Compliance
Betaalproviders & De Nederlandse Bank
De omschrijving van De Nederlandse Bank (DNB):
Een betaalinstelling verleent betaaldiensten, zoals het mogelijk maken van geldstortingen en geldopnames. En automatische incasso’s en overboekingen.
DNB gebruikt het woord betaalprovider niet, zij noemen het een betaaldienstverlener. DNB onderscheidt drie categorieën betaaldienstverleners:
| Soort betaaldienstverleners | Toelichting |
|---|---|
| Betaalinstellingen | Dit noemen wij een betaalprovider. |
| Vrijgestelde betaaldienstverleners | Staat op de planning |
| Banken en elektronischgeldinstellingen (EGI’s) | Banken mogen ook betaaldiensten leveren. Een voorbeeld is ING, zij leveren ook betaaldiensten voor webshops via de ING Checkout. Stripe is een EGI. |
Een betaalinstelling is altijd een betaaldienstverlener, maar een betaaldienstverlener is niet altijd een betaalinstelling.
DNB hanteert 8 verschillende betaaldiensten. De betaalproviders die op betaalprovidervergelijker.nl worden genoemd bieden voornamelijk dienst 3 en dienst 5 aan.
Wetgeving
In Nederland zijn er wetten specifiek gericht op de financiële sector. Voor betaalproviders zijn deze ook relevant, zoals:
| Wet | Toelichting |
|---|---|
| Wwft | Bekijk de Wwft op overheid.nl. Deze wet heeft veel invloed op de processen rond het aansluiten van een webshop. De AMLD (Anti-Money Laundering Directive) zijn Europese richtlijnen voor o.a. betaalproviders. In Nederland zijn deze richtlijnen opgenomen in de Wwft. |
| Wft | Bekijk de Wft op overheid.nl. De PSD2 (Revised Payment Services Directive) zijn Europese richtlijnen voor o.a. betaalproviders. In Nederland zijn deze richtlijnen geïmplementeerd in de Wft. |
| Sanctiewet 1977 | Bekijk de Sanctiewet 1977 op overheid.nl. |
| CESOP | Betaalproviders moeten elk kwartaal in elk EU land een rapportage indienen. Hierin staan alle betalingen van webshops die meer dan 25 betalingen vanuit dat land hebben ontvangen. Lees meer over CESOP op belastingdienst.nl & Europa.nl. |
| DORA | Lees meer op DNB.nl. |
Er zijn ook standaarden en wetgeving die indirect invloed hebben op betaalproviders, zoals:
- Wire Transfer Regulation 2 (WTR2) — dit is een EU-verordening gericht op informatie bij geldovermakingen, en betaalproviders doen dit via een bank.
- FATF Recommendation 16 — dit is een FATF aanbeveling gericht op informatie bij geldovermakingen, en betaalproviders doen dit via een bank.
Rol van overheidsinstanties
De Nederlandse Bank
De Nederlandse Bank zorgt voor:
- Toekennen van een vergunning voor betaalproviders met een kantoor in Nederland.
- Toezicht op alle betaalproviders die actief zijn in Nederland (handhaven van wetten).
De Nederlandse Bank geeft hierbij ook aanvullende informatie, aanwijzingen (in vakjargon guidance) en planningen aan betaalproviders.
Enkele voorbeelden:
- Toezicht in beeld 2024-2025 — Bekijk op DNB.nl
- Good Practice intragroepsverhoudingen Betaalinstellingen — Bekijk op DNB.nl
De Nederlandse Bank heeft voor het toezicht ook informatie nodig van betaalproviders, denk hierbij aan vragenlijsten, rapportages en het inleveren van een jaarverslag (voorzien van een auditverklaring zoals ISAE 3402 II).
Boetes
De Nederlandse Bank kan boetes opleggen. Dit kan bijvoorbeeld als wetten onvoldoende worden opgevolgd.
Boete voor Pelican Payment Services B.V. wegens niet tijdig rapporteren — Bekijk op DNB.nl
De slechte media-aandacht hierbij is extra vervelend voor de betaalprovider.
Kamer van Koophandel
| Verantwoordelijkheid Kamer van Koophandel | Toelichting |
|---|---|
| Informatie waarmee betaalproviders klantenonderzoek doen | Kamer van Koophandel uittreksels, UBO Register |
| LEI codes (Legal Entity Identifier) | De organisatie achter LEI codes is GLEIF. De afkorting staat voor Global Legal Entity Identifier Foundation. In Nederland geeft de Kamer van Koophandel LEI codes uit. Deze code heeft een betaalprovider nodig om actief te mogen zijn. |
ACM zorgt er bijvoorbeeld voor dat banken betaalproviders niet tegenwerken, zie acm.nl - Toegang tot betaalsystemen.
De AFM houdt toezicht op het gedrag van betaalproviders, denk bijvoorbeeld aan het geven van misleidende informatie.
Webshop aansluiten
Alle betaalproviders zijn verplicht om eerst een cliëntenonderzoek te doen voordat ze een relatie aangaan. In de praktijk wil dat zeggen dat je wellicht wel een account kunt aanmaken, maar nooit direct transacties kunt verwerken en uitbetaald krijgen.
Dit is het vaste proces:
- Klantenonderzoek, ook wel KYC (Know Your Customer) genoemd
- Contract aanbieden (betaalproviders noemen dit een relatie aangaan)
- Webshop aansluiten op de betaalmethoden
Klantenonderzoek
Bij het aanmaken van een betaalprovider account vragen betaalproviders allemaal ongeveer dezelfde documenten en informatie. Dit hebben betaalproviders nodig om het klantenonderzoek mee te beginnen.
| Wat vragen ze? | Toelichting |
|---|---|
| Kopie identiteitskaart, paspoort | Van de bestuurders en UBO. Lees op Kvk.nl - Wat is een UBO? Een betaalprovider mag vragen om een onbewerkte kopie. Lees meer hierover op autoriteitpersoonsgegevens.nl |
| UBO-uittreksel | Eind 2024 kregen betaalproviders weer toegang tot de UBO-gegevens bij de Kamer van Koophandel, waardoor dit is komen te vervallen bij betaalproviders die al zijn gekoppeld met de KvK-dataservice. |
Vervolgens gaan ze diverse controles uitvoeren. Op basis daarvan wordt de risicoclassificatie van de klant bepaald. Dit kan verlaagd, neutraal, hoog of onacceptabel zijn. Bij onacceptabel zal de webshop geen klant mogen worden.
Enkele voorbeelden van controles die de betaalproviders uitvoeren:
| Controle | Toelichting |
|---|---|
| Is er een PEP betrokken? | Als je een bepaalde functie vervult, ben jij (en je directe familie) een PEP (Politically Exposed Person). Bekijk de exacte lijst van functies op Belastingdienst.nl. De betaalprovider mag je wel aansluiten, maar het bestuur moet goedkeuring geven en kan bijvoorbeeld besluiten aanvullende maatregelen te nemen zoals aanvullende transactiemonitoring. |
| Is de webshop, bestuurder of UBO gevestigd in een land dat voorkomt op de FATF-lijst? | FATF staat voor Financial Action Task Force on money laundering. Lees hier meer over op DNB.nl. Als een land op de grijze lijst staat kan dat gevolgen hebben. |
| Doel en aard van relatie | Begrijpen wat de webshop gaat verkopen, aan wie, hoe vaak en dergelijke. Op basis hiervan kan de betaalprovider bepalen of het allemaal wel lijkt te kloppen en eventueel maatregelen nemen zoals aanvullende transactiemonitoring. |
| De webshop, bestuurder of UBO staat niet op een sanctielijst | De VN en de EU geven sanctielijsten uit; kort gezegd mag je daar geen relatie mee aangaan. En als ze je benaderen, moet je dat melden. Lees meer over sancties op DNB.nl. |
| Klopt de UBO? | Dit kan in de praktijk complex zijn, bijvoorbeeld bij een stichting. Vaak wordt een accountant of notaris gevraagd om documenten te leveren. |
Als een webshop als hoog risico wordt gezien, dan neemt de betaalprovider vaak aanvullende maatregelen. Dit kan intern zijn, maar het kan ook betekenen dat de webshop meer informatie of documenten dient aan te leveren.
Betaalproviders doen vervolgens periodiek een controle om te kijken of alles nog actueel is. Ze gebruiken monitoringsoftware om bijvoorbeeld te controleren of een webshop een PEP als bestuurder heeft of op de sanctielijst is geplaatst.
Webshops uit buitenland
Nederlandse betaalproviders kunnen bij DNB aangeven dat ze webshops willen aansluiten uit andere EU-landen. In het DNB register is te zien welke landen ze aan DNB hebben doorgegeven bij het tabje EU Paspoort (uit). Dit wil overigens niet zeggen dat ze daadwerkelijk klanten uit die landen op dat moment accepteren.
Betaalproviders kunnen ook webshops buiten de EU aansluiten, maar dat hangt af van het land. Ter voorbeeld: het Verenigd Koninkrijk eist dat een betaalprovider daar een vergunning heeft, terwijl andere landen zoals Curaçao dat (nog) niet eisen.
Vanwege de complexiteit van compliance kan het voorkomen dat betaalproviders terughoudend zijn met het aansluiten van webshops uit landen buiten de EU.
High risk sectoren
Betaalproviders hebben diverse redenen om high risk sectoren wel of niet aan te sluiten.
| Reden | Toelichting |
|---|---|
| De betaalprovider moet voldoen aan wetgeving | In Nederland zijn de Wwft en Wft de belangrijkste wetten waar een betaalprovider zich aan dient te houden. |
| Partners tevreden houden | Elke betaalprovider heeft partners, denk aan banken voor betaalrekeningen of card schemes. Deze partners kunnen eisen stellen aan het wel of niet aansluiten van bepaalde sectoren omdat zij ook de transactie verwerken. Als een sector voorkomt in overheidspublicaties — zoals bijvoorbeeld de National Risk Assessment — dan kan dat ook invloed hebben op het wel of niet toelaten. |
| Risico | Dit kunnen verschillende risico’s zijn, denk aan chargeback-risico’s of de kans op meewerken aan fraude. |
| Reputatieschade | Betaalproviders zitten niet te wachten op slecht nieuws, rechtszaken etc. |
| Eigenaar wil het niet | Het kan zijn dat de eigenaar van een betaalprovider bepaalde branches uitsluit. Lees ook de vraag Wie is eigenaar van de betaalproviders? |
Wat is een high risk sector?
Er is geen vaste lijst voor welke sector exact high risk is. Dit verschilt per betaalprovider & betaalmethode.
Denk hierbij aan:
- Adult-gerelateerde diensten zoals escortboekingen
- Research chemicals
- Gokken
- Gaming
- Drugs. Vaak is hier verwarring over vanwege de Engelse bewoording. Dit kan medicijnen op voorschrift zijn, maar ook genotsmiddelen zoals wiet of truffels.
Voor ondernemers die actief zijn in een high risk sector zijn er drie mogelijkheden als ze een account aanmaken bij een betaalprovider:
| Mogelijkheid | Toelichting |
|---|---|
| De betaalprovider accepteert de aanvraag niet. | |
| De betaalprovider accepteert de aanvraag wel en hanteert de gangbare tarieven. | Bij een betaalprovider met publiekelijke tarieven komt dit voor. |
| De betaalprovider accepteert de aanvraag wel, maar hanteert een vorm van compliance kosten. | Dit is vooral bij betaalproviders die geen openbare tarieven hebben. |
Het gebruik van een proxy webshop raden wij sterk af. Het is vrijwel altijd tegen de regels van de betaalprovider en niet nodig. Er zijn voldoende betaalproviders die high risk sectoren aansluiten.
Er zijn webshops die succesvol betaalproviders misleiden door bij de onboarding laagrisicoproducten te tonen, maar zodra de onboarding is afgerond het productaanbod aan te passen. Dit kan in de praktijk lang goed gaan, maar geeft geen zekerheid.
Webshop aansluiten op de betaalmethoden
Als het klantenonderzoek is afgerond en het contract getekend, gaat de betaalprovider de aansluiting in orde maken.
Hoe dit exact gaat, verschilt per betaalmethode, techniek en betaalprovider. Als de betaalprovider bijvoorbeeld zelf acquirer is, hoeft de webshop daar niet meer voor te worden aangemeld. Er zijn betaalproviders die alles automatiseren, maar ook waar dit handmatig gaat.
Waar je als webshop op kunt letten: is het mogelijk een handelsnaam door te geven aan de betaalmethoden? Stel dat je bedrijf A heet, maar je hebt ook de handelsnaam jouwwebshopnaam.nl, dan wil je dat op een afschrift van een betaler tonen.
MCC bepalen
MCC is een afkorting van Merchant Category Code. Er is geen centrale partij die 1 lijst bijhoudt en dwingende regels heeft over wat waaronder valt. Over het algemeen zijn de lijsten wel gelijk.
Betaalproviders moeten de MCC-keuze doorgeven aan diverse betaalmethoden, zoals:
- Cards
- iDEAL
In de praktijk kan het voor betaalproviders toch wel uitdagend zijn. Een theoretisch voorbeeld:
Een apotheek verkoopt medicijnen maar heeft ook drop, tandpasta en warmtekussens.
Meestal is de regel: wat je het meeste verkoopt, daar gebruik je de MCC van. Maar er zijn ook MCC’s die je altijd moet gebruiken, zoals in dit voorbeeld ook omdat medicijnen vaak als hoog risico worden gezien.
Controles
Betaalproviders voeren continu controles uit vanwege de verplichtingen uit de Wwft-wetgeving. Dit noemen ze Customer Due Diligence (CDD).
Transactiemonitoring speelt hierbij een belangrijke rol. Betaalproviders hebben echter meer redenen om transactiemonitoring uit te voeren, zoals:
| Reden | Toelichting |
|---|---|
| Om eigen risico’s te beheersen | Als een webshop namelijk geen betalingen verwerkt, wil een betaalprovider bijvoorbeeld soms ook geen refunds uitvoeren. |
| Commercieel | Als je merkt dat het volume toeneemt of afneemt, kan een verkoopteam daarmee aan de slag. |
Betaalproviders gebruiken hiervoor systemen die ze zelf ontwikkelen of extern inkopen.
Customer Due Diligence is een complex proces. Lees hier meer over in het blog artikel Fictief voorbeeld: Drugs verkopen via een betaalprovider.
Melden ongebruikelijke transacties
De Wwft-wetgeving geeft aan dat betaalproviders ongebruikelijke transacties moeten melden bij de Financial Intelligence Unit (FIU). Dit is een onderdeel van de Nationale Politie. Voor meer informatie kijk op fiu-nederland.nl.
In het jaarverslag 2023 van de FIU stond: één PSP verantwoordelijk voor 65% van de opvallende transacties vanuit deze meldersgroep.
Komt dit omdat 1 betaalprovider een marktaandeel van 65% heeft? Of komt dit omdat ze de transactiemonitoring niet helemaal goed laten aansluiten op het klantenonderzoek? Of wellicht heeft dit een andere oorzaak?
Er zijn ook betaalproviders in Nederland actief die niet onder toezicht staan van De Nederlandse Bank maar van een buitenlandse centrale bank. Zij melden opvallende transacties bij de FIU-organisatie van dat land. Een voorbeeld hiervan is Stripe.
De betaalprovider mag de webshop niet laten weten dat er een FIU-melding is gedaan. De FIU kan een transactie verdacht verklaren. Op dat moment dient de betaalprovider actie te ondernemen, zoals voorgaande hits onderzoeken, het KYC doorlopen en indien nodig het risicoprofiel van de webshop aan te passen.