De richtsnoeren over de bedrijfsbrede risicobeoordeling: wat de consultatie van u vraagt
AMLA consulteerde tot 15 juli 2026 over richtsnoeren voor de bedrijfsbrede risicobeoordeling op grond van artikel 10 AMLR en rondt deze nu af. De structuur die zij verwachten, de koppeling met de toezichtmethodologie en wat er verandert voor instellingen met een SIRA.
21 september 2026. Correction: the consultation had closed on 15 July 2026 when this article appeared; AMLA is finalising the guidelines for the fourth quarter of 2026. Statuses and dates in this article were aligned with AMLA's publications (regulatory instruments overview of 4 September 2026, Single Programming Document 2026-2028). AMLA has published no final guideline yet; where an EBA guideline exists on a topic it continues to apply until AMLA replaces it.
Artikel 10 AMLR verplicht elke meldingsplichtige entiteit om de risico's van witwassen en terrorismefinanciering waaraan zij is blootgesteld te identificeren en te beoordelen, de beoordeling te documenteren, actueel te houden en ter beschikking te stellen van de toezichthouder. De ontwerprichtsnoeren van AMLA over de bedrijfsbrede risicobeoordeling, waarover tot 15 juli 2026 is geconsulteerd en die nu worden afgerond voor het vierde kwartaal van 2026, beschrijven hoe dat naar verwachting moet gebeuren. Voor Nederlandse instellingen is dit de opvolger van de SIRA die DNB sinds 2015 vraagt; voor instellingen elders kan het nieuw zijn.
De vorm die de richtsnoeren verwachten
Het ontwerp volgt een bekende logica: inherent risico per risicofactor, de beheersmaatregelen die het adresseren, en het restrisico dat overblijft. De risicofactoren zijn die welke de AMLR noemt: cliënten, landen en geografische gebieden, producten en diensten, transacties en leveringskanalen, plus de bevindingen van de supranationale en nationale risicobeoordelingen. Wat de richtsnoeren toevoegen is precisie over granulariteit (per bedrijfsonderdeel, per entiteit binnen een groep, per land) en over onderbouwing: welke gegevens elke score ondersteunen en wie deze heeft goedgekeurd.
De koppeling met het toezicht
De RTS over risicobeoordeling voor financiële toezichthouders, in december 2025 aan de Commissie gezonden, legt de methodologie vast die toezichthouders gebruiken om meldingsplichtige entiteiten te scoren; een afzonderlijk ontwerp voor de niet-financiële sector is tot 27 september 2026 in consultatie. De richtsnoeren zijn het spiegelbeeld daarvan aan de kant van de entiteit. Waar uw eigen beoordeling en het risicoprofiel van de toezichthouder uiteenlopen, kunt u vragen verwachten. Een goed gedocumenteerde bedrijfsbrede beoordeling is daarom ook uw beste argument in een dialoog met de toezichthouder.
Wat verandert voor instellingen die al een SIRA hebben
- Frequentie wordt gebeurtenisgedreven. Een jaarlijkse actualisering blijft het minimum, maar een nieuw product, een nieuwe markt of een wezenlijke verandering in het cliëntenbestand leidt tot een update.
- Groepsperspectief. Moederondernemingen moeten naast de beoordelingen per entiteit een groepsbreed beeld kunnen tonen.
- Herleidbaarheid naar beheersmaatregelen. Elk restrisico moet verwijzen naar de gedragslijnen, procedures en controles van artikel 9 die het mitigeren, en naar de monitoring die aantoont dat de beheersmaatregelen werken.
- Betrokkenheid van het leidinggevend orgaan. De compliancemanager presenteert de beoordeling; de goedkeuring wordt vastgelegd.
Wat u nu moet doen
- Vergelijk de structuur van uw huidige SIRA met het ontwerp: dezelfde risicofactoren, dezelfde granulariteit, dezelfde onderbouwing?
- Bouw de koppeltabel tussen restrisico's en beheersmaatregelen als u die nog niet heeft; het is het onderdeel waar toezichthouders als eerste om vragen.
- Bepaal nu het groepsbrede beeld als u een moederonderneming bent; het bepaalt de rapportagelijnen van de compliancefunctie.
- De consultatie is gesloten; als u een kleine entiteit bent, controleer dan de definitieve tekst op proportionaliteit, aangezien het ontwerp op elke schaal dezelfde logica verwacht, met minder diepgang.
Het dashboard volgt deze richtsnoeren onder Strategie & Risico; in de werkruimte kunt u vastleggen hoe de beoordeling ervoor staat.