In de snelle nalevingswereld proberen financiële instellingen niet alleen de slechteriken en hun inventieve manieren om criminaliteit te plegen bij te houden. Ze moeten ook de regelgeving bijhouden die om de paar jaar wordt bijgewerkt. In 2018 zullen drie belangrijke veranderingen in de regelgeving plaatsvinden waar de financiële instellingen klaar voor moeten zijn. In dit artikel bespreken we die veranderingen en leggen we uit hoe het de banken zal beïnvloeden en wat je als compliance-manager kunt doen om je voor te bereiden op de toekomst.
Vijfde antiwitwasrichtlijn
In 2017 zagen we de vierde antiwitwasrichtlijn in werking treden. Verwacht werd dat de financiële instellingen de wijzigingen tegen 26 juni zouden hebben laten uitvoeren. Dit jaar verwachten we echter een definitief akkoord over de vijfde antiwitwasrichtlijn. (in december 2017 werd al een provisieovereenkomst gesloten).
Een paar van de verwachte aanvullingen op de vierde antiwitwasrichtlijn zijn dat het:
- Verduidelijkt de verbetering van het klantenonderzoek
- Omvat virtuele valuta's tot anti-witwasmonitoring
- Voorkomt misbruik van anonieme voorafbetaalde kaarten
- Maakt het mogelijk om meer informatie te delen tussen financiële inlichtingeneenheden
- Vereist dat financiële instellingen informatie delen met financiële inlichtingeneenheden
- Geeft het publiek toegang tot informatie over de economische eigendom
Het doel van de vijfde antiwitwasrichtlijn is het creëren van meer transparantie in het bankwezen nadat de Panama-papieren de belastingontduikingspraktijken van enkele van de rijkste mensen ter wereld, waaronder twaalf nationale leiders, aan het licht brachten. Het is ook een maatregel tegen terrorisme, omdat men gelooft dat er tijdens de aanslagen in Parijs in 2015 anonieme prepaid kaarten zijn gebruikt.
Dus aan de ene kant probeert de Europese Unie criminaliteit te voorkomen door meer transparantie in het bankwezen te creëren; en aan de andere kant probeert ze de persoonsgegevens van hun burgers te beschermen met de GDPR-wet.
BBPR
De algemene verordening inzake gegevensbescherming treedt in werking op 25 mei 2018. Het doel van deze wet is de bescherming van de persoonlijke gegevens van EU-burgers. Deze wet kan de plicht van banken om toezicht te houden op crimineel gedrag in de weg staan, aangezien het noodzakelijk is om grote hoeveelheden gegevens te verzamelen voor die taak.
Met deze nieuwe wetgeving moeten klanten expliciet toestemming geven aan banken om hun gegevens te bewaren. Ze hebben ook het recht om hun gegevens in te zien en te laten wissen. Als er ooit sprake is van een data-inbreuk, zoals het bewaren van gegevens zonder toestemming van de klant of het laten stelen van klantgegevens, kunnen er boetes tot 20 miljoen euro worden opgelegd. Als u de Information Commissioner's Office (ICO) niet op de hoogte stelt van inbreuken op de gegevens, kan dit u nog eens 20 miljoen euro kosten. Een compliance manager moet er dus niet alleen voor zorgen dat zijn organisatie de GDPR-regelgeving respecteert, maar ook strikte procedures volgen voor het geval de regelgeving incidenteel wordt overtreden. Om dit te bereiken kan het nodig zijn om processen en verantwoordelijkheden te herontwerpen. Dit kan specifiek van toepassing zijn op uw special investigations en forensische historische gegevens.
Volgens de GDPR-wet moeten banken de informatie van hun klanten veilig bewaren. Tegelijkertijd moeten zij derden van informatie voorzien als hun klanten dat wensen in het kader van de PSD2-wet.
PSD2
In het kader van de Tweede Richtlijn Betalingsdiensten (ingevoerd per 13 januari 2018) zijn banken verplicht om, met toestemming van hun cliënt, toegang te geven tot klantinformatie aan derden. Deze wet zal de markt voor financiële diensten openstellen voor nieuwe spelers. Deze nieuwe spelers kunnen hun cliënten bedienen door alle financiële informatie op één plaats te verzamelen en voor hen transacties te initiëren. Financiële instellingen maken zich zorgen over de risico's die gepaard kunnen gaan met het openstellen van hun systemen voor derden. En dan zijn er nog de vragen: Hoe kan men toegang geven tot die informatie? Moeten zij rechtstreeks toegang geven tot hun systemen? Moeten ze een interface met derden creëren? Of moeten ze gegevensbestanden naar derden sturen? Elke methode brengt verschillende risico's met zich mee. Compliance managers zullen die nieuwe voorzienbare en onvoorzienbare risico's moeten beheersen.
Strengere wetshandhaving
Niet alleen treden dit jaar de vijfde antiwitwasrichtlijn, het BBPR en de BDR2 in werking, maar deskundigen verwachten ook dat de Europese Unie in 2018 het voortouw zal nemen in de strijd tegen het witwassen van geld, de financiering van terrorisme en andere financiële misdrijven. De EU zal dit doen door het toezicht te verscherpen en de handhaving ervan te verscherpen. We hebben gezien dat de handhavingsacties van de Europese Unie tegen financiële instellingen al recordboetes hebben vastgesteld in 2017, dit zal alleen maar erger worden voor financiële instellingen die zich niet aan de regels houden.
Een logische reactie van de banken op een strengere handhaving is dat ze nog strenger moeten toezien. Het is bekend dat de werkdruk bij compliance-afdelingen extreem hoog is en bijna onbeheersbaar. Die werkdruk zal weer toenemen als banken nog meer waarschuwingen gaan genereren uit angst voor strengere wetshandhaving en hogere boetes door toezichthouders. Dit resulteert in nog meer werk op het gebied van analyse, onderzoek en follow-up.
Noodzakelijke systeemupdates
De enige manier om met deze nieuwe regels en strengere handhaving om te gaan, zonder een aanzienlijke hoeveelheid nieuw personeel aan te nemen, is het updaten van uw processen en systemen.
- Voor 5AMLD moet de voorafgaande screening van klanten nog grondiger worden. Het toezicht op de transacties moet gevoeliger zijn.
- Voor GDPR moeten de audittrajecten nog uitgebreider en gemakkelijker te delen zijn met de autoriteiten. Persoonlijke gegevens moeten worden beschermd tegen degenen die geen zaken doen met het inzien van die gegevens en deze gemakkelijker toegankelijk maken voor klanten.
- Voor PSD2 moet een veilige manier worden gevonden om informatie met derden te delen en tegelijkertijd de nieuwe risico's te beperken.
Maar banken moeten zich niet alleen maar klaarstomen voor het komende jaar, zelfs als er niet om de paar jaar nieuwe regelgeving wordt uitgerold, moeten de banken ook toekomstbestendig zijn. De wereld gaat immers technologisch vooruit en dat geldt ook voor criminelen.
Om echte transparantie in het bankwezen te creëren, moet het toezicht meer worden dan alleen de vraag: "Om te verwerken, of niet om deze transactie te verwerken?" De toezichthouders hebben van de bank de verantwoordelijkheid gemaakt om hun klanten te kennen en actief de strijd aan te binden met criminelen die de bankinfrastructuur blijven gebruiken om hun illegale activiteiten verder te financieren. De waarheid is dat je je klanten pas kent als je weet wat ze doen, wanneer ze het doen en met wie ze omgaan. En, dat is iets wat je niet kunt bepalen door één enkele transactie te controleren.
In ons werk zien we dat banken het te druk hebben met het blussen van branden om hun organisatie toekomstbestendig te kunnen maken. Hun reactie op strengere regelgeving en handhaving is het aanscherpen van hun toezichtsregels. Als u een enorme achterstand heeft of een enorme staf die zich inzet voor uw compliance, dan is dat een signaal dat iets in uw organisatie niet zo goed gaat als het zou kunnen. Het betekent dat uw compliance u controleert; in plaats van dat u de controle heeft over uw compliance. Het betekent dat u niet klaar bent voor de toekomst en dat uw bank het risico loopt te worden getroffen door boetes van toezichthouders; en dat u een duidelijk doelwit bent voor misbruik door criminelen. Dit zijn onnodige risico's die kunnen worden vermeden met nieuwe en geavanceerde technologieën die u kunnen helpen de processen binnen uw organisatie te verbeteren.
Ontdek hoe u ervoor kunt zorgen dat uw bank klaar is voor eventuele wijzigingen in de regelgeving in de nabije of verre toekomst. Download hier onze white paper 'the one thing compliance managers can change to save their bank from regulatory fines (even if workload is unmanageable)'.
