Het vervelendste moment bij compliance in meerdere rechtsgebieden is niet een regel die je team uitvoerig heeft besproken en verkeerd heeft uitgelegd. Het is een regel die veranderde in een markt waarin je actief bent, zonder dat iemand het opmerkte, en die maanden later wordt aangehaald door een toezichthouder of auditor die ervan uitgaat dat je ervan had moeten weten. De verklaring is altijd een variant op hetzelfde: we wisten niet dat de regel was veranderd.
Wanneer je in meerdere rechtsgebieden actief bent, die elk hun eigen tijdschema volgen, is de hoeveelheid wijzigingen simpelweg te groot om via het nieuws bij te houden. Er zijn te veel stelsels die te vaak en op te veel fronten tegelijk veranderen. Reageren op wat toevallig op je bureau belandt, is geen systeem. En juist het ontbreken van een systeem is meestal de oorzaak wanneer een team zegt: we wisten het niet.
Een raamwerk biedt een werkbare aanpak. Dat raamwerk bestaat uit twee onderdelen die teams vaak door elkaar halen. Het ene is het volgen van de regels: weten wanneer een stelsel daadwerkelijk verandert. Het andere is het monitoren van je blootstelling: weten welke van je entiteiten door een bepaalde wijziging worden geraakt. De meeste teams richten hun inspanningen op het eerste en verwaarlozen het tweede. Dat is een probleem, want juist in dat tweede onderdeel wordt een regelwijziging een daadwerkelijk risico. Voordat we het raamwerk uitwerken, helpt het om helder te hebben wat je precies volgt, omdat de begrippen vaak losjes worden gebruikt.
Wat AML is en waarom het belangrijk is
Als je de terminologie weglaat, draait AML om één operationele vraag die steeds opnieuw wordt gesteld: mogen we wettelijk zakendoen met deze partij, en hoe weten we dat? Witwasbestrijding (AML) omvat de wetten en procedures die deze vraag helpen beantwoorden en moet voorkomen dat criminelen illegaal geld als legitieme inkomsten voorstellen. Sancties, de overheidsbeperkingen op het zakendoen met specifieke landen, entiteiten en personen, worden in samenhang hiermee behandeld, omdat ze dezelfde vraag vanuit een andere invalshoek beantwoorden.
Fouten zijn op twee manieren kostbaar, en die versterken elkaar. De meest voor de hand liggende zijn boetes: tekortkomingen bij AML en sanctienaleving leiden tot enkele van de hoogste boetes die toezichthouders opleggen. Bovendien wordt de handhaving steeds strenger, met grote zaken waarin boetes tot ver in de honderden miljoenen oplopen. Het minder zichtbare risico raakt het voortbestaan van je bedrijf. In de meeste gereguleerde markten is een werkend AML- en sanctieprogramma een voorwaarde om actief te mogen zijn. Een bank, betaaldienstverlener, cryptobeurs of kansspelaanbieder die zo’n programma niet kan aantonen, riskeert dus niet alleen een boete, maar ook zijn vergunning en toegang tot het financiële stelsel. Betreed je een nieuwe markt over de grens, dan ontstaan die risico’s daar opnieuw.
Een overzicht van AML-lijsten: soorten en belangrijkste verschillen
Veel werkzaamheden rond AML en sancties steunen op lijsten. Een veelvoorkomende bron van verwarring is dat ze als één geheel worden behandeld, terwijl er verschillende soorten zijn, elk met een eigen doel en eigen gevolgen bij een match. Weten welke lijst waarvoor dient, maakt het verschil tussen een doordacht screeningprogramma en een programma dat elke treffer hetzelfde behandelt.
| Soort lijst | Wat erop staat | Wat een match betekent |
| Sanctielijsten | Partijen waarmee overheden het zakendoen verbieden of beperken, zoals op OFAC SDN, de geconsolideerde lijst van de EU en sanctieaanwijzingen van de UN | Vaak een absoluut verbod. Zakendoen met een gesanctioneerde partij kan op zichzelf al strafbaar zijn, dus een bevestigde match betekent meestal dat de relatie wordt stopgezet |
| Watchlists | Partijen die door opsporingsdiensten of toezichthouders zijn aangemerkt als relevant voor onderzoek, zonder dat er formele sancties gelden | Een aanleiding voor onderzoek en verscherpte controle, geen automatisch verbod |
| PEP-lijsten | Politiek prominente personen: hoge overheidsfunctionarissen, hun familieleden en naaste geassocieerden, bij wie het corruptierisico hoger is | Geen verbod. Een match leidt tot verscherpte due diligence en intensievere doorlopende monitoring, niet tot afwijzing |
| Negatieve media | Negatieve berichtgeving die een partij in verband brengt met financiële criminaliteit, fraude of andere risico’s, afkomstig uit openbare berichtgeving in plaats van een formele lijst | Een risicosignaal dat je moet beoordelen en verifiëren, juist nuttig omdat het problemen kan blootleggen voordat die op een formele lijst terechtkomen |
Het belangrijkste onderscheid is wat een match daadwerkelijk betekent. Een sanctietreffer betekent vrijwel altijd dat je moet stoppen. Een PEP-match, een vermelding op een watchlist of een signaal uit negatieve media is iets heel anders: een aanleiding om verder te onderzoeken en een afgewogen oordeel te vormen, geen automatische afwijzing. Alle vier op dezelfde manier behandelen, of je nu alles direct blokkeert of alles zonder meer doorlaat, is een veelvoorkomende fout die vaak duur uitpakt.
De AML-controles die er echt toe doen
Al die lijsten zijn één ding. Wat een programma er dagelijks mee doet, is iets anders. De precieze invulling verschilt per rechtsgebied en sector, maar in de kern zie je in elke gereguleerde markt ongeveer dezelfde controles terug.
Identiteitsverificatie met KYC en KYB
Alles begint met vaststellen met wie je daadwerkelijk zakendoet. KYC draait om het verifiëren van een persoon; KYB om het verifiëren van een bedrijf, zijn juridische bestaan en wie uiteindelijk eigenaar is en zeggenschap heeft. Als dit onderdeel niet klopt, werkt de rest evenmin. Je kunt een partij immers niet zinvol screenen als je niet eerst goed hebt vastgesteld wie die partij is. Het verschil tussen deze controles en doorlopende monitoring verdient een eigen toelichting en wordt in een afzonderlijk artikel uitgewerkt.
Screening op sanctielijsten en watchlists
Zodra de identiteit van de partij is vastgesteld, screen je die aan de hand van de toepasselijke sanctielijsten en watchlists. Met deze stap herken je een partij waarmee je geen zaken mag doen voordat de relatie begint. Een goede aanpak loopt ook na de onboarding door, omdat een partij die tijdens je controle niet op een sanctielijst staat, daar later wel op kan worden geplaatst.
Screening op PEP’s en negatieve media
Naast de sanctiecontrole kijk je of een partij politiek prominent is en of er negatieve media over die partij zijn. Geen van beide leidt automatisch tot afwijzing. Ze verhogen wel het risicoprofiel. Dat is aanleiding voor verscherpte due diligence: nader onderzoeken wat de relatie inhoudt, welk doel die werkelijk dient en waar het geld vandaan komt.
Doorlopende monitoring
In veel programma’s krijgt dit onderdeel pas achteraf aandacht, en dat merk je. Identiteit, sanctiestatus en risicoprofiel blijven na de onboarding niet onveranderd. Ze ontwikkelen zich gedurende de relatie. Met doorlopende monitoring houd je die veranderingen bij door partijen opnieuw te controleren wanneer lijsten worden bijgewerkt of hun omstandigheden veranderen, in plaats van te vertrouwen op één controle bij aanvang. Deze controle sluit ook het meest direct aan op het onderstaande raamwerk, omdat een regelwijziging hier een concrete kwestie wordt waarop je moet handelen.
Waarom wijzigingen in meerdere rechtsgebieden extra lastig zijn
Nu de onderdelen helder zijn, wordt ook duidelijk waarom dit probleem over landsgrenzen heen zo moeilijk is. Die moeilijkheid is reëel en komt niet simpelweg voort uit onvoldoende inzet.
De hoeveelheid wijzigingen en het tempo vormen het eerste obstakel. Sanctie- en AML-regels veranderen vaak, en elk rechtsgebied waarmee je te maken hebt, voegt een eigen stroom wijzigingen toe. Alleen al OFAC voert voortdurend updates door. Voeg daar de EU, het Verenigd Koninkrijk, de UN en de lokale stelsels in je markten aan toe, en de totale hoeveelheid is groter dan iemand kan bijhouden door er simpelweg op te letten.
Overlap en tegenstrijdigheden maken het nog moeilijker. Dezelfde entiteit of transactie kan onder verschillende stelsels anders worden behandeld. Regels verschillen niet alleen, ze spreken elkaar soms rechtstreeks tegen: blokkeringswetgeving in het ene rechtsgebied kan botsen met verplichtingen in een ander. Grensoverschrijdende compliance vraagt dus om meer dan regels bij elkaar optellen: je moet ze met elkaar verenigen.
Extraterritoriale werking vergroot het bereik nog verder. Een regel uit het ene rechtsgebied kan van toepassing zijn op een organisatie die daar ver vandaan actief is. Amerikaanse secundaire sancties zijn daarvan het duidelijkste voorbeeld. De stelsels die je moet volgen, beperken zich dus niet tot de plaatsen waar je fysiek aanwezig bent. Daar komt bij dat er geen centrale bron bestaat. Geen enkele informatiestroom bevat alle relevante wijzigingen in elke markt. Een team moet daarom altijd meerdere bronnen combineren en hopen dat er niets tussen wal en schip valt.
De eerlijke conclusie is dat dit moeilijk is en dat ‘gewoon bijblijven’ geen strategie is. Alleen een systeem werkt, en dat systeem heeft beide onderdelen nodig.
Deel één van het raamwerk: de regels volgen
Het eerste onderdeel van de cyclus is weten wanneer een stelsel is veranderd. Dat klinkt overweldigend, maar met enkele praktische stappen maak je het beheersbaar.
Breng eerst in kaart met welke rechtsgebieden je te maken hebt
Je kunt onmogelijk alles volgen. De eerste stap is daarom bepalen welke stelsels daadwerkelijk op je bedrijf van toepassing zijn, op basis van waar je actief bent, wie je klanten zijn en welke valuta’s en betalingssystemen je gebruikt. Deze afbakening vraagt dezelfde zorgvuldigheid als elke andere wettelijke verplichting: stel vast waaraan je werkelijk gebonden bent voordat je het gaat monitoren. Een helder overzicht van de relevante stelsels maakt de rest van het werk afgebakend in plaats van eindeloos.
Bepaal voor elk stelsel de gezaghebbende bron
Ga voor elk stelsel in je overzicht rechtstreeks naar de primaire bron, in plaats van naar commentaren van derden. In de publicaties van de bevoegde instanties zelf, zoals OFAC, de EU, het Britse OFSI en FATF, vind je wijzigingen het eerst en correct weergegeven. Toelichtingen van derden kunnen helpen om de betekenis van een wijziging te begrijpen, maar het is de gezaghebbende bron zelf die je volgt.
Gebruik software voor het volgen van regelgeving en gespecialiseerd juridisch advies
Voor het volgen van regelwijzigingen in meerdere stelsels bestaat een eigen categorie software. Dat is de juiste categorie voor dit onderdeel van het probleem. Platforms voor het volgen van regelgeving en meldingsdiensten van advocatenkantoren zijn er juist om wijzigingen te signaleren. Bij complexe activiteiten in meerdere rechtsgebieden hebben ze een duidelijke functie. Het onderscheid is belangrijk: deze hulpmiddelen horen bij dit onderdeel; tools voor entiteitsmonitoring vervullen een andere taak.
Wijs per stelsel een verantwoordelijke aan
Zodra niemand verantwoordelijk is voor een bepaald stelsel, worden wijzigingen gemist. Wijs daarom voor elk stelsel in je overzicht een concrete persoon aan die verantwoordelijk is voor zowel het signaleren van wijzigingen als het beoordelen van hun betekenis. Zo wordt een verzameling binnenkomende informatiestromen een proces dat wijzigingen betrouwbaar opvangt.
Deel twee van het raamwerk: je blootstelling monitoren
Dit is het onderdeel dat de meeste teams verwaarlozen, en waar de oorzaak van ‘we wisten het niet’ meestal daadwerkelijk ligt.
Een regelwijziging wordt pas een operationele kwestie wanneer je weet welke van je entiteiten erdoor worden geraakt. Een nieuwe sanctieaanwijzing, een uitgebreid sectoraal sanctieprogramma of een gewijzigde eigendomsdrempel is op zichzelf slechts informatie, totdat je die koppelt aan je daadwerkelijke tegenpartijen, klanten en portefeuille. Juist bij die koppeling loopt het vaak mis. Teams horen over de wijziging, dus het volgen van de regels werkt. Maar ze kunnen niet snel antwoord geven op de enige operationeel relevante vraag: welke van onze partijen vormt nu een probleem? Bij duizenden tegenpartijen verspreid over meerdere rechtsgebieden is het niet realistisch om dat bij elke regelwijziging handmatig uit te zoeken. Een team dat iedereen na elke wijziging handmatig opnieuw moet screenen, doet dat niet, of doet het te langzaam om nog effect te hebben.
Dit is de taak van continue entiteitsmonitoring. In plaats van iedereen handmatig opnieuw te screenen wanneer een stelsel verandert, worden je entiteiten voortdurend getoetst aan de actuele lijsten. Daardoor komen de getroffen entiteiten vanzelf naar voren zodra een wijziging wordt doorgevoerd. De regelwijziging vertelt je waarnaar je moet zoeken; entiteitsmonitoring laat zien waar je daadwerkelijk wordt geraakt. Dat is het verschil tussen weten dat een sanctieprogramma is uitgebreid en weten dat drie van je tegenpartijen er nu onder vallen.
Dit onderdeel, het monitoren van je blootstelling, is wat Beady AI biedt. De afbakening is helder. Beady volgt de regelgeving zelf niet; dat is de taak van de platforms en juridische adviseurs uit deel één, die een team nodig heeft om de regels te volgen. Beady monitort de entiteiten waarmee je risico loopt: je tegenpartijen, leveranciers, klanten en portefeuillebedrijven. Die worden continu getoetst aan wereldwijde sanctielijsten, zodat een wijziging in een stelsel direct leidt tot een overzicht van de specifieke entiteiten die er nu door worden geraakt, elk met een verwijzing naar de bron. De pagina over sanctiemonitoring legt in detail uit hoe dit werkt. Waarom deze monitoring continu moet plaatsvinden in plaats van via periodieke herscreening, wordt hier uitgebreider toegelicht.
De twee onderdelen werken alleen in samenhang
Afzonderlijk leveren de twee onderdelen weinig op. Een team dat alleen de regels volgt, weet dat het stelsel is veranderd, maar kan niet snel bepalen waar het zelf risico loopt. De melding komt binnen en blijft vervolgens zonder actie liggen. Een team dat alleen de blootstelling monitort, houdt zijn entiteiten nauwlettend in de gaten zonder te beseffen dat de onderliggende regels ongemerkt zijn veranderd. Het ene team heeft kennis waarop het niet kan handelen; het andere handelt op basis van een beeld dat mogelijk al verouderd is.
Verbind je beide onderdelen, dan is de cyclus compleet: het volgen van de regels vertelt je wat er is veranderd, en het monitoren van je blootstelling laat zien waar die wijziging jou raakt. Achter ‘we wisten het niet’ gaan eigenlijk twee gemiste signalen schuil. Je mist de wijziging zelf én je mist dat die gevolgen voor jou heeft. Met slechts één onderdeel blijft er dus genoeg ruimte om onaangenaam verrast te worden.
Belangrijke hervormingen die het regelgevingslandschap bepalen
Naast de voortdurende stroom afzonderlijke sanctieaanwijzingen zijn er enkele grotere structurele hervormingen die het AML- en sanctielandschap actief veranderen. Het is zinvol om die als thema’s te volgen in plaats van als losse wijzigingen, omdat ze de omgeving veranderen waarin het hele raamwerk functioneert.
Gecentraliseerd en versterkt AML-toezicht
Verschillende rechtsgebieden werken aan sterker en meer gecentraliseerd AML-toezicht. De oprichting van een specifieke AML-autoriteit door de Europese Unie is het meest prominente voorbeeld, naast een bredere aanscherping van de EU-regelgeving. De ontwikkeling gaat richting meer geharmoniseerd toezicht en strengere handhaving. Daardoor worden de eisen hoger voor bedrijven die in meerdere EU-lidstaten actief zijn.
Transparantie over uiteindelijk belanghebbenden
Wie een bedrijf daadwerkelijk bezit en controleert, is centraal komen te staan in de aanpak van witwassen. Hervormingen rond UBO-registers en rapportageverplichtingen zijn in meerdere rechtsgebieden een terugkerend thema. De precieze invulling, en vooral de regels over wie toegang krijgt, is wel veranderd onder invloed van juridische procedures. De algemene ontwikkeling gaat richting meer transparantie over eigendom. Dat is om een eenvoudige reden belangrijk: juist in eigendomsstructuren blijven sanctierisico’s vaak verborgen.
Crypto en virtuele activa
Toezichthouders passen AML- en sanctieverplichtingen steeds nadrukkelijker toe op crypto en virtuele activa. Dat gebeurt via specifieke regelgevingskaders en door bestaande regels uit te breiden, zoals verplichtingen om informatie mee te sturen bij overdrachten. Voor elke organisatie die met digitale activa werkt, is dit een van de snelst veranderende terreinen binnen het hele landschap.
Verdere uitbreiding van sancties
Geopolitieke ontwikkelingen hebben geleid tot een aanhoudende uitbreiding van sanctieprogramma’s, waarbij zowel het tempo als de reikwijdte van sanctieaanwijzingen hoog blijft. Voor een complianceteam betekent dit concreet dat de hoeveelheid wijzigingen op sanctiegebied niet afneemt. Juist daardoor wordt het moeilijker om de blootstelling handmatig te monitoren en neemt de afhankelijkheid van continue monitoring toe.
Een checklist om het raamwerk in de praktijk te brengen
Om het raamwerk bruikbaar te maken, kun je een werkend programma voor meerdere rechtsgebieden terugbrengen tot een korte reeks concrete stappen.
1. Breng in kaart met welke rechtsgebieden je te maken hebt. Bepaal welke stelsels daadwerkelijk van toepassing zijn op basis van waar je actief bent, wie je klanten zijn en welke betalingssystemen en valuta’s je gebruikt.
2. Bepaal per stelsel de gezaghebbende bron. Zorg dat je voor elk stelsel in je overzicht weet welke primaire publicatie wijzigingen als eerste bekendmaakt.
3. Wijs per stelsel een verantwoordelijke aan. Benoem voor elk stelsel iemand die verantwoordelijk is voor het signaleren en interpreteren van wijzigingen.
4. Kies hulpmiddelen om de regels te volgen. Gebruik platforms voor het volgen van regelgeving en gespecialiseerd juridisch advies om wijzigingen in een stelsel te signaleren.
5. Kies hulpmiddelen om je blootstelling te monitoren. Gebruik continue entiteitsmonitoring, zodat een wijziging automatisch laat zien welke entiteiten worden geraakt en je niet iedereen handmatig opnieuw hoeft te screenen.
6. Zorg dat de basiscontroles op orde zijn. Zorg dat KYC en KYB, screening op sanctielijsten en watchlists, screening op PEP’s en negatieve media en doorlopende monitoring allemaal zijn ingericht, en dat je rekening houdt met de verschillende gevolgen van de uitkomsten.
7. Leg het opvolgingsproces vast. Bepaal vooraf wat er gebeurt wanneer een wijziging een entiteit raakt: wie krijgt bericht, wie beslist en hoe wordt de actie vastgelegd?
8. Werk je overzicht bij wanneer je groeit. Elke nieuwe markt, elk nieuw product en elk nieuw klantsegment kan een extra stelsel met zich meebrengen. Het overzicht van rechtsgebieden is daarom een levend document, geen eenmalige oefening.
Veelgestelde vragen
Conclusie
Sanctie- en AML-wijzigingen in verschillende rechtsgebieden bijhouden vraagt om meer dan sneller lezen. Het vraagt om een systeem met twee onderdelen die vaak door elkaar worden gehaald. De regels volgen betekent weten wanneer een stelsel verandert. Daarvoor heb je gezaghebbende bronnen, software voor het volgen van regelgeving en duidelijke verantwoordelijkheden nodig. Je blootstelling monitoren betekent weten welke van je entiteiten door een wijziging worden geraakt. Daarvoor heb je continue entiteitsmonitoring nodig. Onder beide onderdelen ligt dezelfde basis: de verschillende soorten lijsten met hun verschillende gevolgen, en de basiscontroles van identiteitsverificatie tot doorlopende monitoring. De oorzaak van ‘we wisten het niet’ ligt meestal in het tweede onderdeel, in de kloof tussen een regelwijziging en het vaststellen welke van je entiteiten erdoor worden geraakt.
Een team dat beide onderdelen opbouwt en met elkaar verbindt, maakt van gehaast bijbenen een proces. Het ene onderdeel vertelt wat er is veranderd; het andere laat zien waar het team risico loopt.
Voor het monitoren van die blootstelling is Beady AI ontwikkeld: continue monitoring van de entiteiten waarvoor je verantwoordelijk bent aan de hand van wereldwijde sanctielijsten, met uitkomsten die naar hun bron herleidbaar zijn. Tijdens een demo zie je wat dit oplevert voor een daadwerkelijke groep entiteiten. Voor het volgen van de regels blijven software voor het volgen van regelgeving en juridisch advies de juiste aanpak. Daarbij helpt het om te begrijpen welke rol het volgen van regelwijzigingen speelt bij de keuze van compliancesoftware, en wat de verschillen zijn tussen KYC, KYB en doorlopende monitoring.
