Nog vijf dagen: AMLA's RTS over risicoclassificatie voor de niet-financiële sector

De meeste aandacht voor AMLA's werk aan risicoclassificatie in het toezicht is uitgegaan naar de financiële sector en naar de selectie van instellingen voor direct toezicht. Voor de niet-financiële sector is een eigen instrument in de maak, en de consultatie daarover sluit binnenkort. AMLA's consultatie over de ontwerp-RTS betreffende de beoordeling van het inherente en residuele risicoprofiel van meldingsplichtige entiteiten in de niet-financiële sector opende op 13 juli 2026, hield haar openbare hoorzitting op 10 september 2026 en sluit op zondag 27 september 2026. Status op de AMLR Monitor-lijst: In consultatie. Dit artikel legt uit wat het ontwerp doet, waarom het advocaten, notarissen, accountants, belastingadviseurs, aanbieders van trust- of bedrijfsdiensten, vastgoedmakelaars, handelaren in goederen en aanbieders van kansspelen aangaat hoewel het aan hun toezichthouders is gericht, en waarop een reactie zich zou moeten richten.

Waar het mandaat vandaan komt

De rechtsgrondslag is artikel 40, lid 2, AMLD6 (Richtlijn (EU) 2024/1640). Artikel 40 verplicht toezichthouders een risicogebaseerde benadering toe te passen en de frequentie en intensiteit van hun toezicht ter plaatse en op afstand te bepalen op basis van het inherente en residuele ML/TF-risicoprofiel van elke meldingsplichtige entiteit. Artikel 40, lid 2, vraagt AMLA technische reguleringsnormen op te stellen waarin de benchmarks en de methodologie voor die beoordeling en classificatie worden vastgelegd.

AMLA voert het mandaat uit in twee instrumenten onder hetzelfde artikel:

De RTS voor de financiële sector, aanvankelijk opgesteld door de EBA, waarvan het mandaat de niet-financiële sector niet omvatte. AMLA publiceerde het eindrapport op 16 december 2025; de Juridische Dienst van de Commissie vroeg om verduidelijkingen en AMLA streeft ernaar de RTS vóór eind 2026 af te ronden. Status: Definitieve tekst, in afwachting van publicatie.
De RTS voor de niet-financiële sector, het onderwerp van deze consultatie. Definitief ontwerp gepland voor Q4 2026. Status: In consultatie.

Niet-financiële meldingsplichtige entiteiten staan onder toezicht van publieke autoriteiten of, op grond van artikel 37 AMLD6, van zelfregulerende organen zoals ordes van advocaten, notariële kamers en accountantsorganisaties. De methodologie zal beide binden.

Wat het ontwerp voorstelt

Volgens het persbericht en het consultatiedocument legt het ontwerp een gemeenschappelijke methodologie vast die elke toezichthouder in de EU zou gebruiken om het ML/TF-risicoprofiel van de entiteiten onder zijn toezicht te beoordelen en te classificeren. De belangrijkste ontwerpkeuzes:

Twee lagen: inherent risico (de blootstelling die voortvloeit uit de activiteit, cliënten, geografie, producten en kanalen) en restrisico (wat overblijft na beheersmaatregelen). Het resultaat is een classificatie in risicocategorieën die de frequentie en intensiteit van het toezicht bepaalt.
Activiteitspecifieke datapunten. Een kleine advocatenpraktijk, een makelaarskantoor en een voetbalclub lopen verschillende risico's, dus het ontwerp definieert afzonderlijke sets datapunten per activiteit in plaats van één vragenlijst voor de hele sector.
Een beperkte set datapunten voor kleinere entiteiten, en een instructie aan toezichthouders om waar mogelijk gebruik te maken van gegevens waarover zij al beschikken, om de rapportagekosten te beperken.
Een toepassingsdatum van 31 december 2028, ruim na de toepassing van de AMLR en AMLD6 op 10 juli 2027.

AMLA stelt vragen over de methodologie zelf, de relevantie en proportionaliteit van de datapunten, de behandeling van kleine entiteiten, de operationele haalbaarheid van het rapportagekader en de verwachte implementatiekosten. Zij verwelkomt verdere voorstellen om de lasten voor kleine entiteiten en nationale toezichthouders te verminderen. De consultatie werkt met sectorspecifieke enquêtes: een respondent vult alleen de enquête voor zijn eigen activiteit in.

Alles hierboven is een voorstel. AMLA heeft nog geen definitief ontwerp gepubliceerd, de Commissie moet de norm nog vaststellen, en de datapunten en drempels kunnen veranderen.

Waarom een meldingsplichtige entiteit zich moet bekommeren om een norm die op toezichthouders is gericht

Vier redenen om deze RTS niet als het probleem van de toezichthouder te beschouwen:

Hij bepaalt hoe vaak u uw toezichthouder ziet. Op grond van artikel 40 AMLD6 bepaalt de risicocategorie de frequentie en intensiteit van inspecties. Een entiteit die in een hogere categorie terechtkomt omdat haar datapunten onvolledig of ongunstig zijn, krijgt meer aandacht van de toezichthouder.
De datapunten worden uw rapportageverplichting. In de praktijk betekent de methodologie periodieke gegevensverzoeken aan meldingsplichtige entiteiten: aantallen en typen cliënten, aandeel niet-ingezeten cliënten of cliënten uit hoogrisicolanden, contantvolumes, transacties van hoge waarde, personeelsaantallen, opleiding en de staat van de beheersmaatregelen. Veel kleine kantoren beschikken over deze informatie, maar niet in een vorm die elk jaar betrouwbaar kan worden uitgelezen.
Het restrisico is een score van uw beheersingskader. De beheersmaatregelen waarnaar de methodologie zal kijken, zijn die welke de AMLR toch al vereist: interne gedragslijnen, procedures en controles die in verhouding staan tot uw omvang en risico (artikel 9 AMLR), de bedrijfsbrede risicobeoordeling (artikel 10 AMLR), de compliancefuncties (artikel 11 AMLR), opleiding en bewustmaking (artikel 12 AMLR) en integriteitscontroles van personeel (artikel 13 AMLR). Als deze gedocumenteerd zijn, volgt de restrisicoscore daaruit; als ze alleen in de praktijk bestaan, niet.
Hij is verbonden met handhaving. De RTS over geldboeten, administratieve maatregelen en dwangsommen (status: Definitieve tekst, in afwachting van publicatie) geeft toezichthouders een geharmoniseerd raster voor het graderen van inbreuken; de risicocategorie van een entiteit zal meewegen in hoe een toezichthouder op een bevinding reageert.

Er is ook een voordeel: hetzelfde beroep wordt in elke lidstaat op dezelfde voorwaarden beoordeeld, iets waar grensoverschrijdende accountantsnetwerken en advocatenkantoren al lang om vragen.

Twee punten om te toetsen in uw reactie

De definitie en behandeling van kleine entiteiten. De proportionaliteit van het ontwerp berust op een beperkte dataset voor kleine entiteiten. Ga na of het omvangcriterium past bij uw beroep: een notariskantoor met twee partners en een aanbieder van trust- of bedrijfsdiensten met twee personen zijn beide klein, maar hun inherente risico en de gegevens die iets zinvols over hen zeggen, verschillen. Geef aan of de drempel voor "klein" wordt gemeten op een wijze die u kunt aantonen.

Haalbaarheid van de datapunten voor uw activiteit. Markeer elk datapunt dat voor uw sector wordt voorgesteld als nu beschikbaar, beschikbaar met inspanning, of niet beschikbaar. Een reactie die het ontbrekende systeemveld benoemt en een werkbare proxy aanbiedt, is voor AMLA veel nuttiger dan een algemene klacht over lasten. Wijs ook aan waar de toezichthouder of het zelfregulerende orgaan de gegevens al ontvangt via ledenregisters of jaarlijkse opgaven, aangezien het ontwerp toezichthouders vraagt eerst bestaande gegevens te gebruiken.

Afstemming met uw eigen risicobeoordeling

De Richtsnoeren over de bedrijfsbrede risicobeoordeling (status: Consultatie gesloten, wordt afgerond; definitief ontwerp gepland voor Q4 2026) zetten uiteen hoe meldingsplichtige entiteiten hun eigen inherente risico en beheersmaatregelen beoordelen op grond van artikel 10 AMLR. Het is redelijk te verwachten dat de dimensies van inherent risico die toezichthouders gebruiken, die in de eigen beoordeling van de entiteit weerspiegelen. Door de bedrijfsbrede risicobeoordeling langs dezelfde assen op te bouwen (cliënten, geografie, producten en diensten, leveringskanalen, plus het risico van sanctieontwijking dat de AMLR toevoegt), komen de cijfers die u rapporteert en de cijfers in uw eigen beoordeling uit één bron. Discrepanties tussen beide zijn het eerste waarnaar een inspecteur zal vragen.

Tijdlijn

27 september 2026: consultatie sluit.
Q4 2026: definitief ontwerp gepland voor indiening bij de Commissie.
2027: vaststelling door de Commissie als gedelegeerde verordening, toetsing door Parlement en Raad, publicatie in het Publicatieblad; nog geen data vastgesteld.
10 juli 2027: AMLR van toepassing, omzettingstermijn AMLD6.
31 december 2028: beoogde toepassingsdatum van de methodologie.

De eerste geharmoniseerde classificaties zullen hoogstwaarschijnlijk berusten op gegevens uit het eerste volledige jaar onder de AMLR, zodat de gewoonten voor gegevensverzameling die een entiteit in 2027 aanleert, zichtbaar worden in haar eerste risicocategorie.

Wat nu te doen

Als uw kantoor of beroepsorganisatie nog niet heeft gereageerd, vul dan vóór 27 september 2026 de sectorspecifieke enquête in en concentreer u op de twee bovengenoemde punten: de behandeling van kleine entiteiten en de haalbaarheid van elk datapunt voor uw activiteit.
Stem af met uw zelfregulerende orgaan of beroepsvereniging; een geconsolideerde reactie met uitgewerkte voorbeelden weegt zwaarder dan een dozijn individuele reacties.
Lees het eindrapport voor de financiële sector van 16 december 2025 om de richting te zien; de structuur zal waarschijnlijk niet fundamenteel verschillen.
Begin een gegevensinventarisatie: leg voor elk waarschijnlijk datapunt vast waar de informatie zich bevindt, wie er eigenaar van is en hoe zij wordt uitgelezen. Los de lacunes op in 2027, niet in 2028.
Maak de beheersmaatregelen achter de restrisicoscore aantoonbaar: een goedgekeurde bedrijfsbrede risicobeoordeling, schriftelijke gedragslijnen, een benoemde compliance officer en compliance manager, opleidingsregisters en integriteitscontroles, elk met een datum en een verantwoordelijke.
Volg het definitieve ontwerp in Q4 2026, zodat de rapportageopbouw in 2027 is gericht op de vastgestelde datapunten, niet op de geconsulteerde.

Het AMLR Monitor-dashboard volgt deze RTS, de tegenhanger voor de financiële sector, de sanctie-RTS en de Richtsnoeren over de bedrijfsbrede risicobeoordeling, met statuswijzigingen zodra AMLA en de Commissie deze publiceren.