Mastercard heeft zijn platform voor virtuele kaarten In Control uitgebreid met nieuwe beveiligingsmechanismen, controleprocessen die tijdens verschillende fasen van de betaling worden toegepast, en een unieke Application Programming Interface (API) om banken, bedrijven en financiële platforms te verbinden. Deze updates zijn bedoeld om directe bedrijfsbetalingen te integreren in systemen voor enterprise resource planning (ERP), uitgavenbeheer en crediteurenbeheer.
De kernpunten van de nieuwe Mastercard-virtuele kaarten in 30 seconden
- Mastercard introduceert verplichte limieten die banken kunnen stellen bij het aanmaken van elke virtuele kaart.
- De controles worden nu ook toegepast tijdens de clearingfase, na de initiële autorisatie van de betaling.
- De Commercial Connect API combineert het aanmaken van de kaart en het starten van de betaling in één integratie.
- Het netwerk is actief in 43 landen en ondersteunt operaties in 174 valuta.
- Citibank gebruikt inmiddels de nieuwe controles en is van plan deze in 2026 internationaal uit te rollen.
Virtuele kaarten genereren een ander kaartnummer dan de fysieke kaart of hoofdrekening. Ze kunnen worden geconfigureerd voor een specifieke leverancier, een vastgesteld bedrag, een beperkt aantal transacties of een bepaalde periode. Daarom worden ze steeds vaker ingezet voor factuurbetalingen, zakelijke reizen en aankooptransacties bij leveranciers zonder de authentieke bedrijfsgegevens vrij te geven.
De vernieuwing van In Control probeert deze regels verder te brengen dan de aanvankelijke generaties van het kaartnummer. Mastercard wil dat banken en bedrijven tijdens het volledige transactieproces, inclusief de clearingfase wanneer de betaling definitief wordt afgehandeld, de limieten kunnen controleren.
Het systeem verbindt reeds uitgevers, platforms en bedrijven in 43 landen en ondersteunt transacties in 174 valuta, volgens Mastercard. Details over het transactievolume dat door het netwerk van virtuele kaarten wordt gegenereerd, worden niet openbaar gemaakt in de aankondiging.
Controles die alvast beginnen bij het aanmaken van de virtuele kaart
Een van de belangrijkste nieuwe functies heet Issuer Enforced Controls. Hiermee kan de uitgever van de kaart vooraf minimale voorwaarden vaststellen op het moment dat het kaartnummer wordt gegenereerd.
De bank kan een maximumbedrag aan bestedingen vaststellen, de mogelijkheden voor elke transactie beperken of de geldigheidsduur bepalen. Deze voorwaarden vormen een basis waaraan de gebruiker niet mag afwijken wanneer het betalingsprogramma wordt ingesteld.
Deze scheiding is nuttig wanneer meerdere partijen betrokken zijn. Een bank kan de algemene limieten vastleggen, terwijl een bedrijf specifieke regels kan instellen voor afdelingen, werknemers of leveranciers.
Een virtuele kaart bedoeld voor een factuur van bijvoorbeeld 2000 euro kan bijvoorbeeld slechts één transactie toestaan die dat bedrag overschrijdt, binnen een korte termijn en gericht op een bepaalde categorie handel. Zelfs als het kaartnummer wordt blootgesteld, zou het gebruik buiten die condities beperkt zijn.
Mastercard stelt dat fraude met virtuele kaarten minder dan een vijfde bedraagt van die met niet-virtuele kaarten. De fraudepercentage zou nog lager uitvallen bij gebruik van In Control. Dit zijn interne gegevens van Mastercard en het rapport vermeldt niet de methodologie, de onderzochte markten of de fraudecategorieën.
Een lagere blootstelling betekent niet dat deze kaarten volledig immuun zijn voor aanvallen. Een crimineel zou nog steeds kunnen proberen een geldig nummer te gebruiken vóór de vervaldatum, een factuur te manipuleren, zich als een leverancier voor te doen of de systeemcredentials te compromitteren waarmee de betalingen worden opgesteld.
De limieten verminderen het risico gekoppeld aan credentials, maar bedrijven blijven moeten controleren op wijzigingen in bankrekeningen, functiescheiding bij goedkeuringen en wie nieuwe kaarten mag aanmaken.
Mastercard breidt controles uit tot tijdens de clearingfase
De tweede nieuwe functie heet Clearing Controls, een mogelijkheid die vorig jaar werd geïntroduceerd en nu wordt uitgebreid met nieuwe opties. Doel is om de voorwaarden van de betaling opnieuw te controleren bij de clearing, nadat de transactie aanvankelijk is geautoriseerd.
Autorisatie en clearing zijn niet precies hetzelfde proces. Bij de eerste wordt gekeken of de kaart de betaling kan uitvoeren en wordt het bedrag gereserveerd. Later presenteert de handelaar de transactie voor definitieve afschrijving.
Tussen deze momenten kunnen verschillen ontstaan in bedrag, datum of informatie van de handelaar. Met de nieuwe controles kunnen transacties die niet meer aan de regels voldoen worden geblokkeerd, kunnen beperkingen beter worden vastgesteld en kan het betalingsproces beter worden beheerd.
Deze extra controle is bijvoorbeeld handig bij reizen, waar hotels, airlines en verhuurbedrijven autorisaties plaatsen die niet altijd overeenkomen met het uiteindelijke bedrag. Ook bij leveranciersfacturen kan het voorkomen dat het bedrag wijzigt na het aanmaken van de kaart.
Citibank gebruikt al Issuer Enforced Controls en Clearing Controls. Mastercard verwacht dat zij de eerste uitgever zijn die beide functies in 2026 wereldwijd uitrolt, hoewel nog geen specifiek land of tijdschema is gepubliceerd.
De controles worden ondersteund door tokenisatie, fraudemonitoring en de Mastercard-infrastructuur. Tokenisatie vervangt het echte kaartnummer door een andere credential, zodat systemen en handelaren niet rechtstreeks met de originelegegevens hoeven te werken.
Een API voor het aanmaken van kaarten en starten van betalingen
Een ander deel van de aankondiging betreft Commercial Connect API, de interface waarmee Mastercard beoogt het aantal benodigde integraties te verminderen bij het implementeren van een virtueel-kaartprogramma.
Tot nu toe kon een organisatie verschillende verbindingen nodig hebben voor het genereren van het kaartnummer, het instellen van condities, het starten van een betaling, het ontvangen van transactiedata en het doorgeven aan het boekhoudsysteem. Commercial Connect API biedt nu een uniforme ingang voor al deze functies.
De update maakt mogelijk om de virtuele kaart te genereren en de betaling te starten in één proces. Ook wordt het ondersteund om meerdere controleinstellingen te hebben op het niveau van de daadwerkelijke kaart of betaalrekening, zodat de restricties toegepast worden op alle gekoppelde virtuele credentials zonder ze te moeten blootstellen.
Mastercard citeert een onderzoek waaruit blijkt dat 69% van de bedrijven moeilijkheden ondervinden bij het verbinden van hun betaalsystemen met bedrijfsapplicaties. Deze gegevens komen uit commercieel materiaal dat wordt gebruikt om het platform te presenteren en worden niet verder onderbouwd met details over de onderzochte populatie.
Deze integratie is waardevol omdat een virtuele kaart meer voordelen biedt wanneer ze wordt gegenereerd binnen dezelfde context waarin de factuur wordt goedgekeurd. Het kaartnummer, limiet en leverancier kunnen automatisch worden ingesteld op basis van reeds aanwezige gegevens uit het ERP-systeem.
Na betaling kan de referentie van de kaart gekoppeld worden aan de betreffende factuur, wat de reconciliatie vereenvoudigt. Hierdoor wordt handwerk bij het relateren van bankbewegingen, inkooporders en boekstukken verminderd.
Geïntegreerde betalingen in SAP en andere bedrijfsplatforms
Mastercard lanceerde zijn programma voor geïntegreerde virtuele kaarten in maart 2025. Sindsdien zijn partners betrokken bij ERP, crediteurenbeheer, uitgavenbeheer, reizen, e-commerce en gezondheidszorg.
Recent heeft SAP haar deelname aan het programma geactiveerd. Het doel is om virtuele kaarten te integreren in de bestaande treasury- en circulating capital-processen van bedrijven, in plaats van deze via een aparte betalingsplatform te laten verlopen.
Mastercard werkt verder samen met Emburse voor onkostenbeheer, Juniper Travel, HBX Group en TravelSoft in de toeristische sector, en met HSBC voor een oplossing in de Verenigde Arabische Emiraten die genummerde token-kaarten in mobiele portefeuille-systemen integreert.
Deze samenwerkingen illustreren de verschuiving in corporate payments: kaarten worden niet meer alleen als object aan werknemers uitgegeven, maar fungeren als softwaregedefinieerde credentials die onderdeel zijn van geautomatiseerde processen.
Een platform kan voor elke hotelreservering, factuur of order een nieuwe kaart genereren. De limiet is gelijk aan het toegestane uitgavebedrag en de kaart wordt niet meer bruikbaar na afronding van de transactie. Bedrijven verkrijgen bovendien gegevens die gerelateerd kunnen worden aan leverancier, project of afdelingskosten.
Uit Mastercard’s jaarverslag van 2025 blijkt dat zij de technologie van virtuele kaarten in meer dan tien internationale betaal- en reisbeheersystemen hebben geïntegreerd—meer dan het dubbele in vergelijking met het voorgaande jaar.
De nieuwe API en aanvullende controles moeten dat model verder uitbreiden zonder dat elke bank of platform alles helemaal vanaf nul hoeft op te bouwen. De adoptie hangt af van de beschikbaarheid van uitgevende banken in elk land, de kosten en de integratie met systemen van bedrijven.
Veelgestelde vragen
Wat is een Mastercard-virtuele kaart?
Een gegenereerd kaartnummer op basis van een bestaande betaalrekening. Het kan worden beperkt in bedrag, leverancier, aantal gebruiksbeurten of geldigheidsduur zonder de hoofdgegevens prijs te geven.
Wat verandert door Issuer Enforced Controls?
Banken kunnen vanaf het moment van kaartgeneratie verplichtende limieten en voorwaarden vaststellen, zoals uitgavenlimieten, maximale bedragen per transactie en vervaldata.
Wat is de functie van Commercial Connect API?
Het verbindt bedrijfsplatforms met Mastercard’s virtuele-kaartdiensten via één geïntegreerde interface. Het combineert het aanmaken van credentials en het starten van betalingen in één proces.
Heeft Citibank deze functies al?
Citibank gebruikt inmiddels de controles voor uitgifte en clearing. Een wereldwijde uitrol is gepland voor 2026, maar een specifiek tijdschema per land is nog niet bekendgemaakt.