Kennissessie Wwft-audit: wat werkt in de praktijk (en wat verandert er met de AMLR?)

SRA ziet dat kantoren de aandachtspunten uit de 0-metingen steeds vaker praktisch oppakken. In vervolgaudits blijkt dat veel actiepunten al zijn afgehandeld. Tegelijk blijft Wwft-compliance voortdurend in beweging, zei Philippe Boileau (coördinator Wwft-audit bij SRA) bij de start van de kennissessie. Denk aan wisselingen in Wwft-rollen, nieuwe software voor het cliëntenonderzoek en portefeuilleovernames. Ook ontwikkelingen van buiten vragen om blijvende aandacht en vastlegging. Daarover lees je later in dit artikel meer.

Wat zag het BFT in 2025?

Floris Olling en Jan-Pieter de Jong (BFT) vertelden wat de toezichthouder in 2025 tegenkwam bij integrale Wwft-onderzoeken bij accountantskantoren. In ongeveer 65% van de onderzoeken constateerde het BFT één of meer overtredingen. Die gingen vooral over het cliëntenonderzoek en de monitoringsverplichting. Kantoren twijfelen daarbij vaak: hebben we 'genoeg' gedaan? Omdat situaties in de praktijk lang niet altijd zwart-wit zijn, kijkt het BFT vooral naar het proces: welke signalen waren er, wat heeft het kantoor ermee gedaan en hoe is de afweging vastgelegd?

Auditfunctie: artikel 2d Wwft in de praktijk

Naast integrale onderzoeken doet het BFT ook deelonderzoeken, bijvoorbeeld over het risicobeleid en risicomanagement en over de audit- en compliancefunctie. Daarbij benadrukte het BFT wat artikel 2d Wwft vraagt: een onafhankelijke auditfunctie (passend bij aard en omvang) die beoordeelt of de inrichting, processen en procedures effectief zijn en daarover rapporteert. In uitvragen bij kantoren ziet het BFT dat ongeveer de helft de auditfunctie nog niet (voldoende) heeft ingericht.

Leg je afwegingen vast

Het BFT sloot af met een terugkerend dilemma: de Wwft vraagt om een kritische houding, maar dat kan botsen met andere doelen, zoals klantrelatie, efficiëntie en omzet. Dan ligt 'papieren' compliance op de loer: standaardteksten die niet goed passen bij het eigen kantoor. Het BFT herhaalde daarom de kernboodschap: blijf kritisch en leg vast. Vraag door, maak je afwegingen expliciet en documenteer ze.

Wat verandert er per 10 juli 2027?

Het BFT wees op het Europese AML-pakket dat op 10 juli 2027 ingaat. Dat pakket bestaat uit twee verordeningen die direct gelden (AMLR en AMLAR) en uit de zesde anti-witwasrichtlijn (AMLD6). Vanaf die datum vervalt de huidige Wwft. Birgit Snijder-Kuipers (hoogleraar Corporate Compliance and Anti-Money Laundering aan de Radboud Universiteit Nijmegen) lichtte toe wat dit in de praktijk betekent. Haar belangrijkste advies: begin nu al en werk stap voor stap toe naar de nieuwe eisen.

Uitbesteding: maak nu al een compleet overzicht

Een belangrijk thema is uitbesteding. Alles wat straks als uitbesteding telt, moet vóór 10 juli 2027 bij het BFT zijn gemeld. Birgit adviseert daarom om nu al in kaart te brengen welke systemen en externe partijen onderdeel zijn van je Wwft-proces. In de praktijk zijn dat er vaak meer dan je denkt. Let ook op: sommige taken mag je niet uitbesteden, zoals het melden van ongebruikelijke transacties bij de Financial Intelligence Unit Nederland (FIU-Nederland) en het toekennen van risicoprofielen. Start dus tijdig met inventariseren en houd het overzicht actueel. Dat helpt ook om bij een audit te laten zien dat je bewust keuzes hebt gemaakt.

Cliëntenonderzoek: wat wordt explicieter?

In het cliëntenonderzoek verandert er volgens Birgit inhoudelijk minder dan het op papier lijkt. Wel wordt de eis explicieter: je moet kunnen uitleggen wat je vastlegt en waarom. Rondom UBO's (straks: Beneficial Owners, BO's) zijn er wél concrete wijzigingen. Een voorbeeld is de verschuiving van de grens van 'meer dan 25%' naar '25% of meer'. Iemand met precies 25% belang moet dus ook in het register. Daarnaast moet je meer gegevens van (U)BO's verzamelen en verifiëren, zoals geboorteplaats en -datum, nationaliteit en woonadres. Verder krijgt sanctiewetgeving een duidelijkere plek in het antiwitwaskader.

Tot 2027 blijft er ook al veel bewegen

De nieuwe wetgeving betekent niet dat er tot 10 juli 2027 niets meer verandert in de Wwft. Zo krijgt de FIU-Nederland per 1 juli 2026 de bevoegdheid om transacties op te schorten. Dit komt straks ook terug in de nieuwe wetgeving.

AMLR-beleid: bundel, plan en toets

Birgit adviseert om één samenhangend document te maken voor je AMLR-beleid. Zet daarin beleid, procedures en gedragsregels bij elkaar en actualiseer het op tijd. ''Praktisch helpt het om alvast een versie klaar te zetten met ingangsdatum 10 juli 2027. Werk daarna gefaseerd aan 'zekere' wijzigingen (zoals de UBO-grens), maar laat de update pas op 10 juli 2027 ingaan, niet eerder. En vergeet niet: beleid is meer dan opschrijven. Je moet het ook naleven én kunnen aantonen dat je controleert of het wordt nageleefd.''

Wat nemen we mee uit deze sessie?

De Wwft-audit en de toezichtpraktijk laten hetzelfde zien: compliance werkt pas echt als het stelsel klopt en wordt gebruikt. Dat betekent: beleid dat past bij het kantoor, een zorgvuldig cliëntenonderzoek, doorlopende monitoring en het vastleggen van belangrijke afwegingen.

Tegelijk komt 10 juli 2027 dichterbij. Door nu al te inventariseren (bijvoorbeeld rond uitbesteding) en stap voor stap toe te werken naar de AMLR, voorkom je dat de overgang straks één grote 'big bang' wordt.