Grip op AML / Wwft-verplichtingen
Een goede AML/CTF-aanpak begint bij een sterke basis. Je moet weten wanneer de wet van toepassing is, welke verplichtingen gelden en hoe je die praktisch en aantoonbaar goed inricht. Denk aan cliëntenonderzoek, het vaststellen van de UBO of pseudo-UBO, PEP-checks, sanctiecontroles en het opbouwen van een duidelijk risicoprofiel per cliënt of dossier.
Bij Compleet Partners helpen wij organisaties om dit slim, efficiënt en kwalitatief sterk in te richten. In deze FAQ beantwoorden we veelgestelde vragen uit de praktijk, zodat je snel inzicht krijgt in de belangrijkste verplichtingen en aandachtspunten.
De Wwft is van toepassing op bepaalde instellingen, ondernemingen en beroepsgroepen. Of jouw organisatie onder de Wwft valt, hangt af van de aard van de dienstverlening en de rol die je vervult. Het is daarom belangrijk om goed te beoordelen of en wanneer jouw werkzaamheden binnen de reikwijdte van de wet vallen. Doorgaans zijn dit banken, notarissen, accountants, advocaten, makelaars en financieel bemiddelaars.
De Wwft is de Wet ter voorkoming van witwassen en financieren van terrorisme. Deze wet verplicht organisaties om risico’s op witwassen en terrorismefinanciering tijdig te herkennen, te beoordelen en waar nodig passende maatregelen te nemen. Denk daarbij aan cliëntenonderzoek, screening, monitoring en het vastleggen van bevindingen.
AML staat voor Anti-Money Laundering en ziet op het voorkomen van witwassen. CTF staat voor Counter-Terrorist Financing en ziet op het voorkomen van terrorismefinanciering. De Wwft is de Nederlandse wet waarin deze verplichtingen juridisch zijn uitgewerkt.
De belangrijkste verplichtingen zijn het uitvoeren van cliëntenonderzoek, het risicogebaseerd beoordelen van cliënten en dossiers, het screenen op relevante risico’s, het monitoren van de relatie en het zorgvuldig vastleggen van de uitkomsten. Daarnaast moet een organisatie kunnen aantonen dat haar processen structureel en controleerbaar zijn ingericht.
De Wwft gaat uit van een risicogebaseerde aanpak. Dat betekent dat je niet ieder dossier op exact dezelfde manier behandelt, maar kijkt naar de aard van de cliënt, de dienstverlening, de structuur en de omstandigheden van het dossier. Zo zorg je ervoor dat je meer aandacht besteedt aan verhoogde risico’s en proportioneel handelt waar het risico lager is.
Cliëntenonderzoek moet in beginsel plaatsvinden voordat je een zakelijke relatie aangaat of werkzaamheden start. Ook tijdens de relatie kan opnieuw onderzoek nodig zijn, bijvoorbeeld als gegevens wijzigen, risico’s toenemen of signalen ontstaan die aanleiding geven tot nadere beoordeling.
Bij vereenvoudigd cliëntenonderzoek is sprake van een laag risico op witwassen of terrorismefinanciering. In dat geval kan een beperktere diepgang van het onderzoek volstaan, mits je dat op basis van een risicobeoordeling goed kunt onderbouwen.
Bij regulier cliëntenonderzoek voer je het gebruikelijke onderzoek uit zoals dat volgt uit de Wwft en jouw interne beleid. Je brengt onder meer de identiteit van de cliënt, de uiteindelijk belanghebbende(n), het doel van de relatie en de aard van de dienstverlening in kaart. Daarnaast beoordeel je de gevraagde dienstverlening op risico-indicatoren.
Bij verscherpt cliëntenonderzoek neem je aanvullende maatregelen, omdat sprake is van een verhoogd risico. Je doet dan diepgaander onderzoek naar bijvoorbeeld de cliënt, de UBO, de structuur, de herkomst van vermogen of middelen en de achtergrond van de dienstverlening of transactie.
Als je de identiteit van een natuurlijke persoon moet vaststellen en verifiëren, is een geldig identiteitsbewijs in de praktijk vaak noodzakelijk. Dat geldt bijvoorbeeld bij natuurlijke personen, maar ook bij vertegenwoordigers die namens een rechtspersoon optreden. Het doel is dat je voldoende zekerheid hebt over de identiteit van de persoon met wie je zaken doet.
Nee. De wet schrijft niet voor dat je alleen met dure ID-software aan je verplichtingen kunt voldoen. Wel moet je zorgen voor een betrouwbare manier van identificatie en verificatie die past bij het risico van het dossier en goed is vastgelegd in je proces.
Dat kan bijvoorbeeld door de identiteit te controleren aan de hand van een geldig origineel identiteitsdocument tijdens een fysieke afspraak of een zorgvuldig ingericht contactmoment. Belangrijk is dat je vastlegt wie heeft gecontroleerd, wanneer dat is gebeurd, welk document is gebruikt en wat de uitkomst van de controle was. De gekozen werkwijze moet betrouwbaar, proportioneel en intern goed geborgd zijn.
UBO staat voor Ultimate Beneficial Owner, oftewel de uiteindelijk belanghebbende. Dit is de natuurlijke persoon die uiteindelijk eigenaar is van of zeggenschap heeft over een organisatie of juridische structuur. Je stelt de UBO vast als onderdeel van het cliëntenonderzoek, zodat duidelijk is wie er uiteindelijk achter de cliënt zit.
Als je cliënt een rechtspersoon of andere juridische structuur is, moet je in beginsel vaststellen wie de UBO is. Dat is een vast onderdeel van het cliëntenonderzoek. Daarbij kijk je niet alleen naar formeel eigendom, maar ook naar feitelijke zeggenschap.
Dan kun je niet alleen op het UBO-register afgaan. Je moet zelf vaststellen wie de UBO is op basis van je cliëntenonderzoek. Blijkt de registratie onjuist of onvolledig, dan moet worden beoordeeld welke vervolgstappen nodig zijn en of een melding aan de KvK aan de orde is.
Een pseudo-UBO is de natuurlijke persoon uit het hoger leidinggevend personeel die je vastlegt als uiteindelijk belanghebbende als er na zorgvuldig onderzoek geen echte UBO kan worden vastgesteld. Ook dan moet je kunnen onderbouwen welke stappen je hebt gezet en waarom je tot die conclusie bent gekomen.
Als iemand namens een cliënt optreedt, moet je niet alleen de cliënt onderzoeken, maar ook die vertegenwoordiger identificeren en verifiëren. Daarnaast moet je vaststellen dat deze persoon bevoegd is om namens de cliënt te handelen.
Dat doe je aan de hand van stukken waaruit de vertegenwoordigingsbevoegdheid blijkt, zoals een KvK-uittreksel, statuten, een volmacht, een bestuursbesluit of andere relevante documentatie. Het is belangrijk dat je niet alleen de identiteit van de vertegenwoordiger vastlegt, maar ook waarom je ervan uitgaat dat deze persoon daadwerkelijk bevoegd is.
Een PEP is een politiek prominent persoon. Dit zijn personen die een prominente publieke functie vervullen of recent hebben vervuld. Bij PEP’s kunnen verhoogde integriteitsrisico’s spelen, waardoor extra alertheid en aanvullende maatregelen nodig kunnen zijn.
Een PEP-check voer je uit als onderdeel van het cliëntenonderzoek, zodat je tijdig kunt beoordelen of sprake is van een verhoogd risico. Ook tijdens de relatie kan het nodig zijn om opnieuw te screenen, bijvoorbeeld bij wijzigingen in de cliënt of bij periodieke herbeoordeling.
Een sanctiecontrole doe je wanneer je moet beoordelen of een cliënt, UBO, vertegenwoordiger of andere betrokken partij voorkomt op een relevante sanctielijst. Dat is met name belangrijk bij onboarding, bij wijzigingen in de relatie en bij dossiers met internationale componenten of verhoogde risico’s.
Verscherpt cliëntenonderzoek is verplicht als sprake is van een verhoogd risico op witwassen of terrorismefinanciering. Dat kan bijvoorbeeld aan de orde zijn bij complexe structuren, internationale risicofactoren, PEP’s, onduidelijke geldstromen of situaties waarin de dienstverlening of transactie nadere toelichting vraagt.
Dan is het belangrijk om intern een duidelijk rappel- en escalatieproces te hebben. Je vraagt de ontbrekende informatie gericht op, legt vast wat nog ontbreekt en bepaalt binnen redelijke termijn of het dossier kan worden voortgezet. Als essentiële informatie uitblijft, kun je het cliëntenonderzoek vaak niet afronden.
Een dossier mag niet onbeperkt in behandeling blijven zonder dat duidelijk is of aan de vereisten is voldaan. In de praktijk is het belangrijk om hier interne termijnen en beslismomenten aan te koppelen. Zo voorkom je dat dossiers blijven hangen zonder duidelijke opvolging of besluitvorming.
Als een cliënt onvoldoende informatie verstrekt of niet meewerkt, kun je het cliëntenonderzoek mogelijk niet afronden. In dat geval moet je beoordelen of de relatie wel kan worden aangegaan of voortgezet. Juist op dit punt is duidelijke interne besluitvorming belangrijk.
Een goed proces is overzichtelijk, consequent en praktisch uitvoerbaar. Werk met vaste termijnen, duidelijke informatieverzoeken, opvolgmomenten en een intern escalatiepunt als stukken uitblijven. Bij Compleet Partners zien wij vaak dat juist dit onderdeel het verschil maakt tussen losse inspanningen en een beheerst complianceproces.
Dat begint met heldere verantwoordelijkheden. Het moet duidelijk zijn wie documenten opvraagt, wie de inhoud beoordeelt, wie bij incomplete dossiers opvolgt en wie beslist als risico’s of onduidelijkheden blijven bestaan. Zonder duidelijke regie ontstaat al snel vertraging of versnippering.
Veelvoorkomende knelpunten zijn incomplete dossiers, onvoldoende onderbouwde risicobeoordelingen, te late opvolging van ontbrekende informatie en onduidelijkheid over eigenaarschap binnen het proces. Ook zien wij regelmatig dat dossiers te lang blijven doorlopen terwijl essentiële informatie nog ontbreekt.
Een externe compliance officer is vaak een goede oplossing als intern onvoldoende tijd, capaciteit, specialistische kennis of onafhankelijkheid aanwezig is om het AML/CTF-proces goed te organiseren. Dat geldt vooral wanneer compliance wel belangrijk is, maar in de praktijk blijft liggen of versnipperd raakt.
Een externe compliance officer kan helpen bij het opstellen en verbeteren van beleid, het uitvoeren van dossierreviews, het beoordelen van complexe dossiers, het inrichten van werkprocessen, het trainen van medewerkers en het versterken van interne kwaliteitscontrole. Compleet Partners ondersteunt organisaties juist op die punten waar de praktijk stroef loopt of extra deskundigheid nodig is.
In ieder geval moet duidelijk zijn wanneer de wet van toepassing is, welke risico’s worden onderscheiden, hoe cliëntenonderzoek wordt uitgevoerd, wanneer vereenvoudigd of verscherpt onderzoek aan de orde is, hoe UBO’s, vertegenwoordigers, PEP’s en sancties worden beoordeeld, en hoe dossiers worden vastgelegd, opgevolgd en geëscaleerd. Ook verantwoordelijkheden en besluitvorming moeten helder zijn beschreven.
Een dossier is voldoende onderbouwd als duidelijk is wie de cliënt is, wie de UBO of pseudo-UBO is, wie namens de cliënt optreedt, welk risico is vastgesteld, welke controles zijn uitgevoerd en hoe ontbrekende informatie of risico’s zijn opgevolgd. Het dossier moet logisch, navolgbaar en aantoonbaar maken waarom de gekozen aanpak passend was.
AMLA is de nieuwe Europese anti-witwasautoriteit: de Anti-Money Laundering Authority. Deze autoriteit moet het toezicht en de samenwerking binnen Europa versterken. Voor organisaties is dit vooral relevant omdat het Europese AML/CTF-toezicht verder wordt geharmoniseerd.
De AMLR is de nieuwe Europese anti-witwasverordening. Deze verordening moet zorgen voor meer uniforme AML/CTF-regels binnen de Europese Unie en vormt een belangrijk onderdeel van het nieuwe Europese AML-pakket.
AMLA en de AMLR laten zien dat AML/CTF-regelgeving binnen Europa verder wordt geharmoniseerd en aangescherpt. Voor organisaties is het daarom belangrijk om processen niet alleen aan de huidige verplichtingen te toetsen, maar ook toekomstbestendig in te richten. Bij Compleet Partners helpen wij organisaties om die vertaalslag tijdig en praktisch te maken.
De AMLR is in juni 2024 gepubliceerd en juridisch al in werking getreden, maar de meeste regels worden pas vanaf 10 juli 2027 van toepassing. Dat betekent dat organisaties nog tijd hebben om processen hierop voor te bereiden, maar wel nu al moeten nadenken over een toekomstbestendige inrichting van hun AML/CTF-proces.
Als een cliënt niet of onvoldoende reageert, terwijl voor het dossier nog essentiële informatie ontbreekt, ontstaat het risico dat werkzaamheden doorgaan zonder dat het cliëntenonderzoek goed is afgerond. Juist dan is het belangrijk om intern duidelijke grenzen te stellen. Leg vast welke informatie nog ontbreekt, welke rappels zijn verstuurd, wie hierover beslist en op welk moment het werk moet worden gepauzeerd of gestopt. Bij Compleet Partners zien wij in de praktijk dat juist deze besluitvorming vaak te lang vooruit wordt geschoven, terwijl daar wel een duidelijk proces voor nodig is.
Dat is begrijpelijk, zeker bij kleinere en middelgrote kantoren waar de cliëntrelatie vaak zwaar weegt. Toch is het belangrijk om vooraf vast te leggen wanneer een dossier niet verder kan zonder aanvullende informatie of afronding van het cliëntenonderzoek. Als die grens niet duidelijk is, blijft het werk vaak doorlopen terwijl de compliancebasis ontbreekt. Een werkbaar AML/CTF-proces vraagt daarom niet alleen om inhoudelijke beoordeling, maar ook om duidelijke interne besluitvorming en rugdekking voor medewerkers.
Een risicocategorie mag geen standaardlabel zijn dat automatisch wordt toegekend zonder duidelijke onderbouwing. De classificatie moet volgen uit een concrete beoordeling van factoren zoals de cliënt, de dienstverlening, de structuur, de geografische componenten, de transacties en eventuele signalen of bijzonderheden. Pas als die afweging inzichtelijk is gemaakt, is een indeling als laag, medium of hoog ook echt verdedigbaar. Bij Compleet Partners zien wij regelmatig dat organisaties wel een risicocategorie invullen, maar nog onvoldoende vastleggen waarom die keuze in dat specifieke dossier passend is.
Een risicocategorie heeft pas waarde als intern duidelijk is welke gevolgen daaraan zijn verbonden. Een dossier met een laag risico vraagt doorgaans om een beperktere diepgang, terwijl bij een medium of hoog risico meer onderzoek, aanvullende documentatie en intensievere monitoring nodig kunnen zijn. Als die gevolgen niet vooraf zijn uitgewerkt, blijven laag, medium en hoog in de praktijk al snel losse labels zonder echte betekenis.
Dat zien we veel terug in de praktijk. Er wordt wel een risicocategorie toegekend, maar medewerkers weten niet altijd welke acties, controles of escalaties daarbij horen. Dat moet ook goed tot uiting komen in je Risicobeleid of Wwft-beleid. Richt verder je processen daarop in.