Inhoudsopgave
- Wat is een AML-risicobeoordeling en waarom is deze verplicht?
- Wie moet de risicobeoordeling schriftelijk opstellen?
- De vier vereiste risicobeoordeel gebieden onder FIU-richtlijn nr. 11
- Inherent versus restrisico: het belangrijkste onderscheid
- Risicomatrix: hoe wordt de uiteindelijke risicoscore berekend?
- Hoe beïnvloedt de risicoscore de cliënthantering?
- Comply or explain: waarom 'de cliënt is laag risico' niet volstaat
- Wanneer en hoe moet de risicobeoordeling worden bijgewerkt?
- De meest voorkomende fouten in risicobeoordeling volgens FIU
- Wat moet de risicobeoordeling bewijzen tijdens een FIU-inspectie — checklist
- Hoe risicoanalyse er in de praktijk uitziet: makelaar in onroerend goed vs accountant
- Wat zegt de NRA 2020–2024 over risico's in de niet-financiële sector?
- Veelgestelde vragen over risicobeoordeling
Wat is een AML-risicobeoordeling en waarom is deze verplicht?
Een risicobeoordeling voor witwassen en terrorismefinanciering (ML/TF) is een wettelijke verplichting onder de relevante bepalingen van de AML-wet. Het is een intern analytisch document waarin een meldingsplichtige entiteit de risico's identificeert en beoordeelt die voortvloeien uit haar klanten, producten, bedrijfsmodel en geografische blootstelling.
Een risicobeoordeling is geen formeel oefening. Het is de basis waarop het gehele systeem van interne AML-beleid moet staan. Zonder dit kunnen interne beleidsregels niet correct worden ingesteld, en kunnen de procedures voor klantidentificatie en due diligence niet op risico's gebaseerd zijn.
De wet schrijft geen vast sjabloon voor. De Methodologische Richtlijn nr. 11 van de FIU, die van kracht is vanaf 5 september 2025 en vooral gericht is op niet-financiële meldingsplichtige entiteiten, bepaalt echter de minimale inhoud en methodologie die van een risicobeoordeling wordt verwacht.
Wie moet de risicobeoordeling schriftelijk opstellen?
De verplichting om een schriftelijke risicobeoordeling op te stellen geldt voor de betrokken meldingsplichtige entiteiten onder artikel 21a(2) van de AML-wet — dezelfde groep die schriftelijk AML-beleid moet hebben:
| Type meldingsplichtige entiteit | Schriftelijke risicobeoordeling |
|---|---|
| Kredietinstellingen — artikel 2/1/a | Verplicht |
| Financiële instellingen — artikel 2/1/b | Verplicht* |
| Gokoperatoren — artikel 2/1/c | Verplicht* |
| Onroerendgoedmakelaars, veilinghouders — artikel 2/1/d | Verplicht* |
| Trust- en bedrijfsserviceproviders — artikel 2/1/h | Verplicht* |
| Accountants, belastingadviseurs, auditoren — artikel 2/1/e | Niet verplicht schriftelijk — sterk aanbevolen |
| Advocaten, notarissen — artikel 2/1/g | Niet verplicht schriftelijk — sterk aanbevolen |
*Een uitzondering geldt wanneer er geen werknemers zijn of de AML-activiteit uitsluitend voor een andere meldingsplichtige entiteit wordt uitgevoerd (artikel 21(3) en (4) van de AML-wet).
De risicobeoordeling moet worden goedgekeurd door het statutair orgaan van de meldingsplichtige entiteit en actueel worden gehouden.
De vier vereiste risicobeoordeel gebieden onder FIU-richtlijn nr. 11
FIU-richtlijn nr. 11 bepaalt vier gebieden waarin een meldingsplichtige entiteit ML/TF-risicofactoren moet identificeren. Elk gebied moet concreet worden behandeld, niet door middel van algemene stellingen.
Gebied 1: Klant en zakelijke relaties
Klanttype is de sterkste risicofactor. De beoordeling moet onderscheid maken tussen particulieren, zelfstandigen, rechtspersonen, PEP's, onderdanen van derde landen, klanten uit hoogrisicolanden en klanten met ongebruikelijk gedrag. Het moet ook het doel, de regelmaat en de duur van de zaaksrelatie in aanmerking nemen.
Gebied 2: Producten en diensten
Elk product of dienst moet worden beoordeeld door uit te leggen hoe deze specifiek kan worden misbruikt voor witwassen. Het volstaat niet om te stellen dat een product riskant is. De beoordeling moet het misbruikscenario en de beperkende controles beschrijven.
Gebied 3: Geografisch risico
De beoordeling houdt rekening met de herkomst van de klant, betalingsbestemmingen en exploitatielocaties. Hoogrisicolanden zijn die op de FATF- en EU-lijsten staan. Geografie beïnvloedt zowel klantencategorisering als waarschuwingssignalen in transacties.
Gebied 4: Distributiekanalen
De manier waarop een meldingsplichtige entiteit met cliënten communiceert en zaken afsluit is een afzonderlijke risicofactor. Externe identificatie, onlinekanalen en bemiddeld contact verhogen het risico ten opzichte van persoonlijk cliëntcontact.
Inherent versus restrisico: het belangrijkste onderscheid
Richtlijn nr. 11 van de FIU onderscheidt twee soorten risico's die moeten worden vastgelegd:
- Inherent risico is het ML/TF-risiconiveau voordat verzachtende maatregelen worden toegepast. Het is het ruwe risico voortvloeiend uit de aard van de cliënt, het product of het exploitatiemodel.
- Restrisico is het risico dat overblijft nadat AML-maatregelen zijn toegepast. Restrisico is gelijk aan inherent risico minus het effect van controles.
Praktisch voorbeeld: een cliënt die een buitenlander is en in een hoogrisicoland van buiten de EU woont, heeft een hoog inherent risico. Na verhoogde due diligence onder artikel 9a, verificatie van de bron van de middelen en voortdurende monitoring kan het restrisico afnemen tot een gemiddeld of beheersbaar niveau. Dit redeneren moet aantoonbaar zijn in de risicobeoordeling.
Are you subject to AML?
Enter your company ID (IČO) and instantly find out whether you're subject to AML regulations
Risicomatrix: hoe wordt de uiteindelijke risicoscore berekend?
Richtlijn nr. 11 van de FIU adviseert risico's op een drie- of vierniveauschaal in te schatten. AML PROOF implementeert deze logica door middel van een WAR-model (Weighted Average Risk), een gewogen gemiddelde van risicofactoren die automatisch voor elke cliëntcheck wordt berekend.
| Lage impact | Gemiddelde impact | Hoge impact | |
|---|---|---|---|
| Lage waarschijnlijkheid | Laag | Laag | Gemiddeld |
| Gemiddelde waarschijnlijkheid | Laag | Gemiddeld | Hoog |
| Hoge waarschijnlijkheid | Gemiddeld | Hoog | Hoog |
Elke cliënt ontvangt een uiteindelijke WAR-score die de vier gebieden combineert: cliënt, product, geografie en distributiekanaal. De factorgewichten worden ingesteld in overeenstemming met de Nationale Risicobeoordeling (NRA, goedgekeurd bij Regeringsbesluit nr. 3 van 5 januari 2026) en FIU-richtlijnen.
De uiteindelijke risicoscore plaatst de cliënt in één categorie:
- Laag risico — standaardproces, met mogelijke vereenvoudigde due diligence onder artikel 13.
- Gemiddeld risico — standaardproces met verhoogde aandacht tijdens voortdurende monitoring.
- Hoog risico — activeert verhoogde due diligence (EDD) onder artikel 9a.
- Onaanvaardbaar risico — weigering van de transactie of beëindiging van de zakenrelatie onder artikel 15.
Hoe beïnvloedt de risicoscore de cliënthantering?
De resulterende score is niet alleen een intern getal. Het bepaalt rechtstreeks de omvang van verplichtingen bij het werken met een concrete cliënt:
Lage en gemiddelde score (standaardgeval)
Identificatie werd correct uitgevoerd onder de artikelen 7–8, due diligence onder artikel 9, de cliënt handelt op eigen naam, er is geen PEP- of sanctieresultaat en de bron van de middelen is duidelijk. De zaak kan worden afgerond door een getrainde medewerker.
Hoge score (EDD — verhoogde due diligence)
Het uitgebreide proces onder artikel 9a wordt automatisch geactiveerd. Elke medewerker mag EDD starten, maar goedkeuring of afwijzing moet worden gedaan door de aangewezen persoon (MLRO), zoals vereist door artikel 9a(3)(d).
Sancties of PEP-hit
Een gedeeltelijke overeenkomst (NON_CRITICAL_HIT) kan door een standaardmedewerker worden opgelost. Een volledige overeenkomst (MAJOR_HIT) vereist een MLRO-beslissing en leidt vaak tot een rapport van verdachte transactie.
Comply or explain: waarom 'de cliënt is laag risico' niet volstaat
FIU Richtlijn nr. 11 introduceert het comply or explain-principe voor risicobeoordeling. Voor elke risicofactor moet de meldingsplichtige entiteit aantonen dat haar controles het risico voldoende beperken, of uitleggen waarom zij de factor in haar specifieke omstandigheden lager beoordeelt.
In de praktijk wijst FIU beoordelingen af die alleen generieke uitspraken bevatten zoals 'onze cliënten zijn laag-risico personen'. Een deugdelijke risicobeoordeling moet het volgende bevatten:
- Een concreet misbruikscenario voor elk cliënttype of product.
- Een uitleg waarom de gekozen controles het scenario voldoende dekken.
- Voor laag-risicocategorieën een gedetailleerde uitleg waarom de cliënt of het product werkelijk laag risico is.
Als de beoordeling onvoldoende onderbouwing bevat, kan FIU deze als ontoereikend afwijzen en corrigerende maatregelen opleggen of bestuurlijke strafvorderingsprocedures inleiding.
Wanneer en hoe moet de risicobeoordeling worden bijgewerkt?
Een risicobeoordeling is geen eenmalig document. De AML-wet vereist dat meldingsplichtige entiteiten deze regelmatig bijwerken, en FIU Richtlijn nr. 11 specificeert de triggers:
Een update is vereist wanneer:
- De NRA is uitgebracht of bijgewerkt en beïnvloedt de activiteiten van de meldingsplichtige entiteit.
- FIU nieuwe methodologische richtlijnen uitgeeft of de EU SNRA wordt bijgewerkt.
- Nieuwe producten of diensten worden gelanceerd.
- Nieuwe technologieën worden geïntroduceerd die ML/TF-risico kunnen beïnvloeden.
- Het bedrijfsmodel of de cliëntportefeuille verandert.
Hoe voert u de update uit:
- Beoordeel of de bestaande risicocategorieën nog steeds de realiteit weerspiegelen.
- Werk risicoscores bij waar de omstandigheden zijn veranderd.
- Documenteer de redenen en datum van de wijziging.
- Zorg voor goedkeuring van de update door het statutair orgaan.
- Train medewerkers op wijzigingen onder artikel 23(3).
De meest voorkomende fouten in risicobeoordeling volgens FIU
FIU Richtlijn nr. 11 en toezichtspraktijk identificeren herhaaldelijk deze tekortkomingen:
- Sjabloonbeoordeling zonder individualisering: een document gekopieerd van het internet of gegenereerd zonder het bedrijfsmodel te begrijpen.
- Ontbrekende beoordeling van distributiekanalen: externe en intermediaire kanalen worden vaak weggelaten.
- Geen link tussen risicobeoordeling en intern beleid: de beoordeling markeert een cliënt als hoog risico, maar het beleid bevat geen overeenkomstige procedure.
- Verouderde beoordeling: geen update na een nieuwe NRA of FIU Richtlijn nr. 11.
- Ongerechtvaardigd laag-risicocategorieën: brede stellingen dat alle cliënten laag risico zijn zonder comply or explain-analyse.
Wat moet de risicobeoordeling bewijzen tijdens een FIU-inspectie — checklist
Tijdens een inspectie beoordeelt FIU niet alleen of de risicobeoordeling bestaat, maar ook of de conclusies ervan aantoonbaar zijn. Controleer of uw document bestand zou zijn tegen:
Formele vereisten
- De risicoanalyse maakt deel uit van het schriftelijk interne AML-beleid of is daar expliciet aan gekoppeld.
- Het document is goedgekeurd door het statutaire orgaan (handtekening + datum).
- Een eerdere versie is beschikbaar met de updatedatum en reden voor wijziging.
- De analyse weerspiegelt de huidige NRA die is goedgekeurd bij Regeringsbesluit nr. 3 van 5 januari 2026.
Inhoud — vier gebieden
- Klant: worden klantencategorieën onderscheiden en is elke score gerechtvaardigd?
- Product/dienst: wordt voor elk product een concreet ML/TF-misbruikscenario beschreven?
- Geografie: worden landen met hoog risico weerspiegeld in zowel klantencategorisering als transactiewaarschuwingen?
- Distributiekanaal: wordt identificatie op afstand onderscheiden van persoonlijke identificatie?
Risicoclassificatie
- Wordt aan elke klantencategorie een risicoscore toegekend?
- Bevatten categorieën met laag risico comply of een rechtvaardiging?
- Worden categorieën met laag risico ondersteund door analyse in plaats van bewering?
Koppeling aan beleid en praktijk
- Het interne beleid bevat een matchingprocedure voor elke risicocategorie.
- Mitigerende maatregelen zijn concreet, niet alleen 'verhoogde monitoring'.
- Het updateinterval is aangegeven.
Hoe risicoanalyse er in de praktijk uitziet: makelaar in onroerend goed vs accountant
Risicoanalyse moet specifiek voor de sector zijn. Hieronder vindt u de belangrijkste verschillen tussen twee gangbare soorten niet-financiële meldingsplichtige entiteiten:
Makelaar in onroerend goed (artikel 2, lid 1, onder d) van de AML-wet)
Volgens de NRA 2020–2024 is de vastgoedsector een gebied met gemiddeld tot hoog risico. Typische factoren zijn:
| Gebied | Typisch risico | Aanbevolen score |
|---|---|---|
| Klant — rechtspersoon met ondoorzichtig eigenaarschap | Verberging van de uiteindelijk begunstigde | Hoog |
| Klant — buitenlandse onderdaan uit een jurisdictie met hoog risico | Grensoverschrijdende witwassen | Hoog |
| Klant — koper die het volledige bedrag in contanten betaalt | Op contanten gebaseerd witwassen | Hoog tot onaanvaardbaar boven EUR 10.000 |
| Product — bemiddeling bij verkoop van onroerend goed | Over- of onderprijs | Gemiddeld |
| Geografie — klant uit post-Sovjet-regio | Witwassen via vastgoedmarkt | Hoog |
| Distributiekanaal — identificatie op afstand zonder face-to-face contact | Risico op identiteitsdiefstal | Gemiddeld tot hoog |
Belangrijkste EDD-verplichting: bepaal de bron van de middelen die voor de aankoop zijn gebruikt en neem redelijke maatregelen om de oorsprong van activa onder artikel 9(2)(e) en (f) vast te stellen.
Accountant (artikel 2(1)(e) AML-wet)
Accountants zijn niet wettelijk verplicht een schriftelijke risicobeoordeling te hebben, maar de FIU verwacht dit doorgaans tijdens inspecties en beschouwt de afwezigheid ervan als een verzwarende factor. Typische factoren zijn:
| Gebied | Typisch risico | Aanbevolen score |
|---|---|---|
| Cliënt — speciaal opgericht juridisch persoon | Misbruik voor ML-structuren | Hoog |
| Cliënt — eenmanszaak met ondoorzichtige inkomstenstructuur | Verberging van inkomstenbronnen | Gemiddeld |
| Product — boekhoudkundige verwerking voor cliënt met veel contanten | Verberging van herkomst van middelen | Hoog |
| Product — belastingadvies voor buitenlandse transacties | Belastingmisdrijf + ML | Gemiddeld |
| Geografie — grensoverschrijdende transacties naar hoogrisicolanden | Grensoverschrijdende ML | Hoog |
| Distributiekanaal — uitsluitend online communicatie | Risico op identiteitsdiefstal | Gemiddeld |
Belangrijk verschil met makelaar onroerend goed: accountants handhaven meestal een langdurige zakenrelatie, wat betekent dat er voortdurend due diligence en monitoring van de bedrijfsactiviteiten van de cliënt in de loop der tijd plaatsvinden.
Wat zegt de NRA 2020–2024 over risico's in de niet-financiële sector?
De nationale risicobeoordeling voor witwassen/terrorismefinanciering voor 2020–2024 (NRA, goedgekeurd bij Resolutie nr. 3 van de Tsjechische regering van 5 januari 2026) is een verplichte referentiepunt dat elke meldingsplichtige entiteit moet reflecteren bij het opstellen van een risicobeoordeling onder artikel 21a(1).
De NRA identificeert vier witwasrisico's in Tsjechië. De volgende zijn het meest relevant voor de niet-financiële sector:
- Risicomodel 1 — fraude: daders misbruiken het vertrouwen van slachtoffers om middelen te verkrijgen die vervolgens in het financiële systeem worden ingevoerd.
- Risicomodel 3 — ander eigendoms- en economisch misdrijf: corruptie, sluiproofing en faillissementsverrichtingen. Een belangrijk model voor TCSP's, onroerend goed en belastingadviseurs.
- Risicomodel 4 — misdrijf met een grensoverschrijdend element: ongeveer 25–30% van illegaal verkregen middelen zijn afkomstig van voorafgaand misdrijf met een grensoverschrijdend element.
Nieuwe verschijnselen die in de NRA 2020–2024 zijn geïdentificeerd en die moeten worden weerspiegeld:
- De grote verschuiving van fraude naar cyberspace — social engineering, deepfakes en door AI gegenereerde inhoud.
- De vestiging van virtuele activa en hun groeiend misbruik voor ML.
- Verborgen arbeidsbemiddeling gekoppeld aan belastingovervinging.
- Nieuwe sanctieontduiking gekoppeld aan de oorlog in Oekraïne.
Deze verschijnselen moeten nadrukkelijk worden weerspiegeld in de risicobeoordeling van elke meldingsplichtige entiteit. Een generieke verwijzing naar de NRA is niet voldoende. De FIU controleert of concrete maatregelen zijn genomen in reactie op de geïdentificeerde trends.
De niet-openbare NRA-versie met meer gedetailleerde sectorale typologieën kan rechtstreeks bij de FIU worden aangevraagd.
Veelgestelde vragen over risicobeoordeling
Heeft de FIU een sjabloon voor risicobeoordeling gepubliceerd?
Nee. De FIU heeft geen sjabloon voor risicobeoordeling gepubliceerd en is niet van plan dit te doen. De beoordeling moet altijd worden afgestemd op de specifieke verplichtstelling.
Moet de risicobeoordeling worden goedgekeurd door de directeur?
Ja. De risicobeoordeling maakt deel uit van het interne AML-beleid, dat moet worden goedgekeurd door het statutaire orgaan onder artikel 21(2).
Hoe gedetailleerd moeten de risico's van individuele klanten zijn?
De risicobeoordeling is typologisch. Het beschrijft categorieën, niet concrete individuen. Een concrete klant krijgt een risicoprofiel tijdens identificatie en due diligence.
Wat is een klant met laag risico en hoe herken ik deze?
Artikel 13 staat vereenvoudigde due diligence alleen toe waar de risicobeoordeling aantoonbaar een laag ML/TF-risico ondersteunt. Een enkele verklaring is niet voldoende.
Moet ik de NRA in de risicobeoordeling weerspiegelen?
Ja. Dit is een wettelijke verplichting onder artikel 21a(1). De huidige NRA werd goedgekeurd bij Resolutie nr. 3 van de Tsjechische regering van 5 januari 2026.
Als mijn bedrijf aanzienlijk verandert, moet ik de hele beoordeling herschrijven?
Niet noodzakelijk. U moet beoordelen of de bestaande categorisering nog van toepassing is en de betreffende onderdelen bijwerken. Elke update moet worden gedocumenteerd met de datum en reden.
Risicobeoordeling ingebouwd in elke controle — niet als een statisch document
AML PROOF berekent de WAR-risicoscore automatisch in elke zaak. Het resultaat wordt opgeslagen in het audittrail, bepaalt de klantworkflow en vormt bewijs voor uw organisatiebrede risicobeoordeling.
Gratis starten