Bunq vs. DNB: alle wegen leiden naar Rome?

Op 18 oktober jl. deed het College van Beroep voor het bedrijfsleven (CBb) uitspraak inzake een geschil tussen Bunq en DNB over de vermeend gebrekkige naleving van Bunq van de op haar rustende Wwft-verplichting tot het verrichten van cliëntenonderzoek. Deze uitspraak leidde in verschillende media tot spraakmakende krantenkoppen: ‘Vernietigend oordeel rechter over witwasaanpak DNB in Bunq-zaak’, ‘DNB moet inbinden’, ‘Bunq wint zaak tegen DNB over innovatie in witwasscreening’ en ‘Witwasaanpak DNB op de schop door sof in bunq-zaak?’. Bunq-oprichter Ali Niknam sprak zelfs van een landmark case concerning the use of modern technology to effectively combat money laundering en concludeerde dat deze uitspraak van het CBb will be remembered in history.

In dit blog ga ik in op de uitspraak van het CBb en de mogelijke consequenties daarvan voor de manier waarop het Wwft-cliëntenonderzoek door een bank mag worden verricht en de wijze waarop een Wwft-toezichthouder (zoals DNB) het Wwft-toezicht dient in te richten. Ik beperk me bij de bespreking van de zaak tot het oordeel van het CBb dat DNB onvoldoende heeft aangetoond dat Bunq het doel en de beoogde aard van de zakelijke relatie met particuliere klanten niet heeft vastgesteld voorafgaand aan het aangaan van die relatie.

Waar draaide deze zaak om?

Op grond van de Wwft moeten bepaalde private actoren, zoals banken, een cliëntenonderzoek verrichten (art. 3 e.v. Wwft). Zij zijn verplicht in kaart te brengen met wie zij zaken doen, zodat zij ook kunnen voorkomen dat hun dienstverlening wordt misbruikt voor criminele doeleinden (o.a. witwassen). Belangrijk om te weten is dat de Wwft niet voorschrijft op welke wijze het cliëntenonderzoek moet worden uitgevoerd. In de Wwft staat alleen wanneer een bank het cliëntenonderzoek moet verrichten (o.a. voorafgaand aan het aangaan van een zakelijke relatie) en tot welk resultaat het onderzoek moet leiden (o.a. het vaststellen van het doel en de beoogde aard van de zakelijke relatie). Banken kunnen dus in principe zelf bepalen op welke wijze zij het cliëntenonderzoek verrichten, zolang het onderzoek maar leidt tot de in de Wwft genoemde resultaten.

Juist hierom draaide het geschil tussen DNB en Bunq. Het stond niet ter discussie dat Bunq een cliëntenonderzoek moest uitvoeren (en ook uitvoerde), maar volgens DNB schoot de wijze waarop Bunq het cliëntenonderzoek verrichtte op een aantal onderdelen tekort en leverde het ook niet de in de Wwft genoemde resultaten op. Zo vond DNB dat Bunq, om voorafgaand aan het aangaan van een zakelijke relatie met een particuliere klant het doel en de beoogde aard van die relatie te kunnen vaststellen, aan iedere individuele (nieuwe) klant nadrukkelijk moest vragen wat het doel en de aard is van de (te openen) bankrekening. Aangezien Bunq dat volgens DNB niet of onvoldoende op individueel niveau deed, wist Bunq volgens DNB voorafgaand aan het aangaan van een relatie niet goed wat het doel en de beoogde aard van de bankrekening van een individuele cliënt was en ook niet welk risico op witwassen de desbetreffende cliënt met zich bracht (r.o. 8.6.2).

Bunq was echter van mening dat DNB niet van haar mocht verlangen dat zij het cliëntenonderzoek verrichtte volgens de door DNB voorgeschreven methode. Verder stelde Bunq dat de informatie over het doel en de beoogde aard van de zakelijke relatie ook op een andere manier, namelijk met behulp van artificial intelligence (hierna: AI), kon worden verzameld (r.o. 8.4). Specifiek met betrekking tot nieuwe particuliere klanten verliep de werkwijze van Bunq als volgt. Bunq onderscheidt groepen klanten die binnen een standaardgebruikersprofiel vallen, de betaalrekening gebruiken binnen de grenzen van dat profiel en een laag risico op witwassen vertegenwoordigen, en groepen die dat niet doen (r.o. 8.6.1). Dat standaard gebruikersprofiel had Bunq opgesteld aan de hand van een data-analyse van al haar klanten en het gebruik van de betaalrekening door haar klanten. Bij het openen van de betaalrekening via de app van Bunq moet de particulier (persoons)gegevens invullen en Bunq beoordeelde deze gegevens aan de hand van de door haar opgestelde toelatingseisen (r.o. 8.6.3). Omdat veruit de meeste particuliere klanten binnen dat gebruikersprofiel vallen, kregen zij dat profiel standaard toegekend bij het openen van een rekening (r.o. 8.6.1). Na het openen van de rekening controleerde Bunq doorlopend, aan de hand van zowel de bij de aanvraag van de bankrekening verkregen informatie als de daarna verkregen informatie (zoals transactiegedrag), of de klant nog steeds binnen het standaard gebruikersprofiel valt. Mocht dat niet zo zijn, dan werden aan de klant (automatisch) vragen gesteld, werd een handmatige review uitgevoerd, en indien nodig werd het klantprofiel aangescherpt.

Het CBb oordeelt als volgt. Het geeft allereerst aan dat de Wwft niet voorschrijft op welke manier het cliëntenonderzoek moet worden verricht. Voorts merkt het CBb op dat het doel van het inwinnen van informatie is, dat de Wwft-instelling hierdoor in staat wordt gesteld om mogelijke risico’s van haar dienstverlening aan haar cliënt in te schatten (r.o. 8.6.3). Volgens het CBb heeft DNB niet duidelijk gemaakt waarom de manier van Bunq, namelijk het verkrijgen van de benodigde informatie via data-analyse en statistisch onderzoek, ontoereikend is (r.o. 8.6.3). De overgrote meerderheid van de particuliere klanten van Bunq valt statistisch gezien binnen het standaardgebruikersprofiel en op basis van statistisch onderzoek blijkt dat bij deze klanten een laag risico op fraude bestaat en dat zij de bankrekening ook gebruiken conform dat standaardgebruikersprofiel. Hiermee heeft Bunq voldoende aangetoond dat zij op het moment van het aangaan van de zakelijke relatie het doel en de beoogde aard daarvan heeft vastgesteld. Dat Bunq het profiel na het openen van de rekening kan bijstellen, doet daar niet aan af (r.o. 8.6.3).

Potentiële betekenis van de uitspraak

Zoals eerder opgemerkt, schrijft de Wwft niet voor op welke wijze banken het cliëntenonderzoek moeten verrichten. In dat opzicht is de uitspraak van het CBb niet vernieuwend. Immers, het CBb bevestigt ‘slechts’ dat de Wwft ruimte biedt aan banken om het cliëntenonderzoek op eigen wijze in te richten, zolang dit cliëntenonderzoek de in de Wwft genoemde resultaten oplevert. Een toezichthouder (i.c. DNB) mag daarom ook niet van haar ondertoezichtstaanden (i.c. Bunq) verlangen dat zij het cliëntenonderzoek verrichten op een door de toezichthouder voorgeschreven manier. In zekere zin geldt: alle wegen leiden naar Rome.

Natuurlijk moet DNB wel haar toezichthoudende taak kunnen blijven uitvoeren. De bank moet DNB in staat stellen om de door de bank gebruikte procedures voor het verrichten van het cliëntenonderzoek te kunnen toetsen. Bunq kon volgens het CBb goed uitleggen welke gegevens zij opvroeg van haar klanten, had goed in kaart gebracht wat de risico’s van haar dienstverlening waren en had de procedure ook vastgelegd in beleid. Daardoor kan de toezichthouder ook makkelijker toetsen of dat onderzoek inderdaad het beoogde doel bereikt. Het vastleggen van de gehanteerde procedure in beleid en het kunnen aantonen dat dit beleid in de praktijk ook wordt nageleefd, is derhalve cruciaal om te kunnen laten zien dat het cliëntenonderzoek Wwft-conform wordt uitgevoerd.

Dat de door DNB gestelde eisen ook naar het inzicht van DNB zelf de toets der kritiek wellicht niet in alle opzichten (zouden) kunnen doorstaan, blijkt uit een enkele weken voor de uitspraak van het CBb gepubliceerd rapport (hierna: DNB-rapport). Daarin kondigt DNB zelf aan dat het haar toezichtaanpak gaat veranderen naar een veel meer risicogebaseerde aanpak. DNB geeft aan dat, om de effectiviteit en de efficiëntie van de witwasbestrijding te vergroten, onderzocht moet worden hoe de inspanningen van de sector ‘daadwerkelijk risicogebaseerd’ kunnen worden en op welke wijze het toezicht van DNB daaraan kan bijdragen. Het DNB-rapport stelt verder dat banken op dit moment soms onnodig bepaalde gegevens bij klanten opvragen, uit angst om berispt te worden door de toezichthouder. Een dergelijke, te strikte interpretatie van de Wwft door een bank kan leiden tot een disproportionele belasting van klanten. Dat banken soms (te) veel informatie bij hun klanten opvragen, is mogelijk te wijten aan de strikte handhavingspraktijk die DNB erop nahoudt (zoals in deze zaak dus het geval was).

Een ander gevolg van deze uitspraak zou kunnen zijn dat banken meer durven te experimenteren met AI bij het verrichten van het cliëntonderzoek. De uitspraak van het CBb biedt hiervoor de ruimte, en ook DNB geeft in het DNB-rapport aan voorstander te zijn van de inzet van digitale technieken (waaronder AI) bij het verrichten van cliëntenonderzoek. De bankensector verricht dit onderzoek op dit moment volgens de (te) strikte eisen van DNB en dat heeft er mede toe geleid dat inmiddels zo’n 15 tot 20 procent van het bankpersoneel bij de grootbanken bezig is met witwasbestrijding. Met AI kan het tijdrovende en arbeidsintensieve cliëntenonderzoek mogelijk op een meer efficiëntere en effectievere wijze worden verricht en dit levert een lastenverlichting op voor de sector. Uiteraard geldt hierbij wel dat de inzet van AI met de nodige waarborgen moet zijn omgeven. Als het cliëntenonderzoek met behulp van AI sneller (en beter) kan worden verricht, zal dit hopelijk ook bijdragen aan het verminderen van onnodige de-risking en dat is in het belang van zowel de bank als de cliënt.