Overeenkomstig het geldende recht
Het is van belang dat uw beleid overeenkomt met het recht dat op dat moment geldt. Neem het UBO-register als voorbeeld. Sinds de introductie hiervan zijn organisaties verplicht om een UBO-controle uit te voeren. Komen de gegevens uit het register niet overeen met de data die die cliënt heeft gegeven, dan dient u een terugmelding te doen richting het UBO-register. Dit soort zaken, die in de wetgeving terugkomen, dienen ook in uw beleid te worden opgenomen.
In uw beleid omschrijft u niet wie wat moet doen. Een beleid is een algemene beschrijving van:
- de risk appetite van het kantoor;
- het AML werkproces;
- de bijbehorende risicoprofielen.
Meer over de inhoud van het beleid vindt u in een eerder blog over de onmisbare onderdelen van een risicobeleid.
Het startpunt van uw AML beleid is of u wel of niet te maken heeft met de AML wetgeving. Zit u voor uw gevoel niet binnen de AML sfeer, dan kan het toch zijn dat een gewoon dossier, gedurende de looptijd, verschiet van kleur. Dan beland u wel in de AML sfeer en is het zaak dat u uw beleid erbij kunt pakken.
Hoe vaak moet u uw beleid updaten?
Van belang bij een actueel beleid is dat alle onderdelen periodiek worden geüpdatet. Nu hoor ik u denken: ‘Hoe vaak moet ik dat dan doen?’ Mijn mening is dat het beleid een levend document hoort te zijn. Iedere maand is misschien wat overdreven, maar zorg dat u minimaal eens paar jaar een moment hiervoor inplant. Ga door het beleid heen en kijk of het nog overeenkomt met de actuele AML wetgeving.
Drie meest gemaakte fouten
Welke fouten kom ik in de praktijk het meeste tegen?
- In de lade
Wat ik het meeste zie gebeuren is dat een beleid wordt geschreven, maar vervolgens niet meer wordt ingezien. Toch wordt het steeds belangrijker dit beleid beschikbaar te hebben. De AML neemt een prominentere rol in en de toezichthouder gaat uitvoeriger controleren. Het kan bijvoorbeeld zijn dat cruciale onderdelen missen, zoals de screening van risicolijsten en sanctielijsten. Zo is een periodieke controle via de Sanctiewet verplicht. En wat doet u als er een PEP betrokken is?
- Geen beleid maar een stappenplan
Soms zie ik dat een beleid geen beleid is, maar een stappenplan. Een plan van aanpak dat globaal omschrijft hoe u te werk gaat. Een beleid komt nog daarvoor. Het gehele werkproces moet van A tot Z gedetailleerd zijn beschreven. Ook moet u een risicoanalyse en risk appetite van uw kantoor hierin opnemen. Deze twee onderdelen zie ik vaak niet terugkomen, terwijl ze wel verplicht zijn. U omschrijft hierbij wat voor type cliënten u heeft, uit welke sectoren zij afkomstig zijn en wat voor type zaken zij aandragen. Stel: u bent als kantoor gespecialiseerd in crypto. In dat geval is het niet nodig iedere cliënt aan te merken met een hoog risicoprofiel. Het is immers uw specialisatie, maar dit moet u wel goed opnemen en uitleggen in uw beleid. Een kantoor dat sporadisch een crypto zaak uitvoert, zal dit type cliënten wel een hoog risicoprofiel toekennen. Kortom, het is belangrijk zorgvuldig je risicoanalyse te overdenken en te registreren.
- Uitzondering wordt de standaard
In de praktijk zie ik dat kantoren uitzonderingen willen opnemen. Zij willen bijvoorbeeld vereenvoudigd onderzoek doen bij specifieke dossiers. Deze kantoren willen dit als uitzondering in het beleid opnemen. Mijn advies is altijd: doe het niet. Ik heb al zo vaak gezien dat de uitzondering vervolgens de standaard wordt. Helemaal geen onderzoek doen is sowieso een no-go. Wilt u vereenvoudigd onderzoek doen, dan is het menselijk dat dat snel het nieuwe normaal wordt. Natuurlijk is er altijd wel een uitzondering te noemen, maar laat dat niet de standaard worden. Dat is niet meer uit te leggen aan de toezichthouder.
Nu we het toch over de toezichthouder hebben. Een ding is zeker, tijdens een bezoek van de toezichthouder is het beleid een belangrijk onderdeel en zeer waarschijnlijk het startpunt van het gesprek. Hij of zij zal zeker de vraag stellen: ‘Beschikt uw kantoor over een op schrijft gesteld risicobeleid en zo ja, mag ik deze even zien?’ Wees hierop voorbereid.
Conclusie
Schrijf een beleid en update deze minimaal eens per jaar aan de hand van de AML wetgeving. Wilt u hiervoor een klankbord of zoekt u hulp bij het schrijven of actueel houden van uw AML beleid? Kijk dan eens naar onze AML compliance as a service. Met deze service bieden we ondersteuning en begeleiding rondom uw AML beleid.
