Wat is een SIRA?

Een SIRA (Systematische Integriteitsrisicoanalyse) is niet zomaar een formulier dat u één keer invult en in een la legt. Het is het fundament waarop uw hele Wwft-beleid rust: de risico-inventarisatie waarmee u expliciet en onderbouwd vastlegt aan welke witwas-, terrorismefinancierings-, fraude- en sanctierisico's uw makelaarskantoor in de praktijk blootstaat. Zonder een actuele SIRA mist u de basis om te kunnen uitleggen waarom u bepaalde klanten wel of juist extra kritisch accepteert, waarom u bij sommige transacties verscherpt cliëntenonderzoek doet en waarom uw monitoring is ingericht zoals die is ingericht.

Voor makelaars is dit geen theoretische exercitie. Uw kantoor bemiddelt bij transacties met soms aanzienlijke bedragen, soms buitenlandse kopers of verkopers, soms constructies met vennootschappen of trusts, en soms betalingen die niet volledig via een Nederlandse bankrekening lopen. Elk van die elementen brengt een eigen risico met zich mee, en de SIRA is het instrument waarmee u die risico's systematisch in kaart brengt in plaats van op onderbuikgevoel te vertrouwen.

Het wettelijk kader: de verplichte risicobeoordeling

De Wwft verplicht instellingen (waaronder makelaars in onroerend goed) in artikel 2b om een risicobeoordeling van hun eigen dienstverlening op te stellen. Die risicobeoordeling is de wettelijke verplichting; SIRA is de naam die Apex en de sector gebruiken voor de gestructureerde methode waarmee u daaraan voldoet. Deze verplichting is geen bureaucratische toevoeging, maar de kern van de zogeheten risicogebaseerde benadering die in de hele Wwft-systematiek terugkomt. De wetgever gaat ervan uit dat geen twee makelaarskantoren identiek zijn: het ene kantoor bemiddelt vooral in courante eengezinswoningen in een middelgrote stad, het andere in luxe appartementen in het centrum van Amsterdam met een aanzienlijk aandeel buitenlandse kopers. De risico's van deze twee kantoren verschillen wezenlijk, en dus moet ook hun SIRA wezenlijk verschillen.

Dit betekent in de praktijk dat een SIRA per definitie maatwerk is. U beschrijft welke producten en diensten u aanbiedt (aan- en verkoopbemiddeling, verhuurbemiddeling, taxaties, beleggingsvastgoed), welke klantgroepen u bedient (particulieren, ondernemingen, buitenlandse partijen, vertegenwoordigers), via welke kanalen klanten bij u binnenkomen (fysiek kantoorbezoek, online, via tussenpersonen), met welke landen u te maken krijgt, en welke type transacties zich voordoen (reguliere koop-verkoop, transacties met contante elementen, transacties met ongebruikelijke financieringsconstructies). Per onderdeel geeft u een inschatting van het inherente risico: hoe groot is de kans dat dit onderdeel wordt misbruikt voor witwassen, fraude of het omzeilen van sancties, en hoe ernstig zouden de gevolgen zijn als dat gebeurt.

Van risico-inschatting naar beheersmaatregelen

De SIRA stopt niet bij het benoemen van risico's. Het tweede, minstens zo belangrijke deel is het koppelen van concrete beheersmaatregelen aan elk geïdentificeerd risico. Denkt u aan acceptatiebeleid (wie mag u wel en niet als klant aannemen), procedures voor cliëntenonderzoek, opleiding van medewerkers, transactiemonitoring en escalatieprocedures bij ongebruikelijke signalen. Voor elk risico dat u in de eerste fase heeft benoemd, beschrijft u welke maatregel dat risico beperkt en tot welk restrisico dat leidt na toepassing van de maatregel.

Dat restrisico is precies wat vervolgens uw risicoprofielen, uw acceptatiebeleid en uw monitoringinstellingen bepaalt. Een kantoor dat in de SIRA vaststelt dat transacties met kopers uit hoog-risicolanden een verhoogd risico kennen, moet dat terugzien in een acceptatiebeleid dat voor die categorie standaard verscherpt cliëntenonderzoek voorschrijft. Ontbreekt die koppeling, dan is de SIRA een op zichzelf staand document zonder praktische waarde. Dat is precies wat toezichthouders in de praktijk het meest bekritiseren.

Waarom een generieke SIRA niet voldoet

Een veelgemaakte misvatting is dat een SIRA die is ingekocht als kant-en-klaar sjabloon, of overgenomen van een brancheorganisatie, voldoende is. De wet vraagt echter expliciet om een risicoanalyse die is toegesneden op de eigen praktijk. Een sjabloon-SIRA benoemt doorgaans algemene risico's die voor de hele sector gelden, maar mist de vertaalslag naar uw specifieke klantenbestand, uw regio, uw type objecten en uw daadwerkelijke transactiepatronen. Bij een controle door de DFEI wordt precies op dit punt doorgevraagd: kunt u uitleggen waarom uw SIRA specifiek voor uw kantoor is opgesteld, en herkent u de cijfers en voorbeelden die erin staan als uw eigen praktijk?

Daarnaast is de SIRA een levend document. Risico's veranderen: sanctielijsten worden uitgebreid, nieuwe hoog-risicolanden worden aangewezen, FIU-Nederland publiceert nieuwe typologieën van witwasconstructies, en uw eigen dienstverlening kan wijzigen doordat u bijvoorbeeld een nieuwe doelgroep gaat bedienen. Een SIRA die drie jaar geleden is opgesteld en sindsdien niet is herzien, weerspiegelt niet meer de actuele risico's van uw kantoor.

Voorbeeld uit de praktijk

Een makelaarskantoor in Rotterdam met vier medewerkers bemiddelt voornamelijk in bestaande woningen in het middensegment, maar heeft de afgelopen twee jaar een groeiend aantal opdrachten gekregen van beleggers die appartementen aankopen voor verhuur, waaronder enkele kopers uit het Midden-Oosten die via een lokale vertegenwoordiger optreden. Bij het opstellen van de SIRA inventariseert de eigenaar eerst alle productgroepen: reguliere woningbemiddeling voor particulieren, verhuurbemiddeling en de nieuwe categorie beleggingstransacties met buitenlandse kopers.

Voor die laatste categorie signaleert de SIRA een verhoogd risico: de koper is niet in persoon aanwezig, de transactie loopt via een gevolmachtigde, het land van herkomst kent een ander sanctie- en witwasrisicoprofiel dan Nederland, en de financiering komt soms van een buitenlandse rekening. Op basis daarvan neemt het kantoor in het acceptatiebeleid op dat bij dit type transactie altijd verscherpt cliëntenonderzoek wordt uitgevoerd: identificatie van zowel de gevolmachtigde als de uiteindelijk belanghebbende, onderzoek naar de herkomst van de middelen, en raadpleging van sanctielijsten voor alle betrokken partijen. De SIRA legt ook vast dat de eigenaar zelf de eindverantwoordelijke is voor het goedkeuren van dit type dossier, in plaats van een junior medewerker.

Een half jaar later meldt zich een vergelijkbare koper, ditmaal uit een land dat inmiddels als hoog-risicoland is aangemerkt. Omdat de SIRA en het daarop gebaseerde acceptatiebeleid al voorzagen in een escalatieprocedure voor deze categorie, kan het kantoor direct en onderbouwd verscherpt onderzoek toepassen, in plaats van achteraf te moeten reconstrueren waarom dit dossier bijzondere aandacht verdiende. Bij een controle door de DFEI kan de eigenaar bovendien exact aantonen hoe de SIRA, het acceptatiebeleid en de daadwerkelijke dossierbehandeling op elkaar aansluiten.

In het kort

• Een SIRA is de risicoanalyse op organisatieniveau: welke producten, klanten, landen, kanalen en transactietypen brengen voor uw kantoor risico met zich mee.
• De SIRA bestaat uit twee delen: het benoemen van inherente risico's en het koppelen van concrete beheersmaatregelen daaraan, resulterend in een restrisico.
• De Wwft (artikel 2b) verplicht een risicobeoordeling die is toegesneden op uw eigen praktijk; SIRA is de gestructureerde vorm waarin u die vastlegt. Een generiek sjabloon voldoet niet.
• Uw risicoprofielen, acceptatiebeleid en monitoring moeten aantoonbaar volgen uit de uitkomsten van de SIRA.
• Houd de SIRA actueel: herzie deze structureel en bij elke relevante wijziging in uw dienstverlening, klantenbestand of de regelgeving.
• Leg vast wie de SIRA heeft opgesteld en vastgesteld, en bewaar eerdere versies zodat u de ontwikkeling van uw risicobeeld kunt aantonen.