Bij het uitvoeren van een cliëntenonderzoek wordt door financiële instellingen gebruik gemaakt van een risicogerichte aanpak, ofwel de ‘risk-based approach’.
Het principe is simpel: minder onderzoek waar het kan, meer waar het moet. Maar wat houdt deze risicogerichte aanpak in de praktijk in?
In dit artikel staan we stil bij de risk-based approach. We bespreken wat het is, waarom het gebruikt wordt en hoe het in de praktijk wordt toegepast.
Wat is de risk-based approach (risicogerichte aanpak)?
De risk-based approach (risicogerichte aanpak) is de wijze waarop landen, relevante autoriteiten en financiële instellingen risico’s inschatten vanuit de aanbevelingen van de Financial Action Task Force (FATF) in de aanpak van financieel-economische criminaliteit.
Volgens de risk-based approach moeten (financiële) organisaties en autoriteiten inzicht hebben in de manieren waarop criminelen misbruik van het systeem kunnen maken. Door inzicht in de aanwezige CDD-risicofactoren, kunnen effectieve maatregelen getroffen worden om bijvoorbeeld witwassen en terrorismefinanciering op te sporen en voorkomen.
Een goed risicogericht beleid is gebaseerd op- en reflecteert het nationale en internationale wettelijke raamwerk. Daarnaast dient het rekening te houden met specifieke landenrisico’s die in het desbetreffende land aanwezig zijn.
Praktisch gezien houdt de risicogerichte aanpak in dat wanneer bepaalde risico-indicatoren worden geïdentificeerd, er een grondiger onderzoek vereist is. Anderzijds betekent dit ook dat er bij afwezigheid van deze risico-indicatoren een minder grondig onderzoek volstaat.
De risk-based approach binnen financiële instellingen
Voor financiële instellingen is de risicogerichte aanpak een cruciaal onderdeel van Customer Due Dilligence (CDD) en Know Your Customer (KYC) procedures. Ieder cliëntenonderzoek binnen de financiële sector wordt op basis van de risk-based approach uitgevoerd.
Om inzichtelijk te maken hoe financiële instellingen risicogericht te werk kunnen gaan, heeft de FATF de ‘Risk-Based Approach Guidance for the Banking Sector’ opgesteld. Hierin is zowel de werkwijze voor toezichthoudende instanties als financiële instellingen opgenomen.
In de richtlijn van de FATF wordt vanuit de risicogerichte aanpak ingegaan op de risicoanalyse, risicomitigatie en interne terugkoppelingsmechanismen.
Geïnteresseerd in het werken met de risk-based approach? Bekijk onze CDD vacatures!Risicoanalyse op basis van de risk-based approach
De FATF adviseert dat de omvang en scope van een cliëntenonderzoek moet passen bij de omvang en complexiteit van de aangeboden diensten en producten van een bank. Zo is het bij een bank met enkel laag-risico klanten, diensten en producten bijvoorbeeld niet (altijd) nodig een uitgebreid onderzoek uit te voeren.
Bij een bank met complexe producten en diverse soorten klanten is dit wel noodzakelijk om risico’s voldoende in te kunnen schatten. Om in te schatten hoe omvangrijk het risicogerichte onderzoek moet zijn, kunnen banken naar de volgende aspecten kijken:
- De omvang, schaal en complexiteit van de dienstverlening en de organisatie
- De beoogde doelgroep
- De hoeveelheid bestaande cliënten met een hoog risico
- De jurisdictie(s) waaraan de bank (via klanten) wordt blootgesteld en de risicoclassificatie van deze jurisdictie(s)
- De leveringskanalen waarvan de bank gebruik maakt (directe dienstverlening of via derden)
- De interne regulaties en audit uitkomsten
- De hoeveelheid en omvang van de transacties die normaliter via de bank ondernomen worden
Op basis van deze risico-inschatting kan een intern beleid opgesteld worden. Dit vormt de basis voor een gedegen interne aanpak van risico’s op financieel-economische criminaliteit.
Naast het baseren op de risicogerichte analyse van de risico’s, kan een bank ook bepalen welke risico’s al dan niet aanvaardbaar zijn op basis van bijvoorbeeld ethische gronden of de bedrijfsstrategie. De inschatting van de bank in combinatie met de risicoanalyse wordt ook wel de ‘risk appetite’ genoemd en speelt een belangrijke rol bij het opstellen van intern beleid.
Risicomitigatie op basis van de risk-based approach
Om eventuele risico’s te mitigeren, is het belangrijk om klanten goed te kennen. Hierom is het vanuit de Wet ter voorkoming van witwassen en het financieren van terrorisme (Wwft) verplicht om een gedegen cliëntenonderzoek uit te voeren.
Voordat een nieuwe klant bij een bank geaccepteerd wordt, wordt deze aan dit CDD onderzoek onderworpen. Tijdens dit onderzoek krijgt een klant vóór de onboarding al een risicoclassificatie: laag, midden of hoog.
Tijdens het cliëntenonderzoek wordt naar de klant gekeken vanuit het klantbeeld. Hierin zijn alle relevante cliëntgebonden eigenschappen en risico’s vastgelegd en onderbouwd aan de hand van documentatie.
Op basis van de risk-based approach hangt de vereiste hoeveelheid en verschillende typen informatie af van de aanwezige risicofactoren. Wanneer er risico’s aanwezig zijn, moeten deze uitgebreid in kaart gebracht en onderzocht worden (Enhanced Due Dilligence). Bij afwezigheid van risico-indicatoren is dit niet vereist (Simplified Due Dilligence).
Ook transacties dienen op een risicogerichte wijze doorlopend gemonitord te worden. Hierbij wordt bijvoorbeeld gekeken of de transacties passen bij het klantbeeld en of er potentieel verdachte transacties plaatsvinden.
Zowel transactiemonitoring als het cliëntenonderzoek in bredere zin kan op basis van een trigger of periodiek/doorlopend worden uitgevoerd. Bij banken worden transacties bijvoorbeeld veelal via elektronische systemen gemonitord.
Hoe de risk-based approach in al deze verschillende elementen wordt toegepast, moet goed gedocumenteerd worden. Banken zijn verplicht het cliëntenonderzoek uit te voeren en moeten kunnen bewijzen dat zij de risicogerichte aanpak goed hebben toegepast.
Interne terugkoppelingsmechanismen
Het bestuur van de bank heeft de taak om erop toe te zien dat de risk-based approach juist wordt toegepast en dat risico’s (voldoende) gemitigeerd worden. Hiervoor kan het bestuur een aantal tactieken gebruiken:
- Het bevorderen van compliance door geen zakelijke relaties aan te gaan waar risico’s niet (afdoende) gemitigeerd kunnen worden
- Het implementeren van goede communicatie mechanismen ten aanzien van de (potentiële) risico’s op financieel-economische criminaliteit
- Duidelijke maatregelen implementeren om risico’s te mitigeren
- Duidelijke richtlijnen over welke risico’s de bank bereid is te nemen
- Implementatie van een adequate KYC/CDD afdeling binnen de bank
Om dit te bewerkstelligen is het natuurlijk ook van belang dat het bestuur goed op de hoogte is over de stand van zaken rondom de aanwezige en potentiële risico’s. Ook moet men op de hoogte zijn van relevante wetgeving.
Het is belangrijk dat alle werknemers die een rol (kunnen) spelen in het identificeren- en/of mitigeren van risico’s kennis hebben van de relevante wetgeving en de risk-based approach kunnen toepassen. Banken dienen hierom voldoende trainingen en cursussen aan te bieden om deze naleving te garanderen bij relevante werknemers.
Om toe te zien op de correcte toepassing van de risicogerichte aanpak en passende vervolgacties dient er genoeg controle op de interne processen te zijn. Een Compliance Officer dient regelmatig te controleren of deze controle afdoende is.
Het doel van de risk-based approach
Het doel van de risk-based approach is om op een efficiënte en effectieve wijze vormen van financieel-economische criminaliteit op te sporen. Door beschikbaar geld en mankracht in te zetten waar er daadwerkelijk risico’s aanwezig zijn, wordt dit blijvend geoptimaliseerd.
De risk-based approach heeft daarnaast ook voordelen voor klanten. Laag-risico klanten worden door het gebruik van de risicogerichte aanpak niet onnodig onderworpen aan een uitgebreid onderzoek dat als onprettig ervaren kan worden.
Werken als CDD Analist bij Etage 0
Etage 0 is een detacheringsbureau gespecialiseerd in CDD. Onze professionals werken op (tijdelijke) opdrachtbasis bij gerenommeerde opdrachtgevers zoals ABN Amro, ING, Bank Mendes Gans, Robeco en meer. Bekijk onze CDD vacatures of neem contact op om de mogelijkheden voor jouw organisatie te bespreken.
