Het korte antwoord: een ICO-registratiecheck bevestigt of een organisatie in het register van heffingsbetalers van het Britse Information Commissioner's Office (ICO) staat - dus of ze de ICO heeft gemeld dat ze persoonsgegevens verwerkt en de bijbehorende dataprotectieheffing heeft betaald. Het bevestigt niet dat de organisatie financieel gezond is, dat de bankrekening op haar factuur van haar is, of dat een betaling aan haar veilig is.
Dat onderscheid is belangrijk, omdat beide vragen tegelijk opkomen. Een inkoopteam dat een nieuwe leverancier controleert, wil weten dat het bedrijf bestaat en aan de regels voldoet. Een treasuryteam wil weten dat het geld op de juiste rekening landt. Het ICO-register beantwoordt alleen de eerste vraag, en daarvan alleen het dataprotectiedeel.
Wat een ICO-registratiecheck echt bevestigt
De ICO is de onafhankelijke Britse toezichthouder voor gegevensbescherming. Op grond van de Data Protection (Charges and Information) Regulations 2018 moeten de meeste organisaties die persoonsgegevens verwerken jaarlijks een heffing aan de ICO betalen - meestal de dataprotectieheffing genoemd - tenzij een vrijstelling geldt. Het register van heffingsbetalers is de openbare lijst van organisaties die dat hebben gedaan.
Een positief resultaat bevestigt dus iets smals en feitelijks: de organisatie staat in dat register, met een registratienummer, een heffingstier en een status. Het is een nuttig nalevingssignaal wanneer je persoonsgegevens aan een leverancier toevertrouwt - loonadministrateurs, marketingbureaus, softwareleveranciers, iedereen die klant- of personeelsgegevens namens jou verwerkt.
Registratie gaat over data, niet over geld
Het ICO-register legt vast wie een dataprotectieheffing heeft betaald. Het zegt niets over bankrekeningen, facturen, eigendom of solvabiliteit. Behandel het als één regel in een leveranciersdossier, niet als een betalingscontrole.
Zo controleer je een ICO-registratie stap voor stap
De controle is snel en gratis. Gebruik de officiële zoekfunctie van de ICO in plaats van een opzoeksite van een derde partij, want het officiële register is de bron waar elk ander hulpmiddel van overneemt.
- 1 Ga naar de registerzoekfunctie op de eigen site van de ICO, ico.org.uk - het zoekvak voor het register van heffingsbetalers.
- 2 Zoek op de juridische naam van de organisatie zoals die in het contract of op de factuur staat, niet op een handelsnaam of merk.
- 3 Is de naam algemeen, verfijn de resultaten dan met het registratienummer als je dat al hebt, of met het adres van de organisatie.
- 4 Open de vermelding en lees drie dingen: het registratienummer, de heffingstier en de status.
- 5 Bewaar een gedateerde schermafbeelding of notitie van wat je hebt gevonden, zodat de controle later controleerbaar is.
Verschijnt er niets, trek dan geen overhaaste conclusies. Probeer de geregistreerde bedrijfsnaam uit het handelsregister (Companies House), probeer de moedermaatschappij en probeer varianten met en zonder rechtsvorm. Veel organisaties handelen onder een naam die afwijkt van de entiteit die de heffing betaalt.
Eén waarschuwing die het herhalen waard is: verschillende commerciële sites bieden een betaalde dienst voor een 'ICO determination' of 'registratiecertificaat' aan. De zelfevaluatietool en de registerzoekfunctie van de ICO zelf zijn gratis, en betalen aan een derde partij maakt een registratie niet geldiger.
Het resultaat lezen: registratienummer, tier en status
Een ICO-registratienummer wordt meestal geschreven als ZA gevolgd door zes cijfers - bijvoorbeeld ZA123456. Het identificeert de vermelding in het register. Het is geen bedrijfsnummer, geen btw-nummer en geen betalingsreferentie, en het mag nooit worden gebruikt om een bankrekening te identificeren.
De heffingstier beschrijft de grootte en het type organisatie, zoals de ICO die definieert. De ICO publiceert drie tiers, en de heffing stijgt met de tier:
- Tier 1 omvat de kleinste organisaties - micro-organisaties, vooral beoordeeld op personeelsaantal en omzet.
- Tier 2 omvat kleine en middelgrote organisaties.
- Tier 3 omvat grote organisaties.
De tier vertelt je ruwweg hoe groot de heffingsbetaler is. Het is geen beoordeling van veiligheid, kwaliteit of betrouwbaarheid, en een Tier 3-vermelding is niet 'veiliger' dan een Tier 1-vermelding - het betekent simpelweg een grotere organisatie die een hogere heffing betaalt.
De status is het deel dat mensen verkeerd lezen. Een vermelding kan als geregistreerd staan, of als in behandeling terwijl een betaling of verlenging wordt verwerkt. 'In behandeling' is op zichzelf geen alarmsignaal: verlengingen gebeuren jaarlijks en er zit een gat tussen betalen en het bijwerken van het register. Wat telt, is of de organisatie de status kan uitleggen en of de vermelding actueel is in plaats van verlopen.
Wat een ICO-controle je niet vertelt
Hier gaat het mis bij due diligence op leveranciers. Een schone ICO-vermelding wordt vaak als schermafbeelding op een vertrouwenspagina gezet alsof het een echtheidskeurmerk is. Dat is het niet. Een ICO-controle bevestigt niet:
- Wie het bedrijf bezit of bestuurt - dat is het terrein van Companies House, waar je bestuurders, deponeringen en jaarrekeningen ziet.
- Of het bedrijf solvabel is of actief is - opnieuw jaarrekeningen en deponeringshistorie, niet het ICO-register.
- Of de bankrekening die op de factuur staat van het bedrijf is - geen enkel openbaar register bevat dat.
- Of de factuur zelf echt is, of de e-mail die haar bezorgde van de echte leverancier kwam.
- Of de organisatie goed met data omgaat - registratie is een heffing, geen audit.
Met andere woorden: het ICO-register beantwoordt een naleidingsvraag. De vraag 'is dit de juiste rekening om te betalen?' wordt ergens anders beantwoord - door een naam-IBAN-controle die een betaaldienstverlener uitvoert.
ICO-registratie vs Verification of Payee: twee verschillende controles
Verification of Payee (VoP) is de EU/SEPA-naamcontrole die de verordening inzake instantbetalingen verplicht stelt. Voordat een euro-overboeking wordt verstuurd, vraagt de betaaldienstverlener (PSP) van de betaler aan de PSP van de begunstigde of de opgegeven naam overeenkomt met de rekeninghouder, en krijgt een van vier uitkomsten terug: overeenkomst, bijna-overeenkomst, geen overeenkomst of niet beschikbaar. Het Verenigd Koninkrijk heeft zijn eigen versie, Confirmation of Payee, gebouwd rond sort codes en rekeningnummers.
Zet de twee naast elkaar en het verschil is duidelijk:
- De ICO-controle vraagt: heeft deze organisatie zich als verwerkingsverantwoordelijke geregistreerd en haar heffing betaald? Het antwoord komt uit een openbaar register, één keer, bij het onboarden.
- De begunstigdencontrole vraagt: hoort deze rekening bij de partij die ik heb genoemd? Het antwoord komt van de bank van de begunstigde, op het moment van betalen.
- De ICO-controle gaat over naleving van dataprotectie. De begunstigdencontrole gaat over waar het geld landt.
Geen van beide vervangt de andere. Een fraudeur kan zich bij de ICO registreren - het is een heffing, geen screeningsproces - en een volledig conforme leverancier kan toch te maken krijgen met een gecompromitteerde e-mail en een omgewisselde factuur met andere bankgegevens. Wil je de achtergrond van het EU-schema, begin dan bij wat Verification of Payee is; de mechaniek van het controleren van een rekeninghouder staat in hoe je de rekeninghouder van een IBAN verifieert.
Waar een ICO-controle past in het onboarden van leveranciers
Het praktische antwoord is: als één stap van meerdere, in een vaste volgorde. Een werkbare volgorde voor een nieuwe leverancier ziet er zo uit.
- 1 Bedrijfscontrole: bevestig de rechtspersoon, bestuurders en deponeringshistorie bij Companies House, en vergelijk de naam op het contract.
- 2 Dataprotectiecontrole: zoek de entiteit op in het ICO-register en leg het registratienummer, de tier en de status vast.
- 3 Bankgegevenscontrole: voer een naam-IBAN-controle uit op de rekening die je op het punt staat te betalen, en bewaar de geverifieerde naam die terugkomt.
- 4 Wijzigingsbeheer: voer de bankgegevenscontrole opnieuw uit zodra de rekeninggegevens van de leverancier veranderen, en bevestig de wijziging telefonisch op een nummer dat je al had.
De derde en vierde stap zijn de stappen die voorkomen dat geld naar de verkeerde rekening gaat. Voor het bredere proces, inclusief hoe je omgaat met opgeslagen begunstigdengegevens, zie de gids voor het onboarden van leveranciers en de pagina Verification of Payee voor bedrijven.
Zie een ICO-vermelding nooit als bewijs van bankgegevens
Een registratienummer op het briefpapier van een leverancier vertelt je dat de organisatie een dataprotectieheffing heeft betaald. Over het rekeningnummer eronder zegt het niets. Verifieer de rekening apart, elke keer dat de gegevens veranderen.
Veelvoorkomende verwarringen en korte antwoorden
De meeste verwarring rond ICO-controles komt uit drie vragen, dus hier zijn ze duidelijk.
- Wanneer is registratie verplicht? De meeste organisaties die persoonsgegevens verwerken moeten de heffing betalen, maar er bestaan vrijstellingen - bijvoorbeeld voor sommige kleine organisaties die gegevens alleen voor beperkte doeleinden verwerken. De gratis zelfevaluatietool van de ICO vertelt je of je eigen organisatie zich moet registreren.
- Hoe vind ik mijn eigen ICO-referentienummer? Zoek in het register op de juridische naam van je organisatie, of kijk in de bevestiging die de ICO stuurde toen de heffing werd betaald. Het nummer staat in dat record.
- Is een ICO-nummer een bedrijfsregistratienummer? Nee. Een bedrijfsnummer komt van Companies House en identificeert de rechtspersoon. Een ICO-nummer identificeert een heffingsbetalersvermelding in het dataprotectieregister. Ze worden door verschillende instanties voor verschillende doelen uitgegeven.
RoxPay levert Verification of Payee op het SEPA-schema via één REST-API en een dashboard, en geeft de gestandaardiseerde uitkomsten - overeenkomst, bijna-overeenkomst, geen overeenkomst en niet beschikbaar - in ruim minder dan een seconde, met de geverifieerde naam bij een bijna-overeenkomst, voor één betaling of een heel betaalbestand.