Belangrijk: Deze gids is algemene informatie, geen juridisch advies. De verplichtingen onder de Reisregel (Travel Rule) zijn afhankelijk van de geleverde diensten, de betrokken entiteiten en de jurisdicties die gekoppeld zijn aan een overdracht. Win jurisdictie-specifiek juridisch en regelgevend advies in voordat u vertrouwt op een implementatiebeslissing.
Overzicht van de Crypto Travel Rule en anti-witwasdoelstellingen
Naleving van de travel rule is het proces dat financiële instellingen en aanbieders van diensten voor virtuele activa volgen om gegevens van de opdrachtgever en de begunstigde te verzamelen, te verifiëren en beveiligd door te sturen tijdens overdrachten van digitale activa. De regel begon met traditionele overboekingsvereisten in het bankwezen en werd in juni 2019 uitgebreid naar VASPs, wat de reden is dat de crypto-travel rule van toepassing is op exchanges, custodiale wallets en andere bedrijven die overdrachten van virtuele activa over verschillende jurisdicties heen afhandelen.
Voor compliance-officers, regulerende teams, financiële instellingen en VASP's die betrokken zijn bij transacties met cryptovaluta en andere digitale activa, is het vraagstuk zowel praktisch als juridisch van aard. Het naleven van regels voor het delen van gegevens helpt bij het detecteren van verdachte transacties en ondersteunt de inspanningen om te voorkomen witwassen en witwaspraktijken bij financiële transacties bestrijdt, en het tegenpartij- en handhavingsrisico verlaagt. De Financial Action Task Force beschrijft haar normen als een wereldwijd kader voor de bestrijding van witwassen, terroristische financiering en de financiering van proliferatie.
Deze handleiding behandelt de juridische grondslagen, vereiste gegevensvelden en drempelwaarden, implementatie- en technische werkstromen, verschillen tussen de EU en de VS, gegevensbeschermingskwesties, monitoring- en rapportageverplichtingen, en de belangrijkste nalevingsuitdagingen met bijbehorende oplossingen.
Belangrijkste opmerkingen
- Behandel de Travel Rule als een operationeel model: Effectieve compliance komt samen klantonderzoek, tegenpartijcontroles, veilige informatie-uitwisseling, monitoring en het bewaren van bewijsmateriaal.
- Pas de juiste jurisdectieregel toe: FATF-normen bieden een internationale basislijn, maar nationale regels bepalen de exacte omvang, drempel en timing voor een transactie.
- Valideer gegevens voordat de waarde wordt overgedragen: Onvolledige informatie over de opdrachtgever of begunstigde moet leiden tot een gedocumenteerde beslissing om de overboeking te herstellen, vast te houden, te weigeren, te retourneren of te escaleren.
- Ontwerp voor het zonsopgangprobleem: Uw besturingselementen moeten werken wanneer een andere rechtsmacht of tegenpartij een ander implementatieschema of technisch protocol volgt.
- Bescherm persoonsgegevens door ontwerptoepassing: verstuur alleen noodzakelijke informatie, versleutel deze, beheer de toegang en bewaar deze niet langer dan wettelijk vereist is.
- Maak bewijsmateriaal audit-klaar: Beleidsregels, beslissingen, screeningsresultaten, berichtlogboeken, uitzonderingen en personeelstrainingstrainingsdossiers moeten opvraagbaar en intern consistent zijn.
Figuur 1. Workflow voor naleving van de Travel Rule: Een praktisch, herhaalbaar proces voor overdrachten van virtuele activa.
Pro-tip: Behandel de Reistandard niet als een op zichzelf staande berichtvereiste. Integreer deze in de overboekingslevenscyclus zodat de informatie, het risico en de operationele beslissingen met elkaar verbonden blijven, vanaf de onboarding tot en met de monitoring na de overboeking.
Wie moet er voldoen: Financiële instellingen en aanbieders van diensten met betrekking tot virtuele activa (VASPs)
Financiële instellingen en aanbieders van diensten voor virtuele activa moeten voldoen wanneer hun activiteiten binnen de reikwijdte vallen van de *Travel Rule* en de bijbehorende antiwitwasregels in het betreffende rechtsgebied. Het wettelijke label varieert, maar de belangrijke vraag is functioneel: ontvangt, verzendt, wisselt, bewaart, beheert of bemiddelt de onderneming op een andere manier in een gedekte overdracht?
Onder de reikwijdte vallende financiële instellingen kunnen banken, betalingsinstellingen, geldtransactiekantoren (money services businesses), brokers, bewaarders, beurzen en andere gereguleerde financiële instellingen omvatten. In de context van digitale activa omvat de relevante categorie vaak virtueleactivadienstverleners, cryptodienstverleners, cryptoactivadienstverleners, of, in EU-terminologie, aanbieders van diensten voor crypto-activa. Sommige wettelijke kaders verwijzen naar deze bedrijven als meldingsplichtige entiteiten. De nationale wetgeving bepaalt het exacte label en de reikwijdte.
Een VASP omvat doorgaans een bedrijf dat virtuele activa inwisselt voor fiatvaluta of andere virtuele activa, virtuele activa overdraagt voor een andere persoon, virtuele activa of instrumenten die zeggenschap over virtuele activa mogelijk maken bewaart of beheert, of deelneemt aan financiële diensten met betrekking tot het aanbod of de verkoop van een virtueel activum door een uitgever. Een eigen wallet (self-hosted wallet) die door een particulier wordt gebruikt, is niet automatisch een VASP enkel en alleen omdat deze crypto-activa bevat. Het onderscheid is van belang omdat de aanwezigheid van een gereguleerde tussenpersoon in de transactie vaak bepaalt welke plichten op het gebied van gegevensuitwisseling en controle ontstaan.
Traditionele financiële instellingen en VASP's kunnen te maken krijgen met parallelle verplichtingen voor overboekingen en virtuele-activiteiten. Een bankengroep die betalingsdiensten en bewaar diensten voor digitale activa aanbiedt, zou bijvoorbeeld geen twee los van elkaar staande controleomgevingen mogen hanteren. Deze zou de juridische entiteiten, producten, overboekingsnetwerken, gegevensopslagplaatsen en rechtsgebieden die elke activiteit met elkaar verbinden, in kaart moeten brengen.
Onder de werkingssfeer vallende organisatie of activiteit | Typische reden waarom het binnen de scope kan vallen | Kerncontrefocus |
Bank of betaalinstelling | Voert gedekte overboekingen uit of bemiddelt daarin | Gegevens over betaler/ontvanger, betalingsberichten, dossierbeheer, sanctiecontroles |
Cryptobeurs | Faciliteert overdrachten of de uitwisseling van virtuele activa voor klanten | Gegevens over de opdrachtgever/ontvanger, identificatie van de tegenpartij VASP, wallet-risico |
Bewaarportemonneeaanbieder | Beschermt of beheert virtuele activa van klanten | Overdrachtinitiatiecontroles, klantverificatie, beoordeling van een self-hosted wallet |
Geldtransactiekantoor | Brengt waarde over namens klanten | Klantgegevens, transactiemonitoring, rapportage en bewaring |
Bedrijfskrypto-dienstverlener | Biedt zakelijke klanten overboekingen, afwikkeling of bewaring | KYB, uiteindelijk belanghebbend vermogen, bevoegdheidscontroles, wederpartijonderzoek |
Praktische conclusie: Begin met een entiteit-en-activiteitkaart in plaats van een productnaam. Een activiteit die eruitziet als eenvoudige technologie-infrastructuur kan gereguleerde financiële intermediatie zijn wanneer het bedrijf overdrachtinstructies accepteert, activa controleert of een rol speelt bij het verplaatsen van waarde.
Juridische grondslagen: FATF Travel Rule en Bank Secrecy Act
De wettelijke grondslagen verschillen per rechtsgebied, maar de gemeenschappelijke doelstelling is traceerbaarheid. De Financial Action Task Force, de internationale normsteller voor witwasbestrijding en terrorismefinanciering (AML/CFT), legt de basis via Aanbeveling 16. Met andere woorden, de werkgroep FATF heeft de verwachtingen ten aanzien van gegevensuitbreiding uitgebreid van overboekingen naar virtuele activatransacties tussen VASP's.
FATF-normen zijn geen rechtstreeks bindende wetten. Landen implementeren deze via nationale wetgeving, regelgeving, toezichthoudende richtsnoeren en handhaving. De materialen van de FATF over virtuele activa omschrijven virtuele activa als digitale waardeweergaven die digitaal kunnen worden verhandeld, overgedragen of gebruikt voor betalingen, en de risicogebaseerde aanpak ervan roept landen op om risico's die voortvloeien uit activiteiten met virtuele activa en aanbieders daarvan te beoordelen en te beperken.2
In het kader van de Amerikaanse Bank Secrecy Act moeten verplichte instellingen de vereiste informatie over de opdrachtgever en de begunstigde verzamelen, bewaren en doorgeven voor bepaalde overboekingen. Deze regels vingen aan met traditionele overboekingen voordat ze in de operationele praktijk werden aangepast aan virtuele activa en gerelateerde activiteiten. De Amerikaanse Travel Rule gebruikt de termen “transmittal order” (overboekingsopdracht) en “transmittor’s financial institution” (financiële instelling van de opdrachtgever), die bewust breder zijn dan sommige terminologieën die uitsluitend voor bankbetalingen worden gebruikt.
Vereisten verschillen per rechtsgebied qua reikwijdte, timing, drempelwaarden en handhaving. De FATF heeft historisch gezien een drempel van USD/EUR 1.000 gehanteerd in haar standaarden voor virtuele activa met betrekking tot de Reistruc (Travel Rule), maar landen implementeren die standaard verschillend. Een beheersingskader moet daarom de relevante drempelwaarde en gegevensvereisten berekenen op basis van de wet die van toepassing is op de daadwerkelijke overdracht, en niet op een generieke wereldwijde regel.
Pro-tip: Onderhoud een door compliance en juridische zaken gezamenlijk beheerde, ondertekende jurisdictiematrix. De matrix moet voor elke markt waarin het bedrijf overdrachten aanbiedt of ontvangt, het aanzienpunt, de verplichte velden, de verificatiestandaard, de behandeling van self-hosted wallets, de bewaartermijn en de escalatieroute identificeren.
FATF-reistaxivoorschriften: Gegevensvelden, drempels en due diligence
Voor in aanmerking komende overdrachten van virtuele activa vereist de naleving van de reisregel (travel rule) het delen van gegevens over de opdrachtgever en de begunstigde tussen VASP's. De verzendende VASP verzamelt normaal gesproken de vereiste informatie voordat de overdracht wordt verzonden en geeft deze beveiligd door aan de ontvangende VASP. De ontvangende VASP controleert of de informatie aanwezig en bruikbaar is, en volgt vervolgens een gedocumenteerd proces als de gegevens ontbreken, onvolledig of verdacht zijn.
Vereiste gegevens van de opdrachtgever omvatten doorgaans de naam van de opdrachtgever, een rekeningnummer of walletadres dat als overboekingsidentificatie wordt gebruikt, en een fysiek adres, nationaal identiteitsnummer, klantidentificatienummer of geboortedatum en -plaats, afhankelijk van het van toepassing zijnde regime. Voor rechtspersonen kan de equivalente informatie een identificatiecode voor rechtspersonen (LEI), registratienummer of ander klantidentificatienummer omvatten indien vereist.
Vereiste informatie over de begunstigde omvat meestal de naam van de begunstigde en een rekeningnummer of walletadres. Boven de relevante drempelwaarde is informatie over de opdrachtgever en de begunstigde over het algemeen verplicht voor zowel de opdrachtgever als de begunstigde bij in aanmerking komende overboekingen. Een transactiehash alleen kan helpen bij de afstemming, maar is geen vervanging voor identificerende gegevens waar de wet dit vereist.
De toepasselijke drempelwaarde voor de "travel rule" moet transactie per transactie worden beoordeeld. De minimale drempel van de FATF wordt typisch omschreven als USD/EUR 1.000 voor kwalificerende overdrachten van virtuele activa, hoewel lokale regelgeving kan verschillen. Onder de FATF-baseline is de Travel Rule van toepassing op transacties van meer dan USD 1.000, behoudens lokale implementatie. De drempellogica moet ook rekening houden met activawaardering, conversietijd, de behandeling van vergoedingen, gekoppelde overdrachten en het moment waarop de klantinstructie onherroepelijk wordt.
Verificatietaken zijn ook van belang. VASP's moeten de informatie van klanten verifiëren voordat ze overdrachten verwerken wanneer de van toepassing zijnde regel dit vereist. Het is niet voldoende om een door de klant opgegeven naam in een bericht te kopiëren als de van toepassing zijnde regel verificatie vereist. KYC-processen moeten de identiteit vaststellen voordat een klant gebruik kan maken van een gedekte dienst; gevallen met een hoger risico vereisen mogelijk verhoogde zorgvuldigheid, aanvullende informatie over de bron van de middelen, of een handmatige beoordeling.
Gegevensvelden en drempelwaardevoorbeelden
De exacte veldset moet worden bepaald door de relevante wetgeving en de berichtstandaard. De onderstaande voorbeelden zijn operationele illustraties en geen vervanging voor een lokaal juridisch handboek.
Overdrachtsscenario | Illustratieve velden om te verzamelen en te verzenden | Operationele nota |
Onderdrempelige overdracht | Naam van de opdrachtgever, naam van de beneficiënt waar vereist, overboekingsbedrag, walletadres of rekeningidentificatie, unieke transactiereferentie | Sommige regels staan een beperkte informatieset toe, maar risico-, sanctie- en verdachte-activiteitencontroles blijven van toepassing. |
Drempelwaarde-overschrijdende VASP-naar-VASP-overdracht | Naam van de initiator, geverifieerde identificatie of adres/geboortedatum zoals vereist, walletadres van de initiator, naam van de beneficiënt, walletadres van de beneficiënt, bedrag, transactiereferentie | Valideer verplichte velden en de capaciteit van de tegenpartij vóór vrijgave. |
Overdracht door de onderneming-oorsprong | Wettelijke naam, bedrijfsidentificatiecode of wettelijke entiteitsidentificatie waar vereist, gegevens van de gemachtigde persoon, walletadres van de initiator, gegevens van de ontvanger | KYB- en uiteindelijk belanghebbendenbewijs kan nodig zijn vóór de overdracht. |
Overdracht vanuit eigen beheer wallet | Klantgegevens, extern walletadres, risico-indicatoren, bewijs van eigendom/controle indien vereist, overboekingsgegevens | Pas de relevante lokale regels en risicogebaseerde procedures toe voor unhosted of self-hosted wallets. |
De term de minimis kan misleidend zijn als deze medewerkers doet geloven dat een overboeking met een lage waarde een laag risico met zich meebrengt. Er kan in een bepaalde regeling een lagere informatiedrempel bestaan, maar voor de overboeking is nog steeds sanctiescreening vereist., transactiemonitoring, en een reactie op verdachte indicatoren. Het structureren van verschillende overboekingen met een lage waarde om controles te omzeilen is op zich een materieel risicoscenario.
Praktisch advies: Bouw een datadictionary die wettelijke verplichtingen omzet in exacte veldnamen, toegestane waarden, validatieregels, bewaartags en eigendom. Dit is waar brede beleidstaal verandert in herhaalbare operationele controle.
Operationele stappen voor naleving van de Reist Regel bij digitale activa
Een robuust Travel Rule-programma begint vóór het overscherm. Het combineert klantboarding, tegenpartijgovernance, transactiecontroles en incidentbeheer in één operationele reeks, en de reisregel creëert operationele nalevingsverplichtingen in elk van die fasen.
Implementeer eerst KYC-processen die volledige naleving van de Travel Rule-verplichtingen bij cryptotransacties ondersteunen. Het klantdossier moet geverifieerde identiteitsgegevens, een passende risicoclassificatie, de actuele sanctiescreeningsstatus en de benodigde informatie bevatten om conforme overboekingsberichten te genereren. Ook moet worden vastgelegd wanneer de gegevens zijn geverifieerd en wat de bron van het bewijsmateriaal is.
Ten tweede, implementeer KYB voor zakelijke klanten. Bepaal de juridische identiteit van het bedrijf, de UBO's, de bevoegdheid van personen die instructies geven en de aard van de verwachte activiteit. Zakelijke stromen van digitale activa kunnen handelseentiteiten en thesauriefuncties omvatten, betalingsverwerkers, of beleggingsvehikels. Het ontworpen controlesysteem moet de klant en het overboekingsdoel identificeren zonder legitieme complexiteit automatisch als verdacht te beschouwen.
Ten derde, integreer sanctiescreening. Screen klanten, UBO's en tegenpartijen in overeenstemming met de toepasselijke verplichtingen van het bedrijf. Screen wallet-adressen en blockchain-blootstelling waar de risicobeoordeling dit ondersteunt. Het systeem moet onbevoegde vrijgave voorkomen, potentiële matches doorsturen ter beoordeling en bewijs van de afhandeling bewaren.
Vierde, stel veilige gegevensoverdrachtworkflows op als onderdeel van de implementatie van de Travel Rule binnen KYC, sanctiecontroles en gegevensuitwisseling. Het verzendproces moet de ontvangende VASP identificeren, de protocolcompatibiliteit bepalen, de vereiste informatie voorbereiden, de verplichte velden valideren, gegevens veilig uitwisselen en de respons documenteren voordat de waarde wordt vrijgegeven waar het beleid dit vereist, omdat de Travel Rule vereist dat VASP's gegevens over de opdrachtgever en de begunstigde delen vóór of gelijktijdig met de uitvoering zoals vereist door beleid en wetgeving. Deze controles helpen bij het screenen van transacties, het beperken van risico's en het ondersteunen van de wettelijke uitvoering van grensoverschrijdende transacties.
Vijftig, creëer incident-escalatiehandboeken. Het niet naleven van deze vereisten kan bedrijven blootstellen aan wettelijke boetes, schade voor klanten, privacyrisico's en blootstelling aan financiële criminaliteit. Een handboek moet vermelden wie eigenaar is van een geblokkeerde overboeking, hoe snel ze moeten handelen, welke informatie mag worden opgevraagd, wanneer de juridische afdeling of de witwasmeldingsfunctionaris erbij betrokken raakt en welke uitkomsten zijn toegestaan.
A relatiebeheer workflow kan financiële instellingen helpen om klant-, bedrijfs- en compliance-registers te koppelen, zodat geautoriseerde teams vanuit één gecontroleerd overzicht van de relatie werken. Het doel is niet om elk oordeel te automatiseren. Het is ervoor te zorgen dat de mensen die een oordeel vellen actuele klantinformatie, gedocumenteerde waarschuwingen en een duidelijk audittraject zien.
Een operationele workflow in zes stappen
- Bepaal de reikwijdte van de overdracht: Identificeer het product, het activum, de entiteiten, de jurisdicties, de overdrachtswaarde en het type wallet.
- Bevestig de klant en autoriteit: Controleer de KYC- of KYB-status, accountrechten, risicobeoordeling en eventuele beperkingen.
- Identificeer de tegenpartij: Bepaal of de bestemming een andere VASP, een gereguleerde financiële instelling of een eigen (self-hosted) adres is.
- Valideer de informatie: Pas de relevante drempelwaarderegel toe, verzamel verplichte gegevens van de opdrachtgever en begunstigde, en los afwijkingen op.
- Uitwisseling en beslis: Verstuur gegevens via een beveiligd, compatibel kanaal, beoordeel screening- en risicoresultaten en voer vervolgens uit, houd vast, wijs af of eskaleer.
- Monitoren en bewijzen bewaren: Monitor risico's na overdracht, dien waar nodig rapporten in en bewaar dossiers voor audits en onderzoeken.
Technische Oplossingen: Protocollen, Interoperabiliteit en Veilige Gegevensoverdracht
De Travel Rule is zowel een datagovernanceprobleem als een nalevingsprobleem. Een oplossing moet gevoelige persoonlijke informatie betrouwbaar uitwisselen zonder deze op de blockchain te publiceren, en tegelijkertijd tegenpartijen verbinden die mogelijk verschillende technische netwerken gebruiken.
Evalueer de IVMS101-compatibiliteit. IVMS101 is een gemeenschappelijk datamodel dat is ontworpen om de consistentie te verbeteren van de informatie die wordt uitgewisseld tussen VASP's en andere financiële instellingen binnen het bredere vertrouwensraamwerk. Het gebruik van gemeenschappelijke standaarden vergroot ook het vertrouwen bij financiële partners omdat elke partij een duidelijker begrip heeft van wat een veld betekent, welke formaten het accepteert en welke elementen verplicht zijn bij een bepaalde overdracht.
Ondersteun meerdere travel rule-protocollen of een gedocumenteerde interoperabiliteitsroute. Tegenpartij-identificatie is een grote uitdaging voor VASP's, met name bij het uitwisselen van Travel Rule-gegevens over verschillende protocollen heen. Een ontwerp met één protocol kan een operationeel knelpunt worden wanneer een grote klant of tegenpartij geen gegevens via die route kan ontvangen.
Kies een reismregeloplossing die interoperabiliteit ondersteunt voor grensoverschrijdende overboekingen en een veilige uitwisseling van gegevens van de opdrachtgever en de begunstigde. De leverancier moet worden beoordeeld als een kritieke nalevingsafhankelijkheid, en niet slechts als een technische leverancier. Controleer het gegevenslocatiemodel, de encryptie, de toegangscontroles, de bedrijfscontinuïteit, de protocoldekking, de voorwaarden voor incidentmeldingen, de auditondersteuning en de roadmap voor regelgevende wijzigingen.
Implementeer end-to-end-encryptie voor PII. Gegevens moeten worden versleuteld tijdens transport en in rust, en het beheer van cryptografische sleutels moet op passende wijze worden gescheiden. Op rollen gebaseerde toegang moet de toegang van medewerkers beperken tot een legitieme zakelijke behoefte, terwijl logging moet identificeren wie informatie heeft bekeken, gewijzigd, verzonden of vrijgegeven.
Bewaar fraudebestendige auditlogs. Een goed bewijsdossier verbindt de klantinstructie, risicobeoordeling, vereiste gegevens, berichtstatus, tegenpartijresultaat, overboekingsbesluit, blockchain-transactiereferentie, uitzonderingsbeheer en latere rapportage. Dit dossier moet eenvoudig op te vragen zijn op klant, rekening, wallet, datum, overboekingsidentificatie en casenummer.
Technische controle | Wat goed eruitziet | Faalrisico bij afwezigheid |
|---|---|---|
Partijendirectory | Geverifieerde VASP-identiteit, wettelijke naam, rechtsgebied, registratiestatus, protocol-eindpunt en risicostatus | Gegevens kunnen naar de verkeerde partij worden verzonden of een overdracht kan zonder voldoende zorgvuldigheid worden vrijgegeven. |
Schema-validatie | Verplichte velden, formaten en bedrijfsregels worden gecontroleerd vóór verzending | Onvolledige informatie over de opdrachtgever of begunstigde leidt tot handmatig herstel en vertragingen. |
Beveiligde berichtenuitwisseling | Versleuteling, geauthenticeerde eindpunten, certificaatbeheer en berichtbevestigingen | Blootstelling van PII, berichtspoofing of het niet kunnen aantonen van de aflevering. |
Interoperabiliteitslaag | Ondersteunde protocollen, routeringslogica, fallbacks en gecontroleerde handmatige procedure | Een technische mismatch mondt uit in een nalevings- of klantenservicefout. |
Onveranderbaar auditbewijs | Logs met tijdstempels, zaakkoppelingen, bewaarcontroles en exportmogelijkheid | Het bedrijf kan niet aantonen wat er tijdens een audit of onderzoek is gebeurd. |
Praktisch inzicht: Technologie kan niet beslissen of een verdacht patroon verklaarbaar is, maar kan de feiten wel betrouwbaar, tijdig en beschikbaar maken voor degene die de beslissing moet nemen. InvestGlass kan de relatiebeheerslaag rondom die beslissing bieden, inclusief zaakcontext, klantgegevens, workflowtoewijzingen en gedocumenteerde resultaten.
Risicoscenario's: Witwasrisico's en financiering van terrorisme en niet-gehoste wallets
Self-hosted wallets vereisen een op risico gebaseerde benadering omdat het ontvangende of verzendende eindpunt mogelijk geen gereguleerde tussenpersoon is die Travel Rule-informatie kan uitwisselen. Ze zijn niet per definitie illegaal. Ze kunnen echter de identificatie van wederpartijen en gegevensverificatie complexer maken, met name wanneer het eigendom of de controle over een adres niet gemakkelijk kan worden vastgesteld.
Voer verhoogde due diligence uit voor gehoste wallets in eigen beheer waarbij de klant, overdracht, geografische blootstelling, transactiepatroon, sanctie-informatie of herkomst van de fondsen een verhoogd risico met zich meebrengt. Het doel is om te helpen voorkomen dat illegaal verkregen geld door het financiële systeem stroomt en de blootstelling aan financiële criminaliteit en andere financiële misdrijven te verminderen, zonder algemene beperkingen op te leggen die niet juridisch of qua risico gerechtvaardigd zijn.
Escaleer verdachte overboekingen naar onderzoekers. Beoordelingen van activiteiten met virtuele valuta en crypto-activa moeten rekening houden met het klantprofiel, de transactiegrootte en -frequentie, de geschiedenis van de wallet, tegenpartijen, het gebruik van mixers of verhullingstools waar relevant, de snelle verplaatsing van waarde, links naar fraude-typologieën en blootstelling aan sancties. Geen enkele op zichzelf staande rode vlag bewijst criminaliteit. Meerdere risico-indicatoren, of een ernstige indicator die niet naar tevredenheid kan worden verklaard, kunnen een diepgaander onderzoek rechtvaardigen.
Gebruik blockchain-analyse voor wallet-attributie en om te helpen bij het traceren van virtuele activa die betrokken zijn bij hoger-risico wallet-patronen. Analyse is één input, geen definitieve conclusie. Ondernemingen moeten de methodologie, betrouwbaarheidsniveaus, datalimieten en het proces voor het oplossen van fout-positieven van de aanbieder begrijpen.
Pro-tip: Scheid de beslissing om Travel Rule-informatie te verzamelen van de beslissing om de overboeking toe te staan. Een volledig bericht heft de noodzaak van sanctiescreening of monitoring op verdachte activiteiten niet op, en een onvolledig bericht kan op zich al een risico-indicator zijn.
Due Diligence en Tegenpartijvertrouwen voor VASPs en Financiële Instellingen
Due diligence van de wederpartij staat centraal in de naleving van de Reisregel omdat de verzendende en ontvangende bedrijven gevoelige informatie nauwkeurig en veilig moeten uitwisselen. Een bedrijf kan er niet veilig van uitgaan dat een andere VASP over de noodzakelijke beheersmaatregelen beschikt enkel en alleen omdat deze hetzelfde commerciële protocol gebruikt.
Voer een onboarding-due-diligence uit voor VASP's met behulp van een op risico gebaseerde benadering om tegenpartijen te beoordelen, inclusief hun beheersmaatregelen, vergunnings- of registratiestatus, eigendom, rechtsgebied, sancties en blootstelling aan negatieve media, screeningsnormen, gegevensbeschermingshouding, mogelijkheden voor de Travel Rule en escalatiecontacten. De diepgang van de beoordeling moet het risico van de relatie en het verwachte transactievolume weerspiegelen.
Onderhoud een register van tegenpartijvertrouwen, vergelijkbaar met hoe firma's afhankelijkheid documenteren in correspondent-bankrelaties. Het register moet het geverifieerde identiteitsbewijs van de tegenpartij, de geautoriseerde rechtspersoon, de regulatoire status, het toepasselijke rechtsgebied, het technische eindpunt, de ondersteunde standaarden, de risicobeoordeling, het bewijs van due diligence, de goedkeuringsdatum, de herzieningsdatum en eventuele beperkingen bevatten.
Voer periodieke wederpartijherbeoordelingen uit. Een wederpartij kan van technologieleverancier wisselen, een nieuwe markt betreden, te maken krijgen met handhavingsmaatregelen of herhaaldelijk onvolledige berichten versturen. Elk van deze gebeurtenissen kan het risicoprofiel van de relatie veranderen. Vraag waar passend attestatiedocumenten op, maar vervang een attestatie niet door onafhankelijke controles wanneer er betrouwbare bronnen beschikbaar zijn.
Sterke wederpartij-due-diligence en de adoptie van de standaarden van de Travel Rule kunnen het vertrouwen van financiële partners vergroten. Het verbetert ook de resultaten voor klanten, omdat de kans kleiner is dat een overboeking op het laatste moment wordt tegengehouden vanwege een te voorkomen protocol- of informatieprobleem.
Een gedisciplineerde implementatie kan tegenspartijprofielen, herinneringen voor beoordelingen, goedkeuringsdossiers en de documentatie ter ondersteuning van risicobeslissingen centraliseren. Dit helpt relatiebeheerders, operationele teams en compliance-officers om dezelfde geverifieerde status van de tegenspartij te zien, in plaats van te vertrouwen op niet-bijgehouden spreadsheets of zoekopdrachten in de inbox.
Europese Unie-specifiek: TFR, MiCA en de implicaties van de nul-drempel
De Geldovermakingsverordening van de Europese Unie, Verordening (EU) 2023/1113, breidt regels met betrekking tot informatie bij overmakingen uit naar crypto-activa. De samenvatting hiervan vermeldt dat aanbieders van diensten voor crypto-activa van de opdrachtgever ervoor moeten zorgen dat overdrachten vergezeld gaan van gegevens over de opdrachtgever en de begunstigde, waaronder namen, gedistribueerd-grootboekadressen en rekeningnummers voor crypto-activa.
Voor overdrachten waarbij een CASP is betrokken, moeten ondernemingen rekening houden met een nuldrempelbenadering voor de vereiste informatie. In praktijktermen betekent dit dat volledige procesdiscipline vereist is, zelfs voor crypto-overdrachten met een lage waarde. De verordening is niet van toepassing op echte peer-to-peeroverdrachten waarbij zowel de zender als de ontvanger voor eigen rekening handelen zonder de tussenkomst van een aanbieder van diensten in cryptoactiva.
Het EU-kader bevat ook specifieke controles voor gehoste adressen in eigen beheer. Uit de officiële juridische samenvatting van de EU blijkt dat een CASP voor overdrachten van meer dan € 1.000 verifieert of een adres in eigen beheer eigendom is van of beheerd wordt door de opdrachtgever, en dat CASP's aan de kant van de ontvanger het eigendom of beheer beoordelen voor relevante overdrachten vanaf een adres in eigen beheer dat dat bedrag te boven gaat. Ondernemingen moeten de gedetailleerde juridische tekst en de huidige nationale toezichtsverwachtingen beoordelen alvorens hun procedures in te stellen.
Breng de MiCA-vergunningscontroles op een lijn met het controlekader voor de Reistoer (Travel Rule). MiCA en TFR zijn afzonderlijke instrumenten, maar hun operationele perimeter kan elkaar overlappen voor een cryptowaardedienstverlener (CASP) in de EU. De Europese Bankautoriteit merkte op dat Verordening (EU) 2023/1113 geautoriseerde CASP's onderwerpt aan Wwft/ft-vereisten (AML/CFT) en toezicht die vergelijkbaar zijn met die welke van toepassing zijn op krediet- en financiële instellingen, en dat de richtsnoeren voor de Reistoer van toepassing waren vanaf 30 december 2024.
Praktisch advies: Modelleer de EU-verwerking niet uitsluitend rondom een monetaire drempel. Uw systemen moeten gegevens vastleggen, ontbrekende informatie identificeren en een gedocumenteerde beslissing over uitvoering, afwijzing, retourzending of opschorting ondersteunen voor elke CASP-overdracht die binnen het bereik valt.
Overwegingen inzake de Bank Secrecy Act voor Amerikaanse exploitanten
Amerikaanse exploitanten moeten onderscheid maken tussen de specifieke regels voor geldoverdrachten van de BSA en bredere AML-verplichtingen die van toepassing zijn op hun bedrijfsmodel. Voor gedekte geldoverdrachten is de bekende drempel USD 3.000. De FFIEC BSA/AML Examination Manual legt uit dat banken bepaalde informatie moeten verzamelen en bewaren voor geldoverdrachten van USD 3.000 of meer, en dat financiële instellingen bepaalde informatie moeten opnemen in overboekingsopdrachten van USD 3.000 of meer.3
Voor de bank van de opdrachtgever kan de relevante set gegevens de naam en het adres van de opdrachtgever, het bedrag en de datum van de betaalopdracht, de betaalinstructies, de identiteit van de instelling van de beneficiënt en de bij de opdracht ontvangen informatie over de beneficiënt omvatten. De vereiste informatie hangt af van de rol van de instelling en of de persoon een bestaande klant is. Het handboek vermeldt ook dat de gegevens in de beschreven context gedurende vijf jaar moeten worden bewaard.3
Pas de drempel van USD 3.000 van de BSA toe voor overboekingen waar van toepassing in het kader van de Bank Secrecy Act, in overeenstemming met de witwasbestrijdingsregelgeving voor onder de Amerikaanse wet vallen bedrijven. Gebruik de drempel echter niet als een veilige haven voor andere AML-verplichtingen. Klantidentificatie, monitoring van verdachte activiteiten, sanctieverplichtingen en risicogebaseerde beoordelingen kunnen ook onder de USD 3.000 van toepassing zijn.
Volg FinCEN-regelgevingsupdates en autoritatieve richtlijnen. Richtlijnen van de Financial Crimes Enforcement Network vormen de verwachtingen rondom de Travel Rule voor Amerikaanse exploitanten, terwijl staatslicentiewetten en de producten van het bedrijf verdere verplichtingen kunnen toevoegen. Compliance-teams moeten regelgevingswijzigingen formeel volgen, de operationele impact beoordelen, eigenaarschap toewijzen en resulterende beleids- of systeemwijzigingen documenteren.
Gegevensbescherming en Grensoverschrijdende Gegevensoverdrachten
De Travel Rule vereist dat gevoelige informatie zich tussen bedrijven verplaatst, soms over verschillende jurisdicties heen. Dat maakt privacygovernance een kernvereiste bij het ontwerp in plaats van een achteraf toegevoegde gedachte.
Beoordeel de AVG-impact op de overdracht van PII. Een onderneming die onder de AVG valt, moet een geschikte rechtsgrondslag identificeren, transparante kennisgevingen verstrekken, dataminimalisatie implementeren, beveiligingsmaatregelen handhaven, reageren op rechten van betrokkenen indien van toepassing, en een geldig mechanisme opstellen voor beperkte internationale doorgiften. De Travel Rule kan een wettelijke verplichting creëren om bepaalde gegevens te verwerken, maar rechtvaardigt niet het verzamelen of delen van meer dan de betreffende regel en risicobeoordeling vereisen.
Implementeer wettige mechanismen voor grensoverschrijdende overdracht. Het juiste mechanisme hangt af van waar de verzendende en ontvangende organisaties zijn gevestigd, waar gegevens worden ingezien en de juridische relaties tussen hen. Contractuele controles, overdrachtsbeoordelingen, aanvullende waarborgen en due diligence van leveranciers kunnen allemaal relevant zijn.
Versleutel PII tijdens transport en in rust. Versleuteling moet worden ondersteund door degelijk identiteitsbeheer, veilige softwareontwikkeling, kwetsbaarheidsbeheer, incidentrespons en toegangsbeoordelingen. Het versleutelen van een bericht lost geen privacyprobleem op als personeel toegang heeft tot excessieve gegevens of als records voor onbepaalde tijd worden bewaard.
Minimaliseer gedeelde gegevensvelden op basis van noodzaak. Een privacybewuste implementatie moet de minimale veldset bepalen die vereist is voor het relevante rechtsgebied, waar mogelijk gestructureerde gegevens gebruiken in plaats van notities in vrije tekst, voorkomen dat onnodige gegevens in blockchain-metadata terechtkomen, en informatie verwijderen of archiveren in overeenstemming met goedgekeurde bewaarregels.
Privacyvraag | Controlerespons |
Waarom verwerken wij deze gegevens? | Legitimatie: leg de toepasselijke wettelijke verplichting, het gerechtvaardigd doel en de beleidsgrondslag vast. |
Welke informatie is nodig? | Gebruik een jurisdictie-specifiek gegevenswoordenboek en verwijs niet-essentiële vrije-tekstvelden af. |
Wie kan het zien? | Pas op rollen gebaseerde toegang, goedkeuringscontroles, periodieke toegangsbeoordelingen en monitoring toe. |
Waar gaat het heen? | Kaartleveranciers, protocolproviders, hostinglocaties, onderhoudstoegang en doorgiften aan derden. |
Hoe lang bewaren we dit? | Pas bewaarschema's, juridische bewaringen en verdedigbare vernietigingsprocessen toe. |
Pro-tip: Betrek belanghebbenden op het gebied van privacy, beveiliging, juridische zaken en compliance bij elke selectie van een Travel Rule-leverancier. Een product dat het bericht correct verwerkt, maar niet kan voldoen aan vereisten met betrekking tot gegevensinlokalisatie (data-residency), verwijdering of audits, kan een ander regelgevend probleem veroorzaken.
Monitoring, rapportage en audit: maatregelen tegen witwassen
Travel Rule-gegevens moeten transactiemonitoring versterken, niet vervangen. Betrouwbare informatie over de opdrachtgever en begunstigde verbetert de kwaliteit van waarschuwingen, omdat onderzoekers blockchain-activiteit kunnen koppelen aan klanten, tegenpartijen, locaties en eerdere risicobeslissingen.
Implementeer transactiemonitoringsregels gekalibreerd om verdachte activiteiten in cryptotransacties en overdrachten van virtuele activa te detecteren. Scenarios kunnen bestaan uit snelle verplaatsing van activa na fiat-omzetting, blootstelling aan een hoog risico die niet overeenkomt met het profiel van een klant, herhaalde overdrachten net onder een gegevensdrempel, ongebruikelijk gebruik van wallets in eigen beheer, indicatoren van gesanctioneerde adressen, of overdrachten met wederpartijen die herhaaldelijk onvolledige informatie verstrekken.
Start SAR-rapportageworkflows wanneer de feiten en het toepasselijke recht dit vereisen om te helpen bij het bestrijden van witwaspraktijken en de financiering van terrorisme. Een proces voor verdachte-activiteitenrapporten moet gecontroleerd, vertrouwelijk en tijdig zijn, en worden ondersteund door duidelijk zaakbewijs. De beslissing om al dan niet te rapporteren, of om door te gaan met monitoren, moet worden vastgelegd in overeenstemming met het beleid van het bedrijf.
Bewaar bewijsmateriaal voor toezichthoudende audits. Niet-naleving van de Reisregel kan leiden tot wettelijke sancties, maar zwak bewijsmateriaal kan er ook voor zorgen dat een onderneming niet in staat lijkt om haar eigen programma te beheersen. Bewaar beleid, risicobeoordelingen, klant- en tegenpartijgegevens, berichtlogboeken, screeningsresultaten, uitzonderingsbeslissingen, trainingsdossiers, goedkeuringen van systeemwijzigingen en resultaten van onafhankelijke tests.
Onafhankelijk plannen AML-programma beoordelingen. Een beoordeling moet zowel het ontwerpen van de beheersmaatregelen als de werking ervan testen. Deze moet steekproeven nemen van overdrachten over risiconiveaus en jurisdicties heen, de afhandeling van uitzonderingen inspecteren, gegevens traceren vanaf de instructie van de klant tot aan de uitvoering op de blockchain, de drempellogica kritisch beoordelen en verifiëren dat de gerapporteerde managementinformatie accuraat is.
Praktisch leermoment: Een compliance-dashboard moet meer laten zien dan overboekingsvolumes. InvestGlass kan helpen bij het organiseren van risico's op relatieniveau, openstaande beoordelingen, goedkeuringen en remediatietaken, zodat het senior management kan zien waar uitzonderingen zich concentreren en of problemen op tijd worden opgelost.
Implementatieroutekaart en operationele checklist voor naleving van de Travel Rule
Een succesvolle uitrol is gefaseerd, heeft een eigenaar en wordt getest. Het proberen te implementeren van een Travel Rule-oplossing zonder een duidelijk operationeel model leidt vaak tot kostbaar rework, vooral wanneer eigenaren van beleid, data, tegenpartijen en technologie inconsistente aannames hebben gedaan.
Wijs een senior compliance-eigenaar aan met de bevoegdheid om juridische interpretatie, risicobereidheid, technologie-investeringen, operaties, informatiebeveiliging, gegevensbescherming en bedrijfsprioriteiten te coördineren. Deze eigenaar moet voortgang, beslissingen, materiële risico's en onopgeloste afhankelijkheden rapporteren aan het desbetreffende bestuursforum.
Breng end-to-end transactiestromen in kaart, inclusief de reikwijdte voor financiële diensten met betrekking tot virtuele activa. Omvat de onboarding van klanten, wallet-registratie, initiatie van overboekingen, ontdekking van tegenpartijen, gegevensuitwisseling, sanctiescreening, vrijgavecontroles, blockchain-executie, bevestiging, monitoring, gegevensbewaring en onderzoek. Identificeer alle handmatige overdrachten en punten van gegevensinvoer, aangezien dit veelvoorkomende bronnen van fouten zijn.
Selecteer een Travel Rule-leverancier en valideer de ondersteuning voor lokale regelgeving en de verwachtingen van monetaire autoriteiten in elk uitroljurisdictie. Beoordeel de protocoldekking, IVMS101-ondersteuning, tegenpartijbereik, gegevensbeveiliging, beschikbaarheid, servicelevel-verplichtingen, interoperabiliteit, berichtbewijs en het vermogen om regels te wijzigen zonder onderbreking.
Voer een proefproject uit met belangrijke tegenpartijen. Test normale overboekingen, ontbrekende gegevens, onbekende tegenpartijen, risicovolle bestemmingen, eigen wallets (self-hosted wallets), ten onrechte positieve sanctiewaarschuwingen (false positives), protocolstoringen en jurisdictieverschillen. Leid operationeel en compliance-personeel op vóór de proef, verzamel hun feedback en pas het beleid aan op basis van de feedback uit de proef.
Implementatiefase | Vereiste uitvoer | Voorbeelden van eigenaren |
1. Bestuur en reikwijdte | Beleidsverklaring, juridische inventaris, risicobereidheid, verantwoordelijk bestuurder | Compliance, juridisch, raad van commissarissen |
2. Gegevens- en workflowontwerp | Gegevenswoordenboek, procesbeschrijvingen, beslissingsbomen, uitzonderingshandleidingen | Operationeel, product, data, compliance |
3. Gereedheid van leveranciers en wederpartijen | Due diligence, beveiligingsbeoordeling, protocoltesten, vertrouwensregister | Technologie, inkoop, informatiebeveiliging |
4. Proefproject en training | Testresultaten, personeelsmaterialen, issuelogboek, go/no-go-criterium | Bedrijfsvoering, naleving, training |
5. Productiebewaking | KPI's, QA-steekproeven, incidentrapportage, herstelplan | Risico van de eerste en tweede lijn |
6. Onafhankelijke assurance | Testrapport, bevindingen, actieplan voor het management | Interne audit of gekwalificeerde onafhankelijke reviewer |
Een juridische checklist moet lokale regelgeving bevatten, zoals de drempel van SGD 1.500 van Singapore voor overdrachten van digitale tokens en de startdatum van 1 september 2023 van de FCA voor Britse cryptoactivabedrijven. De FCA stelt dat Britse cryptoactivabedrijven vanaf die datum informatie over overdrachten van cryptoactivabedrijven moeten verzamelen, verifiëren en delen, en verwacht dat firma' zelfs bij het gebruik van een leverancier redelijke stappen ondernemen en gepast onderzoek doen.
Pro-tip: Maak de acceptatiecriteria voor de proefperiode meetbaar. Vereist bijvoorbeeld een gedefinieerd percentage succesvolle berichten, een maximale afhandelingstijd voor uitzonderingen, getest bewijs van gegevensopvraag, voltooide personeelstraining en goedgekeurde procedures voor ten minste één tegenpartij over meerdere protocollen voordat een brede uitrol plaatsvindt.
Veelvoorkomende Uitdagingen En Maatregelen
De meest voorkomende fouten bij de Reisregel worden zelden veroorzaakt door één ontbrekend veld. Ze ontstaan waar verschillende rechtsgebieden, tegenpartijen, systemen en teams tegenstrijdige beslissingen nemen onder tijdsdruk.
Los het 'sunrise'-probleem op met jurisdictiecontroles. De implementatie van de Travel Rule loopt vaak vast wanneer wederpartijen in verschillende jurisdicties andere lokale regelgeving of drempelwaarden volgen. De Britse richtsnoeren erkenden expliciet dat wereldwijde adoptie verschillende tijdlijnen kent en gaven bedrijven de opdracht om de implementatiestatus in andere jurisdicties te beoordelen en processen dienovereenkomstig aan te passen.6
Beperk interoperabiliteitsfouten in protocollen door middel van beproefde routering, een actuele tegenpartijmap, geaccepteerde standaarden, gecontroleerde uitwijkmogelijkheden en een duidelijk handmatig uitzonderingsproces. Een handmatige route moet veilig, geautoriseerd, in tijd beperkt en volledig gelogd zijn. Deze mag geen ongecontroleerde tijdelijke oplossing worden voor een slecht geconfigureerd systeem.
Verbeter de gegevenskwaliteitscontroles. Onvolledige informatie over de opdrachtgever of begunstigde kan cryptotransacties blokkeren en de volledige naleving vertragen. Maak gebruik van veldnivemavalidatie, gestandaardiseerde klantinvoer, referentiedatgegevenscontroles, gegevenskwaliteitsmetrieken en feedback aan tegenpartijen die herhaaldelijk foutieve berichten sturen.
Plan de schaalbaarheid voor grootschalige overboekingen. Handmatige beoordeling kan geschikt zijn voor een beperkt aantal complexe gevallen, maar dit kan niet de standaard zijn voor een bedrijf met hoge volumes. Geef prioriteit aan automatisering voor deterministische controles, routering en bewijsverzameling, terwijl u de tijd van ervaren beoordelaars reserveert voor hoogrisico- of ambigue beslissingen.
Een grote uitdaging bij deze maatregelen is het identificeren en valideren van tegenpartijen voordat Travel Rule-gegevens worden uitgewisseld. Los dit op via een governanceproces, niet via een eenmalige technische integratie. Het vertrouwen in tegenpartijen vereist voortdurende verificatie, eigenaarschap en bewijs.
Uitdaging | Waarom dit gebeurt | Praktische risicobeperking |
Zonsopgangsprobleem | Rechtsgebieden en tegenpartijen nemen op verschillende momenten regels aan | Onderhoud een implementatiestatusmatrix en jurisdictiespecifieke beslissingsregels. |
Onbekende begunstigde VASP | Portemonnee-adressen onthullen niet automatisch de controlerende instelling | Gebruik tegenpartij-identificatie, klantbevestiging, geverifieerde gidsen en escalatieprocessen. |
Protocolmismatch | Verzenden en ontvangen bedrijven gebruiken incompatibele netwerken | Ondersteun interoperabiliteit, test uitwijkroutes en documenteer handmatige bedieningselementen. |
Slechte datakwaliteit | Klantgegevens ontbreken gestructureerde, geverifieerde attributen | Verbeter onboardinggegevens, valideer velden bij de bron en voer regelmatige kwaliteitsbeoordelingen uit. |
Privacyconflict | Teams delen meer persoonlijk identificeerbare informatie (PII) dan nodig is om onduidelijkheid weg te nemen | Gebruik minimaal noodzakelijke gegevens, rechtmatige overdrachtsmechanismen, versleuteling en toegangscontroles op basis van rollen. |
Hoge operationele kosten | Te veel routine-uitzonderingen bereiken onderzoekers | Automatiseer herhaalbare controles en gebruik op risico gebaseerde triage. |
Bijlage: Verklarende woordenlijst, Jurisdictiematrix en Notities over crypto-activa
Woordenlijst van Travel Rule- en AML-termen
Virtuele-activadienstenleveranciers: Gereguleerde bedrijven die digitale activa overdragen of bewaken en moeten voldoen aan de 'Travel Rule'-controles wanneer het toepasselijke regime hen binnen de reikwijdte brengt.
Virtuele activa: Digitale weergaven van waarde die onder de witwasbestrijdingsregels vallen wanneer ze worden overgedragen tussen gereguleerde partijen.
Virtuele valuta: Een gebruikelijke term voor bepaalde digitale waardesystemen die, afhankelijk van het rechtsgebied, binnen het toepassingsgebied kunnen vallen.
Informatie over opdrachtgever en begunstiger: De gegevens van de verzender en ontvanger die moeten worden verzameld, waar nodig geverifieerd en meegezonden bij gedekte overboekingen.
Travel rule-drempel: Het transactiebedrag waarbij een strengere verplichting tot gegevensuiting wordt geactiveerd in een aangeduide jurisdictie.
Self-hosted wallet: Een walletadres dat wordt beheerd door een individu of organisatie in plaats van via een gehost account bij een VASP of CASP.
IVMS101: Een veelgebruikt gegevensmodel dat wordt gebruikt om reizigersregelgeving-informatie (Travel Rule) te structureren die wordt uitgewisseld tussen aanbieders van diensten voor virtuele activa.
Entiteitidentificatiecode voor juridische entiteiten: Een standaardidentificatiecode die kan helpen bij het identificeren van een juridische entiteit, indien relevant en vereist.
Klantidentificatienummer: Een unieke identificatiecode die door een gereguleerde instelling aan een klantrecord wordt toegewezen of die wordt erkend onder een toepasselijk regime.
Unieke transactiereferentie: Een door het systeem gegenereerde referentie die wordt gebruikt om een overboeking, bericht, beslissing en auditlogboek te reconciliëren.
Jurisdictiedrempelmatrix
Jurisdictie of standaard | Voorbeeldfunctie | Operationeel gevolg |
FATF-typische basislijn | USD/EUR 1.000 voor de Travel Rule-standaard voor virtuele activa, onder voorbehoud van nationale implementatie | Te gebruiken als internationaal referentiepunt, niet als vervanging van de lokale wetgeving. |
Verenigde Staten | USD 3.000 voor toepasselijke vereisten van de BSA (Bank Secrecy Act) met betrekking tot overboekingen, de Travel Rule en de administratieplicht | Bepaal de entiteit- en transactieomvang onder de BSA en pas vervolgens de gerelateerde AML- en sanctiecontroles toe. |
Europese Unie | Nul-drempel informatie-aanpak voor binnen de reikwijdte vallende crypto-activatransfers van CASP's | Configureer informatieverzameling en uitzonderingsafhandeling voor elke overdracht binnen de scope. |
Singapore | SGD 1.500 wordt vaak gebruikt voor de vereisten met betrekking tot de overdracht van digitale betalingstokens | Bevestig de huidige MAS-vereisten en het specifieke dienstenperimeter van het kantoor vóór de implementatie. |
Verenigd Koninkrijk | Requisitos voor cryptomactivaondernemingen die vanaf 1 september 2023 van toepassing zijn op de Travel Rule | Pas op risico's gebaseerde behandeling toe op overdrachten met betrekking tot rechtsgebieden die de regel niet hebben geïmplementeerd. |
Voorbeelden van velden zijn rekeningnummer, wallet-adres, identificatiecode voor juridische entiteiten, klantidentificatienummer en unieke transactiereferentie. De juiste veldset moet altijd worden geselecteerd uit de toepasselijke regelgeving, worden geverifieerd aan de hand van de capaciteit van de tegenpartij en consistent worden toegepast in het gegevenswoordenboek van de firma.
Veelgestelde vragen
Wat is Travel Rule-naleving in crypto?
Travel Rule-naleving is de verzameling beheersmaatregelen die een VASP, CASP of gereguleerde financiële instelling gebruikt om de vereiste informatie over partijen bij een gedekte overdracht van digitale activa te verzamelen, verifiëren, verzenden, ontvangen en bewaren. Het ondersteunt de traceerbaarheid en helpt bedrijven bij het opsporen van mogelijke witwaspraktijken, financiering van terrorisme, blootstelling aan sancties en fraude.
Geldt de crypto Travel Rule voor elke overdracht?
Niet altijd. Het antwoord hangt af van het rechtsgebied, de betrokken entiteiten, het type wallet en de waarde of andere drempelwaarde die door de wet wordt voorgeschreven. In de EU moeten bedrijven rekening houden met een informatiebenadering met een nuldrempel voor CASP-overdrachten die binnen het bereik vallen, terwijl andere regimes drempelwaarden of andere afbakeningsregels hanteren.
Welke gegevens moet een VASP verzamelen?
De vereiste gegevens omvatten meestal identificerende informatie over de opdrachtgever en de begunstigde, samen met een walletadres, rekeningnummer of andere overdrachtsidentificatie. De exacte velden, verificatieplicht en behandeling van zakelijke klanten variëren per rechtsgebied en overdrachtsscenario.
Wat is de drempelwaarde van de FATF-reistabel?
De FATF-standaard voor virtuele activa wordt over het algemeen geassocieerd met een drempelwaarde van USD/EUR 1.000. De FATF-standaarden vereisen echter nationale implementatie, dus de operationele drempelwaarde is de regel in de jurisdictie of jurisdicties die gekoppeld zijn aan de transactie.
Wat is het verschil tussen een gehoste en een zelf-gehoste wallet?
Een gehoste wallet wordt over het algemeen verstrekt of beheerd via een tussenpersoon, zoals een exchange of custodian. Een self-hosted wallet wordt rechtstreeks beheerd door een individu of organisatie, wat de identificatie van de andere partij en de uitwisseling van gegevens complexer kan maken.
Maakt een eigen wallet (self-hosted wallet) een overboeking verdacht?
Nee. In eigen beheer zijnde wallets kunnen voor legitieme doeleinden worden gebruikt en zijn niet automatisch verdacht. Ze kunnen echter wel een aanvullende risicobeoordeling, eigendoms- of controlecontroles, en een verzwaarde maatschappelijke zorgvuldigheid vereisen wanneer de van toepassing zijnde regels of de risicobeoordeling van het kantoor daar om vragen.
Hoe verschilt de EU-reizigersregel van de FATF-basislijn?
De EU-verordening betreffende geldovermakingen past een kader toe waarbij informatie de overdracht moet vergezellen op cryptovermogentransacties die binnen het toepassingsgebied vallen en waarbij CASP's betrokken zijn, zonder drempelwaarde voor deze informatieverplichting. Deze bevat ook specifieke vereisten voor overdrachten waarbij niet-gehoste adressen van meer dan EUR 1.000 betrokken zijn.
Wat is het zonsopgangsprobleem?
Het zonsopgangprobleem treedt op wanneer een verzendende en een ontvangende partij opereren in verschillende rechtsgebieden met uiteenlopende invoeringsdata, drempelwaarden, technische standaarden of handhavingsverwachtingen voor de reisregel (Travel Rule). Financiële instellingen hebben jurisdictional controles, tegenpartij-informatie, uitwijkprocedures en op risico gebaseerde besluitvorming nodig om deze kloof te overbruggen.
Wat moet er gebeuren als de Reisinformatie ontbreekt?
Het ontvangende of intermediaire bedrijf dient een gedocumenteerd beleid te volgen dat rekening houdt met de vraag of informatie moet worden opgevraagd, of de overboeking moet worden vastgehouden, geweigerd, geretourneerd of uitgevoerd op basis van de wettelijke vereisten en het risico. Herhaalde onvolledige berichten van dezelfde tegenpartij moeten leiden tot verscherpt toezicht, herstelmaatregelen of relatiebeperkingen.
Hoe kan InvestGlass Travel Rule-operaties ondersteunen?
InvestGlass kan teams helpen bij het centraliseren van klant- en tegenpartijdossiers, het toewijzen van beoordelingstaken, het documenteren van goedkeuringen en uitzonderingen, het volgen van herstelmaatregelen en het bewaren van een audit trail op relatieniveau. Het dient te fungeren naast gespecialiseerde oplossingen voor Travel Rule-messaging, screening en blockchain-analyse in plaats deze te vervangen.
Conclusie
Naleving van de Travel Rule wordt niet bereikt door simpelweg een berichtverbinding aan te schaffen en in te schakelen. Financiële instellingen en VASP's hebben een samenhangende beheersomgeving nodig die KYC en KYB, tegenpartijvertrouwen, datakwaliteit, veilige overdrachtsworkflows, sanctiescreening, monitoring, rapportage, privacy en auditevenementen met elkaar verbindt.
De meest veerkrachtige programma's beginnen met een jurisdictie-specifieke interpretatie, vertalen deze naar een nauwkeurig datadictogram en beslissingsworkflow, testen dit met echte tegenpartijen en verbeteren het door middel van monitoring en onafhankelijke zekerheid. Wanneer beheersmaatregelen op deze manier zijn gestructureerd, kunnen firma' vermogens voldoen aan de regelgevende verwachtingen en tegelijkertijd vermijdbare overboekingsvertragingen verminderen en het vertrouwen van klanten en financiële partners versterken.
InvestGlass helpt financiële instellingen bij het organiseren van de klant-, bedrijfs- en workflowcontext die ten grondslag ligt aan deze compliancebeslissingen. Gebruik het om verantwoorde processen te creëren, betrouwbaar bewijsmateriaal te bewaren en geautoriseerde teams een volledig overzicht te geven van de relatie voordat een overdracht een risicogebeurtenis wordt.
