VASP Onboarding: Het AML Due Diligence Kader voor Financiële Instellingen
Het debat over de vraag of gereguleerde financiële instellingen met virtual asset service providers moeten samenwerken, is feitelijk voorbij. Banken bewaren cryptoactiva, stablecoins stromen door reguliere betaalsystemen en vermogensbeheerders houden digitale activa aan voor hun klanten. De echte compliance-vraag in 2026 is niet of men een VASP moet onboarden, maar hoe dit op een manier te doen die gedocumenteerd, consistent en verdedigbaar is richting een toezichthouder. Dit artikel schetst de kerncomponenten van dat kader, op basis van richtlijnen die Elliptic heeft gepubliceerd voor financiële instellingen die hun VASP-intakeproces opzetten of verbeteren.
Waarom 'Afwachten' Niet Langer Haalbaar Is
Toezichthouders in de belangrijkste jurisdicties hebben, via handhavingsmaatregelen, thematische reviews en gepubliceerde verwachtingen, duidelijk gemaakt dat passieve behandeling van VASP-tegenpartijen niet acceptabel is. De specifieke dynamiek die de calculus heeft veranderd, is transparantie: een materieel deel van de activiteit van een VASP staat op een publiek grootboek. Zodra die data toegankelijk is, wordt een compliancefunctie die deze negeert geconfronteerd met een eenvoudige toezichtsvraag: waarom heeft u geen gebruik gemaakt van de informatie die voor u beschikbaar was?
Die framing is belangrijk omdat het de bewijslast verschuift. Instellingen die eerder het ontbreken van betrouwbare data aanvoerden als reden voor lichte VASP-due diligence, hebben dat argument niet meer. On-chain analytics zijn een volwassen capaciteit. De verwachting is dat gereguleerde instellingen deze inzetten.
De verschuiving van 'of' naar 'hoe'
Financiële instellingen die al VASP-klanten hebben geïntegreerd, of crypto-blootgestelde tegenpartijen op hun balans hebben, hebben een methodologie nodig die ze consistent kunnen toepassen bij onboarding, periodieke review en gebeurtenisgestuurde herbeoordeling. Degenen die hun aanpak nog ontwikkelen, moeten snel handelen. Met name de adoptie van stablecoins versnelt de tijdlijn: correspondent banking-relaties, betalingsverwerking en zelfs handelsafwikkeling omvatten nu VASP-tegenpartijen op manieren die een paar jaar geleden nog theoretisch waren.
De Instelling Gereed Maken Voordat Onboarding Begint
De kwaliteit van due diligence wordt beperkt door de institutionele gereedheid. Voordat een individuele VASP wordt beoordeeld, moet de compliancefunctie een duidelijk antwoord hebben op een aantal interne vragen.
Governance en risico-appetijt
Wie is eigenaar van het VASP-onboardingbesluit? Bij de meeste instellingen ligt dit bij compliance, legal en relevante bedrijfslijn, maar de beslissingsrechten en escalatiepad moeten expliciet zijn. Het risico-appetijt voor VASP-blootstelling moet ook op categorieniveau worden gedefinieerd: centrale exchanges, decentrale protocollen, custodians en betalingsverwerkers hebben elk een apart risicoprofiel. Zonder die taxonomie zullen individuele casusbeslissingen inconsistent zijn.
Beleid en procedurele infrastructuur
VASP-specifiek onboardingbeleid moet onderscheiden zijn van de standaard institutionele KYC-procedures. VASP's zijn in de meeste jurisdicties gereguleerde entiteiten, maar hun onderliggende klantenbestand, de breedte van activa die ze aanraken en het grensoverschrijdende karakter van hun activiteit creëren risicofactoren die generieke CDD-sjablonen niet vangen. De beleidsinfrastructuur moet worden opgebouwd voordat de caseload arriveert, niet achteraf per geval worden aangepast.
De Twee Lagen van Due Diligence
Een verdedigbaar VASP-onboardingproces werkt op twee verschillende lagen: een gestructureerde, op vragenlijsten gebaseerde review van de entiteit zelf, en een on-chain analyse van het feitelijke transactiegedrag. Geen van beide lagen is op zichzelf voldoende.
Laag één: review op entiteitsniveau
De eerste laag dekt de VASP als juridische en gereguleerde entiteit. Belangrijke gebieden zijn licentiestatus in de jurisdicties waar het actief is, de kwaliteit en reikwijdte van het eigen AML- en KYC-programma, governancestructuur en de ondersteunde activatypen. Stablecoin-intensieve VASP's vereisen bijvoorbeeld specifieke aandacht voor hoe ze aflossingsstromen en tegenpartijconcentratie afhandelen.
Een gestructureerd hulpmiddel voor deze laag is de Global Digital Finance VASP Due Diligence Questionnaire, bekend als de GDF VADDQ. Dit is een door de industrie ontwikkelde gestandaardiseerde vragenlijst waarmee financiële instellingen vergelijkbare informatie kunnen verzamelen van meerdere VASP-tegenpartijen. Het gebruik van een erkende standaard is belangrijk voor documentatie: het toont een toezichthouder dat de beoordelingsmethodologie niet ad hoc is. Voor instellingen die meerdere VASP's onboarden, maakt het ook de vergelijking tussen tegenpartijen beter hanteerbaar.
De gebieden die binnen elke beoordeling op entiteitsniveau de meeste aandacht verdienen, zijn het eigen klantacceptatiebeleid van de VASP, hoe het omgaat met klantsegmenten met een hoog risico en of de sanctiescreening jurisdictie-dekkend is. Een VASP die in één jurisdictie is gelicentieerd maar actief klanten bedient in risicovolle jurisdicties zonder aanvullende controles, vertoont een belangrijk gat.
Laag twee: on-chain blootstellingsanalyse
De tweede laag is waar het publieke grootboek een directe input wordt voor due diligence in plaats van achtergrondcontext. On-chain analytics stellen een compliance-team in staat om te beoordelen met welke soorten wallets en diensten de adressen van een VASP hebben geïnterageerd, en in welke volumes.
Een cruciaal onderscheid hier is directioneel. Inflow-blootstelling en outflow-blootstelling vertellen verschillende verhalen over de controles van een VASP. Inflow-blootstelling, waar middelen uit hoogrisicobronnen zijn aangekomen in de wallets van de VASP, zegt vooral iets over de klantacceptatie en transactiemonitoringkwaliteit van de VASP: het roept de vraag op of illegale middelen het platform binnenkomen. Outflow-blootstelling, waar de VASP middelen naar hoogrisicobestemmingen heeft gestuurd, is een ander signaal en kan duiden op gaten in de eigen sanctiescreening of opnamecontroles van de VASP.
Het afzonderlijk lezen van deze twee dimensies, in plaats van ze te aggregeren tot één score, levert een genuanceerder en accurater beeld op van waar het risico daadwerkelijk ligt. Compliance-teams die gebruikmaken van crypto boekhoudsoftware die on-chain analytics integreert, moeten ervoor zorgen dat hun workflow beide richtingen vastlegt, niet alleen algemene blootstellingspercentages.
Cross-chain activiteit voegt een extra laag van complexiteit toe. VASP's die bridging tussen blockchains ondersteunen, of activa over meerdere chains aanhouden, vereisen analytics die activastromen over die chains volgen in plaats van elke chain geïsoleerd te behandelen. Een zuiver single-chain beeld kan significante blootstelling via bridge-protocollen missen.
Interpretatie van Wat de Analytics Echt Laten Zien
Ruwe on-chain blootstellingsdata vereist interpretatie. Een VASP die enige blootstelling aan hoogrisicotegenpartijen vertoont, is niet automatisch een probleem: grote centrale exchanges verwerken enorme volumes, en statistische blootstelling aan een breed scala aan wallettypen is te verwachten. Wat telt is de aard, het aandeel en de concentratie van die blootstelling, en of deze consistent is met het verklaarde bedrijfsmodel van de VASP.
Rode vlaggen die escalatie rechtvaardigen
Bepaalde patronen moeten escalatie triggeren ongeacht de omvang of licentiestatus van de VASP. Deze omvatten een hoge concentratie van blootstelling aan gesanctioneerde adressen of jurisdicties, significante stromen via mixing- of verhullingsdiensten, blootstelling aan darknet-marktwallets boven een de minimis-drempel, en patronen die inconsistent zijn met het verklaarde geografische bereik of klantenbestand van de VASP.
Evenzo is een VASP waarvan het on-chain profiel schoner is dan de vragenlijst op entiteitsniveau zou suggereren, niet noodzakelijkerwijs een lager risico: het kan wijzen op een kleinere steekproefperiode, een recent gelanceerde operatie of een platform waarvan het volume snel groeit. Analytics moeten worden gelezen naast de entiteitsreview, niet als vervanging ervan.
Voor accountantskantoren die gebruikmaken van hoe machine learning blockchain-analytics en AML-workflows hervormt, is de belangrijkste operationele implicatie dat machine-gegenereerde risicoscores menselijke validatie vereisen in de escalatiefase. Een score is een triagehulpmiddel, geen beslissing.
Doorlopende Monitoring en Herbeoordelingsritmes
Onboardinggoedkeuring is geen permanente vrijgeleide. VASP-risicoprofielen kunnen in korte tijd materieel verschuiven: regelgevend optreden in een belangrijke jurisdictie, een wijziging in eigendom, een inbreuk op de eigen systemen van de VASP of een verschuiving in de activamix die het ondersteunt, kunnen elk de risicocalculus significant veranderen.
Risicogetierde reviewschema's
De frequentie van herbeoordeling moet zijn afgestemd op de risicotier die bij onboarding is toegewezen. Hoogrisico-VASP's rechtvaardigen vaker periodieke review dan lagerrisico-tegenpartijen. Het specifieke ritme moet in het beleid van de instelling worden gedocumenteerd en consistent worden toegepast: ad hoc review, zelfs als deze grondig is, is moeilijker te verdedigen tegenover een toezichthouder dan een gepland programma met duidelijke triggers.
Gebeurtenisgestuurde herbeoordeling
Naast kalendergebaseerde reviews moeten bepaalde gebeurtenissen een onmiddellijke herbeoordeling triggeren, ongeacht wanneer de laatste periodieke review plaatsvond. Deze omvatten publiek regelgevend optreden tegen de VASP, geloofwaardige negatieve mediaberichtgeving, materiële wijzigingen in de licentiestatus van de VASP, significante wijzigingen in transactievolume of activamix, en on-chain analytics-vlaggen die niet aanwezig waren bij onboarding. Het opnemen van een duidelijke lijst van triggergebeurtenissen in het beleid, in plaats van dit over te laten aan de discretie van de analist, zorgt ervoor dat het monitoringprogramma consistent en auditbaar is.
Voor kantoren die klanten adviseren over VASP-relaties, laat het begrijpen hoe Korea's herziening van de VASP-registratiehandleiding en wat dit betekent voor compliance-teams zien hoe snel het regelgevingsklimaat kan verschuiven, waardoor instellingen tegenpartijen moeten herbeoordelen die bij onboarding volledig compliant waren maar mogelijk te maken krijgen met gewijzigde licentievoorwaarden.
Documentatie: Een Dossier Opbouwen dat Toetsing Doorstaat
Het hierboven beschreven kader is slechts zo nuttig als de documentatie die het genereert. Toezichthouders die het VASP-complianceprogramma van een kantoor beoordelen, zullen zoeken naar bewijs dat beslissingen zijn genomen op basis van gedefinieerde criteria, consistent toegepast over cases en beoordeeld op passende intervallen.
Wat het dossier moet bevatten
Minimaal moet het VASP-dossier bevatten: de ingevulde due diligence-vragenlijst met waar mogelijk geverifieerde antwoorden tegen primaire bronnen, het on-chain analyticsrapport met de datum van generatie en gebruikte methodologie, de toegewezen risicotier en de onderbouwing, het goedkeuringsrecord inclusief het niveau waarop goedkeuring is verleend, en de geplande datum voor de volgende periodieke review. Eventuele gebeurtenisgestuurde herbeoordelingen moeten worden gedocumenteerd als aanvullingen op het originele dossier, niet als aparte, niet-gekoppelde records.
De documentatiestandaard is ook relevant voor workflows in software voor digitale activa-boekhouding. Waar VASP-tegenpartijdata doorstroomt naar financiële rapportage, bijvoorbeeld bij correspondent banking, betalingsverwerking of fondsadministratie, moeten het compliancebestand en de administratieve registratie gekoppeld zijn. Een auditor die de stablecoinbetalingstromen van een kantoor beoordeelt, moet bijvoorbeeld kunnen teruggaan naar het VASP-due-diligence-record voor de tegenpartij die die stablecoins heeft uitgegeven of ingewisseld.
Veelgestelde Vragen
Wat is een VASP voor AML-due-diligence-doeleinden?
Een virtual asset service provider is elke entiteit die als bedrijf namens een ander één of meer van de volgende diensten uitvoert: wisselen tussen virtuele activa en fiatvaluta's, wisselen tussen verschillende virtuele activa, overdracht van virtuele activa, bewaren of beheren van virtuele activa, en deelname aan financiële diensten met betrekking tot een aanbod of verkoop van virtuele activa door een uitgevende instelling. De FATF-definitie is de referentiestandaard die door de meeste grote jurisdicties wordt gebruikt. Voor due-diligence-doeleinden omvat de categorie centrale exchanges, custodians, betalingsverwerkers en, afhankelijk van de jurisdictie, bepaalde exploitanten van DeFi-protocollen.
Wat is de GDF VADDQ en moet onze instelling deze gebruiken?
De Global Digital Finance VASP Due Diligence Questionnaire is een gestandaardiseerd raamwerk voor informatieverzoeken, ontwikkeld door de brancheorganisatie Global Digital Finance. Het is ontworpen om financiële instellingen in staat te stellen vergelijkbare, gestructureerde informatie te verzamelen van VASP-tegenpartijen. Het gebruik van een erkende standaard vervangt niet de noodzaak van onafhankelijke verificatie, maar toont toezichthouders aan dat de methodologie van de instelling niet ad hoc is. Voor instellingen die meerdere VASP's onboarden, maakt het ook de vergelijking tussen tegenpartijen beter hanteerbaar.
Waarom maakt de richting van on-chain blootstelling uit?
Inflow-blootstelling en outflow-blootstelling hebben verschillende risico-implicaties. Als hoogrisicomiddelen in de wallets van een VASP stromen, roept dat vragen op over de klantacceptatie en monitoringcontroles van de VASP. Als de VASP middelen naar hoogrisicobestemmingen stuurt, roept dat vragen op over de sanctiescreening en opnamecontroles. Door beide als één totaalcijfer te behandelen, wordt verhuld waar het risico is geconcentreerd en kan het leiden tot een verkeerde diagnose van het risicoprofiel van de tegenpartij.
Hoe vaak moeten VASP-relaties worden herbeoordeeld?
De frequentie van herbeoordeling moet de risicotier weerspiegelen die bij onboarding is toegewezen, waarbij hoogrisico-VASP's vaker worden herbeoordeeld. Naast geplande reviews moet een gedefinieerde set triggergebeurtenissen, waaronder regelgevend optreden, negatieve media, wijzigingen in licentiestatus en on-chain analytics-vlaggen, onmiddellijke herbeoordeling triggers, ongeacht wanneer de laatste periodieke review plaatsvond. De lijst van triggergebeurtenissen moet in het beleid worden opgenomen, niet worden overgelaten aan de discretie van de analist.
Hoe verhoudt VASP-due diligence zich tot financiële rapportageverplichtingen?
Wanneer een VASP-tegenpartij betrokken is bij transacties die door de boeken van de instelling lopen, bijvoorbeeld stablecoin-afwikkelingen, crypto-bewaararrangementen of betalingsverwerking, is het compliancebestand voor die VASP direct relevant voor de audittrail van die transacties. Auditors en toezichthouders die financiële overzichten beoordelen die digitale activastromen omvatten, zullen verwachten die stromen terug te kunnen voeren naar een gedocumenteerde, goedgekeurde tegenpartijbeoordeling. Kantoren die crypto-boekhoudsoftware gebruiken, moeten ervoor zorgen dat VASP-compliancegegevens en transactiegegevens worden gekoppeld in plaats van gescheiden te zijn.
Bron: Elliptic