SIRA: systematische integriteitsrisicoanalyse
De SIRA is het eerste document dat een toezichthouder opvraagt en het laatste dat intern wordt bijgewerkt. Wij stellen hem op of toetsen wat er ligt — en zorgen dat de uitkomst daadwerkelijk doorwerkt in uw beleid, uw acceptatie en uw monitoring.
Een SIRA — systematische integriteitsrisicoanalyse — is de gestructureerde analyse waarin een instelling vaststelt aan welke integriteitsrisico's zij is blootgesteld, hoe groot die risico's zijn en welke beheersmaatregelen daar tegenover staan. De analyse omvat witwassen en terrorismefinanciering, maar ook sanctieovertreding, corruptie en omkoping, belangenverstrengeling, fraude en maatschappelijk onbetamelijk gedrag. Zij is de basis waarop het cliëntacceptatiebeleid, de transactiemonitoring, het sanctieraamwerk en het opleidingsplan rusten: wat niet in de SIRA staat, wordt elders meestal ook niet beheerst.
Waar de verplichting vandaan komt
Er is niet één artikel waarin het woord SIRA staat. De verplichting ontstaat uit twee richtingen tegelijk, en dat verklaart waarom instellingen er soms twee losse documenten voor maken.
| Grondslag | Wat die vraagt | Voor wie |
|---|---|---|
| Integere bedrijfsvoering art. 3:10 Wft, art. 14 Wtt 2018, Besluit prudentiële regels | Een systematische analyse van integriteitsrisico's en een beheerst beleid daarop, vastgesteld door het bestuur. | Instellingen onder toezicht van DNB of de AFM |
| Risicobeoordeling Wwft art. 2b Wwft | Vaststellen, vastleggen en actueel houden van de risico's op witwassen en terrorismefinanciering, afgestemd op aard en omvang van de instelling. | Elke Wwft-instelling, ook zonder vergunning |
| Sanctierisicoanalyse Sanctiewet 1977, Regeling toezicht Sw | Inzicht in de sanctierisico's in cliëntbestand, transacties en keten, en een daarop afgestemde screening. | Instellingen onder de Regeling toezicht Sanctiewet |
| AMLR vanaf 10 juli 2027 Verordening (EU) 2024/1624 | Een instellingsbrede risicobeoordeling met direct werkende, gedetailleerdere eisen aan onderbouwing en actualisatie. | Alle meldingsplichtige entiteiten in de EU |
Wij voegen die eisen samen tot één document met herkenbare onderdelen, zodat u niet drie analyses onderhoudt die elkaar tegenspreken. Wie liever gescheiden documenten houdt, krijgt ze gescheiden — maar dan wel met één onderliggende methodiek en één scoringsschaal.
Wat er in de praktijk misgaat
Te generiek
De analyse beschrijft de sector in plaats van deze instelling. Dezelfde tekst zou bij een willekeurige concurrent kunnen staan. Een toezichthouder herkent dat binnen één pagina.
Bruto en netto door elkaar
Zonder onderscheid tussen het risico vóór en ná beheersing is niet zichtbaar wat de maatregelen opleveren — en dus ook niet waar nog restrisico zit dat het bestuur moet accepteren.
Maatregelen niet getoetst
De beheersmaatregelen worden benoemd maar niet op werking onderzocht. Een screeningregel die niemand ooit heeft gekalibreerd, telt in de SIRA mee alsof hij werkt.
Geen doorwerking
De SIRA hangt los van het beleid. Wat in de analyse hoog scoort, komt niet terug in het acceptatiebeleid, in de monitoringscenario's of in het opleidingsplan.
Hoe wij het aanpakken
| Stap | Wat er gebeurt | Doorlooptijd |
|---|---|---|
| 1. Inventarisatie | Producten, diensten, distributiekanalen, cliëntsegmenten, landen en de keten waarin u opereert. Plus wat er al ligt: beleid, bestaande analyses, bevindingen van toezichthouder of accountant. | Week 1 |
| 2. Risicoposten | Een uitgeschreven lijst van scenario's die realistisch bij ú kunnen gebeuren, geen standaardlijst. Per scenario: hoe het zou lopen, waar het zichtbaar zou worden en wat het zou kosten. | Week 2 |
| 3. Scoring bruto en netto | Kans en impact vóór beheersing, de beheersmaatregelen met een oordeel over hun werking, en het restrisico dat overblijft. | Week 2–3 |
| 4. Risicosessie | Een sessie van een dagdeel met bestuur en, waar van toepassing, de raad van commissarissen: toetsen van de scores, vaststellen van de risicobereidheid en benoemen wat niet geaccepteerd wordt. | Week 3 |
| 5. Doorvertaling | Concrete gevolgen voor cliëntacceptatiebeleid, verscherpt cliëntenonderzoek, monitoringscenario's, sanctiescreening en opleidingsplan — met wie wat wanneer doet. | Week 4 |
| 6. Vaststelling | Definitief document ter vaststelling door het bestuur, inclusief een leesbare samenvatting van twee pagina's voor de toezichthouder. | Week 4–5 |
Wat u krijgt
- De SIRA zelf: risicoposten, scoring bruto en netto, beheersmaatregelen met een oordeel over hun werking, en het restrisico per post.
- Een samenvatting van twee pagina's die een bestuurder kan toelichten zonder het volledige document erbij te hebben.
- Een actieplan met prioritering, eigenaar en termijn voor de punten waar het restrisico boven de vastgestelde bereidheid uitkomt.
- De onderliggende methodiek en scoringsschaal, zodat u de analyse volgend jaar zelf kunt actualiseren.
- Een sessieverslag van de bijeenkomst met bestuur en commissarissen, inclusief de afwegingen die daar zijn gemaakt.
Wat het kost
- Toets op een bestaande SIRA: € 3.450 excl. btw, vaste prijs. Bevindingenrapport met prioritering, zodat u zelf repareert wat te repareren is.
- Volledige SIRA opstellen: € 6.500 excl. btw, vaste prijs, bij één vergunning en een overzichtelijke productstructuur.
- Jaarlijkse actualisatie: € 2.250 excl. btw, mits wij de vorige versie hebben opgesteld of getoetst.
- Bij meerdere vergunningen, meerdere landen of een groepsstructuur maken wij vooraf een afwijkende vaste prijs. Nacalculatie zonder plafond doen wij niet.
Wanneer u beter nú kunt beginnen
Drie momenten waarop uitstel duur wordt. Bij een vergunningaanvraag: de SIRA is een van de eerste documenten die DNB of de AFM beoordeelt, en een zwakke analyse vertraagt het hele traject. Bij een lopend toezichtonderzoek: een SIRA die tijdens het onderzoek wordt opgesteld, leest anders dan een SIRA die er al lag. En in de aanloop naar de AMLR: vanaf 10 juli 2027 gelden direct werkende, gedetailleerdere eisen aan de instellingsbrede risicobeoordeling, en wie zijn methodiek nu op orde brengt, hoeft die in 2027 alleen aan te vullen. Lees wat er verandert in Van Wwft naar EU AMLR, of laat eerst een AMLR-gapanalyse doen.
Verdieping in de kennisbank
Ook interessant
Veelgestelde vragen over de SIRA
Wat is een SIRA?
Een SIRA is een systematische integriteitsrisicoanalyse: de gestructureerde analyse waarin een instelling vaststelt aan welke integriteitsrisico's zij blootstaat, hoe groot die risico's zijn en welke beheersmaatregelen daar tegenover staan. De SIRA omvat witwassen en terrorismefinanciering, maar ook sanctieovertreding, corruptie en omkoping, belangenverstrengeling, fraude en maatschappelijk onbetamelijk gedrag. Zij vormt de basis waarop het hele AML/CFT-beleid, het cliëntacceptatiebeleid en de monitoring rusten.
Is een SIRA wettelijk verplicht?
Voor instellingen onder prudentieel toezicht vloeit de verplichting voort uit de integere bedrijfsvoering: artikel 3:10 Wft en, voor trustkantoren, artikel 14 Wtt 2018, uitgewerkt in het Besluit prudentiële regels. Daarnaast verplicht artikel 2b Wwft elke Wwft-instelling tot het vaststellen, vastleggen en actueel houden van een risicobeoordeling van haar witwas- en terrorismefinancieringsrisico's. In de praktijk voeren DNB en de AFM die twee samen onder de noemer SIRA, en vragen zij er bij vrijwel elk onderzoek naar.
Wat is het verschil tussen een SIRA en een Wwft-risicobeoordeling?
De Wwft-risicobeoordeling uit artikel 2b Wwft gaat uitsluitend over witwassen en terrorismefinanciering. De SIRA is breder en omvat alle integriteitsrisico's: naast witwassen ook sancties, corruptie, fraude, belangenverstrengeling en onbetamelijk gedrag. Veel instellingen maken één document waarin de Wwft-risicobeoordeling een afgebakend onderdeel van de SIRA is. Dat mag, mits de witwas- en terrorismefinancieringsrisico's herkenbaar en volledig zijn uitgewerkt.
Hoe vaak moet een SIRA worden geactualiseerd?
Ten minste jaarlijks, en bovendien zodra er iets verandert dat het risicobeeld raakt: een nieuw product, een nieuwe markt of distributiekanaal, een overname, een wijziging in de cliëntenportefeuille, nieuwe wetgeving of een nieuw sanctieregime. Een SIRA die twee jaar ongewijzigd is terwijl de instelling wel is veranderd, wordt door de toezichthouder gelezen als bewijs dat het document niet wordt gebruikt.
Wat gaat er in de praktijk mis met een SIRA?
Vier dingen, in volgorde van hoe vaak wij ze tegenkomen. De analyse blijft generiek en beschrijft de sector in plaats van deze instelling. Het bruto risico wordt niet onderscheiden van het netto risico, waardoor niet zichtbaar is wat de beheersmaatregelen opleveren. De beheersmaatregelen worden benoemd maar niet op werking getoetst. En de SIRA hangt los van het beleid: wat er in de analyse staat, komt niet terug in het cliëntacceptatiebeleid, de scenario's in de transactiemonitoring of het opleidingsplan.
Kunnen jullie onze bestaande SIRA toetsen in plaats van een nieuwe maken?
Ja, en vaak is dat de verstandigere opdracht. Wij toetsen de bestaande analyse op volledigheid van de risicoposten, op onderbouwing van de scores, op het onderscheid tussen bruto en netto risico, op de aantoonbare werking van de beheersmaatregelen en op de doorwerking naar beleid en monitoring. U krijgt een bevindingenrapport met prioritering, zodat u zelf kunt repareren wat te repareren is. Een toets kost € 3.450 excl. btw.
Wat kost het opstellen van een SIRA?
Een volledige SIRA voor een instelling met één vergunning en een overzichtelijke productstructuur kost € 6.500 excl. btw tegen een vaste prijs. Een toets op een bestaande SIRA kost € 3.450 excl. btw. Bij meerdere vergunningen, meerdere landen of een complexe groepsstructuur maken wij vooraf een afwijkende vaste prijs; nacalculatie zonder plafond doen wij niet.
Wie stelt de SIRA vast?
Het bestuur. De SIRA is een bestuursdocument, geen compliancerapport: het bestuur stelt de risicobereidheid vast, keurt de analyse goed en is aanspreekbaar op de keuzes daarin. Wij maken de analyse en voeren de sessies, maar wij nemen die verantwoordelijkheid niet over — en een toezichthouder die merkt dat het bestuur het eigen document niet kan toelichten, trekt daar conclusies uit.
Alle bedragen van alle diensten staan bij elkaar op de tarievenpagina, zodat u kunt vergelijken zonder elke dienstpagina langs te gaan.
Bronnen
- Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) — wetten.overheid.nl
- Handvatten voor de SIRA — AFM
- Leidraad Wwft en Sanctiewet — De Nederlandsche Bank
- Wwft — Open Boek Toezicht, De Nederlandsche Bank
- Sanctiewet 1977 — wetten.overheid.nl
- Verordening (EU) 2024/1624 (AMLR) — EUR-Lex
- Wet toezicht trustkantoren 2018 — wetten.overheid.nl
Niet zeker of u een nieuwe SIRA nodig heeft? Stuur ons de huidige versie. In een gesprek van dertig minuten zeggen wij of een toets volstaat of dat er opnieuw begonnen moet worden — ook als het antwoord is dat u niets van ons nodig heeft. Plan het gesprek.