Uitbesteding en vertrouwen op derden onder de AMLR: wat het pand mag verlaten en wat moet blijven
Artikel 18 stelt harde grenzen aan het uitbesteden van AML-taken; Artikelen 48 en 49 regelen het vertrouwen op andere meldplichtige entiteiten. Welke taken intern blijven, wat contracten moeten bevatten en wat de geplande Richtsnoeren van AMLA zullen toevoegen.
21 september 2026. Correction: the AMLA guidelines on outsourcing and on reliance are due by 10 July 2027 and have not been consulted yet. Statuses and dates in this article were aligned with AMLA's publications (regulatory instruments overview of 4 September 2026, Single Programming Document 2026-2028). AMLA has published no final guideline yet; where an EBA guideline exists on a topic it continues to apply until AMLA replaces it.
Veel instellingen laten delen van hun AML-programma uitvoeren door groepsservicecentra of leveranciers: identiteitsverificatie, screening, transactiemonitoring, zelfs dossierbehandeling. De AMLR staat uitbesteding toe, maar Artikel 18 trekt grenzen die sommige bestaande regelingen overschrijden.
Taken die niet mogen worden uitbesteed
De bedrijfsbrede risicobeoordeling, de compliancefuncties (compliancemanager en compliance officer), de goedkeuring van beleid en procedures, en de beslissing of een transactie verdacht is en gemeld moet worden, blijven bij de meldplichtige entiteit. Een leverancier mag de analyse voorbereiden; de beslissing en de melding zijn aan u.
Voorwaarden voor wat wel kan worden uitbesteed
- Een schriftelijke overeenkomst die de taken, de normen, het auditrecht en de toegang van de toezichthouder vastlegt.
- De meldplichtige entiteit blijft verantwoordelijk en moet controle kunnen aantonen: prestatiemonitoring, incidentrapportage, uitstapplannen.
- Uitbesteding aan een dienstverlener in een derde land vereist aandacht voor gegevensbescherming en voor het vermogen van de toezichthouder om informatie te verkrijgen.
- De toezichthouder moet worden geïnformeerd waar het nationale recht dit vereist.
Vertrouwen op derden is iets anders dan uitbesteding
Onder de Artikelen 48 en 49 mag een meldplichtige entiteit vertrouwen op het klantenonderzoek dat door een andere meldplichtige entiteit is uitgevoerd, bijvoorbeeld een bank die vertrouwt op de identificatie door een andere bank. Vertrouwen op derden is een relatie tussen twee meldplichtige entiteiten, beide onderworpen aan de AMLR; uitbesteding is een relatie met een dienstverlener die namens u optreedt. In beide gevallen blijft de vertrouwende of uitbestedende entiteit verantwoordelijk, maar de documentatie verschilt: voor vertrouwen op derden zullen de Richtsnoeren inzake vertrouwen specificeren wat u moet ontvangen en wanneer.
Conceptrichtsnoeren van AMLA
De Richtsnoeren inzake uitbesteding (Artikel 18, lid 8) en inzake vertrouwen op derden (Artikel 50), beide verwacht tegen 10 juli 2027 en nog niet geconsulteerd, zullen naar verwachting verwachtingen vastleggen over due diligence voorafgaand aan het aangaan van de regeling, over concentratierisico wanneer veel instellingen dezelfde leverancier gebruiken, en over het bewaren van een kopie van het klantdossier door de vertrouwende entiteit.
Wat nu te doen
- Inventariseer elke AML-taak die wordt uitgevoerd door een groepsentiteit of leverancier en classificeer deze: verboden, uitbesteding, vertrouwen op derden, of louter technologie.
- Herzie overeenkomsten die geen auditrechten of toegang voor de toezichthouder bevatten.
- Zorg ervoor dat de beslissing om een verdachte transactie te melden aantoonbaar door uw eigen personeel wordt genomen.
Het dashboard volgt beide Richtsnoeren onder Governance; de readiness tracker heeft blokken voor uitbesteding en vertrouwen op derden.