Een betaalinstelling die uit haar eigen Wwft-raamwerk was gegroeid

Door Mitchell Zandwijken · 10 september 2026 · Wwft, SIRA, transactiemonitoring

Voorbeeldcasus — geen bestaande opdrachtgever. Deze casus is geschreven om te laten zien hoe wij werken. De situatie is samengesteld uit patronen die wij bij vergelijkbare instellingen tegenkomen; de organisatie, de aantallen en de uitkomsten zijn illustratief en herleiden niet naar een cliënt van ZandKade Compliance. De genoemde bedragen sluiten aan bij onze gepubliceerde tarieven.

Een betaalinstelling groeide in twee jaar van 900 naar ruim 9.000 zakelijke cliënten, terwijl beleid, risicoanalyse en monitoringscenario's stamden uit het jaar van de vergunningaanvraag. Toen DNB een eerste uitvraag deed, bleek niemand te kunnen uitleggen waaróm de instelling deed wat zij deed. In veertien weken hebben wij de SIRA opnieuw opgebouwd, het acceptatie- en cliëntenonderzoeksbeleid daarop laten aansluiten, de monitoringscenario's gekalibreerd en onderbouwd, en de MLRO uit de operationele rapportagelijn gehaald.

Hulp nodig bij dit onderwerp? In een kosteloos gesprek van dertig minuten kijken we mee naar uw situatie. Plan een gesprek of bel 06 11 32 53 62.

De situatie

De instelling had haar vergunning gekregen als kleine partij met een overzichtelijk product: uitbetalingen namens Nederlandse webshops. Twee jaar later liepen er drie productlijnen, waaronder massale uitbetalingen aan zelfstandigen in vijf landen, en was het bestand vertienvoudigd. Het beleid was in die twee jaar niet aangepast. Dat is geen nalatigheid van kwade wil — het is wat er gebeurt wanneer een compliancefunctie die op één product is ontworpen, moet meebewegen met een commerciële afdeling die drie keer zo snel groeit.

De directe aanleiding was een informatieverzoek van DNB: beleidsdocumenten, de risicoanalyse, een overzicht van meldingen en een steekproef uit het cliëntenbestand. Het verzoek was op zichzelf routine. Het ongemak zat in de constatering dat de instelling de vragen alleen kon beantwoorden met documenten die de eigen praktijk niet meer beschreven.

Wat wij aantroffen

Wij beginnen elke opdracht met een nulmeting: documentatie lezen, systemen bekijken, en spreken met de mensen die het werk daadwerkelijk doen. Dat laatste levert bijna altijd het echte beeld op. Wat wij vonden:

• De SIRA benoemde de nieuwste productlijn niet. Uitbetalingen aan zelfstandigen in het buitenland — inmiddels een derde van het volume — kwamen in de risicoanalyse niet voor. Daarmee ontbrak ook elke beheersmaatregel die daarop was toegesneden.
• De risicoclassificatie kende twee klassen. Standaard en hoog. Alles wat niet evident hoog risico was, kreeg standaard. Bij negenduizend cliënten betekent dat geen risicogerichte inzet, maar één inzet voor iedereen.
• Zestig procent van de hoog-risicodossiers had geen recente review. Het beleid schreef een jaarlijkse herbeoordeling voor. Er was geen proces dat bewaakte of die er kwam.
• De monitoringscenario's stonden nog op de leveringsinstellingen. Niemand kon uitleggen waarom een drempel op een bepaald bedrag stond. Op de vraag waar dat vandaan kwam, kwam het antwoord dat wij vaker horen: zo is het opgeleverd.
• Drie van de twaalf meldingen waren laat. De Wwft verlangt dat u onverwijld meldt nadat het ongebruikelijke karakter bekend is geworden. Tussen signaal en melding zat gemiddeld negen werkdagen, met uitschieters naar drie weken.
• De MLRO rapporteerde aan de COO. Dezelfde persoon die verantwoordelijk was voor doorlooptijden bij onboarding, beoordeelde de compliancefunctionaris die die onboarding soms moest stoppen.

Die laatste bevinding is de belangrijkste, en tegelijk de goedkoopste om te herstellen. Een MLRO die zijn beoordeling krijgt van degene wiens werk hij tegenhoudt, is formeel aanwezig en feitelijk afwezig.

Onze aanpak in vier fasen

1. Week 1 tot 3 — nulmeting. Documentatie, systeeminstellingen en een steekproef van 60 cliëntdossiers, verdeeld over alle drie de productlijnen. Gesprekken met onboarding, de monitoringanalisten, de MLRO en twee bestuurders. Oplevering: een bevindingenrapport met de gaten geordend naar risico, niet naar hoofdstuk.
2. Week 4 tot 7 — risicoanalyse en beleid. De SIRA opnieuw opgebouwd vanaf de werkelijke productlijnen, cliëntsegmenten, kanalen en landen. Daaruit vier risicoklassen afgeleid in plaats van twee, met per klasse een concreet onderzoeksniveau. Acceptatiebeleid en beleid voor verscherpt cliëntenonderzoek daarop aangesloten.
3. Week 8 tot 11 — monitoring en dossierherstel. Elk monitoringscenario doorgelopen met de vraag: welk risico uit de SIRA dekt dit af, en waarom staat de drempel hier? Scenario's die geen enkel risico afdekten zijn geschrapt, twee nieuwe scenario's toegevoegd voor de nieuwe productlijn. Daarnaast een plan voor de achterstallige reviews, met een volgorde op basis van risico in plaats van op alfabet.
4. Week 12 tot 14 — governance, opleiding en verantwoording. Functieprofiel en rapportagelijn van de MLRO herzien, een meldprocedure met termijnbewaking ingericht, een opleidingsplan per rol opgesteld en een bestuursrapportage gemaakt waarmee het bestuur maandelijks kan zien of het raamwerk werkt.

Wat er is opgeleverd

• Een SIRA die de drie productlijnen dekt, met per risico een benoemde beheersmaatregel en een eigenaar.
• Acceptatiebeleid en cliëntenonderzoeksbeleid met vier risicoklassen en per klasse een uitgeschreven onderzoeksniveau.
• Een herkalibratieverantwoording per monitoringscenario: welk risico, welke drempel, welke onderbouwing, welke testresultaten.
• Een meldprocedure met een termijnteller vanaf het moment van signaal, zodat "onverwijld" meetbaar wordt in plaats van een intentie.
• Een herstelplan voor de achterstallige reviews, gefaseerd over zes maanden en gerangschikt op risico.
• Een functieprofiel voor de MLRO met een rechtstreekse rapportagelijn naar het bestuur en een escalatierecht dat op papier staat.
• Een opleidingsplan met verschillende inhoud voor onboarding, analisten, commercie en bestuur.

Het resultaat

Drie uitkomsten waren voor deze instelling het meest zichtbaar.

Het alertvolume daalde met bijna veertig procent, terwijl het aantal terechte signalen gelijk bleef. Dat is geen bezuiniging op detectie maar het wegnemen van ruis: scenario's die op iedere maandbetaling afgingen, zijn vervangen door scenario's die op afwijkend gedrag afgaan. Analisten kregen daardoor tijd om de signalen die overbleven serieus te onderzoeken.

De tijd tussen signaal en melding ging van gemiddeld negen naar twee werkdagen. Niet door harder te werken, maar door één ding te veranderen: de teller begint nu bij het signaal en is zichtbaar voor de MLRO.

De uitvraag van DNB kon worden beantwoord met verwijzing naar één samenhangende set documenten. Belangrijker dan de documenten zelf: op elke vervolgvraag over een keuze was een onderbouwing beschikbaar. Dat is waar toezicht in de kern om draait — niet of u iets doet, maar of u kunt uitleggen waarom u het zo doet.

Wat u hieruit kunt meenemen

• Groei is een integriteitsrisico op zichzelf. Een raamwerk dat bij duizend cliënten werkte, faalt bij tienduizend niet omdat het slecht was, maar omdat het voor iets anders is ontworpen. Koppel actualisatie van de SIRA aan productwijzigingen, niet aan een jaarlijkse agenda.
• Twee risicoklassen zijn geen risicogerichte benadering. Als vrijwel iedereen in dezelfde klasse valt, doet u overal hetzelfde — precies wat de Wwft niet vraagt.
• Onderbouwing weegt zwaarder dan volledigheid. Een instelling met vier scenario's die zij kan uitleggen staat sterker dan een instelling met veertig die uit de doos komen.
• Onafhankelijkheid van de MLRO is een structuurvraag, geen karakterkwestie. Wie de MLRO beoordeelt, bepaalt in de praktijk hoeveel gewicht zijn oordeel heeft.

Doorlooptijd en investering

De nulmeting en het bijbehorende gap-rapport waren een opdracht met vaste prijs: € 9.500 excl. btw, binnen de bandbreedte die op onze Wwft-dienstpagina staat. De implementatiebegeleiding daarna ging op dagtarief met een vooraf afgesproken maximum, zodat het bestuur budget kon vrijmaken zonder open einde.

De doorlooptijd van veertien weken werd niet bepaald door ons tempo maar door twee dingen aan de kant van de opdrachtgever: de beschikbaarheid van IT voor de scenario-aanpassingen, en de besluitvorming over de rapportagelijn van de MLRO. Dat laatste is vrijwel altijd het langzaamste onderdeel, omdat het geen compliancebesluit is maar een bestuursbesluit.

Veelgestelde vragen bij dit type traject

Hoe weet ik of mijn raamwerk is achtergebleven bij onze groei?

Drie vragen geven meestal uitsluitsel. Staat uw nieuwste product in de SIRA? Kan iemand uitleggen waarom een monitoringdrempel op zijn huidige waarde staat? En haalt u de eigen norm voor periodieke reviews? Is een van de drie antwoorden nee, dan loopt de inrichting achter op de praktijk.

Moeten wij eerst de dossierachterstand wegwerken of eerst het beleid herzien?

Eerst het beleid, en wel om een praktische reden: als u dossiers herstelt tegen een norm die u daarna wijzigt, doet u het werk twee keer. Wel begint u tegelijk met de dossiers die onder elke denkbare norm tekortschieten — die zijn niet afhankelijk van de uitkomst.

Wat als de toezichthouder al vragen stelt terwijl wij nog bezig zijn?

Dat is eerder regel dan uitzondering en het is geen probleem, mits u een eerlijk beeld geeft. Een instelling die zegt waar zij staat en een gedateerd herstelplan overlegt, heeft een sterkere positie dan een instelling die een geruststellend antwoord geeft dat bij de eerste dossiersteekproef sneuvelt.

Verkopen jullie ook de software waarmee wij monitoren?

Nee. Wij verkopen geen software en ontvangen geen commissie van leveranciers. Een advies om een systeem te vervangen komt bij ons dus nooit voort uit een belang aan onze kant — en in deze casus was het advies juist om het bestaande systeem te houden en anders in te stellen.

Bronnen

• Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft)
• Uitvoeringsbesluit Wwft 2018
• Toezicht op financieel-economische criminaliteit — DNB
• FIU-Nederland

Lees verder

• Wwft & AML/CFT compliance — onze dienst
• Transactiemonitoring en sanctiescreening
• Wat is de Wwft? Verplichtingen en toezicht uitgelegd
• Een ongebruikelijke transactie melden bij FIU-Nederland
• Casus: informatieverzoek van het BFT

Herkent u dit? In een kosteloos gesprek van dertig minuten kijken we mee naar uw situatie en zeggen we ronduit of wij u kunnen helpen. Plan een gesprek of bel 06 11 32 53 62.