Wat is een Wwft-risicoanalyse?

• Een Wwft-risicoanalyse brengt de risico's op witwassen en terrorismefinanciering binnen een organisatie in kaart
• De risicobeoordeling moet worden vastgelegd, actueel worden gehouden en desgevraagd aan de toezichthouder worden verstrekt
• Onder andere cliënten, producten, diensten, transacties, leveringskanalen en geografische gebieden spelen een rol
• Uit de analyse moet blijken welke risico's zijn vastgesteld, hoe deze zijn beoordeeld en welke maatregelen daartegenover staan
• Vanaf 10 juli 2027 wordt de verplichting voortgezet in artikel 10 AMLR, met een ruimere inhoud

Een Wwft-risicoanalyse is een beoordeling van de risico's die een organisatie loopt om betrokken te raken bij witwassen of terrorismefinanciering. Daarbij wordt gekeken naar de specifieke activiteiten, cliënten en omstandigheden van de organisatie. De analyse maakt inzichtelijk waar de belangrijkste risico's liggen en hoe zwaar deze wegen.

Het analyseren van deze risico's is de eerste stap in de ontwikkeling van beleid, procedures en maatregelen. De risicoanalyse vormt daarmee een belangrijke basis voor het Wwft-beleid binnen een organisatie. Het gaat dus niet alleen om het benoemen van risico's, maar ook om het onderbouwen van de beoordeling en de maatregelen die daaruit volgen.

De Wwft verplicht instellingen om maatregelen te nemen om hun eigen risico's op witwassen en financieren van terrorisme vast te stellen en te beoordelen, waarbij die maatregelen in verhouding staan tot de aard en de omvang van de instelling. De resultaten moeten worden vastgelegd, actueel worden gehouden en desgevraagd aan de toezichthoudende autoriteit worden verstrekt.

De risicobeoordeling is in beginsel vormvrij: er bestaat niet één vast model dat iedere organisatie moet gebruiken. Wel moet de toezichthouder kunnen beoordelen of de risico's voldoende in kaart zijn gebracht en of het beleid en de procedures adequaat zijn ingericht. Voor instellingen onder toezicht van AFM of DNB gelden strengere verwachtingen door hun uitvoerige SIRA-leidraden. In bijzondere gevallen kan de toezichthouder ontheffing verlenen als de specifieke inherente sectorrisico's duidelijk en inzichtelijk zijn.

Bij een Wwft-risicoanalyse moet een instelling in ieder geval rekening houden met de risicofactoren die verband houden met het type cliënt, product, dienst, transactie en leveringskanaal en met landen of geografische gebieden. Welke factoren het zwaarst wegen, kan per organisatie verschillen.

Daarnaast gelden aanvullende bronnen die niet mogen worden overgeslagen. De bijlagen II en III bij de vierde anti-witwasrichtlijn bevatten niet-limitatieve lijsten van factoren die wijzen op een potentieel lager respectievelijk hoger risico. Ook moeten de risico's die op Europees niveau in de supranationale risicobeoordeling (SNRA) en op nationaal niveau in de nationale risicobeoordeling (NRA) zijn geïdentificeerd, worden meegenomen in de eigen risicobeoordeling. De sectorleidraden en risicomatrixen van de toezichthouder unnen daarbij als hulpmiddel dienen.

Door deze factoren gezamenlijk te beoordelen ontstaat een beeld van de risico's waaraan de organisatie daadwerkelijk wordt blootgesteld. Daarbij is vooral de onderbouwing belangrijk: de indeling in risicocategorieën van laag tot hoog moet worden gebaseerd op objectieve en kenbare indicatoren.

Een Wwft-risicoanalyse begint met risico-identificatie: het vaststellen van de onderdelen van de dienstverlening die kwetsbaar zijn voor witwassen en terrorismefinanciering. Daarna volgt de risicoanalyse, waarin kans en impact worden beoordeeld, vervolgens de inrichting van de risicobeheersing en tot slot de monitoring en herziening.

Een algemene opsomming van mogelijke Wwft-risico's is daarvoor niet voldoende. De analyse moet aansluiten op de eigen activiteiten en omstandigheden. Een organisatie die voornamelijk Nederlandse zakelijke cliënten bedient, heeft bijvoorbeeld een ander risicoprofiel dan een organisatie die internationale cliënten bedient of actief is in landen met een verhoogd risico.

Een Wwft-risicoanalyse kijkt naar de risico's op organisatieniveau. Welke typen cliënten, diensten, transacties, leveringskanalen en landen kunnen binnen de organisatie bijvoorbeeld een verhoogd risico opleveren? Daarmee ontstaat een algemeen beeld van de risico's waaraan de organisatie wordt blootgesteld.

Een cliëntbeoordeling richt zich juist op een specifieke cliënt, zakelijke relatie of transactie. Die beoordeling speelt een rol bij het bepalen van de aard en intensiteit van het cliëntenonderzoek. De twee hangen dus met elkaar samen, maar hebben ieder een ander uitgangspunt.

Voor instellingen die ook onder de Wft vallen, komt daar nog een niveau bij: de SIRA. Die ziet op integriteitsrisico's in brede zin en heeft daarmee een breder bereik dan de Wwft-risicobeoordeling. Het ligt voor de hand, hoewel het niet verplicht is, dat de Wwft-risicobeoordeling onderdeel is van de SIRA.

Een Wwft-risicoanalyse moet actueel worden gehouden. Er geldt niet één vaste termijn waarbinnen iedere organisatie de volledige analyse opnieuw moet uitvoeren; wel is het nodig dat regelmatig een risicoanalyse wordt gemaakt en tussentijds wanneer gewijzigde omstandigheden daartoe aanleiding geven.

Stel dat een organisatie nieuwe diensten gaat aanbieden, een ander type cliënt gaat bedienen of actief wordt in nieuwe landen. Dan kunnen ook de risico's op witwassen en terrorismefinanciering veranderen. Ook externe ontwikkelingen zoals geopolitieke veranderingen, wijzigingen in wetgeving, incidenten of media-aandacht kunnen aanleiding zijn om de risicobeoordeling bij te werken.

Een risicoanalyse kan op papier aanwezig zijn, maar toch onvoldoende aansluiten op de daadwerkelijke situatie van een organisatie. Alleen vermelden dat bijvoorbeeld een bepaald type cliënt een "hoog risico" vormt, is niet genoeg. Uit de vastlegging moet blijken wat de uitkomsten van de risicobeoordeling zijn en welke aanvullende maatregelen worden getroffen.

Ook een verouderde risicoanalyse kan problemen opleveren. Een analyse die enkele jaren geleden is opgesteld terwijl de organisatie inmiddels nieuwe diensten aanbiedt, andere typen cliënten bedient of internationaal actief is geworden, sluit niet meer aan op het actuele risicoprofiel. Van instellingen wordt verwacht dat zij hun organisatie op continue basis doorlichten. Een goede risicoanalyse is daarom geen statisch document, maar beweegt mee met relevante veranderingen binnen de organisatie.

De verplichting verdwijnt niet, maar verhuist. De Wwft wordt ingetrokken zodra de Europese antiwitwasverordening (AMLR) gaat gelden. Die is vanaf 10 juli 2027 rechtstreeks van toepassing in alle lidstaten, zonder overgangsrecht.

Artikel 10 AMLR spreekt van een "bedrijfsbrede risicobeoordeling" en breidt de inhoud uit. Naast de risico's op witwassen en terrorismefinanciering moeten ook de risico's van niet-uitvoering en ontduiking van gerichte financiële sancties worden geïnventariseerd. Verplichte bronnen zijn onder meer de risicovariabelen en risicofactoren uit de bijlagen I tot en met III, de risicobeoordeling op Unieniveau, de nationale en sectorale risicobeoordelingen, publicaties van de Commissie en AMLA, informatie van bevoegde autoriteiten en informatie over het eigen cliëntenbestand.

Twee andere wijzigingen zijn praktisch relevant. Vóór de introductie van nieuwe producten, diensten, leveringskanalen, technologieën, cliëntsegmenten of geografische gebieden moeten de daarmee verband houdende risico's afzonderlijk worden geïnventariseerd en beoordeeld. Daarnaast wordt de bedrijfsbrede risicobeoordeling opgesteld door de nalevingsfunctionaris en goedgekeurd door het leidinggevend orgaan.

Een actuele risicoanalyse werkt pas goed wanneer duidelijk is welke risico's een organisatie loopt, hoe deze zijn beoordeeld en welke maatregelen nodig zijn om ze te beheersen. De analyse moet daarbij blijven aansluiten op de daadwerkelijke activiteiten en ontwikkelingen binnen de organisatie, en straks ook op de eisen van de AMLR. Wil je weten of jouw Wwft-beleid en risicobeoordeling nog aansluiten op de praktijk? Of heb je ondersteuning nodig bij screening, risicobeoordeling of andere compliancevraagstukken? Neem gerust contact op met het team van DataWorx. Wij helpen je graag verder.