5 veelgemaakte fouten bij Wwft-compliance (en hoe je ze voorkomt)
De meeste Wwft-fouten ontstaan niet door onwil, maar door een werkwijze die niet schaalbaar is. Herkenbare valkuilen zoals ontbrekende risicoprofielen, verouderde SIRA’s en vergeten monitoring zorgen voor aantoonbare tekortkomingen bij een toezichtcontrole. Ze zijn allemaal te vermijden.
Wwft-compliance lijkt overzichtelijk in theorie: cliëntenonderzoek uitvoeren, risico beoordelen, vastleggen en monitoren. Maar in de praktijk gaat het regelmatig mis, vaak op dezelfde plekken en vaak zonder dat de betrokkenen het doorhebben. Toezichthouders zien deze patronen keer op keer terugkomen bij controles, en ze leiden consequent tot tekortkomingen, boetes en reputatieschade die volledig te voorkomen waren.
Hieronder staan de vijf meest voorkomende fouten, waarom ze ontstaan en wat je concreet kunt doen om ze te voorkomen.
Inhoudsopgave
- Geen risicoprofiel vastleggen
- PEP- en sanctiescreenings niet structureel uitvoeren
- Dossiers die incompleet of niet actueel zijn
- Geen actuele SIRA aanwezig
- Monitoring na onboarding vergeten
- Plan een gratis demo bij zkr.
Fout 1: geen risicoprofiel vastleggen
De meest voorkomende tekortkoming bij Wwft-controles is het ontbreken van een formeel vastgelegd risicoprofiel. De instelling heeft de cliënt onderzocht, een afweging gemaakt en de relatie aangegaan, maar nergens staat opgeschreven welke risicoclassificatie is toegekend en op basis waarvan.
Toezichthouders beoordelen niet of je de juiste afweging hebt gemaakt, maar of je die kunt aantonen. Een mondeling oordeel of een interne afspraak die nergens is gedocumenteerd, telt niet. Het risicoprofiel moet schriftelijk zijn vastgelegd, onderbouwd met de gegevens die ten grondslag lagen aan de beoordeling, en bewaard als onderdeel van het klantdossier.
Met zkr. wordt de risicoclassificatie automatisch gegenereerd op basis van de uitgevoerde screenings en ingevoerde gegevens. Het profiel is direct onderdeel van het dossier en te allen tijde inzichtelijk.
Fout 2: PEP- en sanctiescreenings niet structureel uitvoeren
Veel instellingen voeren de PEP-screening en sanctiecheck eenmalig uit bij de start van de relatie en laten het daarna liggen. Dat is niet compliant. De Wwft vereist doorlopende monitoring, wat betekent dat wijzigingen in de status van een cliënt actief moeten worden gesignaleerd gedurende de hele looptijd van de relatie.
Een cliënt die vandaag geen PEP is, kan dat morgen zijn door een politieke benoeming. Een partij die nu niet op een sanctielijst staat, kan er volgende week op verschijnen. Wie alleen bij onboarding screent, mist deze wijzigingen en voldoet daarmee structureel niet aan de wet, ook al was de initiële check correct uitgevoerd.
Zkr. voert PEP- en sanctiescreenings continu en automatisch uit. Bij een relevante wijziging in de status van een cliënt ontvang je direct een melding en wordt het dossier automatisch bijgewerkt.
Fout 3: dossiers die incompleet of niet actueel zijn
Een klantdossier dat bij de start van de relatie correct is opgebouwd, maar daarna niet wordt bijgehouden, is na verloop van tijd een compliance-risico. Wijzigingen in de eigendomsstructuur van een cliënt, een nieuwe activiteit, een veranderd adres of een gewijzigd risicoprofiel moeten worden verwerkt. Een dossier dat twee jaar oud is en sindsdien niet is aangeraakt, wekt bij een toezichthouder direct argwaan.
Daarnaast zijn veel handmatig bijgehouden dossiers structureel incompleet. Identificatiedocumenten ontbreken, screeningsresultaten zijn niet opgeslagen of de ondertekende opdrachtbevestiging is nooit aan het digitale dossier toegevoegd. Bij een controle betekent dit dat de instelling de bewijslast heeft voor stappen die wel zijn gezet maar niet zijn gedocumenteerd, een vrijwel onmogelijke positie.
In zkr. wordt elk dossier automatisch opgebouwd vanuit de uitgevoerde stappen. Niets kan worden overgeslagen zonder dat het systeem dat signaleert, en alles wordt centraal en AVG-proof opgeslagen.
Fout 4: geen actuele SIRA aanwezig
De Systematische Integriteitsrisicoanalyse is een verplichting die veel instellingen eenmalig invullen en daarna laten liggen. Een SIRA die stamt uit 2021 of 2022 en sindsdien niet is herzien, is bij een controle in 2025 een directe tekortkoming, zeker als de cliëntportefeuille, de dienstverlening of de relevante regelgeving inmiddels is veranderd.
De SIRA moet periodiek worden bijgewerkt en aantoonbaar aansluiten bij de actuele situatie van de organisatie. Dat betekent niet dat je elk jaar van nul begint, maar wel dat je de analyse serieus neemt als een levend document in plaats van een afvinkpunt.
Zkr. koppelt het risicobeleid direct aan de cliëntportfolio en signaleert automatisch wanneer herziening nodig is op basis van wijzigingen in het klantbestand of de regelgeving.
Fout 5: monitoring na onboarding vergeten
De onboarding is succesvol afgerond. Het dossier is compleet. En dan verdwijnt de cliënt in de portefeuille totdat er een aanleiding is om opnieuw naar hem te kijken, wat in de praktijk betekent: nooit. Dit is de meest onderschatte fout bij Wwft-compliance, omdat ze onzichtbaar is totdat een toezichthouder ernaar vraagt.
De Wwft vereist dat je gedurende de gehele looptijd van een zakelijke relatie alert blijft op signalen die het risicoprofiel van een cliënt kunnen veranderen. Nieuwe sancties, negatieve berichtgeving, gewijzigde eigendomsstructuren: dit zijn allemaal signalen die aanleiding geven tot herziening van het dossier. Het cliëntenonderzoek stopt niet bij de eerste acceptatie.
Zkr. monitort automatisch en continu. Relevante wijzigingen worden gesignaleerd, gedocumenteerd en aan jou gerapporteerd. Zo ben je nooit verrast bij een controle en heb je altijd een actueel en volledig dossier beschikbaar.
Plan een gratis demo bij zkr.
Herken je een of meer van deze fouten in jouw eigen werkwijze? Dan is dit het moment om er iets aan te doen, voordat een toezichthouder dat voor je doet. Plan een gratis demo en ontdek binnen 15 minuten hoe zkr. jouw Wwft-compliance waterdicht maakt, van risicoclassificatie en screening tot monitoring en bewaarplicht.
