AMLR en digitale identiteit
Het document ophalen was het makkelijke deel.
Jarenlang begon de identiteitscontrole in de vastgoedsector vaak – en soms bijna eindigde ze ook al – met een bekend verzoek:
„Stuur ons alstublieft een kopie van uw paspoort of identiteitskaart.”
Het document wordt geüpload. De naam klopt. De vervaldatum wordt gecontroleerd. Een kopie wordt in het AML-dossier opgenomen.
Maar er is een duidelijk probleem:
Een echt identiteitsdocument betekent niet noodzakelijkerwijs dat de persoon die het overlegt, ook degene is aan wie het toebehoort.
Een paspoort kan volkomen authentiek zijn en toch frauduleus worden gebruikt.
Nu de EU toewerkt naar de nieuwe antiwitwasverordening (AMLR), die vanaf 10 juli 2027 van kracht wordt, moeten vastgoedprofessionals verder kijken dan het verzamelen van identiteitsdocumenten en zich richten op aantoonbare identiteitsverificatie.
En er is geen goede reden om te wachten tot 2027 om hiermee te beginnen.
De AMLR maakt een onderscheid tussen identificatie en verificatie
Dit onderscheid is fundamenteel.
Op grond van artikel 20 van de AMLR verplicht de klantendue diligence (CDD) de aangewezen entiteiten om de klant te identificeren en de identiteit van de klant te verifiëren. De AMLR vereist ook dat zij aan toezichthouders kunnen aantonen dat de door hen toegepaste maatregelen passend waren voor de geïdentificeerde risico's. EUR-Lex
Dit zijn niet hetzelfde.
Bij identificatie wordt gevraagd:
Wie beweert deze persoon te zijn?
Bij verificatie wordt gevraagd:
Welk betrouwbaar bewijs geeft ons voldoende zekerheid dat deze persoon werkelijk is wie hij of zij beweert te zijn?
Het uploaden van een paspoort helpt bij het beantwoorden van de eerste vraag.
Een goed verificatieproces moet de tweede vraag beantwoorden.
AMLR erkent digitale identiteit expliciet
Artikel 22 van de AMLR biedt twee hoofdmethoden voor verificatie.
De identiteit kan worden geverifieerd aan de hand van een identiteitsdocument, paspoort of gelijkwaardig document, waar nodig aangevuld met informatie uit betrouwbare en onafhankelijke bronnen.
Maar de AMLR erkent ook uitdrukkelijk elektronische identificatiemiddelen die voldoen aan de vereisten van het eIDAS-kader van de EU op het zekerheidsniveau „substantieel“ of „hoog“, in combinatie met relevante gekwalificeerde vertrouwensdiensten. EUR-Lex
Dat is van enorm belang voor de vastgoedsector.
Klanten bevinden zich steeds vaker op afstand.
Een koper in Stockholm koopt een woning in Spanje.
Een verkoper die in België woont, verkoopt een woning in Frankrijk.
De UBO van een zakelijke koper kan in een andere lidstaat wonen – of zelfs helemaal buiten de EU.
Onboarding op afstand is niet langer uitzonderlijk.
Het is de normale gang van zaken in de vastgoedsector.
Een gescand paspoort is geen digitale identiteitsverificatie
Dit onderscheid is belangrijk.
Het elektronisch ontvangen van een PDF of foto van een paspoort maakt de verificatie op zich nog niet digitaal.
De echte vraag is de betrouwbaarheid van het verificatieproces.
Stel je voor:
Klant A
uploadt een foto van een paspoort.
Het bureau slaat deze op.
Klaar.
Vergelijk dat nu eens met:
Klant B
verstrekt identiteitsgegevens via een passend verificatieproces.
Het proces legt vast welk identiteitsbewijs is gebruikt, verifieert relevante informatie, registreert wanneer de verificatie plaatsvond en bewaart het bewijsmateriaal dat nodig is om het resultaat aan te tonen.
Beide instanties kunnen in het bezit zijn van een pasfoto.
Maar hun vermogen om aan te tonen waarom zij de identiteit als voldoende geverifieerd beschouwden, kan heel verschillend zijn.
Dit is waar AMLR het gesprek verandert
Artikel 20, lid 4, van de AMLR bevat een op het eerste gezicht onopvallende maar uiterst belangrijke vereiste:
Verplichte entiteiten moeten te allen tijde aan hun toezichthouders kunnen aantonen dat de genomen maatregelen passend zijn in het licht van de geïdentificeerde ML/TF-risico’s. EUR-Lex
Dat verandert de nalevingsvraag van:
„Hebben we een identiteitsbewijs?”
naar:
„Hoe hebben we deze identiteit geverifieerd, op welk bewijsmateriaal hebben we ons gebaseerd en was die methode passend voor het risico?”
Dat is een veel sterkere nalevingspositie.
Onboarding op afstand vereist een bewijstraject
Voor een vastgoedbedrijf moet een digitaal identiteitsproces daarom een gestructureerd dossier achterlaten.
Niet alleen:
Paspoort.pdf ✓
Maar iets dat meer lijkt op:
Identiteit bevestigd
↓
Identificatiegegevens verzameld
↓
Verificatiemethode vastgelegd
↓
Gebruikt bewijs/bron
↓
Verificatieresultaat
↓
Datum en verantwoordelijk proces/persoon
↓
Risicobeoordeling
↓
Besluit inzake CDD
↓
Doorlopende monitoring
Ook dat laatste element is van belang.
Identiteitscontrole is niet per se een eenmalige handeling.
Omdat klanten niet statisch blijven
Stel je voor dat een klant vandaag correct wordt geverifieerd.
Zes maanden later:
de klant verstrekt andere identificatiegegevens;
er is een andere bevoegde vertegenwoordiger;
de eigendomsstructuur van de onderneming verandert;
er verschijnt een nieuwe UBO;
documenten vervallen;
de informatie is niet meer consistent;
er veranderingen optreden in de omstandigheden die van invloed zijn op het risicoprofiel van de klant.
AML-compliance kan niet simpelweg zeggen:
„KYC zes maanden geleden voltooid ✓.”
De AMLR-verordening vereist voortdurende monitoring van zakelijke relaties en schrijft voor dat CDD-informatie actueel moet blijven. De verordening maakt CDD onderdeel van een doorlopend, risicogebaseerd proces in plaats van een eenmalige verzameling van documenten. EUR-Lex
De betere vraag is dus:
Hebben we nog steeds redelijk vertrouwen in de klantinformatie waarop onze compliancebeslissing is gebaseerd?
De vastgoedsector kent nog een andere belangrijke AMLR-regel
AMLR stelt voor makelaars in onroerend goed een specifieke termijn vast.
Voor makelaars moet de identiteitscontrole plaatsvinden nadat een bod is aanvaard door de verkoper of verhuurder en, in alle gevallen, voordat geld of onroerend goed wordt overgedragen. EUR-Lex
Dat betekent dat identiteitsverificatie niet louter een administratieve handeling mag zijn die op een willekeurig moment na de transactie wordt uitgevoerd.
De identiteitscontrole moet op het juiste moment in de transactieworkflow plaatsvinden.
Bovendien beschouwt de AMLR beide partijen bij een vastgoedtransactie als klanten in het kader van de CDD.
De implicaties voor vastgoedtechnologie zijn aanzienlijk.
Identiteitsverificatie moet worden gekoppeld aan het transactiedossier en mag niet ergens geïsoleerd in een generiek CRM-contactrecord staan.
Digitale identiteit is nog steeds slechts een onderdeel van CDD
Er schuilt hier nog een valkuil.
Het vervangen van handmatige het uploaden van paspoorten door geavanceerde digitale identiteitsverificatie maakt een bedrijf nog niet AML-conform.
Identiteitsverificatie is slechts één onderdeel.
Een AML-proces in de vastgoedsector kan ook het volgende omvatten:
Bedrijfsbrede risicobeoordeling
KYC
Identificatie en verificatie van de UBO
Beoordeling van PEP’s
Gerichte controles op financiële sancties
Risicobeoordeling van klanten
Doel en beoogde aard van de relatie of transactie
CDD / EDD
Ken je transactie
Herkomst van middelen, indien vereist
Herkomst van het vermogen, indien vereist
Doorlopende monitoring
Melding van verdachte transacties
Opleiding
Administratie
Aantoonbare beslissingen en audittrajecten
Daarom is een geavanceerde aanbieder van identiteitsverificatie nog steeds geen AML-compliance-systeem.
Het lost een belangrijk stukje van de puzzel op.
Niet de hele puzzel.
De AMLA maakt de details concreter
Deze ontwikkeling zet zich nog steeds voort.
AMLA heeft op grond van artikel 28 van de AMLR technische reguleringsnormen ontwikkeld waarin wordt gespecificeerd hoe CDD in de praktijk moet worden uitgevoerd, inclusief de informatie en documenten die verplichte entiteiten moeten verzamelen.
De raadpleging van AMLA uit 2026 gaat expliciet in op de vraag hoe verplichte entiteiten de identiteit van klanten moeten verifiëren en doorlopend toezicht moeten uitoefenen op een risicogevoelige en evenredige manier, waarbij de normen bedoeld zijn om in zowel de financiële als de niet-financiële sector te functioneren. AML/CTF-autoriteit
Dat is nog een reden waarom vastgoedbedrijven hun toekomstige AML-proces niet moeten baseren op een map vol geüploade documenten.
De koers is duidelijk: gestructureerde, risicogebaseerde en aantoonbare CDD.
Waarom (niet) wachten tot 2027?
Dit is misschien wel het belangrijkste punt.
Klantidentificatie en -verificatie zijn geen nieuwe verplichtingen die door de AMLR zijn ingevoerd.
Vastgoedprofessionals zijn al onderworpen aan AML-vereisten binnen het huidige wettelijke kader.
AMLR wijzigt en harmoniseert het kader, maar de fundamentele noodzaak om je klant te kennen en te verifiëren bestaat al.
Waarom zou je dan nog negen maanden doorgaan met een zwak proces, simpelweg omdat de AMLR-regeling pas vanaf juli 2027 van kracht is?
Een betere aanpak is om nu al de overstap te maken van:
het verzamelen van documenten naar identiteitsverificatie
en uiteindelijk naar: aantoonbare klantonderzoek (Customer Due Diligence).
Waar Immosurance een rol speelt
Dit is precies het onderscheid waarop Immosurance is afgestemd.
Het doel is niet simpelweg:
“Identiteitsbewijs uploaden.”
Het gaat erom identiteit te integreren in een bredere AML-compliance-workflow:
Identificeren → Verifiëren → Screenen → Risico beoordelen → CDD/EDD → Transactie beoordelen → Monitoren → Documenteren → Aantonen
Identiteitsbewijs wordt daarmee onderdeel van het AML-dossier van de klant en de transactie, samen met de onderbouwing, controles, beslissingen en bewijsmateriaal die ermee samenhangen.
Want wanneer een toezichthouder uiteindelijk vraagt:
“Hoe hebt u vastgesteld dat deze klant correct is geïdentificeerd en geverifieerd?”
dan mag het antwoord niet zijn:
„Er zit ergens in het dossier een paspoort.”
Maar:
“Dit is precies hoe we dat hebben vastgesteld.”
AMLR gaat verder dan het verzamelen van documenten.
En vastgoedbedrijven hoeven niet te wachten tot 10 juli 2027 om dat te bereiken.
Immosurance — Compliance op maat voor de vastgoedsector.