Overeenkomstig het geldende recht
Het is van belang dat je beleid overeenkomt met het recht dat op dat moment geldt. Neem het UBO-register als voorbeeld. Sinds de introductie hiervan zijn organisaties verplicht om een UBO-controle uit te voeren. Komen de gegevens uit het register niet overeen met de data die die cliënt heeft gegeven, dan dien je een terugmelding te doen richting het UBO-register. Dit soort zaken, die in de wetgeving terugkomen, dienen ook in je beleid te worden opgenomen.
In je beleid omschrijf je niet wie wat moet doen. Een beleid is een algemene beschrijving van:
- de risk appetite van het kantoor;
- het Wwft werkproces;
- de bijbehorende risicoprofielen.
Meer over de inhoud van het beleid vind je in een eerder blog over de onmisbare onderdelen van een risicobeleid.
Het startpunt van je Wwft beleid is of je wel of niet te maken hebt met de Wwft wetgeving. Zit je voor je gevoel niet binnen de Wwft sfeer, dan kan het toch zijn dat een gewoon dossier, gedurende de looptijd, verschiet van kleur. Dan beland je wel in de Wwft sfeer en is het zaak dat je jouw beleid erbij kunt pakken.
Hoe vaak moet je jouw beleid updaten?
Van belang bij een actueel beleid is dat alle onderdelen periodiek worden geüpdatet. Nu hoor ik je denken: ‘Hoe vaak moet ik dat dan doen?’ Mijn mening is dat het beleid een levend document hoort te zijn. Iedere maand is misschien wat overdreven, maar zorg dat je minimaal eens paar jaar een moment hiervoor inplant. Ga door het beleid heen en kijk of het nog overeenkomt met de actuele Wwft wetgeving.
Drie meest gemaakte fouten
Welke fouten kom ik in de praktijk het meeste tegen?
- In de lade
Wat ik het meeste zie gebeuren is dat een beleid wordt geschreven, maar vervolgens niet meer wordt ingezien. Toch wordt het steeds belangrijker dit beleid beschikbaar te hebben. De Wwft neemt een prominentere rol in en de toezichthouder gaat uitvoeriger controleren. Het kan bijvoorbeeld zijn dat cruciale onderdelen missen, zoals de screening van risicolijsten en sanctielijsten. Zo is een periodieke controle via de Sanctiewet verplicht, zoals je in dit eerdere blog kunt lezen. En wat doe je als er een PEP betrokken is? Wil je weten wat een PEP is en hoe je deze checkt? Lees dan dit artikel.
- Geen beleid maar een stappenplan
Soms zie ik dat een beleid geen beleid is, maar een stappenplan. Een plan van aanpak dat globaal omschrijft hoe je te werk gaat. Een beleid komt nog daarvoor. Het gehele werkproces moet van A tot Z gedetailleerd zijn beschreven. Ook moet je een risicoanalyse en risk appetite van je kantoor hierin opnemen. Deze twee onderdelen zie ik vaak niet terugkomen, terwijl ze wel verplicht zijn. Je omschrijft hierbij wat voor type cliënten je hebt, uit welke sectoren zij afkomstig zijn en wat voor type zaken zij aandragen. Stel: je bent als kantoor gespecialiseerd in crypto. In dat geval is het niet nodig iedere cliënt aan te merken met een hoog risicoprofiel. Het is immers je specialisatie, maar dit moet je wel goed opnemen en uitleggen in je beleid. Een kantoor dat sporadisch een crypto zaak uitvoert, zal dit type cliënten wel een hoog risicoprofiel toekennen. Kortom, het is belangrijk zorgvuldig je risicoanalyse te overdenken en te registreren.
- Uitzondering wordt de standaard
In de praktijk zie ik dat kantoren uitzonderingen willen opnemen. Zij willen bijvoorbeeld vereenvoudigd onderzoek doen bij specifieke dossiers. Deze kantoren willen dit als uitzondering in het beleid opnemen. Mijn advies is altijd: doe het niet. Ik heb al zo vaak gezien dat de uitzondering vervolgens de standaard wordt. Helemaal geen onderzoek doen is sowieso een no-go. Wil je vereenvoudigd onderzoek doen, dan is het menselijk dat dat snel het nieuwe normaal wordt. Natuurlijk is er altijd wel een uitzondering te noemen, maar laat dat niet de standaard worden. Dat is niet meer uit te leggen aan de toezichthouder.
Nu we het toch over de toezichthouder hebben. Een ding is zeker, tijdens een bezoek van de toezichthouder is het beleid een belangrijk onderdeel en zeer waarschijnlijk het startpunt van het gesprek. Hij of zij zal zeker de vraag stellen: ‘Beschikt uw kantoor over een op schrift gesteld risicobeleid en zo ja, mag ik deze even zien?’ Wees hierop voorbereid.
Conclusie
Schrijf een beleid en update deze minimaal eens per jaar aan de hand van de Wwft wetgeving. Wil je hiervoor een klankbord of zoek je hulp bij het schrijven of actueel houden van je Wwft beleid? Kijk dan eens naar onze Wwft compliance as a service. Met deze service bieden we ondersteuning en begeleiding rondom jouw Wwft beleid.
