Vereist AML-compliance het detecteren van valse documenten?

Ja — de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) verplicht instellingen expliciet om de identiteit van cliënten te verifiëren met betrouwbare en onafhankelijke bronnen. Een vervalst document is per definitie geen betrouwbare bron. Wie een onboarding doorloopt op basis van een gefabriceerd of gemanipuleerd identiteitsbewijs, voldoet niet aan de Wwft — ongeacht of de instelling dat wist. De detectie van valse documenten is daarmee geen technische extra, maar een wettelijke kerntaak.

Dit artikel legt uit wat de Wwft concreet verlangt, hoe documentvervalsing de naleving ondermijnt, wat De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) in de praktijk verwachten, en welke maatregelen instellingen kunnen treffen om hun documentverificatieproces afdoende te beveiligen.

Dit artikel is uitsluitend bedoeld ter informatie en vormt geen juridisch, financieel of regelgevend advies. De regelgevende verwijzingen zijn actueel op de publicatiedatum. Raadpleeg een gekwalificeerde professional voor begeleiding die is afgestemd op uw specifieke situatie.

Wat de Wwft zegt over documentverificatie

Artikel 3 Wwft legt elke meldingsplichtige instelling de verplichting op om de identiteit van de cliënt te verifiëren op basis van documenten, gegevens of informatie uit betrouwbare en onafhankelijke bronnen — een verplichting die rechtstreeks voortkomt uit FATF Aanbeveling 10 en wordt versterkt door de Richtlijn (EU) 2024/1640 (6e Anti-witwasrichtlijn).

Het cliëntenonderzoek (Customer Due Diligence, CDD) onder de Wwft kent drie intensiteitsniveaus, afhankelijk van het risicoprofiel van de cliënt en de transactie:

De kerneis in alle drie niveaus is identiek: de gebruikte documenten moeten betrouwbaar en onafhankelijk zijn. De Wwft geeft geen uitputtende lijst van geaccepteerde documenten, maar stelt als functioneel criterium dat de instelling in staat moet zijn de identiteit van de cliënt met voldoende zekerheid vast te stellen. Een vervalst paspoort of een gemanipuleerde identiteitskaart voldoet structureel niet aan dit criterium — het document is immers niet wat het lijkt te zijn.

Naast de initiële identificatieplicht verlangt Art. 3 lid 2 Wwft dat instellingen hun cliëntenonderzoek actueel houden. Dit betekent dat ook bij heridentificatie of periodieke hertoetsing dezelfde eisen voor documentbetrouwbaarheid gelden. Instelling die uitsluitend op initieel ontvangen documenten vertrouwen zonder herontdekking van vervalsingsrisico's bij latere contactmomenten, creëren een onbeheerd nalevingsgat.

De aanstaande toepassing van de Anti-witwasverordening (EU) 2024/1624 — rechtstreeks toepasselijk vanaf 10 juli 2027 — zal de identificatievereisten verder aanscherpen, onder meer door geharmoniseerde normen voor de technische betrouwbaarheid van verificatiemiddelen bij op afstand uitgevoerd cliëntenonderzoek.

Waarom vervalste documenten de Wwft-verplichting ongeldig maken

Een vervalst identiteitsdocument maakt het volledige cliëntenonderzoek juridisch onwerkzaam, omdat de instelling een niet-bestaande of anders geïdentificeerde persoon heeft geaccepteerd als geverifieerde cliënt — in strijd met Art. 3 Wwft en FATF Aanbeveling 13 inzake het melden van ongebruikelijke transacties.

Documentvervalsing bij witwaspogingen volgt herkenbare patronen. De FIOD (Fiscale Inlichtingen- en Opsporingsdienst) en de Financial Intelligence Unit Nederland (FIU-Nederland) signaleren de volgende typologieën met regelmaat:

Identiteitsdocumentmanipulatie is de meest voorkomende categorie. Hierbij worden echte documenten gewijzigd — een pasfoto vervangen, een geboortedatum aangepast, of een adresvermelding gewijzigd om de werkelijke identiteit van de drager te maskeren. Uit interne analyse van CheckFile blijkt dat meer dan 40% van de documentfraudepogingen betrekking heeft op identiteitsdocumenten waarbij beveiligingskenmerken zijn gemanipuleerd.

Synthetische identiteiten combineren echte persoonsgegevens (zoals een geldig burgerservicenummer) met vervalste fotografische of biometrische elementen. Deze aanpak is bijzonder gevaarlijk omdat een oppervlakkige gegevenscheck geen alarm slaat: de gegevens bestaan, maar de persoon die zich presenteert is niet de rechtmatige houder.

Vervalste ondersteunende documenten — zoals gefabriceerde loonstroken, bankafschriften of belastingaanslagen — worden ingezet om de herkomst van vermogen te onderbouwen bij verscherpt cliëntenonderzoek. Hoewel deze documenten zelf geen identiteitsbewijs zijn, maken ze deel uit van het verificatiedossier en vallen ze onder de betrouwbaarheidseis van de Wwft.

Documentlening en identiteitsfraude betreft het gebruik van echte documenten van derden — een familielid, een stroman — om een illegale cliëntrelatie te maskeren achter een schijnbaar legitieme identiteit. Dit patroon is moeilijker te detecteren via documentonderzoek alleen en vereist aanvullende gedragsmatige monitoring.

Wanneer één van deze vervalsingstechnieken succesvol wordt ingezet, heeft de instelling feitelijk een anonieme of valse cliënt geaccepteerd. De juridische consequentie is dat het gehele CDD-dossier als ongeldig moet worden beschouwd, omdat het gefundeerd is op een onbetrouwbare bron — wat de Wwft uitdrukkelijk verbiedt.

Wat DNB en AFM in de praktijk verwachten

DNB en AFM verwachten dat meldingsplichtige instellingen beschikken over gedocumenteerde, risicogebaseerde procedures voor documentverificatie die daadwerkelijk in staat zijn vervalsingen te detecteren — en niet slechts de aanwezigheid van een document registreren.

De Nederlandsche Bank oefent als prudentieel toezichthouder toezicht uit op banken, verzekeraars, pensioenfondsen en betaalinstellingen in het kader van de Wwft. DNB heeft in haar Good Practices-publicaties herhaaldelijk benadrukt dat een louter administratieve documentcontrole — waarbij een medewerker het document visueel beoordeelt en kopieert zonder inhoudelijke verificatie — onvoldoende is. DNB verwacht:

• Procedures die specifiek gericht zijn op het vaststellen van de authenticiteit van identiteitsdocumenten, niet alleen de aanwezigheid ervan.
• Gebruik van verificatiehulpmiddelen die beveiligingskenmerken controleren, zoals watermerken, UV-reactieve elementen, microdruk en de machineeleesbare zone (MRZ).
• Gedocumenteerde escalatiepaden voor twijfelgevallen, inclusief vastlegging van de gevolgde beslissing en de overwegingen.

DNB heeft in het verleden substantiële handhavingsmaatregelen genomen tegen instellingen die tekortschoten in hun Wwft-naleving. Voorbeelden van gepubliceerde maatregelen omvatten aanwijzingen, last onder dwangsom en bestuurlijke boetes die kunnen oplopen tot het wettelijk maximum van 5 miljoen euro per overtreding — of, in geval van herhaald of ernstig tekortschieten, een percentage van de jaaromzet. Onder het aanstaande AMLD6-kader stijgt dit maximum naar 10 miljoen euro of 10% van de jaaromzet.

De AFM houdt toezicht op een deels overlappende populatie — vermogensbeheerders, beleggingsondernemingen, crowdfundingplatforms — en hanteert vergelijkbare verwachtingen. Beide toezichthouders toetsen bij onderzoeken of de instelling niet alleen beschikt over beleid op papier, maar ook of dit beleid aantoonbaar wordt geïmplementeerd in het dagelijkse acceptatieproces.

Een specifiek toetspunt bij DNB-onderzoeken betreft de toereikendheid van het documentenonderzoek bij op afstand uitgevoerd cliëntenonderzoek (remote onboarding). Hier is het risico op documentfraude structureel hoger, omdat de instelling het fysieke document niet in handen heeft. DNB verwacht dat instellingen die op afstand onboarden beschikken over technische maatregelen die dit verhoogde risico compenseren — waaronder geautomatiseerde authenticatietechnologie.

Goede praktijken voor het detecteren van valse documenten

Effectieve detectie van vervalste documenten vereist een gelaagde aanpak waarbij handmatige en geautomatiseerde verificatie elkaar aanvullen, en waarbij het risiconiveau van de cliëntrelatie bepaalt welke controlemechanismen worden ingezet.

Handmatige versus geautomatiseerde verificatie

Handmatige documentcontrole — waarbij een getrainde medewerker het fysieke document beoordeelt op beveiligingskenmerken — is effectief bij in-persoon onboarding voor hoog-risico-cliënten. De beperkingen zijn echter aanzienlijk: menselijke verificatie is arbeidsintensief, inconsistent bij grote volumes, en biedt geen bescherming tegen digitaal vervalste documenten die worden ingediend bij remote onboarding.

Geautomatiseerde documentverificatiesystemen bieden een schaalbare aanvulling. Dergelijke systemen analyseren:

• De machineeleesbare zone (MRZ) op overeenstemming met de visuele gegevens op het document.
• Metadata van digitaal ingediende bestanden op tekenen van bewerking (bijv. inconsistente pixeldichtheid, afwijkende EXIF-data, artifacten door opslaan na manipulatie).
• Beveiligingskenmerken via UV- en infraroodanalyse, voor zover de technische aanlevering dit toelaat.
• Documenttemplates — elk nationaal identiteitsdocument heeft vaste opmaakelementen; afwijkingen hiervan zijn een sterke indicator van vervalsing.

Waarschuwingssignalen bij identiteitsdocumenten

Bepaalde kenmerken verhogen de kans op vervalsing aanzienlijk en rechtvaardigen een escalatie naar verscherpt onderzoek:

• Inconsistentie tussen de MRZ-gegevens en de visuele gepersonaliseerde data op het document.
• Pixelafwijkingen of herscherping rondom de pasfoto of persoonsgegevens, zichtbaar bij digitale indiening.
• Documentformaat of -lay-out die niet overeenkomt met de officiële specificaties voor het opgegeven uitgevende land en documenttype.
• Overdreven hoge resolutie van specifieke documentelementen in combinatie met een lage algehele beeldkwaliteit — een typisch kenmerk van digitale compositie.
• Ontbrekende of slecht gereproduceerde beveiligingselementen zoals hologrammen, guillochépatronen of kinegrafische strips.

AI-detectie als aanvulling op het verificatieproces

Kunstmatige intelligentie biedt mogelijkheden die handmatige verificatie niet kan evenaren — met name bij de detectie van deepfake-identiteitsdocumenten en synthetische beeldelementen. CheckFile's AI-detectieplatform analyseert ingediende documenten op forensische inconsistenties die onzichtbaar zijn voor het blote oog, waaronder generatieve-AI-artefacten bij synthetisch geproduceerde documenten.

De inzet van AI-gestuurde documentverificatie bij remote onboarding is inmiddels een marktstandaard geworden. Instellingen die uitsluitend op visuele inspectie vertrouwen bij digitale documentindiening, lopen een structureel verhoogd risico op succesvolle fraudepogingen — een risico dat toezichthouders als DNB expliciet bij het nalevingsrisico rekenen.

Voor een volledige implementatiegids, zie ook Gids documentcompliance en de meer gedetailleerde bespreking van AMLD6-verplichtingen voor meldingsplichtige instellingen. Aanvullende context over het bredere AML-kader vindt u in de gids anti-money laundering compliance.

Organisaties die een gecombineerd KYC- en documentverificatieproces zoeken, kunnen meer lezen over de KYC-oplossingen voor de bancaire sector of terugkeren naar de CheckFile-startpagina voor een overzicht van beschikbare verificatiediensten.

Veelgestelde vragen

Verplicht de Wwft instellingen expliciet om vervalsingsdetectietechnologie te gebruiken?

De Wwft schrijft geen specifieke technologie voor, maar verlangt dat de verificatie plaatsvindt op basis van betrouwbare en onafhankelijke bronnen, en dat de procedures toereikend zijn gelet op het risicoprofiel van de cliënt. DNB heeft in haar Good Practices duidelijk gemaakt dat louter visuele inspectie bij remote onboarding als ontoereikend wordt beschouwd. In de praktijk betekent dit dat instellingen die op afstand onboarden zonder geautomatiseerde authenticatietools, bij een DNB-onderzoek moeten kunnen aantonen waarom hun alternatieve maatregelen equivalent bescherming bieden. Dat is een aanzienlijke bewijslast.

Wat zijn de gevolgen als een instelling onbewust een cliënt met een vals document heeft geaccepteerd?

De Wwft kent een risicogebaseerde benadering, maar dit ontslaat instellingen niet van aansprakelijkheid bij het ontbreken van adequate procedures. DNB beoordeelt niet alleen of een specifieke vervalsing werd gemist, maar of het systeem en de procedures redelijkerwijs in staat waren de vervalsing te detecteren. Bij structureel ontoereikende verificatieprocedures — ongeacht of er daadwerkelijk fraude heeft plaatsgevonden — kan DNB een aanwijzing of bestuurlijke boete opleggen. Bovendien kan de instelling aansprakelijk worden gesteld voor witwastransacties die via de frauduleuze cliëntrelatie zijn verwerkt.

Geldt de detectieverplichting ook voor juridische beroepsbeoefenaren en accountants?

Ja. Notarissen, advocaten (voor zover zij onder de Wwft vallen), accountants en belastingadviseurs zijn eveneens meldingsplichtige instellingen onder de Wwft en dienen cliëntenonderzoek uit te voeren dat voldoet aan dezelfde betrouwbaarheidsnormen voor documentverificatie. De AFM houdt in bepaalde gevallen toezicht op deze beroepsgroepen, terwijl voor advocaten en notarissen de eigen beroepsorganisaties als aangewezen toezichthouders optreden.

Hoe verschilt de verplichting voor laag-risico en hoog-risico cliënten?

Het risiconiveau bepaalt de intensiteit van het cliëntenonderzoek, maar niet de fundamentele betrouwbaarheidseis voor documenten. Zelfs bij vereenvoudigd cliëntenonderzoek (Art. 6 Wwft) moeten de gebruikte documenten betrouwbaar zijn. Het verschil zit in de diepgang van verificatie en de frequentie van hertoetsing: bij standaard en verscherpt cliëntenonderzoek zijn aanvullende documentaire bronnen verplicht, worden de beveiligingskenmerken intensiever gecontroleerd, en is de monitoringfrequentie hoger.

Wat moet een instelling doen als zij een vervalst document ontdekt tijdens onboarding?

De instelling dient de onboarding onmiddellijk te staken en geen zakelijke relatie aan te gaan. Vervolgens moet worden beoordeeld of er sprake is van een ongebruikelijke transactie in de zin van de Wwft die gemeld dient te worden bij de FIU-Nederland. Alle relevante informatie — het aangetroffen document, de omstandigheden van de poging, de gevolgde escalatieprocedure — dient te worden vastgelegd in het cliëntdossier. Afhankelijk van de ernst van de poging kan aangifte bij de FIOD of politie aangewezen zijn.

Voor waar dit risico in het CheckFile-aanbod past, zie onze AI- en deepfake-detectieaanpak.