SEC berispt OTC Link voor jarenlange overtredingen van Regulation SCI

OTC Link LLC kwam er op 22 september vanaf met een berisping, een cease-and-desist-bevel en een civiele boete van $575.000, nadat de SEC had geconcludeerd dat het bedrijf bijna een decennium lang Regulation Systems Compliance and Integrity had overtreden. Het persbericht van de SEC stelt de periode van overtreding vast op augustus 2016 tot maart 2025 — een periode van 104 kalendermaanden als beide randmaanden worden meegeteld.

De actie richt zich op OTC Link ATS, een van de vijf alternatieve handelsplatforms die worden beheerd door OTC Link LLC. Volgens het administratieve bevel is OTC Link LLC een Delaware limited liability company met hoofdkantoor in New York, een indirecte volledige dochteronderneming van OTC Markets Group Inc., en is het sinds 2012 bij de Commissie geregistreerd als broker-dealer. Een SCI ATS is een alternatief handelsplatform dat voldoet aan specifieke volumedrempels voor aandelen — die aanduiding brengt verplichtingen tot schriftelijke controles met zich mee onder Regulation SCI, verplichtingen waaraan OTC Link volgens het bevel in die periode niet heeft voldaan.

OTC Link LLC slaagde er niet in schriftelijke beleidslijnen en procedures op te stellen, te handhaven en te onderhouden voor systeembeveiliging, toegangscontrole, applicatiekwetsbaarheidsbeheer, testen en herstel — vereisten die Regulation SCI al sinds 2014 oplegt. Rule 1001(a)(1) vereist dat SCI-entiteiten schriftelijk beleid en procedures handhaven op het gebied van systeemcapaciteit, integriteit, veerkracht, beschikbaarheid en beveiliging. Rule 1001(a)(2) stelt minimumeisen voor capaciteitsplanning, stresstests, kwetsbaarheidsanalyses en bedrijfscontinuïteit. Rule 1001(a)(3) vereist periodieke toetsing van dat beleid en snel herstel van eventueel geconstateerde tekortkomingen.

Medewerkers van de SEC Division of Examinations signaleerden meerdere keren tekortkomingen gedurende de overtredingsperiode. Het bedrijf slaagde er niet in deze snel te verhelpen. Toegangscontrole is het meest in het oog springende rode draad in het bevel: de tekortkoming werd voor het eerst genoteerd in 2016, opnieuw gemeld in 2019, opnieuw gemeld in 2022, en het bijbehorende beleid bleef al die tijd in conceptvorm liggen. Nog in boekjaar 2023 had OTC Link dit beleid niet formeel vastgesteld.

In 2024 schakelde OTC Link LLC externe compliance-consultants in om het Regulation SCI-nalevingsprogramma te beoordelen. Volgens het bevel heeft OTC Link sinds maart 2025 aanvullend schriftelijk beleid en procedures vastgesteld. OTC Link stemde in met het cease-and-desist-bevel, de berisping en de civiele boete zonder de bevindingen te erkennen.

Laura D’Allaird, hoofd van de Cyber and Emerging Technologies Unit van de SEC Division of Enforcement, verzachtte de kwalificatie niet. “Het voortdurende falen van OTC Link om tekortkomingen te verhelpen, zelfs nadat deze herhaaldelijk waren gesignaleerd door medewerkers van de Division of Examinations, getuigt van minachting voor hun bevindingen en het hele onderzoeksproces, en rechtvaardigt een stevige boete,” aldus D’Allaird in het persbericht van de SEC. Haar bredere boodschap was nog directer: “Van alle SCI-entiteiten wordt verwacht dat ze hun toezichtsverplichtingen serieus nemen en problemen snel verhelpen zodra die worden vastgesteld.” [Analyse: de herhaalde constatering van dezelfde tekortkoming op het gebied van toegangscontrole in 2016, 2019, 2022 en tot in boekjaar 2023 is de duidelijkste illustratie van het patroon dat D’Allaird beschrijft.]

De actie tegen OTC Link illustreert een opvallend handhavingstraject: tekortkomingen in schriftelijke controles, die herhaaldelijk door toezichthouders werden vastgesteld, leidden tot een berisping en een boete van zes cijfers onder Rules 1001(a)(1), 1001(a)(2) en 1001(a)(3) van Regulation SCI, zelfs nadat het bedrijf uiteindelijk stappen had gezet om ze aan te pakken.