AML-conformiteitsaudit voor domiciliatiekantoren: methodologie, perimeter, oplevering

In het kort

De jaarlijkse AML-audit is een wettelijke verplichting op grond van de wet van 18 september 2017 voor alle Belgische domiciliatiekantoren. Hij omvat 8 verplichte domeinen, steunt op een representatieve dossiersteekproef en moet een gedocumenteerd rapport opleveren met een opgevolgd actieplan. Het is het governancemechanisme dat aantoont dat de directie haar AML-dispositief werkelijk superviseert.

Waarom uw AML-dispositief auditen

De jaarlijkse audit van het AML-dispositief is voorzien in de wet van 18 september 2017 (artikel 16). Hij is:

• Intern voor structuren tot 10 medewerkers

• Extern daarboven (of op vraag van FOD Economie)

• Minstens jaarlijks, of onmiddellijk na grote wijziging (nieuwe verplichting, sanctie)

Audit is geen optie: het is een governance-mechanisme dat aantoont dat de directie de effectiviteit van haar dispositief heeft geverifieerd. Zie ook onze checklist 2026.

Verplichte perimeter (8 domeinen)

Een conforme AML-audit dekt 8 domeinen:

1. Governance

• AMLCO benoemd, opgeleid, rechtstreekse directietoegang

• AML-policy schriftelijk, gedateerd, ondertekend, actueel

• Actuele risicobeoordeling

• Coherente schriftelijke procedures

2. Risicobeoordeling

• Methodologie aanwezig op de 4 dimensies

• Risiconota toegekend aan elk dossier

• Coherentie van nota's met het werkelijk profiel

• Zie evaluatiemethodologie

3. Initiële KYC

• Dossiersteekproef: volledigheid (6 secties)

• Vergelijking met FOD Economie-eisen

• Zie verplichte inhoud KYC-dossier

4. UBO

• UBO-cascade gedocumenteerd op 3 niveaus

• Vergelijking met Belgisch register

• Zie UBO-artikel

5. Sancties en PEP

• Screening uitgevoerd, gedateerd, gearchiveerd

• Continue of jaarlijkse herscreening

• Zie PEP-verificatie

6. Doorlopende monitoring

• Regels en scenario's aanwezig

• Alerts gegenereerd en geanalyseerd

• Zie transactiemonitoring

7. CFI-melding

• Schriftelijke procedure

• Register van meldingen en niet-meldingen

• Zie CFI-gids

8. Opleiding en bewaring

• Opleidingsprogramma toegepast

• Zie AML/KYC-opleiding

• 10-jaarsarchivering getimestampt

• Zie bewaring van gegevens

Type-testplan

Pre-audit (1-2 dagen)

• Documentverzameling (policy, risicobeoordeling, dossiersteekproef)

• Gesprek met AMLCO

• Procesmapping

Tests op dossiers (3-5 dagen voor 5-20 dossiers)

• Steekproef: minimaal 10 dossiers, waarvan minstens 50 % hoogrisico

• Volledigheidsverificatie: elk dossier doorloopt de 6-secties-checklist

• Kruising met externe bronnen (KBO, UBO-register)

• Beslissingstest: is de toegekende risiconota coherent?

• Alert-test: indien gegenereerd, correct behandeld?

Tests op procedures (1-2 dagen)

• Verificatie dat schriftelijke procedures overeenstemmen met praktijk

• Interview van 2-3 medewerkers om kennis te testen

• Verificatie van gemotiveerde niet-meldingen (vaak tekortpunt)

Synthese en restitutie (1-2 dagen)

• Rapportopstelling

• Presentatie aan directie

• Actieplan

Type-oplevering

Een conform AML-auditrapport omvat:

Executive samenvatting (1-2 pagina's): globale score, top 3 sterktes, top 3 zwaktes

Perimeter en methodologie (1 pagina): gedekte domeinen, steekproef

Gedetailleerde vaststellingen per domein (5-15 pagina's)

Actieplan: geprioriteerde aanbevelingen (P1 urgent / P2 belangrijk / P3 verbetering)

Bijlagen: lijst van gecontroleerde dossiers, vastgestelde anomalieën, foto's/uittreksels

Dossiersteekproef

De steekproef moet representatief zijn:

• 60 % actieve dossiers

• 20 % recent geweigerde dossiers

• 10 % oude dossiers (vernieuwd)

• 10 % hoogrisicodossiers (vrijwillige overrepresentatie)

Voor een kantoor met 200 actieve dossiers: jaarlijkse audit op 15-20 dossiers volstaat.

Notatiecriteria

Een type-rooster:

Globale score: ≥ 90 % conform, 70-89 % gedeeltelijk, < 70 % niet-conform.

Vaak voorkomende auditfouten

Audit door AMLCO zelf: belangenconflict, geen audit

Geen steekproef: men kijkt alleen naar "goede" dossiers

Rapport zonder actieplan: men stelt vast, men corrigeert niet

Geen opvolging aanbevelingen: audit n+1 vindt dezelfde anomalieën

Audit uitgevoerd maar niet getraceerd: geen ondertekend rapport

Te smalle perimeter: KYC geaudit maar niet monitoring of bewaring

Externe auditor niet AML-gespecialiseerd: een generalistische commissaris kan specificiteiten missen

Geen presentatie aan directie: audit blijft een papier

Risicobeoordeling niet bijgewerkt na audit

Geen audit na grote wijziging (nieuwe verplichting, bv. KB 22/04/2024)

Hoe Company Belgium audit vergemakkelijkt

De auditmodule van Company Belgium biedt:

• AMLCO-dashboard met realtime conformiteitsindicatoren

• KYC-dossierexport in één klik voor de auditor

• Statistieken: volledigheidsgraad, risicodossiers, gegenereerde/gemelde alerts

• Auditrapport-templates conform FOD Economie-formaat

• Geïntegreerd actieplan met remediatie-opvolging

• Audit-historiek met scores en trends

• Maandelijkse geautomatiseerde pre-audit die risicodossiers signaleert

Zie ons RegTech-overzicht en de specifieke module Company Belgium-begeleiding.

Samenvatting

De jaarlijkse AML-audit is geen extra inspectie — het is het interne governance-mechanisme dat aantoont dat de directie haar dispositief superviseert. Verplichte perimeter in 8 domeinen, representatieve steekproef, gedocumenteerd rapport, opgevolgd actieplan.

De juiste reflex: de audit elk jaar op vaste datum plannen (idealiter Q4 om volgend jaar voor te bereiden), met een gestructureerde oplevering en maandelijkse remediatie-opvolging. Het is ook de beste voorbereiding op een FOD Economie-inspectie.