Interne gedragslijnen, procedures en controles onder de AMLR: artikel 9 tot en met 15

AMLR artikel 9 tot en met 15: de interne organisatie van de meldingsplichtige entiteit

Vanaf 10 juli 2027 regelt niet langer de Wwft maar de Europese antiwitwasverordening (AMLR) hoe elke meldingsplichtige instelling haar interne organisatie inricht. Afdeling 1 van hoofdstuk II bundelt in zeven artikelen (art. 9 tot en met 15) wat vandaag verspreid staat over art. 2b, 2c, 2d, 20a, 20b, 35 en 35a Wwft: van gedragslijnen en risicobeoordeling tot nalevingsfuncties, opleiding, screening en meldkanalen. De rode draad door alle zeven artikelen is evenredigheid: de maatregelen moeten passen bij de aard van de bedrijfsactiviteit, met inbegrip van de risico's en complexiteit daarvan, en bij de omvang van de entiteit. Dezelfde afdeling geldt dus voor een grootbank en voor een eenmanskantoor, maar zij vraagt van beide iets anders. Nieuw is vooral de precisie: benoemde onderwerpen, goedkeuringsniveaus, een jaarlijkse verslagcyclus, een gestructureerde beoordeling van medewerkers en een meldplicht voor nauwe relaties met cliënten. Deze pagina geeft per artikel de strekking, wat het feitelijk van uw instelling vraagt, de vergelijking met het huidige recht en per sector praktische handvatten. Naar mijn mening is de kern van de voorbereiding geen nieuw kader naast het oude, maar een gap-analyse per artikel op het kader dat er al ligt, gevolgd door een actieplan op basis van de uitkomst: per actie een verantwoordelijke en een duidelijke tijdlijn, zodat de organisatie op 10 juli 2027 niet voor verrassingen staat.

Moment	Wat er gebeurt
19 juni 2024	Bekendmaking van het AML-pakket in het Publicatieblad: AMLR, AMLD6 en de AMLA-verordening.
9 juli 2024	Inwerkingtreding van de AMLR (twintigste dag na bekendmaking, art. 90).
10 juli 2026	Uiterste datum voor de AMLA-richtsnoeren van art. 9 lid 4 en art. 10 lid 4. Niet gehaald: het concept over de bedrijfsbrede risicobeoordeling is tot 15 juli 2026 geconsulteerd, over de richtsnoeren van art. 9 lid 4 was op de peildatum niets gepubliceerd.
10 juli 2027	De AMLR is van toepassing (art. 90). De Wwft wordt volgens het wetsvoorstel Implementatiewet ingetrokken; afdeling 1 vervangt de Nederlandse bepalingen over de interne organisatie.
10 juli 2029	Toepassingsdatum voor profvoetbalclubs en voetbalmakelaars (art. 3, punt 3, n) en o), art. 90).

Onderwerp	Nu	Vanaf 10 juli 2027
Gedragslijnen, procedures en maatregelen	art. 2c Wwft	art. 9 AMLR
Risicobeoordeling van de eigen instelling	art. 2b Wwft, voor financiële ondernemingen ook art. 10 Bpr (SIRA)	art. 10 AMLR
Verantwoordelijke beleidsbepaler, compliance- en auditfunctie	art. 2d Wwft	art. 11 AMLR (nalevingsmanager en nalevingsfunctionaris), auditfunctie in art. 9 lid 2
Opleiding	art. 35 Wwft	art. 12 AMLR
Doorlichting van medewerkers	art. 35 Wwft (sinds 15 oktober 2020), art. 35a Wwft (VOG beleidsbepalers), art. 13 Bpr	art. 13 AMLR
Interne meldprocedure overtredingen	art. 20a en 20b Wwft, Wet bescherming klokkenluiders	art. 14 AMLR
Beroepsbeoefenaar in loondienst	systematiek van art. 1a Wwft (de instelling is genormeerd)	art. 15 AMLR

Instrument	Grondslag	Stand 17 augustus 2026
Richtsnoeren reikwijdte interne gedragslijnen en nalevingsfuncties	art. 9 lid 4 AMLR	Niets gepubliceerd; uiterste datum 10 juli 2026 niet gehaald
Richtsnoeren bedrijfsbrede risicobeoordeling	art. 10 lid 4 AMLR	Concept geconsulteerd 16 april tot 15 juli 2026; definitieve versie werd na de consultatie verwacht
Richtsnoeren doorlopende monitoring van de zakelijke relatie	art. 26 lid 5 AMLR	Consultatie 3 juni tot 3 september 2026, raakt de procedures van art. 9 lid 2

Taak	R	A	C	I
Bedrijfsbrede risicobeoordeling (art. 10)	NF (art. 10 lid 2)	LO-L (art. 10 lid 2)	eerste lijn en specialisten*	LO-T (art. 10 lid 2)
Interne gedragslijnen (art. 9)	NF*	LO-L (art. 9 lid 2, slotalinea)	NM*	hele organisatie*
Procedures en controles (art. 9)	eerste en tweede lijn*	ten minste NM (art. 9 lid 2, slotalinea)	NF*	LO-L*
Onafhankelijke test van het kader (art. 9 lid 2 onder b)	auditfunctie of externe deskundige (art. 9 lid 2 onder b)	LO-L*	NF*	NM*; rechtstreekse lijn naar LO-L en LO-T (art. 11 lid 5)
Jaarverslag naleving (art. 11 lid 6)	NF (art. 11 lid 6)	NM (art. 11 lid 6)		LO-L (art. 11 lid 6); LO-T via de rechtstreekse lijn (lid 5)

Taak	R	A	C	I
Opleiding en training (art. 12)	afdeling trainingen en kwaliteit*	NM* (via art. 11 lid 1)	NF*	lijnmanagement*
Beoordeling deskundigheid en integriteit (art. 13 lid 1)	HR*	NF voor de inhoud (art. 13 lid 1)	NM*	LO-L*
Register nauwe relaties (art. 13 lid 2)	medewerker meldt aan de NF (art. 13 lid 2); NF registreert*	NM*	HR* (personeelsdossier en arbeidsrechtelijke kant)	LO-L*
Intern meldkanaal (art. 14)	beheerder meldkanaal of externe meldpuntdienst*	NM*	NF*	LO-L*

Bron	Wat het is en welk doel het dient
Bijlagen I tot en met III AMLR	De verordening zelf: bijlage I geeft de risicovariabelen (cliënt, product, dienst of transactie, leveringskanaal, en voor levensverzekeringen de begunstigde), bijlagen II en III de factoren die op een potentieel lager respectievelijk hoger risico wijzen. Samen het geraamte waarlangs elke beoordeling wordt opgebouwd.
Risicobeoordeling op Unieniveau	De periodieke beoordeling van de Commissie (art. 7 Richtlijn (EU) 2024/1640, de opvolger van de supranationale risicobeoordeling): welke sectoren, producten en kanalen zijn Uniebreed kwetsbaar. Doel: risico's meenemen die de eigen landsgrens overstijgen.
Nationale en sectorspecifieke risicobeoordelingen	Het Nederlandse risicobeeld (art. 8 van dezelfde richtlijn): de nationale risicobeoordelingen witwassen en terrorismefinanciering van het WODC en eventuele sectorale beoordelingen. Doel: het Uniebeeld vertalen naar de Nederlandse praktijk en de eigen sector.
Internationale standaardsetters, Commissie en AMLA	FATF-rapporten, typologieën en evaluaties en relevante publicaties van Commissie of AMLA; overweging 31 noemt daarnaast verslagen van maatschappelijke organisaties, media en academische wereld. Doel: nieuwe werkwijzen signaleren voordat zij in wetgeving of leidraden staan.
Informatie van bevoegde autoriteiten	Leidraden, good practices, toezichtbrieven en terugkoppelingen van de eigen toezichthouder en de FIU, en risico-informatie van andere autoriteiten in de keten, zoals het jaaroverzicht criminele geldstromen van het Openbaar Ministerie (editie 2025) met de actuele witwasroutes en de verstoringsaanpak. Doel: weten wat de toezichthouder verwacht en waar de keten in de praktijk op stuit. Reken hier in de praktijk ook de publiek-private sectoranalyses toe waaraan de autoriteiten zelf meeschrijven, zoals de Financial Crime Threat Assessment (FCTA) van de NVB met DNB, FIU-Nederland, FIOD en politie (tweede editie 29 mei 2026, veertien witwasroutes met red flags); formeel vallen zulke brancheanalyses onder de aanvullende bronnen van overweging 31.
Het eigen cliëntenbestand	De enige bron die niemand anders heeft: de samenstelling van de eigen portefeuille naar cliënttype, product, kanaal en geografie. Doel: van een sectorbeeld een beoordeling van úw instelling maken.

Achtergrond en veelgestelde vragen

Achtergrond

Waarom de interne organisatie naar de verordening verhuist

Op 10 juli 2027 wordt de Europese antiwitwasverordening van toepassing en verdwijnt de Wwft. Voor het cliëntenonderzoek en de meldplicht is die overgang breed bekend; voor de interne organisatie van de instelling is zij dat veel minder, terwijl daar hetzelfde gebeurt. Afdeling 1 van hoofdstuk II van de verordening regelt in zeven artikelen wat vandaag verspreid staat over zeven Nederlandse bepalingen: de interne gedragslijnen, procedures en controles, de bedrijfsbrede risicobeoordeling, de nalevingsfuncties, de opleiding, de integriteitsbeoordeling van medewerkers, de interne meldingskanalen en de positie van de beroepsbeoefenaar in loondienst. De verordening werkt rechtstreeks: er komt geen Nederlandse wet meer tussen de norm en uw instelling.

Inhoudelijk is de afdeling geen breuk maar een aanscherping. De evenredigheidsformule van de Wwft blijft de rode draad: maatregelen moeten passen bij de aard van de bedrijfsactiviteit, de risico's en complexiteit daarvan en de omvang van de entiteit. Nieuw is de precisie eromheen. De gedragslijnen moeten tien met name genoemde onderwerpen dekken en sanctierisico's uitdrukkelijk omvatten. De risicobeoordeling krijgt zes verplichte informatiebronnen en een vaste rolverdeling: opgesteld door de nalevingsfunctionaris, goedgekeurd door het leidinggevend orgaan. De compliancefunctie wordt gesplitst in een nalevingsmanager op bestuursniveau en een nalevingsfunctionaris voor de dagelijkse werking, met een jaarlijks verslag, ontslagbescherming en een eigen rapportagelijn. Medewerkers die rechtstreeks bij de naleving betrokken zijn, worden voor aanvang van de werkzaamheden en daarna periodiek beoordeeld op deskundigheid en integriteit, en melden nauwe relaties met cliënten. Kleine instellingen worden niet vergeten: de functies mogen bij één persoon samenvallen, en voor de instelling die uit één natuurlijke persoon bestaat zijn de artikelen over screening en meldkanalen niet van toepassing.

Deze flowchart behandelt de zeven artikelen elk afzonderlijk, steeds met dezelfde vaste opbouw: de strekking per lid, wat het artikel feitelijk van de instelling vraagt, de vergelijking met het huidige recht, de stappen om er voor 10 juli 2027 te komen en handvatten per sector waar de sectoren werkelijk uiteenlopen. Twee AMLA-richtsnoeren die de open normen moesten invullen, hadden er uiterlijk 10 juli 2026 moeten zijn; op de peildatum was het concept over de bedrijfsbrede risicobeoordeling net geconsulteerd en was over de reikwijdterichtsnoeren van artikel 9 nog niets gepubliceerd. Wachten op die richtsnoeren is geen strategie: de verordening geldt vanaf 10 juli 2027 ook zonder. Naar mijn mening is de verstandigste voorbereiding een gap-analyse per artikel op het kader dat er al ligt, te beginnen bij de risicobeoordeling, want die bepaalt voor alle andere artikelen wat evenredig is. Maak van de uitkomst vervolgens een actieplan waarin per actie de verantwoordelijke en een duidelijke tijdlijn zijn vastgelegd, zodat de organisatie op 10 juli 2027 niet voor verrassingen staat.

Een overzicht van de AMLR (de Europese anti-witwasverordening) en wat er per 10 juli 2027 per onderwerp verandert, staat op de pagina AMLR uitgelegd.

Veelgestelde vragen

Voor wie gelden artikel 9 tot en met 15 van de AMLR en vanaf wanneer?

Voor alle meldingsplichtige entiteiten die artikel 3 van de verordening aanwijst, van bank tot belastingadviseur. De verordening is van toepassing met ingang van 10 juli 2027; alleen voor profvoetbalclubs en voetbalmakelaars geldt 10 juli 2029. De artikelen werken rechtstreeks, dus zonder Nederlandse omzettingswet ertussen. De Wwft-bepalingen die hetzelfde regelen, verdwijnen op die datum.

Wat is het verschil tussen de nalevingsmanager en de nalevingsfunctionaris?

De nalevingsmanager is een lid van het leidinggevend orgaan in zijn leidinggevende functie dat wordt belast met het verzekeren van de naleving: dit lid bewaakt dat de interne gedragslijnen consistent zijn met de risicoblootstelling en dat er voldoende mensen en middelen zijn, en rapporteert aan het leidinggevend orgaan. De nalevingsfunctionaris is de functionaris die de gedragslijnen, procedures en controles in de dagelijkse werking uitvoert, contactpunt is voor de autoriteiten en de verdachte transacties aan de FIE meldt. De eerste rol draagt bestuurlijke verantwoordelijkheid, de tweede doet het dagelijkse werk. Bij een kleine instelling mogen beide rollen in een persoon samenvallen.

Moet een klein kantoor straks ook een aparte compliance officer aanstellen?

Niet per se een aparte. Artikel 11 lid 7 AMLR bepaalt dat de functies van nalevingsmanager en nalevingsfunctionaris door dezelfde natuurlijke persoon mogen worden vervuld en met andere functies mogen worden gecumuleerd, als de aard van de activiteiten, de risico's en complexiteit daarvan en de omvang van de instelling dat rechtvaardigen. Bij een eenmanszaak of een rechtspersoon waarvan de activiteiten door slechts een natuurlijke persoon worden uitgeoefend, is die persoon zelf verantwoordelijk voor alle taken. Wat verandert is dat de rol belegd en benoemd moet zijn; onzichtbaar mag hij niet meer zijn.

Is de bedrijfsbrede risicobeoordeling hetzelfde als de SIRA?

Ze overlappen sterk maar vallen niet samen. De SIRA uit artikel 10 Besluit prudentiële regels is een analyse van alle integriteitsrisico's van een financiële onderneming, dus ook corruptie, belangenverstrengeling en sanctierisico's. De bedrijfsbrede risicobeoordeling van artikel 10 AMLR ziet op witwas- en terrorismefinancieringsrisico's en op risico's van niet-uitvoering of ontduiking van gerichte financiële sancties, en schrijft zes verplichte informatiebronnen voor, waaronder de risicobeoordeling op Unieniveau, de nationale risicobeoordeling en informatie over het eigen cliëntenbestand. Wie een goede SIRA heeft, heeft de kern, maar moet de bronnenlijst, de rolverdeling tussen nalevingsfunctionaris en leidinggevend orgaan en de toets bij nieuwe producten nog aantoonbaar maken.

Blijft mijn huidige Wwft-risicobeleid bruikbaar na 10 juli 2027?

Grotendeels. De opbouw van artikel 2b, 2c en 2d Wwft komt inhoudelijk terug in artikel 9, 10 en 11 AMLR, dus wie zijn risicobeoordeling, gedragslijnen en compliancefunctie op orde heeft, begint niet opnieuw. De verordening is wel preciezer: zij noemt tien onderwerpen die de gedragslijnen ten minste dekken, benoemt de goedkeuringsniveaus, trekt sanctierisico's binnen het kader, eist een jaarlijks verslag van de nalevingsfunctionaris aan het leidinggevend orgaan en een beoordeling van medewerkers voor indiensttreding met regelmatige herhaling. De verstandigste route is een gap-analyse per artikel op het bestaande kader, niet een nieuw kader naast het oude.

Moet ik mijn medewerkers straks screenen?

Ja, en dat moet nu ook al. Artikel 35 Wwft eist sinds 15 oktober 2020 dat werknemers en dagelijks beleidsbepalers worden doorgelicht, voor zover relevant voor hun taken. Artikel 13 AMLR maakt daar een gestructureerde beoordeling van: op vaardigheden, kennis en deskundigheid en op betrouwbaarheid, eerlijkheid en integriteit, uitgevoerd voordat de werkzaamheden aanvangen en regelmatig herhaald, met een inhoud die de nalevingsfunctionaris goedkeurt. Nieuw is ook de meldplicht: wie met nalevingstaken is belast, meldt elke nauwe persoonlijke of professionele relatie met een cliënt of potentiële cliënt aan de nalevingsfunctionaris en wordt weggehouden bij de dossiers van die cliënt.

Geldt de klokkenluidersregeling ook voor kleine Wwft-instellingen?

Ja. De drempel van in de regel ten minste vijftig werknemers uit artikel 2 lid 1 van de Wet bescherming klokkenluiders geldt op grond van lid 3 van dat artikel niet voor werkgevers die onder de Uniehandelingen in de bijlage bij de klokkenluidersrichtlijn vallen, en de antiwitwasregelgeving staat in die bijlage. Daarnaast eist artikel 20a Wwft nu al dat werknemers een overtreding van de Wwft intern en op anonieme wijze kunnen melden via een specifiek, onafhankelijk kanaal. Artikel 14 AMLR zet die lijn door: interne meldingskanalen die voldoen aan de klokkenluidersrichtlijn, met als enige uitzondering de instelling die uit een natuurlijke persoon bestaat.

Welke Europese richtsnoeren moeten er nog komen voor deze artikelen?

Twee sets, allebei van de AMLA en allebei met als uiterste datum 10 juli 2026. De richtsnoeren onder artikel 9 lid 4 gaan over de reikwijdte van de interne gedragslijnen, procedures en controles en de personele invulling van de nalevingsfuncties; daarvan was op de peildatum nog geen concept gepubliceerd. De richtsnoeren onder artikel 10 lid 4 gaan over de minimuminhoud van de bedrijfsbrede risicobeoordeling; het concept daarvan is van 16 april tot 15 juli 2026 geconsulteerd. Tot de AMLA-instrumenten er zijn, blijven de bestaande EBA-richtsnoeren over risicofactoren en over de rol van de AML/CFT compliance officer het referentiekader.