A closer look: het virtuele IBAN

Door: Erik Reissenweber, AML-specialist AMLC

7 mei: aanvulling verwerkt in artikel nav nieuwe AMLD

25 mei: aanvulling verwerkt in verband met publicatie European Banking Authority

Voor betalingen gebruiken we al ruim 25 jaar het International Bank Account Number (IBAN). Het virtuele IBAN kwam daar later bij en biedt kennelijk toegevoegde waarde. Wat is precies een virtuele IBAN en waarom beschrijft de European Banking Authority de uitgifte en het gebruik van het virtuele IBAN door betaalinstellingen als een opkomend integriteitsrisico^[1] zoals witwassen? Tijd voor het AMLC om de beginselen van het virtuele IBAN onder de loep te nemen.

Het reguliere IBAN

Om iets van het virtuele IBAN te begrijpen, beginnen we onze uitleg bij de reguliere ofwel ‘fysieke’ IBAN. Rond 1997 werd het IBAN de internationale standaard voor het noteren van bankrekeningnummers met als doel het internationale betalingsverkeer te vereenvoudigen. De meeste Europese landen gebruiken het IBAN, alsmede enkele andere landen in het Midden-Oosten en het Caribisch gebied waaronder Mauritius, de Britse Maagdeneilanden, de Seychellen en de Verenigde Arabische Emiraten. In juli 2023 gebruikten 86 landen het IBAN-nummeringssysteem volgens de beherende partij voor het IBAN-format, de Society for Worldwide Interbank Financial Telecommunication (SWIFT).

Het IBAN bestaat uit een alfanumerieke code van maximaal 34 tekens die uniek is voor de bankrekening van een klant. De informatie in het IBAN vertelt een betalingsprovider waar een betaling naartoe moet. De eerste twee tekens zijn letters die staan voor de landcode. De tweede twee tekens zijn controlecijfers. De resterende tekens bestaan uit de binnenlandse bankgegevens, ook bekend als Basic Bank Account Numbers (BBAN). Het BBAN past binnen de IBAN standaard, maar elk land kan zelf bij SWIFT aangeven welk format het land gebruikt voor het BBAN. Het BBAN bestaat doorgaans uit een bankidentificatiecode, een branche- of sorteercode en een rekeningnummer met een vaste positie en lengte per land.

Afbeelding: een voorbeeld van een Nederlandse IBAN. De bankcode en het rekeningnummer vormen in de Nederlandse situatie dus samen het BBAN. Het format van het BBAN verschilt per land.

Het IBAN maakt automatische controle bij het punt van invoer mogelijk, zodat fouten met de invoer van bankrekeningnummers tot een minimum worden beperkt. Om te controleren of een IBAN voldoet aan de vereisten, moeten banken formeel naar de uitgever voor de controle. Men kan ook gebruik maken van tools van SWIFT of een openbare IBAN-controletool, zoals www.ibancalculator.com. Op deze website kun je een IBAN invoeren, verifiëren of het een geldige IBAN is en kan de gebruiker informatie vinden over de financiële instelling die het IBAN uitgaf.

Het virtuele IBAN

Een virtuele IBAN (vIBAN) is in principe een code waarbij het unieke referentienummer het format van een echte IBAN nabootst. Het vIBAN bestaat, sterk gelijkend op het IBAN, doorgaans (maar hoeft niet!) uit:

• een code voor de (bedrijfs)naam;
• de unieke identificatiecode voor een specifieke financiële instelling;
• en daarnaast weer ruimte voor de BBAN.

vIBANs zijn geen echte bankrekeningen. Dit lijkt misschien voor de hand liggend, maar het wordt vaak verward.[2] Als we een IBAN vergelijken met het volledige woonadres van een natuurlijke- of rechtspersoon, dan kun je een vIBAN zien als een postbusadres. Bij een postbus wordt post doorgaans 'doorgestuurd' naar een werkelijk adres. Zo worden inkomende transacties op een vIBAN doorgestuurd naar een IBAN, de werkelijke bankrekening van de klant. Bij vIBANs kunnen aanvullende (financiële) diensten worden geboden door de uitgever van de vIBAN.

Het vIBAN is een relatief nieuw begrip, maar het idee erachter wordt al veel langer gebruikt. Denk aan betaalinstellingen die de betalingen voor meerdere winkeliers afhandelen. De betaalinstelling houdt een boekhouding bij en weet op basis daarvan welke winkelier aanspraak maakt op welk deel van het totaalbedrag op de bankrekening van de betaalinstelling^[3]. De betaalinstelling maakt dan om boekhoudkundige redenen voor elke winkelier een unieke virtuele rekening aan. Dit zijn dus geen bankrekeningen met een betaalpas en mogelijkheid om rood te staan maar er kunnen wel overboekingen worden gedaan tussen deze virtuele rekeningen. Dit zijn slechts bewegingen tussen virtuele grootboekposities in de boekhouding van de betaalinstelling. Het idee van deze virtuele rekeningen is doorontwikkeld tot het concept van het vIBAN als postbusadres.

Voordelen van het gebruik van een vIBAN

Aanbieders van vIBANs prijzen het gebruik van vIBANs aan door erop te wijzen dat het winkeliers onder andere helpt hun directe reconciliatie te verhogen en inningen te centraliseren. Daarnaast wekt het gebruik van een vIBAN mogelijk vertrouwen bij de consument en zijn enkele toepassingen denkbaar bij internationaal betalingsverkeer.

Reconciliatie

Reconciliatie is in deze context de term die wordt gebruikt voor het bancaire proces waarbij een bij de winkelier inkomende betaling automatisch boekhoudkundig wordt verwerkt. Als reconciliatie plaatsvindt op basis van een door de betaler in te voeren referentienummer of klantnummer kunnen daarbij (type)fouten worden gemaakt, waardoor automatische reconciliatie mogelijk faalt. Maar als de winkelier bepaalde klantgroepen bepaalde vIBANs toewijst (bijvoorbeeld aan klantgroepen die maandelijks resp. jaarlijks hun abonnement betalen) vindt doorgaans een solide controle^[4] tijdens de invoer plaats op het format van de vIBAN, waardoor inkomende betalingen betrouwbaarder kunnen worden gelabeld en afgehandeld.

Centraliseren van inningen

Met het centraliseren van inningen wordt bedoeld dat een winkelier redelijk eenvoudig en voordelig richting zijn of haar klanten verschillende vIBANs kan communiceren voor het ontvangen van betalingen waarbij reeds vooraf een boekhoudkundige scheiding wordt aangebracht in soorten betalingen, maar waarbij de vIBANs wel zijn gekoppeld aan slechts één bankrekening, waarmee de winkelier kan besparen op kosten voor bankrekeningen en handmatige reconciliatie.

Vertrouwen van consumenten

Klanten van winkeliers die betalingen door een betaaldienstverlener laten verwerken, betalen doorgaans richting de bankrekening van de stichting derdengelden van de betaalinstelling. Voor de consument kan dit verwarrend zijn; die koopt bij winkelier A, ziet dat betaalinstelling B de betaling afhandelt en betaalt naar een stichting derdengelden C, behorend bij betaalinstelling B. Vanuit het oogpunt van de consument werkt een vIBAN op dezelfde wijze als een gewone IBAN-rekening. Een vIBAN kan op naam staan van de winkelier, wat voor de consument logischer is. De betaalinstelling verwerkt op de achtergrond alsnog de betaling.

Overigens had onze Nederlandse betaalmethode iDeal al een oplossing voor dit probleem bedacht: het gebruik van sub-ID’s waarbij op het bankafschrift van de betaler zowel de betaalinstelling als de winkelier zichtbaar is.

Internationale transacties

Als de betaalinstelling of winkelier is gevestigd in land A en de consument betaalt in land B, dan kan de winkelier de consument een vIBAN van land B laten gebruiken. Op de achtergrond komt het geld dan alsnog binnen bij de winkelier, via de routering service van de betaalinstelling. Het hebben van een fysieke vestiging in een bepaald land brengt hogere kosten en verplichtingen met zich mee voor een financiële instelling. Daarom bieden internationale betaalinstellingen onderling elkaar ook weer (ranges van vIBANs) aan.^[5]

Valuta conversie

Daarnaast prijzen leveranciers het gebruik van meerdere vIBANs aan voor het verwerken van betalingen in verschillende valuta. Het reguliere IBAN komt overeen met een bankrekening waarmee geld wordt ontvangen en verstuurd in één valuta. Winkeliers kunnen bijvoorbeeld voor de ontvangst en betaling van transacties in USD, GBP, JPY en EUR ieder een vIBAN laten aanmaken. Transacties die binnenkomen op deze vIBANs worden direct door de vIBAN-uitgevende bank automatisch geconverteerd en doorgeleid naar één enkele Euro IBAN.[6]

Uitgifte vIBAN

Uitgifte van een vIBAN valt momenteel niet onder nationale dan wel internationale afspraken of wetgeving. Diensten die gekoppeld worden aan vIBANs hangen wel samen met de vergunningen van de uitgever van de vIBAN.

vIBANs worden geleverd met uiteenlopende diensten, afhankelijk van de vergunningen van de aanbieder:

• persoonlijke IBAN, dus een betaalrekening (inclusief de mogelijkheid binnenlandse betalingen te doen);
• verschillende valuta bankrekeningen;
• virtuele of fysieke debetcards;
• valuta wisseldiensten;
• het kunnen doen van Europese of wereldwijde betalingen.

In de basis opent een daartoe vergunde financiële instelling (de aanbieder) voor diens klant een fysieke rekening ofwel ‘masterrekening’. Vervolgens kan deze financiële instelling vIBANs aanmaken en die dan koppelen aan de masterrekening. De subrekeningen kunnen technisch worden bijgehouden in het systeem van de aanbieder.

Geldstromen worden weerspiegeld in zowel de afschriften van de masterrekening (de ‘echte’ fondsen) als ook de subrekeningen, die slechts een ‘virtuele’ tegenhanger zijn van de fondsen op de masterrekening. De combinatie van masterrekening (met IBAN) en de vIBANs maakt de uitgebreidere functionaliteit van de subrekeningen zoals currency conversion mogelijk. Er zijn contracten nodig (de dunne pijlen in de afbeelding hieronder) waarin de aanbieder en bankrekeninghouder afspraken vastleggen over de dienstverlening die bij de vIBANs en de masterrekening wordt geleverd.

Voor een klant/winkelier zijn vIBANs verkrijgbaar bij vergunninghoudende en niet vergunninghoudende instellingen. Dat lijkt vreemd, maar in het geval van een niet vergunde instelling heeft de niet vergunninghoudende partij zoals hierboven beschreven een contract met een vergunninghoudende instelling (een bank, elektronischgeldinstelling of betaalinstelling) die op de achtergrond de vIBANs levert aan de niet-vergunninghoudende instelling.

Zoals in de alinea over internationale transacties al kort werd aangestipt kunnen instellingen vIBANs aan elkaar ‘verhuren’ tot de vIBAN in gebruik wordt genomen door een eindgebruiker.

Een voorbeeld: de bankrekening aanbieder (partij 1) kan een aantal generieke vIBANs aanmaken, deze ‘verhuren’ aan een (vergunninghoudende betaal-)instelling (partij 2) die de vIBANs weer ter beschikking stelt aan een volgende instelling (partij 3) die tenslotte de vIBANs levert aan de eindgebruiker (partij 4).[7]

Een andere mogelijkheid is dat verschillende vIBANs naar elkaar verwijzen, waarbij er een soort waterval aan doorverwijzingen ontstaat tot een bedrag uiteindelijk op een IBAN aan komt.

Routering transacties met het vIBAN

Voor de financiële instelling die de transactie richting een vIBAN initieert werkt de transactie op gelijke wijze als bij een normale IBAN, als de vIBAN inderdaad het vereiste format heeft. Op basis van de informatie in het vIBAN (zoals landcode en instellingcode) wordt bij een interbancaire betaling het geld bijgeschreven op een rekening van de vIBAN van de uitgevende bank. Zodra de betaling daar binnenkomt, zal die instelling de betaling intern en dus buiten zicht van andere banken verwerken en toekennen aan het saldo van de masterrekening. Daarmee kan de betaling geheel verwerkt zijn, maar de bankrekeninghouder kan dat bedrag nog administratief toebedelen aan een specifieke klant die de vIBAN gebruikt. Die klant zal het bedrag dan op zijn virtuele bankrekening zien verschijnen.

Integriteitsrisico's met het vIBAN

Het onderwerp vIBANs behoeft aandacht vanuit witwasperspectief om uiteenlopende redenen, die hierboven zijn behandeld:

• er bestaan geen afspraken of wetgeving die uitgifte en gebruik van vIBANs regelt;
• de identiteit van de eigenaar van de vIBAN en de onderliggende masterrekening valt lastig vast te stellen, temeer daar:
  • meerdere partijen in de keten kunnen zitten tussen enerzijds de eigenaar van de vIBAN en anderzijds de uitgever van de vIBAN en
  • gekoppelde vIBANs in een keten van vIBANs naar elkaar kunnen verwijzen en beheerd door niet-banken en
  • een centraal register van vIBANs ontbreekt vooralsnog ^[8], artikel 14 van de toekomstige AMLD (blz. 43 van de proposal) wijst op verplichte invoering van een dergelijk register.
    (7-5-'24 toegevoegd);
• een vIBAN lijkt te wijzen op vestiging van de ontvanger van de transactie in een bepaald land, maar dat hoeft dus niet het geval te zijn;
• een vIBAN hoeft niet te onderscheiden te zijn van een ‘echte’ IBAN;
• aan een vIBAN valt niet af te leiden welke financiële diensten bij de vIBAN worden geleverd, wat op zich ook het geval is bij een IBAN, maar gezien de bovenstaande punten kan dit een extra verhullende werking hebben.

Integriteitsrisico’s gerelateerd aan het vIBAN zijn mede afhankelijk van de functionaliteiten die worden geleverd bij het vIBAN. De European Banking Authority schrijft over vIBAN (vertaald uit het Engels):

“AML/CFT-toezichthouders benadrukken de uitgifte en het gebruik van virtuele internationale bankrekeningnummers (vIBAN's) door betalingsinstellingen als een opkomend risico.” ... “Het gebruik van vIBAN's creëert ML/TF-risico's omdat ze de geografie versluieren waar de onderliggende rekening zich bevindt en dit dreigt leemtes te creëren in het toezicht. Het kan ook betekenen dat betaalinstellingen niet voldoen aan het toepasselijke AML/CFT-kader.”

Suggesties voor professionals bij onderzoek naar vIBAN

Onderstaande suggesties zijn gericht aan de verschillende professionals bij publieke en private partijen die werken met vIBANs:

• Voor het achterhalen van de identiteit van de eigenaar van een vIBAN is bij ons nog geen shortcut bekend. De voorlopig snelste route is waarschijnlijk het gebruik van een online tool^[9] die die de mogelijkheid biedt om na te gaan welke instelling het vIBAN heeft uitgegeven. Eén van die tools is www.ibancalculator.com. Of dit in alle vIBAN gevallen werkelijk tot een hit zal leiden valt nog te bezien, deze suggestie is nog niet uitgebreid in de praktijk getest.
• Financiële instellingen die op enige wijze vIBANs aanbieden zullen zich goed moeten afvragen hoe de integriteitsrisico’s gemitigeerd kunnen worden, vooral bij grensoverschrijdende dienstverlening en meerdere partijen in de keten. Op zijn minst is uitgebreide CDD op zijn plaats.
• Financiële instellingen zouden moeten overwegen of en zo ja onder welke voorwaarden intermediaire vIBANs worden toegestaan in verband met de verhulling van geldstromen.
• Financiële instellingen die op enige wijze vIBANs aanbieden zullen onderling duidelijke afspraken moeten maken betreffende naleving Wwft-verplichtingen, rekeningblokkades, beslagleggingen en naleving Transfer of Funds Regulation.
• Financiële instellingen zouden het inrichten van een centraal register naar Duits voorbeeld nader kunnen onderzoeken.
• Indien bankrekeningen worden gebruikt voor verificatie van de identiteit van een klant in het kader van KYC processen is het van belang te beseffen dat het opgegeven bankrekeningnummer een vIBAN kan zijn. Dit zou moeten worden nagevraagd bij die controle.

Voetnoten

^[1] https://www.eba.europa.eu/sites/default/files/document_library/Publications/Reports/2023/1056453/Report%20on%20ML%20TF%20risks%20associated%20with%20payment%20institutions.pdf , pagina 12 (maart 2024) + https://www.eba.europa.eu/publications-and-media/press-releases/eba-finds-divergences-issuance-and-regulation-virtual-ibans-across-eu-identifies-issues-and-provides (24 mei 2024)

[2] Zelfs als een virtueel rekeningnummer een Nationale Bank Code (NBC) en rekeningnummer bevat, maakt dit het nog geen bankrekening.

^[3] in Nederland is dat een rekening van een stichting derdengelden. Betaalinstellingen zijn verplicht binnenkomende gelden veilig te stellen van faillissement van de betaalinstelling. Zij mogen niet, zoals een bank dat doet, het geld gebruiken om leningen te verstrekken of investeringen te bekostigen. Voor die veiligstelling gebruiken zij een stichting derdengelden.

^[4] Invoerfouten kunnen worden ondervangen door een controlegetal in te bouwen, voor het IBAN is dat positie 3 en 4 en dat wordt gedaan volgens het Modulo 97-10-formaat. De uitkomst is het controlegetal van het IBAN. Een sluitende controle is pas mogelijk wanneer er een mondiale/EER verplichting is tot de controle van die nummers. Banken controleren IBAN's omdat ze ze anders niet kunnen verwerken.

^[5] https://www.mdpi.com/1911-8074/15/12/566

[6] Het is ons niet geheel duidelijk of het gebruik van vIBANs hierbij werkelijk voor de winkelier een kostenbesparing oplevert, aangezien voor aanmaak, gebruik en valuta conversie bij vIBANs ook kosten worden gerekend. Het kostenaspect van vIBANs laten we in dit artikel buiten beschouwing.

[7] Welke consequenties dit heeft voor het format van het vIBAN is onduidelijk. Het lijkt aannemelijk dat de klantcode in de IBAN niet zal verwijzen naar partij 4, maar naar partij 1.

^[8] Op een enkele uitzondering zoals Duitsland na.

^[9] Volg daarbij als opsporingsdienst de gebruikelijke instructies op voor het afschermen van gegevens en gebruik eventueel een beveiligde VPN verbinding.