EU-rapportage uiteindelijk belanghebbenden: nieuw formaat onder het AML-pakket
De Europese Commissie heeft een uitvoeringsverordening gepubliceerd die het formaat standaardiseert waarin informatie over uiteindelijk belanghebbenden (ultimate beneficial owners, UBO's) in alle EU-lidstaten moet worden gerapporteerd. De verordening is uitgegeven onder het nieuwe EU-wetgevingspakket ter bestrijding van witwassen en is direct relevant voor aanbieders van cryptodiensten (crypto-asset service providers, CASP's), zakelijke dienstverleners en elke verplichte entiteit die onder de EU-AML-regels valt. Voor bedrijven die actief zijn in Malta en in de hele EU is dit geen ver verwijderd beleidssignaal: het is een bindende technische specificatie die bepaalt hoe KYC-gegevens moeten worden gestructureerd, opgeslagen en doorgegeven aan centrale registers.
Wat de uitvoeringsverordening doet
Het AML-pakket van de EU, dat in de afgelopen jaren is aangenomen, heeft de aanpak van de EU bij de bestrijding van financiële criminaliteit ingrijpend herzien. Een centrale pijler van dat pakket is de hervorming van registers van uiteindelijk belanghebbenden (UBO-registers), inclusief een versterkte onderlinge koppeling van nationale registers via het Business Registers Interconnection System (BRIS). Een uitvoeringsverordening is een instrument op het niveau van de Commissie dat de operationele details invult van een hoger wetgevingsbesluit. In dit geval schrijft het het specifieke dataformaat voor dat verplichte entiteiten en bevoegde autoriteiten moeten gebruiken bij het rapporteren of uitwisselen van informatie over uiteindelijk belanghebbenden.
De MFSA, de Maltese toezichthouder op financiële diensten, heeft de publicatie van deze verordening op 30 oktober 2026 gemarkeerd, wat wijst op de relevantie ervan voor onder toezicht staande entiteiten op het eiland. Malta positioneert zich al lang als een belangrijke EU-rechtsgebied voor cryptolicenties, dus de praktische reikwijdte van deze formaatwijziging is aanzienlijk voor de CASP-gemeenschap die daar is geregistreerd.
Belangrijkste technische dimensies van het nieuwe formaat
Hoewel de volledige technische bijlagen in de gepubliceerde tekst van de Commissie staan, behandelt de verordening verschillende dimensies die compliance- en financelteams moeten begrijpen:
- Een gestandaardiseerd dataschema voor het identificeren en beschrijven van uiteindelijk belanghebbenden, met velden zoals naam, geboortedatum, nationaliteit, land van verblijf en de aard en omvang van het eigendoms- of controlebelang.
- Vereisten voor hoe informatie wordt gestructureerd om grensoverschrijdende gegevensuitwisseling tussen nationale registers via BRIS mogelijk te maken, ter ondersteuning van de koppelingsdoelstelling van het AML-pakket.
- Specificatie van het formaat waarin updates van UBO-registraties moeten worden ingediend, wat de frequentie en technische methode van rapportage door verplichte entiteiten beïnvloedt.
- Regels over de nauwkeurigheids- en verificatieverplichtingen die samengaan met het dataformaat, wat benadrukt dat de formaatwijziging niet louter cosmetisch is, maar direct verbonden is met de inhoudelijke KYC-standaard.
Hoe dit past in de bredere AML-wetgevingsarchitectuur
De uitvoeringsverordening staat onder de AML-verordening en de Zesde Anti-witwasrichtlijn (AMLD6), die samen het middelpunt vormen van het bijgewerkte EU-kader voor financiële criminaliteit. De AML-verordening introduceerde een rechtstreeks toepasselijke reeks regels voor verplichte entiteiten, waardoor lidstaten bepaalde bepalingen niet meer hoefden om te zetten. De uitvoeringsverordening voegt de operationele laag toe: zonder een gemeenschappelijk dataformaat kan de politieke ambitie van een echt onderling gekoppeld ecosysteem van UBO-registers in 27 lidstaten in de praktijk niet worden verwezenlijkt.
CASP's vallen expliciet onder de reikwijdte van de AML-verordening, wat betekent dat zij dezelfde rapportageverplichtingen voor uiteindelijk belanghebbenden hebben als banken, beleggingsondernemingen en andere traditionele verplichte entiteiten. Dit is een breuk met eerdere richtlijnen, waarin cryptobedrijven soms in ambigue of overgangscategorieën vielen.
Gevolgen voor accountantskantoren, auditors en CFO's
Voor professionals die EU-gereguleerde entiteiten adviseren of compliance beheren voor een CASP, heeft het nieuwe formaat concrete gevolgen voor gegevensbeheer, audittrails en de systemen die compliancewerk ondersteunen.
Data-architectuur en crypto-boekhoudsoftware
Een van de minder besproken gevolgen van een gestandaardiseerd UBO-rapportageformaat is de druk die het legt op de interne data-architectuur van verplichte entiteiten. Informatie over uiteindelijk belanghebbenden wordt doorgaans verzameld bij onboarding en bijgewerkt op basis van een trigger of periodiek. Als die gegevens worden vastgehouden in formaten of structuren die niet netjes aansluiten bij het nieuwe EU-schema, staan bedrijven voor een datamigratie- en validatieoefening voordat ze conform kunnen rapporteren.
Hier worden keuzes voor crypto-boekhoudsoftware en software voor digitale activa-adminstratie relevant buiten pure grootboekfuncties. Bedrijven die hun KYC-datapijplijnen hebben geïntegreerd met hun accounting- en complianceplatforms, moeten verifiëren dat de UBO-gegevensvelden die hun systemen vastleggen, overeenkomen met het voorgeschreven schema van de Commissie. Waar hiaten bestaan, of het nu gaat om een ontbrekend gegevenspunt of een veld dat onder een andere naam bestaat, moeten deze op systeemniveau worden opgelost, niet handmatig worden gepatcht op het moment van rapportage.
Accountantskantoren die CASP-cliënten bedienen, moeten een oefening voor het in kaart brengen van gegevensvelden opnemen in hun volgende compliance-reviewcyclus. De vraag is eenvoudig maar wordt vaak over het hoofd gezien: legt de huidige KYC-gegevensverzameling van de cliënt elk veld vast dat het nieuwe formaat vereist, in de juiste structuur, en met een gedocumenteerde verificatiebasis?
Overwegingen voor audit en assurance
Auditors van gereguleerde entiteiten moeten het nieuwe formaat begrijpen bij het beoordelen van de adequaatheid van AML-controles. Een auditbevinding dat de UBO-registerindieningen van een cliënt technisch niet conform de uitvoeringsverordening zijn, zelfs als de onderliggende gegevens grotendeels accuraat zijn, kan leiden tot toezichtonderzoek. Dit is met name relevant in Malta, waar de MFSA haar toezichtverwachtingen voor de kwaliteit en nauwkeurigheid van UBO-informatie van vergunninghouders heeft benadrukt.
Vanuit assuranceperspectief maakt het gestandaardiseerde formaat ook vergelijkend testen beter uitvoerbaar. Auditors kunnen nu beoordelen of de ingediende gegevens van een cliënt voldoen aan een specifiek, openbaar beschikbaar schema, in plaats van te vertrouwen op een meer interpretatieve beoordeling van welke informatie "zou moeten" worden opgenomen.
Overwegingen op CFO- en treasuryniveau
Voor CFO's van groepen met complexe eigendomsstructuren kan het nieuwe formaat vereisen dat opnieuw wordt gekeken hoe uiteindelijk belanghebbenden op groepsniveau worden bepaald en gedocumenteerd. De aard en omvang van eigendoms- of controlebelangen moeten worden uitgedrukt op een manier die het voorgeschreven schema aankan. Waar een groep gelaagde holdingstructuren heeft of eigendomsbelangen die dicht bij de relevante drempels liggen, eist het formaat effectief een precisie die informele of narratieve UBO-registraties niet kunnen bieden.
Groepen met EU-gereguleerde crypto-entiteiten moeten ook overwegen of dezelfde UBO-informatie in meerdere lidstaten moet worden gerapporteerd en, zo ja, of het gestandaardiseerde formaat de compliancewerklast vermindert of mogelijk vermenigvuldigt, afhankelijk van hoe de huidige processen zijn ingericht.
Malta-specifieke context
Het besluit van de MFSA om een speciale bekendmaking over deze uitvoeringsverordening te publiceren, weerspiegelt de benadering van de toezichthouder om haar onder toezicht staande populatie op de hoogte te houden van EU-ontwikkelingen zodra deze zich voordoen. Malta huisvest een aanzienlijk aantal CASP's die onder de Virtual Financial Assets Act waren gelicentieerd voordat de overgangsbepalingen van MiCA van kracht werden, en veel van deze bedrijven doorlopen nu het MiCA-autorisatieproces naast de bredere verplichtingen van het AML-pakket.
Interactie met MiCA en de AML-verordening
MiCA en de AML-verordening werken op parallelle sporen, maar met belangrijke raakvlakken. MiCA stelt de voorwaarden vast voor autorisatie en doorlopende bedrijfsvoering voor CASP's, terwijl de AML-verordening hun verplichtingen ter voorkoming van financiële criminaliteit regelt. De uitvoeringsverordening over het UBO-rapportageformaat valt duidelijk binnen het spoor van de AML-verordening, maar CASP's die hun MiCA-autorisatieaanvragen voorbereiden, zullen merken dat toezichthouders, waaronder de MFSA, verwachten dat hun AML-kaders al de huidige stand van de EU-vereisten weerspiegelen. Een bedrijf dat geen UBO-rapportageproces kan aantonen dat aansluit bij het nieuwe formaat, zal waarschijnlijk vragen krijgen tijdens de autorisatiebeoordeling.
Voor complianceteams die de dubbele werklast van MiCA-overgang en implementatie van het AML-pakket beheren, is het praktische advies om de UBO-formaatupdate te behandelen als een afzonderlijke werkstroom met een duidelijke eigenaar, een output van een gap-analyse en een remediatietijdlijn. Het opnemen ervan in een algemeen "AML-compliance"-project brengt het risico met zich mee dat het onvoldoende aandacht krijgt.
Praktische vervolgstappen voor compliance- en financelteams
Aangezien de uitvoeringsverordening nu is gepubliceerd, is de klok voor de voorbereiding gaan lopen. De volgende stappen weerspiegelen de onmiddellijke prioriteiten voor verplichte entiteiten en hun adviseurs.
Onmiddellijke acties
- Vraag de volledige tekst van de uitvoeringsverordening op, inclusief eventuele technische bijlagen, en beoordeel deze om het vereiste dataschema precies te begrijpen.
- Voer een veld-voor-veld-mapping uit van de huidige KYC-gegevensverzameling tegen het vereiste schema, en identificeer hiaten of mismatches.
- Neem contact op met de relevante nationale registerautoriteit (in Malta valt dit onder de Malta Business Registry voor UBO-registerindieningen) om de tijdlijn te begrijpen voor de invoering van het nieuwe formaat op registerniveau.
- Beoordeel leverancierscontracten en systeemspecificaties voor eventuele gebruikte crypto-boekhoudsoftware of KYC-platform, om te bevestigen of formaatupdates zijn opgenomen in de roadmap van de leverancier en binnen welk tijdsbestek.
- Werk AML-beleid en -procedures bij om te verwijzen naar de nieuwe formaatvereisten, en zorg dat de documentatietrail op orde is vóór een eventueel toezichtonderzoek.
Teams die context zoeken over hoe trends in AML-handhaving de complianceverwachtingen vormgeven, vinden nuttige achtergrond in onze berichtgeving over AML-signalen voor complianceteams die crypto-boekhoudsoftware gebruiken en de bredere analyse van hoe het EU-AML-kader zich verhoudt tot verplichtingen voor crypto-boekhoudsoftware.
Veelgestelde vragen
Op wie is de EU-uitvoeringsverordening inzake uiteindelijk belanghebbenden van toepassing?
De verordening is van toepassing op alle verplichte entiteiten onder de EU-AML-verordening, waaronder kredietinstellingen, financiële instellingen en aanbieders van cryptodiensten die in de EU zijn geautoriseerd of actief zijn. Zij is ook van toepassing op bevoegde autoriteiten die verantwoordelijk zijn voor het bijhouden en uitwisselen van informatie over uiteindelijk belanghebbenden via nationale registers.
Wat is het verschil tussen de AML-verordening en een uitvoeringsverordening?
De AML-verordening is een primair wetgevingsbesluit dat is aangenomen door het Europees Parlement en de Raad. Het bevat de inhoudelijke verplichtingen voor verplichte entiteiten. Een uitvoeringsverordening wordt uitgegeven door de Europese Commissie om de operationele details te specificeren van hoe die verplichtingen in de praktijk worden nagekomen, zoals het dataformaat voor rapportage. Beide zijn juridisch bindend in alle EU-lidstaten zonder dat nationale omzetting nodig is.
Heeft dit specifiek gevolgen voor aanbieders van cryptodiensten?
Ja. CASP's vallen expliciet onder de reikwijdte van de AML-verordening, en de uitvoeringsverordening over het UBO-rapportageformaat is daarom op hen van toepassing op dezelfde manier als op banken en beleggingsondernemingen. CASP's moeten informatie over uiteindelijk belanghebbenden verzamelen, bijhouden en rapporteren in het voorgeschreven formaat, en hun interne systemen moeten aan die eis voldoen.
Hoe moet de crypto-boekhoudsoftware van een bedrijf worden bijgewerkt om het nieuwe formaat te weerspiegelen?
Bedrijven moeten eerst vaststellen of hun huidige systemen alle gegevensvelden vastleggen die in het nieuwe schema zijn gespecificeerd. Waar velden ontbreken of in een andere structuur worden vastgelegd, moeten zij met hun compliance-, IT- en leveranciersteams samenwerken om die hiaten te dichten. De formaatupdate is net zozeer een kwestie van data-architectuur als van beleid, en moet worden behandeld als een project met gedefinieerde deliverables in plaats van een routinematige beleidsvernieuwing.
Wat is de rol van de MFSA bij de implementatie van deze verordening?
Als uitvoeringsverordening is dit instrument rechtstreeks toepasselijk in de hele EU, zonder dat de MFSA afzonderlijke regels hoeft uit te vaardigen. De MFSA houdt echter toezicht op de naleving door haar vergunninghouders en heeft haar bekendheid met de verordening gesignaleerd door een speciale bekendmaking te publiceren. Bedrijven onder toezicht van de MFSA moeten verwachten dat dit deel uitmaakt van het AML-toezichtskader waaraan zij worden getoetst, en moeten de richtlijnen van de MFSA volgen zodra deze worden uitgegeven.