- Een **virtueel IBAN (vIBAN)** heeft hetzelfde formaat als een gewoon IBAN, maar stuurt betalingen door naar een masterrekening die door een ander IBAN wordt geïdentificeerd: voor een derde zijn beide visueel niet te onderscheiden.
- De Europese Bankautoriteit (EBA) documenteerde dit risico in haar rapport EBA/Rep/2024/08 van mei 2024, na een gegevensverzameling die in 2023-2024 bij Europese betalingsdienstaanbieders werd uitgevoerd.
- Het centrale witwasrisico zit bij de eindgebruiker: die kan onbekend blijven bij de instelling die de masterrekening aanhoudt, vooral wanneer vIBAN's worden verspreid door een derde instelling die in een andere lidstaat gevestigd is.
- Artikel 22(3) van verordening (EU) 2024/1624 (AMLR) legt voortaan een expliciete identificatie en verificatie van de vIBAN-gebruiker op, rechtstreeks van toepassing in België vanaf 10 juli 2027.
- Een Belgische instelling die masterrekeningen aanhoudt voor betalingspartners moet het vIBAN-nummer en de opening- en sluitingsdatums van de onderliggende rekening documenteren, en de toegang tot de identiteit van de eindgebruiker contractueel vastleggen vóór de activering van de relatie.
Een identificator die op een IBAN lijkt, maar het niet is
Het virtueel IBAN heeft zich stilletjes genesteld in de Europese betalingsinfrastructuur, gedragen door de opmars van embedded finance en platformen die betaalmiddelen verspreiden zonder zelf een volledige bankvergunning te houden. Technisch gezien heeft een vIBAN exact hetzelfde formaat als een gewoon IBAN: zestien tekens in België (landcode, controlecijfer, bankcode en rekeningnummer). Het verschil speelt zich stroomopwaarts af, onzichtbaar voor de verzender van de betaling.
Een vIBAN stuurt een betaling door naar een masterrekening, zelf geïdentificeerd door een IBAN dat verschilt van het IBAN dat aan de betaler werd meegedeeld. Deze masterrekening kan op naam van de eindgebruiker van het vIBAN staan, of op naam van een derde instelling die de stromen vervolgens over meerdere cliënten verdeelt. Het is deze tweede configuratie, gedocumenteerd door de Europese Bankautoriteit (EBA) in haar rapport over virtuele IBAN's van mei 2024, die het grootste deel van het AML/CFT-risico concentreert.
Waarom de EBA aan de alarmbel trok
Het rapport van de EBA is het resultaat van een gegevensverzameling die in 2023 en 2024 werd uitgevoerd bij betalingsdienstaanbieders in verschillende lidstaten. Het vertrekt van een eenvoudige vaststelling: niets in de structuur van een vIBAN laat een derde toe het te onderscheiden van een gewoon IBAN. Een leverancier, een handelspartner of een bancaire tegenpartij die een vIBAN op een factuur of een betalingsopdracht ontvangt, heeft geen enkele manier om bij het lezen van het nummer te weten dat het om een doorgestuurde identificator gaat.
De EBA signaleert verschillende families van risico's. De eerste betreft rechtstreeks de bestrijding van het witwassen: de eindgebruiker van het vIBAN kan onbekend blijven bij de instelling die de masterrekening aanhoudt, vooral wanneer de vIBAN's worden verspreid door een derde instelling, mogelijk gevestigd in een andere lidstaat dan die van de masterrekening. Het rapport documenteert ook uiteenlopende interpretaties tussen nationale toezichthouders over de kwalificatie van een vIBAN zelf, grijze zones in de rapportering onder de richtlijn betalingsdiensten (PSD2) wanneer de eindgebruiker niet zelf houder is van de masterrekening, en risico's voor de bescherming van gebruikers die soms niet weten onder welk depositogarantiestelsel hun gelden werkelijk gedekt zijn.
| Criterium | Gewoon IBAN | Virtueel IBAN (vIBAN) |
|---|---|---|
| Verbonden rekening | Eén rekening, één IBAN, rechtstreekse overeenstemming | Stuurt door naar een masterrekening met een ander IBAN |
| Identificatie van de houder door een derde | Af te leiden uit het formaat (bankcode, landcode van de houder) | Niet af te leiden: visueel niet te onderscheiden van een gewoon IBAN |
| Wie kent de eindgebruiker | De rekeninghoudende instelling, rechtstreeks | Mogelijk een derde distributeur, niet de instelling die de masterrekening aanhoudt |
| Expliciet AML-kader vóór 2027 | Ja, standaard cliëntenonderzoek | Geen specifieke bepaling vóór de AMLR |
De AMLR vult het juridische vacuüm vanaf 2027
Tot de inwerkingtreding van verordening (EU) 2024/1624, de AMLR, definieerde geen Europese tekst het virtueel IBAN juridisch, en legde geen tekst er een eigen waakzaamheidsverplichting voor op. De AMLR neemt de door de EBA gestelde definitie over, waarbij het vIBAN wordt gekwalificeerd als een identificator die een betaling doet doorsturen naar een betaalrekening die door een ander IBAN wordt geïdentificeerd dan deze identificator, en maakt er voor het eerst een volwaardig onderwerp van waakzaamheid van.
Artikel 22(3) van de AMLR verplicht kredietinstellingen en financiële instellingen die virtuele IBAN's uitgeven om de identiteit te identificeren en te verifiëren van elke natuurlijke of rechtspersoon aan wie een virtueel IBAN voor gebruik wordt toegekend, volgens dezelfde werkwoorden als de standaardidentificatie bepaald in artikel 22(1). Omdat deze verordening rechtstreeks van toepassing is, zonder omzettingswet, zullen de betrokken Belgische instellingen hieraan onderworpen zijn vanaf 10 juli 2027, de datum van algemene toepassing van de AMLR in de 27 lidstaten.
Gegevensverzameling EBA
2023-2024De Europese Bankautoriteit ondervraagt betalingsdienstaanbieders over de uitgifte en het gebruik van virtuele IBAN's op de interne markt.
Publicatie van het EBA-rapport
Mei 2024Het rapport EBA/Rep/2024/08 documenteert de AML/CFT-risico's, de PSD2-rapporteringsproblemen en de risico's voor gebruikersbescherming, en roept op tot regelgevende verduidelijking.
Aanneming van de AMLR
31 mei 2024Verordening (EU) 2024/1624 neemt de definitie van het vIBAN over en voert in artikel 22(3) een expliciete verplichting tot identificatie van de eindgebruiker in.
Eindrapport van de AMLA over de technische norm
1 oktober 2026De AMLA bezorgt de Europese Commissie het eindrapport over het ontwerp van technische reguleringsnorm over cliëntenonderzoek, dat preciseert welke informatie voor een vIBAN-gebruiker gedocumenteerd moet worden: identiteit, vIBAN-nummer, opening- en sluitingsdatums van de onderliggende rekening. De tekst moet nog door de Commissie worden goedgekeurd vóór bekendmaking in het Publicatieblad.
Rechtstreekse toepassing in België
10 juli 2027De AMLR is van toepassing zonder omzetting: Belgische instellingen die virtuele IBAN's uitgeven, verspreiden of hosten moeten op deze datum in overeenstemming zijn.
Wat artikel 22(3) concreet oplegt
Voor een Belgische instelling valt de verplichting uiteen in drie cumulatieve elementen. Eerst de standaard identificatiegegevens die al voor elke cliënt vereist zijn krachtens artikel 22(1) van de AMLR: naam, geboortedatum of ondernemingsnummer, adres, en de gebruikelijke bewijsstukken. Vervolgens het vIBAN-nummer zelf, dat met naam aan de gebruiker gekoppeld moet worden. Ten slotte de datums van opening, en in voorkomend geval sluiting, van de onderliggende betaal- of bankrekening, met andere woorden de masterrekening.
Een ontwerp van technische reguleringsnorm over cliëntenonderzoek, opgesteld onder het mandaat van de Autoriteit voor de bestrijding van witwassen (AMLA), preciseert datzelfde drieluik voor instellingen die virtuele IBAN's aan hun cliënten toekennen. De publieke raadpleging over dit ontwerp werd in mei 2026 afgesloten, en de AMLA bezorgde haar eindrapport op 1 oktober 2026 aan de Europese Commissie: de tekst moet nog door de Commissie worden goedgekeurd en in het Publicatieblad worden bekendgemaakt voordat hij bindend wordt, maar hij bevestigt al de richting die artikel 22(3) heeft ingezet, zonder de inhoud te wijzigen.
Wat een Belgische instelling die vIBAN's uitgeeft of verspreidt moet documenteren
Volledige identiteit van de eindgebruiker
Dezelfde gegevens als voor een gewone rekeninghouder, ook wanneer de commerciële relatie door een derde partner wordt gedragen.
Nummer van het toegekende virtueel IBAN
Met naam gekoppeld aan de natuurlijke of rechtspersoon die het gebruikt, niet enkel aan het distributiekaderovereenkomst.
Opening- en sluitingsdatums van de onderliggende rekening
Verbonden masterrekening, om een snelle reconstructie van de keten mogelijk te maken bij een verzoek van de CFI.
Contractuele toegang sneller dan de wettelijke termijn van 5 werkdagen
Clausule die de partner die de vIBAN's verspreidt verplicht de identiteit van de eindgebruiker sneller door te geven dan de ondergrens die artikel 22(3) van de AMLR vastlegt.
PSD2-kwalificatie van de onderliggende rekening
Statuut verduidelijkt vóór ingebruikname, om een verschil in behandeling tussen de betalingsrapportering en het AML-dossier te vermijden.
De blinde vlek: wanneer de distributeur niet de houder van de masterrekening is
Het meest delicate geval, en datgene wat de EBA het meest benadrukt, doet zich voor wanneer de instelling die de virtuele IBAN's aan haar cliënten verspreidt, niet degene is die de onderliggende masterrekening aanhoudt. In dit opzet, frequent in banking-as-a-service-constructies, zien de instelling die de masterrekening aanhoudt stromen passeren die aan vIBAN's zijn toegewezen waarvan ze standaard noch de eindgebruiker noch de relatiegeschiedenis kent.
De AMLR laat dit punt niet louter aan contractuele onderhandeling over: artikel 22(3) voorziet al een wettelijk kanaal om dit te verhelpen. De uitgevende instelling van het vIBAN moet de identiteit van de eindgebruiker doorgeven aan de instelling die de masterrekening aanhoudt, zonder verwijl en in elk geval binnen vijf werkdagen na het verzoek van deze laatste.
Deze logica sluit aan bij wat al werd vastgelegd voor correspondentbankieren: een instelling die verrichtingen uitvoert voor rekening van een derde blijft gehouden tot waakzaamheid ten aanzien van de eindcliënt van die derde, ook wanneer ze die nooit rechtstreeks ziet. Het centraal aanspreekpunt voor bankrekeningen dat de NBB aanhoudt, heeft zijn aangiftebereik tot nu toe niet expliciet uitgebreid naar virtuele IBAN's: precies deze grijze zone vult artikel 22(3) van de AMLR op het vlak van cliëntenonderzoek al op, zonder op een gelijkaardige uitbreiding van het register te wachten.
Zich organiseren vóór de deadline van 2027
Voor een Belgische betalingsinstelling, instelling voor elektronisch geld of kredietinstelling zijn drie werven de moeite waard om nu al aan te vatten, vóór de nadering van 10 juli 2027 een geleidelijke aanpassing in een race tegen de klok verandert.
De eerste is een volledige inventarisatie van de uitgegeven of gehoste vIBAN's: hoeveel, voor welke distributiepartners, met welk huidig documentatieniveau van de eindgebruiker. De tweede is de herziening van de distributieovereenkomsten om er, op afdwingbare wijze, de verplichting in op te nemen voor de partner om de identiteit van de eindgebruiker zonder verwijl door te geven. De derde is de afstemming van het sanctiescreeningsysteem, dat moet focussen op de eindgebruiker van het vIBAN en niet enkel op de naam die in de betalingsopdracht wordt weergegeven, in lijn met wat al werd versterkt voor instantbetalingen.
Verder lezen
Het volledige kader van de AML-verplichtingen voor Belgische betalingsinstellingen wordt beschreven in onze pijlerpagina Obligations AML des établissements de paiement en Belgique. Voor een vergelijkbare waakzaamheid bij stromen waarbij de eindgebruiker door een tussenpersoon verborgen blijft, zie ook ons artikel over correspondance bancaire et l'AML en Belgique en onze analyse van het règlement sur les transferts de fonds (TFR).
Veelgestelde vragen
Wat is een virtueel IBAN (vIBAN)?
Een virtueel IBAN is een identificator met hetzelfde formaat als een gewoon IBAN, maar die betalingen doorstuurt naar een betaalrekening die door een ander IBAN wordt geïdentificeerd, de zogenaamde masterrekening. Voor een derde die deze identificator ontvangt, is een vIBAN visueel niet te onderscheiden van een gewoon IBAN, wat precies de reden is waarom de Europese Bankautoriteit (EBA) er een risicofactor in ziet.
Waarom houden virtuele IBAN's een witwasrisico in?
Het risico zit in de afstand tussen de zichtbare identificator en de werkelijke rekening: de eindgebruiker van het vIBAN kan onbekend blijven bij de instelling die de masterrekening aanhoudt, vooral wanneer de virtuele IBAN's worden verspreid door een derde instelling, mogelijk gevestigd in een andere lidstaat. De EBA documenteerde dit risico in haar rapport van mei 2024, dat ook wijst op uiteenlopende interpretaties tussen nationale toezichthouders en op lacunes in de PSD2-rapportering wanneer de gebruiker niet zelf houder is van de masterrekening.
Wat verandert de AMLR voor virtuele IBAN's in België?
Artikel 22(3) van verordening (EU) 2024/1624 verplicht kredietinstellingen en financiële instellingen die virtuele IBAN's uitgeven om de identiteit te identificeren en te verifiëren van elke natuurlijke of rechtspersoon aan wie zo'n IBAN wordt toegekend, op hetzelfde niveau als voor een gewone rekeninghouder. Deze verordening is rechtstreeks van toepassing in de 27 lidstaten, inclusief België, vanaf 10 juli 2027, zonder nationale omzetting.
Welke informatie moet een Belgische instelling documenteren voor een vIBAN-gebruiker?
Naast de standaard identificatiegegevens die voor elke cliënt vereist zijn (artikel 22(1) van de AMLR), moet het dossier het aan de persoon toegekende vIBAN-nummer bevatten, en de datums van opening en, in voorkomend geval, sluiting van de onderliggende betaal- of bankrekening. Het ontwerp van technische reguleringsnorm over cliëntenonderzoek, waarvan de AMLA op 1 oktober 2026 het eindrapport aan de Europese Commissie heeft overgemaakt, neemt datzelfde drieluik van informatie over; de tekst moet nog door de Commissie worden goedgekeurd en in het Publicatieblad worden bekendgemaakt voordat hij bindend wordt.
Wie is verantwoordelijk voor de identificatie van de eindgebruiker wanneer het vIBAN door een derde wordt verspreid?
Dit is een van de knelpunten die de EBA aanhaalt: wanneer het virtueel IBAN wordt verspreid door een andere instelling dan die welke de masterrekening aanhoudt, moet deze laatste toch de identiteit van de eindgebruiker kunnen verkrijgen. Artikel 22(3) van de AMLR verplicht de uitgevende instelling van het vIBAN reeds om deze identiteit zonder verwijl en in elk geval binnen vijf werkdagen na het verzoek door te geven. Een Belgische instelling die masterrekeningen aanhoudt voor betalingspartners heeft er dus baat bij contractueel een snellere toegang te organiseren, in plaats van deze wettelijke termijn pas te ontdekken op het moment van een incident.
Verwante artikelen
AML-verplichtingen van de gerechtsdeurwaarder in België: CFI-melding
AML-verplichtingen van de Belgische gerechtsdeurwaarder: cliëntenonderzoek, beslagprocedures, melding aan de CFI via goAML en de overgang naar de AMLR 2027.
Bankoverschrijvingen in België: de verplichtingen van de TFR-verordening
Verordening (EU) 2023/1113 (TFR) verplicht Belgische PSP's om bij elke overschrijving informatie over de betaler en de begunstigde te voegen, op straffe van weigering of melding aan de CFI.
Pecuniaire sancties AML in België : de RTS-methodologie van de AMLA
Ernstindicatoren, berekeningscriteria en dwangsommen : de nieuwe technische norm van de AMLA legt uit hoe de NBB en de FSMA uw pecuniaire AML-sancties vanaf 2027 zullen bepalen.