DNB beboet Modulr: controles leunden te zwaar op cryptopartners

Een betaling van ruim €150.000 kon door de systemen lopen zonder alert. Bij een andere klant werd ongeveer €50.000 dezelfde dag in tien kleinere transacties doorgestuurd. De Nederlandsche Bank ziet daarin ernstige tekortkomingen bij Modulr Finance.

DNB heeft de elektronischgeldinstelling een boete van €722.160 opgelegd. Modulr leunde bij klant- en transactiecontroles volgens de toezichthouder te zwaar op samenwerkingspartners, waaronder cryptoplatforms.

Modulr werkte met partners die hun klanten een rekening bij Modulr konden laten openen.

Volgens het boetebesluit van DNB zaten daar onder meer aanbieders van crypto-exchangeplatforms tussen. Via Modulr konden hun gebruikers IBAN-rekeningen en andere betaaldiensten krijgen.

Daarmee ontstond ook een directe zakelijke relatie tussen Modulr en die klanten.

Dat punt is bepalend. De Wwft-verplichting om transacties voortdurend te controleren kon Modulr niet simpelweg bij de partner neerleggen. DNB schrijft expliciet dat dit deel van het cliëntenonderzoek niet mag worden uitbesteed.

Juist daar zag DNB problemen.

Modulr maakte volgens het besluit niet altijd een risicoprofiel dat aansloot op de individuele klant. In de praktijk werd het profiel van een samenwerkingspartner ook gebruikt voor klanten die via dat platform waren binnengekomen.

Dat werkte door in de transactiemonitoring.

Bij klanten van één partner kwam bijvoorbeeld pas een alert bij 300 betalingen op één dag of bij één transactie boven €50.000.

Voor een individuele klant kon zo'n grens veel te hoog liggen. Een betaling kon afwijkend zijn van diens normale gedrag en toch volledig onder de radar blijven.

DNB vroeg Modulr vervolgens om transacties van minstens €10.000 uit 2023 te bekijken bij klanten van twee partners.

Voor twaalf cliënten vroeg de toezichthouder aanvullende informatie op.

In acht van die twaalf gevallen zag DNB ongebruikelijk transactiegedrag dat niet, of niet tijdig, door Modulr was gedetecteerd.

Ook interne overboekingen tussen Modulr-rekeningen werden niet door beide monitoringssystemen gevolgd. Daardoor konden geldstromen onder de ingestelde detectieregels doorlopen.

De toezichthouder noemt daarnaast onvoldoende monitoring van transacties naar hoogrisicolanden, niet-ingezetenen en bepaalde afwijkende betaalpatronen.

Het verkorte besluit laat zien hoe dat in individuele dossiers uitpakte.

Een klant ontving in september 2023 ruim €150.000 en stuurde het geld daarna via een interne transfer door. Modulrs systemen sloegen niet aan, omdat interne transacties niet werden meegenomen.

Een samenwerkingspartner onderzocht wel de herkomst van het geld, maar Modulr beschikte volgens DNB zelf niet over voldoende informatie om zijn eigen controle uit te voeren.

Bij een andere klant kwam ongeveer €50.000 vanaf een buitenlandse rekening binnen.

Het bedrag werd dezelfde dag via tien transacties doorgestuurd naar een derde. Modulr genereerde geen alert omdat de afzonderlijke betalingen onder de ingestelde grenzen bleven.

De partner blokkeerde de rekening wel. Modulr hoorde volgens het besluit pas maanden later meer over de zaak, nadat DNB zelf vragen begon te stellen.

Dat onderscheid moet scherp blijven.

DNB heeft Modulr Finance beboet. Dat cryptodienstverleners in het besluit voorkomen, betekent niet dat die platforms via deze maatregel zelf zijn bestraft.

De zaak draait om Modulrs eigen wettelijke verantwoordelijkheid.

Een partner kan klantinformatie verzamelen, fraude signaleren of een account blokkeren. Maar wanneer Modulr zelf de rekening aanbiedt, moet de instelling voldoende gegevens hebben om de transacties van die klant zelfstandig te beoordelen.

Voor samenwerkingen tussen betaalbedrijven en exchanges zit daar een duidelijke waarschuwing in: uitbesteden van commerciële toegang betekent niet automatisch dat de wettelijke controle mee verhuist.

DNB hield bij de strafmaat ook rekening met de reactie van Modulr.

Voor het onderzoek begon, had het bedrijf al stappen gezet om de relatie met drie van de vier onderzochte partners te beëindigen of te beperken.

Daarna zijn onder meer de transactiemonitoring, cliëntenrisicobeoordeling, screening en controle op partners aangescherpt. DNB noemt de houding van Modulr constructief.

De boete werd uiteindelijk vastgesteld op €849.600.

Omdat Modulr de feiten erkent, de boete accepteert en afziet van bezwaar en beroep, kreeg het bedrijf via een vereenvoudigde afdoening nog 15% korting. Daarmee kwam het definitieve bedrag op €722.160.

De zaak laat daarmee vooral zien waar de grens bij platformmodellen ligt. Een betaaldienst kan klanten via een cryptopartner binnenkrijgen, maar zodra die klant een rekening bij de betaaldienst heeft, blijft de toezichthouder kijken naar wie zelf genoeg weet om verdachte geldstromen te herkennen.