Op weg naar de AMLR 3: Governance

De AMLR schrijft veel gedetailleerder dan de Wwft voor hoe een instelling haar organisatie moet inrichten. Deel 3 van de blogreeks gaat over de nieuwe governance-verplichtingen onder de AMLR.

Veel voorschriften zijn de afgelopen jaren al via richtsnoeren van de Europese Bankenautoriteit (EBA) met de financiële sector gedeeld. Onder toezicht staande instellingen die deze richtsnoeren hebben geïmplementeerd, zijn er daardoor grotendeels mee bekend en hebben een goede uitgangspositie. Daarbij speelt wel dat de AFM niet alle relevante EBA-richtsnoeren lijkt te hebben overgenomen, terwijl DNB dit de afgelopen jaren ruimhartiger heeft gedaan. Voor kleinere en niet-vergunninghoudende partijen is de stap groter. Dat kan ook gelden voor niet-financiële ondernemingen. Zij vallen niet onder de EBA-richtsnoeren, en hun raamwerk van beleid en procedures zal vaak zorgvuldiger ingericht moeten worden.

In een eerder verschenen artikel bespraken wij de nieuwe governance-eisen al uitgebreider. Een aantal belangrijke aspecten en onze eerste ervaringen zetten wij hieronder uiteen.

Raamwerk: beleid, procedures en maatregelen

Een instelling moet schriftelijk beleid en procedures hebben die passen bij haar aard en omvang. Het bestuur keurt het beleid expliciet goed. Het raamwerk moet actueel worden gehouden, en waar nodig worden aangepast als de instelling een zwak punt heeft geïdentificeerd.

Een tweetal punten vallen op:

• Het raamwerk moet alle activiteiten dekken die onder de AMLR vallen. Daarmee lijkt de AMLR ruimte te bieden voor een benadering waarbij niet ‘AMLR-plichtige’ activiteiten kunnen worden uitgesloten van de reikwijdte van het beleid; en
• Beleid ter naleving van gerichte financiële sancties is verplicht. Sanctiescreening wordt daarmee een vast onderdeel van het raamwerk en van het cliëntenonderzoek. Voor veel instellingen is dit nieuw. Deze ontwikkeling is extra interessant omdat de Nederlandse wetgever het nationale regime aangaande (naleving van) sanctieregelgeving op dit moment ook herziet. Instellingen moeten goed nadenken hoe zij deze beide ontwikkelingen gaan vatten in toekomstbestendig beleid.

 

Wij werpen hier alvast de vraag op of de AMLR aanleiding is om het interne AML/CFT-raamwerk opnieuw op te zetten of dat aanpassen volstaat. Een gap analyse (zie hieronder) kan helpen bij die afweging en het zal vervolgens per instelling verschillen wat de meest efficiënte keuze is. Wij neigen vooralsnog naar een geheel nieuwe opzet, gezien de vele (nieuwe) eisen, bijvoorbeeld op het gebied van governance, waarbij er op het niveau van specifiekere werkinstructies bijvoorbeeld wel voortgeborduurd kan worden op wat er al was. In blog 4 gaan wij nader in op hoe een instelling zich het best kan voorbereiden op de aanstaande implementatie van de AMLR.

Bedrijfsbrede risicoanalyse

De bedrijfsbrede risicoanalyse (door instellingen vaak ook wel meegenomen in het kader van de bredere de SIRA (Systematische Integriteitsrisicoanalyse)) blijft bestaan, met uitbreidingen. De instelling moet bijvoorbeeld ook het risico op ontwijking of niet-naleving van gerichte financiële sancties meenemen en de (nieuwe) risicovariabelen en -factoren uit de AMLR-bijlagen betrekken.

De analyse moet worden bijgewerkt vóór de lancering van een nieuw product, een nieuwe dienst of technologie, en voordat een product aan een nieuw cliëntsegment of in een nieuw gebied wordt aangeboden. De analyse moet ook periodiek worden herzien, maar de AMLR noemt geen vaste termijn. Wij zouden vooralsnog opteren voor ten minste een jaarlijkse herziening, of vaker indien nodig. Kortom: de bedrijfsbrede risicoanalyse wordt uitgebreider en instellingen moeten in de praktijk goed zien te borgen dat hij periodiek en event driven wordt aangepast. Beide gaat nu nog met regelmaat fout in de praktijk.

De AMLA heeft concept richtsnoeren over de bedrijfsbrede risicoanalyse dit (voor)jaar ter consultatie voorgelegd. De finale versie wordt dit kwartaal verwacht. Aangezien de bedrijfsbrede risicoanalyse aan de basis staat van het beleid en de procedures, raden wij marktpartijen aan eerst de bedrijfsbrede risicoanalyse te updaten aan de hand van de finale richtsnoeren, en daarna het beleid en de procedures (mede op basis daarvan) aan te passen aan de nieuwe regels.

Bestuur, nalevingsmanager, compliance officer en de auditfunctie

Net zoals onder de Wwft moet onder de AMLR een bestuurder expliciet als verantwoordelijke worden aangewezen voor de naleving van de AMLR (de zogenoemde ‘nalevingsmanager’, waar we diegene nu nog altijd de Wwft verantwoordelijke noemen). De eindverantwoordelijkheid ligt bij het bestuur als geheel. Naar onze mening veronderstelt dat basiskennis van de AMLR bij iedere bestuurder, die opgedaan zal moeten worden door training en opleiding.

De nalevingsmanager moet er onder meer op toezien dat het bestuur minimaal één keer per jaar, en zo nodig vaker, een rapport van de compliance officer ontvangt over de uitvoering van het beleid. Het bestuur keurt het beleid goed. Procedures ter uitvoering van dat beleid mogen ook (alleen) door de nalevingsmanager worden goedgekeurd.

Wat betreft het aanstellen van een compliance officer (de nalevingsfunctionaris) laat de AMLR minder ruimte voor maatwerk en proportionaliteit dan we onder de Wwft gewend zijn. Een compliance officer is verplicht. Wel mag een instelling, als omvang en risico’s dat rechtvaardigen, de rol bij de nalevingsmanager leggen of een compliance officer van een andere groepsentiteit aanwijzen.

De AMLR stelt uitgebreide eisen aan de positie en taken van de compliance officer. Wat ons betreft is dit het best te omschrijven als een wettelijke codificatie van de EBA-richtsnoeren over de AML/CFT compliance officer. Dat wordt vooral een zware kluif voor partijen die nu een proportionele invulling van de compliance functie hebben.

De AMLR schrijft voor dat een instelling in een (interne of externe) onafhankelijke auditfunctie moet voorzien. De mogelijkheid tot een proportionele invulling zoals die nu geldt onder de Wwft zien wij niet, althans in veel beperktere mate, terug in de AMLR. Wellicht brengen de (nog te publiceren) AMLA-richtsnoeren over de auditfunctie nog een verlichting, maar op basis van de level 1-teksten lijkt dit dus een aanzienlijke verzwaring te worden. Veel grotere marktpartijen beschikken reeds over een interne onafhankelijke auditfunctie. Kleinere partijen met regelmaat niet. Wel zien wij dus ruimte voor het – bijvoorbeeld voor een bepaalde periode in het jaar en met een specifieke opdracht – tijdelijk inhuren van een externe audiftfunctie.

Medewerkers: training, screening en klokkenluiders

 

• Medewerkers worden permanent opgeleid, afgestemd op hun functie en de risico’s. De AMLR voegt toe dat de training ook de risicoanalyse, het beleid, de verordening bij geldovermakingen (Transfer of Funds Regulation) en de handelingen van toezichthouders omvat. Bestuurders worden, anders dan in de Wwft, niet expliciet genoemd. Dat moet naar onze mening niet te letterlijk worden gelezen. De trainingsverplichting wordt specifieker voorgeschreven en de vraag is of een jaarlijkse of tweejaarlijkse bedrijfsbrede training nog wel volstaat, of dat instellingen daarin moeten gaan variëren naar gelang onderwerp en doelgroep.
• Screening. Medewerkers die bij de naleving betrokken zijn, worden vóór aanvang en daarna regelmatig beoordeeld op geschiktheid en betrouwbaarheid. Instellingen moeten ook een belangenconflictenbeleid hebben dat de naleving van de AMLR dekt. Wie dat al heeft op grond van de Wft, kan het vaak hergebruiken.
• Klokkenluiders. Het interne meldkanaal moet voldoen aan de Europese klokkenluidersrichtlijn, in Nederland geïmplementeerd via de Wet bescherming klokkenluiders. Voor organisaties die actief zijn op het gebied van financiële diensten of het voorkomen van witwassen geldt die wet al ongeacht hun omvang. Partijen die nog niet onder de wet vallen, bijvoorbeeld omdat zij nieuw onder de AMLR vallen en minder dan 50 werknemers hebben, moeten nog een meldkanaal inrichten.

 

Groepsbeleid

De norm richt zich tot de moederonderneming. Bij een groep met hoofdkantoor in de EU is dat de instelling die zelf geen dochter is van een andere EU-onderneming en ten minste één instelling als dochter heeft. Bij groepen buiten de EU gelden aanvullende voorwaarden. Omdat holdings als instelling kunnen kwalificeren (zie Op weg naar de AMLR 2: Reikwijdte), vallen zij in het bijzonder onder deze bepaling.

De moederonderneming voert, onder meer, een groepsrisicobeoordeling uit, stelt groepsbeleid vast, benoemt op groepsniveau een nalevingsmanager (en zo nodig een compliance officer) en regelt de informatie-uitwisseling binnen de groep.

Op 1 oktober 2026 heeft AMLA definitieve technische standaarden over groepsbrede vereisten aan de Europese Commissie aangeboden ter vaststelling.

Onduidelijkheid: guidance vanuit de AMLA

De olifant in de kamer is toch wel de AMLA. Veel (concept) richtsnoeren of technische standaarden zijn nog niet beschikbaar, of zijn pas recentelijk geconsulteerd (zie ook haar planning van begin dit jaar). De AMLA lijkt met deze vertraging rekening te houden door bijvoorbeeld een overgangstermijn van zes maanden voor te stellen die begint te lopen nadat de verschillende technische standaarden in werking zijn getreden.

Deze vertraging is niet bevorderlijk voor een gemakkelijke overgang naar het nieuwe raamwerk. De AFM heeft marktpartijen recentelijk aangemoedigd om op basis van wat wel (in concept) beschikbaar is, aan de slag te gaan. We snappen die oproep van de AFM. Tegelijkertijd is dit toch wel erg suboptimaal. Het aanpassen van beleid en procedures is een ding, het inrichten en implementeren ervan binnen de organisatie is een tweede. Als het daarna toch allemaal anders moet, is dat op zijn zachtst gezegd frustrerend. Het is ook niet eenvoudig om level 1 al wel te implementeren en daarna pas level 2 en/of level 3. Dan zou een algemene (uitgestelde) overgangstermijn voor alle levels tegen die tijd passender zijn, maar zover is het nog niet.

To do’s voor marktpartijen

De governance aanpassen is in onze ervaring een proces van de lange adem. Er kan nu al begonnen worden met:

• een gap analyse tussen het huidige raamwerk en de AMLR;
• het aanwijzen van de nalevingsmanager en een toets van de compliance- en auditfunctie;
• het actualiseren van de bedrijfsbrede risicoanalyse, inclusief sanctierisico’s, op basis van de finale richtsnoeren;
• screening, belangenconflictenbeleid, training en een klokkenluiderskanaal; en
• groepsbeleid, indien van toepassing.

 

Wij hebben een checklist ontwikkeld die instellingen de komende periode erbij kunnen houden bij het opstellen van het nieuwe raamwerk.

Voor partijen die hier nog niet mee werken, kan het zinvol zijn om het beleid en de procedures ter naleving van de AML/CFT-verplichtingen op te knippen in diverse beleidsstukken. We zien in de praktijk nog wel dat partijen hier één of hooguit twee tot drie beleidsstukken voor hanteren. Het nadeel daarvan is dat dit zich niet eenvoudig laat aanpassen. Als het beleidsraamwerk wordt opgeknipt in onderwerp-specifieke beleidsstukken, procedures en maatregelen en werkinstructies, kan er ook makkelijker alvast worden geanticipeerd op de nieuwe regels.

Finnius is in ieder geval op dit moment druk bezig met het ontwikkelen van een eigen inhoudelijke AI-tool die instellingen kan assisteren bij het opstellen van beleid. Wij combineren hierin de nieuwe regels met onze jarenlange praktijkervaring qua opstellen van beleid en interacties met de AFM en DNB op het gebied van de Wwft. Wij hopen dat deze tool in het voorjaar van 2027, nadat hopelijk veel wél duidelijk is, operationeel is, en door cliënten kan worden afgenomen. Mocht u daarin geïnteresseerd zijn, laat het ons dan weten via dit formulier. Dan kunnen wij met de diverse profielen rekening houden.

Voor assistentie kunt u contact opnemen met Pim Smith en/of Tim de Wit.

Geen blog missen in de ‘Op weg naar de AMLR’-reeks?

 Schrijf u nu in voor de Finnius Nieuwsbrief ‘Op weg naar de AMLR’ en ontvang nieuwe berichten direct in uw inbox.