Elke gereguleerde onderneming krijgt vroeg of laat te horen dat ze moet voldoen aan de regels voor witwasbestrijding (AML). Veel minder bedrijven krijgen ooit uitgelegd hoe dat er in de praktijk uitziet, en juist in dat gat verzanden zoveel goede voornemens. Wat “we moeten aan de AML-regels voldoen” omzet in iets wat een bedrijf dag in, dag uit daadwerkelijk doet, is het AML-beleid. Dat beleid maakt van een wettelijke verplichting een werkende praktijk.
Deze gids heeft twee doelen. Hij legt uit wat een AML-beleid is, wat erin hoort en hoe het verschilt van het bredere AML-programma. Daarna nemen we je mee door het opzetten van dat programma en bekijken we het wereldwijde regelgevingskader waaraan het moet voldoen. Alles is jurisdictieneutraal en gebaseerd op de wereldwijde standaard van de FATF, met verwijzingen naar nationale verschillen waar dat relevant is. Aan het eind begrijp je niet alleen beter wat AML-compliance is, maar weet je ook concreet hoe je het in de praktijk brengt.
Wat is een AML-beleid?
Een AML-beleid is het formele document waarin staat hoe een specifiek bedrijf voldoet aan zijn verplichtingen op het gebied van de bestrijding van witwassen en terrorismefinanciering. Het is deels intern draaiboek, dat de eigen mensen vertelt hoe ze hun werk compliant doen, en deels extern bewijs, want het is meestal het eerste wat een toezichthouder wil zien als die op de stoep staat.
Het beschrijft op één plek hoe het bedrijf zijn risico’s beoordeelt, klanten verifieert, screent en monitort, vermoedens meldt, gegevens vastlegt, medewerkers traint en het geheel aanstuurt. Met andere woorden: het is het schriftelijke antwoord op de vraag “hoe zorg je ervoor dat je niet wordt misbruikt om geld wit te wassen?”
AML-beleid vs. AML-programma
De twee termen worden vaak door elkaar gebruikt, maar ze betekenen niet hetzelfde en het loont om het onderscheid te maken. Het AML-beleid is het document: de schriftelijke vastlegging van hoe het bedrijf van plan is aan zijn verplichtingen te voldoen. Het AML-programma is alles wat het bedrijf daadwerkelijk doet om aan die verplichtingen te voldoen: de mensen, de systemen, de procedures en het werk van alledag. Het beleid legt vast wat de bedoeling is; het programma is wat er echt gebeurt.
Zie het beleid als de bouwtekening en het programma als het gebouw. Een bouwtekening zonder gebouw is gewoon papier, en een gebouw dat zonder tekening in elkaar is gezet, stort meestal in. Toezichthouders kijken naar allebei: ze vragen om het beleid, maar ze beoordelen je op de vraag of het programma erachter echt werkt. Een veelvoorkomende en kostbare fout is een indrukwekkend beleid met een hol programma: een document dat beheersmaatregelen belooft die het bedrijf in werkelijkheid niet uitvoert. De twee moeten op elkaar aansluiten, en dat is de rode draad door alles wat hierna volgt.
Wat betekent AML-compliance in de praktijk?
Haal het jargon weg en AML-compliance komt in de praktijk neer op vier dingen die een bedrijf continu doet: weten wie zijn klanten zijn, begrijpen welk risico ze vormen, in de gaten houden wat ze doen en in actie komen (door te melden) als iets verdacht lijkt. Al het andere (het beleid, de functionarissen, de trainingen enzovoort) is er om ervoor te zorgen dat die vier dingen betrouwbaar en aantoonbaar gebeuren.
Concreet betekent dat: de identiteit van een nieuwe klant verifiëren voordat je die onboardt, de klant toetsen aan sanctielijsten en watchlists, een risicobeoordeling maken, de activiteit in de loop van de tijd monitoren en alles wat verdacht is escaleren naar de juiste mensen en waar nodig naar de autoriteiten. En het betekent dat je van dat alles een administratie bijhoudt, zodat je je werk kunt aantonen. AML-compliance is niet iets wat je één keer bereikt, waarna je een certificaat aan de muur hangt. Het is een doorlopende operationele discipline. Het hoort bij de manier waarop het bedrijf werkt.
Waarom heb je een AML-beleid nodig?
Er zijn twee eerlijke redenen, en ze zijn allebei reëel. De eerste is dat het wettelijk verplicht is. Gereguleerde ondernemingen (financiële instellingen en een groeiende lijst andere partijen) moeten gedocumenteerde AML-maatregelen hebben, en wie die niet op orde houdt, riskeert zware straffen. Voor een gereguleerd bedrijf is er geen legale manier om zonder te opereren.
De tweede is dat het een echte risicobeheersingsmaatregel is en niet alleen een stuk papier. Een AML-beleid dat echt werkt, beschermt het bedrijf ertegen dat het wordt misbruikt als vehikel voor witwassen, tegen de fraude en reputatieschade die daaruit voortvloeien en tegen de boetes van toezichthouders die daarop volgen. Er is ook nog een heel praktisch derde punt: een beleid dat op papier staat én daadwerkelijk wordt nageleefd, is wat je in staat stelt compliance aan te tonen. Als een toezichthouder je vraagt hoe je het witwasrisico beheerst, is “dat weten we gewoon” geen geldig antwoord. Je hebt het beleid nodig, en de vastleggingen die laten zien dat het beleid ook echt is toegepast.
Wie heeft een AML-beleid nodig? Sectoren die onder AML-compliance vallen
AML-verplichtingen gelden voor wat toezichthouders in grote lijnen gereguleerde of meldingsplichtige instellingen noemen. Die lijst is langer dan de meeste mensen denken – en groeit nog steeds. Sectoren die doorgaans onder de regels vallen:
- Banken, kredietcoöperaties en andere instellingen die deposito’s aantrekken.
- Geldwisselkantoren, betaalinstellingen en geldtransactiekantoren.
- Beleggingsondernemingen, effectenmakelaars en vermogensbeheerders.
- Verzekeraars, met name voor levensverzekeringen en beleggingsgerelateerde producten.
- Cryptobedrijven en aanbieders van digitale activa.
- Casino’s en andere kansspelaanbieders.
- Aangewezen niet-financiële ondernemingen en beroepen: advocaten, accountants, makelaars en handelaren in goederen met een hoge waarde.
Die laatste groep is belangrijk, omdat de wereldwijde trend (aangejaagd door de FATF) is om AML-verplichtingen uit te breiden van de traditionele financiële sector naar de beroepsgroepen die criminelen gebruiken om geld te verplaatsen en wit te wassen. De Australische Tranche 2-hervormingen (zie verderop) zijn daar een goed recent voorbeeld van. De praktische consequentie: als je bedrijf met aanzienlijke waarden omgaat of anderen helpt waarde te verplaatsen, kun je ervan uitgaan dat AML-verplichtingen nu al gelden of dat binnenkort gaan doen.
Wat moet er in een AML-beleid staan?
De precieze invulling verschilt per bedrijf en jurisdictie, maar een volledig AML-beleid bestaat altijd uit dezelfde onderdelen. Ontbreekt er één, dan zit er een gat in je beleid:
- Een risicobeoordeling. De beoordeling door het bedrijf van zijn eigen risico’s op witwassen en terrorismefinanciering, per klant, product, geografie en kanaal. Hierop is al het andere gebaseerd.
- Procedures voor due diligence op klanten (CDD). Hoe het bedrijf verifieert wie zijn klanten zijn, inclusief cliëntenonderzoek (Know Your Customer, KYC) en, bij zakelijke klanten, het vaststellen van de uiteindelijk belanghebbende (UBO).
- Sancties en screening. Hoe klanten en tegenpartijen worden gescreend tegen sanctielijsten, gegevens over politiek prominente personen (PEP’s) en negatieve media.
- Transactiemonitoring. Hoe het bedrijf gedurende de hele klantrelatie activiteiten in de gaten houdt op verdachte patronen.
- Melden van ongebruikelijke transacties. Het proces om verdachte activiteiten te signaleren, te escaleren en te melden bij de bevoegde autoriteit.
- Vastlegging en bewaring. Welke gegevens worden bewaard, en hoe lang, om compliance aan te tonen.
- Training. Hoe en hoe vaak medewerkers worden getraind in hun AML-verplichtingen.
- Governance. Wie is eindverantwoordelijk? Doorgaans een aangewezen compliance officer of MLRO (verantwoordelijke voor witwasmeldingen) met duidelijke bevoegdheden.
Deze onderdelen zijn geen losse opsomming; ze vormen samen een systeem dat in elkaar grijpt. Daarom volgt het opbouwen van het programma erachter ook een logische volgorde.
Kernonderdelen van een AML-programma
Als het beleid opsomt wat er geregeld moet zijn, dan is het programma de plek waar die onderdelen echt gaan draaien. Zes ervan doen het zware werk, en ze ondersteunen elkaar:
- Know Your Customer (KYC) en due diligence op klanten (CDD). Verifiëren wie klanten zijn en hun risico beoordelen, inclusief het identificeren van de uiteindelijk belanghebbenden achter zakelijke klanten. Het fundament waarop het hele programma rust.
- Sanctiescreening. Klanten en tegenpartijen toetsen aan sanctielijsten, PEP-gegevens en watchlists, bij onboarding én doorlopend, om te voorkomen dat je zaken doet met verboden partijen.
- Transactiemonitoring. Klantactiviteit in de gaten houden op patronen die op witwassen wijzen, zoals het opknippen van transacties (structuring), ongebruikelijke geldstromen of activiteit die niet past bij het klantprofiel.
- Melding van ongebruikelijke transacties (SAR). Het signaleren, escaleren en melden van verdachte activiteiten bij de bevoegde Financial Intelligence Unit (FIU), wat in de meeste jurisdicties wettelijk verplicht is.
- Vastlegging en rapportage. Het documenteren van due diligence, screening en monitoring en het bewaren van die gegevens gedurende de voorgeschreven termijn, zodat je compliance kunt aantonen en meldingen kunt indienen.
- Training en bewustwording van medewerkers. Medewerkers in staat stellen rode vlaggen te herkennen en aan hun verplichtingen te voldoen, want een programma is maar zo sterk als de mensen die het uitvoeren.
Elk onderdeel ondersteunt de andere. Zwakke KYC ondermijnt de monitoring; slechte training ondermijnt alles. Een sterk programma laat ze allemaal samen draaien, niet een paar favorieten los van elkaar.
AML-risicobeoordeling en de risicogebaseerde aanpak
Als er één idee centraal staat in moderne AML, dan is het de risicogebaseerde aanpak, en die begint bij de risicobeoordeling. In plaats van identieke beheersmaatregelen toe te passen op elke klant en elke transactie, vraagt de risicogebaseerde aanpak, die wereldwijd door de FATF wordt gepromoot, dat een bedrijf zijn specifieke risico’s op witwassen en terrorismefinanciering in kaart brengt en zijn inspanningen vervolgens concentreert waar die risico’s het grootst zijn.
Een goede AML-risicobeoordeling kijkt langs meerdere dimensies. Je kijkt naar de klanten (wie ze zijn, waar ze vandaan komen, of er klanten met een hoger risico tussen zitten, zoals PEP’s), de producten en diensten (sommige zijn makkelijker te misbruiken dan andere), de geografie (sommige jurisdicties hebben inherent een hoger risico) en de kanalen (onboarding op afstand, zonder fysiek contact, is iets heel anders dan onboarding in persoon). Het resultaat is een set risicoclassificaties die de basis vormen voor al het andere: het niveau van due diligence dat je op een klant toepast, de intensiteit van de monitoring en waar je je capaciteit inzet. Daarom komt de risicobeoordeling bij elke verstandige AML-opzet als eerste. Sla je die over, dan ga je óf je laagrisicoklanten overcontroleren (verspilde moeite en onnodige frictie) óf je hoogrisicoklanten ondercontroleren (en zo glippen de echte problemen erdoor). De risicogebaseerde aanpak maakt een compliance-inrichting mogelijk die zowel effectief als proportioneel is.
Stappenplan voor AML-compliance
Dit is de praktische volgorde om het programma op te bouwen dat je beleid beschrijft. De volgorde is belangrijk, want elke stap bouwt voort op de stappen ervoor:
- Voer een AML-risicobeoordeling uit. Begin met het beoordelen van je specifieke risico’s voor klanten, producten, geografieën en distributiekanalen. Dat is de basis waarop al het andere wordt afgestemd; een programma zonder die basis is giswerk verpakt als beheersmaatregelen.
- Stel een AML-compliance officer aan. Wijs een gekwalificeerde, verantwoordelijke persoon aan, vaak de MLRO genoemd, met echte bevoegdheden en voldoende middelen om het werk te doen. Compliance zonder duidelijke eigenaar wordt al snel niemands taak.
- Zet procedures op voor due diligence op klanten. Leg vast hoe je bij onboarding de identiteit van klanten verifieert (KYC) en, bij zakelijke klanten, hoe je de uiteindelijk belanghebbenden vaststelt die er in laatste instantie zeggenschap over hebben. Pas verscherpte due diligence toe in gevallen met een hoger risico.
- Implementeer screening op sancties, PEP’s en negatieve media. Screen klanten en tegenpartijen tegen sanctielijsten en watchlists, gegevens over politiek prominente personen en negatief nieuws, zowel bij onboarding als doorlopend.
- Richt transactiemonitoring in. Zorg voor de middelen om activiteiten te monitoren op verdachte patronen, afgestemd op de risico’s uit je beoordeling, in plaats van generieke regels die je bedelven onder de ruis.
- Richt het melden van ongebruikelijke transacties in. Leg vast hoe medewerkers verdachte activiteiten signaleren, escaleren en melden bij de bevoegde FIU, en zorg dat iedereen het proces kent.
- Houd een grondige administratie bij. Documenteer je due diligence, screening, monitoring en meldingen, en bewaar de vastleggingen gedurende de voorgeschreven termijn. Wat niet is vastgelegd, is voor een toezichthouder niet gebeurd.
- Train je medewerkers. Geef iedereen relevante, regelmatige training, zodat ze rode vlaggen herkennen en aan hun verplichtingen voldoen. Een beleid werkt alleen als de mensen die het toepassen het begrijpen.
- Laat het programma onafhankelijk toetsen en auditen. Laat het programma beoordelen door iemand die niet verantwoordelijk is voor de uitvoering ervan, om te bevestigen dat het echt werkt en niet alleen op papier bestaat.
- Evalueer en actualiseer continu. Herzie de risicobeoordeling en het beleid wanneer je bedrijf, je klanten en de regels veranderen. AML-compliance is een levend proces, geen eenmalig project.
Doorloop je deze stappen op volgorde, dan maak je van een beleidsdocument een functionerend programma. Sla je er één over of neem je een shortcut, dan komt die zwakke plek meestal op het slechtst denkbare moment boven.
De pijlers onder een sterk AML-programma
Onder die stappen ligt een erkende structuur, vaak omschreven als de pijlers van een AML-programma en in detail uitgewerkt in naslagwerken zoals het FFIEC BSA/AML examination manual. Die pijlers zijn interne beheersmaatregelen (het beleid en de procedures zelf), een aangewezen compliance officer, doorlopende training van medewerkers, onafhankelijke toetsing en, als recentere toevoeging, due diligence op klanten inclusief doorlopende monitoring.
Het nut van die pijlers kennen: ze zijn precies waar een toezichthouder bij een onderzoek naar kijkt. Kun je bij elke pijler laten zien dat hij werkt (vastgesteld beleid, een verantwoordelijke functionaris op zijn post, gegeven trainingen, uitgevoerde toetsing en toegepaste due diligence), dan heb je de structuur van een effectief programma aangetoond. Het stappenplan hierboven is eigenlijk niets anders dan deze pijlers, in de volgorde waarin je ze zou opbouwen.
Het internationale AML-regelgevingslandschap
AML is een wereldwijde aangelegenheid, losjes maar effectief gecoördineerd door de Financial Action Task Force (FATF), waarvan de 40 Recommendations de internationale maatstaf vormen waar de wetgeving van de meeste landen op is afgestemd. Eén wereldwijde AML-wet bestaat er echter niet; elke jurisdictie implementeert de FATF-standaarden op haar eigen manier, via eigen wetgeving en toezichthouders. Een bedrijf dat internationaal actief is, moet dus aan meerdere regimes voldoen. Hieronder een kort overzicht van de belangrijkste.
Verenigde Staten
Het Amerikaanse regime is uiteraard de Bank Secrecy Act (uitgebreid door de USA PATRIOT Act en geactualiseerd door de Anti-Money Laundering Act 2020), uitgevoerd door FinCEN, terwijl OFAC verantwoordelijk is voor sancties. Het is een van de oudste en meest streng gehandhaafde regimes ter wereld, berucht om boetes die in de miljarden kunnen lopen, en het programma met vijf pijlers is het bepalende kenmerk ervan. De regels voor het melden van uiteindelijk belanghebbenden zijn de laatste tijd sterk in beweging geweest, dus het is verstandig de actuele stand van zaken rechtstreeks na te gaan.
Europese Unie
De EU heeft AML traditioneel geregeld via een reeks richtlijnen (de AMLD’s, inmiddels toe aan de zesde), die de lidstaten vervolgens in hun eigen nationale wetgeving hebben omgezet – in Nederland via de Wwft. De huidige beweging gaat naar een veel sterker geharmoniseerd model, met één Europese anti-witwasverordening (AMLR), die vanaf 2027 rechtstreeks in de hele EU van toepassing is, en een nieuwe Europese antiwitwasautoriteit (AMLA) die toezicht houdt en coördineert. Dat is duidelijk de richting die de EU op gaat.
Verenigd Koninkrijk
Na de brexit heeft het VK een eigen regime, gebaseerd op de Proceeds of Crime Act 2002 en de Money Laundering Regulations 2017 en met de FCA als belangrijkste toezichthouder op financiële ondernemingen (naast andere toezichthouders, elk in hun eigen domein). Het sluit nauw aan bij de FATF-standaarden en in grote lijnen bij de EU-aanpak, die het VK destijds als lidstaat mee heeft vormgegeven.
Australië
Het Australische regime is gebaseerd op de AML/CTF Act 2006 en wordt uitgevoerd door AUSTRAC. De belangrijkste recente ontwikkeling zijn de Tranche 2-hervormingen, die de AML/CTF-verplichtingen uitbreiden naar een reeks beroepen buiten de traditionele financiële sector (namelijk advocaten, accountants en makelaars). Die nieuwe verplichtingen gaan in 2026 in. Dat is een aanzienlijke uitbreiding van de reikwijdte van het regime.
India
Het Indiase kader draait om de Prevention of Money Laundering Act, 2002 (PMLA), waarbij de Financial Intelligence Unit (FIU-IND) meldingen ontvangt en het Enforcement Directorate de handhaving verzorgt, terwijl de Reserve Bank of India de KYC- en AML-eisen voor banken en financiële instellingen vaststelt. Als een van de snelst groeiende financiële markten ter wereld heeft India zijn regime gestaag aangescherpt, in lijn met de verwachtingen van de FATF.
De rode draad is de FATF. De details verschillen uiteraard, maar alle landen implementeren dezelfde internationale standaarden. De basis van een AML-beleid (risicobeoordeling, due diligence, screening, monitoring en melden) is daardoor overal gelijk, ook al verschillen de specifieke eisen. Voor een bedrijf dat in meerdere van deze jurisdicties actief is, maakt die gedeelde kern één goed beleid veel haalbaarder dan in elk land opnieuw vanaf nul beginnen.
Veelgemaakte fouten in AML-beleid die je moet vermijden
Weten hoe het goed moet, is makkelijker als je ook weet hoe het vaak misgaat. Dit zijn de fouten die steeds terugkomen:
- Een beleid dat op papier staat maar niet wordt nageleefd. De meest voorkomende en gevaarlijkste fout, want het document legt dan een norm vast waarvan aantoonbaar is dat het bedrijf die niet haalt.
- Compliance behandelen als eenmalige klus. Een programma opzetten en het vervolgens ongemoeid laten, terwijl het bedrijf, de klanten en de regels allemaal in beweging zijn.
- Zwakke UBO-controles. Wel verifiëren dat een bedrijf bestaat, maar nooit vaststellen wie er echt de zeggenschap heeft – precies het gat waar brievenbusconstructies misbruik van maken.
- Te veel vertrouwen op handmatige processen. Proberen met de hand te screenen en te monitoren op een schaal waarop dat simpelweg niet werkt, waardoor er dingen doorheen glippen.
- Verdrinken in fout-positieven. Slecht gekalibreerde screening en monitoring die zoveel ruis oplevert dat de echte risico’s erin ondersneeuwen.
De meeste van deze fouten hebben dezelfde oorzaak: het beleid behandelen als een document dat je moet opleveren in plaats van een programma dat je moet uitvoeren. De oplossing: bouw voor de praktijk, niet voor de audit.
Hoe vaak moet een AML-beleid worden bijgewerkt?
Een AML-beleid is een levend document, geen eenmalig opleverpunt, en het laten verouderen is een klassieke compliancefout. Als basis geldt: minstens één keer per jaar herzien. Maar de kalender is niet de enige aanleiding; het beleid moet ook opnieuw worden bekeken zodra er iets wezenlijks verandert. Denk aan de lancering van een nieuw product of een nieuwe dienst, de stap naar een nieuwe markt of regio, een verschuiving in het klantenbestand of risicoprofiel van het bedrijf, een wijziging in de toepasselijke wet- en regelgeving, en de bevindingen van een onafhankelijke audit of een onderzoek door de toezichthouder.
Het onderliggende principe is dat het beleid het bedrijf moet weerspiegelen zoals het nu is, niet zoals het was toen het beleid werd geschreven. Een snelgroeiend bedrijf kan binnen een paar maanden uit zijn AML-beleid groeien. Door elke herziening te behandelen als een echte herbeoordeling in plaats van een afvinkexercitie, blijven het beleid en het programma erachter geschikt voor hun doel.
AML-straffen en boetes van toezichthouders
AML-compliance krijgt de aandacht en het budget die het krijgt, omdat de straffen bij falen zwaar zijn – en steeds zwaarder worden. Ze komen in verschillende vormen, vaak in combinatie:
- Boetes. Toezichthouders leggen voor AML-tekortkomingen boetes op die regelmatig oplopen tot honderden miljoenen en in de ernstigste gevallen tot miljarden, of het nu om dollars, euro’s of ponden gaat. Het zijn enkele van de hoogste boetes die toezichthouders in welk domein dan ook opleggen.
- Strafrechtelijke aansprakelijkheid. In ernstige gevallen kunnen zowel bedrijven als de verantwoordelijke personen, onder wie compliance officers en senior managers, strafrechtelijk worden vervolgd.
- Verlies van vergunning of registratie. Een gereguleerd bedrijf kan de vergunning verliezen die het nodig heeft om te opereren, en dat betekent voor velen het einde.
- Bedrijfsbeperkingen en monitors. Toezichthouders kunnen operationele beperkingen opleggen of een onafhankelijke monitor binnen het bedrijf aanstellen die toeziet op het herstel.
- Reputatieschade. Handhaving is openbaar, en het verlies van vertrouwen bij klanten, partners en investeerders kan langer doorwerken dan welke boete ook.
Het patroon is in alle jurisdicties hetzelfde: de AML-handhaving is gestaag strenger geworden en de kosten van non-compliance zijn inmiddels ruimschoots hoger dan de kosten om het goed te doen. Voor een serieus bedrijf is dat het hele argument om AML goed te regelen.
Best practices voor AML-compliance
Het verschil tussen het goed doen en het alleen maar doen komt neer op een paar principes. Hanteer een risicogebaseerde aanpak en richt je inspanningen op waar het risico werkelijk het hoogst is, in plaats van ze gelijkmatig te verspreiden. Voer je controles doorlopend uit in plaats van eenmalig, want een klant die bij onboarding is goedgekeurd, kan maanden later alsnog een probleem worden. Automatiseer het zware werk (identiteitsverificatie, screening, monitoring), zodat je mensen hun oordeelsvermogen kunnen inzetten waar het ertoe doet. Documenteer alles, zodat compliance aantoonbaar is in plaats van alleen beweerd. En houd het beleid levend: herzie en actualiseer het wanneer het bedrijf en de regels veranderen.
De gemene deler is dat effectieve AML-compliance operationeel is, niet cosmetisch. Het zit verweven in de dagelijkse bedrijfsvoering: wie je als klant accepteert en hoe je die klanten monitort. De beste AML-programma’s zijn programma’s die je ook zou blijven uitvoeren als niemand meekeek.
Het is ook belangrijk om te onthouden dat compliance proportioneel is. Een klein bedrijf met een vrij overzichtelijk klantenbestand met een laag risico heeft niet dezelfde compliance-infrastructuur nodig als een wereldwijde bank. Juist de risicogebaseerde aanpak stelt je in staat de inspanning af te stemmen op je blootstelling, in plaats van simpelweg het programma van een ander te kopiëren. De structuur blijft gelijk (een gedocumenteerd beleid, een verantwoordelijke eigenaar, due diligence, screening, monitoring, melden en evaluatie), maar de diepgang ervan kan verschillen. De echte kunst van AML-compliance is die balans goed te vinden: voldoende grondigheid om het risico te beheersen, zonder dat het zo zwaar wordt dat het bedrijf erdoor wordt lamgelegd.
Waar Beady in beeld komt
Een AML-beleid bestrijkt veel meer terrein dan één tool ooit kan afdekken (transactiemonitoring, meldingen van ongebruikelijke transacties, training enzovoort). Beady richt zich op één onderdeel van dat beleid, en wel een onderdeel waarop meerdere van de bovenstaande stappen rusten: de laag van identiteiten en entiteiten. Oftewel de vraag “met wie heb je nu écht te maken?”, waar CDD, UBO-onderzoek en screening allemaal om draaien.
In de praktijk betekent dat automatisering van KYC en Know Your Business (KYB) die klanten verifieert en de uiteindelijk belanghebbenden achter zakelijke klanten in kaart brengt, met dekking van meer dan 200 miljoen rechtspersonen en functionarissen wereldwijd. Het betekent dat je die klanten, tegenpartijen en de personen die er zeggenschap over hebben, screent tegen sanctielijsten en watchlists en negatieve media, waarbij elke bevinding naar de bron te herleiden is, zodat je de beslissingen uit je beleid ook echt kunt onderbouwen. En het betekent doorlopende monitoring, zodat het “doorlopende” deel van je beleid werkelijkheid is in plaats van een ambitie. Beady is de due-diligence- en screeningmotor achter een AML-beleid; het vult de onderdelen transactiemonitoring, meldingen en training aan die ernaast staan, in plaats van ze te vervangen.
Een beleid dat je echt naleeft
Een AML-beleid dat in de la ligt, beschermt niemand. Het is het beleid dat daadwerkelijk wordt toegepast dat het bedrijf beschermt: het beleid dat verweven is met de manier waarop je een klant onboardt, de mensen achter een bedrijf controleert, een relatie in de loop van de tijd monitort en reageert als er iets niet klopt. Het beleid is belangrijk, maar alleen voor zover het het werkende draaiboek is van een echt programma dat daadwerkelijk wordt uitgevoerd en dat actueel blijft naarmate het bedrijf en de regels veranderen.
Veel van dat programma komt neer op weten met wie je te maken hebt en daar zeker van blijven, en juist dat is het lastigste en meest bepalende deel om goed te krijgen. Als je wilt zien hoe Beady die due-diligence- en screeninglaag aanpakt, door te verifiëren wie er echt achter een klant of tegenpartij zit en na de onboarding de vinger aan de pols te houden, vraag een Beady-demo aan en dan lopen we het samen door aan de hand van een bedrijf naar keuze.
