De recordkeeping-regels van de Financial Industry Regulatory Authority (FINRA) stellen strenge eisen waaraan broker-dealers en andere financiële instellingen moeten voldoen bij het archiveren en bewaren van hun administratie, inclusief elektronische communicatie. Ook de Amerikaanse Securities and Exchange Commission (SEC) schrijft voor hoe elektronische records bewaard moeten worden en legt boetes op bij het niet naleven daarvan.
Deze gids laat zien welke maatregelen IT-beheerders en managed service providers (MSP’s) kunnen nemen om te voldoen aan de eisen van FINRA-regel 4511 en SEC-regel 17a-4(f) voor het veilig opslaan en opvragen van financiële communicatie en records, voor hun eigen organisatie of namens hun klanten.
🎥 Bekijk hier het visuele overzicht: Compliancegids voor het voldoen aan de bewaarplicht voor elektronische communicatie van FINRA en SEC.
Wat is het verschil tussen de SEC en FINRA?
FINRA is een particuliere, zelfregulerende brancheorganisatie van broker-dealers in de Verenigde Staten die regels opstelt en handhaaft zodat financiële bedrijven legaal en ethisch kunnen opereren. FINRA is geen Amerikaanse overheidsinstantie, maar heeft wel de bevoegdheid om boetes op te leggen en beperkingen in te stellen voor broker-dealers die haar regels overtreden of de regels van de Municipal Securities Rulemaking Board (MSRB) of de SEC.
De SEC is een onafhankelijke Amerikaanse overheidsinstantie die is opgericht om markten in stand te houden en beleggers te beschermen door verschillende wettelijke bepalingen te handhaven, waaronder de financiële rapportage door bedrijven.
Voor wie gelden FINRA-regel 4511 en SEC-regel 17a-4?
IT-beheerders en MSP’s die de IT-systemen beheren van bij de SEC geregistreerde broker-dealers en van FINRA-leden moeten maatregelen treffen om te voldoen aan de regels voor administratie en gegevensbewaring.
Deze gids helpt u bij het kiezen van tools en processen om aan uw bewaar- en archiveringsverplichtingen te voldoen, maar u moet de regelgeving zelf lezen en begrijpen via de officiële bron. Raadpleeg daarnaast juridische en technische experts om te bepalen welke regels voor uw bedrijf gelden en om ervoor te zorgen dat ze effectief worden toegepast.
Dat is cruciaal, want het niet naleven ervan – zelfs onbedoeld – kan leiden tot handhavingsmaatregelen zoals boetes, schorsing of het verlies van een vergunning. Afhankelijk van uw locatie of de aard van uw bedrijf kunnen er ook aanvullende regels gelden, waaronder regels rond de bescherming van klantgegevens.
Welke soorten communicatie vallen eronder
De recordkeeping-regels van de SEC en FINRA gelden voor alle zakelijke fysieke en elektronische communicatie. Denk aan e-mail, chat- en samenwerkingstools (zoals Slack en Microsoft Teams), opnames van audio- en videogesprekken (inclusief voicemail) en interacties op social media voor zover die zakelijk zijn.
De juridische en complianceteams binnen uw organisatie moeten de reikwijdte en toezichtscriteria voor communicatie vaststellen, zodat alle verplichte communicatie correct en conform de regelgeving wordt bewaard. Alle communicatie moet gedurende de vastgestelde bewaartermijnen worden bewaard in een formaat dat beschermd is tegen gegevensverlies en niet kan worden gewijzigd. Daarnaast moeten de gegevens mogelijk direct beschikbaar zijn voor regelmatige controle door toezichthouders.
FINRA-regel 4511: checklist voor de algemene bewaarplicht
Voldoen aan FINRA-regel 4511 kan ook betekenen dat u moet voldoen aan meerdere andere eisen uit de Exchange Act en de SEA. Wanneer uw complianceteams uw systemen voor gegevensbewaring plannen en inrichten, moeten ze het volgende meenemen:
- Records moeten accuraat en volledig zijn
- Gegevens moeten worden opgeslagen in een manipulatiebestendig formaat dat beschermd is tegen gegevensverlies en wijziging
- Bewaarde communicatierecords moeten tot 6 jaar worden bewaard, afhankelijk van het documenttype
- De bewaartermijn kan per type bewaard document verschillen
Het bewaren van communicatiegegevens kan worden ondersteund met oplossingen voor e-mailarchivering die zoeken, opvragen en exporteren mogelijk maken. Voor sommige gegevens zijn speciale maatregelen nodig om ze goed te archiveren, bijvoorbeeld gegevens uit chatapps zoals Microsoft Teams of samenwerkingsplatformen zoals SharePoint.
SEC-regel 17a-4(f): elektronische opslag van records van broker-dealers
De procedures die SEC-regel 17a-4(f) voorschrijft bepalen onder meer hoe lang communicatierecords bewaard moeten worden en aan welke technische normen ze moeten voldoen. Deze richtlijnen helpen bij het naleven ervan:
- Gebruik immutable opslag die voldoet aan WORM (write once, read many)
- Voorzie alle bewaarde records van een digitale tijdstempel
- Bewaar duplicaten van alle gegevens op geografisch gescheiden locaties
- Houd indexen bij van de opgeslagen records
- Zorg dat records gedurende de bewaartermijn direct beschikbaar zijn
- Stel de aangewezen instantie op de hoogte voordat u een nieuw elektronisch opslagmedium in gebruik neemt
Eisen rond toezicht en toegang
Zowel de recordkeeping-regels van FINRA als de regelgeving van de SEC vereisen dat alle gearchiveerde records op verzoek beschikbaar zijn. Dat vraagt om een archiveringsoplossing met zoekfunctionaliteit die geschikt is voor eDiscovery. Bedrijven moeten mogelijk ook een onafhankelijke partij aanwijzen die de SEC indien nodig helpt bij het verkrijgen van toegang.
Alle gearchiveerde records moeten worden gecontroleerd op toegang, wijzigingen en pogingen tot verwijdering en er moeten periodieke beoordelingen plaatsvinden om naleving van FINRA, de SEC en andere geldende regels voor gegevensbewaring te waarborgen. Audit trails moeten even lang worden bewaard als de gegevens zelf.
Daarnaast moeten records mogelijk onder toezicht staan via written supervisory procedures (WSP’s).
Voldoen aan de bewaarplicht van FINRA en SEC met Microsoft 365 en Google Workspace
Veel financiële bedrijven gebruiken Microsoft 365 en Google Workspace als software voor e-mail, productiviteit en samenwerking. Deze volledig beheerde oplossingen bieden betrouwbaarheid en directe functionaliteit zonder investeringen in infrastructuur, maar werken volgens een shared responsibility model waarbij alle aansprakelijkheid voor verloren gegevens bij de klant ligt. Als IT-beheerder of MSP die financiële gegevens beheert, bent u er dus zelf verantwoordelijk voor dat die gegevens worden bewaard conform de recordkeeping-regels van FINRA en de SEC en andere gegevensregelgeving zoals CCPA en HIPAA.
Dat betekent dat er ook een back-up van de bewaarde gegevens gemaakt moet worden. Houd er wel rekening mee dat niet alle back-upsystemen voldoen aan de eisen van FINRA en de SEC en dat er archiverings- en back-upoplossingen bestaan die speciaal zijn afgestemd op de financiële dienstverlening.
Hebt u de taak gekregen om financiële gegevens te bewaren conform de recordkeeping-regels van FINRA en de SEC? Neem vandaag nog contact op met een NinjaOne-vertegenwoordiger en ontdek hoe ons MSP-platform compliance eenvoudiger maakt.
