Kantoorbrede risicoanalyse: wat vraagt de toezichthouder en hoe pak je het aan?

Waar bestaat een kantoorbrede risicoanalyse uit?

Een kantoorbrede risicoanalyse brengt de risico's op witwassen en terrorismefinanciering binnen een organisatie systematisch in kaart. Daarbij wordt gekeken naar onder meer cliënten, dienstverlening, transacties, sectoren en geografische risico's.

De analyse begint daarom vaak met een gedetailleerde vragenlijst die als basis dient voor het in kaart brengen van risico’s. Deze vragenlijst start met een organisatieschets, waarin de structuur, activiteiten, cliënten en diensten van de organisatie worden beschreven. Vervolgens worden risicoscenario’s geïdentificeerd, zoals cliëntrisico’s (bijvoorbeeld PEP’s of complexe structuren) en dienst- of transactierisico’s (zoals ongebruikelijke transacties of contante stortingen).

Met de antwoorden uit de vragenlijst worden voor elk scenario de kans, impact en effectiviteit van bestaande maatregelen ingeschat. Vervolgens wordt gekeken welk risico overblijft nadat de bestaande maatregelen zijn meegenomen. Dit wordt het netto risico genoemd. Als dit netto risico te hoog is, worden aanvullende maatregelen voorgesteld.

De analyse eindigt vervolgens met een conclusie waarin de belangrijkste risico’s, aandachtspunten en aanbevelingen voor verbetering omschreven staan.

Belangrijk om de laatste stap niet te vergeten: het Wwft-beleid moet worden herzien op basis van de resultaten, zodat het beleid aansluit bij de actuele risico’s en toezichtseisen.

Waarom is een kantoorbrede risicoanalyse nodig?

Een kantoorbrede risicoanalyse vormt de basis van een risicogebaseerde aanpak. De toezichthouder verwacht dat jouw kantoor inzicht heeft in de risico's op witwassen en terrorismefinanciering die samenhangen met jouw cliënten, diensten, sectoren en geografische werkgebieden.

De uitkomsten van de risicoanalyse bepalen welke beheersmaatregelen nodig zijn en vormen de basis voor het Wwft-beleid. Zonder actuele risicoanalyse is het lastig om aan te tonen waarom bepaalde keuzes zijn gemaakt binnen het cliëntenonderzoek, de risicoclassificatie of de monitoring van cliënten.

Wat verwacht de toezichthouder?

De toezichthouders verwachten dat je jouw witwas- en terrorismefinancieringsrisico's periodiek in kaart brengt. Tijdens een audit moet je op papier kunnen aantonen welke risico's jouw kantoor loopt, welke maatregelen je hebt genomen en hoe deze keuzes zijn vastgelegd in het Wwft-beleid en onderbouwd in de Wwft-dossiers.

Risicomanagement: de belangrijkste basisbegrippen op een rij

Risicoprofiel, risicobeleid, risicoanalyse... Het lijkt allemaal op hetzelfde te slaan. Hieronder zetten we de verschillende begrippen voor je uiteen:

Wat is een kantoorbrede risicoanalyse?

Het proces waarbij alle risico’s die een organisatie loopt, in kaart worden gebracht. Dit omvat het identificeren van risico’s, het bepalen van de kans en impact ervan en het inschatten van de effectiviteit van bestaande maatregelen. De resultaten hiervan vormen de basis voor het risicobeleid.

Wat zijn risicoindicatoren?

Signalen of kenmerken die wijzen op een verhoogd risico op witwassen of terrorismefinanciering. Deze kunnen objectief (bv. een transactie van €10.000 of meer in contanten) of subjectief (bv. afwijkend gedrag van een cliënt) zijn. Risico-indicatoren helpen bij het vroegtijdig signaleren van verdachte situaties. Meer over risicoindicatoren.

Wat is risk appetite of risicobereidheid?

De mate waarin een kantoor bereid is bepaalde witwas- of terrorismefinancieringsrisico's te accepteren. Een kantoor kan bijvoorbeeld besluiten geen cliënten uit hoogrisicolanden aan te nemen of geen contante betalingen te accepteren. Deze keuzes vormen samen de risicobereidheid van het kantoor.

Wat is een risicobeleid of Wwft-beleid?

Het kader dat een kantoor opstelt om risico’s op het gebied van witwassen en terrorismefinanciering te identificeren, beoordelen, beheersen en monitoren. Het beschrijft de richtlijnen, procedures en maatregelen die worden toegepast, zoals de werkwijze voor cliëntenonderzoek, risicokwalificatie en het omgaan met verschillende risiconiveaus. Meer over het Wwft-risicobeleid.

Wat zijn risicolijsten?

Lijsten die worden gebruikt tijdens de screening van een cliënt, zoals sanctielijsten en lijsten met hoogrisicolanden (bv. FATF-lijst, EU-lijst). Meer over risicolijsten en screening.

Wat is een risicoprofiel?

Een classificatie die aangeeft in welke mate een cliënt risico vormt op witwassen of terrorismefinanciering. Binnen de Wwft worden drie niveaus gehanteerd: laag, medium (uitgangspunt) en hoog. Het risicoprofiel bepaalt de omvang van het onderzoek en de frequentie van monitoring. Meer over risicoprofielen.

Hoe kan RegLab je hierbij helpen?

Steeds meer kantoren moeten een risicoanalyse uitvoeren omdat de toezichthouder dat vraagt. Heb je geen tijd of capaciteit om zelf een kantoorbrede risicoanalyse uit te voeren? Of twijfel je of jouw kantoorbrede risicoanalyse voldoet aan de verwachtingen van de toezichthouder? RegLab voert een onafhankelijke risicoanalyse voor je uit en levert een helder rapport met concrete verbeterpunten. Dat scheelt tijd en voorkomt verrassingen tijdens een audit.

Benieuwd naar onze compliance dienstverlening? Lees meer over de Wwft-ondersteuning van RegLab op deze pagina.