AML en KYC beleid

1) Doel, reikwijdte en principes

Doel. Het implementeren van een op risico’s gebaseerd AML/KYC-programma dat voldoet aan de Wwft , de Sanctions Act 1977 , de Remote Gambling Act en de licentievoorwaarden van Saoedi-Arabië, en tegelijkertijd spelers en de integriteit van ons platform beschermt.

Reikwijdte. Alle kanalen (website, mobiele apps, backoffice), alle fasen (registratie, stortingen, gameplay, promoties, opnames, accountwijzigingen, sluiting) en alle gegevens en beslissingen van BinoBet-medewerkers en -leveranciers.

Principes.

Risicogebaseerd: controles schalen mee met het risico; er is geen one-size-fits-all-oplossing.
Proportioneel: verzamel alleen wat nodig is; minimaliseer de retentie.
Tijdig: voer controles uit voordat het risico zich manifesteert (bijvoorbeeld vóór de eerste uitbetaling).
Gedocumenteerd: beslissingen worden vastgelegd, zodat een onafhankelijke beoordelaar begrijpt wat , waarom , wie en wanneer .
Onafhankelijke MLRO: bevoegd om gameplay/betalingen te pauzeren en STR’s in te dienen bij FIU-Nederland zonder inmenging.
Geen waarschuwingen: wij maken nooit bekend wanneer er vermoedens bestaan of er een melding wordt gedaan.

2) Wettelijk en regelgevend kader

Wwft — Wet ter voorkoming van witwassen en financieren van terrorisme.
Sanctions Act 1977 en EU/VN-sanctieregelgeving.
Wet op kansspelen op afstand, licentievoorwaarden van Saoedi-Arabië, beleidsregels, reclame en richtlijnen inzake zorgplicht.
AVG/GDPR voor een rechtmatige en veilige verwerking van persoonsgegevens.
Nederlands consumenten- en burgerlijk recht (eerlijkheid, transparantie, registraties).

BinoBet volgt wetswijzigingen op de voet en werkt dit beleid en de standaardprocedures onmiddellijk bij. Wezenlijke wijzigingen worden gecommuniceerd aan medewerkers en leveranciers.

3) Bestuur, rollen en verantwoording

Raad van Bestuur — stelt de risicobereidheid vast; keurt dit beleid, de Enterprise‑Wide Risk Assessment (EWRA) en belangrijke drempelwaarden goed; ontvangt elk kwartaal AML/KYC MI-informatie.
MLRO — is eigenaar van het programma, keurt scenario’s goed, onderzoekt escalaties, registreert STR’s, kan gameplay of betalingen onderbreken, rapporteert onafhankelijk aan de Raad van Bestuur en onderhoudt contact met toezichthouders en FIU-NL.
Adjunct-MLRO — continuïteit bij afwezigheid; voert gedelegeerde taken uit.
Eerste lijn (Betalingen, Ondersteuning, VIP, Operaties, Groei) — voert CDD/EDD uit, verzamelt bewijsmateriaal, documenteert zaken en escaleert op tijd.
Tweede lijn (Compliance & Risico) — ontwerpt controles, stelt beslissingen van de eerste lijn ter discussie, voert thematische reviews uit en kalibreert drempels.
Derde lijn (interne audit) – test het ontwerp en de effectiviteit onafhankelijk, minimaal eenmaal per jaar.
Alle medewerkers : volg een training voordat ze toegang krijgen, daarna jaarlijks en ad hoc wanneer de wetgeving verandert. Meld vermoedens onmiddellijk.

Een onderhouden RACI definieert wie aanvragen indient, goedkeurt, raadpleegt en informeert voor onboarding, EDD, opnames, sanctietreffers en STR’s.

4) Risicogebaseerde benadering (RBA)

4.1 Ondernemingsbrede risicobeoordeling (EWRA)

Ten minste eenmaal per jaar , en bij materiële wijzigingen (nieuw product, betaalmethode, markt, aanbieder), beoordelen we het inherente risico voor klanten, producten, kanalen, regio’s, interfaces en levering . We evalueren de sterkte van de controle, berekenen het restrisico en stellen drempelwaarden vast voor waarschuwingen, EDD en uitbetalingsbeperkingen. De Raad beoordeelt en keurt de EWRA goed.

4.2 Klantrisicobeoordeling

Elke speler krijgt een dynamische score (Laag/Middel/Hoog/Ernstig) toegewezen bij de onboarding en continu daarna. Factoren zijn onder andere identiteitsconsistentie, apparaatrisico, betaalgedrag, stortings-/opnamepatronen, productmix, sancties/PEP/adverse-media resultaten, CRUKS-status, betaalbaarheidsindicatoren en eerdere nalevingsgeschiedenis. De score bepaalt de CDD-diepte, de monitoringintensiteit en de verversingsfrequentie.

4.3 Product- en kanaalrisico

Onboarding op afstand, snelle stortings-/opnamelussen en functies die snelle waardeoverdracht mogelijk maken, verhogen het risico. We accepteren geen contant geld, anonieme vouchers zonder traceerbaarheid of cryptovaluta, tenzij expliciet toegestaan door de wet en goedgekeurd door de Raad van Bestuur en de toezichthouder. Nieuwe functies vereisen een risicobeoordeling vóór de lancering en goedkeuring door Compliance en de MLRO.

5) Klantenonderzoek (CDD)

5.1 Wanneer wij CDD uitvoeren

voordat de relatie wordt aangegaan of het spel wordt mogelijk gemaakt;
vóór de eerste opname;
bij verdenking van witwassen/terrorismebestrijding;
wanneer informatie onjuist, inconsistent of verouderd is;
wanneer risicoscores, limieten of gedrag aanleiding geven tot herziening.

5.2 Minimale verzamelde gegevens

Volledige officiële naam, geboortedatum, nationaliteit, woonadres, e-mailadres, mobiel nummer, taal en toestemmings-/communicatievoorkeuren. Apparaat-ID’s en IP-adressen worden verzameld voor beveiliging en geolocatie.

5.3 Verificatiemethoden (gelaagd)

Identiteit: paspoort, EU/EER-identiteitskaart, Nederlands rijbewijs, verblijfsvergunning (geldig en niet verlopen).
Levendigheid en gelijkenis: selfie/video met detectie van levendigheid; biometrische match met documentfoto (indien rechtmatig).
Authenticiteit van documenten: machinaal gelezen (MRZ/barcode), hologramcontroles, signalen van vervalsing.
Elektronische verificatie: vertrouwde databases en proxies van kredietbureaus waar toegestaan.
Adres: bankafschrift, energierekening, BRP-uittreksel (≤ 3 maanden oud) of betrouwbare e-verificatie.
Betalingseigendom: gecensureerd bankafschrift met naam en IBAN ; gemaskeerde kaartafbeelding (eerste 6 en laatste 4 cijfers). Financiering door derden is niet toegestaan.

5.4 Doel en beoogde aard

We registreren productvoorkeuren en verwachte activiteiten (geschatte uitgaven, gebruikelijke stortingsmethoden, frequentie). De basislijn vormt de basis voor monitoring en betaalbaarheidsbeoordelingen.

5.5 Onvolledige of mislukte CDD

Als CDD niet snel kan worden afgerond, beperken we de activiteiten en storten we, indien wettelijk toegestaan, de gelden terug naar de bron. Bij verdenking beoordeelt de MLRO of er een STR moet worden ingediend .

6) Verbeterde due diligence (EDD)

EDD wordt toegepast bij een hoger risico, zoals:

PEP’s (inclusief naaste medewerkers/familieleden) of andere opvallende blootstelling;
negatieve media die wijzen op fraude, corruptie, belastingontduiking of georganiseerde misdaad;
complexe patronen (grote, snelle of gestructureerde transacties) die niet in lijn zijn met het profiel;
links naar gebieden, industrieën of gesanctioneerde personen met een hoger risico;
indicatoren voor niet-ingezetenen, frequente apparaat-/IP-wijzigingen, proxy-/VPN-gebruik;
grote winsten of uitbetalingssnelheden die niet in overeenstemming zijn met het spel en de eerdere activiteiten.

EDD-maatregelen kunnen bestaan uit goedkeuring door het senior management, aanvullend identiteitsbewijs, onafhankelijk adresbewijs, Source of Funds (SOF) / Source of Wealth (SOW) , verlaagde limieten, watchlist-vlaggen en frequentere monitoring. Het ontbreken van redelijke SOF/SOW leidt tot beperking of exit.

7) Screening en watchlists

Sancties: alle spelers worden bij de onboarding en dagelijks daarna gescreend aan de hand van EU/VN/Nederlandse lijsten; waar relevant worden Britse/Amerikaanse lijsten in overweging genomen om indirect risico te voorkomen. Bevestigde wedstrijden leiden tot weigering of bevriezing van wedstrijden op grond van de Sanctiewet.
PEP: PEP’s identificeren en EDD toepassen; goedkeuringen geregistreerd; vernieuwingscycli verkort.
Negatieve media: voor spelers met een hoger risico: zoek betrouwbare bronnen; materiële bevindingen nemen toe.
CRUKS: gecontroleerd bij het inloggen en starten van de sessie; positieve resultaten blokkeren het spel.

Alle screeningbeslissingen worden vastgelegd met de identiteit van de beoordelaar, tijdstempels en bewijsmateriaal.

8) Doorlopende monitoring

8.1 Filosofie

Monitoring combineert regels, machinaal aangeleerde risicosignalen en menselijke beoordeling. We vergelijken gedrag met de individuele baseline en met peer groups. AML-signalen worden gecombineerd met indicatoren voor verantwoord gokken om een coherent risicobeeld te creëren.

8.2 Illustratieve scenario’s

Snelle storting → minimale speeltijd → opname (waarderecycling).
Roundtripping tussen meerdere betaalinstrumenten.
Veel mislukte stortingen/afwijzingen of kaarttests.
Meerdere nieuwe kaarten/IBAN’s toevoegen in korte tijdsblokken.
Structureren onder verificatiedrempels.
Nieuwe apparaten, TOR/VPN/extern bureaublad of IP-overdrachten over grote afstanden.
Opnames naar nieuw toegevoegde instrumenten; naamsverschillen.
Pieken in de stortingen komen niet overeen met de aangegeven SOF/SOW.
Patronen tussen accounts die wijzen op syndicaten of waardeoverdracht.
Bonusmisbruiksignalen overlappen met AML-waarschuwingssignalen.

8.3 Zaakbehandeling

Meldingen worden beoordeeld als Laag/Middel/Hoog/Ernstig . Laag risico kan worden afgesloten met een reden. Middel+ activeert een onderzoek; opnames kunnen worden gepauzeerd in afwachting van beoordeling. Elke actie (documentaanvraag, limietwijziging, pauze) wordt geregistreerd met reden, eigenaar en datum van volgende beoordeling.

8.4 Periodieke vernieuwing en triggers

KYC-vernieuwingscycli: doorgaans 12/24/36 maanden per risiconiveau. Aanvullende vernieuwingstriggers: limietverhogingen, nieuwe betaalinstrumenten, grote of snelle opnames, sancties/PEP-wijzigingen, adreswijzigingen en heractivering na inactiviteit.

9) Betalingen en controle op waardebewegingen

Accepteer alleen methoden in naam van de speler ; gebruik waar mogelijk
‘pay-to-source’ .
Pas snelheidslimieten toe voor nieuwe accounts en nieuwe instrumenten.
Splits grote uitbetalingen indien banklimieten of risicobeheersing dit vereisen.
Anonieme of niet-traceerbare financieringsmethoden zijn niet toegestaan; cryptovaluta worden niet geaccepteerd, tenzij dit wettelijk is toegestaan en door de Raad is goedgekeurd.
Houd terugboekingen in de gaten ; winsten die verband houden met teruggeboekte stortingen zijn afhankelijk van de uitkomst.

10) Onderzoeken en resultaten

10.1 Werkstroom

Inname: alarm afgegeven door regel/model/personeel.
Bereik: definieer de hypothese; pas tussentijdse controles toe (bijvoorbeeld pauzeren en terugtrekken).
Bewijs: verzamel KYC-pakket, betalingen, gameplay, apparaatgegevens, communicatie en externe bronnen.
Klantcontact: vraag gerichte documenten aan (SOF/SOW, eigenaarschap).
Analyse: vergelijken met de basislijn en de normen van collega’s; aannemelijkheid beoordelen.
Besluit: goedkeuren; goedkeuren met voorwaarden; beperken; opschorten; verlaten; STR aanbevelen.
Afsluiting: noteer de onderbouwing, het bewijs en de volgende beoordeling.

10.2 Mogelijke acties

Helder — geen materieel risico; monitoring gaat door.
Voorwaarden — stel limieten in, beperk producten, plan vernieuwing.
Vraag info aan — gerichte documenten met deadlines.
Beperken/Opschorten — tijdelijke pauze in afwachting van bewijs.
Exit — relatie beëindigd; gelden teruggegeven volgens de wet.
STR — vermoeden dat de gelden crimineel eigendom zijn of gekoppeld zijn aan TF.

11) Meldingen van verdachte transacties (STR’s)

Wanneer we weten, vermoeden of gegronde redenen hebben om witwassen/terrorisme te vermoeden, dient de MLRO onmiddellijk een melding van witwassen/terrorisme in bij FIU-Nederland . We houden ons aan de vertrouwelijkheid, bewaren bewijsmateriaal en geven geen tips aan de betrokkene. Meldingen van witwassen/terrorisme bevatten onder andere de beschrijving, indicatoren, bedragen, wederpartijen (indien bekend) en gerelateerde zaak-ID’s.

12) Registratie en bewaring

Wij houden volledige, nauwkeurige en opvraagbare gegevens bij:

CDD/EDD-pakketten (identiteit, adres, eigendom, SOF/SOW).
Sancties/PEP/bijwerkingen en CRUKS-screeninglogboeken.
Waarschuwingen, gevallen, beslissingen, goedkeuringen en audit trails.
Betalingen, afstemmingen, terugboekingen en uitbetalingsroutering.
STR-aanvragen en correspondentie met toezichthouders (beperkte toegang).
Voltooiing van trainingen, QA-resultaten, audits en herstelmaatregelen.

Bewaartermijn: doorgaans 5-7 jaar na sluiting van de rekening voor KYC/AML onder Wwft ; 7 jaar voor financiën/audit. Na afloop van de bewaartermijn verwijderen of anonimiseren we gegevens. Toegang is rolgebaseerd en wordt geregistreerd.

13) Gegevensbescherming en vertrouwelijkheid

AML/KYC-verwerking voldoet aan de AVG-principes: rechtmatigheid, eerlijkheid, transparantie, doelbinding, gegevensminimalisatie, nauwkeurigheid, opslagbeperking, integriteit en vertrouwelijkheid. Gevoelige documenten worden tijdens verzending en opslag versleuteld; uploads verlopen via beveiligde portals; downloads zijn beperkt. Sommige gegevens moeten worden bewaard, zelfs als een speler om verwijdering verzoekt (wettelijke bewaartermijn prevaleert).

14) Technologie en modelbeheer

Alle AML/KYC-systemen (IDV, documentauthenticatie, apparaatinformatie, sancties/PEP-screening, monitoring, casemanagement) vereisen goedkeuring door Compliance. Regels en modellen worden versiegecontroleerd en vóór de productie getest; we monitoren de percentages vals-positieven/vals-negatieven en afwijkingen. Er worden dagelijks datakwaliteitscontroles uitgevoerd; storingen leiden tot incidenten met eigenaren en SLA’s. Leverancierswijzigingen volgen de due diligence- en DPIA-stappen.

15) Opleiding en competentie

Introductie: AML/KYC-basisprincipes, rode vlaggen, escalatie, veilige gegevensverwerking (vóór toegang tot het systeem).
Jaarlijkse opfriscursus: updates over wetgeving en beleid, casestudies, beoordeling (er wordt een voldoende gehaald).
Rolspecifiek: Betalingen (terugboekingen, routering), VIP (EDD/SOF/SOW), Ondersteuning (vragen eerste lijn), Product/Tech (invloeden registreren).
Gericht op: nieuwe sanctieregelingen, nieuwe betaalmethoden of grote modelwijzigingen.
Toegang kan worden opgeschort als de training afloopt.

16) Kwaliteitsborging (QA), statistieken en rapportage

Compliance voert periodieke kwaliteitscontroles uit op onboardingdossiers, terugtrekkingen en afgesloten zaken. De bevindingen worden gebruikt voor coaching en het afstemmen van scenario’s. De MLRO rapporteert elk kwartaal aan de Raad over: de percentages voor het slagen/doorverwijzen/afwijzen van onboardingdossiers; de verwerking van documenten; het aantal meldingen en de conversie van zaken; de veroudering van zaken; sancties en afhandelingstijden; het aantal STR’s en de doorlooptijd tot indiening; de blokkering van terugtrekkingen en de resultaten daarvan; het voltooien van trainingen; de percentages voor het slagen voor kwaliteitscontroles; en de correcties na audits.

Belangrijke risico-indicatoren (KRI’s) worden gedefinieerd in Bijlage G en maandelijks beoordeeld.

17) Derden en outsourcing

We screenen KYC-leveranciers, screeningpartners, PSP’s en hostingproviders. Contracten omvatten vertrouwelijkheid, voorwaarden voor gegevensverwerking, auditrechten, SLA’s, melding van incidenten en naleving van sancties. Outsourcing draagt onze verplichtingen niet over; BinoBet blijft verantwoordelijk.

18) Interactie met Verantwoord Gokken

Signalen over financiële criminaliteit en spelersbescherming overlappen elkaar (snelle toename van uitgaven, nachtelijke sessies, betalingsmoeilijkheden). AML- en RG-teams coördineren gedeelde gevallen en spreken één contactpersoon af om tegenstrijdige signalen te voorkomen. Waar er sprake is van duidelijke schade, heeft spelersbescherming voorrang ; AML-beoordelingen lopen parallel door.

19) Incidenten, inbreuken en herstel

Wanneer een controle mislukt (screening gemist, uitbetaling aan derdenrekening, late STR), doen wij het volgende:

Inperken (bevriezen of terughalen van fondsen, pauzeren van activiteiten),
Beoordeel de impact en de meldingsplichten,
Waarschuw KSA/FIU‑NL of anderen indien nodig,
De grondoorzaken
aanpakken (proces, systeem, training),
Documenteer het incident en de geleerde lessen.
Materiële incidenten worden gemeld aan het bestuur.

20) Beleidslevenscyclus en uitzonderingen

Evaluatie: minimaal jaarlijks en bij juridische/operationele wijzigingen.
Goedkeuring: Raad van Bestuur.
Uitzonderingen: risicogeschat, tijdgebonden, gedocumenteerd en goedgekeurd door de MLRO. Algemene uitzonderingen zijn niet toegestaan.
Versiebeheer: er wordt een wijzigingslogboek bijgehouden; gearchiveerde kopieën zijn beschikbaar voor auditors en toezichthouders.