Een accountantskantoor met veertien dagen en twintig dossiers

Door Tarik Binnekade · 10 september 2026 · Toezichtonderzoek, BFT, herstelplan

Voorbeeldcasus — geen bestaande opdrachtgever. Deze casus is geschreven om te laten zien hoe wij werken. De situatie is samengesteld uit patronen die wij bij vergelijkbare instellingen tegenkomen; de organisatie, de aantallen en de uitkomsten zijn illustratief en herleiden niet naar een cliënt van ZandKade Compliance. De genoemde bedragen sluiten aan bij onze gepubliceerde tarieven.

Een accountantskantoor ontving een informatieverzoek van het Bureau Financieel Toezicht: beleid, risicoanalyse, meldingenoverzicht en twintig cliëntdossiers, binnen veertien dagen. Zes dossiers waren compleet, negen hadden hiaten en vijf misten elke vastgelegde risicobeoordeling. Wij hebben binnen vijf werkdagen een triage gedaan, een eerlijke antwoordbrief met een gedateerd herstelplan opgesteld, twee gemiste meldingen alsnog laten doen, en het herstel in vier maanden begeleid. Er volgde geen formele maatregel.

Hulp nodig bij dit onderwerp? In een kosteloos gesprek van dertig minuten kijken we mee naar uw situatie. Plan een gesprek of bel 06 11 32 53 62.

De situatie

De brief kwam op een dinsdag. Het Bureau Financieel Toezicht vroeg om het Wwft-beleid, de systematische integriteitsrisicoanalyse, een overzicht van gedane meldingen over de afgelopen drie jaar, en de volledige dossiers van twintig met naam genoemde cliënten. Reactietermijn: veertien dagen.

De bestuursvoorzitter belde ons dezelfde middag. Zijn eerste vraag was niet hoe komen wij hier goed uit, maar iets eerlijkers en nuttigers: hoe erg is dit? Dat is de goede vraag, want het antwoord bepaalt de hele strategie. Een informatieverzoek is op zichzelf geen beschuldiging — het is een routineinstrument. Wat het gevaarlijk maakt, is de verleiding om binnen veertien dagen een beter beeld te schetsen dan er is.

Week nul: triage in vijf werkdagen

Wij hebben de eerste vijf werkdagen alleen gebruikt om vast te stellen wat er ís. Geen herstel, geen mooischrijven, alleen inventariseren. Drie vragen per opgevraagd stuk:

1. Bestaat het? Ja, nee, of gedeeltelijk.
2. Wanneer is het opgesteld? Met de vindplaats en de aantoonbare datum erbij.
3. Kan het nog eerlijk worden aangevuld? Een risicobeoordeling die vandaag wordt gemaakt, is een risicobeoordeling van vandaag — en dat mag, mits u dat zo opschrijft.

Wat wij niet doen, en waarom niet. Wij vullen geen dossiers aan met terugwerkende kracht en wij dateren geen documenten terug. Dat is niet alleen een integriteitskeuze: antedateren is een zelfstandige overtreding die zwaarder weegt dan het gebrek dat u ermee wilde verhullen, en het is verrassend eenvoudig aantoonbaar via versiegeschiedenis, metadata en de logging van uw eigen systemen. Een kantoor dat bij een steekproef door de mand valt op een teruggedateerd stuk, verliest in één klap het vertrouwen dat het bij alle andere onderwerpen nog had.

De keuze: het eerlijke antwoord

Na de triage lagen er twee routes. De eerste: binnen veertien dagen zo veel mogelijk repareren, de gaten zo klein mogelijk laten lijken en hopen dat de steekproef meevalt. De tweede: aanleveren wat er is, expliciet benoemen wat ontbreekt, en daar een herstelplan met data en verantwoordelijken bij leveren.

Wij hebben de tweede geadviseerd, om drie redenen. Een toezichthouder die twintig dossiers opvraagt, heeft doorgaans al een indicatie waar de zwakte zit; een geruststellend antwoord dat bij de eerste doorlichting sneuvelt, kost u de rest van het gesprek. Tweede reden: een instelling die haar eigen gebreken kan benoemen, laat daarmee zien dat haar interne beheersing werkt — dat is op zichzelf een geruststellend signaal. Derde reden: de veertien dagen zijn een reactietermijn, geen hersteltermijn. Niemand verwacht dat u in twee weken een raamwerk repareert.

Wat de twintig dossiers lieten zien

Daarnaast twee bevindingen buiten de dossiers. De SIRA dateerde uit 2021 en beschreef een praktijk zonder de adviestak die sindsdien was opgebouwd. En bij het doornemen van het meldingenoverzicht kwamen twee transacties naar boven die destijds gemeld hadden moeten worden en dat niet waren. Die zijn alsnog gemeld bij FIU-Nederland, vóór verzending van de antwoordbrief, en de brief vermeldde dat expliciet — inclusief de reden waarom het destijds was misgegaan.

Dat laatste voelt tegennatuurlijk: u meldt uzelf. Maar de meldplicht vervalt niet doordat er tijd overheen is gegaan, en een gemiste melding die u zelf alsnog doet weegt anders dan een gemiste melding die de toezichthouder vindt.

Het herstelplan

Het plan dat met de antwoordbrief meeging, was concreet: per bevinding een maatregel, een verantwoordelijke met naam, een datum, en de manier waarop het kantoor zelf zou vaststellen dat het klaar was.

1. Maand 1 — risicoanalyse en beleid. Nieuwe SIRA die de adviestak meeneemt, en beleid dat daarop aansluit. Dit eerst, omdat de norm waartegen dossiers worden hersteld eruit volgt.
2. Maand 1 tot 3 — dossierherstel. Eerst de vijf dossiers uit de steekproef, daarna de hele groep langlopende relaties zonder herbeoordeling — 180 dossiers, gerangschikt op risico.
3. Maand 2 — meldproces. Een procedure met een teller vanaf het signaal en een tweede paar ogen, zodat "onverwijld" niet afhangt van hoe druk iemand het heeft.
4. Maand 2 tot 4 — opleiding. Verplichte sessies per rol, met casuïstiek uit de eigen praktijk. Assistent-accountants kregen andere inhoud dan partners.
5. Maand 4 — onafhankelijke toets. Een beoordeling van opzet, bestaan en werking door ons, als onderbouwing bij de terugkoppeling aan het BFT — en als vertrekpunt voor het gesprek na zes maanden.

Het resultaat

Het BFT accepteerde het herstelplan en legde geen formele maatregel op. Wel volgde een vervolggesprek na zes maanden, met een nieuwe dossiersteekproef. Dat is een normale uitkomst en niet iets om teleurgesteld over te zijn: het toezicht wil zien dat een plan ook wordt uitgevoerd.

Bij die vervolgsteekproef waren 19 van de 20 dossiers op orde. Het twintigste betrof een cliënt die niet reageerde op de uitvraag; die relatie was inmiddels opgeschort, met de afweging in het dossier.

De doorlooptijd tussen signaal en melding is meetbaar geworden. Waar het kantoor eerder niet kon zeggen hoe lang een melding onderweg was, staat er nu een teller op — en die is inmiddels het onderwerp van een vaste regel in het maandoverleg.

Wat u hieruit kunt meenemen

• Gebruik de eerste week om vast te stellen wat er is, niet om te repareren. Zonder een eerlijk beeld kiest u de verkeerde strategie, en die keuze kunt u later niet meer terugdraaien.
• Antedateer nooit. Het is een zelfstandige overtreding, het is aantoonbaar, en het maakt van een herstelbaar tekort een vertrouwensbreuk.
• Een reactietermijn is geen hersteltermijn. U hoeft binnen veertien dagen niet klaar te zijn — u moet binnen veertien dagen eerlijk en compleet antwoorden.
• Een gedateerd herstelplan is uw sterkste stuk. Maatregel, naam, datum, en hoe u zelf vaststelt dat het klaar is. Zonder die vier elementen is het een intentieverklaring.
• Gemiste meldingen doet u alsnog. Zelf, voordat de brief de deur uitgaat, met de reden erbij.
• Laat de eindtoets niet door de bouwer doen. Wij toetsen geen raamwerk dat wij zelf hebben ingericht; in dit traject deden wij de toets omdat het herstel intern werd uitgevoerd. Zie onze werkwijze.

Doorlooptijd en investering

De quick scan in week nul leverde binnen vijf werkdagen het feitelijke beeld op waarop de strategie is gebaseerd. Die snelheid is bij een lopend toezichttraject het belangrijkste dat u kunt kopen — daarom staat op onze dienstpagina's een telefoonnummer boven het formulier.

De onafhankelijke toets in maand vier was een afgebakende opdracht van € 5.500 excl. btw, binnen de bandbreedte op onze toetspagina. De herstelbegeleiding daartussen liep op dagtarief, twee dagen per week gedurende vier maanden, met een vooraf afgesproken maximum — zie interim en detachering.

Veelgestelde vragen bij dit type traject

Hoeveel tijd hebben wij echt bij een informatieverzoek?

De genoemde termijn is een reactietermijn. Kunt u die niet halen, vraag dan tijdig en onderbouwd om uitstel — dat is gebruikelijk en wordt bij een redelijke onderbouwing meestal verleend. Wat u niet moet doen is de termijn stil laten verstrijken of een onvolledig antwoord sturen zonder te vermelden dat het onvolledig is.

Moeten wij een advocaat inschakelen?

Bij een regulier informatieverzoek is dat meestal niet nodig; bij een aangekondigd onderzoek naar een mogelijke overtreding of bij een voornemen tot een maatregel wel. Wij werken in die gevallen graag samen met uw advocaat: die bewaakt de juridische positie, wij zorgen dat de inhoud van het dossier klopt. Wij zijn geen advocatenkantoor en presenteren ons ook niet zo.

Wat als wij ontdekken dat wij meldingen hebben gemist?

Alsnog melden, zelf, en voordat uw antwoord de deur uitgaat. De meldplicht vervalt niet door tijdsverloop. Vermeld het in uw reactie, met de reden waarom het destijds is misgegaan en de maatregel die herhaling voorkomt. Een zelf gecorrigeerde omissie weegt anders dan een omissie die de toezichthouder aantreft.

Kunnen jullie ook de toets doen als jullie het herstel hebben gedaan?

Nee. Wij toetsen geen raamwerk dat wij zelf hebben ingericht — dan is de toets geen onafhankelijk oordeel meer. In deze casus konden wij de toets doen omdat het herstel intern was uitgevoerd. Bouwen wij zelf, dan dragen wij de eindtoets over aan een derde partij.

Bronnen

• Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft)
• Uitvoeringsbesluit Wwft 2018
• Bureau Financieel Toezicht
• FIU-Nederland

Lees verder

• Onafhankelijke toets van uw AML/CFT-raamwerk
• Interim compliance officer en MLRO
• Wwft voor accountants en belastingadviseurs
• Een ongebruikelijke transactie melden bij FIU-Nederland
• Casus: sanctiescreening bij een notariskantoor

Loopt er nu een uitvraag of onderzoek? Dan telt de doorlooptijd. Bel ons rechtstreeks op 06 11 32 53 62 — u krijgt Mitchell of Tarik aan de lijn, geen tussenpersoon, en binnen het gesprek weet u of en hoe wij kunnen helpen. Liever schriftelijk? Stuur een bericht.