De Wwft voor compliance professionals

Wat is de Wwft?

De officiële naam is Wet ter voorkoming van witwassen en financieren van terrorisme, en de wet is van 15 juli 2008. Volgens de considerans is hij een samenvoeging van de Wet identificatie bij dienstverlening en de Wet melding ongebruikelijke transacties. De wettekst vind je op wetten.overheid.nl.

DNB beschrijft de Wwft als een geheel van maatregelen ter voorkoming van misbruik van het financiële stelsel. De wet is op 1 augustus 2008 in werking getreden en sindsdien meerdere keren gewijzigd. Volgens DNB zijn de Europese anti-witwasrichtlijnen grotendeels in de Wwft geïmplementeerd, dus de Europese regels en de Nederlandse wet hangen nauw samen.

De wet heeft drie hoofdonderdelen: cliëntenonderzoek (artikel 3 tot en met 11), het melden van ongebruikelijke transacties (artikel 12 tot en met 23aa) en toezicht en handhaving (artikel 24 tot en met 32j). Wetten veranderen, dus controleer bij een concrete vraag altijd de geldende tekst op wetten.overheid.nl. Er komen nieuwe Europese regels die volgens DNB de huidige Wwft gaan vervangen, daarover lees je meer in het kopje over 2027 verderop.

Wie valt onder de Wwft?

Artikel 1a bepaalt dat de wet van toepassing is op banken en andere financiële ondernemingen, en op de beroepsbeoefenaars die in lid 4 zijn aangewezen. DNB onderscheidt daarbij drie categorieën: banken, andere financiële ondernemingen en een groep beroepsbeoefenaars, zoals notarissen en makelaars.

Onder de andere financiële ondernemingen vallen onder meer beleggingsondernemingen, beleggingsinstellingen, elektronischgeldinstellingen, wisselinstellingen, levensverzekeraars, betaaldienstverleners en aanbieders van cryptoactivadiensten. In gewone taal betekent dat dat betaalinstellingen, cryptodienstverleners en levensverzekeraars er ook onder vallen. Wie werkt bij een bank of een andere financiële onderneming, werkt dus bij een instelling die onder de wet valt.

De aangewezen beroepsgroepen (lid 4) omvatten onder meer belastingadviseurs, accountants, advocaten en notarissen (voor bepaalde werkzaamheden), trustkantoren, makelaars in onroerend goed, handelaren in goederen en aanbieders van kansspelen. Werk je bij een accountant, notaris, advocaat of makelaar, dan kan de Wwft ook op jouw organisatie van toepassing zijn, afhankelijk van wat er precies gedaan wordt.

Wat is cliëntenonderzoek onder de Wwft?

Artikel 3 lid 1 verplicht een instelling om ter voorkoming van witwassen en financieren van terrorisme cliëntenonderzoek te doen. Volgens lid 2 stelt het onderzoek de instelling in staat het volgende te doen. Je identificeert de cliënt en verifieert diens identiteit. Hetzelfde geldt voor de uiteindelijk belanghebbende. Verder stel je het doel en de beoogde aard van de zakelijke relatie vast, oefen je een voortdurende controle op die relatie uit, en stel je vast of de natuurlijke persoon die de cliënt vertegenwoordigt daartoe bevoegd is.

Een uiteindelijk belanghebbende is volgens artikel 1 de natuurlijke persoon die de uiteindelijke eigenaar is van of zeggenschap heeft over een cliënt. Artikel 3 lid 15 bepaalt dat een instelling zich niet uitsluitend mag verlaten op wat in het handelsregister of het register voor uiteindelijk belanghebbenden staat. Naast het gewone onderzoek moet een instelling in de gevallen van artikel 8 verscherpt cliëntenonderzoek doen, waaronder wanneer de zakelijke relatie of transactie naar haar aard een hoger risico met zich brengt.

Cliëntenonderzoek is geen eenmalige check bij de start. Artikel 3 noemt een voortdurende controle op de zakelijke relatie. In de praktijk betekent dat: bij het aangaan van de relatie identificeren en verifiëren, daarna transacties en gegevens blijven toetsen aan wat je van de cliënt verwacht, en bij een verandering opnieuw kijken.

Wat betekent de risicogebaseerde aanpak?

DNB schrijft dat de Wwft een risicogebaseerde benadering kent. Instellingen schatten zelf de relevante risico's in en zetten daar passende maatregelen tegenover, waarbij het risiconiveau bepaalt hoe zwaar die maatregelen zijn. Wie zich op dit soort afwegingen richt, vindt meer over risicomanagement.

Artikel 2b vraagt een instelling om haar risico's op witwassen en terrorismefinanciering vast te stellen en te beoordelen, in verhouding tot haar aard en omvang. Daarbij kijkt ze naar risicofactoren die samenhangen met het type cliënt, product, dienst, transactie en leveringskanaal. De resultaten legt ze vast, houdt ze actueel en verstrekt ze desgevraagd aan de toezichthouder. Artikel 2c vraagt om gedragslijnen, procedures en maatregelen om die risico's te beperken. Die worden goedgekeurd door de personen die het dagelijks beleid bepalen, en ze worden systematisch getoetst en waar nodig bijgesteld. Artikel 3 lid 7 bepaalt dat het cliëntenonderzoek aantoonbaar moet aansluiten op de risicogevoeligheid.

Risicogebaseerd betekent niet dat een instelling zelf mag kiezen of ze iets doet. Het betekent dat de zwaarte van de maatregelen meebeweegt met het risico. Een instelling met veel internationale betalingen en complexe cliëntstructuren heeft doorgaans zwaardere maatregelen nodig dan een instelling met een eenvoudig aanbod. Daarom hebben een kleine betaalinstelling en een grote bank niet dezelfde maatregelen, ook al moeten beide hun risico's in kaart brengen.

Hoe werkt de meldplicht voor ongebruikelijke transacties?

Een ongebruikelijke transactie is volgens artikel 1 een transactie die op grond van de indicatoren in artikel 15 lid 1 als ongebruikelijk is aan te merken. Artikel 16 lid 1 verplicht een instelling om een uitgevoerde of voorgenomen ongebruikelijke transactie te melden aan de Financiële inlichtingen eenheid. Dat moet onverwijld, nadat het ongebruikelijke karakter van de transactie bekend is geworden. De wet noemt dus geen vast aantal dagen.

FIU-Nederland schrijft dat instellingen elke ongebruikelijke transactie moeten melden, zowel uitgevoerde als voorgenomen. Een melding gaat altijd via het meldportaal van FIU-Nederland, en de instelling moet zich vooraf registreren. Wie in meer dan één hoedanigheid meldt, registreert zich per hoedanigheid.

FIU-Nederland analyseert elke ontvangen melding op mogelijk witwassen, onderliggende strafbare feiten of terrorismefinanciering. De FIU beslist of er genoeg gronden zijn om transacties verdacht te verklaren. Verdachte transacties worden gedeeld met inlichtingen-, veiligheids- en opsporingsdiensten, die zelf beslissen of ze die gebruiken. FIU-Nederland benadrukt dat een verdachte transactie niet gelijk is aan een verdenking in de zin van het Wetboek van Strafvordering.

Ongebruikelijk is niet hetzelfde als verdacht. Je organisatie meldt wat aan de indicatoren voldoet, en FIU-Nederland beoordeelt daarna of een transactie als verdacht wordt aangemerkt. De melder hoeft dus geen bewijs te leveren van witwassen.

Wie houdt toezicht op de Wwft?

Artikel 1d wijst de toezichthouders aan. De Nederlandsche Bank (DNB) houdt toezicht op onder meer banken, andere financiële ondernemingen en trustkantoren. De Autoriteit Financiële Markten (AFM) houdt toezicht op onder meer beleggingsondernemingen, beleggingsinstellingen en aanbieders van cryptoactivadiensten die geen bank zijn. Het Bureau Financieel Toezicht (BFT) ziet toe op onder meer belastingadviseurs, accountants en notarissen. De deken van de Orde van Advocaten houdt toezicht op advocaten, de Minister van Financiën op onder meer makelaars en handelaren, en de Kansspelautoriteit op aanbieders van kansspelen.

DNB houdt toezicht op een grote groep Wwft-instellingen en toetst daarbij of hun risicogebaseerde aanpak conform de Wwft plaatsvindt. Dat valt onder het integriteitstoezicht van DNB. Voor de Sanctiewet 1977 geldt volgens DNB dat financiële instellingen moeten controleren of er sancties zijn opgelegd aan hun relaties, en dat ze een melding moeten doen bij een hit. De Sanctiewet 1977 is een aparte wet die DNB ook bewaakt. Wie de Wwft toepast, leest de uitleg van DNB, zoals de Q&As en Good Practices Wwft en de Leidraad Wwft en Sw, naast de wettekst.

Toezichthouders hebben bevoegdheden om bestuurlijke boetes op te leggen (artikel 30 en verder). Ook kunnen ze een overtreder tijdelijk verbieden om een beleidsbepalende functie bij een instelling te vervullen (artikel 32c).

Welke rol heeft de compliance officer bij de Wwft?

Artikel 2d regelt de verantwoordelijkheid voor naleving. Wordt het dagelijks beleid door twee of meer personen bepaald, dan wijst de instelling één van hen aan die verantwoordelijk is voor de naleving van de wet. Voor zover passend bij aard en omvang heeft de instelling een onafhankelijke en effectieve compliancefunctie, gericht op het controleren van de naleving van wettelijke en interne regels. Die functie omvat ook het verstrekken van gegevens aan FIU-Nederland. Indien passend is er een onafhankelijke auditfunctie.

Artikel 35 bepaalt dat werknemers en de dagelijks beleidsbepalers worden doorgelicht, de bepalingen van de wet kennen en periodiek opleidingen volgen die hen in staat stellen een ongebruikelijke transactie te herkennen. De wet noemt dus een compliancefunctie, geen functietitel voor een compliance officer.

Vakkennis onderscheidt drie lijnen, maar dat is geen wettelijke eis en niet elke organisatie werkt er zo. De eerste lijn, de business, voert het cliëntenonderzoek uit, bijvoorbeeld bij de klantacceptatie. De tweede lijn, compliance en risicomanagement, stelt beleid op, adviseert, houdt toezicht op de naleving en test of het werkt. De derde lijn, interne audit, controleert beide onafhankelijk. Een compliance officer werkt doorgaans in die tweede lijn en kan onder meer beleid en procedures opstellen en actueel houden, risicobeoordelingen begeleiden, alerts uit transactiemonitoring beoordelen of de kwaliteit daarvan toetsen, meldingen aan FIU-Nederland voorbereiden, medewerkers trainen, rapporteren aan het bestuur en contact houden met de toezichthouder. Dat verschilt per organisatie.

Een compliance analyst voert onderdelen van dat werk uit, zoals dossiercontrole en alertbehandeling. Het melden kan bij de compliancefunctie liggen, die gegevens aan FIU-Nederland verstrekt. Of een medewerker de melding zelf indient of een collega, verschilt per organisatie.

Het bestuur blijft verantwoordelijk. Artikel 2d wijst bij een bestuur van meerdere personen één verantwoordelijke aan, en artikel 2c vraagt om goedkeuring van het beleid door de personen die het dagelijks beleid bepalen. Compliance adviseert en controleert, maar neemt die verantwoordelijkheid niet over.

Het vak overlapt met andere disciplines: fraudebestrijding, het beheer van derden en sanctiescreening. Het beheer van derden is het werk van de third party risk manager. Datakwaliteit van klantgegevens hoort bij data governance. Privacy speelt mee, omdat cliëntgegevens persoonsgegevens zijn, en daarvoor is kennis van de AVG nuttig.

Wat verandert er met de Europese regels in 2027?

De nieuwe Europese regels bestaan uit de Anti-Money Laundering Regulation (AMLR), een nieuwe richtlijn (AMLD6) en de verordening die de Europese toezichthouder AMLA oprichtte. De AMLR heeft directe werking in de EU, dus ook in Nederland. De AMLD6 moet in nationale wetgeving worden omgezet via de Implementatiewet ter voorkoming van witwassen en terrorismefinanciering (Iwt), die volgens DNB de huidige Wwft zal vervangen. Het kader staat bij DNB uitgelegd.

Volgens DNB en de AFM treedt het nieuwe Europese AML/CFT-kader op 10 juli 2027 in werking. AMLA is volgens DNB sinds 1 juli 2025 operationeel, is gevestigd in Frankfurt, en gaat vanaf januari 2028 direct toezicht houden op een selectie van Europese financiële instellingen. Voor de actuele stand van de Iwt volg je de pagina's van DNB en AFM.

Het kader wordt herzien. De dagelijkse taken, zoals risicoanalyse, cliëntenonderzoek, monitoring en melden, verdwijnen niet zomaar. Wie nu in Wwft-compliance werkt, volgt de verandering mee. Andere Europese regels voor de financiële sector, zoals DORA, raken hier ook aan.

Werken in Wwft-compliance

Wie in Wwft-compliance wil werken, kan kijken naar organisaties in de financiële sector, zoals banken, verzekeraars, betaalinstellingen en cryptodienstverleners, en naar beroepsgroepen zoals accountants en notarissen. Op de werkgeverspagina voor compliance officers zie je welke werkgevers een compliance officer zoeken. De rollen in het vakgebied compliance en privacy lopen uiteen, van beleid tot analyse en controle.

Over risicomanagement als vervolgstap staat meer in het artikel over CRISC. Naast de Wwft gelden andere Europese regels, zoals de AI Act en de AVG. Op de kennisbank vind je de overige artikelen.