AML-risicobeoordeling: praktische methodologie voor onderworpen beroepen

In het kort

De globale beoordeling van witwasrisico's (artikel 16 van de wet van 18 september 2017) is het eerste document dat de FOD Economie, de NBB of de FSMA opvraagt bij elke AML-inspectie. Ze moet 4 dimensies analyseren (cliëntrisico, productrisico, geografisch risico, kanaalrisico), in 5 gedocumenteerde stappen worden opgesteld, door de directie worden ondertekend, jaarlijks worden bijgewerkt en coherent zijn met de KYC- en CFI-procedures van de structuur. Een generiek of onvolledig document leidt rechtstreeks tot een structurele tekortkomingsbevinding.

Waarom de risicobeoordeling het document n°1 is bij inspectie

Wanneer de FOD Economie, de NBB of de FSMA een onderworpen entiteit inspecteert, is het eerste document dat gevraagd wordt niet het cliëntenregister of de KYC-fiches: het is de globale risicobeoordeling van witwassen, voorzien in artikel 16 van de wet van 18 september 2017.

Dit document is geen administratief formulier: het is het moederbord van het volledige AML-dispositief. Het beschrijft hoe het beroep de witwas- en terrorismefinancieringsrisico's eigen aan zijn activiteit identificeert, meet en mitigeert. Zonder dit document, of met een generiek document gekopieerd van het internet, besluit de inspectie tot een structurele tekortkoming — en de boete volgt. De inhoud moet coherent zijn met de verplichtingen van de wet van 18 september 2017 en rechtstreeks de KYC-dossiers voeden die elke onderworpene bijhoudt.

De 4 te analyseren dimensies

Elke serieuze beoordeling steunt op het kruisen van vier risicofactoren, gemeen aan de richtsnoeren van de Europese Bankautoriteit (EBA) en het Belgische kader:

1. Het cliëntrisico

Wie zijn uw cliënten? Categoriseer ze:

• Particulieren vs vennootschappen

• Belgisch vs buitenlands

• Eenvoudige vs complexe structuren (holdings, fiducies, mantelvennootschappen)

• Politiek prominente personen (PEP)

• Cliënten van wie de werkelijke economische activiteit moeilijk te verifiëren is

• Cliënten met een op afstand gelegde relatie zonder face-to-face

Een fiduciair die hoofdzakelijk lokale kmo's met transparant aandeelhouderschap bedient, heeft een laag cliëntrisico. Een notariskantoor dat regelmatig buitenlandse vennootschappen met niet-residente UBO behandelt → hoog risico.

2. Het productrisico (of dienstrisico)

Welke diensten verleent u? Sommige zijn intrinsiek risicovol:

• Vennootschapsoprichting en domiciliëring (vermogen om ondoorzichtige structuren te creëren)

• Vastgoedoperaties (historisch witwaskanaal)

• Beheer van derdengelden (rubriekrekening van advocaten, fondsen van notarissen)

• Internationaal fiscaal advies, structuuroptimalisatie

• Verrichtingen in contanten boven de drempels

Andere diensten hebben een structureel laag risico: eenvoudige boekhouding voor micro-onderneming, HR-advies, zuivere wettelijke audit.

3. Het geografische risico

Opereren uw cliënten of hun tegenpartijen in:

• De door de Europese Commissie geïdentificeerde derde landen met hoog risico (gepubliceerde en bijgewerkte lijst)

• Bevoorrechte fiscale jurisdicties (voormalige belastingparadijzen, OESO-lijst)

• Zones onder internationale sancties (Rusland, Iran, Noord-Korea, Belarus...)

• Landen met zwakke AML-dispositieven (FATF-rapport)

Een cliënt gedomicilieerd in Brussel met Belgisch-Franse activiteit: laag geografisch risico. Een Belgische vennootschap waarvan 80 % van de inkomende stromen uit Dubai of de Seychellen komen: hoog risico.

4. Het kanaalrisico

Hoe is de relatie tot stand gekomen en hoe verloopt ze?

• Face-to-face in uw kantoren (laag risico)

• Geïntroduceerd door een gekende collega of correspondent (gematigd risico)

• 100 % op afstand via online platform (verhoogd risico zonder sterke identificatie)

• Via een tussenpersoon (zaakaanbrenger) — wie is deze tussenpersoon?

De methodologie in 5 stappen

Stap 1 — De activiteit in kaart brengen

Beschrijf uw activiteit feitelijk:

• Welke diensten precies (uitputtende lijst, met aandelen in de omzet)

• Hoeveel actieve cliënten, en hun typologie (lokale kmo's / particulieren / internationale vennootschappen)

• Welke geografische zones (waar zijn uw cliënten, waar zijn hun tegenpartijen)

• Welke instromkanalen

Deze cartografie is de feitelijke basis voor al de rest. Ze wordt jaarlijks geüpdatet.

Stap 2 — De inherente risico's identificeren

Voor elke combinatie cliënt × product × geografie × kanaal, lijst de witwasrisico's vóór elke mitigerende maatregel. Voorbeelden:

• Oprichting van een vennootschap voor een niet-residente cliënt uit een ondoorzichtige jurisdictie → mantelvennootschapsrisico

• Vastgoedoperatie cash met meervoudige overschrijvingen vanaf verschillende rekeningen → structureringsrisico (smurfing)

• Fiscaal mandaat voor een cliënt die inkomsten uit crypto-activa ontvangt → twijfelachtige herkomst van fondsen

Stap 3 — Het niveau van inherent risico beoordelen

Hanteer een raster van 3 of 5 niveaus: laag / standaard / hoog (of 1-5). Documenteer de criteria die elke combinatie in zo'n niveau plaatsen. Zet niet alles op "laag": een onderworpene die beweert geen enkele zone met hoog risico te hebben, wordt met scepsis bekeken.

Stap 4 — De mitigerende maatregelen beschrijven

Voor elk risiconiveau, welke controles passen u toe?

• Laag risico: standaard KYC, jaarlijkse monitoring, normale archivering

• Standaard risico: volledige KYC met UBO- en registerverificatie, halfjaarlijkse monitoring

• Hoog risico: verscherpte KYC, verificatie van de herkomst van fondsen, directiegoedkeuring vóór relatie, driemaandelijkse monitoring, vergemakkelijkte CFI-melding

Wees concreet: "verscherpte monitoring" volstaat niet. Verduidelijk: "driemaandelijkse herlezing van het dossier door de AMLCO, vergelijking van de stromen met de btw-aangiften van de cliënt, schriftelijke validering".

Stap 5 — Het restrisico berekenen en concluderen

Na mitigerende maatregelen, is het restrisico aanvaardbaar? Zo ja, is het dispositief samenhangend. Zo nee, twee opties: de maatregelen versterken, of het type activiteit weigeren.

Sluit af met het globale risiconiveau van uw beroep en lijst de aandachtspunten voor de komende 12 maanden.

Vorm en frequentie

De risicobeoordeling moet:

• Schriftelijk zijn — geen mondelinge analyse, geen "het zit in het hoofd van de AMLCO"

• Gedateerd en ondertekend door de directie

• Minstens jaarlijks bijgewerkt, of onmiddellijk na een belangrijke wijziging (nieuwe dienst, nieuw doelcliënteel, nieuwe regelgeving)

• Coherent met de schriftelijke procedures KYC, monitoring, CFI-melding

• Bewaard voor de duur van de uitbating + 10 jaar

In de praktijk volstaat een document van 10 tot 30 pagina's, gestructureerd volgens de 4 dimensies hierboven, voor de meeste middelgrote kantoren.

Vaak vastgestelde fouten bij inspectie

Generiek niet-aangepast document — standaardzinnen zonder verband met de werkelijke activiteit

Uniform laag risiconiveau — gebrek aan inzicht, dus van operationele realiteit

Vage mitigerende maatregelen ("wij verifiëren", "wij blijven aandachtig") — niet auditeerbaar

Geen link met de schriftelijke procedures — de beoordeling spreekt van "driemaandelijkse monitoring" maar geen procedure organiseert ze

Geen jaarlijkse update — laatste herziening dateert van 2020, het geografische risico is geëvolueerd

Geen schriftelijke analyse van geweigerde dossiers noch van uitgegeven CFI-meldingen, wat nochtans kalibratiesignalen zijn

De rol van de AMLCO

De Anti-Money Laundering Compliance Officer (AMLCO) is de hoofdredacteur en bewaker van de risicobeoordeling. Zijn aanstelling is verplicht voor alle onderworpen structuren, formeel benoemd door beslissing van de raad van bestuur of het gelijkwaardige orgaan.

Voor kleine structuren kan de AMLCO een leider zelf zijn. Voor grotere is het een aparte functie. In alle gevallen: rechtstreekse toegang tot de directie, functionele onafhankelijkheid, gedocumenteerde initiële en doorlopende opleiding.

Hoe Company Belgium uw risicobeoordeling structureert

De door artikel 16 vereiste risicobeoordeling wordt met Company Belgium een beheerst eindproduct:

• Automatische cartografie van uw cliënteel: spreiding per omvang (KBO), rechtsvorm, NACE-codes, geografie van zetels en vestigingen

• Beoordelingsmodellen specifiek per beroep (accountant, notaris, advocaat, vastgoedmakelaar, dienstverlener aan vennootschappen)

• Vooraf geconfigureerde risicomatrix op de 4 dimensies cliënt × product × geografie × kanaal

• Hoogrisicolandwaarschuwingen: automatische kruising met de officiële lijsten (EU, Belgische Schatkist, internationale sancties)

• Opvolging van herzieningen: jaarlijkse termijnherinneringen, getimestampede versies, volledige traceerbaarheid van AMLCO-beslissingen

• Ondertekende PDF-export klaar voor inspectie

Uw AMLCO produceert een conform en verdedigbaar document in uren, niet in weken.

Samenvatting

De risicobeoordeling is de oefening die het verschil maakt tussen een onderworpene die in wezen conform is en een onderworpene die vakjes aankruist. Het is ook het unieke document dat de inspecteur aantoont dat het beroep zijn blootstelling heeft begrepen en evenredige maatregelen heeft uitgerold. Wees feitelijk, wees specifiek, wees actueel — en dit stuk wordt een troef, geen risico.