De RTS over sancties is definitief: hoe toezichthouders inbreuken gaan indelen en beboeten

Op 8 juli 2026 publiceerde AMLA haar definitieve ontwerp van technische reguleringsnormen (RTS) over geldelijke sancties, administratieve maatregelen en dwangsommen, het instrument dat wordt voorgeschreven door artikel 53, lid 10, AMLD6. Het persbericht presenteert het als de eerste geharmoniseerde, stapsgewijze handhavingsmethode voor AML/CFT-toezichthouders in de hele EU, en het eindverslag bevat de tekst en de feedbackverklaring. Het ontwerp is naar de Commissie gestuurd voor vaststelling als gedelegeerde verordening. Het is nog niet bindend, en de Commissie kan het nog wijzigen, maar de opzet is nu stabiel genoeg om er als compliancefunctie mee te werken. Dit artikel legt uit wat de RTS doet, hoe deze past in het sanctieregime van AMLD6, en waarom een instrument dat gericht is aan toezichthouders van belang is voor de mensen die AML-programma's uitvoeren.

Waar de RTS vandaan komt

Het mandaat in artikel 53, lid 10, AMLD6 is beperkt en uitputtend. AMLA moest uiterlijk op 10 juli 2026 drie zaken specificeren: indicatoren om de ernst van inbreuken in te delen, de criteria waarmee rekening moet worden gehouden bij het vaststellen van de hoogte van geldelijke sancties of het toepassen van administratieve maatregelen, en een methodologie voor het opleggen van dwangsommen, met inbegrip van hun frequentie.

De ontstaansgeschiedenis verklaart waarom de tekst bekend voorkomt. De EBA hield tussen 6 maart en 6 juni 2025 een consultatie over een eerste versie op grond van het verzoek om advies van de Commissie en leverde haar antwoord op 30 oktober 2025 op. AMLA heeft vervolgens de EBA-tekst herzien, input ingewonnen van de deskundigengroep van niet-financiële toezichthouders van de Commissie, en een tweede openbare consultatie gehouden van 9 februari tot 9 maart 2026. Die tweede ronde was er vooral om de niet-financiële sector te bereiken, die weinig zicht had op het EBA-proces. Ondernemingen die in 2025 aan de EBA hebben gereageerd, zullen daarom het grootste deel van de structuur herkennen; de wijzigingen sinds die tijd zijn verfijningen en geen nieuwe aanpak.

De methode in vier stappen

De RTS maakt van handhaving een reeks stappen die elke toezichthouder moet volgen, of hij nu toezicht houdt op een bank, een notaris, een casino of een vastgoedmakelaar. Volgens het eindverslag zijn de stappen:

Stap 1: beoordeel de ernst aan de hand van een gemeenschappelijke lijst van indicatoren. De indicatoren omvatten de duur van de inbreuk, of deze herhaald of systemisch was, de mate van verantwoordelijkheid van de entiteit en haar management, het verkregen voordeel, de aan derden toegebrachte verliezen, de mate van medewerking met de toezichthouder, en de impact van de inbreuk op de financiële levensvatbaarheid van de meldingsplichtige entiteit of haar groep. Toezichthouders kunnen niet selectief te werk gaan; de lijst is wat zij allemaal in aanmerking moeten nemen.
Stap 2: deel de inbreuk in in een van vier ernstcategorieën, gerangschikt naar zwaarte. De RTS beschrijft hoe de indicatoren zich vertalen naar elke categorie. De indeling is het scharnierpunt van het hele systeem, omdat AMLD6 geldelijke sancties voorbehoudt aan inbreuken die ernstig, herhaald of systematisch zijn. De categorieën geven een gemeenschappelijk antwoord op een vraag die nationale toezichthouders heel verschillend hebben beantwoord: wanneer wordt een tekortkoming ernstig genoeg om te beboeten?
Stap 3: kies de reactie. Geldelijke sancties, administratieve maatregelen en dwangsommen kunnen afzonderlijk of in combinatie worden opgelegd. De RTS zet de criteria uiteen om te bepalen of een maatregel, een boete of beide het proportionele antwoord is, en hoe de ernstcategorie doorwerkt in het bedrag.
Stap 4: stel het bedrag vast en, waar relevant, de dwangsom. De RTS biedt een methodologie voor dwangsommen, met inbegrip van hun frequentie, en verplicht de toezichthouder om de betrokken partij een verklaring van bevindingen te verstrekken die de betalingen rechtvaardigt voordat deze ingaan.

De RTS bevat ook specifieke bepalingen voor natuurlijke personen die zelf geen meldingsplichtige entiteit zijn, met name het hoger leidinggevend personeel en de leden van het leidinggevend orgaan in zijn toezichthoudende functie. Dat is van belang voor de compliancemanager die is aangewezen op grond van artikel 9 AMLR en voor de compliancefunctionaris op grond van artikel 11 AMLR: persoonlijke blootstelling aan sancties maakt deel uit van de opzet, en de RTS geeft toezichthouders een gemeenschappelijke manier om die te beoordelen.

Wat de RTS niet verandert

De RTS stelt de boetehoogtes niet vast. Die blijven in AMLD6 zelf staan. De richtlijn stelt ondergrenzen voor de maximumboetes die lidstaten beschikbaar moeten stellen: voor rechtspersonen ten minste tweemaal het uit de inbreuk verkregen voordeel of ten minste 1 miljoen EUR, en voor kredietinstellingen en financiële instellingen ten minste 10 miljoen EUR of 10 procent van de totale jaaromzet, met een afzonderlijke ondergrens voor natuurlijke personen. Dwangsommen zijn begrensd op een percentage van de gemiddelde dagelijkse omzet of inkomsten en mogen slechts gedurende een beperkte periode lopen. Lidstaten blijven vrij om hoger te gaan, en het nationale recht blijft de procedure, het beroep en de wisselwerking met het strafrecht bepalen.

Wat de RTS wel doet, is standaardiseren hoe een toezichthouder binnen die grenzen van een bevinding naar een bedrag komt. In de eigen woorden van het persbericht leidt "dezelfde inbreuk onder dezelfde omstandigheden tot dezelfde handhavingsuitkomst, waar deze zich ook voordoet". Voor groepen die in meerdere lidstaten actief zijn, is die convergentie de echte verandering: een zwakte in de beheersing die in Lissabon wordt gevonden en dezelfde zwakte die in Vilnius wordt gevonden, zouden op dezelfde indicatoren moeten worden beoordeeld en in dezelfde ernstcategorie moeten uitkomen.

Twee verdere punten van context. Ten eerste is de RTS van toepassing op alle sectoren die onder de AMLR vallen, financieel en niet-financieel, wat de reden is waarom AMLA aandrong op de tweede consultatie. Ten tweede worden de eigen rechtstreekse handhavingsbevoegdheden van AMLA over geselecteerde meldingsplichtige entiteiten vanaf 2028 geregeld door de AMLAR en niet door deze RTS, hoewel AMLA er alle belang bij heeft dezelfde logica toe te passen wanneer zij zelf toezichthouder wordt.

Waarom een instrument voor toezichthouders van belang is voor meldingsplichtige entiteiten

Het is verleidelijk om deze RTS af te doen als "een zaak voor toezichthouders". Dat zou een vergissing zijn, om vier redenen.

De indicatoren zijn een beschrijving van wat een inbreuk erger maakt. Duur, herhaling, systemisch karakter, medewerking, verantwoordelijkheid van het management: elk van deze punten is iets waar een meldingsplichtige entiteit controle over heeft. Een zwakte die door de interne audit is vastgesteld en binnen een kwartaal is verholpen, staat op een andere plaats op de ernstschaal dan dezelfde zwakte die twee jaar open is gelaten en door de toezichthouder is ontdekt.
Publicatie volgt op sancties. Artikel 58 AMLD6 verplicht toezichthouders om besluiten waarbij geldelijke sancties, administratieve maatregelen en dwangsommen worden opgelegd, op hun website te publiceren. Zodra de ernstcategorie een formeel onderdeel van het besluit is, wordt deze zichtbaar voor tegenpartijen, correspondenten en cliënten.
Medewerking wordt gescoord. Hoe een onderneming reageert op een bevinding, hoe snel zij zelf meldt en hoe volledig zij herstelt, zijn indicatoren in stap 1. De reactie op handhaving is niet langer alleen een juridische kwestie, maar een operationele, die een draaiboek vereist.
Het management valt binnen de reikwijdte. De specifieke bepalingen voor natuurlijke personen betekenen dat het gedocumenteerde toezicht van de compliancemanager, de escalatiedossiers en de bestuursnotulen het bewijs vormen dat de persoonlijke verantwoordelijkheid zal bepalen.

Wisselwerking met de rest van het kader

De RTS over sancties vormt het handhavingsuiteinde van een keten die begint met de RTS over de bedrijfsbrede en de cliëntgebonden risicobeoordeling en de richtsnoeren over interne beleidslijnen, procedures en controles. Een toezichthouder die een inbreuk op artikel 10 AMLR (de bedrijfsbrede risicobeoordeling) of artikel 26 AMLR (doorlopende monitoring) indeelt, zal naar dezelfde documenten kijken die de andere instrumenten u verplichten op te stellen. De ernstindicatoren zullen ook de selectiemethodologie voor rechtstreeks toezicht op grond van artikel 12 AMLAR en artikel 40 AMLD6 versterken, waar de geschiedenis van inbreuken deel uitmaakt van het beeld van het restrisico. Los daarvan opende AMLA op 13 juli 2026 een consultatie over de risicobeoordelingsmethodologie voor toezichthouders van de niet-financiële sector, met een openbare hoorzitting op 10 september 2026 en een beoogde toepassing vanaf 31 december 2028; dat instrument zal bepalen hoe intensief niet-financiële ondernemingen onder toezicht staan, en dus hoe vaak de sanctie-RTS op hen wordt toegepast.

Wat nu te doen

Lees het eindverslag, niet alleen het persbericht. De indicatorenlijst en de vier categorieën vormen de operationele inhoud. Leg ze naast uw taxonomie voor issuemanagement, zodat interne bevindingen al worden beschreven in de taal die de toezichthouder zal gebruiken.
Actualiseer het draaiboek voor de reactie op handhaving. Bepaal wie met de toezichthouder spreekt, hoe een verklaring van bevindingen wordt behandeld, hoe herstel wordt aangetoond en hoe medewerking wordt gedocumenteerd. Duur en herhaling worden gescoord, dus hersteltermijnen zijn nu een sanctievariabele.
Sluit oude bevindingen af vóór 10 juli 2027. Alles wat op de toepassingsdatum open staat en later door een toezichthouder wordt gevonden, draagt vanaf dag één van het nieuwe regime een duurindicator met zich mee.
Informeer het leidinggevend orgaan. Leg de persoonlijke bepalingen voor het hoger leidinggevend personeel en de compliancemanager uit, en controleer of het toezicht op AML/CFT met voldoende detail wordt genotuleerd om aan te tonen dat de verantwoordelijkheid is uitgeoefend.
Controleer de consistentie binnen de groep. Stem voor groepen die in meerdere landen actief zijn de interne ernstbeoordelingen tussen de entiteiten op elkaar af, zodat een inbreuk die in de ene jurisdictie als matig wordt ingedeeld, niet door uw eigen tweede lijn stelselmatig als ernstig wordt ingedeeld in een andere.
Houd de vaststelling door de Commissie in het oog. De gedelegeerde verordening kan nog veranderen. Beschouw de tekst van juli 2026 als werkhypothese en leg vast waar uw draaiboek daarvan afhankelijk is.

Het dashboard van AMLR Monitor volgt de RTS over geldelijke sancties, administratieve maatregelen en dwangsommen, samen met de hier genoemde AMLD6-bepalingen en de RTS over toezicht op de niet-financiële sector, en zal hun status bijwerken zodra de Commissie handelt.