Hoe een goed opgezette KYC-campagne er daadwerkelijk uitziet

Bij een periodieke review of een remediatiecampagne heb je het regelgevende kader al onder controle. Je weet wat je moet verzamelen en tegen wanneer. Wat het team echt bezighoudt, is het operationele werk: duizenden bestaande klanten zover krijgen dat ze reageren, en vervolgens alles wat terugkomt controleren en documenteren. Dat volume verwerken, en achteraf bij een audit kunnen aantonen dat het goed is gebeurd, dat is het eigenlijke werk. Handmatig of via een mailmerge gedaan, is het traag en uitputtend, en het blijft wekenlang op het team drukken.

Het responsprobleem is het deel dat makkelijk wordt onderschat. The Financial Brand meldt dat banken ongeveer 60 procent van potentiële klanten verliezen aan onboarding die te complex of te traag aanvoelt, en dat waren gemotiveerde nieuwe klanten. Bij een reviewcampagne benader je bestaande klanten die niets voor de hand liggends winnen bij een reactie, waardoor diezelfde wrijving harder aankomt. Alles hierna gaat over hoe je die realiteit op schaal aanpakt.

Wat meestal "KYC-compliance software" wordt genoemd, dekt in werkelijkheid twee verschillende taken. De ene verifieert wie de klant is: sanctielijsten, PEP-controles, identiteitsdocumenten tegen een database. De andere stuurt de campagne zelf aan: duizenden bestaande klanten bereiken, verzamelen wat ontbreekt, en aantonen dat dat allemaal is gebeurd. Verificatietools gaan ervan uit dat de data er al is. Het lastigste probleem is meestal om die data er überhaupt te krijgen. Daar gaat dit artikel over.

De gebruikelijke versie

Een reviewcyclus wordt actueel, of een toezichthouder wijst op een hiaat in het klantenbestand. Iemand haalt de lijst met klanten die moeten worden bijgewerkt, en de communicatie start.

Vaak is dat een mailmerge. Er gaat een standaard-e-mail uit met een verzoek om een actueel identiteitsbewijs, een recent adresbewijs, en soms gegevens over uiteindelijk belanghebbenden. Reacties komen binnen in een gedeelde inbox. Sommige klanten sturen de juiste documenten. Veel klanten sturen een wazige foto, een verlopen paspoort, of een document in het verkeerde formaat. Enkelen reageren met de vraag waarom dit eigenlijk nodig is. De meesten reageren niet bij de eerste poging.

We hoorden een duidelijke versie hiervan van een makelaar die klantupdates volledig handmatig uitvoert, over een bestand van meer dan tienduizend klanten met een team van ongeveer tien mensen. Formulieren gaan eruit, en het team wacht op de ondertekende exemplaren die terugkomen. In hun eigen woorden: het geheel is traag en verre van de meest efficiënte manier van werken.

Vanaf daar is het handwerk. Iemand opent elke reactie, controleert of de documenten geldig zijn, en typt de gegevens in het systeem. En het is zelden één systeem. Zoals een compliancemedewerker het tijdens een gesprek verwoordde: nadat de data is verzameld, moeten ze nog steeds de AML-velden in het CRM bijwerken en het bewijs opslaan in een apart documentbeheersysteem. Onafhankelijk onderzoek zet hier echt geld tegenover. Een Forrester-studie naar de kosten van compliance rond financiële criminaliteit becijferde een jaarlijks totaal van ongeveer 61 miljard dollar in de Verenigde Staten en Canada, waarbij arbeid het grootste en snelst groeiende deel van de rekening vormt. Een flink deel van dat werk komt precies hierop neer: medewerkers die dezelfde gegevens verzamelen en opnieuw invoeren in verschillende systemen.

Het pijnlijkste deel komt aan het eind. De toezichthouder vraagt je om je werk aan te tonen: wie je hebt benaderd, wanneer, wat er is teruggekomen, en hoe dat is gecontroleerd. Als die geschiedenis verspreid staat over inboxen en spreadsheets, wordt het verzamelen van bewijs een project op zich. En de inzet is niet gering. Wereldwijde AML-boetes worden voor 2025 geschat op ongeveer 3,8 miljard dollar, nog los van de remediatietrajecten en het klantverlies die daar meestal op volgen.

De goed lopende versie doorloopt hetzelfde terrein. Wat verandert, is hoe elke stap verloopt.

Stap één: weten wie wat nodig heeft voordat je contact opneemt

Een goed lopende campagne begint met een nette segmentatie van het klantenbestand, voordat er contact wordt opgenomen. Welke klanten zijn aan een review toe, op welk risiconiveau, en wat ontbreekt of is verouderd voor elk van hen precies.

Dat laatste punt is belangrijker dan het lijkt. Een klant van wie je het adres al hebt, zou daar niet opnieuw naar gevraagd moeten worden. Als het verzoek is afgestemd op het daadwerkelijke hiaat, stijgt de respons en dalen de klachten. Je vraagt alleen wat je echt nodig hebt van die specifieke persoon.

Stap twee: het hele bestand in één keer bereiken, met een verzoek dat mensen ook echt kunnen afronden

Zodra je weet wie wat nodig heeft, gaat de communicatie uit als een gestructureerd verzoek in plaats van een gewone e-mail. Elke klant krijgt een link naar een kort formulier, afgestemd op zijn of haar situatie, toegankelijk vanaf de telefoon, in de eigen taal. Het toont precies welke documenten nodig zijn, en niets anders.

Hier wordt het onderzoek naar wrijving praktisch. Studies naar afgebroken verificaties wijzen steeds naar twee eenvoudige oorzaken: de klant had het juiste document niet bij de hand, of het proces vroeg te veel en duurde te lang. Een kort verzoek dat in een paar minuten op de telefoon kan worden afgerond, en dat kan worden opgeslagen en later hervat, haalt een groot deel van die wrijving weg.

Herinneringen worden eenmalig ingesteld en lopen vanzelf door. Een klant die na een paar dagen niet heeft gereageerd, krijgt een duwtje zonder dat iemand dat hoeft te onthouden. Dezelfde volgorde geldt voor de hele campagne, waardoor een bestand van vierduizend klanten evenveel inspanning vergt als veertig.

Stap drie: documenten lezen en controleren zodra ze binnenkomen

Documenten komen in allerlei vormen terug: scans, telefoonfoto's, pdf's, af en toe een handgeschreven pagina. In het handmatige proces opent iemand elk document, leest het, bepaalt of het geldig is, en typt de gegevens over. Bij een goed lopende campagne wordt het document bij binnenkomst gelezen en worden de belangrijkste velden automatisch uitgelezen.

De controle vindt ook vooraf plaats. Een verlopen identiteitsbewijs of een onleesbaar bestand wordt opgemerkt op het moment dat het binnenkomt, en de klant wordt meteen gevraagd het te corrigeren. Dat is belangrijker dan het klinkt, want onderzoek naar verificatietrajecten wijst uit dat klanten die worden gevraagd een document opnieuw te uploaden, veel vaker afhaken. Het probleem opvangen terwijl ze nog in het proces zitten, voorkomt dat ze afhaken. Tegen de tijd dat een compliance-analist het dossier opent, zijn de voor de hand liggende problemen al opgelost en staan de gegevens klaar.

Stap vier: de campagne in real time volgen

Dit is wat veel teams zeggen te willen hebben. Een live overzicht van de stand van de campagne, met hoeveel klanten klaar zijn en hoeveel er halverwege vastzitten of het verzoek nog niet hebben geopend.

Die zichtbaarheid verandert hoe je het werk aanstuurt. Je ziet de tweehonderd klanten die zijn begonnen en zijn blijven steken, en stuurt hen een gerichte herinnering. Je kunt je compliancemanager op elke ochtend het exacte afrondingspercentage geven. Naarmate de deadline nadert, weet je precies welke accounts nog aandacht nodig hebben.

Stap vijf: het auditspoor bijhouden terwijl je bezig bent

Elk verzonden bericht, elk ontvangen document en elke uitgevoerde controle wordt vastgelegd op het moment dat het gebeurt. Het bewijs dat de toezichthouder zal opvragen, wordt door het proces zelf opgebouwd, in volgorde, met tijdstempels.

Wanneer de review of de audit komt, is er geen paniek. Het overzicht van wie is benaderd, wat is aangeleverd, en hoe dat is gecontroleerd, staat er al en kan worden geëxporteerd.

Hoe dit er in de praktijk uitziet

Een bank moet de KYC bijwerken van ongeveer vierduizend klanten met een hoger risicoprofiel, drie maanden voor een wettelijke deadline. In plaats van een mailmerge naar een gedeelde inbox krijgt elke klant een link naar een kort formulier dat alleen vraagt naar wat in het dossier ontbreekt.

Al in de eerste twee weken laat een live dashboard het afrondingspercentage boven de zestig procent uitkomen. Klanten die het verzoek niet hebben geopend, krijgen automatisch een tweede herinnering. Documenten worden gelezen en gevalideerd zodra ze binnenkomen, waardoor verlopen paspoorten worden opgemerkt en opnieuw worden opgevraagd zonder dat een analist er iets voor hoeft te doen. De compliancemanager kan op elk moment de vraag "waar staan we?" beantwoorden, met een echt cijfer bij de hand.

Niemand heeft zijn avonden besteed aan het overtypen van gegevens tussen systemen. De campagne liep vanzelf door, en het auditspoor bouwde zichzelf onderweg op.

Wanneer te beginnen

Er is nog een reden om dit nu goed aan te pakken. Toezichthouders in heel Europa bewegen weg van de kalendergedreven periodieke review, richting continue, gebeurtenisgestuurde due diligence, wat de lat hoger legt voor hoe actueel en goed onderbouwd klantdossiers moeten zijn. De handmatige campagne stond al onder druk. Die richting vergroot die druk verder.

Het goede nieuws is dat de opbrengst groot is. PwC schat dat het automatiseren van periodieke reviews de inspanning voor een middelgrote bank met 60 tot 80 procent kan verminderen. De tools om documenten te lezen, gestructureerde verzoeken te versturen en een campagne in real time te volgen, bestaan al. De handmatige versie was afgestemd op wat een team fysiek kon bijbenen. Een goed lopende versie is afgestemd op wat de review en de klant daadwerkelijk nodig hebben.

Dit herontwerpen kost aanvankelijke inspanning, meestal in een periode waarin het team al druk is. Dat is de eerlijke afweging. Wat tijd nu, tegenover veel tijd, en veel auditrisico, later.

De meeste complianceteams weten al aan welke kant van die afweging ze liever staan. De vraag is wanneer te beginnen.

Penbox voert compliance- en KYC-campagnes uit bovenop de systemen die je al gebruikt, zodat dit werk op één plek gebeurt met een volledig auditspoor. Wil je eerst het bredere beeld, lees dan wat dossierbeheer betekent.