

Vraag 5

Staat effectieve identiteitscontrole onder druk, nu banken steeds minder vaak over
fysieke filialen beschikken?

Antwoord 5

Zoals aangegeven in het antwoord op vraag 2, kan het toepassen van cliëntenonderzoek
op afstand, waarbij de cliënt niet fysiek aanwezig is, een hoger risico met zich brengen
dan het toepassen van cliëntenonderzoek in persoon. Het is aan de bank om (aanvullende)
maatregelen te nemen om deze risico’s te mitigeren. Ook bij een cliëntenonderzoek
op afstand geldt een resultaatsverplichting: het cliëntenonderzoek dient de bank in
staat te stellen om de cliënt te identificeren en diens identiteit te verifiëren.
Als de bank niet over alle identificatie- en verificatiegegevens en overige gegevens
inzake de identiteit van de cliënt beschikt, kan de zakelijke relatie niet worden
aangegaan. Er is een toenemende vraag naar het op afstand regelen van financiële zaken.
DNB houdt toezicht of de Wwft op een juiste manier wordt nageleefd, ook als het cliëntenonderzoek
op afstand wordt verricht. DNB heeft daarbij aandacht voor het gebruik van nieuwe
technieken of methoden die worden toegepast. Ook binnen FATF-verband is er aandacht
voor nieuwe ontwikkelingen. Zo ontwikkelt de FATF momenteel guidance voor het gebruik van een digital identity.

Vraag 6

Ziet u verhoogde risico’s als het gaat om fraudedetectie als de identiteitscontrole
door banken wordt uitbesteed aan derden?

Antwoord 6

Gezien de mogelijke risico’s van uitbesteding van het cliëntenonderzoek, zijn in het
regelgevend kader in de Wwft aanvullende regels opgenomen om die risico’s te ondervangen.
Op grond van de Wwft kan een bank het cliëntenonderzoek door een andere Wwft-instelling
laten uitvoeren. Dit wordt ook wel afgeleid cliëntenonderzoek genoemd en houdt in
dat een bank in beginsel mag vertrouwen op cliëntenonderzoek dat door een andere Wwft-instelling
is verricht. De verantwoordelijkheid voor het cliëntenonderzoek en een juiste naleving
van de Wwft ligt echter te allen tijde bij de bank zelf die de cliënt accepteert.
Die eigen verantwoordelijkheid geldt niet alleen ten aanzien van de verplichtingen
met betrekking tot het cliëntenonderzoek, maar ook met betrekking tot de vastlegging
van het cliëntenonderzoek. De bank dient ook als een andere Wwft-instelling het cliëntenonderzoek
verricht, zelf over de juiste gegevens te beschikken. Indien die andere Wwft-instelling
deze gegevens niet kan verstrekken, of onvoldoende uitvoering heeft gegeven aan het
cliëntenonderzoek, dient de bank alsnog het cliëntenonderzoek te verrichten of aan
te vullen. Indien die andere Wwft-instelling bijvoorbeeld vanwege een laag risico
vereenvoudigd cliëntenonderzoek heeft toegepast, en de bank meent dat deze beoordeling
onterecht is, dan dient de bank of die andere Wwft-instelling te vragen om verdere
identificatie- en verificatiegegevens. Omdat de verantwoordelijkheid voor een volledig
cliëntendossier bij de bank zelf ligt, moet de bank zich ervan vergewissen dat het
cliëntenonderzoek heeft plaatsgevonden conform de Wwft en dat die andere Wwft-instelling
over adequate procedures en maatregelen beschikt.

Daarnaast kan de bank het cliëntenonderzoek uitbesteden aan een derde partij, niet
zijnde een Wwft-instelling. Ook in dit geval geldt dat de verantwoordelijkheid voor
het cliëntenonderzoek en een juiste naleving van de Wwft te allen tijde bij de bank
zelf ligt. Het is daarom van belang dat de bank die het cliëntenonderzoek uitbesteedt,
niet alleen vastlegt dat die derde partij aan de wettelijke vereisten moet voldoen,
maar ook dat de bank dit periodiek controleert en vaststelt. Indien een bank besluit
het cliëntenonderzoek uit te besteden, is het zinvol om bij die uitbesteding een risicoafweging
te maken met betrekking tot de deskundigheid van en praktische aanpak inzake de naleving
van de Wwft door die derde partij. In haar toezicht beoordeelt DNB of een bank die
het cliëntenonderzoek uitbesteedt, voldoende controle heeft over de uitbesteding.
DNB besteedt in haar toezicht aandacht aan de uitbesteding van taken en waarschuwt
voor de risico’s die daarmee gepaard (kunnen) gaan.

Vraag 7

Gelden voor het afsluiten van kredieten dezelfde regels als voor het openen van een
bankrekening? Zo nee, op welke onderdelen verschillen deze?

Antwoord 7

Ja, de regels met betrekking tot het cliëntenonderzoek die in de Wwft zijn opgenomen,
zijn voor alle financiële instellingen hetzelfde. De eisen aan het cliëntenonderzoek
die in de voorgaande vragen zijn beschreven, gelden dus ook voor andere financiële
instellingen dan banken die kredieten mogen verlenen.

Vraag 8

Wat vindt u ervan dat met een kopie van identiteitsbewijs, dat met simpel knip- en
plakwerk enigszins is aangepast, een lening kan worden afgesloten op andermans naam?
Komt deze vorm van fraude veel voor?

Antwoord 8

Om fraude met identiteitsbewijzen te voorkomen vind ik het belangrijk dat de Wwft
door banken op een juiste manier wordt nageleefd, omdat dit bijdraagt aan het voorkomen
van witwassen en terrorismefinanciering. DNB houdt hier toezicht op en treedt handhavend
op als een bank zich niet houdt aan de verplichtingen met betrekking tot het cliëntenonderzoek.

In 2018 heeft de Rijksdienst voor Identiteitsgegevens, waar het Centraal Meldpunt
Identiteitsfraude en -fouten is ondergebracht, ruim 3.300 meldingen ontvangen van
identiteitsfraude. Bij ruim 500 meldingen is sprake van kwesties met financiële instellingen
waarbij een kopie van een identiteitsbewijs is betrokken. Hierbij gaat het in een
groot deel van de gevallen om het aanvragen van een financieel product op naam van
een ander of een poging daartoe (zoals aanvragen van leningen of credit cards, het
openen van een bankrekening en de aanschaf van crypto’s) of het verkrijgen van toegang
tot een bankrekening die op naam van een ander staat.

Vraag 9

Deelt u de mening dat als het gaat om identiteitscontrole bij financiële zaken altijd
persoonlijke controle van het originele identiteitsbewijs plaats zal moeten vinden?

Antwoord 9

Er is een toenemende vraag naar het op afstand regelen van financiële zaken. Het wettelijke
kader biedt aan financiële instellingen de ruimte om een cliëntenonderzoek op afstand
toe te passen. Zoals aangegeven in het antwoord op vraag 5, moet de financiële instelling
aanvullende maatregelen treffen die de risico’s van een cliëntenonderzoek op afstand
voldoende mitigeren. Dat vereist een extra inspanning van de financiële instelling.
Als een financiële instelling hiertoe onvoldoende in staat is, mag de zakelijke relatie
niet worden aangegaan.

Vraag 10

Wat gaat u doen om de mogelijkheden tot identiteitsfraude verder te beperken? Bent
u bereid met banken en kredietverstrekkers in gesprek te gaan, zodat alle aanbieders
hun verplichtingen serieus gaan nemen?

Antwoord 10

Het voorkomen van identiteitsfraude is een gezamenlijke verantwoordelijkheid van burgers,
overheid en bedrijfsleven. Burgers moeten alert zijn op identiteitsfraude en voorzichtig
omgaan met hun identiteitsdocumenten of met kopieën ervan. De hulp aan slachtoffers
van identiteitsfraude valt onder de verantwoordelijkheid van de Staatssecretaris van
Binnenlandse Zaken en Koninkrijkrelaties. Er zijn daar verschillende initiatieven
ondernomen om identiteitsfraude verder te beperken. Zo is een speciale app ontwikkeld,
de KopieIDapp, waarmee burgers een veilige kopie kunnen maken van hun identiteitsdocument
door die gegevens door te strepen die de ontvangende partij niet nodig heeft. Er wordt
veel van deze app, die binnenkort nog gebruiksvriendelijker wordt, gebruik gemaakt.
Daarnaast geeft de Rijksdienst voor Identiteitsgegevens, onderdeel van het Ministerie
van Binnenlandse Zaken en Koninkrijkrelaties, voorlichting aan burgers om identiteitsfraude
te voorkomen en ondersteunt het slachtoffers van identiteitsfraude. DNB heeft bij
het uitoefenen van haar toezicht uitdrukkelijk aandacht voor een goede naleving van
de verplichtingen met betrekking tot het cliëntenonderzoek. Aan financiële instellingen
wordt op verschillende manieren duidelijkheid geboden over hoe de verplichtingen van
de Wwft moeten worden ingevuld. Een voorbeeld is de leidraad van DNB, waarvan binnenkort
een geactualiseerde versie wordt gepubliceerd.