Wat zijn typische fouten in een SIRA?

Bij het beoordelen van SIRA's van makelaarskantoren komen bepaalde fouten opvallend vaak terug. Deze fouten zijn zelden het gevolg van onwil (de meeste kantoren willen wel degelijk voldoen aan hun Wwft-verplichtingen), maar eerder van tijdgebrek, onbekendheid met wat de toezichthouder precies verwacht, of het gebruik van hulpmiddelen die niet zijn toegesneden op de eigen praktijk. De DFEI signaleert in de praktijk drie fouten het meest: een generieke template-SIRA die niet aansluit op het eigen klantenbestand, het wel benoemen van risico's zonder daar concrete beheersmaatregelen aan te koppelen, en het ontbreken van een logische lijn tussen de SIRA, de risicomatrix en het acceptatiebeleid. Daarnaast spelen enkele kleinere, maar zeker niet onbelangrijke, tekortkomingen een rol.

Fout 1: de generieke template-SIRA

De meest fundamentele fout is het gebruik van een SIRA die in essentie een algemeen sjabloon is, aangevuld met de naam en gegevens van het eigen kantoor, maar verder inhoudelijk niet is aangepast aan de eigen praktijk. Dit gebeurt vaak wanneer een kantoor bij de start van de Wwft-plicht, of naar aanleiding van een eerdere waarschuwing, snel een document nodig heeft en hiervoor een model gebruikt dat is ontwikkeld voor de sector in het algemeen.

Het probleem hiermee is niet dat een model als startpunt wordt gebruikt (dat is op zichzelf een redelijke aanpak), maar dat de vertaalslag naar de eigen specifieke situatie vervolgens achterwege blijft. Een generieke SIRA benoemt bijvoorbeeld "transacties met buitenlandse kopers" als risicofactor, zonder te specificeren uit welke landen uw eigen klanten daadwerkelijk komen, hoeveel procent van uw transacties dit betreft, en welke concrete kenmerken deze transacties bij uw kantoor hebben. Bij een controle wordt precies op dit punt doorgevraagd, en een kantoor dat de eigen SIRA niet kan toelichten aan de hand van concrete, herkenbare voorbeelden uit de eigen praktijk, laat direct zien dat het document niet daadwerkelijk is gebruikt als sturend instrument.

Fout 2: risico's benoemen zonder beheersmaatregelen

De tweede veelgemaakte fout is een SIRA die weliswaar een uitgebreide en op zichzelf correcte inventarisatie van risico's bevat, maar waarin vervolgens niet wordt beschreven welke concrete maatregelen deze risico's beperken. Dit levert een document op dat leest als een probleemanalyse zonder oplossing: het kantoor erkent bijvoorbeeld dat transacties met contante elementen een verhoogd risico kennen, maar legt nergens vast welke procedure daarop van toepassing is, wie verantwoordelijk is voor het uitvoeren van extra controles, en hoe dit in de praktijk wordt gemonitord.

Een SIRA zonder beheersmaatregelen mist precies het element dat de risicoanalyse waardevol maakt: de vertaling van inzicht naar actie. De toezichthouder verwacht dat u weet waar de risico's zitten, en vooral dat u kunt aantonen wat u daadwerkelijk doet om deze risico's te beperken, en tot welk restrisico dit leidt.

Fout 3: geen logische lijn tussen SIRA, risicomatrix en acceptatiebeleid

De derde veelgemaakte fout is het ontbreken van een aantoonbare, consistente lijn tussen de drie kerndocumenten van uw Wwft-beleid: de SIRA, de risicomatrix waarmee u individuele klanten classificeert, en het acceptatiebeleid dat bepaalt wie u wel en niet als klant aanneemt en onder welke voorwaarden. In de praktijk zijn deze drie documenten soms door verschillende personen op verschillende momenten opgesteld, zonder dat ze expliciet naar elkaar verwijzen. Het gevolg is dat de risicofactoren in de risicomatrix niet aantoonbaar zijn afgeleid van de SIRA, of dat het acceptatiebeleid strengere of juist soepelere regels hanteert dan wat de risicoanalyse zou rechtvaardigen.

Overige veelgemaakte fouten

Naast deze drie hoofdfouten komen enkele aanvullende tekortkomingen regelmatig voor:

• Geen onderbouwing per risicofactor. Risico's worden benoemd, maar niet toegelicht met concrete cijfers, voorbeelden of overwegingen uit de eigen praktijk. Een enkele zin als "buitenlandse klanten vormen een risico" zonder verdere toelichting biedt onvoldoende basis voor een gedegen risicobeoordeling.
• Geen rekening houden met hoog-risicolanden. Sommige SIRA's benoemen landenrisico in algemene termen, zonder de actuele lijst van hoog-risicolanden expliciet te betrekken of te vermelden hoe deze lijst wordt gevolgd en verwerkt.
• Geen update na een nieuwe dienst. Wanneer een kantoor zijn dienstverlening uitbreidt (bijvoorbeeld met beleggingsvastgoed of verhuurbemiddeling naast reguliere verkoop), wordt de SIRA soms pas veel later, of pas bij de eerstvolgende jaarlijkse cyclus, op deze nieuwe dienst aangepast.
• Geen vastlegging van eigenaarschap. Het is niet altijd duidelijk vastgelegd wie de SIRA heeft opgesteld, wie deze inhoudelijk heeft beoordeeld en wie de uiteindelijke verantwoordelijkheid draagt voor het vaststellen van het document.

Voorbeeld uit de praktijk

Een makelaarskantoor in Utrecht, met een gemengd portfolio van woningbemiddeling en kleinschalige verhuurbemiddeling, laat zijn SIRA doorlichten na een interne compliance-check. Het document blijkt zes jaar oud en bevat de tekst "wij accepteren geen klanten die niet aan onze integriteitsnormen voldoen" als enige beheersmaatregel bij het risico "cliënten met een verhoogd witwasrisico", zonder dat wordt gespecificeerd wat die integriteitsnormen concreet inhouden, wie dit toetst, en welke stappen worden doorlopen bij twijfel.

Bovendien blijkt de risicomatrix van het kantoor te zijn ingekocht bij een externe partij als los product, met generieke risicofactoren die niet overeenkomen met de risico's die in de SIRA worden genoemd. Zo scoort de risicomatrix "contante betaling boven een bepaald bedrag" hoog, terwijl de SIRA dit risico helemaal niet noemt omdat het kantoor in de praktijk vrijwel nooit met contante elementen te maken krijgt. Het eigenlijke, wel relevante risico van dit kantoor, namelijk verhuurbemiddeling aan huurders die via onderverhuur-constructies opereren, wordt in geen van beide documenten benoemd.

Bij het herstel van de SIRA wordt dit rechtgetrokken: de risicoanalyse wordt herschreven op basis van de daadwerkelijke transacties van de afgelopen twee jaar, inclusief een concrete beschrijving van het onderverhuur-risico en de bijbehorende beheersmaatregel (verplichte verificatie van de eigendoms- of gebruiksrechten van de verhurende partij). De risicomatrix wordt vervolgens aangepast zodat de factoren die daarin worden meegewogen, direct aansluiten bij de risico's die de nieuwe SIRA daadwerkelijk benoemt, en het acceptatiebeleid wordt bijgewerkt zodat onderverhuur-constructies standaard als aandachtspunt worden gemarkeerd bij de intake.

Checklist

• Vermijd een generieke template-SIRA: elk risico moet concreet zijn toegelicht met kenmerken van uw eigen klantenbestand en transacties.
• Koppel aan elk benoemd risico een concrete, uitvoerbare beheersmaatregel, en beschrijf het restrisico dat daarna overblijft.
• Zorg dat de SIRA, de risicomatrix en het acceptatiebeleid aantoonbaar op elkaar aansluiten en elkaar niet tegenspreken.
• Onderbouw elke risicofactor met concrete cijfers of voorbeelden uit uw eigen praktijk, niet met algemene stellingen.
• Betrek expliciet de actuele lijst van hoog-risicolanden en beschrijf hoe u wijzigingen hierin volgt.
• Werk de SIRA bij zodra u een nieuwe dienst, product of klantsegment introduceert: wacht niet op de jaarlijkse cyclus.
• Leg vast wie de SIRA heeft opgesteld, beoordeeld en vastgesteld, zodat eigenaarschap en verantwoordelijkheid helder zijn.