Perpetueel KYC (pKYC): continue klantmonitoring in 2026

Perpetueel KYC (pKYC) vertegenwoordigt een fundamentele verschuiving in de manier waarop meldingsplichtige instellingen klantonderzoek uitvoeren. In plaats van de identiteit van een klant eenmalig te verifiëren bij de zakelijke relatie en vervolgens periodieke reviews uit te voeren, impliceert pKYC continue bewaking van het risicoprofiel van de klant gedurende de gehele zakelijke relatie. Deze aanpak voldoet direct aan de vereisten van Richtlijn (EU) 2024/1640 (AMLD6) en Verordening AMLR (2024/1624), die permanente waakzaamheid over zakelijke relaties opleggen.

Dit artikel is informatief van aard en vormt geen juridisch of regelgevend advies. De regelgevingsreferenties weerspiegelen de stand van het recht op 24 mei 2026. Raadpleeg een gekwalificeerde professional voor advies dat is afgestemd op uw specifieke situatie.

Waarom periodiek KYC niet langer volstaat

Het periodieke KYC-model — jaarlijkse review voor hoog-risico klanten, eens per drie jaar voor standaardklanten — heeft een structurele tekortkoming: tussen twee reviews kan de situatie van een klant ingrijpend veranderen zonder dat de instelling hiervan op de hoogte is. Sanctieregistratie, wijziging van uiteindelijk belanghebbenden, nieuwe risicovol gebleken activiteiten: deze gebeurtenissen kunnen op elk willekeurig moment optreden tussen twee reviewcycli.

De FATF-aanbevelingen (herzien in 2023) zijn ondubbelzinnig: Aanbeveling 10 vereist doorlopende zorgvuldigheid gedurende de gehele zakelijke relatie, niet alleen bij onboarding. De term "doorlopend" heeft een specifieke technische betekenis die niet wordt vervuld door uitsluitend periodieke reviews.

Naleving van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) vereist al continue monitoring. De Nederlandsche Bank (DNB) heeft in haar toezichtrapporten herhaaldelijk gewezen op tekortkomingen bij instellingen die uitsluitend periodieke reviews uitvoeren zonder aanvullende event-driven monitoring.

Volgens het ACFE-rapport 2024 Report to the Nations detecteren handmatige periodieke controles gemiddeld slechts 37% van de fraudes, met een gemiddelde detectievertraging van 87 dagen. pKYC verkort deze vertraging structureel door afwijkingen te signaleren zodra ze zich voordoen.

Vergelijking: periodiek KYC vs. perpetueel KYC

Regelgevingskader: AMLD6, AMLR en DNB-vereisten

Artikel 21 van AMLR (2024/1624), direct van toepassing in alle EU-lidstaten vanaf juli 2027, verplicht continue monitoring van alle zakelijke relaties — niet als optie, maar als bindende verplichting. (EUR-Lex AMLR)

In Nederland vereist de Wwft reeds dat meldingsplichtige instellingen de zakelijke relatie doorlopend monitoren en de gegevens voor cliëntenonderzoek regelmatig actualiseren. De DNB controleert actief of instellingen beschikken over adequate systemen voor continue monitoring, waarbij de nadruk ligt op drie elementen:

• Automatische screening tegen sanctielijsten (VN, EU, OFAC en nationale lijsten) in (vrijwel) realtime.
• Transactiemonitoring die afwijkingen van het verwachte profiel detecteert.
• Ereignisgestuurde triggers die een review activeren bij materiële wijzigingen in de klantpositie.

Voor een breder overzicht van KYC-verplichtingen, zie onze complete KYC-gids 2026 en onze AMLD6-nalevingsgids voor meldingsplichtige instellingen.

Verplichte reviewtriggers die de DNB identificeert:

• Nieuwe sanctieregistratie (VN, EU, OFAC, nationale lijsten).
• Wijziging van uiteindelijk belanghebbenden in het UBO-register (KVK).
• Transacties die significant afwijken van het gedeclareerde profiel.
• Negatieve media-aandacht relevant voor het integriteitsprofiel.
• Identificatie van politiek prominente personen (PEP) in de klantrelatie.

De vier pijlers van een effectief pKYC-programma

1. Gebeurtenisgestuurde triggerbeheer

De kern van pKYC is het vervangen van de kalender door gebeurtenissen. Wanneer iets materieel verandert — in de gegevens van de klant, in externe registers, in sanctiedatabases of in transactiegedrag — activeert het systeem een gerichte review. Typische triggers zijn: nieuwe sanctievermelding, wijziging van de UBO-structuur in het UBO-register, negatief mediabericht, ongebruikelijke transactie gedetecteerd door het monitoringsysteem, en het verlopen van verificatiedocumenten.

2. Continue screening van sancties en PEP's

Sanctielijsten worden meerdere keren per week bijgewerkt. Screening tegen de geconsolideerde lijsten van de VN, de EU en nationale lijsten moet continu zijn. De richtsnoeren van de Europese Bankautoriteit (EBA) over Wwft-risicobeheer vereisen dat de screening niet alleen de directe klant omvat, maar ook de uiteindelijk belanghebbenden, gevolmachtigden en gebruikelijke tegenpartijen.

Voor politiek prominente personen vereist AMLD6 een risicoreview ten minste elke zes maanden, met onmiddellijke bijwerking bij elke wijziging in de politieke status van de klant.

3. Transactiemonitoring en gedragsanalyse

Transactiemonitoring detecteert de kloof tussen wat van de klant werd verwacht en wat hij daadwerkelijk doet. Moderne pKYC-systemen integreren transactiemonitoring als gegevensbron voor de algehele risicoscore. Transactiesignaleringen genereren automatisch profielreviews voor de betrokken klant.

4. Intelligente documentorkestratie

Wanneer een gebeurtenis een verplichte update triggert, vraagt het pKYC-systeem uitsluitend de specifiek benodigde documenten op — geen volledige herverificatie. Het CheckFile-platform dekt meer dan 3.200 documenttypen in 32 jurisdicties, wat continue verificatie in complexe grensoverschrijdende situaties mogelijk maakt. Voor technische integratiedetails, zie onze documentvalidatie-API-integratiegids.

Implementatie: van periodiek KYC naar pKYC

Stap 1: Segmenteer uw klantenportefeuille naar risiconiveau

Classificeer uw portefeuille voordat u continue monitoring implementeert: hoog risico (PEP's, klanten in risicovolle jurisdicties, complexe bedrijfsstructuren), standaardrisico en vereenvoudigd risico waar van toepassing. Monitoringintensiteit, alertdrempels en resterende reviewfrequentie variëren per niveau.

Stap 2: Verbind externe gegevensbronnen

Een pKYC-systeem is zo goed als zijn gegevensinvoer. Verbind: sanctiedatabases, het UBO-register van de KVK, negatieve mediabronnen en het interne transactiemonitorsysteem. Automatisering van deze verbindingen elimineert handmatige batchprocessen en biedt de vrijwel realtime zichtbaarheid die toezichthouders verwachten.

Stap 3: Definieer escalatie- en documentatienormen

Elk gegenereerd signaal, elke genomen beslissing en elke documentupdate moet worden vastgelegd met tijdstempel en onderbouwing. De DNB verwacht dat instellingen kunnen aantonen dat hun continue monitoring systematisch, risicoproportioneel en volledig controleerbaar is.

Minimale reviewfrequenties per risicoprofiel

FIU-Nederland en de meldingsplicht voor ongebruikelijke transacties

pKYC is onlosmakelijk verbonden met de meldingsplicht bij FIU-Nederland. Wanneer het systeem een ongebruikelijke transactie detecteert op basis van de objectieve of subjectieve indicatoren die zijn vastgesteld door de Wwft en het Uitvoeringsbesluit Wwft 2018, moet de meldingsplichtige instelling de transactie onverwijld aan FIU-Nederland melden. Een effectief pKYC-systeem genereert automatisch de gestructureerde gegevens die voor de melding vereist zijn: het transactiebedrag, de betrokken partijen, de toegepaste indicator en de chronologie van de detectie.

De integratie van het UBO-register bij de KVK is een kritisch onderdeel van de Nederlandse pKYC-vereisten. Wijzigingen in het UBO-register — nieuwe uiteindelijk belanghebbenden, aanpassingen in eigendomspercentages, het verlenen of intrekken van zeggenschap — zijn verplichte triggers voor een geactualiseerde risicoanalyse. Het systeem moet deze wijzigingen automatisch verwerken en een profielreview initiëren zonder afhankelijk te zijn van handmatige controles. Instellingen die uitsluitend handmatig op UBO-wijzigingen controleren, lopen het risico wijzigingen pas te ontdekken bij de volgende periodieke review — een patroon dat de DNB in haar toezichtrapporten expliciet als onvoldoende heeft gekwalificeerd.

De koppeling met het UBO-register dient ook het bredere doel van de AMLR: uiteindelijk zal de AMLA (Anti-Money Laundering Authority) een gecentraliseerd toegangspunt bieden voor UBO-gegevens uit alle EU-lidstaten, wat de grensoverschrijdende monitoring aanzienlijk vereenvoudigt.

Operationele voordelen naast compliance

pKYC biedt substantiële operationele voordelen. Volgens een analyse van Capgemini Research Institute uit 2025 rapporteren instellingen die een volwassen pKYC-raamwerk hebben geïmplementeerd een kostenbesparing van 35 tot 40% op KYC-reviewkosten bij een vergelijkbare portefeuille.

De reductie van klantfrictie is eveneens meetbaar: in plaats van de klant elke 12 of 36 maanden te vragen al zijn documenten opnieuw in te dienen, neemt pKYC alleen contact op wanneer een gebeurtenis daadwerkelijk een update rechtvaardigt. Voor het optimaliseren van uw klantintegratieproces, zie onze geautomatiseerde documentverificatieoplossing.

Veelgestelde vragen

Wat is het verschil tussen perpetueel KYC en transactiemonitoring?

Transactiemonitoring analyseert de transacties die een klant uitvoert — op zoek naar ongebruikelijke volumes, patronen of tegenpartijen. Perpetueel KYC bewaakt de identiteit van de klant, zijn uiteindelijke belanghebbenden en zijn sanctiestatus, ongeacht specifieke transacties. Beide zijn verplicht en complementair.

Vervangt pKYC periodieke reviews volledig?

Nee. Minimale periodieke reviewfrequenties blijven van kracht — jaarlijks voor hoog-risico klanten, driejaarlijks voor standaard risico conform AMLR. pKYC voegt een gebeurtenisgestuurde laag toe bovenop deze minima, zodat klanten worden gereviewed wanneer materiële wijzigingen optreden, zonder te wachten op de volgende geplande review.

Welke sancties kan de DNB opleggen voor een ontoereikend pKYC-programma?

De DNB kan bestuurlijke boetes opleggen tot 10% van de jaaromzet of een vast bedrag tot 5 miljoen euro, afhankelijk van de ernst van de overtreding. De Wwft voorziet ook in de mogelijkheid van openbare bekendmaking van de maatregel en intrekking van de vergunning bij ernstige of herhaalde overtredingen.

Welk bewijs verwacht de DNB van een pKYC-programma?

Gedocumenteerd beleid dat uitlegt hoe triggering events worden gedefinieerd en geëscaleerd; volledige auditlogs van signaleringen, reviews en beslissingen; bewijs dat signaleringen binnen bepaalde tijdframes worden afgehandeld; en opleidingsregisters die aantonen dat het complianceteam het programma begrijpt.

---

Voor het opbouwen van een volledig complianceprogramma, zie onze documentcompliancegids. Ga naar CheckFile, bekijk onze beveiligingsarchitectuur of raadpleeg onze prijsplannen.