Hoe vaak moet een SIRA worden geactualiseerd?

De vraag hoe vaak een SIRA moet worden geactualiseerd, krijgt in de Wwft zelf geen concreet antwoord in de vorm van een vaste termijn. De wet schrijft niet letterlijk voor dat u dit elk jaar op een vaste datum moet doen. Toch is dit geen vrijbrief om de SIRA jarenlang ongewijzigd te laten liggen. Toezichthouders (waaronder de DFEI voor makelaars) hanteren in de praktijk een duidelijke verwachting: minimaal een jaarlijkse herijking, aangevuld met tussentijdse actualisatie zodra zich een relevante wijziging voordoet. Wie deze twee elementen combineert, voldoet aan wat redelijkerwijs van een Wwft-instelling mag worden verwacht.

De reden dat een jaarlijkse cyclus als minimum geldt, ligt in de aard van de risico's die de SIRA beschrijft. Dit zijn geen statische gegevens. Sanctielijsten worden voortdurend aangepast: personen en entiteiten worden toegevoegd of verwijderd, nieuwe sanctieregimes worden ingesteld naar aanleiding van geopolitieke ontwikkelingen. De lijst van landen die als hoog-risico worden aangemerkt, verandert eveneens: een land dat vorig jaar niet als verhoogd risico gold, kan dat dit jaar wel zijn, en omgekeerd. Daarnaast publiceert FIU-Nederland periodiek nieuwe typologieën: beschrijvingen van actuele witwas- en fraudeconstructies die in de praktijk worden gesignaleerd. Een SIRA die deze ontwikkelingen niet meeneemt, geeft een verouderd risicobeeld, ook al is er in uw eigen kantoor verder niets veranderd.

Structurele jaarlijkse herijking

De jaarlijkse herijking is het moment waarop u de gehele SIRA systematisch doorloopt: klopt de beschrijving van uw productenaanbod nog, is uw klantenbestand in de tussentijd verschoven, zijn de landen waarmee u te maken krijgt nog dezelfde, en zijn de risico-inschattingen die u eerder heeft gemaakt nog actueel in het licht van de laatste sanctielijsten en typologieën. Dit is geen kwestie van het document nogmaals uitprinten met een nieuwe datum erop: het is een inhoudelijke herbeoordeling waarbij u voor elk onderdeel opnieuw de vraag stelt of de eerdere inschatting nog klopt.

Praktisch betekent dit dat u een vast moment in het jaar kiest (bijvoorbeeld gekoppeld aan de jaarafsluiting of aan een ander terugkerend compliance-moment) waarop de SIRA wordt doorgenomen. Betrek hierbij zowel degene die verantwoordelijk is voor de Wwft-naleving als medewerkers die dagelijks met klanten en transacties te maken hebben: zij signaleren vaak als eerste of het feitelijke klantenbestand is verschoven.

Tussentijdse actualisatie: wanneer dat verplicht is

Naast de jaarlijkse cyclus zijn er gebeurtenissen die vragen om directe actualisatie, ongeacht wanneer de laatste herijking heeft plaatsgevonden. De belangrijkste triggers zijn:

• Nieuwe diensten of producten. Begint uw kantoor bijvoorbeeld met bemiddeling bij beleggingsvastgoed naast reguliere woningbemiddeling, dan brengt dat een nieuw risicoprofiel met zich mee dat in de SIRA moet worden opgenomen.
• Een nieuw klantsegment. Krijgt u structureel te maken met een nieuwe groep klanten (bijvoorbeeld buitenlandse kopers, zakelijke klanten met complexere eigendomsstructuren, of klanten die via tussenpersonen optreden), dan moet de SIRA dit meenemen voordat, niet nadat, dit segment een substantieel deel van uw portefeuille vormt.
• Wijzigingen in eigendomsstructuur. Verandert de eigendoms- of zeggenschapsstructuur van uw eigen kantoor, bijvoorbeeld door een fusie, overname of toetreding van een nieuwe partner, dan kan dit gevolgen hebben voor de risico-inschatting van uw organisatie zelf.
• Nieuwe wet- en regelgeving. De aankomende AMLR (Anti-Money Laundering Regulation) is hier een concreet voorbeeld van: wanneer nieuwe Europese regelgeving van kracht wordt, moet u beoordelen wat dit betekent voor uw risicoanalyse en deze zo nodig aanpassen.
• Incidenten in uw kantoor. Is er een ongebruikelijke transactie gesignaleerd, een poging tot fraude ontdekt, of is een klant achteraf gelinkt aan een sanctielijst, dan is dat aanleiding om te beoordelen of uw SIRA dit type risico voldoende had onderkend, en zo niet, dit alsnog toe te voegen.

Vastlegging: waarom dit net zo belangrijk is als de actualisatie zelf

Een actualisatie die niet is vastgelegd, is voor een toezichthouder niet te onderscheiden van een actualisatie die nooit heeft plaatsgevonden. Leg daarom bij elke wijziging van de SIRA vast: de datum van de actualisatie, de concrete aanleiding (bijvoorbeeld "jaarlijkse herijking" of "introductie nieuwe dienst beleggingsvastgoed"), wie de actualisatie heeft uitgevoerd, en wie deze heeft vastgesteld of goedgekeurd. Bewaar bovendien eerdere versies van de SIRA. Bij een controle wilt u kunnen tonen dat uw huidige SIRA actueel is, en ook kunnen aantonen dat u dit structureel en consistent doet: dat de actualisatie een vast onderdeel van uw bedrijfsvoering is, niet een eenmalige inhaalslag naar aanleiding van een aangekondigde controle.

Voorbeeld uit de praktijk

Een makelaarskantoor in Maastricht, actief in de verkoop van woningen in het grensgebied met België en Duitsland, actualiseert zijn SIRA standaard elk jaar in januari. Tijdens de herijking constateert de compliance-verantwoordelijke dat het aandeel Duitse en Belgische kopers het afgelopen jaar duidelijk is gestegen, mede door de aantrekkingskracht van de regio voor grensarbeiders. De SIRA wordt aangepast: de risico-inschatting voor transacties met buitenlandse kopers uit deze twee landen wordt opnieuw beoordeeld, waarbij wordt vastgesteld dat het risico beperkt blijft omdat het reguliere EU-buurlanden betreft zonder verhoogd sanctierisico, maar dat identificatie van grensoverschrijdende financiering wel extra aandacht verdient.

Ruim voor de volgende geplande jaarlijkse herijking meldt zich echter een koper uit een land dat kort daarvoor is toegevoegd aan de lijst van landen met een verhoogd risicoprofiel, naar aanleiding van nieuwe sanctiemaatregelen. Het kantoor wacht niet tot de volgende jaarlijkse ronde, maar actualiseert de SIRA direct: de risicoanalyse wordt aangevuld met dit land, het acceptatiebeleid wordt aangepast zodat transacties met kopers uit dit land voortaan standaard verscherpt onderzoek vereisen, en de wijziging wordt vastgelegd met datum, aanleiding en de naam van de verantwoordelijke medewerker. Bij een controle later dat jaar kan het kantoor exact aantonen wanneer en waarom deze tussentijdse actualisatie heeft plaatsgevonden, wat door de toezichthouder als een teken van een goed functionerend compliance-proces wordt gezien.

Checklist

• Actualiseer uw SIRA minimaal één keer per jaar, ook als er in uw kantoor ogenschijnlijk niets is veranderd.
• Actualiseer daarnaast direct bij: nieuwe diensten of producten, een nieuw klantsegment, wijzigingen in eigendomsstructuur, nieuwe wet- en regelgeving of incidenten.
• Betrek medewerkers met direct klantcontact bij de jaarlijkse herijking: zij signaleren verschuivingen in het klantenbestand het eerst.
• Leg elke actualisatie vast met datum, concrete aanleiding en de naam van de eigenaar van de wijziging.
• Bewaar eerdere versies van de SIRA om de ontwikkeling van uw risicobeeld aantoonbaar te maken.
• Wacht nooit tot een aangekondigde controle om een achterstallige actualisatie in te halen: toezichthouders herkennen dit patroon.