Wat is het verschil tussen een SIRA en een risicomatrix?

De termen SIRA en risicomatrix worden in de praktijk regelmatig door elkaar gebruikt, alsof het twee namen voor hetzelfde document zijn. Dat is een misverstand dat tot problemen kan leiden bij een toezichtcontrole. De SIRA en de risicomatrix zijn twee verschillende instrumenten die op een verschillend niveau opereren, met een verschillend doel, maar die onlosmakelijk met elkaar verbonden moeten zijn. Begrijpen waar het ene instrument ophoudt en het andere begint, helpt om uw Wwft-beleid als een samenhangend geheel te presenteren in plaats van als een verzameling losse documenten.

De SIRA opereert op het niveau van uw hele organisatie. Het is de risicoanalyse die beschrijft welke risicofactoren in algemene zin spelen in de dienstverlening van uw kantoor: welke producten en diensten u aanbiedt, welke klantgroepen u in algemene zin bedient, met welke landen u te maken krijgt, via welke kanalen klanten binnenkomen, en welke type transacties zich voordoen. De SIRA beantwoordt de vraag: waar in onze bedrijfsvoering als geheel schuilen risico's, en hoe beheersen wij die structureel met beleid, procedures, opleiding en monitoring?

De risicomatrix daarentegen opereert op het niveau van de individuele klant of transactie. Het is het praktische instrument dat u gebruikt op het moment dat een specifieke klant zich meldt of een specifieke transactie zich aandient. Aan de hand van vooraf gedefinieerde factoren, zoals type cliënt (particulier, rechtspersoon, trust), land van herkomst of vestiging, hoogte van het transactiebedrag, wijze van betaling (bankoverschrijving, notarieel depot, contante elementen), en eventuele bijzondere kenmerken zoals een politiek prominente persoon (PEP), kent u per klant of transactie een score toe die resulteert in een risicoclassificatie: laag, midden of hoog.

Waarom het verschil in de praktijk vaak vervaagt

In veel makelaarskantoren wordt de risicomatrix intensief gebruikt: bij elke nieuwe klant wordt het formulier ingevuld, de score berekend en het dossier van een classificatie voorzien, terwijl de SIRA op de achtergrond raakt en zelden wordt geraadpleegd. Dat is begrijpelijk vanuit de dagelijkse praktijk: de risicomatrix is het instrument dat medewerkers letterlijk bij elke transactie gebruiken, terwijl de SIRA meer een achtergronddocument lijkt dat vooral relevant is bij een controle.

Dit onderscheid is echter misleidend. De risicomatrix is namelijk geen op zichzelf staand instrument: de factoren die erin zijn opgenomen en de wegingen die daaraan worden toegekend, moeten direct herleidbaar zijn tot de conclusies van de SIRA. Als uw SIRA vaststelt dat transacties met kopers uit een bepaald hoog-risicoland een verhoogd risico kennen, dan moet uw risicomatrix dat land ook daadwerkelijk als risicoverhogende factor meewegen. Werkt uw risicomatrix met een generieke lijst van risicofactoren die niet is afgeleid van uw eigen SIRA, dan ontstaat een gat tussen uw organisatiebrede risicoanalyse en uw dagelijkse klantacceptatie, precies het soort inconsistentie waar een toezichthouder bij een controle op let.

Hoe de twee instrumenten elkaar in de praktijk voeden

De relatie tussen SIRA en risicomatrix werkt in twee richtingen. Enerzijds vertaalt de SIRA zich naar beneden: de risicofactoren en -wegingen die u op organisatieniveau heeft vastgesteld, worden de bouwstenen van uw risicomatrix op klantniveau. Anderzijds voedt de praktijk van de risicomatrix ook de SIRA terug naar boven: als u in de risicomatrix stelselmatig ziet dat een bepaalde categorie klanten (bijvoorbeeld kopers die optreden via een gevolmachtigde) vaker als hoog risico wordt geclassificeerd dan verwacht, is dat een signaal om bij de eerstvolgende actualisatie van de SIRA te beoordelen of dit klantsegment een structureel groter aandeel van uw portefeuille is gaan uitmaken en of uw beheersmaatregelen daar nog op aansluiten.

Deze wisselwerking maakt de SIRA en de risicomatrix samen tot een cyclus in plaats van twee statische documenten: de SIRA bepaalt de kaders van de risicomatrix, en de uitkomsten van de risicomatrix in de dagelijkse praktijk zijn input voor de volgende actualisatie van de SIRA.

Voorbeeld uit de praktijk

Een makelaarskantoor in Den Haag, gespecialiseerd in de verhuur- en verkoopbemiddeling van appartementen aan expats, heeft in de SIRA vastgesteld dat klanten die via een werkgever of relocatiebureau worden aangedragen een enigszins ander risicoprofiel hebben dan klanten die zich rechtstreeks melden: de identiteit van de uiteindelijke huurder of koper is soms minder direct te verifiëren, en betalingen lopen soms via een tussenrekening van het relocatiebureau in plaats van rechtstreeks van de klant zelf.

In de risicomatrix van het kantoor is deze factor concreet verwerkt: "aangedragen via relocatiebureau of werkgever" is opgenomen als aparte risicofactor die, in combinatie met een buitenlandse nationaliteit van de klant, leidt tot een classificatie "midden risico" in plaats van "laag risico", met als gevolg dat standaard aanvullend onderzoek wordt gedaan naar de daadwerkelijke identiteit en herkomst van middelen van de eindklant, ook als het relocatiebureau zelf een bekende, betrouwbare partij is.

Wanneer het kantoor bij de jaarlijkse herijking van de SIRA constateert dat dit segment inmiddels bijna een derde van de portefeuille beslaat (een sterke groei ten opzichte van eerdere jaren), wordt dit in de SIRA expliciet als een groeiend structureel risico benoemd, met als gevolg dat de beheersmaatregel wordt aangescherpt: voortaan wordt bij dit segment altijd een aparte verificatie van de betaalstroom uitgevoerd, niet alleen bij twijfel. Deze aanscherping wordt vervolgens weer teruggekoppeld naar de risicomatrix, die wordt aangepast om deze extra stap standaard te verplichten. Zo blijft de directe lijn tussen de organisatiebrede risicoanalyse en de dagelijkse klantbeoordeling intact.

In het kort

• De SIRA analyseert risico's op het niveau van uw hele kantoor: welke risicofactoren spelen er structureel in uw dienstverlening.
• De risicomatrix classificeert het risico van een individuele klant of transactie, op basis van factoren als type cliënt, land, bedrag en betaalmethode.
• De risicofactoren en wegingen in uw risicomatrix moeten direct herleidbaar zijn tot de conclusies van uw SIRA, anders ontstaat een inconsistentie die bij een controle opvalt.
• De relatie werkt twee kanten op: patronen die u in de risicomatrix signaleert, zijn input voor de volgende actualisatie van de SIRA.
• Controleer periodiek of nieuwe of gegroeide klantsegmenten die in de risicomatrix vaker als verhoogd risico scoren, ook al voldoende in de SIRA zijn beschreven.
• Documenteer expliciet hoe elke factor in uw risicomatrix terug te voeren is op een risico dat in de SIRA is benoemd.